SINTEF RAPPORTTITTEL

Metodikk for utarbeidelse av organisatoriske risikoindikatorer

FORFATTER(E)

Knut Øien og Snorre Sklet

OPPDRAGSGIVER(E)

SINTEF TeknologiledelseSikkerhet og pålitelighet

Postadresse: 7465 TrondheimBesøksadresse: S P Andersens veg 5Telefon: 73 59 27 56Telefaks: 73 59 28 96

Foretaksregisteret: NO 948 007 029 MVA

Oljedirektoratet

RAPPORTNR. GRADERING OPPDRAGSGIVERS REF.

STF38 A00422 Åpen Liv Nielsen / Odd TjeltaGRADER. DENNE SIDE ISBN PROSJEKTNR. ANTALL SIDER OG BILAG

Åpen 82-14-01673-8 384184.60 119ELEKTRONISK ARKIVKODE PROSJEKTLEDER (NAVN, SIGN.) VERIFISERT AV (NAVN, SIGN.)

MetoderapportORI12 for postscript.doc Snorre Sklet Marvin RausandARKIVKODE DATO GODKJENT AV (NAVN, STILLING, SIGN.)

2001.02.01 Lars Bodsberg, forskningssjefSAMMENDRAG

Rapporten inneholder en beskrivelse av en metodikk for utarbeidelse av organisatoriske risiko-indikatorer, og inngår som en del av prosjektet "Risikoanalyser i driftsfasen" (også betegnet som"Indikator-prosjektet"). Hensikten med pilotprosjektet har vært å vurdere om, og i hvilken grad det larseg gjøre å kvantifisere den risikomessige betydningen av endringer i organisatoriske forhold underdrift av offshore installasjoner. Hovedkonklusjonen er at det er mulig å si noe kvantitativt omorganisatoriske faktorers effekt på risikonivået, selv om dette er forbundet med usikkerhet.

De organisatoriske risikoindikatorene (som etableres basert på metodikken som er utdypet oggeneralisert i denne rapporten) kan benyttes til følgende formål:

1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størst

forbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoen)

Sammen med de "tekniske" risikoindikatorene som kan etableres basert på metodikk utviklet i fase Iav "indikator-prosjektet", vil de organisatoriske risikoindikatorene kunne benyttes til å overvåke enforholdsvis stor andel av den totale risikoen.

STIKKORD NORSK ENGELSK

GRUPPE 1 Sikkerhet SafetyGRUPPE 2 Risikoanalyse Risk AnalysisEGENVALGTE Risikoindikator Risk Indicator

Risikopåvirkende forhold Risk Influencing Factors

Organisatoriske forhold Organisational Factors

2

3

FORORD

Prosjektet "Risikoanalyser i driftsfasen" har blitt gjennomført av SINTEF Teknologiledelse,Sikkerhet og pålitelighet, i årene 1998-2000. Hensikten med prosjektet har vært å videreutviklemodeller som kan benyttes for å klargjøre sammenhengen mellom organisatoriske forhold ogrisikonivået på en offshore innretning. Disse modellene danner grunnlaget for å utarbeide enmetodikk som kan benyttes til å måle endringer i risikonivået på en innretning som skyldesendringer i organisatoriske forhold. Prosjektet bidrar derved til å øke bruken av resultatene frakvantitative risikoanalyser i forbindelse med oppfølging av risikonivået på en plattform idriftsfasen.

Prosjektet er utført på oppdrag fra Oljedirektoratet. Vi vil med dette benytte anledningen til åtakke Liv Nielsen for hennes sterke engasjement og innsats i forbindelse med initiering oggjennomføring av prosjektet.

Det har vært opprettet en referansegruppe for prosjektet med deltakere fra Oljedirektoratet,deltakende oljeselskaper og utvalgte konsulentselskaper. Det har vært avholdt totalt 8 møter ireferansegruppen for prosjektet. Pga. "omstruktureringer" i næringen har antall deltakendeoljeselskaper i prosjektperioden avtatt og selskapenes kontaktpersoner endret seg underveis.Nedenfor gis en oversikt over hvilke selskaper som har deltatt og hvilke personer som har værtkontaktpersoner for prosjektet og deltatt i referansegruppen i hele eller deler av prosjektperioden:

Selskap NavnOljedirektoratet Liv NielsenOljedirektoratet Odd TjeltaOljedirektoratet Sverre ØxnevadStatoil Gunhild Holtet EieStatoil Frank FiringNorsk Hydro Håvard BentsenNorsk Hydro John MonsenPhillips Petroleum Company Norway Harald UndheimPhillips Petroleum Company Norway Bjørn SaxvikPhillips Petroleum Company Norway Jan Arne JohansenElf Petroleum Norge (nå TotalFinaElf) Jan Erik VinnemEsso Norge Tormod SkårenSaga Petroleum Richard HeyerdahlBP Norge Leif Gunnar HestholmBP Norge Asbjørn HideAmoco Norway Oil Company Stig AuneNorske Shell Trond WintherScandpower Jan K. LundDet Norske Veritas Andreas FalckSafetec Jon Daniel Nesje

Vi vil takke alle deltakerne i referansegruppen for deres deltakelse i prosjektet.

Vi vil videre takke Statoil for at personell fra Statfjord A organisasjonen har deltatt vedgjennomføring av pilotstudiene både for utvikling av tekniske og organisatoriske risiko-

4

indikatorer. Det har vært av særlig stor betydning for resultatene fra prosjektet at vi har kunnet hadirektekontakt med driftspersonell og spesielt at vi fikk besøke Statfjord A plattformen iforbindelse med utvikling og uttesting av lekkasjemodellen og diskutere arbeidsorganisering oginntrufne gasslekkasjer med driftspersonell på plattformen.

Vi vil også takke Gudmund Engen, plattformsjef på Gullfaks A plattformen for hans bistand iarbeidet med utvikling og uttesting av lekkasjemodellen og mange andre nyttige innspillunderveis i prosjektet.

Til slutt vil vi takke vår kollega Helge Langseth for bistand til å utvikle den kvantitative modellenfor beregning av hvor stor effekt endringer i organisatoriske forhold har på risikoen.

Trondheim, 1. februar 2001.

Snorre SkletProsjektleder

5

INNHOLDSFORTEGNELSE

FORORD ........................................................................................................................... 3

1 SAMMENDRAG ................................................................................................................... 7

2 INNLEDNING ..................................................................................................................... 132.1 Bakgrunn og problemstilling ......................................................................................... 13

2.1.1 Bakgrunn......................................................................................................... 132.1.2 Problemstilling................................................................................................ 14

2.2 Hensikt og målsetting..................................................................................................... 152.3 Generelle avgrensninger................................................................................................. 162.4 Generelle forutsetninger................................................................................................. 162.5 Viktige begreper og definisjoner.................................................................................... 172.6 Rapportstruktur .............................................................................................................. 18

3 ETABLERING AV RAMMEVERK ................................................................................. 213.1 Analyse av eksisterende rammeverk.............................................................................. 22

3.1.1 Organisatorisk modell/organisatoriske faktorer.............................................. 233.1.2 Bedømming av tilstanden til de organisatoriske faktorene............................. 233.1.3 Bedømming av effekten av faktorene på risikoen .......................................... 243.1.4 Aggregeringsmetode (algoritme) .................................................................... 243.1.5 Modelleringsteknikk ....................................................................................... 253.1.6 Kopling til risikomodell .................................................................................. 253.1.7 Tilpasning av risikomodellen.......................................................................... 253.1.8 Rekvantifisering av risiko ............................................................................... 25

3.2 Kravspesifisering............................................................................................................ 263.2.1 Krav til organisasjonsmodell (-faktorer)......................................................... 273.2.2 Krav til bedømmelse av tilstanden til de organisatoriske faktorene (rating) .. 273.2.3 Krav til bedømmelse av effekten til de organisatoriske faktorene (vekting).. 273.2.4 Krav til aggregerings-algoritme...................................................................... 273.2.5 Krav til modelleringsteknikk .......................................................................... 283.2.6 Krav til koplingen til risikomodellen.............................................................. 283.2.7 Krav til tilpasning av risikomodellen.............................................................. 283.2.8 Krav til rekvantifisering av risiko ................................................................... 28

3.3 Vurdering av alternativ .................................................................................................. 293.3.1 Vurdering av fremgangsmåte for etablering av organisasjonsmodell ............ 293.3.2 Vurdering av måten å bedømme de organisatoriske faktorene på (rating) ..... 313.3.3 Vurdering av alternative måter å bedømme effekten av faktorene på

(vektingen)...................................................................................................... 323.3.4 Vurdering av alternative måter å aggregere effekten av faktorene på ............ 333.3.5 Vurdering og valg av modelleringsteknikk..................................................... 333.3.6 Kopling til og tilpasning av risikomodellen samt rekvantifisering av risiko.. 33

3.4 Syntese – ORIM............................................................................................................. 34

4 ORGANISATORISK MODELL ....................................................................................... 354.1 Alternative utgangspunkt (basis).................................................................................... 354.2 Organisasjonsteori..........................................................................................................364.3 Observasjon av organisasjonen...................................................................................... 374.4 Generell modellstruktur ................................................................................................. 374.5 Årsaksanalyser av granskede hendelser ......................................................................... 384.6 Datakilder for lekkasjedata ............................................................................................ 39

6

4.7 Kvalitativ lekkasjemodell (generell) .............................................................................. 414.8 Bruken av lekkasjemodellen .......................................................................................... 454.9 Tilpasning/generalisering............................................................................................... 47

5 ORGANISATORISKE FAKTORER................................................................................ 495.1 Beskrivelse av organisatoriske faktorer ......................................................................... 495.2 Sammenlikning med ILCI-modellen.............................................................................. 495.3 Avgrensning – "påvisbar" kopling til hendelser ............................................................ 52

6 ORGANISATORISKE RISIKOINDIKATORER........................................................... 536.1 Risiko- vs sikkerhetsindikatorer..................................................................................... 536.2 Hensikt – risikokontroll ................................................................................................. 546.3 Begrensninger – måleproblemet .................................................................................... 546.4 Statfjord A-spesifikke organisatoriske risikoindikatorer ............................................... 556.5 Generelle forslag til organisatoriske indikatorer............................................................ 55

7 KVANTIFISERINGSMETODIKK................................................................................... 577.1 Kvantitativ modellering med bruk av Bayesiansk nettverk ........................................... 58

7.1.1 Bayesiansk nettverk generelt .......................................................................... 587.1.2 Kvantitativ lekkasjemodell ............................................................................. 59

7.2 Tilstandsbedømming (rating) ......................................................................................... 627.2.1 Eksempel på tilstandsbedømming................................................................... 65

7.3 Påvirkning/effekt (vekting) ............................................................................................ 677.3.1 Innledning ....................................................................................................... 677.3.2 Vekting basert på ekspertvurderinger ............................................................. 707.3.3 Datadrevet vekting .......................................................................................... 79

7.4 Aggregering.................................................................................................................... 867.4.1 Eksempel på aggregering/propagering............................................................ 90

7.5 Effekt på risiko............................................................................................................... 917.5.1 Eksempel på beregning av effekt på risiko ..................................................... 93

7.6 Følsomhetsanalyser ........................................................................................................ 947.6.1 Forbedrings- og forverringspotensial.............................................................. 947.6.2 Følsomhet av antakelser og vurderinger ......................................................... 977.6.3 Håndtering av mangelfull informasjon ......................................................... 102

7.7 Generalisering ..............................................................................................................104

8 DISKUSJON OG KONKLUSJON .................................................................................. 1078.1 Implementering og bruk............................................................................................... 1078.2 Nytteverdi..................................................................................................................... 1078.3 Begrensninger .............................................................................................................. 1098.4 Teoretiske implikasjoner.............................................................................................. 1118.5 Behov for videre arbeid................................................................................................ 1118.6 Hovedkonklusjoner ...................................................................................................... 112

9 REFERANSER .................................................................................................................. 115

VEDLEGG 1: Forkortelser ...................................................................................................... 117

VEDLEGG 2: Notasjon ............................................................................................................ 119

7

1� SAMMENDRAG

Mål og hensikt

Hensikten med pilotprosjektet har vært å vurdere om og i hvilken grad det lar seg gjøre åkvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift avoffshore installasjoner. Dette forutsetter at man først er i stand til å identifisere de organisatoriskefaktorene som påvirker risikoen, "måle" en eventuell endring i disse, samt etablere en koplingmellom de organisatoriske faktorene og risikoen. Statfjord A ble valgt som case for denorganisatoriske fasen av prosjektet slik den også var under den første tekniske fasen av prosjektet.Vi har dermed kunnet bygge videre på det arbeid som ble utført i første fase av "indikator-prosjektet".

Den primære målsettingen var å kunne si noe om hvordan risikonivået utvikler seg. Mange avendringene kan avdekkes/kontrolleres direkte gjennom de parametre som inngår i risikoanalysen,noe som ble behandlet i fase I av prosjektet (Øien & Sklet, 1999a og b). Kun der hvor direktekontroll av parametrene er "problematisk" (enten pga sjeldne registreringer eller vanskelighetermed å få etablert relevante måleparametre), ønsker vi å kontrollere risikoutviklingen ved å "måle"endringer i bakenforliggende/organisatoriske årsaksforhold.

Med overvåking av risikoen som primær målsetting, og med direkte risikoindikatorer fra førstefase av prosjektet til å dekke/kontrollere mange av de risikopåvirkende forholdene, har viavgrenset etableringen av organisatoriske risikoindikatorer til å "komplettere" de direkterisikoindikatorene. Lekkasjefrekvensen viste seg ikke å være egnet som en direkte risikoindikatorpga for få registreringer, samtidig som den har svært stor betydning for totalrisikoen. Etableringav organisatoriske risikoindikatorer har bl.a som følge av dette blitt rettet inn mot lekkasje-frekvensen.

Fremgangsmåte

Fremgangsmåten for etablering av organisatoriske risikoindikatorer for Statfjord A har bl.a beståtti å analysere eksisterende metoder som sier noe om påvirkningen av organisatoriske forhold pårisikoen. Men, vår fokus på "risikokontroll" representerer en annen målsetting enn det som deeksisterende metodene har blitt utviklet for. Vi har derfor vært nødt til å analysere disse metodenei lys av hva som er våre krav og behov. Vi så det også som viktig å "observere" den aktuelleorganisasjonen, dvs. Statfjord A, inngående. Så veldig "inngående" har nok ikke observasjoneneblitt, men vi har iallefall hatt et kortere opphold på Statfjord A.

Organisatorisk modell og faktorer

For å kunne beregne den påvirkning organisatoriske faktorer har på risikoen (via lekkasje-frekvensen) har vi etablert en organisatorisk modell som viser sammenhengen mellom de(viktigste) organisatoriske faktorene og lekkasjefrekvensen. Denne organisatoriske modellenbetegner vi lekkasjemodellen. Lekkasjemodellen er utviklet på grunnlag av årsaksanalyse avlekkasjedata, kjennskap til Statfjord A's organisasjon samt generell organisasjonsteori.

8

Vi har benyttet denne lekkasjemodellen til å svare på følgende spørsmål:

1. Hvilke organisatoriske faktorer påvirker lekkasjefrekvensen (de viktigste faktorene)?2. Hvordan påvirker organisatoriske faktorer lekkasjefrekvensen (de viktigste sammenhengene)?3. Hvor mye påvirker organisatoriske faktorer lekkasjefrekvensen (kvantitativt)?

Den kvalitative lekkasjemodellen er vist i Figur 1. Modellen er delt i 3 nivå i tillegg til selvelekkasjefrekvensen. Første nivå består av lekkasjekilden, dvs det utstyr eller de komponenter somlekker. Andre nivå består av det frontlinjepersonell som kan forårsake, evt forhindre at lekkasjerinntreffer. Tredje nivå består av de organisatoriske forhold som utgjør tilretteleggingen for atfrontlinjepersonell skal kunne utføre arbeidet på en slik måte at lekkasjer ikke inntreffer.

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet

Instrument/instr.rør

Korr.vedl.(mod.)

Drift

Opplæring/kompetanse

Prosedyrer,SJA, retn.linjer,

instrukser

Planl., koord.,org., kontroll

Design

PM-program/inspeksjon

Brønn-operasjoner

Forebyggendevedlikehold

Individfaktor(oppm./kons.)

Hva(svikter/lekker)

Hvem(utførende)

Hvem(styrende)

Front-linje personell/hovedfunksjoner

Lekkasje

Komponent/utstyr Parameter/feilmode

Hendelse

Ansvarlig/tilretteleggendepersonell

Figur 1 Den kvalitative lekkasjemodellen

• Individfaktoren er en "knagg" til å henge "tabber" på (når det er gjort en åpenbar tabbe, og eregentlig ikke en "ordentlig" organisatorisk faktor).

• Med "opplæring/kompetanse" mener vi den opplæring og erfaring som er nødvendig for at detutførende personell skal kunne gjøre jobben sin uten å forårsake lekkasjer.

• Med "prosedyrer, SJA, retningslinjer, instrukser" mener vi all skriftlig (og evt. muntlig)informasjon som beskriver hvordan jobben skal utføres på en korrekt og sikker måte.

• Med "planlegging, koordinering, organisering, kontroll" mener vi den "tilrettelegging" somarbeidsledere/planleggere har ansvar for å påse blir ivaretatt slik at lekkasjer unngås. Kontroll-aspektet er spesielt viktig som barriere-funksjon.

• Med "design" mener vi den fysiske utformingen/sammenstillingen av utstyr (prosess- og annetutstyr). Designet må være slik at anlegget kan drives og vedlikeholdes uten at lekkasjeroppstår.

9

• Med "PM-program" mener vi programmene (aktiviteter og intervaller) for alt planlagtvedlikehold (inkl. inspeksjon) som utføres for å forhindre at feil (som igjen kan resultere ilekkasje) skal inntreffe.

Den kvalitative lekkasjemodellen utgjør et viktig delresultat i seg selv, fordi den kan benyttes somet hjelpemiddel for å avdekke de bakenforliggende årsaksfaktorene til en lekkasje, uavhengig avhvorvidt man ønsker å kvantifisere betydningen av de organisatoriske årsaksfaktorene. Den kanbenyttes når lekkasjehendelsen skal registreres i en RUH.

Lekkasjemodellen antas å være anvendbar også for andre installasjoner, eventuelt med noetilpasning.

Organisatoriske risikoindikatorer

Tilstanden til de organisatoriske årsaksfaktorene lengst til venstre i Figur 1 måler vi fortløpende(hvert kvartal) ved hjelp av indikatorer – organisatoriske risikoindikatorer. Forslag til slikeindikatorer for hver av de organisatoriske faktorene for Statfjord A er vist i Tabell 1 som eksempelpå hvilke indikatorer som kan være aktuelle. I tillegg er det etablert en lengre liste med forslag tilmulige organisatoriske risikoindikatorer for andre installasjoner.

Tabell 1 Forslag til organisatoriske risikoindikatorer

Organisatoriske faktorer Organisatoriske risikoindikatorerORI11 Andel prosessteknikere med formell systemopplæringORI12 Gjennomsnittlig antall områder prosessteknikerne har opplæring iORI13 Andel instrumentteknikere med kurs i rørkopling/ventilerORI14 Andel mekanikere med kurs i flenstrekkingORI15 Andel mekanikere med pakningskursORI16 Gjennomsnittlig antall år erfaring på denne installasjonenORI17 Gjennomsnittlig antall år erfaring totalt

OF1 Opplæring/kompetanse

ORI18 Andel av relevant personell som har deltatt i faglig utviklingORI21 Andel av relevant personell med formell opplæring i SJAORI22 Andel av relevant personell som har gjennomført SJA siste årORI23 Antall SJA gjennomført siste kvartal på installasjonen

OF2Prosedyrer, SJA,retningslinjer, instrukser

ORI24 Hyppighet av kontroll med utarbeidelse/bruk av SJAORI31 Andel kritiske jobber utført med kontroll

OF3Planlegging, koordinering,organisering, kontroll ORI32 Andel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet)

OF4 Design ORI41 Antall designrelaterte lekkasjer og tilløp til lekkasjerORI51 Mengde inspeksjon av lekkasjepunkt-utstyr

OF5 PM-program/inspeksjonORI52 Mengde korrigerende vedlikehold av lekkasjepunkt-utstyr

Betydningen av de organisatoriske faktorene for lekkasjefrekvens og risiko

Gjennom å vekte den påvirkning som de organisatoriske faktorene har på lekkasjefrekvensen, ervi i stand til å beregne effekten av at en eller flere av de organisatoriske faktorene endrer tilstand(blir bedre eller dårlige ivaretatt av organisasjonen). Når den nye tilstanden er fastsatt/bedømt vhaindikatorene, så kan vi fastsette hvor mye dette har endret lekkasjefrekvensen (og dermed ogsådennes bidrag til risikonivået via risikomodellen).

10

Konklusjon

Hovedkonklusjonen er at det er mulig å si noe kvantitativt om organisatoriske faktorers effekt pårisikonivået, selv om dette er forbundet med usikkerhet. Grunnen til at vi kan trekke dennekonklusjonen er at:

• De antatt viktigste organisatoriske årsaksfaktorene er identifisert• Tilstanden til disse er mulig å måle vha indikatorer (alternativt med kompletterende subjektive

vurderinger)• Effekten de har på lekkasjefrekvensen er mulig å beregne vha. analyse av tidligere lekkasje-

hendelser og ekspertvurderinger (og kan dessuten oppdateres etterhvert som ny informasjonfremkommer)

• Endring i forventningsverdi til lekkasjefrekvensen kan beregnes (inklusive effekten avobserverte lekkasjehendelser)

• Endring i risikonivået som følge av endring i lekkasjefrekvensen kan beregnes via følsomhets-analyser i risikoanalysen (TRA’en)

Videre arbeid

Vi har utviklet en metodikk hvor det ikke gjenstår noen "uoverstigelige" metodiske problemer.Det som gjenstår for å prøve ut metoden er en krevende implementeringsjobb. Dette innebærer atman må 'verifisere' vurderingene som er gjort og foreta de nødvendige justeringer. I tillegg krevesdet at de ansvarlige for innføring og oppfølging må være aktive pådrivere. Man må være klar overat å skaffe seg kunnskap om hvordan risikonivået utvikler seg over tid ('kontinuerlig' overvåking)etter denne metoden vil kreve tid, ressurser og hardt systematisk arbeid.

Nytteverdi

Det ser også ut til å være et stadig mer påtrengende problem å skulle si noe om hvordansikkerheten/risikoen utvikler seg i Nordsjøen både for den enkelte installasjon og for industriensom helhet. Vår påstand er at dersom man ikke systematisk følger opp risikoanalysen under drift(eksempelvis gjennom risikoindikatorer) så vet man ikke hvordan risikoen utvikler seg. Ikke vetman om den øker eller avtar, og slettes ikke om den øker/avtar mye eller lite.

Ved å følge opp de viktigste risikopåvirkende forholdene vha. risikoindikatorer så er vi ikke bare istand til å si noe om hvorvidt risikoen har økt eller avtatt men vi er også i stand til å si noe omendringens størrelsesorden. Det vil kunne være av avgjørende betydning å vite om risikoen f.ekshar endret seg med i størrelsesorden 3% eller om den har endret seg med i størrelsesorden 30%.Derfor er kvantifisering nyttig og nødvendig. Selv om tallet i seg selv er forbundet medusikkerhet, så representerer det en aggregering/sammenfatning av 'vår beste viten'.

Den datamengden som er benyttet i case-studien (hhv. 20 lekkasjer på Statfjord A og 92 lekkasjerpå Statfjord-feltet) er forholdsvis liten, noe som gjør at det er relativt stor usikkerhet knyttet til deabsolutte tallverdiene som refereres, men det er relativ endring i risikoen og endringensstørrelsesorden vi fokuserer på.

De organisatoriske risikoindikatorene kan benyttes til følgende formål:

1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg

11

2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størst

forbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoreduksjon)

Sammen med de "tekniske" risikoindikatorene som kan etableres basert på metodikk utviklet ifase I av "indikator-prosjektet" så vil de organisatoriske risikoindikatorene kunne benyttes for åovervåke en forholdsvis stor andel av den totale risikoen.

12

13

2� INNLEDNING

2.1�Bakgrunn og problemstilling

2.1.1� Bakgrunn

Oljedirektoratet (OD) har helt siden 1994 vært opptatt av hvordan oljeselskapene på en troverdigmåte kan beskrive utviklingen i risikonivået for en gitt installasjon på regelmessig basis.Bakgrunnen for dette var en konkret installasjon, nemlig PPCoN’s Ekofisk 2/4-T (også kalt"tanken"). Som de fleste kjenner til så ble denne besluttet nedstengt i 1992 (og utfaset i 1998). Påtross av denne nedstengningsbeslutningen i 1992 var OD opptatt av hvordan risikonivået villeutvikle seg på "tanken" i den såkalte interimsperioden frem til utfasing.

SINTEF ble engasjert for å se på muligheten for å utvikle et "verktøy" som kunne si noe omutviklingen i risikonivået på Ekofisk 2/4-T. Prosjektet fikk navnet "indikator-prosjektet" somhenspeiler på at det verktøy som ble utviklet bestod av et sett med risikoindikatorer. Etter en tidsutviklingsarbeid, som resulterte i et første forslag til indikatorer, ble prosjektet presentert forPPCoN. Selskapet tok deretter over det videre arbeid og nødvendig tilpasning selv.

Idéen med å benytte et sett med risikoindikatorer, som verktøy for å overvåke risikonivået på enoffshore installasjon, ble ført videre av OD i 1996. Denne gang ble Statfjord A valgt ut som deninstallasjonen man ønsket å etablere indikatorer for. Statoil som operatør for Statfjord A deltok idette prosjektet fra starten av. Det ble gjennomført som et samarbeidsprosjekt mellom OD, Statoilog SINTEF.

Etableringen av risikoindikatorer for både Ekofisk 2/4-T og Statfjord A baserte seg på denplattformspesifikke totalrisikoanalysen (TRA’en eller QRA’en) for installasjonene. Disserisikoanalysene dekker i hovedsak tekniske og tildels operasjonelle forhold, men i liten gradorganisatoriske forhold. Risikoindikatorene ble derfor betegnet som "tekniske indikatorer" (eller"tekniske risikoindikatorer") fordi de baserte seg på ("den tekniske") risikoanalysen. Deindikatorene som ble etablert utgjorde for en stor del direkte (eller mer eller mindre direkte) "mål"på risikoforhold som inngikk i risikoanalysen. De tekniske indikatorene betegnes derfor også som"direkte risikoindikatorer".

Totalrisikoanalysene blir i hovedsak benyttet i forbindelse med designfasen, men de skalreflektere normal drift (altså driftsfasen). De inkluderer derfor antakelser om operasjonelle forholdunder drift. Organisatoriske forhold derimot virker hovedsaklig indirekte gjennom parametrene(f.eks feilrater) i risikoanalysen. Imidlertid er det slik at også organisatoriske forhold kan endreseg under driftsfasen (og dermed påvirke risikonivået). Det er en kjent sak at organisatoriskeforhold har vært medvirkende årsaker til store ulykker både innenfor offshore og annen industri.

Risikokontroll under drift av offshore installasjoner bør derfor ikke utelukkende fokusere påtekniske og operasjonelle forhold, men også inkludere organisatoriske forhold. Hvordan kan manså inkludere den effekt endringer i organisatoriske forhold har på risikonivået? Dette varutfordringen OD gikk ut med til industrien i 1998, og som ble organisert gjennom prosjektet"Risikoanalyser i driftsfasen" hvor "alle" oljeselskapene på norsk sokkel har deltatt.

14

Prosjektnavnet henspeiler på at man ønsket en risikobasert tilnærming og dermed benytterisikoanalysen som basis, sålangt dette lot seg gjøre.

Denne rapporten beskriver den metodeutvikling som har funnet sted i dette prosjektet. I Figur 2har vi illustrert hvordan denne rapporten passer inn i den totale "indikatorprosjekt-sammenheng",med henvisning til andre rapporter1 utgitt som del av prosjektet.

Generellmetodikk

(tekn.)

Pilot-studie

(tekn.)

Generellmetodikk

(org.)

Pilot-studie

(org.)

Litteraturstudie

Fase I(teknisk)

Fase II(organisatorisk)

Risikostyring under drift

�,QGLNDWRUSURVMHNWHW�

J

/1/ /2/

/3/ /4/ /5/

Figur 2 Denne rapportens plass i "indikatorprosjektet"

Metodeutviklingen som er beskrevet i denne rapporten bygger videre på det arbeid som ble gjortifm. Statfjord A (Øien & Sklet, 1999b), (som igjen bygger på arbeidet som ble gjort for Ekofisk2/4-T) og utviklingen av en metodikk for etablering av "tekniske risikoindikatorer" (Øien & Sklet,1999a) i fase I av "indikatorprosjektet". Videre bygger den også på en gjennomgang av deninternasjonale forskningen på dette området, samt hva som er status innenfor norskoffshoreindustri (Øien & Sklet, 1999c).

Denne rapporten ("metoderapporten") bør fortrinnsvis leses og sees i sammenheng med pilot-studierapporten for Statfjord A (Øien & Sklet, 2001b) i og med at mye av metodeutviklingen harskjedd konkret rettet mot Statfjord A. Metodikken er dermed konkretisert gjennom å benytteStatfjord A som case. Hensikten med denne rapporten er å generalisere og utdype det som erbeskrevet i pilotstudierapporten. Den skal også til en viss grad være selvforklarende, noe som gjørat en del av det som står i pilotrapporten er gjengitt i denne metoderapporten. Dette er også gjortut i fra at metodikken blir lettere tilgjengelig gjennom konkretisering.

2.1.2� Problemstilling

Risikonivået på en gitt installasjon kvantifiseres i en totalrisikoanalyse, og som vi allerede harvært inne på så inkluderer denne antakelser om bl.a operasjonelle forhold under drift og om"feiltilbøyeligheten" til teknisk utstyr. Dette er forhold som "lett" kan endre seg, og ikke sværtlenge etter at en TRA er ferdigstilt så vet man ikke lenger hva risikonivået er, hvis man ikke

1 /1/ Øien & Sklet, 1999a. Metode for å utarbeide tekniske risikoindikatorer /2/ Øien & Sklet, 1999b. Risikoindikatorer for overvåking av risikonivået på Statfjord A /3/ Øien & Sklet, 1999c. Bruk av risikoanalyser i driftsfasen, etablering av sikkerhetsindikatorer og modellering av

organisatoriske faktorers effekt på risikonivået. En "state-of-the-art" beskrivelse. /4/ Øien & Sklet, 2001a. Metodikk for utarbeidelse av organisatoriske risikoindikatorer /5/ Øien & Sklet, 2001b. Organisatoriske risikoindikatorer. Pilotstudie Statfjord A.

15

systematisk følger opp antakelsene i risikoanalysen. Det er ikke nødvendigvis det eksakte "risiko-tallet" man til enhver tid bør vite, men man bør ha kjennskap til i hvilken retning utviklingen går,og man bør dessuten kunne si noe om størrelsesorden på endringen.

Av og til oppdateres TRA’ene i driftsfasen, men dette skjer "med noen års" mellomrom og er ikketilstrekkelig for den type risikokontroll vi her snakker om. Et alternativ kunne kanskje vært åoppdatere TRA’ene hyppigere? Det er forsåvidt ikke noe galt i det, men hvilke forhold("parametre") skal oppdateres? Hvis man ikke vet hvilke forhold som virkelig bidrar til risiko-endring så må man kontrollere alle parametre, noe som fort blir "noen hundre", og arbeidet bliromfattende. Et annet problem er at noen av forholdene som påvirker risikoen (som f.eksgasslekkasjer) skjer nokså sjeldent (og "tilfeldig") slik at det kan være vanskelig å fastslå omforholdet har endret seg, med mindre man studerer forholdet noe nærmere.

Et alternativ til å betrakte en forholdsvis sjelden hendelse direkte er å se om noen av de forholdsom påvirker denne hendelsen har endret seg. I noen tilfeller vil disse årsaksforholdene være detvi betegner som organisatoriske årsaksfaktorer. I tillegg til å kontrollere enkelte av de forholdenesom påvirker risikoen direkte så vil det også være behov for å følge opp organisatoriskeårsaksfaktorer. Utfordringen er å finne ut hvilke organisatoriske faktorer som er viktigst å følgeopp, samt å finne ut hvilken effekt de har på risikonivået.

Hvilke organisatoriske faktorer er de viktigste å følge opp, og hvor mye påvirker de risikonivået?

2.2�Hensikt og målsetting

Hensikten med pilotprosjektet (fase II) er å vurdere om og i hvilken grad det lar seg gjøre åkvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift avoffshore installasjoner. Dette forutsetter at man først er i stand til å identifisere de organisatoriskefaktorene, "måle" en eventuell endring i disse, samt etablere en kopling mellom de organisatoriskefaktorene og risikoen.

Målsettingen er at vi skal kunne være i stand til å "måle" en vesentlig del av den endring irisikonivå som skjer kontinuerlig under drift gjennom hyppige (kvartalsvise) registreringer."Måleverktøyet" vi benytter er risikoindikatorer.

I OD’s brev av 12.03.1998 til oljeselskapene heter det bl.a at "OD vil bidra til at det utviklesorganisatoriske/styringsmessige indikatorer som kan benyttes til å måle endringer i risikonivået".

En regelmessig kontroll med risikoen representerer et kontinuerlig sikkerhetsarbeid og er ikkenoen engangskampanje! Risikokontroll må innarbeides som en fast rutine og burde være likeselvsagt som økonomisk kontroll (regnskapsførsel).

Vi anvender det som betegnes som "risikobasert" sikkerhetstenkning, dvs at istedetfor å lasikkerhetsarbeidet styres av mer eller mindre tilfeldige hendelser retrospektivt (etter at hendelsenehar inntruffet) så arbeides det proaktivt med de viktigste risikopåvirkende forholdene før alvorligehendelser inntreffer. Disse forholdene representerer det største potensialet for fremtidigestorulykker, og dermed også det største potensialet for å redusere muligheten for fremtidigestorulykker. Før det kan treffes tiltak må man imidlertid finne ut hva som er situasjonen ogeventuelt hvor problemet er størst.

16

2.3�Generelle avgrensninger

Prosjektet er avgrenset til driftsfasen for én spesifikk installasjon. Det tas utgangspunkt i den sistoppdaterte risikoanalysen for den aktuelle installasjonen, og risikoen avgrenses til personellrisikoved storulykker. Vi dekker derfor ikke miljørisiko eller risiko for materielle verdier. Heller ikkearbeidsulykker dekkes i og med at fokus er på muligheten for storulykker.

Vi avgrenser arbeidet til kun å behandle de viktigste forholdene som påvirker risikoen. Vianvender en type "Pareto/(80-20)-tenkning", hvor hypotesen er at 20% av forholdene påvirker80% av risikoen.

Den primære målsettingen er å kunne si noe om hvordan risikonivået utvikler seg. Mange avendringene kan avdekkes/kontrolleres direkte gjennom de parametre som inngår i risikoanalysen.Kun der hvor dette er "problematisk" ønsker vi å kontrollere risikoutviklingen ved å "måle"endringer i bakenforliggende/organisatoriske årsaksforhold.

Risikoindikatorene er ment å være et hjelpemiddel til å vite hvordan risikonivået utvikler segmellom oppdateringer av risikoanalysen. Dersom det er større endringer/modifikasjoner (både avteknisk og organisatorisk karakter), så skal dette iht. OD's regelverk føre til en oppdatering avrisikoanalysen. Risikoindikatorene skal fange opp "de mange bekker små" som til sammen kan haforholdsvis stor betydning for risikoen. Spesielt viktig er det å fange opp de endringer som mankanskje ikke er seg så bevisst, og som kan ha betydning for risikoen.

Store organisatoriske endringer inkluderer også større bemanningsendringer. Heller ikke detteforutsettes dekket gjennom bruk av risikoindikatorer.

2.4�Generelle forutsetninger

Vi tar som nevnt utgangspunkt i den sist oppdaterte risikoanalysen. Vi anvender den slik den er ogforutsetter at den er "korrekt". Det vil alltid være svakheter og kanskje til og med direkte feil i enTRA, men det har ikke vært en del av arbeidet i dette prosjektet å vurdere selve risikoanalysen. Vikan derfor si at våre resultater avhenger av TRA’en og er "korrekte" i den grad TRA’en er"korrekt"2.

Vi må også forholde oss til den grad av nedbryting som er benyttet i risikoanalysen. Detteinnebærer bl.a at det vil være "et gap" mellom de forhold som er inkludert i risikoanalysen og deorganisatoriske årsaksfaktorene, og som vi dermed må "fylle" gjennom årsaksanalyser.

Vi forutsetter at de hendelser som rapporteres (f.eks gasslekkasjer) er fullstendig. Vi tar altså ikkehøyde for at det kan eksistere underrapportering.

2 Med "korrekt" mener vi at det ikke er gjort direkte feil i analysen. Hvorvidt resultatet er "korrekt" (gitt at analysener gjort uten direkte feil) er en helt annen diskusjon. Noen vil hevde at dette er uinteressant, fordi det ikke finnes noekorrekt svar, det er kun snakk om å avdekke mest mulig av den usikkerhet som er knyttet til muligheten forfremtidige tap.

17

2.5�Viktige begreper og definisjoner

Med sikkerhet forstår vi "fravær av uakseptabel risiko", men i fravær av en risikovurderingoppfattes alternativt sikkerhet som "fravær av tap", dvs fraværet av faktisk tap sålangt ("perdato"). Det forholder seg til det som allerede har skjedd (fortiden), ikke det som ennå ikke harskjedd. Fordi det er vanskelig å måle fravær av noe, så måles ofte sikkerheten ("fravær avsikkerhet") i "faktisk tap" istedenfor fravær av tap. Det tap vi er spesielt opptatt av erpersonsikkerhet knyttet til storulykker. Et direkte mål på dette ville vært antall drepte eller antallstore ulykker. Dette inntreffer (heldigvis) svært sjelden i offshore-industrien og er derfor et liteegnet mål for sikkerheten. Alternativet er derfor å benytte et mer indirekte mål som f.eks antallnesten-ulykker. Et indirekte mål på sikkerheten blir dermed antall nesten-ulykker som harinntruffet, men mange stiller spørsmålstegn ved troverdigheten til den såkalte "isfjell-teorien" somsier at det er et fast forholdstall mellom antall nesten-ulykker og alvorlige ulykker.

Med risiko forstår vi "mulighet for tap", dvs det som ennå ikke har skjedd (fremtiden). Et mål påpersonellrisiko er derfor ikke faktisk antall drepte eller faktisk antall store ulykker, men kan væreforventet antall drepte eller forventet antall store ulykker. Mål på risiko som er vanlig benyttet ioffshoresammenheng er forventet antall drepte (potensial loss of lives – PLL) og den såkalteFAR-verdien (Fatal Accident Rate) som er forventet antall drepte per 100 million arbeidstimer. Enkvantitativ definisjon av risiko er kombinasjonen av sannsynlighet for tap og alvorlighetsgradenav tapet (for det komplette settet av ulykkesscenarier).

Når vi snakker om risikoanalyse i dette prosjektet så mener vi den type totalrisikoanalyse (TRAeller QRA) som forsøker å kvantifisere det totale risikonivået for én gitt installasjon i form av entotal PLL- eller FAR-verdi. (Vi snakker da ikke om spesifikke "teknikker/metoder" som FMEA,FTA, HAZOP, SJA eller lignende.)

Med risikokontroll mener vi at man kontinuerlig/regelmessig (1) vurderer risikonivået (absolutteller relativt), (2) vurderer om risikoen er under kontroll ("akseptabel"), og (3) iverksetterrisikoreduserende tiltak om nødvendig.

Med risiko-overvåking mener vi kontinuerlig/regelmessig vurdering/beregning av risikonivået.(Dvs. første del av risikokontroll-begrepet.)3

Et risikopåvirkende forhold (RPF) er "et forhold (hendelse/tilstand) i et system eller en aktivitetsom påvirker risikonivået til dette systemet/aktiviteten".

En organisatorisk risikopåvirkende faktor er "en bakenforliggende styringsmessig/ledelsesmessigfaktor (forhold/hendelse/tilstand) i et system eller en aktivitet som påvirker risikonivået til dettesystemet/aktiviteten".

En indikator er "en målbar/operasjonell variabel som kan benyttes for å beskrive tilstanden til etstørre fenomen eller aspekt av virkeligheten".

En risikoindikator er "en målbar/operasjonell variabel som kan benyttes til å beskrive tilstanden tilet risikopåvirkende forhold (som er knyttet til risikoen gjennom en risikomodell)".

3 Vi har primært hatt fokus på risiko-overvåking i "indikator-prosjektet", selv om vi også i noen grad kommer inn pårisikokontroll.

18

En organisatorisk risikoindikator er "en målbar/operasjonell variabel som kan benyttes til åbeskrive tilstanden til en organisatorisk risikopåvirkende faktor (som er knyttet til risikoengjennom en risikomodell)".

2.6�Rapportstruktur

I kap. 3 har vi beskrevet etableringen av det "rammeverk" vi vil benytte for håndteringen avhvordan organisatoriske faktorer påvirker risikonivået kvantitativt. Dette starter med en analyse aveksisterende rammeverk (metoder/modeller), som tidligere er presentert i litteraturstudierapporten,og resulterer i en fremgangsmåte som er tilpasset vårt formål. Vi gir her begrunnelser for de valgvi har gjort mht. hvordan vi ønsker å håndtere de ulike elementene av metodikken.

Et av de mest sentrale elementene i metodikken er hvordan man kan etablere en modell sombeskriver sammenhengen mellom de organisatoriske faktorene og risikoen. De ulike alternativefremgangsmåtene for etablering av en slik organisatorisk modell er beskrevet i kap. 4. Den valgtefremgangsmåten samt den resulterende modellen er også beskrevet.

Den organisatoriske modellen inkluderer de viktigste organisatoriske faktorene som påvirkerrisikoen. Disse organisatoriske faktorene er nærmere beskrevet i kap. 5.

Kap. 6 omhandler "måling" av organisatoriske faktorer med å benytte organisatoriske risiko-indikatorer. Både generelle forslag til indikatorer samt eksempler på spesifikke (Statfjord A)indikatorer er presentert.

Kvantifiseringsmetodikken er beskrevet i kap. 7. Her viser vi hvordan vi kan kvantifisere deneffekt endringer i de organisatoriske faktorene har på risikonivået. Som eksempel benyttesStatfjord A. I likhet med pilotstudierapporten så vil denne delen av rapporten (kvantifiseringen)kunne være litt vanskelig tilgjengelig for noen.

I kap. 8 trekkes konklusjonene av arbeidet med å forsøke å etablere en metodikk for kvantifiseringav den effekt organisatoriske faktorer har på risikonivået, sett i et risikokontrollperspektiv. (Detkan også være en god idé å starte med kap. 8, for deretter å lese resten av rapporten.)

Vedlegg 1 inneholder forkortelser, og vedlegg 2 inneholder notasjon.

Denne metoderapporten representerer en utdyping og generalisering av metodikken for etableringav organisatoriske risikoindikatorer. Den vil for noen leses i sammenheng medpilotstudierapporten (Øien & Sklet, 2001b), men den er også ment å skulle være noenlundeselvstående. Vi har derfor gjentatt en god del fra pilotstudierapporten i denne rapporten.

For de som allerede har lest pilotstudierapporten så kan vi gi følgende leseveiledning:

Kapittel 3 er så å si helt nytt.

I kapittel 4 er kap. 4.1-4.6 og 4.9 nye. Kap. 4.1-4.6 tar for seg grunnlaget for etableringen avlekkasjemodellen, også de forsøk vi gjorde som ikke førte frem. Kap. 4.9 vurderer tilpasning oggeneralisering av den kvalitative lekkasjemodellen til andre selskap/installasjoner.

I kapittel 5 er kap. 5.2 nytt. Det tar for seg en sammenlikning mellom lekkasjemodellen og ILCI-modellen.

19

I kapittel 6 er kap. 6.1, 6.3 og 6.5 nye. Kap. 6.1 ser på forskjellen mellom risiko- ogsikkerhetsindikatorer, kap. 6.3 diskuterer det såkalte "måle-problemet", og i kap. 6.5 har vi gitt enliste med forslag til mulige organisatoriske risikoindikatorer. Dette går ut over de som er foreslåttfor Statfjord A. For andre installasjoner kan det være aktuelt å benytte andre indikatorer.

I kapittel 7 er det meste slik som i pilotstudierapporten, men den data-drevne vektingen er utdypetnoe i kap. 7.3.3. I tillegg har vi et nytt kap. 7.7 som diskuterer generalisering av kvantifiseringen,dvs. hvorvidt noe må gjøres annerledes for andre installasjoner enn det som ble gjort for StatfjordA.

I kapittel 8 er kap. 8.4 og 8.5 nye. Kap. 8.4 tar for seg noen teoretiske implikasjoner av resultatenefra prosjektet. Kap. 8.5 diskuterer behov for videre arbeid knyttet til metodikk, og går ut over detsom er tatt opp i pilotstudierapporten.

20

21

3� ETABLERING AV RAMMEVERK

Vi vil i dette kapittelet beskrive den fremgangsmåte som er benyttet for å etablere enorganisatorisk modell og en metodikk for kvantifisering av den effekt endringer i organisatoriskeforhold har på risikonivået. Den organisatoriske årsaksmodellen vil bli beskrevet i mer detalj ikapittel 4, mens den kvantitative metodikken utdypes i kapittel 7.

Utgangspunktet for analysen har vært de eksisterende rammeverk/metoder/modeller som forsøkerå kvantifisere organisatoriske faktorers påvirkning/innvirkning på risikoen (Øien & Sklet, 1999c).Dette er illustrert i Figur 3.

Beskrivelse av rammeverkene(ref. litteraturstudierapport)

Ele

men

t/kar

akte

ristik

a

1

2

3

4

5

6

7

8

Analyse av rammeverkene under ett("på tvers") mht. de ulike karakteristika

Våre krav/behov

Vurdering/valgav alternativ

Syntese av nyttrammeverk

NDS����� �NDS����� NDS����� NDS�����

Figur 3 Analyseprosessen

Figur 3 illustrerer hva vi tar for oss i hvert av delkapitlene. Utgangspunktet er som nevnt deeksisterende rammeverkene, og disse er i beskrevet i litteraturstudierapporten. Det vi gjør i dennerapporten er at vi i kapittel 3.1 analyserer alle rammeverkene mhp. felles karakteristika("horisontal" analyse). Deretter (kap. 3.2) spesifiserer vi våre krav til de enkeltekarakteristika/elementer ut i fra hva vi skal anvende rammeverket til. Kapittel 3.3 beskrivervurdering og valg av alternative måter å håndtere de ulike delene/elementene på, og til sluttetablerer vi gjennom en syntese vårt nye rammeverk tilpasset våre behov (kap. 3.4).

En av grunnene til at vi har sett det som nødvendig å etablere et nytt rammeverk tilpasset vårebehov, er at de eksisterende metodene/rammeverkene har andre målsettinger og er etablert ut fraandre behov og ressurser både når det gjelder utvikling, implementering og bruk. Noen avrammeverkene er skreddersydd andre industrier enn offshore, noen er svært komplekse ogvanskelig tilgjengelige, og noen har knapt nok blitt forsøkt anvendt. De representerer på sett ogvis de "siste forskningsresultater". Det er derfor mange grunner til at vi ikke bare kan "plukke enmetode fra hylla", men istedet må etablere en metodikk basert på våre behov og ressurser.

22

3.1�Analyse av eksisterende rammeverk

De eksisterende rammeverkene er tildels svært forskjellige (Hallbert et al., 1998) og det har værtbehov for å etablere en "mal" for sammenlikning. Denne betegner vi som en "generellnedbrytingsstruktur" som alle rammeverkene kan beskrives i forhold til. Den består av 8elementer eller karakteristikker. Disse er:

1. Organisatorisk modell/organisatoriske faktorer2. Bedømming av tilstanden til faktorene ("rating")3. Bedømming av effekten (styrken) til faktorene ("vekting")4. Aggregeringsmetode (algoritme)5. Modelleringsteknikk6. Kopling til risikomodellen7. Tilpasning av risikomodellen8. Rekvantifisering av risiko

Nedbrytingsstrukturen ("malen") er illustrert i Figur 4.

Sosio-teknisksystem

Risikomodell Risiko

2

43 5

6

78

1

1. Organisatorisk modell/organisatoriske faktorer

2. Bedømming av tilstanden til faktorene ("rating")

3. Bedømming av effekten til faktorene ("vekting")

4. Aggregeringsmetode (algoritme)

5. Modelleringsteknikk

6. Kopling til risikomodellen

7. Tilpasning av risikomodellen

8. Rekvantifisering av risikoen

Figur 4 Generell nedbrytingsstruktur (karakteristika)

De 6 eksisterende rammeverkene som er valgt analysert er:

• SAM – System Action Management• MACHINE – Model of Accident Causation using Hierarchical Influence Network• ISM – Integrated Safety Method• ω-FACTOR – Omega Factor• WPAM – Work Process Analysis Model• I-RISK – Integrated Risk

Se "litteraturstudierapporten" (Øien & Sklet, 1999c) for nærmere beskrivelse av disserammeverkene (med unntak av Omega-Faktor metoden som er beskrevet i Mosleh et al., 1997).

Hver av de 6 rammeverkene har blitt analysert i henhold til de 8 elementene i Figur 4. Enstikkordsmessig oppsummering av analysen er gitt i Tabell 2.

23

Tabell 2 Analyse av eksisterende rammeverk

Element SAM MACHINE ISM

1 4 eksplisitte modeller 2 nivå med faktorer Organisatorisk feltmodell

2 (EJ - Ekspertvurdering) EJ ("BARS") -

3 EJ av param. i modellene SLIM -

4 Iht. influensdiagram Iht. influensdiagram Mason’s regel

5 Influensdiagram Influensdiagram Grafmodell

6 Handlinger og beslutninger HEP’s (også latente) Komp. prestasjonstre

7 (Foreligger eller etableres) - (Funksjonsmodell)

8 (Sensitiviteter) (Kvant./HEP) (Sensitivitet av PI’s)

Element ω-FACTOR WPAM I-RISK

1 Hierarkisk modell 20 faktorer (nå 6) SMS modell

2 (Skala 0-10 eller EJ) F.eks. BARS IRMA (PRIMA)

3 (EJ eller "data-drevet") AHP (2-trinns) Ekspertvurdering

4 Iht. influensdiagram SLI av betingede param. Enkel sum av prod.

5 Influensdiagram Flytskjema/AHP/matriser SADT

6 ω-faktoren Arbeidsprosesser og CPG 8 leveransesystem

7 Org. avh. av parametre MCS’s med avh. potensiale 9 generiske parametre

8 (Sensitiviteter) Rekalkulering av param. Rekalkulering av param.(EJ-Ekspertvurdering, BARS-Behaviorally Anchored Rating Scales, SLIM-Success Likelihood IndexMethod, HEP-Human Error Probability, SMS-Safety Management System, IRMA-Integrated RiskManagement Audit, PRIMA-Process Risk Management Audit, AHP-Analytic Hierarchy Process, SLI-Success Lieklihood Index, SADT-Structural Analysis and Design Technique, CPG-CandidateParameter Group, MCS-Minimal Cut Set.

3.1.1� Organisatorisk modell/organisatoriske faktorer

I noen rammeverk benyttes årsaksmodeller av sammenhengen mellom organisatoriske faktorer ogrisiko, mens det i andre rammeverk kun benyttes en klassifisering av faktorer (ett nivå). Ingen avde 6 eksisterende rammeverkene er identiske mht. dette elementet. De rammeverkene sombenytter årsaksmodeller anvender alle ulike modeller (løkmodell, hierarkisk modell, etc.). Fornærmere beskrivelse av modellene se litteraturstudierapporten (Øien & Sklet, 1999c).

3.1.2� Bedømming av tilstanden til de organisatoriske faktorene

Bedømming av tilstanden til de organisatoriske faktorene betyr at vi vurderer kvaliteten eller"godheten" av faktorene, f.eks at prosedyrene vurderes til å være i en "dårlig" tilstand. (Antalltilstander og betegnelsen av disse kommer vi tilbake til senere. Her benytter vi "dårlig" kun som eteksempel på en tilstandsbetegnelse.)

Alle rammeverkene med unntak av I-RISK benytter en eller annen form for ekspertvurdering nårtilstanden til faktorene skal bedømmes. De færreste forklarer hvordan dette skal gjennomføres,men henviser f.eks til BARS (Behaviorally Anchored Rating Scale) hvor man ut fra observasjonerog gitte kriterier (for hvilke observasjoner som gir hvilken "score") fastsetter "tilstanden".

24

I-RISK prosjektet har utviklet sin egen "audit" metode kalt IRMA (Integrated Risk ManagementAudit) som bygger på en tidligere audit-metode kalt PRIMA (Process Risk Management Audit).For nærmere utdyping av audit-metoder generelt og IRMA/PRIMA spesielt, se litteratur-studierapporten (Øien & Sklet, 1999c).

3.1.3� Bedømming av effekten av faktorene på risikoen

En bedømming av hvilken effekt de organisatoriske faktorene (med gitte tilstander) har pårisikoen (direkte eller via mellomliggende forhold) betegnes som "vekte-prosessen". Hvilkenbetydning/vekt har det (for risikoen) at faktorene befinner seg i spesifiserte tilstander? Hvilkeneffekt har f.eks prosedyrene på risikoen gitt at tilstanden til prosedyrene er "dårlig"?

Også denne bedømmingen skjer i all hovedsak (for de 6 analyserte rammeverkene) gjennom brukav ekspertvurderinger. For 3 av rammeverkene (ISM, WPAM og I-RISK) vekter man faktoreneuavhengig av hverandre, mens for de 3 øvrige (SAM, MACHINE og ω-FACTOR) foretas envekting som også ivaretar samspillseffekter mellom faktorene. Det å ta hensyn til samspills-effekter er mer realistisk, men fører samtidig til mer krevende vurderinger.

En "uavhengig" vurdering av faktorene kan f.eks skje gjennom parvis sammenlikning (PairedComparison – PC) av to og to av faktorene. Hvilken faktor er viktigst mhp. risikoen (evt. etmellomliggende forhold) av faktor A og faktor B? Ved bruk av AHP (Analytic HierarchicalProcess) må man i tillegg bedømme "hvor mange ganger" viktigere den ene faktoren er i forholdtil den andre. Både ved PC og AHP vurderes alle faktorene mot hverandre to og to.

Ved vurderinger som ivaretar samspillseffekter mellom faktorene (som for SAM, MACHINE ogω-FACTOR), så må effekten på risikoen (eller et mellomliggende forhold) bedømmes for allekombinasjoner av tilstander til de faktorene som påvirker risikoen (evt. det mellomliggendeforholdet). Dette foreslås, som tidligere nevnt, i hovedsak gjennomført vha. en eller annen formfor ekspertvurdering, men for et av rammeverkene (ω-FACTOR) henvises det også til såkalt"data-drevet" vekting. Beskrivelsen av hvordan dette skal gjennomføres er imidlertid ikke korrekt(Mosleh & Goldfeiz, 1999), og det er kun i svært enkle tilfeller (f.eks 2 faktorer og 2 tilstander) atdata-drevet vekting lar seg gjennomføre uten bruk av forholdsvis avanserte statistiske analyser.

3.1.4� Aggregeringsmetode (algoritme)

Aggregeringen kombinerer "ratingen" med "vektingen" for å kunne gi den totale (ubetingede)effekten på risikoen (eller et mellomliggende forhold). Hvilken metode eller algoritme sombenyttes avhenger sterkt av type vekte-prosess.

For de vekte-prosesser hvor faktorene bedømmes uavhengig av hverandre (ingen samspills-effekter) er det vanlig med en eller annen form for "enkel sum av produktene" (av rating ogvekting).

For de vekte-prosessene som ivaretar samspillseffekter er aggregeringen noe mer komplisert. Denubetingede sannsynligheten for f.eks gasslekkasje vil da være summen av produktene av de fellessannsynlighetene ("joint probabilities") og de tilhørende vektene (de betingede sannsynlighetene).Dette kommer vi nærmere tilbake til i kap. 7.

25

3.1.5� Modelleringsteknikk

Tre av de eksisterende rammeverkene benytter seg av influensdiagram (Bayesianske nettverk),mens de øvrige benytter andre (ulike) modelleringsteknikker. De 3 som benytter influensdiagram(SAM, MACHINE og ω-FACTOR) er de samme 3 som også ivaretar samspillseffekter mellomfaktorene. (Man kan også betrakte dette omvendt, dvs at bruk av influensdiagram forkvantifisering krever bedømmelse av betingede sannsynligheter for alle kombinasjoner avtilstander til de organisatoriske faktorene.)

ISM benytter graf-teori og graf-modeller, WPAM benytter flytskjema og matriser, mens I-RISKbenytter SADT (Structural Analysis and Design Technique) og matriser.

Betegnelsen "influensdiagram" har vært benyttet i litteraturen frem til nå (og delvis fortsatt) noeupresist. "Influensdiagram" kun benyttet for å vise årsakssammenhenger og ikke anbefalinger tilbeslutninger betegnes nå mer presist som Bayesianske nettverk (BN). Et Bayesiansk nettverk erikke et ("fullverdig") influensdiagram før det inneholder minst én beslutningsnode. Alle de 3eksisterende rammeverkene SAM, MACHINE og ω-FACTOR benytter BN.

3.1.6� Kopling til risikomodell

Koplingen fra de organisatoriske faktorene (eller den organisatoriske modellen) til risikomodellenskjer i hovedsak via en eller flere parametre (eller en eller flere grupper av parametre) som inngåri risikomodellen.

For SAM skjer dette via de beslutninger og handlinger som utføres av de personer som kanpåvirke det fysiske systemet. I MACHINE påvirkes menneskelige feilsannsynligheter (HEP –Human Error Probabilities). For de øvrige vil det føre for langt her å forsøke å forklare dettenærmere fordi koplingen er forholdsvis kompleks (og "skreddersydd" den enkelte metode).

3.1.7� Tilpasning av risikomodellen

Tilpasning av en eksisterende risikomodell innebærer å "klargjøre"/tilpasse den for å "ta imot"påvirkningen fra organisatoriske faktorer som tradisjonelt ikke har vært en del av en risikomodell.

Ved anvendelse av SAM har det som regel ikke eksistert noen risikomodell i utgangspunktet. Enetablering av risikomodell er derfor en integrert del av SAM-metodikken. For de øvrigerammeverkene skjer tilpasningen til en (allerede eksisterende) risikomodell på svært ulik måte"skreddersydd" det enkelte rammeverk. Også dette er for omfattende til å utdype her.

3.1.8� Rekvantifisering av risiko

Hvorfor man ønsker å ta hensyn til effekten av organisatoriske faktorer varierer noe mellommetodene. Hovedhensikten med de ulike metodene er altså noe forskjellig.

26

For 3 av rammeverkene (SAM, ISM og ω-FACTOR) er hensikten å kvantifisere endringer(sensitiviteter) i risiko (eller prestasjons-indikatorer/"Performance Indicators" for ISM) som følgeav at man forsøker å ta hensyn til påvirkningen/effekten av organisatoriske faktorer. For SAMdreier dette seg om å bedømme effekten av organisatoriske tiltak. For ISM ønsker man åbedømme hvor dekkende de eksisterende forslag til prestasjonsindikatorer er, mens det for ω-FACTOR dreier seg om å bedømme endring i risiko som følge av organisatoriske fellesfeil-effekter (når generiske data er benyttet).

WPAM og I-RISK er begge ute etter et "mer korrekt" risikoestimat ved at organisatoriske faktorerpåvirker parametre i risikomodellen. For MACHINE dreier det seg mer om å komme frem tilkorrekte HEP-estimat i utgangspunktet, og sånn sett kan MACHINE sammenliknes med HRA-metoder (HRA-Human Reliability Analysis/Menneskelig pålitelighetsanalyser).

3.2�Kravspesifisering

Utformingen av de ulike elementene i et rammeverk for etablering av organisatoriskerisikoindikatorer må tilpasses vårt formål (og vår "kontekst"). Det vil bl.a si at rammeverket måtilpasses det arbeid som er gjort med etablering av tekniske risikoindikatorer (Øien & Sklet, 1999aog b). Vi bygger altså videre på det arbeid som allerede er gjort. Videre så må rammeverkettilpasses ønsket om hyppig/regelmessig risikokontroll (og dermed hyppige registreringer). Dettefører også til at bedømmelsen av tilstanden til de organisatoriske faktorene (som skal skjeforholdsvis hyppig) må være slik at det krever forholdsvis begrenset med tid og ressurser. (Dettemå imidlertid avveies mot krav til troverdighet i bedømmingen av tilstandene.)

Før vi kommer inn på spesifikke krav til den organisatoriske modellen (evt. settet med faktorer) såkan vi se på generelle krav mht. hva en slik modell kan/bør basere seg på. En slik modell kanbasere seg på:

• Ulykkes- /hendelsesdata (årsaksanalyse)• Generell organisasjonsteori• Spesifikk kunnskap om aktuell organisasjon

Ulykker og hendelser som er ferdig årsaksanalysert, evt. som det gjennomføres en utvidetårsaksanalyse av, bør (må) ligge til grunn for utviklingen av en modell. Det er dette som er "theproof of the pudding". Dersom ikke de faktorene og de sammenhengene man kommer frem tilfanger opp det som faktisk har skjedd, så er ikke modellen troverdig.

Generell kunnskap om organisasjonsteori er nok fordelaktig ved utviklingen av en organisasjons-modell. Imidlertid er det kun en "forsvinnende" liten andel av organisasjonslitteraturen somomhandler organisasjon i relasjon til sikkerhet eller risiko. (Vi kommer nærmere tilbake til dette,og også de øvrige utgangspunktene for etablering av en organisasjonsmodell, i kap. 4.)

Spesifikk kunnskap om den aktuelle organisasjonen er viktig. Ulykkes- og hendelsesdata måforstås i lys av hvordan den aktuelle organisasjonen fungerer. En ulempe er at for personer utenforden aktuelle organisasjonen er det ressurskrevende å sette seg inn i en "fremmed" organisasjon.Det må brukes tid i organisasjonen og organisasjonen må være villig til "å lære fra seg". Ikke barede formelle sidene må forstås, også de uformelle sidene ved en organisasjon må (av-) dekkes.

27

En modell som er basert på organisasjonsteori og/eller spesifikk organisasjonskunnskap (i tilleggtil hendelsesdata) vil bedre kunne forklare/underbygge strukturen i modellen.

3.2.1� Krav til organisasjonsmodell (-faktorer)

Fortrinnsvis bør det benyttes en modell som eksplisitt viser de viktigste sammenhengene. En slikmodell er mer troverdig, enklere å vurdere og forklarer hvordan og hvorfor sammenhengene erslik som modellert, sammenliknet med en ren klassifisering av faktorer. Modellen bør altså ha en"struktur" i tillegg til et sett med faktorer.

Modellen bør også være forholdsvis enkel å anvende. Dersom modellen er for komplisert vil denbli vanskelig tilgjengelig og lite anvendbar. Kun de viktigste sammenhengene bør inngå. Erfaringfra I-RISK prosjektet viste at modellen lett kan bli alt for komplisert for det den skal anvendes til.I vårt tilfelle må vi ha som forutsetning/målsetning at modellen skal anvendes i praksis, ikke kunvære til hjelp som en teoretisk øvelse.

3.2.2� Krav til bedømmelse av tilstanden til de organisatoriske faktorene (rating)

Ratingen må være slik at den kan skje jevnlig (fortrinnsvis kvartalsvis), fordi vi ønsker hyppigkontroll med risikoen. Selve målingen skal foregå vha. indikatorer dvs. "enkle" observérbarestørrelser (antall, andel, etc.), som i neste omgang kan omformes til en score eller rating. Ratingenmå være forholdsvis fin-gradert slik at vi er i stand til å skille mellom nokså små endringer.

Bedømmelsen av tilstand bør fortrinnsvis understøttes av forankringsverdier , dvs. gitt spesifiserteobservasjoner (indikatorverdier) så er ratingen gitt. (Skalaen "forankres".) Dette gjør en subjektiv"rate-prosess" mer robust.

3.2.3� Krav til bedømmelse av effekten til de organisatoriske faktorene (vekting)

Vektingen bør om mulig understøttes av data (ulykker/hendelser), noe som vil øke troverdighetentil vektingen, spesielt blant "ikke-eksperter". Dersom ekspertvurderinger må benyttes (alene eller ikombinasjon med data) så må en systematisk ekspertvurderingsprosess benyttes. Også dettepåvirker troverdigheten til resultatet.

3.2.4� Krav til aggregerings-algoritme

Dersom samspillseffekter mellom de organisatoriske faktorene er viktig å fange opp børaggregerings-algoritmen være slik at den tar hensyn til samspillseffekter (dvs. betingedesannsynligheter for kombinasjoner av tilstander) ved kombinering av rating og vekting. Dette vilda øke troverdigheten til aggregeringen gitt at samspillseffekter er tilstede. Man må i så tilfelleogså påse at den modelleringsteknikk man velger kan anvendes med en slik aggregerings-algoritme.

28

3.2.5� Krav til modelleringsteknikk

For organisatoriske forhold er det knyttet usikkerhet til både den tilstand de befinner seg i, og deneffekt de har på en gitt hendelse (f.eks gasslekkasje). Dvs. at heller ikke sammenhengene erdeterministiske gitt kjennskap til tilstanden, slik som f.eks ved tekniske forhold (f.eks så vet vimed 100% sikkerhet at dersom et lager i ei pumpe skjærer seg, så opphører pumpa å fungere).Modelleringsteknikken må derfor være egnet til å håndtere usikkerhet både i tilstand ogsammenhenger. (Som eksempel så vil et feiltre kun ha usikkerhet knyttet til tilstand, menssammenhengene er deterministiske gitt tilstandene.)

Modelleringsteknikken bør være enkel å kommunisere med og enkel å bruke undermodellutviklingen fordi det vil være behov for å innhente informasjon om faktorer ogsammenhenger fra "område-eksperter" som f.eks driftspersonell.

Modelleringsteknikken må for vårt formål også understøtte kvantifisering fordi vi har sommålsetting å kvantifisere effekten av de organisatoriske faktorene på risikoen. Det er også enfordel om modelleringsteknikken kan understøttes av programvare, noe som vil forenklekvantifiseringen. I tillegg må modelleringsteknikken kunne håndtere samspillseffekter mellomfaktorene dersom dette anses for å være viktig.

3.2.6� Krav til koplingen til risikomodellen

For vårt formål er koplingen til risikomodellen gitt (ut fra den første fasen av "indikator-prosjektet"). Organisasjonsmodellen må koples til de viktigste parametrene (mht. potensiale forrisikoendring) i risikomodellen hvor det ikke eksisterer egnede direkte risikoindikatorer. Dette erfor å kunne kvantifisere effekten av endringer i risiko med "rimelig" stor dekningsgrad totalt sett.Dvs. at vi vil sikre oss at vi dekker mesteparten av de faktorer som kan påvirke risikoen.

Den parameteren i risikomodellen som har vist seg å ha stor betydning for risikoen og som det ervanskelig å etablere direkte indikatorer for (til hyppige/kvartalsvise målinger), er lekkasje-frekvensen. Organisasjonsmodellen må derfor koples til lekkasjefrekvensen.

3.2.7� Krav til tilpasning av risikomodellen

Tilpasning av risikomodellen er et arbeid vi allerede har utført i den første fasen av "indikator-prosjektet", hvor vi identifiserte de viktigste parametrene i risikomodellen mht. potensiale forendring i risiko. Dette innebærer at en parameter (som igjen representerer et risikopåvirkendeforhold) både må ha potensiale for endring (i seg selv, dvs. parameterverdien) og at dette harforholdsvis stor effekt på risikoen. Dette gjør vi fordi vi benytter en ren risikobasert tilnærming,dvs. vi fokuserer kun på de parametre vi kan påvise er viktigst mhp. risikoen (relativ endring).

3.2.8� Krav til rekvantifisering av risiko

Dette er gitt ut ifra hva som er målsetningen med vårt arbeid. Vi er kun ute etter å fastsette relativendring (dvs. sensitiviteter) i risiko gitt en spesifikk endring i en organisatorisk faktor eller et sett

29

med organisatoriske faktorer (målt vha. indikatorer). Vi har fokus på risiko-kontroll. (Selv ommodellen er en årsaksmodell og derfor gir et godt grunnlag for å identifiserer effektive tiltak har viikke fokus på tiltak og er heller ikke ute etter et "mer korrekt risikoestimat".)

3.3�Vurdering av alternativ

Vurderingen av alternative måter å håndtere hvert av de 8 elementene på, baserer seg på dealternativ som er avdekket gjennom analysen av de eksisterende rammeverkene og de krav som vistiller til de enkelte elementene (ut fra våre behov). Vi vil her argumentere for de valg vi har gjortmht. alternativ for håndtering av hvert av elementene.

3.3.1� Vurdering av fremgangsmåte for etablering av organisasjonsmodell

Ideelt sett så burde den organisatoriske modellen basere seg på all "tilgjengelig" kunnskap, dvsulykkes- og hendelsesdata, spesifikk kunnskap om den aktuelle organisasjonen og generellorganisasjonsteori, og ikke kun én av disse. Alle utgangspunktene har sine fordeler og sineulemper. Ulykkes- og hendelsesdata er som tidligere nevnt "the proof of the pudding" og noe sommodellen må kunne gjenspeile. Ulempen er bl.a kvaliteten på denne type data. (Hvor godt er detunderliggende rapporteringssystemet? Hvor nøye blir utfyllingen gjort generelt, og forbakenforliggende årsaksforhold spesielt? Rapporteres alt, eller er det noe underrapportering?)Spesifikk kunnskap om den aktuelle organisasjonen gir muligheter for å avdekke uformelle siderved organisasjonen i tillegg til den formelle organisasjonen slik den er beskrevet i styrendedokumentasjon. Ulempen er at det er tid- og ressurskrevende å komme en "fremmed"organisasjon inn på livet. Organisasjonsteori kan gi innsikt i hvordan og hvorfor organisasjonerfungerer som de gjør, men for vårt formål er den "forsvinnende" lille andelen avorganisasjonslitteratur som er knyttet til sikkerhet "generelt" og risiko "spesielt" (og samtidigrelevant for oss) vanskelig tilgjengelig.

I tillegg til de alternative utgangspunkt som er nevnt her kunne vi også valgt å ta utgangspunkt ien eksisterende organisatorisk modell eller sett med faktorer (klassifisering). Men hvis vibetrakter de eksisterende rammeverkene så er det ingen av disse som anvender samme modelleller klassifisering. Hvorfor? Vel, et mulig svar på dette er at hvilke organisatoriske faktorer(klassifisering) som påvirker risikoen og hvordan (sammenhenger/modell), er for det førstekontroversielt og for det andre avhengig av mål og hensikt for de ulike rammeverkene. Vi harvurdert alle de eksisterende organisatoriske modellene, og uten å gå i detalj kan vi si at alle medett unntak forsøker å "favne" hele risikomodellen, dvs. alle parametre som inngår irisikomodellen. For å klare dette må de imidlertid gjøre forenklinger som det å betrakte "generiskeparametre" (f.eks feilrater som en klasse av parametre istedenfor den enkelte feilrate). Modelleneblir dermed både svært omfattende, men samtidig noe "generiske". Unntaket er SAM hvor mankun fokuserer på en begrenset del av en risikomodellen (der hvor man har erfart et problem) ogdermed kan "tillate seg" å etablere en svært spesifikk modell. Dette har visse paralleller til vårtutgangspunkt i og med at også vi kun tar for oss en avgrenset del av risikomodellen. Vi har for detførste avgrenset oss til de viktigste parametrene i risikomodellen mht. potensiell endring i risiko,og dernest valgt å fokusere på de parametre hvor vi ikke har vært i stand til å etablere "tekniskerisikoindikatorer".

30

Vi har valgt å benytte en fremgangsmåte for etablering av den organisatoriske modellen som harlikhetstrekk med SAM ved at vi vil etablere en spesifikk modell. Som for SAM vil vi benytte ossav spesifikk kunnskap om den aktuelle organisasjonen og noe organisasjonsteori, men i tillegg vilvi legge vekt på ulykkes- og hendelsesdata. Omfanget av og fordelingen mellom disse 3utgangspunktene (hendelsesdata, spesifikk organisasjonskunnskap og generell organisasjonsteori)vil måtte tilpasses de ressurser vi har til rådighet.

Når det gjelder ulykkes- og hendelsesdata, knyttet til den parameteren som vi har behov for åkople den organisatoriske modellen til, dreier dette seg om lekkasjedata (hydrokarbonlekkasjer).Videre er vi interesserte i lekkasjedata som sier noe om hvilke organisatoriske faktorer som harmedvirket til lekkasjene. Dette kan enten være generiske lekkasjedatakilder eller spesifikkelekkasjedata for den aktuelle organisasjonen. Den organisatoriske modellen skal i alle tilfelle værespesifikk ift. lekkasjefrekvensen som parameter, og den bør også mht. troverdighet være spesifikkfor den aktuelle organisasjonen. Fortrinnsvis bør den også kunne anvendes av andreorganisasjoner uten behov for tilpasning.

Enkelte oljeselskap benytter seg av hendelsesrapporteringssystemet Synergi som har ILCI-modellen (tapsårsaksmodellen) som underliggende modell. De mangelfulle styringselementenesom inngår i denne modellen er av typen "organisatoriske faktorer" og siden også lekkasjerrapporteres i Synergi iht. ILCI-modellen, så kunne ILCI-modellen vært et alternativ somorganisatorisk modell for lekkasjefrekvensen. En fordel med ILCI-modellen er at den er kjentblant en del av oljeselskapene og at lekkasjedata i Synergi kan understøtte vektingen av deorganisatoriske faktorene (ikke kun avhengig av ekspertvurderinger). En ulempe er at modellen ergenerell og dermed svært omfattende. Den dekker alle type hendelser, ikke bare lekkasjer. Mangeav elementene i modellen er derfor ikke relevante for lekkasjer. En annen ulempe er at de enkelteelementene i ILCI-modellen ikke er godt nok definert, noe som igjen fører til dårlig kvalitet pådataene (bl.a hvilke "mangelfulle styringselement" som er krysset av for i RUH’ene –Rapportering av Uønsket Hendelse). Det er dessuten mulig at enkelte element på samme nivå imodellen påvirker hverandre og ikke kun neste nivå.

Et (annet) alternativ er å benytte ILCI-modellen som utgangspunkt, men kun ta med de elementersom er relevante for lekkasjehendelser. I tillegg kunne ILCI-modellen vært omstrukturert der hvorman opplever at elementer/årsaksfaktorer for lekkasjer ikke ligger på eksakt de nivå iårsakskjeden som angitt i ILCI-modellen. Fordelene er som nevnt ovenfor, men én ulempe erfortsatt kvaliteten på dataene. Et annet problem er at definisjonen av hvert enkelt element kanvære unødig omfattende dersom vi kun anvender modellen for lekkasjehendelser.

Når det gjelder muligheten for å anvende generiske lekkasjedatakilder så har vi også sett på flereav disse, deriblant et omfattende arbeid utført av Hurst et al (1990). Vi vil komme nærmeretilbake til de generiske lekkasjedatakildene i kap. 4. En foreløpig konklusjon her er at ulempenmed disse er for det første nettopp det at de er generiske (og dermed har begrenset relevans for enspesifikk installasjon) og for det andre at de med få unntak ikke innbefatter organisatoriskeårsaksfaktorer. (Imidlertid skal det vise seg at de er med på å påvirke den endelige strukturen i denorganisatoriske modellen – lekkasjemodellen.)

Vårt valg når det gjelder etablering av en organisatorisk modell for lekkasjefrekvensen("lekkasjemodellen") er å etablere en spesifikk modell basert på årsaksanalyse vha. lekkasjedata,samt noe kunnskap om den spesifikke organisasjonen og generell organisasjonsteori.

31

3.3.2� Vurdering av måten å bedømme de organisatoriske faktorene på (rating)

Vi har stilt krav til at bedømmingen må skje uten at dette er alt for tids- og ressurskrevende fordidette skal skje forholdsvis hyppig. Det går imidlertid an å foreta en fortløpende registreringgjennom perioden/kvartalet, slik at når bedømmelsen av tilstand (ratingen) skal skje ved slutten avkvartalet, så er det denne "sluttbedømmelsen" som kan skje forholdsvis enkelt. Dette kreverimidlertid endel bruk av ressurser underveis knyttet til de ulike registreringene (og som ikkenødvendigvis foreligger per idag).

Vi ønsker derfor å benytte et fåtall indikatorer for å bedømme tilstanden til hver faktor. Dettekrever imidlertid at indikatorene har høy validitet, dvs. at de måler de aspekter av deorganisatoriske faktorene som vi ønsker å måle (de viktigste aspektene med hensyn til mulighetfor å forårsake/medvirke til lekkasjer). Vi ønsker ikke å anvende en "safety audit" typebedømming (slik som I-RISK anvender) fordi dette er for tids- og ressurskrevende for vårt formål.Men igjen, dette kan påvirke troverdigheten til bedømmingen og krever at indikatorene har høyvaliditet.

De verdiene som indikatorene måler (antall, andel, etc.) må i neste omgang omformes til entilstandsbedømming av de respektive organisatoriske faktorene. Vi må altså ha en forankret skalasom omformer indikatorverdier til tilstandsverdier (på en eller annen skala fra "dårlig" til "god").Ved at vi har forankret skalaen vil bedømmingen bli mer reliabel, dvs at ulike personer vil forsamme indikatorverdier gi den samme tilstandsverdi på faktorene. Dette vil altså ikke påvirkes avhvem som utfører bedømmingen. Også indikatorene i seg selv vil være reliable fordi de er basertpå fortløpende registreringer i løpet av et kvartal som ikke påvirkes av den som skal anvenderegistreringene (indikatorverdiene) i bedømmingen av faktortilstander. Selve forankringenrepresenterer imidlertid en utfordring, men denne kan fastsettes ut i fra "konsensus" ogdokumenteres, slik at den ikke avhenger av vurderingen til én enkelt person.

Svært mange av de såkalte "safety audit" metodene benytter spørsmål som underlag forbedømmelsen av hvordan en bedrift håndterer de ulike delene av sitt sikkerhetsstyringssystem. Inoen tilfeller blir disse spørsmålene betegnet som "indikatorer". Til og med enkle ja/nei-spørsmålbetegnes som indikatorer (f.eks i TRIPOD, ref. Reason, 1997). Vi ser imidlertid ikke på ja/nei-spørsmål som et godt alternativ i vårt tilfelle. Det vil være svært vanskelig å omforme ja/nei-spørsmål til tilstandsverdier på en troverdig måte. Det kan også stilles spørsmål ved validiteten avja/nei-spørsmål. Dessuten er ikke koplingen mellom disse "indikatorene" og sikkerheten annet ennen relativ betraktning av hvilke 3 faktorer som anses for å være dårligst håndtert ved sistebedømming/"måling" ved bruk av TRIPOD. Det sier ingenting om hvor mye bedre eller dårligeresikkerheten er ivaretatt siden forrige "måling".

Vi har videre et krav til at tilstandsbedømmingen må være forholdsvis "fin-gradert" slik at vi ogsåer i stand til å avdekke mindre endringer i tilstandene til faktorene. Dette må imidlertid veies oppmot muligheten for å skille mellom ulike tilstander på en troverdig måte. Videre vil et større antallmulige tilstander øke kompleksiteten i kvantifiseringen, bl.a i vektingen. I utgangspunktet ser vifor oss en 5-delt eller 10-delt inndeling av tilstandene til hver av faktorene.

Vårt foreløpige valg når det gjelder "ratingen" er at vi vil benytte et fåtall indikatorer (av typeantall, andel, etc.) med høy validitet for å bedømme tilstandene til de organisatoriske faktoreneforholdsvis fin-gradert (5 eller 10 tilstander per faktor) og hvor skalaen er forankret slik attilstandsbedømmelsen blir mest mulig reliabel.

32

3.3.3� Vurdering av alternative måter å bedømme effekten av faktorene på (vektingen)

Et alternativ vil være å benytte en "data-drevet" vekting, dvs. basere vektingen på data. Dette vil(normalt) øke troverdigheten til vektingen, spesielt blant "ikke-eksperter", sammenliknet med detandre hovedalternativet som er å benytte ekspertvurderinger.

Valg av alternativ påvirkes imidlertid også av hvorvidt man skal forsøke å ivareta samspills-effekter mellom de organisatoriske faktorene. Både en data-drevet vekting og en vekting basert påekspertvurderinger vil forsåvidt bli langt mer komplisert dersom samspillseffekter skal ivaretas.Samspillseffekter er knyttet til aggregeringen og noe som diskuteres i neste kapittel (kap. 3.3.4).Vi må derfor foregripe vurderingen noe. Vi vurderer samspillseffekter mellom organisatoriskefaktorer som svært sentralt og ønsker å ivareta dette i kvantifiseringen.

En data-drevet vekting som skal ivareta samspillseffekter blir lett komplisert selv for forholdsvisenkle modeller. Kompleksiteten styres av antall faktorer og antall tilstander per faktor. Enorganisatorisk modell av "moderat" kompleksitet vil kreve forholdsvis avansert statistisk analyse.Disse statistiske analysene vil måtte inkludere en del antakelser (basert på "ekspertvurderinger")samtidig som beregningene er lite transparente (blir lett type "black-box"), noe som igjen fører tilat man kan få problemer med å bedømme troverdigheten ved den data-drevne vektingen. Det eraltså ikke gitt at alle problemer vedrørende troverdighet løses gjennom å benytte data istedenforekspertvurderinger. Dessuten kreves det lekkasjedata hvor "alle" (eller iallefall de viktigste)medvirkende organisatoriske årsaksfaktorene er registrert for hver enkelt hendelse. Det er ikketilstrekkelig å ha kjennskap til antall ganger hver enkelt organisatorisk faktor har bidratt tillekkasjer totalt sett (slik de fleste generiske lekkasjedatakildene gjør).

Vekting basert på ekspertvurderinger hvor samspillseffekter skal ivaretas blir også langt merkomplisert enn om man ikke ivaretar samspillseffekter. Uten samspillseffekter kan man benytteenkle teknikker som PC (parvis sammenligning) og AHP (analytisk hierarkiprosess) slik som I-RISK og WPAM gjør, men med samspillseffekter og en "moderat" kompleks modell (mht. antallfaktorer og tilstander) vil det bli nærmest uoverkommelig å benytte seg av "direkte"ekspertvurderinger av alle kombinasjoner av tilstander. Et alternativ er å bedømme kun enkelte(forankrings-) kombinasjoner av tilstander, og så etablere "regler" for hvordan de øvrigetilstandskombinasjonene kan fastsettes ut i fra "forankrings-verdiene".

Et annet forhold som påvirker valget mellom en data-drevet vekting og vekting basert påekspertvurderinger er hvorvidt vektingen skal fastsettes "en gang for alle" eller om nye hendelserskal "få lov til" å påvirke vektene. Vi kan altså velge mellom en statisk modell og en dynamiskmodell. En dynamisk modell "lærer" av nye hendelser og justerer vektene etterhvert som nyinformasjon foreligger. I utgangspunktet hadde vi sett for oss en statisk modell som tilstrekkelig(avansert) til vårt formål, og den vil antakelig være tilstrekkelig korrekt gitt at det ikke skjer"dramatiske" endringer i årsakene til lekkasjer (f.eks større modifikasjoner som i stor grad fjerneren tidligere årsaksfaktor). En dynamisk modell vil være mer korrekt, men denne må oppdateresfortløpende og er derfor mer ressurskrevende. Ideelt sett kunne man tenkt seg at vi benyttet bådeekspertvurderinger og data. På denne måten ville vi benyttet oss av "all tilgjengelig informasjon",men det kan være ressurskrevende.

Vi velger foreløpig å basere vektingen på en form for kombinasjon av data og ekspertvurderinger,i det vi i hovedsak vil anvende en data-drevet vekting, men hvor en del antakelser/forankringer måfastsettes vha. ekspertvurderinger. I utgangspunktet velger vi også en statisk modell (vektenefastsatt "en gang for alle") men med mulighet for å endre dette til en dynamisk modell.

33

Ekspertvurderingene må fortrinnsvis skje på en strukturert måte, og anvende de som kan anses åvære "eksperter" ift. de vurderinger som skal gjøres.

3.3.4� Vurdering av alternative måter å aggregere effekten av faktorene på

Her er det 2 hovedalternativ. Det første og enkleste alternativet er å benytte en aggregering sominnebærer en summering av produktene av tilstanden til hver enkelt faktor (rating) og effekten/styrken til hver enkelt faktor (vekt). Dette alternativet ivaretar ikke samspillseffekter mellomfaktorene.

Det andre alternativet, som ivaretar samspillseffekter, innebærer en summering av alle produkteneav de felles sannsynlighetene til alle kombinasjonene av faktortilstander ("joint probabilities") ogvektene av alle kombinasjoner av faktortilstander (de betingede sannsynlighetene). Dettealternativet anses å være mye nærmere "virkeligheten" ved at enkelte organisatoriske faktorer harliten vekt alene, men stor betydning dersom de svikter i kombinasjon med andre faktorer (de"virker" gjennom andre faktorer). En slik kombinasjon inntreffer sjeldnere, men når den førstinntreffer er effekten (muligheten for å resultere i lekkasje) langt sterkere enn summen avenkelteffektene (dvs. "2+2=5"). Samtidig er dette alternativet langt mer krevende enn ved enuavhengig vurdering av faktorene.

Vi legger størst vekt på muligheten for å ivareta samspillseffekter, og velger derfor det sistnevntealternativet.

3.3.5� Vurdering og valg av modelleringsteknikk

I likhet med 3 av de 6 eksisterende rammeverkene velger vi å benytte influensdiagram (eller merkorrekt Bayesiansk nettverk - BN) som modelleringsteknikk. BN ivaretar de krav vi stiller tilmodellering og kvantifisering som er:

• Enkel å kommunisere med• Kan anvende probabilistiske sammenhenger (i tillegg til probabilistiske tilstander)• Kan benytte "ubegrenset" antall tilstander (ikke bare binære tilstander)• Håndterer samspillseffekter ved kvantifisering• Understøttes av programvare (flere aktuelle program)

En av styrkene ved BN som gjør at BN håndterer samspillseffekter er samtidig en av ulempene,og det er at for (absolutt) alle kombinasjoner av tilstander mellom alle faktorene som erinngangsnoder til samme foreldrenode må det angis betingede sannsynligheter (vekter). Dette blirlett omfattende selv ved "moderat" komplekse modeller. Vi velger altså allikevel å benytte BN.

3.3.6� Kopling til og tilpasning av risikomodellen samt rekvantifisering av risiko

Alt dette er gitt av det tidligere arbeid vi har utført i "indikator-prosjektet". Koplingen av denorganisatoriske modellen (lekkasjemodellen) til risikomodellen skjer gjennom lekkasjefrekvensensom er den viktigste parameteren mht. potensiell endring i risiko, samtidig som den ikke

34

kontrolleres gjennom tekniske risikoindikatorer. Tilpasningen av risikomodellen har skjeddgjennom å identifisere de risikopåvirkende forhold (parametre) i risikomodellen som har størstbetydning mht. potensiell endring i risiko, og som tilsammen dekker mesteparten av det totalerisikobildet (mht. relativ endring i risiko). Rekvantifiseringen av risiko innebærer for oss åfastsette relativ endring i lekkasjefrekvensen som følge av endringer i tilstandene til deorganisatoriske faktorene. Via risikomodellen kjenner vi sammenhengen mellom lekkasje-frekvensen og totalrisikoen, dermed er vi også i stand til å fastsette endringen i risiko når vikjenner endringen i lekkasjefrekvensen.

3.4�Syntese – ORIM

Basert på analysen av eksisterende rammeverk, våre krav til et rammeverk for kvantifisering avorganisatoriske faktorers effekt på risikoen, og vurderingen av alternative måter å håndtere hvertenkelt trinn/element av et slikt rammeverk på, kan vi nå sette sammen vårt nye rammeverktilpasset vårt behov (vår kontekst). Denne syntesen er illustrert i Figur 5.

Sosio-teknisksystem

Risikomodell Risiko

2

43 5

6

78

1

Organisatorisk modell/organisatoriske faktorer

Bedømming av tilstanden til faktorene ("rating")

Bedømming av effekten til faktorene ("vekting")

Aggregeringsmetode (algoritme)

Modelleringsteknikk

Kopling til risikomodellen

Tilpasning av risikomodellen

Rekvantifisering av risikoen

1

2

3

4

5

6

7

8

Spesifikk modell basert på årsaksanalyse

Fåtall indikatorer, 5-10 forankrede tilstander

Data-drevet vekting og ekspertvurdering

Håndtering av samspillseffekter iht. BN

Bayesiansk nettverk - BN

Viktigste parameter uten kontroll via tekn. ind.

Viktigste parametre mht. potensiell endring i risiko

Relativ endring i risiko

ORIM - Organisatorisk Risiko-Influens Modell

Figur 5 Vårt nye rammeverk - ORIM

Det nye rammeverket har vi betegnet Organisatorisk Risiko-Influens Modell (ORIM) og hvert avelementene i modellen vil bli håndtert som angitt i høyre kolonne i Figur 5. Disse er utdypet i kap.3.3 og gjentas derfor ikke her.

Element 1 vil bli nærmere beskrevet i kap. 4 og 5, element 2 beskrives i kap. 6, og de øvrigeelementene i kap. 7.

35

4� ORGANISATORISK MODELL

4.1�Alternative utgangspunkt (basis)

Den organisatoriske modellen kan etableres med basis i ulykkes-/hendelsesdata, generellorganisasjonsteori og/eller spesifikk kunnskap om den aktuelle organisasjonen. Alle deeksisterende rammeverkene, for kvantifisering av effekten av organisatoriske faktorer på risikoen,har basert sine organisatoriske modeller på en eller flere av disse utgangspunktene. Alternativt såanvender de en tidligere etablert organisatorisk modell som igjen baserer seg på de samme nevnteutgangspunktene. Dette er illustrert i Figur 6.

Ulykkes-/hendelsesdata(lekkasjerapporter)

Organisasjonsteori

Inngående kunnskap om/observasjon av en spesifikk

organisasjon

MACHINE(TRIPOD)

WPAM

SAMISM

O-FACTOR

Basis Modell

Figur 6 Utgangspunkt for etablering av organisatorisk modell

MACHINE og TRIPOD baserer seg i hovedsak på analyser av hendelser. (I vårt tilfelle vil detvære snakk om lekkasjerapporter, i og med at vi begrenser oss til lekkasjer som risikopåvirkendefaktor.)

WPAM baserte seg i første omgang på en eksisterende klassifisering (Jacobs & Haber, 1994), somigjen var basert på organisasjonsteori og i særdeleshet på Mintzberg (Mintzberg, 1979). Senerehar de som utvikler (videreutvikler) WPAM sett behov for å redusere antall organisatoriskefaktorer (som iht Jacobs & Haber's klassifisering består av 20 faktorer). Denne reduksjonen har debasert på analyse av et begrenset antall hendelser som er godt dokumentert/gransket (Weil &Apostolakis, 1999).

SAM, ISM og ω-FACTOR metodene baserer seg på både generell organisasjonsteori og spesifikkkunnskap om en gitt organisasjon. SAM betrakter som oftest en helt spesifikk organisasjon oggjerne bare en begrenset del av organisasjonen, mens ISM og ω-FACTOR betrakter en "typisk"organisasjon for en gitt industri.

Vi har som tidligere nevnt valgt å basere etableringen av den organisatoriske modellen først ogfremst på analyse av lekkasjedata, og dernest på spesifikk kunnskap om den aktuelleorganisasjonen (og hvor Statfjord A har vært benyttet som case) og på generell organisasjonsteori.Vi vil derfor også legge mest vekt på årsaksanalysen av hendelsesdata i den videre beskrivelsen.

36

Først vil vi imidlertid si litt om generell organisasjonsteori og observasjon av en spesifikkorganisasjon.

4.2�Organisasjonsteori

Vi har sett på den organisasjonsteori som de eksisterende organisatoriske faktormetodene henvisertil, og vi har også sett nærmere på organisasjonsteori mer generelt. Svært lite av den generelleorganisasjonsteorien behandler sikkerhet og risiko direkte. En god oversikt over organisasjons-teori og litteratur er presentert i boken "Images of Organization" av Gareth Morgan (1997). Deninneholder 1036 referanser hvorav kun 1 har ordet "safety" inkludert i tittelen, og kun 3inneholder ordet "risk" i tittelen.

I all hovedsak så anvendes organisasjonsteorien i sikkerhetssammenheng indirekte ved at manf.eks forsøker å etablere modeller basert på organisasjonsteori og deretter anvender/kopler dette tilsikkerhet/risiko selv. Et lite apropos til at man ønsker å "lære fra" organisasjonsteorien er at noeav det mest interessante med å lære fra organisasjonsteori er å lære hvor mye lærdomorganisasjonsteorien har hentet fra andre disipliner (f.eks kybernetikk, biologi, etc). Man anvenderandre disipliner som metaforer/analogier.

Det er ikke nødvendigvis slik at man bygger opp en hel modell basert på organisasjonsteori, detkan også være at man ønsker å underbygge spesielle sider ved den metodikk man har utviklet.F.eks så har WPAM i utgangspunktet valgt en eksisterende klassifisering av organisatoriskefaktorer, men samtidig så er "arbeidsprosesser" et sentralt element i WPAM (på et lavere nivå). Atde nettopp legger så stor vekt på arbeidsprosesser begrunner de igjen ut i fra organisasjonsteori,hvor de henviser til Galbraith (1973) og Mintzberg (1979). Her fremgår det at standardisering avarbeidsprosesser er én av fem hovedmetoder for å koordinere arbeidet.

I den seneste utviklingen av SAM (Murphy & Paté-Cornell, 1996) så forsøker man å modelleresammenhengen mellom organisasjonen og menneskelige handlinger og beslutninger vha modellerfra organisasjonsteori (selve organisasjonsmodellen etableres basert på inngående observasjon aven spesifikk organisasjon). Disse modellene baserer seg på beslutningsprosesser og valg ut fra etperspektiv på mennesket som en rasjonelt kalkulerende aktør, og er utviklet av bl.a Simon (1957),March & Simon (1958), Cyert & March (1963) og March (1988). De omhandler egentlig ikkeorganisatorisk adferd direkte. De kan imidlertid benyttes sett fra et organisatorisk perspektiv til åsi noe om hvordan ledelsen mest effektivt påvirker sine ansatte gitt at de oppfører seg (reagerer) ihenhold til en bestemt modell under bestemte forhold. Dersom f.eks en person oppfører seg"rasjonelt", så er det bestemte organisatoriske faktorer som vil være mest hensiktsmessig åanvende for å påvirke denne personens adferd (i ledelsens ønskede retning). Dersom en annen"adferdsmodell"/beslutningsmodell passer bedre, så kan det være andre organisatoriske faktorersom er mer hensiktsmessig å anvende. Disse adferdsmodellene anvendes i SAM til å modellere"sikkerhetskritiske" handlinger og beslutninger.

I noen få tilfeller (eksempelvis ISM) har man forsøkt å etablere en organisasjonsmodell basert påorganisasjonsteori, men da har man gjerne ikke samtidig forsøkt å anvende seg av analyse avhendelsesdata (man har kanskje ikke tenkt å gjennomføre en kvantifisering). Modeller og datahenger nøye sammen, og dersom man vil basere seg på årsaksanalyser med utgangspunkt ihendelsesdata så ligger det alltid en eller annen modell i bunn for dataene. Denne vil ha sterkinnvirkning på utformingen av dataene. Så også i vårt tilfelle. For lekkasjedata vil det alltid væreen eller annen modell eller klassifisering som er benyttet, og det kan være vanskelig å definere enny modell først for deretter å innpasse "gamle" data i denne. Vi har ønsket å benytte data til

37

kvantifiseringen og har derfor tatt utgangspunkt i lekkasjedatakilder, noe som har ført til at vi iliten grad har lagt generell organisasjonsteori til grunn for den organisatoriske modellen.

4.3�Observasjon av organisasjonen

Inngående kunnskap om den spesifikke organisasjonen som den organisatoriske modellen skaltilpasses vil være svært nyttig som basis for etablering av modellen. Dette er spesielt nyttigdersom det er en avgrenset del av organisasjonen som observeres. Etablering av en spesifikkorganisatorisk modell basert på "lengre tids" observasjon av den aktuelle organisasjonen ersentralt i SAM metoden. Også Galbraith (1973) fremhever betydningen av å kunne avdekke deuformelle sidene av en organisasjon gjennom å oppholde seg i organisasjonen (Galbraith selvbygger sine studier på et lengre opphold i Boing selskapet).

Også i vårt tilfelle hadde det vært ønskelig med "et lengre tids" inngrep med organisasjonen, mendette har i hovedsak begrenset seg til annenhånds analyse av lekkasjehendelser, ved en ukesopphold på Statfjord A. Den organisatoriske modellen er derfor i størst grad påvirket avårsaksanalysene av lekkasjehendelser, og i mindre grad av observasjon av organisasjonen.

En lengre observasjonsperiode kunne imidlertid gitt supplerende kunnskap, og det er viktig å ha"lokal kunnskap" for å forstå den organisatoriske konteksten.

4.4�Generell modellstruktur

Selv om en gjennomgang av andre rammeverk for håndtering av organisatoriske faktorers effektpå risiko, samt gjennomgang av generell organisasjonsteori (og forsåvidt også observasjon av enspesifikk organisasjon) ikke direkte har resultert i en organisatorisk modell for vårt formål, så hardet resultert i innspill til (foreløpig) modellstruktur4. Spesielt de eksisterende rammeverkene harpåvirket utformingen av en generell modellstruktur. Denne er vist i Figur 7.

Vi ønsker å knytte modellen til lekkasjer som risikopåvirkende faktor (dvs parameterenlekkasjefrekvens i risikomodellen), fordi vi ikke har en egnet direkte risikoindikator for dennefaktoren/parameteren. Vi ser videre for oss at koplingen skjer gjennom et antall nivå (som ikkenødvendigvis behøver å være eksakt som illustrert i figuren), som kan avdekkes gjennomårsaksanalysene. I prinsippet skal vi da kunne måle endringer i bakenforliggende organisatoriskeårsaksforhold som en "erstatning" for at vi ikke kan anvende antall observerte lekkasjer direktesom indikator.

En første "arbeidsmodell" (forsøksmodell) ble etablert basert på denne modellstrukturen oganvendelse av lekkasjedata-analyser utført av Hurst et al. (1990). Denne inneholder de 4 nivåenesom illustrert i modellstrukturen, men begrenset seg kun til de viktigste (mest rapporterte)årsakene. Denne modellen er vist i neste kapittel, hvor den anvendes som underlag for å forsøke åfremskaffe data basert på offshore lekkasjer. Hurst et al.'s arbeid rettet seg mot landbasertprosessindustri og er dessuten 10-15 år gammelt.

4 NB. Dette er kun en foreløpig struktur, som vi senere har endret noe! (Bl.a gjelder dette levetidsnivået.)

38

RisikomodellFysisk system Risiko

Feilmodenivå

Direkte årsaknivå

Levetidsfasenivå

Organisatoriskfaktor nivå

Års

aksk

jede

Risikopåvirkende faktorer - RPF'er

Organisatoriske risikoindikatorer

Direkte risikoindikatorer

Figur 7 Modellstruktur

4.5�Årsaksanalyser av granskede hendelser

Med "forsøksmodellen" som underlag gjorde vi et forsøk på å årsaksanalysere lekkasjehendelsersom var forholdsvis grundig beskrevet/gransket. Vi baserte oss på selve granskingsrapporten utenå betrakte det format for dataregistrering som var benyttet. Vi forsøkte på sett og vis å betrakte"rådataene".

Som en begynnelse tok vi utgangspunkt i 3 granskede lekkasjehendelser og analyserte disse medbruk av STEP5 (ikke vist her). Resultatet er illustrert i Figur 8.

Supervision

Procedures

Training

Design

LeakFO

LeakFF

LeakVO

Blind_flange_open

Flange_failure

Valve_open

LeakVFValve_failure

Operator_perf

Maint_perf

Leakage�

�

Figur 8 Analyse av granskede hendelser

5 STEP – Sequentially Timed Events Plotting (hendelsesgranskingsmetode).

39

Oppå "forsøksmodellen" har vi illustrert hvor langt bak i årsakskjeden det var mulig å kommebasert på granskningsrapportene til 2 av hendelsene. (Den tredje passet ikke inn i modellen i dethele tatt.)

I den første hendelsen var det kun mulig å komme til direkte årsak med antydning om at feilenskyldtes enten design eller vedlikehold. I den andre hendelsen var det påvist at feilen ble gjort ivedlikehold, men videre var det kun "spekulasjoner" om at feilen kunne skyldes mangler ved bl.aopplæring og prosedyrer.

Det var altså ikke mulig å komme bak til organisatoriske årsaksfaktorer gjennom en analyse avhendelser selv om disse var behandlet såvidt grundig at det var utarbeidet granskningsrapporter.Når dette i tillegg er svært arbeidskrevende, så innså vi at denne type annenhånds årsaksanalyserikke var veien å gå. Vi valgte istedet å se nærmere på andre lekkasjedatakilder enn Hurst et al.'sarbeid.

4.6�Datakilder for lekkasjedata

Datakilder for lekkasjedata er det mange av, både førstehånds og annenhånds. De lekkasje-datakildene vi har sett nærmere på er angitt i Tabell 3.

Tabell 3 Oversikt over lekkasjedatakilder m/ årsakskategorisering

'DWDNLOGHU�IRU�OHNNDVMHGDWD

cUVDNVNDWHJRULVHULQJ

Kilder Rotårsak Bakenforl. årsak Direkte årsak Blandet Komm.OF, PM Fase/grov Op.modus Utstyr Komp. Feilmode Feilmek.

OREDA X X X Også kritikalitet

HC LIP (E&P Forum) X Ingen lekk.- 97

HSE X X (X)OLF-rapport X X X (X) (X) Også fareklasse

Spuns Tett (Statoil) (X) (X) (X) XHSE Technica X X X (Onshore)

Granum & Masdal (HSE mod.) X X X Korr. UES/insp.

Synergi (G&M vurd.) Lite om lekkasjer

WOAD Ikke lekkasjer

UES (Bakken & Jacobsen) (X) (X)Insp.database (UES, Passport) X u/reg. (X) XSynergi (SF/SFA) X (X) (X) (X)Bento-rapport X Rotårsak i 2 nivå

Tabellen illustrerer også hvor stor variasjon det er i årsakskategorisering mellom de ulikelekkasjedatakildene, og selv innenfor hver kategori benyttes ulike klassifiseringer. Paranteser itabellen viser at en klassifisering ikke er "fullstendig", men at det kan være gjort et forenkletforsøk på å dekke denne årsakskategorien.

Det kanskje viktigste av alt for oss, i og med at vi ønsket å etablere en organisatorisk modellbasert på lekkasjedata, var hvorvidt lekkasjene var årsaksanalysert langt nok bak i årsakskjeden.Dette illustreres i tabellen av hvor langt til venstre tabellen er skyggelagt. Vi ser da at det er noksåbegrenset med hvor mange lekkasjedatakilder som sier noe om "rotårsaker" av typenorganisatoriske faktorer (OF). (Andre tilsvarende betegnelser er "preventive mekanismer" (PM)og "manglende styring" (MS).)

Samtidig som vi ønsket å bruke datakildene som utgangspunkt for etablering av en modell, såville vi også benytte dataene i kvantifiseringen. Dersom datagrunnlaget er tilstrekkelig stort så

40

foretrekker vi spesifikke data fremfor generiske data. Spesifikke data har bedre relevans ogtroverdighet for en spesifikk installasjon.

Lekkasjedata som både går langt nok bakover i årsakskjeden og samtidig spesifikke for StatfjordA begrenser seg til Spuns Tett og Synergi. Spuns Tett analyserte 59 lekkasjer fra perioden 1991-93 for Statfjord A, men stoppet på direkte årsaker (foruten en prosentvis fordeling av direkte ogegentlige årsaker). For å avdekke "manglende styring" var det kun 4 granskede hendelser som bleanalysert.

Det viktigste for oss var å kunne avdekke de bakenforliggende organisatoriske årsaksfaktorene.Hvorvidt én og samme datakilde dekker alle nivåene i årsakskjeden er mindre viktig. Ulikedatakilder kan benyttes for de ulike nivåene (for etablering av klassifisering). Etter å ha studertalle lekkasjedatakildene og deres klassifiseringer har vi foretatt justeringer i nivåene jfr. Figur 7og Figur 8. Feilmode er lite brukt (samtidig som vi kan betrakte ekstern lekkasje som enfeilmode). Istedet anvender endel av kildene feilmekanismer (som korrosjon, erosjon, etc.), men"vanlig" rapportering av lekkasjehendelser går sjelden inn på feilmekanismene. Vi har derfor valgtå starte med komponent eller utstyr som lekker. Her finnes en rekke ulike klassifiseringer både påutstyr og på komponenter, samt en blanding av disse.

For det nivået vi har betegnet som bakenforliggende årsaker i Tabell 3, så benyttes det både typeoperasjonsmodus-klassifisering og mer type levetidsfase-klassifisering. Rotårsakene dekker somtidligere nevnt de organisatoriske årsaksfaktorene som vi er mest interessert i å avdekke.

I tillegg til at vi har tatt vekk nivået med feilmoder, så har vi også sett behov for å korrigerelevetidsfasenivået, fordi vi har hovedfokus på én bestemt fase som er driftsfasen. Tidligere fasersom designfasen vil dermed kunne påvirke driftsfasen og ikke befinne seg på samme nivå. Designer derfor flyttet til de faktorer som er styrende for driftsfasen, mens vi for "driftsfase-nivået"skiller mellom hovedfunksjoner eller kategorier av såkalt "front-linje" personell. En illustrasjon avden korrigerte strukturen er vist i Figur 9.

Hva(svikter/ lekker)

Hvem(utførende)

Hvem(styrende)

Lekkasje

Parameter/feilmodeFront-linje personellAnsvarlig/tilretteleggendepersonell

Komponent/utstyr

Hendelse

$QDO\VH�UHWQLQJ

Figur 9 Korrigert modellstruktur

Påvirkningen går fra venstre mot høyre, men analyseretningen er som ved ulykkesgranskinger frahøyre mot venstre. Det er også denne analyseretningen som anvendes ved nyere forskninginnenfor organisatoriske faktorers påvirkning på sikkerheten/risikoen. Tidligere – og særlig vedetablering av sikkerhetsindikatorer – benyttet man seg av motsatt analyseretning. (Se forøvrig kap.5.5.6 i litteraturstudierapporten, Øien & Sklet, 1999c).

Første trinn består av de komponenter eller det utstyr hvor lekkasjer kan oppstå. Andre trinnbestår av det front-linje personell som kan forårsake (evt. ikke forhindre) at lekkasjer ikomponenter og utstyr inntreffer. Tredje, og for oss viktigste, nivå er de organisatoriske forhold/

41

faktorer som utgjør "tilretteleggingen" for at front-linje personellet skal kunne utføre detnødvendige arbeid på en korrekt og sikker måte slik at lekkasjer ikke oppstår. Dennetilretteleggingen er det "ledelsen" som er ansvarlig for.

4.7�Kvalitativ lekkasjemodell (generell)

Hvilken klassifisering/modellering vi har anvendt for de ulike trinnene er angitt i Figur 10.

Hva(svikter/ lekker)

Hvem(utførende)

Hvem(styrende)

Lekkasje

Parameter/feilmodeFront-linje personellAnsvarlig/tilretteleggendepersonell

Komponent/utstyr

Hendelse

$QDO\VH�UHWQLQJ

$NWXHOW�OHNNDVMH�SXQNW�XWVW\U�LKW��2/)�

'H�GLVLSOLQHU�VRPIRUnUVDNHU�OHNNDVMHU�³KRYHGIXQNVMRQHU´�

%DVHUW�Sn�nUVDNV�DQDO\VHU�PHG�EDVLVL�58+¶HU��6\QHUJL�

Figur 10 Klassifisering av de enkelte nivå i lekkasjemodellen

For det utstyr som kan lekke har vi benyttet en klassifisering som ligger nært opp til denklassifisering som OLF (Oljeindustriens Landsforening) benytter i sine 3-årlige lekkasjerapporter(Petcon, 1999). Vi benytter fem kategorier. Disse er:

• Ventiler• Flenser og rørskjøter• Rør• Instrument og instrumentrør• Annet

Front-linje personellet har vi først delt inn i de disipliner som har vist seg å forårsake lekkasjerunder drift på Statfjord A. Deretter har vi samlet disiplinene i "hovedfunksjoner" for operasjon aven installasjon som Statfjord A, og som er viktig mht. prosesslekkasjer. Disse hovedfunksjonene(og tilhørende disipliner) er:

• Drift (driftsoperatører/prosessteknikere)• Brønnoperasjon (brønnoperatører)• Korrigerende vedlikehold (mekanikere, TEA6 (tele, elektro og automasjon), V&M7)• Forebyggende vedlikehold (mekanikere, TEA, V&M, driftsoperatører/prosessteknikere)

6 For TEA er det primært instrumentteknikere som er involvert i prosesslekkasjer.7 For V&M (vedlikehold og modifikasjon) er det primært mekanikere som er involvert i prosesslekkasjer.

42

For vedlikehold har vi valgt å skille mellom korrigerende vedlikehold (KV) og forebyggendevedlikehold (FV)8, fordi det ofte er helt forskjellige årsaksforklaringer til hvorvidt lekkasjer haroppstått under korrigerende vedlikehold eller som følge av mangelfullt forebyggende vedlikehold.

Når det gjelder det bakerste nivået i modellen, de organisatoriske faktorene, så har vi allerede settat det er få lekkasjedatakilder som dekker dette, samt at et forsøk på å analysere seg frem til dettebasert på granskningsrapporter ikke fører frem. Som illustrert i Figur 10, så vil vi basereklassifiseringen på årsaksanalyser av RUH'er spesifikk for Statfjordfeltet/StatfjordA.

I og med at vi har valgt å basere etableringen av lekkasjemodellen på årsaksanalyser, så erRUH’ene et naturlig utgangspunkt, og vi blir "nødt" til å forholde oss til den modellrapporteringssystemet bygger på, nemlig ILCI-modellen. Samtidig som det er en styrke (også foross) at man gjennom Synergi er "tvunget" til å ta stilling til bakenforliggende årsaksfaktorer, så erdet samtidig et potensielt problem for oss at vi dermed er "tvunget" til å forholde oss til enunderliggende modell. Hvorvidt det faktisk er et problem avhenger av flere forhold, bl.a.:

1. Om modellen er godt egnet for lekkasjehendelser2. Om årsaksfaktorene er godt definert (bl.a at de ikke påvirker hverandre på samme nivå)3. Om avkryssingen er "korrekt" og godt kvalitetssikret

Vi har tidligere (i kap. 3.3.1) sett at vi har et faktisk problem i forhold til Synergi/ILCI. Detteskyldes bl.a at ILCI-modellen ikke er laget spesielt for lekkasjehendelser. Den er tvertimot sværtgenerell. Årsaksfaktorene er generelt sett (og de bakenforliggende årsaksforholdene i særdeleshet)lite presist definert, noe som også bidrar til at avkryssingen ikke blir "tilfredsstillende" (iallefallikke til vår bruk).

På bakgrunn av dette har vi valgt å etablere en klassifisering av de organisatoriske faktorene somdelvis baserer seg på avkryssingen av de 2 siste nivåene i ILCI-modellen, samtidig som vi harkvalitetssikret avkryssingen ("reanalysert" hendelsene) i RUH’ene. Dette er bl.a gjort gjennombefaringer og diskusjoner med personell ombord på Statfjord A. Vi har også benyttet enplattformsjef fra Gullfaks A til å hjelpe til med tolkingen av hendelsene. Vi har derfor basertårsaksanalysen vår på et antall tidligere hendelser og det granskingsarbeid som forelå for disse,men samtidig kvalitetssikret den delen av granskingen som har omhandlet de organisatoriskefaktorene. Vi har i disse analysene også basert oss på de tiltak som er foreslått gjennomført etterhendelsene, fordi tiltakene også er relatert til hva som har vært årsakene.

Årsaksanalysen med basis i hendelser fra Statfjordfeltet og Gullfaksfeltet resulterte i et foreløpigutkast til lekkasjemodell. Utkastet er senere modifisert noe basert på uttesting. Utviklingen avmodellen har skjedd i flere trinn, og vi anser det som lite hensiktsmessig å referere de ulikeversjonene som har foreligget før den endelige versjonen.

Når det gjelder betegnelsene vi benytter for de organisatoriske faktorene så har vi bevisst valgt åbenytte vår egen avgrensede definisjon/fortolkning av de ulike faktorene. Disse er derfor ikkeoverensstemmende med ILCI-elementene, men de er fortsatt noe "farget" av ILCI-betegnelsene.

Årsaksanalysen viste at de organisatoriske faktorene som er sentrale ifm. lekkasjehendelser er:

• Individfaktor (oppmerksomhet/konsentrasjon)• Opplæring/kompetanse

8 Begrepene 'Forebyggende Vedlikehold' og 'Preventive Maintenance' og de tilhørende forkortelsene FV og PMbrukes om hverandre i denne rapporten.

43

• Prosedyrer, SJA, retningslinjer, instrukser• Planlegging, koordinering, organisering, kontroll• Design• PM-program/inspeksjon

Modellen blir da som vist i Figur 11.

LekkasjeFlens/

rørskjøt

Rør

Ventil

Annet

Instrument/instr.rør

Korr.vedl.(mod.)

Drift

Opplæring/kompetanse

Prosedyrer,SJA, retn.linjer,

instrukser

Planl., koord.,org., kontroll

Design

PM-program/inspeksjon

Brønn-operasjoner

Forebyggendevedlikehold

Individfaktor(oppm./kons.)

Hva(svikter/lekker)

Hvem(utførende)

Hvem(styrende)

Front-linje personell/hovedfunksjoner

Lekkasje

Komponent/utstyr Parameter/feilmode

Hendelse

Ansvarlig/tilretteleggendepersonell

Figur 11 Etablering av lekkasjemodell

Med "individfaktor" mener vi feilhandlinger av type "enkel tabbe". Feilen (tabben) skyldes ikkemangelfull opplæring, forståelse eller jobbeskrivelser (prosedyrer, instrukser, etc.). Dennefaktoren er litt "diffus" og vi har valgt å stiple den av flere grunner. For det første kan det værevanskelig å avgjøre om det er gjort en glipp/tabbe av f.eks en operatør/prosesstekniker eller omdet er "gode grunner for dette", dvs andre årsaksforklaringer. For det andre så inneholder denne etutall av varianter som det er svært vanskelig å avdekke (uoppmerksom, ukonsentrert, umotivert,etc.), og det er dermed også vanskelig både å måle samt forebygge. Grunnen til at den allikevel ertatt med skyldes en fundamental misoppfatning av ILCI-modellen som årsaks-modell.

Dersom det er begått en tabbe som følge av f.eks konsentrasjonssvikt/forglemmelse, så blir detgalt å si at årsaken til tabben var f.eks mangelfull kontroll av arbeidsleder. Det er ikkearbeidsleder som har forårsaket tabben, men han kunne derimot ha forhindret at tabben "fikk lovtil" å resultere i en lekkasje dersom han hadde sørget for at arbeidet ble kontrollert. I dette tilfellet,og i svært mange andre tilfeller er ikke de organisatoriske faktorene å betrakte som årsaker, menheller som barrierer. "Tabber" vil alltid komme til å inntreffe, men det kan ikke aksepteres at en

44

enkelt tabbe skal resultere i en alvorlig hendelse som en gasslekkasje. I noen tilfeller vil derfor"individ-faktoren" være eneste "virkelige" årsak til tabben, mens det kan være flere barrierer somhar sviktet. Det ser imidlertid litt merkelig ut dersom det kun angis sviktende barrierer som årsaktil hendelsen. Vi vil derfor benytte "individfaktoren" som en "knagg" til å henge tabber på, men vivil ikke trekke med oss denne faktoren i kvantifiseringen.9

De øvrige 5 faktorene har vi skilt i 2 "grupper". De 3 øverste er sidestilt, mens de 2 nederstebetraktes å ligge på et annet nivå. Dette kan lettest illustreres ut i fra Figur 12.

Korr.vedl.(mod.)

Drift

Opplæring/kompetanse

Prosedyrer,SJA, retn.linjer,

instrukser

Planl., koord.,org., kontroll

Design

PM-program/inspeksjon

Brønn-operasjoner

Forebyggendevedlikehold

Individfaktor(oppm./kons.)

Arbeids-ledelse

Hvem(utførende)

Hvem(styrende)

PLS

Rapp. oganalyse avlekkasjer

Driftsstøtte land

- Teknisk ansvar- PM ansvar

OS-SFA

Anmodn.

DVT

(Kjernegrupper)

PD-SF

Plattformledelse

(HMS)

Vurd. av taps-foreb. arbeid

Figur 12 De organisatoriske faktorene påvirkes av ulike nivå i organisasjonen

De 3 øverste faktorene ("opplæring/kompetanse", "prosedyrer, SJA, retningslinjer, instrukser", og"planlegging, koordinering, organisering, kontroll") er faktorer som plattformledelsen generelt ogarbeidslederne (driftsleder, mekanisk leder, brønnleder, strukturleder, etc.) i særdeleshet haransvaret for. De 2 nederste faktorene ("design" og "PM-program/inspeksjon") er i større grad styrtfra landorganisasjonen. I Figur 11 (og Figur 12) er derfor de 2 nederste faktorene forskjøvet noeift. de 3 øverste.

Med "opplæring/kompetanse" mener vi den opplæring som er nødvendig for at det utførendepersonell skal kunne gjøre jobben sin uten å forårsake lekkasjer (altså ikke opplæring i sinalminnelighet). Med bakgrunn i de lekkasjehendelsene som har inntruffet og hvor mangelfullopplæring/kompetanse har vært medvirkende årsak, så vil dette ofte dreie seg om

9 Dette har ikke konsekvenser for kvantifiseringen fordi slik vi betrakter denne faktoren så vil det alltid være minst énannen faktor som også må ha sviktet. Det går selvsagt an å følge utviklingen av denne faktoren ved en direkteregistrering av antall gang denne har medvirket til lekkasjer (datagrunnlaget er imidlertid nokså lite).

45

systemforståelse, kunnskap om det utstyr (de system) man har ansvaret for å operere/vedlikeholde. Dette er spesifikk kunnskap som i stor grad må gis på arbeidsstedet av arbeidslederog/eller arbeidskollegaer eller opparbeides i form av erfaring. Et hovedansvar for at tilstrekkeligopplæring blir gitt er det arbeidsleder som har.

Med "prosedyrer, SJA, retningslinjer, instrukser" mener vi all skriftlig (og evt. muntlig)informasjon som beskriver hvordan jobben skal utføres på en korrekt og sikker måte. For enkonkret jobb vil det variere hvorvidt det eksisterer spesifikke prosedyrer, om det må utføres enSJA (med eller uten prosedyrer for deler av jobben), om det kun er gitt generelle retningslinjer,eller om det er gitt instrukser. Også her har vi hovedfokus på den jobbinformasjon som skalforhindre at lekkasjer kan oppstå.

Med "planlegging, koordinering, organisering, kontroll" mener vi den 'tilrettelegging' somarbeidsledere/planleggere har ansvar for å påse blir ivaretatt slik at lekkasjer unngås. Det er ikkegitt at arbeidsleder selv skal foreta kontrollen, men han har ansvaret for å "planleggeinn"/"organisere for" kontroll. Det kan planlegges for bruk av sjekklister/egenkontroll og/ellerjobben kan organiseres slik at 2 kollegaer utfører jobben sammen (og dermed kontrollererhverandre). Kontrollaspektet av denne faktoren er spesielt viktig som barrierefunksjon, fordi deter det eneste forholdet som i tid kommer etter (feil-) utførelsen, og dermed kan rette opp en feil.

Med "design" mener vi den fysiske utformingen/sammenstillingen av utstyr (prosess- og annetutstyr). "Dårlig" design kan være medvirkende årsak til at lekkasjer inntreffer. I utgangspunktetskal en installasjon være designet for å oppnå den ønskede pålitelighet ("reliability"),driftsdyktighet ("operability") og vedlikeholdsvennlighet ("maintainability"). Det betyr at PM-program, driftsprosedyrer og vedlikeholdsprosedyrer må være tilpasset den eksisterendedesignløsningen. Men, det er ikke alle designsvakheter som avdekkes før en installasjon settes idrift, og dersom et tiltak (etter en lekkasjehendelse) går ut på å endre design (utføre enmodifikasjon), så betrakter vi dette som at designet har vært "dårlig" og er medvirkende årsak tilhendelsen. Dette tyder på for dårlige analyser i designfasen, for dårlig uttesting før idriftsettelseog/eller "uheldige" modifikasjoner gjort etter idriftsettelse. Spesielt kritikkverdig vil gjentakendelekkasjehendelser som skyldes samme design-svakhet være.

Med "PM-program/inspeksjon" mener vi programmene (aktiviteter og intervaller) for alt planlagtvedlikehold (inkl. inspeksjon) som utføres for å forhindre at feil (som igjen kan resultere ilekkasje) skal inntreffe. Mange lekkasjer skyldes at ventiler og flenser "bare begynner å lekke"pga. bl.a dårlige pakninger fordi det ikke foretas noe PM, dvs de får gå til de feiler/lekker.

4.8�Bruken av lekkasjemodellen

Det vi ønsker at lekkasjemodellen skal gi svar på er:

1. Hvilke organisatoriske faktorer påvirker lekkasjefrekvensen (de viktigste faktorene)?2. Hvordan påvirker de lekkasjefrekvensen (de viktigste sammenhengene)?3. Hvor mye påvirker de lekkasjefrekvensen (kvantitativt)?

Dette representerte utgangspunktet for etableringen av lekkasjemodellen. Når nå den kvalitativelekkasjemodellen foreligger så gir den svar på de 2 første spørsmålene ovenfor, men det gjenstårennå å gi svar på hvor mye de organisatoriske faktorene påvirker lekkasjefrekvensen kvantitativt.Det er dette vi nå ønsker at lekkasjemodellen skal hjelpe oss til å gi svar på.

46

Mer konkret så ønsker vi svar på hvor mye en endring i tilstanden til de organisatoriske faktorenepåvirker/endrer lekkasjefrekvensen og derigjennom risikoen. Lekkasjemodellen ("denorganisatoriske modellen") utgjør kun 1. trinn i rammeverket jfr. Tabell 4 nedenfor.

Tabell 4 De 8 trinnene/elementene i rammeverket

Organisatorisk modell/organisatoriske faktorer

Bedømming av tilstanden til faktorene ("rating")

Bedømming av effekten til faktorene ("vekting")

Aggregeringsmetode (algoritme)

Modelleringsteknikk

Kopling til risikomodellen

Tilpasning av risikomodellen

Rekvantifisering av risikoen

1

2

3

4

5

6

7

8

Spesifikk modell basert på årsaksanalyse

Fåtall indikatorer, 5-10 forankrede tilstander

Data-drevet vekting og ekspertvurdering

Håndtering av samspillseffekter iht. BN

Bayesiansk nettverk - BN

Viktigste parameter uten kontroll via tekn. ind.

Viktigste parametre mht. potensiell endring i risiko

Relativ endring i risiko

ORIM - Organisatorisk Risiko-Influens Modell

De neste trinnene i rammeverket har med kvantifiseringen å gjøre. Trinn 6-8 omhandler koplingenav den organisatoriske modellen til risikomodellen via lekkasjefrekvensen. (Dette er beskrevet ikap. 3.2 i pilotstudie-rapporten (Øien & Sklet, 2001b)).

Trinn 5 har med valg av modelleringsteknikk å gjøre. I kap. 3.3.5 argumenterte vi for valg avBayesiansk nettverk som modelleringsteknikk. Figur 11 er eksempelvis laget som et Bayesiansknettverk. Den kvalitative lekkasjemodellen er imidlertid ikke et "egentlig" Bayesiansk nettverk førman inkluderer kvantifiseringen.

For å kunne kvantifisere effekten av endringer i de organisatoriske faktorene må vi først være istand til å måle endringen i tilstandene til faktorene (trinn 2). Dette skal skje med bruk avindikatorer. Dernest må vi vite effekten/styrken av en gitt endring i faktortilstander pålekkasjefrekvensen (trinn 3). Til slutt trenger vi "en regel" for hvordan vi skal aggregere effektenav samtidig endring i tilstand til flere organisatoriske faktorer (trinn 4).

Som vi skal komme tilbake til i kap. 7, så vil den kvalitative lekkasjemodellen forenkles noe før vibenytter den i kvantifiseringen. Dvs. at den kvantitative lekkasjemodellen er en forenklet versjonav den kvalitative modellen. Den kvalitative modellen danner utgangspunktet for den kvantitativemodellen, men når vi først går i gang med selve kvantifiseringen så kan vi oppfattelekkasjemodellen som en "død" modell (en statisk modell), og vi trenger strengt tatt ikke benytteden noe mere (annet enn at den altså ligger til grunn for kvantifiseringen).

Vi kunne valgt å basere trinn 3 ("vekte-prosessen") på rene ekspertvurderinger, men vi ønskerogså å forsøke å anvende "data" til vektingen. Til denne data-drevne vektingen så trenger vi åanvende den kvalitative lekkasjemodellen, og det har vi gjort for 92 lekkasjehendelser påStatfjordfeltet (perioden 1997-99). Ved å se på hvilke kombinasjoner av organisatoriske faktorersom har medvirket til de 92 lekkasjehendelsene kan vi (via statistiske analyser) si noe om"styrken" (vekten) til hver av de organisatoriske faktorene og kombinasjoner av disse. Det er altsåkun for trinn 3 (vektingen) at vi har et behov for den kvalitative lekkasjemodellen, og vi fastsettervektene "en gang for alle".

Det er også mulig å anvende den kvantitative modellen som en dynamisk modell, hvor vi lar nyelekkasjehendelser som inntreffer få lov til å påvirke de vektene som ble fastsatt i utgangspunktet.Vektene endres dermed etterhvert som vi får inn ny informasjon, og til dette behøver vi også den

47

kvalitative modellen! Hver ny lekkasjehendelse må årsaksanalyseres med bruk av den kvalitativelekkasjemodellen. Hvilke organisatoriske faktorer som avdekkes å ha medvirket til lekkasjen vilda påvirke/endre vektene. Dette vil komplisere kvantifiseringen noe, men vil over tid være merkorrekt.

Det å analysere enkelthendelser vha. lekkasjemodellen kvalitativt trenger vi altså til:

A. Databasert vektingB. Fortløpende oppdatering av vektene (dynamisk modell)

(For punkt A kunne vi som nevnt klart oss med ekspertvurderinger, og dermed ikke behøvd åanvende den kvalitative modellen, og for punkt B kunne vi valgt å benytte en statisk modell, ogheller ikke da behøvd å anvende den kvalitative modellen.)

Den kvalitative lekkasjemodellen kan også benyttes som et hjelpemiddel under førstegangsutfylling av en RUH for en lekkasjehendelse. Vedkommende ansvarlige arbeidsleder,sikkerhetsleder eller plattformsjef kan før møtet hvor RUH’en gjennomgås første gang ha skisserthendelsen ved bruk av lekkasjemodellen. Dette vil sikkerhetsleder i neste omgang kunne ha somunderlag ved avkryssingen av ILCI-elementene for "mangelfull styring". En slik anvendelse avlekkasjemodellen vil oppfylle punkt B ovenfor, men vil også kunne ses på som en anvendelse heltseparat fra en eventuell kvantifisering. Lekkasjemodellen kan på denne måten betraktes som etdelresultat i seg selv helt uavhengig av om man går videre med en kvantifisering eller ikke.

4.9�Tilpasning/generalisering

Den kvalitative lekkasjemodellen antas å kunne være anvendelig også for andre installasjoner ennStatfjord A. Alternativt kan den benyttes som et utgangspunkt og tilpasses dersom det erårsaksfaktorer som viser seg å være annerledes for andre installasjoner.

48

49

5� ORGANISATORISKE FAKTORER

5.1�Beskrivelse av organisatoriske faktorer

De organisatoriske faktorene er beskrevet i foregående kapittel. I Figur 13 er dette kort gjengitt.

Opplæring/kompetanse

Prosedyrer,SJA, retn.linjer,

instrukser

Planl., koord.,org., kontroll

Design

PM-program/inspeksjon

Individfaktor(oppm./kons.)

Individfaktoren er en "knagg" til å henge "tabber" på (når det er gjort en åpenbar tabbe,og er egentlig ikke en "ordentlig" organisatorisk faktor).

Med "opplæring/kompetanse" mener vi den opplæring som er nødvendig for at detutførende personell skal kunne gjøre jobben sin uten å forårsake lekkasjer.

Med "prosedyrer, SJA, retningslinjer, instrukser" mener vi all skriftlig (og evt. muntlig)informasjon som beskriver hvordan jobben skal utføres på en korrekt og sikker måte.

Med "planlegging, koordinering, organisering, kontroll" mener vi den 'tilrettelegging' somarbeidsledere/planleggere har ansvar for å påse blir ivaretatt slik at lekkasjer unngås.Kontroll-aspektet er spesielt viktig som barriere-funksjon (gjenopprettelse av feil).

Med "design" mener vi den fysiske utformingen/sammenstillingen av utstyr (prosess- ogannet utstyr). Designet må være slik at anlegget kan drives og vedlikeholdes uten atlekkasjer oppstår.

Med "PM-program/inspeksjon" mener vi programmene (aktiviteter og intervaller) for altplanlagt vedlikehold (inkl. inspeksjon) som utføres for å forhindre at feil (som igjen kanresultere i lekkasjer) skal inntreffe.

Figur 13 Organisatoriske faktorer anvendt i lekkasjemodellen

5.2�Sammenlikning med ILCI-modellen

Etableringen av de organisatoriske faktorene i lekkasjemodellen baserte seg på RUH'er som igjenrapporteres iht. ILCI-modellen. Dette påvirket naturlig nok til en viss grad utvelgelse ogdefinering av organisatoriske faktorer.

I Figur 14 har vi gjort et forsøk på å sammenlikne den generelle ILCI-modellen med denkvalitative lekkasjemodellen, som i motsetning til ILCI er avgrenset til kun å dekkelekkasjehendelser.

50

6\QHUJL������

Mangelfull styring Egentlige årsaker Direkte årsaker

Uønskethendelse

RessurstapFarlige handlinger

Farlige forhold

Personfaktorer

Jobbfaktorer

1. ...

21. ...

*HQHUHOW�

+\GURNDUERQ

OHNNDVMHU�

�%UDQQ��RJ�HNVSO�IDUH�

�)HLO�PDQJHOIXOO�XWI¡UHOVH

XQGHU�GULIW�YHGOLNHKROG�

+\GURNDUERQOHNNDVMH

3RW��WDS�DY�PHQQHVNHOLY

Lekkasje

Ventil

Flens

�

�

Komponent

Vedlikehold

DriftJobbfaktorY

PersonfaktorXMangelfullstyringAX

MangelfullstyringBY

Mangelfullstyring C

Mangelfullstyring D

Mangelfullstyring E

Personlig handlingOrganisatorisk faktorParameter(feilmode)

Direkterelevans

Indir./ingenrelevans

Figur 14 Sammenlikning mellom ILCI-modellen og lekkasjemodellen

Øverste halvdel av figuren angir strukturen til ILCI-modellen, mens nederste halvdel illustrererlekkasjemodellen relatert til ILCI-modellen. Hvis vi starter fra høyre så dekker ILCI-modellenulike ressurstap, mens det eneste ressurstapet vi fokuserer på er tap av menneskeliv. Av uønskedehendelser ser vi utelukkende på hydrokarbonlekkasjer, og vi kan si at det er her vår modell starter.Lekkasjefrekvensen er den parameteren vi tar utgangspunkt i.

Neste nivå i lekkasjemodellen er komponenter/utstyr som har hatt lekkasje. Dette nivået basererseg som tidligere nevnt på en klassifisering noenlunde iht. OLFs klassifisering. Dette inngår ikke iILCI-modellen, men kan finnes andre steder i en RUH.

Etter komponentnivået følger hvem som har utført en feil handling eller beslutning som så harresultert i en lekkasje. Hvilket "front-linje" personell er det som har begått feilhandlingen(driftspersonell, vedlikeholdspersonell, brønnoperatører, etc.)? Heller ikke dette inngår i ILCI-modellen, og også her må vi finne opplysninger andre steder i en RUH.

Det midterste nivået i ILCI-modellen (direkte årsaker) har vi ikke benyttet i lekkasjemodellen idet hele tatt. En av grunnene til dette er at det er svært lite informasjon (feil informasjon) når detgjelder angivelse av direkte årsaker knyttet til lekkasjer. Farlige forhold er oftest angitt å være"brann- eller eksplosjonsfare", noe som umulig kan betraktes som årsak til en gasslekkasje. Forfarlige handlinger er det ofte ikke angitt noe som helst.

De to siste nivåene i ILCI-modellen (egentlige årsaker og mangelfull styring) har en stor grad avoverlapp (og kan i en del tilfeller slås sammen), samt at det er et begrenset antall av elementenesom er relevante når vi utelukkende betrakter lekkasjehendelser. Vi betegner dette nivået for

51

"organisatoriske faktorer" og vi har begrenset oss i lekkasjemodellen til de organisatoriskefaktorene som det er mulig å knytte konkrete lekkasjehendelser til.

Noen av elementene i ILCI-modellen (illustrert nede til venstre i figuren) kan nok ha en indirekteeffekt på lekkasjefrekvensen, men er vanskelig å knytte til konkrete hendelser. Noen elementer erdessuten åpenbart irrelevante som årsak til en lekkasje (f.eks beredskap).

Dersom vi sammenlikner den kvalitative lekkasjemodellen med ILCI-modellen så er det ikke såmye som sammenfaller. Det er kun en del av elementene i de 2 bakerste nivåene i ILCI-modellensom sammenfaller med de organisatoriske faktorene i lekkasjemodellen. I Figur 15 har vi illustrertdette noe mer detaljert.

3HUVRQIDNWRUHU

P1. Mangl. kjennskap/respekt for prosedyrerP2. SJA ble ikke utarbeidet/fulgtP3. Manglende kunnskap/opplæringP4. Manglende ferdighetP5. Manglende erfaringP6. Fysisk/psykisk stressP7. Manglende fysisk/psykisk evne til oppg.P8. Manglende motivasjon/uoppmerks.P9. Andre personfaktorer

-REEIDNWRUHU

J1. Uklare, mangelfulle prosedyrer/instr.J2. Uklare ansvarsforholdJ3. Mangelfull arb.ledelse/planlegging/veil.J4. Manglende overlapp ved skiftavløsningJ5. Uhensiktsmessig design/konstruksjonJ6. Mangelfullt vedlikeholdJ7. Uhensiktsmessig verktøy/utstyrJ8. Uhensiktsmessig innkjøpJ9. Andre jobb-faktorer

0DQJHOIXOO�VW\ULQJ

M1. Ledelse og administrasjonM2. LederopplæringM3. Inspeksjon og vedlikeholdM4. Analyse av kritiske arbeidsoppg. & prosedyrerM5. Rapp. og undersøkelser av ulykker og tilløpM6. Observasjon av arbeidsutførelseM7. BeredskapM8. Sikkerhetsregler og arbeidstillatelserM9. Analyse av ulykker og tilløpM10. MedarbeideropplæringM11. Personlig verneutstyrM12. Helsevern, yrkeshygiene og arbeidsmiljøM13. Vurdering av det tapsforebyggende arbeidetM14. Styring med tekniske endringerM15. Personlig kommunikasjonM16. Sikkerhetsmøter (gruppekommunikasjon)M17. MotivasjonstiltakM18. Ansettelse og omplasseringM19. Kontroll med varer og tjenesterM20. Sikkerhet i fritidenM21. Ikke kontrollerbare, ytre faktorer

M17, M18,P6, (P7), P8

M10, M15,P3, P4, P5

M4, M8, P1,P2, J1

M6, M16, J2,J3, J4

M14, J5

M3, J6

M19, J8

M5

M9

Arb.led.

M2

M1

M13

Ikke relevante element: M7, M11,M12, (M17), (M18), M20, M21

Indirekte element:M1, M2, M5, M9, M13, (M19)

�2UJDQLVDWRULVNH�IDNWRUHU�

(JHQWOLJH�nUVDNHU

Figur 15 Lekkasjemodellens faktorer sammenliknet med "beslektede" ILCI-element

Med litt fantasi så kan vi gjenfinne lekkasjemodellens organisatoriske faktorer i den strekpunkt-stiplede boksen med skyggelagte ovaler. De skyggelagte ovalene er de organisatoriske faktorene ilekkasjemodellen ("opplæring/kompetanse" øverst og "PM-program/inspeksjon" nederst).

Resten av figuren viser hvor de "beslektede" ILCI-elementene eventuelt vil gjenfinnes blantlekkasjemodellens organisatoriske faktorer. ("Eventuelt" fordi vi har en langt mer avgrensetdefinisjon av hver enkelt faktor ved at den er spesifikt knyttet til lekkasjepåvirkning.)

Pilene fra "jobbfaktor"/"personfaktor" og til "mangelfull styring" illustrerer hvor vi mener disse istor grad sammenfaller. Videre er det vist med piler hvor de ulike ILCI-elementene "hørerhjemme" i lekkasjemodellens organisatoriske faktorer.

Helt til venstre i figuren har vi indikert hvilke ILCI-elementer som vi anser for å være for"diffuse"/"perifere" til at de kan knyttes til konkrete lekkasjehendelser (men at de indirektepåvirker de organisatoriske faktorene som er inkludert i lekkasjemodellen). Disse har vi betegnetsom "indirekte element". Midt under figuren er det dessuten angitt en del element som har litenrelevans for lekkasjer.

52

5.3�Avgrensning – "påvisbar" kopling til hendelser

De organisatoriske faktorene som er valgt ut er de som har vist seg å medvirke til lekkasjer. Vi harogså valgt å begrense faktorene til de viktigste. De faktorene som er valgt ut medvirker minimumtil én lekkasje per år (basert på en analyse av de 20 lekkasjehendelsene som fant sted på StatfjordA i perioden 1997-99). Organisatoriske faktorer som har medvirket til lekkasje, men ikke er valgtut, er slike som har medvirket til lekkasje kun 1 gang i løpet av 3-årsperioden.

Nå kan det tenkes at det er forhold/faktorer som ivaretas godt idag og som derfor ikke harmedvirket til lekkasjer, men som over tid kan vise seg å bli viktig. Dersom vi bruker "utvelgelses-kriteriet" ovenfor så kan vi som en tommelfingerregel si at dersom samme organisatoriskeårsaksfaktor, som per idag ikke er inkludert i lekkasjemodellen, skulle vise seg å medvirke tillekkasjer mer enn 1 gang per år, så bør denne inkluderes som en faktor i lekkasjemodellen. Det erikke gitt at lekkasjemodellen slik den nå er bør forbli slik "for evig og alltid", men samtidig såtyder den uttesting vi har foretatt med denne modellen på at den er nokså dekkende. (Likeledeskan det tenkes at organisatoriske faktorer som etterhvert blir godt ivaretatt og svært sjeldenmedvirker til lekkasjer bør tas ut av modellen. Det må fortrinnsvis da være faktorer hvor man harinnarbeidet gode rutiner, og hvor redusert fokus ikke resulterer i en forverring igjen. Skulle detskje må man igjen ta faktoren inn i modellen.)

Vi har altså konsentrert oss om den type organisatoriske faktorer hvor vi uten alt for storeressurser klarer å knytte disse til konkrete hendelser. Hadde vi brukt ressurser tilsvarende det LordCullen brukte på granskingen av Piper Alpha så er det selvsagt mulig å knytte mer "diffuse"/"perifere" organisatoriske faktorer til en konkret hendelse. Slike ressurser har vi ikke (de blir kunlagt på bordet "den dagen det er for sent") og vi fanger dermed heller ikke opp påvirkningen disse"perifere" organisatoriske faktorene har på lekkasjefrekvensen direkte. Men vi er av denoppfatning at disse organisatoriske faktorene (f.eks "ledelsesengasjement", "sikkerhets-målsetting", etc.) ikke virker direkte på lekkasjefrekvensen, men at de virker gjennom deorganisatoriske faktorene som er inkludert i lekkasjemodellen. I såfall fanger vi opp effekten avdem indirekte.

53

6� ORGANISATORISKE RISIKOINDIKATORER

6.1�Risiko- vs sikkerhetsindikatorer

Det er et virvar av begreper som anvendes i tilknytning til indikatorer, og vi bruker selv en del avdisse. Vi vil ikke forsøke å rydde i begrepsforvirringen, men kun fokusere på ett for oss viktigskille når det gjelder typer av indikatorer, og det er skillet mellom risikoindikatorer og sikkerhets-indikatorer. Vi avgrenser oss også til storulykker (dvs vi ser bort fra mål av typen LTI o.l.).

En sikkerhetsindikator er for oss en indikator som måler på "noe" som for det første enten er etdirekte mål på sikkerheten (som f.eks antall døde) eller et indirekte mål på sikkerheten (som f.eksantall hendelser) hvor det for det siste kun er antatt å være en sammenheng mellom hendelsene ogsikkerheten. Dernest måler man på faktisk tap, eventuelt at man benytter et indirekte mål uten atdette relateres til tap (man bruker f.eks antall hendelser direkte som mål).

Et direkte mål på sikkerheten (som f.eks antall drepte i veitrafikken per år) er det kun i noensammenhenger man kan benytte fordi ulykkene/tapene er sjeldne hendelser, og man blir tvungettil å gå vekk fra såkalte "resultat-mål" (direkte mål) til indirekte mål, også kalt "prosess-mål".Problemet med disse er at de ikke måler tap, hverken faktiske eller mulige10, men kun "nesten-tap" som antas å ha en sammenheng med sikkerheten.

Vår definisjon av en risikoindikator er:

En risikoindikator er "en målbar/operasjonell variabel som kan benyttes til å beskrive tilstanden tilet risikopåvirkende forhold (som er knyttet til risikoen gjennom en risikomodell)".

Det betyr at vi uansett hvor langt bak i retning "prosess" eller bakenforliggende forhold vi går, kanmåle mulighet for tap (dvs risiko), så lenge vi har en modell som forteller oss hvordansammenhengen er mellom hendelser og risikoen. Dette gjelder også for organisatoriske faktorer.

En og samme variabel kan benyttes som enten sikkerhets- eller risikoindikator (f.eks antalllekkasjer), men som sikkerhetsindikator kan man ikke knytte variabelen til tap, måleverdien påvariabelen blir det endelige "målet på sikkerhet". Man kan bruke det til å se på trend, men ikke tilå si hvor kritisk det er for sikkerheten. Hva betyr det for sikkerheten at vi i siste halvår har hatt 5lekkasjer? Hva med de 9 ventilfeilene? osv.

Som risikoindikator vil variabelen gjennom en risikomodell være knyttet til "mulighet for tap"(dvs risikoen), og kan derfor uttrykkes som forventet tap, ikke kun som en måleverdi påvariabelen.

Lekkasjer som eksempel på indikator er som vi har sett i dette prosjektet imidlertid dårlig egnetbåde som sikkerhetsindikator og risikoindikator fordi lekkasjene etter hvert har blitt såvidt sjeldneat datagrunnlaget blir lite og påvirkes av "tilfeldigheter".

10 Et unntak her er at man i noen tilfeller forsøker å vurdere "potensialet" i hendelsen gjennom en enkel risikomatrise.Dette representerer imidlertid en ytterst grov forenkling ift. en "komplett" risikomodell.

54

Dette er hvordan vi definerer sikkerhets- og risikoindikatorer, men det betyr ikke at risiko-indikatorer kan benyttes istedetfor sikkerhetsindikatorer i alle sammenhenger. Det vil være mangetilfeller hvor vi ikke har modeller for sammenhengene mellom hendelser/forhold og risiko.

6.2�Hensikt – risikokontroll

De organisatoriske risikoindikatorene benytter vi som et hjelpemiddel for å kunne si noe omhvordan lekkasjefrekvensen utvikler seg, både hvorvidt den øker eller avtar, og hvor mye deneventuelt øker/avtar. Dermed kan vi også si noe om hvordan risikonivået utvikler seg, dvslekkasjefrekvensens bidrag til risikoendring.

Utviklingen av lekkasjefrekvensen (og dermed også risikoen) fastsettes av både tilstanden til deorganisatoriske årsaksfaktorene og den effekt/påvirkning disse har på lekkasjefrekvensen. Det erimidlertid kun det første forholdet (dvs. tilstanden til de organisatoriske faktorene) som vianvender risikoindikatorer for å bedømme.

De organisatoriske risikoindikatorene benytter vi altså som et redskap for tilstandsbedømming avde organisatoriske faktorene. Denne tilstandsbedømmingen skal skje regelmessig (kvartalsvis) ogbør fortrinnsvis være lagt slik til rette at selve målingen ikke tar for mye tid og ressurser. Vi harderfor basert oss på observasjoner/registreringer, og ikke intervju, spørreskjema, etc.

Samtidig er det viktig at indikatorene er troverdige og "valide", dvs at de faktisk måler de aspekterav den tilhørende faktoren som har vist seg å være medvirkende årsaker til lekkasjer. De bør væretroverdige/valide hver for seg, og i sum bør de kunne dekke "alle" de viktigste aspektene til dentilhørende organisatoriske faktoren.

6.3�Begrensninger – måleproblemet

I hvilken grad en organisatorisk faktor faktisk er målbar betegnes som "måleproblemet". Dettekan illustreres med en enkel figur.

Teoretiskvariabel

Operasjonellvariabel

(indikator)

Teoretisk definisjon av enorganisatorisk faktor

Målbar definisjon av enorganisatorisk variabel

Figur 16 Generell målemodell

En organisatorisk faktor (f.eks opplæring/kompetanse) er i utgangspunktet en teoretisk variabel.Vi har en formening om hva den er, men vi vet ikke nødvendigvis hvordan vi skal måle den. Ogfor å kunne måle den må vi gjøre den operasjonell, vi må gi den en spesifikk målbar definisjon.Denne eller disse operasjonelle variablene utgjør indikatorene. De utgjør ikke faktoren i seg selv,de er kun en målbar representasjon (en indikasjon) av faktoren (Hellevik, 1999).

Det å gjøre en teoretisk variabel operasjonell betyr å gi en "instruksjon" for hvordan man skal gåfrem for å måle den teoretisk definerte variabelen (Grenness, 1997). Denne transformasjonen av

55

en teoretisk variabel til en operasjonell variabel er både kontroversiell og en mulig kilde for feil. Inoen tilfeller kan det stilles spørsmål ved om det i det hele tatt er mulig å finne adekvate mål.

6.4�Statfjord A-spesifikke organisatoriske risikoindikatorer

Vi er først og fremst interessert i å "måle" de aspekter av de organisatoriske faktorene som har vistseg å ha innvirkning på lekkasjehendelsene. Én grunn til dette er selvsagt at det er enklere åavdekke hva som har gått galt, enn å vite hva som har fungert slik det skal og dermed ikke bidratttil lekkasjer. Dette innebærer imidlertid at det over tid kan "dukke opp" andre faktorer og/ellerandre aspekter av de allerede inkluderte faktorene som medvirker til lekkasjer. Vi fokusererimidlertid kun på de faktorer/aspekter som "per dato" utgjør "hovedproblemene".

Dette innebærer også at de organisatoriske risikoindikatorene for Statfjord A er "spesifikke" forStatfjord A i den forstand at de dekker Statfjord A’s nåværende "hovedproblemer" hva angårlekkasjer. De er derfor på sett og vis "skreddersydd" for Statfjord A og ikke uten videre anvendbarfor andre installasjoner.

Tabell 5 viser en opplisting av de foreslåtte organisatoriske risikoindikatorene for Statfjord A.Forslagene er utarbeidet i samarbeid med en plattformsjef fra Gullfaks A, men representerer kunforslag. Det er tilfeldig hvor mange forslag vi har kommet fram til per faktor.

Tabell 5 Organisatoriske risikoindikatorer

Organisatoriske faktorer Organisatoriske risikoindikatorerORI11 Andel prosessteknikere med formell systemopplæringORI12 Gjennomsnittlig antall områder prosessteknikerne har opplæring iORI13 Andel instrumentteknikere med kurs i rørkopling/ventilerORI14 Andel mekanikere med kurs i flenstrekkingORI15 Andel mekanikere med pakningskursORI16 Gjennomsnittlig antall år erfaring på denne installasjonenORI17 Gjennomsnittlig antall år erfaring totalt

OF1 Opplæring/kompetanse

ORI18 Andel av relevant personell som har deltatt i faglig utviklingORI21 Andel av relevant personell med formell opplæring i SJAORI22 Andel av relevant personell som har gjennomført SJA siste årORI23 Antall SJA gjennomført siste kvartal på installasjonen

OF2Prosedyrer, SJA,retningslinjer, instrukser

ORI24 Hyppighet av kontroll med utarbeidelse/bruk av SJAORI31 Andel kritiske jobber utført med kontroll

OF3Planlegging, koordinering,organisering, kontroll ORI32 Andel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet)

OF4 Design ORI41 Antall designrelaterte lekkasjer og tilløp til lekkasjerORI51 Mengde inspeksjon av lekkasjepunkt-utstyr

OF5 PM-program/inspeksjonORI52 Mengde korrigerende vedlikehold av lekkasjepunkt-utstyr

For en detaljert beskrivelse av risikoindikatorene, se pilotstudierapporten (Øien & Sklet, 2001b).

6.5�Generelle forslag til organisatoriske indikatorer

I forbindelse med vurderingen av risikoindikatorer for Statfjord A har også en del muligeindikatorer vært foreslått men ikke valgt ut. Det kan være at noen av disse vurderes som bedreegnet for andre selskap/installasjoner. Vi har her etablert en liste over både de indikatorene somble foreslått for Statfjord A, men også de som ikke ble valgt ut. Vi har begrenset oss til deindikatorene som kan knyttes til de 5 aktuelle organisatoriske faktorene i lekkasjemodellen.

56

Denne listen, som er vist i Tabell 6, kan også være til hjelp for å "generere" ideer til andre muligeindikatorer.

Tabell 6 Forslag til mulige organisatoriske risikoindikatorer

Organisatorisk faktor Mulige organisatoriske risikoindikatorer KildehenvisningAndel prosessteknikere med formell systemopplæring Spuns-TettGjennomsnittlig antall områder pros.teknikerne har opplæring iIndikator-prosjektetAndel instrumentteknikere med kurs i rørkopling/ventiler Spuns-TettAndel mekanikere med kurs i flenstrekking Spuns-TettAndel mekanikere med pakningskurs Indikator-prosjektetGjennomsnittlig antall år erfaring på denne installasjonen NUREG/CR-5241Gjennomsnittlig antall år erfaring totalt NUREG/CR-5241

OF1Opplæring/kompetanse

Andel av relevant personell som har deltatt i faglig utvikling Indikator-prosjektetAndel av relevant personell med formell opplæring i SJA Spuns-TettAndel av relevant personell som har gjennomført SJA siste år Spuns-TettAntall SJA gjennomført siste kvartal på installasjonen Indikator-prosjektetHyppighet av kontroll med utarbeidelse/bruk av SJA Spuns-TettBacklog mht. oppdatering av teknisk dokumentasjon NUREG/CR 5241Antall detekterte avvik mellom tekn. dok. og faktiske forhold SMORT (1.3)Andel avvik fra prosedyrer ift. ant. kontroller av at pros. følges Indikator-prosjektetAntall revisjoner av prosedyrer siste kvartal Indikator-prosjektet

OF2

Prosedyrer,SJA,retningslinjer,instrukser

Antall avvik fra tekniske spesifikasjoner NKS/SIK-1Andel kritiske jobber utført med kontroll Indikator-prosjektetAndel inn- og utskrivinger av arbeidsordre i felt (på arb.stedet) Indikator-prosjektetAntall sikkerhetsklareringer for arbeid på hydrokarbonf. utstyr Indikator-prosjektetAntall av alle typer sikkerhetsklareringer Indikator-prosjektetAndel kontraktører ift. eget personell NUREG/CR-5241Backlog av sikkerhetsforhold NUREG/CR-5241Mengde overtid (per funksjonsområde) NUREG/CR-5241Antall i vedlikehold med driftskompetanse NUREG/CR-3737Antall arbeidsledere NUREG/CR-3737Relativ andel arbeidsledere NUREG/CR-3737Antall AO med utsatt oppstart i påvente av pågående AO SMORT (1.6)Andel overtid for vedlikeholdspersonell ift. total tid medgått NKS/SIK-1

OF3

Planlegging,koordinering,organisering,kontroll

Antall utestående sikkerhetsproblemer NKS/SIK-1Antall designrelaterte lekkasjer og tilløp til lekkasjer Indikator-prosjektetBacklog på anmodninger om designendringer NUREG/CR-5241Backlog av tegningsoppdateringer NUREG/CR-5241Antall gjentakende feil NUREG/CR-3737Antall midlertidige modifikasjoner/endringer av design NKS/SIK-1Andel repeterende feilmoder på likt utstyr ift. total antall feil NKS/SIK-1

OF4 Design

Antall "fellesfeil" på sikkerhetskritisk utstyr NKS/SIK-1Mengde inspeksjon av lekkasjepunkt-utstyr Indikator-prosjektetMengde korrigerende vedlikehold av lekkasjepunkt-utstyr Indikator-prosjektetTotalt utestående vedlikehold (backlog) på lekkasjepunkt-utstyr NUREG/CR-5241Antall vedlikeholdsrelaterte hendelser NUREG/CR-5241Antall utilsiktede sikkerhetssystem-aktiveringer pga test/vedl.hold NUREG/CR-5436Forebyggende vedlikehold ift. korrigerende vedlikehold (FV/KV) SMORT (3.2)Foreldete preventive vedlikeholdsoppgaver NKS/SIK-1Andel feil oppdaget ved inspeksjon/testing ift. total antall feil NKS/SIK-1Andel feil ved test etter vedlikehold ift. totalt antall tester utført NKS/SIK-1

OF5PM-program/inspeksjon

Antall feil funnet ifm. inspeksjon NKS/SIK-1Spuns-Tett: Lekkasjeårsaksprosjekt utført av Statoil i 1994; Indikator-prosjektet: Dette prosjektet; NUREG/CR:Nuclear Regulatory Commission/Consultancy Report (dvs. konsulentrapport utarbeidet på oppdrag av kjernekraft-myndighetene i USA); SMORT: Sikkerhetsanalyse av industriell organisasjon (sikkerhetsrevisjons- ogulykkesgranskingsmetode); NKS/SIK: Nordisk Kjernekraft Sikkerhet/Forskningsprogram innen reaktorsikkerhet(SIK).

57

7� KVANTIFISERINGSMETODIKK

Kvantifiseringsmetodikken ("prosessen") vil grovt sett bestå av følgende trinn:

1. Etablere kvantitativ modell (kap. 7.1)2. Bedømme tilstanden til de organisatoriske faktorene (ratingen), (kap. 7.2)3. Bedømme effekten/påvirkningen av de organisatoriske faktorene (vektingen), (kap.7.3)4. Beregne den aggregerte effekten på lekkasjefrekvensen (kap. 7.4)5. Beregne effekten på risikoen (kap. 7.5)6. Diskutere resultatet (inkl. følsomhet av antagelser), (kap. 7.6)

Disse trinnene vil måtte gjennomføres i prinsippet på samme måte uansett installasjon. Vi velgerderfor å forklare metodikken konkretisert vha Statfjord A som case. (Det er vanskelig å formidleog forstå kvantifiseringsmetodikken dersom den skal gjøres helt generell.)

Etter at hvert av trinnene er forklart og eksemplifisert vha Statfjord A caset, så diskuterer vigeneralisering ut i fra hva som eventuelt kan bli annerledes for andre installasjoner (kap. 7.7).

Før vi går i gang med de enkelte trinnene i kvantifiseringsmetodikken må vi imidlertid si noen ordom hva det er vi skal kvantifisere.

Det vi ønsker å kvantifisere er hvordan lekkasjefrekvensen11 (som er en parameter irisikomodellen) utvikler seg fra kvartal til kvartal, noe som igjen gjør at vi kan si noe om hvordanrisikoen utvikler seg fra kvartal til kvartal (relativ endring).

I risikoanalysen bruker vi gjennomsnittlig antall observerte lekkasjer over en tidsperiode somestimat for lekkasjefrekvensen, og det er forsåvidt endring i denne vi er interessert i. Men,lekkasjefrekvensen er en variabel som vi ikke kjenner verdien til. Vi har informasjon om lekkasjersom gjør at vi kan "ha en tro om" hva denne verdien er. Hvis vi f.eks betrakter de 20 lekkasjene påStatfjord A over en 12 kvartals-periode, så er et vanlig estimat av lekkasjefrekvensen 20/12 dvs.1.7 lekkasjer per kvartal. Dette er et estimat for den gjennomsnittlige "sanne" lekkasjefrekvensen(over 12 kvartals-perioden), som vi så kunne benyttet i risikoanalysen.

Men, selv med såvidt mange lekkasjer over såvidt lang periode, så er det likevel bare 95% sikkertat vi har hatt en gjennomsnittlig lekkasjefrekvens på et sted mellom ca. 1.0 og ca. 2.6. Verdien 1.7er bare et estimat, den "sanne" gjennomsnittlige lekkasjefrekvensen kan være et eller annet stedmellom 1.0 og 2.6 ("mest" sannsynlig). Dessuten vil lekkasjefrekvensen variere over tid.

Hvis vi snur det hele "på hodet" og vi antar at vi kjenner den sanne lekkasjefrekvensen, hva skalvi da forvente å observere? Hva er det sannsynlige antallet lekkasjer? Vel, det er mange ulikeantall (f.eks 0 eller 1 eller 2 eller 3, osv.) som alle har forholdsvis stor sannsynlighet for åinntreffe. Det er derfor nokså "tilfeldig" hva vi faktisk observerer. Vi kan derfor heller ikke trekkealt for "bastante" slutninger om hva den sanne lekkasjefrekvensen er, basert på at vi f.eks i forrigekvartal observerte 2 lekkasjer. Dette antallet kunne vi observert med svært så mange ulike "sanne"lekkasjefrekvenser.

11 Noen vil foretrekke å benytte begrepet rate el. lekkasjerate, mens lekkasjefrekvens for mange relateres til noe somer et observert antall per tidsenhet (og som kan sammenfalle med forventningsverdien). Grunnen til at vi allikevelvelger å bruke begrepet lekkasjefrekvens er at lekkasjerate også benyttes om 'utstrømmet mengde' målt i kg/s.

58

Vi velger istedet å legge mer vekt på hvordan de forhold som påvirker lekkasjefrekvensen endrerseg, dvs de organisatoriske årsaksfaktorene, enn på de faktisk observerte lekkasjene.Lekkasjefrekvensen påvirkes av hvor god "tilstanden" til de organisatoriske faktorene er, dvs.hvor godt organisasjonen ivaretar disse. Når disse endrer seg så vil også lekkasjefrekvensen endreseg.

Når "sann" lekkasjefrekvens endrer seg over tid (kvartal til kvartal) kan den også oppfattes som envariabel. I prinsippet er den en kontinuerlig variabel (kan anta alle mulige verdier innenfor etnaturlig intervall på tallinjen). Vi kommer imidlertid til å forenkle dette noe ved å betraktelekkasjefrekvensen som en diskret variabel med 5 verdier. Vi velger 5 ulike områder som er: 0-0.2, 0.2-2, 2-4, 4-6 og 6-8 [lekkasjer/kvartal]. (Over 8 vil vi ikke komme i forventningsverdi, noevi skal se senere.) Selv om vi opererer med 5 intervall for lekkasjefrekvensen, så vil det være uliksannsynlighet for hvilket intervall den befinner seg i, og denne sannsynligheten skal summere segtil 1. Vi vil derfor allikevel kunne få forventningsverdier som er "kontinuerlige", f.eks 1.67. Det erdenne forventningsverdien vi nå oppfatter som den "sanne" verdien.

I kvantifiseringen har vi dessuten gjort den "forenkling" eller tilpasning at vi gir hvert diskreteområde én gitt verdi, som er hhv. 0.1, 1, 3, 5 og 7. Alle verdier innenfor et slikt intervall anses likesannsynlige og vi bruker midtpunktet som "verdi". Disse 5 verdiene kaller vi forlekkasjefrekvensens "tilstander". Vi kan betrakte tilstanden som "god" dersom lekkasjefrekvensener "lav", eksempelvis tilstandsverdi 0.1, og "dårlig" dersom lekkasjefrekvensen er "høy",eksempelvis tilstandsverdi 7.

Noe som kan virke litt forvirrende er at vi også har nummerert tilstandene fortløpende fra 1 til 5,hvor f.eks tilstand 1 da har tilstandsverdi 0.1, mens tilstand 2 har tilstandsverdi 1 (lekkasje perkvartal), osv.

Det vi kommer til å beskrive i dette kapittelet er hvordan vi kan anslå en ny forventningsverdi for(sann) lekkasjefrekvens for hvert kvartal basert på informasjon om tilstandene til deorganisatoriske faktorene og det observerte antall lekkasjer i kvartalet. Ut fra estimert "basisverdi"("dagens verdi") for sann lekkasjefrekvens kan vi finne ut hvor mye den har endret seg, og ut fradette kan vi finne hvor mye risikoen har endret seg (basert på følsomhetsanalyser med bruk avrisikoanalysen). Tilstanden til de organisatoriske faktorene "måler" vi vha indikatorer ogpåvirkningen finner vi vha data-analyse eller ekspertvurdering.

Beskrivelsen må nødvendigvis inneholde en del "tallbehandling", og for enkelte kan nok dettefortone seg noe uvant. En mulighet er da å hoppe direkte til bruk, nytteverdi og konklusjoner ikapittel 8.

7.1�Kvantitativ modellering med bruk av Bayesiansk nettverk

7.1.1� Bayesiansk nettverk generelt

Et Bayesiansk Nettverk (BN)12 er et grafisk nettverk som representerer "probabilistiske"sammenhenger mellom variabler. (Dvs. at sammenhengene uttrykkes vha. sannsynligheter. De er

12 Andre betegnelser som benyttes er Bayesian Belief Networks, Causal Probabilistic Networks, Causal Nets,Graphical Probability Networks, Probabilistic Cause-Effect Models, og Probabilistic Influence Diagrams.

59

ikke deterministiske ("fastsatte") slik som f.eks i et feiltre.) Dette passer godt for modellering avorganisatoriske faktorers effekt på andre variabler fordi denne effekten er forbundet medusikkerhet. Et BN er en spesiell type diagram (en graf) sammen med et tilhørende settsannsynlighetstabeller. Grafen består av noder og piler hvor nodene representerer variabler ogpilene årsaks-/relevans-sammenhenger mellom variablene.

Navnet skyldes at den underliggende teorien er Bayesiansk sannsynlighetsteori (etter ThomasBayes 1702-1761). Den nødvendige sannsynlighetsteorien har altså eksistert nokså lenge, men deter kun i løpet av de senere årene at de nødvendige algoritmene og programvare-verktøy har blittutviklet slik at det er mulig å bygge realistiske modeller og utføre beregninger vha. disse.

Bayesianske nettverk muliggjør resonnering under usikkerhet og kombinerer fordelene av enintuitiv visuell representasjon (enkelt for ikke-eksperter å forholde seg til), med en sunnmatematisk basis i Bayesiansk sannsynlighetsteori. Den viktigste fordelen med BN er evnen til årepresentere og utføre beregninger i komplekse modeller som kanskje aldri hadde blittgjennomført med konvensjonelle metoder. En annen fordel er at BN kan predikere hendelserbasert på ufullstendige eller usikre data (som f.eks ekspertvurderinger). Dette sammen medmuligheten for å håndtere samspillseffekter mellom de organisatoriske faktorene er noen avgrunnene til at vi har valgt å benytte BN som modellerings- og kvantifiseringsteknikk.

Et Bayesiansk nettverk kan gis følgende formelle definisjon:

"Et Bayesiansk nettverk er en retningsstyrt asyklisk graf med følgende egenskaper (Jensen, 1996):

• Hver node representerer en tilfeldig variabel.• Hver node som representerer en variabel A med foreldre-noder som representerer

variablene B1, B2, …, Bn er tildelt en betinget sannsynlighetstabell ("cpt"):

P(A|B1, B2, …, Bn)."

7.1.2� Kvantitativ lekkasjemodell

Utgangspunktet vårt er den kvalitative lekkasjemodellen beskrevet i kap. 4.7. Vi kunne benyttetdenne også som vår kvantitative modell, men den største utfordringen med kvantifiseringen beståri det å skulle etablere en sannsynlighetstabell for hver node i modellen, og det viser seg at dette erslett ikke helt enkelt (bl.a med tanke på troverdighet). Et annet navn som benyttes om BN er BBN(Bayesian Belief Network) hvor "Belief" (eller tiltro) henspeiler på at man kan legge inneksperters "belief" i sannsynlighetstabellene (subjektive sannsynligheter), men det er minst 2utfordringer knyttet til dette. Det første er at de fleste eksperter har vanskeligheter med å uttrykkesin kunnskap i sannsynligheter direkte. Deres kunnskap må "lokkes frem" ("elicitation") indirekte,hvoretter analytikerne omsetter dette til sannsynligheter. Den andre utfordringen er at uansett omekspertene anslår sannsynlighetene direkte eller dette etableres indirekte (eller sågar vha. data), såmå ikke-eksperter (eksempelvis beslutningstakere) ha tiltro til sannsynlighetstabellene. (Iallefallså må ekspertene selv ha tiltro til de sannsynlighetstabellene som er generert basert på dereskunnskap.)

Mulighetene for å etablere rimelig troverdige sannsynlighetstabeller for de enkelte nodene hargjort at vi har funnet det hensiktsmessig å forenkle modellen slik at den kvantitative modellenutgjør en forenkling av den kvalitative modellen. Vi er først og fremst interessert i de

60

organisatoriske årsaksfaktorene og velger å sløyfe de mellomliggende nivåene i modellen forkvantifisering. Den kvantitative modellen blir da som illustrert i Figur 17.

λ

OF1

OF2

OF3

OF4

OF5

Figur 17 Kvantitativ lekkasjemodell for Statfjord A

Vi går altså direkte fra de 5 organisatoriske årsaksfaktorene og til lekkasjefrekvensen λ. Lekkasje-frekvensen (eller "raten") er en ikke-observerbar ukjent størrelse som påvirkes av de 5organisatoriske faktorene. De organisatoriske faktorene har "innflytelse" over λ, som igjen harinnflytelse over det antall lekkasjer man faktisk observerer (per kvartal). Den kvantitativemodellen kan vi derfor utvide til også å inkludere det faktiske antall observerte lekkasjer. Dette erillustrert i Figur 18.

λ

OF1

# Obs.

OF2

OF3

OF4

OF5

Figur 18 Det totale Bayesianske nettverket for lekkasjefrekvensen

Lekkasjefrekvensen er en stokastisk variabel som er en funksjon av de organisatoriske faktorene,dvs. λ=λ(OF1, OF2, OF3, OF4, OF5). Dersom vi har kunnskap om tilstanden til de organisatoriskefaktorene så vil det gi oss en sannsynlighetsfordeling over de "tilstandene" λ kan innta. Selv omdet er λ’en (ROCOFen – Rate of Occurrence of Failures/Leakages) som er "lekkasjeprosessens"underliggende "intensitet" og som påvirker det antall lekkasjer vi observerer i et kvartal, så vilogså den informasjon vi har om antall observerte lekkasjer for den aktuelle perioden kunnepåvirke vår tiltro til hvilken tilstand λ har hatt i gjennomsnitt i perioden.

61

Antall observerte lekkasjer (som rapporteres i en RUH) vil være forholdsvis lavt per kvartal.Forventet antall er i størrelsesorden 1-2 per kvartal. Dette gjør at vi per kvartal vi oppleve at det er0, 1, 2, 3 eller 4 lekkasjer (med ca. 97% sannsynlighet). At vi vil erfare 5 eller flere lekkasjer påStatfjord A per kvartal er lite sannsynlig (p=0.028 antatt en Poisson-fordeling). Dette baserer segpå en basisverdi for λ beregnet ut ifra antall lekkasjer på Statfjord A i perioden 1997-99.

Antallet observerte lekkasjer per kvartal vil variere noe "tilfeldig" (for 1997 ble det observert hhv.2, 3, 0 og 2 lekkasjer i de 4 kvartalene), og egner seg derfor ikke som en direkte risikoindikator.Vi velger istedet å betrakte den "underliggende" λ som noe som "forårsakes"/"fastsettes" avtilstanden til de organisatoriske faktorene, og vi "måler" λ indirekte via tilstanden til deorganisatoriske årsaksfaktorene (vha risikoindikatorene). Det antall lekkasjer vi faktisk observerervil være et resultat av den underliggende λ, men vi har ingen garanti for at den kvantitativemodellen (inklusive styrken i sammenhengene) er "perfekt" og vi lar derfor også vår informasjonom antall observerte lekkasjer i siste kvartal påvirke λ.

Ut fra sannsynlighetsfordelingen til lekkasjefrekvensen (som da fastsettes basert både påtilstanden til de organisatoriske faktorene og antall observerte lekkasjer) kan vi så finneforventningsverdien E(λ), som er den verdien vi benytter i risikomodellen.

Før vi kommer så langt må vi imidlertid etablere sannsynlighetstabellene for nodene. For deorganisatoriske faktorene så er sannsynlighetstabellene ubetingede sannsynligheter for atfaktorene befinner seg i en av 5 valgte tilstander. Dette beskriver hvor godt hver enkelt faktorivaretas, dvs. "godheten" av hver faktor. Dette fastsettes gjennom en tilstandsbedømming("rating") av faktorene, og er det vi skal anvende risikoindikatorene til. Gjennom å måle tilstandentil faktorene vha. indikatorer kan vi skaffe oss den informasjon som vi trenger (de ubetingedesannsynlighetstabellene) i kvantifiseringen. Dette er nærmere beskrevet i neste kapittel (kap. 7.2).

Det neste vi trenger er den betingede sannsynlighetstabellen (cpt-conditional probability table)som sier oss hvor viktig de organisatoriske faktorene er for lekkasjefrekvensen. Hvilken "vekt"har de organisatoriske faktorene på lekkasjefrekvensen? Dette kan basere seg på data og/ellerekspertvurderinger, og etableres gjennom det vi betegner som "vekte-prosessen". Dette ernærmere beskrevet i kap. 7.3. Sannsynlighetene er her betinget på hvilken tilstand deorganisatoriske faktorene har. Til slutt trenger vi også en betinget sannsynlighetstabell for deneffekt lekkasjefrekvensen har for det antall lekkasjer vi observerer. Dette er imidlertid en langtmindre og enklere tabell enn den foregående. Også dette dekkes i den såkalte "vekte-prosessen".

I Figur 19 har vi forsøkt å illustrere "kvantifiserings-prosessen".

Hvis vi starter fra venstre så vil vi vha. de organisatoriske risikoindikatorene kunne fastsettetilstanden til hver av de organisatoriske faktorene. Disse påvirker lekkasjefrekvensen sombeskrevet i den første betingede sannsynlighetstabellen. I tillegg vil det faktiske antall observertelekkasjer påvirke (mot pilretningen) lekkasjefrekvensen. Dette resulterer i en sannsynlighets-fordeling over de tilstandene lekkasjefrekvensen kan ha, og som igjen danner grunnlaget for åberegne forventningsverdien til lekkasjefrekvensen E(λ). Endringen av denne ift. "nåværende"forventningsverdi gir oss (via risikomodellen) endring i risiko. Dette dekker kun endringer somfølge av parameteren lekkasjefrekvens. De øvrige parameterene/RPF’ene kontrolleres gjennomandre mer direkte risikoindikatorer.

62

Risikomodell Risiko

Risiko-påvirkendefaktorer - RPF'er

Direkte risikoindikatorer - DRIλ

OF1

�

�

�

�

�

5

4

3

2

1 0

1

# Obs.

2 ('=1')

3 ('=3')

4 ('=5')

Tilstand til faktor OFi

DRI

E(λ)OF2

OF3

OF4

OF5

Fordeling over tilstander til λ

cpt: p(#obs.| λ)

cpt: p(λ|OFi)

2

3

4

≥5

1 ('= 0.1')

5 ('=7')

Antall observertelekkasjer

Figur 19 Kvantifiserings-prosessen

7.2�Tilstandsbedømming (rating)

Bedømming av hvilken tilstand hver enkelt organisatorisk faktor har hatt i foregående kvartalskjer gjennom bruk av de organisatoriske risikoindikatorene. Hver organisatorisk faktor kanbefinne seg i én av 5 mulige tilstander. Disse kan vi kvalitativt beskrive som:

Tilstand 1: ’Svært dårlig’Tilstand 2: ’Dårlig’Tilstand 3: ’Middels’Tilstand 4: ’God’Tilstand 5: ’Svært god’

Ved vår anvendelse av risikoindikatorer så "fastsetter" vi hvilken tilstand hver faktor var i underforegående periode, dvs. at vi bedømmer ("med 100% sikkerhet") hvilken tilstand faktorene var i.

For hver faktor har vi én eller flere indikatorer, hvor enten én enkelt eller et sett med indikatorerskal fastsette en faktortilstand. For å gjøre dette enkelt har vi latt hver enkelt indikator "indikere"hvilken tilstand den enkelte faktor er i gjennom en "rating", for deretter å vekte sammen deindividuelle ratingene (dersom det er mer enn én indikator). Den totale ratingen for hver enkeltfaktor i blir ganske enkelt:

∑ ⋅=M

LMLMLUYU (1)

63

hvor vij og rij utgjør hhv. vektene og ratingene til de j-individuelle indikatorene for faktor i.Summen av vektene for hver faktor skal være lik 1.

Hver risikoindikator må ha en forankringsverdi for ytterpunktene i ratingskalaen. Eksempel pådette er vist i Figur 20.

Andel prosessteknikere med formell systemopplæring for aktuelt område ��� ���

1 2 3 4 5

0nOLQJ

)RUDQNULQJVYHUGLHU

Figur 20 Eksempel på forankringsverdier til rating-skalaen

Figur 20 illustrerer at vi ikke krediterer organisasjonen dersom de har en andel med system-opplæring som er lavere enn 50%, og at en maksimal rating på 5 kan oppnås dersom mer enn 90%har systemopplæring. Endelig forankring må fastsettes av (eller i samarbeid med) operatør-selskapet, og "tunes" ift. den gjennomsnittsbedømning man har gitt hele den aktuelle faktoren.

I Figur 20 er det også illustrert at en måling har vist at 65% av operatørene/prosessteknikerne harformell system-opplæring, og at dette gir en rating på 2. Dersom dette hadde vært eneste indikatorfor faktoren opplæring/kompetanse, så hadde den totale ratingen også blitt 2, dvs vi hadde bedømtfaktor 1 til å være i tilstand 2 (’dårlig’).

I Figur 21 har vi vist forslagene til forankringsverdier for alle de foreslåtte risikoindikatorene.

64

Andel prosessteknikere med formell systemopplæring for aktuelt område

Andel instr.teknikere (TEA) med kurs i rørkopling/ventiler

Andel mekanikere med kurs i flenstrekking

Andel mekanikere og V&M-personell med pakningskurs

Gjennomsnittlig antall år erfaring blant personell på aktuell inst./jobb/område

Andel av personell som har deltatt i faglig 'workshop', eller lest 'Beste Praksis'

Andel av personell med formell opplæring i SJA

Andel av personell som har gjennomført SJA siste år

Antall SJA gjennomført siste kvartal (krit. andel av AO antas konstant)

Hyppighet av kontroll med utarbeidelse/bruk av SJA (antall kontroller perkvartal i gjennomsnitt for de aktuelle disiplinene)

Andel kritiske jobber utført med kontroll (sjekkliste, arb.kollega eller arb.leder)

Andel inn- og utskrivinger av arbeidsordre i felt (på arbeidsstedet)

Antall designrelaterte lekkasjer og tilløp til lekkasjer

Antall mann-uker (evt. timer) inspeksjon av lekkasjepunkt-utstyr

Antall korrigerende vedlikeholdsinngrep på lekkasjepunkt-utstyr

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

2 121 2 3 4 5

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

0.5 1.01 2 3 4 5

5 301 2 3 4 5

1 61 2 3 4 5

0 1.01 2 3 4 5

0.75 1.01 2 3 4 5

5 01 2 3 4 5

40 1401 2 3 4 5

25 01 2 3 4 5

Gjennomsnittlig antall år erfaring blant personell totalt 2 121 2 3 4 5

Gjennomsnittlig antall områder prosessteknikerne har opplæring i 1 61 2 3 4 5

ORI11

ORI12

ORI13

ORI14

ORI15

ORI16

ORI17

ORI18

ORI21

ORI22

ORI23

ORI24

ORI31

ORI32

ORI41

ORI51

ORI52

Figur 21 Forankringsverdier for rating-skalaen

Disse er delvis tilpasset situasjonen på Gullfaks A gjennom først å vurdere/bedømmetotaltilstanden for hver faktor (ref. kap. 7.3.2 – gjelder både Gullfaks A og Statfjord A), ogderetter benytte indikatorene for å måle tilstanden til de enkelte aspektene av faktorene. Disse tovurderingsmåtene bør gi noenlunde samme resultat, og ved behov justeres måleskalaen (dvs.forankringsverdiene). Vi ønsker eksempelvis ikke en situasjon hvor la oss si OF1 er totalt settbedømt til tilstand 4, for deretter å bedømmes til tilstand 2 vha indikatorene fordi måleskalaen er"skjev". I et slikt tilfelle "tunes" måleskalaen slik at resultatene stemmer overens.

Forsøket med å bruke ("sjekke") indikatorene på Gullfaks A viste at det er behov for å justeremåleskalaen for iallefall 3 av indikatorene.

Indikator ORI16 bør endres fra 2-12 til f.eks 1-7, indikator ORI51 bør endres fra 40-140 til f.eks0-50, eventuelt at man går over til timer og benytter f.eks 0-5000 (per kvartal).

Indikator ORI41 viser for Gullfaks A at datagrunnlaget muligens blir lite, anslagsvis 1 per kvartal(inklusive tilløp), og dermed vil ligge opp mot øvre forankringsverdi. Dette er forsåvidt ikkemåleskalaens "feil" (det er lite vi kan gjøre med den), det har mere med at vi bør finne flereindikatorer for design. (Sammenliknet med totalvurderingen av design for Gullfaks A, som erbeskrevet i kap. 7.3.2, så kan det også være slik at den bedømmingen var noe streng.)

65

Måleskalaen bør for bruk på Statfjord A endelig fastsettes etter en uttesting på Statfjord A.

Gjennom de individuelle vektene til indikatorene (NB! ikke den type vekting vi snakker om ineste kapittel), så kan vi velge å vektlegge enkelte indikatorer (innenfor hver faktor) mer ellermindre enn de øvrige. Også dette må fastsettes av (eller i samarbeid med) operatørselskapet. Etførste forslag til vekter er som følger13:

For OF1 (opplæring/kompetanse):Lik vekting, dvs alle vektene v1j=1/8=0.125 (j=1,…, 8)

For OF2 (prosedyrer, SJA, retningslinjer, instrukser):For indikator ORI21: v21=0.30For indikator ORI22: v22=0.25For indikator ORI23: v23=0.25For indikator ORI24: v24=0.20

For OF3 (planlegging, koordinering, organisering, kontroll):For indikator ORI31: v31=0.70For indikator ORI32: v32=0.30

For OF4 (design):For indikator ORI41: v41=1.0

For OF5 (PM-program/inspeksjon):For indikator ORI51: v51=0.40For indikator ORI52: v52=0.60

For OF1 er det vanskelig å skille mellom de enkelte indikatorene, og fordi det er såpass mangeindikatorer som 8 for dette forholdet, så måtte én eller noen få av indikatorene gis svært stor vektfor at en differensiert vekting skal få noen særlig betydning. For OF2 er den formelle opplæringenvurdert å være den viktigste indikatoren, og kontroll av SJA tilsvarende mindre viktig ut fra atselv ved f.eks manglende underskrifter så er det sjelden at dette forårsaker lekkasjer. For OF3 erdet kontroll-aspektet som anses å være det klart viktigste aspektet (bl.a ut fra antall kontroll-relaterte hendelser) og derfor er "kontroll-indikatoren" gitt størst vekt. For OF5 er mengdekorrektivt vedlikehold gitt noe større vekt enn mengde inspeksjon ut fra at korrektivt vedlikeholdogså kan forårsake (indusere) lekkasjer, mens mangelfull inspeksjon ikke forårsaker, menforhindrer ikke at en lekkasje oppstår.

7.2.1� Eksempel på tilstandsbedømming

Vi har ikke foretatt en uttesting av indikatorene. Dette eksempelet baserer seg derfor på fiktiveverdier.

Anta at vi har registrert indikatorverdiene (mij) som vist i Tabell 7 (kolonnen nest lengst til høyre).Ved å benytte forankringsskalaen jfr. Figur 21, så kan de enkeltvise ratingverdiene (rij) fastsettes(kolonnen lengst til høyre i tabellen).

13 Dette er basert på diskusjoner med plattformsjef Gullfaks A.

66

Tabell 7 Eksempel på indikator-verdier (målinger)

Organisatoriske faktorer Organisatoriske risikoindikatorer mij rij

ORI11 Andel prosessteknikere med formell systemopplæring 0.65 2ORI12 Gj.snittlig antall områder pros.teknikerne har opplæring i 2.5 2ORI13 Andel instrumentteknikere med kurs i rørkopling/ventiler 0.85 4ORI14 Andel mekanikere med kurs i flenstrekking 0.90 5ORI15 Andel mekanikere med pakningskurs 0.70 3ORI16 Gjennomsnittlig antall år erfaring på denne installasjonen 7 3ORI17 Gjennomsnittlig antall år erfaring totalt 15 5

OF1 Opplæring/kompetanse

ORI18 Andel av relevant pers. som har deltatt i faglig utvikling 0.60 2ORI21 Andel av relevant pers. med formell opplæring i SJA 0.75 3ORI22 Andel av relevant pers. som har gjennomført SJA siste år 0.60 2ORI23 Antall SJA gjennomført siste kvartal på installasjonen 25 5

OF2 Prosedyrer, SJA,retningslinjer,instrukser

ORI24 Hyppighet av kontroll med utarbeidelse/bruk av SJA 1 1ORI31 Andel kritiske jobber utført med kontroll 0.45 3OF3 Planlegging, koord.,

organisering, kontroll ORI32 Andel inn- og utskrivinger av arbeidsordre i felt 0.90 4OF4 Design ORI41 Antall designrelaterte lekkasjer og tilløp til lekkasjer 2 4

ORI51 Mengde inspeksjon av lekkasjepunkt-utstyr 50 1OF5 PM-program/inspeksjon ORI52 Mengde korrigerende vedlikehold av lekk.punkt-utstyr 10 4

Basert på likning 1 får vi:

25.3)25335422(125.08

1111 =+++++++⋅=⋅= ∑

=MMM

UYU

I og med at vi opererer med heltallsverdier for tilstandene til de organisatoriske faktorene betyrdet at OF1 nå er vurdert ("målt") til å ha tilstand 3.

85.212.0525.0225.033.04

1222 =⋅+⋅+⋅+⋅=⋅= ∑

=MMM

UYU

OF2 er dermed målt til å være i tilstand 3.

3.343.037.02

1333 =⋅+⋅=⋅= ∑

=MMM

UYU

OF3 er dermed målt til å være i tilstand 3.

r4 = v41⋅r41 = 1.0⋅4 = 4, dvs OF4 er målt til å være i tilstand 4.

8.246.014.02

1555 =⋅+⋅=⋅= ∑

=MMM

UYU

OF5 er dermed målt til å være i tilstand 3.

Vi får dermed følgende kombinasjon av tilstander for de organisatoriske faktorene: 3-3-3-4-3.

I kap. 7.3 skal vi se på hvilken effekt/styrke som ulike kombinasjoner av tilstander til deorganisatoriske faktorene har på lekkasjefrekvensen, og i kap. 7.4 skal vi se på den aggregerteeffekten på lekkasjefrekvensen når vi også tar hensyn til det observerte antall lekkasjer i løpet avsiste kvartal.

67

7.3�Påvirkning/effekt (vekting)

7.3.1� Innledning

De betingede sannsynlighetstabellene utgjør den kanskje største utfordringen når det gjelder åanvende Bayesianske nettverk. Vi gjør ikke situasjonen enklere ved at vi "krever" at vi skal være istand til å fange opp relativt små endringer i de organisatoriske faktorene, og dermed må ha "etminimum" antall tilstander. Vi har valgt 5 tilstander som en avveining mellom dette kravet ogkravet til at vi gjennom indikatorene må være i stand til å skille mellom de ulike tilstandene, samtat mange tilstander gjør at den betingede sannsynlighetstabellen blir svært stor.

Det andre forholdet som påvirker hvor stor den betingede sannsynlighetstabellen blir, er antallfaktorer som påvirker den noden vi ser på, og hvor det for lekkasjefrekvensen er 5 faktorer sompåvirker denne. Styrken til BN som ligger i at vi kan inkludere samspillseffekter mellomfaktorene (dvs. at 2 "dårlige" faktorer samtidig er verre enn summen av at de er "dårlig" hver forseg) er også et problem, fordi det betyr at vi må angi betingede sannsynligheter ("vekter") for allekombinasjoner av tilstander til de organisatoriske faktorene for hver av tilstandene til den nodenvi ser på. Dette blir i vårt tilfelle svært mange "vekter". Det blir 55 = 3125 vekter for hver av de 5tilstandene til lekkasjefrekvensen, dvs 15625 vekter. ("Tradisjonell" vekting ville gitt 5x5x5=125vekter.)

Vi vil forsøke å etablere denne betingede sannsynlighetstabellen på 2 ulike måter. Den ene medhovedsaklig bruk av data (lekkasjehendelser), og den andre med hovedsaklig bruk av ekspert-vurderinger. Men hovedsaklig så betyr det at selv en såkalt data-drevet vekting kan ikkegjennomføres uten noen form for antakelser eller forankringsverdier som best innhentes fraeksperter. En vekting basert på ekspertvurderinger er også vanskelig å gjøre troverdig uten noenform for enkle data-analyser. Det ligger dessuten nærmest i sakens natur at en vekting basert påekspertvurderinger for en så omfattende tabell som vi her har må skje gjennom kraftig forenkling.

Vi vil starte med den ekspert-baserte vektingen, for deretter å gå over på den data-basertevektingen, men aller først vil vi si noe om vekting generelt og illustrere dette med et "ultra"-enkelteksempel.

Anta at vi har 2 faktorer (f.eks "opplæring" og "prosedyrer") som påvirker et tredje forhold (f.eks"lekkasjefrekvensen") og at hver av disse har kun 2 tilstander hver.

Opplæringen er enten ’god’ eller ’dårlig’Prosedyrene er enten ’gode’ eller ’dårlige’Lekkasjefrekvensen er enten ’høy’ eller ’lav’

De kan kun befinne seg i en av tilstandene ved et bestemt tidspunkt.

Situasjonen er illustrert i Figur 22.

68

Opplæring

Prosedyrer

Lekkasjefrekvens

'God'

'Dårlig'

'Gode'

'Dårlige'

'Høy'

'Lav'

Figur 22 Enkelt eksempel med 2 faktorer som påvirker en tredje – hver med 2 tilstander

Påvirkningen som opplæring og prosedyrer har på lekkasjefrekvensen uttrykker vi somsannsynligheten for at lekkasjefrekvensen skal være ’høy’ eller ’lav’ dersom opplæring ogprosedyrer er ’gode’ eller ’dårlige’.

Ved vanlig "tradisjonell" vekting behandles opplæring og prosedyrer enkeltvis (og uavhengig). Vitrenger da kun 2 vekter (sannsynligheter), og det er:

i) sannsynligheten for at lekkasjefrekvensen er ’høy’ dersom vi vet at opplæringen er ’dårlig’(dette skrives P(lekkasjefrekvensen=’høy’|opplæringen=’dårlig’))

ii) sannsynligheten for at lekkasjefrekvensen er ’høy’ dersom vi vet at prosedyrene er’dårlige’ (som skrives P(lekkasjefrekvensen=’høy’|prosedyrene=’dårlige’)

Skilletegnet | i uttrykkene betyr "gitt" eller "betinget på", og vi kaller dette derfor betingedesannsynligheter. (For å forenkle uttrykkene benytter vi L for lekkasjefrekvensen, O for opplæringog P for prosedyrer.)

Når vi kjenner P(L=’høy’|O=’dårlig’) så kjenner vi også P(L=’lav’|O=’dårlig’) fordi denne er 1-P(L=’høy’|O=’dårlig’). De skal altså summere seg til 1. Det samme gjelder for den andrefaktoren.

Ved tradisjonell vekting antar man ofte at det kun er når de påvirkende faktorene er ’dårlige’ at dehar negativ innvirkning på det påvirkende forholdet. Dvs at man i dette tilfellet ikke vurderersannsynligheten for at lekkasjefrekvensen er ’høy’ dersom f.eks opplæringen er ’god’.

Den "totale" (ubetingede) sannsynligheten for at lekkasjefrekvensen er ’høy’ kan vi nå finnedersom vi også kjenner sannsynligheten for at hhv. opplæringen og prosedyrene er ’dårlige’. Vifinner denne på følgende måte.

P(L=’høy’) = P(O=’dårlig’)⋅P(L=’høy’|O=’dårlig’) + P(P=’dårlige’)⋅P(L=’høy’|P=’dårlige’)

Dette er da (den ubetingede) sannsynligheten for at lekkasjefrekvensen er ’høy’, når vi kjennersansynlighetene for at opplæring og prosedyrer befinner seg i en dårlig tilstand (representerer"ratingen" som vi diskuterte i kap. 7.2). De betingede sannsynlighetene P(L=’høy’|O=’dårlig’) ogP(L=’høy’|P=’dårlige’) er vektene vi snakker om. Dette er illustrert i Figur 23.

69

Opplæring

Prosedyrer

Lekkasjefrekvens

P(P='dårlige')

P(L='Høy')

P(O='dårlig')P(L='Høy'|O='dårlig')

P(L='Høy'|P='dårlig')

'Rating' 'Vekting'

Figur 23 Vektene som "styrken" av pilene ved "tradisjonell" vekting

Ved bruk av Bayesianske nettverk er vektingen slik at vi må kjenne effekten av kombinasjoneneav tilstandene til faktorene. I vårt eksempel betyr det at vi også vil vite sannsynligheten for atlekkasjefrekvensen er ’høy’ gitt at både opplæringen er ’dårlig’ og prosedyrene er ’dårlige’samtidig!

Dette gir også muligheten for såkalte samspillseffekter, dvs at sannsynligheten for atlekkasjefrekvensen er ’høy’ når både opplæring og prosedyrer er dårlige, er større enn summen avat de hver for seg er dårlige.

Dette er en effekt som er ønskelig å fange opp fordi vi oppfatter dette å være nærmerevirkeligheten, men som vi skal se så vanskeliggjør dette vektingen. Vi må i dette (enkle) tilfelletfastsette 4 vekter (betingede sannsynligheter) dvs. tilstandskombinasjonene ’god’-’gode’, ’god’-’dårlige’, ’dårlig’-’gode’, og ’dårlig’-’dårlige’, istedetfor kun 2 vekter ved "tradisjonell" vekting.Den første av disse betingede sannsynlighetene kan vi skrive som P(L=’høy’|O=’god’, P=’gode’),dvs betinget på at både opplæringen er ’god’ og at prosedyrene er ’gode’.

Vi kan ikke nå lenger se på en vekt som "tilhørende" én pil. Dette er illustrert i Figur 24.

Opplæring

Prosedyrer

Lekkasjefrekvens

God Dårlig

GDG D

P(L='Høy'|O='G',P='G')

P(L='Høy'|O='G',P='D') P(L='Høy'|O='D',P='G')

P(L='Høy'|O='D',P='D')

Figur 24 Vekting i Bayesianske nettverk

Den nederste raden i tabellen i figuren finner vi ved at sannsynlighetene skal summere seg til 1 ihver kolonne.

70

Vektene er ikke lenger "representert" ved "piler", men består av tabeller med vekter (betingedesannsynligheter) for alle kombinasjoner av tilstander til de påvirkende faktorene. Tabellene kallesbetingede sannsynlighetstabeller (conditional probability tables - cpt).

Som vi allerede har vært inne på så vil disse tabellene fort bli svært store når antall faktorer økerog antall tilstander hver faktor kan ha øker.

I et av de programvare-verktøy som finnes for Bayesianske nettverk kalt HUGIN (HUGIN, 2000)vil tabellen i dette enkle eksempelet (med fiktive verdier) se ut som vist i Figur 25.

Figur 25 Cpt for eksempelet med 2 faktorer og 2 tilstander hver (skjermdump fra HUGIN)

Vi går derfor nå over til den reelle modellen for Statfjord A, hvor vi har 5 faktorer med 5tilstander hver (og som resulterer i at vektingen straks blir mer kompleks).

7.3.2� Vekting basert på ekspertvurderinger

I dette kapittelet vil vi beskrive hvordan man kan etablere vekter vha. ekspertvurderinger. Dettebetyr imidlertid ikke at vi utelukkende anvender ekspertvurderinger og overhodet ikke benytteross av de data vi har, men vi gjør dette uten avanserte data-analyser. Resultatet blir imidlertid noeforenklet sammenliknet med en datadrevet vekting.

Vi har 5 organisatoriske faktorer som hver kan ha 5 ulike tilstander, og som alle påvirkerlekkasjefrekvensen (λ). For en gitt kombinasjon av organisatoriske faktortilstander (f.eks OF1=3,OF2=4, OF3=2, OF4=3 og OF5=2) så ønsker vi å si noe om hvordan dette påvirker lekkasje-frekvensen. Hva er forventningsverdien til λ (dvs. E(λ)) gitt en bestemt kombinasjon av faktor-tilstander (som igjen er fastsatt basert på risikoindikator-målinger)?

For å gjøre det litt enklere velger vi å kun benytte 3 ulike λ tilstander:

Tilstand 1 (λ=’1’) Í λ=0.1 lekkasjer per kvartalTilstand 2 (λ=’2’) Í λ=1 lekkasje per kvartalTilstand 3 (λ=’3’) Í λ=10 lekkasjer per kvartal

For hver kombinasjon av de organisatoriske faktortilstandene vil det måtte angis en "vekt" forhver av de 3 λ-tilstandene. Disse vektene er altså betingede sannsynligheter for at λ skal befinneseg i de respektive tilstandene. Det betyr at vi legger en sannsynlighetsfordeling over de 3 λ-tilstandene. Summen av disse sannsynlighetene skal da være lik 1. Dersom vi betegner vektene forw, så har vi altså w1+w2+w3=1. Forventningsverdien til lekkasjefrekvensen blir da:

E(λ) = 0.1w1+1w2+10w3

71

Vi må derfor sørge for at de betingede sannsynlighetene vi benytter for hver kombinasjon avorganisatoriske faktortilstander både summerer seg til 1 og at vektene multiplisert ut (med λ-tilstandsverdiene) gir en forventningsverdi som er "fornuftig". Altså at:

∑=

=3

11

MLM

Z (2)

’’)()(3

1IRUQXIWLJZ(

M

MLML=⋅= ∑

=λλ (3)

for alle kombinasjoner i. (λj er tilstandsverdien til λ, dvs. 0.1, 1 og 10).

De mulige kombinasjonene av organisatoriske faktortilstander er gitt av antall faktorer og antalltilstander. Med 5 faktorer og 5 tilstander representerer dette 55-kombinasjoner, dvs. 3125kombinasjoner. Dette er "uhåndterlig" (manuelt) dersom vi ikke foretar forenklinger.

Vi velger som et utgangspunkt å betrakte alle kombinasjoner med samme "tverrsum" som like.Dvs. at f.eks kombinasjonen 1-2-3-4-5 (hvor OF1 er angitt først og OF5 sist) og kombinasjonen 5-4-3-2-1 får samme sannsynlighetsfordeling (og dermed også samme forventningsverdi) over λ.

Dette gir kun 21 ulike "tverrsums"-kombinasjoner, fra 1-1-1-1-1 (=5) til 5-5-5-5-5 (=25). Disse erda verdiene fra 5 til 25. For å finne forventningsverdiene til hver av disse 21 "standard-kombinasjonene" så må vi benytte data og ekspertvurderinger til å etablere forankringsverdier.

Vi benytter oss av de 20 lekkasjehendelsene som inntraff på Statfjord A i perioden 1997-99. Dekombinasjonene av organisatoriske faktorer som medvirket til hver av disse lekkasjene er vist iTabell 8.

Tabell 8 Oversikt over hvilke organisatoriske faktorer som har medvirket i de 20 lekkasjene

Lekkasje nr. Organisatoriske faktorer1 OF2 OF42 OF3 OF43 OF2 OF34 OF55 OF56 OF57 OF3 OF48 OF59 OF1 OF3

10 OF2 OF3 OF411 OF2 OF512 OF1 OF313 OF514 OF315 OF2 OF316 OF317 OF318 OF1 OF3 OF519 OF1 OF3 OF520 OF5

Totalt 4 5 12 4 9

72

Vi "vet" altså at i løpet av 3-årsperioden fra 1997-99 så medvirket OF1 til 4 lekkasjer, OF2 til 5lekkasjer, OF3 til 12 lekkasjer, OF4 til 4 lekkasjer og OF5 til 9 lekkasjer. Dette utgjorde tilsammen20 lekkasjer i løpet av 3 år, dvs. 1.67 lekkasjer per kvartal. Forventningsverdien E(λ) er dermedlik 1.67. Men, vi vet ikke for hvilken kombinasjon av tilstander av de organisatoriske faktorene vihar denne forventningsverdien. Vi behøver derfor en bedømmelse av hvilken tilstand de ulikefaktorene har hatt i gjennomsnitt over 3-årsperioden 1997-99. Denne bedømmelsen burde ideeltsett ha skjedd med bruk av "eksperter" fra Statfjord A.

Bedømmingen er imidlertid utført som en "gruppeprosess" hvor verdiene for Gullfaks A blebedømt først (av plattformsjef Gullfaks A) og deretter ble Statfjord A vurdert ut ifra en"sammenlikningsanalyse" med Gullfaks A (av plattformsjef Gullfaks A + analytikerne). Verdieneer dermed svært grove anslag, og det er ingen fra Statfjord A som har vært med i vurderingen.

Resultatet er vist i Figur 26.

Verste1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

Beste

Verste

Verste

Verste

Verste

Beste

Beste

Beste

Beste

OF1

OF2

OF3

OF4

OF5

GFA

SFA

Figur 26 Bedømming av gjennomsnittstilstand av de organisatoriske faktorene i perioden1997-99

Bedømmingen for Statfjord A er (som vist i figuren): OF1=3, OF2=4, OF3=2, OF4=3, OF5=2.Dette er ut ifra en betraktning om at en gjennomsnittsplattform i snitt ligger rundt 3.

For Gullfaks A er OF1 (opplæring/kompetanse) bedømt til å håndteres bra (over snittet) dvs.OF1=4. For Statfjord A har vi ingen spesielle holdepunkter til å anta at OF1 ligger over eller undersnittet. Vi antar derfor (i mangel på bedre informasjon) at OF1 ligger på snittet, dvs. OF1=3.

For Gullfaks A er OF2 (prosedyrer, SJA, retningslinjer, instrukser) bedømt til OF2=4 ut fra at SJAble "oppfunnet" i sin nåværende Statoil-form på Gullfaks A. Gullfaks A var altså tidlig ute med åbenytte SJA. Også for Statfjord A er SJA vurdert å håndteres bedre enn snittet, ut ifra bl.a enrapport for vurdering av lekkasjer på SF hvor Statfjord A ble vurdert til å håndtere SJA bedre ennStatfjord B og Statfjord C. Derfor antas OF2=4 for Statfjord A.

For Gullfaks A er OF3 (planlegging, koordinering, organisering, kontroll) bedømt til OF3=2.Sjekklister som kontrollhjelpemiddel er lite "ettertraktet" og arbeidslederne har normalt sett et såstort kontrollspenn at kontroll med jobbutførelse i hovedsak må skje av andre kollegaer/sjekkliste.Også andelen av denne type kontroll har potensiale for forbedring. Det er ikke noe som tilsier atsituasjonen på Statfjord A skulle være bedre, tvertimot tyder den store andelen "kontroll-relaterte"lekkasjer (12 av 20) på at tilstanden ikke er spesielt godAnm). Antar derfor OF3=2 også forStatfjord A.

73

For Gullfaks A er OF4 (design) bedømt til OF4=2 ut ifra at en god del designløsninger er dårligerent tilgjengelighetsmessig (adkomstmessig). Også en del nye løsninger (nye prosjekt/modifikasjoner) har i ettertid vist seg å ha "ikke-optimale" løsninger. Også for Statfjord A ertilgjengeligheten tildels vanskelig (f.eks i M4), samt at problemene rundt flotasjonscellene ettermange år ennå ikke er tilfredsstillende løst. Velger imidlertid å sette OF4=3 for Statfjord A, delvispga de relativt få hendelseneAnm) hvor OF4 har vært involvert (4 av 20).

For Gullfaks A er OF5 (PM-program/inspeksjon) bedømt til å ligge "midt på treet", dvs. OF5=3.Også Gullfaks A opplever hendelser av typen "ventiler som bare begynner å lekke" og hvor deteneste som evt kunne forhindret dette er PM (evt. hyppigere PM der hvor et PM-programeksisterer). For Statfjord A er situasjonen vurdert til å være noe verre enn på Gullfaks A ut ifraalle hendelseneAnm) hvor manglende PM er årsak til at man ikke har kunnet forhindre at utstyrlekker (9 av 20). Setter derfor OF5=2.

Anmerkning: Generelt bør man være forsiktig med å bedømme tilstanden til en faktor ut fra antall lekkasjerdenne faktoren har medvirket til. Dette kan enklest forklares ut fra et eksempel. Vi antar nedenfor at OF3=5 gir 2lekkasjer. Vi vet ikke hva tilstanden til OF3 er, men vi har erfart 12 lekkasjer hvor OF3 har medvirket. At OF3 harmedvirket i så mange lekkasjer sier ikke nødvendigvis noe om tilstanden til OF3, fordi de 12 lekkasjene er et resultatav både tilstanden til OF3 og betydningen til OF3 mht. lekkasjer. Vi kunne antatt OF3=2 (og at OF3=4 f.eks ville gittoss ca. 5 lekkasjer), eller vi kunne antatt OF3=4 (og at OF3=2 f.eks ville gitt oss ca. 30 lekkasjer). Antall lekkasjeralene er ikke nok til å fastsette tilstanden til OF3. Dersom vi derimot "vet" at gjennomsnittstilstanden for OF3 påGullfaks A var OF3=2 og at antall lekkasjer hvor OF3 medvirket var f.eks 11, og samtidig antar at den betydningenOF3 har for lekkasjer er den samme på Statfjord A som på Gullfaks A, så kan vi benytte "kun" antall lekkasjer påStatfjord A til å bedømme tilstanden til OF3 ved at vi sammenholder antall lekkasjer på Statfjord A med Gullfaks A.Dvs at når Gullfaks A har 11 lekkasjer (med tilstand OF3=2) så "må" Statfjord A som har 12 lekkasjer (altsåtilnærmet det samme) også ha OF3=2.14

Vi har altså bedømt gjennomsnittstilstanden i perioden 1997-99 til å være kombinasjonen 3-4-2-3-2, og ut ifra 20 lekkasjer i denne perioden kommet til at E(λ) = 20/12 = 1.67 lekkasjer per kvartal.Vi har dermed ett forankringspunkt.

Det neste forankringspunktet vi vil etablere er for en tenkt perfekt tilstand, dvs. kombinasjonen 5-5-5-5-5. I første omgang betrakter vi faktorene uavhengig uten samspillseffekter. Ved å forbedretilstanden til "perfekt" (tilstand 5) kunne lekkasjene med den aktuelle organisatoriske faktorensom medvirkende årsak vært forhindret. Det er imidlertid ingen garanti for at alle lekkasjenehadde vært unngått. Vi har derfor gjort følgende antagelse ved en endring fra gjennomsnittsverdifor tilstanden til beste verdi:

OF1=3 har gitt 4 lekkasjer Í vi antar at OF1=5 ville gitt 1 lekkasjeOF2=4 har gitt 5 lekkasjer Í vi antar at OF2=5 ville gitt 1 lekkasjeOF3=2 har gitt 12 lekkasjerÍ vi antar at OF3=5 ville gitt 2 lekkasjerOF4=3 har gitt 4 lekkasjer Í vi antar at OF4=5 ville gitt 1 lekkasjeOF5=2 har gitt 9 lekkasjer Í vi antar at OF5=5 ville gitt 3 lekkasjer

For OF5 har vi inkludert en mulig effekt av vedlikeholdsinduserte feil gjennom økt mengde FV.Derfor er ikke antallet redusert til f.eks 1 eller 2.

Med en antatt perfekt kombinasjon av tilstander (5-5-5-5-5) antar vi at vi ville fått 1+1+2+1+3=8lekkasjer, uten å ta hensyn til samspillseffekter. Dette gir en forventningsverdi på 8/12 = 0.67lekkasjer per kvartal.

14 Gullfaks A viste seg å ha 9 lekkasjer hvor OF3 medvirket i perioden 1997-99. Det betyr at for SFA bør OF3iallefall ikke ha noen bedre gjennomsnittstilstand enn Gullfaks A. Forskjellen er ikke større enn at vi antar tilstand '2'også for SFA.

74

Nå ønsker vi å inkludere samspillseffekter mellom faktorene, dvs. ta hensyn til at de ikke alenebidrar til lekkasjer, men at de inntreffer sammen med andre. Det er også slik at når mer enn énfaktor har medvirket til en lekkasje så hadde det vært nok at én av faktorene hadde fungerttilfredsstillende for at lekkasjen skulle vært forhindret. Hvis vi ser bort fra den siste faktoren(OF5), så har de øvrige i kun 3 av 11 tilfeller opptrådt alene. Vi antar da at de 5 lekkasjene fra de 4første faktorene reduseres til 3/11 x 5 ≈ 1 lekkasje ved å ta hensyn til samspill, fordi det er litetrolig at en lekkasje ikke hadde blitt forhindret dersom f.eks begge faktorene som medvirkethadde fungert perfekt. For OF5 antar vi en reduksjon fra 3 til 1 lekkasje.

Med hensyntagen av samspillseffekter ("positivt samspill") så antar vi at kombinasjonen 5-5-5-5-5ville gitt 2 lekkasjer. Dette gir en forventningsverdi på

E(λ)min = 2/12 = 0.17 lekkasjer per kvartal.

Dette utgjør det andre forankringspunktet vårt.

Det siste forankringspunktet vi vil etablere er for en tenkt verste tilstand, dvs. kombinasjonen 1-1-1-1-1. Også i dette tilfellet starter vi en betraktning uten samspillseffekter.

Endring fra gjennomsnittsverdi til verste tilstand (tilstand 1) for hver enkelt faktor er gjort medutgangspunkt i de til nå 2 kjente verdiene (gjennomsnittstilstand for Statfjord A og beste tilstand).Vi legger dermed en fordeling for antall lekkasjer over de 5 tilstandene (1-5), og fastsetter antalllekkasjer for tilstand 1 ut fra dette. Vi har (i utgangspunktet) lagt inn en lineær fordeling for allefaktorene. Dette er vist i Figur 27.

Verste1 2 3 5

1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

1 2 3 4 5

Beste

Verste

Verste

Verste

Verste

Beste

Beste

Beste

Beste

OF1

OF2

OF3

OF4

OF5

4

4 1

0-14-5 2-36-78 ->

0-26-8 3-59-1112 ->

5 1

12

4

9

2

1

3

0-38-11 4-712-1516 ->

0-14-5 2-36-78 ->

<36-7 4-58-910 ->

�

��

��

�

��

Figur 27 Vurdering av endring av antall lekkasjer for verste tilstand (tilstand 1)

Dette resulterer i følgende antagelse om antall lekkasjer ved verste tilstand:

OF1=1 ville gitt 8 lekkasjerOF2=1 ville gitt 13 lekkasjer

75

OF3=1 ville gitt 17 lekkasjerOF4=1 ville gitt 8 lekkasjerOF5=1 ville gitt 11 lekkasjer

Totalt gir dette potensielt 57 lekkasjer, men vi må også ta hensyn til at flere av disse hendelsene"er de samme hendelsene". I de 20 hendelsene på Statfjord A hadde de enkelte faktorenemedvirket i tilsammen 4+5+12+4+9=34 tilfeller når de betraktes hver for seg. Men kun20/34=0.59 av disse tilfellene var "unike" hendelser. Hvis vi antar samme forholdstall her, så kanvi regne med at en verste tilstand ville resultert i 57 x 0.59 ≈ 34 lekkasjer, uten at vi tar hensyn tilden type "samspill" som er slik at samtidig dårlige tilstander er verre en summen av enkeltvisdårlige tilstander. (F.eks så kan ’dårlig’ opplæring og ’gode’ prosedyrer gi en betingetsannsynlighet for lekkasje på la oss si 0.2, det samme gjelder for ’god’ opplæring og ’dårlige’prosedyrer, men samtidig ’dårlig’ opplæring og ’dårlige’ prosedyrer kan gi en betingetsannsynlighet på f.eks 0.60, altså mer enn 0.2 + 0.2.)

En slik samspillseffekt kan vi ikke beregne ut fra data. Vi må benytte ekspertvurderinger ellergjøre en antagelse selv. (Dette gjelder forankringspunktet, ikke generelt.)

Et alternativ til å bedømme samspillseffekten (som en faktor) er å direkte bedømme et størsteantall lekkasjer over en treårs-periode. Vi benytter oss av følgende resonnement for å fastsettedette største antall lekkasjer (for verste tilstand 1-1-1-1-1):

Vi vet at det på Statfjord A i perioden 1991-93 var registrert 59 lekkasjer (Spuns Tett, 1994) og vivet også at det på Statfjord C var registrert 21 lekkasjer i 1999 (tilsvarende 63 lekkasjer over entreårs-periode). Vi antar at dette ikke representerer en absolutt verst tenkelige tilstand (dvs. alle 5årsaksfaktorene er "svært dårlig"), og at en verste tilstand derfor bør tilsvare et større antalllekkasjer over en treårs-periode enn 63 lekkasjer. Vi velger å benytte 80 lekkasjer som etutgangspunkt til å representere en verste situasjon.15 Med 80 lekkasjer på 3 år, så vil vi fåfølgende forventningsverdi for lekkasjefrekvensen:

E(λ)max = 80/12 = 6.67 lekkasjer per kvartal.

Vi har nå 3 forankringsverdier for forventningsverdien til lekkasjefrekvensen. Ut ifra disse kan viberegne de øvrige forventningsverdiene. Forankringsverdiene er illustrert i Figur 28.

Verste 6 Beste5 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

1-1-1-1-1 3-4-2-3-2 5-5-5-5-5

E(λ)max = 80/12 = 6.67 E(λ)min = 2/12 = 0.17E(λ) = 20/12 = 1.67

Figur 28 Forankringsverdier for forventningsverdiene til lekkasjefrekvensen relatert tiltverrsummene av de 3 aktuelle faktortilstands-kombinasjonene

15 Hvor følsom denne antakelsen er (ift. f.eks et valg på 100 eller 60 lekkasjer), er diskutert i kap. 7.6.2. Vi kunneogså benyttet registrerte tilløp til lekkasjer for å anslå hvilket antall som representerer den verste situasjonen. Selv omforankringspunktet (yttergrensen) vil variere endel avhengig av det antall vi velger, så vil ikke forskjellen bli like storfor en 'realistisk' forverring. (Vi vil neppe oppleve en tilstand 1-1-1-1-1.)

76

Vi antar lineær sammenheng mellom E(λ)max og E(λ), samt mellom E(λ) og E(λ)min. For verdienemellom E(λ)max og E(λ) får vi følgende inkrement regnet fra E(λ):

56.09

67.167.6

9

)()( max =−=− λλ ((

For E(λ)13 til E(λ)6 får vi da:

E(λ)13 = 1⋅0.56 + 1.67 = 2.23E(λ)12 = 2⋅0.56 + 1.67 = 2.79E(λ)11 = 3⋅0.56 + 1.67 = 3.35E(λ)10 = 4⋅0.56 + 1.67 = 3.91E(λ)9 = 5⋅0.56 + 1.67 = 4.47E(λ)8 = 6⋅0.56 + 1.67 = 5.03E(λ)7 = 7⋅0.56 + 1.67 = 5.59E(λ)6 = 8⋅0.56 + 1.67 = 6.15

For verdiene mellom E(λ) og E(λ)min får vi følgende inkrement regnet fra E(λ)min:

14.011

17.067.1

11

)()( min =−=− λλ ((

For E(λ)24 til E(λ)15 får vi da:

E(λ)24 = 1⋅0.14 + 0.17 = 0.31E(λ)23 = 2⋅0.14 + 0.17 = 0.45E(λ)22 = 3⋅0.14 + 0.17 = 0.59E(λ)21 = 4⋅0.14 + 0.17 = 0.73E(λ)20 = 5⋅0.14 + 0.17 = 0.87E(λ)19 = 6⋅0.14 + 0.17 = 1.01E(λ)18 = 7⋅0.14 + 0.17 = 1.15E(λ)17 = 8⋅0.14 + 0.17 = 1.29E(λ)16 = 9⋅0.14 + 0.17 = 1.43E(λ)15 = 10⋅0.14 + 0.17 = 1.57

Med de 21 forventningsverdiene vi nå har kan vi "bygge opp" en forenklet ("a priori") betingetsannsynlighetstabell – cpt (conditional probability table). Vi antar da at alle kombinasjoner avorganisatoriske faktortilstander (’OF1’-’OF2’-’OF3’-’OF4’-’OF5’) med samme tverrsum har desamme betingede sannsynligheter (CP’s) og dermed samme fordeling og forventningsverdi.Dersom vi bruker de kvalitative betegnelsene ’svært dårlig’, ’dårlig’, ’middels’, ’god’ og ’sværtgod’ om henholdsvis tilstand 1, 2, 3, 4 og 5, så betyr den forenkling vi gjør at vi f.eks betrakterkombinasjonen (’dårlig’-’god’-’dårlig’-’god’-’svært god’) som eksakt lik kombinasjonen (’god’-’dårlig’-’god’-’dårlig’-’svært god’).

Dette ser kanskje ikke så "urimelig" ut, men det blir ikke helt korrekt fordi det er ulikt samspillmellom de 5 aktuelle faktorene. Dessuten har de ulik vekt individuelt. (Det betyr f.eks at dersomkun én faktor har tilstand ’svært god’ så er det ikke likegyldig hvilken faktor det er.)

For λ opererer vi som tidligere nevnt med 3 ulike tilstander:

77

Tilstand 1 (λ=’1’) Í λ=0.1 lekkasjer per kvartalTilstand 2 (λ=’2’) Í λ=1 lekkasje per kvartalTilstand 3 (λ=’3’) Í λ=10 lekkasje per kvartal

Forventningsverdien til lekkasjefrekvensen har vi også tidligere sagt er:

E(λ) = 0.1w1+1w2+10w3

hvor wi utgjør vektene eller de betingede sannsynlighetene.

Vi kjenner forventningsverdiene, men vi kjenner ikke de enkelte wi. Disse kan vi fastsette ved ålegge en fordeling over de ulike λ-tilstandene (og disse skal summere seg til 1). Det er ikke noerasjonale for å velge en bestemt fordeling. Vi må kun sørge for at vektene summerer seg til 1 og atde multiplisert med λ-verdiene og summert gir forventningsverdien.

Vi har da følgende betingelser:

1) w1+w2+w3=1.02) 0.1w1+1w2+10w3=E(λ)

Vi har altså 2 likninger med 3 ukjente. En tredje betingelse vi kan legge inn er at når E(λ) liggermellom 0.1 og 1, så skal den tilstanden av 0.1 og 1 som er nærmest E(λ) vektes relativt sett såmye mer som avstanden til E(λ) tilsier, dvs.

3a) w2=[( E(λ)-0.1)/(1- E(λ))]⋅w1

og tilsvarende når E(λ) ligger mellom 1 og 10:

3b) w2=[(10- E(λ))/(E(λ)-1)]⋅w3

Dette betyr at når forventningsverdien ligger nær 1 så vektes λ=1 forholdsvis mye sammenliknetmed de 2 øvrige (dvs. høy w2). F.eks så vil E(λ)=1.67 gi fordelingen (9E-5,0.926,0.074), ogE(λ)=0.8 gir fordelingen (0.222, 0.777, 8.7E-5).

Vi kan altså på denne måten bygge opp en cpt med utgangspunkt i forventningsverdiene.

Men, dersom vi kun etablerer en forenklet cpt uten at vi vil gå inn i tabellen og korrigere nærmerefor ulik samspillseffekt mellom faktorene, og/eller benytter modellen som en dynamisk modell foroppdatering av cpt’en som følge av nye lekkasjehendelser og tilstandsbedømmelser, så kan vi likegjerne benytte forventningsverdiene direkte. Det er da ikke behov for å etablere fordelingene.

Dette er imidlertid en kraftig forenkling som også resulterer i at det er en rekke muligheter vi girslipp på. Bl.a så kunne kvantifiseringen vært gjennomført med bruk av BN-modellen (og cpt’ensom en del av denne) selv om ikke alle faktortilstandene har blitt fastsatt via risikoindikatorer.Uten noe kjennskap til én bestemt faktor kunne vi benyttet en uniform fordeling over de 5tilstandene (0.2 på hver), eller "eksperter" kunne anslått en sannsynlighet (uten bruk avindikatorer) for hver mulig tilstand, f.eks 0.4 for tilstand 2 og 0.6 for tilstand 3. Vi kunne ogsåbenyttet modellen til å regne oss bakover i nettverket ("backward" inference), dvs vi kunne for enfaktor vi ikke kjenner tilstanden til angitt en sannsynlighetsfordeling over de uliketilstandsverdiene.

78

Ved å benytte de 21 forventningsverdiene direkte, så trenger vi kun å regne ut tverrsummen tiltilstandsverdiene til de organisatoriske faktorene som er beregnet/målt vha. risikoindikatorene.

F.eks så vil en måling som resulterer i OF1=2, OF2=3, OF3=1, OF4=4, OF5=2 (dvs.kombinasjonen 2-3-1-4-2) gi oss tverrsummen 2+3+1+4+2=12 og siden vi vet at E(λ)12=2.79 såhar også denne kombinasjonen en forventningsverdi lik 2.79.

Dette gir en økning i lekkasjefrekvensen (forventningsverdien) som er 2.79/1.67=1.67, dvs. 67%.(NB! Dette er kun basert på risikoindikatorene og ikke tatt hensyn til det faktiske observerte antalllekkasjer i perioden.)

Figur 29 viser hvordan forventningsverdien til lekkasjefrekvensen endres som funksjon avtverrsummen til faktortilstandene. (Kurven kunne evt. vært glattet for å unngå knekk.)

6

(’Tverrsum’)

5 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

1-1-1-1-1

3-4-2-3-2 nåværende tilstand

5-5-5-5-51.0

2.0

3.0

4.0

5.0

6.0

7.0

E(λ)

;

;

1.67

verste tilstand

beste tilstand

-90%

+20%0

∆E(λ)

0

;

+80%

+140%

+200%

+260%

+300%

-40%

Figur 29 Forventningsverdien til lekkasjefrekvensen som funksjon av faktortilstandene

Vi har i Figur 29 også vist hva den prosentvise endringen i lekkasjefrekvensen blir dersom denneutelukkende baseres på de organisatoriske faktorene (målt vha. risikoindikatorene) og ikke på detfaktiske observerte antall lekkasjer i perioden.

7.3.2.1� Eksempel på vekt/styrke for ekspert-basert vekting

Vi fortsetter med eksempelet fra kap. 7.2.1 hvor vi hadde registrert indikatorverdier som resultertei en tilstand til de organisatoriske faktorene med følgende kombinasjon: 3-3-3-4-3.

79

Med den sterkt forenklede måten vi bedømmer vekter på basert på ekspertvurderinger så er detkun tverrsummen til kombinasjonen av tilstanden til de organisatoriske faktorene vi anvender. Idette tilfellet er tverrsummen 3+3+3+4+3=16, og fra beregningene i kap. 7.3.2 har vi atE(λ)16=1.43.

7.3.3� Datadrevet vekting

Et av problemene med data-drevet vekting (og data-analyse generelt) er å ha en tilstrekkeligmengde data ift. det antall estimater (her: vekter) man trenger. Vi har derfor valgt å benyttelekkasjehendelser fra Statfjord B og Statfjord C i tillegg til Statfjord A. Dette ga oss 92lekkasjehendelser i perioden 1997-99. For å øke datagrunnlaget på denne måten så må vi ogsågjøre den antagelsen at tilstanden til de organisatoriske faktorene er den samme for alle treinstallasjoner til enhver tid (i løpet av 3-års perioden). Dette er nok en antagelse som ikke er heltkorrekt.

De 92 lekkasjehendelsene er analysert iht. den kvalitative modellen, og vi "vet" dermed (så godtsom det lar seg gjøre uten bruk av alt for mye tid og ressurser) hvilke organisatoriske faktorer somhar bidratt til de enkelte lekkasjehendelsene. Vi vet også når de enkelte lekkasjene har oppstått,men vi vet dessverre ikke hvilken tilstand de enkelte organisatoriske faktorene var i på detidspunkt som lekkasjene inntraff. Dette trenger vi for å kunne estimere lekkasjefrekvensen somen funksjon av tilstandene til de organisatoriske faktorene.

Vi har fra lekkasjemodellen at )5,4,3,,1( 2)2)2)2)2)λλ = . Nå er det slik at tilstanden til deorganisatoriske faktorene vil utvikle seg over tid, slik at lekkasjefrekvensen må antas å væretidsavhengig, dvs

))(5),(4),(3),(2),(1()( W2)W2)W2)W2)W2)W λλ = (3)

Dette betyr at om de organisatoriske faktorenes tilstander er konstante så vil også lekkasje-frekvensen forbli konstant, men i det generelle tilfelle så vil lekkasjefrekvensen forandre seg overtid. Den kumulerte frekvensen/raten ("intensiteten") ved tiden t, Λ(t), finnes ved integralet

∫=ΛW

GXXW0

)()( λ (4)

I vår situasjon antar vi at tilstanden til de organisatoriske faktorene er konstante i en periode (etkvartal), for deretter å forandre seg ved kvartalsskiftene. Dette tilsvarer at vi antar for eksempelopplæringsnivået til å være som ved siste måling helt til vi får logget nye indikatorer som gir ossen ny vurdering av hva opplæringsnivået er. Vi kan dermed beregne den kumulative raten vedligningen

∑=

=ΛW

L

L2)L2)L2)L2)L2)W1

))(5),(4),(3),(2),(1()( λ (5)

der t nå betegner antall kvartal en komponent er eksponert.

Om man har målt tilstandene til de organisatoriske faktorene over tid vil man kunne estimerelekkasjefrekvensen ut fra sammenhengene gitt over. Som nevnt så er ikke tilstandene til de

80

organisatoriske faktorene registrert tilbake i tid, og det gjør at vi må lage en modell for å kunneestimere hvilken tilstand faktorene var i gjennom den perioden vi har samlet data.

Vi vet altså at f.eks "opplæring/kompetanse" har medvirket til en del hendelser, men vi vet ikkehva tilstanden til denne faktoren var når hendelsene inntraff. Vi vet heller ikke hvilken tilstanddenne faktoren var i når den ikke medvirket til lekkasjer, og vi vet heller ikke hva som har værtgjennomsnittstilstanden for faktoren over perioden (forut for vurderingen i kap. 7.3.2). Vi vetstrengt tatt heller ikke om tilstanden er "dårligere" når lekkasjene inntreffer enn når de ikkeinntreffer.

Vi har vært nødt til å konstruere en statistisk modell for å estimere den tilstanden deorganisatoriske faktorene hadde i perioden 1997-99. Til dette må vi gjøre en del antagelser. Antafor eksempel at det er to lekkasjer der "opplæring/kompetanse" blir nevnt som medvirkende årsaki første kvartal –97, ingen i andre og tredje kvartal, men så en i fjerde kvartal –97, osv. Dette girindikasjon på at i første kvartal var tilstanden til "opplæring/kompetanse" på et "dårlig" nivå(siden det ble registrert 2 lekkasjer i dette kvartalet hvor denne faktoren medvirket). I det nestekvartalet var det ingen lekkasjer relatert til "opplæring/kompetanse", så vi antar at tilstanden lå pået "bedre" nivå. Det samme gjelder for tredje kvartal, mens vi i fjerde kvartal igjen vil si at nivåetvar lavere, fordi vi hadde en lekkasje relatert til "opplæring/kompetanse". Selv om vi lar deorganisatoriske faktorene variere over tid, så antar vi at de er rimelig konstante, slik at tilstanden ikvartal nummer i+1 med en viss sannsynlighet (som estimeres fra dataene) vil være den sammesom ved foregående kvartal i, eventuelt kan tilstanden forandre seg ett nivå, for eksempel fra nivå3 til 4 (men altså ikke fra 3 til 5 i løpet av kun et kvartal).

Nivået/tilstanden til en organisatorisk faktor i et gitt kvartal bestemmer sannsynlighetsfordelingenfor antall lekkasjer der denne organisatoriske faktoren er registrert som medvirkende årsak i dettekvartalet. Ettersom lekkasjer er sjeldne hendelser, er det i følge "god statistisk tradisjon" åmodellere antall registreringer/medvirkninger som Poisson fordelte; det gjøres også her. Vi larforventningen gitt ved parameteren µ i fordelingen for antall registreringer/medvirkninger av enorganisatorisk faktor X i kvartal t være gitt ved

)()(|)( 0 W;W;W ⋅−= αµµ (6)

der X(t) er tilstanden til organisatorisk faktor X ved tiden t, og µ0 og α er ukjente positivekonstanter.

Disse parametrene øker fleksibiliteten i modellen, men de må selvsagt kunne estimeres for atmodellen skal kunne operasjonaliseres. Disse konstantene skal vi innhente fra eksperter, som blirbedt om å besvare følgende spørsmål:

1. Om tilstanden til en gitt organisatorisk faktor X økes fra det verst tenkelige til det besttenkelig, hvor stor effekt vil dette tiltaket ha på antallet ("raten") av observerte lekkasjer?

2. Hva har gjennomsnittlig tilstand vært for organisatorisk faktor X i perioden 1997 til 1999 påen skala fra 1 (verst) til 5 (best) ?

Svaret på disse spørsmålene vil gi entydige verdier for α og µ0.

Dette er "ekspertvurderinger" som vi også hadde behov for ved den ekspert-baserte vektingen.Disse vurderingene ble beskrevet i forrige kapittel (kap. 7.3.2).

81

Den totale modellen for de organisatoriske faktortilstandene kan dermed beskrives ved etBayesiansk nettverk som vist i Figur 30. Merk at bare den delen av modellen som er relevant forde tre periodene t-1, t og t+1 er vist. La X(t) betegne tilstanden til organisatorisk faktor X iperioden t, og la #(t) betegne antall observerte hendelser der X var nevnt som årsak ("antallregistreringer").

Figur 30 Statistisk modell for sammenhengen mellom tilstanden til en organisatorisk faktorog antall ganger den er nevnt som årsak til en lekkasje

De estimerte verdiene av de organisatoriske faktorene er vist i Figur 31.

1

2

3

4

5

1 2 3 4 5 6 7 8 9 10 11 12

7

L

O

V

W

D

Q

G

OF1 OF2 OF3 OF4 OF5

.YDUWDO������

Figur 31 Estimerte tilstander for de organisatoriske faktorene

Figuren viser hvordan tilstandene til de 5 organisatoriske faktorene har endret seg i løpet av de 12kvartalene i perioden 1997-99. Dette dekker hele Statfjord-feltet (SF) og viser at det har vært ennegativ utvikling for 3 av faktorene (OF1, OF3 og OF4), mens tilstanden har vært nokså stabil forde 2 øvrige faktorene (OF2 og OF5). Den negative trenden for 3 av faktorene skyldes spesieltStatfjord B og Statfjord C fordi totalt sett over perioden så viser ikke Statfjord A noen trend(ROCOF’en er tilnærmet konstant, se Figur 32). Dette gjør at cpt’en ikke gjenspeiler situasjonenpå Statfjord A helt korrekt (den reflekterer hele SF under ett).

X(t-1) X(t) X(t+1)

#(t-1) #(t) #(t+1)

… …

82

0

5

10

15

20

25

09.0

1.97

09.0

2.97

09.0

3.97

09.0

4.97

09.0

5.97

09.0

6.97

09.0

7.97

09.0

8.97

09.0

9.97

09.1

0.97

09.1

1.97

09.1

2.97

09.0

1.98

09.0

2.98

09.0

3.98

09.0

4.98

09.0

5.98

09.0

6.98

09.0

7.98

09.0

8.98

09.0

9.98

09.1

0.98

09.1

1.98

09.1

2.98

09.0

1.99

09.0

2.99

09.0

3.99

09.0

4.99

09.0

5.99

09.0

6.99

09.0

7.99

09.0

8.99

09.0

9.99

09.1

0.99

09.1

1.99

W

1

�

W

�

Figur 32 ROCOF for Statfjord A (stigningstallet til kurven)

Når tilstandene til de organisatoriske faktorene i perioden 1997-99 nå er funnet så kan vi bruke enregresjonsmodell for å finne effekten av de organisatoriske faktorene på lekkasjefrekvensen. Lade organisatoriske faktortilstandene ved tiden t være inneholdt i vektoren x(t), og la λ(x(t)) værelekkasjefrekvensen. Vi vil anta at

∑+=L LL

WW ))((log))((log 0 [[ λλλ (7)

slik at effekten av de organisatoriske faktortilstandene er multiplikativ. Vi inkluderer 1. ordens og2. ordens samspillseffekter mellom faktorene. I de 20 lekkasjene på Statfjord A hadde vikombinasjoner av 2 samtidige faktorer i 8 tilfeller og kombinasjoner av 3 samtidige faktorer i 3tilfeller (i de øvrige 9 tilfellene var det kun en enkelt faktor som var "årsak", når vi ikke regnermed individfaktoren). For å forenkle beregningene noe, så velger vi å estimere 2. ordenssamspillseffekter (altså kombinasjoner av 2 faktorer) men ikke 3. ordens samspill (dvs.kombinasjoner av 3 faktorer). Det betyr at den betingede sannsynligheten for lekkasjefrekvensengitt at 2 faktorer er ’dårlig’ samtidig er større enn summen av de 2 betingede sannsynlighetenehvor hver av faktorene er ’dårlig’ hver for seg. (En eventuell tredje faktor vil kun summere seg tilkombinasjonen av de 2 første, men fortsatt være større enn om alle tre ble summert utensamspillseffekt.)

Vi bruker λi(xi(t)) = γi (xi(t)-xi0) der xi

0 er gjennomsnittsverdien for tilstanden til denorganisatoriske faktoren xi som vi også benyttet oss av i beregningen av tilstandsverdiene over 12-kvartals-perioden og γi er en ukjent parameter. For 1. ordens sampillene vil γi være relatert til deninformasjonen vi hentet fra ekspertene, men for 2. ordens samspillene vil det ikke være noen sliksammenheng.

Beregningene baserer seg som nevnt på de 92 lekkasjene observert på Statfjord A, B og C i 1997-1999. For enkelhets skyld antar vi at vi studerer akkurat 92 potensielle lekkasje-punkter, og at dehar akkurat en av lekkasjene hver. Dette vil forenkle beregningene, og siden resultatene fraanalysen er på plattformnivå, vil dette ikke føre til feil i beregningene.

83

Estimeringsteknikken vi benytter er såkalt "maksimum likelihood estimering", som betyr at vivelger de parametrene som gir høyest mulig sannsynlighet for de observerte data. Maksimumlikelihood ligningene i vår modell er gitt som

0))())((exp()(1

0 =⋅−∑ ∑=N

W

M

L

7

NLM]M.W] ] (8)

Her er i løpenummeret over alle parametere vi skal estimere, z(j) er de normalisertetilstandsverdiene til de organisatoriske faktorene ved tiden j (verdiene ved tid j fratrukketgjennomsnittsverdiene) og zi(j) er den i’te parameteren i denne vektoren. γ er den ukjenteparameter-vektoren. Summen over j betyr at vi summerer over alle kvartal i perioden. Summenover k er summasjon over alle feil, slik at tk er feiltiden for det k’te lekkasje-punktet. K0 er antallfeil.

Numerisk optimering er vanskelig i dette tilfelle, fordi likelihood-ligningene har mange lokalemaksimum. Årsaken til dette er at vi skal estimere svært mange parametre fra et forholdsvisbegrenset datagrunnlag. For å gjøre beregningene mer robust har vi derfor gjort tilleggsantagelsenat systemet er koherent. Dette betyr at det å forbedre en forklaringsvariabel fra tilstand i til tilstandi+1 aldri kan gi systemet en høyere lekkasje-rate. Denne antagelsen gir bibetingelser forlikelihood-ligningene, og gjør estimeringen mer robust.

Estimeringsprosessen ga følgende resultater (indeks 1 for OF1 osv.):

1. ordens samspillγ1 γ2 γ3 γ4 γ5

-0.18 -0.16 -0.27 -0.16 -0.22

2. ordens samspillγ12 γ13 γ14 γ15 γ23 γ24 γ25 γ34 γ35 γ450.00 -0.02 0.00 -0.01 0.01 -0.01 0.01 0.03 -0.03 -0.02

Den betingede sannsynlighetstabellen (cpt’en) kan nå etableres og hvor det da tas hensyn tilsamspillseffekter. En forenklet illustrasjon av tabellen er vist i Figur 33.

λ tilstand 2

λ tilstand 3

λ tilstand 4

λ tilstand 1

OF1 tilstand:

OF3 tilstand:

OF4 tilstand:

OF5 tilstand: 2 3 4 5

1

1 1 2

2

1

1

1

OF2 tilstand:

0.323

p(λ=’3’|OF1=’1’,OF2=’1’,OF3=’1’,OF4=’1’,OF5=’5’)

λ tilstand 5

Figur 33 Betinget sannsynlighetstabell ("vekter") for OF’enes effekt på λ

84

Kun den venstre delen av cpt’en er vist i Figur 33 (de 7 første av ialt 3125 kombinasjoner avtilstander til de organisatoriske faktorene). Vi har også gitt et eksempel på én "vekt" (en betingetsannsynlighet), dvs den vekt kombinasjonen 1-1-1-1-5 har på tilstand 3 til λ. Dette er altsåsannsynligheten for at λ skal være i tilstand 3 (dvs. at lekkasjefrekvensen er 3 lekkasjer perkvartal) gitt at OF1, OF2, OF3 og OF4 er i tilstand 1 og OF5 er i tilstand 5.

Summert nedover skal vektene (wij) for hver kombinasjon i være lik 1, og multiplisert medtilstands-verdiene for λ og summert over alle tilstandene får vi forventningsverdien til λ, dvs. E(λ)for denne kombinasjonen. Dvs at:

∑=

=5

11

MLM

Z (9)

∑=

⋅=5

1)()(

MMLML

Z( λλ (10)

for alle kombinasjoner i. (λj er tilstandsverdiene til λ, dvs. 0.1, 1, 3, 5 og 7).

Når det gjelder den betingede sannsynlighetstabellen som angir sammenhengen mellom lekkasje-frekvensen og antall observerte lekkasjer så er denne langt enklere. Antall observerte lekkasjermodelleres med en ("tilpasset") Poisson-fordeling med rate λ, og blir som vist i Figur 34.

Figur 34 Betingede sannsynligheter for antall observerte lekkasjer gitt λ (skjermdump fraHUGIN)

7.3.3.1� Eksempel på vekt/styrke for data-basert vekting

Vi fortsetter med eksempelet fra kap. 7.2.1 hvor vi hadde registrert indikatorverdier som resultertei en tilstand til de organisatoriske faktorene med følgende kombinasjon: 3-3-3-4-3.

Denne kombinasjonen (som alle andre kombinasjoner) gir én vekt (sannsynlighet) per tilstandsom lekkasjefrekvensen kan ha. Vi har definert 5 ulike tilstander for lekkasjefrekvensen ogdermed vil det være 5 vekter (sannsynlighetsfordeling) for denne kombinasjonen. Denne kan vi fåfrem enten direkte fra den betingede sannsynlighetstabellen (cpt’en) eller fra det Bayesianskenettverket ved å spesifisere tilstandsverdiene for de organisatoriske faktorene til å være 3-3-3-4-3.

Vi har valgt det siste her, noe som er illustrert i Figur 35.

85

Figur 35 Eksempel på vekter (sannsynligheter) for kombinasjonen 3-3-3-4-3 (skjermdumpfra HUGIN)

Av figuren ser vi at vektene for kombinasjon 3-3-3-4-3 er 0.10, 99.10, 0.60, 0.10 og 0.10 for de 5tilstandene som lekkasjefrekvensen kan innta (dvs. tilstand 1 med verdi 0.1, tilstand 2 med verdi1, tilstand 3 med verdi 3, tilstand 4 med verdi 5 og tilstand 5 med verdi 7 lekkasjer per kvartal).Vektene er angitt i prosent, og som vi ser så er nesten all vekt (sannsynlighet) lagt på tilstand 2som representerer 1 lekkasje per kvartal. Grunnen til dette er som vi snart skal se at forventnings-verdien ligger svært nær 1.

I figuren har vi kun synliggjort den "låste" (fastsatte) tilstandsverdien til OF5 som er 3.Tilsvarende for de øvrige er da en "låsing" (sannsynlighet 100%) på tilstandene 3-3-3-4.

Forventningsverdien for lekkasjefrekvensen gitt tilstanden til de organisatoriske faktoreneE(λ|OF) finner vi ut fra:

∑=

⋅=5

1)()(

MMM

S2)( λλ (11)

hvor pj er sannsynligheten og λj er tilstandsverdien for lekkasjefrekvenstilstand j.

For kombinasjonen 3-3-3-4-3 får vi da

021.17001.05001.03006.01991.01.0001.0)()(5

1=⋅+⋅+⋅+⋅+⋅=⋅= ∑

=MMM

S2)( λλ

Forventningsverdien er altså svært nær 1 for denne kombinasjonen av tilstander til deorganisatoriske faktorene (rating-verdier) med tilhørende vekter, før vi tar hensyn til hva vi harobservert av lekkasjer i siste kvartal.

Dersom vi regner gjennomsnittsverdien for Statfjord A i perioden 1997-99 som "nåværende"basisverdi, så har forventningsverdien for lekkasjefrekvensen endret seg fra 1.67 til 1.02, noe somtilsvarer en reduksjon på ca. 39%. (Dette har også stor betydning for den totale risikoen, som viskal komme tilbake til.)

86

Ved den ekspert-baserte vektingen fikk vi en forventningsverdi på 1.43, altså en del høyere ennved den data-baserte vektingen. Fra Figur 29 ser vi imidlertid at dersom vi benytter den glattede(stiplede) kurven så vil vi for tverrsum lik 16 komme svært nær 1. Dette må imidlertid betraktessom noe tilfeldig, fordi som vi skal se i neste kapittel så vil vektene være "sensitive" for en gittkombinasjon (også innenfor samme tverrsum) og kan derfor variere (ha verdier både over ogunder det som fremkommer ved ekspert-basert vekting).

7.4�Aggregering

Med aggregering mener vi vanligvis den "totale" ubetingede sannsynligheten for at en variabelbefinner seg i en gitt tilstand. I vårt tilfelle er det lekkasjefrekvensen vi ønsker å skaffe osskunnskap om, og en aggregert effekt av de organisatoriske faktorene (og antall observertelekkasjer) kunne vært den ubetingede sannsynlighetsfordelingen for lekkasjefrekvensen, dvs"uavhengig" av hvilke tilstander de organisatoriske faktorene måtte befinne seg i. Dette haddevært aktuelt for oss dersom vi ikke hadde fastsatt (med sannsynlighet 1) hva tilstandene til deorganisatoriske faktorene er, men istedet lagt en fordeling over de mulige tilstandene (f.eks at vianslår tilstanden til design til å være ’middels’ (tilstand 3) med sannsynlighet 0.6 og ’god’(tilstand 4) med sannsynlighet 0.4.

Men, sålenge vi "fastslår" med sannsynlighet 1 tilstandene til de organisatoriske faktorene, så erdet den betingede sannsynlighetsfordelingen til lekkasjefrekvensen gitt de observerte tilstandenetil de organisatoriske faktorene (og gitt det antall lekkasjer vi observerer) som vi er ute etter.

Den generelle betegnelsen på oppdatering av sannsynlighetene i det Bayesianske nettverket,basert på ny informasjon (endret sannsynlighetsfordeling) om en eller flere av variablene imodellen, er propagering (forplantning). Alle sannsynlighetsverdiene i nettverket oppdateresenten dette gjelder med pilretningen ("forward" inferens) eller mot pilretningen ("backward"inferens). I det siste tilfellet må Bayes teorem benyttes, som illustrert i Figur 36.

obsλ

p(λ)

p(λ|obs) p(obs|λ)

p(obs)

)(

)()()(

REVS

SREVSREVS

λλλ

⋅=

Bayes teorem:

cpt: p(obs|λ)

Figur 36 Bayes teorem

Når tilstandsverdiene til de organisatoriske faktorene er bedømt/fastsatt gjennom måling med brukav de organisatoriske risikoindikatorene, og antall observerte lekkasjer for siste kvartal er kjent, såfår vi en sannsynlighetsfordeling over de ulike tilstandene til lekkasjefrekvensen. Ut ifra denne

87

kan vi så finne forventningsverdien til lekkasjefrekvensen, som er den verdien vi er interessert i.Et eksempel på dette er illustrert i Figur 37.

Figur 37 Eksempel på sannsynlighetsfordeling over lekkasjefrekvensen (skjermdump fraHUGIN)

De organisatoriske faktorene har i eksempelet som er benyttet i Figur 37 tilstandene 3-4-2-3-2(dvs. gjennomsnittverdien for Statfjord A i perioden 1997-99), og som det er vist til høyre ifiguren så har vi observert 2 lekkasjer. Dette gir da sannsynlighetsfordelingen forlekkasjefrekvensen som vist midt på figuren. Forventningsverdien til lekkasjefrekvensen finner vida som følger:

793.170001.050004.033953.016041.01.000.0)(),(5

1=⋅+⋅+⋅+⋅+⋅=⋅= ∑

=MMM

SREV2)( λλ

hvor pj er sannsynligheten og λj er tilstandsverdien for lekkasjefrekvenstilstand j.

Vi får altså i dette tilfellet en lekkasjefrekvens på ca. 1.8 lekkasjer per kvartal. (NB! Vi har nåbenyttet oss av den data-baserte vektingen beskrevet i kap. 7.3.3, som vi også vil benytte i restenav kapittelet.)

Tabell 9 viser hvilke forventningsverdier (E(λ)) vi får for enkelte kombinasjoner av tilstander tilde organisatoriske faktorene. Vi har bl.a tatt med basistilstandskombinasjonen (3-4-2-3-2), denverste kombinasjonen (1-1-1-1-1) og den beste kombinasjonen (5-5-5-5-5), samt et parmellomliggende kombinasjoner (2-2-2-2-2 og 4-4-4-4-4).

Tabell 9 E(λ) for et utvalg tilstandskombinasjoner med og uten observasjoner

Kombinasjon Kun OF’er 0 1 2 3 4 5+1-1-1-1-1 6,981 5,161 6,627 6,911 6,971 6,988 6,9982-2-2-2-2 3,223 2,974 3,052 3,091 3,149 3,235 3,5633-4-2-3-2 1,707 1,138 1,362 1,793 2,319 2,686 2,9504-4-4-4-4 0,401 0,245 0,689 0,948 0,988 1,011 2,1615-5-5-5-5 0,135 0,108 0,181 0,538 0,779 0,822 2,302

Observasjoner

Tabellen inkluderer bl.a det eksempelet vi viste til ovenfor hvor vi hadde en tilstandskombinasjon3-4-2-3-2 og observert 2 lekkasjer (forventningsverdi lik 1.793 lekkasjer per kvartal).

88

Vi ser også at basiskombinasjonen 3-4-2-3-2 før observasjon gir en forventning på 1.707 lekkasjerper kvartal som er tilnærmet lik "basisforventningen" på 20/12 = 1.67 lekkasjer per kvartal basertpå de 20 lekkasjene på Statfjord A i løpet av de 12 kvartalene i 1997-99.

Mht. forankring så ser vi av tabellen at verste kombinasjon (1-1-1-1-1) gir E(λ)=6.981 som ernokså nær den forventningsverdien (E(λ)=6.67) vi kom frem til ved bedømmingen i kap. 7.3.2.Videre ser vi at den beste kombinasjonen (5-5-5-5-5) gir E(λ)=0.135 som også er nokså nær denforventningsverdien (E(λ)=0.17) vi kom frem til i kap. 7.3.2. "Forankringsverdiene" ("variasjons-bredden") baserer seg på en del av de samme bedømmelsene som ble gjort i kap. 7.3.2.

Verdiene i Tabell 9 er også vist i Figur 38.

/HNNDVMHIUHNYHQV��IRUYHQWQLQJVYHUGL�

012345678

KunOF’er

0 1 2 3 4 5+

2EVHUYHUWH�OHNNDVMHU

(�ODP

EGD�

1-1-1-1-12-2-2-2-23-4-2-3-24-4-4-4-45-5-5-5-5

Tilstands-kombinasjoner:

Figur 38 Lekkasjefrekvensen som funksjon av tilstandene til de organisatoriske faktorene ogantall observerte lekkasjer (for et lite utvalg tilstandskombinasjoner)

Figuren gir en viss illustrasjon (inntrykk) av i hvilken grad antall observerte lekkasjer påvirkerlekkasjefrekvensen ift. tilstandsverdiene til de organisatoriske faktorene (OF’ene). Kun når det erstor grad av "uoverensstemmelse" får observasjonene relativt stor betydning. Vi ser at entilstandsbedømming som tilsier en svært dårlig tilstand (1-1-1-1-1) basert kun på OF’ene gir ca. 7lekkasjer per kvartal i forventning, mens en observasjon på 0 lekkasjer er så usannsynlig gitt enunderliggende λ på ca. 7 at dette "trekker ned" forventningsverdien fra ca. 7 til ca. 5. Motsatt såvil en svært god situasjon med lav forventning basert kun på OF’ene gi en λ som tilsier at det ersvært usannsynlig å observere mange lekkasjer. Skulle man derfor ("mot formodning") observeremange (f.eks 4 eller flere) lekkasjer så får dette relativt stor innvirkning på forventningsverdien(som da "trekkes oppover"). Det finnes ikke noe fasitsvar (eller "naturlov") for hvor myeobservasjonene skal "få lov til" å influere på λ. Legger vi forholdsvis liten vekt på observasjoneneså betyr det bare at vi har "god tro" på modellen som utgjør sammenhengen mellom OF’ene og λ.

Vi har redusert effekten av antall observerte lekkasjer ved at Poisson-fordelingen som angirsannsynlighet for antall observerte lekkasjer gitt λ er "tilpasset"/"trunkert" ved at det er satt inn engrenseverdi (minsteverdi) for små sannsynligheter16. Dette fører først og fremst til at der hvor deter stor grad av "uoverensstemmelse" mellom λ basert på OF'ene og antall observerte lekkasjer, så

16 Grenseverdien er 0.0025 og gjelder for 4 av de 30 sannsynlighetene i cpt’en. Vi kan betrakte dette som at OF’eneikke forklarer all variasjonen i antall observerte lekkasjer, og at ca. 1.5% (0.0025 x 6) skyldes andre forhold.

89

blir effekten av antall observerte lekkasjer redusert. Som eksempel så ville man ved en "renPoisson-fordeling" og tilstandskombinasjon 1-1-1-1-1 og 0 observerte lekkasjer fått ca. 3.1istedetfor 5 som forventningsverdi. For mer "normale" tilstandskombinasjoner som f.eks 3-4-2-3-2 vil effekten av dette knapt være merkbar.

Når vi nå benytter den "fullstendige" betingede sannsynlighetstabellen (cpt’en) basert på dendatadrevne vektingen (beskrevet i kap. 7.3.1) og ikke en forenkling som kun betraktertverrsummene til tilstandskombinasjonene (beskrevet i kap. 7.3.2), så er forventningsverdien"sensitiv" for den enkelte kombinasjon. Dvs. at selv om flere kombinasjoner har samme tverrsumså vil lekkasjefrekvensen kunne være nokså forskjellig. Dette skyldes både at de enkelteorganisatoriske faktorene har ulik betydning for lekkasjefrekvensen og at det er samspillseffekterute og går som også er spesifikk for en spesifikk kombinasjon (av 2 og 2 faktorer).

Dette er forsøkt illustrert i Figur 39.

6

(’Tverrsum’)

5 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

1-1-1-1-1

5-5-5-5-51.0

2.0

3.0

4.0

5.0

6.0

7.0

E(λ)

;

;

1.67

verste tilstand

beste tilstand

-90%

+20%0

∆E(λ)

0

;

+80%

+140%

+200%

+260%

+300%

-40% 2-2-5-2-2

3-4-1-3-2

Figur 39 E(λ) er sensitiv for kombinasjonene og ikke lik for samme tverrsum

I figuren er det indikert at forventningsverdien til lekkasjefrekvensen vil dekke et "større" områdefor hver tverrsum. Som eksempel er vist kombinasjonene 3-4-1-3-2 og 2-2-5-2-2 som begge har13 som tverrsum, men hvor det er nokså stor forskjell mellom forventningsverdiene (hhv. 2.231og 1.321), noe som skyldes at OF3 er den faktoren som har størst betydning for lekkasje-frekvensen. Vi kan også legge merke til at for den siste kombinasjonen så går faktiskforventningsverdien ned (ift. basiskombinasjonen 3-4-2-3-2) selv om tverrsummen skulle tilsi enforverring.

90

7.4.1� Eksempel på aggregering/propagering

Vi fortsetter med eksempelet fra kap. 7.2.1 hvor vi hadde registrert indikatorverdier som resultertei en tilstand til de organisatoriske faktorene med følgende kombinasjon: 3-3-3-4-3.

I kap. 7.3.1.1 fant vi ut at forventningsverdien til lekkasjefrekvensen var lik 1.021 før informasjonom antall observerte lekkasjer siste kvartal. La oss anta at vi har hatt 3 lekkasjer i det sistekvartalet. Hvordan slår dette ut på forventningsverdien til lekkasjefrekvensen når vi antar sammetilstand til de organisatoriske faktorene (dvs. 3-3-3-4-3)?

Her må vi anvende det Bayesianske nettverket, fordi propageringen innebærer både "forward"inferens fra tilstandene til OF’ene og "backward" inferens fra det observerte antall lekkasjer (medanvendelse av Bayes teorem). Sannsynlighetsfordelingen over tilstandene til lekkasjefrekvensener vist i Figur 40.

Figur 40 "Sannsynlighetsforplantning" gitt tilstandene til OF’ene og antall observertelekkasjer (skjermdump fra HUGIN)

Beregningen av forventningsverdien til lekkasjefrekvensen blir som følger (basert påsannsynlighetene som er angitt i den midterste boksen i figuren):

056.170008.050022.03021.019759.01.000.0)(),(5

1=⋅+⋅+⋅+⋅+⋅=⋅= ∑

=MMM

SREV2)( λλ

hvor pj er sannsynligheten og λj er tilstandsverdien for lekkasjefrekvenstilstand j.

Vi får altså svært liten endring i forventningsverdien sammenlignet med verdien vi hadde før vikjente til de observerte lekkasjene. Selv om det ikke er så veldig sannsynlig å observere 3lekkasjer når den underliggende λ er ca. 1, så kan det allikevel betraktes som at så mange som 3kan inntreffe ved en "tilfeldighet". Det er nærmere 10% sannsynlighet for å observere 3 eller flerelekkasjer med en λ på ca. 1. Hvis vi derimot antar at vi observerte 5 lekkasjer, så er dette såvidtusannsynlig (ca. 0.4% for 5 eller flere) at forventningsverdien vil "trekkes oppover" fra ca. 1 til2.098 lekkasjer per kvartal. (Ref. også diskusjonen ifm. Figur 38.)

91

Dersom vi skulle oppleve at vi observerer et antall lekkasjer som er svært lite sannsynlig gitt denunderliggende λ basert på tilstandene til de organisatoriske faktorene, så tyder det på at modellen(sammenhengen mellom OF’ene og λ) ikke er helt god. Dette kan f.eks være aktuelt dersom manobserverer et antall lekkasjer (dette antallet eller flere)17 som har mindre enn 5% sannsynlighet forå inntreffe (gitt underliggende λ) i mer enn 1 av 20 tilfeller (evt. 10% i mer enn 1 av 10 tilfeller).

Men, som allerede nevnt så finnes det ikke noe "fasitsvar" for hvor mye observasjonene skal "fålov til" å influere på λ.

7.5� Effekt på risiko

Effekten på risikoen beregnes ut i fra endring i lekkasjefrekvensen som inngår som parameter irisikomodellen (i TRA’en). Effekten av en endring i lekkasjefrekvensen på den totale risikoen harvi beregnet vha. følsomhetsanalyser (med bruk av risikoanalysen) i fase I av indikatorprosjektet(Øien & Sklet, 1999b). Her fant vi at for Statfjord A så vil X% endring i lekkasjefrekvensen føretil 0.464⋅X% endring i det totale risikonivået for installasjonen. (Eksempelvis så vil 50% endring ilekkasjefrekvensen føre til ca. 23% endring i det totale risikonivået). Lekkasjefrekvensen er altsåen svært viktig faktor for risikoen.

Basert på sist oppdaterte risikoanalyse (Statoil, 1996) skulle antallet av "observérbare" lekkasjer(som selvsagt i hovedsak utgjøres av små og middels store lekkasjer fordi store og svært storelekkasjer inntreffer veldig sjelden) være tilstrekkelig til å anvende antallet av alle lekkasjer som endirekte indikator. Dette viste seg ikke å holde stikk.

I likhet med de antakelser vi måtte gjøre for en eventuell anvendelse av en direkte indikator så måvi også for de indirekte organisatoriske risikoindikatorene gjøre de samme antakelser. Disse er:

1. Forholdet mellom de ulike lekkasjekategoriene (’små’, ’middels’, ’stor’ og ’svært stor’) forblirkonstant, dvs at de svært sjelden observerte lekkasjekategoriene ’stor’ og ’svært stor’ endresrelativt sett like mye som de observerbare lekkasjekategoriene ’små’ og ’middels’. Denunderliggende λ vi kommer frem til gjelder summen av ’små’ og ’middels’ lekkasjer.18

2. Vi antar en fordeling av lekkasjene mellom de ulike modulene som er slik at risikoen ikkeendres som følge av en forskyvning av lekkasjene mot mer eller mindre "farlige" områder. Vigjør en gjennomsnittsbetraktning for hele plattformen.

3. Vi antar en lineær sammenheng mellom endringen i lekkasjefrekvens og risiko. (Dette går anå kontrollere gjennom å foreta flere følsomhetsanalyser vha. OHRAT19.)

Når det gjelder den første antakelsen så er det nå en endring ift. anvendelse av en direkte indikatori form av "antallet av alle lekkasjer" (som nå er vårt antall observerte lekkasjer per kvartal) ved atvi nå ser på de bakenforliggende årsaksfaktorene. Antakelsen betyr da at en forbedring av årsaks-faktorene som resulterer i en lavere sannsynlighet for små/middels lekkasjer også gir en laveresannsynlighet for store/svært store lekkasjer (relativt sett like mye). Antakelsen går altså ikkelenger direkte fra små/middels lekkasjer til store/svært store lekkasjer, men fra de baken-forliggende årsaksfaktorene og til de store/svært store lekkasjene, som er de som bidrar medstørsteparten av risikoen.

17 Ved høy underliggende λ gjelder dette for 0, evt. 0 og 1, osv. observerte lekkasjer.18 Den dekker forsåvidt også ‘store’ og ‘svært store’ lekkasjer fordi de bidrar lite til λ totalt sett.19 OHRAT – Offshore Hazard and Risk Analysis Toolkit (dataverktøy benyttet i TRA'en)

92

Det skulle være rimelig å anta at det er de samme typer bakenforliggende årsaksforhold sominnvirker på de store lekkasjene som de små. Ved Piper Alpha katastrofen i 1988 var det bl.a svikti handover mellom skift, samt at arbeidsordresystemet delvis hadde brutt sammen (ref. f.eksReason, 1997). Svikt i handover (som også har forårsaket lekkasje på Statfjord A) fører tilkommunikasjons-/koordineringssvikt, mens sammenbrudd av arbeidsordresystemet fører til svikt ibåde koordinering og kontroll. (Mangelfull kontroll har som kjent medvirket til mange lekkasjerpå Statfjord A, selv om det ikke har skyldtes sammenbrudd i arbeidsordresystemet.) Det er altsågrunn til å anta at det er de samme bakenforliggende årsaksforholdene som innvirker både vedsmå og store lekkasjer (og ulykker for den del)20. Forbedrer man de bakenforliggendeorganisatoriske årsaksfaktorene, så reduserer man sannsynligheten for såvel store som smålekkasjer, og vise versa! Vi "vet" nå (har redusert vår usikkerhet om) hvilke organisatoriskeårsaksfaktorer som er de viktigste for lekkasjefrekvensen og hvor mye de påvirkerlekkasjefrekvensen. Det som nå gjenstår er å omsette dette til påvirkning på det totale risikonivået.

Med de antakelser vi har gjort benytter vi oss av samme sammenheng som vi kom frem til i fase Iav indikatorprosjektet, dvs. at X% endring i lekkasjefrekvensen gir 0.464⋅X% endring i den totalerisikoen.

Det vi har fokus på er relativ endring i risiko, ikke absolutt endring. Det er derfor ikke så kritiskhvilket utgangspunkt vi tar, dvs. basisår. For lekkasjefrekvensen (og dermed også deorganisatoriske risikoindikatorene knyttet til denne) har vi valgt å benytte perioden 1997-99 sombasis. Dette gir som kjent en lekkasjefrekvens på 20/12=1.67 per kvartal (og som ved anvendelsenav den data-baserte vektingen i BN er "forsiktig" tilpasset til 1.707). Utviklingen i perioden 1997-99 har vært stabil (tilnærmet konstant ROCOF/"lekkasjerate") og vi antar derfor at dette nivået errepresentativt for den nåværende situasjonen. Dvs. vi setter E(λ)basis=1.67 lekkasjer per kvartal.

Nå viser det seg at nivået på lekkasjefrekvensen har endret seg "radikalt" siden den sist oppdaterterisikoanalysen forelå (i 1995). Den baserte seg på lekkasjedata fra 1989-93 som representerte etantall observerbare lekkasjer (små og middels) tilsvarende 8.4 lekkasjer per kvartal.Lekkasjefrekvens-reduksjonen har da over en knapp tiårs-periode vært ca. 80%, noe som skullemed de antakelser vi har gjort føre til 80x46.4=37% risikoreduksjon. Vår antakelse nummer 3 omlineær sammenheng mellom endring i lekkasjefrekvensen og risikoen blir mer tvilsom jo størreendringene er. Med den store endringen som har vært mht. lekkasjefrekvens, så kan en fortsattbenyttelse av en endringsfaktor på 0.464 være tvilsom. Dette avhenger også av hvordanutviklingen har vært for andre ulykkestyper enn prosessulykker21. Som vi nevnte under antakelse3 så kan dette sjekkes gjennom flere følsomhetsanalyser i nåværende risikoanalyse evt. oppdateredenne og få en ny basisrisiko22. Inntil videre benytter vi endringsfaktoren k=0.464, men vi tarforbehold om at denne kan være endret.

I Figur 41 har vi illustrert sammenhengen mellom endring i lekkasjefrekvens (ut fra tilstandene tilde organisatoriske faktorene) og endring i risiko. Vi benytter samme figur som er benyttettidligere (Figur 39).

Som vi har diskutert tidligere og som illustrert i figuren så er forventningsverdien til lekkasje-frekvensen sensitiv til den eksakte kombinasjonen av tilstandene til de organisatoriske faktorene 20 Nå kan det tenkes at dette kan variere noe mellom de ulike organisatoriske faktorene, men vi har her valgt å se alleunder ett, dvs. gjøre en gjennomsnittsbetraktning.21 Dersom risikoen for andre ulykkestyper enn prosessulykker tilsammen har endret seg tilsvarende somprosessulykker så er endringsfaktoren den samme, men dersom risikoen for prosessulykker har endret seg relativt settmer enn de øvrige ulykkestypene, så er endringsfaktoren redusert.22 Med såvidt store endringer bare innenfor prosesslekkasjer og den tiden som har gått siden forrige oppdatering burdeTRA’en strengt tatt vært igjennom en ny oppdatering.

93

(når vi anvender den data-baserte vektingen). Vi vet derfor ikke hva forventningsverdien er barebasert på tverrsummene, men må kjenne kombinasjonen til OF-tilstandene. Når denne er kjent kanrisikoendringen avleses på aksen helt til venstre i figuren. (Eksempelvis vil en lekkasjefrekvens på3.0 representere en 37% økning i den totale risikoen for installasjonen.)

6

(’Tverrsum’)

5 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25

1-1-1-1-1

5-5-5-5-51.0

2.0

3.0

4.0

5.0

6.0

7.0

E(λ)

;

;

1.67

verste tilstand

beste tilstand

-42%

+9%0

0

;

+37%

+65%

+93%

+121%

+148%

-19% 2-2-5-2-2

3-4-1-3-2

∆R

Figur 41 Risikoendring som funksjon av lekkasjefrekvensen

Endringen i risiko kan vi også beregne ut fra:

464.0)(278.0167.1

)(464.01

)(

)( −⋅=

−⋅=

−⋅=∆ λλ

λλ

((

((

N5EDVLV

(12)

7.5.1� Eksempel på beregning av effekt på risiko

Vi fortsetter her på eksempelet fra kap. 7.4.1 hvor en tilstandskombinasjon for OF’ene på 3-3-3-4-3 samt 3 observerte lekkasjer ga en forventningsverdi for lekkasjefrekvensen E(λ)=1.056.Endringen i risiko finner vi da med bruk av likning 7:

170.0464.0056.1278.0464.0)(278.0 −=−⋅=−⋅=∆ λ(5

Altså en risikoreduksjon på 17%.

Dette er resultatet av de (fiktive) målinger vi gjorde med de organisatoriske risikoindikatorenesom resulterte i tilstandsverdiene til de 5 organisatoriske faktorene på hhv. 3, 3, 3, 4 og 3, samt etobservert antall lekkasjer i siste kvartal lik 3.

94

7.6� Følsomhetsanalyser

Vi vil benytte følsomhetsanalyser for å belyse 3 ulike perspektiver. Disse er:

• Hvor bør tiltak settes inn? (Hvor er forbedrings- og forverringspotensialet størst?)• Hvor følsomme er de antakelser og vurderinger vi har gjort?• Hvordan kan vi anvende metodikken dersom vi mangler informasjon?

7.6.1� Forbedrings- og forverringspotensial

Selv om vi først og fremst ønsker å overvåke/kontrollere risikoutviklingen gjennom oppfølgingenav tilstanden til de 5 organisatoriske faktorene, så vil resultatene kunne benyttes til å si noe omhvilke faktorer som har størst potensiale for forbedring evt. forverring. Dette gjelder også forkombinasjoner av faktorer.

I Figur 42 har vi betraktet faktorene enkeltvis og sett på hvordan forventningsverdien tillekkasjefrekvensen (E(lambda)) endrer seg dersom tilstanden endrer seg fra nåværende verdi.

(QGULQJ�L�OHNNDVMHIUHNYHQV

0,0

0,5

1,0

1,5

2,0

2,5

3,0

)DNWRUWLOVWDQG

(

�

O

D

P

E

G

D

�

OF1 2,4 2,0 1,7 1,4 1,2

OF2 2,7 2,3 2,0 1,7 1,5

OF3 2,2 1,7 1,3 1,0 0,8

OF4 2,3 2,0 1,7 1,5 1,2

OF5 2,1 1,7 1,4 1,1 0,9

Tilst. 1 Tilst. 2 Tilst. 3 Tilst. 4 Tilst. 5

+61%

-55%

Figur 42 Endring i lekkasjefrekvens ved enkeltvis endring av OF’ene

Hver enkelt faktor er endret mens alle andre er fastholdt på sin nåværende tilstand.Utgangspunktet er tilstandskombinasjonen 3-4-2-3-2 som gir en forventningsverdi på 1.707lekkasjer per kvartal.

Vi ser av figuren at forbedringspotensialet er størst for OF3 ("…, kontroll") og OF5 ("PM-program/inspeksjon"). For OF3 er forbedringspotensialet på 55%. Forverringspotensialet er størst

95

for OF2 ("prosedyrer, SJA, …") og kan i verste fall resultere i en 61% økning i lekkasje-frekvensen.

I figuren har vi med stiplet linje vist hva som er nåværende tilstand og som representererforventningsverdien på 1.707 lekkasjer per kvartal. Her ser vi da at potensialet for forbedring ellerforverring avhenger av utgangspunktet, og at dette varierer. Dersom vi er interessert i åsammenlikne faktorene med hverandre for en gitt lik endring av tilstand må vi benytte fellesnullpunkt. Dette er gjort i Figur 43.

(QGULQJVSRWHQVLDO�IRU�OHNNDVMHIUHNYHQVHQ

0

0,5

1

1,5

2

2,5

3

Minus 3 Minus 2 Minus 1 Null Pluss 1 Pluss 2 Pluss 3

7LOVWDQGVHQGULQJ

(

�

O

D

P

E

G

D

�

OF1OF2

OF3OF4OF5

Figur 43 Enkeltvis (relativt) endringspotensial

Størst relativt forbedrings- og forverringspotensial er det OF3 som har, deretter følger OF5, såOF1, og til slutt OF2 og OF4 (som er helt lik). Når det gjelder absolutt forverringspotensial så servi at dette er det OF2 som har etterfulgt av OF1 og OF4.

Når det gjelder forbedring så ser vi at det er nesten like stor effekt av å forbedre OF 3 med éntilstandsverdi (fra 2 til 3) som det er å forbedre OF1 eller OF4 med to tilstandsverdier (fra 3 til 5).Det vil altså være mest effekt av å sette inn tiltakene mot faktorene OF3 og OF5, men samtidigskal man være på vakt mot å forverre de forholdene hvor man idag er forholdsvis god.

Selv om faktorene OF3 og OF5 er de faktorene som gir størst relativ forbedring (og også absoluttforbedring) så er det ikke sikkert at disse er de mest "lønnsomme" i den forstand at man får "mestsikkerhet igjen for hver krone investert". Her har vi kun sett på potensialet uten å vurderekostnadene ved en forbedring med én tilstandsverdi. Dette vil mest sannsynlig variere nokså myemellom faktorene. Det kunne jo f.eks tenkes at en forbedring av OF1 med to tilstandsverdier ikkekoster mer enn en forbedring av OF3 med én tilstandsverdi. Nå er nok situasjonen for OF3 ogOF5 gunstig mht. forbedringspotensiale i og med at disse er vurdert til å ha et dårligereutgangspunkt (tilstandsverdi 2) og at det generelt kan være mindre "krevende" med en forbedringfra tilstand 2 til 3 enn fra f.eks 4 til 5.

Hva så med endring av 2 og 2 faktorer? Hvilke kombinasjoner av faktorer gir størst forbedrings-og forverringspotensial? Vi betrakter forbedring og forverring hver for seg. I Figur 44 har viillustrert forbedringspotensialet ved å la 2 og 2 faktorer forbedres maksimalt (dvs. begge forbedresfra nåværende antatte tilstandsverdi til tilstand 5), mens de øvrige faktorene holdes på dennåværende tilstanden.

96

5HGXNVMRQ�L�OHNNDVMHIUHNYHQVHQ

0

0,2

0,4

0,6

0,8

1

1,2

1,4

1,6

1,8

Null Pluss 1 Pluss 2 Pluss 3 Pluss 4 Pluss 5 Pluss 6

7LOVWDQGVIRUEHGULQJ

(

�

O

D

P

E

G

D

�

OF1+OF2

OF1+OF3

OF1+OF4

OF1+OF5

OF2+OF3

OF2+OF4

OF2+OF5

OF3+OF4

OF3+OF5

OF4+OF5

Linear (OF3+OF5)

Figur 44 Parvis forbedringspotensial til de organisatoriske faktorene

Ikke overraskende er det kombinasjonen OF3+OF5 som har det største absolutte forbedrings-potensialet (fra 1.707 til 0.313 lekkasjer per kvartal, dvs 82% reduksjon i lekkasjefrekvensen).Dette skyldes at det kun er denne kombinasjonen som har mulighet for en samlet forbedringtilsvarende 6 tilstandsverdier. Men, vi har i figuren også lagt inn linjen (kalt "Linear (OF3+OF5)")fra utgangspunktet (som er likt for alle) til punktet for maksimalendring for OF3+OF5. Her ser viat relativt til antall tilstandsverdier som må forbedres så er det "gunstigere" å forbedrekombinasjonen OF1+OF3 og OF2+OF3. Dette kan imidlertid bli noe misvisende fordi vi kunbetrakter en maksimal endring. En mindre endring trenger ikke å følge den lineære kurven ifiguren, og dessuten vil det for en endring som er mindre enn maksimal være flere muligekombinasjoner hver med sin unike absolutte forbedring.

I Figur 45 har vi vist forverringspotensialet dersom 2 og 2 faktorer endres til verste tilstand (dvstilstandsverdi 1) samtidig som de øvrige 3 faktorene holdes på sitt nåværende nivå.

�NQLQJ�L�OHNNDVMHIUHNYHQVHQ

0

0,5

1

1,5

2

2,5

3

3,5

4

4,5

Minus 5 Minus 4 Minus 3 Minus 2 Minus 1 Null

7LOVWDQGVIRUYHUULQJ

(

�

O

D

P

E

G

D

�

OF1+OF2

OF1+OF3

OF1+OF4

OF1+OF5

OF2+OF3

OF2+OF4

OF2+OF5

OF3+OF4

OF3+OF5

OF4+OF5

Linear (OF1+OF2)

Figur 45 Parvis forverringspotensial til de organisatoriske faktorene

Det største absolutte forverringspotensialet er det kombinasjonen OF1+OF2 som har (endring fra1.707 til 3.935 lekkasjer per kvartal, dvs 131% økning i lekkasjefrekvensen). Men også her ser viat f.eks OF2+OF3 relativt sett er "verre".

97

7.6.2� Følsomhet av antakelser og vurderinger

Vi gjør en rekke antakelser og vurderinger underveis i forsøket på å si noe om hvor mye endringeri organisatoriske faktorer påvirker risikonivået kvantitativt. Noen er mer kritiske enn andre, noenlar seg lettere kontrollere enn andre, og noen lar seg lettere vurdere vha. følsomhetsanalyser ennandre. Nedenfor har vi listet hvilke forhold som påvirker resultatet.

1. Viktigste organisatoriske faktorer er inkludert i modellen2. Indikatorene måler de viktigste aspektene av de organisatoriske faktorene3. Selve indikatormålingen er korrekt4. Måleskalaen er korrekt (korrekt forankring)5. Korrekt vekting mellom indikatorene (innenfor hver faktor)6. Korrekt tilstandsverdi for de organisatoriske faktorene7. Korrekte forankringsverdier for vektingen (nåværende, verste og beste tilstand)8. Korrekt estimering av tilstandsverdier for bruk av tidligere lekkasjehendelser (data)9. Korrekt data-basert vekting10. Korrekt medvirkning/effekt av antall observerte lekkasjer11. Korrekt effekt på risikoen

Vi vil kommentere på alle disse forholdene, men det er kun forhold 4, 5, 6, 7 og 11 som vi kangjennomføre følsomhetsanalyser for som kan belyse hvor følsomme disse forholdene er for en"ukorrekt" håndtering.

1.� Viktigste organisatoriske faktorer er inkludert i modellen

Dette kontrollerer vi gjennom å benytte den kvalitative lekkasjemodellen når lekkasjen årsaks-vurderes (helst samtidig med at RUH’en fylles ut og diskuteres av plattformledelsen). Skulle manfå flere hendelser som ikke passer inn i modellen, så må det vurderes å endre modellen (legge tilog/eller fjerne faktorer). At det sporadisk kan oppstå lekkasjer som ikke passer inn i modellen ermulig da denne ikke er tenkt å skulle dekke absolutt alle tenkelige (og utenkelige) lekkasje-tilfeller. Vi har en målsetting om at modellen skal dekke det viktigste. Dette gjør at modellen kanholdes på et håndterbart kompleksitetsnivå.

2.� Indikatorene måler de viktigste aspektene av de organisatoriske faktorene

Dette er et svært sentralt forhold og har med validitet å gjøre, dvs om vi måler det vi faktiskønsker å måle. Det finnes mange former for validitet, men vi skal ikke foreta en uttømmendediskusjon omkring dette. Én type validitet vil vi imidlertid ta med og det er det som kalles "facevalidity", og som i praksis innebærer at dersom plattformpersonell og plattformledelsen påStatfjord A oppfatter indikatorene til å måle viktige aspekter ved de tilhørende organisatoriskefaktorene så er indikatorene "gode" ("valide"). De har såkalt høy "face validity". Dette er deneneste form for validitet vi har lagt vekt på sålangt.

Det er også viktig at den operatør som tar i bruk slike organisatoriske risikoindikatorer er med påå utarbeide/vurdere disse. Dette skyldes bl.a at man kan bli nødt til å "kompromisse" mellomvaliditet og registrerbarhet. Krav til enkel registrering kan gå ut over validiteten.

Med den metodikk vi benytter så går det også an å "bøte på" eventuell dårlig validitet. Dette skalvi komme tilbake til under diskusjonen omkring hvordan vi kan håndtere mangelfull informasjon.Dersom vi mangler indikatormålinger eller at indikatorene for en bestemt faktor (eller flere

98

faktorer) anses for å ha "utilstrekkelig" validitet kan vi foreta en subjektiv vurdering av faktorenog legge en sannsynlighetsfordeling over tilstandene. Dette kan gjøres uten eller i tillegg tilindikatormålinger.

3.� Selve indikatormålingen er korrekt

Dette har med såkalt "reliabilitet" å gjøre, dvs hvorvidt ulike personer kommer frem til sammeresultat av målingen (evt. om samme person ved repeterte målinger kommer frem til sammemåleresultat). Basert på den type indikatorer vi benytter hvor målingene baserer seg i stor grad påregistrerte forhold, så vil det være likegyldig hvem som foretar "målingen". De vil komme frem tilsamme måleresultat. Indikatorene har i så måte høy reliabilitet. En forutsetning vi her gjør er at allrapportering og registrering er korrekt, dvs at man ikke over- eller underrapporterer. Dersom manbevisst går inn for å "jukse" (jfr. f.eks AETATs jobbformidling) så blir selvsagt målingene feil.

Dersom det imidlertid er problemer med validiteten slik at vi må anvende subjektive vurderingerav en hel faktor, så kan det oppstå problemer ift. reliabilitet. Da kan det godt tenkes at ulikepersoner vil bedømme samme faktor ulikt.

4.� Måleskalaen er korrekt (korrekt forankring)

Når vi måler en eller annen verdi vha en indikator (f.eks et antall eller en andel) så kan denneforsåvidt være grei å måle med høy reliabilitet, men vi må kunne si hvorvidt målingen betyr at dentilhørende faktoren er "godt" eller "dårlig" ivaretatt. (Vi kan på en måte si at vi har forskjøvetproblemet fra forrige punkt over til måleskalaen.) Vi benytter som kjent 5 ulike verdier fra ’sværtdårlig’ til ’svært god’ og vi må bestemme hvilken indikatorverdi som skal tilsvare disse 5 uliketilstandene til den organisatoriske faktoren.

Vi kan til en viss grad "tune" måleskalaen ift. hva som vi oppfatter å være nåværendegjennomsnittsverdi for faktoren (slik at vi totalt for alle indikatorene havner ut på gjennomsnittet),men yttergrensene (verdi 1 og 5), spesielt dårligste verdi (1), kan være vanskeligere å fastsette. Imange tilfeller vil beste verdi gi seg ut fra hva som er "maksimalt oppnåelig", mens dårligste verdiutgjør den største utfordringen.

I noen tilfeller hvor andel benyttes som indikator har vi satt 0.5 som dårligste verdi, dvs at dersomandelen er mindre enn 50% så oppnår man ikke mer enn en "score" på 1. Dette er selvsagt også etforhold som plattformpersonell/ledelse som skal anvende indikatorene må ta stilling til. Men laoss anta at en andel på 0.5 er "feil". Hvor mye betyr dette? La oss anta at det korrekte skulle vært0.2 for indikator ORI21, og så anvender vi det eksempelet vi startet med i kap. 7.2.1.

Den nye "scoren" eller ratingverdien (r21) ville da blitt 4 istedetfor 3 for denne indikatoren. (Detsamme ville en forankringsverdi/ytterpunkt på 0 istedetfor 0.2 gitt.)

Den totale ratingverdien for faktoren (OF2) vil nå bli (se kap. 7.2):

15.312.0525.0225.043.04

1222 =⋅+⋅+⋅+⋅=⋅= ∑

=MMM

UYU

OF2 er dermed fortsatt målt til en tilstand 3. (Ligger imellom 2.5 og 3.5.) Selv om vi både forindikator ORI21 og indikator ORI22 (dvs 2 av 4 indikatorer) forandret nedre grense fra 0.5 til 0.2,så vil vi fortsatt havne innenfor 2.5 og 3.5 slik at tilstandsverdien blir 3 for faktoren som helhet.

99

Det at vi har såpass få tilstandsverdier som 5 for de organisatoriske faktorene gjør at vi blirrimelig robust mot "feil" i måleskalaen. Situasjonen hadde vært verre dersom vi hadde forsøkt åbenytte en 10-delt skala.

5.� Korrekt vekting mellom indikatorene (innenfor hver faktor)

Ulik vekting av indikatorer for et og samme forhold betyr mindre jo flere indikatorer vi benytter.Dersom en faktor måles med noen få indikatorer vil vektingen få større betydning, og vi velgerderfor de faktorene som kun har 2 indikatorer, for en følsomhetsvurdering. Dette gjelder OF3 ogOF5.

For OF3 er indikatorene ORI31 og ORI32 vektet hhv. 70% og 30%. Dette ga i eksempelet i kap.7.2.1 tilstand 3 for faktor OF3. Anta en vekt på 50%/50%. Da får vi følgende rating:

5.345.035.02

1333 =⋅+⋅=⋅= ∑

=MMM

UYU

Dette endrer altså ratingen fra 3.3 til 3.5. Nå ligger 3.5 akkurat på grensen mellom tilstand 3 og 4,og runder vi oppover tipper vi dermed over til en tilstand 4. Dette vil gi utslag pålekkasjefrekvensen ved at vi nå får tilstandskombinasjonen 3-3-4-4-3 istedefor 3-3-3-4-3 (ieksempelet vårt). Uten å ta hensyn til antall observerte lekkasjer siste kvartal så vilforventningsverdien til lekkasjefrekvensen endre seg fra E(λ)=1.021 til E(λ)=0.776. Istedetfor en40% reduksjon i lekkasjefrekvensen kommer vi frem til en 54% reduksjon.

Nå vil vi selv om vi varierer vektingen fra det ene ytterpunktet (100%/0%) til det andre(0%/100%) befinne oss mellom rating 3 og 4 og dermed tilstand 3 eller 4. Tilstanden vil være densamme (verdi 3) dersom den endres mellom 100%/0% og 51%/49%. Dette uttrykker følsomheteni de anslåtte vektene 70%/30%. Dersom vi "bikker over" til et sted mellom 50%/50% og0%/100% så endres tilstandsverdien til 4 og dermed lekkasjefrekvensen med 14% størrereduksjon enn ved tilstand 3.

For OF5 er indikatorene ORI51 og ORI52 vektet hhv. 40% og 60%. Dette ga i eksempelet i kap.7.2.1 tilstand 3 for faktor OF5. Anta en vekt på 50%/50%. Da får vi følgende rating:

5.245.015.02

1555 =⋅+⋅=⋅= ∑

=MMM

UYU

Dette endrer ratingen fra 2.8 til 2.5 og vi befinner oss fortsatt innenfor området for tilstand 3. I ogmed at indikatorene gir såvidt forskjellige verdier som 1 og 4 vil faktoren bli mer følsom forvektene enn tilfellet var for faktor OF3. Dersom vi antar at den "korrekte" vektingen er et stedmellom 50%/50% og 20%/80% så vil resultatet bli det samme som ved en vekting 40%/60%.Havner vi utenfor dette området vil tilstandsverdien endre seg. Ved f.eks 60%/40% istedetfor40%/60% så får vi en tilstand 2 istedetfor 3 og dermed tilstandskombinasjonen 3-3-3-4-2. Dennehar (uten informasjon om observerte lekkasjer) en forventningsverdi til lekkasjefrekvensen påE(λ)=1.347, dvs en reduksjon på 21% istedetfor 40% ift. nåværende tilstand/lekkasjefrekvens på1.707 lekkasjer per kvartal.

Også når det gjelder fastsettelse av individuelle vekter for indikatorene er det viktig atplattformpersonell/ledelse er med å vurderer/fastsetter disse.

100

6.� Korrekt tilstandsverdi for de organisatoriske faktorene

Denne blir en funksjon av de 4 foregående forholdene. Korrekt tilstandsverdi for en organisatoriskfaktor avhenger av at vi måler de riktige aspektene, at selve målingen er korrekt, at måleskalaen erkorrekt (forankret) og at vekting/sammenveiing av flere indikatorer er korrekt.

Generelt kan vi si at forutsatt at vi måler de riktige aspektene ("valide" indikatorer) så er resultatetrimelig robust for avvik i måleskala og individuell vekting av indikatorene. Dersom avviket ersåvidt stort at vi får "feil" tilstandsverdi, så slår dette ut endel. I eksempelet ovenfor så vi at viistedetfor en 40% endring i lekkasjefrekvensen kan få en 21% eller 54% endring (altså fra –19%til +14% absolutt avvik).

Forutsetningen om valide indikatorer kommer vi tilbake til.

7.� Korrekte forankringsverdier for vektingen (nåværende, verste og beste tilstand)

Tilsvarende som for forankringen av måleskalaen til indikatorene så er ikke nåværende og bestetilstand det som skaper de største utfordringene. Nåværende tilstandskombinasjon (3-4-2-3-2)tilpasses lekkasjedataene mht. forventningsverdi til lekkasjefrekvensen (20 lekkasjer på 12kvartal, dvs ca. 1.7 lekkasjer per kvartal). For en etablering/utforsking av metodikk som vi hargjort i dette prosjektet er det ikke kritisk hvilke verdier vi har valgt for nåværende tilstand, menhvis metodikken skal tas i bruk må selvsagt Statfjord A-personell verifisere/korrigerebedømmelsene.

Om et forhold er gitt en for høy eller lav tilstandsbedømming, så slår dette først og fremst ut pådet absolutte forbedrings-/forverringspotensialet for denne faktoren.

For beste tilstand så har vi bedømt dette til å tilsvare 2 lekkasjer per 12 kvartal (dvs.E(λ)beste=0.17). For en følsomhetsvurdering av dette må vi anvende oss av resultatene fra denekspert-baserte vektingen (endring av forankringsverdier i den data-baserte vektingen og dermedcpt’en i det Bayesianske nettverket er en svært omfattende sak). La oss anta at vi istedetfor 2lekkasjer benytter 0 eller 5 lekkasjer. Hvordan slår dette ut på lekkasjefrekvensen? Vi velger her ågjøre en "realistisk" antakelse om at den beste tilstanden vi i praksis vil forvente å oppnå i løpet avforholdsvis lang tid er en endring fra 3-4-2-3-2 (med tverrsum 14) til en eller annen kombinasjonmed tverrsum 20 (f.eks 4-4-4-4-4). Hvis vi benytter den rette linjen mellom nåværende tilstand ogbeste tilstand (ref. Figur 29), så betyr dette at vi med et minimum på 2 lekkasjer per 12 kvartal(som nå) har E(λ)20(2)=0.87, mens vi med 0 lekkasjer ville fått E(λ)20(0)=0.76, og med 5 lekkasjerville fått E(λ)20(5)=0.99, dvs en forbedring på hhv. 54% og 41% istedetfor 48% (relativt tilnåværende verdi på 1.67 lekkasjer per kvartal). Et minste antall lekkasjer i området 0-5 (istedetfor2) gir dermed et absolutt avvik på fra –7% til +6%, som må sies å være relativt beskjedent. Bestetilstand er ikke det som representerer det største problemet.

For verste tilstand har vi relatert antallet lekkasjer over en 12-kvartals-periode (80 lekkasjer) tildet som tidligere har vært erfart under perioder med mange lekkasjer. Hva om tallet istedet burdevært 100 eller 60? Hvordan slår dette ut på lekkasjefrekvensen?

Også her er vi nødt til å benytte den ekspert-baserte vektingen og den lineære kurven mellomnåværende og verste tilstand. Anta analogt med vurderingen av beste tilstand at en "realistisk"forverring settes til en kombinasjon med tverrsum 10 (f.eks 2-2-2-2-2). Denne gir enE(λ)10(80)=3.91, dvs med den nåværende antakelsen om 80 lekkasjer. Med 100 lekkasjer ville vifått E(λ)10(100)=4.63 lekkasjer per kvartal og med 60 lekkasjer ville vi fått E(λ)10(60)=3.15 lekkasjer

101

per kvartal. Forskjellene er her betydelig større enn det var for avvik fra beste tilstand, menallikevel ikke større enn en faktor på ca. 1.5.

8.� Korrekt estimering av tilstandsverdier for bruk av tidligere lekkasjehendelser (data)

For at vi skal kunne benytte lekkasjedataene til å foreta en data-basert vekting så har vi behov forå kjenne tilstanden til de organisatoriske faktorene på det tidspunkt lekkasjene inntraff. Dette kanvi få til i fremtiden (hvis vi ønsker det) men å finne ut dette i ettertid er vanskelig. Vi har måttetestimere dette gjennom å benytte lekkasjedata (fra hele Statfjord feltet) og ved å etablere enstatistisk modell. Denne estimeringen er rimelig robust. Resultatet (ref. Figur 31) blir stort sett detsamme selv om antall hendelser som benyttes halveres. De antakelser vi har gjort som kan gi noe"feil" er at vi benytter data fra hele feltet (SF) og dermed indirekte antar at situasjonen på StatfjordA, Statfjord B og Statfjord C er forholdsvis lik. Dette er nok ikke helt korrekt, spesielt utviklingeni 1999 og begynnelsen av 2000 på Statfjord B og Statfjord C har vært dårligere enn på StatfjordA. Hvor mye dette slår ut på estimeringen er imidlertid vanskelig å si.

Nå er det slik at disse estimatene benyttes som underlag for å etablere vektene (de betingedesannsynlighetene) i cpt’en, slik at feil ved estimeringen i seg selv er ikke problemet. Problemet erhvordan dette slår ut på vektingen, ref. neste punkt.

9.� Korrekt data-basert vekting

En korrekt data-basert vekting er en funksjon av de 2 foregående punktene. For at vektingen skalvære korrekt så må forankringsverdiene være korrekt og estimeringen av tilstandsverdiene(bakover i tid) være korrekt.

Dersom cpt’en skal benyttes som en statisk tabell (etablert en gang for alle) så er vi sårbare for atde 2 foregående punktene er rimelig "korrekte", men dersom vi velger å benytte dette som etførste utgangspunkt og deretter lar cpt’en "lære" etterhvert som vi får informasjon om nyelekkasjer og tilstanden til de organisatoriske faktorene hvert kvartal, så vil vektingen selv om denikke er helt korrekt fra starten bli mer og mer korrekt etterhvert som vi får inn ny informasjon. Viblir dermed ikke så sårbare for at punkt 7 og 8 gir de "korrekte" resultat.

10.�Korrekt medvirkning/effekt av antall observerte lekkasjer

Her finnes som tidligere nevnt ikke noe "fasitsvar". Dette har med betraktningmåte å gjøre, og vikan ikke påstå at vår betraktningsmåte er den "korrekte". Vi har en betraktningsmåte som nærmestkan beskrives som at vi stoler på modellen/sammenhengen mellom de organisatoriske faktoreneog lekkasjefrekvensen (nær sagt inntil det motsatte er bevist) og betrakter i utgangspunktet dennelekkasjefrekvensen å representere den underliggende "fanskap". Den sier da noe om hva vi kanforvente oss av lekkasjer i løpet av et kvartal, men det faktiske antallet som "åpenbarer seg" ertilfeldig. Det kan være 0 eller 1 eller 2 eller 3 osv., men dersom vi f.eks forventer 1 lekkasje ogerfarer noe som er svært lite sannsynlig (f.eks 4 eller flere lekkasjer) så vil dette for det førstepåvirke lekkasjefrekvensen (den"dras opp" i dette tilfellet), og for det andre bør vi bli skeptisk tilmodellen dersom vi "flere ganger" observerer et antall lekkasjer som "matcher" dårlig medmodellen. Antall observerte lekkasjer vil dermed også kunne fungere som en slags verifisering avmodellen.

Andre ville kanskje valgt å legge større vekt på det observerte antall lekkasjer enn det vi gjør, ogargumentere for det.

102

11.�Korrekt effekt på risikoen

Dette avhenger av "gyldigheten" av den såkalte k-faktoren, som basert på TRA’en fra 1995 erberegnet til å være 0.464. For å verifisere denne må man enten kjøre følsomhetsanalyser i deneksisterende TRA’en eller aller helst oppdatere denne da det er mye som tyder på at endringenesiden 1995 er forholdsvis store. Ikke minst gjelder dette for lekkasjefrekvensen.

Når det gjelder følsomheten av k-faktoren så er den direkte proporsjonal med effekten på risikoen.Dersom f.eks faktoren ikke er 0.464 men bare det halve (0.232) så halveres effekten på risikoen.Dette betyr i såfall at den relative betydningen til prosessulykker har blitt redusert (halvert) ift.summen av de øvrige ulykkestypene. (Noe som kanskje ikke er utenkelig.)

Selv om det nå skulle være slik (og hvorfor skulle det ikke det) at vi har gjort antakelser ogforetatt vurderinger som ikke er helt "korrekt", så er de "feil" vi gjør å betrakte som systematiske,fordi vi ønsker å følge opp endring i risiko over tid og dermed så vil de samme eventuelle feileneligge til grunn hver gang (hvert kvartal) vi regner ut endring i lekkasjefrekvens og dermed endringi risiko. Ved en slik relativ betraktning blir ikke "feilene" så kritiske.

7.6.3� Håndtering av mangelfull informasjon

Hva gjør vi dersom vi mangler indikatormålinger for en eller flere av de organisatoriskefaktorene, eller at vi ikke oppfatter indikatorene til å være tilstrekkelig valide for en eller flerefaktorer, eller at "dekningsgraden" av settet med indikatorer er for liten for en eller flere avfaktorene?

Da utnytter vi den fleksibiliteten som ligger i det Bayesianske nettverket til å angi tilstandenesubjektivt eller som en kombinasjon av indikatormålinger og subjektive vurderinger. Vi behøverheller ikke "bli enig om" én tilstandsverdi (med "100% sikkerhet"), vi kan fordele vår tiltro tilhvilken tilstand en faktor befinner seg i ved å legge en sannsynlighetsfordeling over de aktuelletilstandene.

La oss anta følgende for å illustrere dette.

i) For faktor OF3 har vi ikke vært i stand til å få noen indikatormålingerii) For faktor OF4 har vi måleresultatet for indikatoren (ORI41) men vi synes denne ikke er

dekkende nok for hele faktoren ("design")

La oss også ta utgangspunkt i det eksempelet vi startet med i kap. 7.2.1, og hvor vi kom frem tilen tilstandskombinasjon 3-3-3-4-3. Vi har nå følgende situasjon; 3-3-?-?-3, dvs vi har ikke klart åfastsette tilstanden til faktor OF3 og OF4, (og slettes ikke med "100% sikkerhet").

For OF3 må vi klare oss helt uten indikatormålinger og kun benytte subjektive vurderinger("ekspertvurderinger"). Det finnes en rekke teknikker og metoder for "å trekke kunnskapen" ut avekspertene på "en best mulig måte". Vi skal ikke diskutere det her. Istedet antar vi at eksempelvisplattformledelsen har kommet frem til at de med 50% sikkerhet mener at tilstanden til faktor OF3er ’3’, at den med 30% sikkerhet er ’4’ og at den med 20% sikkerhet er ’2’. De er altså ikke 100%sikker på at tilstanden er ’3’, istedet legger de en fordeling (sannsynlighetstetthetsfunksjon) overtilstandene. Denne er altså for OF3 vurdert til å være:

Tilstand 1: 0

103

Tilstand 2: 0.2Tilstand 3: 0.5Tilstand 4: 0.3Tilstand 5: 0

For faktor OF4 har vi indikatormåling som tilsier en tilstand lik ’4’, men vi antar at plattform-ledelsen ikke synes denne er dekkende for faktoren og vil ikke benytte denne alene. Anta at debetrakter denne som "40% dekkende", og dermed i utgangspunktet vurderer at faktoren er itilstand ’4’ med 40% sikkerhet. De øvrige 60% fordeler de "subjektivt" gjennom diskusjon/vurderinger i ledelsen til følgende; 20% sikkerhet for tilstand ’2’, 20% for tilstand ’3’ og 20% fortilstand ’4’. Vi får da følgende sannsynlighetsfordeling ("tiltro-fordeling") for faktor OF4:

Tilstand 1: 0Tilstand 2: 0.2Tilstand 3: 0.2Tilstand 4: 0.6Tilstand 5: 0

Vi kan nå legge disse vurderingene inn i det Bayesianske nettverket og se hvilken sannsynlighets-fordeling vi nå får for lekkasjefrekvensen. Dette er illustrert i Figur 46.

Figur 46 Beregning av lekkasjefrekvensen ved "ikke-eksakt" angivelse av tilstandsverdiene

For de 3 øvrige organisatoriske faktorene (OF1, OF2 og OF5) har vi en "eksakt" bedømmelse avtilstanden, dvs tilstanden er fastsatt med "100% sikkerhet/tiltro". I eksempelet har alle verdien ’3’.

Med den sannsynlighetsfordelingen for lekkasjefrekvensen som angitt i Figur 46 får vi følgendeforventningsverdi:

109.17001.05001.030767.018604.01.00609.0)()(5

1=⋅+⋅+⋅+⋅+⋅=⋅= ∑

=MMM

S2)( λλ

104

Dette er før vi vet hvor mange lekkasjer som har blitt observert i løpet av siste kvartal. Denneforventningsverdien er nokså nær den verdien vi fikk med eksakt tilstand 3 for faktor OF3 ogtilstand 4 for faktor OF4 (E(λ|3-3-3-4-3)=1.021).

Vi er altså ikke avhengig av eksakt angivelse av tilstandene til de organisatoriske faktorene. Vikan uttrykke vår usikkerhet om disse tilstandene gjennom sannsynlighetsfordelinger. Dette erfaktisk en mer vanlig anvendelse av Bayesianske nettverk, enn at vi kjenner tilstanden tilinngangs-nodene med "100% sikkerhet".

7.7� Generalisering

Vi sa i innledningen til dette kapittelet at kvantifiseringsmetodikken ("prosessen") grovt sett bestoav følgende trinn:

1. Etablere kvantitativ modell2. Bedømme tilstanden til de organisatoriske faktorene (ratingen)3. Bedømme effekten/påvirkningen av de organisatoriske faktorene (vektingen)4. Beregne den aggregerte effekten på lekkasjefrekvensen5. Beregne effekten på risikoen6. Diskutere resultatet (inkl. følsomhet av antagelser)

Vi skal nå drøfte disse trinnene i relasjon til andre installasjoner.

1. Etablering av kvantitativ modell

Den kvantitative modellen er en forenkling av den kvalitative lekkasjemodellen hvor vi kutter utde mellomliggende nivåene og går rett fra de organisatoriske faktorene til lekkasjefrekvensen, itillegg til at vi innfører et forhold til i modellen som er antall observerte lekkasjer. Den kvalitativemodellen antar vi å være rimelig dekkende for de fleste selskap/installasjoner, og forkvantifiseringen er det kun det siste nivået som er interessant. Om man skulle endre noe påmodellen (eksempelvis bytte ut/legge til/trekke fra noen av de organisatoriske faktorene) så vilman i prinsippet gå frem på samme måte som for Statfjord A. (Mht vektingen så bør man være littforsiktig med å benytte "mye mer" enn 5 faktorer.)

2. Bedømmelse av tilstanden til de organisatoriske faktorene (ratingen)

Tilstandsbedømmingen skjer vha indikatorer som må fokusere på de aspektene av deorganisatoriske faktorene som er mest kritisk mht lekkasjer. Dette kan nok endre seg noe frainstallasjon til installasjon, derfor har vi i kap. 6 lagt ved en liste over mulige indikatorer som erlangt flere enn de vi har foreslått for Statfjord A. Eksempelvis kan det være at andre installasjonerbenytter prosedyrer i større grad enn SJA sammenliknet med Statfjord A, og dermed har behov forindikatorer rettet mot prosedyrer. Ellers så kan tilstandsbedømmingen (ratingen) skje påprinsippielt samme måte som for Statfjord A. Man må i tillegg til å etablere indikatorer lage enmåleskala for hver av indikatorene og som må forankres (og justeres vha noen tester), samtetablere individuelle vekter for indikatorene innenfor samme faktor (som summerer seg til 1).

Alternativt kan man anvende subjektive vurderinger (eller andre "audit"-teknikker) for åbedømme tilstanden til de organisatoriske faktorene, dersom man ikke får etablert rimelig

105

dekkende indikatorer. (Eller man kan benytte andre vurderinger som et supplement tilindikatorene.)

3. Bedømmelse av effekten/påvirkningen av de organisatoriske faktorene (vektingen)

Bedømmelsen av effekten/påvirkningen av de organisatoriske faktorene (vektingen) har basert segpå etablering av forankringsverdier ut fra vurdering av lekkasjedata, enten vi har benyttet enekspert-basert vekting eller en data-drevet vekting. En slik etablering av forankringsverdier kanskje på prinsipielt samme måte for andre installasjoner forutsatt at man har vært i drift lenge noktil at man har en del lekkasjedata. Vi kommer tilbake til tilfellet "nye installasjoner".

For en veldig grov og enkel analyse kan man benytte seg av ekspert-basert vekting. Den kan dabenyttes "manuelt" uten bruk av et BN-verktøy, men man må da også fastsette "manuelt" hvordanog hvor mye antall observerte lekkasjer skal få påvirke forventningsverdien til lekkasjefrekvenseni forhold til de organisatoriske faktorene. Man kan også etablere en veldig enkel "førstegangs"("prior") betinget sannsynlighetstabell ut fra den ekspert-baserte vektingen, slik som forklart forStatfjord A. Denne kan man så få til å lære ("dynamisk modell") slik at vektene(sannsynlighetene) i tabellen blir stadig mer "korrekt" etterhvert som tilstandsverdier ogobserverte lekkasjer kommer inn.

En data-basert vekting vil også i prinsippet kunne gjennomføres for andre installasjoner som forStatfjord A. Vi har da behov for en del lekkasjedata, både for å estimere den tilstand som deorganisatoriske faktorene har hatt (bakover i tid) på det tidspunkt lekkasjene oppsto, og deretterfor å finne vektene, dvs hvor stor påvirkning "enhver" tilstandskombinasjon for de organisatoriskefaktorene har på lekkasjefrekvensen. Den betingede sannsynlighetstabellen kan nå fylles inn i BN-verktøyet og man kan som nevnt for ekspert-basert vekting anvende seg av læring, slik at de feilsom er gjort under estimeringen korrigeres etterhvert som ny informasjon kommer inn.

Sammenhengen (vektene) mellom lekkasjefrekvensen og antall observerte lekkasjer etableres somfor Statfjord A, dvs gjennom en Poisson-fordeling som er justert for "støy" i områder med sværtlav sannsynlighet.

Dersom man har en ny installasjon og få eller ingen lekkasjehendelser, så må man anvendegeneriske data. Problemet er at man ikke kan estimere tilstanden bakover i tid for en nyinstallasjon, slik at den betingede sannsynlighetstabellen til å begynne med nok vil operere medmye "støy", dvs at verdiene vil hoppe nokså mye opp og ned ved relativt små endringer itilstandsverdiene og antall observerte lekkasjer. Det vil ta noe tid med "læring" før resultatenestabiliserer seg.

4. Beregning av den aggregerte effekten på lekkasjefrekvensen

Beregning av den aggregerte effekten på lekkasjefrekvensen skjer på samme måte som beskrevetfor Statfjord A, ved å benytte BN-verktøyet etter å ha innhentet informasjon om siste kvartalstilstandsverdier til de organisatoriske faktorene (basert på indikatorene og/eller subjektivevurderinger) samt antall observerte lekkasjer siste kvartal.

Alternativt kan man benytte den forenklede "tverrsums-betraktningen" for forventningsverdien tillekkasjefrekvensen og deretter kombinere dette med antall observerte lekkasjer.

106

5. Beregning av effekten på risikoen

Dette skjer som for Statfjord A ved å knytte lekkasjefrekvensen til risikomodellen. Gjennomfølsomhetsanalyser kan man beregne hvilken effekt lekkasjefrekvensen har for risikoen totalt sett.Dette avhenger av hvor stort bidrag prosessulykkene gir til totalrisikoen. Man fastsetter det vi harkalt k-faktoren, dvs hvor stor prosentandel endring i risikoen forårsaker 1 prosent endring ilekkasjefrekvensen.

6. Diskusjon av resultatet (inkl. følsomhet av antagelser)

Dette blir tilsvarende som for Statfjord A. Man kan få frem resultater som ikke bare sier hvor myerisikoen har endret seg, men man får også frem hvor eventuelle tiltak bør settes inn. Man kangjøre følsomhetsvurderinger av de antagelser og vurderinger som er gjort, og man kan benytteannen informasjon enn indikatorer til tilstandsbedømmingen og det kan legges inn "usikkerhet" ibedømmingen ved å legge en fordeling over tilstandene til de organisatoriske faktorene, på sammemåte som vist for Statfjord A.

107

8� DISKUSJON OG KONKLUSJON

8.1�Implementering og bruk

Den effekt som endringer i organisatoriske faktorer har på risikonivået har blitt avgrenset tillekkasjefrekvensen bl.a fordi lekkasjefrekvensen har svært stor betydning for risikonivået. Videkker dermed ikke all effekt av endringer i organisatoriske faktorer eksplisitt, men vi dekker enforholdsvis stor del (samtidig som øvrig effekt fanges opp implisitt gjennom de direkte risiko-indikatorene).

Den kunnskap/metodikk/verktøy vi har utviklet/benyttet for å kvantifisere effekten av endringer ide organisatoriske faktorene er kort oppsummert som følger:

• Vi har identifisert de antatt viktigste organisatoriske faktorene som påvirker lekkasje-frekvensen

• Vi har "verktøy" for å bedømme tilstanden til de organisatoriske faktorene- Risikoindikatorer- Alternativt; subjektive vurderinger (eller en kombinasjon)

• Vi kan beregne hvor mye de organisatoriske faktorene påvirker lekkasjefrekvensen- Data-analyse (kombinert med ekspertvurderinger)- Kontinuerlig oppdatering/læring (dynamisk modell)

• Vi kan utføre beregninger med bruk av BN-verktøy (inkl. effekt av observerte lekkasjer)• Vi kan beregne forventet endring i lekkasjefrekvens og dermed også bidraget til endring i

risiko

Organisatoriske faktorers effekt på risikoen er komplisert og vanskelig å forstå, men det er viktigå få mer innsikt og forståelse for dette. Det vil aldri kunne utvikles en "trylleformel" forfastsettelse av organisatoriske faktorers effekt på risikoen. Det som kreves er hardt, systematiskog kontinuerlig arbeid! Mer kunnskap og innsikt vil kunne fremskaffes etterhvert som man jobbermed dette, men like sikkert er det også at dersom man ikke gjør en "anstrengelse" så vil manheller ikke oppnå noe.

Det er ingen uoverstigelige problemer som gjenstår å løse før dette kan tas i bruk, men det erheller ikke bare "å trykke på knappen". Kunnskapen og verktøyene finnes til å gjøre metodikkenklar til bruk. Det er en implementeringsjobb som gjenstår, men som sagt så krever dette hardt ogsystematisk arbeid. Det kreves innsats, fordi dette er ikke noe "sesam-sesam".

Hensikten med dette prosjektet har vært "å vurdere om og i hvilken grad det lar seg gjøre åkvantifisere den risikomessige betydningen av endringer i organisatoriske forhold under drift avoffshore installasjoner". Statfjord A har vært benyttet som case for denne vurderingen, ogresultatet er metodikk og forslag til løsninger, ikke én komplett "nøkkelferdig" løsning.

8.2�Nytteverdi

En stadig mer påtrengende problemstilling er å kunne si noe om hvordan sikkerheten/risikoenutvikler seg i Nordsjøen både for den enkelte installasjon og for industrien som helhet.

108

Vår påstand er at dersom man ikke systematisk følger opp risikoanalysen under drift (eksempelvisgjennom risikoindikatorer) så vet man ikke hvordan risikoen utvikler seg. (Som en analogi tiltemperaturmåling så kan vi si at man ikke vet om det er "kaldt" eller "varmt", og slettes ikke omdet er "-3°C" eller "–30°C".)

Ved å følge opp de viktigste risikopåvirkende forholdene vha. risikoindikatorer så er vi ikke bare istand til å si noe om hvorvidt risikoen har økt eller avtatt (om det er "kaldere" eller "varmere"),men vi er også i stand til å si noe om endringens størrelsesorden (altså om det er ca. -3°C eller ca.-30°C). Det vil kunne være av avgjørende betydning å vite om risikoen har endret seg med f.eksca. 3% eller om den har endret seg med ca. 30%. Derfor er kvantifisering nyttig og nødvendig!

Vi påstår ikke (og har heller ikke behov for å vite) at risikoen har endret seg med eksakt 30.2%.Den ligger i størrelsesorden 30% og kan for den del gjerne være 25% eller 35%. Like lite som vihar behov for å vite at det er –27.6°C eller –33.4°C for "å kle oss tilstrekkelig", trenger vi å viteeksakt hva endringen i risiko er. Men det er en forskjell på ca. -3°C og ca. -30°C, slik det ermellom ca. 3% og ca. 30% risikoendring. Uten systematikk, metodikk og kvantifisering er vitilbake til at vi knapt vet om det er "kaldt" eller "varmt". Vi kan selvsagt "mene" og "synse", mensynsing burde ikke anses tilstrekkelig som beslutningsunderlag.

Vi snakker her om "risikoen"23 som "mulige fremtidige tap", ikke sikkerheten som i fravær av enrisikovurdering kan oppfattes som "fravær av tap" og som vi kan måle direkte som faktiske tapfrem til dags dato, dersom vi har "tilstrekkelig" med tap å måle på. Alternativet som ofte benyttesi Nordsjøen er å telle antall nestenulykker. Dette er ikke uten videre et "valid" mål på sikkerheten,men ennå viktigere er at antall nesten-ulykker ikke sier noe om muligheten for å få en fremtidigstorulykke (eller rettere sagt hvor mye nærmere vi er en storulykke)24. For å gjøre"sikkerhetsbetraktninger" om fremtiden benytter vi risikoanalyser, vi benytter en såkalt"risikobasert" sikkerhetstenkning, istedetfor en "hendelsesbasert" sikkerhetstenkning. Dvs atistedetfor å la sikkerhetsarbeidet styres av mer eller mindre tilfeldige hendelser retrospektivt (etterat hendelsene har inntruffet) så arbeides det proaktivt med de viktigste risikopåvirkendeforholdene før alvorlige hendelser inntreffer. Disse forholdene representerer det største potensialetfor fremtidige storulykker, og dermed også det største potensialet for å redusere muligheten forfremtidige storulykker. Før det kan treffes tiltak må man imidlertid finne ut hva som ersituasjonen og eventuelt hvor problemet er størst. Til dette kan risikoindikatorene benyttes. De vilkunne fungere som en "varsel/alarmklokke", samtidig som de viser hvor stort problemet er (hvasituasjonen er), samt hvor problemet er størst (hvilke faktorer som bidrar mest).

Sikkerhetsindikatorer eller prestasjonsindikatorer kan også benyttes for å gi varsel/indikasjoner påendringer, men de sier ikke noe om hvor stort problemet er, og de kan heller ikke benyttes til å sinoe om hvor mye bedre sikkerheten/risikoen blir dersom tiltak settes inn. De kan ikke gi svar påspørsmålet: Hvor er det viktigst å fokusere begrensede ressurser? Dette er kjernen i risikobasertsikkerhetstenkning: "Hvordan best forhindre fremtidige ulykker med begrensede ressurser".

De organisatoriske risikoindikatorene (som etableres basert på metodikken beskrevet i dennerapporten) kan benyttes til følgende formål:

1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg

23 Se også kap. 2.5 for vår definisjon av begrepene "sikkerhet" og "risiko".24 F.eks så vil endringer i mengde varmt arbeid (en viktig risikofaktor) aldri fanges opp via "nesten-ulykker".

109

3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størstforbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoen)

Sammen med de "tekniske" risikoindikatorene utviklet i fase I av "indikator-prosjektet" så vil deorganisatoriske risikoindikatorene kunne benyttes for å overvåke en forholdsvis stor andel av dentotale risikoen. (Vi fokuserer imidlertid på de viktigste risikopåvirkende forholdene og vil dermedikke dekke "hele" risikobildet.)

En positiv "bi-effekt" (nytteverdi) av de organisatoriske risikoindikatorene er at de kan gi et"forvarsel" ("early warning"). De fleste organisatoriske faktorenes tilstand er målt ut ifra hva somer tilstanden nå (f.eks hvor mange som har nødvendig opplæring) og ikke hva "aktiviteten" pådette området er (f.eks hvor mange kurs som har blitt gitt i løpet av siste kvartal), og hvor effektenkanskje først kommer noe senere. Men, når det oppstår en endring til det verre, så kan ogsåeffekten av en slik forverring "åpenbare seg" noe forsinket. Dvs at vi "beregner" lekkasje-frekvensen til å ha blitt høyere enn den ennå har rukket å bli. Vi får dermed et forvarsel og kankanskje rekke å iverksette tiltak før forverringen "åpenbarer seg". Motsatt, så resulterer enforbedring i at vi til en viss grad innkasserer kreditten noe for tidlig.

Dersom vi også velger å vurdere nytteverdien av delresultatene av prosjektet, så bør denkvalitative lekkasjemodellen nevnes. Den kan anvendes som et hjelpemiddel ved utfyllingen av enRUH etter en lekkasjehendelse, uavhengig av hvorvidt man har tenkt å anvende den metodikkensom er beskrevet i denne rapporten for etablering av organisatoriske risikoindikatorer.Lekkasjemodellen vil lette arbeidet med å forstå hvilke bakenforliggende årsaksforhold som harmedvirket til lekkasjene, og vil også fungere som en kvalitetssikring av de avkrysninger somgjøres i ILCI-modellen i Synergi.

Også forslagene til organisatoriske risikoindikatorer kan tas i bruk selv om man ikke "ønsker" åkvantifisere effekten av de endringer man måler gjennom indikatorene. Når man da ikke er i standtil å si noe om effekten av en endring i måleresultatene for en indikator mht. risiko, men at det kuner en "antatt" sammenheng mellom disse og sikkerheten/risikoen, så velger vi å betegne dem som"sikkerhetsindikatorer" hvor det er vanlig at det kun er en "antatt" sammenheng mellom indikatorog sikkerheten. Begrepet "risikoindikator" forbeholder vi til de indikatorer hvor vi ikke bare haren "antatt" sammenheng, men hvor vi kan måle/beregne effekten på risikoen.

8.3�Begrensninger

Prosjektet har vært avgrenset til driftsfasen for én spesifikk installasjon (med Statfjord A sompilot), til risiko for personell og med fokus på storulykkespotensialet. Videre tar vi utgangspunkt iden eksisterende risikoanalysen (TRA’en), vi fokuserer på de viktigste forholdene/parametrene ogvi ser på bakenforliggende organisatoriske årsaksfaktorer for etablering av organisatoriskerisikoindikatorer kun for lekkasjefrekvensen.

Enkelte av avgrensningene er gjort for å forenkle arbeidet med etableringen av "metodikken", oger ikke nødvendigvis "absolutte". Det er ikke noe metodemessig som forhindrer at vi ogsåinkluderer risiko for miljø og materielle verdier, at den anvendes for andre installasjoner ennStatfjord A selv om den er "konkretisert" for denne og at den også kan anvendes for andreindustrier.

En spesifikk begrensning knyttet til Statfjord A (og som også kan være aktuelt for andreinstallasjoner) er at vi ikke "dekker" det som skjer under den to-årlige revisjonsstansen med

110

indikatorene. Forholdene ombord er helt annerledes som vil gi helt andre verdier på indikatoreneenn under "normal drift". Bl.a er det en stor del personell som utfører arbeid under revisjonsstanssom ikke har den opplæring og kunnskap som indikatorene "etterspør". Mengde vedlikehold er avnaturlige årsaker svært stor under denne perioden, noe som indikatorene for PM-program/inspeksjon ikke er tilpasset for. Men, samtidig er plattformen "kald", slik at primært villekkasjer kunne oppstå i ettertid som følge av arbeidet som er utført under revisjonsstansen. Endel av disse vil være lekkasjer som vi har registrert som mangelfullt PM-program/inspeksjon(f.eks defekt/tæret pakning) fordi disse lekkasjene kunne vært unngått dersom et forebyggendevedlikehold hadde blitt utført under revisjonsstansen. Normalt sett vil det være noe problemastiskå tilbakeføre lekkasjer til mangelfullt arbeid utført under revisjonsstansen, men det er heller ikkesikkert at man fokuserer spesielt på dette ved utfylling av RUH'ene. Ingen av de 20lekkasjehendelsene på Statfjord A i perioden 1997-99 peker på at "feilen" har vært gjort underrevisjonsstansen, men vi kan ikke dermed utelukke at så kan være tilfelle.

Dersom man ønsker å etablere organisatoriske typer indikatorer også for andre parametre ennlekkasjefrekvensen (eller sågar for alle de parametre vi har etablert mer eller mindre direkteindikatorer for i fase I) så kan man benytte en tilsvarende fremgangsmåte som for lekkasje-frekvensen. Selv om noen av de organisatoriske faktorene vil kunne være de samme som forlekkasjefrekvensen så vil det høyst sannsynlig være andre aspekter av disse faktorene sompåvirker disse andre parametrene. Dersom vi f.eks ser på feil på elektrisk utstyr (potensielltennkilde) så kan opplæring ha betydning også her, men det er ikke lenger kurs i flenstrekkingsom er viktig. Det vil derfor være et betydelig stykke arbeid som må gjennomføres før man harårsaksanalysert alle viktige parametre og etablert organisatoriske risikoindikatorer for disse.

Og som vi har påpekt flere ganger så er vi ute etter å overvåke risikoen og anvender oss avorganisatoriske årsaksfaktorer og organisatoriske risikoindikatorer som et middel, ikke som et måli seg selv.

En viktig begrensning som ligger i den metodikken vi har utviklet er at bakenforliggendeorganisatoriske faktorer som ikke lar seg knytte til konkrete hendelser, heller ikke er avdekketsom medvirkende årsaksfaktorer og dermed heller ikke inkludert i den organisatoriske modellen(lekkasjemodellen). Denne type "perifere" organisatoriske faktorer, hvor påvirkningen pålekkasjefrekvensen/risikoen kun er "spekulativ", anser vi for å virke gjennom de organisatoriskefaktorene som kan knyttes til hendelser, og dermed fanger vi opp effekten av dem.

Det at vi skal kunne måle alle aspekter av de organisatoriske årsaksfaktorene ved hjelp avorganisatoriske risikoindikatorer er utopisk. Selv det å skulle måle de viktigste aspektene mhp.lekkasjefrekvensen er svært krevende, og vi har ingen garanti for at indikatorene alene ertilstrekkelig dekkende. Vi må i så tilfelle "komplettere" med subjektive vurderinger av tilstandenetil de organisatoriske faktorene, men dette gir da også kvantifiseringsmetodikken muligheter for.

"Dekningsgraden" (validiteten) til de organisatoriske risikoindikatorene påvirkes også av denavveining selskapene gjør mellom "troverdige" indikatorer og "lett registrerbare" indikatorer. Forsterk fokus på at indikatorene skal være "enkle" mht å fremskaffe nødvendige informasjonen(eksempelvis eksisterende registreringer), kan lett få negative konsekvenser for troverdigheten/validiteten til indikatorene. Det er til syvende og sist selskapet/installasjonen selv som må ha dennødvendige "tiltro" til indikatorene.

Til slutt vil vi nok en gang understreke at de tallene vi kommer frem til i kvantifiseringen må"anvendes med forsiktighet", slik man bør gjøre med alle "risikotall" (også de i TRA’en). Vi erikke ute etter, og påstår heller ikke at vi er i stand til, å fastsette noen eksakt endring i risikonivået,men vi kan si noe om retning og størrelsesorden.

111

8.4�Teoretiske implikasjoner

Vi kan trekke frem 3 forhold ved den metodikk som er utviklet i dette prosjektet og som anses forå være nokså unikt også sammenliknet med hva som er gjort andre steder. Disse er:

1. Risikokontroll-perspektivet på organisatoriske faktorers effekt på risiko2. Bruk av risikoindikatorer til å bedømme tilstanden til organisatoriske faktorer3. Den data-drevne vektingen

Det å kvantifisere organisatoriske faktorers effekt på risikoen for deretter å anvende dette"kontinuerlig" for risikokontroll er så langt vi kjenner til ingen andre som har gjort. Deeksisterende "organisatoriske faktor" metodene som vi har analysert og benyttet som en del avgrunnlaget for utviklingen av metodikken har andre formål med kvantifiseringen som f.eks åestimere et mer korrekt risikotall. De fleste av disse metodene anvendes også som en "engangs-foreteelse".

Av de eksisterende metodene som forsøker å si noe om organisatoriske faktorers effekt pårisikoen, så er det ingen som anvender indikatorer for bedømming av tilstanden. Dette skyldes bl.aat de ikke har samme krav som oss til et verktøy for "ofte gjentagende bruk". De kan entenanvende omfattende "auditer" eller spørreskjema, intervju, observasjoner eller lignende som erforholdsvis tids- og ressurskrevende fordi de oftest gjennomfører dette bare én gang. I noentilfeller har ikke metodene vært uttestet, slik at man f.eks bare henviser til at bedømmelsene av deorganisatoriske faktorene kan skje vha "ekspertvurderinger", uten å komme inn på hvordan.

Den data-drevne vektingen anser vi for å være nokså spesiell. Her kan vi ikke sammenlikne mot"konvensjonell" vekting, men den type vekting som skal fange opp samspillseffekter. Dette ermulig bl.a fordi vi benytter BN som modellerings- og beregningsverktøy. De aller flesteeksempler på anvendelse av bayesianske nettverk innenfor sikkerhet- og risikoforskning benyttertype "ultra-enkle" eksempler hvor de betingede sannsynlighetstabellene (cpt'ene) blir svært småog kombinasjonene gir "mening" slik at enkle ekspert-vurderinger kan benyttes også forvektingen. For etablering av store cpt'er gis det lite "veiledning" i litteraturen.

8.5�Behov for videre arbeid

I pilotstudien (Øien & Sklet, 2001b) har vi konkludert med at det som først og fremst "trengs" er åimplementere metodikken, fordi det ikke er noen "uoverstigelige" problemer som gjenstår å løse.Mindre ting vil man alltid kunne forbedre, men dette er noe vi mener lar seg best utvikle gjennomå ta metodikken i bruk. Det vil imidlertid kreve innsats og hardt systematisk arbeid. Det eringenting av dette som gir seg selv.

Vi ser imidlertid en del områder hvor det er behov for metodemessige forbedringer:

1. Retningslinjer for oppdatering av den plattformspesifikke lekkasjemodellen over tid, slik atden er mest mulig "korrekt". Viktig for troverdigheten til modellen.

2. Retningslinjer for gjennomføring av subjektive vurderinger som supplement eller erstatningfor indikatorer ved tilstandsvurdering av de organisatoriske faktorene.

112

3. Retningslinjer for hvordan vektene fra de organisatoriske faktorene skal få påvirkelekkasjefrekvensen relativt til de observerte lekkasjene. Hvor stor er informasjonsverdien avfaktortilstandene sammenliknet med informasjonsverdien av de observerte lekkasjene?

4. Retningslinjer for anvendelse av ny informasjon til "læring" (oppdatering av cpt'en)

Dersom vi går ut over selve metodikken så har det i løpet av prosjektet avdekket seg en del behovog forslag til satsinger. Vi vil liste opp noen av disse her.

1. Behov for mer detaljerte årsaksanalyser i risikoanalysene (TRA'ene), både for viktigeparametre og for "hele ulykkestyper" som f.eks utblåsning.

2. Etablering av organisatoriske modeller for flere (alle) viktige parametre. Endre perspektivetfra risikokontroll til "totaleffekt" av organisatoriske forhold.

3. Behov for bedre registrering og rapportering av alvorlige uønskede hendelser som f.ekslekkasjer. Vi tenker her i første rekke på årsaksanalyse av bakenforliggende forhold av typeorganisatoriske faktorer.

4. Anvende metodikken også for miljørisiko og risiko for tap av materielle og økonomiskeverdier.

5. Lekkasjemodellen er i utgangspunktet tilpasset Statfjord A. Modellen kan også benyttes forandre innretninger, men for at den skal være generell bør den verifiseres/oppdateres ved ågjennomgå hendelser som har inntruffet på et sett av innretninger.

6. Modelleringen i totalrisikoanalysen er svært grov. Det er også vanskelig å se hvilkeforutsetninger som ligger implisitt i analysen (modeller eller datagrunnlag), f.eks knyttet tilvedlikeholdsprogrammer/tilstandskontroll. For lettere å kunne etablere risikoindikatorer foroppfølging i driftsfasen bør disse forutsetningene synliggjøres bedre.

7. Dybdeanalyse av arbeidsprosesser for å få fram en bedre forståelse av hvilke beslutninger oghandlinger både ute på plattformen og i landorganisasjonen som påvirker sannsynligheten forå få gasslekkasjer. Dette vil være et supplement til gransking av ulykkesrapporter.

8.6�Hovedkonklusjoner

Hovedkonklusjonen er at det er mulig å si noe kvantitativt om organisatoriske faktorers effekt pårisikonivået, selv om dette er forbundet med usikkerhet.

Vi har riktignok avgrenset dette til å gjelde lekkasjefrekvensens bidrag til risikoen, fordi øvrigeendringer i risikonivået fanges opp av mer direkte risikoindikatorer.

Grunnen til at vi kan trekke denne konklusjonen er at:

• De antatt viktigste organisatoriske årsaksfaktorene er identifisert• Tilstanden til disse er mulig å måle vha indikatorer (alternativt med kompletterende subjektive

vurderinger)• Effekten de har på lekkasjefrekvensen er mulig å beregne vha. analyse av tidligere lekkasje-

hendelser (og kan dessuten oppdateres etterhvert som ny informasjon fremkommer)• Endring i forventningsverdi til lekkasjefrekvensen kan beregnes vha et BN-verktøy (inklusive

effekten av observerte lekkasjehendelser)• Endring i risikonivået som følge av endring i lekkasjefrekvensen kan beregnes via følsomhets-

analyser i risikoanalysen (TRA’en)

113

Vi har utviklet en metodikk hvor det ikke gjenstår noen "uoverstigelige" problemer. Det somgjenstår er en implementeringsjobb som krever ressurser og systematisk arbeid. For å skaffe segkunnskap om hvordan risikonivået utvikler seg over tid for én bestemt installasjon (som StatfjordA) kan man ikke anskaffe "nøkkelferdige løsninger". Organisasjonen er selv nødt til å "anstrengeseg" og 'verifisere' de vurderingene som er gjort. Dessuten krever det langsiktighet og et ønske(målsetting) om kontinuerlig kontroll (og forhåpentligvis også forbedring – ikke bare "statusquo"). Oversikt og kontroll over risikoen skaffer man seg ikke gjennom "skippertak".

De organisatoriske risikoindikatorene kan benyttes til følgende formål:

1. Gi varsel om at lekkasjefrekvensen (og dermed risikoen) har endret seg2. Indikere hvor mye lekkasjefrekvensen (og dermed risikoen) har endret seg3. Identifisere hvilke organisatoriske faktorer og kombinasjoner av faktorer som har størst

forbedringspotensiale mht. lekkasjefrekvensen (og dermed risikoen)

Sammen med de "tekniske" risikoindikatorene som etableres med metodikken utviklet i fase I av"indikator-prosjektet" så vil de organisatoriske risikoindikatorene kunne benyttes for å overvåkeen forholdsvis stor andel av den totale risikoen.

Det er ingenting som skulle tilsi at ikke metodikken beskrevet i denne rapporten er genereltanvendelig også for andre installasjoner enn Statfjord A.

114

115

9� REFERANSER

Cyert, R. M. & March, J., 1963. A Behavioral Theory of the Firm. Prentice Hall, EnglewoodCliffs, NJ, 1963.

Galbraith, J. K., 1973. Designing Complex Organizations. Addison-Wesley, NY, USA, 1973.Grenness, T., 1997. Innføring i vitenskapsteori og metode, Tano Aschehoug, Oslo, 1997.Hallbert, B. P., Gertman, D. I., Blackman, H., Schurman, D., Ramey-Smith, A. & Thompson, C.,

1998. Linking Human Performance with System Reliability: Beyond First generation HRATechniques. In Mosleh, A. & Bari, R. A. (eds) Probabilistic Safety Assessment andManagement, Proceedings from PSAM4, September 1998, pp. 727-33, New York,Springer.

Hellevik, O., 1999. Forskningsmetode i sosiologi og statsvitenskap. Universitetsforlaget, Olso,1999.

HUGIN, 2000. http://www.hugin.dkHurst, N. W., Bellamy, L. J., Geyer, T. A. W. & Astley, J. A., 1990. Organisational, management

and human factors in quantified risk assessment: a theoretical and empirical basis formodification of risk estimates. In Safety and Reliability in the 90's (SARRS'90), eds.Walter, M. H. & Cox, R. F. Elsevier Applied Science, London/New York, 1990.

Jacobs, R. & Haber, S., 1994. Organizational processes and nuclear power plant safety. ReliabilityEngineering and System Safety, 45 (1994) 75-83.

Jensen, F. V., 1996. An introduction to Bayesian networks. UCL Press, London, 1996.Kjéllen, U., Tinmannsvik, R. K., Ulleberg, T., Olsen, P. E. & Saxvik, B. SMORT –

Sikkerhetsanalyse av industriell organisasjon. Yrkeslitteratur, 1987.March, J., 1988. Decisions and Organizations. Blackwell, Cambridge, 1988.March, J., & Simon, H., 1958. Organizations. Wiley, New York, 1958.Mintzberg, H., 1979. The Structure of Organizations. Prentice-Hall, Inc., Englewood Cliffs, N.J.,

1979.Morgan, G., 1997. Images of Organization. Sage Publications, Inc., Thousands Oaks, California,

USA, 1997.Mosleh, A., Goldfeiz, E., & Shen, S., 1997. The ω-Factor Approach for Modeling the Influence of

Organizational Factors in Probabilistic Safety Assessment. IEEE Sixth Annual HumanFactors Meeting, Orlando, Florida, 1997, 9-18-9-23.

Murphy, D. M. & Paté-Cornell, M. E., 1996. The SAM framework: Modeling the effects ofmanagement factors on human behavior in risk analysis. Risk Analysis, 16: 501-15.

NKS/SIK-1, 1995. Lehtinen, E. A concept of safety indicator system for nuclear power plants.VTT Research notes 1646, Espoo, Finland, 1995.

NRC, 1984. US Nuclear Regulatory Commission: Initial Empirical Analysis og Nuclear PowerPlant Organization and its Effect on Safety Performance, report NUREG/CR-3737, 1984.

NRC, 1988. US Nuclear Regulatory Commission: Development of Programmatic PerformanceIndicators, report NUREG/CR-5241, 1988.

NRC, 1990. US Nuclear Regulatory Commission: Development and Evaluation of ProgrammaticIndicators Associated with Maintenance at Nuclear Power Plants, report NUREG/CR-5436-1, 1990.

Petcon, 1999. Rapport – Analyse av gasslekkasjer på norsk sokkel 1994-1998, etter oppdrag fraoljeindustriens landsforening, P. nr.: 5905, Petcon A/S, 08.09.99.

Reason, J., 1997. Managing the Risks of Organizational Accidents, ISBN 1 84014 104 2, AshgatePublishing Limited, England.

Simon, H., 1957. Models of Man. Wiley, New York, 1957.

116

Spuns Tett, 1994. Gasslekkasjer på Statfjordfeltet – Spuns tett. Spuns tett programkomite, Statoil,31.05.94.

Statoil, 1996. Totalrisikoanalyse Statfjord A, Rev. nr. 01, mars 1996.Synergi, 1999. http://www.synergi.noWeil, R. & Apostolakis, G., 1999. Identification of important organizational factors using

operating experience. Third Int. Conf. on Human Factors in Nuclear Power Operations,Mihama, Japan, Sept. 8-10, 1999.

Øien & Sklet, 1999a. Metode for å utarbeide tekniske risikoindikatorer, SINTEF-rapport STF38A98434, Trondheim, Januar 1999.

Øien & Sklet, 1999b. Risikoindikatorer for overvåking av risikonivået på Statfjord A, SINTEF-rapport STF38 F98435, Trondheim, Februar 1999.

Øien & Sklet, 1999c. Bruk av risikoanalyser i driftsfasen, etablering av sikkerhetsindikatorer ogmodellering av organisatoriske faktorers effekt på risikonivået. En "state-of-the-art"beskrivelse. SINTEF-rapport STF38 A99416, Trondheim, Oktober 1999.

Øien & Sklet, 2001b. Organisatoriske risikoindikatorer, pilotstudie Statfjord A, SINTEF-rapportSTF38 A00421, Trondheim, Februar 2001.

117

VEDLEGG 1: Forkortelser

AHP Analytic Hierarchy ProcessAO ArbeidsordreBARS Behaviorally Anchored Rating ScalesBBN Bayesian Belief NetworkBN Bayesiansk NettverkCPG Candidate Parameter GroupCPT Conditional Probability Table (betinget sannsynlighetstabell)DRI Direkte risikoindikatorDVT Drift, vedlikehold og teknikkEJ Expert JudgmentE&P Forum Exploration & Production ForumFAR Fatal Accident RateFMEA Feilmode og effekt analyseFTA Feiltre analyseFV Forebyggende vedlikehold (=PM)GFA Gullfaks AHAZOP Hazard and Operability StudyHC-LIP Hydrocarbone Leak and Ignition DatabaseHEP Human Error ProbabilityHMS Helse, miljø og sikkerhetHRA Human Reliability AnalysisHSE Health and Safety ExecutiveHUGIN Leverandør av BN-teknologi (inkl. programvare)ILCI International Loss Control InstituteI-RISK Integrated RiskIRMA Integrated Risk Management AuditISM Integrated Safety ModelISRS International Safety Rating SystemKV Korrigerende vedlikeholdLTI Lost Time IncidentMACHINE Model of Accident Causation using Hierarchical Influence NetworkMCS Minimal Cut SetMS Manglende styringNRC Nuclear Regulatory CommissionNUREG/CR Nuclear Regulatory Commission/Consultancy ReportOD OljedirektoratetOF Organisatorisk faktorω-FACTOR Omega factorOHRAT Offshore Hazard and Risk Analysis ToolkitOLF Oljeindustriens landsforeningOREDA Offshore reliability dataORI Organisatoriske risikoindikatorerORIM Organisatorisk risikoinfluens modellOS-SFA Operasjonssjef Statfjord APC Paired ComparisonPD-SF Produksjonsdirektør StatfjordfeltetPLL Potensial Loss of Lives

118

PLS PlattformsjefPM Preventive Maintenance (=FV)PM Preventive MekanismerPRIMA Process Risk Management AuditROCOF Rate of occurrence of failure (feilrate for reparerbart system)RPF Risikopåvirkende faktor/forholdRUH Rapportering av uønsket hendelseQRA Quantitative Risk Analysis (=TRA)SADT Structural Analysis Design TechniqueSAM System Action ManagementSF StatfjordfeltetSFA Statfjord ASFB Statfjord BSFC Statfjord CSJA Sikker jobbanalyseSLI Success Likelihood IndexSLIM Success Likelihood Index MethodSMS Safety Management SystemSTEP Sequentially Timed Events PlottingTEA Tele, elektro og automasjonTRA Totalrisikoanalyse (=QRA)UES Unplanned Event SystemVMS Vedlikehold- og materialstyringV&M Vedlikehold og modifikasjonWOAD World Accident DatabaseWPAM Work Processes Analysis Model

119

VEDLEGG 2: Notasjon

α Positiv konstant∆E(λ) Endring i forventningsverdien til lekkasjefrekvensen∆ORI Endring i organisatorisk risikoindikator∆R Endring i risikoE(⋅) ForventningsverdiE(lambda) Forventningsverdi til lekkasjefrekvensen ("lekkasjeraten")E(λ) Forventningsverdi til lekkasjefrekvensenE(λ)i Forventningsverdi til lekkasjefrekvensen for tilstandskombinasjon iE(λ)basis Basis forventningsverdi ("nåsituasjon") til lekkasjefrekvensenE(λ)max Maksimal forventningsverdi til lekkasjefrekvensenE(λ)min Minimal forventningsverdi til lekkasjefrekvensenγ Ukjent parameter-vektorγi Ukjent parameterk Faktor som angir forholdet mellom ∆E(λ) og ∆RK0 Antall feilλ Lekkasjefrekvensenλj Tilstandsverdi j for lekkasjefrekvensenλ(x(t)) LekkasjefrekvensenΛ(t) Kumulativ lekkasjefrekvensµ0 Positiv konstantµ(t) Parameter i fordelingen for antall registreringer av en OF i kvartalet tmij Måleverdi for indikator j til faktor iobs Observerte lekkasjerp(⋅) Sannsynlighet (probability)p(A) Ubetinget sannsynlighet for hendelse Ap(A|B) Betinget sannsynlighet for hendelse A gitt Bpj Sannsynlighet for lekkasjetilstand jri Rating av faktor irij Rating/score av indikator j til faktor iΣ Sumtk Feiltiden for det k'te lekkasjepunktetvij Individuell vekt av indikator j tilhørende faktor iwi Total vekt for faktor i tilstand iwij Vekt for faktor i tilstand j for tilstandskombinasjon ix(t) Organisatorisk faktor tilstandsvektorxi

0 Gjennomsnittsverdi for tilstanden til OF xi

X(t) Tilstand til OF X ved tiden tz(j) Normaliserte tilstandsverdier til OF'ene ved tiden jzi(j) Den i'te parameteren i tilstandsvektoren