Piper Alpha:
Fra katastrofe
til endring

Til dags dato har ingen andre ulykker i petroleumsvirksomheten til havs kostet flere menneskeliv enn infernoet på Piper Alpha. Hva gikk galt, hva ble konsekvensene, og hvorfor er ulykken relevant også i dag?

Storulykken på britisk sokkel, da Piper Alpha eksploderte og brant, står igjen som et av de verst tenkelige scenariene for alle som jobber i petroleumsvirksomhet.

Sent om kvelden den 6. juli 1988 begynte det å lekke gass fra en kondensatpumpe som var stanset for vedlikehold. Et driftsproblem førte til at den andre pumpen i dette systemet også måtte stoppes.

Svikt i kommunikasjonen førte deretter til at operatøren i kontrollrommet uvitende startet pumpen som fortsatt var under vedlikehold, uten å vite at arbeidet der ikke var avsluttet.

Konsekvensen ble en betydelig lekkasje av kondensat og gass som tok fyr og eksploderte før noen fikk mulighet til å gripe inn.

Fra olje til gass

Piper Alpha-plattformen var opprinnelig designet og bygget for oljeproduksjon. Men driften ble lagt om til gassproduksjon etter hvert som gassandelen fra feltet økte på grunn av fallende oljeproduksjon. I tillegg ble gass fra andre felt i nærheten sendt til Piper Alpha for prosessering og transport til land.

Brannveggene i prosessområdet på plattformen var beregnet og dimensjonert for å beskytte mot varmen fra en oljebrann – ikke for å tåle trykket fra en gasseksplosjon.

Flere panel ble blåst ut i en brannvegg, ett av fragmentene kuttet av et kondensatrør og en ny brann startet.



Da brannen var et faktum kledde to personer seg i
vernedrakter og prøvde å ta seg frem til pumperommet
for å starte pumpene manuelt.

De ble aldri sett igjen.

Foto: Tony Miller

Foto: Tony Miller

Fra ulykke til katastrofe

– Én viktig årsak til at Piper Alpha utviklet seg til en så omfattende katastrofe, var de sikkerhetsmessige rammene rundt omkringliggende felt og innretninger som produserte inn til Piperfeltet, mener Torleif Husebø, fagleder for prosessintegritet i Petroleumstilsynet.

– Prinsippet for å isolere energi mellom innretningene var bygget på at hver innretning hadde kontroll på sin produksjon. Innretningene styrte seg selv, det var ingen automatikk i nedstengning.

Med andre ord: skulle produksjonen på en naboinnretning som produserte inn til Piper Alpha stenges, måtte det skje på beskjed fra mottakende innretning.

– På Piperfeltet var situasjonen så alvorlig og uoversiktlig at de ikke fikk gitt beskjed til de andre innretningene. Feltene fortsatte å produsere inn mot Piper Alpha, som allerede hadde minst to adskilte branner. Dermed eskalerte hendelsen til en katastrofe, sier Husebø.

Torleif Husebø, fagleder for prosessintegritet i Ptil.

Torleif Husebø, fagleder for prosessintegritet i Petroleumstilsynet.

Gass ble sendt via Piper Alpha til fastlandet fra innretningene Claymore og Tartan. Faksimile fra dokumentarfilmen Fire in the Night (2013)

Gass ble sendt via Piper Alpha til fastlandet fra innretningene Claymore og Tartan. Faksimile fra dokumentarfilmen Fire in the Night (2013)

Prinsipp ble brutt

Piper Alpha var opprinnelig bygget etter anerkjente prinsipp om å plassere de mest sikkerhetskritiske områdene lengst mulig borte fra sikre områder som kontrollrom og boligkvarter.

Men da plattformen ble modifisert for å ta imot og behandle gass fra feltene Claymore og Tartan, brøt man med disse prinsippene.

For eksempel var området for gasskompresjon plassert i nærheten av kontrollrommet. Denne avgjørelsen fikk alvorlige konsekvenser for utviklingen av ulykken.

– Katastrofen på Piper Alpha viser hvor forferdelig galt det kan gå, hvis vi ikke klarer å styre risiko og ta høyde for usikkerhet, sier Husebø.

Til tross for katastrofen på
Piperfeltet fortsatte nabofeltene
Tartan og Claymore å sende
gass til Piper Alpha.

Faksimile fra Fire in the Night.

Faksimile fra Fire in the Night.

Skjebnesvangre antakelser

– Ledelsen på de andre innretningene ble tidlig klar over at det var noe som hadde skjedd på Piper Alpha. Men de gjorde ikke en balansert avveining mellom antatt risiko, og var ikke forsiktige nok i tilnærmingen.

Piper Alpha hadde pumper for brannvann som normalt skulle starte automatisk når brann ble oppdaget. Men før ulykken inntraff hadde man satt disse pumpene i manuell modus på grunn av dykkerarbeid ved innretningen. Man antok at dykkerne kunne komme i fare hvis de kom for nær vanninntaket mens pumpene var i gang.

– De satte hensynet til produksjon foran sikkerhet, basert på antakelser: De antok at Piper Alpha hadde brannvann nok til å håndtere situasjonen, og de antok at situasjonen var under kontroll fordi trykket i deres egne rørledninger holdt seg stabilt, sier Husebø.

"Mayday, eksplosjon og brann på Piper-plattformen. All personale må evakuere."

"Du store – den brenner virkelig, eller hva?"

"Situasjonen er at plattformen er fullstendig i brann, fra hav til topp. Vi har trukket oss tilbake. Strukturen kollapser. Det er fullstendig inferno."

Ingen kommunikasjon

Nødavstengingssystemet på Piper Alpha ble aktivert kort tid etter eksplosjonen. Brannen skulle derfor ha dødd ut av seg selv etter hvert. I stedet ble brannen holdt ved like og forsterket som følge av at Tartan og Claymore fortsatte produksjonen.

Ledelsen på plattformene hadde ikke mandat til til å stenge ned uten klarsignal fra land, og manglet i tillegg oversikt over situasjonen som utviklet seg.

Rørledninger som ble ødelagt av eksplosjonene førte til at store mengder hydrokarboner strømmet inn i brannområdet.

Kontrollrommet på Piper Alpha måtte evakueres kort tid etter den første eksplosjonen. Man kunne da ikke lenger gi meldinger over høyttaleranlegget, og organiseringen av beredskapsarbeidet ble svært vanskelig.

– De hadde heller ikke trent beredskap sammen med andre innretninger, og hadde nok ikke sett for seg denne typen storulykke. En så omfattende ulykke var mer eller mindre utenkelig, sier Husebø.

– Når du ikke har øvd, er det vanskelig å være godt nok forberedt på å håndtere en reell situasjon.

Hoppet over bord

Prosedyrene for beredskap sa at mannskapet om bord skulle gå til livbåtene, men brannen gjorde dette umulig. Personellet søkte derfor tilflukt i boligkvarteret, som var beskyttet med brannvegg mot prosessområdet.

Røyk og branngass trengte inn i boligkvarteret. Brannen og røyken, kombinert med vindretningen, gjorde redning med helikopter umulig. Mange hoppet i sjøen, og de fleste som overlevde infernoet ble reddet av fartøy som var i området eller responderte.

25 minutter etter at brannen startet, brast stigerøret fra Tartan-innretningen på grunn av varmen. En enorm flammekule omsluttet hele Piper Alpha. Flammene stod mer enn 100 meter til værs.

To timer etter den første eksplosjonen gikk Piper Alpha i oppløsning. Store deler av innretningen sank i havet, inkludert boligkvarteret.

Av de 226 menneskene som var om bord da ulykken skjedde, omkom 165. I tillegg døde to personer på et støttefartøy som deltok i redningsaksjonen.

61 mennesker overlevde ulykken, mange med store brannskader.

30 av de omkomne ble aldri funnet.

Lord Cullen og
det nye regimet

Lord William Douglas Cullen ledet den offentlige granskningskommisjonen etter Piper Alpha-ulykken. Oppgjøret førte til dyptgripende endringer for den britiske oljevirksomheten.

Da rapporten fra Cullen-kommisjonen ble lagt fram i 1990 inneholdt den ikke bare skarp kritikk mot operatørselskapet Occidental, men også mot energidepartementet og det britiske systemet for sikkerhetsregulering offshore.

Arven etter Alpha
I juni i år var den tidligere høyesterettsdommeren hovedinnleder på en stor konferanse i Aberdeen - Safety30, som ble arrangert for å markere at det i 2018 er 30 år siden katastrofen rammet.

Lord Cullen har sjelden uttalt seg om arbeidet med granskingen og konklusjonene fra kommisjonen han ledet, men i et intervju med Ptil reflekterer 82-åringen over sine erfaringer etter Piper Alpha-ulykken.

Risikostyring
Cullen mener at det viktigste læringspunktet fra katastrofen handler om risikostyring.

– Her hadde vi en situasjon hvor en plattform var designet for å håndtere olje, men som hadde blitt modifisert for å ta imot gass fra andre innretninger. Dette skapte en farlig situasjon hvor spørsmålet var om stigerørene for gass kunne bli påvirket av noe som skjedde på oljesiden, noe som faktisk skjedde, eller om disse stigerørene i seg selv kunne skape fare for kontrollrommet og boenheten.

– Det var enorme risikofaktorer involvert i dette, og ledelsen imøtekom ikke behovet for å se systematisk og radikalt på hva de var i ferd med å begi seg ut på. Ulykken i juli 1988 ble en realisering av de iboende risikofaktorene som ikke hadde blitt tilstrekkelig verdsatt, slår Cullen fast.

Varig endring
Konferansen Safety30 ble arrangert av International Regulators Forum og Oil & Gas UK. Seminarene handlet blant annet om hvordan Piper Alpha har preget arbeidet med sikkerhet fram til i dag og hvordan man kan dra lærdom fra Piper Alpha-tragedien for å redusere risiko i dagens petroleumsvirksomhet.

Lord Cullen understreker at Piper Alpha medførte dyptgripende endringer for den britiske oljevirksomheten:

– Piper Alpha hadde stor innflytelse på industrien. Den gikk gjennom en enorm erkjennelse rundt alvorligheten av hva som hadde skjedd. Det ble aldri helt det samme.

Norsk perspektiv
I løpet av arbeidet med granskningen av ulykken viste Cullen-kommisjonen stor interesse for hvordan det norske regelverket var bygd opp og hvordan tilsynsordningen var organisert på norsk sokkel. Flere av anbefalingene de konkluderte med, var inspirert av det norske sikkerhetsregimet, både når det gjaldt ansvarsplassering, tilsynsordning og lovverk.

– Den norske modellen var definitivt verdt å kikke på, da dere hadde deres egen ulykke bare noen få år tidligere. Vi tok den norske modellen til etterretning, uten å nødvendigvis følge den nøyaktig, sier Cullen.

Fra katastrofe til læring

Cullen har viet store deler av livet sitt til å hente lærdom ut fra storulykker og katastrofer. I tillegg til Piper Alpha ledet han også de offentlige granskingene av massakren ved barneskolen i Dunblane i Skottland i 1996 og togulykken ved Ladbroke Grove i London i 1999.

– Hvis du undersøker en storulykke må du dypt ned for å finne de underliggende faktorene. Og disse faktorene er i seg selv veldig viktige. De kan oppstå igjen, men vi kan også hindre dem fra å forårsake en storulykke. De har noe å fortelle oss, og Piper Alpha er et godt eksempel på dette.

Den pensjonerte dommeren påpeker hvor viktig det er at man ikke drar forhastede konklusjoner når man arbeider med sikkerhet.

– Si for eksempel at en ansatt overfyller en beholder og det oppstår en hydrokarbonlekkasje. Hva gjør man? Fokuserer du på den ansatte og videreutdanner eller sparker vedkommende, eller går du mer i dybden?

– Er for eksempel tilsynet der det burde være? Er praksis og prosedyrer hensiktsmessige og oppdaterte, eller må de endres? Trenger man et varselsystem som viser når anbefalte nivåer overskrides?

– Dypere tenking må til. Den overfladiske fremgangsmåten holder ikke, sier Cullen.

Ifølge Lord Cullen kan man ikke måle ulykkene som ikke skjer. Han håper at vi kan leve med fordelene som kommer fra læring og kontinuerlig forbedring etter storulykker.

– Dessverre er det en del av livet at substansiell endring er vanskelig. Man er ofte avhengig av store ulykker, selv om de er forferdelige. Piper Alpha-katastrofen og alle endringene den førte til var definitivt substansielle, og folk lever fortsatt med dem, konkluderer Cullen.

Arven etter
Piper Alpha

I britenes forbedringsarbeid etter Piper Alpha ble Norge pekt på som et eksempel til etterfølgelse.

– Granskingen av Piper Alpha ble på mange måter også en indirekte test av det norske sikkerhetsregimet, konstaterer Torleif Husebø.

Etter ulykken med Alexander L. Kielland-plattformen i 1980, hvor 123 mennesker omkom, ble det utviklet et nytt norsk sikkerhetsregime og vedtatt en ny inndeling av myndighetsansvar for virksomheten på den norske sokkelen.

Samtykkeordningen ble innført i 1985. I samme periode kom også prinsippet om virksomhetenes internkontroll på plass.

Internkontroll tas som en selvfølge i dag, men de første årene ble ordningen møtt med kraftig kritikk fra flere hold. Etter Piper Alpha-granskingen stilnet kritikken.

Tydeligere myndighet

Piper Alpha-ulykken førte til flere store endringer i britisk sikkerhetsforvaltning offshore, blant annet ble myndighetsansvaret for sikkerhet overført fra Departement of Energy til Health and Safety Executive (HSE).

Torleif Husebø poengterer at hensikten var å etablere et tydelig skille mellom myndighetenes ressursforvaltning og tilsyn med sikkerhet. Ordningen med krav om Safety Case for ulike aktiviteter offshore ble også innført som resultat av granskingskommisjonens anbefalinger.

– Sentralt i denne ordningen er at operatør skal etablere en grundig oversikt over risikobildet på den aktuelle innretningen, og at det skal etableres tilstrekkelige tiltak og barrierer for å håndtere relevante scenarioer. Safety Case-ordningen har mange fellestrekk med vår samtykkeordning, sier Husebø.

Preget arbeidet med sikkerhet

– Det er viktig å minnes Piper Alpha og andre storulykker som har rammet petroleumsvirksomheten. De viser det forferdelig galt det kan gå, hvis vi ikke klarer å styre risiko og ta høyde for usikkerhet.

Husebø understreker at Piper Alpha fremdeles er relevant for dagens diskusjoner rundt sikkerhet i petroleumsvirksomhet.

– I tilfellet Piper Alpha observerte de andre plattformene at det brant, men de fortsatte sin produksjon fordi a) de trodde Piper Alpha hadde kontroll på situasjonen og b) plattformledelsen oppfattet ikke at de hadde et klart mandat til selv å stenge ned.

– Denne utfordringen, det å sørge for balanse mellom sikker virksomhet og økonomisk verdiskaping, er stadig aktuell i vår virksomhet. Det er også en del av kjernen i risikostyring. Positive tiltak for sikkerhet vil som oftest gi positiv effekt for verdiskaping. Men tiltak har som oftest en kostnad.

– De tradisjonelle, økonomiske metodene strekker ikke til i kompliserte sammenhenger med krevende usikkerhet - som ved håndtering av storulykkesrisiko, sier Husebø.

– Økonomiske vurderinger av kostnader og nytteverdi er viktige i en beslutningsprosess, men det er også viktig å kjenne begrensningen i denne typen analyser.

– Det er ikke slik at alle sikkerhetstiltak skal implementeres, men vi ser for mange situasjoner der man i utgangspunktet argumenterer vekk sikkerhetsmessige tiltak fordi den kortsiktige kostnaden er for høy. Spesielt gjelder dette når tiltakene skal redusere risiko ved hendelser med liten sannsynlighet, store konsekvenser og høy usikkerhet – alt det som kjennetegner en storulykke.

Ingen garanti

Mye har skjedd siden 1988, både med risikoforståelse, regelverk, teknologi og operasjonelle forhold. Men noen garanti for at en hendelse som Piper Alpha ikke kan skje igjen, er umulig å gi.

– Så lenge man driver denne virksomheten, kan uforutsette ting hende. Ulykker som Alexander L. Kielland i 1980, Piper Alpha i 1988 og Deepwater Horizon/Macondo i 2010 viser det store risikopotensialet som bor i denne industrien, sier Husebø.

– Sannsynligheten for at en hendelse som Piper Alpha skulle inntreffe er nok ganske mye mindre i dag enn den var i 1988 – men den er helt åpenbart større enn null.

– Vi vet at sikkerhetsnivået på norsk sokkel er høyt, og at det har vært en positiv utvikling over tid. Men historien har begrenset verdi når det gjelder framtiden. Vi må ha usikkerheten med oss og håndtere den på en forsvarlig måte, slik at sannsynlighet for slike hendelser blir minimalisert.

Alexander L. Kielland-ulykken i 1980 førte til store endringer i sikkerhetsregimet på norsk sokkel. Foto: Erik Thorberg / NTB Scanpix

Alexander L. Kielland-ulykken i 1980 førte til store endringer i sikkerhetsregimet på norsk sokkel. Foto: Erik Thorberg / NTB Scanpix

Deepwater Horizon-ulykken i Mexicogulfen i 2010 krevde 11 menneskeliv og førte til store miljøkostnader. Ulykken var en kraftig påminnelse om risikopotensialet i petroleumsvirksomheten. Foto: US Coast Guard

Deepwater Horizon-ulykken i Mexicogulfen i 2010 krevde 11 menneskeliv og førte til store miljøkostnader. Ulykken var en kraftig påminnelse om risikopotensialet i petroleumsvirksomheten. Foto: US Coast Guard

Tekst: Øyvind Midttun og Stian Danielsen
Video: Morten Gjerstad