Filosofia di arresto di emergenza offshore e analisi dell'evacuazione per installazioni esposte a uragani

Le piattaforme esposte agli uragani affrontano un problema di pianificazione che una convenzionale filosofia di arresto di emergenza (ESD) non copre completamente. La logica ESD è costruita per eventi rapidi: un rilascio di gas, un incendio, una perdita di contenimento. Un uragano è lento e prevedibile, ma sottrae le opzioni una alla volta. Gli elicotteri smettono di volare. Le navi non possono accostare. I sistemi marini e di potenza degradano. Se la chiusura (shut-in), lo sbarco del personale e la messa in sicurezza dell'impianto non sono sequenziati rispetto a quella finestra temporale che si chiude, si finisce con uno di due esiti negativi: una fermata di manutenzione di emergenza non pianificata in condizioni meteorologiche in peggioramento, o persone a bordo quando non rimane alcuna via di uscita sicura. Entrambi comportano conseguenze per la sicurezza, gli asset e l'ambiente, e il riavvio dopo un arresto incontrollato è più lento e rischioso del riavvio dopo uno pianificato.

Questo articolo separa i livelli di arresto, spiega dove il rifugio temporaneo (TR) si inserisce in una strategia per uragani e stabilisce come costruire uno studio sui tempi di evacuazione su cui i decisori possano fare affidamento.

Standard e contesto normativo

I seguenti sono i punti di riferimento che utilizzerei:

• IEC 61511 copre la sicurezza funzionale per i sistemi strumentati di sicurezza nell'industria di processo. Disciplina il modo in cui le funzioni di arresto vengono specificate, verificate e mantenute quando sono implementate come funzioni strumentate di sicurezza.
• API RP 14C copre l'analisi, la progettazione, l'installazione e il collaudo dei sistemi di sicurezza di superficie di base per le piattaforme di produzione offshore. È la base tradizionale per la logica di arresto del processo e dei dispositivi di sicurezza sulle installazioni regolate dagli Stati Uniti.
• ISO 13702 copre il controllo e la mitigazione di incendi ed esplosioni sulle installazioni di produzione offshore. È il riferimento comune per la filosofia ESD, le funzioni TR e le disposizioni per la fuga e l'evacuazione.

Le autorità di regolamentazione attribuiscono la responsabilità all'operatore. La guida agli uragani del BSEE afferma che l'operatore deve sviluppare e implementare piani di risposta alle emergenze che includano disposizioni per l'evacuazione del personale, e deve valutare i rischi di uragano e agire di conseguenza, inclusa l'analisi di incendi ed esplosioni e l'evacuazione. Le Industry Guidelines for the Management of Emergency Response for Offshore Installations di Oil & Gas UK (ora OEUK), Issue 3 (2010), rappresentano ancora un riferimento utile per strutturare il comando, il controllo e la competenza nella risposta alle emergenze. Nessuno dei due documenti è specifico per gli uragani, ma entrambi prevedono che l'evacuazione sia analizzata, non presunta.

Gerarchia ESD: Arresto di emergenza contro arresto precauzionale

Mantenere distinte le due modalità di arresto

La preparazione agli uragani coinvolge due modalità diverse, e confonderle causa problemi.

• L'arresto di emergenza viene avviato automaticamente o manualmente in risposta a un evento pericoloso. È rapido, privilegia l'isolamento ed è progettato per portarsi in uno stato sicuro definito in caso di guasto.
• L'arresto precauzionale (pianificato) è una sequenza a fasi, guidata dall'operatore, attivata da una previsione. È più lento e controllato. I pozzi vengono chiusi, l'inventario di processo viene gestito e l'impianto viene lasciato in uno stato in grado di resistere alla tempesta senza personale.

La sequenza pianificata dovrebbe utilizzare gli stessi dispositivi di isolamento finale dell'ESD, ma non dovrebbe dipendere dall'ESD per la sua esecuzione.

Gerarchia tipica e cosa deve proteggere

Gli operatori nominano i propri livelli in modo diverso, quindi definiteli esplicitamente nel documento sulla filosofia. La struttura funzionale è generalmente la seguente.

Definire lo stato sicuro per funzione

Un errore comune nella progettazione ESD è presumere che il "de-energise to trip" sia corretto per ogni funzione. Non lo è. Lo stato sicuro deve essere definito per ogni funzione attraverso l'analisi dei pericoli, non presunto. Una valvola potrebbe dover rimanere aperta per evitare il surriscaldamento. L'illuminazione di emergenza, la rilevazione incendi, le comunicazioni e i sistemi di evacuazione devono continuare a funzionare dopo l'arresto delle apparecchiature di produzione. In un contesto di uragano, ciò significa:

• mantenere attivi la rilevazione di fiamme e gas, l'annuncio pubblico e l'alimentazione di emergenza dopo l'isolamento della produzione, finché il personale rimane a bordo;
• confermare cosa accade all'aria di servizio e strumenti quando viene persa l'alimentazione principale durante una tempesta;
• decidere se i sistemi di flare e vent devono rimanere disponibili durante un lungo periodo senza personale.

Unità a posizionamento dinamico

Per le navi DP e le MODU, l'ESD non deve causare la perdita di posizione. Nella stagione degli uragani questo conta molto, perché un blackout in condizioni meteorologiche avverse crea una seconda emergenza. Le decisioni relative allo scollegamento o alla permanenza dovrebbero seguire un piano concordato preventivamente, non una chiamata ad hoc. Concordate punti decisionali scritti, responsabili e trigger prima dell'inizio della stagione.

Temporary Refuge Design in a Hurricane Context

Il TR protegge il personale da incendi, esplosioni e fumo o gas tossici per il tempo necessario a completare la risposta all'emergenza e l'evacuazione, come definito in ISO 13702. Normalmente non è un rifugio per uragani e considerarlo tale è un errore strategico. Un approccio che preveda la presenza di personale durante la tempesta richiederebbe una propria analisi strutturale, del moto, del supporto vitale e delle vie di fuga, e la maggior parte dei progetti di TR non è mai stata concepita per soddisfare tale standard.

Laddove la strategia preveda l'evacuazione dell'installazione prima dell'impatto a terra, il TR rimane importante in due modi:

1. Fase finale dell'evacuazione. Le ultime persone a bordo operano dal TR, e le sue comunicazioni, il controllo dell'adunata e il rilevamento devono funzionare fino all'ultima partenza.
2. Rischio residuo in caso di interruzione dell'evacuazione. Se un elicottero o un'imbarcazione vengono persi o subiscono ritardi, le persone rimaste a bordo hanno bisogno di un luogo difendibile in cui stare. Lo studio dovrebbe indicare esplicitamente se il TR è accettabile per tale caso e per quanto tempo. Lasciare la questione aperta non è un'opzione.

Per la revisione del progetto, verificare la sopravvivenza del TR contro i pericoli che coincidono con condizioni meteorologiche avverse: perdita dell'alimentazione principale, vie di fuga bloccate dall'azione del vento e delle onde sui camminamenti esposti e degrado delle serrande o delle prese HVAC. Confermare inoltre che le aree di lancio delle scialuppe e delle zattere di salvataggio siano utilizzabili nello stato del mare previsto, poiché l'evacuazione via mare è solitamente l'ultima risorsa.

Evacuation Timing Studies

Build the timeline backward from weather

Uno studio sui tempi di evacuazione risponde a una domanda. Dal momento in cui viene presa una decisione, tutti possono lasciare l'installazione in sicurezza prima che il meteo impedisca l'uso dei mezzi di partenza? La risposta deve essere espressa come un margine.

Il tempo richiesto è la somma di elementi sequenziali:

T_required = T_decision + T_shut-in + T_mobilise + T_embark + T_transit_and_recovery

e il margine è:

Margin = T_available − T_required

T_available è il tempo che intercorre dal punto di decisione all'inizio previsto delle condizioni che interrompono le modalità di evacuazione scelte (operazioni aeree, operazioni navali sottobordo, lancio di mezzi di salvataggio). Ogni termine necessita di un responsabile e di una base: dati storici delle esercitazioni, impegni dei contrattisti o simulazioni.

Tre punti garantiscono l'integrità dello studio:

• Parallelo contro seriale. Lo shut-in, il fissaggio delle gru e degli oggetti mobili e lo spostamento del personale si sovrappongono nella pratica, ma solo dove il personale e i permessi lo consentono. Modellare le dipendenze reali.
• Fallimento della modalità. Testare il caso in cui la modalità primaria non sia disponibile, come una flotta aerea a terra o un'imbarcazione in ritardo, e vedere quale diventa il margine.
• Incertezza delle previsioni. T_available deriva da una previsione di traiettoria e intensità che cambia continuamente. Impostare il trigger decisionale abbastanza presto affinché il margine sopravviva a una previsione pessimistica, non solo a quella centrale.

Modelling and optimisation

Il documento OTC "Evacuation Procedure Modeling and Optimization for Offshore Structures" (2022) affronta le FPSO scollegabili nelle regioni soggette a uragani e cicloni, dove la procedura di evacuazione deve essere modellata nel suo insieme. Ciò che un professionista ne ricava è l'approccio: trattare la procedura come un modello i cui passaggi possono essere sequenziati, testati e ottimizzati, piuttosto che come una checklist statica. I sistemi scollegabili aggiungono passaggi come lo scollegamento e la partenza della nave. Tali passaggi appartengono alla timeline e alla logica ESD che li supporta.

Illustrative Scenario

Quella che segue è un'illustrazione costruita, non un evento reale.

Una piattaforma di produzione fissa in un bacino soggetto a uragani utilizza gli elicotteri come modalità di evacuazione primaria e una nave di stand-by come secondaria. Il team operativo esegue una revisione dei tempi quando una tempesta entra nel cono di pianificazione.

1. Il team elenca ogni elemento della timeline e assegna un responsabile: autorità decisionale, shut-in della produzione, isolamento sottomarino e della testa pozzo, fissaggio del ponte, mobilitazione degli elicotteri, gestione dei passeggeri e partenza finale.
2. Lo shut-in della produzione risulta essere l'elemento singolo più lungo, poiché diversi treni devono essere messi fuori servizio in sequenza e il treno di compressione del gas necessita di una depressurizzazione controllata. Pertanto, la revisione avvia lo shut-in prima dell'evacuazione, in modo che i due si sovrappongano.
3. Il fornitore di elicotteri riferisce che i suoi aeromobili non possono operare una volta che le condizioni superano un limite aziendale. Il team utilizza l'orario di arrivo previsto di tali condizioni come T_available per la modalità primaria.
4. Il margine (Margin = T_available − T_required) per la previsione centrale risulta positivo. Ripetendo il calcolo con una previsione di arrivo anticipato e un aeromobile non disponibile, si ottiene un margine negativo.
5. La piattaforma imposta quindi il suo trigger decisionale in anticipo e la checklist acquisisce il requisito di confermare la disponibilità della nave ogni volta che il margine per gli aeromobili è ridotto.

Il secondo calcolo è lo scopo dell'esercizio. Un singolo margine positivo sulla previsione del caso migliore non è una base accettabile per una decisione.

Checklist Pratica

Filosofia e logica

• Definire l'arresto precauzionale e l'arresto di emergenza come modalità documentate separate, con un confine chiaro tra loro.
• Confermare che i diagrammi causa-effetto mostrino lo stato sicuro per funzione, con l'analisi dei rischi alla base di ciascuno.
• Verificare che l'alimentazione di emergenza, il rilevamento, le comunicazioni e i sistemi di raccolta rimangano disponibili dopo l'isolamento del processo finché c'è personale a bordo.
• Per le unità DP, rivedere le azioni ESD rispetto alle conseguenze della perdita di posizione.

Rifugio temporaneo e fuga

• Dichiarare la base di progettazione del TR e se è accettato come rifugio in caso di interruzione dell'evacuazione.
• Controllare le vie di fuga, i punti di imbarco e le aree di lancio per verificarne l'usabilità nelle previsioni meteorologiche.
• Confermare il comportamento di HVAC, prese d'aria e serrande in caso di perdita dell'alimentazione principale.

Tempi di evacuazione

• Documentare ogni elemento della cronologia con un responsabile e una base.
• Calcolare il margine per la previsione centrale, una previsione pessimistica e una modalità di evacuazione degradata.
• Impostare i trigger decisionali in base al caso pessimistico e nominare la persona con l'autorità per invocarli.
• Allineare per iscritto gli impegni dei contrattisti (aeromobili, navi, ricezione a terra) con le ipotesi dello studio.

Riavvio e revisione

• Pianificare come viene lasciata la struttura: posizioni delle valvole, inventario, apparecchiature messe in sicurezza e monitoraggio dell'installazione non presidiata.
• Sviluppare una procedura di ispezione e rientro post-tempesta prima dell'inizio della stagione. Qualsiasi lavoro che comporti l'apertura o l'ispezione di apparecchiature contenenti idrocarburi al rientro deve seguire l'isolamento, la depressurizzazione, la verifica dell'energia zero, lock-out/tag-out, precauzioni per area classificata, rilevamento gas e sfiato sicuro.
• Eseguire un'esercitazione dell'intera cronologia e aggiornare lo studio con quanto emerso dall'esercitazione.

Conclusione

Una strategia per gli uragani si basa su tre elementi che lavorano insieme: una filosofia ESD che separa la fermata pianificata da quella di emergenza, un TR il cui ruolo è definito onestamente e uno studio sui tempi di evacuazione che esprime la risposta come un margine in condizioni pessimistiche. Inizia rivedendo la tua filosofia attuale per il confine tra precauzionale ed emergenza e gli stati sicuri per funzione. Quindi ricostruisci la cronologia dell'evacuazione a ritroso partendo dal meteo e testala con una modalità di evacuazione degradata. Laddove emergano lacune, colmale prima della stagione, utilizzando IEC 61511, API RP 14C e ISO 13702 come quadro tecnico e le aspettative di pianificazione dell'emergenza del tuo ente regolatore come quadro di conformità.