Философия аварийного отключения на морских объектах и анализ эвакуации для установок в зонах риска ураганов

Платформы, подверженные риску ураганов, сталкиваются с проблемой планирования, которую традиционная философия аварийного отключения (ESD) не охватывает полностью. Логика ESD рассчитана на быстрые события: выброс газа, пожар, разгерметизацию. Ураган развивается медленно и прогнозируемо, но он лишает вас вариантов один за другим. Вертолеты прекращают полеты. Суда не могут подойти к борту. Морские и энергетические системы деградируют. Если закрытие скважин (shut-in), вывоз персонала и обеспечение безопасности объекта не согласованы с этим закрывающимся окном возможностей, вы получите один из двух плохих результатов: незапланированное аварийное отключение при ухудшающейся погоде или наличие людей на борту, когда безопасных путей отхода не осталось. Оба варианта влекут за собой последствия для безопасности, активов и окружающей среды, а запуск после неконтролируемого останова происходит медленнее и рискованнее, чем после планового.

В этой статье разделяются уровни отключения, объясняется место временного убежища (TR) в стратегии действий при урагане и излагается методика проведения исследования времени эвакуации, на которое могут полагаться лица, принимающие решения.

Стандарты и нормативный контекст

Ниже приведены основные ориентиры, которые я бы использовал:

• IEC 61511 охватывает функциональную безопасность систем противоаварийной защиты в перерабатывающей промышленности. Он определяет, как специфицируются, проверяются и обслуживаются функции отключения, когда они реализованы как приборные функции безопасности.
• API RP 14C охватывает анализ, проектирование, монтаж и испытания основных систем безопасности поверхности для морских добывающих платформ. Это традиционная основа для логики отключения технологических процессов и предохранительных устройств на установках, регулируемых в США.
• ISO 13702 охватывает контроль и смягчение последствий пожаров и взрывов на морских добывающих установках. Это общепринятый справочный материал для философии ESD, функций TR и положений по спасению и эвакуации.

Регуляторы возлагают ответственность на оператора. Руководство BSEE по ураганам гласит, что оператор должен разрабатывать и внедрять планы аварийного реагирования, включающие положения об эвакуации персонала, а также оценивать риски ураганов и действовать на их основе, включая анализ пожаров, взрывов и эвакуации. Документ Oil & Gas UK (ныне OEUK) Industry Guidelines for the Management of Emergency Response for Offshore Installations, Issue 3 (2010), по-прежнему является полезным справочником для структурирования управления, контроля и компетенций в области аварийного реагирования. Ни один из документов не посвящен конкретно ураганам, но оба предполагают, что эвакуация должна быть проанализирована, а не принята как должное.

Иерархия ESD: аварийное против предупредительного отключения

Разграничение двух режимов отключения

Подготовка к урагану включает два разных режима, и их смешивание приводит к проблемам.

• Аварийное отключение инициируется автоматически или вручную в ответ на опасное событие. Оно происходит быстро, приоритетом является изоляция, и оно спроектировано так, чтобы переходить в определенное безопасное состояние при отказе.
• Предупредительное (плановое) отключение — это поэтапная последовательность действий под руководством оператора, инициируемая прогнозом. Оно более медленное и контролируемое. Скважины закрываются, технологические запасы перераспределяются, и объект оставляется в состоянии, позволяющем переждать шторм без персонала.

Плановая последовательность должна использовать те же конечные изолирующие устройства, что и ESD, но она не должна зависеть от ESD для своего выполнения.

Типичная иерархия и объекты защиты

Операторы называют уровни по-разному, поэтому четко определите свои в документе по философии. Функциональная структура обычно выглядит следующим образом.

Определение безопасного состояния для каждой функции

Распространенная ошибка проектирования ESD — предположение, что принцип «обесточивание для срабатывания» подходит для каждой функции. Это не так. Безопасное состояние должно быть определено для каждой функции посредством анализа опасностей, а не приниматься по умолчанию. Клапану может потребоваться остаться открытым для предотвращения перегрева. Аварийное освещение, обнаружение пожара, связь и системы эвакуации должны продолжать работать после отключения производственного оборудования. В контексте урагана это означает:

• поддержание работоспособности систем обнаружения пожара и газа, громкоговорящей связи и аварийного питания после изоляции производства, пока персонал остается на борту;
• подтверждение того, что происходит с техническим воздухом и воздухом КИП при потере основного питания во время шторма;
• принятие решения о том, должны ли системы факельного сжигания и сброса оставаться доступными в течение длительного периода отсутствия персонала.

Суда с динамическим позиционированием

Для судов с DP и MODU нельзя допускать, чтобы ESD приводило к потере позиции. В сезон ураганов это крайне важно, так как обесточивание в тяжелых погодных условиях создает вторую аварийную ситуацию. Решения об отсоединении или пребывании на месте должны следовать заранее согласованному плану, а не приниматься по ситуации. Согласуйте письменные точки принятия решений, ответственных и триггеры до начала сезона.

Проектирование временного убежища в условиях урагана

Временное убежище (TR) защищает персонал от пожара, взрыва, дыма или токсичного газа в течение времени, необходимого для завершения аварийного реагирования и эвакуации, как определено в ISO 13702. Обычно оно не является укрытием от урагана, и отношение к нему как к таковому является стратегической ошибкой. Подход с присутствием персонала во время шторма потребовал бы отдельного анализа конструкций, движения, систем жизнеобеспечения и путей отхода, а большинство проектов TR никогда не предназначались для соответствия этому стандарту.

В случаях, когда стратегия предусматривает эвакуацию персонала с установки до выхода урагана на берег, TR по-прежнему важен в двух аспектах:

1. Заключительный этап эвакуации. Последние люди на борту работают из TR, и его системы связи, контроля сбора и обнаружения должны функционировать до последнего отбытия.
2. Остаточный риск при прерывании эвакуации. Если вертолет или судно потеряны или задерживаются, людям, оставшимся на борту, необходимо защищенное место для пребывания. В исследовании должно быть четко указано, является ли TR приемлемым для такого случая и на какой срок. Оставлять этот вопрос открытым недопустимо.

При анализе проекта проверьте выживаемость TR при опасностях, совпадающих с суровыми погодными условиями: потере основного электропитания, блокировке путей эвакуации ветром и воздействием волн на открытые переходы, а также ухудшении работы заслонок или воздухозаборников HVAC. Также подтвердите, что зоны спуска спасательных шлюпок и плотов пригодны для использования при прогнозируемом состоянии моря, поскольку эвакуация морем обычно является крайней мерой.

Исследования времени эвакуации

Построение графика в обратном порядке от погодных условий

Исследование времени эвакуации отвечает на один вопрос: с момента принятия решения сможет ли каждый безопасно покинуть установку до того, как погода сделает невозможным использование средств эвакуации? Ответ должен быть выражен в виде запаса времени.

Требуемое время является суммой последовательных элементов:

T_required = T_decision + T_shut-in + T_mobilise + T_embark + T_transit_and_recovery

а запас времени составляет:

Margin = T_available − T_required

T_available — это время от момента принятия решения до прогнозируемого наступления условий, прекращающих выбранные режимы эвакуации (полеты авиации, операции судов у борта, спуск спасательных средств). Для каждого термина необходим ответственный и обоснование: исторические данные учений, обязательства подрядчиков или моделирование.

Три момента обеспечивают достоверность исследования:

• Параллельность против последовательности. Закрытие скважин (shut-in), закрепление кранов и незакрепленных предметов, а также перемещение персонала на практике пересекаются, но только там, где это позволяют численность персонала и разрешения. Моделируйте реальные зависимости.
• Отказ режима. Проверьте случай, когда основной режим недоступен, например, из-за запрета полетов вертолетов или задержки судна, и посмотрите, каким станет запас времени.
• Неопределенность прогноза. T_available основывается на прогнозе траектории и интенсивности, который постоянно меняется. Установите триггер решения достаточно рано, чтобы запас времени сохранялся при пессимистичном прогнозе, а не только при центральном.

Моделирование и оптимизация

В документе OTC "Evacuation Procedure Modeling and Optimization for Offshore Structures" (2022) рассматриваются отключаемые FPSO в регионах ураганов и циклонов, где процедура эвакуации должна моделироваться целиком. Практик может извлечь из этого подход: рассматривать процедуру как модель, шаги которой можно выстраивать в последовательность, тестировать и оптимизировать, а не как статический контрольный список. Отключаемые системы добавляют такие шаги, как отсоединение и отход судна. Эти шаги должны быть включены в график и в логику ESD, которая их поддерживает.

Иллюстративный сценарий

Ниже приведено сконструированное описание, а не реальное событие.

Стационарная добычная платформа в ураганоопасном бассейне использует вертолеты в качестве основного режима эвакуации и дежурное судно в качестве вторичного. Операционная группа проводит анализ времени, когда шторм входит в зону планирования.

1. Группа перечисляет каждый элемент графика и назначает ответственного: полномочия по принятию решения, закрытие добычи, изоляция подводной части и устья скважины, закрепление палубы, мобилизация вертолетов, оформление пассажиров и окончательное отбытие.
2. Закрытие добычи оказывается самым длительным элементом, так как несколько технологических линий должны выводиться из эксплуатации последовательно, а линии компримирования газа требуют контролируемого сброса давления. Поэтому группа начинает закрытие раньше эвакуации, чтобы эти процессы перекрывались.
3. Поставщик вертолетов сообщает, что его воздушные суда не могут работать после того, как условия превысят лимит компании. Группа использует прогнозируемое время наступления этих условий как T_available для основного режима.
4. Запас времени (Margin = T_available − T_required) для центрального прогноза оказывается положительным. Повторный расчет с более ранним прогнозом прибытия и отсутствием одного воздушного судна дает отрицательный запас.
5. Поэтому платформа устанавливает триггер решения на более раннее время, а в контрольный список добавляется требование подтверждать наличие судна всякий раз, когда запас времени для авиации невелик.

Второй расчет является целью упражнения. Один положительный запас времени по оптимистичному прогнозу не является приемлемым основанием для принятия решения.

Практический чек-лист

Философия и логика

• Определите предупредительный останов и аварийный останов как отдельные документированные режимы с четкой границей между ними.
• Подтвердите, что диаграммы причинно-следственных связей показывают безопасное состояние для каждой функции с анализом опасностей для каждой из них.
• Убедитесь, что аварийное питание, системы обнаружения, связи и сбора остаются доступными после изоляции процесса, пока на борту находится персонал.
• Для установок DP пересмотрите действия ESD с учетом последствий потери позиции.

Временное убежище и пути отхода

• Укажите проектную основу TR и то, принимается ли оно в качестве убежища в случае прерывания эвакуации.
• Проверьте пути отхода, пункты посадки и зоны спуска на предмет пригодности к использованию при прогнозируемой погоде.
• Подтвердите работу HVAC, воздухозаборников и заслонок при потере основного питания.

Сроки эвакуации

• Документируйте каждый элемент графика с указанием ответственного лица и обоснования.
• Рассчитайте запас времени для центрального прогноза, пессимистичного прогноза и режима деградированной эвакуации.
• Установите триггеры принятия решений на основе пессимистичного сценария и назначьте лицо, уполномоченное их активировать.
• Письменно согласуйте обязательства подрядчиков (авиация, суда, береговые пункты приема) с допущениями исследования.

Запуск и проверка

• Спланируйте состояние объекта при консервации: положения клапанов, инвентарь, закрепленное оборудование и мониторинг безлюдной установки.
• Разработайте процедуру послештормовой инспекции и повторного входа до начала сезона. Любые работы по вскрытию или осмотру оборудования, содержащего углеводороды, при повторном входе должны сопровождаться изоляцией, сбросом давления, проверкой отсутствия энергии, lock-out/tag-out, мерами предосторожности во взрывоопасной зоне, газоанализом и безопасным дренированием.
• Проведите учения по полному графику и обновите исследование на основе полученных данных.

Заключение

Стратегия действий при ураганах опирается на три составляющие: философию ESD, разделяющую плановый и аварийный остановы, TR с честно определенной ролью и исследование сроков эвакуации, выражающее результат как запас времени в пессимистичных условиях. Начните с пересмотра текущей философии в отношении границы между предупредительным и аварийным остановом и безопасных состояний для каждой функции. Затем перестройте график эвакуации в обратном порядке от погодных условий и протестируйте его в режиме деградированной эвакуации. При обнаружении пробелов устраните их до начала сезона, используя IEC 61511, API RP 14C и ISO 13702 в качестве технической базы, а ожидания регулятора по планированию чрезвычайных ситуаций — в качестве базы соответствия.