MARITIMT
Rapporten om Viking Sky-forliset er klar
Publisert: 20.03.2024 kl. 09.37
Cruiseskipet Viking Sky taues inn til land av slepebåten Normand Ranger, 27. mars 2019. Foto: Erik Johan Landa / Sjøfartsdirektoratet
Statens havarikommisjon (SHK) har publisert sin rapport etter hendelsen med cruiseskipet Viking Sky i mars 2019. Sjøfartsdirektoratet mener at rapporten bygger opp under funnene som også direktoratet avdekket like etter hendelsen. Konklusjonen ble da oljetrykkfall som følge av for lite olje på tankene.
SHKs rapport tar for seg ulike vurderinger av hendelsesforløpet og årsaken til at cruiseskipet Viking Sky fikk motorstans og var nær ved å grunnstøte i krevende værforhold ved Hustadvika.
– Viking Sky oppfylte ikke gjeldende sikkerhetsstandarder og skulle derfor ikke ha forlatt Tromsø under de rådende omstendigheter, skriver kommisjonen i sin kommentar til rapporten.
Men før det gikk så langt, fikk skipet motorene i gang igjen, og mannskapet fikk kontroll på situasjonen. Etter hvert ble skipet eskortert til havn i Molde.
– Det er veldig bra at havarikommisjonen har foretatt en grundig granskning av hendelsen, som kunne fått svært dramatiske konsekvenser. Vi ser også en del funn som vi både vil og skal følge opp videre. Samtidig er det noen av kommisjonens tilrådninger og vurderinger som vi ikke støtter, sier sjøfartsdirektør Knut Arild Hareide.
FOR LITE OLJE PÅ SMØROLJETANKENE
I forbindelse med hendelsen i 2019 var det viktig for Sjøfartsdirektoratet, sammen med klasseselskapet Lloyds, å finne årsaken til at motorene stanset. Dette var viktig for at skipet skulle få seile videre til verksted, men også for å få oversikt over om dette var noe som kunne skje andre skip. I denne oppfølgingen ble det raskt avdekket at skipet hadde seilt med for lavt nivå på smøreoljetankene om bord, noe som igjen medførte oljetrykkfall og stans i maskineriet.
Slik direktoratet ser det, bygger dagens rapport fra SHK opp under funnene som direktoratet gjorde i 2019 sammen med klasseselskapet Lloyds, men vi er uenige i kommisjonens påstand om at fartøyet ikke overholdt SOLAS-regelverket.
– Vi mener helt klart at designet av smøreoljetankene på Viking Sky er innenfor kravene i SOLAS, og er derfor ikke enige i konklusjonen om manglende samsvar som ligger til grunn for flere av tilrådingene fra SHK. Sjøfartsdirektoratet mener at motorstansen skyldtes at det var for lite olje på oljesmøringstankene, og undersøkelsen har avdekket svikt i både tekniske og organisatoriske barrierer som skulle avdekke og bøte på dette. Direktoratet fulgte opp dette direkte med fartøyet, samtidig som vi publiserte en mer generell sikkerhetsmelding kort tid etter hendelsen, sier avdelingsdirektør Håvard Gåseidnes i avdeling for fartøy og sjøfolk.
Så lenge skipene har gått med høyere nivå olje på smøretankene, har det ikke vært tilfeller av oljetrykksfall og blackout. Dette er også i tråd med det klasseselskapet Lloyds har påpekt i sin vurdering av hendelsen og oppfølgingen av denne.
TRYGT I VURDERINGEN
– Sjøfartsdirektoratet føler vi står svært trygt i denne vurderingen. Hadde vi ikke vært sikre på dette, ville både Viking Sky og fartøy med tilsvarende løsninger, blitt lagt til kai av oss. Vi tar sikkerheten på alvor, noe vi også har gjort i oppfølgingen av Viking Sky. Kommisjonen skal selvsagt få lov til å være uenig, men det påvirker ikke vår sterke faglige vurdering på dette punktet, påpeker sjøfartsdirektør Hareide.
«SAFE RETURN TO PORT»
Havarikommisjonen har brukt en del av sin rapport til å omtale regelverket knyttet til «Safe Return to Port». Med bakgrunn i at én av fire generatorer var ute av drift da skipet forlot Tromsø, mener kommisjonen at skipet ikke oppfylte «Safe Return to Port»-regelverket.
Selv om det normale er at alt utstyr om bord fungerer som forventet, mener direktoratet at vurderingene rundt dette temaet i denne saken ikke er relevant. Utfordringen med Viking Sky var at det var for lite olje på alle de fire smøreoljetankene, og at blackout også ville skjedd på den fjerde generatoren hvis den hadde vært i drift på det aktuelle tidspunktet.
– Det pågår nå et arbeid med å revidere IMOs retningslinjer på dette området. Sjøfartsdirektoratet har etter hendelsen også presisert kravet om å innrapportere avvik fra regelverket, sier Gåseidnes.
Det er viktig for Sjøfartsdirektoratet å understreke at en ikke har sittet passivt og ventet på rapportens innhold etter at hendelsen fant sted. Etter hendelsen er det iverksatt flere tiltak.
– Vi skal gå grundig gjennom rapporten fra SHK, slik vi gjør med alle rapporter fra dem, men vil samtidig påpeke at det er gjort flere ting etter hendelsen, sier sjøfartsdirektøren avslutningsvis.
De viktigste tiltakene etter hendelsen:
Havarikommisjonen fremmer i alt 14 sikkerhetstilrådinger til relevante aktører med mål om å fremme sjøsikkerheten
HER HELE DET NORSKE SAMMENDRAGET FRA DEN OMFATTENDE RAPPORTEN:
Om ettermiddagen den 23. mars 2019 fikk cruiseskipet Viking Sky en blackout, og mistet dermed fremdrift og styring, under en storm på vei over Hustadvika. Det er anslått at skipet bare var ca. en skipslengde fra å grunnstøte, og med 1 374 personer om bord hadde ulykken potensiale til å bli en av de verste katastrofene til sjøs i moderne tid.
Ulykken skyldtes for lavt oljenivå i alle de operative dieselgeneratorenes smøreoljetanker, i kombinasjon med stamping og rulling i høy sjøgang. Undersøkelsen har avdekket operasjonelle, tekniske og organisatoriske sikkerhetsproblem som på ulike måter bidro til at skipet fikk blackout.
gjenopprettingen etter blackouten var tidkrevende, og det tok 39 minutter å få begge fremdriftsmotorene i drift slik at skipet hadde nok kraft til å opprettholde en fart på mellom 1 og 5 knop. Det hadde tidligere blitt utført blackout-øvelser om bord, men aldri basert på full blackout uten noen standby-generator tilgjengelig. Maskinistene ble derfor stilt overfor en situasjon de ikke hadde trent på å håndtere. Situasjonen var stressende, kontrollsystemet var komplekst, og det var behov for å utføre bestemte handlinger i en gitt rekkefølge. Utilstrekkelig opplæring bidro sannsynligvis til at gjenopprettingen ble tidkrevende.
Da Viking Sky forlot Tromsø 21. mars 2019, med en av fire dieselgeneratorer ute av drift, var både mannskapet og passasjerene uvitende om at de var utsatt for økt risiko, ettersom skipet ikke hadde den redundansen som kreves i henhold til Safe Return to Port-regelverket (SRtP). Viking Sky oppfylte ikke gjeldende sikkerhetsstandarder og skulle derfor ikke ha forlatt Tromsø under de rådende omstendigheter.
HOVEDFUNN
Viking Sky fikk en blackout da alle de tre operasjonelle dieselgeneratorene (DG) ble stengt ned på grunn av for lavt smøreoljetrykk. Det lave oljetrykket skyldtes for lavt nivå av smøreolje i sumptankene, i kombinasjon med skipets bevegelser, noe som førte til at sugerørsåpningen ble eksponert for luft. Forholdene med sterk vind og store bølger var varslet, men skipets bevegelser da den første motoren stengte ned var godt innenfor det skipet var designet for.
Det var ikke etterfylt olje på sumptankene siden avgangen fra Tromsø to dager tidligere, selv om alarmer for lavt oljenivå ble utløst for DG2 og DG4 underveis, og Heavy Weather Checklist, der et av punktene var optimalisering av smøreoljenivåene, ble logget som fullført.
Ingen av skipene i flåten på fem søsterskip hadde fått instruksjoner om korrekte fyllingsnivå eller alarminnstillinger for smøreoljetankene. I juni 2016 ba maskinistene på søsterskipet Viking Sea om informasjon fra MAN om anbefalte fyllingsnivå. MAN kunne ikke gi dem et klart svar, ettersom det var verftet som hadde designet tankene. Rederiets landorganisasjon ble gjort kjent med e-postutvekslingen mellom Viking Sea og MAN. Det ble imidlertid ikke gitt noen veiledning om korrekte fyllingsnivå eller alarminnstillinger før etter ulykken med Viking Sky.
Overvåkingssystemet for nivået på smøreoljetankene var komplekst, og målingene som ble foretatt om bord var unøyaktige og upålitelige. Maskinistene om bord på Viking Sky hadde gradvis mistet tilliten til tankovervåkingssystemet. Ettersom nivåalarmene ble aktivert på bakgrunn av disse fjernavlesningene, anså ikke mannskapet alarmene som en indikasjon på det faktiske oljenivået.
Kombinasjonen av økonomiske hensyn, undervurdering av forbruk, manglende tillit til tankovervåkingssystemet og mangelen på instrukser om korrekte fyllingsnivå og alarminnstillinger førte trolig til at smøreolje- og alarmnivåene ble redusert over tid. Sikkerhetsproblemene knyttet til håndtering av smøreoljenivået på Viking Sky var trolig et resultat av underliggende organisatoriske sikkerhetsproblemer.
Verftet, klasseselskapet og SINTEF Ocean har alle gjennomført uavhengige CFD-analyser (Computational Fluid Dynamics) av smøreoljetankenes design etter ulykken. Alle analysene konkluderte med at det kunne oppstå situasjoner innenfor designparametrene der sugerørsåpningen sannsynligvis ville bli eksponert for luft. Designet var derfor ikke i samsvar med SOLAS-kravet til sikker operasjon under krenging (SOLAS kapittel II-1, del C, regel 26.6).
Simuleringer basert på fartøyets bevegelser da den første motoren stengte ned, tyder på at ulykken sannsynligvis ikke ville ha skjedd dersom smøreoljetankene hadde vært fylt til det høyeste nivået anbefalt av motorfabrikanten. Fartøyets bevegelser var imidlertid betydelig mindre enn designkriteriene spesifisert i SOLAS.
Verftets designprosess sikret ikke at smøreoljetankene var designet i henhold til alle gjeldende regler, forskrifter og anbefalinger. Klasseselskapets godkjenningsprosess var heller ikke god nok og sikret ikke at tankdesignet, som er kritisk for sikker operasjon av motorene, var i samsvar med kravene. Videre fantes det ingen teknisk veiledning eller industristandarder for hvordan SOLAS-kravet skulle følges i praksis, noe som gjorde design og verifikasjon vanskelig.
Tankdesignets faktiske begrensninger med hensyn til dynamiske krengevinkler eller samsvarende sjøforhold, var ikke beregnet. Mannskapet hadde derfor ikke den sikkerhetskritiske informasjonen de trengte for å kjenne til grensene for sikker operasjon.
Alarmsystemet i maskinkontrollrommet skilte ikke mellom kritiske og mindre kritiske alarmer. Det var derfor utfordrende å feilsøke når til sammen ca. 1 000 alarmer ble utløst i løpet av de første 10 sekundene etter blackouten. Flere problemer knyttet til alarmsystemets design og konfigurasjon har trolig hatt negativ innvirkning på de vakthavende maskinistenes utførelse av sine oppgaver. Da Viking Sky ble bygget, fantes det ingen tilgjengelige standarder som spesifiserte kriterier for design av alarmsystem i maskinrom i den maritime næringen.
Den komplekse, langvarige helikopterevakueringen ble gjennomført på en effektiv måte uten ulykker eller omkomne, men både det første redningshelikopteret og den første slepebåten ankom etter at fartøyet ville ha grunnstøtt dersom de ikke hadde lyktes med å gjenopprette fremdriften. Dette understreker viktigheten av ikke å miste fremdrift og styring og å unngå situasjoner der evakuering er nødvendig, særlig for store passasjerskip.
Rederiet var kjent med værvarselet og at en av dieselgeneratorene var ute av drift før skipet forlot Tromsø. De beordret imidlertid ikke skipet om å holde seg i havn. Rederiet hadde ingen retningslinjer eller prosedyrer i sitt sikkerhetsstyringssystem for hvordan en planlagt eller ikke-planlagt nedstengning av en dieselgenerator skulle håndteres med hensyn til SRtP-kravene. I mangel av slik støtte fra landorganisasjonen falt beslutningen om å fortsette seilasen eller bli i havn på ledelsen om bord. Ingen av dem har imidlertid nevnt noen bekymringer knyttet til SRtP. Uten å vite det ble følgelig mannskapet og passasjerene på Viking Sky utsatt for økt risiko da skipet krysset Hustadvika, et notorisk farlig område2, i dårlig vær og uten påkrevd redundans.
Det er mulig at en blackout kunne oppstått selv med alle de fire motorene tilgjengelig, dersom oljenivået var lavt i alle de fire smøreoljetankene, inkludert for DG3. Dette er imidlertid ingen grunn til ikke å overholde SRtP-regelverket.
Så snart det ble oppdaget, informerte Havarikommisjonen skipets eier, rederiet, klasseselskapet, flaggstaten, verftet og motorfabrikanten om at designet på sumptankene ikke oppfylte regelkravene. Eieren ble sterkt oppfordret til å iverksette tiltak for å sikre at flåten opererte i samsvar med gjeldende regler og forskrifter. Klasseselskapet og flaggstaten ble også oppfordret til å kreve iverksettelse av utbedrende tiltak. Etter ulykken har rederiet utarbeidet en ny prosedyre for smøreoljehåndtering, med sikte på å opprettholde høyere smøreoljenivå. Det er usikkert om den nye prosedyren fullt ut løser sikkerhetsproblemet, da den ikke understøttes av noen beregninger som dokumenterer overholdelse av SOLAS-kravet eller andre operasjonsbegrensninger.
Havarikommisjonen fremmer i alt 14 sikkerhetstilrådinger til relevante aktører. Disse retter seg mot å løse sikkerhetsproblemene som ikke har blitt løst før denne rapporten publiseres
Det er mulig at en blackout kunne oppstått selv med alle de fire motorene tilgjengelig, dersom oljenivået var lavt i alle de fire smøreoljetankene, inkludert for DG3. Dette er imidlertid ingen grunn til ikke å overholde SRtP-regelverket.
Så snart det ble oppdaget, informerte Havarikommisjonen skipets eier, rederiet, klasseselskapet, flaggstaten, verftet og motorfabrikanten om at designet på sumptankene ikke oppfylte regelkravene. Eieren ble sterkt oppfordret til å iverksette tiltak for å sikre at flåten opererte i samsvar med gjeldende regler og forskrifter. Klasseselskapet og flaggstaten ble også oppfordret til å kreve iverksettelse av utbedrende tiltak. Etter ulykken har rederiet utarbeidet en ny prosedyre for smøreoljehåndtering, med sikte på å opprettholde høyere smøreoljenivå. Det er usikkert om den nye prosedyren fullt ut løser sikkerhetsproblemet, da den ikke understøttes av noen beregninger som dokumenterer overholdelse av SOLAS-kravet eller andre operasjonsbegrensninger.
Havarikommisjonen fremmer i alt 14 sikkerhetstilrådinger til relevante aktører. Disse retter seg mot å løse sikkerhetsproblemene som ikke har blitt løst før denne rapporten publiseres.
Kombinasjonen av økonomiske hensyn, undervurdering av forbruk, manglende tillit til tankovervåkingssystemet og mangelen på instrukser om korrekte fyllingsnivå og alarminnstillinger førte trolig til at smøreolje- og alarmnivåene ble redusert over tid. Sikkerhetsproblemene knyttet til håndtering av smøreoljenivået på Viking Sky var trolig et resultat av underliggende organisatoriske sikkerhetsproblemer.
Verftet, klasseselskapet og SINTEF Ocean har alle gjennomført uavhengige CFD-analyser (Computational Fluid Dynamics) av smøreoljetankenes design etter ulykken. Alle analysene konkluderte med at det kunne oppstå situasjoner innenfor designparametrene der sugerørsåpningen sannsynligvis ville bli eksponert for luft. Designet var derfor ikke i samsvar med SOLAS-kravet til sikker operasjon under krenging (SOLAS kapittel II-1, del C, regel 26.6).
Simuleringer basert på fartøyets bevegelser da den første motoren stengte ned, tyder på at ulykken sannsynligvis ikke ville ha skjedd dersom smøreoljetankene hadde vært fylt til det høyeste nivået anbefalt av motorfabrikanten. Fartøyets bevegelser var imidlertid betydelig mindre enn designkriteriene spesifisert i SOLAS.
Verftets designprosess sikret ikke at smøreoljetankene var designet i henhold til alle gjeldende regler, forskrifter og anbefalinger. Klasseselskapets godkjenningsprosess var heller ikke god nok og sikret ikke at tankdesignet, som er kritisk for sikker operasjon av motorene, var i samsvar med kravene. Videre fantes det ingen teknisk veiledning eller industristandarder for hvordan SOLAS-kravet skulle følges i praksis, noe som gjorde design og verifikasjon vanskelig.
Tankdesignets faktiske begrensninger med hensyn til dynamiske krengevinkler eller samsvarende sjøforhold, var ikke beregnet. Mannskapet hadde derfor ikke den sikkerhetskritiske informasjonen de trengte for å kjenne til grensene for sikker operasjon.
Alarmsystemet i maskinkontrollrommet skilte ikke mellom kritiske og mindre kritiske alarmer. Det var derfor utfordrende å feilsøke når til sammen ca. 1 000 alarmer ble utløst i løpet av de første 10 sekundene etter blackouten. Flere problemer knyttet til alarmsystemets design og konfigurasjon har trolig hatt negativ innvirkning på de vakthavende maskinistenes utførelse av sine oppgaver. Da Viking Sky ble bygget, fantes det ingen tilgjengelige standarder som spesifiserte kriterier for design av alarmsystem i maskinrom i den maritime næringen.
Den komplekse, langvarige helikopterevakueringen ble gjennomført på en effektiv måte uten ulykker eller omkomne, men både det første redningshelikopteret og den første slepebåten ankom etter at fartøyet ville ha grunnstøtt dersom de ikke hadde lyktes med å gjenopprette fremdriften. Dette understreker viktigheten av ikke å miste fremdrift og styring og å unngå situasjoner der evakuering er nødvendig, særlig for store passasjerskip.
Rederiet var kjent med værvarselet og at en av dieselgeneratorene var ute av drift før skipet forlot Tromsø. De beordret imidlertid ikke skipet om å holde seg i havn. Rederiet hadde ingen retningslinjer eller prosedyrer i sitt sikkerhetsstyringssystem for hvordan en planlagt eller ikke-planlagt nedstengning av en dieselgenerator skulle håndteres med hensyn til SRtP-kravene. I mangel av slik støtte fra landorganisasjonen falt beslutningen om å fortsette seilasen eller bli i havn på ledelsen om bord. Ingen av dem har imidlertid nevnt noen bekymringer knyttet til SRtP. Uten å vite det ble følgelig mannskapet og passasjerene på Viking Sky utsatt for økt risiko da skipet krysset Hustadvika, et notorisk farlig område2, i dårlig vær og uten påkrevd redundans.
SHKs rapport tar for seg ulike vurderinger av hendelsesforløpet og årsaken til at cruiseskipet Viking Sky fikk motorstans og var nær ved å grunnstøte i krevende værforhold ved Hustadvika.
– Viking Sky oppfylte ikke gjeldende sikkerhetsstandarder og skulle derfor ikke ha forlatt Tromsø under de rådende omstendigheter, skriver kommisjonen i sin kommentar til rapporten.
Men før det gikk så langt, fikk skipet motorene i gang igjen, og mannskapet fikk kontroll på situasjonen. Etter hvert ble skipet eskortert til havn i Molde.
– Det er veldig bra at havarikommisjonen har foretatt en grundig granskning av hendelsen, som kunne fått svært dramatiske konsekvenser. Vi ser også en del funn som vi både vil og skal følge opp videre. Samtidig er det noen av kommisjonens tilrådninger og vurderinger som vi ikke støtter, sier sjøfartsdirektør Knut Arild Hareide.
FOR LITE OLJE PÅ SMØROLJETANKENE
I forbindelse med hendelsen i 2019 var det viktig for Sjøfartsdirektoratet, sammen med klasseselskapet Lloyds, å finne årsaken til at motorene stanset. Dette var viktig for at skipet skulle få seile videre til verksted, men også for å få oversikt over om dette var noe som kunne skje andre skip. I denne oppfølgingen ble det raskt avdekket at skipet hadde seilt med for lavt nivå på smøreoljetankene om bord, noe som igjen medførte oljetrykkfall og stans i maskineriet.
Slik direktoratet ser det, bygger dagens rapport fra SHK opp under funnene som direktoratet gjorde i 2019 sammen med klasseselskapet Lloyds, men vi er uenige i kommisjonens påstand om at fartøyet ikke overholdt SOLAS-regelverket.
– Vi mener helt klart at designet av smøreoljetankene på Viking Sky er innenfor kravene i SOLAS, og er derfor ikke enige i konklusjonen om manglende samsvar som ligger til grunn for flere av tilrådingene fra SHK. Sjøfartsdirektoratet mener at motorstansen skyldtes at det var for lite olje på oljesmøringstankene, og undersøkelsen har avdekket svikt i både tekniske og organisatoriske barrierer som skulle avdekke og bøte på dette. Direktoratet fulgte opp dette direkte med fartøyet, samtidig som vi publiserte en mer generell sikkerhetsmelding kort tid etter hendelsen, sier avdelingsdirektør Håvard Gåseidnes i avdeling for fartøy og sjøfolk.
Så lenge skipene har gått med høyere nivå olje på smøretankene, har det ikke vært tilfeller av oljetrykksfall og blackout. Dette er også i tråd med det klasseselskapet Lloyds har påpekt i sin vurdering av hendelsen og oppfølgingen av denne.
TRYGT I VURDERINGEN
– Sjøfartsdirektoratet føler vi står svært trygt i denne vurderingen. Hadde vi ikke vært sikre på dette, ville både Viking Sky og fartøy med tilsvarende løsninger, blitt lagt til kai av oss. Vi tar sikkerheten på alvor, noe vi også har gjort i oppfølgingen av Viking Sky. Kommisjonen skal selvsagt få lov til å være uenig, men det påvirker ikke vår sterke faglige vurdering på dette punktet, påpeker sjøfartsdirektør Hareide.
«SAFE RETURN TO PORT»
Havarikommisjonen har brukt en del av sin rapport til å omtale regelverket knyttet til «Safe Return to Port». Med bakgrunn i at én av fire generatorer var ute av drift da skipet forlot Tromsø, mener kommisjonen at skipet ikke oppfylte «Safe Return to Port»-regelverket.
Selv om det normale er at alt utstyr om bord fungerer som forventet, mener direktoratet at vurderingene rundt dette temaet i denne saken ikke er relevant. Utfordringen med Viking Sky var at det var for lite olje på alle de fire smøreoljetankene, og at blackout også ville skjedd på den fjerde generatoren hvis den hadde vært i drift på det aktuelle tidspunktet.
– Det pågår nå et arbeid med å revidere IMOs retningslinjer på dette området. Sjøfartsdirektoratet har etter hendelsen også presisert kravet om å innrapportere avvik fra regelverket, sier Gåseidnes.
Det er viktig for Sjøfartsdirektoratet å understreke at en ikke har sittet passivt og ventet på rapportens innhold etter at hendelsen fant sted. Etter hendelsen er det iverksatt flere tiltak.
– Vi skal gå grundig gjennom rapporten fra SHK, slik vi gjør med alle rapporter fra dem, men vil samtidig påpeke at det er gjort flere ting etter hendelsen, sier sjøfartsdirektøren avslutningsvis.
De viktigste tiltakene etter hendelsen:
- Sjøfartsdirektoratet publiserte en sikkerhetsmelding like etter hendelsen, og har siden fulgt opp denne overfor rederi og næring.
- Rederiet har i møte med Sjøfartsdirektoratet redegjort for endringer og forbedringer knyttet til drift av fartøyene, noe som også er kommunisert til kommisjonen.
- Klasseselskapet Lloyds har gjennom International Association of Classifications Societies (IACS) revidert Unified Requirement M-46. Dette er en omforent forståelse av konstruksjonskravene som anvendes av alle anerkjente klasseselskap for skip som er medlem av IACS.
- Norge deltar i arbeidsgruppen IMO har etablert for å undersøke forhold knyttet til “Safe Return to Por-regelverket for skip i operasjon. Målet er å få på plass en harmonisert forståelse av kravene i operasjon. Dette er også kommunisert til kommisjonen.
Havarikommisjonen fremmer i alt 14 sikkerhetstilrådinger til relevante aktører med mål om å fremme sjøsikkerheten
HER HELE DET NORSKE SAMMENDRAGET FRA DEN OMFATTENDE RAPPORTEN:
Om ettermiddagen den 23. mars 2019 fikk cruiseskipet Viking Sky en blackout, og mistet dermed fremdrift og styring, under en storm på vei over Hustadvika. Det er anslått at skipet bare var ca. en skipslengde fra å grunnstøte, og med 1 374 personer om bord hadde ulykken potensiale til å bli en av de verste katastrofene til sjøs i moderne tid.
Ulykken skyldtes for lavt oljenivå i alle de operative dieselgeneratorenes smøreoljetanker, i kombinasjon med stamping og rulling i høy sjøgang. Undersøkelsen har avdekket operasjonelle, tekniske og organisatoriske sikkerhetsproblem som på ulike måter bidro til at skipet fikk blackout.
gjenopprettingen etter blackouten var tidkrevende, og det tok 39 minutter å få begge fremdriftsmotorene i drift slik at skipet hadde nok kraft til å opprettholde en fart på mellom 1 og 5 knop. Det hadde tidligere blitt utført blackout-øvelser om bord, men aldri basert på full blackout uten noen standby-generator tilgjengelig. Maskinistene ble derfor stilt overfor en situasjon de ikke hadde trent på å håndtere. Situasjonen var stressende, kontrollsystemet var komplekst, og det var behov for å utføre bestemte handlinger i en gitt rekkefølge. Utilstrekkelig opplæring bidro sannsynligvis til at gjenopprettingen ble tidkrevende.
Da Viking Sky forlot Tromsø 21. mars 2019, med en av fire dieselgeneratorer ute av drift, var både mannskapet og passasjerene uvitende om at de var utsatt for økt risiko, ettersom skipet ikke hadde den redundansen som kreves i henhold til Safe Return to Port-regelverket (SRtP). Viking Sky oppfylte ikke gjeldende sikkerhetsstandarder og skulle derfor ikke ha forlatt Tromsø under de rådende omstendigheter.
HOVEDFUNN
Viking Sky fikk en blackout da alle de tre operasjonelle dieselgeneratorene (DG) ble stengt ned på grunn av for lavt smøreoljetrykk. Det lave oljetrykket skyldtes for lavt nivå av smøreolje i sumptankene, i kombinasjon med skipets bevegelser, noe som førte til at sugerørsåpningen ble eksponert for luft. Forholdene med sterk vind og store bølger var varslet, men skipets bevegelser da den første motoren stengte ned var godt innenfor det skipet var designet for.
Det var ikke etterfylt olje på sumptankene siden avgangen fra Tromsø to dager tidligere, selv om alarmer for lavt oljenivå ble utløst for DG2 og DG4 underveis, og Heavy Weather Checklist, der et av punktene var optimalisering av smøreoljenivåene, ble logget som fullført.
Ingen av skipene i flåten på fem søsterskip hadde fått instruksjoner om korrekte fyllingsnivå eller alarminnstillinger for smøreoljetankene. I juni 2016 ba maskinistene på søsterskipet Viking Sea om informasjon fra MAN om anbefalte fyllingsnivå. MAN kunne ikke gi dem et klart svar, ettersom det var verftet som hadde designet tankene. Rederiets landorganisasjon ble gjort kjent med e-postutvekslingen mellom Viking Sea og MAN. Det ble imidlertid ikke gitt noen veiledning om korrekte fyllingsnivå eller alarminnstillinger før etter ulykken med Viking Sky.
Overvåkingssystemet for nivået på smøreoljetankene var komplekst, og målingene som ble foretatt om bord var unøyaktige og upålitelige. Maskinistene om bord på Viking Sky hadde gradvis mistet tilliten til tankovervåkingssystemet. Ettersom nivåalarmene ble aktivert på bakgrunn av disse fjernavlesningene, anså ikke mannskapet alarmene som en indikasjon på det faktiske oljenivået.
Kombinasjonen av økonomiske hensyn, undervurdering av forbruk, manglende tillit til tankovervåkingssystemet og mangelen på instrukser om korrekte fyllingsnivå og alarminnstillinger førte trolig til at smøreolje- og alarmnivåene ble redusert over tid. Sikkerhetsproblemene knyttet til håndtering av smøreoljenivået på Viking Sky var trolig et resultat av underliggende organisatoriske sikkerhetsproblemer.
Verftet, klasseselskapet og SINTEF Ocean har alle gjennomført uavhengige CFD-analyser (Computational Fluid Dynamics) av smøreoljetankenes design etter ulykken. Alle analysene konkluderte med at det kunne oppstå situasjoner innenfor designparametrene der sugerørsåpningen sannsynligvis ville bli eksponert for luft. Designet var derfor ikke i samsvar med SOLAS-kravet til sikker operasjon under krenging (SOLAS kapittel II-1, del C, regel 26.6).
Simuleringer basert på fartøyets bevegelser da den første motoren stengte ned, tyder på at ulykken sannsynligvis ikke ville ha skjedd dersom smøreoljetankene hadde vært fylt til det høyeste nivået anbefalt av motorfabrikanten. Fartøyets bevegelser var imidlertid betydelig mindre enn designkriteriene spesifisert i SOLAS.
Verftets designprosess sikret ikke at smøreoljetankene var designet i henhold til alle gjeldende regler, forskrifter og anbefalinger. Klasseselskapets godkjenningsprosess var heller ikke god nok og sikret ikke at tankdesignet, som er kritisk for sikker operasjon av motorene, var i samsvar med kravene. Videre fantes det ingen teknisk veiledning eller industristandarder for hvordan SOLAS-kravet skulle følges i praksis, noe som gjorde design og verifikasjon vanskelig.
Tankdesignets faktiske begrensninger med hensyn til dynamiske krengevinkler eller samsvarende sjøforhold, var ikke beregnet. Mannskapet hadde derfor ikke den sikkerhetskritiske informasjonen de trengte for å kjenne til grensene for sikker operasjon.
Alarmsystemet i maskinkontrollrommet skilte ikke mellom kritiske og mindre kritiske alarmer. Det var derfor utfordrende å feilsøke når til sammen ca. 1 000 alarmer ble utløst i løpet av de første 10 sekundene etter blackouten. Flere problemer knyttet til alarmsystemets design og konfigurasjon har trolig hatt negativ innvirkning på de vakthavende maskinistenes utførelse av sine oppgaver. Da Viking Sky ble bygget, fantes det ingen tilgjengelige standarder som spesifiserte kriterier for design av alarmsystem i maskinrom i den maritime næringen.
Den komplekse, langvarige helikopterevakueringen ble gjennomført på en effektiv måte uten ulykker eller omkomne, men både det første redningshelikopteret og den første slepebåten ankom etter at fartøyet ville ha grunnstøtt dersom de ikke hadde lyktes med å gjenopprette fremdriften. Dette understreker viktigheten av ikke å miste fremdrift og styring og å unngå situasjoner der evakuering er nødvendig, særlig for store passasjerskip.
Rederiet var kjent med værvarselet og at en av dieselgeneratorene var ute av drift før skipet forlot Tromsø. De beordret imidlertid ikke skipet om å holde seg i havn. Rederiet hadde ingen retningslinjer eller prosedyrer i sitt sikkerhetsstyringssystem for hvordan en planlagt eller ikke-planlagt nedstengning av en dieselgenerator skulle håndteres med hensyn til SRtP-kravene. I mangel av slik støtte fra landorganisasjonen falt beslutningen om å fortsette seilasen eller bli i havn på ledelsen om bord. Ingen av dem har imidlertid nevnt noen bekymringer knyttet til SRtP. Uten å vite det ble følgelig mannskapet og passasjerene på Viking Sky utsatt for økt risiko da skipet krysset Hustadvika, et notorisk farlig område2, i dårlig vær og uten påkrevd redundans.
Det er mulig at en blackout kunne oppstått selv med alle de fire motorene tilgjengelig, dersom oljenivået var lavt i alle de fire smøreoljetankene, inkludert for DG3. Dette er imidlertid ingen grunn til ikke å overholde SRtP-regelverket.
Så snart det ble oppdaget, informerte Havarikommisjonen skipets eier, rederiet, klasseselskapet, flaggstaten, verftet og motorfabrikanten om at designet på sumptankene ikke oppfylte regelkravene. Eieren ble sterkt oppfordret til å iverksette tiltak for å sikre at flåten opererte i samsvar med gjeldende regler og forskrifter. Klasseselskapet og flaggstaten ble også oppfordret til å kreve iverksettelse av utbedrende tiltak. Etter ulykken har rederiet utarbeidet en ny prosedyre for smøreoljehåndtering, med sikte på å opprettholde høyere smøreoljenivå. Det er usikkert om den nye prosedyren fullt ut løser sikkerhetsproblemet, da den ikke understøttes av noen beregninger som dokumenterer overholdelse av SOLAS-kravet eller andre operasjonsbegrensninger.
Havarikommisjonen fremmer i alt 14 sikkerhetstilrådinger til relevante aktører. Disse retter seg mot å løse sikkerhetsproblemene som ikke har blitt løst før denne rapporten publiseres
Det er mulig at en blackout kunne oppstått selv med alle de fire motorene tilgjengelig, dersom oljenivået var lavt i alle de fire smøreoljetankene, inkludert for DG3. Dette er imidlertid ingen grunn til ikke å overholde SRtP-regelverket.
Så snart det ble oppdaget, informerte Havarikommisjonen skipets eier, rederiet, klasseselskapet, flaggstaten, verftet og motorfabrikanten om at designet på sumptankene ikke oppfylte regelkravene. Eieren ble sterkt oppfordret til å iverksette tiltak for å sikre at flåten opererte i samsvar med gjeldende regler og forskrifter. Klasseselskapet og flaggstaten ble også oppfordret til å kreve iverksettelse av utbedrende tiltak. Etter ulykken har rederiet utarbeidet en ny prosedyre for smøreoljehåndtering, med sikte på å opprettholde høyere smøreoljenivå. Det er usikkert om den nye prosedyren fullt ut løser sikkerhetsproblemet, da den ikke understøttes av noen beregninger som dokumenterer overholdelse av SOLAS-kravet eller andre operasjonsbegrensninger.
Havarikommisjonen fremmer i alt 14 sikkerhetstilrådinger til relevante aktører. Disse retter seg mot å løse sikkerhetsproblemene som ikke har blitt løst før denne rapporten publiseres.
Kombinasjonen av økonomiske hensyn, undervurdering av forbruk, manglende tillit til tankovervåkingssystemet og mangelen på instrukser om korrekte fyllingsnivå og alarminnstillinger førte trolig til at smøreolje- og alarmnivåene ble redusert over tid. Sikkerhetsproblemene knyttet til håndtering av smøreoljenivået på Viking Sky var trolig et resultat av underliggende organisatoriske sikkerhetsproblemer.
Verftet, klasseselskapet og SINTEF Ocean har alle gjennomført uavhengige CFD-analyser (Computational Fluid Dynamics) av smøreoljetankenes design etter ulykken. Alle analysene konkluderte med at det kunne oppstå situasjoner innenfor designparametrene der sugerørsåpningen sannsynligvis ville bli eksponert for luft. Designet var derfor ikke i samsvar med SOLAS-kravet til sikker operasjon under krenging (SOLAS kapittel II-1, del C, regel 26.6).
Simuleringer basert på fartøyets bevegelser da den første motoren stengte ned, tyder på at ulykken sannsynligvis ikke ville ha skjedd dersom smøreoljetankene hadde vært fylt til det høyeste nivået anbefalt av motorfabrikanten. Fartøyets bevegelser var imidlertid betydelig mindre enn designkriteriene spesifisert i SOLAS.
Verftets designprosess sikret ikke at smøreoljetankene var designet i henhold til alle gjeldende regler, forskrifter og anbefalinger. Klasseselskapets godkjenningsprosess var heller ikke god nok og sikret ikke at tankdesignet, som er kritisk for sikker operasjon av motorene, var i samsvar med kravene. Videre fantes det ingen teknisk veiledning eller industristandarder for hvordan SOLAS-kravet skulle følges i praksis, noe som gjorde design og verifikasjon vanskelig.
Tankdesignets faktiske begrensninger med hensyn til dynamiske krengevinkler eller samsvarende sjøforhold, var ikke beregnet. Mannskapet hadde derfor ikke den sikkerhetskritiske informasjonen de trengte for å kjenne til grensene for sikker operasjon.
Alarmsystemet i maskinkontrollrommet skilte ikke mellom kritiske og mindre kritiske alarmer. Det var derfor utfordrende å feilsøke når til sammen ca. 1 000 alarmer ble utløst i løpet av de første 10 sekundene etter blackouten. Flere problemer knyttet til alarmsystemets design og konfigurasjon har trolig hatt negativ innvirkning på de vakthavende maskinistenes utførelse av sine oppgaver. Da Viking Sky ble bygget, fantes det ingen tilgjengelige standarder som spesifiserte kriterier for design av alarmsystem i maskinrom i den maritime næringen.
Den komplekse, langvarige helikopterevakueringen ble gjennomført på en effektiv måte uten ulykker eller omkomne, men både det første redningshelikopteret og den første slepebåten ankom etter at fartøyet ville ha grunnstøtt dersom de ikke hadde lyktes med å gjenopprette fremdriften. Dette understreker viktigheten av ikke å miste fremdrift og styring og å unngå situasjoner der evakuering er nødvendig, særlig for store passasjerskip.
Rederiet var kjent med værvarselet og at en av dieselgeneratorene var ute av drift før skipet forlot Tromsø. De beordret imidlertid ikke skipet om å holde seg i havn. Rederiet hadde ingen retningslinjer eller prosedyrer i sitt sikkerhetsstyringssystem for hvordan en planlagt eller ikke-planlagt nedstengning av en dieselgenerator skulle håndteres med hensyn til SRtP-kravene. I mangel av slik støtte fra landorganisasjonen falt beslutningen om å fortsette seilasen eller bli i havn på ledelsen om bord. Ingen av dem har imidlertid nevnt noen bekymringer knyttet til SRtP. Uten å vite det ble følgelig mannskapet og passasjerene på Viking Sky utsatt for økt risiko da skipet krysset Hustadvika, et notorisk farlig område2, i dårlig vær og uten påkrevd redundans.
Relaterte artikler
-
Kistefjell og Fløyfjell sertifisert
13 år siden -
Sollifjell tålte ikke sjøen
14 år siden -
Tre omkom i arbeidsulykker på næringsfartøy
3 måneder siden -
Dystre tall for dødsulykker på næringsfartøy
6 måneder siden -
Hever sikringsnivå til høyeste nivå i område Rødehavet
10 måneder siden -
10 skip fikk norsk flagg
1 år siden