ei aquitaine production [(]__ | préconisations de la Fonction Production DPRO 5 Rov. 2G Date : 07.0895 Mise en sécurité des installations Page: 1 do: 16 Objet Définir architecture type de la mise en sécurité d'une installation avec les principales actions d’arrét et déorire les organes qui assurent cette fonetion. Sommaire Champ d'application Principes Description des niveaux d'arrét de sécurité Fonctions participant & la sécurité Logigramme de sécurité Annexe - Les vannes de sécurits Références Préconisation DPRO.00 : Conception des installations de production Préconisation DPRO 15 : Equipement de sécurité d'un puits en exploitation et de sa collecte de raccordement Approwéle 7/4/95 Le Directeur de la Fonction Production, A THEBAULT PRosk. 008 ce document a opt EH Agultne Producto, Ine pour edgy prose son aot,el aquitaine production |f}|__| preconisations de la Fonction Production DPROS Rev, > Date : 07,0495 Mise en sécurité des installations Page: 2 de: 16 1 Champ d'application Les dispositions du présent document s'appliquent & la réalisation diinstallations nouvelles et & la partie des installations existantes, faisant objet de modifications, dans tous les secteurs dactivité de 'Exploration-Production, chaque fois que la réglementation locale est muette, insuffisamment explicite ou moins contraignante. La mise en conformité des installations anciennes est étudiée au cas par cas. Les interventions induites ne doivent toutefois pas présenter un risque supérieur & celui dont on vise l'élimination, West de la responsabilité de la filiale de + faire le bilan des écarts, + décider la mise en conformité ou non avec, le cas échéant, programme de réalisation. 2 Principes Le systéme de sécurité provoque, en cas d'anomalie, 'arrét de Finstallation. On distingue, suivant la gravité de la situation, deux niveaux d'arrét général de sécurité destinés a assurer la protection des hommes, le respect de l'environnement et la sauvegarde des biens : + LArrét d’Urgence (AU): arrét de sécurité ultime déclenché en cas de situation accidentelle ou de certaines conditions dangereuses déclarées. + L&rrét Général Production (AGP) : arrét de sécurité déclenché en cas de détection de conditions anormales présentant un risque d'évolution vers une situation accidentelle. Toutefois, des niveaux d'arrét partiel de séourité dont les actions sont limitées A une partie de installation, sont étudiés au cas par cas. 3 Description des niveaux d'arrét de sécurité 3.4. Arrét d'Urgence (AU) Les principes fondamentaux énoncés au chapitre 9 de la DPRO 00 sont développés ci-aprés.elf aquitaine production |(j|__| préconisations de la Fonction Production DPROS Rev: C — Date : 07.08.95 Mise en sécurité des installations Page: 3 de: 16 3.4.1 Déclenchement manuel LAU est principalement initié & partir d'un réseau de commandes manuelles réparties sur installation comme suit Terre Mer = Salle de contréle ou de veille. - Salle de contréle ou de veille, = Entrée(s) de installation, ~ Niveau inférieur. - Hélipont ou hélistation. - Extrémités des passerelles de liaison entre installations = Voies d'évacuation a proximité de changement de niveau, ~ Ala console de commande de l'appareil de ~~ Ala console de commande de lappareil de forage ou diintervention lors d'opérations sur forage ou diintervention lors d'opérations sur puits et production simultanées (OPPS), et au puits et production simultanées (OPPS), et au pied de Nescalier d'accés de l'appareil pied de escalier d'accas tender ou jack-up. = Dans le cas particulier d'un complexe, les AU - Dans le cas particulier d'un complexe, les AU peuvent étre commandés depuis la salle de peuvent étre commandés depuis la salle de ccontréle principale. contrdle principale. Ces commandes sont distinctes de toutes les autres commandes, bien repérées, facilement accessibles et protégées pour éviter les fausses manoeuvres. Elles sont reliées directement a lunité de traitement des sécurités. Nota: Le déclenchement volontaire a distance -depuis linstallation centrale- de AU d'une installation satellite isolée téléconduite se fait au travers du systéme de transmission. 3.1.2 Déclenchement automatique ‘* Installation avec présence permanente de personnel Certaines détections feu ou gaz entrainent automatiquement 'AU de Iinstallation (cf. paragraphe 4), ‘DPROEA soe Ce document et opt Agung Poducion In oura be nl opodit enantoneitaquitaine production [(Jj|_ | préconisations de la Fonction Production DPRO 5, Rev: Date : 07.0495 Mise en sécurité des installations Page: 4 de: 16 * Installation sans présence permanente de personnel + La détection feu entraine automatiquement I'AU de linstallation, + Le déclenchement de I'AU de Iinstallation par détection gaz, lorsqu’elle existe, est déterminé au cas ar cas, en accord avec entité Sécurité-Environnement, 3.1.3 Actions initiées LAU d'une installation provoque ‘* Lisolement aux limites de I'installation au moyen des vannes pulls faisant fonction d'ESDV, et des ESDV départ et arrivée des pipelines véhiculant des fluides présentant des risques pour la sécurité ou environnement. Nota : A terre, installation ou non d’ESDV sur les liaisons avec les puits, aux limites de la station de traitement, est déterminée en fonction des caractéristiques des conduites et des fluides transportés, et des conditions d'environnement. © LArrét Général Production de installation, * Larrét de la génération électrique alternative et la coupure, en amont de préférence, des éventuelles alimentations par cable. Seul le groupe électrogéne de secours doit pouvoir étre démarré volontairement. Son démarrage automatique est toutefois possible sil est installé en lieu sor. De surcroit, les fonctions essentielles pour : + la mise en sécurité des puits objet d'une intervention, + la protection des hommes, notamment Véclairage de sécurité, = les moyens de communication, et le cas échéant = le systéme de décompression de Installation, = le systéme de détection feu et gaz, = les moyens de lutte incendie, = les moyens de transfert et d'évacuation du personnel, doivent rester opérationnelies. * Larrét et la mise en sécurité des machines thermiques autres que celles qui contribuent & la protection des hommes et a la mise en sécurité des puits objet d'une intervention. * Llarrét de la pressurisation/ventilation et la fermeture du clapet d'air neuf et des clapets coupe-feu DeROSAdee ce deus pope AgusineProsucon eso re lov reed ans on attel aquitaine production Préconisations de la Fonction Production DPROS5 Rev. © Date : 07.0495 Mise en sécurité des installations Page: 5 de: 16 3.2. Arrét Général Production (AGP) LIAGP agit sur le procédé et les systémes qui y sont liés. C'est un arrét de sécurité destiné a interrompre {a circulation des fluides et a fractionner inventaire des produits présentant des risques pour la sécurité ou 'environnement. 3.24 Déclenchement AGP est initié par action volontaire, locale ou a distance (commandes manuelles en salle de contréle/veille et éventuellement réparties sur Installation), ou automatiquement par défaut procédé ou utili présentant un risque d'évolution vers une situation accidentelle, dit défaut procédé ou utilité critique (par exemple : niveau haut ballon de torche, perte d’énergie du contrdle-commande). LIAGP peut, par ailleurs, étre initié par les défauts procédé ou utilité qui conduiraient inéluctablement, Par effet de cascade, a l'arrét de la production, Les commandes manuelles d’AGP sont reliées directement a 'unité de traitement des sécurités. Nota : Le déclenchement volontaire a distance -depuis installation centrale- de AGP d'une installation satellite isolée téléconduite se fait au travers du systéme de transmission. 3.2.2 Actions initiées LIAGP provoque la fermeture des SDV de installation et 'arét des machines et utilités liées exclusivement au procédé, Toutefois, 'AGP peut, suivant architecture de installation et sous réserve de justification, étre sans effet sur des systémes particuliers. 4 Fonctions participant 4 la sécurité UI sfagit de la détection feu et gaz, de la lutte incendie et de la décompression de rinstallation, Les principes fondamentaux relatifs @ la détection feu et gaz, énoncés au chapitre 13 de la DPRO 00, sont développés dans les paragraphes 4.1 et 4.2 ci-aprés. DROS doe (ce oeumersta poh Aautine Protucon tne pour lg rept can son eat,BL | Préconisations de la Fonction Product DPRO5. Rev: Date : 07.0495 Mise en sécurité des installations Page:8 de: 16 4.4 Détection feu 444 Loci ation Cas des installations a terre Les emplacements a couvrir par la détection feu sont déterminés au cas par cas. Cas des installations en mer Toute installation est équipée d'un systéme de détection feu qui couvre les systémes, équipements ou emplacements suivants : = machines thermiques, + locaux techniques (notamment la sous-station électrique et la salle de contréle/veille), > quartiers d'habitation, = emplacements sensibles de r'installation. 44.2 Actions initiées Sur une installation avec présence permanente de personnel, le déclenchement automatique d'actions de protection et de mise en sécurité dépend de I'emplacement surveillé © Machine thermique La détection feu sur machine thermique, si elle existe, provoque : = Tarrét et la mise en sécurité de la machine, - la mise en oeuvre de la lutte incendie propre & la machine, lorsqu'elle est prévue. Nota : Ces dispositions ne concement pas les machines contribuant & la protection des hommes et a la mise en sécurité des puits objet d'une intervention. © Locaux techniques + La détection feu dans la sous-station électrique principal = entraine automatiquement AU de installation, ~ provoque la mise en oeuvre de la lutte incendie dans le local (cf. DPRO 00 - chapitre 14), + Dans les autres locaux, action de la détection feu est étudiée au cas par cas et déterminée selon la situation et la fonction du local, et son occupation permanente ou non par du personnel.ei aquitaine production [F}|__| préconisations de la Fonction Production DPRO 5 Rey: Date : 07.0895 Mise en sécurité des installations Page: 7 de: 16 * Quartiers d'habitation La détection feu dans les quartiers provoque - une alarme, = la fermeture des clapets coupe-feu de la pressurisation/ventilation de la zone concemée, = la coupure des alimentations électriques de la zone concemée, & exception de celles qui participent alla protection des hommes. Nota: Le découpage en zones n’est réalisé que pour les quartiers de grandes dimensions. © Emplacements sensibles Normalement, la détection feu aux emplacements sensibles de I'installation : + entraine automatiquement 'AGP, = provoque lisolement aux limites de Tinstallation (fermeture des ESDV). Toutefois, certaines détections feu peuvent, suivant architecture de installation (par exemple installations @ terre non-compactes), initier des actions limitées a aire couverte ou a une partie de installation. De plus, la mise en oeuvre automatique de la lutte incendie est déterminge au cas par cas. 4.2. Détection gaz Lintérét d'un systéme de détection gaz est évalué au cas par cas. La détection gaz se fait par un dispositif composé d'un ou plusieurs capteurs mesurant en continu la teneur en hydrocarbures de air ambiant des lieux considérés, exprimée en pourcentage de la limite inférieure d'explosivité (LIE) 4.24 Localisation La détection gaz peut couvrir les systemes, équipements ou emplacements suivants + machines thermiques, - locaux techniques (notamment la sous-station électrique et la salle de contréle/veille), = quartiers d'habitation, - emplacements sensibles de t'installation. ROSA oe Ce decument et opt EK Agine Prdacon ne geura be gu poi ean on tn,elf aquitaine production [|__| préconisations de la Fonction Production DPRO 5 Rév. > C Date : 07.0495 Mise en sécurité des installations Page:8 de: 16 4.2.2 Seuils de déclenchement Les seuils de déclenchement des actions initiées s’établissent comme suit Seuil haut Machines thermiques Locaux techniques 18 25 Quartiers d'habitation Emplacements sensibles 20 50 Cas particulier du gaz toxique Les seuils de déclenchement des actions initiées sont régiés en fonction de la toxicité du gaz. Parexemple HS : seuilbas 5 ppm seuil haut 10 ppm 4.2.3. Actions initiées Les actions initiées dépendent a la fois du seuil de déclenchement et du nombre de capteurs actives, Seuil bas Seuil haut alarme is mise en sécurité Un capteur active ‘Au moins deux capteurs actives Alarme ou mise en sécurité : & déterminer au cas par cas en accord avec lentité Sécurité- Environnement. ‘* Machine thermique + La détection gaz seuil bas a aspiration d'air de combustion ou de ventilation ou sous capot provoque une alarme. + La détection gaz seul haut a aspiration d'air de combustion ou de ventilation provoqu + larrét de la machine, = Varrét de la ventilation, - la fermeture des vantelles, + interdiction de démarrage. DPROSA.doe (Ge aocumartesta poet 2 Agisne Peston, ne pour ire cng od a 2onaetonel aquitaine production [|__| préconisations de la Fonction Production DPRO 5 Rev. © Date : 07.0495, Mise en sécurité des installations Page: 9 de: 16 + La détection gaz seuil haut sous capot provoque + farrét de la machine, + Tinterdiction de démarrage. Ces dispositions ne concement pas les machines contribuant a la protection des hommes et & la mise en sécurité des puits objet dune intervention. La détection gaz, lorsqu’elle est installée sur ces machines, ne provoque, qu'une alarme. © Locaux techniques + La détection gaz hydrocarbure/toxique seuil bas a 'aspiration d'air de surpression provoque = une alarme, - Tarrét de la pressurisation, - la fermeture du clapet d'air neuf. + La détection gaz hydrocarbure/toxique seuil bas dans le sas d'accés provoque une alarme. + La detection gaz hydrocarbure/toxique seuil haut & 'aspiration d'air de surpression ou dans le sas draceas = entraine automatiquement ‘AU de installation, = de plus, provoque dans le local concerné la coupure de toutes les alimentations électriques a exception de celles réalisées avec du matériel utiisable en zone classée. © Quartiers d'habitation + La détection gaz hydrocarbure/toxique seuil bas a 'aspiration d'air de surpression provoque : - une alarme, = larrét de la pressurisation, - la fermeture du clapet d'air neuf. + La détection gaz hydrocarbure/toxique seull bas dans les sas d'acc8s ne provoque qulune alarme. © Emplacements sensibles + La détection gaz hydrocarbure/toxique seuil bas provoque une alarme. + La détection gaz hydrocarbure/toxique seuil haut = entraine automatiquement 'AGP, = provoque lisolement aux limites de Finstallation (fermeture des ESDV). De plus, la mise en oeuvre automatique du déluge est déterminge au cas par cas. cPROSAdoe ‘Ce cocumat eta ppt auto Psion ne pour te lp ep sane son ueonete aquitaine production |]__—_| préconisations de la Fonction Production DPRO 5 Rev: Date : 07.0495 Mise en sécurité des installations Page: 10 de: 16 4.3 Lutte incendie Elle est provoquée soit automatiquement par détection feu, voire gaz (cf. paragraphes 4.1 et 4.2), soit volontairement par commande manuelle locale ou a distance. La localisation des commandes manuelles cas par cas, en accord avec lentité Sécurité bien repérées et facilement accessibles, est déterminée au environnement. 4.4 Décompression La décompression de |'installation contribue normalement a la mise en sécurité de Installation. A ce titre, son objectif est -par réduction rapide de la pression- d'éviter l'aggravation d'un événement anormal ou d'une situation accidentelle. Lorsqu'elle est prévue, elle est initiée manuellement par commande sélective locale ou a distance (& déterminer au cas par cas) et si nécessaire de fagon séquentielle, Elle ne peut intervenir qu'aprés sectionnement des installations de surface. Nota : Le risque que présente la décompression totale intempestive doit étre évalué. LPROSA see x decumar eta poh FE Ati recon In ora insu opt sane so utrtonelf aquitaine production [|__| préconisations de la Fonction Production DPRO 5 Rox: Date : 070495 Mise en sécurité des installations Page: 11 de: 16 5 Logigramme de sécurité (cas général) Fes a, Conmande mente | | Sazecattou | . s-Satondectique | | sir suprossion Sas | Epacemertsnse | | aon | aU | iene | 1a «y) ] YY Lute ‘ute incendio | (Gaz seuil haut Emplacement sensible -<-—— @ Arrét d'Urgence (AU) v oy v Fermetue des Coupe gale ‘A pressursationtventlaton dt machines Soy era Femeurenpes arreateapiau || tame) Commande Dla staue ‘ete menue NP Process ons - (4) vyyY v v Arrét Général Production (AGP) ‘sv Fermeture des ‘Arrot machines: .usités (3) (1) Installations sans présence permanente de personnel : la détection feu entraine TAU. (2) Hormis les machines contribuant & la protection des hommes ot la mise en sécurité des puits objet d'une intervention. (8) Tout équipement lié exclusivement au procédé, (4) A déterminer au cas par cas. ‘PROEA soe (ce ocument esta pi EH Aatsine Pofucson ne pour esl oped cane son ain,el aquitaine production [|__| préconisations de la Fonction Production DPRO 5 Rev: Date : 07.0495 Mise en sécurité des installations Page: 12 de: 16 Annexe Les vannes de sécurité (On entend par vanes de sécurité LIESDV (Emergency Shut Down Valve) et la SCSSV (Surface Controlled Subsurface Safety Valve) + La SDV (Shut Down Valve) et la SSV (Surface Safety Valve) + La SBDV (Safety Blow Down Valve) 1 Définitions ‘* Position de sécurité Position dans laquelle se met la vanne en cas de manque de signal de commande ou de défaut d'’énergie de manoeuvre. Toute vanne qui a une position de sécurité est dite A sécurité positive ("fail safe’ * Consignation Blocage physique volontaire de la vane, en général dans la position de sécurité. Ce blocage peut, par exemple, étre obtenu par suppression de I'énergie de commande et cadenassage. 2 Les différentes vannes de sécu Caractéristiques communes : + Les vannes de sécurité sont d'un type assurant la meilleure étanchéité possible. + Leur position ouverte/fermée est bien repérée et ne peut laisser place au doute ou a erreur. ROSA oe Cedccumenesta pot 64 Agutaine Peden line pou te lg ep sne sn tonel aquitaine production [|__| préconisations de la Fonction Produ DPRO 5 Rev. © Date : 07.0895 Mise en sécurité des installations Page: 13 de: 16 2.41 Emergency Shut Down Valve (ESDV) Position de sécurité : Fermée. a 1 Fonetion LIESDV a uniquement une fonction de sécurité. Elle assure lisolement aux limites de I'installation : puits et départ et arrivée des pipelines véhiculant des fluides présentant des risques pour la sécurité ou l'environnement, Dans certains cas particuliers et sous réserve de justification, 'ESDV peut étre utilisée comme SDV. Ses caractéristiques de fonctionnement restent toutefois celles décrites ci-aprés. 24.2 Caractéri iques de fonctionnement LIESDV est une vanne dont la fermeture est automatique, qui est verrouillée au coffret de commande local et dont la réouverture ne peut s‘effectuer qu’a ce coffret de commande. La fermeture de ESDV peut toujours s‘effectuer localement avec possibilté de consignation en position de sécurité. 2.1.3 Dispositions de conception et d'installation Les dispositions générales suivantes s'appliquent a l'ensemble des ESDV: + Pas de by-pass de la vanne, + Qualité "sécurité feu", + Servo-moteur dimensionné pour assurer au moins 150 % du couple de manoeuvre maxi calculé. + Lorsqu'un accumulateur hydraulique ou pneumatique est utilisé pour manoeuvrer la vanne & la fermeture, il doit répondre aux exigences suivantes = installation le plus prés possible de la vanne, - capacité dimensionnée pour assurer une fermeture compléte de la vanne avec, en tout point de la course, un coefficient de sécurité sur effort de manoeuvre & fournir, pour le temps de fermeture requis, de 1,5 au moins, = non exposition aux chocs et aux arrachements (par protection appropriée éventuelle) ; ceci concere également les tubes de liaison associés. OPROSA oe Ce decamert ata pop SX Agutia Predten, ine pura eg ep sars sn austinelf aquitaine production|(}|_ | préconisations de la Fonction Production DPRO 5 Rev. : Date : 07.0495, Mise en sécurité des installations Page: 14 de: 16 Les dispositions spécifiques suivantes s'appliquent aux ESDV pipelines + La vane est située dans un lieu oi les risques d'agression par d'éventuels feux ou explosions sont les plus faibles. + Le servo-moteur est, dans la mesure du possible, & simple effet (‘spring return’). + La vanne est soudée au pipeline et, proximité et en aval de I'ESDV départ pipeline ou en amont de VESDV arrivée pipeline, il n'y a aucun équipement constituant un point faible pouvant présenter un risque de fuite (par exemple : piquage, joint isolant). + En mer, SDV riser est installée au plus bas, hors vague centennale. Elle est accessible pour les tests et la maintenance, 2.2. Shut Down Valve (SDV) Position de sécurité : Fermée. 2.24 Fonction La SDV a une fonction de sécurité. Elle assure, sur AGP ou défaut procédé, 'arrét du flux au travers d'un équipement ou d'une section en Visotant, Son utilisation comme ROV (Remote Operated Valve) est admise, sous réserve que sa fréquence de manoeuvre soit faible et que sa commande au travers du systéme de sécurité reste prioritaire sur celle du systéme de contrdle du procédé. 2.2.2 Caractéristiques de fonctionnement La SDV est une vanne dont la fermeture est automatique, qui est verrouillée par le systéme de commande et dont la réouverture n'est autorisée a distance qu'aprés disparition du défaut ayant provoque la fermeture. Lorsqu'elle est utilisée comme ROV, sa réouverture est possible automatiquement. La fermeture de la SDV peut toujours s'effectuer localement avec possibilité de consignation en position de sécuritéelf aquitaine production A Préconisations de la Fonction Production DPROS5 Mise en sécurité des installations Riv: Date : 07.0495 Page: 16 de: 16 3.2. Surface Safety Valve (SSV) Position de sécurité : Fermée. La SSV est la SDV du puits. Sa fonction et ses caractéristiques de fonctionnement sont celles décrites au paragraphe 2.2. (ce dcumant eta pep 6 Aeusine Potion ne pours te cnlové pad sans son asainelfaquitaine production [f#]_—_ | préconisations de la Fonction Production DPRO 5 Rev. :C Date : 07.08.95 Mise en sécurité des installations Page: 15 de: 16 2.3. Safety Blow Down Valve (SBDV) La nécessité d'installer des vannes de décompression est étudiée au cas par cas. Nota: La vanne de décompression est + soit une SBDV avec position de sécurité, + soit une vanne sans position de sécurité ni de repli en cas de manque de signal ou de défaut d’énergie de manoeuvre (la vanne reste dans la position oi elle est au moment oli se produit un ou autre de ces défauts). Position de sécurité de la SBDV : Ouverte. 2.3.4 Fonction La SBDV a une fonction de sécurité. Elle assure la décompression de la section ou de ’squipement préalablement isolé. ‘Au dela de sa fonction de sécurité, elle peut, si nécessaire et exceptionneliement, étre utilisée comme ROV. 2.3.2 Caractéristique de fonctionnement La SBDV est une vanne dont la commande est manuelle. 2.3.3 Disposition de conception et d'installation Les systémes de motorisation et de commande de la SBDV sont fiabilisés pour éviter sa manoeuvre intempestive. 3 Cas des vannes de sécurité du puits 3.1 Surface Controlled Subsurface Safety Valve (SCSSV) Position de sécurité : Fermée. La SCSSV est 'ESDV du puits. Sa fonction et ses caractéristiques de fonctionnement sont celles décrites au paragraphe 2.1. Sa fermeture intervient normalement aprés arrét du flux. DpROsAdee (Ce document esta petite FE Again Prducon Ieper tS eps son atronelf aquitaine production |(#)|_ Préconisations de la Fonction Production DPRO 5 Rev. : © Date : 07.04.95 Safety shutdown of production installations Paget of: 16 Subject To define standard architecture of the safety shutdown of a production installation along with the main shutdown actions and to describe the actuation devices providing this function, Contents ‘Scope of application Principles Description of safety shutdown levels, Safety functions ESD block diagram Appendix - Safety valves References Préconisation DPRO 00 : Design of production installations. Préconisation DPRO 15 : Safety equipment of production and injection wells and associated flow lines. This document is a translation of the official French version, approved by A. THEBAULT Directeur de la Fonction Production DPROSEdce Tis oeunents the propa ft Agu Prctin an sha tb Sine hid patie opodiced witout pemision the oneelf aquitaine production |[)|_ | préconisations de la Fonction Production DPRO 5 Rev. : © Date : 07.04.95 Safety shutdown of production installations Page: 2 of: 16 1 Scope of application The provisions of this document apply to the design and construction of all new facilities and to the part of any existing facilities affected by modifications, within all Exploration-Production activities, whenever national rules and regulations either fail to cover the subject, or are insufficiently explicit or less strict. With regard to existing facilities, corrective works shall be evaluated on a case by case basis. However, the risks which might be induced must not be greater than those resulting from the existing situation. The Subsidiary is responsible for + listing non-conformances, + deciding whether corrective works are to be carried out and, when appropriate, scheduling them. 2 Principles The safety shutdown system shall cause, in the event of abnormal situation, shutdown of the installation. There shall be two general safety shutdown levels, depending on the criticality of the situation, so as to protect human life, respect the environment and preserve the integrity of assets : + Emergency Shutdown (ESD) : ultimate safety shutdown, initiated in the event of an accident or confirmed hazardous conditions. + General Production Shutdown (GPSD) : safety shutdown initiated upon detection of abnormal conditions representing a risk of developing into an accident. However, partial safety shutdown levels limited to a part of the installation shall be evaluated on a case by case basis. 3 Description of safety shutdown levels 3.1. Emergency Shutdown (ESD) ‘The following is a development of the principles outlined in chapter 9 of DPRO 00. DPROSE.doc The documents the pepeny ot Aquaine Products ha not be deosed oh pas of poled without pemison oe oanelf aquitaine production [[j Préconisations de la Fonction Produ DPRO 5 Safety shutdown of production installations Rev. 2G Date : 07.0895 Poge: 3 of: 18 3.4.4 Manual initiation ESD shall primarily be initiated by manual alarm call points distributed around the installation as follows Onshore = Control of watch room. - Access point(s) to the installation. = On the control panel of the drillinghwork-over unit during simultaneous drilling and production operations (SDP) and at the bottom of the stairs leading to the drilling floor, = Inthe case of a complex of installations, ESDs can be initiated from the main control room. Offshore Control or watch room, Lower deck. Helipad or helideck. Ends of bridges between installations . Escape routes, close to stairs between decks. ‘On the control panel of the drilling/work-over unit during simultaneous drilling and production ‘operations (SDP) and at the bottom of the stairs/gangway to the tender or jack-up. In the case of a complex of installations, ESDs ‘can be initiated from the main control room, These alarm call points shall be distinct from all others, clearly marked, easily accessible and protected against inadvertent activation. They shall be directly connected to the safety system processing unit. N.B. Manual remote ESD of a stand-alone remote-controlled satellite installation from the principal installation shall be provided via the transmi 3.1.2 Automatic n '* Normally manned installation Selected fire or gas detection shall automatically initiate ESD of the installation (cf. paragraph 4). ‘is coca the propery ot Aqusie Profucton anh ate declares fps wh peas lhe own.gif aquitaine production [[#] Préconisations de la Fonction Production DPRO5 Rev: Dale : 07.04.95 Safety shutdown of production installations Page: 4 oof: 16 * Not normally manned installation + Fire detection shall automatically initiate ESD of the installation, + Initiation of ESD upon gas detection, if existing, shall be evaluated on a case by case basis, in agreement with the Safety-Environment entity. 3.1.3 Actions initiated ESD of an installation shall instigate * Isolation of the installation at its limits by means of well valves serving as ESDVs, and by ESDVs on incoming and outgoing pipelines containing hazardous fluids. N.B. Onshore, the installation of ESDVs on well tie-in lines, at the limits of the treatment centre, shall be evaluated based on the characteristics of the lines and fluids as well as environmental considerations. * General Production Shutdown of the facilities. * Shut-off of AC electrical generation and cut-off of feeder lines, if relevant, preferably at their departure. Only the emergency generator must be able to start up upon manual action. However, automatic start-up shall be allowed if the generator is located in a safe area. Furthermore, essential functions contributing to + the safe control of wells undergoing intervention, + the protection of personnel, namely = emergency lighting, = communication means, and where appropriate : ~ blowdown system of the installation, - fire and gas detection system, - fire-fighting means, = personnel transfer and evacuation means, must rem: operative. © Safety shutdown of all engines other than those which contribute to the protection of personnel and to the safe control of wells undergoing intervention. * Shutdown of HVAC and closure of air intakes and fire dampers. ‘DPRCEBdee This doctment isthe propery cE Ansan Produ sn shal nate dceedo itd pare or padcd wou peste fhe net|__| Préconisations de la Fonction Production DPRO 5 elf aquitaine production Rev: Date : 07.0495 Safety shutdown of production installations Page: Sof: 16 3.2. General Production Shutdown (GPSD) GPSD shall shut down process and process utilities. It shall be designed to interrupt flows and partition off the inventory of hazardous fluids. 3.2.4 Initiation GPSD shall be initiated by local or remote voluntary action (push buttons in the control/watch room and Possibly at strategic points around the installation), or automatically upon abnormal process or utility Conditions which might develop into an accident, referred to as a critical process or utility fault (e.g flare drum LSHH, loss of power to controt system). GPSD can, moreover, be initiated by abnormal process or utility conditions which would cascade to production shutdown. ‘The GPSD push buttons shall be directly connected to the safety system processing unit N.B. Manual remote GPSD of a stand-alone remote-controlled satellite installation from the principal installation shall be provided via the transmission system 3.2.2 Actions initiated GPSD shall close the installation’s SDVs and shut down process utilities and process-related machinery. GPSD may however, depending on installation architecture, and providing it is duly substantiated, have no effect on specific systems. 4 Safety functions These include fire and gas detection, fire-fighting and blowdown of the installation. The basic principles with regard to fire and gas detection, outlined in chapter 13 of DPRO 00, are elaborated below in paragraphs 4.1 and 4.2. [PROSA.doc The document te popty a Et Anan Prado nd sant be conoid paris eprdce wont poison of omer,elf aquitaine production [7 Préconisations de la Fonction Production DPRO 5. Rew: Dale : 07.0495 Safety shutdown of production installations Poge:6 of: 16 4.1 Fire detection 4.1.4 Situation Onshore installations Locations requiring fire detection shall be defined on a case by case basis. Offshore installations All installations shall be fitted with a fire detection system covering the following systems, equipment and areas : + engines, = equipment rooms (including electrical room and controlwatch room), = living quarters, = critical locations on the installation 4.1.2 Actions initiated ‘On normally manned installations, automatic activation of protective measures and safety shutdowns depends on the monitored location © Engine Fire detection on an engine shail instigate + safety shutdown of the engine, ~ activation of the engine's fire-fighting system if existing, N.B. These provisions shall not apply to any engines which contribute to the protection of personnel and to the safe control of wells undergoing intervention. © Equipment rooms, + Fire detection in the master electrical room shall = automatically initiate ESD of the installation, ~ activate fire-fighting in the room (of. DPRO 00 - chapter 14). + In all other rooms, fire detection action shall be determined according to the room's location and function, and whether the room is permanently manned. [DPROSEGse Tis ecument nh rope ft gute Produ and shal nt be cared to pats epedice wiht permission he omer.elf aquitaine production |(#) Préconisations de la Foncti n Production DPRO 5 Rev: Date : 07.0495 Safety shutdown of production installations Page: 7 of: 16 © Living quarters Fire detection in the living quarters shall : + raise alarms, - close HVAC fire dampers in the area affected, - shut off electrical power in the area affected, of personnel. th the exception of that contributing to the protection N.B. Partition of living quarters into several areas shall only apply to large living quarters. © Critical locations Normally, fire detection at critical locations on the installation shall = autor: = isolate the installation at its limits (closure of ESDVs). However, depending on architecture of the installation (e.g. non-compact onshore installations), selected fire detection may initiate only localised action. Automatic activation of fire-fig 19 shall be evaluated on a case by case basis. 4.2 Gas detection The installation of a gas detection system shall be evaluated on a case by case basis. Gas detection shall be by single sensors or sets of several sensors ensuring continuous measurement of ‘the hydrocarbon content in the atmosphere, expressed as a percentage of the lower explosive limit (LED). 4.2.1 Situation Gas detection may cover the following systems, equipment or locations: = engines, = equipment rooms (including electrical room and control/watch room), + living quarters, = ctitical locations on the installation, [OPROSEee The dosnt he pone Et Aausne Preto nd sant edoaquitaine production [|_ éconisations de la Fonction Production DPRO 5 Rev: Date : 07.08.95 Safety shutdown of production installations Page: 8 of: 16 4.2.2 Activation thresholds The thresholds initiating action shall be as follows Lower threshold | Upper threshold Engines Equipment rooms 15 25 Living quarters Critical locations 20 50 ‘Specific provision in the event of toxic gas The thresholds initiating action shall be defined on the basis of gas toxicity, For instance, in the case of HS: lowerthreshold 5 ppm. upper threshold 10 ppm 4.2.3. Actions jated Actions initiated shall depend on both the threshold and the number of sensors activated. Lower threshold | Upper threshold One sensor activated alarm’ a At least two sensors activated a safety shutdown Alarm or safety shutdown : to be determined in agreement with the Safety-Environment entity. © Engine + Lower threshold gas detection at combustion or ventilation air intake or under hood air intake shall raise an alarm, + Upper threshold gas detection at combustion or ventilation air intake shall = shut down the engine, + shut off ventilation, = close the louvers, + inhibit start-up. [PROSE ce This document sth repay Et Agung Peden and shal eb Sloe oti partes er eodeced wit pemizion eh ntelf aquitaine production |(#j|__—_ | préconisations de la Fonction Production DPROS Rev. : © Date : 07.08.95 Safety shutdown of production installations Page: 9 of: 16 + Upper threshold gas detection under hood shall = shut down the engine, = inhibit start-up. ‘These provisions shall not apply to any engines which contribute to the protection of personnel and to the safe control of wells undergoing intervention. Gas detection, when installed on such engines, shall raise only an alarm. ‘© Equipment rooms + Lower threshold hydrocarbon/toxic gas detection at HVAC air intake shall: = raise an alarm, - shut off HVAC, = close the air intake. + Lower threshold hydrocarbonstoxic gas detection in the air lock shall raise an alarm. + Upper threshold hydrocarbon/toxic gas detection at HVAC air intake or in the air lock shall - initiate ESD of the installation, - in addition, shut off all electrical power in the room with the exception of equipment certified as suitable for use in hazardous areas. ei ing quarters + Lower threshold hydrocarbon/toxic gas detection at HVAC air intake shall - raise an alarm, - shut off HVAC, = close the air intake. + Lower threshold hydrocarbon/toxic gas detection in the air lock shall raise only an alarm. © Critical locations + Lower threshold hydrocarbon/toxic gas detection shall raise an alarm, + Upper threshold hydrocarbon/toxic gas detection shall = automatically initiate GPSD, ~ isolate the installation at its limits (closure of ESDVs). Automatic deluge system activation shall be evaluated on a case by case basis. ‘OPROSEce _Thdoament ite oper eX AatanePedicton and shart be delced' hl ats pound who emis he oeelf aquitaine production |(}]_ | préconisations de la Fonction Production DPROS Rev. 1G Date : 07,0495 Safety shutdown of production installations Page: 10 of: 16 4.3 Fire-fighting This shall be initiated either automatically by fire and, possibly, gas detection (cf. paragraphs 4.1 and 4.2), or manually by local or remote release stations. The location of manual release stations, which are to be clearly marked and easily accessible, shall be defined in agreement with the Safety-Environment entity. 4.4 Blowdown Blowdown of the facilities normally contributes to the safe contro! of the installation. As such, the objective is - by quick pressure relief - to avoid escalation of an abnormal situation or an accident, ‘When blowdown is provided, it shall be initiated manually by selective local or remote (to be evaluated) ‘commands and if necessary in sequence. It shall be activated only after closure of SDVs. N.B. Due consideration must be given to the risk of spurious general blowdown, [DPROEE.ce This documents the ropa aun rod nd sant does oth pate epobied wihou Femzton own.ef aquitaine production [fj J Préconisations de la Fonction Production DPRO5 Rev Date : 07.0495 Safety shutdown of production installations Page: 11 of: 16 5 ESD block diagram (typical) [ner test oe dtston ‘Squpment come HvAg anak ook Fre dcton | 30 | Gieateaton vwatretaroon | | mana! acon cl pont “ c Fiat ‘Appropriate shutoff ‘lectical power Upper threshold | | gas detection | | Citcaliocation | | 7 __v v sar ||| ats || elton || alll | fical faut other fait | push botom || Process Process/Utites a v y° Machinery & ties snutdoun (2) (1) Not normally manned installations : fire detection shall initiate ESD, (2) With the exception of engines which contribute to the protection of personnel and to the safe control of wells undergoing intervention, (8) Only process-related equipment. (4) To be determined on a case by case basis. ‘PROGR sce Tis document popey EN AquineProuton an shal nc cle hind paras of wpedced whut emis be ownet aquitaine production [|__| préconisations de la Fonction Production DPRO 5: Rev: C Dale : 07.0495 Safety shutdown of production installations Page: 12 of: 16 Appendix Safety valves Safety valves are : + ESDV (Emergency Shutdown Valve) and SCSSV (Surface-Controlled Subsurface Safety Valve) SDV (Shutdown Valve) and SSV (Surface Safety Valve) SBDV (Safety Blowdown Valve). 1 Definitions © Safe position A failsafe valve is a valve going to a safe position upon loss of control signal or energy supply. © Isolation ‘Manual locking of the valve, usually into the safe position, for instance by shutting off energy supply and Padlocking the valve. 2. The different safety valves Common features : + Design of safety valves shall ensure the best available sealing, + There will be a clear and unambiguous local valve position indicator. [DPROEE.G2e Tis coeur th prope El Auto Prduten and sha not Sed oth pares of eodace wheat prion he une,ei€ aquitaine production |) Préconisations de la Fonction Production DPRO5 Rev. 16 Date : 070495 Safety shutdown of production installations Page: 13 of: 16 2.4 Emergency Shutdown Valve (ESDV) Fail-safe position : Closed. 24.4 Function ESDV is strictly dedicated to safety. It shall isolate the installation at its limits : wells, incoming and outgoing pipelines containing hazardous fluids. In particular cases, after due consideration, an ESDV may be used as an SDV. Its operation shall be nonetheless as described below. 24.2. Operation ESDV shall close automatically and thereafter can only be reset locally. ESDV can always be closed locally and locked in safe position. 2.4.3. Design and installation The following general provisions shall apply to all ESDVS + No by-pass of the valve. + Fire safe rating. + Actuator sized to provide at least 150% of the maximum design operating torque. + Ifa hydraulic or pneumatic accumulator is to be used for closing the valve, it must comply with the following requirements - installation as close as possible to the valve, capacity sized to provide a full closure of the valve ; furthermore, at any point of the valve stroke, for the specified closure time, there will be at least 150 % of the required operating force, = not exposed to impacts (with adequate protection if needed) ; this shall also apply to associated piping. [PROSEco Te documenta popery et E Astin Production an tal nt be aoc sh pes of pend witout emo che omer,el aquitaine production []_ | préconisations de la Fonction Production DPROS Rev. :C Date : 07.0495 Safety shutdown of production installations Page: 14 of: 16 The following specific provisions apply to pipeline ESDVs : + The valve shall be located so that risk of damage from fire or explosion is minimized. + Whenever possible, the actuator shall be spring return closed type. + The valve shall be welded to the pipeline and there will be no weak points close to the ESDV outwards (e.g. tapping, insulating joint) + Offshore, the riser ESDV shall be installed as low as possible but out of reach of the 100 year wave. It shall be accessible for testing and maintenance, 2.2 Shutdown Valve (SDV) Fail-safe position : Closed. 2.24 Function ‘SDV has a safety function, Upon GPSD or abnormal process conditions, the SDV shall stop flow through any equipment or system by isolating it. It may be used as a shut-off valve, provided overrides the process control function. is not frequently actuated and the safety function 2.2.2. Operation ‘SDV shall close automatically, and thereafter can be reset remotely only after the abnormal condition ‘causing closure has been cleared up. When it serves as a shut-off valve, it may be reset automatically ‘SDV can always be closed locally and locked in safe position. [DPROSEdoe This ocunantisthe proper Auta Preducn a shalt be conn til pares epcouced wou emi he oun:elf aquitaine production |f#}|_—_|_préconisations de la Fonction Production DPRO 5 Rev. 1G Date : 070495 Safety shutdown of production installations Page: 18 of: 16 2.3. Safety Blowdown Valve (SBDV) The requirement for blowdown valves shall be evaluated on a case by case basis N.B. The blowdown valve is + either a failsafe SBDV, + ora failneutral valve (no actuation in the event of loss of control signal or energy supply). ‘SBDV fail-safe position : Open. 2.34 Function SBDV has a safety function. It depressurises a system or equipment which has first been isolated. When necessary and exceptionally, an SBDV may serve as a shut-off valve. 2.3.2 Operation SBDV operation shall be by manual activation 2.3.3. Design and installation Actuation and control of SBDV must be reliable enough to prevent spurious operation, 3 Well safety valves 3.1. Surface Controlled Subsurface Safety Valve (SCSSV) Fail-safe position : Closed. SCSSV is the wells ESDV. Its function and operation shall be as per paragraph 2.1. It shall normally close after flow has been shut off. [PROSE oe This ous propery EF Aguas Preduten nd sal rte decor oth pares or epociced witout peasant oneelf aquitaine production (|__| préconisations de la Fonction Production DPRO5 Rev: C Date : 070495 Safety shutdown of production installations Page: 18 of: 16 3.2 Surface Safety Valve (SSV) Fail-safe position : Closed. ‘SSV/is the well's SDV. Its function and operation shall be as per paragraph 2.2. [PROSEce Tis coeument ithe property of Bt Agu Producto nd shal rate atone itd pares pediced wou pemision cl he cna,