Eksperter om Viking Sky-fejl: »Det skulle egentlig ikke være muligt«
more_vert
close

Få de daglige nyheder fra Version2 og Ingeniøren. Læs mere om nyhedsbrevene her.

close
Ved at tilmelde dig accepterer du vores Brugerbetingelser, og du accepterer, at Teknologiens Mediehus og IDA-gruppen lejlighedsvis kan kontakte dig om arrangementer, analyser, nyheder, job og tilbud m.m. via telefon og e-mail. I nyhedsbreve, e-mails fra Teknologiens Mediehus kan der forefindes markedsføring fra samarbejdspartnere.

Eksperter om Viking Sky-fejl: »Det skulle egentlig ikke være muligt«

Illustration: Wiki Commons/Kjersti Magnussen/TU

Der var for lidt, men alligevel nok smøreolie til at leve op til kravene, da Viking Sky i weekenden kom i problemer i norsk farvand på grund af hårdt vejr.

Men under overfarten på Hustadvika i op til 15 meter høje bølger blev alarmer for lavt olietryk udløst, og motorerne gik automatisk over i en ‘shut down-proces’, det vil sige, at motorerne automatisk slår fra.

Den høje sø medførte efter al sandsynlighed så store bevægelser i tankene, at smøreoliepumperne mistede tilførsel. Dette udløste alarm om lavt smøreolietryk, hvilket igen førte til automatisk nedlukning af motorerne kort tid efter for at forhindre skader, oplyste Sjøfartsdirektoratet onsdag eftermiddag.

Teknisk Ukeblad har talt med eksperter om direktoratets konklusion, og begge stiller sig undrende over for årsagen.

Én enkelt fejl fik store følger

Forskningsleder for energi og transport i Sintef Ocean Anders Valland synes, det er mærkeligt, at skibet skulle have fået et totalt blackout, hvor alle fire hovedmotorer svigtede på samme tid.

»Det skulle egentlig ikke være muligt. Én fejl må ikke slå et helt fartøj ud,« siger Valland.

Forskningslederen siger, at dette bryder med princippet om, at en enkeltstående fejl ikke skal kunne slå et helt system fra/ud.

»Når niveauet i tanken er inden for minimumsgrænsen, burde smøreoliepumpen ikke få problemer - og i hvert fald ikke i en sådan grad, at det slår alle fire motorer ud,« siger Anders Valland.

Efterlyser redundant system

Professor Eilif Pedersen fra Marin Teknikk på NTNU mener, at det må være en designfejl eller designsvaghed, når en alarm fra en smøreoliepumpe kan stanse alle fire motorer.

»Eftersom de har designet skibet med redundans og to separate motorrum, er det mærkeligt, at de ikke har redundans i smøreoliesystemet. Så slår de jo den sikkerhed, der var lagt op til, ihjel,« siger Eilif Pedersen.

Beder rederier sikre tilførsel af smøreolie

Sjøfartsdirektoratet har i dagene efter motorhavariet arbejdet på at afdække, om der kan være tekniske eller operationelle forhold ved hændelsen, som kan have betydning for andre fartøjer.

Direktør for passagerskibsafdelingen i Sjøfartsdirektoratet Sonja E. Hillersøy siger, at det er for tidligt at sige noget om, om der vil komme regelændringer som følge af hændelsen.

Sjøfartsdirektoratet har udsendt en generel sikkerhedsmeddelelse om at sikre tilførsel af smøreolie til motorer og andre kritiske systemer. De beder også om, at dette bliver en del af risikovurderingen af sikkerhedsstyringssystemerne på større skibe.

Havarikommissionen går i dybden

»I første omgang går vi ud med en meddelelse til alle motorleverandører om, at de skal sikre et tilpas højt niveau af smøreolie i tanken, så pumpen kan klare at opretholde trykket,« siger Sonja E. Hillersøy.

Ifølge hende vil Statens havarikommisjon for transport (SHT) gå dybere ind i årsagerne og hændelsesforløbet og komme med anbefalinger.

»For os var det vigtigt at finde årsagen så hurtigt som muligt og sende en advarsel ud, og så vil SHT stille og roligt undersøge dette i dybden,« siger Sonja E. Hillersøy.

Hun påpeger, at det er op til hver enkelt motorleverandør at finde en løsning.

»Alle har deres egne niveauer og systemer. Vi kan kun pege på, at dette kan være et problem under ekstreme forhold,« siger hun.

Ikke en oplagt fejl

Sjøfartsdirektoratet oplyser, at problemer med smøreolietrykket ikke blev udpeget som hovedårsagen lige med det samme. Det var først tirsdag aften, at det begyndte at stå klart.

»Det var en kombination af tekniske undersøgelser, logninger og interviews med mandskabet, som førte til, at vi fandt årsagen, «siger Sonja E. Hillersøy.

Hun er ikke sikker på, at to separate tanke, en for hvert motorrum, kunne have forhindret alarmerne.

»Hvis der er samme niveau på to separate tanke og samme hældningsvinkel, vil begge pumper suge luft ind, og smøreolietrykket vil falde,« siger hun.

Så vidt direktoratet har kunnet afgøre, blev motorerne automatisk lukket ned en efter en, indtil der var totalt blackout.

Motorerne om bord

Viking Sky har fire MAN-hovedmotorer, to rækkemotorer med 9 cylindre (9L32/44CR på 5.040 kW hver) og to 12-cylinders V-motorer (12V32/44CR på 6.720 kW hver).

De er konfigureret med to motorer fordelt på ‘far og søn’ i hvert sit maskinrum, adskilt af brand- og vandtætte skotter og døre.

Ifølge MAN er motortypen specielt designet til brug af heavy fuel-olie (HFO i henhold til DIN ISO 8217-specifikationerne).

Motorerne er turboladet med MAN’s eget MAN TCR-system. Automations- og kontrolsystemet er også udviklet af MAN (Sacos one). Ifølge en brochure fra MAN er der et smøreoliefilter på hver motor, mens vandkølingen sker via et tostrengset høj- og lavtemperatursystem.

Safe to port

Viking Sky er bygget efter de nyeste sikkerhedsregler for passagerskibe og færger, Solas (Safety of life at Sea). Skibe med en længde på over 120 meter er omfattet af Solas regler for ‘Safe Return to Port’ (SRtP).

Det betyder redundans, dobbelt op på nødvendige faciliteter, kapaciteter og udstyr, deriblandt ventilation og sanitære anlæg samt redningsudstyr.

Skibet skal kunne komme sikkert til nærmeste havn inden for en på forhånd defineret tidsramme, afhængigt af skibets operationelle krav. Dette svigtede på Viking Sky.

Skibet er klassificeret af britiske Lloyd’s og registreret i Norsk Internasjonalt Skipsregister (NIS)

Artiklen er fra tu.no

Emner : Skibe
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først

Kunne man forestille sig at man satte det således op at en motor ikke må gå i automatisk stop hvis alle andre motore er det? Det er vel bedre at brokke en motor frem for risikere et helt skib med passagere?

  • 10
  • 4

Hun er ikke sikker på, at to separate tanke, en for hvert motorrum, kunne have forhindret alarmerne.

»Hvis der er samme niveau på to separate tanke og samme hældningsvinkel, vil begge pumper suge luft ind, og smøreolietrykket vil falde,« siger hun.

2 tanke med samme designfejl vil naturligvis ikke hjælpe, men 1 eller 2 tanke der designet så olien ikke løber væk fra pumpen før skibet ligger på siden vil da løse det problem. Det virker på alt fra motorcykler til flyvemaskiner.

  • 23
  • 0

SOLAS
Regulation 27
Machinery
5 Main turbine propulsion machinery and, where applicable, main internal combustion propulsion machinery and auxiliary machinery shall be provided with automatic shutoff arrangements in the case of failures such as lubricating oil supply failure which could lead rapidly to complete breakdown, serious damage or explosion. The Administration may permit provisions for overriding automatic shutoff devices.

  • 6
  • 0

Hvis det tilladte "minimumsolieniveau" kan få motorerne til at stoppe, så må niveauet jo være sat for lavt? Er løsningen ikke så simpelt som at hæve minimumsniveauet?

  • 7
  • 0

Rigtigt - Det kan være løsningen. Har sejlet i ca. 20 år som maskimster for et par årtier siden. Ved sejlads på Nordatlanten under hårdt vejr - Skotland til USA - havde vi altid høj stand i olietanken. Netop for forhindre at oliepumperne skulle tabe sugningen..

  • 12
  • 0

Et helt nyt krydstogtskib der sejler på heavy fuel når ingen forbyder det

Heavy fuel burde kun bruges hvor man har fuld kontrol med renseprocesserne, hvilket man klart ikke har når man er nød til at bruge let diesel tæt på land.

Et moderne skib !

Udstiller klart modsætningen mellem lobbyisternes skåltaler og deres egentlige interesse...

  • 16
  • 4

Sådan et skibs motorer skal kunne tåle alle positioner uden at falde ud. Rulle helt rundt og lodret position; stævnen lodret nede og lodret oppe.

Man skal kunne gå rundt selv med skibsbunden i vejret.

  • 5
  • 3

Nu har jeg ikke kendskab til lige de motor modeller i skibet, men har de fleste motorer i den størrelsesorden ikke tørsump?

Med tørsump er det nemt at lave en ekstern olietank som leverer olie til pumperne uanset hvordan tanken vender.

Det er da et længe løst problem med brandstoftanke i applikationer hvor tankene ofte enten bliver rystet ekstremt eller vendt 180 grader på hovedet i tide og utide.

  • 14
  • 0

Hvis jeg har forstået diverse artikler rigtigt, så er der tale om et skib med elektrisk fremdrivning. Hvis motorerne stopper, så er der formodentlig, hvad teknikere kalder "sort lys" i skibet indtil nødgeneratoren starter op, hvilket den bør gøre inden for 20-30 sekunder. Har vi hørt noget herom? Hvis dette ikke er sket så er den rivende gal.
Som fhv. sejlede maskinmester må jeg sige, at det er -eller var - så meget på rygmarven i faget, at der altid skal være smøreolieniveau til at klare "hvad som helst" og med 4 dieselgeneratorer, hvoraf der endog ikke er tale om samme type, vil jeg påstå, at det er meget usandsynligt at alle 4 falder ud pga. svigtende smøreolietryk på samme tid.
Noget andet er om elektronikken kan være faldet ud af andre årsager. Der er tale om motorer med "common rail", dvs. elektronisk styring af brændstofindsprøjtningen via en processor (cpu). Hvis denne cpu får en passende stor elektrisk påvirkning - også kendt som en "spike" - så kan elektronikken godt tage skade eller sende forkerte signaler videre og så har vi måske en forklaring på et momentant stop på hele herligheden.
I det for norsk skibsfart uheldige døgn - der var to skibe i fare - var vores lille klode under massiv påvirkning af en solstorm. En sådan påvirkning vil andre steder kunne give udfald af vidtstrakte strømsystemer i land - og har tidligere gjort dette - men man har lært af fortiden og sikret sig, ikke mindst med god varsling fra satellitter. Selvom vi betragter et skib som en slags Faraday´s Bur, så er der mange rør og luftkanaler, der fører ud af "buret" og disse kunne godt virke som bølgeledere den anden vej og transmittere en elektromagnetisk puls (EMP) ind til følsomme komponenter, som man umiddelbart troede sikrede inde i stålkassen, men man kan blive skuffet og Murphy er altid med dig, ikke mindst på havet. Er skibets overvågningselektronik "klasset" til at kunne klare en nærmere defineret EMP eller er dette begreb ukendt inden for nyere søfart?
mvh: JAML.

  • 8
  • 1

Hvis et skib er bygget med fire motorer til fremdrivning af sikkerhedshensyn, og disse er sat sammen to og to på smøreoliesystemet, har det reelt ikke fire motorer men kun to, hvilket jo ikke er mere sikkert end i "gamle dage" med to hovedmotorer med hver een propel.
Så der er noget der ikke rigtigt giver mening. Og det bliver særligt betænkeligt, hvis et norsk rederi sætter sit krydstogtskib ud at sejle i stormvejr med minimum olie i motorenes smøreolietanke - måske for at spare på indkøb ?

I øvrigt: Den pågældende motortype fås også med egen våde smøreoliesump, hvorved den stipulerede ulykke var undgået, men igen: Det koster jo også lidt mere end den valgte løsning.

Det hele bliver mere og mere pinligt for rederiet. Gad vide hvor dette, der snart ligner "en tredie klasses søforklaring" ender ?

  • 6
  • 0

Dette er nok et klassisk eksempel på en risikoanalyse / failure mode analysis hvor et scenarie er blevet klassificeret som "Det kan ikke ske", men så skete det alligevel.

  • 4
  • 0

Jens Arne. Umiddelbart vil jeg forvente, at søfartsdirektoratet har rimelig styr på det, før de melder ud om fejlårsagen.
Hvad der undre mig mere er, at man overhovedet kan have automatisk stop for en motor i et fartøj. Det vil jo svare til, at motorstyringen i en bil direkte afbryder tændingen ved lavt olietryk. Dette er førens ansvar, ikke styringens.
Er det almindeligt på skibe, med automatisk nedlukning af motorer, hvis ikke lige alle systemer kører optimalt?

  • 4
  • 2

Mit gæt at, der var software indblandet var måske ikke helt ved siden af.
Det er selvfølgelig ikke Boeing, men har man på broen mulighed for at override nedlukningen, og kender man til systemerne.

  • 1
  • 3

software indblandet

Pasd på med altid at skyde på softwaren. Ja, der er ofte fejl i software. Men mange gange så laver softwaren faktisk det det den er specificeret til at gøre, og funktionen kunne godt være gjort i hardware, måske oven i købet mekanisk. Det reelle problem er at der er lavet et for alt for dårligt systemdesign. Hovedfunktionen er beskrevet men alle fejlsituationerne ikke er analyseret / beskrevet/ dækket. Hvad skal den stakkels programmør så gøre? Her er det, at dem der specificerer systemet tror at bare man hælder "en magisk SW sovs" ud over designet så løser det også alle fejlsecenarier. Det gør det ikke!

  • 4
  • 1

Et moderne skib som dette er som fremhævet mange gange dieselelektrisk - ville det så ikke være oplagt at de også kunne udnytte de elektriske motorer til fremdrift fra batteribackup.

Skibet skal selvføgelig ikke kunne sejle langt på en opladning, og vi taler heller ikke om marchhastighed, men der burde være batterikapacitet nok til at skibet kunne ligge underdrejet en periode, evt også nok til at sejle lidt længere ud til søs og så ligge underdrejet der - som jeg forstår på det, så er forholdene på det pågældende sted helt specielle pga. stor vanddybde og næsten lodrette klippevægge, så det ville være mere kontrollabelt at befinde sig længere ud (også for at undgå faren for at gå på grund).

  • 0
  • 2

Til Søren Stig og evt. andre:
Den eneste automatiske shut-down funktion (nødstop) jeg har oplevet, har været overhastighed på motoren, hvor en centrifugalfunktion har udløst spjæld i motorens luftindsugning, som derpå har "kvalt" motoren. Overhastigheden ( tab af skrue/brud på skrueaksel) ville foranledige mekaniske skader inde i motoren. Derfor denne drastiske anordning.
Alt andet - også smøreolietrykket - er gået via den manuelle stopknap. JAML

  • 4
  • 0

Redningsskibet Nordjylland blev bygget i 1968 og havde 2 Holeby hovedmotorer hver på 1000 HK. Der var tvunget trukne pumper på motorerne og uafhængigt reservesystem ved siden af.
Hvis det usandsynlige skulle ske, at smøringen stoppede, var der 2 muligheder: enten var der x antal sekunder til at stoppe motorerne uden at de tog skade, eller der var garanteret y antal sekunder med fuld belastning inden motorerne brændte sammen. Beslutningen var broen's og skete via manøvrepulterne på broen.

Motorerne var computerstyret med Kameva skrue, så det kunne have ladet sig gøre at standse dem automatisk.

  • 3
  • 0

Jeg tror at journalisterne (og måske også andre) roder lidt rundt i dette her.
Hver motor har sit eget smørreoliesystem, sin egen smørreolie tank og pumpe.
Hvis alle 4 motorer falder ud som følge af at smørreoliepumperne suger luft, så må probelemt opstå som en kombination af det lave smørreolie niveau og at tankene måske ikke har været helt hensigtsmæssigt konstrueret.
Der er mange andre skibe der sejler med disse MAN 32/44CR motorer, mange af dem meget mindre end VIKING SKY, så som supplyskibe, fiskeskibe, mindre containerskibe færger etc., og de sejler sikkert også i rigtig dårligt vejr, så hvis det var et generelt problem ville det nok være kendt!
SRtP sikre ikke imod at al fremdrivning falder ud, men det skal være muligt at re-etablerer en del af fremdrivningen inden for en passende periode (her taler vi om timer). Det lykkedes på VIKING SKY, så det har nok fungeret efter hensigten!

  • 0
  • 0

Godt sømandsskab?
Det er utrolig læsning fra flere sider, at besætningen bliver fremhævet for godt sømandsskab.
Se billeder af rullende bohave i opholdsrummene.
Hvorfor sejler man på en udflugtstur i det vejr.
Hvorfor havde man ikke smøreolie nok i tankene.
Hvordan kan det være, at det tager flere timer med at fastslå, hvorfor 4 stk dieselmotorer stopper på een gang?
Og hvorfor kan man ikke få gang i maskineriet indenfor kort tid.
Dette er, set fra en maskinmester med 50 års erfaring med skibsdieselmotorer, heraf 30 år til søs, fuldstændigt forrykt. Alle nyere skibe, og især passagerskibe, er monteret med et hav af alarmer. Der er nærmest inflation i antallet, da de monteres alle steder, hvor der rent fysisk er plads til en sensor, trykmåler, flowmåler etc. Det hele løber op i over 1000, eettusinde, alarmer, som, når udløst, giver besked til en komputer og/eller en printer. Så i Viking Skys tilfælde ville det tage ca tre sekunder, hvis ellers der var nogen til stede i kontrolrummet, at fastslå årsagen til alarm og mororstop og derefter handle derudfra.
Og så lyder historien med smøreoliestanden i cirkulationstanken, som ja en historie.
Det kan ikke passe, at der i et skib med fire motorer er een fælles smo. tank. Det er sikkerhedsmæssigt forrykt, da en forurening pga brændolie fra een motor, vil medføre kontaminering af alle fire motorer. Og skibsbygningsæssigt er det uhensigtsmæssigt ,, da det vil kræve lange rørledninger på langs og tværs i maskinrummet. Det normale system i skibe, er enten at olien cirkuleres fra bundkarret eller løber til en tank monteret under bundkarret, hvorfra en fra motoren tvunget trukken pumpe leverer smo.olie til motoren.
Og sugemundstykket sidder 5 cm over tankbunden, så skibet skal næsten ud på 90 graders hældning, før pumpen suger luft.
Min første teori da jeg læste om motorstoppet var, at brændoliefiltrene var stoppet.
Det er et meget almindeligt problem i dårligt vejr. Slam og aflejringer i brændolietankene hvirvles op og forurener filtrene. Man får alarm for lavt bro.tryk, skynder sig at skifte filter (der er altid monteret to i parallel) demoterer det forurenede, renser det og monterer det igen, så det er klar til næste skift. Det kan godt forekomme med tre timers intervaller, hvilket ikke er rart i dårligt vejr og medfølgende søsyge.
Jeg er bange for, at min konklusion på stoppet må søges i brændolieproblemer og at historien med smøreolien må tilskrives et ønske om, at skyde skylden på værft, klassifidkationsselskab, Solas, ISM, rederi eller helt andre end den søsyge vagthavende person, der ikke anede omfanget af brændoliealarmen.
Og så endelig: Motorerne køre på Heavy Fuel. Det vil sige, at fuelolien skal varmes op til en indsprøjtningstemperatur på omkring 140 grader. Olien bliver som regel opvarmet af en udstødskedel, men den er ikke bevendt, når motorerne ikke kører. Så bro.olien bliver kold og uanvendelig, førend den er cirkuleret og opvarmet med skibets kedel. Så hvis dette heller ikke er igangsat, forklarer det tiden med den lange opstartsperiode.

  • 3
  • 1

Hvorfor sejler man på en udflugtstur i det vejr.

Det gør nordmændene hele året. Ideen er at skibene er designet til det.

Hvorfor havde man ikke smøreolie nok i tankene.

Iflg. de officielle rapporter så havde de nok olie. Dvs. oliestanden var over det foreskrevne minimum. Diskussionen bør således gå på om der er en design fejl i skibet eller om minimum er sat for lavt. Noget er galt.

Hvordan kan det være, at det tager flere timer med at fastslå, hvorfor 4 stk dieselmotorer stopper på een gang?

Tror du ikke at maskinrummet har vidst med det samme hvorfor motorerne stoppede? Men de har nok kløet sig en del i skægget når nu oliestanden var indenfor de foreskrevne parametre. Og ingen af dem har snakket direkte med pressen - alt information har været igennem PR organisationer og offentlige myndigheder hvor det bliver forsinket, forvansket, udtyndet og tjekket endnu engang.

  • 2
  • 0

Jeg kender ikke meget til skibsmotor konstruktioner... Men når sådan noget sker, så synes jeg det virker som om man har glemt at have en sømand/maskinmester med erfaringer fra de syv have med i designprocessen af sikkerhedssystemerne.

Der mangler noget hands-on erfaring, på samme måde som når vi uddanner vores polittikere på skolebænken og sender dem i folketinget før de har prøvet at være samfundsborgere.

Når man giver en computer mulighed for at lukke alle maskinerne ned i stormvejr, svare jo til at lade bilens bordcomputer afbryde bremser og ratkontrollen i en bil der køre 200 km/t på motorvejen fordi den registrere at der er lav oliestand på servostyringen og bremsevæsken er for gammel.

Vi er blevet arrogante i vores tro på sikkerhedsopdateringer, firewals og computersystemer så komplekse at vi ikke længere har mulighed for at gribe ind og slukke, når computeren viser at den i bund og grund er for dum til at resonere.

Tænk sig at vi har udviklet en diselmotor med så komplekst et styringssystem, at alle kongens mænd ikke længere kan finde ud af at starte den uden en "opkobling og en opdatering"... på trods af at den mekaniske motor intet fejler..

  • 0
  • 1

Er det ikke i bund og grund en smule naivt at snakke om redundante systemer, når systemerne køre samme software version, og flere og flere uheld kan tilskrives software fejl... ?

  • 0
  • 1

Er det ikke i bund og grund en smule naivt at snakke om redundante systemer, når systemerne køre samme software version, og flere og flere uheld kan tilskrives software fejl... ?

Redundans skal beskytte imod ting der går i stykker. Til software kan man benytte andre metoder, herunder matematiske beviser. Det sværeste er designfejl, uanset om det er hardware eller software.

Er der i øvrigt nogen eksempler på at fly (eller skibe) er havereret på grund af softwarefejl? MCAS er ikke et eksempel, da softwaren fungerer 100% som dokumenteret og godkendt. Det er i stedet et eksempel på designfejl.

  • 2
  • 1

Er der i øvrigt nogen eksempler på at fly (eller skibe) er havereret på grund af softwarefejl? MCAS er ikke et eksempel, da softwaren fungerer 100% som dokumenteret og godkendt. Det er i stedet et eksempel på designfejl.

Nej, en software gør jo nøjagtig det som programeringen beskriver, så ja, du kan godt kalde det for en designfejl i softwaren.

... og en designfejl i en software, som er identisk i to systemer der skal bakke hinanden op, udgører vel et problem, da man må forvente at de har nøjagtig den samme designfejl.

  • 0
  • 0