Root causes of the loss of containm

Root causes of the loss of containment

18 The immediate cause of this major incident was the failure of both the ATG
and the IHLS to operate as the fuel level in Tank 912 increased. This was a loss of
‘primary’ containment.
19 During and following the fire there were subsequent failures of ‘secondary’ and
‘tertiary’ containment. So what lay behind the immediate cause and subsequent
failures of containment? In other words, what in terms of the overall management
of operations at this high-hazard site led to these failures? What, in the processes
and systems, failed to deliver the necessary high level of control of site operations?
Understanding these root causes will allow those managing high-hazard industries
to learn from the experience of Buncefield.
The independent high-level switch
20 Tank 912 was fitted with a new independent high-level switch on 1 July 2004.
This had been designed, manufactured and supplied by TAV Engineering Ltd. TAV
had designed the switch so that some of its functionality could be routinely tested.
Unfortunately, the way the switch was designed, installed and maintained gave a
false sense of security. Because those who installed and operated the switch did not
fully understand the way it worked, or the crucial role played by a padlock, the switch
was left effectively inoperable after the test. (A fuller description is in Appendix 1.)
Designers of equipment for use in high-hazard operations should have
systems in place to ensure that the equipment is safe so far as is
reasonably practicable.
21 The design fault could have been eradicated at an early stage if the design
changes had been subjected to a rigorous review process. In any event, clear
guidance, including instructions about the safety criticality of the padlock, should
have been passed on to installers and users.
22 TAV was aware that its switches were used in high-hazard installations and
therefore were likely to be safety critical.
Designers and suppliers should have adequate knowledge of the
environments where their equipment will be used.
23 The impact of these defects in switch design, and the failure to inform users
and suppliers of the change in criticality of the padlock, could have been reduced
by those further down the supply chain. Motherwell Control Systems 2003 Ltd
ordered the IHLS from TAV but the ordering process by both parties fell short of
what would be expected for safety critical equipment intended for such a high-hazard
environment. The information TAV provided did not give sufficient clarity about the
key aspects of the IHLS design and use, and TAV should have enquired as to the
intended purpose of the switch and formed a view as to its suitability – in this case
for a high-level only application. Motherwell staff were highly experienced in this field
although the company itself had only recently come into existence as the result of
a management buy-out. However, their systems for checking and understanding
equipment again fell short of the mark.
Buncefield: Why did it happen? 13 of 36 pages



24 It appears that nobody within Motherwell knew the safety critical significance
of the padlock. The IHLS on Tank 912 was installed without the padlock because
it seems that Motherwell staff thought it was for security ‘anti-tamper’ purposes
only. After the periodic tests, the lever was left unsecured either in the inoperable
position or so that it could fall into that position. While they ought to have been able
to rely on TAV to tell them, Motherwell staff equally should have known better. The
elements of Motherwell’s failure were:
■ The process for ascertaining and then specifying the requirements of switches
they supplied and/or installed was not adequate.
■ They did not obtain the necessary data from the manufacturer and it follows that
they did not provide such data to their customers.
■ They did not understand the vulnerabilities of the switch or the function of the
padlock.
■ There was a reliance on TAV, which was not justified given the lack of information
provided and the critical role that Motherwell had in installing safety critical
equipment.
25 In addition to the failures of the manufacturers and installers of the IHLS, the
site operator did not exercise sufficient oversight of the ordering, installation and
testing procedure. While the switch was periodically tested, none of the staff at the
HOSL site was aware of the need for the padlock to be replaced so that the test
lever was held in the correct position. The site operator should have had greater
oversight of safety critical operations and equipment so that they understood fully
how it worked, particularly given the expertise available within large oil companies.
The automatic tank gauging system
26 Failure of the ATG system was the other immediate cause of the incident.
The servo-gauge had stuck (causing the level gauge to ‘flatline’) – and not for the
first time. In fact it had stuck 14 times between 31 August 2005, when the tank
was returned to service after maintenance, and 11 December 2005. Sometimes
supervisors rectified the symptoms of sticking by raising the gauge to its highest
position then letting it settle again, a practice known as ‘stowing’. On other
occasions Motherwell was called in to rectify the matter, although the definitive
cause of the sticking was never properly identified. Sometimes the sticking was
logged as a fault by supervisors and other times it was not.
27 The failure to have an effective fault logging process and the lack of a maintenance
regime that could reliably respond to those faults were two of the most important ‘root
cause’ managerial and organisational failures underlying the incident. Further, Motherwell
staff never saw that the unreliable gauge should be investigated. They did not analyse
why they had been called out so frequently nor questioned the reliability of the system.
Other shortcomings
28 The system also had other shortcomings that could fairly easily have been
remedied:
Monitoring screen
29 There was only one visual display screen for the data provided by the ATG
system on a number of tanks which meant that the status of only one tank could
be fully viewed at a time. On the night of the incident the display relating to
Tank 912 was at or near the back of a stack of four other tank display ‘windows’.
Only one computer was provided, with no back up, to run the entire ATG system.
The supervisors relied heavily on the ATG system to control tank filling so having no
back up for this critical control process was inadvisable.
Buncefield: Why did it happen? 14 of 36 pages
Redundant emergency shutdown
30 The tank mimics on the screen showed a red ‘stop’ emergency shutdown
button. Use of this was meant to close all tank side valves. Unbeknown to a
number of the supervisors this was not working and had never been fitted into
the system. Had it worked it may have provided a useful emergency procedure
although it may have taken several minutes for the valves to close. This issue
is indicative of poor management control where supervisors did not appreciate
the redundancy of the ‘stop’ button and Motherwell staff never tested it. This
meant that there was no proactive facility on the site to close down two (UKOP)
of the three incoming pipelines. The Finaline had an emergency shutdown button
accessible in the site control room.
System security
31 While there is no indication that it had any bearing on the incident, the security
arrangements on the ATG system were lacking. It had its own built-in security
system but this had been set so that all control room staff could modify any
parameter including being able to change the alarm settings.
Alarm function
32 Later versions of the ATG system had the ability to be set to alarm in the event
of inconsistencies between tank level measurements and filling data, which would
have provided a way of alerting control room staff to an ‘unexpected’ static reading.
Had such a modification been made then supervisors may have been made aware
of the sticking gauge before an overfill position was reached. A more stringent
monitoring scheme could have identified the shortcomings and allowed the site
operator to upgrade the ATG system

ผลลัพธ์ (ไทย) 1:

สาเหตุของการสูญเสียของบรรจุ18 ทันทีสาเหตุของเหตุการณ์สำคัญนี้ความล้มเหลวของทั้ง ATGและ IHLS เพื่อใช้งาน ตามระดับน้ำมันในถัง 912 เพิ่ม นี่คือการสูญเสียบรรจุ 'หลัก'19 มีความล้มเหลวต่อไปของ 'สอง' ระหว่าง และ ต่อไฟ และบรรจุ 'ต่อ' ดังนั้น สิ่งที่วางอยู่เบื้อง หลังสาเหตุทันที และต่อมาความล้มเหลวของบรรจุ ในคำอื่น ๆ อะไรในแง่ของการจัดการโดยรวมการดำเนินงานที่อันตรายสูงนำไปสู่ความล้มเหลวเหล่านี้ อะไร ในกระบวนการและระบบ ล้มเหลวในการส่งมอบการควบคุมการดำเนินการของไซต์ระดับสูงจำเป็นเข้าใจสาเหตุรากเหล่านี้จะช่วยให้อุตสาหกรรมอันตรายสูงผู้จัดการการเรียนรู้จากประสบการณ์ของ Buncefieldสวิตช์ระดับสูงอิสระถัง 20 912 ถูกติดตั้งกับสวิตช์สูงอิสระใหม่วันที่ 1 2547 กรกฎาคมนี้ได้ออกแบบ ผลิต และจัดทำ โดย TAV วิศวกรรม จำกัด TAVได้ออกแบบสวิตช์ที่บางงานอาจจะเป็นประจำทดสอบอับ แบบสวิตช์ถูกออกแบบ ติดตั้ง และรักษาไว้ให้เป็นความรู้สึกที่ไม่ปลอดภัย เนื่องจากผู้ติดตั้ง และดำเนินการสวิตช์ไม่เข้าใจวิธีการทำงาน หรือสำคัญบทบาทกุญแจ สวิตช์ที่เหลือใช้งานไม่มีประสิทธิภาพหลังจากการทดสอบ (คำอธิบายฟูลเลอร์อยู่ในภาคผนวก 1)ควรมีการออกแบบอุปกรณ์สำหรับใช้ในการดำเนินงานสูงอันตรายระบบเพื่อให้มั่นใจว่า อุปกรณ์ที่ปลอดภัยเพื่อให้ห่างไกลเป็นสม practicable21 การออกแบบบกพร่องไม่ได้ถูกกำจัดให้หมดการถ้าการออกแบบเปลี่ยนแปลงมีการภายใต้กระบวนการตรวจสอบอย่างเข้มงวด อย่างไรก็ตาม ล้างคำแนะนำ รวมทั้งคำแนะนำเกี่ยวกับการประการที่สามคือความปลอดภัยของกุญแจ ควรการผ่านในการติดตั้งผู้ใช้22 TAV ไม่ทราบว่า สวิตช์ที่ใช้ในการติดตั้งสูงอันตราย และดังนั้น มีแนวโน้มที่จะมีความปลอดภัยที่สำคัญออกแบบและจำหน่ายควรมีความรู้เพียงพอสภาพแวดล้อมที่จะใช้อุปกรณ์ของพวกเขา23 ผลกระทบของข้อบกพร่องเหล่านี้ในสวิตช์ออกแบบ และความล้มเหลวเพื่อแจ้งผู้ใช้และซัพพลายเออร์ของการเปลี่ยนแปลงประการที่สามคือของกุญแจ ไม่ได้ลดลงโดยผู้ที่ต่อลงห่วงโซ่อุปทาน มาเธอร์เวลล์ควบคุมระบบ 2003 จำกัดสั่งซื้อ IHLS จาก TAV แต่กระบวนการสั่งซื้อ โดยทั้งสองฝ่ายตกกะร่องกะแร่งสิ่งที่จะคาดหวังความปลอดภัยอุปกรณ์สำคัญสำหรับเช่นสูงอันตรายสภาพแวดล้อม ข้อมูล TAV ให้ไม่ได้ให้เพียงพอความชัดเจนเกี่ยวกับการลักษณะสำคัญของ IHLS ออกแบบ และใช้ และ TAV ควรมีกันเป็นวัตถุประสงค์วัตถุประสงค์ของสวิตช์ และเกิดมุมมองเพื่อความเหมาะสมของ – ในกรณีนี้สำหรับโปรแกรมประยุกต์ระดับสูงเท่านั้น มาเธอร์เวลล์พนักงานมีประสบการณ์มากในฟิลด์นี้แม้ว่าบริษัทตัวเองได้เท่านั้นเพิ่งเข้ามาเป็นผลของbuy-out จัดการ อย่างไรก็ตาม ระบบการตรวจสอบ และทำความเข้าใจอุปกรณ์อีกตกขาดหมายBuncefield: ทำไมมันเกิดขึ้นหรือไม่ 13 หน้า 36 24 ปรากฏว่า คนภายในมาเธอร์เวลล์รู้ความสำคัญสำคัญที่ความปลอดภัยของกุญแจ IHLS บน 912 ถังติดตั้ง โดยไม่มีกุญแจเพราะดูเหมือนว่า พนักงานมาเธอร์เวลล์คิดก็เพื่อความปลอดภัย 'ทรอป้องกัน'เท่านั้น หลังจากการทดสอบเป็นครั้งคราว คันโยกซ้ายความปลอดภัยในการใช้งานไม่ตำแหน่ง หรืออื่น ๆ อาจตกอยู่ใน ในขณะที่พวกเขาควรจะมีได้พึ่ง TAV บอกว่า มาเธอร์เวลล์พนักงานเท่าเทียมกันควรได้รู้จักดี ที่องค์ประกอบของความล้มเหลวของมาเธอร์เวลล์ได้:■กระบวนการ ascertaining และระบุความต้องการของสวิตช์แล้วพวกเขาจัดหา หรือติดตั้งไม่พอ■พวกเขาก็ไม่ได้รับข้อมูลจำเป็นจากผู้ผลิต และเป็นไปตามที่พวกเขาไม่ได้ให้ข้อมูลดังกล่าวแก่ลูกค้า■พวกเขาไม่เข้าใจจุดอ่อนของสวิตช์หรือการทำงานของการกุญแจ■มีพึ่ง TAV ซึ่งเป็นธรรมไม่ได้รับการขาดข้อมูลมีบทบาทสำคัญมาเธอร์เวลล์มีในการติดตั้งความปลอดภัยที่สำคัญและอุปกรณ์25 ความล้มเหลวของผู้ผลิตและติดตั้งของ IHLS การไซต์ดำเนินไม่ได้ออกกำลังกายเพียงพอตามครรลองของการสั่งซื้อ การติดตั้ง และทดสอบขั้นตอน ในขณะที่สวิตช์ทดสอบเป็นระยะ ๆ พนักงานไม่มีการเว็บไซต์ HOSL ได้ตระหนักถึงการใช้กุญแจถูกแทนที่เพื่อให้การทดสอบคานจัดขึ้นในตำแหน่งที่ถูกต้อง ตัวดำเนินการที่เว็บไซต์ควรมีมากขึ้นกำกับดูแลการดำเนินงานสำคัญด้านความปลอดภัยและอุปกรณ์เพื่อให้พวกเขาเข้าใจอย่างสมบูรณ์วิธีทำงาน โดยเฉพาะอย่างยิ่งให้ผู้เชี่ยวชาญพร้อมใช้งานภายในบริษัทน้ำมันขนาดใหญ่ถังอัตโนมัติ gauging ระบบ26 ความล้มเหลวของระบบ ATG อื่น ๆ ทันทีสาเหตุของปัญหาได้วัด servo ก็ติด (ทำให้มาตรวัดระดับการ 'flatline') – และไม่ใช่สำหรับการครั้งแรก ในความเป็นจริงมันก็ติดครั้งที่ 14 ระหว่าง 31 2005 สิงหาคม เมื่อถังส่งคืนมาให้บริการได้หลังจากการบำรุงรักษา และ 11 2548 ธันวาคม บางทีผู้บังคับบัญชาแก้ไขอาการติดโดยเพิ่มมาตรวัดให้สูงสุดวางแล้ว ปล่อยให้มันจ่ายอีก ปฏิบัติเรียกว่าเป็น 'stowing' ในอื่น ๆโอกาสมาเธอร์เวลล์ถูกเรียกในการแก้เรื่อง แม้ว่าการทั่วไปอย่างไม่เคยมีระบุสาเหตุของการ บางครั้งการผสานได้เข้าสู่ระบบข้อบกพร่องโดยผู้บังคับบัญชาและบางครั้งก็ไม่27 ความล้มเหลวจะมีข้อบกพร่องมีประสิทธิภาพเข้าสู่กระบวนการและการขาดการบำรุงรักษาระบอบการปกครองที่ไม่ได้ตอบสนองข้อบกพร่องเหล่านั้นได้สองสำคัญ ' รากทำให้เกิด ' ล้มเหลวจัดการ และ organisational ต้นเหตุการณ์ เพิ่มเติม มาเธอร์เวลล์พนักงานไม่เคยเห็นที่วัดไม่ควรถูกตรวจสอบ พวกเขาไม่ได้วิเคราะห์ทำไมพวกเขามีการเรียกออกให้บ่อย หรือไต่สวนความน่าเชื่อถือของระบบแสดงอื่น ๆ28 ระบบยังมีการแสดงอื่น ๆ ที่ไม่ได้ค่อนข้างง่ายremedied:ตรวจสอบหน้าจอ29 มีได้เพียงหนึ่งภาพจอสำหรับข้อมูลที่ได้จากการ ATGระบบจำนวนถังซึ่งหมายถึง สถานะของถังเดียวอาจทั้งหมดสามารถดูได้ที่ ในคืนเกิดปัญหาการแสดงผลที่เกี่ยวข้องกับถัง 912 ถูกที่ หรือ ใกล้กลับของกองซ้อนสี่ถังแสดง 'หน้าต่างอื่นๆ'คอมพิวเตอร์เพียงเครื่องเดียวถูกมี ไม่มีสำรองข้อมูล ทำระบบ ATG ทั้งหมดผู้บังคับบัญชาที่อาศัยระบบ ATG ควบคุมถังบรรจุจึง มีไม่มากสำหรับตัวควบคุมนี้สำคัญกลับ กระบวนการ inadvisableBuncefield: ทำไมมันเกิดขึ้นหรือไม่ 14 หน้า 36 การปิดแบบฉุกเฉินซ้ำซ้อน30 ถังเลียนแบบบนหน้าจอที่แสดงให้เห็นเป็นสีแดง 'หยุด' การปิดแบบฉุกเฉินปุ่ม ใช้นี้ถูกหมายถึงการปิดวาล์วด้านข้างถังทั้งหมด Unbeknown เพื่อเป็นจำนวนของผู้บังคับบัญชานี้ไม่ทำงาน และไม่มีการตกแต่งเป็นระบบ จะได้ทำงานมันอาจให้ประโยชน์กระบวนงานฉุกเฉินถึงแม้ว่ามันอาจนำวาล์วปิดหลายนาที ปัญหานี้เป็นที่ผู้บังคับบัญชาไม่ได้ขอบคุณส่อควบคุมจัดการไม่ดีความซ้ำซ้อนการ 'หยุด' มาเธอร์เวลล์พนักงานไม่เคยทดสอบมัน นี้หมายความ ว่า มีสิ่งอำนวยความสะดวกไม่เชิงรุกบนไซต์จะปิดลงสอง (UKOP)ของท่อเข้า 3 Finaline ที่มีปุ่มแบบปิดฉุกเฉินสามารถเข้าถึงห้องควบคุมไซต์ระบบรักษาความปลอดภัย31 ในขณะที่มีข้อบ่งชี้ไม่ว่า จะมีปืนใด ๆ ในเหตุการณ์ การรักษาความปลอดภัยจัดระบบ ATG ได้ขาด มันมีความปลอดภัยในตัวของตัวเองระบบแต่นี้มีการตั้งให้เจ้าหน้าที่ห้องควบคุมทั้งหมดสามารถปรับเปลี่ยนใด ๆพารามิเตอร์ที่รวมถึงความสามารถในการเปลี่ยนแปลงการตั้งค่าการแจ้งเตือนกระดิ่งรุ่น 32 ระบบ ATG มีความสามารถในการตั้งให้ปลุกในเหตุการณ์ของความขัดแย้งระหว่างวัดระดับถังและบรรจุข้อมูล ซึ่งจะได้จัดเตรียมวิธีการแจ้งเตือนให้เจ้าหน้าที่ห้องควบคุมการอ่านคงที่ 'คาด'ได้ทำการปรับเปลี่ยน แล้วผู้บังคับบัญชาอาจเกิดตระหนักถึงของมาตรวัด sticking ก่อนตำแหน่ง overfill ที่ครบ เข้มข้นขึ้นแผนงานตรวจสอบอาจระบุการแสดง และอนุญาตให้เว็บไซต์ดำเนินการปรับรุ่นระบบ ATG

ผลลัพธ์ (ไทย) 2:

สาเหตุของการสูญเสียจากภาชนะบรรจุ18 สาเหตุทันทีของเหตุการณ์ที่เกิดขึ้นที่สำคัญนี่คือความล้มเหลวของทั้ง ATG และ IHLS ให้ทำงานเป็นระดับน้ำมันในถัง 912 เพิ่มขึ้น นี่คือการสูญเสียของบรรจุ 'หลัก'. 19 ระหว่างและตามไฟมีความล้มเหลวที่ตามมาของ 'รอง' และ'อุดมศึกษา' บรรจุ ดังนั้นสิ่งที่อยู่เบื้องหลังสาเหตุทันทีและต่อมาความล้มเหลวจากภาชนะบรรจุ? ในคำอื่น ๆ สิ่งที่ในแง่ของการจัดการโดยรวมของการดำเนินงานที่เว็บไซต์นี้อันตรายสูงนำไปสู่ความล้มเหลวเหล่านี้หรือไม่ อะไรในกระบวนการและระบบล้มเหลวที่จะส่งมอบในระดับสูงที่จำเป็นในการควบคุมการดำเนินงานของเว็บไซต์หรือไม่ทำความเข้าใจสาเหตุเหล่านี้จะช่วยให้ผู้ที่จัดการอุตสาหกรรมสูงอันตรายที่จะเรียนรู้จากประสบการณ์ของผู้ Buncefield. สวิทช์ระดับสูงที่เป็นอิสระ20 ถัง 912 ก็พอดีกับสวิทช์ระดับสูงที่เป็นอิสระใหม่ใน 1 กรกฎาคม 2004. นี้ได้รับการออกแบบผลิตและจัดจำหน่ายโดย TAV วิศวกรรม จำกัด TAV ได้ออกแบบสวิทช์เพื่อให้บางส่วนของการทำงานของอาจได้รับการทดสอบเป็นประจำ. แต่น่าเสียดายที่ทางสวิทช์ ได้รับการออกแบบติดตั้งและการบำรุงรักษาให้ความผิดพลาดของการรักษาความปลอดภัย เพราะผู้ที่ติดตั้งสวิทช์และดำเนินการไม่เข้าใจวิธีการทำงานหรือบทบาทสำคัญเล่นโดยกุญแจ, สวิทช์ที่ถูกทิ้งไว้ไม่สามารถใช้งานได้อย่างมีประสิทธิภาพหลังจากการทดสอบ (คำอธิบายฟูลเลอร์อยู่ในภาคผนวก 1) นักออกแบบของอุปกรณ์สำหรับใช้ในการดำเนินงานสูงอันตรายควรมีระบบในสถานที่เพื่อให้แน่ใจว่าอุปกรณ์ที่มีความปลอดภัยเท่าที่เป็นการปฏิบัติที่เหมาะสม. 21 ความผิดพลาดของการออกแบบจะได้รับการกำจัดให้สิ้นซากในช่วงต้น ถ้าขั้นตอนการออกแบบการเปลี่ยนแปลงถูกยัดเยียดให้กระบวนการตรวจสอบอย่างเข้มงวด ในกรณีใด ๆ ที่ชัดเจนคำแนะนำรวมทั้งคำแนะนำเกี่ยวกับวิกฤตความปลอดภัยของกุญแจที่ควรได้รับการส่งต่อไปยังผู้ติดตั้งและผู้ใช้. 22 TAV ทราบว่าสวิทช์ของมันถูกนำมาใช้ในการติดตั้งสูงอันตรายและดังนั้นจึงมีแนวโน้มที่จะเป็นความปลอดภัยที่สำคัญนักออกแบบและผู้ผลิตควรมีความรู้เพียงพอของสภาพแวดล้อมที่อุปกรณ์ของพวกเขาจะถูกนำมาใช้. 23 ผลกระทบของข้อบกพร่องเหล่านี้ในการออกแบบสวิทช์และความล้มเหลวที่จะแจ้งให้ผู้ใช้และซัพพลายเออร์ของการเปลี่ยนแปลงในวิกฤตของกุญแจที่จะได้รับการลดลงโดยผู้ ต่อไปลงห่วงโซ่อุปทาน มาเธอร์ระบบควบคุม 2003 จำกัดได้รับคำสั่งจาก IHLS TAV แต่การสั่งซื้อสินค้าโดยทั้งสองฝ่ายลดลงระยะสั้นของสิ่งที่จะได้รับการคาดว่าเพื่อความปลอดภัยของอุปกรณ์ที่สำคัญไว้สำหรับการดังกล่าวสูงอันตรายสภาพแวดล้อม TAV ข้อมูลที่ให้ไม่ได้ให้ความชัดเจนเพียงพอที่เกี่ยวกับด้านที่สำคัญของการออกแบบและการใช้งาน IHLS และ TAV ควรจะได้ถามเป็นจุดประสงค์ของการเปลี่ยนรูปแบบและมุมมองที่จะเหมาะสม - ในกรณีนี้สำหรับระดับสูง โปรแกรมเฉพาะ พนักงานเธอมีประสบการณ์สูงในด้านนี้ถึงแม้ว่า บริษัท เองก็เพิ่งเข้ามาในชีวิตเป็นผลมาจากการจัดการซื้อออก แต่ระบบของพวกเขาสำหรับการตรวจสอบและทำความเข้าใจเกี่ยวกับอุปกรณ์อีกครั้งลดลงระยะสั้นของเครื่องหมาย. Buncefield: ทำไมมันเกิดขึ้นได้อย่างไร 13 จาก 36 หน้า24 ปรากฏว่าไม่มีใครรู้ว่าเธออยู่ภายในความปลอดภัยอย่างมีนัยสำคัญที่สำคัญของกุญแจ IHLS ในถัง 912 ได้รับการติดตั้งโดยไม่กุญแจเพราะดูเหมือนว่าพนักงานมาเธอคิดว่ามันเป็นสำหรับการรักษาความปลอดภัย 'ป้องกันการงัดแงะ' วัตถุประสงค์เฉพาะ หลังจากการทดสอบเป็นระยะ ๆ คันถูกทิ้งไม่มีหลักประกันอย่างใดอย่างหนึ่งในการปฏิบัติไม่ได้ตำแหน่งหรือเพื่อที่จะตกอยู่ในตำแหน่งนั้น ในขณะที่พวกเขาควรจะได้รับสามารถที่จะพึ่งพา TAV จะบอกพวกเขาพนักงานอย่างเท่าเทียมกันเธอน่าจะรู้ดี องค์ประกอบของความล้มเหลวของเธอถูก: ■กระบวนการสำหรับการสืบหาและจากนั้นการระบุความต้องการของสวิทช์ที่พวกเขาให้มาและ / หรือการติดตั้งก็ไม่เพียงพอ. ■พวกเขาไม่ได้รับข้อมูลที่จำเป็นจากผู้ผลิตและมันตามที่พวกเขาไม่ได้ให้ข้อมูลดังกล่าว ให้กับลูกค้าของพวกเขา. ■พวกเขาไม่เข้าใจช่องโหว่ของการเปลี่ยนหรือการทำงานของกุญแจ. ■มีความเชื่อมั่นใน TAV เป็นซึ่งเป็นที่ไม่เป็นธรรมให้ขาดข้อมูลที่มีให้และบทบาทสำคัญที่เธอมีอยู่ในการติดตั้งความปลอดภัยที่สำคัญอุปกรณ์. 25 นอกจากความล้มเหลวในผู้ผลิตและติดตั้ง IHLS, ผู้ประกอบการเว็บไซต์ไม่ได้ออกกำลังกายอย่างเพียงพอการกำกับดูแลของการสั่งซื้อการติดตั้งและขั้นตอนการทดสอบ ในขณะที่สวิทช์ได้รับการทดสอบเป็นระยะ ๆ ไม่มีพนักงานที่เว็บไซต์Höslได้ตระหนักถึงความจำเป็นในการกุญแจจะถูกแทนที่เพื่อให้การทดสอบคันที่จัดขึ้นในตำแหน่งที่ถูกต้อง ผู้ประกอบการเว็บไซต์ควรจะมีมากขึ้นการกำกับดูแลความปลอดภัยของการดำเนินงานที่สำคัญและอุปกรณ์เพื่อให้พวกเขาเข้าใจวิธีการทำงานโดยเฉพาะอย่างยิ่งความเชี่ยวชาญที่มีอยู่ภายใน บริษัท น้ำมันขนาดใหญ่. ถังอัตโนมัติการวัดระบบ26 ความล้มเหลวของระบบ ATG เป็นสาเหตุทันทีอื่น ๆ ของ . เหตุการณ์ที่เกิดขึ้นเซอร์โววัดได้ติด (ก่อให้เกิดการวัดระดับการ 'flatline') - และไม่ได้สำหรับครั้งแรก ในความเป็นจริงมันก็ติดครั้งที่ 14 ระหว่าง 31 สิงหาคม 2005 เมื่อรถถังได้รับการกลับมาให้บริการหลังการบำรุงรักษาและ 11 ธันวาคม 2005 บางครั้งผู้บังคับบัญชาแก้ไขอาการของการติดโดยการสร้างวัดเพื่อสูงสุดของตำแหน่งแล้วปล่อยให้มันชำระอีกครั้งการปฏิบัติ เรียกว่า 'การเก็บรักษา' อีกครั้งที่เธอถูกเรียกในที่จะแก้ไขเรื่องนี้แม้ว่าที่ชัดเจนสาเหตุของการติดก็ไม่เคยระบุอย่างถูกต้อง บางครั้งติดได้รับการบันทึกไว้เป็นความผิดโดยผู้บังคับบัญชาและครั้งอื่น ๆ มันไม่ได้. 27 ความล้มเหลวที่จะมีขั้นตอนการบันทึกความผิดที่มีประสิทธิภาพและการขาดการบำรุงรักษาระบอบการปกครองที่น่าเชื่อถือสามารถตอบสนองต่อความผิดพลาดเหล่านั้นมีสองสิ่งที่สำคัญที่สุด 'รากสาเหตุ 'ความล้มเหลวของการบริหารจัดการและองค์กรที่อยู่ภายใต้เหตุการณ์ที่เกิดขึ้น นอกจากนี้เธอพนักงานไม่เคยเห็นที่วัดไม่น่าเชื่อถือควรได้รับการตรวจสอบ พวกเขาไม่ได้วิเคราะห์ว่าทำไมพวกเขาได้รับการเรียกออกมาบ่อยหรือถามความน่าเชื่อถือของระบบ. ข้อบกพร่องอื่น ๆ28 ระบบยังมีข้อบกพร่องอื่น ๆ ที่อาจได้รับค่อนข้างง่ายแก้ไข: ตรวจสอบหน้าจอ29 มีเพียงหนึ่งหน้าจอแสดงผลภาพสำหรับข้อมูลที่ จัดไว้ให้โดย ATG ระบบกับจำนวนของรถถังซึ่งหมายความว่าสถานะของเพียงหนึ่งถังสามารถดูได้อย่างเต็มที่ในเวลา ในคืนวันที่เหตุการณ์ที่เกิดขึ้นที่จอแสดงผลที่เกี่ยวข้องกับรถถัง 912 อยู่ที่หรือใกล้ด้านหลังของสแต็คของจอแสดงผลสี่ถังอื่น ๆ 'หน้าต่าง'. เพียงคอมพิวเตอร์เครื่องหนึ่งถูกจัดให้โดยไม่มีการกลับขึ้นเพื่อเรียกใช้ระบบ ATG ทั้งหมด. ผู้บังคับบัญชา อาศัยอยู่บนระบบ ATG การควบคุมถังเติมเพื่อให้มีไม่กลับขึ้นสำหรับการควบคุมกระบวนการที่สำคัญนี้ก็ไม่สมควร. Buncefield: ทำไมมันเกิดขึ้นได้อย่างไร 14 จาก 36 หน้าปิดฉุกเฉิน Redundant 30 เลียนแบบถังบนหน้าจอแสดงให้เห็นสีแดง 'หยุด' ปิดฉุกเฉินปุ่ม ใช้นี้ก็หมายความว่าจะปิดวาล์วถังด้านข้างทั้งหมด ประจักษ์กับจำนวนของผู้บังคับบัญชานี้ไม่ได้ทำงานและไม่เคยได้รับการติดตั้งเข้าไปในระบบ มีมันทำงานมันอาจจะให้ขั้นตอนในกรณีฉุกเฉินที่มีประโยชน์ถึงแม้ว่ามันอาจมีการดำเนินการหลายนาทีสำหรับวาล์วจะปิด ปัญหานี้เป็นตัวบ่งชี้ของการควบคุมการจัดการไม่ดีที่ผู้บังคับบัญชาไม่ได้ชื่นชมความซ้ำซ้อนของปุ่ม 'หยุด' และพนักงานมาเธอไม่เคยทดสอบ นี้หมายความว่าไม่มีสิ่งอำนวยความสะดวกในเชิงรุกในเว็บไซต์ปิดลงสอง (UKOP) ของทั้งสามท่อขาเข้า Finaline มีปุ่มปิดฉุกเฉินสามารถเข้าถึงได้ในห้องควบคุมเว็บไซต์. ระบบรักษาความปลอดภัย31 ในขณะที่มีข้อบ่งชี้ว่ามันมีผลต่อเหตุการณ์ที่เกิดขึ้นใด ๆ ที่การรักษาความปลอดภัยการเตรียมการในระบบ ATG กำลังขาดแคลน มันมีการรักษาความปลอดภัยของตัวเองในตัวระบบ แต่เรื่องนี้ได้รับการตั้งค่าเพื่อให้เจ้าหน้าที่ห้องควบคุมทุกคนสามารถปรับเปลี่ยนใด ๆพารามิเตอร์รวมทั้งความสามารถในการเปลี่ยนการตั้งค่าการเตือนภัย. ฟังก์ชั่นปลุก32 รุ่นต่อมาของระบบ ATG มีความสามารถในการตั้งค่าเพื่อการเตือนภัย ในกรณีที่ไม่สอดคล้องกันระหว่างการวัดระดับถังและกรอกข้อมูลซึ่งจะได้จัดให้มีวิธีการแจ้งเตือนเจ้าหน้าที่ห้องควบคุมการ 'ที่ไม่คาดคิด' อ่านคง. มีการปรับเปลี่ยนดังกล่าวถูกสร้างขึ้นมาจากนั้นผู้บังคับบัญชาอาจจะได้รับการทำตระหนักของวัดติดก่อน ตำแหน่งกบก็มาถึง ที่เข้มงวดมากขึ้นโครงการตรวจสอบอาจมีการระบุข้อบกพร่องและได้รับอนุญาตเว็บไซต์ที่ผู้ประกอบการในการอัพเกรดระบบ ATG

ผลลัพธ์ (ไทย) 3:

สาเหตุหลักของการสูญเสียการควบคุม

18 สาเหตุทันที เหตุการณ์สำคัญนี้คือความล้มเหลวของทั้ง ATG
และ ihls เพื่อใช้เป็นเชื้อเพลิงในถังในระดับที่เพิ่มขึ้น นี้คือการสูญเสีย

19 ในระหว่าง 'primary ' แล้ว และต่อไปนี้ไฟมีภายหลังความล้มเหลวของ ' รอง '
'tertiary ' แล้ว แล้ววางหลังสาเหตุทันที และต่อมา
ความล้มเหลวของการแก้ไข ? ในคำอื่น ๆแล้วในแง่ของการจัดการโดยรวมของการดำเนินงานที่เว็บไซต์อันตราย
สูงทำให้เกิดความล้มเหลวเหล่านี้ ? อะไรในระบบกระบวนการ
และล้มเหลวในการส่งมอบในระดับที่จำเป็นในการควบคุมการดำเนินการเว็บไซต์
เข้าใจรากสาเหตุเหล่านี้จะช่วยให้ผู้บริหารอุตสาหกรรมอันตรายสูง
ที่จะเรียนรู้จากประสบการณ์ของ buncefield .
อิสระสูงสลับ
20 ถัง 912 ติดตั้งใหม่และเปลี่ยนเป็นอิสระในวันที่ 1 กรกฎาคม 2547 .
นี้ได้รับการออกแบบผลิตและจัดโดย
หนังสือหนังสือวิศวกรรม จำกัด ได้ออกแบบสลับเพื่อให้บางส่วนของฟังก์ชั่นสามารถตรวจทดสอบ .
แต่วิธีสวิตช์ถูกออกแบบ ติดตั้งและดูแล ให้
ความรู้สึกที่ผิดพลาดของการรักษาความปลอดภัย .เพราะผู้ที่ติดตั้งและใช้สลับกันไม่ได้
เข้าใจวิธีทำงาน หรือบทบาทสําคัญเล่นโดยกุญแจ , สวิทช์
เหลือเนื้องอกได้อย่างมีประสิทธิภาพหลังจากการทดสอบ ( รายละเอียดเพิ่มเติมอยู่ในภาคผนวก 1 )
ออกแบบอุปกรณ์สำหรับใช้ในห้องปฏิบัติการอันตรายสูงควรมี
ระบบในสถานที่เพื่อให้แน่ใจว่าอุปกรณ์ที่ปลอดภัยเพื่อให้ห่างไกลเป็นสมเหตุสมผลปฏิบัติ

.21 ออกแบบผิดอาจถูกกำจัดในช่วงเริ่มต้น หากการเปลี่ยนแปลงการออกแบบ
ได้ภายใต้กระบวนการตรวจสอบอย่างเข้มงวด ในกรณีใด ๆ , คำแนะนำชัดเจน
, รวมทั้งคำแนะนำเกี่ยวกับความปลอดภัยในระบบของกุญแจจะถูกส่งผ่านไปยัง

22 หนังสือติดตั้งและผู้ใช้ ทราบว่าของที่ใช้ในการติดตั้งสวิตช์และ
อันตรายสูงดังนั้นจึงมีแนวโน้มที่จะได้รับความปลอดภัยที่สำคัญ .
ออกแบบ และซัพพลายเออร์ ควรมีความรู้เพียงพอของ
สภาพแวดล้อมที่อุปกรณ์ของพวกเขาจะใช้ .
23 ผลกระทบของข้อบกพร่องเหล่านี้ในการออกแบบสวิทช์และล้มเหลวที่จะแจ้งให้ผู้ใช้
และซัพพลายเออร์ของการเปลี่ยนแปลงในระบบของกุญแจจะถูกลด
โดยเหล่านั้นต่อไป ลงห่วงโซ่อุปทาน ควบคุมระบบ 2003 จำกัด
มาเธอร์เวลล์สั่ง ihls จากหนังสือแต่กระบวนการสั่งซื้อ โดยทั้งสองฝ่ายล้มสั้นของ
สิ่งที่คาดว่าจะเป็นอุปกรณ์เพื่อความปลอดภัยที่สำคัญไว้ เช่น อันตราย
สูง สิ่งแวดล้อม ข้อมูลหนังสือให้ ไม่ได้ให้ความชัดเจนเพียงพอเกี่ยวกับ
ลักษณะสําคัญของ ihls การออกแบบและใช้และหนังสือควรสอบถามกับ
จุดประสงค์ของสวิตช์และรูปแบบที่ดูเป็นและความเหมาะสมในกรณีนี้
สำหรับระดับสูงเท่านั้น ใบสมัคร พนักงานมาเธอร์เวลล์มีประสบการณ์ในฟิลด์นี้
ถึงแม้ว่าบริษัทเองก็เพิ่งเข้ามาในการดำรงอยู่ผล
การจัดการซื้อออกจาก . แต่ระบบของพวกเขาสำหรับการตรวจสอบและความเข้าใจ
อุปกรณ์อีกครั้งล้มสั้นของเครื่องหมาย .
buncefield :ทำไมมันถึงเกิดขึ้น 13 จาก 36 หน้า



24 ปรากฏว่าไม่มีใครใน Motherwell รู้ว่าความปลอดภัยที่สำคัญความสำคัญ
ของกุญแจ การ ihls รถถัง 912 ถูกติดตั้งโดยไม่ต้องกุญแจเพราะ
ดูเหมือนว่าเจ้าหน้าที่มาเธอร์เวลล์คิดว่าเป็น ' ' เพื่อป้องกันการงัดแงะ
เท่านั้น หลังจากการทดสอบเป็นระยะ , คันโยกซ้ายความปลอดภัยทั้งในเนื้องอก
ตำแหน่ง หรือเพื่อให้มันอยู่ในตำแหน่งนั้น ขณะที่พวกเขาควรจะได้รับสามารถ
พึ่งหนังสือที่จะบอกพวกเขา พนักงาน Motherwell อย่างเท่าเทียมกัน น่าจะรู้ดีกว่านี้
องค์ประกอบของ Motherwell ความล้มเหลว :
■กระบวนการสืบหาและระบุความต้องการของพวกเขาให้มาและ / หรือสวิตช์

ติดตั้งไม่เพียงพอ■พวกเขาไม่ได้รับข้อมูลที่จำเป็นจากผู้ผลิต และก็ตามที่พวกเขาไม่ได้ให้ข้อมูล

■ดังกล่าวให้กับลูกค้าของพวกเขา พวกเขาไม่ได้เข้าใจจุดอ่อนของสวิตช์หรือฟังก์ชันของ

■กุญแจ มีความเชื่อมั่น ในหนังสือ ซึ่งก็ไม่พ้นให้ขาดข้อมูล
ที่มีบทบาทสําคัญในการติดตั้งที่ Motherwell
วิกฤติความปลอดภัยอุปกรณ์
25 นอกจากความล้มเหลวของผู้ผลิตและติดตั้งของ ihls ,
เว็บไซต์ผู้ประกอบการไม่ได้ออกกำลังกาย ดูแลที่เพียงพอของการสั่งซื้อและการติดตั้ง
ขั้นตอนการทดสอบ ในขณะที่สวิตช์อยู่เป็นระยะ ๆ ทดสอบ ไม่มีพนักงานที่
hosl เว็บไซต์ตระหนักถึงความต้องการและถูกแทนที่ดังนั้นการทดสอบ
คันโยกที่จัดขึ้นในตำแหน่งที่ถูกต้องเว็บไซต์ผู้ประกอบการควรมีการกํากับดูแลความปลอดภัยมากขึ้น
งานสําคัญและอุปกรณ์เพื่อให้พวกเขาเข้าใจอย่างเต็มที่
วิธีการทำงานให้โดยเฉพาะความเชี่ยวชาญที่มีอยู่ภายในบริษัทน้ำมันขนาดใหญ่ ถังอัตโนมัติ ระบบวัด

26 ความล้มเหลวของระบบ ATG คือสาเหตุทันทีอื่น ๆของเหตุการณ์ .
เซอร์โวมาตรวัดที่ติดอยู่ ( ทำให้มาตรวัดระดับ ' คลื่นหัวใจ ' ) –และไม่สำหรับ
ครั้งแรก ในความเป็นจริงมันมีติด 14 ครั้ง ระหว่างวันที่ 31 สิงหาคม 2005 เมื่อถัง
ก็กลับมาให้บริการหลังจากการบำรุงรักษา , 11 ธันวาคม 2005 บางครั้ง
หัวหน้างานแก้ไขอาการติดโดยเพิ่มมาตรวัดนั้นสูงสุด
ตำแหน่งแล้วให้มันทำอีก การปฏิบัติที่เป็นที่รู้จักกันเป็น ' ที่จะเอาสมบัติ 'ในโอกาสอื่น ๆ
มาเธอร์เวลล์ถูกเรียกมาแก้ไขเรื่องนี้ แม้ว่าสาเหตุที่ชัดเจน
ของผสานยังไม่เคยระบุอย่างถูกต้อง บางครั้งติดคือ
เข้าสู่ระบบเป็นความผิดของผู้บังคับบัญชาและครั้งอื่น ๆมันไม่ได้ .
27 ล้มเหลวที่จะมีประสิทธิภาพกระบวนการบันทึกข้อมูลผิด และขาดการบำรุงรักษา
ระบอบการปกครองที่สามารถเชื่อถือได้ ตอบสนองต่อข้อบกพร่องเหล่านั้นเป็นสองสิ่งที่สำคัญที่สุด ' ราก
เพราะการบริหารและองค์กรที่ล้มเหลวถึงเหตุการณ์ที่เกิดขึ้น นอกจากนี้เจ้าหน้าที่มาเธอร์เวลล์
เคยเห็นวัดที่ไม่น่าเชื่อถือ ต้องมีการสอบสวน พวกเขาไม่ได้วิเคราะห์
ทำไมพวกเขาถูกเรียกออกมาบ่อยๆ หรือสงสัยความน่าเชื่อถือของระบบอื่น ๆ .

ไม่ดี28 ระบบยังมีข้อบกพร่องที่สามารถอื่น ๆค่อนข้างง่ายได้รับการแก้ไข :


29 หน้าจอมีเพียงหนึ่งภาพแสดงหน้าจอข้อมูลที่ให้โดยระบบ ATG
บนหมายเลขของถังซึ่งหมายความว่าสถานะของเพียงหนึ่งถังจะ
เต็มดูได้ตลอดเวลา ในคืนวันเกิดเหตุ การแสดงผลที่เกี่ยวข้องกับ
ถังละอยู่ที่หรือใกล้ด้านหลังของสแต็คของอีกสี่ตู้ ' Windows ' .
เพียงหนึ่งคอมพิวเตอร์ ให้ ด้วย ไม่กลับขึ้นไปใช้ระบบ ATG ทั้งหมด .
ศึกษานิเทศก์ต้องอาศัยระบบ ATG เพื่อควบคุมถังบรรจุแล้วไม่มี
กลับขึ้นสำหรับจุดวิกฤตที่ต้องควบคุมกระบวนการ ไม่สมควร .
buncefield : ทำไมมันถึงเกิดขึ้น 14 จาก 36 หน้า

ปิดฉุกเฉินแทน30 ถังจำลองบนหน้าจอแสดงสีแดง ' หยุด ' ฉุกเฉินปิด
ปุ่ม ใช้นี้หมายถึงการปิดวาล์วทั้งหมด ข้างถัง unbeknown ไปยัง
จำนวนศึกษานิเทศก์นี้ไม่ได้ทำงานและไม่เคยได้รับการติดตั้งลงใน
ระบบ มันทำงานมันอาจจะให้
ขั้นตอนฉุกเฉินประโยชน์แม้ว่ามันอาจต้องใช้เวลาหลายนาทีเพื่อให้วาล์วปิด ปัญหานี้
บ่งบอกถึงไม่ดีการจัดการควบคุมที่ผู้บังคับบัญชาไม่ได้ชื่นชม
ซ้ำซ้อนของ ' หยุด ' ปุ่มและเจ้าหน้าที่ Motherwell ยังไม่เคยทดสอบมัน นี้
หมายความว่าไม่มีเชิงรุกสิ่งอำนวยความสะดวกบนเว็บไซต์ปิดสอง ( ukop )
3 เข้ามาในท่อ การ finaline มีเรื่องฉุกเฉินปิดปุ่ม
สามารถเข้าถึงได้ในเว็บไซต์

ห้องควบคุมระบบรักษาความปลอดภัย31 ในขณะที่ไม่มีการบ่งชี้ว่ามันมีการแบกเกี่ยวกับเหตุการณ์การรักษาความปลอดภัย
จัดในระบบ ATG เคยขาด มันมีระบบรักษาความปลอดภัย
ของตัวเองในตัว แต่นี้ได้รับการตั้งค่าเพื่อให้ทุกห้องสามารถปรับเปลี่ยนพารามิเตอร์ใด ๆเจ้าหน้าที่ควบคุม
รวมถึงความสามารถในการเปลี่ยนการตั้งค่าฟังก์ชั่นปลุกเตือน .

32 รุ่นต่อมาของระบบ ATG มีความสามารถที่จะตั้งปลุกในเหตุการณ์ของความไม่สอดคล้องกันระหว่างการวัดระดับถัง

และกรอกข้อมูล ซึ่งจะได้ให้วิธีการแจ้งเจ้าหน้าที่ห้องควบคุม ' การอ่านคงที่ไม่คาดคิด ' .
มีการเปลี่ยนแปลงเกิดขึ้นแล้ว ผู้บังคับบัญชาอาจได้รับรู้ถึง
ของที่ติดมาตรวัดก่อนกบตำแหน่งครบการตรวจสอบแบบเข้มงวดมากขึ้น
สามารถระบุข้อบกพร่องและการอนุญาตให้เว็บไซต์ที่จะอัพเกรดระบบ ATG
)