Root causes of the loss of containm

Root causes of the loss of containment

18 The immediate cause of this major incident was the failure of both the ATG
and the IHLS to operate as the fuel level in Tank 912 increased. This was a loss of
‘primary’ containment.
19 During and following the fire there were subsequent failures of ‘secondary’ and
‘tertiary’ containment. So what lay behind the immediate cause and subsequent
failures of containment? In other words, what in terms of the overall management
of operations at this high-hazard site led to these failures? What, in the processes
and systems, failed to deliver the necessary high level of control of site operations?
Understanding these root causes will allow those managing high-hazard industries
to learn from the experience of Buncefield.
The independent high-level switch
20 Tank 912 was fitted with a new independent high-level switch on 1 July 2004.
This had been designed, manufactured and supplied by TAV Engineering Ltd. TAV
had designed the switch so that some of its functionality could be routinely tested.
Unfortunately, the way the switch was designed, installed and maintained gave a
false sense of security. Because those who installed and operated the switch did not
fully understand the way it worked, or the crucial role played by a padlock, the switch
was left effectively inoperable after the test. (A fuller description is in Appendix 1.)
Designers of equipment for use in high-hazard operations should have
systems in place to ensure that the equipment is safe so far as is
reasonably practicable.
21 The design fault could have been eradicated at an early stage if the design
changes had been subjected to a rigorous review process. In any event, clear
guidance, including instructions about the safety criticality of the padlock, should
have been passed on to installers and users.
22 TAV was aware that its switches were used in high-hazard installations and
therefore were likely to be safety critical.
Designers and suppliers should have adequate knowledge of the
environments where their equipment will be used.
23 The impact of these defects in switch design, and the failure to inform users
and suppliers of the change in criticality of the padlock, could have been reduced
by those further down the supply chain. Motherwell Control Systems 2003 Ltd
ordered the IHLS from TAV but the ordering process by both parties fell short of
what would be expected for safety critical equipment intended for such a high-hazard
environment. The information TAV provided did not give sufficient clarity about the
key aspects of the IHLS design and use, and TAV should have enquired as to the
intended purpose of the switch and formed a view as to its suitability – in this case
for a high-level only application. Motherwell staff were highly experienced in this field
although the company itself had only recently come into existence as the result of
a management buy-out. However, their systems for checking and understanding
equipment again fell short of the mark.
Buncefield: Why did it happen? 13 of 36 pages



24 It appears that nobody within Motherwell knew the safety critical significance
of the padlock. The IHLS on Tank 912 was installed without the padlock because
it seems that Motherwell staff thought it was for security ‘anti-tamper’ purposes
only. After the periodic tests, the lever was left unsecured either in the inoperable
position or so that it could fall into that position. While they ought to have been able
to rely on TAV to tell them, Motherwell staff equally should have known better. The
elements of Motherwell’s failure were:
■ The process for ascertaining and then specifying the requirements of switches
they supplied and/or installed was not adequate.
■ They did not obtain the necessary data from the manufacturer and it follows that
they did not provide such data to their customers.
■ They did not understand the vulnerabilities of the switch or the function of the
padlock.
■ There was a reliance on TAV, which was not justified given the lack of information
provided and the critical role that Motherwell had in installing safety critical
equipment.
25 In addition to the failures of the manufacturers and installers of the IHLS, the
site operator did not exercise sufficient oversight of the ordering, installation and
testing procedure. While the switch was periodically tested, none of the staff at the
HOSL site was aware of the need for the padlock to be replaced so that the test
lever was held in the correct position. The site operator should have had greater
oversight of safety critical operations and equipment so that they understood fully
how it worked, particularly given the expertise available within large oil companies.
The automatic tank gauging system
26 Failure of the ATG system was the other immediate cause of the incident.
The servo-gauge had stuck (causing the level gauge to ‘flatline’) – and not for the
first time. In fact it had stuck 14 times between 31 August 2005, when the tank
was returned to service after maintenance, and 11 December 2005. Sometimes
supervisors rectified the symptoms of sticking by raising the gauge to its highest
position then letting it settle again, a practice known as ‘stowing’. On other
occasions Motherwell was called in to rectify the matter, although the definitive
cause of the sticking was never properly identified. Sometimes the sticking was
logged as a fault by supervisors and other times it was not.
27 The failure to have an effective fault logging process and the lack of a maintenance
regime that could reliably respond to those faults were two of the most important ‘root
cause’ managerial and organisational failures underlying the incident. Further, Motherwell
staff never saw that the unreliable gauge should be investigated. They did not analyse
why they had been called out so frequently nor questioned the reliability of the system.
Other shortcomings
28 The system also had other shortcomings that could fairly easily have been
remedied:
Monitoring screen
29 There was only one visual display screen for the data provided by the ATG
system on a number of tanks which meant that the status of only one tank could
be fully viewed at a time. On the night of the incident the display relating to
Tank 912 was at or near the back of a stack of four other tank display ‘windows’.
Only one computer was provided, with no back up, to run the entire ATG system.
The supervisors relied heavily on the ATG system to control tank filling so having no
back up for this critical control process was inadvisable.
Buncefield: Why did it happen? 14 of 36 pages
Redundant emergency shutdown
30 The tank mimics on the screen showed a red ‘stop’ emergency shutdown
button. Use of this was meant to close all tank side valves. Unbeknown to a
number of the supervisors this was not working and had never been fitted into
the system. Had it worked it may have provided a useful emergency procedure
although it may have taken several minutes for the valves to close. This issue
is indicative of poor management control where supervisors did not appreciate
the redundancy of the ‘stop’ button and Motherwell staff never tested it. This
meant that there was no proactive facility on the site to close down two (UKOP)
of the three incoming pipelines. The Finaline had an emergency shutdown button
accessible in the site control room.
System security
31 While there is no indication that it had any bearing on the incident, the security
arrangements on the ATG system were lacking. It had its own built-in security
system but this had been set so that all control room staff could modify any
parameter including being able to change the alarm settings.
Alarm function
32 Later versions of the ATG system had the ability to be set to alarm in the event
of inconsistencies between tank level measurements and filling data, which would
have provided a way of alerting control room staff to an ‘unexpected’ static reading.
Had such a modification been made then supervisors may have been made aware
of the sticking gauge before an overfill position was reached. A more stringent
monitoring scheme could have identified the shortcomings and allowed the site
operator to upgrade the ATG system

ผลลัพธ์ (ไทย) 2:

สาเหตุของการสูญเสียจากภาชนะบรรจุ18 สาเหตุทันทีของเหตุการณ์ที่เกิดขึ้นที่สำคัญนี่คือความล้มเหลวของทั้ง ATG และ IHLS ให้ทำงานเป็นระดับน้ำมันในถัง 912 เพิ่มขึ้น นี่คือการสูญเสียของบรรจุ 'หลัก'. 19 ระหว่างและตามไฟมีความล้มเหลวที่ตามมาของ 'รอง' และ'อุดมศึกษา' บรรจุ ดังนั้นสิ่งที่อยู่เบื้องหลังสาเหตุทันทีและต่อมาความล้มเหลวจากภาชนะบรรจุ? ในคำอื่น ๆ สิ่งที่ในแง่ของการจัดการโดยรวมของการดำเนินงานที่เว็บไซต์นี้อันตรายสูงนำไปสู่ความล้มเหลวเหล่านี้หรือไม่ อะไรในกระบวนการและระบบล้มเหลวที่จะส่งมอบในระดับสูงที่จำเป็นในการควบคุมการดำเนินงานของเว็บไซต์หรือไม่ทำความเข้าใจสาเหตุเหล่านี้จะช่วยให้ผู้ที่จัดการอุตสาหกรรมสูงอันตรายที่จะเรียนรู้จากประสบการณ์ของผู้ Buncefield. สวิทช์ระดับสูงที่เป็นอิสระ20 ถัง 912 ก็พอดีกับสวิทช์ระดับสูงที่เป็นอิสระใหม่ใน 1 กรกฎาคม 2004. นี้ได้รับการออกแบบผลิตและจัดจำหน่ายโดย TAV วิศวกรรม จำกัด TAV ได้ออกแบบสวิทช์เพื่อให้บางส่วนของการทำงานของอาจได้รับการทดสอบเป็นประจำ. แต่น่าเสียดายที่ทางสวิทช์ ได้รับการออกแบบติดตั้งและการบำรุงรักษาให้ความผิดพลาดของการรักษาความปลอดภัย เพราะผู้ที่ติดตั้งสวิทช์และดำเนินการไม่เข้าใจวิธีการทำงานหรือบทบาทสำคัญเล่นโดยกุญแจ, สวิทช์ที่ถูกทิ้งไว้ไม่สามารถใช้งานได้อย่างมีประสิทธิภาพหลังจากการทดสอบ (คำอธิบายฟูลเลอร์อยู่ในภาคผนวก 1) นักออกแบบของอุปกรณ์สำหรับใช้ในการดำเนินงานสูงอันตรายควรมีระบบในสถานที่เพื่อให้แน่ใจว่าอุปกรณ์ที่มีความปลอดภัยเท่าที่เป็นการปฏิบัติที่เหมาะสม. 21 ความผิดพลาดของการออกแบบจะได้รับการกำจัดให้สิ้นซากในช่วงต้น ถ้าขั้นตอนการออกแบบการเปลี่ยนแปลงถูกยัดเยียดให้กระบวนการตรวจสอบอย่างเข้มงวด ในกรณีใด ๆ ที่ชัดเจนคำแนะนำรวมทั้งคำแนะนำเกี่ยวกับวิกฤตความปลอดภัยของกุญแจที่ควรได้รับการส่งต่อไปยังผู้ติดตั้งและผู้ใช้. 22 TAV ทราบว่าสวิทช์ของมันถูกนำมาใช้ในการติดตั้งสูงอันตรายและดังนั้นจึงมีแนวโน้มที่จะเป็นความปลอดภัยที่สำคัญนักออกแบบและผู้ผลิตควรมีความรู้เพียงพอของสภาพแวดล้อมที่อุปกรณ์ของพวกเขาจะถูกนำมาใช้. 23 ผลกระทบของข้อบกพร่องเหล่านี้ในการออกแบบสวิทช์และความล้มเหลวที่จะแจ้งให้ผู้ใช้และซัพพลายเออร์ของการเปลี่ยนแปลงในวิกฤตของกุญแจที่จะได้รับการลดลงโดยผู้ ต่อไปลงห่วงโซ่อุปทาน มาเธอร์ระบบควบคุม 2003 จำกัดได้รับคำสั่งจาก IHLS TAV แต่การสั่งซื้อสินค้าโดยทั้งสองฝ่ายลดลงระยะสั้นของสิ่งที่จะได้รับการคาดว่าเพื่อความปลอดภัยของอุปกรณ์ที่สำคัญไว้สำหรับการดังกล่าวสูงอันตรายสภาพแวดล้อม TAV ข้อมูลที่ให้ไม่ได้ให้ความชัดเจนเพียงพอที่เกี่ยวกับด้านที่สำคัญของการออกแบบและการใช้งาน IHLS และ TAV ควรจะได้ถามเป็นจุดประสงค์ของการเปลี่ยนรูปแบบและมุมมองที่จะเหมาะสม - ในกรณีนี้สำหรับระดับสูง โปรแกรมเฉพาะ พนักงานเธอมีประสบการณ์สูงในด้านนี้ถึงแม้ว่า บริษัท เองก็เพิ่งเข้ามาในชีวิตเป็นผลมาจากการจัดการซื้อออก แต่ระบบของพวกเขาสำหรับการตรวจสอบและทำความเข้าใจเกี่ยวกับอุปกรณ์อีกครั้งลดลงระยะสั้นของเครื่องหมาย. Buncefield: ทำไมมันเกิดขึ้นได้อย่างไร 13 จาก 36 หน้า24 ปรากฏว่าไม่มีใครรู้ว่าเธออยู่ภายในความปลอดภัยอย่างมีนัยสำคัญที่สำคัญของกุญแจ IHLS ในถัง 912 ได้รับการติดตั้งโดยไม่กุญแจเพราะดูเหมือนว่าพนักงานมาเธอคิดว่ามันเป็นสำหรับการรักษาความปลอดภัย 'ป้องกันการงัดแงะ' วัตถุประสงค์เฉพาะ หลังจากการทดสอบเป็นระยะ ๆ คันถูกทิ้งไม่มีหลักประกันอย่างใดอย่างหนึ่งในการปฏิบัติไม่ได้ตำแหน่งหรือเพื่อที่จะตกอยู่ในตำแหน่งนั้น ในขณะที่พวกเขาควรจะได้รับสามารถที่จะพึ่งพา TAV จะบอกพวกเขาพนักงานอย่างเท่าเทียมกันเธอน่าจะรู้ดี องค์ประกอบของความล้มเหลวของเธอถูก: ■กระบวนการสำหรับการสืบหาและจากนั้นการระบุความต้องการของสวิทช์ที่พวกเขาให้มาและ / หรือการติดตั้งก็ไม่เพียงพอ. ■พวกเขาไม่ได้รับข้อมูลที่จำเป็นจากผู้ผลิตและมันตามที่พวกเขาไม่ได้ให้ข้อมูลดังกล่าว ให้กับลูกค้าของพวกเขา. ■พวกเขาไม่เข้าใจช่องโหว่ของการเปลี่ยนหรือการทำงานของกุญแจ. ■มีความเชื่อมั่นใน TAV เป็นซึ่งเป็นที่ไม่เป็นธรรมให้ขาดข้อมูลที่มีให้และบทบาทสำคัญที่เธอมีอยู่ในการติดตั้งความปลอดภัยที่สำคัญอุปกรณ์. 25 นอกจากความล้มเหลวในผู้ผลิตและติดตั้ง IHLS, ผู้ประกอบการเว็บไซต์ไม่ได้ออกกำลังกายอย่างเพียงพอการกำกับดูแลของการสั่งซื้อการติดตั้งและขั้นตอนการทดสอบ ในขณะที่สวิทช์ได้รับการทดสอบเป็นระยะ ๆ ไม่มีพนักงานที่เว็บไซต์Höslได้ตระหนักถึงความจำเป็นในการกุญแจจะถูกแทนที่เพื่อให้การทดสอบคันที่จัดขึ้นในตำแหน่งที่ถูกต้อง ผู้ประกอบการเว็บไซต์ควรจะมีมากขึ้นการกำกับดูแลความปลอดภัยของการดำเนินงานที่สำคัญและอุปกรณ์เพื่อให้พวกเขาเข้าใจวิธีการทำงานโดยเฉพาะอย่างยิ่งความเชี่ยวชาญที่มีอยู่ภายใน บริษัท น้ำมันขนาดใหญ่. ถังอัตโนมัติการวัดระบบ26 ความล้มเหลวของระบบ ATG เป็นสาเหตุทันทีอื่น ๆ ของ . เหตุการณ์ที่เกิดขึ้นเซอร์โววัดได้ติด (ก่อให้เกิดการวัดระดับการ 'flatline') - และไม่ได้สำหรับครั้งแรก ในความเป็นจริงมันก็ติดครั้งที่ 14 ระหว่าง 31 สิงหาคม 2005 เมื่อรถถังได้รับการกลับมาให้บริการหลังการบำรุงรักษาและ 11 ธันวาคม 2005 บางครั้งผู้บังคับบัญชาแก้ไขอาการของการติดโดยการสร้างวัดเพื่อสูงสุดของตำแหน่งแล้วปล่อยให้มันชำระอีกครั้งการปฏิบัติ เรียกว่า 'การเก็บรักษา' อีกครั้งที่เธอถูกเรียกในที่จะแก้ไขเรื่องนี้แม้ว่าที่ชัดเจนสาเหตุของการติดก็ไม่เคยระบุอย่างถูกต้อง บางครั้งติดได้รับการบันทึกไว้เป็นความผิดโดยผู้บังคับบัญชาและครั้งอื่น ๆ มันไม่ได้. 27 ความล้มเหลวที่จะมีขั้นตอนการบันทึกความผิดที่มีประสิทธิภาพและการขาดการบำรุงรักษาระบอบการปกครองที่น่าเชื่อถือสามารถตอบสนองต่อความผิดพลาดเหล่านั้นมีสองสิ่งที่สำคัญที่สุด 'รากสาเหตุ 'ความล้มเหลวของการบริหารจัดการและองค์กรที่อยู่ภายใต้เหตุการณ์ที่เกิดขึ้น นอกจากนี้เธอพนักงานไม่เคยเห็นที่วัดไม่น่าเชื่อถือควรได้รับการตรวจสอบ พวกเขาไม่ได้วิเคราะห์ว่าทำไมพวกเขาได้รับการเรียกออกมาบ่อยหรือถามความน่าเชื่อถือของระบบ. ข้อบกพร่องอื่น ๆ28 ระบบยังมีข้อบกพร่องอื่น ๆ ที่อาจได้รับค่อนข้างง่ายแก้ไข: ตรวจสอบหน้าจอ29 มีเพียงหนึ่งหน้าจอแสดงผลภาพสำหรับข้อมูลที่ จัดไว้ให้โดย ATG ระบบกับจำนวนของรถถังซึ่งหมายความว่าสถานะของเพียงหนึ่งถังสามารถดูได้อย่างเต็มที่ในเวลา ในคืนวันที่เหตุการณ์ที่เกิดขึ้นที่จอแสดงผลที่เกี่ยวข้องกับรถถัง 912 อยู่ที่หรือใกล้ด้านหลังของสแต็คของจอแสดงผลสี่ถังอื่น ๆ 'หน้าต่าง'. เพียงคอมพิวเตอร์เครื่องหนึ่งถูกจัดให้โดยไม่มีการกลับขึ้นเพื่อเรียกใช้ระบบ ATG ทั้งหมด. ผู้บังคับบัญชา อาศัยอยู่บนระบบ ATG การควบคุมถังเติมเพื่อให้มีไม่กลับขึ้นสำหรับการควบคุมกระบวนการที่สำคัญนี้ก็ไม่สมควร. Buncefield: ทำไมมันเกิดขึ้นได้อย่างไร 14 จาก 36 หน้าปิดฉุกเฉิน Redundant 30 เลียนแบบถังบนหน้าจอแสดงให้เห็นสีแดง 'หยุด' ปิดฉุกเฉินปุ่ม ใช้นี้ก็หมายความว่าจะปิดวาล์วถังด้านข้างทั้งหมด ประจักษ์กับจำนวนของผู้บังคับบัญชานี้ไม่ได้ทำงานและไม่เคยได้รับการติดตั้งเข้าไปในระบบ มีมันทำงานมันอาจจะให้ขั้นตอนในกรณีฉุกเฉินที่มีประโยชน์ถึงแม้ว่ามันอาจมีการดำเนินการหลายนาทีสำหรับวาล์วจะปิด ปัญหานี้เป็นตัวบ่งชี้ของการควบคุมการจัดการไม่ดีที่ผู้บังคับบัญชาไม่ได้ชื่นชมความซ้ำซ้อนของปุ่ม 'หยุด' และพนักงานมาเธอไม่เคยทดสอบ นี้หมายความว่าไม่มีสิ่งอำนวยความสะดวกในเชิงรุกในเว็บไซต์ปิดลงสอง (UKOP) ของทั้งสามท่อขาเข้า Finaline มีปุ่มปิดฉุกเฉินสามารถเข้าถึงได้ในห้องควบคุมเว็บไซต์. ระบบรักษาความปลอดภัย31 ในขณะที่มีข้อบ่งชี้ว่ามันมีผลต่อเหตุการณ์ที่เกิดขึ้นใด ๆ ที่การรักษาความปลอดภัยการเตรียมการในระบบ ATG กำลังขาดแคลน มันมีการรักษาความปลอดภัยของตัวเองในตัวระบบ แต่เรื่องนี้ได้รับการตั้งค่าเพื่อให้เจ้าหน้าที่ห้องควบคุมทุกคนสามารถปรับเปลี่ยนใด ๆพารามิเตอร์รวมทั้งความสามารถในการเปลี่ยนการตั้งค่าการเตือนภัย. ฟังก์ชั่นปลุก32 รุ่นต่อมาของระบบ ATG มีความสามารถในการตั้งค่าเพื่อการเตือนภัย ในกรณีที่ไม่สอดคล้องกันระหว่างการวัดระดับถังและกรอกข้อมูลซึ่งจะได้จัดให้มีวิธีการแจ้งเตือนเจ้าหน้าที่ห้องควบคุมการ 'ที่ไม่คาดคิด' อ่านคง. มีการปรับเปลี่ยนดังกล่าวถูกสร้างขึ้นมาจากนั้นผู้บังคับบัญชาอาจจะได้รับการทำตระหนักของวัดติดก่อน ตำแหน่งกบก็มาถึง ที่เข้มงวดมากขึ้นโครงการตรวจสอบอาจมีการระบุข้อบกพร่องและได้รับอนุญาตเว็บไซต์ที่ผู้ประกอบการในการอัพเกรดระบบ ATG

ผลลัพธ์ (ไทย) 3:

สาเหตุหลักของการสูญเสียการควบคุม

18 สาเหตุทันที เหตุการณ์สำคัญนี้คือความล้มเหลวของทั้ง ATG
และ ihls เพื่อใช้เป็นเชื้อเพลิงในถังในระดับที่เพิ่มขึ้น นี้คือการสูญเสีย

19 ในระหว่าง 'primary ' แล้ว และต่อไปนี้ไฟมีภายหลังความล้มเหลวของ ' รอง '
'tertiary ' แล้ว แล้ววางหลังสาเหตุทันที และต่อมา
ความล้มเหลวของการแก้ไข ? ในคำอื่น ๆแล้วในแง่ของการจัดการโดยรวมของการดำเนินงานที่เว็บไซต์อันตราย
สูงทำให้เกิดความล้มเหลวเหล่านี้ ? อะไรในระบบกระบวนการ
และล้มเหลวในการส่งมอบในระดับที่จำเป็นในการควบคุมการดำเนินการเว็บไซต์
เข้าใจรากสาเหตุเหล่านี้จะช่วยให้ผู้บริหารอุตสาหกรรมอันตรายสูง
ที่จะเรียนรู้จากประสบการณ์ของ buncefield .
อิสระสูงสลับ
20 ถัง 912 ติดตั้งใหม่และเปลี่ยนเป็นอิสระในวันที่ 1 กรกฎาคม 2547 .
นี้ได้รับการออกแบบผลิตและจัดโดย
หนังสือหนังสือวิศวกรรม จำกัด ได้ออกแบบสลับเพื่อให้บางส่วนของฟังก์ชั่นสามารถตรวจทดสอบ .
แต่วิธีสวิตช์ถูกออกแบบ ติดตั้งและดูแล ให้
ความรู้สึกที่ผิดพลาดของการรักษาความปลอดภัย .