Root causes of the loss of containment
18 The immediate cause of this major incident was the failure of both the ATG
and the IHLS to operate as the fuel level in Tank 912 increased. This was a loss of
‘primary’ containment.
19 During and following the fire there were subsequent failures of ‘secondary’ and
‘tertiary’ containment. So what lay behind the immediate cause and subsequent
failures of containment? In other words, what in terms of the overall management
of operations at this high-hazard site led to these failures? What, in the processes
and systems, failed to deliver the necessary high level of control of site operations?
Understanding these root causes will allow those managing high-hazard industries
to learn from the experience of Buncefield.
The independent high-level switch
20 Tank 912 was fitted with a new independent high-level switch on 1 July 2004.
This had been designed, manufactured and supplied by TAV Engineering Ltd. TAV
had designed the switch so that some of its functionality could be routinely tested.
Unfortunately, the way the switch was designed, installed and maintained gave a
false sense of security. Because those who installed and operated the switch did not
fully understand the way it worked, or the crucial role played by a padlock, the switch
was left effectively inoperable after the test. (A fuller description is in Appendix 1.)
Designers of equipment for use in high-hazard operations should have
systems in place to ensure that the equipment is safe so far as is
reasonably practicable.
21 The design fault could have been eradicated at an early stage if the design
changes had been subjected to a rigorous review process. In any event, clear
guidance, including instructions about the safety criticality of the padlock, should
have been passed on to installers and users.
22 TAV was aware that its switches were used in high-hazard installations and
therefore were likely to be safety critical.
Designers and suppliers should have adequate knowledge of the
environments where their equipment will be used.
23 The impact of these defects in switch design, and the failure to inform users
and suppliers of the change in criticality of the padlock, could have been reduced
by those further down the supply chain. Motherwell Control Systems 2003 Ltd
ordered the IHLS from TAV but the ordering process by both parties fell short of
what would be expected for safety critical equipment intended for such a high-hazard
environment. The information TAV provided did not give sufficient clarity about the
key aspects of the IHLS design and use, and TAV should have enquired as to the
intended purpose of the switch and formed a view as to its suitability – in this case
for a high-level only application. Motherwell staff were highly experienced in this field
although the company itself had only recently come into existence as the result of
a management buy-out. However, their systems for checking and understanding
equipment again fell short of the mark.
Buncefield: Why did it happen? 13 of 36 pages
24 It appears that nobody within Motherwell knew the safety critical significance
of the padlock. The IHLS on Tank 912 was installed without the padlock because
it seems that Motherwell staff thought it was for security ‘anti-tamper’ purposes
only. After the periodic tests, the lever was left unsecured either in the inoperable
position or so that it could fall into that position. While they ought to have been able
to rely on TAV to tell them, Motherwell staff equally should have known better. The
elements of Motherwell’s failure were:
■ The process for ascertaining and then specifying the requirements of switches
they supplied and/or installed was not adequate.
■ They did not obtain the necessary data from the manufacturer and it follows that
they did not provide such data to their customers.
■ They did not understand the vulnerabilities of the switch or the function of the
padlock.
■ There was a reliance on TAV, which was not justified given the lack of information
provided and the critical role that Motherwell had in installing safety critical
equipment.
25 In addition to the failures of the manufacturers and installers of the IHLS, the
site operator did not exercise sufficient oversight of the ordering, installation and
testing procedure. While the switch was periodically tested, none of the staff at the
HOSL site was aware of the need for the padlock to be replaced so that the test
lever was held in the correct position. The site operator should have had greater
oversight of safety critical operations and equipment so that they understood fully
how it worked, particularly given the expertise available within large oil companies.
The automatic tank gauging system
26 Failure of the ATG system was the other immediate cause of the incident.
The servo-gauge had stuck (causing the level gauge to ‘flatline’) – and not for the
first time. In fact it had stuck 14 times between 31 August 2005, when the tank
was returned to service after maintenance, and 11 December 2005. Sometimes
supervisors rectified the symptoms of sticking by raising the gauge to its highest
position then letting it settle again, a practice known as ‘stowing’. On other
occasions Motherwell was called in to rectify the matter, although the definitive
cause of the sticking was never properly identified. Sometimes the sticking was
logged as a fault by supervisors and other times it was not.
27 The failure to have an effective fault logging process and the lack of a maintenance
regime that could reliably respond to those faults were two of the most important ‘root
cause’ managerial and organisational failures underlying the incident. Further, Motherwell
staff never saw that the unreliable gauge should be investigated. They did not analyse
why they had been called out so frequently nor questioned the reliability of the system.
Other shortcomings
28 The system also had other shortcomings that could fairly easily have been
remedied:
Monitoring screen
29 There was only one visual display screen for the data provided by the ATG
system on a number of tanks which meant that the status of only one tank could
be fully viewed at a time. On the night of the incident the display relating to
Tank 912 was at or near the back of a stack of four other tank display ‘windows’.
Only one computer was provided, with no back up, to run the entire ATG system.
The supervisors relied heavily on the ATG system to control tank filling so having no
back up for this critical control process was inadvisable.
Buncefield: Why did it happen? 14 of 36 pages
Redundant emergency shutdown
30 The tank mimics on the screen showed a red ‘stop’ emergency shutdown
button. Use of this was meant to close all tank side valves. Unbeknown to a
number of the supervisors this was not working and had never been fitted into
the system. Had it worked it may have provided a useful emergency procedure
although it may have taken several minutes for the valves to close. This issue
is indicative of poor management control where supervisors did not appreciate
the redundancy of the ‘stop’ button and Motherwell staff never tested it. This
meant that there was no proactive facility on the site to close down two (UKOP)
of the three incoming pipelines. The Finaline had an emergency shutdown button
accessible in the site control room.
System security
31 While there is no indication that it had any bearing on the incident, the security
arrangements on the ATG system were lacking. It had its own built-in security
system but this had been set so that all control room staff could modify any
parameter including being able to change the alarm settings.
Alarm function
32 Later versions of the ATG system had the ability to be set to alarm in the event
of inconsistencies between tank level measurements and filling data, which would
have provided a way of alerting control room staff to an ‘unexpected’ static reading.
Had such a modification been made then supervisors may have been made aware
of the sticking gauge before an overfill position was reached. A more stringent
monitoring scheme could have identified the shortcomings and allowed the site
operator to upgrade the ATG system
สาเหตุของการสูญเสียของบรรจุ18 ทันทีสาเหตุของเหตุการณ์สำคัญนี้ความล้มเหลวของทั้ง ATGและ IHLS เพื่อใช้งาน ตามระดับน้ำมันในถัง 912 เพิ่ม นี่คือการสูญเสียบรรจุ 'หลัก'19 มีความล้มเหลวต่อไปของ 'สอง' ระหว่าง และ ต่อไฟ และบรรจุ 'ต่อ' ดังนั้น สิ่งที่วางอยู่เบื้อง หลังสาเหตุทันที และต่อมาความล้มเหลวของบรรจุ ในคำอื่น ๆ อะไรในแง่ของการจัดการโดยรวมการดำเนินงานที่อันตรายสูงนำไปสู่ความล้มเหลวเหล่านี้ อะไร ในกระบวนการและระบบ ล้มเหลวในการส่งมอบการควบคุมการดำเนินการของไซต์ระดับสูงจำเป็นเข้าใจสาเหตุรากเหล่านี้จะช่วยให้อุตสาหกรรมอันตรายสูงผู้จัดการการเรียนรู้จากประสบการณ์ของ Buncefieldสวิตช์ระดับสูงอิสระถัง 20 912 ถูกติดตั้งกับสวิตช์สูงอิสระใหม่วันที่ 1 2547 กรกฎาคมนี้ได้ออกแบบ ผลิต และจัดทำ โดย TAV วิศวกรรม จำกัด TAVได้ออกแบบสวิตช์ที่บางงานอาจจะเป็นประจำทดสอบอับ แบบสวิตช์ถูกออกแบบ ติดตั้ง และรักษาไว้ให้เป็นความรู้สึกที่ไม่ปลอดภัย เนื่องจากผู้ติดตั้ง และดำเนินการสวิตช์ไม่เข้าใจวิธีการทำงาน หรือสำคัญบทบาทกุญแจ สวิตช์ที่เหลือใช้งานไม่มีประสิทธิภาพหลังจากการทดสอบ (คำอธิบายฟูลเลอร์อยู่ในภาคผนวก 1)ควรมีการออกแบบอุปกรณ์สำหรับใช้ในการดำเนินงานสูงอันตรายระบบเพื่อให้มั่นใจว่า อุปกรณ์ที่ปลอดภัยเพื่อให้ห่างไกลเป็นสม practicable21 การออกแบบบกพร่องไม่ได้ถูกกำจัดให้หมดการถ้าการออกแบบเปลี่ยนแปลงมีการภายใต้กระบวนการตรวจสอบอย่างเข้มงวด อย่างไรก็ตาม ล้างคำแนะนำ รวมทั้งคำแนะนำเกี่ยวกับการประการที่สามคือความปลอดภัยของกุญแจ ควรการผ่านในการติดตั้งผู้ใช้22 TAV ไม่ทราบว่า สวิตช์ที่ใช้ในการติดตั้งสูงอันตราย และดังนั้น มีแนวโน้มที่จะมีความปลอดภัยที่สำคัญออกแบบและจำหน่ายควรมีความรู้เพียงพอสภาพแวดล้อมที่จะใช้อุปกรณ์ของพวกเขา23 ผลกระทบของข้อบกพร่องเหล่านี้ในสวิตช์ออกแบบ และความล้มเหลวเพื่อแจ้งผู้ใช้และซัพพลายเออร์ของการเปลี่ยนแปลงประการที่สามคือของกุญแจ ไม่ได้ลดลงโดยผู้ที่ต่อลงห่วงโซ่อุปทาน มาเธอร์เวลล์ควบคุมระบบ 2003 จำกัดสั่งซื้อ IHLS จาก TAV แต่กระบวนการสั่งซื้อ โดยทั้งสองฝ่ายตกกะร่องกะแร่งสิ่งที่จะคาดหวังความปลอดภัยอุปกรณ์สำคัญสำหรับเช่นสูงอันตรายสภาพแวดล้อม ข้อมูล TAV ให้ไม่ได้ให้เพียงพอความชัดเจนเกี่ยวกับการลักษณะสำคัญของ IHLS ออกแบบ และใช้ และ TAV ควรมีกันเป็นวัตถุประสงค์วัตถุประสงค์ของสวิตช์ และเกิดมุมมองเพื่อความเหมาะสมของ – ในกรณีนี้สำหรับโปรแกรมประยุกต์ระดับสูงเท่านั้น มาเธอร์เวลล์พนักงานมีประสบการณ์มากในฟิลด์นี้แม้ว่าบริษัทตัวเองได้เท่านั้นเพิ่งเข้ามาเป็นผลของbuy-out จัดการ อย่างไรก็ตาม ระบบการตรวจสอบ และทำความเข้าใจอุปกรณ์อีกตกขาดหมายBuncefield: ทำไมมันเกิดขึ้นหรือไม่ 13 หน้า 36 24 ปรากฏว่า คนภายในมาเธอร์เวลล์รู้ความสำคัญสำคัญที่ความปลอดภัยของกุญแจ IHLS บน 912 ถังติดตั้ง โดยไม่มีกุญแจเพราะดูเหมือนว่า พนักงานมาเธอร์เวลล์คิดก็เพื่อความปลอดภัย 'ทรอป้องกัน'เท่านั้น หลังจากการทดสอบเป็นครั้งคราว คันโยกซ้ายความปลอดภัยในการใช้งานไม่ตำแหน่ง หรืออื่น ๆ อาจตกอยู่ใน ในขณะที่พวกเขาควรจะมีได้พึ่ง TAV บอกว่า มาเธอร์เวลล์พนักงานเท่าเทียมกันควรได้รู้จักดี ที่องค์ประกอบของความล้มเหลวของมาเธอร์เวลล์ได้:■กระบวนการ ascertaining และระบุความต้องการของสวิตช์แล้วพวกเขาจัดหา หรือติดตั้งไม่พอ■พวกเขาก็ไม่ได้รับข้อมูลจำเป็นจากผู้ผลิต และเป็นไปตามที่พวกเขาไม่ได้ให้ข้อมูลดังกล่าวแก่ลูกค้า■พวกเขาไม่เข้าใจจุดอ่อนของสวิตช์หรือการทำงานของการกุญแจ■มีพึ่ง TAV ซึ่งเป็นธรรมไม่ได้รับการขาดข้อมูลมีบทบาทสำคัญมาเธอร์เวลล์มีในการติดตั้งความปลอดภัยที่สำคัญและอุปกรณ์25 ความล้มเหลวของผู้ผลิตและติดตั้งของ IHLS การไซต์ดำเนินไม่ได้ออกกำลังกายเพียงพอตามครรลองของการสั่งซื้อ การติดตั้ง และทดสอบขั้นตอน ในขณะที่สวิตช์ทดสอบเป็นระยะ ๆ พนักงานไม่มีการHOSL site was aware of the need for the padlock to be replaced so that the testlever was held in the correct position. The site operator should have had greateroversight of safety critical operations and equipment so that they understood fullyhow it worked, particularly given the expertise available within large oil companies.The automatic tank gauging system26 Failure of the ATG system was the other immediate cause of the incident.The servo-gauge had stuck (causing the level gauge to ‘flatline’) – and not for thefirst time. In fact it had stuck 14 times between 31 August 2005, when the tankwas returned to service after maintenance, and 11 December 2005. Sometimessupervisors rectified the symptoms of sticking by raising the gauge to its highestposition then letting it settle again, a practice known as ‘stowing’. On otheroccasions Motherwell was called in to rectify the matter, although the definitivecause of the sticking was never properly identified. Sometimes the sticking waslogged as a fault by supervisors and other times it was not.27 The failure to have an effective fault logging process and the lack of a maintenanceregime that could reliably respond to those faults were two of the most important ‘rootcause’ managerial and organisational failures underlying the incident. Further, Motherwellstaff never saw that the unreliable gauge should be investigated. They did not analyseทำไมพวกเขามีการเรียกออกให้บ่อย หรือไต่สวนความน่าเชื่อถือของระบบแสดงอื่น ๆ28 ระบบยังมีการแสดงอื่น ๆ ที่ไม่ได้ค่อนข้างง่ายremedied:ตรวจสอบหน้าจอ29 มีได้เพียงหนึ่งภาพจอสำหรับข้อมูลที่ได้จากการ ATGระบบจำนวนถังซึ่งหมายถึง สถานะของถังเดียวอาจทั้งหมดสามารถดูได้ที่ ในคืนเกิดปัญหาการแสดงผลที่เกี่ยวข้องกับถัง 912 ถูกที่ หรือ ใกล้กลับของกองซ้อนสี่ถังแสดง 'หน้าต่างอื่นๆ'คอมพิวเตอร์เพียงเครื่องเดียวถูกมี ไม่มีสำรองข้อมูล ทำระบบ ATG ทั้งหมดผู้บังคับบัญชาที่อาศัยระบบ ATG ควบคุมถังบรรจุจึง มีไม่มากสำหรับตัวควบคุมนี้สำคัญกลับ กระบวนการ inadvisableBuncefield: ทำไมมันเกิดขึ้นหรือไม่ 14 หน้า 36 การปิดแบบฉุกเฉินซ้ำซ้อน30 ถังเลียนแบบบนหน้าจอที่แสดงให้เห็นเป็นสีแดง 'หยุด' การปิดแบบฉุกเฉินปุ่ม ใช้นี้ถูกหมายถึงการปิดวาล์วด้านข้างถังทั้งหมด Unbeknown เพื่อเป็นจำนวนของผู้บังคับบัญชานี้ไม่ทำงาน และไม่มีการตกแต่งเป็นระบบ จะได้ทำงานมันอาจให้ประโยชน์กระบวนงานฉุกเฉินถึงแม้ว่ามันอาจนำวาล์วปิดหลายนาที ปัญหานี้เป็นที่ผู้บังคับบัญชาไม่ได้ขอบคุณส่อควบคุมจัดการไม่ดีความซ้ำซ้อนการ 'หยุด' มาเธอร์เวลล์พนักงานไม่เคยทดสอบมัน นี้หมายความ ว่า มีสิ่งอำนวยความสะดวกไม่เชิงรุกบนไซต์จะปิดลงสอง (UKOP)ของท่อเข้า 3 Finaline ที่มีปุ่มแบบปิดฉุกเฉินสามารถเข้าถึงห้องควบคุมไซต์ระบบรักษาความปลอดภัย31 ในขณะที่มีข้อบ่งชี้ไม่ว่า จะมีปืนใด ๆ ในเหตุการณ์ การรักษาความปลอดภัยจัดระบบ ATG ได้ขาด มันมีความปลอดภัยในตัวของตัวเองระบบแต่นี้มีการตั้งให้เจ้าหน้าที่ห้องควบคุมทั้งหมดสามารถปรับเปลี่ยนใด ๆพารามิเตอร์ที่รวมถึงความสามารถในการเปลี่ยนแปลงการตั้งค่าการแจ้งเตือนกระดิ่งรุ่น 32 ระบบ ATG มีความสามารถในการตั้งให้ปลุกในเหตุการณ์ของความขัดแย้งระหว่างวัดระดับถังและบรรจุข้อมูล ซึ่งจะได้จัดเตรียมวิธีการแจ้งเตือนให้เจ้าหน้าที่ห้องควบคุมการอ่านคงที่ 'คาด'ได้ทำการปรับเปลี่ยน แล้วผู้บังคับบัญชาอาจเกิดตระหนักถึงของมาตรวัด sticking ก่อนตำแหน่ง overfill ที่ครบ เข้มข้นขึ้นแผนงานตรวจสอบอาจระบุการแสดง และอนุญาตให้เว็บไซต์ดำเนินการปรับรุ่นระบบ ATG
การแปล กรุณารอสักครู่..