بانسفيلد جعلت حماية التعبئة الزائدة والاحتواء الثانوي اختبارًا للمساءلة في سلامة العمليات

ملخص

• بدأ الحادث المقرر بتعبئة غير متحكم فيها، وليس بالانفجار.دخل البنزين الخالي من الرصاص إلى خزان 912 التابع لـ Hertfordshire Oil Storage Limited من الساعة 18:50 يوم 10 ديسمبر 2005. في الساعة 03:05 توقف عرض مقياس الخزان الأوتوماتيكي عن متابعة ارتفاع السائل. وفشل المفتاح المستقل عالي المستوى أيضًا في العمل. بدأ البنزين بالتسرب عبر فتحات السقف حوالي الساعة 05:37، وتشكلت سحابة بخار كبيرة، ووقع أول انفجار كبير بعد الساعة 06:01 بقليل. يعتبر تقرير السلطة المختصة عن الأسباب الكامنة المصدر المسيطر لهذا التسلسل وللتمييز بين الأعطال الفنية المباشرة والظروف الإدارية التي تقف وراءها.

• لم يكن وجود حاجزي مستوى ظاهريين كافيين لتوفير طبقتين موثوقتين.كان المقياس الأوتوماتيكي قد توقف بشكل متكرر بعد عودة الخزان 912 من الصيانة، بينما كان المفتاح المستقل يمكن تركه في وضع معطل بعد الاختبار إذا لم يتم تثبيت القفل الحاسم بشكل صحيح. سلم الإنذارات العالي للمستخدم والعالي والعالي جدًا للمقياس لم يكن نفس الحاجز مثل المفتاح المنفصل المصمم لبدء الإجراء الوقائي النهائي. وجد التحقيق الرسمي أن المصممين والموردين والمثبتين والمشغل لم ينشئوا سلسلة كاملة من الفهم والضمان حول المفتاح. لذلك، يجب إثبات الاستقلالية عبر الاستشعار والمنطق والإغلاق النهائي والطاقة والاختبار والتدخل البشري، وليس استنتاجها من اسمي جهازين.

• كان تاريخ الأعطال متاحًا في أجزاء ولكن لم يتم تحويله إلى معرفة إدارية.توقف المقياس 14 مرة بين 31 أغسطس و11 ديسمبر 2005. كان المشرفون أحيانًا يستعيدون المؤشر عن طريق إيقاف المقياس، وأحيانًا يستدعون مقاول الصيانة، ولم يضعوا كل تكرار باستمرار في نظام العيوب. العَرَض المتكرر الذي يمكن إصلاحه مؤقتًا لا يزال عيبًا حاسمًا للسلامة. إذا لم يتم تجميع التاريخ، لا يمكن للمؤسسة رؤية معدل الطلب أو الفشل الشائع أو التكرار المهدر أو الحاجة إلى إزالة المعدات من الخدمة.

• تم تقسيم التحكم في النقل بطريقة أضعفت سلطة الموقع المتلقي.كان بإمكان مشرفي HOSL التحكم في خط أنابيب وارد واحد ولكنهم افتقروا إلى المعلومات الحية المكافئة والتحكم الفوري في خطي أنابيب UK Oil Pipelines. قبل الحادث بفترة قصيرة، زاد تدفق الخط الجنوبي على ما يبدو دون علم المشرفين. تعامل الرد الحكومي اللاحق مع سيطرة الموقع المتلقي على إنهاء النقل والمساحة الرأسية والفحوصات قبل النقل والإشراف المختص كضمانات ذات أولوية. يقدم رد الحكومة والسلطة المختصة برنامج إصلاح؛ لا يثبت أن كل موقع أو كل عملية نقل استوفته لاحقًا.

• غير انفجار سحابة البخار نموذج العواقب المعقول.تضمن الحادث أكثر من مجرد حريق بركة محلي داخل حوض. تحركت سحابة منخفضة واسعة عبر حدود الموقع وخارجها قبل الاشتعال، وتسبب الضغط الزائد في أضرار واسعة النطاق. يسجل التقرير النهائي لـ MIIB، المجلد 1 43 إصابة تم الإبلاغ عنها، وعدم وجود وفيات، وإخلاء، وانقطاع كبير في الأعمال، وتكاليف قابلة للقياس تقترب من 1 مليار جنيه إسترليني. هذه الأرقام تقديرات إجمالية بفئات محددة، وليست دليلاً على خسارة فرد أو تعويض مدني نهائي.

• فشل الاحتواء الثانوي كمعدات مصممة، وليس كمشهد.افتقرت وصلات الأحواض إلى موانع مياه مناسبة أو تفاصيل مقاومة للحريق، وأنشأت الاختراقات مسارات تسرب، ولم يتم دفع التسريبات المعروفة إلى السبب الجذري، وتحدى سائل إطفاء الحريق السعة والوصول. لم تستطع حالة السلامة للمشغل جعل الحوض غير منفذ بمجرد وصفه بأنه متوافق. سجلات التصميم، وفحص البناء، والتحكم في التغيير، واختبار النفاذية، ومقاومة الحريق، وتفاصيل الاختراق، وإغلاق الإصلاح هي الأدلة التي تحول الجدار إلى حاجز معترف به.

• الاحتواء الثلاثي والصرف حددا المدى البيئي.لم تستطع أنظمة الصرف المخصصة لمياه الأمطار والانسكابات الصغيرة التعامل مع حجم الوقود والرغوة ومياه الإطفاء. وفرت المصارف غير المرسومة أو غير المدروسة بشكل كاف والأراضي المنفذة طرقًا نحو طبقة المياه الجوفية الطباشيرية. يقدم المراجعة التنظيمية لوكالة البيئة بعد 20 عامًا تقارير عن المعالجة والرصد طويل الأمد، لكنها حساب وكالة لاحق ولا تحل محل أدلة التحقيق المعاصرة أو تثبت انتهاء جميع التلوث.

• الأداء في حالات الطوارئ والجاهزية لحالات الطوارئ مسألتان منفصلتان.حشدت عملية كبيرة متعددة الوكالات العديد من رجال الإطفاء، وحمت الجمهور، وسيطرت في النهاية على الحرائق. في الوقت نفسه، كشفت المضخات الضعيفة، وضوابط الصرف التي يصعب الوصول إليها، والمعرفة غير الكاملة بالصرف، والطلب الهائل على مياه الإطفاء، واحتياجات التعافي خارج الموقع عن فجوات في التخطيط المسبق. النجاح في الارتجال لا يتحقق من الافتراضات التي جعلت الارتجال ضروريًا.

• لا يمكن اختزال الدور القانوني لـ HOSL في هيكل التوظيف أو التعاقد.حدد تقرير السبب الرسمي HOSL كمشغل بموجب COMAH، بينما قدم موظفو Total الإدارة اليومية وقدمت شركات خارجية معدات حيوية أو قامت بصيانتها. وذكر أن HOSL يمكنه اختيار كيفية أداء الوظائف لكن لا يمكنه تفويض التزاماته كمشغل. هذا لا يمحو واجبات أو سلوك الشركات الأخرى المثبت؛ بل يحدد لماذا يحتاج المشغل إلى القدرة الفنية الكافية للعمل كعميل ذكي.

• كانت النتيجة الجنائية محددة ومحدودة.يسجل التقرير الرسمي إدانات أو إقرارات بالذنب شملت خمس شركات وجرائم منفصلة تتعلق بالسلامة و COMAH وتلوث المياه. أُدينت HOSL بموجب اللائحة 4 من لوائح COMAH لعام 1999 وأقرت بالذنب في جريمة تلوث المياه الخاضعة للرقابة. تثبت تلك النتائج الجرائم والعقوبات المبلغ عنها في ملحق نتائج المحكمة. لا تحول كل توصية من MIIB أو كل تقدير مطالبة مدنية أو كل استنتاج بحثي لاحق إلى حكم جنائي.

• التحذيرات والمعايير اللاحقة للحادث هي ضوابط لاحقة، وليست صياغة بأثر رجعي للواجب لعام 2005.يشرح تحذير السلامة للخزانات الكبيرة الصادر عن HSE عام 2010 خطرًا محددًا للتركيب وموضع الاختبار للمفاتيح عالية المستوى ذات الصلة ويدعو إلى إجراء سجلات وفحوصات فورية. إنه دليل قوي على الدرس الذي أراد المنظمون تطبيقه بعد التحقيق. لا ينبغي تقديمه كما لو أن قائمة التحقق الدقيقة كانت تحكم الموقع بالفعل في ديسمبر 2005.

• سؤال المساءلة الدائم هو دليل على الفعالية.يجب أن يكون مجلس الإدارة قادرًا على رؤية طلب التعبئة الزائدة، وأجهزة الفشل المتكرر، واختبارات الإثبات المتأخرة، ومدة التحويل، والاستجابة للإنذار، وانحرافات النقل، وعيوب الاحتواء، والإجراءات المتأخرة. يجب أن يكون المشغل قادرًا على إيقاف النقل الوارد دون تفاوض، وإظهار أن الطبقة المستقلة لا تشارك اعتمادًا خفيًا، وإظهار أين سيذهب السائل المتسرب. يجب على المنظم اختبار تلك الادعاءات ضد الظروف الميدانية والسجلات. يجب أن يتلقى المجتمع معلومات مفهومة حول المخاطر المتبقية خارج الموقع دون أن يُطلب منه الثقة في تقرير سلامة لا يمكنه التحقق منه.

قراءة السجل دون خلط السلطات المختلفة

أنتج بانسفيلد تقارير تحقيق، وبحثًا علميًا، وتحذيرات تنظيمية، وإرشادات مشتركة بين الصناعة والمنظمين، وردود حكومية، وإجراءات جنائية، ومطالبات مدنية، وتقارير تعافي، واستعراضات لاحقة. إنها مرتبطة، لكنها لا تجيب على نفس السؤال. يحافظ هذا التحليل على خمس فئات منفصلة: حقائق الحدث الثابتة، ونتائج التحقيق الرسمية، والنتائج القانونية، وبيانات التنفيذ اللاحقة، والتوصيات التشغيلية.

حقيقة حدث ثابتةهي حادثة مؤرخة مدعومة بإعادة البناء الرسمي، مثل خط مقياس الخزان المسطح، وسحابة البخار المرصودة، ووقت الانفجار، أو الإخلاء.نتيجة تحقيقهي الاستنتاج المنطقي للسلطة المختصة أو MIIB حول سبب فشل حاجز أو كيف ساهمت الإدارة.نتيجة علم انفجاريمكنها تحسين فهم تكوين السحابة أو تسارع اللهب دون إعادة كتابة تسلسل التعبئة الزائدة الثابت.نتيجة قانونيةتثبت الإدانة أو الإقرار بالذنب أو الجريمة أو العقوبة التي يذكرها سجل المحكمة أو النتيجة الرسمية؛ لا تثبت كل ادعاء أو استنتاج سياسي.التوصية التشغيليةهي نصيحة لمنع التكرار ويجب وضع علامة عليها كنصيحة حتى عندما تكون مقنعة.

سجل MIIB الموحد في المجلد 2A يجمع تقارير التقدم والتقرير الأولي وعمل التصميم والتشغيل. يُظهر تسلسله الزمني كيف تطورت المعرفة المؤقتة. يحتوي المجلد التكميلي 2B على توصيات التأهب للطوارئ واستخدام الأراضي. جعل مضيف الأرشيف المجلد 1 قابلاً للاسترجاع مباشرة خلال هذه المراجعة، بينما لم يكن الاسترجاع المباشر للملفين الآخرين موثوقًا. لذلك، يتم استخدامهما لهوية التقرير ونطاقه وتوصياته التي تنعكس بشكل مستقل في الرد الحكومي المتاح، وليس لتفاصيل الصفحات غير المرئية.

هذا الحدود مهم لأن السجل تغير بمرور الوقت. نُشر التقرير النهائي لـ MIIB بينما كانت الإجراءات الجنائية تقيد الكشف عن بعض مواد الأسباب الكامنة. سد تقرير السبب اللاحق للسلطة المختصة تلك الفجوة بعد انتهاء الإجراءات. بحثت الأبحاث اللاحقة في سبب شدة الانفجار. التسلسل ليس ترخيصًا لاختيار الوثيقة التي تعطي أقوى لغة. إنه سبب لتأريخ كل اقتراح واستخدام السلطة المصممة لإثباته.

يفصل هذا المقال أيضًا بين المحفز والسبب الجذري والظروف المساهمة. كان المحفز هو التعبئة الزائدة غير المنضبطة وتكوين سحابة البخار وتسلسل الاشتعال. كانت مشكلة المساءلة الجذرية هي فقدان السيطرة الموثقة على قياس المستوى، والإغلاق المستقل، والإشراف على النقل، والمراجعة الإدارية. تضمنت الظروف المساهمة عبء العمل، والتحكم في الواجهة، والتواصل مع المقاول، وضعف الأحواض والصرف، وقيود التخطيط للطوارئ، والتعرض لاستخدام الأراضي، وأعباء التعافي اللاحقة. هذه الفئات تتداخل تشغيليًا، لكن لا ينبغي دمجها في تسمية واحدة غامضة.

كان بانسفيلد مستودعًا واحدًا لكنه أنظمة تحكم متعددة

السياق الثابت.كان بانسفيلد مجمعًا استراتيجيًا لتخزين ونقل الوقود بالقرب من هيميل هيمبستيد، يخدم لندن وجنوب شرق إنجلترا، بما في ذلك الطلب على الطيران. يتكون من مناطق تديرها شركات مختلفة. شكل HOSL West و East جزءًا واحدًا؛ وشكلت British Pipeline Agency و BP أجزاءً أخرى. كانت HOSL نفسها مشروعًا مشتركًا. تقع المحطة بجوار Maylands Industrial Estate، بينما كانت المناطق السكنية والبنية التحتية للنقل قريبة أيضًا. لم يكن الموقع معزولاً عن الاقتصاد الذي يخدمه أو المجتمع المعرض للخطر المتبقي.

خلق الترتيب المادي عدة واجهات. يصل المنتج عبر عدة خطوط أنابيب، ويدخل خزانات مخصصة، ويغادر عبر تحميل الشاحنات أو طرق وقود الطيران، ويعبر الحدود التنظيمية. كان المشرف المتلقي بحاجة إلى معرفة أي خط نشط، وتدفقه، والخزان الوجهة، والمخزون الحالي، والمساحة الرأسية المتبقية، والسحوبات المتزامنة، وكيفية إنهاء التغذية. احتاج مراقب خط الأنابيب إلى طلب إيقاف موثوق واستجابة متفق عليها. احتاج مشغل الخزان إلى أجهزة وإنذارات تظل موثوقة مع تغير السعة الإنتاجية وعبء العمل.

يُدرج إصدار المعلومات التاريخي لـ HSE بشأن بانسفيلد سجلات الإخطار والمراسلات التي تشمل HOSL ومصالح محطات أخرى. يؤكد أن تسجيل المواد الخطرة واتصالات التخطيط كان لها تاريخ طويل. لا يثبت الإصدار بحد ذاته أن فحصًا معينًا قبل الحادث وجد العيوب التي تم اكتشافها لاحقًا، ولا يثبت عمر الإخطار استمرار الامتثال. قيمته في المساءلة أضيق: اعتمدت حوكمة المخاطر الكبرى على سجلات محفوظة عبر المشغلين والمنظمين وسلطات الإطفاء والمخططين قبل حدث 2005 بوقت طويل.

الآثار على الحوكمة.خطر الواجهة ينتمي إلى شخص ما حتى عندما لا تمتلك منظمة واحدة السلسلة المادية بأكملها. يجب أن تنص العقود على من يؤكد المساحة الرأسية، ومن يأذن بالمسار، ومن يراقب الخزان المتلقي، ومن يمكنه إيقاف كل خط أنابيب، وكيف يغير الجهاز الفاشل خطة النقل، ومن يوفق بين حجم التسليم وحركة الخزان. يجب ممارسة الواجهة في ظل ظروف غير طبيعية. رقم الهاتف في إجراء ليس مكافئًا لسلطة الإيقاف الفوري إذا كان من الممكن تأخير المكالمات أو إساءة فهمها أو إخضاعها للضغط التجاري.

أصبح النقل غير مسيطر عليه قبل أن يرى أحد البنزين

حقيقة ثابتة.دخلت دفعة من البنزين الخالي من الرصاص الخزان 912 عبر خط UKOP الجنوبي من الساعة 18:50 يوم السبت 10 ديسمبر. كانت سعة الخزان 912 الاسمية ستة ملايين لتر. في الساعة 03:05 يوم الأحد، توقف عرض مقياس الخزان الأوتوماتيكي. استمر المنتج في الوصول، لكن العرض لم يعد يرتفع عبر العتبات المكونة للمستخدم العالي والعالي والعالي جدًا. نظرًا لأن الممارسة التشغيلية اعتمدت بشكل كبير على مؤشرات الإنذار، أزالت القيمة الثابتة الخاطئة المطالبات التي كان من المفترض أن يعمل المشرف بناءً عليها.

كان المفتاح المستقل عالي المستوى مصممًا للعمل فوق إنذارات المقياس، وإصدار إنذار نهائي وإغلاق الصمامات لوقف المنتج الوارد. لم يفعل أيًا منهما. حوالي الساعة 05:37، بدأ البنزين بالتسرب عبر فتحات السقف. في ظروف هادئة، تطورت سحابة منخفضة مرئية وانتشرت على مساحة كبيرة، بما في ذلك أرض خارج الموقع. لاحظ الناس السحابة وأطلقوا الإنذار قبل الانفجار بوقت قصير. تسرب أكثر من 250 ألف لتر بحلول ذلك الوقت وفقًا لتقرير السبب اللاحق.

يمكن للمصطلحات العالية جدًا أن تحجب انقسام الحاجز. على الخزان 912، قدم مقياس الخزان الأوتوماتيكي عتبات إنذار قائمة على العرض على المستوى المُقاس؛ كان المفتاح المستقل عالي المستوى جهاز حماية منفصلًا يهدف إلى الجلوس فوق إنذارات التشغيل العادية وبدء آخر إيقاف هندسي. بمجرد توقف المقياس، لم يعد سلم الإنذار الخاص بالعرض يتتبع السائل المرتفع. بمجرد أن يصبح المفتاح غير فعال بعد الاختبار، كانت طبقة الإغلاق المستقلة غير متاحة. لذلك لم يكن الطلب الفاشل مجرد إنذار تم تجاهله. كان خسارة مشتركة للقياس الموثوق والتحذير الموثوق والتحكم النهائي في التدفق الوارد.

يظهر هذا التسلسل الزمني لماذا لا ينبغي تعريف حدث التعبئة الزائدة فقط بسائل يعبر سطح الخزان. فقدت السيطرة عندما لم يعد لدى المنظمة صورة موثوقة وفي الوقت المناسب للمخزون ولا توقف مستقل موثوق. كانت الساعات بين 03:05 و 05:37 فترة تحكم متدهور. سيكون النظام الناضج قادرًا على تحديد تلك الفترة من خلال فحوصات المعقولية: التوازن الكتلي بين تدفق خط الأنابيب ومستوى الخزان، إنذارات القيمة القديمة، فحوصات معدل التغيير، المقارنة مع الاستشعار المستقل، حدود مدة التسليم، أو جولات المشغل المصممة للتأكيد غير الطبيعي.

توصية تشغيلية.يجب أن يكون لكل عملية نقل نطاق تشغيل آمن مُعلن قبل بدء التدفق. يجب أن يحدد السجل مستوى البداية، والسعة القابلة للاستخدام، وحجم الدفعة المخطط، والمعدل المخطط والحد الأقصى، والوجهة، وخطة التحويل، ونقاط ضبط الإنذار، ونقطة ضبط الإغلاق، ووقت الاستجابة، ومسافة التوقف. إذا أصبحت بيانات المستوى الحي أو التدفق غير متاحة، يجب أن يحدد الإجراء ما إذا كان النقل يتوقف فورًا أو ينتقل إلى وضع متدهور مصمم خصيصًا. الاستمرار لأن القيمة تبدو هادئة ليس استراتيجية الوضع المتدهور.

فشل المقياس كان إشارة متكررة، وليس مفاجأة غير متوقعة

نتيجة تحقيق.توقف مقياس السيرفو على الخزان 912 14 مرة من عودة الخزان إلى الخدمة في 31 أغسطس 2005 حتى الحادث. أحيانًا قام المشرفون بإيقاف المقياس ورفعه والسماح له بالاستقرار. وأحيانًا حضر مقاول الصيانة. لم يتم تحديد السبب النهائي للتوقف المتكرر ولم يتم تسجيل التكرار باستمرار. لذلك لم يتلق مدير العمليات صورة مجمعة دقيقة للموثوقية.

هذا نمط مألوف في سلامة العمليات. يفشل جهاز، يستعيد المشغل المؤشر، يستمر الإنتاج، ويتم التعامل مع غياب الضرر الفوري كإغلاق. تسجل المنظمة الجهد بدلاً من الحالة: "إعادة تعيين مكتملة" بدلاً من "موثوقية وظيفة السلامة غير محلولة". ثم يصبح التكرار طبيعيًا. حقيقة أن الحل البديل ينجح ثلاث عشرة مرة لا تقول شيئًا مطمئنًا عن المرة الرابعة عشرة؛ إنها تظهر طلبًا متكررًا على طريقة استرداد ضعيفة.

تمت أرشفة صفحة بحث HSE لـ RR760 حول إدارة السلامة الميكانيكية لخزانات التخزين الكبيرة ويمكن الوصول إليها عبر المحور الرسمي، لكن الأرشيف أعاد تحدي سكربت بدلاً من نص التقرير خلال هذه المراجعة. يُستخدم هنا فقط لتحديد أن إدارة السلامة الميكانيكية أصبحت مسار عمل بحثي محدد بعد بانسفيلد. لا يتم التأكيد على أي ادعاء على مستوى الصفحة من التقرير غير المسترد.

توصية تشغيلية.يجب أن تميز حوكمة العيوب بين إزالة الأعراض وإزالة العيوب. يجب أن تقوم قاعدة الفاعل السيئ بتصعيد الفشل المتكرر تلقائيًا حسب الأصل ووضع الفشل. يجب أن يكون للمعدات الحرجة للسلامة حد أقصى لعدد التكرارات، وحد زمني للتشخيص، وسلطة صريحة لإزالة الخزان من الخدمة. يجب أن تغذي أوامر العمل وسجلات المناوبات وزيارات المقاولين وتواريخ الإنذارات عرض موثوقية واحد. يجب أن يكون المراجع الكبير قادرًا على السؤال ليس فقط عما إذا كان الجهاز يعمل الآن، ولكن لماذا فشل، وما إذا كان الإصلاح قد عالج السبب، وما الأجهزة الأخرى التي تشترك في الضعف، وما هي الضوابط التعويضية التي تظل صالحة.

يجب أن تصمد الاستقلالية أمام التصميم والتركيب واختبار الإثبات

نتيجة تحقيق.تم استبدال المفتاش المستقل عالي المستوى للخزان 912 في عام 2004. سمحت آلية الاختبار بتحريك ذراع، لكن التصميم تضمن وضعًا يمكن أن يبدو فيه المفتاح مستجيبًا أثناء الاختبار ثم يظل غير فعال في الخدمة العادية. كان القفل مهمًا للاحتفاظ بالذراع في وضع العمل الصحيح. لم يقم المورد بتوصيل تلك النقطة الحرجة للسلامة بشكل كافٍ عبر السلسلة، ولم يفهمها موظفو الموقع. لذلك لم يصل النشاط الدوري إلى اختبار إثبات شامل من طرف إلى طرف.

عبر فشل المساءلة الحدود التنظيمية. كان على المصمم مراجعة ما إذا كان الجهاز يمكن أن يدخل في حالة خطرة. كان على المورد توصيل الوظيفة والقيود. كان على المثبت وفني الصيانة الحفاظ على التكوين. كان على المشغل معرفة الوظيفة التي يتم الاعتماد عليها والتحقق منها في ظل ظروف واقعية. لم يكن استنتاج التقرير الرسمي أن المقاولين يزيلون مسؤولية المشغل. كان أن جميع الأطراف المشاركة في المعدات الحرجة للسلامة يحتاجون إلى الكفاءة وأن المشغل يجب أن يكون عميلًا ذكيًا.

أرشفت HSE دراسة RR872 لأنظمة كشف وقياس المستوى والتي تم ربطها أيضًا من المحور الرسمي ولكنها لم تُعد نصًا مقروءًا في فحص الوصول. تدعم فقط وجود وعنوان برنامج بحثي مركز هنا. لا تُستخدم لاستنتاج معدلات الفشل أو تأييد تقنية استشعار معينة.

توصية تشغيلية.يجب أن يتتبع اختبار الإثبات وظيفة السلامة بأكملها: الاستشعار عند نقطة الانطلاق المقصودة، استجابة المنطق، إعلان الإنذار، إجراء الصمام النهائي، انقطاع النقل، التغذية الراجعة بأن الإغلاق حدث، واستعادة حالة التشغيل الصحيحة. يجب أن يحدد إجراء الاختبار المواضع الخطرة، والأقفال أو الأختام المطلوبة، وضوابط التحويل، ومعايير القبول، والشهادة المستقلة. يجب ألا يترك الاختبار الناجح المعدات معطلة. حيثما كان عمليًا، يجب مراقبة حالة ما بعد الاختبار بشكل إيجابي بدلاً من استنتاجها من وضع المقبض.

يمكن أن تشترك طبقتان في فشل إداري واحد

كان المقياس الأوتوماتيكي والمفتاش المستقل مختلفين ماديًا، لكن الإدارة سمحت لكل منهما بأن يصبح غير موثوق. لم يتم تجميع التوقف المتكرر للمقياس والقضاء عليه. لم يتم فهم ضعف اختبار المفتاش. كلما أصبح المقياس أقل اعتمادية، زادت أهمية المفتاش المستقل؛ ومع ترك المفتاش غير صالح للعمل، أصبح المقياس خط الدفاع الفعلي الأخير. لهذا السبب يعتبر عد الأجهزة أضعف من تقييم الاستقلالية.

صفحة HSE المؤرشفة لـ RR716 حول تحليل طبقات الحماية للتعبئة الزائدة للخزانات كانت قابلة للتحديد من خلال كتالوج الأبحاث الرسمي ولكنها لم تكن قابلة للقراءة مباشرة في بيئة المراجعة هذه. لذلك لا يقتبس المقال حساباتها. يمكن ذكر المبدأ الحاكم بدونها: لا ينبغي أن تحصل طبقة الحماية على رصيد تقليل المخاطر إلا إذا تم إثبات استقلاليتها ووظيفتها وسلامتها واختبارها واستجابتها للسيناريو الذي يتم تقييمه.

استدلال مدعوم.لا يقتصر الاعتماد المشترك على الأسلاك أو الطاقة المشتركة. يشمل نفس مقاول الصيانة، ونفس التوثيق غير الواضح، ونفس ثقافة التحويل، ونفس نظام العيوب، ونفس افتراضات المشرف، ونفس مجلس الإدارة الذي لا يرى أبدًا مؤشرات الموثوقية. يمكن أن تكون الطبقة منفصلة تقنيًا ومقرونة إداريًا. لذلك يجب أن يسأل تحليل المخاطر ما الذي يمكن أن يجعل جميع الطبقات المعتمدة غير متاحة في وقت واحد، بما في ذلك الأسباب التنظيمية.

توصية تشغيلية.يجب أن تختبر مراجعة سيناريو التعبئة الزائدة الاستقلالية عبر سبعة أبعاد على الأقل: تقنية الاستشعار، وحل المنطق، والعنصر النهائي، والمرافق، والاتصالات، والصيانة، ومسار القرار البشري. يجب أن تختبر أيضًا ما إذا كان وقت الاستجابة للإنذار أقصر من الوقت المادي من نقطة ضبط الإنذار إلى التدفق الزائد بأقصى تدفق وارد معقول. إذا كان الموقع المتلقي لا يمكنه إيقاف التغذية خلال ذلك الوقت، فإن التصميم لم يحول التحذير إلى سيطرة.

جعلت معلومات النقل وعبء العمل وممارسة الإنذار النظام هشًا

نتيجة تحقيق.كان لدى مشرفي HOSL سيطرة أكبر على Finaline مقارنة بخطوط UKOP. بالنسبة للأخيرة، كانوا يفتقرون إلى الوصول المباشر إلى معلومات حالة خط الأنابيب والتدفق المكافئة. لم يكونوا على علم بزيادة كبيرة في التدفق قبل الحادث. قاموا بإدارة التعبئة والتفريغ وتحميل الناقلات وشاشات متعددة وواجبات أخرى تحت سعة متزايدة. زادت سعة المنتج بشكل كبير عبر تاريخ المحطة، بما في ذلك بعد إغلاق العمليات المجاورة. لم يتم إعادة تصميم الموظفين وعبء العمل بنفس الصرامة.

فاقمت واجهة التحكم المشكلة. يمكن عرض شاشة خزان واحدة فقط بالكامل في كل مرة ويمكن تكديس النوافذ. استخدم المشرفون عتبات الإنذار بشكل غير متسق وأحيانًا سمحوا بمستويات تتجاوز النقاط العالية الاسمية تحت ضغط المساحة الرأسية. افتقرت إجراءات التعبئة المكتوبة إلى التفاصيل حول اختيار الخزان، والانحرافات، والضمانات الإضافية، والمراجعة الإدارية. أضعفت فترات العمل الطويلة والعمل الإضافي وتسليم المهام القصير غير المدفوع الاستمرارية. هذه الظروف لا تعذر التشغيل غير الآمن؛ إنها تشرح لماذا سيكون إرجاع الحدث إلى شخص واحد غير منتبه غير مكتمل تحليليًا.

حدود إجرائية.وصف التحقيق ضغط العمل والارتباك والإجراءات الضعيفة. لم يثبت أن التعب وحده تسبب في التعبئة الزائدة، ولا يدعم السجل تشخيص الحالة العقلية لأي فرد. القضية الخاضعة للمساءلة هي ما إذا كانت الإدارة قد قامت بتقييم مهمة غرفة التحكم والموظفين والمعلومات وعبء العمل كجزء من نظام المخاطر الكبرى.

توصية تشغيلية.يجب أن تعرض غرفة التحكم في النقل جميع عمليات الاستلام النشطة والوجهات والمعدلات ومستويات الخزانات والإنذارات والوظائف المثبطة ووقت الأمان المتبقي على صورة تشغيلية متماسكة واحدة. يجب أن يشمل تقييم الموظفين عمليات النقل المتزامنة القصوى، والظروف غير الطبيعية، والتسليم، والتحقق الميداني، وتغطية فترات الراحة، وإجراءات الطوارئ. يجب التعامل مع العمل الإضافي وانحرافات الإنذار واستخدام أجهزة التذكير الشخصية كمؤشرات لسلامة العمليات، وليس فقط بيانات القوى العاملة أو الإنتاجية.

سجلات الأعطال هي دليل على صحة الحاجز

سجل العيوب ليس أرشيفًا إداريًا. إنها ذاكرة المؤسسة لكيفية تصرف الحماية تحت الطلب. في بانسفيلد، تم تقسيم التكرار بين خبرة المناوبة واستدعاءات المقاولين والسجلات غير المكتملة. يمكن للإدارة العليا رؤية مهام معزولة دون رؤية تدهور وظيفة السلامة. فحصت عمليات التدقيق وجود أنظمة لكنها لم تختبر بشكل كافٍ ما إذا كانت تلك الأنظمة تعكس الممارسة أو تتحكم في المخاطر.

يجب أن يحتفظ سجل صحة الحاجز القابل للتدقيق بالأعراض الأصلية والوقت وحالة العملية وحالة الإنذار والإجراء المؤقت والشخص المسؤول والتشخيص والإصلاح واختبار ما بعد الصيانة وارتباط التكرار وقرار المخاطرة. لا ينبغي أن يسمح باختفاء عيب حاسم للسلامة عند إغلاق استدعاء. تحتاج التجاوزات والتحويلات إلى وقت البدء والتفويض والتدابير التعويضية وتاريخ الانتهاء وتأكيد الإزالة. يجب أن تشمل الحوادث الوشيكة اختبارات الاحتواء الفاشلة وطلبات الإنذار والانحرافات غير المتوقعة حتى عندما لا يحدث إطلاق.

استدلال مدعوم.ثلاث رؤى إدارية كانت ستجعل الضعف أصعب في التغاضي عنه: اتجاه توقف المقياس حسب الخزان؛ وقائمة بالمفاتيح المستقلة التي لم يتم إثبات مسار الرحلة الكامل لها؛ وعدد عمليات النقل التي تمت أثناء ضعف حاجز معتمد. الغرض ليس الادعاء بأن لوحة معلومات واحدة كانت ستمنع الحدث بالتأكيد. إنه إظهار كيف يمكن لأحداث التشغيل الخام أن تصبح دليل قرار.

توصية تشغيلية.يجب أن تتلقى مجالس الإدارة وقادة المواقع مجموعة صغيرة من مؤشرات سلامة العمليات مع إمكانية التعمق القابلة للتتبع: اختبارات الإثبات المتأخرة، والاختبارات الفاشلة، والفاعلين السيئين، وطلبات نظام السلامة، وإنذارات عالي-عالي، وحوادث التعبئة الزائدة الوشيكة، وساعات التحويل، وانحرافات النقل، وتسريبات الاحتواء، وإعاقات معدات الطوارئ، والإجراءات التصحيحية المتأخرة. لا يمكن لمعدلات الإصابات الشخصية أن تحل محل هذه المؤشرات لأنها تقيس مجال مخاطرة مختلفًا.

فشل الاحتواء الأولي قبل بدء علم الانفجار

حقيقة ثابتة.أدت التعبئة الزائدة غير المنضبطة إلى إطلاق البنزين من الخزان 912 وخلقت سحابة بخار كبيرة منخفضة في ظروف هادئة. عبرت السحابة حدود الموقع قبل الاشتعال. أنتج الانفجار الرئيسي ضغوطًا زائدة أكبر من التوقعات المعاصرة لسحابة بخار بنزين مفتوحة. غير هذا نموذج العواقب المستخدم لمواقع تخزين الوقود، لكن عدم اليقين العلمي حول تسارع اللهب لا يخلق عدم يقين بشأن لماذا كان البنزين خارج الخزان.

مراجعة جودة الهواء من DEFRA توثق تقييمًا حكوميًا مبكرًا لقضايا العمود والرصد. نطاقه هو جودة الهواء، وليس أسباب خزان التحكم، ولا يمكن لمراجعة مبكرة أن تحل محل تقرير السبب اللاحق. يساعد في فصل سؤالين: ما الذي أطلقه الحريق وكيف تمت مراقبة التعرض، مقابل ما الذي سمح بالإطلاق والاشتعال.

أفاد البحث التجريبي RR1190 الممول من HSE لاحقًا أن صندوق التحكم الكهربائي في غرفة مضخات الحريق كان مصدر الاشتعال المحتمل واستكشف كيف يمكن للغلاف والألواح الخفيفة أن تكثف انتشار اللهب. تذكر HSE صراحةً أن آراء واستنتاجات تقرير البحث تخص المؤلفين ولا تمثل بالضرورة سياسة HSE. يغني البحث أدلة آلية الانفجار. إنه ليس حكمًا قضائيًا، ولا ينبغي استخدامه للادعاء بأن كل تفصيلة من الاشتعال مؤكدة.

توصية تشغيلية.لا ينبغي أن تنتظر الوقاية حتى التنبؤ المثالي بالانفجار. إذا كانت سحابة قابلة للاشتعال كبيرة ممكنة ماديًا، فيجب على الضوابط منع التعبئة الزائدة، واكتشاف فقدان الاحتواء، وإزالة أو إدارة مصادر الاشتعال، وحماية موارد الطوارئ، وإبعاد الناس عن مسارات السحابة المعقولة. عبء عدم اليقين بشأن العواقب يجب أن يوسع نطاق السيناريو ويعزز المرونة، لا أن يقلل من أولوية الاحتواء الأولي.

الاحتواء الثانوي هو نظام حاسم للسلامة

نتيجة تحقيق.قاومت الخرسانة نفسها الحريق في كثير من الأحيان، لكن الوصلات والاختراقات والواجهات فشلت. افتقرت أحواض HOSL A وB وC إلى موانع مياه في الوصلات المهمة؛ تضررت المواد غير المقاومة للحريق؛ لم يتم التحقيق بشكل كامل في التسريبات المعروفة وإصلاحها. أنشأت اختراقات الأنابيب مسارات عبر الجدران والأرضيات. عقدت مياه الإطفاء السعة والوصول والضخ. كان أداء أحد الأحواض الذي يتمتع بحماية أفضل للوصلات أفضل، مما يظهر أن النتيجة لم تكن خاصية حتمية لجميع الأحواض الخرسانية.

حدد التقرير النهائي لمجموعة القيادة في سلامة العمليات بعد بانسفيلد الحد الأدنى من توقعات التحكم لتخزين البنزين الكبير وإرشادات حول الاحتواء الثانوي والثالثي. مسار HSE الأصلي موجه الآن عبر البنية التحتية للأرشيف ولم يُعد نصًا مقروءًا في فحص الوصول المباشر. تم التحقق من هوية التقرير ونطاقه من خلال محور HSE الحالي والرد الحكومي. يُستخدم كدليل لاحق، وليس كنص قانوني دقيق طُبق في عام 2005.

للاحتواء دورة حياة. يحدد التصميم السعة، وحركة الوصلات، والنفاذية، ومقاومة الحريق، والصرف، والاختراقات، والعزل القابل للوصول. يحدد البناء ما إذا كانت موانع المياه والأختام والتسليح تتطابق مع التصميم. يوضح التشغيل احتباس السائل. يحدد التشغيل موضع الصمام، وإدارة مياه الأمطار، والسعة المتاحة. يجد الفحص التشققات والهبوط وتدهور الختم والاختراقات غير المصرح بها. يحمي التحكم في التغيير الوظيفة عند تغيير الأنابيب أو الجدران. يحدد التخطيط للطوارئ ما إذا كان يمكن للمستجيبين تشغيل المصارف والمضخات تحت الحريق أو انقطاع التيار أو التعرض للبخار.

توصية تشغيلية.يجب أن يكون لكل حوض معترف به ملف حاجز: أساس التصميم، والرسومات، والمواد، والحسابات، وسجلات جودة البناء، وسجل الاختراق، واختبار التشغيل، وطريقة التفتيش، ومعايير العيوب، وتاريخ الإصلاح، وهامش السعة، وافتراض مياه الإطفاء، وبيان اللياقة الحالي. يجب أن يحدد الملف أي اعتماد على الضخ الميكانيكي أو الوصول اليدوي للصمام. لا يمكن للفحص البصري وحده التحقق من موانع المياه المدفونة أو سلامة كل وصلة، لكن يمكنه كشف فجوات الأدلة التي تتطلب تقييمًا هندسيًا أو اختبارًا.

يقرر الاحتواء الثلاثي أين يرسل الحوض الفاشل الخطر

نتيجة تحقيق.في بانسفيلد، لم يتم تصميم صرف الموقع والبحيرات كنظام ثلاثي كامل للأحجام الناتجة عن حريق كبير متعدد الخزانات. كانت الأرصفة والتحكم في الحدود محدودة؛ كانت سعة الصرف والبحيرة غير كافية؛ وفرت بعض المصارف أو المصارف الميدانية مسارات إلى الأرض؛ كان الضخ الميكانيكي ضعيفًا؛ ولم تُظهر الخطط جميع الميزات ذات الصلة بشكل كامل. انتقل الوقود والرغوة ومياه الإطفاء خارج الأحواض وأجزاء من الموقع.

هذا يميز ثلاث وظائف. يحافظ الاحتواء الأولي على المنتج في الخزانات والأنابيب. يحتفظ الاحتواء الثانوي بفقد محلي حول التخزين. يتحكم الاحتواء الثلاثي في السائل الذي يهرب أو يطغى على الاحتواء الثانوي ويسعى لإبقائه في الموقع أو توجيهه إلى مكان محمي. يمكن لمكافحة الحرائق في حالات الطوارئ مضاعفة الحجم الذي يجب أن تديره الطبقتان الأخيرتان. لذلك فإن معاملة الصرف كأداة للصيانة يفقد دوره في الحوادث.

حدود بيئية.حددت التقارير الرسمية الهيدروكربونات وملوثات رغوة الإطفاء في المسار البيئي وخطرًا طويل الأمد على طبقة المياه الجوفية الطباشيرية. ذكرت أيضًا أن التلوث القريب لم يؤثر على إمدادات مياه الشرب في الوقت الموصوف. تواصل المراجعة اللاحقة لوكالة البيئة المراقبة والمعالجة، بما في ذلك أنظمة المعالجة وتحديات PFAS. لا يبرر ادعاءً بأن كل مستقبل قد تضرر أو أن المعالجة قد اكتملت.

توصية تشغيلية.يجب أن يحتفظ الموقع بخريطة موثقة للمستويات السطحية والمصارف والصمامات والمصائد والبحيرات والمخارج والمجاري والمصارف الميدانية والمناطق المنفذة والمستقبلات خارج الموقع. يجب أن تكون الخريطة قابلة للاستخدام عندما تكون الطاقة والإضاءة والوصول والاتصالات متدهورة. يجب أن تحسب اختبارات السيناريو الوقود وهطول الأمطار والرغوة وأحجام المياه؛ وتحديد أين يذهب كل حجم؛ ومراعاة المسارات المسدودة أو الفاشلة؛ وتحديد من يمكنه عزل أو تحويل التدفقات. يجب أن يمارس المستجيبون البيئيون الخطة مع العمليات وخدمات الإطفاء قبل وقوع حادث.

الاستجابة للطوارئ كانت كبيرة وفعالة في بعض الأجزاء ومليئة بالتحديات

حقيقة ثابتة.أدى الانفجار إلى استجابة كبيرة متعددة الوكالات. تم إنشاء القيادة الذهبية، وتم حشد الموارد المحلية والوطنية، وتم إجلاء السكان القريبين، وتأثرت الطرق والمدارس، واستمرت مكافحة الحرائق لأيام. وصف التقرير النهائي لـ MIIB مشاركة حوالي 1000 رجل إطفاء عبر العملية، مع استخدام كبير للمياه والرغوة. لم تقع وفيات، لكن تم الإبلاغ عن 43 إصابة وعانى المجتمع من اضطراب طويل.

نتيجة تحقيق وسياسة.كان على خطط الطوارئ أن تأخذ في الاعتبار انفجارات سحابة البخار الشديدة، وحرائق الخزانات المتعددة، وفقدان البنية التحتية للموقع، والجريان السطحي الملوث، والمشورة الصحية العامة، واستمرارية الأعمال، والتعافي الطويل. يدمج إطار التفتيش الحالي لـ HSE لترتيبات الطوارئ في منشآت COMAH التوقعات المتعلقة بانسفيلد. إنها مادة تفتيش حالية، وليست دليلاً على الخطة الدقيقة أو معيار التفتيش المطبق قبل الحدث.

تحافظ مجموعة وثائق التوجيه الوطني للتعافي الحكومية على تقرير فريق العمل المجتمعي لاستعادة بانسفيلد وتقييم الأثر الاجتماعي. تظهر تلك السجلات أن التعافي امتد إلى ما بعد الإطفاء ليشمل التوظيف والإسكان والصعوبات المالية والصحة والاتصال والدعم المجتمعي. إنها تقارير من سلطات وباحثين مشاركين، وليست تعدادًا كاملاً لكل شخص متأثر. درس المساءلة المركزي فيها هو أن ترتيبات القيادة تحتاج إلى انتقال متعمد من الاستجابة للطوارئ إلى التعافي طويل الأمد مع ملكية محددة واستمرارية البيانات.

توصية تشغيلية.يجب أن تشمل التمارين فقدان مركز القيادة الرئيسي للطوارئ، والمضخات التالفة، وعناصر التحكم اليدوية التي يصعب الوصول إليها، والصرف غير المؤكد، والتحذير العام المتزامن، وتعطيل الأعمال. يجب أن تحدد الخطط موقع قيادة بديل، ونسخًا محمية من الرسومات، وأولويات أخذ العينات البيئية، وموارد المساعدة المتبادلة، وموافقة المعلومات العامة، وقنوات الاتصال المجتمعي، وقيادة التعافي. يجب أن تتبع تقارير التمارين الإجراءات التصحيحية إلى الإغلاق الموثوق، وليس مجرد تسجيل الحضور.

كان انقطاع الأعمال خارج الموقع جزءًا من عواقب الحادث الكبير

كان Maylands Industrial Estate يقع مباشرة بجوار المحطة. تسبب الانفجار في أضرار للممتلكات التجارية والسكنية، وشرد السكان، وعطل النقل، وأثر بشدة على الأعمال. قدر التقرير النهائي لـ MIIB 894 مليون جنيه إسترليني عبر خمس فئات قابلة للقياس الكمي، بما في ذلك 625 مليون جنيه إسترليني في مطالبات التعويض و 245 مليون جنيه إسترليني مرتبطة بالطيران. حذر من أن بعض الفئات كانت أقل قوة وأن التقدير لا يشمل كل تكلفة. هذه تقديرات تخطيطية، وليست إجمالي خسائر مدفوعة أو جوائز قضائية.

يصف سجل التعافي فقدان الوظائف، وتقليل ساعات العمل، والانتقال، وضغط التدفق النقدي للشركات الصغيرة، والتكاليف غير المؤمن عليها، والطلبات المستمرة للدعم. هذا مهم للموضوعات الخاضعة للرقابة هنا. تم اختبار استمرارية القطاع العام من خلال تنسيق الطوارئ والتعافي. تم اختبار الشرعية المؤسسية من خلال ما إذا كان المشغلون والسلطات قد كشفوا عن أدلة موثوقة وعملوا بناءً عليها. تم اختبار استمرارية خدمات المؤسسات الصغيرة والمتوسطة لأن الشركات ذات التكرار المحدود تحملت انقطاعًا يتجاوز حدود المحطة بكثير.

حدود النصيحة.لا يمكن لخطة استمرارية شركة مجاورة أن تمنع التعبئة الزائدة للخزان ويجب ألا تُقدم أبدًا كبديل لضوابط المشغل. يمكن أن تقلل الضرر الاقتصادي الثانوي. يجب على المنظمات القريبة من موقع المخاطر الكبرى معرفة قنوات التحذير، وافتراضات المأوى الآمن أو الإخلاء، وطرق حساب الموظفين، وقدرة العمل عن بعد، وبدائل الموردين، وأولويات استعادة البيانات، وشروط التأمين. يجب على مشغلي الموقع والسلطات العامة مشاركة معلومات سيناريو كافية للتخطيط الواقعي دون الكشف عن التفاصيل الحساسة أمنيًا.

يتحكم تخطيط استخدام الأراضي في التعرض بعد أن تؤدي الوقاية عملها

يحل تخطيط استخدام الأراضي وسلامة العمليات أجزاء مختلفة من المشكلة. يجب على المشغل منع والحد من حادث كبير. تقرر سلطات التخطيط ما هو التطوير المقبول حول المخاطر المتبقية. تقدم HSE المشورة الفنية ضمن دورها القانوني، لكن سلطة التخطيط تتخذ قرار التخطيط. لا يمكن لمنطقة تشاور أوسع أو سياسة تطوير أكثر حذراً أن تعوض عن حماية غير موثوقة من التعبئة الزائدة. على العكس من ذلك، لا يمكن للثقة المثالية في ضمانات المصنع القضاء على المخاطر المتبقية من قرارات استخدام الأراضي.

بعد بانسفيلد، قدمت HSE مشورة منقحة لمواقع تخزين البنزين الكبيرة. يصف تعميم SPC/Tech/Gen/43 منطقة قرب التطوير وترتيبات تشاور منقحة للتطورات الجديدة حول المواقع المؤهلة. الصفحة لاحقة وتم تحديثها؛ لا ينبغي إسقاطها إلى الوراء كطريقة تخطيط لعام 2005. إنها تثبت شكل استجابة سياسية لاحقة للحدث.

يشرح وصف HSE الأوسع لدورها في تخطيط استخدام الأراضي مسافات التشاور ومشورة السلامة والتمييز بين الوقاية والتحكم والتخفيف. يسجل أيضًا أن الترتيبات حول مواقع تخزين البنزين الكبيرة تغيرت بعد بانسفيلد. تصف الصفحة الأدوار المؤسسية الحالية، وليس نتيجة أن طلب تخطيط تاريخي معين كان قانونيًا أو مهملاً.

توصية تشغيلية.يجب أن تشمل أدلة التخطيط سيناريوهات حوادث معقولة، وتوزيع السكان، والاستخدامات الضعيفة، وإشغال المباني، وقيود الإخلاء، والوصول إلى موارد الطوارئ، والتغيير التراكمي بمرور الوقت. يجب على المشغلين الحفاظ على تقديمات قابلة للدفاع تقنيًا؛ يجب على المنظمين شرح الافتراضات وعدم اليقين؛ يجب على سلطات التخطيط تسجيل كيفية الموازنة بين مشورة السلامة؛ ويجب أن تكون المجتمعات قادرة على فهم أساس المخاطر المتبقية للقرارات. الغرض ليس صفر قرب. إنها حوكمة التعرض الخاضعة للمساءلة.

دور HOSL كمشغل حمل واجبًا لا يمكن للعقود تصديره

نتيجة تحقيق.كانت HOSL هي المشغل لأغراض COMAH. كان لديها مجلس إدارة ولكن لا موظفين؛ قدم موظفو Total التشغيل اليومي والدعم الهندسي، بينما قام المقاولون بتوريد وصيانة الأنظمة الحيوية. وصف تقرير السبب الرسمي هذا الترتيب بأنه صعب. وجد أن مجلس إدارة HOSL اجتمع بشكل غير متكرر، ولم يدقق في تقرير السلامة بشكل كاف، ولم يفهم مسؤولياته بموجب COMAH. وجد أيضًا أن دعم المكتب الرئيسي وموارد الموقع كانت غير كافية في جوانب مهمة.

نص اللائحة 4 من COMAH في تاريخ الحدث فرض على المشغل واجب اتخاذ جميع التدابير اللازمة لمنع الحوادث الكبرى والحد من العواقب على الأشخاص والبيئة. كان الاسترجاع المباشر لهذا الحكم غير موثوق خلال هذه المراجعة، لذلك يعتمد المقال على الصياغة المنقولة في تقرير السبب الرسمي ويستخدم رابط التشريع للإسناد. تم استبدال لوائح 1999 منذ ذلك الحين؛ لا ينبغي استبدال القانون الحالي بالأداة التي أدينت بموجبها HOSL.

هذه حدود قانونية وتنظيمية. تسمية HOSL كمشغل لا تثبت أن HOSL وحدها ارتكبت كل فعل مهمل، أو وظفت كل شخص ذي صلة، أو تحملت كل خسارة مدنية. تحدد الكيان المسؤول عن وظيفة مشغل COMAH. على قدم المساواة، استخدام موظفي Total أو المقاولين المتخصصين لم يحل الواجبات التي تدين بها تلك الكيانات بموجب قوانين أخرى أو السلوك الذي تم تناوله لاحقًا في الإجراءات.

توصية تشغيلية.يجب أن يكون للمشغل القانوني قدرة حقيقية: قيادة كفؤة، وصول إلى بيانات التشغيل، سلطة على الميزانيات، خبرة هندسية، ضمان المقاول، سيطرة على الطوارئ، وتقرير سلامة دقيق. هيكل حوكمة وهمي يتلقى ملخصات لكنه لا يستطيع تحدي واقع المصنع ليس ملكية فعالة للمخاطر الكبرى. يجب على مجلس الإدارة مراجعة السيناريوهات العليا، وصحة الحاجز، والإجراءات المتأخرة، والتغييرات المهمة، والالتزامات التنظيمية، والأدلة على أن ممارسة الموقع تطابق تقرير السلامة بانتظام.

النتيجة القانونية محددة وعامة وأضيق من السجل السببي

نتيجة قانونية.يذكر تقرير سبب السلطة المختصة أن الإجراءات اختتمت في محكمة سانت ألبانز كراون كورت في 16 يوليو 2010. يسجل أن Total UK Limited أقرت بالذنب في جرائم تتعلق بسلامة الموظفين، وسلامة غير الموظفين، وتلوث المياه الخاضعة للرقابة؛ أُدينت HOSL بموجب اللائحة 4 من COMAH وأقرت بالذنب في جريمة تلوث المياه الخاضعة للرقابة؛ أقرت British Pipeline Agency بالذنب في جرائم COMAH والتلوث؛ وأُدينت شركتان هندسيتان بجرائم تتعلق بسلامة غير الموظفين. يسجل أيضًا غرامات فردية وأمرًا بالتكاليف.

تنص المادة 2 من قانون الصحة والسلامة في العمل إلخ على واجب صاحب العمل تجاه الموظفين، بما في ذلك المصنع وأنظمة العمل والمعلومات والتدريب والإشراف، بقدر ما هو معقول عمليًا. ملحق النتيجة الرسمي، وليس هذا النص القانوني العام وحده، يثبت إقرار Total بالذنب والعقوبة. لا ينبغي استخدام القانون للإشارة إلى إدانة شركة أو شخص غير مذكور في النتيجة المبلغ عنها.

تم حظر نص المادة 85 من قانون موارد المياه ذي الصلة بشكل متقطع بواسطة تحدٍ للنص البرمجي أثناء التحقق من الوصول. يعيد تقرير السبب الرسمي إنتاج مرجع الجريمة والنتائج. وفقًا لذلك، يبلغ هذا المقال عن الإقرارات بالذنب والغرامات من ذلك الملحق ولا يميز بشكل مستقل العناصر الدقيقة أو الدفاعات أو أسباب إصدار الحكم بما يتجاوز ما يثبته المصدر الرسمي.

تصف تأملات وكالة البيئة المؤسسية الأولى اللاحقة أعمال التحقيق والحضور في النطق بالحكم عام 2010. إنها شهادة قيمة عن التجربة المؤسسية، لكن الذكرى بعد عشرين عامًا ليست نص المحكمة. لا يعتمد المقال على ذكريات مقتبسة لتوسيع النتيجة القانونية.

الإجراءات الجنائية والمطالبات المدنية والدعم المجتمعي هي أشكال مختلفة من الانتصاف

تتعلق الملاحقة الجنائية بالجرائم الموجهة والإنفاذ العام. تتعلق التقاضي المدني بالحقوق الخاصة والواجبات والسببية والخسارة القابلة للاسترداد بين الأطراف. يعدل التأمين الخسارة بموجب شروط البوليصة. يمكن للصناديق المجتمعية تقديم دعم سريع دون تحديد الحق القانوني الكامل. تنسق برامج التعافي الحكومية والمحلية الخدمات العامة. قد تتعلق هذه الآليات بنفس الحدث، لكن الدفع بموجب إحداها لا يثبت المسؤولية بموجب أخرى.

كان رقم MIIB البالغ 625 مليون جنيه إسترليني تقديرًا لمطالبات التعويض التي تم تجميعها قبل اكتمال الإجراءات المدنية. تضمن مطالبات من شركات وأفراد وسلطات محلية. لا ينبغي وصفها بأنها جائزة تعويضات نهائية أو مبلغ إجمالي مدفوع أو اعتراف من كل مدعى عليه. وبالمثل، أبلغ فريق العمل المجتمعي لاستعادة عن منح ودعم، لكن تلك المدفوعات لم تنه بالضرورة التأمين أو المطالبات القانونية.

توصية بشأن المساءلة.يجب على التقارير العامة التوفيق، دون دمج، بين توصيات التحقيق، ونتائج الملاحقة القضائية، والوضع المدني، وإنفاق المعالجة، والدعم المجتمعي. يجب أن يحدد كل سطر الهيئة المسؤولة، والأساس القانوني، والفترة، وتعريف المبلغ، وما إذا كان الرقم مدعى به أو مأمورًا به أو مدفوعًا أو مقدرًا. لا ينبغي للأشخاص المتأثرين أن يستنتجوا حالة الانتصاف من رقم إجمالي واحد.

يجب تأريخ الاستجابة التنظيمية والمعيارية والتحقق منها

أبلغت الحكومة والسلطة المختصة عن برنامج مرحلي بعد توصيات MIIB. تضمنت الأولويات المساحة الرأسية للخزان، والإشراف على النقل، وسلطة إيقاف الموقع المتلقي، والقياس، والموظفين الأكفاء، والعزل، والتفتيش، والاختبار، والصيانة. كما حظي الاحتواء الثانوي والثالثي بالاهتمام. ذكر الرد أن بعض التوصيات تتطلب معايير أعلى بكثير مما كان سائدًا بشكل عام وستحتاج إلى تنفيذ مخطط له. هذا البيان مهم لأنه يمنع توقعات لاحقة من أن توصف بشكل خاطئ كممارسة عالمية قبل الحدث.

في عام 2013، وصف الدليل المكتوب لـ HSE إلى لجنة مجلس العموم السلطة المختصة المشتركة، والنظام القانوني للمخاطر الكبرى، والعمل بعد بانسفيلد الذي أنتج معايير أوضح لتخزين الوقود. هذا حساب سياسة رسمي. يدعم أن برنامج المعايير كان موجودًا؛ لا يثبت بشكل مستقل امتثال كل موقع أو أداء كل حاجز.

يبلغ محور HSE الحالي لبانسفيلد عن أكثر من 40 إصابة، وعدم وجود وفيات، وأضرار كبيرة خارج الموقع، والتحقيق المشترك، وإدانات خمس شركات بغرامات وتكاليف مجتمعة تقترب من 10 ملايين جنيه إسترليني. كما يحدد أرشيف التقرير والبحث. كخلاصة حالية، إنه مفيد للتوجيه وإسناد المصدر. تظل الادعاءات السببية والقانونية التفصيلية مرتبطة بالتقرير الأساسي وملحق النتائج.

حدود التحقق.يجب التعامل مع بيانات التنفيذ كادعاءات تتطلب دليلًا على مستوى الموقع. قول المشغل إنه اعتمد إرشادات PSLG ليس مثل اختبار إثبات ناجح، أو إغلاق موثوق، أو تقييم عدم النفاذية، أو إجراء تدقيق مغلق. تقرير المنظم عن تقدم القطاع ليس دليلاً على أن كل محطة ظلت ممتثلة بعد فترة التفتيش. يتدهور الضمان ما لم يستمر التفتيش والاختبار والصيانة والمراجعة الإدارية.

ما يجب أن يثبته نظام الحماية من التعبئة الزائدة القابل للتدقيق

يبدأ نظام الحماية من التعبئة الزائدة الخاضع للمساءلة بالسيناريو، وليس كتالوج الجهاز. لكل خزان ومادة، يجب على المشغل تحديد الحد الأقصى لمعدل التعبئة المعقول، والسعة القابلة للاستخدام، ومستوى التشغيل، ومستوى الإنذار، ومستوى الإغلاق، ووقت الاستجابة، ومسار التدفق الزائد، وإمكانات توليد البخار، والعواقب. يجب أن يأخذ السيناريو في الاعتبار التدفق الداخل والخارج المتزامن، وخطأ واجهة الدفعة، والطريق الخاطئ، والبيانات القديمة، وعبء عمل المشغل، والقيود عند المنبع.

يجب أن توفر طبقة التحكم التشغيلية معلومات دقيقة عن المستوى والتدفق، وكشف القيمة القديمة والمعقولية، وأولويات إنذار واضحة، وإجراءات استجابة متسقة، ووقت كافٍ للعمل. يجب أن تتمتع الطبقة المستقلة بسلامة مبررة وانفصال قابل للإثبات. يجب أن يوقف العنصر النهائي المصدر الفعلي للتدفق الوارد، وليس مجرد إصدار طلب. عندما يخلق الإغلاق المفاجئ خطرًا عند المنبع، يحتاج النظام الهندسي إلى تسلسل إغلاق آمن منسق بدلاً من سبب لترك الموقع المتلقي عاجزًا.

يجب أن يكون اختبار الإثبات قائمًا على المخاطر وكاملاً ومسجلاً. يجب أن تربط الصيانة التكرار. يجب أن تكون التحويلات مرئية ومحددة زمنيًا. يجب أن يغطي التحكم في التغيير استبدال المستشعر، والبرامج الثابتة، ونقاط الضبط، وخدمة الخزان، ومعدل خط الأنابيب، وشاشة غرفة التحكم، والموظفين، والإجراءات. يجب أن تشمل مراجعة الأداء الطلبات والإخفاقات، وليس فقط إكمال العمل المجدول.

حزمة الأدلة الحاسمة مضغوطة: مواصفات السبب والتأثير، وتقييم الاستقلالية، وأساس نقطة الضبط، وحساب وقت الاستجابة، وإجراء الاختبار، وآخر اختبار ناجح من طرف إلى طرف، وتاريخ العيوب، وحالة التحويل، وتمرين إيقاف النقل. إذا تعارضت هذه السجلات، لا ينبغي للمستند الأكثر ملاءمة أن يفوز. الصراع بذاته عيب يتطلب الحل.

ما يجب أن يثبته نظام الاحتواء القابل للتدقيق

بالنسبة للاحتواء الثانوي، يجب أن يكون المشغل قادرًا على إظهار الحجم الذي يحتفظ به الحوض بعد الإزاحة بواسطة الخزانات والمعدات، وكيف تؤثر الأمطار ومياه الإطفاء على السعة المتاحة، وكيف تظل الوصلات والاختراقات محكمة للسائل، وما هي المواد التي تتحمل الحرارة والمواد الكيميائية المعقولة، وكيف يتم إزالة السائل بأمان. يجب أن تعكس فترات التفتيش آليات التدهور. يجب أن يؤدي التسرب المعروف إلى تقييم هندسي، وليس رقعة متكررة دون تحليل السبب.

بالنسبة للاحتواء الثلاثي، يجب على المشغل إظهار نموذج التدفق السطحي والصرف، وسعة التخزين أو التحويل، ونقاط العزل، وتبعيات الطاقة، وعناصر التحكم المحمية، والمسارات خارج الموقع، والمستقبلات البيئية. يجب أن تكون الرسومات موثقة ميدانيًا وخاضعة للرقابة. يجب أن يكون لدى المستجيبين للطوارئ نسخ قابلة للاستخدام بعيدًا عن منطقة الخطر. يجب أن تأخذ استراتيجية مياه الإطفاء المخطط لها في الاعتبار عواقب الإطفاء، والحرق المتحكم فيه، والتبريد المطول دون السماح لحماية البيئة بالتعارض أعمى مع سلامة الأرواح.

يتطلب ضمان الاحتواء أيضًا أدلة تنظيمية. تحتاج مواصفات المقاول إلى نقاط توقف. تحتاج تغييرات البناء إلى موافقة فنية. يحتاج التشغيل إلى اختبارات تسرب. تحتاج تقارير السلامة إلى وصف الظروف الفعلية بعد البناء. تحتاج قرارات تمويل مجلس الإدارة إلى عكس نتيجة الإصلاحات المتأخرة. تحتاج عمليات تفتيش المنظمين إلى اختبار ميداني كافٍ لتحدي ادعاء الامتثال الورقي.

ما يجب أن تثبته حوكمة الطوارئ واستخدام الأراضي

يجب أن تُظهر حوكمة الطوارئ أدوار القيادة، والاتصالات القابلة للتشغيل البيني، وترتيبات التحذير، ووصول المستجيبين، ومواقع القيادة البديلة، وحماية الموارد الحيوية، وأخذ العينات البيئية، والمشورة الصحية العامة، وانتقال التعافي. يجب أن تحدد من يمتلك الاتصال بالأعمال والمجتمع بعد إطفاء الحريق. يجب أن تتضمن التمارين سيناريوهات شديدة تعطل موارد الموقع وتنتج عواقب كبيرة خارج الموقع.

يجب أن تُظهر حوكمة استخدام الأراضي مناطق التشاور الحالية، وبيانات السكان والإشغال، والتطورات الضعيفة، ومعلومات مخاطر المشغل، ومشورة HSE، ومنطق السلطة المحلية، والأثر التراكمي للتغيير. يجب أن تميز سجلات القرار بين التوصية والمتطلب الملزم وتذكر عندما لا يتم اتباع المشورة. المراجعة الدورية مهمة لأن المستودع وسعته الإنتاجية ومحيطه يمكن أن تتغير بجداول زمنية مختلفة.

يجب أن تلتقي أنظمة الحوكمة هذه في نقطة واحدة: التواصل حول المخاطر المتبقية. لا يحتاج الجمهور إلى وعد غير محدود بأن الحادث لا يمكن أن يحدث. يحتاج إلى حساب موثوق لما يتم منعه، وما يظل ممكنًا، وكيف ستعمل التحذيرات، وما الإجراء الذي يجب على الناس اتخاذه، وكيف ستدعم السلطات التعافي. تعتمد الشرعية المؤسسية على الصراحة بشأن عدم اليقين بقدر ما تعتمد على الثقة في الضوابط.

نصيحة حسب مالك التحكم

لمجلس إدارة HOSL أو أي مشغل قانوني:امتلك سيناريوهات الحوادث الكبرى، وليس فقط تقديم تقرير السلامة. طالب بالأدلة على أن الممارسة تطابق المستند. قم بتمويل الموظفين، وتجديد الأجهزة، وإصلاح الاحتواء، وضوابط المرحلة الثالثة قبل أن يحول الضغط التجاري التشغيل المتدهور إلى تشغيل عادي. سجل لماذا يظل العمل المؤجل مقبولًا ومن يمكنه إيقافه.

لعمليات الموقع:ابدأ كل عملية نقل بطريق مؤكد وسعة وخطة إيقاف. توقف أو انتقل إلى وضع متدهور محدد رسميًا عند فقدان البيانات الحيوية. تعامل مع الإنذارات المتكررة وإعادة ضبط المقياس والحلول البديلة كدليل. اجعل تسليم المهام طويلاً بما فيه الكفاية، ومنظمًا بما فيه الكفاية، ومدفوعًا بما فيه الكفاية لنقل المعلومات الحرجة للمخاطر.

للهندسة والصيانة:حدد وظيفة السلامة واختبرها من طرف إلى طرف. قم بتجميع الفاعلين السيئين. حافظ على التكوين وحالة ما بعد الاختبار. لا تقبل حضور المقاول كدليل على إزالة العيب. راجع التبعيات المشتركة وتغييرات قطع الغيار وأنماط الفشل الخفية.

للمصممين والموردين والمقاولين:قم بتوصيل الافتراضات الحرجة للسلامة من خلال الرسومات والأدلة والملصقات التي تظل خاضعة للرقابة خارج الصورة العامة المرئية والتدريب واختبارات القبول. قم بإزالة أوضاع الاختبار الخطيرة حيثما كان ذلك عمليًا. اذكر القيود. قم بتصعيد مكالمات الخدمة المتكررة التي تشير إلى فشل منهجي بدلاً من استعادة الأعراض بشكل متكرر.

لشركاء خطوط الأنابيب:امنح الموقع المتلقي بيانات التدفق والحالة في الوقت المناسب ووسيلة فورية ومختبرة لإيقاف أو جدولة الإغلاق بأمان. قم بمواءمة القواعد التجارية مع سلطة السلامة. لا ينبغي أبدًا لتوقع العقوبة أن يثبط الإيقاف في حالات الطوارئ.

للسلطة المختصة:افحص فعالية الحاجز، وليس مجرد وجود المستند. ادرس تواريخ العيوب، وشاهد اختبارات الإثبات، وامشِ في الاحتواء، وقارن الصرف بعد البناء، وتحقق من إغلاق الإجراءات. حافظ على التمييز بين نتائج الإنفاذ والتوجيه وتقارير التنفيذ.

لسلطات الطوارئ والتعافي:مارس فقدان موارد الموقع والاستجابة البيئية المطولة. حافظ على منطق التحذير والمأوى والإخلاء. بناء هيكل تعافي يمكنه رؤية الموظفين وعمال الوكالات والعاملين لحسابهم الخاص والمقيمين والمجموعات الأخرى التي قد لا تظهر في أول إحصاء للضرر.

للمخططين والمنظمات المجاورة:تعامل مع المخاطر المتبقية كشيء ديناميكي. راجع التغييرات في السعة والإشغال المحيط والقابلية للتأثر. استخدم تخطيط الاستمرارية لتقليل الاضطراب، مع توضيح أن الاستمرارية ليست بديلاً عن واجبات المشغل في الوقاية والاحتواء.

عدم اليقين المتبقي

السجل الرسمي قوي فيما يتعلق بتسلسل التعبئة الزائدة، وأعطال المقياس والمفتاح، ونقاط ضعف نظام الإدارة، وعيوب الاحتواء، ونطاق الاستجابة، ونتائج المحكمة المبلغ عنها. تظل حدود مهمة.

استمرت دراسة الآليات الفيزيائية الدقيقة التي أنتجت أشد ضغوط الانفجار بعد تقرير MIIB. تدعم التجارب اللاحقة تفسيرات محددة للاشتعال وتسارع اللهب، لكن يجب أن تظل منسوبة إلى مؤلفيها وتواريخها. هذا عدم اليقين لا يغير فقدان الاحتواء الأولي الثابت.

تختلف أرقام الإصابات والخسائر التجارية والتعويضات والتكاليف الإجمالية حسب النطاق والتاريخ. يستخدم هذا المقال فئات MIIB ويصنفها كتقديرات. لا يحدد المدعين الخاصين أو التواريخ الطبية أو تسويات التأمين أو الجوائز المدنية غير المثبتة في المصادر العامة.

الشرط الحالي لكل محطة معاد بناؤها أو مماثلة خارج هذا السجل. تظهر تصريحات الحكومة والمنظمين والصناعة برنامجًا كبيرًا للمعايير والإشراف، لكنها ليست دليلًا دائمًا على فعالية التحكم. سيتطلب الضمان الخاص بالموقع الحالي سجلات تفتيش واختبار وصيانة وإنفاذ حديثة.

توجه العديد من الوثائق الرسمية القديمة الآن عبر أنظمة أرشيفية لم تُعد نصوصًا مقروءة في فحص الوصول. تم الاحتفاظ بتلك الروابط لأن محور HSE الحالي يعرفها كأرشيف التقرير والبحث الرسمي. يتم التعامل مع المحتوى غير القابل للوصول كحد للأدلة، وليس كتفويض لاستنتاج وصول خاص أو نتائج غير مرئية.

الاستنتاج

جعل بانسفيلد المساءلة مرئية كسلسلة من الأدلة المادية والمؤسسية. كان على مقياس الخزان أن يقيس. كان على المفتاح المستقل أن يفصل بعد اختبار حقيقي ويظل مسلحًا. كان على الموقع المتلقي أن يعرف التدفق الوارد وأن يكون قادرًا على إيقافه. كان على العيوب المتكررة أن تصبح معرفة إدارية. كان على الأحواض أن تحتفظ بالسائل تحت الحريق، وليس فقط أن تحيط بالخزانات. كان على الصرف أن يوجه الجريان السطحي غير العادي وكذلك المطر العادي. كان على خطط الطوارئ أن تنجو من فقدان موارد الموقع. كان على التخطيط أن يحكم التعرض المتبقي خارج الموقع. كان على مجالس الإدارة والمنظمين التحقق من أن الأنظمة المكتوبة تصف الواقع العملي.

يظهر الحدث أيضًا لماذا لا ينبغي تبسيط المساءلة إلى مكون مكسور واحد أو تسمية قانونية واحدة. شغل واجب مشغل HOSL، ودور Total اليومي، وسلوك المورد والصيانة، وواجهات خطوط الأنابيب، والإشراف التنظيمي، والاستجابة للطوارئ، وقرارات استخدام الأراضي حدود سيطرة مختلفة. ثم أجابت نتائج التحقيق والإدانات والمطالبات والمعالجة والتوصيات على أسئلة مختلفة.

المعيار العملي لذلك ليس أن المنظمة يمكنها تسمية ضماناتها. إنه أن كل مالك تحكم يمكنه إظهار الدليل الحالي على الوظيفة والاستقلالية والطلب والاستجابة للعيوب والتعافي. عندما يكون هذا الدليل مفقودًا أو متناقضًا أو غير قابل للوصول، فإن الغياب ليس طمأنينة. إنها حالة يجب حلها قبل أن تبدأ عملية النقل التالية.