I serbatoi atmosferici sembrano apparecchiature semplici, eppure sono teatro di incidenti gravi. La deviazione chiave è «più livello», cioè il troppo pieno. Le cause tipiche sono un trasferimento che non si ferma, un errore nella scelta del serbatoio di destinazione, l'indicatore di livello bloccato su un valore fisso, un ricevimento da oleodotto o da nave con portata superiore al previsto. La conseguenza dipende dal prodotto: con un liquido infiammabile volatile, il trabocco dagli sfiati crea una nube di vapori che può estendersi per centinaia di metri.
È quanto avvenne a Buncefield, vicino a Londra, l'11 dicembre 2005. Un serbatoio di benzina continuò a riempirsi perché l'indicatore di livello si era bloccato e l'interruttore indipendente di altissimo livello non era operativo. La benzina traboccò per un tempo prolungato, formò una vasta nube di vapori e la successiva esplosione distrusse il deposito e danneggiò edifici vicini. Le indagini evidenziarono anche carenze nella tenuta dei bacini di contenimento.
Le lezioni sono generali: serve un allarme di alto livello separato dalla misura usata per il controllo, un blocco di altissimo livello indipendente che fermi il riempimento, prove periodiche reali di questi dispositivi e non solo verifiche sulla carta, bacini di contenimento a tenuta anche in caso di incendio. Nell'HAZOP del serbatoio vanno analizzate anche le deviazioni «meno pressione», con il rischio di implosione durante lo svuotamento se lo sfiato è ostruito, e «più pressione» durante il riempimento rapido.