DuPont La Porte convirtió la detección de liberaciones tóxicas y la seguridad de procesos en una prueba de rendición de cuentas industrial

Resumen

• El 15 de noviembre de 2014, aproximadamente 24,000 libras de metil mercaptano escaparon dentro y alrededor de la unidad de insecticida Lannate en la instalación de DuPont en La Porte, Texas. Tres operadores y un supervisor de turno murieron dentro del edificio de fabricación. La Junta de Seguridad Química concluyó que el diseño de ingeniería defectuoso y las salvaguardas inadecuadas causaron la liberación, mientras que las fallas en el análisis de peligros, control de cambios, práctica operativa, ventilación, detección, comunicación y respuesta a emergencias hicieron que el evento fuera más grave.
• La cadena física era comprensible antes del desastre. El clima frío y el agua en el sistema de alimentación podían crear un hidrato sólido de metil mercaptano. Los registros de DuPont habían reconocido esa posibilidad años antes, pero el sitio carecía de trazado térmico y un procedimiento seguro de eliminación de hidratos. Durante la solución de problemas, los trabajadores calentaron la línea y la conectaron a un cabezal de residuos de vapor. Cuando se despejó el bloqueo, el metil mercaptano líquido entró en la tubería del cabezal que tenía puntos bajos, sin equipo seguro de eliminación de líquidos y válvulas de drenaje que se abrían dentro de un edificio mal ventilado.
• La información de advertencia existía pero no se convirtió en acción protectora. Se produjeron treinta y dos alarmas de gas durante las 17 horas anteriores. Los trabajadores de campo no tenían alarma automática audible o visible en el edificio y no usaban de rutina detectores personales de metil mercaptano. El operador de la sala de control interpretó los eventos de presión como un problema familiar de condensado. Ambos ventiladores principales de ventilación no estaban disponibles, pero no se restringió el acceso. La liberación continuó durante unos 40 minutos antes de que se comprendiera su magnitud y durante más de seis horas adicionales antes de que se completara el aislamiento.
• La rendición de cuentas llegó a través de diferentes instituciones y no debe colapsarse en un solo veredicto. La CSB hizo hallazgos de investigación no vinculantes. OSHA emitió y luego resolvió citaciones laborales. La EPA y el Departamento de Justicia resolvieron alegaciones civiles del Programa de Gestión de Riesgos. Una acusación posterior presentó alegatos penales; en 2023, DuPont y el líder de operaciones de la unidad se declararon culpables de negligencia criminal, lo que resultó en una multa para la empresa, un pago de servicio comunitario y libertad condicional. Acuerdos ambientales separados abordaron problemas más amplios de residuos, agua y aire en el antiguo sitio.
• Cerrar la operación de insecticida eliminó la configuración exacta pero no demostró por sí mismo una reparación en toda la empresa. La evidencia duradera mostraría que las instalaciones comparables de DuPont o sucesoras revalidaron los escenarios de liberación tóxica, instalaron drenajes y aislamientos inherentemente más seguros, hicieron que las alarmas fueran accionables en el campo, asignaron respaldos de emergencia en cada turno, probaron el equipo de respuesta, verificaron de forma independiente el cierre de acciones correctivas y permitieron que el desafío de la fuerza laboral anulara la presión de producción o reinicio.

Una perturbación del proceso se convirtió en una liberación letal porque las barreras ya faltaban

El registro forense central es el informe final de investigación de la CSB. Describe una liberación de aproximadamente 24,000 libras de metil mercaptano, un químico altamente tóxico e inflamable utilizado en el proceso del insecticida Lannate. La mayor parte del material entró en un edificio de fabricación de cuatro pisos. Los cuatro trabajadores murieron por una combinación de asfixia y exposición aguda por inhalación. Otros dos operadores que entraron sobrevivieron. La conclusión causal del informe es directa: el diseño de ingeniería defectuoso y las salvaguardas inadecuadas causaron la liberación;

múltiples deficiencias en la gestión de la seguridad contribuyeron a sus consecuencias.

Esa conclusión es una investigación federal de seguridad, no un juicio penal. La CSB no emite multas, decide daños civiles ni determina la culpabilidad. Su valor es diferente. Reconstruye equipos, alarmas, datos de procesos, registros operativos, entrevistas y acciones de emergencia para explicar por qué la contención física y la respuesta organizacional fallaron juntas. Por lo tanto, sus hallazgos deben informarse como hallazgos de la CSB, mientras que las disposiciones posteriores de OSHA, los acuerdos civiles, las alegaciones y las admisiones penales conservan su propio estatus legal.

El evento no comenzó con una ruptura espontánea del recipiente. El agua entró en la tubería de alimentación de metil mercaptano y, durante el clima frío, se formó un hidrato de clatrato sólido similar al hielo. Las temperaturas durante el período anterior eran lo suficientemente bajas para ese mecanismo. La norma técnica de DuPont para metil mercaptano y el trabajo previo de peligros del proceso habían reconocido que el agua y el metil mercaptano podían formar un tapón. Sin embargo, el sitio no tenía trazado térmico para prevenir la formación ni un procedimiento definido para disociar de manera segura un tapón después de formarse.

El personal de operaciones aplicó agua caliente al exterior de la tubería aislada. Debido a que calentar el material atrapado aumentaría la presión, un equipo técnico ideó una ruta hacia el cabezal de venteo de gases residuales que conducía al incinerador de reducción de óxido de nitrógeno. Se abrieron válvulas entre el sistema de alimentación líquida y ese cabezal de vapor para poder observar y aliviar la presión. El arreglo fue tratado como solución de problemas, pero cambió lo que el cabezal de residuos podía recibir. Cuando el hidrato se derritió, el cabezal se convirtió en un camino para el metil mercaptano líquido.

El cabezal ya era una barrera débil. Instalado en 2011, tenía puntos bajos en los que se acumulaban líquidos y no tenía un tambor de eliminación u otra forma equivalente de separarlos y eliminarlos de manera segura. Los eventos de alta presión se habían vuelto comunes. La respuesta de la gerencia fue indicar a los operadores que abrieran válvulas de drenaje manuales a la atmósfera dentro del edificio y dirigieran el líquido hacia los desagües del piso, en un momento usando una manguera debajo de una ducha de seguridad en funcionamiento. El sitio no había muestreado el líquido drenado rutinariamente para establecer su contenido.

Una solución alternativa para un problema de diseño no resuelto se había convertido en un trabajo normal.

El comunicado del informe final de la CSB resumió la consecuencia: el metil mercaptano escapó a través de dos válvulas en un edificio mal ventilado después de que los trabajadores abordaran lo que parecía un problema de presión rutinario. Este encuadre es importante. Los operadores no se encontraron con una lección de química imprevisible. Entraron en un sistema en el que se había permitido que se cruzaran un peligro de tapón conocido, una alineación temporal, un cabezal de vapor inadecuado y un drenaje atmosférico.

El análisis de peligros del proceso reconoció el tapón pero subestimó sus consecuencias

El análisis de peligros del proceso (PHA, por sus siglas en inglés) está diseñado para desarrollar un escenario creíble desde el evento iniciador hasta la consecuencia, probar salvaguardas y forzar la acción cuando el riesgo es inaceptable. El PHA de DuPont de 2011 incluyó un escenario en el que el reflujo de agua podría crear un hidrato de metil mercaptano en la línea de alimentación. El equipo identificó el calentamiento externo como una forma de disociarlo. Pero no desarrolló completamente los peligros creados cuando se calentó el tapón, incluido hacia dónde viajarían el líquido y el vapor liberados o cómo se protegerían los trabajadores.

La clasificación de riesgo fue decisiva. El PHA asignó al escenario del hidrato una categoría de consecuencia baja correspondiente a ninguna lesión significativa o impacto en la salud. Con esa clasificación, la frecuencia no podía forzar la mitigación según la matriz del sitio. Por lo tanto, el análisis registró el precursor sin tratar una liberación tóxica potencialmente letal como su consecuencia. Un registro de peligros puede parecer completo mientras falla en el punto exacto que importa: traducir una desviación conocida en una vía de exposición realista.

La lección de control no es simplemente "realizar un PHA mejor". Una revisión creíble habría rastreado la entrada de agua, la temperatura ambiente, la formación de hidratos, el calentamiento externo, la expansión térmica, la alineación temporal de válvulas, la migración de líquido a un sistema de vapor, los puntos bajos del cabezal, los drenajes abiertos, la ventilación del edificio y la entrada de trabajadores. Cada eslabón era conocible. El equipo también debería haber cuestionado la suposición de que una salvaguarda permanecía independiente.

Un drenaje operado por trabajadores dentro de la zona de peligro no puede acreditarse como un sistema de recuperación cerrado aislado remotamente.

La clasificación correcta de las consecuencias debería haber provocado cambios físicos. El trazado térmico podría haber reducido la formación de hidratos. Un drenaje cerrado o un recipiente de eliminación podría haber evitado la descarga atmosférica dentro del edificio. El aislamiento remoto o automático podría haber detenido el flujo de inventario. Una conexión de solución de problemas diseñada podría haber dirigido el material a la contención. La detección fija con alarmas locales e interbloqueos de ventilación podría haber advertido o bloqueado la entrada.

Los requisitos respiratorios podrían haber servido como una capa final, no como la respuesta principal a una contención defectuosa.

El caso también demuestra por qué un PHA debe cubrir modos no rutinarios. Los dibujos de producción normales no describían por sí mismos la alineación de válvulas utilizada para limpiar el tapón. El equipo que realizó la solución de problemas no realizó una revisión de gestión de cambios antes de enrutar la línea de alimentación al cabezal de residuos. La CSB encontró que una gestión de cambios efectiva habría verificado la base de diseño del cabezal y reconocido que la tubería destinada a vapor no era compatible con una gran afluencia de metil mercaptano líquido.

El volumen de alarmas no era lo mismo que la calidad de advertencia

Durante las 17 horas anteriores a la liberación fatal, la actividad de solución de problemas produjo 32 alarmas de gas metil mercaptano en el panel de control. Algunos asociaron las alarmas y el olor con el trabajo en curso en lugar de una emergencia creciente. La exposición frecuente a olor de bajo nivel y la activación repetida del detector habían normalizado ambas señales. Los trabajadores del edificio no recibieron un mensaje local automático que les indicara que existía una atmósfera letal.

El sistema detector usaba sensores de sulfuro de hidrógeno como proxy para el metil mercaptano y alarmaba a una concentración equivalente de 25 partes por millón. Las señales aparecían en un panel de control con personal continuo. Sin embargo, el personal de campo no tenía alarma automática audible o visible de metil mercaptano en el edificio o en sus inmediaciones. Se esperaba que la comunicación verbal cerrara la brecha. Los detectores personales de metil mercaptano estaban disponibles en el sitio pero no se habían emitido para uso rutinario en el campo.

El olor era especialmente engañoso. El metil mercaptano puede olerse a concentraciones extremadamente bajas, muy por debajo del límite máximo de OSHA, por lo que un olor no demuestra por sí mismo que exista una dosis peligrosa. En el otro extremo, la fatiga olfativa puede hacer que una persona deje de percibirlo. La capacitación supuestamente aconsejaba a los trabajadores no confiar en el olfato y usar equipo de respiración autónomo al responder a una alarma. Sin embargo, la práctica operativa permitió que el olor y las alarmas recurrentes se convirtieran en condiciones de fondo.

Las indicaciones de alta presión también competían por la atención. Cuando el hidrato se despejó alrededor de las 3 a.m., el líquido entró en el cabezal y las presiones del equipo del proceso aumentaron. El operador del tablero creía que estaba viendo la acumulación familiar de principalmente agua en el cabezal y se centró en evitar la sobrepresión del equipo. No conectó la tendencia de presión con la operación de limpieza del tapón ni reconoció las alarmas de gas como evidencia de una liberación grande. La información del proceso existía, pero la interfaz no convirtió las anomalías interactivas en un evento inteligible.

OSHA posteriormente preservó un registro legal específico sobre el rendimiento de las advertencias. Su detalle de citación por sistema de alarma final indica que el sistema de alarma para empleados no proporcionó suficiente tiempo de advertencia para que los trabajadores escaparan del edificio Lannate/API. La citación alcanzó una orden final mediante acuerdo formal en junio de 2017. Esto es más estrecho que el análisis sistémico de la CSB, pero legalmente más específico: el registro laboral resuelto identificó la falla del sistema de advertencia para empleados en sí.

Un diseño de control moderno haría que la detección tóxica fuera local y gradual. Las alarmas deberían sonar y parpadear donde pueda ocurrir la exposición, identificar la zona afectada, activar restricciones de entrada y llegar al comandante del incidente. La racionalización de alarmas debería distinguir una prueba de bajo nivel esperada de detecciones anormales repetidas durante la solución de problemas. Las tendencias deberían correlacionar la concentración de gas, el flujo del tanque de alimentación, la presión del cabezal, el estado de la ventilación y la posición de la válvula.

Las alarmas repetidas deberían aumentar el nivel de respuesta en lugar de volverse más fáciles de descartar.

La ventilación rota eliminó una capa de mitigación importante

El edificio de fabricación albergaba equipos que podían liberar químicos altamente tóxicos. Su ventilación, por lo tanto, importaba tanto para la higiene industrial rutinaria como para la concentración producida por una fuga. En el momento del incidente, ni el ventilador de la sección húmeda ni el de la sección seca funcionaban. El procedimiento del sitio contemplaba restringir el acceso cuando un ventilador no estuviera disponible, pero la práctica de acceso real no cambió.

Auditorías anteriores habían expuesto incertidumbre sobre si el sistema de ventilación podía cumplir su objetivo de diseño. La CSB encontró ejemplos en los que las acciones correctivas se cerraron después de un plan o comunicación, en lugar de después de que se demostrara que la condición subyacente estaba corregida. Esta es una distinción crítica en trabajos de alto peligro. "Acción completada" puede significar que se envió un correo electrónico, se creó una orden de trabajo o un gerente aceptó un plan futuro. Ninguno demuestra cambios de aire, rendimiento de captura o concentración segura durante una liberación creíble.

El registro de cierre adecuado habría requerido datos de prueba. Debería mostrar disponibilidad del ventilador, flujo de aire en puntos definidos, dilución esperada para escenarios de liberación, función de alarma e interbloqueo, lógica de entrada restringida, autorización de mantenimiento diferido y protección respiratoria compensatoria. Si un edificio depende de ventilación activa, la pérdida de ese sistema debería ser visible para cada persona que pueda ingresar, y la entrada debería bloquearse física o procedimentalmente hasta que una revisión de riesgos autorizada establezca condiciones seguras.

La primera acción pública de OSHA describió el problema en términos directos. El comunicado de mayo de 2015 del Departamento de Trabajo anunció 11 presuntas violaciones y $99,000 en multas propuestas, incluida una alegación repetida relacionada con la capacitación sobre ventilación y respuesta cuando los ventiladores se detenían. Esas eran citaciones propuestas en el momento de la publicación, no la configuración final eventual.

El registro de inspección de OSHA posterior proporciona el límite de la disposición. Muestra el caso cerrado en 2017 con diez violaciones actuales y $106,375 en multas actuales después del acuerdo formal; un artículo de otra índole fue desestimado, y la mezcla actual difería del anuncio inicial. El registro incluye artículos resueltos relacionados con procedimientos, integridad mecánica, gestión de cambios, alarmas, exposición y capacitación. Informar la base de datos final evita que una cifra de prensa inicial se confunda con la orden final.

Existían procedimientos, pero la operación anormal se les escapó

DuPont tenía requisitos corporativos para la apertura de líneas, gestión de cambios, materiales altamente tóxicos y respuesta a emergencias. La falla de rendición de cuentas no fue una ausencia total de reglas. Fue la brecha entre las reglas y el trabajo realmente realizado. La práctica de drenaje del cabezal no fue tratada con el rigor que contemplaba el estándar de apertura de líneas de la compañía. Ningún plan de trabajo escrito específico abordó el contenido tóxico, el aislamiento, el equipo de protección y los pasos para drenar durante esta condición anormal.

El equipo del día dejó instrucciones escritas para el próximo turno, pero la transferencia no comunicó adecuadamente cómo la configuración de limpieza del hidrato alteró el contenido y los peligros del cabezal. El registro penal posterior se centró en parte en la falta de proporcionar instrucciones suficientes y en prevenir un drenaje inseguro. Un operador entrante entendió el cabezal a través de su historial operativo normal: el líquido acumulado generalmente se trataba como condensado. Ese modelo mental fue fatalmente incorrecto una vez que se despejó el tapón.

El trabajo seguro requiere un límite positivo alrededor de las excepciones. Una alineación temporal de válvulas debe tener un propietario, hora de inicio y vencimiento, dibujo marcado, verificación independiente y transferencia obligatoria. Un turno no debe aceptar responsabilidad por un bloqueo de material tóxico no resuelto sin un plan de operación anormal por escrito. Abrir tuberías de proceso debe requerir verificación de aislamiento, presión y composición, destino de contención, EPP, una persona de respaldo, monitoreo de gas y autorización por alguien independiente del objetivo de producción.

La solución de problemas también necesita criterios de parada. El olor, las alarmas de gas repetidas, la ventilación no disponible y la composición incierta del cabezal deberían haber forzado una escalada. Juntos deberían haber finalizado la intervención rutinaria. Si la organización permite que cada desviación se considere por separado, el trabajador en la válvula se convierte en la última persona que se espera que ensamble una imagen de riesgo a nivel de sistema que la ingeniería y la gerencia no ensamblaron antes.

La lección de transferencia se extiende más allá de las plantas químicas. Los proveedores pequeños, contratistas y negocios inquilinos vecinos dependen de los servicios públicos, sistemas de emergencia y comunicación de peligros del sitio anfitrión. El trabajo no rutinario puede alterar la infraestructura compartida de residuos, venteo o respuesta. Por lo tanto, una transferencia controlada debe llegar a cada operador posterior e inquilino cuyas suposiciones hayan cambiado, no solo al equipo entrante en la unidad de origen.

La dotación de personal falló por concentración de roles y falta de respaldo, no por una narrativa comprobada de fatiga

El registro respalda una crítica de dotación de personal, pero no justifica la especulación de que la fatiga causó el evento. El informe de la CSB no identificó un hallazgo de horas de trabajo o sueño como conclusión causal. La evidencia muestra que el conocimiento crítico y los deberes se concentraron en personas que quedaron no disponibles, mientras que el operador restante estaba sobrecargado. La rendición de cuentas requiere preservar esa distinción.

El supervisor de turno normalmente servía como coordinador del proceso durante una emergencia. Ese rol debía identificar la fuente y el tamaño de una liberación, asesorar al comandante del incidente, decidir sobre la evacuación de la unidad y el monitoreo fuera del sitio, y proporcionar conocimiento técnico específico de la unidad. El supervisor estaba entre los afectados. Aunque el plan nombraba respaldos primarios y secundarios, eran empleados diurnos y no estaban en el sitio durante las noches y los fines de semana. No había respaldo en el sitio para llenar el rol.

El operador del tablero podía ver datos del proceso que eventualmente demostraron un flujo anormal desde el tanque de almacenamiento de metil mercaptano. Pero fue constantemente apartado para comunicarse con los respondedores, responder a solicitudes e incluso dibujar mapas del edificio. Ningún ingeniero o especialista técnico estaba presente para analizar el proceso de forma independiente durante la respuesta inicial. El personal técnico de guardia no fue incorporado al problema lo suficientemente pronto.

La bomba del tanque de almacenamiento no se detuvo hasta aproximadamente tres horas después de que comenzara la liberación, y la válvula de aislamiento de emergencia no se cerró hasta aproximadamente siete horas después de que comenzara.

Este es un problema de diseño de resiliencia. Un rol de emergencia crítico para la seguridad necesita un respaldo calificado físicamente disponible o inmediatamente localizable para cada período operativo. El operador de la sala de control necesita protección de las tareas de coordinación cuando el diagnóstico continuo del proceso es esencial. El soporte técnico remoto necesita acceso seguro a tendencias, dibujos y estado de válvulas. La garantía de dotación de personal debe probar noches, fines de semana y bajas simultáneas, no solo el organigrama normal del día.

La fatiga sigue siendo un riesgo general legítimo en el trabajo por turnos, pero no debe insertarse en este caso sin evidencia. Una empresa responsable aún preservaría los horarios, las horas extra, las llamadas y los registros de aptitud para el trabajo para que los investigadores pudieran probar el problema. La ausencia de un hallazgo de fatiga publicado no significa que la programación fuera ideal; significa que este artículo no afirma la fatiga como causa.

La primera respuesta de rescate expuso a más personas al mismo peligro

Cuando un trabajador hizo una llamada de auxilio, los colegas entraron al edificio para ayudar. No tenían una alarma automática del edificio que les indicara que se estaba produciendo una gran liberación tóxica. Dos rescatistas fueron afectados y murieron; otros dos escaparon. Un trabajador recuperó equipo de respiración e intentó ayudar a su hermano, pero fue afectado antes de conectar su propia máscara a su suministro de SCBA. Esto no fue falta de coraje. Fue un sistema que permitió una respuesta de rescate instintiva antes de que se establecieran la atmósfera y los controles de entrada.

El sitio compartía un equipo de respuesta a emergencias entre DuPont y las empresas inquilinas. La llamada inicial pidió “personas de rescate” y dijo que los trabajadores estaban desaparecidos. Los miembros del equipo interpretaron eso como rescate técnico y trajeron cuerdas y arneses en lugar de EPP para liberación química. Cuando se dieron cuenta de que había gas tóxico, una mini bomba que llevaba SCBA y radios no arrancó. Los primeros respondedores carecían de monitoreo de aire inmediato, y el límite de la zona caliente no estaba claramente marcado ni controlado.

La ausencia del coordinador del proceso agravó todos los problemas. Los respondedores inicialmente no tenían un experto que pudiera explicar la unidad, identificar el químico y dirigir el aislamiento. Una llamada al 9-1-1 comunicó que cuatro personas estaban desaparecidas pero no proporcionó el peligro químico. La primera entrada del ERT comenzó aproximadamente 35 minutos después de que se solicitara asistencia. Un simulacro anterior había recomendado que los respondedores recibieran planos del sitio;

la acción no fue asignada ni rastreada hasta su finalización, por lo que no se disponía de un plano utilizable del edificio durante la búsqueda.

La CSB emitió recomendaciones provisionales antes de su informe final. Exigían un plan integrado de acción correctiva y reinicio, participación de la fuerza laboral, divulgación pública y un programa actualizado de respuesta a emergencias multinstitucional. Los elementos de respuesta incluían especialistas técnicos de respaldo, protocolos de alerta claros, mantenimiento de vehículos, monitoreo atmosférico, mapas de edificios, simulacros, análisis de datos del proceso, control de zona caliente, orientación de advertencia pública y monitoreo en el límite de la propiedad.

Estos son controles de continuidad. Un sistema de comando de incidentes debe poder operar después de que el supervisor de la unidad se convierta en víctima. Los vehículos de respuesta y los monitores deben tener verificaciones de preparación documentadas. Los mapas deben existir antes de una emergencia. Los equipos de rescate deben entrenar en la estructura real y con colegas de empresas inquilinas. Una llamada de auxilio tóxica debe activar por defecto la protección de atmósfera peligrosa cuando la sustancia y la concentración son inciertas.

La decisión de advertencia a la comunidad se basó en información incompleta

Se reportó olor a metil mercaptano más allá del sitio, y el registro penal posterior dijo que el material viajó viento abajo hacia Deer Park y más allá. Sin embargo, la CSB no pudo determinar la concentración exacta fuera del sitio ni el riesgo para la salud, si lo hubo, porque el monitoreo de aire contemporáneo no lo estableció. No se reportaron lesiones fuera del sitio en el registro provisional de la CSB. Esas dos declaraciones van juntas: un olor fuerte y el movimiento de la pluma no prueban una dosis tóxica particular, mientras que la ausencia de medición impide una tranquilidad segura.

Algún personal de respuesta creía incorrectamente que el metil mercaptano era más ligero que el aire, aunque la propia información técnica de DuPont lo describía como más pesado que el aire. El ERT no usó datos fijos del detector del edificio para evaluar la migración fuera del sitio. El modelado de la liberación se basó en una cantidad pequeña supuesta basada en descripciones verbales en lugar del flujo real de inventario. El comando del incidente no indicó a los residentes circundantes que tomaran medidas de protección.

La buena divulgación comunitaria comienza con desencadenantes conservadores. Si se desconoce la tasa de liberación, los respondedores deben establecer una zona de protección inicial utilizando información creíble del peor caso, notificar a las autoridades públicas y reducir la zona solo a medida que mejoren los datos confiables. Los instrumentos fijos en el límite de la propiedad pueden proporcionar evidencia continua; los equipos móviles capacitados con EPP apropiado pueden complementarlos. Los modelos deben mostrar sus supuestos e incertidumbre, no convertir una entrada no respaldada en precisión aparente.

La continuidad del sector público también depende de las interfaces de información. La planta, los respondedores del condado de Harris, los planificadores de emergencias locales y las instalaciones vecinas necesitan una identidad química compartida, estimación de liberación, información del viento, recomendación de acción protectora y cadencia de actualización. Una comunidad no debería tener que interpretar informes de olor o redes sociales mientras el comando del incidente aún decide si la pluma existe.

La CSB encontró una brecha en la cultura de seguridad de procesos detrás de las deficiencias individuales

DuPont tenía un marco corporativo sofisticado de gestión de seguridad de procesos y comercializaba experiencia en seguridad. Sin embargo, la CSB encontró que La Porte no implementó efectivamente el sistema y no había evaluado formalmente su cultura de seguridad de procesos antes del evento. Este es un problema de legitimidad institucional: un marco reconocido puede crear confianza sin establecer si el sitio de trabajo realmente honra sus requisitos.

El informe distinguió el rendimiento de seguridad personal de la seguridad de procesos. Las tasas de lesiones pueden mejorar mientras los sistemas de contención, alarma, aislamiento y emergencia se deterioran. Los arreglos de incentivos centrados en medidas de lesiones personales incluso pueden desalentar la notificación si los trabajadores creen que un evento registrable afectará la compensación del equipo.

El remedio no es abandonar la prevención de lesiones, sino dar a los indicadores principales del proceso un peso independiente: mantenimiento crítico vencido, frecuencia de alarmas, cambios operativos temporales, fugas repetidas, desvíos, fallas en simulacros de emergencia y acciones correctivas no verificadas.

La calidad de la auditoría es igualmente importante. La CSB encontró que se rastreaba el momento de las acciones correctivas, pero algunas acciones se consideraban cerradas sin confirmar que se hubiera cumplido la intención de la recomendación. Por lo tanto, una métrica de cierre puede recompensar la velocidad administrativa sobre la reducción del riesgo. El paso de verificación debe ser realizado por alguien independiente del propietario de la acción y debe exigir evidencia de campo: equipo instalado, resultados de pruebas, demostración del operador, dibujos actualizados, alarmas observadas y controles de modo degradado ejercidos.

La inspección ampliada de OSHA mostró que la preocupación se extendía más allá de la unidad del accidente. El paquete de citaciones de OSHA de julio de 2015 alegó inicialmente cuatro violaciones graves, tres intencionales y una repetida con $273,000 en multas propuestas, abordando información del proceso, análisis de peligros, procedimientos e integridad mecánica en operaciones de herbicidas y fluoruro de hidrógeno. Como advierte el propio paquete, la emisión no establece por sí misma una violación final si es impugnada.

El registro final de la inspección ampliada muestra lo que sobrevivió al acuerdo: cinco violaciones actuales, tres graves y dos repetidas, con $285,848 en multas actuales; dos artículos fueron eliminados, y las clasificaciones intencionales no permanecieron como artículos intencionales actuales. La diferencia entre los registros iniciales y finales no es una nota al pie. Es el límite de evidencia entre la decisión de acusación de una agencia y la disposición después de la impugnación.

La aplicación civil abordó las fallas del Programa de Gestión de Riesgos después del cierre

En 2018, la EPA y el Departamento de Justicia resolvieron alegaciones bajo el Programa de Gestión de Riesgos de la Ley de Aire Limpio. El comunicado del acuerdo de la EPA dijo que la denuncia alegaba 22 violaciones, incluidas fallas relacionadas con procedimientos operativos escritos, gestión de cambios, prácticas de trabajo seguras e integridad mecánica. DuPont acordó pagar una multa civil de $3.1 millones.

Esta fue una resolución civil de presuntas violaciones regulatorias, no una condena penal. El acuerdo no requirió medidas cautelares porque la instalación ya no estaba operando. Ese límite es importante. Un acuerdo monetario puede establecer una consecuencia y resolver un caso, pero el cierre significa que no puede demostrar que la unidad del accidente implementó con éxito controles de proceso rediseñados en condiciones de producción.

El antiguo sitio también enfrentó una aplicación ambiental más amplia. Un anuncio federal y de Texas de 2020 describió un acuerdo de $3.195 millones que resolvía presuntas violaciones de residuos peligrosos, agua y aire de operaciones pasadas. Esas alegaciones no eran simplemente un segundo juicio legal sobre las cuatro muertes. Se referían a determinaciones de residuos, tratamiento o almacenamiento, restricciones de eliminación en tierra, prevención de derrames y emisiones del tratamiento biológico de aguas residuales.

La hoja informativa de la EPA identifica obligaciones continuas en el sitio cerrado: caracterizar sedimentos y, donde se indique, suelo y agua subterránea alrededor de las cuencas de tratamiento; presentar resultados de riesgo y control de calidad; emprender acciones de respuesta si es necesario; mejorar el seguimiento de residuos y abordar los controles de agua y aire. El estado de Texas compartió la multa civil. Esto le da a la comunidad un registro de remedio más allá del accidente, pero la familia de evidencia sigue siendo la limpieza ambiental y el cumplimiento, no la prueba de rediseño de seguridad de los trabajadores.

La página del decreto de consentimiento subyacente es importante porque un comunicado de prensa resume un acuerdo mientras que el decreto lleva los términos ejecutables. Ningún registro debe usarse para afirmar que cada presunta violación fue adjudicada en juicio. La formulación adecuada es que las partes resolvieron alegaciones específicas e impusieron pagos y obligaciones definidos.

El caso penal pasó de la acusación a las admisiones y la sentencia

Un gran jurado federal acusó a DuPont y al exlíder de operaciones de la unidad, Kenneth Sandel, en enero de 2021. El anuncio de acusación del Departamento de Justicia alegó fallas conscientes para implementar las prácticas de trabajo seguras requeridas y una liberación negligente. También alegó que las operaciones de Lannate y Vydate generaron aproximadamente $123 millones en ingresos netos anuales en 2014. En esa etapa, estas eran acusaciones, y el gobierno declaró expresamente que una acusación no es evidencia y que los acusados se presumen inocentes a menos que sean condenados.

La disposición llegó en abril de 2023. Según el registro de sentencia del Departamento de Justicia, DuPont y Sandel se declararon culpables de negligencia criminal. Admitieron haber liberado negligentemente una sustancia extremadamente peligrosa en el aire ambiente; la compañía también reconoció haber colocado negligentemente a una persona en peligro inminente de muerte o lesiones corporales graves bajo la Ley de Aire Limpio.

El tribunal ordenó a DuPont pagar una multa de $12 millones y cumplir dos años de libertad condicional, durante los cuales la Oficina de Libertad Condicional de EE. UU. tenía acceso completo a sus ubicaciones operativas. La compañía también fue ordenada a hacer un pago de servicio comunitario de $4 millones a la National Fish and Wildlife Foundation para proyectos de calidad del aire en las costas occidentales de la Bahía de Galveston. Sandel recibió un año de libertad condicional. DOJ declaró que, con los casos civiles relacionados, DuPont habría pagado $19.26 millones por la conducta.

Las admisiones son más estrechas y más fuertes que la acusación. Establecen negligencia criminal en la conducta de liberación admitida; no adjudican automáticamente cada alegación originalmente acusada, cada hallazgo de la CSB o cada sitio corporativo. Por el contrario, sería incorrecto describir el resultado como meramente una alegación después de las declaraciones de culpabilidad y la sentencia. La responsabilidad legal depende del uso del estatus que finalmente se aplicó.

La libertad condicional creó un remedio de acceso a nivel de empresa, pero su evidencia pública tiene límites. El acceso completo para los oficiales de libertad condicional es un poder de monitoreo significativo; el registro público citado aquí no proporciona una auditoría sitio por sitio de lo que los oficiales inspeccionaron o los resultados. Por lo tanto, una evaluación de durabilidad responsable debe distinguir la existencia de la libertad condicional de la prueba de que cada proceso tóxico comparable fue reparado.

La compañía posteriormente divulgó el resultado en su propia presentación ante la SEC del primer trimestre de 2023, declarando que EIDP se declaró culpable del cargo de liberación negligente por delito menor y acordó la multa de $12 millones y el pago de $4 millones. Este registro de la empresa corrobora la disposición legal al tiempo que muestra cómo la reestructuración corporativa complicó la identidad: la entidad histórica E. I. du Pont se había convertido en una subsidiaria de Corteva incluso cuando el público todavía usaba “DuPont” para el operador en el momento del evento.

El cierre eliminó la unidad, pero también limitó la prueba de una operación reparada

La unidad Lannate permaneció cerrada después del incidente. En marzo de 2016, DuPont decidió no reiniciar la instalación de fabricación de insecticidas. Su presentación del primer trimestre de 2016 registró un cargo antes de impuestos de $75 millones que comprendía costos de activos, terminación de contratos y separación de empleados, y describió el abastecimiento alternativo para los ingredientes activos en Lannate y Vydate.

Una presentación anual posterior de 2017 reportó el cierre como un cargo de $68 millones en 2016 después de ajustes y confirmó que la instalación había estado cerrada desde noviembre de 2014. La unidad de negocio de insecticidas fue posteriormente demolida. Estas presentaciones proporcionan evidencia fechada de la empresa sobre el remedio operativo y la consecuencia económica, no un hallazgo sobre por qué se tomó cada decisión de cierre.

El cierre es una forma fuerte de eliminación de riesgos para el equipo exacto. Ningún trabajador puede volver a estar expuesto a través de esos drenajes demolidos. Pero el cierre también significa que las mejoras propuestas no fueron probadas a través del reinicio y la producción sostenida. Una recomendación para rediseñar la ventilación, los procedimientos o el aislamiento puede volverse inaplicable en lugar de implementarse con éxito. La diferencia debe ser visible en cualquier registro de rendición de cuentas.

La página de estado de recomendaciones de la CSB muestra nueve recomendaciones cerradas y ninguna abierta. Algunas están “Cerradas – Acción aceptable”, mientras que otras están “Cerradas – Ya no aplicable” porque la operación relevante o el reinicio ya no existían. La página registra que la divulgación pública cumplió el objetivo de la Junta y describe el trabajo de respuesta a emergencias multinstitucional. No significa que las nueve recomendaciones se implementaron físicamente en la unidad demolida.

La reestructuración corporativa crea otro problema de prueba. La entidad histórica, la propiedad del sitio, el negocio agrícola y las empresas sucesoras no permanecieron en un perímetro corporativo simple. Las lecciones deben seguir la tecnología de proceso, las personas y los pasivos a través de las separaciones. Una junta debería poder mostrar qué entidad legal actual posee cada acción, qué sitios operativos tienen peligros comparables de metil mercaptano o cabezal de venteo, y qué función de garantía independiente verificó la finalización.

Cómo sería la evidencia de implementación duradera

La primera familia de evidencia es la revalidación de peligros. Cada sitio con materiales altamente tóxicos debe identificar tapones por clima frío, entrada de agua, alineaciones temporales de válvulas, sistemas de vapor que pueden recibir líquido, drenajes atmosféricos y edificios ocupados cerrados. Los equipos de PHA deben documentar rutas causales completas, fatalidades realistas o consecuencias fuera del sitio, independencia de salvaguardas y riesgo residual. Los revisores independientes deben desafiar las clasificaciones de consecuencia baja y registrar por qué se excluye un escenario.

La segunda es la contención diseñada. Los registros deben mostrar que los sistemas de venteo tóxico tienen separación de líquidos y drenaje cerrado, que los drenajes no pueden descargar en edificios ocupados, y que el aislamiento de emergencia es remoto, probado y vinculado a la detección creíble. Las configuraciones temporales deben ser electrónicamente visibles y con límite de tiempo. El rendimiento de la ventilación debe probarse contra el diseño y la pérdida de ventilación debe restringir automáticamente la entrada o forzar un modo protegido definido.

La tercera es la detección accionable. Los detectores fijos deben ser químicamente apropiados, calibrados, mapeados a alarmas de campo y probados en condiciones degradadas. Los operadores deben recibir monitores personales donde una matriz fija no pueda garantizar la advertencia. Las revisiones de alarmas deben identificar alarmas intermitentes o normalizadas y requerir acciones correctivas. Un tablero debe correlacionar la activación del detector con el flujo del tanque, la presión, la posición de la válvula y la ventilación, mientras preserva los datos brutos para los investigadores y representantes de la fuerza laboral.

La cuarta es la autoridad procedimental. Los planes de operación anormal deben definir un propietario del incidente, revisor técnico, transferencia de turno, límite de apertura de línea, EPP requerido y desencadenantes de parada de trabajo. Ningún objetivo de producción o recuperación debe anular una alarma tóxica, un sistema de mitigación no disponible o una composición de material desconocida. Los operadores y contratistas deben poder detener el trabajo y escalar fuera de la línea local sin represalias.

La quinta es la continuidad de la respuesta. Cada turno necesita especialistas técnicos primarios y de respaldo. Los operadores de la sala de control no deben ser consumidos por tareas de despacho y mapeo. Los vehículos de emergencia, SCBA, radios y monitores necesitan pruebas de preparación documentadas. Los respondedores internos y públicos deben entrenar en estructuras reales, establecer zonas calientes, contabilizar al personal, analizar datos del proceso, emitir advertencias comunitarias conservadoras y probar las interfaces con empresas inquilinas.

La sexta es la prueba de acciones correctivas. Las fechas de finalización por sí solas son insuficientes. El verificador debe examinar el equipo instalado, las pruebas funcionales, los dibujos actualizados, las demostraciones de alarmas, los registros de capacitación, las entrevistas a los trabajadores y los resultados de los simulacros. Las auditorías corporativas recurrentes deben muestrear los artículos cerrados y reabrir aquellos cuyo riesgo subyacente permanece. Las juntas deben recibir acciones atrasadas y cerradas ineficazmente, no solo un porcentaje favorable de finalización.

Finalmente, la evidencia del remedio debe permanecer específica del canal. Las multas de OSHA demuestran la aplicación en el lugar de trabajo; los acuerdos de la EPA demuestran la aplicación civil ambiental y de prevención de accidentes; las declaraciones de culpabilidad y la libertad condicional demuestran la responsabilidad penal; el cierre demuestra la eliminación de una configuración; el estado de las recomendaciones de la CSB demuestra cómo la Junta clasificó las respuestas de los destinatarios. Ninguno por sí solo prueba la seguridad duradera de la empresa.

La prueba es su convergencia con la evidencia operativa en las instalaciones sucesoras.

La prueba de rendición de cuentas es si la próxima señal anormal puede detener el trabajo

La Porte no fue un caso en el que todas las advertencias estuvieran ocultas. La química era conocida. El PHA mencionaba el hidrato. El sitio olía a metil mercaptano y registraba alarmas. La falla de ventilación era visible. Los problemas de presión del cabezal eran recurrentes. Un simulacro anterior identificó mapas faltantes. Los datos del proceso eventualmente mostraron flujo continuo del tanque. La falla institucional fue que estos hechos permanecieron separados y tolerables hasta que los trabajadores entraron en una atmósfera letal.

Por lo tanto, la legitimidad industrial depende de una pregunta práctica: ¿quién puede convertir las señales débiles en una parada? La ingeniería debe evitar que una alineación temporal use un cabezal inadecuado. Las operaciones deben tratar las alarmas tóxicas repetidas como escalada, no como fondo. El mantenimiento debe hacer que la disponibilidad de ventilación sea una condición de ocupación. La sala de control debe tener suficiente personal para diagnosticar el proceso mientras otros coordinan la respuesta. El comando de emergencia debe actuar sobre la incertidumbre antes de que la comunidad pueda estar expuesta.

La aplicación produjo consecuencias reales: multas finales de OSHA, acuerdos civiles, admisiones penales, una multa y pago sustanciales, libertad condicional y cierre de la instalación. Esos resultados responden parte de la pregunta de rendición de cuentas. La parte restante es prospectiva. El registro público debe mostrar que las lecciones viajaron más allá de un edificio demolido hacia procesos comparables, empresas sucesoras, inspecciones regulatorias y práctica de la fuerza laboral.

La reforma corporativa más significativa sería la evidencia de que el próximo operador que se enfrente a un tapón frío, presión inusual, ventilador defectuoso o alarma tóxica repetida no tenga que inferir el peligro solo. El sistema debería hacer que el camino inseguro sea físicamente difícil, la advertencia imposible de pasar por alto y la autoridad para detener el trabajo más fuerte que el impulso de restaurar la producción. Esa es la barrera que faltaba en La Porte, y el estándar por el cual se debe juzgar su legado.