DuPont La Porte a fait de la détection des rejets toxiques et de la sécurité des procédés un test de responsabilité industrielle

Résumé

• Le 15 novembre 2014, environ 24 000 livres de méthyl mercaptan se sont échappées dans et autour de l'unité d'insecticide Lannate à l'usine DuPont de La Porte, au Texas. Trois opérateurs et un superviseur de quart sont morts à l'intérieur du bâtiment de fabrication. Le Chemical Safety Board a conclu qu'une conception défectueuse et des mesures de sécurité inadéquates ont causé le rejet, tandis que des défaillances dans l'analyse des risques, le contrôle des modifications, les pratiques opératoires, la ventilation, la détection, la communication et l'intervention d'urgence ont aggravé l'événement.
• La chaîne physique était compréhensible avant la catastrophe. Le froid et l'eau dans le système d'alimentation pouvaient créer un hydrate solide de méthyl mercaptan. Les archives de DuPont avaient reconnu cette possibilité des années plus tôt, mais le site manquait de traçage thermique et de procédure sécurisée d'élimination de l'hydrate. Lors du dépannage, les travailleurs ont chauffé la conduite et l'ont connectée à un collecteur de gaz résiduaires. Lorsque le bouchon s'est dégagé, le méthyl mercaptan liquide est entré dans une tuyauterie de collecteur qui présentait des points bas, aucun équipement sécurisé d'évacuation des liquides et des vannes de vidange s'ouvrant à l'intérieur d'un bâtiment mal ventilé.
• Les informations d'alerte existaient mais n'ont pas conduit à une action protectrice. Trente-deux alarmes gaz se sont produites au cours des 17 heures précédentes. Les travailleurs de terrain ne disposaient d'aucune alarme sonore ou visuelle automatique dans le bâtiment et ne portaient pas systématiquement de détecteurs personnels de méthyl mercaptan. L'opérateur en salle de contrôle a interprété les événements de pression comme un problème de condensat familier. Les deux ventilateurs principaux étaient indisponibles, mais l'accès n'a pas été restreint. Le rejet a duré environ 40 minutes avant que son ampleur ne soit comprise et plus de six heures supplémentaires avant que l'isolement ne soit complet.
• La responsabilité est arrivée par différentes institutions et ne doit pas être réduite à un seul verdict. Le CSB a émis des conclusions d'enquête non contraignantes. L'OSHA a émis puis réglé des citations. L'EPA et le ministère de la Justice ont résolu des allégations civiles de programme de gestion des risques. Un acte d'accusation ultérieur a formulé des allégations pénales; en 2023, DuPont et le responsable des opérations de l'unité ont plaidé coupables de négligence criminelle, entraînant une amende pour l'entreprise, un paiement de service communautaire et une probation. Des règlements environnementaux distincts concernaient des problèmes plus larges de déchets, d'eau et d'air sur l'ancien site.
• La fermeture de l'opération insecticide a supprimé la configuration exacte mais n'a pas prouvé à elle seule une réparation à l'échelle de l'entreprise. Des preuves durables montreraient que des installations comparables de DuPont ou des successeurs ont revalidé les scénarios de rejet toxique, installé des drains et des isolements intrinsèquement plus sûrs, rendu les alarmes actionnables sur le terrain, désigné des remplaçants d'urgence à chaque quart de travail, testé les équipements d'intervention, vérifié indépendamment la clôture des actions correctives et permis aux travailleurs de contester pour annuler la pression de production ou de redémarrage.

Un incident de procédé est devenu un rejet mortel parce que les barrières étaient déjà absentes

Le document médico-légal central est le rapport d'enquête final du CSB. Il décrit un rejet d'environ 24 000 livres de méthyl mercaptan, un produit chimique hautement toxique et inflammable utilisé dans le procédé de l'insecticide Lannate. La majeure partie du produit est entrée dans un bâtiment de fabrication de quatre étages. Les quatre travailleurs sont morts d'une combinaison d'asphyxie et d'exposition aiguë par inhalation. Deux autres opérateurs qui sont entrés ont survécu. La conclusion causale du rapport est directe: une conception défectueuse et des mesures de sécurité inadéquates ont causé le rejet;

de multiples déficiences de gestion de la sécurité ont contribué à ses conséquences.

Cette conclusion est une enquête fédérale sur la sécurité, pas un jugement pénal. Le CSB n'inflige pas d'amendes, ne décide pas de dommages civils ni ne détermine la culpabilité. Sa valeur est différente. Il reconstruit les équipements, les alarmes, les données de procédé, les registres d'exploitation, les entretiens et les actions d'urgence pour expliquer pourquoi le confinement physique et la réponse organisationnelle ont échoué ensemble.

Ses conclusions doivent donc être rapportées en tant que conclusions du CSB, tandis que les décisions ultérieures de l'OSHA, les règlements civils, les allégations et les aveux pénaux conservent leur propre statut juridique.

L'événement n'a pas commencé par une rupture spontanée de cuve. De l'eau est entrée dans la tuyauterie d'alimentation en méthyl mercaptan et, par temps froid, un hydrate clathrate solide semblable à de la glace s'est formé. Les températures pendant la période précédente étaient suffisamment basses pour ce mécanisme. La norme technique de DuPont pour le méthyl mercaptan et les travaux antérieurs d'analyse des risques de procédé avaient reconnu que l'eau et le méthyl mercaptan pouvaient former un bouchon.

Pourtant, le site n'avait ni traçage thermique pour empêcher la formation ni procédure définie pour dissocier un bouchon en toute sécurité après sa formation.

Le personnel d'exploitation a appliqué de l'eau chaude à l'extérieur de la tuyauterie isolée. Parce que le chauffage du produit piégé augmenterait la pression, une équipe technique a conçu un chemin vers le collecteur de gaz résiduaires menant à l'incinérateur de réduction des oxydes d'azote. Les vannes entre le système d'alimentation liquide et ce collecteur de vapeur ont été ouvertes pour observer et soulager la pression. La disposition a été traitée comme un dépannage, mais elle a changé ce que le collecteur pouvait recevoir. Lorsque l'hydrate a fondu, le collecteur est devenu un chemin pour le méthyl mercaptan liquide.

Le collecteur était déjà une barrière faible. Installé en 2011, il présentait des points bas où les liquides s'accumulaient et n'avait pas de pot de décantation ou d'autre moyen technique pour les séparer et les évacuer en toute sécurité. Les événements à haute pression étaient devenus courants. La réponse de la direction a été de demander aux opérateurs d'ouvrir les vannes de vidange manuelles vers l'atmosphère à l'intérieur du bâtiment et d'acheminer le liquide vers les drains de sol, utilisant à un moment donné un tuyau sous une douche de sécurité en fonctionnement.

Le site n'avait pas échantillonné le liquide régulièrement vidangé pour déterminer ce qu'il contenait. Une solution de contournement pour un problème de conception non résolu était devenue un travail normal.

Le communiqué du rapport final du CSB a résumé la conséquence: du méthyl mercaptan s'est échappé par deux vannes dans un bâtiment mal ventilé après que les travailleurs ont abordé ce qui semblait être un problème de pression de routine. Ce cadrage est important. Les opérateurs n'ont pas rencontré une leçon de chimie imprévisible. Ils sont entrés dans un système où un danger de bouchon connu, un alignement temporaire, un collecteur de vapeur inadapté et un drain atmosphérique avaient été autorisés à se croiser.

L'analyse des risques de procédé a reconnu le bouchon mais a sous-estimé ses conséquences

L'analyse des risques de procédé est censée développer un scénario crédible allant de l'événement initiateur à la conséquence, tester les mesures de sécurité et forcer l'action là où le risque est inacceptable. L'APR de DuPont de 2011 incluait un scénario dans lequel un reflux d'eau pouvait créer un hydrate de méthyl mercaptan dans la conduite d'alimentation. L'équipe a identifié le chauffage externe comme un moyen de le dissocier. Mais elle n'a pas pleinement développé les dangers créés lorsque le bouchon a été chauffé, y compris où le liquide et la vapeur libérés se dirigeraient ou comment les travailleurs seraient protégés.

Le classement du risque a été décisif. L'APR a attribué au scénario d'hydrate une catégorie de conséquences faible correspondant à aucune blessure significative ou impact sur la santé. Avec cette classification, la fréquence ne pouvait pas forcer l'atténuation selon la matrice du site. L'analyse a donc enregistré le précurseur sans traiter un rejet toxique potentiellement mortel comme sa conséquence. Un registre des risques peut sembler complet tout en échouant au point précis qui compte: transformer un écart connu en une voie d'exposition réaliste.

La leçon de contrôle n'est pas simplement "réaliser une meilleure APR". Un examen crédible aurait retracé l'entrée d'eau, la température ambiante, la formation d'hydrate, le chauffage externe, la dilatation thermique, l'alignement temporaire des vannes, la migration du liquide dans un système de vapeur, les points bas du collecteur, les drains ouverts, la ventilation du bâtiment et l'entrée des travailleurs. Chaque maillon était connaissable. L'équipe aurait également dû remettre en question l'hypothèse qu'une mesure de sécurité restait indépendante.

Un drain actionné par des travailleurs à l'intérieur de la zone de danger ne peut pas être crédité comme un système de récupération fermé isolé à distance.

Une classification correcte des conséquences aurait dû déclencher des changements physiques. Le traçage thermique aurait pu réduire la formation d'hydrate. Un drain fermé ou un pot de décantation aurait pu empêcher le rejet atmosphérique à l'intérieur du bâtiment. Un isolement à distance ou automatique aurait pu arrêter le flux d'inventaire. Une connexion de dépannage conçue aurait pu acheminer le produit vers un confinement. Une détection fixe avec alarmes locales et verrouillages de ventilation aurait pu avertir ou bloquer l'entrée.

Des exigences respiratoires auraient pu servir de dernière couche, pas la réponse principale à un confinement défectueux.

Le cas démontre également pourquoi une APR doit couvrir les modes non routiniers. Les plans de production normaux ne décrivaient pas par eux-mêmes l'alignement des vannes utilisé pour dégager le bouchon. L'équipe effectuant le dépannage n'a pas réalisé d'examen de gestion des modifications avant d'acheminer la conduite d'alimentation vers le collecteur de déchets. Le CSB a constaté qu'une MOC efficace aurait vérifié la conception du collecteur et reconnu que la tuyauterie destinée à la vapeur n'était pas compatible avec un afflux important de méthyl mercaptan liquide.

Le volume d'alarmes n'était pas la même chose que la qualité d'avertissement

Pendant les 17 heures précédant le rejet mortel, les activités de dépannage ont produit 32 alarmes de gaz méthyl mercaptan sur le panneau de contrôle. Certains membres du personnel ont associé les alarmes et l'odeur au travail en cours plutôt qu'à une urgence croissante. L'exposition fréquente à une odeur de faible niveau et l'activation répétée du détecteur avaient normalisé les deux signaux. Les travailleurs du bâtiment n'ont pas reçu de message local automatique les informant qu'une atmosphère mortelle existait.

Le système de détection utilisait des capteurs de sulfure d'hydrogène comme proxy pour le méthyl mercaptan et alarmait à une concentration équivalente de 25 parties par million. Les signaux apparaissaient sur un tableau de contrôle continuellement surveillé. Pourtant, le personnel de terrain n'avait aucune alarme sonore ou visuelle automatique de méthyl mercaptan à l'intérieur ou sur le bâtiment de fabrication. La communication verbale était censée combler le fossé. Les détecteurs personnels de méthyl mercaptan étaient disponibles sur le site mais n'avaient pas été fournis pour une utilisation de routine sur le terrain.

L'odeur était particulièrement trompeuse. Le méthyl mercaptan peut être senti à des concentrations extrêmement faibles, bien en dessous du plafond OSHA, donc une odeur n'indique pas en elle-même qu'une dose dangereuse existe. À l'autre extrême, la fatigue olfactive peut faire cesser de le percevoir. La formation conseillait apparemment aux travailleurs de ne pas se fier à l'odeur et d'utiliser un appareil respiratoire autonome lors de la réponse à une alarme. La pratique opérationnelle a néanmoins permis à l'odeur et aux alarmes récurrentes de devenir des conditions de fond.

Les indications de haute pression étaient également en concurrence pour l'attention. Lorsque l'hydrate s'est dégagé vers 3 heures du matin, le liquide est entré dans le collecteur et les pressions des équipements de procédé ont augmenté. L'opérateur du tableau a cru voir l'accumulation familière d'eau principalement dans le collecteur et s'est concentré sur l'évitement d'une surpression des équipements. Il n'a pas relié la tendance de pression à l'opération de dégagement du bouchon ni reconnu les alarmes gaz comme la preuve d'un rejet important.

Les informations de procédé existaient, mais l'interface n'a pas transformé les anomalies en interaction en un seul événement intelligible.

L'OSHA a ensuite préservé un enregistrement juridique spécifique sur les performances d'avertissement. Son détail de citation sur le système d'alarme final indique que le système d'alarme des employés n'a pas fourni un temps d'avertissement suffisant pour permettre aux travailleurs de s'échapper du bâtiment Lannate/API. La citation a atteint une ordonnance finale par règlement formel en juin 2017. C'est plus étroit que l'analyse systémique du CSB mais juridiquement plus spécifique: le dossier de travail réglé a identifié la défaillance du système d'avertissement des employés lui-même.

Une conception de contrôle moderne rendrait la détection toxique à la fois locale et graduée. Les alarmes devraient sonner et clignoter là où l'exposition peut se produire, identifier la zone affectée, déclencher des restrictions d'entrée et atteindre le commandant d'incident. La rationalisation des alarmes devrait distinguer un test de faible niveau attendu des détections anormales répétées pendant le dépannage. Les tendances devraient corréler la concentration de gaz, le débit du réservoir d'alimentation, la pression du collecteur, l'état de la ventilation et la position des vannes.

Les alarmes répétées devraient augmenter le niveau de réponse plutôt que de devenir plus faciles à ignorer.

Une ventilation cassée a supprimé une couche d'atténuation majeure

Le bâtiment de fabrication abritait des équipements pouvant libérer des produits chimiques hautement toxiques. Sa ventilation importait donc à la fois pour l'hygiène industrielle de routine et pour la concentration produite par une fuite. Au moment de l'incident, ni le ventilateur côté humide ni le ventilateur côté sec ne fonctionnaient. La procédure du site envisageait de restreindre l'accès lorsqu'un ventilateur était indisponible, mais la pratique d'accès réelle n'a pas changé.

Un audit antérieur avait révélé une incertitude quant à la capacité du système de ventilation à atteindre son objectif de conception. Le CSB a trouvé des exemples où des actions correctives ont été clôturées après un plan ou une communication plutôt qu'après avoir prouvé que la condition sous-jacente était corrigée. C'est une distinction critique dans le travail à haut risque. « Action terminée » peut signifier qu'un e-mail a été envoyé, qu'un ordre de travail a été créé ou qu'un gestionnaire a accepté un plan futur. Rien ne démontre les changements d'air, la performance de captage ou la concentration sécuritaire lors d'un rejet crédible.

Le dossier de clôture approprié aurait exigé des données de test. Il devrait montrer la disponibilité des ventilateurs, le débit d'air à des points définis, la dilution attendue pour les scénarios de rejet, la fonction d'alarme et de verrouillage, la logique d'entrée restreinte, l'autorisation de maintenance différée et la protection respiratoire compensatoire. Si un bâtiment dépend d'une ventilation active, la perte de ce système devrait être visible pour toute personne pouvant entrer, et l'entrée devrait être physiquement ou procéduralement bloquée jusqu'à ce qu'un examen des risques autorisé établisse des conditions de sécurité.

La première action publique de l'OSHA a décrit le problème en termes directs. Le communiqué du Département du Travail de mai 2015 a annoncé 11 violations alléguées et 99 000 $ d'amendes proposées, y compris une allégation récurrente concernant la formation sur la ventilation et la réponse lorsque les ventilateurs s'arrêtaient. Il s'agissait de citations proposées au moment de la publication, pas de la configuration finale éventuelle.

Le dossier d'inspection ultérieur de l'OSHA fournit la limite de la disposition. Il montre le cas clos en 2017 avec dix violations actuelles et 106 375 $ de pénalités actuelles après règlement formel; un élément non grave a été rejeté, et le mélange actuel différait de l'annonce initiale. Le dossier comprend des éléments réglés concernant les procédures, l'intégrité mécanique, la gestion des modifications, les alarmes, l'exposition et la formation. Rapporter la base de données finale empêche qu'un chiffre de presse initial ne soit confondu avec l'ordonnance finale.

Des procédures existaient, mais l'opération anormale leur a échappé

DuPont avait des exigences d'entreprise pour la rupture de ligne, la gestion des modifications, les matériaux hautement toxiques et la réponse d'urgence. L'échec de la responsabilité n'était pas une absence totale de règles. C'était l'écart entre les règles et le travail réellement effectué. La pratique de vidange du collecteur n'était pas traitée avec la rigueur que la norme de rupture de ligne de l'entreprise envisageait. Aucun plan de travail écrit spécifique n'abordait le contenu toxique, l'isolement, les équipements de protection et les étapes de vidange pendant cette condition anormale.

L'équipe de jour a laissé des instructions écrites pour l'équipe suivante, mais le transfert n'a pas communiqué adéquatement comment la configuration de dégagement de l'hydrate avait modifié le contenu et les dangers du collecteur. Le dossier pénal s'est ensuite concentré en partie sur l'absence d'instructions suffisantes et sur la prévention d'une vidange dangereuse. Un opérateur entrant comprenait le collecteur à travers son historique de fonctionnement normal: le liquide accumulé était généralement traité comme du condensat. Ce modèle mental était fatalement erroné une fois le bouchon dégagé.

Un travail sûr nécessite une frontière positive autour des exceptions. Un alignement temporaire de vannes devrait avoir un propriétaire, une heure de début et de fin, un plan marqué, une vérification indépendante et un transfert obligatoire. Une équipe ne devrait pas accepter la responsabilité d'un blocage de matériau toxique non résolu sans un plan d'exploitation anormale écrit.

L'ouverture d'une tuyauterie de procédé devrait nécessiter un isolement vérifié, des vérifications de pression et de composition, un confinement de destination, des EPI, une personne de réserve, une surveillance des gaz et une autorisation par quelqu'un d'indépendant de l'objectif de production.

Le dépannage a également besoin de critères d'arrêt. L'odeur, les alarmes gaz répétées, la ventilation indisponible et la composition incertaine du collecteur auraient chacun dû forcer une escalade. Ensemble, ils auraient dû mettre fin à l'intervention de routine. Si l'organisation permet à chaque écart d'être considéré séparément, le travailleur à la vanne devient la dernière personne censée assembler une image de risque au niveau du système que l'ingénierie et la gestion n'ont pas assemblée plus tôt.

La leçon de transfert s'étend au-delà des usines chimiques. Les petits fournisseurs, sous-traitants et entreprises voisines dépendent des services publics, des systèmes d'urgence et de la communication des dangers du site hôte. Un travail non routinier peut modifier les infrastructures partagées de déchets, d'évent ou de réponse. Un transfert contrôlé doit donc atteindre chaque opérateur aval et entreprise dont les hypothèses ont changé, pas seulement l'équipe entrante dans l'unité d'origine.

Les effectifs ont échoué par concentration des rôles et absence de remplaçant—pas un récit avéré de fatigue

Le dossier soutient une critique des effectifs, mais il ne justifie pas la spéculation que la fatigue a causé l'événement. Le rapport du CSB n'a pas identifié de conclusion sur les heures de travail ou le sommeil comme conclusion causale. La preuve montre plutôt que les connaissances et les tâches critiques étaient concentrées sur des personnes devenues indisponibles, tandis que l'opérateur restant était surchargé. La responsabilité exige de préserver cette distinction.

Le superviseur de quart servait normalement de coordinateur de procédé lors d'une urgence. Ce rôle était censé identifier la source et la taille d'un rejet, conseiller le commandant d'incident, décider de l'évacuation de l'unité et de la surveillance hors site, et fournir des connaissances techniques spécifiques à l'unité. Le superviseur faisait partie des personnes neutralisées. Bien que le plan ait nommé des remplaçants principaux et secondaires, il s'agissait d'employés de jour et n'étaient pas sur place la nuit et les week-ends. Aucun remplaçant sur site n'a rempli le rôle.

L'opérateur du tableau pouvait voir les données de procédé qui démontraient finalement un flux anormal provenant du réservoir de stockage de méthyl mercaptan. Mais il a été constamment sollicité pour communiquer avec les intervenants, répondre aux demandes et même dessiner des plans du bâtiment. Aucun ingénieur ou spécialiste technique n'était présent pour analyser le procédé indépendamment pendant la réponse initiale. Le personnel technique d'astreinte n'a pas été impliqué assez tôt.

La pompe du réservoir de stockage n'a pas été arrêtée avant environ trois heures après le début du rejet, et la vanne d'isolement d'urgence n'a pas été fermée avant environ sept heures après le début.

C'est un problème de conception de résilience. Un rôle d'urgence critique pour la sécurité nécessite un remplaçant qualifié physiquement disponible ou joignable immédiatement pour chaque période de fonctionnement. L'opérateur en salle de contrôle doit être protégé des tâches de coordination lorsque le diagnostic continu du procédé est essentiel. Le support technique à distance doit avoir un accès sécurisé aux tendances, aux plans et à l'état des vannes. L'assurance des effectifs devrait tester les nuits, les week-ends et les pertes simultanées, pas seulement l'organigramme normal de jour.

La fatigue reste un risque général légitime dans le travail posté, mais elle ne doit pas être insérée dans ce cas sans preuve. Une entreprise responsable préserverait quand même les horaires, les heures supplémentaires, les rappels et les dossiers d'aptitude au travail pour que les enquêteurs puissent tester la question. L'absence de conclusion publiée sur la fatigue ne prouve pas que la planification était idéale; cela signifie que cet article ne prétend pas que la fatigue est une cause.

La première intervention de sauvetage a exposé plus de personnes au même danger

Lorsqu'un travailleur a lancé un appel de détresse, des collègues sont entrés dans le bâtiment pour aider. Ils n'avaient pas d'alarme automatique du bâtiment les informant qu'un rejet toxique majeur était en cours. Deux sauveteurs ont été neutralisés et sont morts; deux autres se sont échappés. Un travailleur a récupéré un équipement respiratoire et a tenté d'aider son frère mais a été neutralisé avant de connecter son propre masque à son alimentation SCBA. Ce n'était pas un manque de courage. C'était un système qui permettait une réponse de sauvetage instinctive avant que l'atmosphère et les contrôles d'entrée ne soient établis.

Le site partageait une équipe d'intervention d'urgence entre DuPont et les entreprises locataires. L'appel initial demandait des « personnes de sauvetage » et disait que des travailleurs étaient portés disparus. Les membres de l'équipe ont interprété cela comme un sauvetage technique et ont apporté des cordes et des harnais plutôt que des EPI pour rejet chimique. Lorsqu'ils ont réalisé qu'un gaz toxique était impliqué, une mini-pompe transportant des SCBA et des radios n'a pas démarré. Les premiers intervenants manquaient de surveillance rapide de l'air, et la zone chaude n'était pas clairement marquée ou contrôlée.

L'absence du coordinateur de procédé a aggravé chaque problème. Les intervenants n'avaient pas initialement d'expert qui pouvait expliquer l'unité, identifier le produit chimique et diriger l'isolement. Un appel au 911 a communiqué que quatre personnes étaient portées disparues mais n'a pas fourni le danger chimique. La première entrée de l'ERT a commencé environ 35 minutes après la demande d'assistance. Un exercice antérieur avait recommandé que les intervenants reçoivent des plans de site; l'action n'a pas été assignée et suivie jusqu'à son terme, donc aucun plan de bâtiment utilisable n'était disponible pendant la recherche.

Le CSB a émis des recommandations intérimaires avant son rapport final. Elles appelaient à un plan intégré d'action corrective et de redémarrage, à la participation de la main-d'œuvre, à la divulgation publique et à un programme actualisé d'intervention d'urgence multi-entreprises. Les éléments de réponse comprenaient des spécialistes techniques de remplacement, des protocoles d'alerte clairs, la maintenance des véhicules, la surveillance atmosphérique, les plans des bâtiments, des exercices, l'analyse des données de procédé, le contrôle de la zone chaude, des conseils d'alerte au public et la surveillance en limite de site.

Ce sont des contrôles de continuité. Un système de commandement d'incident devrait pouvoir fonctionner après que le superviseur de l'unité devient une victime. Les véhicules d'intervention et les moniteurs devraient avoir des vérifications documentées de leur état de préparation. Les plans doivent exister avant une urgence. Les équipes de sauvetage devraient s'entraîner dans la structure réelle et avec les collègues des entreprises locataires. Un appel de détresse toxique devrait par défaut déclencher une protection contre l'atmosphère dangereuse lorsque la substance et la concentration sont incertaines.

La décision d'alerte à la communauté reposait sur des informations incomplètes

L'odeur de méthyl mercaptan a été signalée au-delà du site, et le dossier pénal ultérieur a déclaré que le produit s'était déplacé sous le vent vers Deer Park et au-delà. Pourtant, le CSB n'a pas pu déterminer la concentration exacte hors site ou le risque pour la santé, le cas échéant, car la surveillance de l'air en temps réel ne l'a pas établie. Aucune blessure hors site n'a été signalée dans le dossier intérimaire du CSB. Ces deux déclarations vont de pair: une odeur forte et un mouvement de panache ne prouvent pas une dose toxique particulière, tandis que l'absence de mesure empêche une réassurance confiante.

Certains membres du personnel d'intervention croyaient à tort que le méthyl mercaptan était plus léger que l'air, bien que les propres informations techniques de DuPont le décrivent comme plus lourd que l'air. L'ERT n'a pas utilisé les données des détecteurs fixes du bâtiment pour évaluer la migration hors site. La modélisation du rejet reposait sur une quantité supposée faible basée sur des descriptions verbales plutôt que sur le flux d'inventaire réel. Le commandement d'incident n'a pas ordonné aux résidents environnants de prendre des mesures de protection.

Une bonne divulgation communautaire commence par des déclencheurs conservateurs. Si le taux de rejet est inconnu, les intervenants devraient établir une zone de protection initiale en utilisant des informations de pire cas crédibles, informer les autorités publiques et réduire la zone à mesure que des données fiables s'améliorent. Des instruments fixes en limite de site peuvent fournir des preuves continues; des équipes mobiles formées avec des EPI appropriés peuvent les compléter. Les modèles devraient afficher leurs hypothèses et leur incertitude, et non transformer une entrée non étayée en précision apparente.

La continuité du secteur public dépend également des interfaces d'information. L'usine, les intervenants du comté de Harris, les planificateurs d'urgence locaux et les installations voisines ont besoin d'une identification chimique partagée, d'une estimation du rejet, d'informations sur le vent, d'une recommandation de mesure de protection et d'une cadence de mise à jour. Une communauté ne devrait pas avoir à interpréter l'odeur ou les rapports sociaux alors que le commandement d'incident décide encore si le panache existe.

Le CSB a constaté un écart de culture de sécurité des procédés derrière les déficiences individuelles

DuPont disposait d'un cadre sophistiqué de gestion de la sécurité des procédés au niveau de l'entreprise et commercialisait son expertise en sécurité. Le CSB a néanmoins constaté que La Porte n'avait pas mis en œuvre efficacement le système et n'avait pas évalué formellement sa culture de sécurité des procédés avant l'événement. C'est un problème de légitimité institutionnelle: un cadre reconnu peut créer de la confiance sans établir si le site de travail honore réellement ses exigences.

Le rapport distinguait la performance en sécurité personnelle de la sécurité des procédés. Les taux de blessures peuvent s'améliorer tandis que les systèmes de confinement, d'alarme, d'isolement et d'urgence se détériorent. Les arrangements d'incitation axés sur les mesures de blessures personnelles peuvent même décourager le signalement si les travailleurs croient qu'un événement enregistrable affectera la rémunération de l'équipe.

Le remède n'est pas d'abandonner la prévention des blessures, mais de donner aux indicateurs de procédé avancés un poids indépendant: maintenance critique en retard, fréquence des alarmes, modifications opérationnelles temporaires, fuites répétées, contournements, échecs d'exercices d'urgence et actions correctives non vérifiées.

La qualité des audits est tout aussi importante. Le CSB a constaté que le calendrier des actions correctives était suivi, mais que certaines actions étaient considérées comme closes sans confirmer que l'intention de la recommandation avait été satisfaite. Une métrique de clôture peut donc récompenser la rapidité administrative au détriment de la réduction des risques.

L'étape de vérification devrait être effectuée par quelqu'un d'indépendant du propriétaire de l'action et devrait exiger des preuves sur le terrain: équipement installé, résultats de tests, démonstration des opérateurs, plans mis à jour, alarmes observées et contrôles en mode dégradé exercés.

L'inspection élargie de l'OSHA a montré que les préoccupations dépassaient l'unité accidentée. Le paquet de citations de juillet 2015 de l'OSHA alléguait initialement quatre violations sérieuses, trois volontaires et une récurrente avec 273 000 $ d'amendes proposées, concernant les informations de procédé, l'analyse des risques, les procédures et l'intégrité mécanique dans les opérations d'herbicide et de fluorure d'hydrogène. Comme le paquet lui-même l'avertit, l'émission n'établit pas en soi une violation finale si elle est contestée.

Le dossier final de l'inspection élargie montre ce qui a survécu au règlement: cinq violations actuelles, trois sérieuses et deux récurrentes, avec 285 848 $ de pénalités actuelles; deux éléments ont été supprimés, et les classifications volontaires n'ont pas subsisté en tant qu'éléments volontaires actuels. La différence entre les dossiers initial et final n'est pas une note de bas de page. C'est la frontière probatoire entre la décision d'accusation d'une agence et la disposition après contestation.

L'application civile a traité les défaillances du programme de gestion des risques après la fermeture

En 2018, l'EPA et le ministère de la Justice ont résolu des allégations en vertu du programme de gestion des risques de la Clean Air Act. Le communiqué de règlement de l'EPA a indiqué que la plainte alléguait 22 violations, y compris des défaillances impliquant des procédures opératoires écrites, la gestion des modifications, les pratiques de travail sécuritaires et l'intégrité mécanique. DuPont a accepté de payer une pénalité civile de 3,1 millions de dollars.

Il s'agissait d'une résolution civile d'allégations de violations réglementaires, pas d'une condamnation pénale. Le règlement n'a pas exigé de mesures injonctives car l'installation n'était plus en activité. Cette limite est importante. Un règlement monétaire peut établir une conséquence et résoudre un cas, mais la fermeture signifie qu'il ne peut pas démontrer que l'unité accidentée a mis en œuvre avec succès des contrôles de procédé reconçus dans des conditions de production.

L'ancien site a également fait face à une application environnementale plus large. Une annonce fédérale et texane de 2020 décrivait un règlement de 3,195 millions de dollars résolvant des allégations de violations de déchets dangereux, d'eau et d'air provenant d'opérations passées. Ces allégations n'étaient pas simplement un second jugement juridique sur les quatre décès. Elles concernaient des déterminations de déchets, un traitement ou un stockage, des restrictions d'enfouissement, la prévention des déversements et les émissions du traitement biologique des eaux usées.

La fiche d'information de l'EPA identifie les obligations en cours sur le site fermé: caractériser les sédiments et, le cas échéant, le sol et les eaux souterraines autour des bassins de traitement; soumettre les résultats de risque et de contrôle qualité; entreprendre des actions correctives si nécessaire; améliorer le suivi des déchets et traiter les contrôles de l'eau et de l'air. L'État du Texas a partagé la pénalité civile. Cela donne à la communauté un dossier de réparation au-delà de l'accident, mais la famille de preuves reste le nettoyage environnemental et la conformité, pas la preuve de la refonte de la sécurité des travailleurs.

La page du consentement sous-jacent importe car un communiqué de presse résume un règlement tandis que le décret porte les termes exécutoires. Aucun des deux dossiers ne devrait être utilisé pour prétendre que chaque violation alléguée a été jugée lors d'un procès. La formulation appropriée est que les parties ont réglé des allégations spécifiques et imposé des paiements et obligations définis.

L'affaire pénale est passée de l'accusation aux aveux et à la sentence

Un grand jury fédéral a inculpé DuPont et l'ancien responsable des opérations de l'unité, Kenneth Sandel, en janvier 2021. L' annonce d'accusation du ministère de la Justice alléguait des manquements délibérés à mettre en œuvre des pratiques de travail sécuritaires requises et un rejet négligent. Elle alléguait également que les opérations Lannate et Vydate généraient environ 123 millions de dollars de revenu net annuel en 2014. À ce stade, il s'agissait d'accusations, et le gouvernement a expressément déclaré qu'un acte d'accusation n'est pas une preuve et que les accusés sont présumés innocents sauf condamnation.

La disposition est intervenue en avril 2023. Selon le dossier de sentence du ministère de la Justice, DuPont et Sandel ont plaidé coupables de négligence criminelle. Ils ont admis avoir négligemment libéré une substance extrêmement dangereuse dans l'air ambiant; l'entreprise a également reconnu avoir négligemment placé une personne en danger imminent de mort ou de blessure grave en vertu de la Clean Air Act.

Le tribunal a ordonné à DuPont de payer une pénalité de 12 millions de dollars et de purger deux ans de probation, pendant lesquels le bureau de probation américain avait un accès complet à ses sites d'exploitation. L'entreprise a également été condamnée à effectuer un paiement de service communautaire de 4 millions de dollars au National Fish and Wildlife Foundation pour des projets de qualité de l'air autour des rives ouest de la baie de Galveston. Sandel a reçu un an de probation. Le DOJ a déclaré qu'avec les affaires civiles connexes, DuPont aurait payé 19,26 millions de dollars pour la conduite.

Les aveux sont plus étroits et plus forts que l'acte d'accusation. Ils établissent une négligence criminelle dans la conduite de rejet admise; ils ne tranchent pas automatiquement chaque allégation initialement portée, chaque conclusion du CSB ou chaque site d'entreprise. Inversement, il serait faux de décrire le résultat comme simplement une allégation après les plaidoiries de culpabilité et la sentence. La responsabilité légale dépend de l'utilisation du statut qui s'est finalement appliqué.

La probation a créé un recours d'accès au niveau de l'entreprise, mais ses preuves publiques ont des limites. L'accès complet pour les agents de probation est un pouvoir de surveillance important; le dossier public cité ici ne fournit pas d'audit site par site de ce que les agents ont inspecté ou des résultats. Une évaluation de durabilité responsable devrait donc distinguer l'existence d'une probation de la preuve que chaque processus toxique comparable a été réparé.

L'entreprise a ensuite divulgué le résultat dans son propre dépôt SEC du premier trimestre 2023, déclarant qu'EIDP avait plaidé coupable au chef de rejet négligent et accepté l'amende de 12 millions de dollars et le paiement de 4 millions de dollars. Ce dossier d'entreprise corrobore la disposition légale tout en montrant comment la restructuration d'entreprise a compliqué l'identité: l'entité historique E. I. du Pont était devenue une filiale de Corteva même si le public utilisait encore « DuPont » pour l'exploitant au moment de l'événement.

La fermeture a supprimé l'unité, mais elle a aussi limité la preuve d'une exploitation réparée

L'unité Lannate est restée fermée après l'incident. En mars 2016, DuPont a décidé de ne pas redémarrer l'installation de fabrication d'insecticides. Son dépôt du premier trimestre 2016 a enregistré une charge avant impôts de 75 millions de dollars comprenant des coûts d'actifs, de résiliation de contrat et de licenciement, et a décrit un approvisionnement alternatif pour les ingrédients actifs de Lannate et Vydate.

Un dépôt annuel ultérieur de 2017 a rapporté la fermeture comme une charge de 68 millions de dollars en 2016 après ajustements et a confirmé que l'installation était fermée depuis novembre 2014. L'unité commerciale d'insecticides a ensuite été démolie. Ces dépôts fournissent des preuves datées par l'entreprise de la mesure opérationnelle et de la conséquence économique, pas une conclusion sur pourquoi chaque décision de fermeture a été prise.

La fermeture est une forme forte d'élimination des risques pour l'équipement exact. Aucun travailleur ne peut plus être exposé par ces drains démolis. Mais la fermeture signifie aussi que les améliorations proposées n'ont pas été prouvées par un redémarrage et une production soutenue. Une recommandation de reconcevoir la ventilation, les procédures ou l'isolement peut devenir inapplicable plutôt que mise en œuvre avec succès. La différence doit être visible dans tout registre de responsabilité.

La page de statut des recommandations du CSB montre neuf recommandations closes et aucune ouverte. Certaines sont « Closes – Action acceptable », tandis que d'autres sont « Closes – Sans objet » parce que l'opération ou le redémarrage concerné n'existait plus. La page enregistre que la divulgation publique a atteint l'objectif du Conseil et décrit le travail d'intervention d'urgence multi-entreprises. Cela ne signifie pas que les neuf recommandations ont été physiquement mises en œuvre dans l'unité démolie.

La restructuration d'entreprise crée un autre problème de preuve. L'entité historique, la propriété du site, l'entreprise agricole et les successeurs ne sont pas restés dans un simple périmètre corporatif. Les leçons doivent suivre la technologie de procédé, les personnes et les passifs à travers les séparations. Un conseil devrait pouvoir montrer quelle entité juridique actuelle possède chaque action, quels sites d'exploitation présentent des dangers comparables de méthyl mercaptan ou de collecteur de gaz, et quelle fonction d'assurance indépendante a vérifié l'achèvement.

À quoi ressembleraient des preuves de mise en œuvre durables

La première famille de preuves est la revalidation des risques. Chaque site manipulant des matériaux hautement toxiques devrait identifier les bouchons par temps froid, l'entrée d'eau, les alignements temporaires de vannes, les systèmes de vapeur pouvant recevoir du liquide, les drains atmosphériques et les bâtiments occupés clos. Les équipes d'APR devraient documenter des chemins causaux complets, des décès réalistes ou des conséquences hors site, l'indépendance des mesures de sécurité et le risque résiduel.

Les examinateurs indépendants devraient contester les classements de conséquences faibles et enregistrer pourquoi un scénario est exclu.

La deuxième est le confinement technique. Les dossiers devraient montrer que les systèmes de ventilation toxique ont une séparation des liquides et un drainage fermé, que les drains ne peuvent pas se déverser dans les bâtiments occupés, et que l'isolement d'urgence est à distance, testé et lié à une détection crédible. Les configurations temporaires devraient être visibles électroniquement et limitées dans le temps. Les performances de ventilation devraient être testées par rapport à la conception et la perte de ventilation devrait automatiquement restreindre l'entrée ou forcer un mode protégé défini.

La troisième est la détection actionnable. Les détecteurs fixes devraient être adaptés au produit chimique, calibrés, cartographiés pour les alarmes de terrain et testés dans des conditions dégradées. Les opérateurs devraient recevoir des moniteurs personnels là où un réseau fixe ne peut garantir un avertissement. Les examens des alarmes devraient identifier les alarmes bavardes ou normalisées et exiger des actions correctives.

Un tableau de bord devrait corréler l'activation du détecteur avec le débit du réservoir, la pression, la position des vannes et la ventilation, tout en préservant les données brutes pour les enquêteurs et les représentants de la main-d'œuvre.

La quatrième est l'autorité procédurale. Les plans d'exploitation anormale devraient définir un responsable d'incident, un réviseur technique, un transfert de quart, une limite de rupture de ligne, des EPI requis et des déclencheurs d'arrêt de travail. Aucun objectif de production ou de récupération ne devrait annuler une alarme toxique, un système d'atténuation indisponible ou une composition de matériau inconnue. Les opérateurs et sous-traitants devraient pouvoir arrêter le travail et escalader en dehors de la ligne hiérarchique locale sans représailles.

La cinquième est la continuité de la réponse. Chaque quart de travail a besoin de spécialistes techniques principaux et de remplacement. Les opérateurs en salle de contrôle ne doivent pas être accaparés par des tâches de répartition et de cartographie. Les véhicules d'urgence, SCBA, radios et moniteurs nécessitent des tests de préparation documentés. Les intervenants internes et publics devraient s'entraîner dans les structures réelles, établir des zones chaudes, prendre en compte le personnel, analyser les données de procédé, émettre des avertissements communautaires conservateurs et tester les interfaces avec les entreprises locataires.

La sixième est la preuve des actions correctives. Les dates d'achèvement seules sont insuffisantes. Le vérificateur devrait examiner l'équipement installé, les tests fonctionnels, les plans mis à jour, les démonstrations d'alarmes, les dossiers de formation, les entretiens avec les travailleurs et les résultats d'exercices. Les audits d'entreprise récurrents devraient échantillonner les éléments clos et rouvrir ceux dont le risque sous-jacent persiste. Les conseils devraient recevoir les actions en retard et celles inefficacement closes, pas seulement un pourcentage d'achèvement favorable.

Enfin, les preuves de remède devraient rester spécifiques au canal. Les pénalités OSHA démontrent l'application en milieu de travail; les règlements de l'EPA démontrent l'application civile environnementale et de prévention des accidents; les plaidoyers de culpabilité et la probation démontrent la responsabilité pénale; la fermeture démontre l'élimination d'une configuration; le statut des recommandations du CSB démontre comment le Conseil a classé les réponses des destinataires. Aucune ne prouve à elle seule une sécurité d'entreprise durable. La preuve est leur convergence avec les preuves opérationnelles sur les installations successeurs.

Le test de responsabilité est de savoir si le prochain signal anormal peut arrêter le travail

La Porte n'était pas un cas où chaque avertissement était caché. La chimie était connue. L'APR mentionnait l'hydrate. Le site sentait le méthyl mercaptan et enregistrait des alarmes. La défaillance de la ventilation était visible. Les problèmes de pression du collecteur étaient récurrents. Un exercice antérieur avait identifié des plans manquants. Les données de procédé montraient finalement un flux continu du réservoir. L'échec institutionnel était que ces faits restaient séparés et tolérables jusqu'à ce que des travailleurs entrent dans une atmosphère mortelle.

La légitimité industrielle dépend donc d'une question pratique: qui peut convertir les signaux faibles en un arrêt? L'ingénierie doit empêcher un alignement temporaire d'utiliser un collecteur inadapté. Les opérations doivent traiter les alarmes toxiques répétées comme une escalade, pas comme un bruit de fond. La maintenance doit faire de la disponibilité de la ventilation une condition d'occupation. La salle de contrôle doit avoir suffisamment de personnel pour diagnostiquer le procédé pendant que d'autres coordonnent la réponse. Le commandement d'urgence doit agir sur l'incertitude avant que la communauté puisse être exposée.

L'application a produit des conséquences réelles: pénalités OSHA finales, règlements civils, aveux pénaux, une amende importante et un paiement, une probation et la fermeture de l'installation. Ces résultats répondent en partie à la question de la responsabilité. La partie restante est prospective. Le dossier public doit montrer que les leçons ont voyagé au-delà d'un bâtiment démoli vers des procédés comparables, des sociétés successeurs, des inspections réglementaires et des pratiques de la main-d'œuvre.

La réforme d'entreprise la plus significative serait la preuve que le prochain opérateur confronté à un bouchon froid, une pression inhabituelle, un ventilateur défaillant ou une alarme toxique répétée n'a pas à déduire le danger seul. Le système devrait rendre le chemin dangereux physiquement difficile, l'avertissement impossible à manquer et l'autorité d'arrêter le travail plus forte que l'impulsion de restaurer la production. C'est la barrière qui manquait à La Porte—et la norme par laquelle son héritage devrait être jugé.