DuPont La Porte transformou a detecção de liberações tóxicas e a segurança de processos em um teste de responsabilidade industrial

Resumo

• Em 15 de novembro de 2014, aproximadamente 24.000 libras de metil mercaptana vazaram dentro e ao redor da unidade de inseticida Lannate na usina DuPont em La Porte, Texas. Três operadores e um supervisor de turno morreram dentro do prédio de fabricação. O Chemical Safety Board concluiu que um projeto defeituoso e medidas de segurança inadequadas causaram a liberação, enquanto falhas na análise de riscos, controle de modificações, práticas operacionais, ventilação, detecção, comunicação e resposta de emergência agravaram o evento.
• A cadeia física era compreensível antes da catástrofe. O frio e a água no sistema de alimentação podiam criar um hidrato sólido de metil mercaptana. Os registros da DuPont haviam reconhecido essa possibilidade anos antes, mas o local carecia de traçamento térmico e de um procedimento seguro para eliminação do hidrato. Durante a solução de problemas, os trabalhadores aqueceram a tubulação e a conectaram a um coletor de gases residuais. Quando o bloqueio se soltou, a metil mercaptana líquida entrou em uma tubulação de coletor que apresentava pontos baixos, nenhum equipamento seguro de drenagem de líquidos e válvulas de drenagem abertas dentro de um prédio mal ventilado.
• Informações de alerta existiam, mas não levaram a uma ação protetiva. Trinta e dois alarmes de gás ocorreram nas 17 horas anteriores. Os trabalhadores de campo não tinham alarme sonoro ou visual automático no prédio e não usavam detectores pessoais de metil mercaptana de forma sistemática. O operador da sala de controle interpretou os eventos de pressão como um problema de condensado familiar. Os dois ventiladores principais estavam indisponíveis, mas o acesso não foi restrito. A liberação durou cerca de 40 minutos até que sua magnitude fosse compreendida e mais de seis horas adicionais até que o isolamento fosse completo.
• A responsabilidade chegou por diferentes instituições e não deve ser reduzida a um único veredito. O CSB emitiu conclusões de investigação não vinculativas. A OSHA emitiu e depois resolveu citações. A EPA e o Departamento de Justiça resolveram alegações civis de programa de gestão de riscos. Uma acusação posterior formulou alegações criminais; em 2023, a DuPont e o gerente de operações da unidade se declararam culpados de negligência criminal, resultando em multa para a empresa, pagamento de serviço comunitário e liberdade condicional. Acordos ambientais separados tratavam de questões mais amplas de resíduos, água e ar no antigo local.
• O fechamento da operação de inseticida removeu a configuração exata, mas não provou por si só uma reparação em toda a empresa. Evidências duradouras mostrariam que instalações comparáveis da DuPont ou sucessoras revalidaram cenários de liberação tóxica, instalaram drenos e isolamentos intrinsecamente mais seguros, tornaram os alarmes acionáveis em campo, designaram substitutos de emergência em cada turno, testaram equipamentos de resposta, verificaram independentemente o fechamento de ações corretivas e permitiram que trabalhadores contestassem para cancelar a pressão de produção ou reinicialização.

Um incidente de processo se tornou uma liberação mortal porque as barreiras já estavam ausentes

O documento forense central é o relatório final de investigação do CSB. Ele descreve uma liberação de aproximadamente 24.000 libras de metil mercaptana, um produto químico altamente tóxico e inflamável usado no processo do inseticida Lannate. A maior parte do produto entrou em um prédio de fabricação de quatro andares. Os quatro trabalhadores morreram de uma combinação de asfixia e exposição aguda por inalação. Dois outros operadores que entraram sobreviveram. A conclusão causal do relatório é direta: um projeto defeituoso e medidas de segurança inadequadas causaram a liberação;

múltiplas deficiências de gestão de segurança contribuíram para suas consequências.

Esta conclusão é uma investigação federal de segurança, não um julgamento criminal. O CSB não aplica multas, não decide danos civis nem determina culpa. Seu valor é diferente. Ele reconstrói equipamentos, alarmes, dados de processo, registros de operação, entrevistas e ações de emergência para explicar por que o confinamento físico e a resposta organizacional falharam juntos. Suas conclusões devem, portanto, ser reportadas como conclusões do CSB, enquanto as decisões posteriores da OSHA, acordos civis, alegações e confissões criminais mantêm seu próprio status jurídico.

O evento não começou com uma ruptura espontânea de tanque. Água entrou na tubulação de alimentação de metil mercaptana e, com o frio, formou-se um hidrato clatrato sólido semelhante a gelo. As temperaturas durante o período anterior eram suficientemente baixas para esse mecanismo. A norma técnica da DuPont para metil mercaptana e trabalhos anteriores de análise de riscos de processos haviam reconhecido que água e metil mercaptana podiam formar um bloqueio. No entanto, o local não tinha traçamento térmico para evitar a formação nem procedimento definido para dissociar um bloqueio com segurança após sua formação.

O pessoal de operação aplicou água quente no exterior da tubulação isolada. Como o aquecimento do produto preso aumentaria a pressão, uma equipe técnica projetou um caminho para o coletor de gases residuais que levava ao incinerador de redução de óxidos de nitrogênio. As válvulas entre o sistema de alimentação líquida e esse coletor de vapor foram abertas para observar e aliviar a pressão. A disposição foi tratada como uma solução de problemas, mas mudou o que o coletor poderia receber. Quando o hidrato derreteu, o coletor se tornou um caminho para a metil mercaptana líquida.

O coletor já era uma barreira fraca. Instalado em 2011, apresentava pontos baixos onde os líquidos se acumulavam e não tinha um balão de decantação ou outro meio técnico para separá-los e drená-los com segurança. Eventos de alta pressão se tornaram comuns. A resposta da gerência foi pedir aos operadores que abrissem as válvulas de drenagem manuais para a atmosfera dentro do prédio e direcionassem o líquido para os drenos de piso, usando em um momento uma mangueira sob um chuveiro de segurança em funcionamento. O local não havia amostrado o líquido regularmente drenado para determinar o que continha.

Uma solução alternativa para um problema de projeto não resolvido se tornou um trabalho normal.

O comunicado do relatório final do CSB resumiu a consequência: metil mercaptana escapou por duas válvulas em um prédio mal ventilado depois que os trabalhadores abordaram o que parecia ser um problema de pressão de rotina. Esse enquadramento é importante. Os operadores não encontraram uma lição de química imprevisível. Eles entraram em um sistema onde um perigo de bloqueio conhecido, um alinhamento temporário, um coletor de vapor inadequado e um dreno atmosférico haviam sido autorizados a se cruzar.

A análise de riscos de processos reconheceu o bloqueio, mas subestimou suas consequências

A análise de riscos de processos (APR) deve desenvolver um cenário crível desde o evento iniciador até a consequência, testar as medidas de segurança e forçar a ação onde o risco é inaceitável. A APR de 2011 da DuPont incluía um cenário em que um refluxo de água poderia criar um hidrato de metil mercaptana na linha de alimentação. A equipe identificou o aquecimento externo como um meio de dissociá-lo. Mas não desenvolveu plenamente os perigos criados quando o bloqueio foi aquecido, incluindo onde o líquido e o vapor liberados se dirigiriam ou como os trabalhadores seriam protegidos.

A classificação do risco foi decisiva. A APR atribuiu ao cenário de hidrato uma categoria de consequências baixa, correspondente a nenhuma lesão significativa ou impacto na saúde. Com essa classificação, a frequência não poderia forçar a mitigação de acordo com a matriz do local. A análise, portanto, registrou o precursor sem tratar uma liberação tóxica potencialmente fatal como sua consequência. Um registro de riscos pode parecer completo enquanto falha exatamente no ponto que importa: transformar um desvio conhecido em uma via de exposição realista.

A lição de controle não é simplesmente "realizar uma APR melhor". Uma análise crível teria rastreado a entrada de água, a temperatura ambiente, a formação de hidrato, o aquecimento externo, a expansão térmica, o alinhamento temporário de válvulas, a migração do líquido para um sistema de vapor, os pontos baixos do coletor, os drenos abertos, a ventilação do prédio e a entrada dos trabalhadores. Cada elo era conhecível. A equipe também deveria ter questionado a suposição de que uma medida de segurança permanecia independente.

Um dreno acionado por trabalhadores dentro da zona de perigo não pode ser creditado como um sistema de recuperação fechado isolado à distância.

Uma classificação correta das consequências teria desencadeado mudanças físicas. O traçamento térmico poderia ter reduzido a formação de hidrato. Um dreno fechado ou um balão de decantação poderia ter evitado a liberação atmosférica dentro do prédio. Um isolamento remoto ou automático poderia ter interrompido o fluxo de inventário. Uma conexão de solução de problemas projetada poderia ter direcionado o produto para um confinamento. Uma detecção fixa com alarmes locais e intertravamentos de ventilação poderia ter alertado ou bloqueado a entrada.

Exigências de proteção respiratória poderiam ter servido como última camada, não a resposta principal a um confinamento defeituoso.

O caso demonstra também por que uma APR deve cobrir modos não rotineiros. Os planos de produção normais não descreviam por si só o alinhamento de válvulas usado para liberar o bloqueio. A equipe que realizava a solução de problemas não realizou uma análise de gestão de mudanças antes de direcionar a linha de alimentação para o coletor de resíduos. O CSB concluiu que uma GMC eficaz teria verificado o projeto do coletor e reconhecido que a tubulação destinada a vapor não era compatível com um influxo significativo de metil mercaptana líquida.

O volume de alarmes não era o mesmo que qualidade de alerta

Durante as 17 horas anteriores à liberação fatal, as atividades de solução de problemas produziram 32 alarmes de gás metil mercaptana no painel de controle. Alguns membros da equipe associaram os alarmes e o odor ao trabalho em andamento, e não a uma emergência crescente. A exposição frequente a um odor de baixo nível e a ativação repetida do detector haviam normalizado ambos os sinais. Os trabalhadores no prédio não receberam nenhuma mensagem local automática informando que uma atmosfera mortal existia.

O sistema de detecção usava sensores de sulfeto de hidrogênio como proxy para metil mercaptana e alarmava a uma concentração equivalente de 25 partes por milhão. Os sinais apareciam em um painel de controle continuamente monitorado. No entanto, o pessoal de campo não tinha alarme sonoro ou visual automático de metil mercaptana dentro ou no prédio de fabricação. A comunicação verbal deveria preencher a lacuna. Detectores pessoais de metil mercaptana estavam disponíveis no local, mas não foram fornecidos para uso rotineiro em campo.

O odor era particularmente enganoso. A metil mercaptana pode ser sentida em concentrações extremamente baixas, bem abaixo do teto da OSHA, portanto, um odor não indica por si só que uma dose perigosa existe. No outro extremo, a fadiga olfativa pode fazer com que se deixe de percebê-lo. O treinamento aparentemente aconselhava os trabalhadores a não confiarem no odor e a usarem aparelho de respiração autônomo ao responder a um alarme. A prática operacional, no entanto, permitiu que o odor e os alarmes recorrentes se tornassem condições de fundo.

As indicações de alta pressão também competiam pela atenção. Quando o hidrato se soltou por volta das 3h, o líquido entrou no coletor e as pressões dos equipamentos de processo aumentaram. O operador do painel acreditou ver o acúmulo familiar de água principalmente no coletor e se concentrou em evitar uma sobrepressão dos equipamentos. Ele não relacionou a tendência de pressão à operação de liberação do bloqueio nem reconheceu os alarmes de gás como evidência de uma liberação significativa. As informações de processo existiam, mas a interface não transformou as anomalias em interação em um único evento inteligível.

A OSHA subsequentemente preservou um registro legal específico sobre o desempenho dos alarmes. Seu detalhe de citação sobre o sistema de alarme final indica que o sistema de alarme dos funcionários não forneceu tempo de aviso suficiente para permitir que os trabalhadores escapassem do prédio Lannate/API. A citação alcançou uma ordem final por acordo formal em junho de 2017. Isso é mais restrito do que a análise sistêmica do CSB, mas juridicamente mais específico: o registro de trabalho resolvido identificou a falha do sistema de alerta dos funcionários em si.

Um projeto de controle moderno tornaria a detecção tóxica tanto local quanto gradual. Os alarmes deveriam soar e piscar onde a exposição pode ocorrer, identificar a área afetada, acionar restrições de entrada e alcançar o comandante do incidente. A racionalização de alarmes deveria distinguir um teste de baixo nível esperado de detecções anormais repetidas durante a solução de problemas. As tendências deveriam correlacionar concentração de gás, vazão do tanque de alimentação, pressão do coletor, status da ventilação e posição das válvulas. Alarmes repetidos deveriam aumentar o nível de resposta em vez de se tornarem mais fáceis de ignorar.

Uma ventilação quebrada removeu uma camada importante de mitigação

O prédio de fabricação abrigava equipamentos que poderiam liberar produtos químicos altamente tóxicos. Sua ventilação era importante tanto para a higiene industrial de rotina quanto para a concentração produzida por um vazamento. No momento do incidente, nem o ventilador do lado úmido nem o ventilador do lado seco estavam funcionando. O procedimento do local previa restringir o acesso quando um ventilador estivesse indisponível, mas a prática real de acesso não mudou.

Uma auditoria anterior havia revelado incerteza sobre a capacidade do sistema de ventilação de atingir seu objetivo de projeto. O CSB encontrou exemplos em que ações corretivas foram encerradas após um plano ou comunicação, em vez de depois de provar que a condição subjacente estava corrigida. Essa é uma distinção crítica em trabalho de alto risco. “Ação concluída” pode significar que um e-mail foi enviado, uma ordem de serviço foi criada ou um gerente concordou com um plano futuro. Nada demonstra as trocas de ar, o desempenho de captura ou a concentração segura durante uma liberação crível.

O registro de encerramento adequado teria exigido dados de teste. Deveria mostrar a disponibilidade dos ventiladores, o fluxo de ar em pontos definidos, a diluição esperada para cenários de liberação, a função de alarme e intertravamento, a lógica de entrada restrita, a autorização de manutenção diferida e a proteção respiratória compensatória. Se um prédio depende de ventilação ativa, a perda desse sistema deveria ser visível para qualquer pessoa que possa entrar, e a entrada deveria ser fisicamente ou processualmente bloqueada até que uma revisão de riscos autorizada estabeleça condições seguras.

A primeira ação pública da OSHA descreveu o problema em termos diretos. O comunicado do Departamento do Trabalho de maio de 2015 anunciou 11 violações alegadas e US$ 99.000 em multas propostas, incluindo uma alegação recorrente sobre treinamento de ventilação e resposta quando os ventiladores paravam. Eram citações propostas no momento da publicação, não a configuração final eventual.

O registro de inspeção subsequente da OSHA fornece o limite da disposição. Mostra o caso encerrado em 2017 com dez violações atuais e US$ 106.375 em penalidades atuais após acordo formal; um item não grave foi rejeitado, e a mistura atual diferia do anúncio inicial. O registro inclui itens resolvidos sobre procedimentos, integridade mecânica, gestão de mudanças, alarmes, exposição e treinamento. Relatar o banco de dados final evita que um número de imprensa inicial seja confundido com a ordem final.

Procedimentos existiam, mas a operação anormal escapou deles

A DuPont tinha requisitos corporativos para ruptura de linha, gestão de mudanças, materiais altamente tóxicos e resposta de emergência. A falha de responsabilidade não foi uma ausência total de regras. Foi a lacuna entre as regras e o trabalho realmente executado. A prática de drenagem do coletor não era tratada com o rigor que a norma de ruptura de linha da empresa previa. Nenhum plano de trabalho escrito específico abordava o conteúdo tóxico, o isolamento, os equipamentos de proteção e as etapas de drenagem durante essa condição anormal.

A equipe do dia deixou instruções escritas para a equipe seguinte, mas a transferência não comunicou adequadamente como a configuração de liberação do hidrato havia modificado o conteúdo e os perigos do coletor. O processo criminal subsequente se concentrou em parte na ausência de instruções suficientes e na prevenção de uma drenagem perigosa. Um operador que chegava entendia o coletor por meio de seu histórico operacional normal: o líquido acumulado era geralmente tratado como condensado. Esse modelo mental era fatalmente errado assim que o bloqueio era liberado.

Um trabalho seguro requer uma fronteira positiva em torno das exceções. Um alinhamento temporário de válvulas deveria ter um proprietário, uma hora de início e fim, um plano marcado, verificação independente e transferência obrigatória. Uma equipe não deveria aceitar a responsabilidade por um bloqueio de material tóxico não resolvido sem um plano de operação anormal escrito. A abertura de uma tubulação de processo deveria exigir isolamento verificado, verificações de pressão e composição, confinamento de destino, EPI, uma pessoa de reserva, monitoramento de gás e autorização por alguém independente do objetivo de produção.

A solução de problemas também precisa de critérios de parada. O odor, alarmes de gás repetidos, ventilação indisponível e composição incerta do coletor deveriam ter forçado uma escalada. Juntos, deveriam ter encerrado a intervenção de rotina. Se a organização permite que cada desvio seja considerado separadamente, o trabalhador na válvula se torna a última pessoa que se espera que monte uma imagem de risco no nível do sistema que a engenharia e a gerência não montaram antes.

A lição de transferência se estende além das fábricas químicas. Pequenos fornecedores, subcontratados e empresas vizinhas dependem dos serviços públicos, sistemas de emergência e comunicação de perigos do local anfitrião. Um trabalho não rotineiro pode modificar infraestruturas compartilhadas de resíduos, ventilação ou resposta. Uma transferência controlada deve, portanto, alcançar cada operador a jusante e empresa cujas suposições mudaram, não apenas a equipe que chega na unidade de origem.

A equipe falhou por concentração de funções e ausência de substituto — não uma narrativa comprovada de fadiga

O registro apoia uma crítica à equipe, mas não justifica a especulação de que a fadiga causou o evento. O relatório do CSB não identificou uma conclusão sobre horas de trabalho ou sono como conclusão causal. A evidência mostra, em vez disso, que o conhecimento e as tarefas críticas estavam concentradas em pessoas que se tornaram indisponíveis, enquanto o operador restante estava sobrecarregado. A responsabilidade exige preservar essa distinção.

O supervisor de turno servia normalmente como coordenador de processo durante uma emergência. Esse papel deveria identificar a fonte e o tamanho de uma liberação, aconselhar o comandante do incidente, decidir sobre a evacuação da unidade e monitoramento fora do local, e fornecer conhecimento técnico específico da unidade. O supervisor estava entre as pessoas neutralizadas. Embora o plano nomeasse substitutos primários e secundários, eles eram funcionários diurnos e não estavam no local à noite e nos fins de semana. Nenhum substituto no local preencheu o papel.

O operador do painel podia ver os dados de processo que eventualmente demonstravam fluxo anormal do tanque de armazenamento de metil mercaptana. Mas ele era constantemente solicitado a se comunicar com os respondedores, atender a solicitações e até mesmo desenhar plantas do prédio. Nenhum engenheiro ou especialista técnico estava presente para analisar o processo independentemente durante a resposta inicial. A equipe técnica de plantão não foi envolvida cedo o suficiente.

A bomba do tanque de armazenamento não foi parada até cerca de três horas após o início da liberação, e a válvula de isolamento de emergência não foi fechada até cerca de sete horas após o início.

Isso é um problema de projeto de resiliência. Um papel de emergência crítico para a segurança requer um substituto qualificado fisicamente disponível ou contactável imediatamente para cada período de operação. O operador da sala de controle deve ser protegido de tarefas de coordenação quando o diagnóstico contínuo do processo é essencial. O suporte técnico remoto deve ter acesso seguro a tendências, plantas e status de válvulas. A garantia de equipe deve testar noites, fins de semana e perdas simultâneas, não apenas o organograma normal diurno.

A fadiga continua sendo um risco geral legítimo no trabalho por turnos, mas não deve ser inserida neste caso sem evidência. Uma empresa responsável preservaria mesmo assim os horários, horas extras, chamadas e registros de aptidão para o trabalho para que os investigadores pudessem testar a questão. A ausência de conclusão publicada sobre fadiga não prova que o escalonamento era ideal; significa que este artigo não alega que a fadiga é uma causa.

O primeiro resgate expôs mais pessoas ao mesmo perigo

Quando um trabalhador fez um pedido de socorro, colegas entraram no prédio para ajudar. Eles não tinham alarme automático do prédio informando que uma liberação tóxica importante estava em andamento. Dois socorristas foram neutralizados e morreram; outros dois escaparam. Um trabalhador pegou um equipamento de respiração e tentou ajudar seu irmão, mas foi neutralizado antes de conectar sua própria máscara ao seu SCBA. Não foi falta de coragem. Foi um sistema que permitia uma resposta de resgate instintiva antes que a atmosfera e os controles de entrada fossem estabelecidos.

O local compartilhava uma equipe de resposta de emergência entre a DuPont e as empresas inquilinas. O chamado inicial pedia "pessoas de resgate" e dizia que trabalhadores estavam desaparecidos. Os membros da equipe interpretaram isso como um resgate técnico e trouxeram cordas e cintos em vez de EPI para liberação química. Quando perceberam que um gás tóxico estava envolvido, uma mini-bomba transportando SCBAs e rádios não partiu. Os primeiros respondedores careciam de monitoramento rápido do ar, e a zona quente não estava claramente marcada ou controlada.

A ausência do coordenador de processo agravou cada problema. Os respondedores não tinham inicialmente um especialista que pudesse explicar a unidade, identificar o produto químico e direcionar o isolamento. Uma chamada para o 911 comunicou que quatro pessoas estavam desaparecidas, mas não forneceu o perigo químico. A primeira entrada da ERT começou cerca de 35 minutos após a solicitação de assistência. Um exercício anterior havia recomendado que os respondedores recebessem plantas do local; a ação não foi atribuída e acompanhada até o fim, portanto, nenhuma planta utilizável do prédio estava disponível durante a busca.

O CSB emitiu recomendações provisórias antes de seu relatório final. Elas pediam um plano integrado de ação corretiva e reinicialização, participação da força de trabalho, divulgação pública e um programa atualizado de resposta de emergência multiempresas. Os elementos de resposta incluíam especialistas técnicos substitutos, protocolos de alerta claros, manutenção de veículos, monitoramento atmosférico, plantas de prédios, exercícios, análise de dados de processo, controle de zona quente, orientação de alerta ao público e monitoramento no limite do local.

Esses são controles de continuidade. Um sistema de comando de incidentes deve ser capaz de operar depois que o supervisor da unidade se torna vítima. Veículos de resposta e monitores devem ter verificações documentadas de prontidão. Planos devem existir antes de uma emergência. Equipes de resgate devem treinar na estrutura real e com colegas de empresas inquilinas. Um pedido de socorro tóxico deve, por padrão, acionar proteção contra atmosfera perigosa quando a substância e a concentração são incertas.

A decisão de alerta à comunidade baseou-se em informações incompletas

O odor de metil mercaptana foi relatado além do local, e o processo criminal subsequente afirmou que o produto se moveu a favor do vento para Deer Park e além. No entanto, o CSB não conseguiu determinar a concentração exata fora do local ou o risco à saúde, se houver, porque o monitoramento do ar em tempo real não o estabeleceu. Nenhuma lesão fora do local foi relatada no registro provisório do CSB. Essas duas declarações andam juntas: um odor forte e movimento de pluma não provam uma dose tóxica particular, enquanto a ausência de medida impede uma segurança confiante.

Alguns membros da equipe de resposta acreditavam erroneamente que a metil mercaptana era mais leve que o ar, embora as próprias informações técnicas da DuPont a descrevam como mais pesada que o ar. A ERT não usou os dados dos detectores fixos do prédio para avaliar a migração fora do local. A modelagem da liberação baseou-se em uma quantidade suposta baixa com base em descrições verbais, em vez do fluxo real de inventário. O comando do incidente não ordenou que os residentes ao redor tomassem medidas de proteção.

Uma boa divulgação comunitária começa com gatilhos conservadores. Se a taxa de liberação é desconhecida, os respondedores devem estabelecer uma zona de proteção inicial usando informações críveis de pior caso, informar as autoridades públicas e reduzir a zona à medida que dados confiáveis melhoram. Instrumentos fixos no limite do local podem fornecer evidências contínuas; equipes móveis treinadas com EPI apropriado podem complementá-los. Os modelos devem exibir suas suposições e incerteza, e não transformar uma entrada não fundamentada em precisão aparente.

A continuidade do setor público também depende de interfaces de informação. A fábrica, os respondedores do Condado de Harris, os planejadores de emergência locais e as instalações vizinhas precisam de identificação química compartilhada, estimativa de liberação, informações de vento, recomendação de medida de proteção e uma cadência de atualização. Uma comunidade não deve ter que interpretar o odor ou relatos sociais enquanto o comando do incidente ainda decide se a pluma existe.

O CSB identificou uma lacuna na cultura de segurança de processos por trás das deficiências individuais

A DuPont tinha uma estrutura sofisticada de gestão de segurança de processos em nível corporativo e comercializava sua expertise em segurança. O CSB, no entanto, concluiu que La Porte não implementou o sistema de forma eficaz e não avaliou formalmente sua cultura de segurança de processos antes do evento. Este é um problema de legitimidade institucional: uma estrutura reconhecida pode criar confiança sem estabelecer se o local de trabalho realmente honra suas exigências.

O relatório distinguia o desempenho em segurança pessoal da segurança de processos. As taxas de lesões podem melhorar enquanto os sistemas de contenção, alarme, isolamento e emergência se deterioram. Arranjos de incentivo focados em métricas de lesões pessoais podem até desencorajar a notificação se os trabalhadores acreditarem que um evento registrável afetará a remuneração da equipe.

O remédio não é abandonar a prevenção de lesões, mas dar aos indicadores de processo adiantados peso independente: manutenção crítica em atraso, frequência de alarmes, modificações operacionais temporárias, vazamentos repetidos, desvios, falhas em exercícios de emergência e ações corretivas não verificadas.

A qualidade das auditorias é igualmente importante. O CSB constatou que o cronograma de ações corretivas era seguido, mas algumas ações eram consideradas encerradas sem confirmar que a intenção da recomendação havia sido atendida. Uma métrica de encerramento pode, portanto, recompensar a rapidez administrativa em detrimento da redução de riscos. A etapa de verificação deve ser realizada por alguém independente do proprietário da ação e deve exigir evidências de campo: equipamento instalado, resultados de testes, demonstrações dos operadores, planos atualizados, alarmes observados e controles em modo degradado exercidos.

A inspeção ampliada da OSHA mostrou que as preocupações ultrapassavam a unidade acidentada. O pacote de citações de julho de 2015 da OSHA alegava inicialmente quatro violações graves, três voluntárias e uma recorrente com US$ 273.000 em multas propostas, relativas a informações de processo, análise de riscos, procedimentos e integridade mecânica nas operações de herbicida e fluoreto de hidrogênio. Como o próprio pacote adverte, a emissão não estabelece por si só uma violação final se contestada.

O registro final da inspeção ampliada mostra o que sobreviveu ao acordo: cinco violações atuais, três graves e duas recorrentes, com US$ 285.848 em penalidades atuais; dois itens foram removidos, e as classificações voluntárias não subsistiram como itens voluntários atuais. A diferença entre os registros inicial e final não é uma nota de rodapé. É a fronteira probatória entre a decisão de acusação de uma agência e a disposição após contestação.

A aplicação civil tratou das falhas do programa de gestão de riscos após o fechamento

Em 2018, a EPA e o Departamento de Justiça resolveram alegações sob o programa de gestão de riscos da Clean Air Act. O comunicado de acordo da EPA indicou que a queixa alegava 22 violações, incluindo falhas envolvendo procedimentos operacionais escritos, gestão de mudanças, práticas de trabalho seguras e integridade mecânica. A DuPont concordou em pagar uma penalidade civil de US$ 3,1 milhões.

Esta foi uma resolução civil de alegações de violações regulatórias, não uma condenação criminal. O acordo não exigiu medidas injuntivas porque a instalação não estava mais em operação. Esse limite é importante. Um acordo monetário pode estabelecer uma consequência e resolver um caso, mas o fechamento significa que não pode demonstrar que a unidade acidentada implementou com sucesso controles de processo reprojetados em condições de produção.

O antigo local também enfrentou aplicação ambiental mais ampla. Um anúncio federal e texano de 2020 descrevia um acordo de US$ 3,195 milhões resolvendo alegações de violações de resíduos perigosos, água e ar provenientes de operações passadas. Essas alegações não eram simplesmente um segundo julgamento jurídico sobre as quatro mortes. Diziam respeito a determinações de resíduos, tratamento ou armazenamento, restrições de aterro, prevenção de derramamentos e emissões do tratamento biológico de águas residuais.

A folha de informações da EPA identifica as obrigações em andamento no local fechado: caracterizar sedimentos e, se aplicável, solo e águas subterrâneas ao redor das bacias de tratamento; submeter resultados de risco e controle de qualidade; empreender ações corretivas se necessário; melhorar o monitoramento de resíduos e tratar controles de água e ar. O Estado do Texas compartilhou a penalidade civil. Isso dá à comunidade um registro de reparação além do acidente, mas a família de evidências continua sendo a limpeza ambiental e conformidade, não a prova de reformulação da segurança dos trabalhadores.

A página do consentimento subjacente importa porque um comunicado de imprensa resume um acordo enquanto o decreto carrega os termos executórios. Nenhum dos dois registros deve ser usado para alegar que toda violação alegada foi julgada em um julgamento. A formulação apropriada é que as partes resolveram alegações específicas e impuseram pagamentos e obrigações definidos.

O caso criminal passou da acusação às confissões e sentença

Um grande júri federal indiciou a DuPont e o ex-gerente de operações da unidade, Kenneth Sandel, em janeiro de 2021. O anúncio de acusação do Departamento de Justiça alegou falhas deliberadas em implementar práticas de trabalho seguras exigidas e uma liberação negligente. Alegou também que as operações Lannate e Vydate geravam aproximadamente US$ 123 milhões de receita líquida anual em 2014. Nesse estágio, eram acusações, e o governo afirmou expressamente que uma acusação não é prova e que os acusados são presumidos inocentes até condenação.

A disposição ocorreu em abril de 2023. De acordo com o registro de sentença do Departamento de Justiça, a DuPont e Sandel se declararam culpados de negligência criminal. Eles admitiram ter liberado negligentemente uma substância extremamente perigosa no ar ambiente; a empresa também reconheceu ter colocado negligentemente uma pessoa em perigo iminente de morte ou lesão grave sob a Clean Air Act.

O tribunal ordenou que a DuPont pagasse uma penalidade de US$ 12 milhões e cumprisse dois anos de liberdade condicional, durante os quais o escritório de liberdade condicional dos EUA tinha acesso completo a seus locais de operação. A empresa também foi condenada a fazer um pagamento de serviço comunitário de US$ 4 milhões à National Fish and Wildlife Foundation para projetos de qualidade do ar nas margens oeste da Baía de Galveston. Sandel recebeu um ano de liberdade condicional. O DOJ afirmou que, com os casos civis relacionados, a DuPont teria pago US$ 19,26 milhões pela conduta.

As confissões são mais estreitas e mais fortes do que a acusação. Elas estabelecem negligência criminal na conduta de liberação admitida; elas não decidem automaticamente cada alegação inicialmente feita, cada conclusão do CSB ou cada local da empresa. Inversamente, seria incorreto descrever o resultado como simplesmente uma alegação após as confissões de culpa e sentença. A responsabilidade legal depende do uso do status que finalmente se aplicou.

A liberdade condicional criou um recurso de acesso em nível corporativo, mas suas evidências públicas têm limites. O acesso completo para agentes de liberdade condicional é um poder de supervisão importante; o registro público citado aqui não fornece auditoria local por local do que os agentes inspecionaram ou dos resultados. Uma avaliação de sustentabilidade responsável deve, portanto, distinguir a existência de liberdade condicional da prova de que cada processo tóxico comparável foi reparado.

A empresa subsequentemente divulgou o resultado em seu próprio depósito SEC do primeiro trimestre de 2023, afirmando que a EIDP se declarou culpada da acusação de liberação negligente e aceitou a multa de US$ 12 milhões e o pagamento de US$ 4 milhões. Esse registro corporativo corrobora a disposição legal ao mesmo tempo que mostra como a reestruturação corporativa complicou a identidade: a entidade histórica E. I. du Pont se tornou uma subsidiária da Corteva, embora o público ainda usasse “DuPont” para o operador no momento do evento.

O fechamento removeu a unidade, mas também limitou a evidência de operação reparada

A unidade Lannate permaneceu fechada após o incidente. Em março de 2016, a DuPont decidiu não reiniciar a instalação de fabricação de inseticidas. Seu depósito do primeiro trimestre de 2016 registrou um encargo antes de impostos de US$ 75 milhões incluindo custos de ativos, rescisão de contrato e demissão, e descreveu um fornecimento alternativo para os ingredientes ativos de Lannate e Vydate.

Um depósito anual subsequente de 2017 relatou o fechamento como um encargo de US$ 68 milhões em 2016 após ajustes e confirmou que a instalação estava fechada desde novembro de 2014. A unidade de negócios de inseticidas foi posteriormente demolida. Esses depósitos fornecem evidências datadas pela empresa da medida operacional e da consequência econômica, não uma conclusão sobre por que cada decisão de fechamento foi tomada.

O fechamento é uma forma forte de eliminação de riscos para o equipamento exato. Nenhum trabalhador pode mais ser exposto por esses drenos demolidos. Mas o fechamento também significa que as melhorias propostas não foram provadas por uma reinicialização e produção sustentada. Uma recomendação de reprojetar a ventilação, os procedimentos ou o isolamento pode se tornar inaplicável em vez de implementada com sucesso. A diferença deve ser visível em qualquer registro de responsabilidade.

A página de status das recomendações do CSB mostra nove recomendações fechadas e nenhuma aberta. Algumas são “Fechadas – Ação aceitável”, enquanto outras são “Fechadas – Não aplicável” porque a operação ou reinicialização relevante não existia mais. A página registra que a divulgação pública atingiu o objetivo do Conselho e descreve o trabalho de resposta de emergência multiempresas. Isso não significa que as nove recomendações foram fisicamente implementadas na unidade demolida.

A reestruturação corporativa cria outro problema de evidência. A entidade histórica, a propriedade do local, a empresa agrícola e os sucessores não permaneceram em um perímetro corporativo simples. As lições devem seguir a tecnologia de processo, as pessoas e os passivos através das separações. Um conselho deve ser capaz de mostrar qual entidade jurídica atual possui cada ação, quais locais operacionais apresentam perigos comparáveis de metil mercaptana ou coletor de gás, e qual função de garantia independente verificou a conclusão.

Como seriam evidências de implementação duradouras

A primeira família de evidências é a revalidação de riscos. Cada local que manuseia materiais altamente tóxicos deve identificar bloqueios por frio, entrada de água, alinhamentos temporários de válvulas, sistemas de vapor que podem receber líquido, drenos atmosféricos e prédios ocupados fechados. As equipes de APR devem documentar caminhos causais completos, mortes realistas ou consequências fora do local, a independência das medidas de segurança e o risco residual. Revisores independentes devem contestar classificações de consequências baixas e registrar por que um cenário é excluído.

A segunda é o confinamento técnico. Os registros devem mostrar que os sistemas de ventilação tóxica têm separação de líquidos e drenagem fechada, que os drenos não podem descarregar em prédios ocupados, e que o isolamento de emergência é remoto, testado e ligado a detecção crível. Configurações temporárias devem ser visíveis eletronicamente e limitadas no tempo. O desempenho da ventilação deve ser testado em relação ao projeto, e a perda de ventilação deve restringir automaticamente a entrada ou forçar um modo protegido definido.

A terceira é a detecção acionável. Detectores fixos devem ser adequados ao produto químico, calibrados, mapeados para alarmes de campo e testados em condições degradadas. Os operadores devem receber monitores pessoais onde uma rede fixa não pode garantir alerta. As revisões de alarmes devem identificar alarmes falantes ou normalizados e exigir ações corretivas. Um painel deve correlacionar a ativação do detector com vazão do tanque, pressão, posição das válvulas e ventilação, preservando dados brutos para investigadores e representantes da força de trabalho.

A quarta é a autoridade processual. Planos de operação anormal devem definir um responsável pelo incidente, um revisor técnico, transferência de turno, limite de ruptura de linha, EPI exigido e gatilhos de parada de trabalho. Nenhum objetivo de produção ou recuperação deve anular um alarme tóxico, um sistema de mitigação indisponível ou uma composição de material desconhecida. Operadores e subcontratados devem poder parar o trabalho e escalar fora da linha hierárquica local sem retaliação.

A quinta é a continuidade da resposta. Cada turno precisa de especialistas técnicos principais e substitutos. Operadores de sala de controle não devem ser sobrecarregados com tarefas de despacho e mapeamento. Veículos de emergência, SCBAs, rádios e monitores exigem testes de prontidão documentados. Socorristas internos e públicos devem treinar nas estruturas reais, estabelecer zonas quentes, contabilizar pessoal, analisar dados de processo, emitir alertas comunitários conservadores e testar interfaces com empresas inquilinas.

A sexta é a prova de ações corretivas. Datas de conclusão sozinhas são insuficientes. O verificador deve examinar o equipamento instalado, testes funcionais, planos atualizados, demonstrações de alarmes, registros de treinamento, entrevistas com trabalhadores e resultados de exercícios. Auditorias corporativas recorrentes devem amostrar itens fechados e reabrir aqueles cujo risco subjacente persiste. Os conselhos devem receber as ações atrasadas e aquelas ineficazmente encerradas, não apenas uma porcentagem de conclusão favorável.

Finalmente, as evidências de remediação devem permanecer específicas ao canal. Penalidades da OSHA demonstram aplicação no local de trabalho; acordos da EPA demonstram aplicação civil ambiental e de prevenção de acidentes; confissões de culpa e liberdade condicional demonstram responsabilidade criminal; fechamento demonstra eliminação de uma configuração; status de recomendações do CSB demonstra como o Conselho classificou as respostas dos destinatários. Nenhuma prova sozinha segurança corporativa duradoura. A prova é sua convergência com evidências operacionais em instalações sucessoras.

O teste de responsabilidade é se o próximo sinal anormal pode parar o trabalho

La Porte não foi um caso em que cada aviso estava oculto. A química era conhecida. A APR mencionava o hidrato. O local cheirava a metil mercaptana e registrava alarmes. A falha de ventilação era visível. Os problemas de pressão do coletor eram recorrentes. Um exercício anterior havia identificado plantas faltantes. Os dados de processo mostravam eventualmente fluxo contínuo do tanque. A falha institucional foi que esses fatos permaneceram separados e toleráveis até que trabalhadores entrassem em uma atmosfera mortal.

A legitimidade industrial depende, portanto, de uma questão prática: quem pode converter sinais fracos em uma parada? A engenharia deve impedir que um alinhamento temporário use um coletor inadequado. As operações devem tratar alarmes tóxicos repetidos como escalada, não como ruído de fundo. A manutenção deve tornar a disponibilidade de ventilação uma condição de ocupação. A sala de controle deve ter pessoal suficiente para diagnosticar o processo enquanto outros coordenam a resposta. O comando de emergência deve agir sobre a incerteza antes que a comunidade possa ser exposta.

A aplicação produziu consequências reais: penalidades finais da OSHA, acordos civis, confissões criminais, uma multa significativa e um pagamento, liberdade condicional e fechamento da instalação. Esses resultados respondem parcialmente à questão da responsabilidade. A parte restante é prospectiva. O registro público deve mostrar que as lições viajaram além de um prédio demolido para processos comparáveis, sociedades sucessoras, inspeções regulatórias e práticas da força de trabalho.

A reforma corporativa mais significativa seria a prova de que o próximo operador confrontado com um bloqueio frio, pressão incomum, ventilador com falha ou alarme tóxico repetido não precisa deduzir o perigo sozinho. O sistema deve tornar o caminho perigoso fisicamente difícil, o alerta impossível de ignorar e a autoridade para parar o trabalho mais forte do que o impulso de restaurar a produção. Essa é a barreira que faltava em La Porte — e o padrão pelo qual seu legado deve ser julgado.