Кратко

  • 15 ноября 2014 года на предприятии DuPont в Ла-Порте (Техас) примерно 24 000 фунтов метилмеркаптана выбросило в цех производства инсектицида Lannate и вокруг него. В производственном здании погибли три оператора и сменный супервайзер. Комиссия по химической безопасности (CSB) заключила, что причиной выброса стали ошибочная инженерная конструкция и недостаточные меры защиты, а провалы в анализе опасностей, управлении изменениями, операционной практике, вентиляции, обнаружении, связи и аварийном реагировании усугубили последствия.
  • Физическая цепочка событий была понятна ещё до катастрофы. Холодная погода и вода в системе подачи могли привести к образованию твёрдого гидрата метилмеркаптана. Документы DuPont признавали такую возможность за годы до этого, но на площадке не было ни электрообогрева трубопроводов, ни безопасной процедуры удаления гидрата. При устранении неисправности рабочие нагрели линию и подключили её к коллектору сброса паров. Когда затор рассосался, жидкий метилмеркаптан попал в трубопровод коллектора с нижними точками, без оборудования для безопасного удаления жидкости и с дренажными клапанами, открывающимися внутрь плохо вентилируемого здания.
  • Предупреждающая информация существовала, но не превратилась в защитные действия. За предшествующие 17 часов прозвучало 32 сигнала газовой тревоги. У рабочих на площадке не было автоматической звуковой или световой сигнализации в здании, и они не носили на регулярной основе персональные детекторы метилмеркаптана. Оператор на пульте управления интерпретировал изменения давления как привычную проблему с конденсатом. Оба основных вентилятора не работали, однако доступ ограничен не был. Выброс продолжался около 40 минут, прежде чем его масштаб стал понятен, и ещё более шести часов, прежде чем удалось полностью изолировать источник.
  • Ответственность наступала через разные институты, и её нельзя сводить к одному вердикту. CSB представила необязательные выводы расследования. OSHA вынесла и впоследствии урегулировала предписания по охране труда. EPA и Министерство юстиции урегулировали гражданские претензии о нарушении программы управления рисками. Позднее обвинительное заключение сформулировало уголовные обвинения; в 2023 году DuPont и руководитель производственного участка признали вину в преступной небрежности, что привело к штрафу для компании, платежу на общественные цели и пробации. Отдельные экологические соглашения касались более широких проблем с отходами, водой и воздухом на бывшей площадке.
  • Закрытие производства инсектицидов устранило конкретную конфигурацию, но само по себе не доказывает исправление ситуации на уровне всего предприятия. Устойчивыми доказательствами стали бы данные о том, что сопоставимые объекты DuPont или компаний-правопреемников заново подтвердили сценарии токсичных выбросов, установили более безопасные по своей конструкции дренажи и системы изоляции, сделали сигналы тревоги действенными на местах, предусмотрели аварийных дублёров в каждой смене, проверили аварийное оборудование, независимо подтвердили закрытие корректирующих действий и позволили работникам остановить производство или перезапуск, если они сомневались в безопасности.

Нарушение технологического процесса стало смертельным выбросом, потому что защитные барьеры отсутствовали

Центральный документ расследования —итоговый отчёт CSB. В нём описан выброс примерно 24 000 фунтов метилмеркаптана — высокотоксичного и горючего химического вещества, используемого в производстве инсектицида Lannate. Большая часть вещества попала в четырёхэтажное производственное здание. Четверо рабочих погибли от сочетания удушья и острого ингаляционного отравления. Двое других операторов, которые вошли в здание, выжили. Вывод отчёта о причинах однозначен: ошибочная инженерная конструкция и недостаточные средства защиты привели к выбросу; многочисленные недостатки управления безопасностью усугубили его последствия.

Этот вывод — результат федерального расследования безопасности, а не уголовного приговора. CSB не назначает штрафы, не присуждает гражданскую компенсацию и не устанавливает вину. Её ценность в другом. Она восстанавливает картину по оборудованию, сигнализации, технологическим данным, операционным записям, интервью и аварийным действиям, чтобы объяснить, почему физическая локализация и организационное реагирование отказали одновременно.

Поэтому её выводы следует представлять именно как выводы CSB, тогда как последующие решения OSHA, гражданские мировые соглашения, обвинения и признания вины в уголовном деле сохраняют собственный правовой статус.

Событие началось не со спонтанного разрыва сосуда. В трубопровод подачи метилмеркаптана попала вода, и в холодную погоду образовался твёрдый льдоподобный клатратный гидрат. В предшествующий период температуры были достаточно низкими для этого механизма. Технический стандарт DuPont по метилмеркаптану и более ранние работы по анализу опасностей процесса признавали, что вода и метилмеркаптан могут образовывать пробку. Однако на площадке не было ни электрообогрева для предотвращения её образования, ни утверждённой процедуры безопасного разрушения пробки после её появления.

Операционный персонал подал горячую воду на наружную поверхность изолированного трубопровода. Поскольку нагрев запертого материала должен был повысить давление, техническая группа проложила путь в коллектор сброса отходящих газов, ведущий к печи дожига с восстановлением оксидов азота. Клапаны между системой подачи жидкости и этим паровым коллектором были открыты, чтобы можно было наблюдать давление и сбрасывать его. Эта схема рассматривалась как устранение неисправности, но она изменила то, что коллектор мог принять. Когда гидрат растаял, коллектор стал путём для жидкого метилмеркаптана.

Коллектор и раньше был слабым барьером. Установленный в 2011 году, он имел нижние точки, в которых накапливались жидкости, и не имел ни отбойного барабана, ни аналогичного инженерного устройства для их безопасного отделения и удаления. Случаи высокого давления стали обычными. Руководство реагировало тем, что поручало операторам открывать ручные дренажные клапаны в атмосферу внутри здания и направлять жидкость в напольные сливы, в одном случае — с помощью шланга под работающим аварийным душем. Площадка не отбирала пробы регулярно сливаемой жидкости, чтобы установить её состав.

Обходной путь нерешённой конструкторской проблемы стал обычной работой.

Всообщении CSB о публикации итогового отчётапоследствия резюмированы так: метилмеркаптан вышел через два клапана в плохо вентилируемом здании после того, как рабочие взялись за, казалось бы, рутинную проблему давления. Эта формулировка важна. Операторы столкнулись не с непредсказуемым химическим явлением. Они вошли в систему, в которой пересеклись известная опасность пробки, временная обвязка, неподходящий паровой коллектор и атмосферный дренаж — и этому пересечению позволили произойти.

Анализ опасностей процесса предвидел образование пробки, но недооценил её последствия

Анализ опасностей процесса должен прорабатывать правдоподобный сценарий от исходного события до последствий, проверять средства защиты и требовать действий там, где риск неприемлем. В PHA DuPont за 2011 год был сценарий, по которому обратный поток воды мог создать гидрат метилмеркаптана в линии подачи. Команда предложила наружный нагрев как способ его разрушения. Но она не проработала в полной мере опасности, возникающие при нагреве пробки, включая то, куда направятся освободившиеся жидкость и пар и как будут защищены работники.

Решающей оказалась оценка риска. PHA отнёс сценарий с гидратом к категории низких последствий, соответствующей отсутствию значительных травм или вреда здоровью. При такой классификации частота не могла вынудить принять меры по матрице площадки. Таким образом, анализ зафиксировал предвестник, не рассматривая потенциально смертельный токсичный выброс как его последствие. Реестр опасностей может выглядеть полным, но подводить именно в ключевом месте: в превращении известного отклонения в реалистичный путь воздействия.

Урок для управления не сводится к фразе «провести более качественный PHA». Достоверный пересмотр должен был проследить попадание воды, температуру окружающей среды, образование гидрата, наружный нагрев, тепловое расширение, временную обвязку клапанов, миграцию жидкости в паровую систему, нижние точки коллектора, открытые дренажи, вентиляцию здания и вход работников. Каждое звено было познаваемо. Команда должна была также поставить под сомнение допущение, что средство защиты остаётся независимым. Дренаж, обслуживаемый работниками внутри опасной зоны, нельзя засчитывать так же, как дистанционно изолированную замкнутую систему сбора.

Правильная классификация последствий должна была привести к физическим изменениям. Электрообогрев мог бы снизить образование гидрата. Закрытый дренаж или отбойный сосуд могли бы предотвратить выброс в атмосферу внутри здания. Дистанционная или автоматическая изоляция могла бы остановить поток продукта. Спроектированное соединение для устранения неисправности могло бы направить материал в систему удержания. Стационарное обнаружение с локальной сигнализацией и блокировками вентиляции могло бы предупредить или заблокировать вход. Требования к органам дыхания могли бы быть последним рубежом, а не основным ответом на неисправную локализацию.

Этот случай также показывает, почему PHA должен охватывать нештатные режимы. Обычные производственные чертежи сами по себе не описывали обвязку клапанов, использованную для устранения пробки. Команда, выполнявшая устранение неисправности, не провела анализ управления изменениями (MOC) перед подключением линии подачи к коллектору отходов. CSB установила, что эффективный MOC проверил бы проектное назначение коллектора и признал бы, что трубопровод, предназначенный для пара, несовместим с большим притоком жидкого метилмеркаптана.

Многочисленные сигналы тревоги не означали качественного предупреждения

За 17 часов до смертельного выброса при устранении неисправности на панели управления сработало 32 сигнала газовой тревоги по метилмеркаптану. Часть персонала связывала сигналы и запах с текущими работами, а не с нарастающей аварией. Частое воздействие запаха на низком уровне и многократное срабатывание детекторов привели к тому, что оба сигнала стали привычными. Работники здания не получили автоматического локального сообщения о том, что в атмосфере сложилась смертельная опасность.

Система обнаружения использовала датчики сероводорода как суррогат для метилмеркаптана и подавала сигнал при эквивалентной концентрации 25 частей на миллион. Сигналы появлялись на постоянно обслуживаемом пульте управления. Однако у персонала на площадке не было автоматической звуковой или световой сигнализации по метилмеркаптану в производственном здании или на нём. Предполагалось, что разрыв закроет устное оповещение. Персональные детекторы метилмеркаптана были доступны на площадке, но не выдавались для регулярного использования в поле.

Особенно обманчивым был запах. Метилмеркаптан ощущается при чрезвычайно низких концентрациях, значительно ниже предельно допустимого уровня OSHA, поэтому сам по себе запах не свидетельствует об опасной дозе. С другой стороны, утомление обоняния может привести к тому, что человек перестанет его воспринимать. Согласно материалам, обучение советовало работникам не полагаться на запах и использовать автономный дыхательный аппарат при реагировании на сигнал. Тем не менее операционная практика позволила запаху и повторяющимся сигналам стать фоновым условием.

За внимание конкурировали и показания высокого давления. Когда около трёх часов ночи гидрат разрушился, жидкость попала в коллектор, и давление в технологическом оборудовании выросло. Оператор на пульте решил, что видит привычное накопление в коллекторе, состоящее в основном из воды, и сосредоточился на том, чтобы не допустить превышения давления в оборудовании. Он не связал динамику давления с операцией по устранению пробки и не распознал сигналы газовой тревоги как свидетельство крупного выброса. Технологическая информация существовала, но интерфейс не превратил взаимодействующие аномалии в единое понятное событие.

OSHA впоследствии зафиксировала конкретный правовой документ о качестве оповещения. Витоговой карточке предписания о системе сигнализацииуказано, что система оповещения работников не обеспечила достаточного времени для выхода из здания Lannate/API. Предписание стало окончательным в результате официального мирового соглашения в июне 2017 года. Это уже, чем системный анализ CSB, но юридически конкретнее: урегулированный документ об охране труда зафиксировал отказ самой системы оповещения работников.

Современное проектирование управления сделало бы обнаружение токсичных веществ локальным и ступенчатым. Сигналы должны звучать и мигать там, где возможно воздействие, указывать поражённую зону, включать ограничение входа и доходить до руководителя ликвидации аварии. Рационализация сигнализации должна отличать ожидаемую низкоуровневую проверку от повторяющихся аномальных срабатываний при устранении неисправности. Тренды должны связывать концентрацию газа, расход из питающей ёмкости, давление в коллекторе, состояние вентиляции и положение клапанов.

Повторяющиеся сигналы должны повышать уровень реагирования, а не становиться легче для игнорирования.

Вышедшая из строя вентиляция лишила систему важнейшего средства защиты

В производственном здании находилось оборудование, способное выбрасывать высокотоксичные химические вещества. Поэтому его вентиляция имела значение и для обычной производственной гигиены, и для концентрации, создаваемой утечкой. На момент инцидента не работал ни вентилятор «мокрого» конца, ни вентилятор «сухого» конца. Процедура площадки предусматривала ограничение доступа при недоступности вентилятора, но фактическая практика доступа не изменилась.

Более ранние аудиты уже выявили неопределённость относительно того, способна ли вентиляция выполнить проектное назначение. CSB нашла примеры, когда корректирующие действия закрывались после составления плана или сообщения, а не после подтверждения того, что исходная проблема устранена. Это критически важное различие в работе с высокими опасностями. «Действие выполнено» может означать, что отправлено письмо, создан наряд-заказ или руководитель принял будущий план. Ни одно из этих действий не доказывает ни кратность воздухообмена, ни эффективность улавливания, ни безопасную концентрацию при реальном выбросе.

Для правильного закрытия необходимо было бы иметь данные испытаний. Они должны показывать доступность вентиляторов, воздушный поток в определённых точках, ожидаемое разбавление по сценариям выброса, работу сигнализации и блокировок, логику ограничения входа, разрешение на отложенное техническое обслуживание и компенсирующую защиту органов дыхания. Если здание зависит от активной вентиляции, потеря этой системы должна быть видна каждому, кто может войти, а вход должен быть физически или процедурно заблокирован до тех пор, пока уполномоченная оценка риска не установит безопасные условия.

Первое публичное действие OSHA описало проблему прямо. Всообщении Министерства труда от мая 2015 годаобъявлялось о 11 предполагаемых нарушениях и предлагаемых штрафах на сумму 99 000 долларов, включая повторное нарушение, связанное с обучением действиям при остановке вентиляторов. На момент публикации это были предложенные предписания, а не итоговая конфигурация.

Более поздняязапись OSHA об инспекциизадаёт границу итогового урегулирования. Она показывает, что дело было закрыто в 2017 году с десятью действующими нарушениями и текущими штрафами в размере 106 375 долларов после официального мирового соглашения; один пункт, не связанный с серьёзными нарушениями, был отклонён, и итоговый набор отличался от первоначального объявления. В запись входят урегулированные пункты о процедурах, механической целостности, управлении изменениями, сигнализации, воздействии и обучении. Отражение итоговой базы данных не позволяет спутать первоначальную цифру для прессы с окончательным предписанием.

Процедуры существовали, но нештатные действия вышли за их рамки

В DuPont были корпоративные требования к вскрытию трубопроводов, управлению изменениями, работе с высокотоксичными материалами и аварийному реагированию. Провал ответственности заключался не в полном отсутствии правил, а в разрыве между правилами и фактически выполняемой работой. Практика осушения коллектора не соблюдалась с той строгостью, которую предполагал стандарт компании по вскрытию трубопроводов. Ни один конкретный письменный план работ не учитывал токсичное содержимое, изоляцию, средства защиты и этапы дренирования в этом нештатном режиме.

Дневная смена оставила письменные инструкции следующей смене, но передача смены не донесла должным образом, как схема устранения пробки изменила содержимое коллектора и его опасности. Уголовное дело впоследствии частично сосредоточилось на невыдаче достаточных инструкций и непринятии мер против небезопасного дренирования. Заступающий оператор понимал коллектор через его обычную историю работы: накопленную жидкость обычно считали конденсатом. Эта мысленная модель оказалась фатально неверной, как только пробка была устранена.

Безопасная работа требует чёткой границы вокруг исключений. Временная обвязка клапанов должна иметь ответственного владельца, время начала и окончания, отмеченный чертёж, независимую проверку и обязательную передачу смены. Смена не должна принимать ответственность за неустранённую закупорку с токсичным материалом без письменного плана нештатной работы. Вскрытие технологического трубопровода должно требовать подтверждённой изоляции, проверок давления и состава, системы удержания в точке назначения, СИЗ, наблюдающего, газового контроля и разрешения лица, независимого от производственной цели.

Устранение неисправностей также нуждается в критериях остановки. Запах, повторяющиеся сигналы газовой тревоги, неработающая вентиляция и неопределённый состав в коллекторе — каждый из этих факторов должен был принудительно поднимать уровень реагирования. Вместе они должны были прекратить рутинное вмешательство. Если организация позволяет рассматривать каждое отклонение по отдельности, работник у клапана становится последним, от кого ожидают составления общей картины риска на уровне системы, которую инженеры и менеджмент не собрали раньше.

Урок о передаче смены выходит за пределы химических заводов. Мелкие поставщики, подрядчики и соседние компании-арендаторы зависят от коммуникаций, аварийных систем и оповещения об опасностях принимающей площадки. Нештатные работы могут изменить общую инфраструктуру отходов, вентиляции или реагирования. Поэтому контролируемая передача должна охватывать каждого нижестоящего оператора и арендатора, чьи допущения изменились, а не только заступающую смену в исходном подразделении.

Кадровое обеспечение подвело из-за концентрации ролей и отсутствия резерва — а не из-за доказанного утомления

Материалы дела подтверждают критику кадрового обеспечения, но не дают оснований для предположений, что причиной события стало утомление. В отчёте CSB нет вывода о часах работы или сне как о причине. Вместо этого доказательства показывают, что критические знания и обязанности были сконцентрированы у людей, которые стали недоступны, тогда как оставшийся оператор был перегружен. Ответственная оценка требует сохранять это различие.

Сменный супервайзер обычно выполнял роль координатора процесса при аварии. Эта роль предполагала определение источника и масштаба выброса, консультирование руководителя ликвидации аварии, принятие решения об эвакуации подразделения и мониторинге за пределами площадки, а также предоставление технических знаний о конкретном подразделении. Супервайзер оказался среди пострадавших. Хотя в плане были названы основной и резервный дублёры, они были дневными сотрудниками и отсутствовали на площадке ночью и в выходные. Никто из находящихся на площадке не занял эту роль.

Оператор на пульте мог видеть технологические данные, которые в итоге показали аномальный расход из резервуара с метилмеркаптаном. Но его постоянно отвлекали для связи со спасателями, ответов на запросы и даже составления планов здания. На раннем этапе реагирования на площадке не было инженера или технического специалиста, который независимо анализировал бы процесс. Дежурных технических специалистов привлекли к проблеме недостаточно быстро. Насос резервуара остановили только примерно через три часа после начала выброса, а аварийную запорную арматуру закрыли примерно через семь часов.

Это проблема проектирования устойчивости. Для критически важной аварийной роли нужен квалифицированный дублёр, физически доступный или немедленно вызываемый в каждый период работы. Оператору на пульте нужна защита от координационных задач, когда необходим непрерывный анализ процесса. Удалённая техническая поддержка должна иметь защищённый доступ к трендам, чертежам и состоянию клапанов. Обеспечение кадрами должно проверять ночные смены, выходные и одновременные потери людей, а не только обычную дневную организационную схему.

Утомление остаётся законным общим риском сменной работы, но его не следует вносить в этот случай без доказательств. Ответственная компания всё равно сохранила бы графики, сверхурочные, вызовы и записи о допуске к работе, чтобы следователи могли проверить этот вопрос. Отсутствие опубликованного вывода об утомлении не доказывает, что графики были идеальными; это означает, что данная статья не называет утомление причиной.

Первая спасательная операция подвергла опасности ещё больше людей

Когда один из рабочих подал сигнал бедствия, коллеги вошли в здание, чтобы помочь. У них не было автоматической сигнализации здания, которая сообщила бы о крупном токсичном выбросе. Двое спасателей пострадали и погибли; ещё двое выбрались. Один рабочий достал дыхательное оборудование и попытался помочь своему брату, но потерял сознание, не успев подключить собственную маску к баллону дыхательного аппарата. Это было не отсутствие мужества. Это была система, которая допустила инстинктивную спасательную реакцию до того, как были установлены контроль атмосферы и ограничения на вход.

На площадке действовала объединённая аварийно-спасательная команда DuPont и компаний-арендаторов. Первый вызов просил «спасателей» и сообщал, что рабочие пропали. Члены команды поняли это как техническое спасение и принесли верёвки и страховочные системы, а не СИЗ для работы с химическими выбросами. Когда стало ясно, что речь идёт о токсичном газе, малый пожарный автомобиль с дыхательными аппаратами и радиостанциями не завёлся. У первых спасателей не было оперативного контроля воздуха, а граница опасной зоны не была чётко обозначена или контролировалась.

Отсутствие координатора процесса усугубило каждую проблему. У спасателей изначально не было эксперта, который мог бы объяснить устройство подразделения, определить химическое вещество и руководить изоляцией. Звонок в 9-1-1 сообщил, что пропали четыре человека, но не назвал химическую опасность. Первый вход аварийно-спасательной команды начался примерно через 35 минут после запроса помощи. Более ранние учения рекомендовали передавать спасателям планы территории; действие не было назначено и не отслеживалось до завершения, поэтому при поиске не оказалось пригодного плана здания.

CSB выпустилапромежуточные рекомендациидо итогового отчёта. Они предусматривали комплексный план корректирующих действий и перезапуска, участие работников, раскрытие информации и обновлённую программу аварийного реагирования нескольких компаний. Элементы реагирования включали резервных технических специалистов, чёткие протоколы оповещения, техническое обслуживание транспорта, контроль атмосферы, планы зданий, учения, анализ технологических данных, контроль опасной зоны, рекомендации по оповещению населения и мониторинг на границе площадки.

Это инструменты обеспечения непрерывности. Система управления инцидентом должна работать даже после того, как супервайзер подразделения становится пострадавшим. Спасательная техника и приборы контроля должны иметь документированные проверки готовности. Планы должны существовать до аварии. Спасательные команды должны тренироваться в реальном здании и вместе с коллегами компаний-арендаторов. Сигнал бедствия, связанный с токсичным веществом, должен по умолчанию предполагать защиту от опасной атмосферы, когда вещество и концентрация неизвестны.

Решение об оповещении населения опиралось на неполные данные

Запах метилмеркаптана ощущался за пределами площадки, а более поздние материалы уголовного дела утверждали, что вещество распространилось по ветру в Дир-Парк и далее. Тем не менее CSB не смогла определить точную концентрацию за пределами площадки или риск для здоровья, если таковой был, поскольку одновременный мониторинг воздуха не зафиксировал её. В промежуточном отчёте CSB не сообщалось о пострадавших за пределами площадки. Эти два утверждения связаны: сильный запах и движение облака не доказывают конкретную токсичную дозу, а отсутствие измерений не позволяет уверенно заверить в безопасности.

Часть спасательного персонала ошибочно считала метилмеркаптан легче воздуха, хотя техническая документация самого DuPont описывала его как более тяжёлый, чем воздух. Аварийно-спасательная команда не использовала данные стационарных детекторов здания для оценки распространения за пределы площадки. Моделирование выброса опиралось на допущение о небольшом количестве, основанное на устных описаниях, а не на фактическом потоке из резервуара. Руководство ликвидацией аварии не дало указаний жителям окрестностей о защитных действиях.

Хорошее информирование населения начинается с консервативных критериев. Если скорость выброса неизвестна, спасатели должны установить первоначальную зону защиты на основе достоверной информации о наихудшем случае, уведомить органы власти и сужать зону только по мере поступления надёжных данных. Стационарные приборы на границе площадки могут давать непрерывные данные; обученные мобильные группы в соответствующих СИЗ могут их дополнять. Модели должны показывать свои допущения и неопределённость, а не превращать неподтверждённые исходные данные в кажущуюся точность.

Непрерывность работы государственного сектора также зависит от информационных интерфейсов. Завод, спасательные службы округа Харрис, местные планировщики аварийных работ и соседние объекты нуждаются в общей информации о веществе, оценке выброса, ветре, рекомендованных защитных действиях и периодичности обновлений. Население не должно интерпретировать запах или сообщения в соцсетях, пока руководство ликвидацией аварии ещё решает, существует ли облако.

CSB выявила за отдельными недостатками пробел в культуре промышленной безопасности

У DuPont была развитая корпоративная система управления промышленной безопасностью, и компания позиционировала себя как эксперта по безопасности. Тем не менее CSB установила, что в Ла-Порте система не внедрялась эффективно и культура промышленной безопасности не оценивалась формально до события. Это проблема институциональной легитимности: признанная система может создавать уверенность, не подтверждая, соблюдаются ли её требования на самой площадке.

В отчёте различались показатели личной безопасности и промышленной безопасности. Показатели травматизма могут улучшаться, в то время как системы локализации, сигнализации, изоляции и аварийного реагирования деградируют. Стимулирующие схемы, ориентированные на показатели травматизма, могут даже препятствовать сообщениям, если работники считают, что учитываемый случай повлияет на вознаграждение команды.

Лекарство не в отказе от предотвращения травм, а в придании независимого веса опережающим индикаторам процесса: просроченному обслуживанию критически важных систем, частоте сигналов тревоги, временным изменениям режима, повторяющимся утечкам, обходам защит, провалам аварийных учений и непроверенным корректирующим действиям.

Качество аудита столь же важно. CSB установила, что сроки корректирующих действий отслеживались, но некоторые действия считались закрытыми без подтверждения того, что намерение рекомендации было выполнено. Поэтому показатель закрытия может вознаграждать административную скорость вместо снижения риска. Проверку должен проводить кто-то независимый от владельца действия, и она должна требовать полевых доказательств: установленного оборудования, результатов испытаний, демонстрации оператором, обновлённых чертежей, проверенных сигналов тревоги и отработанных режимов при деградации систем.

Расширенная инспекция OSHA показала, что озабоченность выходила за пределы аварийного подразделения. Впакете предписаний OSHA от июля 2015 годапервоначально утверждалось о четырёх серьёзных, трёх умышленных и одном повторном нарушении с предлагаемыми штрафами в размере 273 000 долларов, касающихся технологической информации, анализа опасностей, процедур и механической целостности на производствах гербицидов и фтористого водорода. Как предупреждает сам пакет, выдача предписания сама по себе не означает окончательного нарушения, если оно оспаривается.

Итоговая запись расширенной инспекциипоказывает, что осталось после урегулирования: пять действующих нарушений — три серьёзных и два повторных — с текущими штрафами в размере 285 848 долларов; два пункта были удалены, а категория умышленных нарушений не сохранилась в качестве действующих умышленных. Разница между первоначальной и итоговой записями — не примечание к тексту. Это граница доказательств между решением ведомства о предъявлении претензий и итогом после их оспаривания.

Гражданско-правовые меры затронули нарушения программы управления рисками уже после остановки завода

В 2018 году EPA и Министерство юстиции урегулировали претензии по программе управления рисками в рамках Закона о чистом воздухе. Впресс-релизе EPA об урегулированииговорилось, что иск содержал утверждения о 22 нарушениях, включая недостатки письменных операционных процедур, управления изменениями, безопасных методов работы и механической целостности. DuPont согласилась выплатить гражданский штраф в размере 3,1 млн долларов.

Это было гражданское урегулирование предполагаемых нарушений регулирования, а не уголовное осуждение. Соглашение не требовало обязательных мер по суду, поскольку объект больше не работал. Это ограничение важно. Денежное урегулирование может установить последствия и закрыть дело, но остановка производства означает, что оно не может продемонстрировать успешное внедрение переработанного управления процессом в условиях производства.

Бывшая площадка также столкнулась с более широкими экологическими мерами. Вобъявлении 2020 года от федеральных властей и штата Техасговорилось об урегулировании на сумму 3,195 млн долларов, закрывающем предполагаемые нарушения, связанные с опасными отходами, водой и воздухом от прошлой деятельности. Эти претензии не были просто вторым юридическим решением по поводу четырёх смертей. Они касались классификации отходов, их обработки или хранения, ограничений на захоронение в грунте, предотвращения разливов и выбросов от биологической очистки сточных вод.

Информационный лист EPAназывает сохраняющиеся обязательства на закрытой площадке: охарактеризовать осадки и, где указано, почву и грунтовые воды вокруг очистных прудов; предоставить результаты оценки риска и контроля качества; при необходимости провести ответные меры; улучшить учёт отходов и заняться системами контроля воды и воздуха. Штат Техас разделил гражданский штраф. Это даёт населению запись о мерах, выходящую за рамки аварии, но семейство доказательств остаётся в области экологической очистки и соблюдения требований, а не доказательств перепроектирования безопасности для работников.

Страница согласительного судебного постановленияважна, потому что пресс-релиз резюмирует урегулирование, тогда как само постановление содержит обязательные условия. Ни один из этих документов не следует использовать для утверждения, что каждое предполагаемое нарушение было рассмотрено судом. Корректная формулировка такова: стороны урегулировали указанные претензии и установили определённые выплаты и обязательства.

Уголовное дело прошло путь от обвинения к признанию вины и приговору

Федеральное большое жюри предъявило обвинение DuPont и бывшему руководителю производственного участка Кеннету Санделу в январе 2021 года. Взаявлении Министерства юстиции о предъявлении обвиненияутверждалось о сознательном невыполнении обязательных безопасных методов работы и о небрежном выбросе. Также утверждалось, что производства Lannate и Vydate принесли в 2014 году около 123 млн долларов годового чистого дохода. На этом этапе это были обвинения, и правительство прямо заявило, что обвинительное заключение не является доказательством, а обвиняемые считаются невиновными, пока их вина не доказана.

Итог наступил в апреле 2023 года. Согласнозаписи Министерства юстиции о приговоре, DuPont и Сандел признали вину в преступной небрежности. Они признали, что по небрежности выпустили в атмосферный воздух чрезвычайно опасное вещество; компания также признала, что по небрежности поставила человека в непосредственную опасность смерти или тяжкого телесного повреждения в нарушение Закона о чистом воздухе.

Суд обязал DuPont выплатить штраф в размере 12 млн долларов и пройти два года пробации, в течение которых Управление пробации США имело полный доступ к её производственным площадкам. Компании также предписали внести 4 млн долларов в порядке общественных работ Национальному фонду рыболовства и дикой природы на проекты по качеству воздуха на западных берегах залива Галвестон. Сандел получил один год пробации. Минюст заявил, что с учётом связанных гражданских дел DuPont выплатила бы за эти действия 19,26 млн долларов.

Признания уже и сильнее обвинительного заключения. Они устанавливают преступную небрежность в признанном поведении, связанном с выбросом; они не разрешают автоматически каждое первоначально предъявленное обвинение, каждый вывод CSB или каждую площадку компании. В то же время было бы неправильно после признания вины и приговора описывать исход просто как обвинение. Правовая ответственность требует использовать статус, который в итоге применился.

Пробация создала меру доступа на уровне компании, но у её публичных доказательств есть пределы. Полный доступ для сотрудников пробации — это значительное полномочие по надзору; публичные материалы, на которые ссылается данная статья, не содержат пообъектного аудита того, что проверяли сотрудники, и его результатов. Поэтому ответственная оценка устойчивости должна отличать факт пробации от доказательства того, что каждый сопоставимый токсичный процесс был исправлен.

Впоследствии компания раскрыла исход в собственнойзаявке в SEC за первый квартал 2023 года, указав, что EIDP признала вину по обвинению в небрежном выбросе (проступок) и согласилась на штраф в 12 млн долларов и выплату в 4 млн долларов. Этот корпоративный документ подтверждает правовой итог, а также показывает, как корпоративная реструктуризация усложнила идентификацию: историческое юридическое лицо E. I. du Pont стало дочерней компанией Corteva, хотя публика по-прежнему называла оператора на момент события «DuPont».

Остановка устранила производство, но и ограничила доказательства восстановления безопасной работы

Производство Lannate осталось остановленным после инцидента. В марте 2016 года DuPont решила не возобновлять выпуск инсектицидов на этом предприятии. Взаявке за первый квартал 2016 годабыл отражён доналоговый расход в размере 75 млн долларов, включающий затраты на активы, расторжение контрактов и выходные пособия, а также описаны альтернативные источники действующих веществ для Lannate и Vydate.

Более поздняягодовая заявка за 2017 годсообщила о закрытии как о расходе 2016 года в размере 68 млн долларов после корректировок и подтвердила, что предприятие остановлено с ноября 2014 года. Производство инсектицидов впоследствии демонтировали. Эти документы дают датированное корпоративное подтверждение операционной меры и экономических последствий, а не вывод о том, почему принималось каждое решение о закрытии.

Остановка — это сильная форма устранения риска для конкретного оборудования. Ни один работник больше не может получить воздействие через эти демонтированные дренажи. Но остановка также означает, что предложенные улучшения не были проверены через перезапуск и устойчивое производство. Рекомендация перепроектировать вентиляцию, процедуры или изоляцию может стать неприменимой, а не успешно внедрённой. Это различие должно быть видно в любом реестре ответственности.

Страница статуса рекомендаций CSBпоказывает девять закрытых рекомендаций и ни одной открытой. Часть из них — «Закрыто — действие приемлемо», другие — «Закрыто — более не применимо», поскольку соответствующее производство или перезапуск больше не существовали. На странице отмечено, что раскрытие информации достигло цели Комиссии, и описана работа по аварийному реагированию нескольких компаний. Это не означает, что все девять рекомендаций были физически реализованы на демонтированном производстве.

Корпоративная реструктуризация создаёт ещё одну проблему доказательств. Историческое юридическое лицо, собственность площадки, сельскохозяйственный бизнес и компании-правопреемники не остались в одном простом корпоративном периметре. Уроки должны следовать за технологией процесса, людьми и обязательствами через разделения. Совет директоров должен иметь возможность показать, какое текущее юридическое лицо владеет каждым действием, на каких площадках есть сопоставимые опасности метилмеркаптана или коллекторов сброса и какая независимая функция гарантий подтвердила завершение.

Как могли бы выглядеть устойчивые доказательства внедрения мер

Первое семейство доказательств — повторное подтверждение опасностей. Каждая площадка с высокотоксичными материалами должна выявлять пробки при холодной погоде, попадание воды, временные обвязки клапанов, паровые системы, способные принять жидкость, атмосферные дренажи и закрытые здания с пребыванием людей. Команды PHA должны документировать полные причинно-следственные цепочки, реалистичные случаи гибели или последствия за пределами площадки, независимость средств защиты и остаточный риск. Независимые рецензенты должны оспаривать низкие категории последствий и фиксировать, почему сценарий исключён.

Второе — инженерная локализация. Записи должны показывать, что токсичные вентиляционные системы имеют отделение жидкости и закрытый дренаж, что дренажи не могут сбрасывать в здания с людьми, а аварийная изоляция дистанционна, проверена и связана с достоверным обнаружением. Временные конфигурации должны быть электронно видимыми и ограниченными по времени. Производительность вентиляции должна проверяться по проектным параметрам, а потеря вентиляции должна автоматически ограничивать вход или требовать определённого защищённого режима.

Третье — действенное обнаружение. Стационарные детекторы должны соответствовать химическому веществу, быть откалиброваны, связаны с сигнализацией на местах и проверены в условиях деградации. Операторы должны получать персональные мониторы там, где стационарная сеть не может гарантировать предупреждение. Разборы сигнализации должны выявлять «дребезжащие» или ставшие привычными сигналы и требовать корректирующих действий. Информационная панель должна связывать срабатывание детекторов с расходом из резервуара, давлением, положением клапанов и вентиляцией, сохраняя при этом исходные данные для следователей и представителей работников.

Четвёртое — процедурные полномочия. Планы нештатной работы должны определять владельца инцидента, технического рецензента, передачу смены, границы вскрытия трубопроводов, требуемые СИЗ и триггеры остановки работ. Никакая цель производства или восстановления не должна иметь приоритет над сигналом токсичной тревоги, недоступной системой защиты или неизвестным составом материала. Операторы и подрядчики должны иметь возможность остановить работу и эскалировать вопрос вне локальной иерархии без возмездия.

Пятое — непрерывность реагирования. В каждой смене нужны основной и резервный технические специалисты. Операторы пультов не должны быть поглощены диспетчерскими и картографическими задачами. Аварийная техника, дыхательные аппараты, радиостанции и мониторы нуждаются в документированных проверках готовности. Внутренние и государственные спасатели должны тренироваться в реальных зданиях, устанавливать опасные зоны, вести учёт персонала, анализировать технологические данные, выдавать консервативные предупреждения населению и проверять взаимодействие с компаниями-арендаторами.

Шестое — доказательства корректирующих действий. Одних дат завершения недостаточно. Проверяющий должен осмотреть установленное оборудование, функциональные испытания, обновлённые чертежи, демонстрации сигнализации, записи об обучении, интервью с работниками и результаты учений. Регулярные корпоративные аудиты должны выборочно проверять закрытые пункты и возобновлять те, чей лежащий в основе риск сохраняется. Совет директоров должен получать сведения о просроченных и неэффективно закрытых действиях, а не только благоприятный процент завершения.

Наконец, доказательства мер должны оставаться привязанными к конкретному каналу. Штрафы OSHA демонстрируют правоприменение в сфере охраны труда; урегулирования EPA — гражданское правоприменение в экологической и аварийно-профилактической сферах; признание вины и пробация — уголовную ответственность; остановка — устранение одной конфигурации; статус рекомендаций CSB показывает, как Комиссия классифицировала ответы получателей. Ни одно из этих доказательств в отдельности не подтверждает устойчивую безопасность предприятия. Доказательством служит их сходимость с операционными данными на объектах правопреемников.

Критерий ответственности — сможет ли следующий аномальный сигнал остановить работу

Ла-Порт — это не случай, когда все предупреждения были скрыты. Химия была известна. В PHA упоминался гидрат. На площадке ощущался запах метилмеркаптана и фиксировались сигналы тревоги. Отказ вентиляции был виден. Проблемы с давлением в коллекторе повторялись. Более ранние учения выявили отсутствие планов. Технологические данные в итоге показали продолжающийся расход из резервуара. Институциональный провал состоял в том, что эти факты оставались разрозненными и терпимыми, пока работники не вошли в смертельную атмосферу.

Поэтому промышленная легитимность зависит от практического вопроса: кто может превратить слабые сигналы в остановку? Инженерия должна не допустить использования неподходящего коллектора во временной обвязке. Операции должны рассматривать повторяющиеся сигналы токсичной тревоги как эскалацию, а не как фон. Техническое обслуживание должно сделать доступность вентиляции условием нахождения людей в здании. В диспетчерской должно быть достаточно персонала, чтобы диагностировать процесс, пока другие координируют реагирование. Аварийное руководство должно действовать при неопределённости до того, как население может оказаться под воздействием.

Правоприменение дало реальные последствия: окончательные штрафы OSHA, гражданские урегулирования, признания вины в уголовном деле, значительный штраф и выплата, пробация и остановка предприятия. Эти результаты отвечают на часть вопроса об ответственности. Оставшаяся часть обращена в будущее. Публичные материалы должны показывать, что уроки вышли за пределы снесённого здания и дошли до сопоставимых процессов, компаний-правопреемников, инспекций регуляторов и практики работников.

Наиболее значимой корпоративной реформой стали бы доказательства того, что следующему оператору, столкнувшемуся с холодной пробкой, необычным давлением, неисправным вентилятором или повторяющимся токсичным сигналом, не придётся распознавать опасность в одиночку. Система должна делать небезопасный путь физически трудным, предупреждение — невозможным пропустить, а полномочия остановить работу — более сильными, чем импульс возобновить производство. Именно такого барьера не хватало Ла-Порту — и по этому стандарту следует оценивать его наследие.