摘要
- 2005 年 3 月 23 日，BP 德克萨斯城炼油厂异构化装置重启期间，抽余油分馏塔在超过三小时内持续进料而没有任何液体排出。有缺陷或误导性的液位仪表和报警未能显示真实库存。液体进入放空管线，打开泄压阀，使一个常压排污罐和排放塔超负荷，形成可燃蒸气云并点燃。美国化学安全与危害调查委员会（CSB）在其调查页面（https://www.csb.gov/bp-america-texas-city-refinery-explosion/）和最终报告（https://www.csb.gov/file.aspx?DocumentId=5596）中记录 15 人死亡、180 人受伤，经济损失超过 15 亿美元。
- 核心问责问题并非一线操作错误是否发生——确实发生了——而是在于谁对使这些错误变得灾难性的条件拥有实际控制：是否在仪表故障时启动；程序是否与实际操作匹配；是否有另一名控制室操作员和熟悉情况的监督人员在场；是否调查了重复的非正常启动；是否用火炬替换了过时的大气排放系统；是否允许在爆炸危险区内放置移动拖车；以及维护、人员和培训预算是否反映已知风险。
- 最强的因果记录来自 CSB 调查。其 2007 年调查结果发布（https://www.csb.gov/u-s-chemical-safety-board-concludes-organizational-and-safety-deficiencies-at-all-levels-of-the-bp-corporation-caused-march-2005-texas-city-disaster-that-killed-15-injured-180/）将灾难归因于 BP 各层面的组织与安全缺陷，而非单一行为。独立主持的 Baker Panel 报告（https://www.csb.gov/assets/1/20/baker_panel_report1.pdf）另外发现 BP 在美国的五家炼油厂普遍存在工艺安全实质性缺陷，并警告改善的人身伤害率已造成对灾难性工艺风险虚假的信心。
- 执法行动产生了异常大的数字，但不能混淆。OSHA 的公开记录包括 2005 年和解款 21,361,500 美元，后续未能整改的和解款 50,610,000 美元，以及 2012 年覆盖 439 项新增传票中大部分的和解协议 13,027,000 美元。美国司法部宣布违反《清洁空气法》的重罪认罪协议，刑事罚款 5000 万美元，缓刑三年。同一炼油厂的其他民事《清洁空气法》索赔产生单独的 1500 万美元罚款。拟议罚款、最终和解、整改支出、私人民事诉讼和经济损失总额是不同指标，不能安全相加视为一个账单。
- 修复证据充分但非绝对。OSHA 记录显示 ISOM 装置退役、数百项整改行动、独立审计、泄压与保护层审查、培训变更和专项拨款。行业标准在移动建筑选址、工艺安全指标、疲劳和大气排放方面发生变化。但 CSB 在 2025 年 3 月的摘要（https://www.csb.gov/assets/1/6/CSB_BPTC_Investigation_Digest_v3_%28004%29.pdf）指出 26 项建议中仍有 1 项未关闭：OSHA 尚未明确要求对可能影响工艺安全的组织、人员和预算变更进行变更管理审查。因此，持久的问责性需要的不只是关闭整改项，还需要证据表明成本决策不能再次悄无声息地移除安全余量。
为何德州城是成本纪律案例
将德州城称为成本纪律案例并不意味着单一预算指令机械地导致了爆炸。而是指资金、人员、进度、维护、培训和设计决策决定了当启动出现问题时存在哪些防护措施。CSB 记录了一条链条：老旧的排污系统仍向大气敞开，仪表缺陷持续到启动，程序未反映装置常规操作方式，人员和培训减少，临时拖车靠近危险工艺设备。每个条件都有负责人和资源后果。
这一表述也防范了一种简单但不完整的解释：操作员失误。操作员关闭或未打开阀门、持续进料、未识别真实塔液位。这些是已确认的事件要素。但问责分析追问的是，为何系统在危险的启动中如此依赖完美的人为行动。OSHA 当前的工艺安全管理标准（https://www.osha.gov/laws-regs/regulations/standardnumber/1910/1910.119）要求工艺危害分析考虑工程与行政控制、控制失效后果、设施选址和人为因素。它还要求机械完整性工作、操作规程、培训、启动前审查、事件调查、变更管理和合规审计。该架构的存在正是为了避免单一操作员承担控制灾难性库存的全部负担。
因此，成本纪律问题是操作性的：当现场知道仪表不可靠、启动行为常规偏离书面程序、维护工作未完成、泄放排放可能形成蒸气云时，谁有权批准下一笔资金、谁有权停止下一次启动？现场经理可以推迟启动、修复仪表、增加监督、转移人员和提高资本需求。业务单元领导可以设置人员和支出。公司领导可以拒绝不考虑现场状况的一刀切削减。董事会可以要求工艺安全指标，而不是接受低人身伤害率作为重大事故风险受控的证据。监管机构可以检查和执法。标准机构可以定义公认的工程基线。附近拖车里的工人几乎无法控制以上任何决策。
这种控制权的不平等分配是核心问责事实。距离爆炸最近的人，对检查分馏塔、重新设计泄压系统、设定检修计划或挑战炼油厂资本计划的能力最小。因此，持久的记录必须沿着控制权向上游追溯，从点火源开始。
可审计的时间线：从警告到执法
1999-2000 年：合并整合与固定成本压力。BP 通过与 Amoco 合并获得该炼油厂。CSB 最终报告记录了公司目标：到 2001 年将业务单元现金成本较 1998 年水平削减至少 25%。其对 2002 年炼油厂回顾的审查还发现，维护支出在 1990 年代已大幅下降，且削减并未充分考虑该炼油厂的具体维护需求。这是已确认的文献历史。它不证明后续每个缺陷都源自某一预算项目，但确立资源压力在灾难之前就已存在，并波及维护、培训、人员、检查和检修工作。
2002-2004 年：警告累积。内部审查描述了机械完整性、培训、可靠性、报告和文化问题。以往的 ISOM 启动反复出现异常液位和压力，但偏差未转化为有效的学习循环。CSB 指出，2003 年的危害审查建议在启动时增设第二名控制室操作员，但该建议在 2005 年 3 月前未实施。2004 年炼油厂发生两起致命事故，其他严重事件增加了警告信号。问责意义不仅在于事后诸葛亮：管理层在致命启动前已掌握状况恶化的证据。
2004 年末至 2005 年初：另一轮预算挑战遇上薄弱工厂。CSB 报告称，集团炼油领导层进一步提出 2005 年资本削减 25%的挑战。德州城管理层认为削减幅度过大并争取回部分，但未能完全避免。2005 年 2 月向高级炼油领导层的演示包括对工厂状况、生产压力、培训不足、工艺安全整改项关闭不力以及机械可用性差的担忧。同份公开记录描述了炼油厂业务计划警告，该厂可能在 12 至 18 个月内致人死亡。这些事实使危害升级成为治理问题：风险并非完全不可见。
2005 年 3 月 10 日：已知仪表问题未被修复。Baker Panel 复述的 CSB 紧急建议指出，一份工单承认分馏塔液位变送器需要维修，且维修被推迟到启动之后。公开证据未揭示围绕该推迟的每一次讨论或技术理由。但它表明，启动授权和维护完成是管理层控制下的关联决策。
2005 年 3 月 23 日：装置重启，塔器过满。在早晨启动期间，碳氢化合物进入 170 英尺高的抽余油分馏塔超过三小时，而底部无液体排出。仪表向操作员提供虚假画面。三个泄压阀打开约六分钟，将液体送至尺寸不足或不适用的大气排放系统。排污罐装满并从其排气管喷出间歇泉状释放物。形成大型蒸气云，根据 CSB，最可能由附近一辆怠速的柴油皮卡点燃。大约下午 1 点 20 分，爆炸和火灾袭击了装置及周围拖车。所有 15 名遇难者均为在临时拖车内或附近工作的承包商，拖车距离排污罐仅 121 英尺。
2005 年 8 月和 9 月：紧急审查与首次和解。8 月 17 日，CSB 紧急建议 BP 全球董事会委托对高管监督和安全文化进行独立审查。9 月，OSHA 与 BP 就 300 多项已引证缺陷达成和解。OSHA 的 BP 记录中心（https://obis.osha.gov/dep/bp/bp.html）保留了检查、传票、协议和后续验证的序列。
2007 年 1 月和 3 月：两项重大调查公开。Baker Panel 于 1 月发布审查报告。该报告由 BP 根据 CSB 建议委托并资助，但外部主席和小组对结论负责。它检查了美国炼油厂工艺安全文化和监督，而非 2005 年 3 月爆炸的详细根本原因。3 月 20 日，CSB 在审查了超过 3 万份文件、进行 370 次访谈、测试设备并分析控制系统数据和以往启动后，批准了最终事故报告。
2007 年 10 月至 2009 年：刑事问责与受害者权利诉讼。司法部宣布 BP Products North America 将对违反《清洁空气法》的重罪认罪，并支付 5000 万美元刑事罚款，缓刑三年，见（https://www.justice.gov/archive/opa/pr/2007/October/07_ag_850.html）。第五巡回法院后来考虑了受害者是否在认罪协议前被咨询。其意见（https://www.ca5.uscourts.gov/opinions/pub/08/08-20125-CV0.wpd.pdf）认定违反了《犯罪受害者权利法》，因为受害者应有机会在协议达成前进行有意义的协商，尽管法院驳回了所请求的强制执行令。因此，问责范围超出了设备和金钱，延伸至受害者的听证程序。
2009-2012 年：后续执法检验修复真实性。OSHA 2009 年的监测检查产生 270 项未能整改通知和 439 项新的故意违规指控。最初拟议罚款总额为 87,430,000 美元，如劳工部新闻稿（https://www.dol.gov/intelligence team/releases/osha/osha20091030）所记录。随后文书重复减少了未能整改部分，BP 于 2010 年就此部分和解，支付 50,610,000 美元。2012 年，另一协议解决了 409 项新增传票，金额 13,027,000 美元，而分组的泄压问题仍有争议。这一顺序很重要，因为它说明了为何改革公告的证据强度低于监管机构的后续检查。
2013 年 2 月 1 日：运营控制权易手。Marathon Petroleum 2013 年年报（https://www.marathonpetroleum.com/content/documents/Investors/Annual_Report/MPC_Annual_Report_2013_with10-K.pdf）记录了其收购该炼油厂及相关资产。BP 时期的历史责任并未转移，但当前运营控制权确实转移了。任何关于当前工厂状况的说法因此必须区分 BP 的历史责任与后续所有者的职责。
2025 年 3 月至 2026 年 7 月：大多数建议已关闭，一个结构性差距依然存在。CSB 的二十周年回顾报告称 25 项建议成功关闭。一项未关闭的建议要求 OSHA 的 PSM 规则对可能影响工艺安全的合并、重组、人员变更和预算削减进行变更管理审查。CSB 调查页面在 2026 年 7 月 15 日检查时仍显示 25 项关闭、1 项开放。未解决项直接指向本案例的标题：成本和组织决策在削弱控制能力之前，是否必须通过正式安全审查。
物理过程是技术性的，但并非神秘
直接序列可无需推测描述。抽余油分馏塔在维护后重新启动。进料进入塔体，而本应将液体送出的路径仍关闭。塔的液位变送器仅测量 170 英尺高容器底部附近的一个窄范围。它校准有误，另一个高液位报警未能提供所需警告。操作员看到的指示未揭示库存上升。当中午时分真实液位接近塔体上部时，液体进入放空管线并增加泄压阀处的压力。
泄压阀执行了设计功能：它们打开以保护设备免受超压。但泄放目的地对于发生的事件不安全。阀门将可燃材料送至 1950 年代建造的排污罐和大气排气管。罐体无法容纳液体负荷。排气管然后将数千加仑挥发性碳氢化合物释放到露天空气中，在车辆、工艺设备和有人拖车附近形成蒸气云。链条将过填充转变为大规模伤亡爆炸。
泄压阀与安全处置系统的区别至关重要。打开阀门可能防止一个容器破裂，同时如果泄放物质未被包容、回收或安全燃烧，则产生另一种危险。CSB 得出结论，大气系统陈旧且不安全，并且将分馏塔泄压连接至火炬的机会被错过。后来的 2025 年摘要记录，API 修订了其泄压指南，以解决容器过填充问题，并倾向于在常压排放存在蒸气云爆炸风险时采用本质更安全的替代方案。
拖车选址将爆炸转变为人道灾难。拖车为检修工作提供便利，但便利性将非必要人员置于危险装置附近。CSB 发现 13 辆拖车被摧毁，27 辆受损；拖车内人员在距离排污罐数百英尺处受伤。这不是隐藏的化学性质，而是选址决策。API 当前的 RP 753 页面（https://www.api.org/products-and-services/standards/important-standards-announcements/rp753）反映了专门针对工艺装置附近移动建筑的事后标准。
因此，序列提供了多个预防或缓解机会：停止进料、建立准确液位、独立报警、自动停机、保持排放路径畅通、推迟启动、增加监督、将泄压送至火炬、移除点火源、保持人员远离爆炸区。灾难需要多个层级同时缺失、退化、旁路或失效。
实际控制权存在于多个层级
一线操作员控制即时行动，但不控制安全架构。操作员操作阀门、监控屏幕、跨班次沟通、响应报警。如果他们识别出过填充，本可中断启动。但他们的决策受到虚假仪表读数、不完整或不准确的程序、不一致的班次沟通、疲劳、正常化偏差以及未能显示有效物料平衡的控制室设计的影响。将他们的行为作为全部解释，就是把责任分配给在设计并为运行提供资金的条件内操作的人员。
班次和装置监督控制启动准备。监督人员和技术人员可以要求启动前审查、验证仪表和报警功能、确认罐容量和路径、确保程序反映实际条件、配备第二名操作员，并在准备不确定时停止启动。CSB 建议专门针对危险阶段的知识监督和启动期间的额外控制室人员。这表明监督并非仪式性的，而是缺失的保护层。
炼油厂管理层控制维护、程序、人员、选址和本地升级。现场领导可以确定工单优先级、禁止在关键设备故障时启动、调查以往异常启动、更新程序、移动拖车、安装独立液位保护，并向公司领导层上报未解决的风险。它还控制生产目标和检修计划如何转化为日常选择。现场未控制每个公司预算目标，但它控制未解决危害是否被明确化以及运行是否继续。
北美炼油和集团领导层控制资源分配。公司和业务单元领导设定预算挑战、资本优先级、人员模型、绩效合同和职能安全部门的权威。CSB 将警告和研究向上追溯，并得出结论：预算削减和生产压力损害了培训、人员、维护和机械完整性。Baker Panel 同样发现 BP 未能始终为美国炼油厂提供所需资源和工艺安全领导。这就是为何实际问责不止于炼油厂大门。
董事会控制监督设计。董事会不校准液位变送器。它决定管理层是否必须提交领先和滞后工艺安全指标，重大危害是否像财务控制一样受到严格审查，独立审计结果是否保持开放，高管是否对关闭负责，以及削弱防护措施的资源决策是否可见。在德州城之前，人身伤害指标比工艺安全绩效更受重视。较低的滑倒、绊倒和普通伤害率无法显示塔器是否可能过满或泄压系统是否可能产生蒸气云。
监管机构控制标准和执法，但不控制日常运行。OSHA 可以检查、传唤、和解、监控和要求整改。EPA 和司法部可以执行《清洁空气法》的意外释放义务。监管机构无法在 3 月 23 日操作装置，但 CSB 发现此前全面工艺安全检查能力有限。后来的炼油厂国家重点关注计划和广泛的德州城后续工作加强了外部挑战。当前 EPA 40 CFR Part 68 文本可通过（https://www.epa.gov/rmp/general-rmp-guidance-appendix-40-cfr-68）获取；它提供了补充聚焦工人的 PSM 要求的风险管理计划框架。
行业机构控制共享工程基线。API 可以修订关于移动建筑、泄压排放、疲劳和工艺安全指标的指南。共识标准不能替代公司法律义务或现场特定危害分析，但影响公认和一般良好工程实践的范畴。因此，德州城后的修订作为系统级修复具有重要性。
承包商、工人、家属和邻居承担暴露而无相应控制权。承包商从事检修工作并占用由他人选定或批准的拖车。家属在启动授权中没有角色。附近居民依赖炼油厂的包容和应急系统。这种不对称是道德和操作基础，将最强义务分配给预防能力最强的一方。
成本压力通过削弱控制而重要
CSB 不仅注意到预算紧张。它将支出和组织选择与工艺安全能力联系起来。其报告描述了维护、培训、工程、检查、监督和检修支出的削减。它发现炼油厂在未充分分析现场具体维护需求的情况下接受了削减，且支出压力影响了不更换 ISOM 排污系统的决策。它还发现高级领导层收到了关于工厂状况和工艺安全弱点的警告。
正确的推论并非成本控制本身不安全。炼油厂必须管理成本、进度、可靠性和生产。得到支持的推论是：一刀切的削减在未对照每个设施的状况和危害情况测试时变得不安全。25%的目标应用于相对健康的资产与应用于老化、不可靠的炼油厂，所移除的安全余量不同。只有当组织能够显示哪些检查、维修、人员水平、培训课程和防护措施在变更后仍将足够时，成本纪律才成为工艺安全纪律。
这就是为什么 CSB 关于组织变更管理的最重要建议仍处于开放状态。OSHA 的规则明确涵盖工艺化学品、技术、设备、程序和设施的变化，这些变化影响受覆盖的工艺。它未明确列出合并、人员削减、重组或预算削减。但这些变更可以改变使每个物理防护措施可靠的人员和财务能力。开放的建议将迫使组织询问一项非技术性决策是否改变了技术风险。
指标是成本控制的另一种形式。Baker Panel 发现 BP 强调人身安全，并将改善的伤害率解释为工艺安全可接受的证据。人身安全重要，但衡量的是一类不同的失效率。炼油厂可以在减少常见伤害的同时积累腐蚀、逾期测试、报警缺陷、未关闭的危害研究行动、泄压系统弱点和异常启动。API 的 RP 754 页面（https://www.api.org/products-and-services/standards/important-standards-announcements/754）描述了后来用于领先和滞后工艺安全指标的四层框架。教训不是放弃伤害指标，而是防止简单指标掩盖灾难性风险。
疲劳在员工层面也提出了同样的观点。CSB 发现关键操作员已连续工作 12 小时轮班 29 天或更久，其 2025 年摘要称某些关键人员已连续工作多达 39 天。疲劳被评估为可能的促成因素，而非唯一原因。API RP 755（描述于https://www.api.org/products-and-services/standards/important-standards-announcements/recommended-practice-755）源自事后建议，提供了疲劳风险管理框架。排班是成本和容量选择；将其视为仅个人的睡眠问题则回避了雇主对工作时间的控制。
操作员错误是发现，而非终点
公开记录确认了与书面启动程序的偏差。底部流量保持关闭。进料继续。操作员未检测到真实液位。这些事实对能力、培训和程序很重要。但在此止步将与调查结构相矛盾。
首先，异常启动做法已正常化。以往的启动显示高液位、压力波动和程序偏离。当一种变通方法反复成功而未立即造成灾难时，组织可能将生存误认为验证。成熟的工艺安全系统调查偏差、纠正程序或操作、验证防护措施。德州城未将先前警告转化为控制改进。
其次，操作员获得的信息薄弱。液位变送器仅显示塔体高度的一小部分且校准有误。冗余报警故障。显示未提供有效的物料平衡以显示物料进入而未排出。班次沟通未能可靠保留关键指令。人为绩效不能与界面、仪表、人员和沟通设计分离。
第三，程序被用作防止过填充的最不可靠的防护措施。程序可以指导行动，但无法在真实液位危险时物理停止进料。独立的高高液位跳闸、多样指示、自动进料隔离或等效工程层不会依赖一名疲惫的操作员正确协调误导信号。CSB 的建议呼吁有效的仪表、多种液位指示、适当的自动控制以及塔物料平衡的清晰显示。
最后，即使完全未能防止过填充，也未必致死。封闭的火炬系统可以安全管理或大幅减少释放危害。适当选址可以将拖车和非必要人员保持在爆炸区域外。点火控制可以降低概率。问责是分层的，正是为了使一个错误不致造成 15 人死亡。
这并不免除每一个一线决策。它将那些决策置于同一因果地图中，与定义工作量、信息、设备和后果的选择并列。责任应与实际控制和证据成比例，而非与最后一个被操作的阀门最近。
伤害和成本不能压缩成一张罚单
主要伤害是人道性的。15 名工人未能回家。根据 CSB 最终统计，180 人受伤。家庭失去了亲人、收入、照顾和未来时间。幸存者面临身体和心理后果。承包商和员工得知，为工作提供的建筑可能增加其脆弱性。更广泛的德州城社区因工业事件受到惊吓，该事件将烟雾、火焰、应急活动和不确定性扩散至装置之外。
CSB 估计经济损失超过 15 亿美元。该数字体现经济规模，而非生命价值。也不应随意与后续执法或整改金额相加，因类别可能重叠。生产损失、财产损害、索赔、法律费用、整改、罚款和后续投资回答不同问题。
2005 年 OSHA 协议包括 21,361,500 美元付款，记录于 OSHA 最终展品（https://www.osha.gov/enforcement/bp/final-exhibits-to-bp-agreement）。2010 年未能整改和解要求 50,610,000 美元以及至少 5 亿美元投入炼油厂安全计划；劳工部公告见（https://www.dol.gov/intelligence team/releases/osha/osha20100805-0），OSHA 概况见（https://obis.osha.gov/dep/bp/bpsettlementfactsheet.html）。2012 年和解新增 13,027,000 美元以解决大多数额外传票，记录于（https://www.dol.gov/intelligence team/releases/osha/osha20120712）。这些是最终或已和解的执法金额，不同于早期拟议的 87,430,000 美元标题。
司法部刑事和解增加 5000 万美元罚款和缓刑。另一起 2010 年涉及炼油厂其他火灾、泄漏和报告违规的《清洁空气法》民事和解施加了 1500 万美元罚款；司法部和 EPA 描述见（https://www.justice.gov/archives/opa/pr/bp-products-pay-largest-single-facility-clean-air-act-penalty-releases-hazardous-pollutants）。该公告还称，BP 已执行约 14 亿美元的补救行动，并将按 OSHA 和刑事和解要求额外支出约 5 亿美元。这些政府声明记录了规模，但不证明每一美元都产生了有效的防护措施。
私人民事救济无法从本文所用来源完全审计。和解协议可能保密、分类不同或与个别索赔相关。因此，本文不陈述全面的受害者补偿总额。该未知应保持可见，而非用无依据的数字填充。
执法既展示问责也展示延迟
法律记录之所以重要，是因为它测试了若干不同义务。OSHA 处理工作场所工艺安全要求。司法部和 EPA 处理《清洁空气法》的泄漏预防和环境义务。法院处理刑事认罪和受害者法定义务。这些记录均不替代技术调查，技术报告也不决定每个法律问题。
刑事案件确立了企业法律问责，超越行政传票。司法部称，BP 承认从 1999 年至爆炸当天，多项确保机械完整性和安全启动的程序未被建立或遭到忽视。认罪、刑事罚款和缓刑未将每个失败归咎于单个人类罪犯。它们将重罪后果归于《清洁空气法》下的企业实体行为。
受害者的挑战暴露了第二个问责问题：谁参与解决方案。在 In re Dean 案中，第五巡回法院认定政府和地区法院未赋予受害者《犯罪受害者权利法》规定的全部权利，因为认罪谈判在未及时协商的情况下进行。法院拒绝发出特别救济，因为受害者后来有意义地发声的机会，且地区法院仍需考虑协议。两部分都重要。认定权利受到侵犯；认罪未被自动撤销。公平的叙述不应只报告一半。
OSHA 的后续行动揭示了为何结案证据至关重要。2005 年和解要求广泛评估和整改。四年后，该机构指控 270 项未能整改和 439 项新的故意违规。BP 对部分记录提出异议，后来的和解重新分类、分组、撤回或使部分传票保持争议状态。2012 年 OSHA 概况（https://obis.osha.gov/dep/bp/FactSheet-BP-2012-Agreement.html）调和了序列，并表示验证检查发现未能整改项已在 2010 年协议下得到纠正。它还保留了事实：一些泄压阀传票仍在单独诉讼中。
这并非证明 2005 年后一切未变。它证明初始改革不完整，外部验证迫使更多工作。执法延迟也将风险转移到了整改期间仍在炼油厂工作的工人身上。持久的系统不应要求灾难性事件、创纪录和解、后续发现数百项缺陷、以及另一创纪录和解之后，工程基础才能显而易见地达到标准。
更广泛的监管记录也产生了学习。OSHA 创建了炼油厂国家重点关注计划。API 和劳动界发展了标准。然而，CSB 的组织变更建议仍开放。因此，监管问责是混合的：灾后强有力的检查和执法，有意义的标准制定，以及在公司成本和人员选择进入危害系统的点上存在未解决的规则差距。
修复记录实际证明了什么
修复记录有若干证据强度层级。最强的现场特定证据来自监管协议、独立专家工作、检查和 CSB 建议关闭。公司年报增加了有用细节，但仍是自我报告。
OSHA 的 2010 年最终展品称，BP 完成了 2005 年协议施加的大约 660 项整改行动。列出的工作包括关闭和退役 ISOM 装置；纠正 300 多项工艺安全、电气和其他引证缺陷；扩大安全健康培训；委托全面的 PSM 审计；应对其接受的 228 项专家建议中的 220 项；以及实施来自选定装置泄压审查的 100 项建议。同一展品保留了 OSHA 的指控：四项安全仪表系统建议未实施，泄压审查应扩展。证据应包括完成情况和争议。
2010 年和解要求更多：评估泄压装置和系统；纠正与公认工程实践的偏差；稳健的保护层分析；临时控制措施；涵盖所有 28 个工艺单元的时间表；独立专家；季度进展；以及 OSHA 关注的董事会联络人。5 亿美元拨款重要，因为无资金的整改不是计划。2012 年未能整改项已纠正的验证比承诺更强，尽管它未确立每项未来运行决策保持安全。
BP 向 SEC 提交的 2007 年年报（https://www.sec.gov/Archives/edgar/data/313807/000115697308000263/u54999_20f.htm）报告称，它从高风险区域移除了临时建筑，使其相关炼油厂的 17 个排污管退役，完成了 50 项重大事故风险评估，加强审计，并在美国炼油厂雇佣了约 640 名工程、检查和工艺安全支持人员。这些陈述是 BP 当时公开声称并承诺的证据。应与 OSHA 后续调查结果一并阅读，而非替代。
CSB 建议关闭提供了另一层。针对 BP 的建议涉及董事会专长、事件报告、工艺安全指标、仪表、维护历史、与工会的接近失误报告、异常情况培训、启动人员配置、知识监督和当前启动程序。调查页面将这些 BP 导向项列为通过可接受行动或可接受替代行动关闭。关闭意味着 CSB 判断应对措施满足或可接受地解决了建议的目标。它不是防复发保证，也不等同于每个设施持续合规。
行业修复扩大了影响。API RP 753 涉及移动建筑选址。RP 754 创建了工艺安全绩效指标。RP 755 涉及疲劳。API 还修订了关于泄压和减压系统的 RP 521。这些变化将一家公司的灾难转化为共享工程基线。其真正价值取决于采纳、审计、现场实施，以及监管机构和操作者是否使用这些标准挑战方便但薄弱的安排。
修复也需要时间边界。BP 于 2013 年将德州城炼油厂出售给 Marathon。BP 仍对其历史行为和法律责任负责，而 Marathon 承担了收购资产当前的运营控制权。声称“BP 永久修复了德州城”将忽略所有权变更和持续维护的需求。声称后来现场条件自动证明 BP 修复有效同样没有依据。可辩护的结论较窄：公开记录显示了实质性的技术、组织、执法和标准基础修复，随后运营控制权转移。
确认事实、支持推论和未知事项
确认事实。ISOM 启动导致抽余油分馏塔过满。关键指示和报警功能未能向操作员显示真实情况。泄压阀向大气排污系统排放，形成蒸气云，点火产生爆炸和火灾。15 名工人死亡，180 人受伤。有人拖车位于危险区域内。以往启动显示异常行为。人员、疲劳、程序、维护、选址和高管监督问题得到记录。CSB 将灾难归因于多层面的组织与安全缺陷。OSHA 发出了大量传票，后来发现未能整改。BP 达成了刑事、行政和民事和解。大多数 CSB 建议后来关闭，而组织变更管理建议在访问日期仍开放。
支持推论。成本和产量压力降低了安全余量，因为记录在案的支出和人员决策影响了培训、维护、检修工作、监督和危险设备的更换。如果存在独立的过填充保护、可靠指示、封闭火炬系统、规范的启动准备或安全的拖车选址，该事件很可能被防止或大幅减轻。对人身伤害率的依赖削弱了高管对重大事故风险的可见性。这些推论遵循官方发现和控制逻辑；不要求为每名经理分配私人动机。
未知事项。本文使用的公开记录未揭示每项内部讨论、主观动机、工单决策、资本排序模型、法律和解条款、保险理赔、个人医疗结果或售后运营条件。它不允许全面分配超过 15 亿美元的损失（财产、中断、索赔、补救和其他类别）。它不证明 BP 每座炼油厂或每个后来所有者都同样质量地实施了每项教训。它也无法将每个失效层对爆炸严重性的贡献分离为数字因果百分比。
区别保护了严谨性和公平性。确认事实可以支持强有力的制度结论。支持推论可以解释控制设计为何重要。未知事项防止分析变成关于隐藏意图的故事。问责不要求全知；它要求基于证据的责任与控制之间的匹配。
反事实比较：改变后果的控制
有用的反事实追问哪种可用控制可以打断链条，而非完美组织能否避免所有错误。
启动暂停。如果管理层在重启前要求维修并测试液位变送器和报警器，操作员将拥有更可靠的画面，而启动根本不会进行。不确定的是，仅这些维修是否能防止后续每个行动。更强的反事实将准确指示与正式就绪门相结合。
独立过填充保护。如果独立的高高液位装置或物料平衡保护措施自动停止进料，塔器就不可能仅因主指示错误而持续填充。这比要求同一位操作员解释由同一失效链产生的另一报警更强。它直接应对共因和人为响应风险。
封闭泄压处置。如果泄压阀排放到设计合理的火炬或其他封闭系统，超压保护就不会将大量可燃库存喷射到工作区。CSB 指出，火炬将防止或大大降低事故严重性。该反事实不依赖于预测哪辆车点燃蒸气云，因为它阻止云在人和点火源存在的地方形成。
安全选址。如果临时拖车和非必要工人位于模拟爆炸区域之外，事件仍可能损坏设备，但大规模伤亡暴露将根本不同。2018 年 Husky Superior 炼油厂爆炸的官方记录（https://www.csb.gov/husky-energy-superior-refinery-explosion-and-fire/）提供了一个不完美但有启发性的比较。36 名工人受伤，事件造成重大损失，但 CSB 指出许多工人已在休息期间搬到防爆建筑或远离装置。其德州城周年摘要还指出，Superior 炼油厂搬迁了承包商拖车，后来要求防爆单元。这不是对照实验，且不证明选址单独解释了无死亡。它支持较窄的推论：当预防失败时，将人与工艺危害分离会改变暴露。
人员和异常情况管理。第二名训练有素的控制室操作员、知识丰富的监督、有效交接班和逼真的模拟器练习本可以挑战对误导性液位读数的注意。疲劳限制本可改善注意力和判断。这些是行政和人为绩效控制，因此不如自动跳闸独立，但它们为防御增添了多样性。
组织变更管理。如果预算、人员和重组决策要求进行记录在案的工艺安全审查，决策者将不得不指明削减影响了哪些防护措施、能力、检查和整改项关闭。审查可能拒绝变更、资助补偿性控制、或将剩余风险暴露给更高权力。不能肯定地说文书工作会阻止事件。反事实取决于具有真正权威、准确数据和可执行关闭的审查。
这些比较显示了事故何以可预防，而不假装存在一颗银弹。多种控制可用，其中几种可防止释放或将工人与其后果分离。持久的问责需要保持这种冗余。
后来的证据检验学习是否传播
持久性问题延伸至单一修复单元之外。2022 年 9 月，BP 运营的 Toledo 炼油厂发生致命石脑油泄漏和火灾。CSB 调查页面（https://www.csb.gov/bp---husky-oregon-chemical-release-and-fire-/）记录两人死亡、重大财产损失、报警泛滥、液体溢出、薄弱的异常情况管理以及未能从较早事件中汲取教训。CSB 明确指出了 Toledo 和德州城溢流场景的相似性。
该比较必须有边界。Toledo 涉及不同设备、不同序列、不同人员以及后来被另一公司收购的炼油厂。它不证明德州城和解工作是虚假的，或相同的经理做出了相同的决策。它确实表明，仅从一个现场关闭整改项不能推断企业学习。如果公司声称教训是公司性的，考验是危害分析、报警管理、溢流保护、停工授权和事件学习是否跨越设施并能在领导层和所有权变更后生存。
Toledo 记录还强化了控制层级。操作员面临数千个报警和级联的异常情况。当过程在防护措施失效后依赖临时人为响应时，同样的问责模式回归：谁设计了报警理念，谁确保了独立溢流保护，谁将先前发现转化为行动，谁有权停工？比较是相关的，因为失效模式（而非确切硬件）才是工艺安全治理应学习的对象。
行业标准提供了另一种传播机制。移动建筑规则、疲劳系统、工艺安全指标和更安全的泄压指南可以覆盖未参与原始事件的公司。CSB 的 2025 年摘要将这些变化视为积极的行业成果。但发布的标准只是潜在控制。验证需要现场危害研究、工程记录、员工参与、检查、测试、演习以及运行前发现已关闭的证据。
持久的问责测试
德州城通过持久问责测试，仅当证据在头条新闻、和解、领导层变更和炼油厂出售后仍可使用。
第一，技术文件应证明启动安全。它应识别可信的过填充场景；显示独立和正确校准的液位指示；记录报警设定点和测试；演示自动保护行动或已证明的替代方案；显示入口和出口物料平衡；根据实际运行验证程序；并要求能够停止工作的启动前审查。没有测试结果的关闭整改项不够。
第二，后果控制文件应证明失效的预防层不会变成大规模伤亡事件。泄压研究应涵盖液体和蒸气场景；处置应避免存在蒸气云危害的大气可燃排放；点火控制应可信；有人建筑应针对建模的火灾、毒性、射弹和爆炸危害进行定位或建造。临时便利绝不能凌驾于生命安全之上。
第三，人为绩效文件应显示充分的人员、监督、交接班、疲劳限制、能力评估、异常情况演练、可用的控制室显示以及工人停止启动的授权。它应区分责备和学习。一个组织若处分最后一位操作员却留下误导仪表和不可能的工作量，则未修复系统。
第四，机械完整性文件应显示安全关键缺陷在使用前得到修复，或通过记录在案的、有时间限制且真正保障安全运行的控制进行管理。工单年龄、逾期检查、报警损伤、安全仪表系统旁路、泄压装置状态和重复失败应作为领先指标提交给领导层。推迟的工作应确定谁在什么证据基础上接受了风险、多久、以及何种补偿保护。
第五，成本与组织文件应使预算削减、人员变更、合并、重组、外包和检修压缩接受正式安全审查。审查应量化受影响的防护措施和能力，包括员工和工艺安全专家、指定责任审批人、保留异议，并在必要行动关闭前阻止生产恢复。这是 CSB 记录中未解决的监管教训。
第六，治理文件应让高管和董事会直接看到灾难性风险。领先指标应包括逾期关键维护、未关闭的危害分析行动、受损保护层、报警泛滥、包容损失、重复事件、程序偏差、疲劳暴露和审计关闭质量。滞后的人身伤害率仍有用，但不能代替这些衡量。薪酬和晋升不应奖励以携带隐藏工艺风险的代价达成的生产或成本绩效。
第七，监管与补救文件应保存传票、和解、争议项、验证结果、受害者参与和社区影响，而不将其整合成公共关系的总额。第五巡回法院记录显示，受影响的人在刑事解决方案实际固定前必须被倾听。OSHA 记录显示，区分承诺的整改与完成的整改需要后续检查。
最后，学习文件应传播。德州城的教训应出现在每个相关 BP 时代设施、后续所有者系统、行业标准和监管检查实践中。后续事件应触发与原始发现比较，而非被视为孤立意外。所有权转移应包括安全关键承诺的状态和证据，以便出售不重置机构记忆。
截至 2026 年 7 月 15 日的记录支持一个清醒的结论。BP 和行业进行了实质性修复；监管机构施加了重大后果；标准发生了变化；CSB 关闭了大多数建议。同一记录还显示整改延迟、受害者权利侵犯、另一座 BP 运营炼油厂后来的溢流相似性，以及一项仍开放的成本、人员和安全交叉点上的规则制定建议。这就是为何德州城仍是问责测试而非已结束的历史插曲。工艺安全之所以持久，仅当少花钱的权力与记录在案的义务相匹配，即证明较少支出未带来更多风险。