概要
- 2014 年 11 月 15 日，约 24,000 磅甲硫醇在杜邦公司位于德克萨斯州拉波特的工厂的 Lannate 杀虫剂装置周围泄漏。三名操作员和一名轮班主管在制造大楼内死亡。化学品安全委员会（CSB）认定，有缺陷的工程设计和不足的安全防护导致了泄漏，而危害分析、变更控制、操作规程、通风、检测、沟通和应急响应的失败加剧了事态的严重性。
- 事故前的物理链是可以理解的。寒冷天气和进料系统中的水可能形成固态甲硫醇水合物。杜邦的记录多年前已意识到这种可能性，但现场缺乏伴热和安全的除水合物程序。在故障排除过程中，工人对管线加热并将其连接到废气总管。当堵塞清除时，液态甲硫醇进入了具有低点、无安全排液设备且排水阀向通风不良的建筑内部开放的总管管道。
- 警告信息存在但未转化为保护行动。此前 17 小时内发生了 32 次气体报警。现场工人没有自动的声光警报，也未常规佩戴个人甲硫醇检测仪。控制室操作员将压力事件解释为常见的冷凝水问题。两台主通风机均不可用，但进出并未受限。泄漏持续了约 40 分钟才被意识到其规模，又过了六个多小时才完全隔离。
- 问责由不同机构进行，不应归结为一个判决。CSB 做出了不具约束力的调查结论。OSHA 发出并后来和解了工作场所传票。EPA 和司法部解决了民事风险管理计划指控。后来的起诉书提出了刑事指控；2023 年，杜邦和装置操作负责人承认刑事疏忽，导致公司罚款、社区服务付款和缓刑。单独的环境和解涉及原厂址更广泛的废物、水和空气问题。
- 关闭杀虫剂装置消除了具体配置，但本身并不能证明企业范围的修复。持久的证据应显示，类似的杜邦或后续设施重新验证了有毒物质泄漏场景，安装了本质更安全的排水和隔离设施，使警报在现场可操作，为每个班次分配应急后备人员，测试响应设备，独立验证纠正措施关闭，并允许员工质疑以推翻生产或重启压力。
工艺异常演变为致命泄漏，因为防护措施早已缺失
核心法医记录是CSB 的最终调查报告。它描述了大约 24,000 磅甲硫醇的泄漏，这是一种用于 Lannate 杀虫剂工艺的高毒性和易燃化学品。大部分物质进入了一座四层制造大楼。四名工人死于窒息和急性吸入暴露的组合。另外两名进入的操作员幸存。报告的因果结论是直接的：有缺陷的工程设计和不足的安全防护导致了泄漏；多重安全管理缺陷加剧了后果。
该结论是联邦安全调查，而非刑事判决。CSB 不处以罚款、不裁定民事赔偿、不确定有罪。其价值不同。它重建设备、警报、工艺数据、操作记录、访谈和应急行动，以解释物理遏制和组织响应为何同时失败。因此，其调查结果应作为 CSB 结果报告，而随后的 OSHA 处置、民事和解、指控和刑事认罪则保留其自身法律地位。
事件并非始于自发容器破裂。水进入甲硫醇进料管道，在寒冷天气下形成了固态冰状笼形水合物。前期的温度足够低以促成该机制。杜邦的甲硫醇技术标准和先前的工艺危害工作已认识到水和甲硫醇可能形成堵塞。然而，现场既无伴热防止形成，也无明确程序在堵塞形成后安全解离。
操作人员对绝缘管道外部施加热水。由于加热被困物质会增加压力，一个技术团队设计了一条通往废气排放总管（通向氮氧化物还原焚烧炉）的路径。打开液体进料系统和该蒸汽总管之间的阀门，以便观察和释放压力。该安排被视为故障排除，但它改变了废气总管所能接收的物质。当水合物融化时，总管成为液态甲硫醇的通道。
该总管本来就是一个薄弱的防护环节。它于 2011 年安装，具有低点，液体在此积聚，没有分离罐或等效的工程方法安全分离和移除它们。高压事件变得常见。管理层的回应是指导操作员打开通向建筑内部大气的手动排液阀，并将液体导向地漏，有一次使用安全淋浴下的软管。现场未对常规排出的液体进行采样以确定其成分。针对未解决设计问题的变通措施已成为常态。
CSB 的最终报告发布总结了后果：工人在处理看似常规的压力问题时，甲硫醇通过两个阀门逸散到通风不良的建筑内。这一表述很重要。操作员并未遭遇不可预测的化学课。他们进入了一个已知的堵塞危险、临时连接、不合适的蒸汽总管和大气排放被允许交织的系统。
工艺危害分析识别了水合物但低估了其后果
工艺危害分析（PHA）旨在从初始事件到后果制定可信场景，测试防护措施，并在风险不可接受时推动行动。杜邦的 2011 年 PHA 包含了一个场景：水回流可能在进料管线中形成甲硫醇水合物。团队识别了外部加热作为解离方式。但它没有充分开发加热堵塞时产生的危害，包括释放的液体和蒸汽将去向何方，以及工人将如何受到保护。
风险排序是决定性的。PHA 将水合物场景分配为低后果类别，对应无重大伤害或健康影响。有了这一分类，频率无法在现场矩阵下强制减轻措施。因此，分析记录了前兆，但未将潜在致命有毒泄漏视为其后果。危险登记簿可能看起来完整，但在最关键的环节失灵：将已知偏差转化为现实的暴露途径。
控制教训不仅仅是“执行更好的 PHA”。一个可信的审查应追踪水进入、环境温度、水合物形成、外部加热、热膨胀、临时阀门对齐、液体进入蒸汽系统、总管低点、开放排放口、建筑通风和工人进入。每个环节都是可知的。团队还应质疑防护措施保持独立的假设。由危险区内工人操作的排放阀不能像远程隔离的封闭回收系统那样被计入。
正确的后果分类应触发物理改变。伴热可减少水合物形成。封闭排放或分离罐可防止建筑内的大气排放。远程或自动隔离可阻止库存流动。设计良好的故障排除连接可将物质引至收容系统。配备本地警报和通风联锁的固定检测可警告或阻止进入。呼吸防护可作为最后一道防线，而非缺陷密封的主要答案。
该案例还展示了 PHA 必须涵盖非常规模式。正常生产图纸本身并未描述用于清除堵塞的阀门配置。进行故障排除的团队在将进料管线引入废气总管前未进行变更管理（MOC）审查。CSB 发现，有效的 MOC 会检查总管的设计基础，并认识到用于蒸汽的管道无法兼容大量液态甲硫醇的涌入。
警报数量不等同于报警质量
在致命泄漏发生前的 17 小时内，故障排除活动在控制面板上产生了 32 次甲硫醇气体警报。一些人员将警报和气味与正在进行的工作关联，而非不断升级的紧急情况。频繁接触低浓度气味和重复的检测器激活已将这两个信号正常化。建筑内的工人未收到自动本地信息告知存在致命大气。
检测系统使用硫化氢传感器作为甲硫醇的代理，并在当量浓度 25 ppm 时报警。信号出现在持续有人值守的控制板。然而，现场人员在建筑内或建筑上无自动声光甲硫醇警报。预期通过口头沟通弥合差距。个人甲硫醇检测器在现场可用，但未发放用于常规现场使用。
气味尤其具有欺骗性。甲硫醇在极低浓度下即可被嗅到，远低于 OSHA 上限，因此气味本身并不表明存在危险剂量。另一方面，嗅觉疲劳可导致人停止感知它。培训建议工人不要依赖气味，并在响应报警时使用自给式呼吸器。然而，操作实践仍允许气味和重复报警成为背景条件。
高压指示也争夺注意力。当水合物在凌晨 3 点左右清除时，液体进入总管，工艺设备压力上升。当班操作员认为他看到的是总管中主要含水的常见积聚，并专注于避免设备超压。他未将压力趋势与清除堵塞操作联系起来，也未将气体警报视为大规模泄漏的证据。过程信息存在，但界面未将相互作用的异常转化为一个可理解的事件。
OSHA 后来对报警性能保留了具体的法律记录。其最终报警系统传票详情指出，员工报警系统未为工人逃离 Lannate/API 建筑提供足够的预警时间。该传票通过正式和解于 2017 年 6 月达成最终命令。这比 CSB 的系统性分析更窄，但在法律上更具体：已解决的工作场所记录确认了员工警告系统本身的失败。
现代控制设计应使有毒检测既是本地的也是分级的。警报应在可能暴露的地点发声并闪烁，识别受影响区域，触发进入限制，并到达事故指挥官。报警合理化应区分预期的低水平测试和故障排除期间的重复异常检测。趋势应关联气体浓度、进料罐流量、总管压力、通风状态和阀门位置。重复报警应提高响应级别，而非变得更易被忽视。
通风失效移除了主要缓解层
制造建筑封闭了可能释放剧毒化学品的设备。因此，其通风对常规工业卫生和泄漏产生的浓度都至关重要。事故发生时，湿端和干端通风风扇均未运行。现场程序考虑在风扇不可用时限制进入，但实际进出实践未改变。
先前的审计已暴露了对通风系统能否达到设计目标的疑虑。CSB 发现，纠正措施在计划或沟通后即被关闭，而非在基础条件被证明已修复后。在高危工作中，这是一个关键区别。“行动完成”可能意味着已发送电子邮件、创建了工单或经理接受了未来计划。这些都未证明空气变化、捕获性能或在可信泄漏期间的安全浓度。
正确的关闭记录应需要测试数据。它应显示风扇可用性、指定点的气流、泄漏场景的预期稀释、警报和联锁功能、限制进入逻辑、延迟维护授权以及补偿性呼吸防护。如果建筑依赖主动通风，该系统的丧失应对每个可进入的人可见，且进入应被物理或程序阻止，直到授权风险审查确定安全条件。
OSHA 的首个公开行动直接描述了该问题。劳工部2015 年 5 月新闻稿宣布了 11 项涉嫌违规和 99,000 美元的拟议罚款，包括一项涉及风扇停止时通风和响应培训的重复指控。这些是发布时的拟议传票，而非最终配置。
随后的OSHA 检查记录提供了处置边界。它显示该案于 2017 年结案，包含十项现行违规和 106,375 美元现行罚款（正式和解后）；一项其他严重项被驳回，且现行组合与最初公告不同。记录包括涉及程序、机械完整性、变更管理、报警、暴露和培训的和解项。报告最终数据库可防止将初始新闻数字误认为最终命令。
程序存在，但异常操作脱离了程序
杜邦有关于管线断开、变更管理、剧毒物料和应急响应的公司要求。问责失败并非完全缺乏规则。而是规则与实际执行工作之间的差距。总管排液做法未以公司管线断开标准预期的严格性对待。没有具体的书面作业计划涉及有毒成分、隔离、防护设备和此异常条件下排液的步骤。
日班团队为下一班留下了书面指令，但交接未充分传达清除水合物的配置如何改变总管的内容和危害。刑事记录后来部分聚焦于未能提供充分指令和阻止不安全排液。接班操作员通过汇管正常操作历史理解它：积聚的液体通常被视为冷凝水。一旦堵塞清除，这一心智模型就致命性地错误了。
安全工作需要对例外设定积极边界。临时阀门配置应有负责人、开始和到期时间、标记图纸、独立验证和强制交接。班次不应在无书面异常操作计划的情况下承担解决有毒物料堵塞的责任。开启工艺管线应需要经过验证的隔离、压力和成分检查、目的地收容、个人防护装备、备用人员、气体监测和独立于生产目标的人员授权。
故障排除也需要停止标准。气味、重复气体报警、不可用的通风和不确定的总管成分都应触发升级。它们共同应结束常规干预。如果组织允许每个偏差被单独考虑，那么阀门处的工人就成为最后一个期望组装系统级风险图景的人，而工程和管理未更早组装。
交接教训超越了化工厂。小型供应商、承包商和邻近租户企业依赖主场的公用设施、应急系统和危害沟通。非常规工作可以改变共享的废物、排放或响应基础设施。因此，受控交接必须覆盖每个下游操作员和租户，其假设已改变，而不仅仅是起源单元的接班团队。
人员配置因角色集中和缺乏后备而失败——并非已证实的疲劳故事
记录支持人员配置批评，但不能证明疲劳导致了事件。CSB 报告未将工时或睡眠发现作为因果结论。证据反而显示，关键知识和职责集中在已无法工作的人员身上，而剩余操作员超负荷。问责需要保留这一区别。
轮班主管通常在紧急情况下担任过程协调员。该角色应识别泄漏来源和规模，为事故指挥官提供建议，决定单元疏散和场外监测，并提供单元特定技术知识。主管是遇难者之一。尽管计划指定了主要和次要后备，但他们为日班员工，在夜间和周末不在现场。现场无后备人员填补该角色。
控制室操作员可以看到过程数据，最终显示甲硫醇储罐异常流量。但他反复被调走去与响应人员沟通、回答问题甚至绘制建筑地图。没有工程师或技术专家在早期响应期间独立分析过程。待命技术人员未及时引入问题。储罐泵在泄漏开始后约三小时才停止，紧急隔离阀在开始后约七小时才关闭。
这是一个韧性设计问题。安全关键的应急角色需要合格的后备人员，在每个运营时段物理可用或即时可召唤。控制室操作员需要在持续过程诊断至关重要时免受协调任务的干扰。远程技术支持需要安全访问趋势、图纸和阀门状态。人员配置保证应测试夜间、周末和同时伤亡情况，而不仅仅是正常白天组织图。
疲劳仍然是轮班工作中的普遍合法风险，但不应在没有证据的情况下插入此案例。负责任的公司仍会保留排班、加班、呼叫和适岗记录，以便调查人员测试该问题。没有公布的疲劳调查结果并不证明排班是理想的；这意味着本文不声称疲劳是原因。
初步救援响应使更多人暴露于相同危险
当一名工人发出求救时，同事进入大楼帮忙。他们没有自动建筑警报告知正在进行大规模有毒泄漏。两名救援人员被熏倒并死亡；另外两人逃脱。一名工人取回呼吸设备并试图帮助其兄弟，但在将面罩连接到 SCBA 气源前被熏倒。这不是缺乏勇气。这是一个允许直觉救援响应在建立大气和进入控制之前发生的系统。
现场在杜邦和租户公司之间共享一个应急响应团队。最初电话要求“救援人员”，并说工人失踪。团队成员将其解释为技术救援，并带去了绳索和安全带，而非化学品泄漏个人防护装备。当他们意识到涉及有毒气体时，一台载有 SCBA 和收音机的小型泵车无法启动。早期响应者缺乏及时空气监测，热区边界未被清晰标记或控制。
过程协调员的缺席加剧了每个问题。响应者最初没有专家可以解释装置、识别化学品并指导隔离。一个 911 电话通知四人失踪，但未提供化学品危害。ERT 的首次进入在请求援助后约 35 分钟开始。先前的演练建议响应者接收平面图；该行动未被分配并跟踪至完成，因此搜救期间没有可用的建筑平面图。
CSB 在最终报告前发布了临时建议。它们呼吁整合纠正措施和重启计划、员工参与、公开披露以及更新的多公司应急响应计划。响应要素包括后备技术专家、清晰警报协议、车辆维护、大气监测、建筑地图、演练、过程数据分析、热区控制、公共警告指导和围栏线监测。
这些是连续性控制措施。事故指挥系统应在单元主管成为伤亡人员后仍能运作。响应车辆和监测器应有记录的准备状态检查。地图必须在紧急情况前存在。救援队应在实际设施中并与租户公司同事一起训练。有毒求救在物质和浓度不确定时应默认有害大气防护。
社区警告决定基于不完整信息
甲硫醇气味被报告在场外，后来的刑事记录称物质顺风飘向迪尔帕克及更远。然而，CSB 无法确定准确的场外浓度或健康风险（如果有），因为当时的环境空气监测未确定它。CSB 临时记录中未报告场外伤害。这两个陈述应放在一起：强烈气味和烟羽移动不证明特定毒性剂量，而缺乏测量阻止了确信的保证。
一些响应人员错误地认为甲硫醇比空气轻，尽管杜邦自己的技术信息描述它比空气重。ERT 未使用固定建筑检测器数据评估场外迁移。泄漏建模依赖于基于口头描述而非实际库存流量的假定小量。事故指挥未指示周围居民采取保护行动。
良好的社区披露从保守触发因素开始。如果释放速率未知，响应者应使用可信最坏情况信息建立初始保护区域，通知公共当局，并随着可靠数据改善而缩小区域。固定围栏线仪器可提供连续证据；经过培训的移动团队配备适当个人防护装备可补充它们。模型应显示其假设和不确定性，而非将未经证实的输入转化为表面精度。
公共部门连续性也依赖于信息接口。工厂、哈里斯县响应者、当地应急规划人员和邻近设施需要共享化学品身份、释放估计、风向信息、保护行动建议和更新节奏。社区不应在事故指挥仍在决定羽流是否存在时必须解释气味或社交网络报告。
CSB 发现个体缺陷背后存在过程安全文化差距
杜邦拥有复杂的公司级过程安全管理框架并营销安全专业知识。然而，CSB 发现拉波特工厂未有效实施该系统，且事件前未正式评估其过程安全文化。这是一个机构合法性问题：一个公认的框架可以建立信心，而不确定工作现场是否实际遵守其要求。
报告将个人安全绩效与过程安全区分开来。受伤率可能改善，而密封、警报、隔离和应急系统恶化。关注个人伤害指标的激励安排甚至可能阻碍报告，如果工人认为可记录事件会影响团队薪酬。补救措施并非放弃伤害预防，而是给予先导过程指标独立权重：逾期安全关键维护、警报频率、临时操作变更、重复泄漏、绕过、应急演练失败和未经验证的纠正措施。
审计质量同样重要。CSB 发现纠正措施时限被跟踪，但某些行动在未确认推荐意图已满足的情况下即被视为关闭。因此，关闭度量可能奖励行政速度而非风险降低。验证步骤应由独立于行动负责人的人员执行，并应要求现场证据：安装的设备、测试结果、操作员演示、更新的图纸、观察到的警报以及使用的降级模式控制。
扩大 OSHA 检查显示担忧超越了事故装置。OSHA 的2015 年 7 月传票包最初指控四项严重、三项故意和一项重复违规，拟议罚款 273,000 美元，涉及除草剂和氟化氢操作的过程信息、危害分析、程序和机械完整性。正如传票包本身警告的，发布本身在争议时并不构成最终违规。
最终扩大检查记录显示了和解后幸存的内容：五项现行违规，三项严重和两项重复，现行罚款 285,848 美元；两项被删除，故意分类未作为现行故意项保留。初始与最终记录之间的差异不是脚注。它是机构指控决定与争议后处置之间的证据边界。
民事执法在关闭后解决了风险管理计划失败
2018 年，EPA 和司法部解决了《清洁空气法》风险管理计划下的指控。EPA 和解新闻稿称，投诉指控 22 项违规，包括涉及书面操作程序、变更管理、安全作业实践和机械完整性的失败。杜邦同意支付 310 万美元民事罚款。
这是对涉嫌监管违规的民事解决，而非刑事定罪。和解不需要禁令救济，因为设施已不再运营。这一限制很重要。金钱和解可以建立后果并解决案件，但关闭意味着它不能证明事故装置在生产条件下成功实施了重新设计的过程控制。
原厂址还面临更广泛的环境执法。2020 年联邦和德克萨斯州公告描述了一项 319.5 万美元的和解，解决了来自过去运营的涉嫌危险废物、水和空气违规。这些指控不仅仅是关于四起死亡的第二个法律判决。它们涉及废物确定、处理或储存、土地处置限制、泄漏预防以及生物废水处理排放。
EPA 信息表识别了关闭厂址的持续义务：表征沉积物，并在必要时表征处理池周围的土壤和地下水；提交风险和质量控制结果；必要时采取响应行动；改进废物追踪并解决水和空气控制。德克萨斯州分享了民事罚款。这为社区提供了事故之外的补救记录，但证据家族仍是环境清理和合规，而非工人安全重新设计的证明。
基础同意法令页面很重要，因为新闻稿总结了和解，而法令承载了可执行条款。任何记录都不应被用来声称每一项指控违规都在审判中被裁决。正确的表述是各方解决了特定指控并强加了定义付款和义务。
刑事案件从指控走向认罪和判刑
联邦大陪审团于 2021 年 1 月起诉杜邦和前装置运营负责人 Kenneth Sandel。司法部的指控公告指控故意未能实施所需的安全作业实践和疏忽释放。它还指控 Lannate 和 Vydate 运营在 2014 年产生了约 1.23 亿美元的年净收入。在那个阶段，这些是指控，政府明确表示起诉书不是证据，被告在被定罪前被推定无罪。
处置于 2023 年 4 月到来。根据司法部判刑记录，杜邦和 Sandel 承认刑事疏忽。他们承认疏忽地向环境空气中释放了极度危险物质；公司还承认根据《清洁空气法》疏忽地将人置于死亡或严重身体伤害的紧迫危险中。
法院命令杜邦支付 1200 万美元罚款并接受两年缓刑，在此期间美国缓刑办公室可完全访问其运营地点。公司还被命令向国家鱼类和野生动物基金会支付 400 万美元社区服务款项，用于加尔维斯顿湾西部海岸的空气质量项目。Sandel 被判处一年缓刑。司法部表示，加上相关民事案件，杜邦将为该行为支付 1926 万美元。
认罪比起诉书更窄也更强。它们确立了所承认的释放行为中的刑事疏忽；它们并不自动裁决最初指控的每一项指控、CSB 的每一项调查结果或公司的每一个厂址。相反，在有罪答辩和判刑后，将结果描述为仅仅是指控是错误的。法律问责取决于使用最终适用的状态。
缓刑创建了公司级别的访问补救措施，但其公开证据有限。缓刑官员的完全访问是重要的监控权力；此处引用的公开记录并未提供官员检查了哪些厂址或结果的逐厂址审计。因此，负责任的持久性评估应区分缓刑的存在与证明每个类似有毒工艺都已修复的证据。
公司后来在其2023 年第一季度 SEC 文件中披露了结果，称 EIDP 承认了疏忽释放轻罪指控，并同意了 1200 万美元罚款和 400 万美元付款。这一公司记录证实了法律处置，同时也展示了公司重组如何复杂化了身份：历史上的 E. I. du Pont 实体已成为 Corteva 子公司，尽管公众仍使用“杜邦”指代事件时的运营商。
关闭移除了装置，但也限制了修复运营的证明
Lannate 装置在事故后保持关闭。2016 年 3 月，杜邦决定不重启杀虫剂制造设施。其2016 年第一季度文件记录了 7500 万美元税前费用，包括资产、合同终止和员工离职成本，并描述了 Lannate 和 Vydate 活性成分的替代采购。
随后2017 年年度文件报告关闭为调整后的 6800 万美元 2016 年费用，并确认设施自 2014 年 11 月以来一直关闭。该杀虫剂业务单元随后被拆除。这些文件提供了运营补救措施和经济后果的日期公司证据，而非关于每个关闭决定原因的调查结果。
关闭是针对特定设备的强风险消除形式。没有工人会再次通过那些拆除的排水管暴露。但关闭也意味着建议的改进未通过重启和持续生产得到证明。建议重新设计通风、程序或隔离可能变得不适用而非成功实施。差异必须在任何问责账簿中可见。
CSB 建议状态页面显示九项建议已关闭且无开放项。一些为“已关闭—可接受行动”，另一些为“已关闭—不再适用”，因为相关操作或重启已不存在。页面记录公开披露实现了委员会目标，并描述了多公司应急响应工作。它并不意味着所有九项建议都已在拆除装置中物理实施。
公司重组创造了另一个证明问题。历史实体、厂址财产、农业业务和继任公司并未保留在一个简单的公司边界内。教训必须随着过程技术、人员和债务跨分离跟进。董事会应能显示哪个当前法律实体拥有每项行动，哪些运营厂址具有类似的甲硫醇或排气总管危害，以及哪个独立保证功能验证了完成。
持久实施证据应是什么样子
第一个证据家族是危害重新验证。每个拥有剧毒物料的厂址都应识别寒冷天气堵塞、水进入、临时阀门对齐、可接收液体的蒸汽系统、大气排放和封闭式有人建筑。PHA 团队应记录完整的因果路径、现实致死或场外后果、防护措施独立性和残余风险。独立审查员应挑战低后果分类并记录为何排除某一场景。
第二个是工程密封。记录应显示有毒排放系统具有液体分离和封闭排水，排水口不能排入有人建筑，并且紧急隔离是远程的、经过测试的并与可信检测关联。临时配置应在电子上可见并有时限。通风性能应针对设计进行测试，通风丧失应自动限制进入或强制定义保护模式。
第三个是可操作检测。固定检测器应适合化学品、经过校准、映射到现场警报并在降级条件下测试。操作员应在固定阵列不能保证警告时接收个人监测器。报警审查应识别抖动或正常化警报并要求纠正措施。仪表板应关联检测器激活与罐流量、压力、阀门位置和通风，同时为调查人员和工人代表保留原始数据。
第四个是程序权威。异常操作计划应定义事件负责人、技术审查者、班次交接、管线断开边界、所需个人防护装备和停工触发条件。没有生产或恢复目标应能凌驾于有毒警报、不可用的缓解系统或未知物料成分之上。操作员和承包商应能停止工作并在当地直线之外升级而不受报复。
第五个是响应连续性。每班需要主要和后备技术专家。控制室操作员不得被调度和绘图任务消耗。应急车辆、SCBA、无线电和监测器需要记录的准备状态测试。内部和公共响应者应在实际设施中演练，建立热区、清点人员、分析过程数据、发布保守社区警告并测试租户公司接口。
第六个是纠正措施证明。完成日期单独不足。验证者应检查安装的设备、功能测试、更新的图纸、警报演示、培训记录、工人访谈和演练结果。定期公司审计应抽样关闭项并重新打开那些基础风险仍然存在的项。董事会应接收逾期和无效关闭行动，而不仅仅是一个有利的完成百分比。
最后，补救证据应保持特定于渠道。OSHA 处罚证明工作场所执法；EPA 和解证明民事环境和事故预防执法；有罪答辩和缓刑证明刑事问责；关闭证明一种配置的消除；CSB 建议状态证明委员会如何分类接收方响应。没有单独一项能证明持久的全企业安全。其证据是它们与继任设施运营证据的汇聚。
问责测试是下一个异常信号能否停止工作
拉波特不是每个警告都隐藏的情况。化学是已知的。PHA 提到了水合物。现场闻到甲硫醇并记录了警报。通风失效是可见的。总管压力问题是重复性的。先前的演练识别了缺失的地图。过程数据最终显示了持续罐流量。制度失败是这些事实保持分离和可容忍，直到工人进入致命大气。
因此，工业合法性取决于一个实际问题：谁能将弱信号转化为停止？工程必须防止临时对齐使用不合适的总管。运营必须将重复有毒警报视为升级而非背景。维护必须使通风可用性成为占用的条件。控制室必须有足够人员诊断过程，同时其他人协调响应。应急指挥必须在社区可能暴露之前基于不确定性采取行动。
执法产生了实际后果：最终 OSHA 罚款、民事和解、刑事认罪、巨额罚款和支付、缓刑和设施关闭。这些结果回答了部分问责问题。剩余部分是前瞻性的。公开记录必须表明教训已传播到拆除建筑之外，进入类似过程、继任公司、监管机构检查和工人实践。
最有意义的公司改革将是证据表明，下一个面对冷堵塞、异常压力、坏风扇或重复有毒警报的操作员不必独自推断危险。系统应使不安全路径在物理上困难，警告不可错过，停止工作的权力强于恢复生产的冲动。这是拉波特缺乏的屏障——也是其遗产应被评判的标准。