# Esplosione nella raffineria di Texas City

L'esplosione nella raffineria di Texas City è avvenuta il 23 marzo 2005, quando una nube di vapori di idrocarburi si è sprigionata dall'unità di isomerizzazione della raffineria BP a Texas City, Texas, provocando 15 morti e oltre 180 feriti e causando danni estesi agli impianti. Con 437000 barili-giorno di greggio in ingresso, nel 2000 la raffineria di Texas City era la seconda raffineria del Texas e la terza degli Stati Uniti come capacità produttiva. La BP aveva acquisito la raffineria tramite la sua fusione del 1999 con la Amoco e la ha successivamente ceduta alla Marathon Petroleum nel 2013. Stando ai rapporti investigativi della BP e dell'U.S. Chemical Safety and Hazard Investigation Board (CSB), la causa diretta dell'incidente è stato il rilascio in atmosfera di una nube di idrocarburi più pesanti dell'aria che hanno trovato una fonte di innesco, probabilmente nel motore di un veicolo in transito. La nube di idrocarburi si è generata per il sovrariempimento e surriscaldamento dello splitter del raffinato, le cui valvole di sicurezza hanno scaricato idrocarburi liquidi nel sistema di scarico ("blowdown"), sovrariempiendolo e invadendo il camino. Entrambi i rapporti investigativi hanno elencato numerosi errori tecnici e gestionali in raffineria e a livello della BP. Nel 2011 la BP ha annunciato la vendita della raffineria per coprire le richieste di danni economici e le azioni correttive a seguito del disastro della Deepwater Horizon.

## L'antefatto

La raffineria di Texas City è stata costruita nel 1934, e per molti anni precedenti all'incidente non era stata manutenuta in modo appropriato. A gennaio del 2005 l'azienda di consulenza Telos aveva pubblicato il rapporto sulle condizioni degli impianti sollevando diversi aspetti critici di sicurezza, tra cui la presenza di allarmi fuori uso, tubazioni corrose in molti punti, strutture di cemento a pezzi, ancoraggi danneggiati e lavoratori esposti a fumi e vapori, tanto che uno degli autori aveva dichiarato di "non avere mai visto un sito industriale dove l'idea di "potrei morire oggi" fosse così concreta". Inoltre la raffineria aveva avuto cinque direttori in sei anni, da quando era passata dall'Amoco alla BP.
L'impianto di isomerizzazione ISOM della raffineria era progettato per convertire idrocarburi a basso numero di ottano in idrocarburi ad alto numero di ottano da aggiungere alla benzina senza piombo. L'ISOM includeva lo Splitter del raffinato, una colonna a piatti alta 50 metri che separava componenti più leggeri (come pentano ed esano) da quelli più pesanti che venivano poi mandati a stoccaggio. Lo Splitter aveva una capacità di circa 45000 barili al giorno.
Lo splitter era in manutenzione da febbraio 2005, e contemporaneamente erano in fermata programmata l'adiacente Ultracracker (UCU) e l'Unità di Recupero Aromatici (ARU). Nel 1995 e poi di nuovo nel 2002 erano state create strutture temporanee per l'alloggiamento degli operai, posizionati in base a dedicati studi di posizionamento. Lo studio di posizionamento successivo era programmato per il 2007 e ogni modifica nel frattempo veniva gestita tramite una procedura di Management of Change (MOC). Per i lavori da eseguire sull'UCU nel 2005 si era pianificato di alloggiare le ditte appaltatrici in dieci prefabbricati in una zona adiacente all'ISOM, di cui almeno uno a circa 100 metri dalle apparecchiature di processo e quindi potenzialmente a rischio di venir coinvolto in eventuali esplosioni. Il gruppo di tecnici che aveva valutato la posizione dei prefabbricati secondo le procedure Amoco (basati a loro volta sullo standard dell'American Petroleum Institute API-752) non aveva la preparazione necessaria a svolgere quel genere di analisi. Lo studio aveva prodotto una lista di raccomandazioni da chiudere prima dell'installazione dei prefabbricati, ma questo non era stato fatto e almeno uno dei prefabbricati era in utilizzo fino da novembre 2004. L'analisi di rischio sul posizionamento di alcuni dei prefabbricati non era stata mai fatta.

## L'incidente

Al completamento dei lavori sullo splitter del raffinato, gli operatori hanno cominciato le procedure di avviamento dell'impianto.
Una delle attività più critiche in questa fase è l'utilizzo della procedura BP di Pre-Startup Safety Review (PSSR), il cui scopo è quello di assicurare che tutti i controlli tecnici preliminari vengano correttamente effettuati prima delle operazioni di avviamento. Una volta completati i controlli, i manager operativi e di sicurezza firmano e autorizzano l'avviamento dell'impianto. Nel caso dell'unità ISOM la procedura non è stata applicata. Inoltre non sono state eseguite le riparazioni di alcuni strumenti critici per la sicurezza non funzionanti, in particolare la valvola di controllo PV-5002, l'allarme di alto livello LSH-5102 dello splitter, una spia di livello e un trasmettitore di livello fondamentale dello splitter.

### Notte del 22 marzo, l'avviamento dell'impianto

Nonostante tutto, la notte del 22 marzo sono cominciate le operazioni di avviamento dell'impianto, con il riempimento della colonna dello splitter. Il trasmettitore di livello era progettato per indicare il livello di idrocarburi nella colonna tra 1,5 e 2,7 metri dal fondo: in questa maniera, per esempio, un'indicazione del 72% avrebbe indicato un'altezza di liquido pari a 2,3 metri. Era pratica comune riempire fino al 99%, anche se le procedure consigliavano di arrivare al 50%.

### 23 marzo: inizio turno

Il supervisore del turno del mattino è arrivato in ritardo, e non è riuscito a fare il passaggio di consegne con quello del turno precedente.
Gli stoccaggi del raffinato pesante erano quasi pieni, di conseguenza la valvola di controllo del livello del raffinato pesante nel fondo dello splitter è stata chiusa in manuale per interrompere il trasferimento verso gli stoccaggi ed è stato deciso di interrompere le attività di avviamento. Tuttavia, questa informazione non è stata comunicata e con il turno del mattino l'avviamento è ripreso alle 9.30, come da precedenti istruzioni. La valvola di controllo di livello del fondo splitter non è stata ri-settata in modo automatico al 50%, come previsto dalle procedure.
Alle 10 si è ricominciato a mandare il raffinato nello splitter, sebbene il livello fosse già troppo alto. Dato che la valvola di controllo del livello del raffinato pesante era chiusa, il raffinato non usciva dallo splitter ma il trasmettitore di livello non funzionava e continuava a indicare meno del 100%. La spia di livello non era leggibile.

### 23 marzo: tarda mattinata

Sono stati accesi i bruciatori dei forni per pre-riscaldare il raffinato in ingresso allo splitter e scaldare il raffinato nel fondo dello splitter. La procedura di avviamento richiedeva una temperatura in uscita dal ribollitore di fondo colonna pari a 135 °C, da raggiungere a 10 °C all'ora, mentre si sono raggiunti i 153 °C a 23 °C all'ora. La lettura errata del trasmettitore di livello indicava il valore ancora sicuro del 93% (2,64 m), mentre il livello reale era di 20 m, per arrivare ai 30 m poco prima di mezzogiorno, con temperature ancora in crescita. A questo punto anche la pressione all'interno della colonna è gradualmente salita e gli operatori hanno spento i forni per mantenerla sotto controllo.

### 23 marzo: a mezzogiorno

Per le 12.42 i forni erano stati spenti e la valvola di controllo del livello di fondo dello splitter era stata riaperta, permettendo lo scarico del raffinato pesante. Il trasmettitore di livello indicava un'altezza del liquido pari a 2,4 m (78%), ma in realtà il raffinato raggiungeva 48 m su un'altezza totale della colonna di 52 m. La portata del liquido in uscita ormai era pari a quella in entrata, e i forni erano spenti, ma il raffinato passava in uno scambiatore di calore e la sua temperatura si era avvicinata pericolosamente al suo punto di ebollizione. Il liquido, continuando a espandersi per l'aumento di temperatura, alla fine ha riempito completamente la colonna ed è entrato nella linea dei vapori di testa e del condensatore, e in quella delle valvole di sicurezza. L'aumento di pressione ha fatto scattare le valvole di sicurezza alle 13.13. In 6 minuti 196 m$^3$ di raffinato caldo sono entrati nel sistema di scarico, dopodiché le valvole di sicurezza si sono richiuse.

### L'esplosione

Cercando di tenere sotto controllo la pressione all'interno dello splitter, l'operatore di turno in sala controllo ha aperto completamente la valvola di controllo del livello di fondo colonna per scaricare quanto più liquido possibile ai serbatoi di stoccaggio e ha chiuso l'alimentazione di gas ai forni, trascurando però di chiudere l'alimentazione di raffinato alla colonna, e in questo modo non si è interrotto il trasferimento di raffinato caldo al serbatoio di scarico e al camino. Parte del raffinato ha cominciato a fluire al sistema di fogna attraverso la linea di fondo da 6" del serbatoio di scarico. L'allarme di alto livello del serbatoio di scarico non ha funzionato e alla fine il raffinato caldo è eruttato dal camino formando un "geyser" di 6 metri e una pozza alla base del serbatoio di scarico.
L'allarme è stato lanciato via radio e alcuni dipendenti della raffineria sono accorsi con un pick-up, lasciandolo a motore acceso a circa 8 m dal camino del sistema di scarico. Quando i vapori infiammabili sono penetrati nel motore, sovralimentandolo e mandandolo in una condizione di autoalimentazione. Gli operatori che cercavano di spegnerlo sono stati costretti ad allontanarsi dalla nube di vapori, che ha continuato a espandersi invadendo l'unità ISOM, superando un piperack a ovest e raggiungendo l'area dei prefabbricati. Non è stato attivato nessun allarme e la nube infiammabile è esplosa intorno alle 13.20. Dei testimoni hanno riportato che l'innesco è partito dal motore surriscaldato del pick-up. L'onda d'urto dell'esplosione ha distrutto gran parte dei prefabbricati, proiettando detriti in tutte le direzioni e provocando immediatamente 15 morti e 180 feriti. L'esplosione ha rotto i vetri delle finestre nel raggio di 1,2 km e provocato incendi che hanno pesantemente danneggiato un'area di 19000 m$^2$, per milioni di dollari di danni. L'intera unità ISOM è stata distrutta, rimanendo fuori uso per oltre due anni.

## Gli incidenti successivi

Dopo l'esplosione di marzo, in raffineria si sono verificati i seguenti altri incidenti:
* il 28 luglio 2005: un rilascio di idrogeno per la rottura di un tubo di uno scambiatore dell'unità di desolforazione si è incendiato producendo un Fireball che ha causato un ferito. La Chemical Safety Board ha scoperto in quel caso che una ditta di manutenzione aveva scambiato un gomito in acciaio bassolegato con uno in acciaio dolce, suscettibile al fenomeno dell'attacco da idrogeno. La BP non aveva informato la ditta che i due gomiti erano di materiale diverso e la ditta non aveva nessuna procedura (per esempio quella di usare etichette) per assicurarsi di rimontare ciascun pezzo nella sua posizione originale.
* il 10 agosto 2005: una fuga di idrocarburi ad alta pressione da un foro in una valvola dell'unità di desolforazione del gasolio ha portato a un allarme di evacuazione.
* il 14 gennaio 2008: William Joseph Gracia, un supervisore anziano di 56 anni, è stato ferito alla testa e in seguito è morto mentre una squadra di operatori stava mettendo in servizio un filtro di acqua nell'unità Ultracracker.
* 21 settembre 2010: un incidente al forno tubolare 3B ha provocato serie ustioni a due lavoratori.

## Le indagini sull'incidente

Sull'incidente sono state condotte diverse indagini, sia da parte di BP sia da parte delle autorità e degli organi di controllo americani. Le indagini interne di BP sono state riassunte nel Rapporto Mogford (2005), più improntato sugli aspetti tecnici, e nel Rapporto Bonse (2007), più focalizzato sugli aspetti organizzativi e gestionali. L'U.S. Chemical Safety and Hazard Investigation Board (CSB) ha svolto un'indagine in proprio e pubblicato un Rapporto nel 2007, mentre la Occupational Safety and Health Administration (OSHA) si è focalizzata agli aspetti di conformità con i vari requisiti di legge. Infine, su pressioni del CSB, la BP ha incaricato un'indagine indipendente riassunta nel Rapporto Baker (2007).
I punti più critici evidenziati dalle varie indagini sono:
* errori organizzativi e gestionali: tagli degli investimenti nelle infrastrutture e nella sicurezza di impianto, mancanza di supervisione aziendale sugli aspetti di cultura della sicurezza e dei programmi di prevenzione dei grandi incidenti, attenzione agli aspetti di sicurezza sul lavoro ma non a quelli di sicurezza del processo, errori nella gestione delle modifiche ("management of change"), programmi inadeguati di formazione del personale, incompetenze da parte dei supervisori di avviamento dell'impianto, scarso livello di comunicazione tra dipartimenti e singole persone e utilizzo di procedure vecchie che comunque non venivano seguite,
* errori tecnici: il serbatoio di scarico di dimensioni insufficienti, mancanza di manutenzione preventiva sui sistemi critici per la sicurezza, allarmi e misuratori di livello non funzionanti nell'unità di processo ISOM e l'utilizzo di un sistema di scarico superato quando esistevano tecnologie alternative più sicure da anni.

### Il Rapporto Mogford

Pubblicato il 9 dicembre 2005, il Rapporto è stato preparato da un gruppo di esperti guidati da John Mogford, vice presidente del gruppo con delega alla sicurezza ("Senior Group Vice President, Safety and Operations"). Il Rapporto si concentra sugli aspetti tecnici dell'incidente proponendo una serie di azioni correttive. Attraverso una "Root cause analysis" (RCA) sono state identificate quattro fattori critici, senza i quali l'incidente non si sarebbe verificato o avrebbe avuto conseguenze decisamente minori:
* azioni degli operatori che hanno comportato la perdita di contenimento di idrocarburi dallo splitter verso il serbatoio di scarico,
* errori tecnici nell'applicare istruzioni operative e mancanza di supervisione durante l'avviamento dello splitter,
* errori nel posizionamento dei prefabbricati, troppo vicini al punto dell'esplosione,
* errori nella progettazione dei prefabbricati e del serbatoio di scarico.

### Il Rapporto Bonse

Il rapporto (noto con il nome del presidente della branca tedesca della BP, Wilhelm Bonse-Geuking) era un documento interno della BP che metteva in luce i numerosi errori di tipo gestionale all'origine dell'incidente, ma è stato pubblicato il 3 maggio 2007 su ordine di un tribunale. Il Rapporto Bonse si focalizza sulle mancate conformità con le istruzioni gestionali interne di BP (il BP Management Framework, BPMF) e con il Codice di Condotta della BP. Le regole e linee-guida del gruppo (il cosiddetto Libro Blu) era stato pubblicato nel 2005. Oltre a errori commessi da singole figure, il Rapporto cita tra le cause dell'incidente anche la mancanza di responsabilità chiare a tutti i livelli gestionali all'interno del gruppo, le cattive condizioni degli impianti della raffineria e il budget troppo scarso dedicato alla manutenzione.

### Il Rapporto del CSB

Data la portata dell'incidente, è stata svolta un'indagine da parte dell'U.S. Chemical Safety and Hazard Investigation Board, i cui risultati sono stati presentati in un Rapporto il 20 marzo 2007. Tra le cause dell'incidente identificate nel Rapporto il CSB ha identificato mancanze organizzative e relative alla sicurezza a tutti i livelli della BP, come i tagli del budget destinato alla sicurezza nonostante le cattive condizioni delle infrastrutture e delle apparecchiature della raffineria, o i tagli al personale e alla formazione. Inoltre il CSB sottolinea le mancanze dell'OSHA, che non ha svolto le ispezioni come da programma e non ha imposto l'osservanza delle regole basilari di sicurezza in raffineria nonostante i molti evidenti segnali di allarme. Una conclusione del Rapporto è che solo alcuni ispettori dell'OSHA avevano una formazione e un'esperienza adatta per le ispezioni in una raffineria. Dopo l'esplosione l'OSHA ha trovato 301 violazioni ai regolamenti e ha comminato a BP una multa da 21 milioni di dollari. Una raccomandazione del Rapporto CSB verte sull'argomento dell'affaticamento del personale in turno e sulla necessità di far ruotare il personale, di mantenere un tetto massimo alle ore di straordinario e ai giorni di lavoro senza interruzioni, con riferimento alla direttiva API Recommended Practice 755.
Fra le misure di sicurezza non implementate nel periodo precedente all'incidente, il Rapporto della CSB report elenca le seguenti:
* 1991: la Amoco Refining ha proposto di eliminare i sistemi di scarico che sfiatano direttamente in atmosfera, ma la proposta non è stata finanziata.
* 1992: l'OSHA ha prodotto una citazione ad Amoco sul livello di rischio legato ai sistemi di scarico che sfiatano direttamente in atmosfera. Tuttavia, la Amoco è riuscita a far ritirare all'OSHA la citazione, sulla base dell'applicazione di altri requisiti, meno stringenti, dell'API Recommended Practice 521.
* 1993: è stata nuovamente proposta l'eliminazione dei sistemi di scarico atmosferici nell'ambito del progetto Amoco Regulatory Cluster, ma nuovamente sono mancati i finanziamenti.
* 1995: è avvenuto un incidente in una raffineria della Pennzoil, durante in quale due serbatoi di stoccaggio sono esplosi coinvolgendo un prefabbricato e causando cinque morti, e la conclusione dell'indagine è stata che i prefabbricati non si sarebbero dovuti trovare vicino allo stoccaggio di sostanze pericolose. Tuttavia, la BP ha ignorato la lezione di questo incidente, sostenendo che il rischio di replicare una situazione simile era basso dato che i prefabbricati erano vuoti per la maggior parte del tempo.
* 1997: nonostante il Process Safety Standard n.6 di Amoco proibisse la costruzione di nuovi sistemi di scarico atmosferici e suggerisse l'eliminazione graduale di quelli esistenti, la Amoco ha sostituito il sistema di scarico atmosferico, di servizio alla colonna del raffinato e progettato negli anni '50, con un sistema identico.
* 2002: i tecnici della raffineria hanno proposto di rimpiazzare il sistema di scarico atmosferico nell'ambito delle iniziative di miglioramento ambientale ma questa voce è stata tagliata per mancanza di fondi.
* 2002: nello stesso anno non è stata sfruttata l'opportunità di collegare gli sfiati di emergenza dell'unità ISOM alla nuova torcia NDU, dato che questo avrebbe alzato i costi di 150.000 dollari.
* 2002: sempre nello stesso anno, è stato proposto nell'ambito del Clean Streams project di collegare il serbatoio di scarico a un sistema di torcia.
* Tra il 1994 e il 2004: nella raffineria BP si sono verificate emissioni di vapori infiammabili dal serbatoio di scarico e dal camino in almeno otto occasioni, senza che alcuna azione correttiva venisse effettuata.
Dopo l'incidente del 2005 la BP si è impegnata a eliminare tutti i sistemi di serbatoio di scarico e camino atmosferici che trattano infiammabili. Parallelamente, la CSB ha raccomandato all'American Petroleum Institute di produrre una linea guida sul posizionamento dei prefabbricati.

### Il Rapporto Baker

A luglio e agosto del 2005, in raffineria si sono verificati altri incidenti successivi al disastro, in seguito ai quali (il 17 agosto 2005) il CSB ha raccomandato alla BP di incaricare urgentemente una commissione indipendente di un'ulteriore indagine sulla cultura della sicurezza e sui sistemi di gestione in atto alla BP North America. La commissione incaricata, con a capo l'ex Segretario di Stato americano James Baker, ha svolto la sua indagine pubblicando il suo rapporto il 16 gennaio 2007. I punti principali evidenziati dal Rapporto Baker sono una scarsa cultura della sicurezza in BP North America e la mancata applicazione in raffineria delle raccomandazioni sulla sicurezza del Dipartimento dell'energia americano
In particolare il Rapporto indica che il management della BP abbia trascurato di implementare necessarie misure di sicurezza per ragioni di taglio dei costi e di pressione per continuare la produzione. Inoltre la commissione ha condotto un sondaggio tra i dipendenti delle cinque raffinerie nordamericane della BP su temi di sicurezza ed è risultato che il peggiore livello di cultura della sicurezza era quello delle raffinerie di Texas City e di Toledo, Ohio, mentre il migliore era della raffineria di Cherry Point nello stato di Washington, tanto che il direttore di Cherry Point è stato promosso a seguire l'implementazione della sicurezza a livello di BP.

## Azioni legali

In conclusione, l'OSHA ha trovato oltre 300 violazioni ai suoi requisiti di sicurezza e ha multato la BP per 21 milioni di dollari, all'epoca la multa più alta mai comminata nella storia dell'OSHA, che è stata portata a 87 milioni di dollari nel 2009, dato che BP non aveva implementato le misure di sicurezza richieste. La BP è stata accusata di avere violato le leggi ambientali federali ed è stata citata dalle famiglie delle vittime. Il 4 febbraio 2008 la Giudice federale Lee Rosenthal presiedette un'udienza sulla proposta di patteggiamento di 50 milioni di dollari da parte di BP, durante la quale i parenti delle vittime rifiutarono la cifra offerta.
Eva Rowe, una giovane che ha perso entrambi i genitori nell'esplosione, ha dichiarato all'epoca che non avrebbe accettato patteggiamenti ma avrebbe trascinato il gruppo industriale di fronte alla giustizia. Il suo caso ha avuto attenzione in tutti gli Stati Uniti, finendo anche presentato a 60 Minutes da Ed Bradley. Il 9 novembre 2006 la BP ha raggiunto un accordo con Rowe, con un compenso di entità rimasta sconosciuta al pubblico. BP ha dovuto pagare 32 milioni di dollari a università e ospedali indicati da Rowe, tra cui il Texas A&M Engineering Experiment Station della Texas A&M University, la facoltà di medicina dell'Università del Texas a Galveston, il Truman G. Blocker Adult Burn Unit e il College of the Mainland a Texas City . Il 30 ottobre 2009, l'OSHA ha multato la BP per 87 milioni di dollari per non aver corretto i problemi e gli errori evidenziati dalle indagini dell'esplosione del 2005, facendo un elenco di circa 700 violazioni ai requisiti di sicurezza. La multa è la più alta comminata dall'OSHA, e BP ha dichiarato di non volerla pagare. Il 12 agosto 2010 la BP ha annunciato di aver concordato un pagamento di 50.6 milioni di dollari della multa dell'OSHA, continuando a contestare i rimanenti 30.7 milioni di dollari.

## Nei media

La storia dell'esplosione è stata raccontata nei seguenti programmi TV:
* sul canale History, nella serie Modern Marvels, stagione 13, episodio 56 "Engineering Disasters 20".
* sul canale National Geographic Channel, nella serie Seconds From Disaster, stagione 3, episodio 10 "Texas Oil Explosion".