Lesplosione nella raffineria di Texas City è avvenuta il 23 marzo 2005, quando una nube di vapori di idrocarburi si è sprigionata dall'unità di isomerizzazione della raffineria BP a Texas City, Texas, provocando 15 morti e oltre 180 feriti e causando danni estesi agli impianti. Con 437000 barili-giorno di greggio in ingresso, nel 2000 la raffineria di Texas City era la seconda raffineria del Texas e la terza degli Stati Uniti come capacità produttiva. La BP aveva acquisito la raffineria tramite la sua fusione del 1999 con la Amoco e la ha successivamente ceduta alla Marathon Petroleum nel 2013.

Stando ai rapporti investigativi della BP. e dellU.S. Chemical Safety and Hazard Investigation Board (CSB)., la causa diretta dell'incidente è stato il rilascio in atmosfera di una nube di idrocarburi più pesanti dell'aria che hanno trovato una fonte di innesco, probabilmente nel motore di un veicolo in transito. La nube di idrocarburi si è generata per il sovrariempimento e surriscaldamento dello splitter del raffinato, le cui valvole di sicurezza hanno scaricato idrocarburi liquidi nel sistema di scarico ("blowdown"), sovrariempiendolo e invadendo il camino. Entrambi i rapporti investigativi hanno elencato numerosi errori tecnici e gestionali in raffineria e a livello della BP. Nel 2011 la BP ha annunciato la vendita della raffineria per coprire le richieste di danni economici e le azioni correttive a seguito del disastro della Deepwater Horizon.

L'antefatto La raffineria di Texas City è stata costruita nel 1934, e per molti anni precedenti all'incidente non era stata manutenuta in modo appropriato. A gennaio del 2005 l'azienda di consulenza Telos aveva pubblicato il rapporto sulle condizioni degli impianti sollevando diversi aspetti critici di sicurezza, tra cui la presenza di allarmi fuori uso, tubazioni corrose in molti punti, strutture di cemento a pezzi, ancoraggi danneggiati e lavoratori esposti a fumi e vapori, tanto che uno degli autori aveva dichiarato di "non avere mai visto un sito industriale dove l'idea di "potrei morire oggi" fosse così concreta". Inoltre la raffineria aveva avuto cinque direttori in sei anni, da quando era passata dallAmoco alla BP.

L'impianto di isomerizzazione ISOM della raffineria era progettato per convertire idrocarburi a basso numero di ottano in idrocarburi ad alto numero di ottano da aggiungere alla benzina senza piombo. LISOM includeva lo Splitter del raffinato, una colonna a piatti alta 50 metri che separava componenti più leggeri (come pentano ed esano) da quelli più pesanti che venivano poi mandati a stoccaggio. Lo Splitter aveva una capacità di circa 45000 barili al giorno.

Lo splitter era in manutenzione da febbraio 2005, e contemporaneamente erano in fermata programmata l'adiacente Ultracracker (UCU) e l'''Unità di Recupero Aromatici (ARU). Nel 1995 e poi di nuovo nel 2002 erano state create strutture temporanee per l'alloggiamento degli operai, posizionati in base a dedicati studi di posizionamento. Lo studio di posizionamento successivo era programmato per il 2007 e ogni modifica nel frattempo veniva gestita tramite una procedura di Management of Change (MOC). Per i lavori da eseguire sullUCU nel 2005 si era pianificato di alloggiare le ditte appaltatrici in dieci prefabbricati in una zona adiacente all'ISOM, di cui almeno uno a circa 100 metri dalle apparecchiature di processo e quindi potenzialmente a rischio di venir coinvolto in eventuali esplosioni. Il gruppo di tecnici che aveva valutato la posizione dei prefabbricati secondo le procedure Amoco (basati a loro volta sullo standard dell'American Petroleum Institute API-752) non aveva la preparazione necessaria a svolgere quel genere di analisi. Lo studio aveva prodotto una lista di raccomandazioni da chiudere prima dell'installazione dei prefabbricati, ma questo non era stato fatto e almeno uno dei prefabbricati era in utilizzo fino da novembre 2004. L'analisi di rischio sul posizionamento di alcuni dei prefabbricati non era stata mai fatta.

L'incidente

Al completamento dei lavori sullo splitter del raffinato, gli operatori hanno cominciato le procedure di avviamento dell'impianto.

Una delle attività più critiche in questa fase è l'utilizzo della procedura BP di Pre-Startup Safety Review (PSSR), il cui scopo è quello di assicurare che tutti i controlli tecnici preliminari vengano correttamente effettuati prima delle operazioni di avviamento. Una volta completati i controlli, i manager operativi e di sicurezza firmano e autorizzano l'avviamento dell'impianto. Nel caso dell'unità ISOM la procedura non è stata applicata.. Inoltre non sono state eseguite le riparazioni di alcuni strumenti critici per la sicurezza non funzionanti, in particolare la valvola di controllo PV-5002, l'allarme di alto livello LSH-5102 dello splitter, una spia di livello e un trasmettitore di livello fondamentale dello splitter.

Notte del 22 marzo, l'avviamento dell'impianto Nonostante tutto, la notte del 22 marzo sono cominciate le operazioni di avviamento dell'impianto, con il riempimento della colonna dello splitter. Il trasmettitore di livello era progettato per indicare il livello di idrocarburi nella colonna tra 1,5 e 2,7 metri dal fondo: in questa maniera, per esempio, un'indicazione del 72% avrebbe indicato un'altezza di liquido pari a 2,3 metri. Era pratica comune riempire fino al 99%, anche se le procedure consigliavano di arrivare al 50%.

23 marzo: inizio turno Il supervisore del turno del mattino è arrivato in ritardo, e non è riuscito a fare il passaggio di consegne con quello del turno precedente.

Gli stoccaggi del raffinato pesante erano quasi pieni, di conseguenza la valvola di controllo del livello del raffinato pesante nel fondo dello splitter è stata chiusa in manuale per interrompere il trasferimento verso gli stoccaggi ed è stato deciso di interrompere le attività di avviamento. Tuttavia, questa informazione non è stata comunicata e con il turno del mattino l'avviamento è ripreso alle 9.30, come da precedenti istruzioni. La valvola di controllo di livello del fondo splitter non è stata ri-settata in modo automatico al 50%, come previsto dalle procedure.

Alle 10 si è ricominciato a mandare il raffinato nello splitter, sebbene il livello fosse già troppo alto. Dato che la valvola di controllo del livello del raffinato pesante era chiusa, il raffinato non usciva dallo splitter ma il trasmettitore di livello non funzionava e continuava a indicare meno del 100%. La spia di livello non era leggibile.

23 marzo: tarda mattinata Sono stati accesi i bruciatori dei forni per pre-riscaldare il raffinato in ingresso allo splitter e scaldare il raffinato nel fondo dello splitter. La procedura di avviamento richiedeva una temperatura in uscita dal ribollitore di fondo colonna pari a 135 °C, da raggiungere a 10 °C all'ora, mentre si sono raggiunti i 153 °C a 23 °C all'ora.. La lettura errata del trasmettitore di livello indicava il valore ancora sicuro del 93% (2,64 m), mentre il livello reale era di 20 m, per arrivare ai 30 m poco prima di mezzogiorno, con temperature ancora in crescita. A questo punto anche la pressione all'interno della colonna è gradualmente salita e gli operatori hanno spento i forni per mantenerla sotto controllo.

23 marzo: a mezzogiorno Per le 12.42 i forni erano stati spenti e la valvola di controllo del livello di fondo dello splitter era stata riaperta, permettendo lo scarico del raffinato pesante. Il trasmettitore di livello indicava un'altezza del liquido pari a 2,4 m (78%), ma in realtà il raffinato raggiungeva 48 m su un'altezza totale della colonna di 52 m. La portata del liquido in uscita ormai era pari a quella in entrata, e i forni erano spenti, ma il raffinato passava in uno scambiatore di calore e la sua temperatura si era avvicinata pericolosamente al suo punto di ebollizione. Il liquido, continuando a espandersi per l'aumento di temperatura, alla fine ha riempito completamente la colonna ed è entrato nella linea dei vapori di testa e del condensatore, e in quella delle valvole di sicurezza. L'aumento di pressione ha fatto scattare le valvole di sicurezza alle 13.13. In 6 minuti 196 m3 di raffinato caldo sono entrati nel sistema di scarico, dopodiché le valvole di sicurezza si sono richiuse.

L'esplosione Cercando di tenere sotto controllo la pressione all'interno dello splitter, l'operatore di turno in sala controllo ha aperto completamente la valvola di controllo del livello di fondo colonna per scaricare quanto più liquido possibile ai serbatoi di stoccaggio e ha chiuso l'alimentazione di gas ai forni, trascurando però di chiudere l'alimentazione di raffinato alla colonna, e in questo modo non si è interrotto il trasferimento di raffinato caldo al serbatoio di scarico e al camino. Parte del raffinato ha cominciato a fluire al sistema di fogna attraverso la linea di fondo da 6" del serbatoio di scarico. L'allarme di alto livello del serbatoio di scarico non ha funzionato e alla fine il raffinato caldo è eruttato dal camino formando un "geyser" di 6 metri e una pozza alla base del serbatoio di scarico..

L'allarme è stato lanciato via radio e alcuni dipendenti della raffineria sono accorsi con un pick-up, lasciandolo a motore acceso a circa 8 m dal camino del sistema di scarico. Quando i vapori infiammabili sono penetrati nel motore, sovralimentandolo e mandandolo in una condizione di autoalimentazione. Gli operatori che cercavano di spegnerlo sono stati costretti ad allontanarsi dalla nube di vapori, che ha continuato a espandersi invadendo l'unità ISOM, superando un piperack a ovest e raggiungendo l'area dei prefabbricati. Non è stato attivato nessun allarme e la nube infiammabile è esplosa intorno alle 13.20. Dei testimoni hanno riportato che l'innesco è partito dal motore surriscaldato del pick-up.. L'onda d'urto dell'esplosione ha distrutto gran parte dei prefabbricati, proiettando detriti in tutte le direzioni e provocando immediatamente 15 morti e 180 feriti. L'esplosione ha rotto i vetri delle finestre nel raggio di 1,2 km e provocato incendi che hanno pesantemente danneggiato un'area di 19000 m2, per milioni di dollari di danni.. L'intera unità ISOM è stata distrutta, rimanendo fuori uso per oltre due anni.

Gli incidenti successivi Dopo l'esplosione di marzo, in raffineria si sono verificati i seguenti altri incidenti: il 28 luglio 2005: un rilascio di idrogeno per la rottura di un tubo di uno scambiatore dell'unità di desolforazione si è incendiato producendo un Fireball che ha causato un ferito. La Chemical Safety Board ha scoperto in quel caso che una ditta di manutenzione aveva scambiato un gomito in acciaio bassolegato con uno in acciaio dolce, suscettibile al fenomeno dell'attacco da idrogeno. La BP non aveva informato la ditta che i due gomiti erano di materiale diverso e la ditta non aveva nessuna procedura (per esempio quella di usare etichette) per assicurarsi di rimontare ciascun pezzo nella sua posizione originale. il 10 agosto 2005: una fuga di idrocarburi ad alta pressione da un foro in una valvola dell'unità di desolforazione del gasolio ha portato a un allarme di evacuazione. il 14 gennaio 2008: William Joseph Gracia, un supervisore anziano di 56 anni, è stato ferito alla testa e in seguito è morto mentre una squadra di operatori stava mettendo in servizio un filtro di acqua nell'unità Ultracracker. 21 settembre 2010: un incidente al forno tubolare 3B ha provocato serie ustioni a due lavoratori.

Le indagini sull'incidente Sull'incidente sono state condotte diverse indagini, sia da parte di BP sia da parte delle autorità e degli organi di controllo americani. Le indagini interne di BP sono state riassunte nel Rapporto Mogford (2005), più improntato sugli aspetti tecnici, e nel Rapporto Bonse (2007), più focalizzato sugli aspetti organizzativi e gestionali.