Zusammenfassung Die physische Versagenssequenz ist geklärt. Um etwa 18:11 Uhr am 9.

Zusammenfassung

• Die physische Versagenssequenz ist geklärt.Um etwa 18:11 Uhr am 9. September 2010 riss die 30-Zoll-Erdgastransportleitung 132 der Pacific Gas and Electric Company an der Earl Avenue und Glenview Drive in San Bruno. Das National Transportation Safety Board stellte fest, dass der Bruch in einer teilweise geschweißten Längsnaht auf einem kurzen Rohrabschnitt begann, der bei einer Umsetzung im Jahr 1956 installiert wurde. Das ausströmende Gas entzündete sich, acht Menschen starben, 38 Häuser wurden zerstört und 70 beschädigt. Die offiziellen Aufzeichnungen unterscheiden sich hinsichtlich der Verletztenzahlen: Die California Public Utilities Commission meldete 58 Verletzte, während die Bundesaufsichtsbehörde für Pipelines 51 Personen angab, die stationär behandelt werden mussten.
• Der Druckanstieg löste das Versagen aus, stellte jedoch keinen Überdruck jenseits der bundesrechtlichen Grenze dar.Elektroarbeiten am Milpitas-Terminal von PG&E verursachten Steuerungsprobleme und einen Druckanstieg. Der NTSB schätzte den Druck an der Bruchstelle auf etwa 386 Pfund pro Quadratzoll (psig). Dies überschritt PG&Es Betriebsziel von 375 psig, blieb jedoch unter dem maximal zulässigen Betriebsdruck der Leitung von 400 psig. Die Ermittler kamen zu dem Schluss, dass dieser Druck ein ordnungsgemäß gebautes Rohr nicht gefährdet hätte. Der Unterschied ist wichtig: Eine schlechte Arbeitsplanung führte zu dem unmittelbaren Belastungsereignis, aber eine kritisch fehlerhafte Schweißnaht und versagte Integritätskontrollen machten dieses Ereignis katastrophal.
• Der Defekt war ein Konstruktions- und Qualitätskontrollfehler mit langer institutioneller Lebensdauer.Das versagte Segment war eines von sechs kurzen Stücken, sogenannten Pups, mit unterschiedlichen Schweißkonfigurationen und Materialeigenschaften. Fünf erfüllten die allgemein anerkannten Verarbeitungsstandards von 1956 nicht. Der kritische Nahtfehler wäre bei der Installation sichtbar gewesen. Die Aufzeichnungen von PG&E beschrieben die Stelle dennoch als nahtloses Rohr mit anderen Materialeigenschaften, und die Ermittler fanden keinen Hinweis darauf, dass der umgesetzte Abschnitt einer hydrostatischen Festigkeitsprüfung unterzogen worden war.
• Das Pipeline-Integritätsmanagement versagte als Entscheidungssystem, nicht nur als Zeitplan.PG&E verfügte über ein Integritätsprogramm, eine Liste von Bedrohungen und geplante Bewertungen. Es integrierte die Bau-, Druck- und Leckagehistorie der Leitung nicht korrekt; es behandelte Fertigungs- und Konstruktionsfehler als stabil; es stützte sich stark auf die direkte Bewertung von Außenkorrosion, die einen verborgenen Längsnahtfehler nicht finden konnte; und es erhöhte periodisch den Druck auf das maximal zulässige Niveau, ohne die Sicherheitsmarge einer gültigen Festigkeitsprüfung. Leitung 132 hatte vor dem Bruch keine geplante Integritätsbewertung erhalten.
• Die regulatorische Verantwortung ist geteilt, aber nicht symmetrisch.PG&E besaß und betrieb die Leitung, kontrollierte ihre Aufzeichnungen, wählte Bewertungsmethoden, plante die Terminalarbeiten und leitete die Notfallisolierung. Die CPUC war für die staatliche Inspektion und Durchsetzung im Rahmen der Bundesdelegation verantwortlich. Der NTSB stellte fest, dass die CPUC-Aufsicht die Unzulänglichkeit des Integritätsprogramms von PG&E nicht erkannte und dass die bundesstaatlichen Aufsichtsprotokolle und Leistungskennzahlen ebenfalls schwach waren. Das Versagen der Regulierung übertrug nicht die Pflicht des Betreibers auf den Regulierer; es beseitigte eine unabhängige Barriere, die die Zusicherung des Betreibers hätte in Frage stellen sollen.
• Die Notfallreaktion teilte sich in zwei sehr unterschiedliche Leistungen auf.Anwohner, Polizei und Feuerwehr erkannten die Katastrophe schnell, mobilisierten umfangreiche gegenseitige Hilfsressourcen und improvisierten die Wasserversorgung, nachdem eine Wasserleitung ausgefallen war. PG&E benötigte etwa 95 Minuten, um den gebrochenen Abschnitt zu isolieren. Sein Kontrollsystem identifizierte den Bruch nicht schnell, der erste entsandte Mitarbeiter war nicht qualifiziert, Transmissionsventile zu bedienen, qualifizierte Mechaniker meldeten sich nach Medienberichten selbst, und es gab keine ausreichend eingeübte Kommandostruktur für einen großen Transmissionsbruch. Der NTSB behandelte diese Versäumnisse und das Fehlen automatischer oder ferngesteuerter Ventile als Faktoren für die Schwere, nicht als Ursachen des anfänglichen Bruchs.
• Rechtliche und finanzielle Ergebnisse dürfen nicht zu einer irreführenden Zahl zusammengefasst werden.Ein Bundesgericht verurteilte PG&E wegen fünf Verstößen gegen die Pipelinesicherheit und Behinderung der NTSB-Ermittlungen; es sprach das Unternehmen in sechs weiteren angeklagten Pipelinesicherheitsanklagen frei. Das Strafmaß verhängte die gesetzliche Höchststrafe von 3 Millionen Dollar Geldstrafe, Bewährung, Gemeinschaftsdienst und einen Compliance-Monitor. Separat verhängte die CPUC ein 1,6-Milliarden-Dollar-Paket mit einer Geldstrafe für den Allgemeinen Fonds, einer Gutschrift für Kundenrechnungen, von Aktionären finanzierten Sicherheitsarbeiten und anderen Abhilfemaßnahmen. Zivilrechtliche Vergleiche mit Anwohnern und eine 70-Millionen-Dollar-Vereinbarung mit der Stadt waren weitere Kategorien. Keine davon sollte als ein Entschädigungsfonds für Opfer oder als Beweis dafür beschrieben werden, dass individuelle Verluste vollständig ausgeglichen wurden.
• Die Reformen sind umfangreich, aber der Abschluss erfordert Beweise und nicht institutionelles Gedächtnis.PG&E führte später Festigkeitsprüfungen durch, ersetzte, stilllegte oder machte Rohre inspizierbar; Kalifornien verhängte umfangreiche Abhilfemaßnahmen; Bundesvorschriften stärkten Aufzeichnungen, die Bestätigung des maximal zulässigen Betriebsdrucks, Integritätsbewertungen und Absperrventile bei Brüchen. Einige NTSB-Empfehlungen wurden nach dokumentierten Maßnahmen geschlossen. Dennoch sind Vorschriften nicht der Feldzustand, Projektzahlen sind nicht fehlerfreier Betrieb, und die aktuelle Überwachung berichtet weiterhin über offene Risikomanagement- und Infrastrukturverpflichtungen. Dauerhafte Rechenschaftspflicht hängt von nachvollziehbaren Rohreigenschaften, Prüfnachweisen, unabhängigen Stichproben, Arbeitskontrollaufzeichnungen, schneller Isolierungsleistung und transparenter Schließung von Abweichungen ab.

Umfang und Beweisgrenzen

Diese Analyse verfolgt die Rechenschaftskette von den Bauarbeiten 1956 bis zum Bruch 2010, den Ermittlungen, der Durchsetzung, der Entschädigung und den späteren Sicherheitsreformen. Die zentrale technische Autorität sind die Ermittlungsunterlagen, der Abschlussbericht und das öffentliche Dossier des NTSB. Diese Aufzeichnungen enthalten die Ursachenfeststellungen des Gremiums sowie metallurgische, betriebliche, integritätsmanagementbezogene, notfallrelevante und unternehmenseigene Stellungnahmen. Eine vom Gremium übernommene Feststellung wird als solche gekennzeichnet. Eine Position in einer Parteieneingabe bleibt die Position dieser Partei.

Die PHMSA-Vorfallseite liefert den bundesstaatlichen Durchsetzungs- und Auswirkungskontext. CPUC-Entscheidungen und -Berichte legen die staatlichen Regulierungsmaßnahmen fest. Pressemitteilungen des Justizministeriums und der Strafbefehl legen die strafrechtliche Würdigung fest. Wertpapierberichte und Vergleichsinstrumente legen die berichteten Finanzkategorien fest. Jede Quelle hat eine Grenze: Eine Unternehmenseinreichung ist ein zuverlässiger Nachweis dessen, was das Unternehmen offengelegt hat, aber kein unabhängiges Sicherheitsaudit; eine einleitende Untersuchungsanordnung nennt Vorwürfe und Zuständigkeit, nicht die endgültige Haftung;

ein Reformplan belegt eine beabsichtigte Kontrolle, nicht ihre Wirksamkeit im Feld.

Der Artikel verwendet fünf Vertrauensstufen implizit und explizit.Bestätigtbedeutet gestützt durch eine übernommene Feststellung, einen endgültigen Beschluss, eine Verurteilung, eine vollzogene Vereinbarung oder direkt gemessene Aufzeichnungen.Wahrscheinlichfolgt dem Kausalstandard des NTSB.Möglichidentifiziert einen Mechanismus, der mit den Beweisen vereinbar, aber nicht belegt ist.Umstrittenbezeichnet eine angefochtene Auslegung.Unbekanntkennzeichnet Beweise, die die öffentlichen Aufzeichnungen nicht klären.

Diese Trennung ist besonders wichtig für Druck, Absicht, Verletztenzahlen, die rechtliche Bedeutung von Verstößen gegen Vorschriften und Behauptungen, dass spätere Programme das gesamte System sicher gemacht hätten.

Kausaltaxonomie in diesem Bericht

Die Beweise stützen eine getrennte Ursachenkette und nicht eine einzige Bezeichnung.

Physikalische Grundursache:eine defekte Längsnaht in einem kurzen Pup-Abschnitt, der während der Umsetzung 1956 installiert wurde. Der Defekt bestand bei der Installation, wuchs durch duktiles Reißen und Ermüdung und konnte der Druckbelastung von 2010 nicht mehr standhalten.

Grundursache der Rechenschaftspflicht:Die Bauabnahme-, Aufzeichnungs-, Druckbasis- und Integritätsmanagementkontrollen von PG&E konnten ein nicht konformes und falsch beschriebenes Altsegment nicht in konservatives Handeln umsetzen. Der Betreiber behielt die direkte Kontrolle über das Asset und die zu seiner Validierung erforderlichen Nachweise.

Unmittelbarer Auslöser:Das Versagen der Elektroarbeiten am Milpitas-Terminal und Steuerungsprobleme erhöhten den Druck in Leitung 132 über das normale Betriebsziel von PG&E hinaus. Der auslösende Druck blieb unter dem MAOP von 400 psig, sodass der Auslöser nicht als einfache Überschreitung der bundesrechtlichen Druckobergrenze behandelt werden sollte.

Beitragende Bedingungen:Die bundesrechtliche Großvaterregelung für Druckgenehmigungen ohne spätere Festigkeitsprüfung, die CPUC-Aufsicht, die das unzureichende Programm nicht erkannte, die PHMSA-Aufsichtsprotokolle, die die Qualität der staatlichen Überprüfung nicht ausreichend testeten, und das Fehlen automatischer oder ferngesteuerter Bruchisolierungsfähigkeit schwächten unabhängige Barrieren. Sie trugen auf unterschiedliche Weise bei; sie waren nicht alle Ursachen für die Nahteinleitung.

Erkennungsversagen:Vor dem Bruch erkannten die Datenintegration, Bedrohungsklassifizierung, Risikobewertung, Aufzeichnungsvalidierung und die ausgewählten Bewertungsmethoden von PG&E die Nahtbedrohung nicht. Während des Ereignisses identifizierten SCADA-Alarme und Druckdaten die Bruchstelle nicht rechtzeitig und schufen keinen zuverlässigen Befehlsweg für die Ventilisolierung.

Reaktionsversagen:Die örtlichen Rettungsdienste erkannten und bekämpften den Brand schnell, während PG&E etwa 95 Minuten brauchte, um den Gasfluss zum beschädigten Abschnitt zu stoppen. Diese Verzögerung verstärkte die Schwere; sie schuf nicht den ursprünglichen Schweißfehler.

Wiederherstellung und Reform:Strafrechtliche Verurteilung, CPUC-Maßnahmen, zivil- und gemeinderechtliche Vergleiche, Druckprüfungen, Ersatz, Stilllegung, Inline-Inspektionsfähigkeit, automatische Ventile, Bundesregeländerungen und Überwachung sind Wiederherstellungs- oder Sicherungsmaßnahmen. Sie sind reale Belege für institutionelle Reaktionen, aber keiner beweist die vollständige persönliche Wiederherstellung für Überlebende oder das dauerhafte Fehlen künftiger Pipelinesicherheitsrisiken.

Ein Bauprojekt von 1956 hinterließ eine versteckte Verbindlichkeit

Leitung 132 wurde 1948 in Betrieb genommen. 1956 erforderte die Wohngebietsnivellierung eine Umsetzung von etwa 1.851 Fuß der Leitung. Der größte Teil dieses umgesetzten Rohrs verblieb nach einem weiteren Projekt im Jahr 1961 im System. Der Bruch ereignete sich innerhalb der Arbeiten von 1956, in einem Abschnitt, der aus sechs kurzen Stücken zusammengesetzt war. Die Ermittler nannten die Stücke Pups. Es handelte sich nicht um eine einheitliche Strecke aus fabrikgefertigtem nahtlosem Rohr.

Sie wiesen mehrere Längsnahtanordnungen, unterschiedliche Abmessungen und Materialeigenschaften auf, und es gab keine festgelegte Fertigungsspezifikation für den zusammengesetzten Abschnitt.

Die Laborarbeit des NTSB ergab, dass der auslösende Defekt in einer Längsnaht am ersten Pup lag. Die Naht war nicht durch ihre gesamte Dicke geschweißt worden. Eine sichtbare Wurzelraupe und andere Verarbeitungsspuren zeigten, dass die Schweißnaht bei der Installation mangelhaft war, nicht eine solide Schweißnaht, die erst durch Korrosion verbraucht wurde. Fortschreitendes duktiles Reißen und Ermüdung vergrößerten den Defekt im Laufe der Zeit, bis das verbleibende Band der Belastung von 2010 nicht mehr standhalten konnte. Fünf der sechs Pups wiesen eine Verarbeitung auf, die nicht den 1956 allgemein anerkannten Industriestandards entsprach.

Dies war keine nachträgliche Beurteilung durch einen modernen Fertigungskodex. Das Gremium kam zu dem Schluss, dass eine kompetente Sichtprüfung während des Baus die mangelhaften Schweißnähte hätte erkennen müssen. Entweder fand diese Prüfung nicht statt, sie konnte das Gesehene nicht richtig interpretieren oder ließ die Arbeiten bestehen. Die genaue individuelle Entscheidung ist unbekannt, da die erhaltenen Aufzeichnungen keine vollständige Qualitätskontrollkette identifizieren. Die institutionelle Tatsache ist stärker: PG&E akzeptierte, installierte und betrieb eine nicht konforme Baugruppe in einer Transportleitung.

Die Festigkeitsprüfung war die zweite verpasste Barriere. Die 1956 verfügbare Industriepraxis empfahl eine hydrostatische Prüfung mit dem 1,25-fachen des maximalen Betriebsdrucks für diese Installationsklasse. Diese Empfehlung war damals keine bindende bundesrechtliche Anforderung, und das Fehlen einer zwingenden Regel ist bei der Beschreibung der Rechtskonformität von Bedeutung. Es löscht die technische Gegenfaktizität nicht aus. Eine ordnungsgemäß durchgeführte Prüfung bei etwa 500 psig für ein Maximum von 400 psig hätte die defekte Schweißnaht wahrscheinlich in einer kontrollierten Umgebung zum Versagen gebracht.

Die Ermittler fanden keinen Hinweis darauf, dass PG&E den umgesetzten Abschnitt hydrostatisch geprüft hatte.

Die dritte Barriere war die Aufzeichnungstreue. Das geografische Informationssystem von PG&E beschrieb die Unfallstelle als 30-Zoll, nahtlos, API 5L Grade X42 mit einer Wandstärke von 0,375 Zoll. Das physische Segment war geschweißt und heterogen. Nahtlose Rohre dieses Durchmessers waren zum Zeitpunkt des Baus nicht kommerziell erhältlich, und zeitgenössische Materialtransferaufzeichnungen deuteten auf andere Eigenschaften hin. Die Aufzeichnung war daher nicht einfach unvollständig; sie vermittelte positive Attribute, die das Rohr nicht besaß.

Diese Unterscheidung verändert die Rechenschaftspflicht. Ein unbekannter Nahttyp sollte konservative Annahmen, Aufzeichnungsrecherchen oder einen validierenden Test erzwingen. Ein fälschlich als nahtlos aufgezeichnetes Segment kann den Fertigungsbedrohungspfad vollständig unterdrücken. Die ungenaue Aufzeichnung beeinträchtigte das Vertrauen in den Maximaldruck, die Bedrohungsidentifikation, die Risikobewertung und die Auswahl der Bewertungsmethode. Ein vergrabener Schreibfehler wurde zu einer Betriebsannahme.

Das Druckereignis in Milpitas

Am 9. September 2010 ersetzten Auftragnehmer und PG&E-Personal eine unterbrechungsfreie Stromversorgung am Milpitas-Terminal, der vorgelagerten Quelle für Leitung 132. Die Arbeitsfreigabe spezifizierte nicht ausreichend, welche Geräte betroffen sein könnten, die Reihenfolge der Umschaltung, Notfallmaßnahmen oder die Beziehung zwischen den Elektroarbeiten und den Gasdruckkontrollen. Gegen 17:22 Uhr führte eine unregelmäßige elektrische Spannung dazu, dass Regelventile sich öffneten und mehr als 60 Alarme auslösten.

Der Druck in Leitung 132 stieg an. Die Terminalmessung erreichte etwa 396 psig. An der Bruchstelle schätzten die Ermittler anhand von Druckaufzeichnungen und hydraulischer Analyse etwa 386 bis 386,4 psig unmittelbar vor dem Versagen. PG&E betrieb die angeschlossene Leitung im Allgemeinen mit nicht mehr als 375 psig aufgrund eines niedriger bewerteten querverbundenen Segments. Der bundesrechtlich maximal zulässige Betriebsdruck für Leitung 132 betrug 400 psig, festgelegt nach einer historischen Bestimmung unter Verwendung des höchsten Drucks in den fünf Jahren vor Inkrafttreten der Bundesregulierung.

Gegen 18:11 Uhr öffnete sich die defekte Naht. Der Bruch erzeugte einen Krater von etwa 72 Fuß Länge und 26 Fuß Breite. Ein etwa 28 Fuß langes, 3.000 Pfund schweres Rohrsegment wurde etwa 100 Fuß weit geschleudert. PG&E schätzte, dass vor der Isolierung 47,6 Millionen Standardkubikfuß Gas entweichen konnten. Das Gas entzündete sich in einem Wohngebiet.

Das Ereignis einfach als Überdruckversagen zu bezeichnen, würde die Beweise verschleiern. Der Druck überschritt das normale Betriebsziel von PG&E, und das Versagen der Elektroarbeiten lieferte die endgültige Laststeigerung. Er überschritt nicht den maximal zulässigen Betriebsdruck von 400 psig. Der NTSB stellte fest, dass der Druck ein ordnungsgemäß gebautes Rohr nicht gefährdet hätte. Eine schlechte Arbeitsplanung war Teil der wahrscheinlichen Ursache, weil sie den auslösenden Anstieg verursachte, aber sie erzeugte nicht die Schweißnaht von 1956, die falsche Aufzeichnung oder das Integritätsprogramm, das den Defekt im Dienst beließ.

Die Unterscheidung verhindert auch den umgekehrten Fehler. Das Verbleiben unter dem MAOP machte den Betrieb nicht sicher. Der MAOP war eine administrative Obergrenze, die teilweise aus historischem Druck abgeleitet wurde, kein Beweis dafür, dass jedes Segment eine verifizierte Sicherheitsmarge hatte. PG&E hatte Leitung 132 wiederholt kurzzeitig auf ihr Maximum von 400 psig gebracht, unter anderem 2003 und 2008, und das Überleben als Beweis für die Stabilität von Fertigungsfehlern gewertet. Das Gremium lehnte diese Logik ab.

Eine kurzzeitige Exposition bei MAOP ist nicht gleichbedeutend mit einer Festigkeitsprüfung bei einem wesentlich höheren Druck. Sie kann einen unterkritischen Fehler an Ort und Stelle belassen, während Ermüdung und Druckzyklen ihn weiter vergrößern.

Physikalische Ursache, Managementursachen und ausgeschlossene Erklärungen

Die wahrscheinliche Ursache des NTSB verband drei managementkontrollierte Elemente: unzureichende Qualitätssicherung und -kontrolle während der Umsetzung 1956; ein unzureichendes Integritätsmanagementprogramm, das das defekte Rohr nicht erkannte und entfernte; und eine mangelhafte Planung der Elektroarbeiten von 2010, die den Druckanstieg verursachte. Der Konstruktionsfehler war alt, aber sein Risiko wurde jedes Mal erneuert, wenn Aufzeichnungen, Bewertungen und Betriebsentscheidungen das Segment als bekannt und solide behandelten.

Die Ermittler trennten auch beitragende Bedingungen vom anfänglichen Bruch. Bundes- und Landesvorschriften erlaubten es älteren Pipelines, die Druckgenehmigung ohne eine nachträgliche Druckprüfung zu behalten. Das Gremium stellte fest, dass diese Ausnahme dazu beitrug, weil eine gültige Prüfung die Schweißnaht wahrscheinlich offengelegt hätte. Die CPUC-Aufsicht trug dazu bei, weil sie die Unzulänglichkeit des Integritätsprogramms von PG&E nicht erkannte. Das Fehlen automatischer oder ferngesteuerter Absperrventile, schwache Notfallverfahren und die verzögerte Isolierung erhöhten die Dauer und Schwere des Brandes.

Sie leiteten den Nahtbruch nicht ein.

Mehrere vorgeschlagene Erklärungen wurden untersucht und als Ursachen nicht gestützt. Kanalarbeiten in der Nähe der Leitung im Jahr 2008 beschädigten das Rohr nicht. Die Ermittler fanden keine Außenkorrosion, seismische Bewegungen oder direkte Drittbauschäden als Ursache. Drogenkonsum von Mitarbeitern war nicht kausal. Die Ausschlüsse des Abschlussberichts sind wichtig, weil die Rechenschaftspflicht nicht auf jede Bedingung ausgedehnt werden sollte, die in der Nähe eines Unfalls vorhanden ist.

Die Aufzeichnungen können den einzelnen Schweißer, Inspektor oder Vorgesetzten, der jede Entscheidung von 1956 getroffen hat, nicht identifizieren. Sie legen auch nicht das genaue Datum fest, an dem der Fehler von tolerierbar zu kritisch wurde. Diese Unbekannten machen das Systemversagen nicht unerkennbar. PG&E behielt über Jahrzehnte die praktische Kontrolle über die Leitung. Es konnte Aufzeichnungen verifizieren, die Druckfestigkeit prüfen, eine Inline-Inspektion durchführen, die Längsnähte erkennen kann, das Rohr freilegen, den Druck senken oder unsichere Segmente ersetzen.

Die Rechenschaftspflicht beruht auf Kontrolle und Beweisen, nicht auf dem Überleben jedes historischen Namens.

Integritätsmanagement versäumte es, Unsicherheit in Handeln umzusetzen

Die bundesrechtlichen Integritätsmanagementvorschriften verlangten von den Betreibern, Gebiete mit hohen Konsequenzen zu identifizieren, Informationen zu integrieren, Bedrohungen zu identifizieren, abgedeckte Segmente zu bewerten, Mängel zu beheben und das Programm kontinuierlich zu verbessern. PG&E erstellte ein Risikomanagementprogramm mit 22 Bedrohungskategorien und plante Basisbewertungen für seine abgedeckten Strecken. Auf dem Papier waren dies erkennbare Elemente eines modernen Sicherheitssystems. Das Versagen lag in dem, was das System wusste, was es annahm und was seine gewählten Methoden erkennen konnten.

Erstens war die Datenbasis unzuverlässig. Die Rohreigenschaften im geografischen System stimmten nicht mit dem ausgegrabenen Segment überein. Bauaufzeichnungen waren verstreut und belegten nicht, dass die Umsetzung geprüft worden war. Die Betriebs- und Leckagehistorie erhielt kein ausreichendes Gewicht. Das Programm konnte eine Nahtbedrohung nicht genau charakterisieren, wenn die Datenbank besagte, dass das Rohr keine Naht hatte.

Zweitens klassifizierte PG&E Fertigungs- und Konstruktionsfehler als stabil, es sei denn, ein späterer Druck überschritt das historische Maximum. Diese Annahme ignorierte die Möglichkeit, dass eine fehlerhafte Naht unter gewöhnlichem Druckzyklus wachsen könnte. Sie behandelte auch das frühere Überleben nahe MAOP als Ersatz für eine Festigkeitsprüfung. Das Gremium stellte fest, dass diesem Ansatz eine ausreichende wissenschaftliche Grundlage fehlte. Ein Defekt kann über viele Zyklen verborgen bleiben und dann unter einem Druck versagen, den er Jahre zuvor kurzzeitig überstanden hatte.

Drittens hob die Risikobewertung die relevanten Bedrohungen nicht zuverlässig hervor. Das Risikobewertungssystem von PG&E wies Gewichte und Punktzahlen für Korrosion, Drittschäden, Bodenbewegungen, Material- und Bauzustände zu. Der NTSB stellte fest, dass das System bekannte Naht- und Fertigungsnachweise unterbewertete oder falsch behandelte, während es anderen Bedrohungen unverhältnismäßigen Einfluss einräumte. Ein Risikoscore war daher kein unabhängiger Beweis; er erbte die Annahmen und Auslassungen seiner Eingaben.

Viertens stimmte die Bewertungsmethode nicht mit der Versagensart überein. PG&E verwendete die direkte Bewertung auf dem größten Teil seiner abgedeckten Transportleitungsstrecken. Die direkte Bewertung von Außenkorrosion kombiniert Aufzeichnungsprüfung, oberirdische Untersuchungen, Ausgrabungen und Auswertung, um Korrosion zu finden. Sie kann für diese Bedrohung geeignet sein. Sie kann die Solidität einer unsichtbaren Längsschweißnaht nicht allein dadurch feststellen, dass kein Korrosionssignal auftritt.

Inline-Inspektionswerkzeuge oder hydrostatische Prüfungen können verschiedene Defektklassen adressieren, aber PG&E wählte keine Methode, die in der Lage war, den Schweißnahtfehler in San Bruno vor dem Bruch zu finden.

Fünftens kontrollierte der Zeitplan der Fertigstellung das Risiko nicht. Leitung 132 war für eine Bewertung vorgesehen, aber bis September 2010 nicht bewertet worden. Selbst eine frühere Fertigstellung hätte den Fehler nicht unbedingt gefunden, wenn die gewählte Methode die direkte Bewertung der Außenkorrosion geblieben wäre. Die Frage der Rechenschaftspflicht ist nicht nur, ob eine Frist eingehalten wurde. Es ist, ob der Betreiber eine Bewertung wählte, die auf die glaubwürdige Bedrohung reagierte.

Sechstens erzeugte die Selbstevaluierung keine sinnvollen Korrekturen. Der NTSB beschrieb die Programmüberprüfungen von PG&E als oberflächlich und stellte fest, dass sie grundlegende Schwächen nicht identifizierten oder korrigierten. Ein ausgereiftes System sollte testen, ob angeblich vollständige Aufzeichnungen mit ausgegrabenen Rohren übereinstimmen, ob Bewertungsergebnisse mit späteren Ausgrabungen übereinstimmen, ob Druckausreißer Arbeitskontrollversagen aufdecken und ob wiederholt saubere Ergebnisse ein geringes Risiko oder eine unempfindliche Methode widerspiegeln. Die Beweise zeigten vor San Bruno keine derartige Herausforderung.

Die Empfehlungen des Gremiums machten die fehlende Logik explizit. Es forderte nachvollziehbare, verifizierbare und vollständige Aufzeichnungen, die den Maximaldruck stützen; Festigkeitsprüfungen, wenn die Druckgenehmigung auf unvollständigen Beweisen beruhte; Prüfungen mit ausreichender Marge, bevor Fertigungsfehler als stabil eingestuft werden; und Bewertungsmethoden, die die vorhandenen Bedrohungen identifizieren können. Das spätere Empfehlungsschreiben an PG&E forderte auch ein umfassendes Audit der Aufzeichnungen und die Korrektur von Abweichungen. Diese Abhilfemaßnahmen waren keine Papierstrafen.

Sie zielten auf die Entscheidungen ab, die das Papierwerk kontrollierte.

Regulierungsaufsicht war eine unabhängige Barriere, die nicht hielt

Kalifornien regulierte die Sicherheit von Erdgastransportleitungen durch eine Vereinbarung mit der Bundesregierung. Die CPUC inspizierte das Integritätsprogramm von PG&E 2005 und erneut 2010. Diese Inspektionen deckten die zentralen Mängel vor dem Bruch nicht auf. Danach identifizierten CPUC-Mitarbeiter verzögerte Bewertungen, übermäßige Nutzung von Ausnahmen, Wechsel von der Inline-Inspektion zu weniger geeigneten Methoden und schwache Reaktionen auf interne Prüfungsergebnisse.

Der NTSB kam zu dem Schluss, dass die CPUC die Unzulänglichkeit des Integritätsmanagementprogramms von PG&E nicht erkannte. Sein unabhängiges Überprüfungsgremium ging noch tiefer auf organisatorische Bedingungen ein. Das Gremium traf keine technische Ursachenfeststellung für den Unfall; dies oblag dem NTSB. Es berichtete über Schwächen im unternehmensweiten Risikomanagement, in der Sicherheitskultur, in der Ressourcenpriorisierung und -umsetzung von PG&E und kritisierte die eigenen Gassicherheitsressourcen, -fähigkeiten, den Fokus und den Durchsetzungsansatz der Kommission.

Dies sind zugeschriebene Überprüfungsergebnisse, kein gerichtliches Urteil über jede Managemententscheidung.

Die Einleitungsverfügung der CPUC zum San-Bruno-Ereignis formulierte Mitarbeitervorwürfe zu Betrieb, Aufzeichnungen, Integritätsmanagement und Notfallreaktion. Sie verzeichnete auch acht Tote, 58 Verletzte, 38 zerstörte und 70 beschädigte Häuser. Da sie eine Ermittlungsuntersuchung eröffnete, sollten ihre Vorwürfe nicht allein deshalb als endgültige Feststellungen berichtet werden, weil sie in einem offiziellen Dokument erschienen. Die endgültige Verantwortung ergab sich aus späteren Kommissionsentscheidungen und Abhilfemaßnahmen.

Der Regulierer eröffnete auch eine separate systemweite Aufzeichnungsuntersuchung. Diese Trennung war bedeutsam. San Bruno war nicht nur ein Baufall an einem Ort; ungenaue oder unvollständige Aufzeichnungen konnten Druck- und Bewertungsentscheidungen im gesamten Netz von PG&E beeinflussen. Unmittelbar nach dem Bruch forderte die Resolution L-403 die Sicherung von Beweisen, Druckreduzierungen, Inspektionen, Zugang für Ermittler und einen Sicherheitsplan. Dies waren schützende Zwischenmaßnahmen, kein Beweis dafür, dass das zugrunde liegende Netz bereits validiert worden war.

Die Bundesaufsicht hatte ebenfalls Grenzen. PHMSA setzte die Regeln und evaluierte die staatlichen Programme, doch der NTSB stellte fest, dass die bundesstaatlichen Inspektionsrichtlinien und Leistungskennzahlen nicht zuverlässig testeten, ob ein Staat die Risikomodelle, Datenintegration und Bewertungseignung des Betreibers evaluierte. Eine Checkliste kann bestätigen, dass ein Betreiber Verfahren hat, ohne zu bestimmen, ob die Verfahren den tatsächlich vorhandenen Defekt finden würden.

Der regulatorische Beitrag teilt die Verantwortung nicht gleichmäßig auf. PG&E besaß das Rohr, die Mitarbeiter, Auftragnehmer, Betriebsdaten und die Befugnis zu testen oder zu ersetzen. Die CPUC hatte die unabhängige Pflicht, dieses System in Frage zu stellen und bundesstaatliche Mindeststandards durchzusetzen. PHMSA hatte die Pflicht, die regulatorische Architektur zu definieren und zu überwachen. Die Kontrolle des Betreibers war direkt; die Kontrolle der Regulierer war überwachend. Alle drei Barrieren waren wichtig, aber die Existenz einer versäumten Inspektion macht den öffentlichen Regulierer nicht zum Leitungseigentümer.

Fünfundneunzig Minuten: Notfallkontrolle, nachdem die Prävention versagt hatte

Der Bruch war für die Nachbarschaft sofort sichtbar und hörbar. Polizei und Feuerwehr erhielten innerhalb weniger Minuten Meldungen. Die erste Polizeireaktion wurde gegen 18:12 Uhr verzeichnet, die ersten Feuerwehreinheiten gegen 18:13 Uhr. Die örtlichen Einsatzkräfte standen einer brennenden Gasfackel, Gebäudebränden, beschädigten Straßen und einer gebrochenen Wasserleitung gegenüber, die nahegelegene Hydranten ohne ausreichendes Wasser ließ. Gegenseitige Hilfe umfasste schließlich 42 Feuerwehren, rund 600 Feuerwehr- und Rettungskräfte und 325 Polizeibeamte über mehr als 50 Stunden.

Die Einsatzkräfte richteten alternative Wasserversorgungen ein, evakuierten Anwohner, schützten Gefährdungen und durchsuchten beschädigte Gebiete.

Die Reaktion von PG&E begann von einer anderen Informationsposition aus. Sein System registrierte Druckänderungen und Alarme, aber die Prozessleittechnik identifizierte die Bruchstelle nicht direkt. Die Einsatzzentrale erfuhr gegen 18:18 Uhr von einem möglichen Gasvorfall. Der erste entsandte Mitarbeiter war ein Gasservicerepräsentant, kein Mechaniker, der für die Bedienung von Transmissionsleitungsventilen qualifiziert war.

Das Personal betrachtete Leitung 132 als wahrscheinliche Quelle, richtete aber nicht sofort eine einheitliche Bruchkommandostruktur ein, entsandte nicht alle erforderlichen ventilsachkundigen Mannschaften oder erhielt eine direkte Notfallmeldung, die die Unsicherheit auflöste.

Qualifizierte Mechaniker erfuhren durch Medienberichte von dem Ereignis und meldeten sich selbst. Vorgelagerte Handventile und nachgelagerte ferngesteuerte und Handventile wurden in der nächsten Stunde bedient. Gegen etwa 19:46 Uhr war das beschädigte Segment isoliert, wobei die sichtbare Brandintensität um diese Zeit abnahm. Offizielle Quellen verwenden leicht unterschiedliche Meilensteine: PHMSA fasst die Isolierung gegen 19:40 Uhr zusammen, während die detaillierte Chronologie des NTSB einzelne Schließungen verfolgt und etwa 95 Minuten vom Bruch bis zum Stopp des Gasflusses beschreibt.

Der Unterschied spiegelt den gemessenen Punkt wider, kein Grund, eine Genauigkeit vorzutäuschen, die die Aufzeichnungen nicht hergeben.

Der NTSB bezeichnete die Isolierungszeit als übermäßig. PG&E verfügte weder über automatische Absperrventile noch über eine ausreichend leistungsfähige Fernsteuerung, die nahe genug war, um den Fluss schnell zu stoppen. Es fehlte auch eine umfassende, eingeübte Reaktion auf einen großen Transmissionsbruch. Das Unternehmen hatte kein direktes und zuverlässiges Protokoll, mit dem die Rettungsdienste der Gassteuerung sofort mitteilen konnten, dass ein schwerer Bruch aufgetreten war. SCADA war nützlich für die Druckwahrnehmung, aber kein Ersatz für Brucherkennung, Ortung und Führung.

Diese Versäumnisse verstärkten die Folgen. Gas speiste weiterhin ein großes Feuer, während Feuerwehrleute versuchten, eine Nachbarschaft zu schützen. Eine schnellere Isolierung hätte die anfängliche Explosion, den Krater oder die erste Entzündung nicht rückgängig machen können, und die öffentlichen Aufzeichnungen quantifizieren nicht genau, welche späteren Verletzungen oder Sachschäden bei jeder hypothetischen Schließzeit vermieden worden wären. Sie hätte jedoch die Dauer und Energie der unkontrollierten Freisetzung verringert. Deshalb klassifizierte der NTSB Ventile und Reaktion als Schwerefaktoren und nicht als Ursache des Nahtbruchs.

Menschliche und gemeinschaftliche Auswirkungen sind nicht auf eine Strafsumme reduzierbar

Acht Menschen starben. Häuser, Besitztümer, Familienaufzeichnungen, Haustiere, nachbarschaftliche Beziehungen und ein Gefühl der physischen Sicherheit gingen verloren oder wurden gestört. 38 Häuser wurden zerstört und 70 beschädigt. Die Verletztenzahlen variieren je nach Definition: Die CPUC verzeichnete 58 Verletzte in ihrem Verfahren, während PHMSA 51 Personen meldete, die stationär behandelt werden mussten. Beide Zahlen sollten ihre Bezeichnungen behalten. Die Umwandlung der einen in die andere würde die zugrunde liegenden Verwaltungskategorien auslöschen.

Der Schaden erstreckte sich über private Grundstücke hinaus. Straßen, Versorgungseinrichtungen und öffentliche Dienste mussten repariert werden. Anwohner waren mit Vertreibung, medizinischer Versorgung, Versicherungsstreitigkeiten, Wiederaufbauentscheidungen und langwierigen rechtlichen Prozessen konfrontiert. Feuerwehrleute und andere Einsatzkräfte arbeiteten in einer instabilen Umgebung mit beeinträchtigter Wasserversorgung.

Gaskunden finanzierten ein Versorgungssystem, dessen Aufzeichnungen und Integritätskontrollen Gegenstand umfangreicher Korrekturarbeiten wurden, obwohl die Kommission später anordnete, dass wichtige Sanktionen und Sicherheitskosten von den Aktionären getragen werden sollten.

PG&E berichtete über Zivilprozesse und Vergleichsaktivitäten in seiner Wertpapiereinreichung vom September 2013. Es erklärte, es habe im Wesentlichen alle verbleibenden Klägeransprüche beigelegt und berichtete über kumulative Belastungen von rund 565 Millionen Dollar und Zahlungen von rund 389 Millionen Dollar zum 30. September 2013. Dies sind unternehmenseigene Bilanzzahlen. Vergleichsbedingungen waren oft vertraulich, die Zahl offenbart keine Ergebnisse auf Haushaltsebene, und eine Belastung ist nicht gleichbedeutend mit erhaltenem Bargeld oder vollständiger Erholung.

Die Stadt San Bruno schloss eine separate Vereinbarung von 2012 mit PG&E im Wert von 70 Millionen Dollar: 68,75 Millionen Dollar in bar für öffentliche Zwecke und fünf unbebaute Grundstücke mit einem vereinbarten Wert von 1,25 Millionen Dollar. Es handelte sich nicht um den Pool für einzelne Deliktskläger. Die Stadtvereinbarung, Vergleiche mit Anwohnern, Versicherungsleistungen, regulatorische Rechnungsgutschriften und die strafrechtliche Geldstrafe sind unterschiedliche Wege mit verschiedenen Empfängern und rechtlichen Zwecken.

Keine Gesamtsumme beweist die Wiederherstellung. Geld kann den Wiederaufbau, öffentliche Einrichtungen, Tariferleichterungen und Dienstleistungen finanzieren. Es kann ein Leben nicht ersetzen oder feststellen, dass gesundheitliche Auswirkungen, Vertreibung, Immobilienwert, Rechtskosten und Gemeinschaftsvertrauen vollständig repariert wurden. Rechenschaftspflicht erfordert, Transfers genau zu melden und gleichzeitig ihre Grenzen sichtbar zu lassen.

Strafrechtliche Verurteilung und regulatorische Sanktionen beantworteten unterschiedliche Fragen

Im August 2016 befand eine Bundesjury PG&E in fünf Fällen von Verstößen gegen die bundesstaatlichen Pipelinesicherheitsanforderungen und in einem Fall der Behinderung der NTSB-Ermittlungen für schuldig. Die Jury sprach das Unternehmen in sechs anderen angeklagten Pipelinesicherheitsanklagen frei. Der Behinderungsvorwurf betraf die Reaktion von PG&E auf seine Politik der Druckerhöhung auf MAOP zur Behandlung von Fertigungsbedrohungen als stabil.

Präzision ist unerlässlich: Die Verurteilungen waren keine Totschlagsverurteilungen für die acht Todesfälle, und ein Freispruch in einigen Anklagepunkten löscht die technischen Wahrscheinlichkeitsbefunde nicht aus.

Das Strafurteil des Bundesgerichts von 2017 verhängte die gesetzlich maximal mögliche Geldstrafe von 3 Millionen Dollar für die Anklagepunkte; fünf Jahre Bewährung; 10.000 Stunden Gemeindedienst; Auflagen zur Öffentlichkeitsarbeit; und ein Compliance- und Ethikprogramm unter der Aufsicht eines unabhängigen Monitors. Die Straf- und Überwachungsanordnung konzentrierte sich auf die Sicherheit von Gaspipelines, die Integrität der Aufzeichnungen, Festigkeitsprüfungen, Inspektionsfähigkeit und den konservativen Umgang mit fehlenden Informationen.

Der niedrige Dollarwert im Vergleich zum Schaden spiegelte die gesetzlichen Strafrahmen wider, nicht eine gerichtliche Bewertung des Schadens.

Die endgültige Strafentscheidung der CPUC befasste sich mit drei zusammenhängenden Verfahren: dem Bruch, den systemweiten Aufzeichnungen und Klassenstandortfragen. Ihr Paket von 1,6 Milliarden Dollar war keine einzelne Geldstrafe. Es umfasste 850 Millionen Dollar von Aktionären finanzierte Gastransportsicherheitsinfrastruktur, die aus der Rate Base ausgeschlossen wurde, eine Zahlung von 300 Millionen Dollar an den Allgemeinen Fonds Kaliforniens, eine einmalige Gutschrift von 400 Millionen Dollar für Gaskunden und etwa 50 Millionen Dollar an zusätzlichen Abhilfemaßnahmen.

Die gesamte Summe als Geldstrafe, Opferentschädigung oder Sicherheitsausgaben zu bezeichnen, wäre ungenau.

Der Strafprozess testete die Beweise jenseits vernünftiger Zweifel an den angeklagten Straftaten. Die CPUC-Verfahren testeten die Einhaltung von Vorschriften, die Eignung des Versorgungsunternehmens, Abhilfemaßnahmen und den Schutz der Tarifzahler in einem anderen rechtlichen Rahmen. Zivilrechtliche Vergleiche beilegten private und kommunale Ansprüche, oft ohne öffentliche Feststellungen zu jeder streitigen Tatsache. Diese Systeme überschnitten sich, waren aber nicht austauschbar. Ihr gemeinsames Gewicht zeigte ein schwerwiegendes institutionelles Versagen;

ihre getrennten Standards verhindern, dass ein Ergebnis verwendet wird, um ein anderes überzubewerten.

Reformen änderten Aufzeichnungen, Prüfungen, Bewertungen und Bruchreaktion

Die erste Reformwelle behandelte Aufzeichnungen als sicherheitskritische Nachweise. Im Januar 2011 gab PHMSA ein beratendes Bulletin zu Maximaldruck und Integritätsdaten heraus. Es wies die Betreiber an, zuverlässige Aufzeichnungen zur Festlegung des Maximaldrucks zu verwenden und bekannte Informationen in die Risikoidentifikation, -bewertung, -prävention und -minderung zu integrieren. Ein beratendes Bulletin klärt Erwartungen und warnt die regulierte Gemeinschaft; es ist nicht selbst eine endgültige durchsetzbare Regel.

Der Kongress erließ den Pipeline Safety, Regulatory Certainty, and Job Creation Act of 2011, unterzeichnet am 3. Januar 2012. Er ordnete Studien und Regelverfahren zu Aufzeichnungen, Druckverifizierung, automatischen und ferngesteuerten Ventilen und anderen Kontrollen an. Das Gesetz markierte eine politische Reaktion, aber der Erlass führte nicht sofort zu Feldverifizierungen für jedes Altsegment.

Die endgültige PHMSA-Regel für Gastransportleitungen von 2019 verlangte die Bestätigung des maximal zulässigen Betriebsdrucks für bestimmte Segmente ohne ausreichende Aufzeichnungen, erweiterte Bewertungen über Gebiete mit hohen Konsequenzen hinaus, verstärkte die Verifizierung von Materialeigenschaften und Aufzeichnungen und befasste sich mit Drucküberschreitungen und seismischen Risiken. Das dazugehörige MAOP-Faktenblatt beschreibt sechs Bestätigungsmethoden und die Notwendigkeit, Material- und Prüfnachweise für die Lebensdauer der Pipeline aufzubewahren.

Diese späteren Regeln können nicht verwendet werden, um einen Verstoß von 2010 gegen damals noch nicht geltende Anforderungen zu erklären. Sie zeigen, wie sich die Bundesbasis als Reaktion auf offengelegte Schwächen änderte.

Die Bruchisolierung wurde ebenfalls expliziter. Die Ventil- und Bruchreaktionsregel von PHMSA aus dem Jahr 2022 legte Anforderungen für Bruchminderungsventile, Abstände, Wartung, Überprüfung nach Ereignissen und sofortige Benachrichtigung der Rettungsdienste fest. Ihre Umsetzungszusammenfassung erklärt ein Ziel, Bruchminderungsventile so bald wie möglich und in der Regel innerhalb von 30 Minuten nach Bruchidentifikation zu schließen. Der Umfang ist wichtig: Die wichtigsten Installationsbestimmungen gelten hauptsächlich für neu gebaute oder vollständig ersetzte Onshore-Gastransportleitungen, die bestimmte Kriterien erfüllen.

Die Regel ist keine pauschale Behauptung, dass jede bestehende Leitung neue Ventile erhalten hat.

Die aktuellen bundesstaatlichen Integritätsanforderungen in 49 CFR Part 192, Subpart O machen die Kontrolllogik expliziter: verfügbare Informationen integrieren, relevante Bedrohungen berücksichtigen, eine geeignete Bewertungsmethode wählen, Qualitätssicherung anwenden, Änderungen managen und die Programmeffektivität evaluieren. Die aktuelle Verordnung ist ein Maßstab für die heutigen Verpflichtungen, keine rückwirkende Beschreibung des 2010 geltenden Textes.

Auf Unternehmensebene führte PG&E einen Pipeline-Sicherheitsverbesserungsplan durch, der Druckprüfungen, Ersatz, Druckreduzierungen, Stilllegungen, Inline-Inspektionsmodifikationen und automatische Ventile umfasste. Die aktuelle Zusammenfassung der CPUC zu San Bruno und den Reformen berichtet, dass das endgültige Projekt im November 2018 in Betrieb ging. Sie listet 673,5 Meilen festigkeitsgeprüft, 114,9 Meilen ersetzt, 12 Meilen herabgestuft, 9,1 Meilen stillgelegt, 202,4 Meilen für die Inline-Inspektion ertüchtigt und 217 automatische Ventile sowie die systemweite Validierung der MAOP-Aufzeichnungen für Transportleitungen auf.

Dies sind von der Regulierungsbehörde gemeldete Programmergebnisse. Sie belegen nicht, dass jedes Segment fehlerfrei ist oder dass jede Kontrolle unter Notfallbedingungen funktioniert.

Die Abschlussentscheidungen des NTSB liefern stärkere, aber immer noch begrenzte Belege. Im Januar 2020 berichtete das Gremium, dass Empfehlungen, die Tests von Gaspipelines und einen Test mit dem 1,25-fachen MAOP vor der Einstufung von Fertigungsfehlern als stabil verlangten, mit akzeptablen Maßnahmen abgeschlossen worden seien. Sein Empfehlungsarchiv verzeichnet auch den Abschluss, nachdem PG&E Festigkeitsprüfungen oder Aufzeichnungsverifizierungen für mehr als 1.850 Meilen abgeschlossen hatte. Abschluss bedeutet, dass das Gremium die ergriffenen Maßnahmen als Reaktion auf die Empfehlung akzeptiert hat.

Es zertifiziert nicht das Fehlen aller gegenwärtigen oder zukünftigen Pipelinesicherheitsrisiken.

Wie dauerhafte Verifizierung aussehen sollte

San Bruno legte eine wiederkehrende Schwäche in der Sicherheitsführung offen: Organisationen können die Existenz eines Programms mit dem Nachweis verwechseln, dass das Programm seine Gefahr kontrolliert. Dauerhafte Verifizierung erfordert eine Kette vom physischen Asset zur Entscheidung.

Für dieFertigungsqualitätsind die Belege Materialrückverfolgbarkeit, Schweißprotokolle, zerstörungsfreie Prüfungen, Druckprüfergebnisse und validierte Rohrausgrabungen. Wo ein Altaufzeichnung nicht nachvollziehbar, verifizierbar und vollständig gemacht werden kann, ist die konservative Reaktion Prüfung, Druckreduzierung, Ersatz oder eine andere Methode, die die Festigkeit nachweisen kann.

Für dieBedrohungsidentifikationist der Beleg keine generische Liste. Es ist eine dokumentierte Verbindung zwischen Nahttyp, Baujahrgang, Leckage- und Versagenshistorie, Druckzyklen, Klassenstandort, Konsequenzen und der ausgewählten Inspektionstechnologie. Ein Werkzeug, das den glaubwürdigen Defekt nicht erkennen kann, kann diese Bedrohung nicht schließen.

Für dieBetriebskontrolleumfassen die Belege Arbeitsfreigaben, die die betroffenen Geräte benennen, die Schaltreihenfolge, Alarmverantwortlichkeiten, Drucknotfallpläne, Arbeitsschwellen und Änderungsmanagement. Ein normaler Elektroersatz wurde sicherheitskritisch, weil die Grenzen zwischen elektrischer und Gassteuerung gekoppelt waren. Das Arbeitspaket hätte diese Kopplung explizit machen sollen.

Für dieNotfallreaktionsind die Belege zeitlich gemessene Übungen und tatsächliche Ereignisleistungen: wie schnell ein Bruch erkannt, lokalisiert, den Rettungsdiensten mitgeteilt und isoliert wird; ob qualifizierte Bediener entsandt werden; ob ferngesteuerte Ventile funktionieren; und ob Lehren zu verifizierten Korrekturmaßnahmen werden. Ein schriftlicher Plan ohne gemessene Reaktionszeit ist eine schwache Zusicherung.

Für dieRegulierungsaufsichtsind die Belege unabhängige Stichproben. Inspektoren sollten Datenbankattribute mit ausgegrabenen Rohren abgleichen, Risikobewertungsgewichtungen in Frage stellen, testen, ob Bewertungsmethoden zu den Bedrohungen passen, Änderungsmanagementpakete inspizieren und Abweichungen bis zum Feldabschluss verfolgen. Das Vorhandensein von Verfahren ist nicht ausreichend.

FürAbhilfe und Entschädigungsind die Belege kategoriespezifisch: gerichtliche Verfügung, von der Kommission angeordnete Zuteilung, Vergleichszahlung, Ausgaben für öffentliche Zwecke und Ergebnis für den Anspruchsteller. Die Zusammenfassung ungleicher Beträge lässt eine Antwort größer erscheinen, während sie die Rechenschaftspflicht weniger klar macht.

Aktuelle Überwachung zeigt Fortschritte und offene Verpflichtungen

Die fünfjährige Amtszeit des bundesstaatlichen Strafmonitors endete im Januar 2022. Kalifornien richtete daraufhin einen separaten unabhängigen Sicherheitsmonitor ein, um die Sicherheitsoperationen, die Risikoidentifikation und die Aufzeichnungen von PG&E für einen weiteren Fünfjahreszeitraum zu untersuchen. Diese Kontinuität zeigt, dass die Aufsicht nicht mit der strafrechtlichen Bewährung endete. Sie sollte nicht als Feststellung gelesen werden, dass derselbe Defekt in Leitung 132 fortbesteht oder dass Überwachung allein ein Versagen verhindert.

Der achte Statusbericht des Monitors, veröffentlicht im Mai 2026, bietet eine aktuelle, aber begrenzte Momentaufnahme. Er beschreibt eine günstige Entwicklung bei einigen Messgrößen der Gassicherheitskultur und langfristige Trends bei der Schadensprävention, berichtet aber auch über Ausgaben unterhalb der von der CPUC festgelegten Niveaus in einigen Gaskategorien, geplante Arbeiten an alternder Gasinfrastruktur und offene Korrekturmaßnahmen in Teilen des Systems. Der Bericht stützt sich ausdrücklich teilweise auf Daten von PG&E und Dritten, die der Monitor nicht in jedem Fall unabhängig überprüft hat.

Er ist daher ein Beleg für einen aktiven Sicherungsprozess und verbleibende Verpflichtungen, kein uneingeschränktes Gesundheitszeugnis.

Die zentrale Frage nach San Bruno ist nicht mehr, ob PG&E schriftliche Programme, geprüfte Meilen oder installierte Ventile hat. Die öffentlichen Aufzeichnungen bestätigen diese Maßnahmen. Die Frage ist, ob das Unternehmen und die Regulierer kontinuierlich nachweisen können, dass unsichere Altbestände konservativ behandelt werden, dass Aufzeichnungen mit dem Feld übereinstimmen, dass Bewertungswerkzeuge die ihnen zugewiesenen Bedrohungen sehen können und dass die Notfallisolierung gemessene Leistungsziele erreicht.

Eine Kontrollkarte für die Verantwortung

Die Verantwortung wird klarer, wenn sie der praktischen Kontrolle und nicht breiten institutionellen Bezeichnungen zugewiesen wird.

Rohrherstellung und Abnahme 1956wurden von PG&E und seiner Baukette kontrolliert. Die historischen Aufzeichnungen identifizieren nicht jeden einzelnen Akteur, aber das Versorgungsunternehmen kontrollierte Spezifikation, Inspektion, Abnahme und Prüfung.

Aufzeichnungserhalt und -korrekturblieben während der Lebensdauer des Assets in der Verantwortung von PG&E. Regulierer konnten erzwingen und Stichproben nehmen, aber nur der Betreiber konnte Bau-, Wartungs-, Druck- und geografische Aufzeichnungen in tägliche Entscheidungen integrieren.

Maximaldruck und Integritätsbewertungwaren Betreiberentscheidungen, die durch Bundesvorschriften und CPUC-Durchsetzung begrenzt wurden. PG&E wählte die Annahmen, die Risikobewertungsmethode, den Zeitplan und die Bewertungsmethode. CPUC und PHMSA waren dafür verantwortlich zu erkennen, ob diese Entscheidungen dem Standard entsprachen und glaubwürdige Bedrohungen kontrollierten.

Planung der Elektroarbeitenwurde von PG&E und seinem Auftragnehmermanagementsystem kontrolliert. Der Terminaldruckanstieg war als Kopplung zwischen Stromzuverlässigkeit und Gasregulierung vorhersehbar. Klare Sequenzierung, Identifikation betroffener Geräte und Notfallplanung waren verfügbare Barrieren.

Bruchisolierungwurde hauptsächlich von PG&E durch SCADA-Design, Ventilplatzierung, Personalausstattung, Schulung und Notfallführung kontrolliert. Feuerwehr und Polizei kontrollierten den öffentlichen Schutz rund um den Vorfall, nicht den Betrieb der Transmissionsventile.

Strafrechtliche, regulatorische und zivilrechtliche Rechenschaftspflichtunterlag Gerichten, Staatsanwälten, der CPUC und Klägern nach unterschiedlichen Standards. Keine konnte die zerstörte Nachbarschaft wiederherstellen; sie konnten Straftaten feststellen, Abhilfemaßnahmen verhängen, Ressourcen umverteilen und sicherere Kontrollen fordern.

Diese Karte lehnt zwei bequeme, aber ungenaue Narrative ab. San Bruno war nicht nur die Folge einer einzigen schlechten Schweißnaht aus einer anderen Zeit. Noch war es ausschließlich ein Regulierungsversagen, bei dem der Betreiber sich vernünftigerweise auf die staatliche Inspektion verließ. Die Schweißnaht überlebte, weil aufeinanderfolgende Barrieren des Betreibers und der Aufsicht es versäumten, Unsicherheit in Handeln umzusetzen.

Kontrafaktische Barrieren und was ungelöst bleibt

Mehrere kontrafaktische Annahmen werden stark gestützt. Eine angemessene visuelle Qualitätskontrolle im Jahr 1956 hätte die defekten Pups wahrscheinlich zurückgewiesen. Eine gültige hydrostatische Festigkeitsprüfung mit angemessener Marge hätte die kritische Naht wahrscheinlich vor der Inbetriebnahme zum Versagen gebracht oder sie bei einer späteren Verifizierung aufgedeckt. Genaue Nahtaufzeichnungen hätten die Bedrohungsidentifikation verändert. Eine Bewertungsmethode, die Längsnahtdefekte erkennen kann, hätte eine Reparatur oder einen Ersatz veranlassen können.

Eine bessere Kontrolle der Elektroarbeiten hätte den Druckanstieg verhindern können. Eine schnellere Ventilisolierung hätte die Dauer und Schwere des Brandes verringern können.

Diese kontrafaktischen Annahmen haben unterschiedliche Reichweiten. Ein Test von 1956 adressiert den anfänglichen Defekt. Ein späterer Test adressiert das Überleben nach Jahrzehnten des Druckzyklus. Genaue Aufzeichnungen allein beseitigen keinen Fehler, aber sie verändern den Entscheidungspfad. Die Verhinderung des Terminaldruckanstiegs hätte den Bruch an diesem Abend verhindern können, ohne das Rohr gesund zu machen. Eine schnellere Isolierung kann die anfängliche Explosion nicht verhindern. Die Rechenschaftspflicht erfordert, jede Barriere nur für den Schaden anzuerkennen, den sie kontrollieren konnte.

Wichtige Fragen bleiben in den öffentlichen Beweisen offen:

• Die Aufzeichnungen nennen nicht jede Person, die für die Fertigung, Sichtprüfung oder Abnahme im Jahr 1956 verantwortlich war, oder erklären genau, wo die Sechser-Pup-Baugruppe hergestellt wurde.
• Öffentliche Quellen liefern keine Ergebnisse auf Haushaltsebene für vertrauliche Zivilvergleiche oder belegen, dass die wirtschaftlichen und nichtwirtschaftlichen Verluste der Überlebenden vollständig entschädigt wurden.
• Programmmeilen und Empfehlungsabschlüsse offenbaren nicht jede bei der Aufzeichnungsvalidierung gefundene Abweichung, jede vergleichbare noch in Betrieb befindliche Naht oder die vollständige Feldstichprobenfehlerrate.
• Die aktuelle Überwachung verifiziert nicht unabhängig jeden Unternehmensdatenpunkt, und ein periodischer Bericht kann nicht beweisen, wie alle Ventile, Alarme und Besatzungen beim nächsten Bruch funktionieren werden.
• Spätere Regeln stärken die Mindestkontrollen, beseitigen aber nicht das Ermessen des Betreibers bei der Risikobewertung, Methodenauswahl, Arbeitsplanung und konservativen Behandlung von Unsicherheit.

Beweise, die diese Bewertung wesentlich ändern könnten, umfassen einen umfassenden öffentlichen Abgleich von Altrohreigenschaften mit Ausgrabungen; segmentbezogene Nachweise eines Tests oder einer validierten MAOP-Basis; unabhängige Falsch-Negativ-Raten für Inspektionsmethoden; zeitlich gemessene Bruchisolierungsübungen auf vergleichbaren Leitungen; und transparente Abschlussaufzeichnungen für Monitor- und Regulierungsbefunde. Das Fehlen dieser öffentlichen Details ist kein Beweis dafür, dass die Arbeit nicht durchgeführt wurde. Es schränkt ein, was Außenstehende verantwortungsvoll behaupten können.

Schlussfolgerung

San Bruno machte das Pipeline-Integritätsmanagement zu einem Test für die Rechenschaftspflicht, weil jede entscheidende Kontrolle einen Eigentümer hatte. Die Schweißnaht von 1956 war physisch defekt. Der Druckanstieg von 2010 war betrieblich verursacht. Die Leitung blieb unter ihrem angegebenen bundesrechtlichen Maximum und legte die Schwäche offen, diese Zahl als Nachweis der Festigkeit zu behandeln. Falsche Aufzeichnungen versteckten die Naht, eine ungeeignete Integritätsstrategie ließ sie ungetestet, die Aufsicht versäumte es, die Zusicherung in Frage zu stellen, und Notfallsysteme brauchten zu lange, um das Gas zu stoppen.

Die Reaktion brachte Verurteilungen, ein großes Regulierungspaket, Zivilvergleiche, Stadtfinanzierung, Druckprüfungen, Ersatz, Inspektionsfähigkeitsprojekte, automatische Ventile, stärkere Bundesvorschriften und Jahre externer Überwachung hervor. Diese Ergebnisse sind real. Sie sind nicht austauschbar, und sie schaffen keine dauerhafte Vermutung der Sicherheit.

Die dauerhafte Lektion ist enger und anspruchsvoller. Ein Gasversorger muss nachweisen können, was sein Rohr ist, welchen Belastungen es ausgesetzt war, welche Bedrohungen darauf einwirken können, warum die gewählte Bewertung diese Bedrohungen finden kann und wie schnell ein Versagen isoliert wird, wenn die Prävention versagt. Regulierer müssen diesen Nachweis prüfen, nicht bestätigen, dass ein Programm existiert. Wo Aufzeichnungen unsicher sind, muss Unsicherheit konservatives Handeln verursachen. San Bruno demonstrierte die Kosten, wenn Unsicherheit stattdessen zur Zusicherung wird.