Resumen
- El 13 de septiembre de 2018, un equipo de proyecto de Columbia Gas of Massachusetts aisló y abandonó una tubería principal de hierro fundido en South Lawrence mientras dos líneas de detección de reguladores permanecían conectadas a ella. A medida que la presión en la tubería abandonada caía, los reguladores de trabajo y monitor interpretaron la señal como una demanda de más gas y se abrieron. El suministro de alta presión entró en una red de baja presión, causando incendios y explosiones en Lawrence, Andover y North Andover. Una persona murió, 22 fueron trasladadas a hospitales, 131 estructuras resultaron dañadas y se cortó el servicio de gas a 10,894 clientes.
- La Junta Nacional de Seguridad en el Transporte (NTSB) determinó que la gestión de ingeniería débil fue la causa probable y la protección insuficiente contra sobrepresión fue un factor contribuyente. Los registros del proyecto no incluyeron las líneas de detección en el paquete de trabajo, el proceso de constructabilidad no obligó a la revisión por parte del departamento que poseía los registros relevantes, y Columbia Gas no aplicó un proceso de gestión de cambio y evaluación de riesgos a nivel de proyecto. Los trabajadores de construcción calificados siguieron un plan incompleto; esa distinción coloca la carga de responsabilidad central en el sistema y la gobernanza del proyecto, no en afirmaciones no respaldadas sobre la incompetencia del equipo.
- Los controles de respuesta también fallaron en las interfaces. Un centro de monitoreo remoto vio alarmas de alta presión pero no pudo operar las válvulas. El comandante de incidentes de la empresa tenía deberes simultáneos de cierre y enlace. Los respondedores municipales no recibieron mapas, información del área afectada o estado procesable de manera oportuna, mientras que la interoperabilidad de radio regional se vio afectada. La autoridad de emergencia estatal, la ayuda mutua y el rol de gestión de otra empresa ayudaron a estabilizar el evento, pero la recuperación creó una segunda prueba de control que involucró miles de reconexiones de servicio, trabajo en electrodomésticos, registros de abandono y construcción acelerada.
- Los remedios llegaron a través de canales separados. Columbia Gas se declaró culpable de un delito federal de la Ley de Seguridad de Oleoductos y recibió una multa de $53,030,116 y libertad condicional. La empresa matriz NiSource firmó un acuerdo de procesamiento diferido en lugar de una declaración de culpabilidad. Las investigaciones estatales terminaron con un acuerdo de $56 millones asociado con la venta a Eversource. Un acuerdo de clase de $143 millones excluyó reclamos por lesiones corporales, muerte por negligencia, subrogación de seguros y ciertos reclamos de electrodomésticos. Estas cantidades no pueden sumarse en una sola medida de pérdida, compensación o responsabilidad individual.
- La prueba duradera requiere más que el sello de un ingeniero profesional o una recomendación cerrada. Requiere registros completos del sistema, secuencia de construcción específica del sitio, análisis de modos de falla, protección de presión independiente, monitoreo continuo durante el cambio, personal posicionado para aislar el sistema, comunicaciones municipales probadas, registros de restauración verificados y evidencia recurrente de reguladores. Massachusetts convirtió varias lecciones en ley y reglas de ingeniería detalladas. La reforma federal de sobrepresión y seguridad de distribución, sin embargo, debe describirse por su etapa real: un aviso de 2020 y una propuesta de reglamento que permaneció propuesto y bajo revisión del comité asesor en 2026.
El evento convirtió un trabajo de reemplazo rutinario en una emergencia regional
El evento público comenzó poco antes de las 4:00 p.m. del 13 de septiembre de 2018. Un equipo contratista que trabajaba bajo un coordinador de construcción de Columbia Gas completó las conexiones para un reemplazo de tubería principal de polietileno cerca de las calles South Union y Salem. Luego, el equipo aisló la tubería principal de hierro fundido vieja cerrando válvulas en un bypass y cortó el bypass para abandonar la sección vieja.
En cuestión de minutos, la presión en la nueva tubería principal aumentó más allá de las lecturas esperadas, una conexión se separó, los vehículos de emergencia se hicieron audibles y apareció humo en varias direcciones.
El registro de investigación de la NTSB para PLD18MR003 establece la escala pública y la declaración final de causa probable de la agencia. Los incendios y explosiones dañaron 131 estructuras, incluidas al menos cinco casas destruidas. Una persona murió y 22 personas, incluidos tres bomberos, fueron trasladadas a hospitales; siete bomberos adicionales sufrieron lesiones menores. Columbia Gas cerró el sistema de baja presión afectado, interrumpiendo el servicio a 10,894 clientes, incluidos algunos desconectados como precaución. Esas son cifras y categorías de la NTSB, no una asignación de un tribunal civil de lesiones compensables.
Esa velocidad es central para la prueba de responsabilidad. Una red de baja presión puede servir a muchos clientes sin un regulador de servicio individual en cada medidor. Por lo tanto, una falla de control de presión a nivel de distrito puede propagarse antes de que un equipo de campo pueda visitar cada estación reguladora. Los planes de emergencia diseñados para una fuga, un incendio o un golpe de excavación no escalan automáticamente a alarmas simultáneas, docenas de incendios, congestión de tráfico, un corte de energía regional y límites de sistema inciertos.
El incidente no debe reducirse solo al hierro fundido viejo. El reemplazo de tuberías propensas a fugas era un objetivo de seguridad legítimo, y el equipo estaba instalando una nueva tubería principal de polietileno. La falla ocurrió porque el proyecto cambió la ruta de retroalimentación que gobernaba la presión mientras que el paquete de construcción no trató esa ruta como parte del sistema que se estaba cambiando. La renovación de infraestructura puede reducir un peligro y exponer otro cuando el control de configuración no sigue la red física.
Las líneas de detección hicieron que la tubería principal abandonada fuera parte del circuito de control
Antes del accidente, 14 estaciones reguladoras suministraban la red de baja presión de Merrimack Valley. En una estación típica, el gas de alta presión a aproximadamente 75 libras por pulgada cuadrada manométrica se reducía a aproximadamente 12 pulgadas de columna de agua, aproximadamente 0,5 psi, para distribución a los clientes. Cada estación usaba un regulador de trabajo y un regulador de monitoreo en serie. Cada uno tenía una línea de detección, control o estática conectada aguas abajo para que el regulador pudiera responder a la presión real de la red.
La disposición de trabajo y monitoreo parecía redundante, pero ambos dispositivos dependían de la información de presión de la misma condición del sistema. En la estación de Winthrop Avenue, sus líneas de detección permanecieron conectadas a la tubería principal de hierro fundido que el proyecto abandonó. Cuando se aisló la tubería principal, la presión en esa sección abandonada cayó. Ambos reguladores respondieron según lo diseñado a la señal falsa de baja presión: se abrieron más. Una vez que la señal desapareció, los reguladores pudieron abrirse completamente y admitir gas de alta presión en la red de baja presión.
El Informe de Accidente de Oleoducto de la NTSB PAR-19/02 encontró que los propios reguladores eran operables y que la calificación de la tripulación, las drogas y el alcohol no fueron factores. Determinó que la débil gestión de ingeniería de Columbia Gas no planificó, revisó, secuenció y supervisó adecuadamente el proyecto, lo que llevó al abandono antes de la reubicación de la línea de detección. También identificó un sistema de baja presión diseñado y operado sin protección adecuada contra sobrepresión como una causa contribuyente. Las investigaciones de la NTSB son procedimientos de determinación de hechos de seguridad;
sus conclusiones de causa probable no asignan culpa civil o responsabilidad legal.
Esta distinción explica por qué dos reguladores no eran dos barreras independientes. La redundancia protege contra algunas fallas de un solo componente solo cuando los elementos redundantes no comparten la misma entrada vulnerable. Aquí, una acción del proyecto eliminó la señal de presión utilizada por ambos. En términos de ingeniería, la disposición de la línea de detección tenía una falla de modo común. En términos de gobernanza, ninguna revisión obligatoria obligó al equipo del proyecto a preguntar qué dispositivos de protección serían derrotados al abandonar esa tubería principal.
La protección adecuada contra sobrepresión en baja presión puede tomar diferentes formas dependiendo del diseño del sistema: capacidad de alivio, dispositivos de cierre rápido, disposiciones de monitoreo con detección independiente, limitación de presión, aislamiento automático u otras capas de ingeniería. La prueba relevante no es si el equipo está duplicado, sino si un solo error del operador o falla del equipo puede derrotar la protección.
Un diseño revisado debe modelar el flujo máximo de entrada, la capacidad aguas abajo, los límites del electrodoméstico, el tiempo de detección, el tiempo de aislamiento y el efecto de perder cada ruta de instrumento.
El sistema también carecía de control remoto rápido. El monitoreo de supervisión podía detectar presión anormal, pero el centro de control no podía cerrar las válvulas locales que aislarían el distrito de baja presión. Eso significaba que la ruta de protección efectiva iba desde la alarma hasta una llamada telefónica, desde la llamada hasta el despacho de campo, y desde el personal de campo hasta las válvulas físicas. Cada minuto en esa cadena importaba después de que el exceso de presión ya había ingresado a las instalaciones del cliente.
El paquete de trabajo no representaba el sistema que se estaba cambiando
El proyecto de South Union pasó por el flujo de trabajo del proyecto de Columbia Gas, pero sus documentos de construcción omitían las líneas de detección. El ingeniero de campo utilizó los registros disponibles en el proceso de ingeniería e identificó una estación reguladora cercana, pero no revisó los dibujos separados mantenidos por la función de Medición y Regulación que mostraban información de la línea de control. El ingeniero de campo tenía un conocimiento limitado de la importancia de esas líneas.
Debido a que el ingeniero no determinó que Medición y Regulación se viera afectado, ese departamento no fue requerido para revisar el paquete.
Esta es una falla de gobernanza de datos expresada a través de la infraestructura física. Un activo puede existir en los archivos de una empresa mientras está ausente del documento que autoriza el trabajo a su alrededor. “Registrado en algún lugar” es más débil que rastreable, confiable, completo y disponible en el punto de decisión. El expediente de investigación público de la NTSB conserva entrevistas, material fáctico de operaciones de oleoductos, registros de respuesta de emergencia y la presentación de la parte de NiSource. El expediente respalda el escrutinio de cómo diferentes funciones entendieron el sistema;
no debe tratarse como si cada presentación de una parte fuera una conclusión adoptada por la NTSB.
Un paquete de trabajo controlado debe comenzar con un modelo de sistema autorizado, no con una colección de mapas específicos del departamento. Para cada segmento de tubería principal que se instalará, conectará, aislará o abandonará, el paquete debe identificar servicios, válvulas, derivaciones, estaciones reguladoras, líneas de detección, dispositivos de alivio, telemetría, enlaces de protección catódica y servicios públicos adyacentes. Cada registro necesita procedencia, estado de revisión y estado de verificación de campo.
Los conflictos entre GIS, dibujos de obra construida y observaciones de campo deben detener la aprobación hasta que se resuelvan o llevarse como peligros explícitos con controles.
Los registros también deben llegar a las operaciones. Un operador de sala de control que responde a una alarma necesita el límite actual del proyecto, el mapa de válvulas y reguladores, la configuración planificada, el líder de campo responsable y las opciones de aislamiento inmediato. Un paquete de trabajo utilizado solo por la construcción no puede respaldar la respuesta a operaciones anormales. Los cambios planificados deben ser visibles en una ventana operativa compartida antes de la ejecución en campo, con un inicio claro, puntos de detención, estado de finalización y condición de reversión o parada segura.
La gestión de cambio debería haber convertido la omisión en un punto de detención
NiSource tenía una iniciativa de sistema de gestión de seguridad de oleoductos, pero Columbia Gas no aplicó un proceso formal de gestión de cambio a los cambios de mantenimiento y construcción de este tipo. Existían listas de verificación de proyectos, pero el proyecto no recibió una evaluación de riesgos separada que rastreara cómo el abandono afectaría el control de presión. Una lista de verificación confirma las tareas esperadas; la gestión de cambio pregunta qué puede causar la nueva configuración.
El Informe urgente de recomendación de seguridad PSR-18/02 anterior de la NTSB hizo cuatro recomendaciones a la empresa: mejorar la revisión de ingeniería y constructabilidad con el sellado apropiado de ingeniero profesional; hacer que los registros del sistema sean rastreables, confiables y completos; aplicar gestión de cambio a todos los cambios que podrían crear fallas de modo común; y establecer controles durante las modificaciones de la tubería principal, incluido el monitoreo continuo de presión y personal en ubicaciones críticas capaz de cerrar el sistema.
Recomendó por separado que Massachusetts eliminara su exención de servicios públicos de los requisitos de ingeniero profesional.
Un registro útil de gestión de cambio para este proyecto habría descrito la configuración anterior y posterior, cada estado temporal, la lógica de control de presión, los departamentos afectados, los peligros, las salvaguardas, las aprobaciones requeridas y la respuesta de emergencia. Habría preguntado qué sucede si la tubería principal vieja pierde presión antes de que se muevan las líneas de detección, si los reguladores de trabajo y monitor comparten una dependencia, dónde se observará la presión y qué persona puede aislar el flujo en cada etapa.
Las respuestas convertirían la secuencia de construcción en un conjunto de puntos de detención de seguridad.
La secuencia es un control. “Reubicar líneas de detección” y “abandonar tubería principal vieja” pueden aparecer en una lista del proyecto mientras permanecen peligrosamente desordenados. El permiso para abandonar debe ser imposible de liberar hasta que la evidencia de campo muestre las líneas de detección conectadas a la tubería principal activa, presión estable, telemetría verificada y los departamentos responsables hayan firmado. Un cierre de válvula o corte de tubería debe requerir confirmación positiva, no una suposición de que otra orden de trabajo ya completó el requisito previo.
El monitoreo de presión también necesita un diseño de acción. Un manómetro o punto SCADA no es protección si nadie es propietario de la alarma o puede alcanzar rápidamente el equipo de aislamiento. Los límites deben establecerse antes del trabajo; las alarmas deben ir al personal designado; las lecturas locales y de la sala de control deben conciliarse; y los técnicos preposicionados deben tener autoridad para detener el trabajo y cerrar válvulas específicas. La ruta de cierre debe ensayarse en condiciones realistas de tráfico y acceso.
La revisión profesional puede fortalecer este proceso pero no puede sustituirlo. Un sello en un dibujo incompleto puede crear falsa confianza si el ingeniero carece de los registros del regulador, no puede verificar las condiciones del campo o revisa solo la disposición final en lugar de los estados temporales de construcción. El alcance, las suposiciones, las fuentes de datos y las discrepancias no resueltas del ingeniero deben ser visibles. La revisión independiente es valiosa porque crea un desafío responsable, no porque un sello haga que la información faltante aparezca.
La calificación del contratista no curó una omisión de diseño controlada por el propietario
Feeney Brothers realizó el trabajo de campo con un coordinador de construcción de Columbia Gas presente. La NTSB encontró que la tripulación estaba capacitada y calificada bajo los requisitos de calificación del operador y no encontró factor de drogas o alcohol. Los miembros de la tripulación siguieron el plan de trabajo, notaron presión anormal y respondieron a una conexión separada. Estos hallazgos no eliminan todas las responsabilidades de campo, pero evitan que el incidente sea narrado incorrectamente como un contratista no calificado que simplemente ignoró un diseño correcto.
El operador retuvo el control sobre el conocimiento del sistema, la aprobación de ingeniería, los registros de reguladores, la secuenciación del proyecto y la autoridad operativa. Un contratista no puede ejecutar de manera segura información que nunca se le dio. Por lo tanto, la responsabilidad del propietario incluye especificar el trabajo, proporcionar registros precisos, garantizar la revisión de constructabilidad, asignar inspección calificada y definir acciones en condiciones anormales.
El lenguaje del contrato que dice que el contratista debe trabajar de manera segura no transfiere el deber del operador de representar su propia red con precisión.
Las interfaces del contratista aún necesitan desafío recíproco. Una reunión informativa de campo debe identificar los activos de control de presión y explicar por qué la secuencia es importante. Los trabajadores deben comparar el paquete con las condiciones expuestas y detenerse cuando las tuberías, líneas de control, válvulas o manómetros difieran del dibujo. El propietario debe facilitar el acceso a expertos de Medición y Regulación y proteger las decisiones de programación que pausan el trabajo.
Cuasi accidentes, liberaciones de conexiones y lecturas inesperadas deben alimentar el mismo canal de incidentes que las alarmas de la sala de control.
Las interfaces municipales pertenecen antes de la respuesta de emergencia. El reemplazo de tuberías principales afecta calles, tráfico, otros servicios públicos subterráneos, acceso de bomberos y, a veces, registros de obras públicas. Los permisos municipales y los detalles policiales no pueden validar el diseño de control de presión del operador, pero los calendarios y mapas de construcción coordinados pueden revelar trabajos conflictivos, acceso a válvulas bloqueado e instalaciones públicas vulnerables.
Las empresas de servicios públicos deben proporcionar a los municipios contactos del proyecto y límites de emergencia sin divulgar infraestructura sensible más allá de la necesidad operativa legítima.
La sala de control detectó presión pero no pudo controlar el resultado
El centro de monitoreo en Columbus, Ohio, registró un rápido aumento de presión y alarmas de alta presión. Los controladores llamaron al técnico de Medición y Regulación de guardia según el protocolo de la empresa. El centro, sin embargo, tenía capacidad de monitoreo en lugar de control remoto de válvulas. Los técnicos de campo fueron enviados entre ubicaciones de reguladores, y el cierre del sistema más amplio requirió acción manual durante horas.
La respuesta a la alarma debe evaluarse como una barrera de extremo a extremo. El tiempo de detección, interpretación, despacho, viaje, acceso, operación de válvula y confirmación determinan si la barrera es lo suficientemente rápida. Una sala de control puede cumplir con su procedimiento de llamada pero seguir estructuralmente incapaz de prevenir la escalada. Para un distrito de baja presión de alta consecuencia, el operador debe cuantificar hasta dónde puede propagarse la presión durante el intervalo de respuesta manual creíble y decidir si es necesaria protección automática independiente o aislamiento remoto.
El incidente también expuso una división entre la conciencia de construcción y la conciencia de operaciones. Los controladores necesitan un registro en vivo de trabajos de importancia para la seguridad que podrían afectar los puntos que monitorean. Una alarma de presión durante una conexión planificada debe mostrar inmediatamente la ubicación del proyecto, la configuración, el contacto del equipo, la ventana de presión esperada, los reguladores afectados y el plan de cierre. Sin ese contexto, el controlador debe investigar mientras se desarrolla la condición anormal.
Por lo tanto, las métricas posteriores al incidente deben ir más allá de “alarma reconocida”. La evidencia debe mostrar la traza de presión, la primera alarma, todas las llamadas, las decisiones de despacho, la llegada del técnico, las acciones de válvula y el aislamiento del sistema. Los simulacros deben probar llamadas simultáneas, personal no disponible, caminos bloqueados y falla de comunicaciones normales. Si el aislamiento seguro depende de un especialista o un comandante de incidentes, el modelo de personal tiene un punto único de falla organizacional.
La autoridad de control también debe ser inequívoca. El personal de construcción necesita autoridad para detenerse y entrar en un estado seguro; el personal de la sala de control necesita autoridad para escalar; las operaciones de campo necesitan autoridad para cerrar válvulas predefinidas; y un comandante de incidentes necesita un adjunto o estructura de enlace para que el trabajo de cierre no desplace la coordinación gubernamental. Estos roles deben diseñarse juntos porque una respuesta técnica rápida y una respuesta rápida de seguridad pública se basan en las mismas personas.
La respuesta de emergencia fue un problema de mapas, enlace y comunicaciones
Los puntos de respuesta de seguridad pública locales manejaron una avalancha de llamadas, y la ayuda mutua trajo recursos sustanciales. Sin embargo, la empresa no proporcionó de inmediato a los comandantes de incidentes municipales y a los funcionarios estatales la naturaleza y extensión geográfica de la sobrepresión, mapas útiles del sistema o un progreso confiable del cierre. El comandante de incidentes de Columbia Gas enfrentó responsabilidades en competencia: dirigir el aislamiento mientras también se esperaba que se comunicara con los municipios afectados y los gerentes de emergencia.
Massachusetts declaró una emergencia y utilizó la autoridad legal para colocar a Eversource en un rol de gestión para la coordinación de la restauración. El archivo de órdenes de estado de emergencia de Merrimack Valley del DPU documenta órdenes sucesivas en lugar de un mandato atemporal. Las órdenes abordaron la gestión inmediata, la restauración, el monitoreo y las obligaciones de recuperación posteriores. Cada orden debe leerse por fecha y alcance; el control de emergencia de la restauración no fue una transferencia de propiedad legal o un juicio de responsabilidad final.
Los departamentos de bomberos también experimentaron problemas de interoperabilidad y capacidad de radio. No se implementó un plan de comunicación hasta horas después de que comenzaran los incendios, mientras que la mayor demanda de llamadas y ayuda mutua surgió antes. El Informe de Acciones Posteriores de las Explosiones de Gas de Merrimack Valley de Massachusetts recomendó más tarde un liderazgo de unidad de comunicaciones más temprano, canales de interoperabilidad correctamente programados, estructuras de comando unificado y liderazgo, una coordinación de información pública más sólida y otras mejoras de respuesta.
Es un informe gubernamental de lecciones aprendidas, no un sustituto de los hallazgos de causa probable de la NTSB.
La información útil de la empresa de servicios públicos tiene una forma específica. Los respondedores necesitan el distrito de presión afectado, la huella del cliente, el estado del regulador y la válvula, los peligros creíbles, el progreso del aislamiento, las áreas de reunión seguras y un contacto con sello de tiempo que pueda responder preguntas técnicas. Un mapa de ingeniería en bruto puede ser demasiado complejo; un mapa genérico del territorio de servicio puede ser demasiado vago. El operador debe preparar productos para los respondedores con anticipación y poder generar una versión específica del incidente rápidamente.
La advertencia pública tiene requisitos similares. Los residentes necesitan instrucciones claras sobre evacuación, evitación de ignición, olor a gas, corte eléctrico, refugio y regreso. Esos mensajes deben estar disponibles en los idiomas utilizados por la comunidad y coordinados entre los canales municipales, estatales y de la empresa. La ausencia de información precisa del sistema puede obligar a los funcionarios a evacuar y desenergizar un área más grande, aumentando la carga de tráfico, médica y de continuidad incluso cuando esa acción conservadora está justificada por la incertidumbre.
Las investigaciones estatales separaron el cumplimiento de seguridad del rendimiento de emergencia
Después de que la NTSB completó su informe, el DPU de Massachusetts abrió D.P.U. 19-140 y 19-141. El anuncio de investigación formal definió investigaciones separadas pero relacionadas: una sobre la causa y el cumplimiento de las reglas federales y estatales de oleoductos, y otra sobre la preparación de emergencia, la gestión de la restauración, la seguridad pública, la asignación de recursos, la comunicación municipal y la información pública. Esa separación evitó que la causa de ingeniería se tragara el registro de respuesta.
Las investigaciones regulatorias tienen un propósito y estándar diferentes del trabajo de la NTSB o el enjuiciamiento penal. El DPU podía examinar el cumplimiento e imponer remedios estatales dentro de su jurisdicción. La NTSB determinó la causa probable para la mejora de la seguridad sin asignar responsabilidad. Los fiscales tenían que probar u obtener una admisión de un delito legal. Un acuerdo posterior podía resolver reclamos regulatorios sin producir hallazgos completamente adjudicados sobre cada tema en disputa.
El DPU y otras agencias estatales también utilizaron mecanismos de emergencia y supervisión antes de que esos casos formales terminaran. Las moratorias de trabajo, la supervisión de ingeniería de terceros, las condiciones de restauración y la revisión a nivel estatal abordaron el riesgo inmediato. Las órdenes de protección rápidas y las investigaciones adjudicativas más lentas cumplen funciones diferentes. El registro público debe conservar ambas para que una restricción de emergencia no se confunda con una conclusión final de violación y un acuerdo posterior no borre los controles impuestos durante la recuperación.
La cuestión de la aplicación no es solo cuán grande podría haber sido una multa. Los reguladores necesitan convertir el mecanismo identificado en pruebas de inspección para todos los operadores: mapeo de líneas de control, análisis de modo común de reguladores, enrutamiento de revisión de proyectos, gestión de cambio, monitoreo de presión, registros de abandono, mapas de emergencia y ejercicios de respondedores. Un caso se cierra; esas afirmaciones de inspección deben permanecer.
La restauración creó una segunda prueba de gestión de cambio
Restaurar la calefacción y el agua caliente antes del invierno requirió una escala de trabajo mucho más allá de la actividad anual ordinaria. La red de baja presión de hierro fundido afectada fue reemplazada por un sistema de alta presión con reguladores de servicio y protección adicional en las conexiones de los clientes. Miles de medidores y electrodomésticos requirieron atención, mientras continuaban los trabajos en la calle, el acceso de los clientes, la vivienda temporal y los reclamos de la comunidad. La velocidad era necesaria, pero la urgencia cambió los flujos de trabajo normales y creó nuevos riesgos de registro y calidad.
La evaluación independiente del programa de restauración de Merrimack Valley encargada por el DPU concluyó que la infraestructura renovada mejoró la seguridad en comparación con el sistema que reemplazó. También encontró que los cambios realizados para acelerar el trabajo crearon brechas que involucran registros de pruebas de presión, registros de líneas de servicio y abandono de infraestructura, y que la dependencia de las personas más que del proceso creó brechas de documentación, inspección y control de calidad.
Esos hallazgos equilibrados son importantes: los nuevos activos pueden ser más seguros mientras que el proceso de restauración aún requiere remediación.
La calidad de la restauración debe probarse activo por activo. Cada nueva tubería principal y servicio necesita identidad de material, registros de fusión o unión, evidencia de prueba de presión, estado de conexión y abandono, instalación del regulador, inspección, ubicación construida y reconexión del cliente. Las excepciones no deben desaparecer en un porcentaje de cierre del proyecto. Necesitan un propietario, clasificación de riesgo, protección provisional, fecha de vencimiento y verificación independiente.
El abandono merece un control especial porque los activos desconectados pueden confundirse visualmente con los activos vivos y el sellado incompleto puede crear fugas. Una finalización de campo debe conciliarse con el GIS y los registros de clientes, con verificación independiente del equipo que realizó el trabajo. Los paquetes de pruebas de presión deben vincular el instrumento, la calibración, los límites de prueba, la duración, el segmento y el testigo. Una hoja escaneada sin un identificador de activo estable no puede respaldar operaciones posteriores o revisión de incidentes.
La evaluación de la restauración también ilustra por qué una venta de servicios públicos no puede transferir la incertidumbre de manera invisible. El sucesor necesita un registro de excepciones completo y el derecho de validar registros, inspeccionar activos y exigir corrección. La contabilidad de compra puede asignar pasivos, pero la responsabilidad operativa depende de una transferencia lo suficientemente detallada para que los equipos y los reguladores sepan qué activos permanecen bajo revisión.
La revisión estatal preguntó si la lección se generalizó
Massachusetts no limitó su respuesta a Columbia Gas. Una evaluación independiente a nivel estatal examinó las empresas de gas, el trabajo de campo, los centros de operación, los sitios de reguladores, los centros de control, la capacidad del DPU y el uso de prácticas de gestión de seguridad. El informe final de Dynamic Risk Phase 2 fue una evaluación de las condiciones observadas en todo el estado, no una determinación de que todos los operadores compartieran las fallas específicas de Columbia Gas.
La revisión trató la madurez del proceso como un problema de seguridad. Los procedimientos deben ser utilizables en el campo; los supervisores necesitan suficiente tiempo y autoridad para observar el trabajo; la información de riesgo debe moverse entre funciones; y los reguladores necesitan capacidad de inspección y aplicación oportuna. También observó que la implementación del nuevo requisito de ingeniero profesional estaba evolucionando. Esa es evidencia de implementación útil porque resiste la ficción de que aprobar una ley produce instantáneamente una práctica uniforme.
La garantía a nivel estatal debe usar un muestreo repetido. Los inspectores pueden seleccionar proyectos que involucren trabajo de reguladores, abandono, múltiples conexiones o cambios de presión y rastrearlos desde el diseño hasta la finalización en el campo. Deben comparar el plan sellado con la construcción real, confirmar que las desviaciones recibieron aprobación de ingeniería, probar si el personal de la sala de control conocía el estado del trabajo e inspeccionar los registros de cierre. Las métricas deben mostrar excepciones y tiempo de correción, no solo el número de dibujos sellados.
La supervisión regulatoria también necesita recursos independientes de las presentaciones del operador. La División de Seguridad de Oleoductos del DPU se expandió después del incidente, pero el número de personal solo es un insumo. La evidencia de efectividad incluye cobertura de inspección basada en riesgos, tiempo desde el hallazgo hasta la orden, violaciones repetidas, verificación de cierre, observaciones de simulacros de emergencia y la capacidad de analizar datos de GIS, presión y gestión de trabajo. La evaluación federal externa puede agregar un control, pero no reemplaza los registros de casos estatales transparentes.
Massachusetts convirtió la revisión profesional en ley y reglas
Massachusetts actuó sobre la recomendación urgente de la NTSB antes del informe final del accidente. El Capítulo 339 de las Leyes de 2018, aprobado el 31 de diciembre, eliminó la exención relevante de servicios públicos y requirió que los planes o especificaciones de ingeniería para trabajos de gas que pudieran representar un riesgo material para la seguridad pública llevaran el sello de un ingeniero profesional certificado. También requirió que la empresa de gas conservara esos registros para su revisión y auditoría por parte del DPU.
La ley estableció el deber pero dejó al DPU definir el trabajo de riesgo material. Las pautas de ingeniero profesional D.P.U. 21-04-A posteriores identifican proyectos complejos que incluyen creación o reconfiguración de estaciones reguladoras de distrito, cambios de presión, conexiones específicas de tuberías principales y de servicio, interrupción del flujo de tubería principal, trabajos de transmisión, reclasificación y otras configuraciones de mayor riesgo. Requieren instrumentos de servicio específicos del sitio, una secuencia de construcción adecuada y sellado antes del trabajo, sujeto a un tratamiento de emergencia definido.
Esta progresión proporciona tres niveles de evidencia: una recomendación, una ley y un marco regulatorio implementado. No deben colapsarse. La NTSB cerró su recomendación de Massachusetts basándose en la acción legislativa, pero el cierre significó que la acción recomendada se abordó de manera aceptable; no certificó cada plan futuro. La ley impuso un requisito; las pautas hicieron que su alcance fuera más operativo; la inspección aún debe probar el cumplimiento y la calidad.
Una revisión de PE debe ser lo suficientemente independiente para desafiar las suposiciones del proyecto mientras está lo suficientemente integrada para obtener información completa del sistema. El ingeniero debe tener acceso a los registros de reguladores y líneas de detección, GIS, verificación de campo, análisis hidráulico, configuración temporal y procedimientos de emergencia. El registro debe mostrar cambios de diseño después del sellado, porque una desviación de campo que evita la revisión posterior derrota el control.
La prueba de implementación más sólida es contrafáctica. Para cada proyecto muestreado, ¿podría un error u omisión aún abandonar una entrada de control compartida, abrir un regulador, aislar el segmento incorrecto o evitar un cierre oportuno? Si es así, la presencia de un sello aún no ha convertido la lección en una barrera. La responsabilidad profesional es una arquitectura de información, competencia, revisión y autoridad, no una marca al final de una página.
La reforma federal pasó de un aviso a una propuesta de reglamento aún pendiente
PHMSA respondió a la Recomendación P-19-15 de la NTSB con un aviso de 2020 sobre el riesgo de sobrepresión en baja presión. El aviso ADB-2020-02 del Registro Federal recordó a los operadores sus deberes existentes de gestión de integridad de distribución y alentó el análisis de modos de falla y efectos o un método estructurado equivalente. El aviso expresamente dijo que su contenido no tenía fuerza y efecto de ley y no vinculaba al público más allá de los requisitos subyacentes.
Ese estado legal importa. Un aviso puede aclarar el riesgo y la práctica esperada, pero no es la revisión de la Parte 192 que la NTSB recomendó por separado en P-19-14: protección contra sobrepresión para sistemas de baja presión que no puede ser derrotada por un solo error del operador o falla del equipo. Un operador no debe esperar una regla prescriptiva final para abordar un peligro conocido, pero la responsabilidad pública no debe informar la guía voluntaria como si un nuevo mandato de hardware ya hubiera entrado en vigor.
El aviso de propuesta de reglamento de seguridad de distribución de gas de 2023 de PHMSA propuso cambios a la gestión de integridad de distribución, respuesta de emergencia, operaciones y mantenimiento, identificación de amenazas de sobrepresión y otras prácticas. Incorporó mandatos de la Ley PIPES de 2020, incluidas las disposiciones de la Ley de Seguridad de Oleoductos Leonel Rondon. Como regla propuesta, describió las enmiendas previstas y el análisis regulatorio, no un texto ejecutable final.
El estado actual requiere una fuente posterior. El aviso de reunión del Comité Asesor de Oleoductos de Gas de 2026 de PHMSA todavía describía la medida de seguridad de distribución como una NPRM bajo revisión del comité y establecía que PHMSA evaluaría las recomendaciones antes de publicar una regla final. Por lo tanto, a la fecha de la evidencia para este artículo, la declaración precisa es que la reforma federal continuaba, no que las disposiciones propuestas se habían vuelto definitivas.
La evidencia de implementación debe rastrear tanto las obligaciones existentes como la brecha de reglamentación. Los operadores pueden documentar análisis de modos de falla, protección independiente, datos de contacto de emergencia, procedimientos de advertencia pública y manuales de operaciones actuales ahora. PHMSA puede publicar el estado de las recomendaciones, los protocolos de inspección y los hitos de las reglas. Una reglamentación larga no suspende el deber general de operar de manera segura, pero afecta lo que los reguladores pueden hacer cumplir como un mínimo nacional específico.
La responsabilidad penal recayó en la empresa, no en individuos no identificados
Bay State Gas Company, que opera como Columbia Gas of Massachusetts, se declaró culpable de violar la Ley federal de Seguridad de Oleoductos por no implementar los procedimientos requeridos para evitar la sobrepresurización durante el proyecto de South Union. El registro del caso y la sentencia del DOJ establece que el tribunal impuso una multa de $53,030,116, calculada como el doble de la ganancia obtenida del Plan de Mejora del Sistema de Gas de 2015 a 2018, y tres años de libertad condicional con monitoreo hasta que la empresa se vendiera a un comprador calificado.
El delito admitido tiene un alcance definido. Fue una violación corporativa de la Ley de Seguridad de Oleoductos relacionada con los procedimientos requeridos y el proyecto de baja presión. No fue una declaración de culpabilidad de todos los ingenieros, gerentes, contratistas o funcionarios de la empresa matriz. La página del caso del DOJ declaró expresamente que no se acusó a ningún individuo. Eso no responde todas las preguntas sobre la disciplina laboral, la responsabilidad civil o la toma de decisiones interna; significa que el registro penal público utilizado aquí no contiene ningún enjuiciamiento individual para asignar.
La resolución de NiSource fue legalmente diferente. La matriz firmó un acuerdo de procesamiento diferido que cubría la exposición penal federal conocida por el gobierno relacionada con el evento y la restauración. Acordó usar los mejores esfuerzos razonables para vender el negocio de Massachusetts, cesar la actividad de oleoductos en Massachusetts después de la venta, renunciar a las ganancias de la venta según lo definido por el acuerdo, implementar las recomendaciones de la NTSB en todas las subsidiarias especificadas, cooperar, continuar la restitución y buscar resolver los reclamos civiles.
Un DPA difiere el enjuiciamiento sujeto a condiciones; no es una declaración de culpabilidad o condena de la empresa matriz.
El DPA y el acuerdo de declaración de culpabilidad tampoco deben usarse para inferir intención individual más allá de los hechos corporativos admitidos. El lenguaje procesal, los hallazgos de la NTSB y las alegaciones civiles surgen bajo diferentes procesos. Un registro de responsabilidad sólido identifica al demandado, el cargo, la admisión, la sentencia, el plazo de monitoreo y la disposición por separado. También registra lo que no se resolvió: la asignación de pérdidas penales individuales y la responsabilidad personal no pueden fabricarse a partir de una fórmula de multa corporativa.
La multa penal se destinó en gran medida al Fondo Federal de Víctimas de Delitos en lugar de asignarse dólar por dólar a los reclamantes de Merrimack Valley. El DOJ señaló la restitución voluntaria separada y los reclamos civiles. Por lo tanto, llamar a los $53 millones compensación local directa sería inexacto. El castigo, la financiación nacional de servicios a víctimas, la compensación privada y el gasto en infraestructura son categorías de remedio diferentes incluso cuando están financiados por el mismo grupo corporativo.
Las cifras civiles, regulatorias y de compensación miden cosas diferentes
La vía regulatoria estatal terminó a través de una transacción negociada. La aprobación del acuerdo del DPU requirió un pago de $56 millones, la salida de Massachusetts y la transferencia de activos a Eversource. Aproximadamente $15 millones se destinaron a la condonación de atrasos para personas de bajos ingresos, y el resto apoyó un fondo de renovación de Merrimack Valley para medidas de energía limpia y eficiencia. El acuerdo resolvió las investigaciones de seguridad y respuesta de emergencia del DPU y asuntos estatales relacionados dentro de sus términos; no fue un juicio que cuantificara cada violación o pérdida de un residente.
El Formulario 10-K de 2020 de NiSource proporciona contexto financiero y legal de primera parte. Registra la aprobación final del tribunal el 12 de marzo de 2020 de un acuerdo de clase de $143 millones para personas y empresas en los tres municipios, al tiempo que identifica categorías excluidas: lesiones corporales físicas y muerte por negligencia, subrogación de seguros y reclamos relacionados con electrodomésticos sujetos a órdenes del DPU. También registra la venta y los costos relacionados con el incidente y los procedimientos desde la perspectiva de la empresa.
La lista de exclusión evita un error aritmético común. El fondo de clase no era el universo de compensación. Los reclamos por lesiones corporales y muerte por negligencia podían proceder por separado; las aseguradoras podían buscar subrogación; los remedios de electrodomésticos seguían otro canal; los municipios y las empresas también recibieron pagos o apoyo bajo acuerdos distintos. Algunos reclamos se resolvieron fuera de la clase, pero las divulgaciones primarias citadas no proporcionan un libro de contabilidad final persona por persona de cada pérdida bruta, recuperación de seguro, costo legal y pago neto.
Tampoco se deben sumar los $143 millones del fondo de clase, los $56 millones del acuerdo estatal, la multa penal de $53,030,116, el gasto de restauración, los ingresos del seguro y el precio de venta como un solo “costo del desastre”. Tienen diferentes destinatarios, tratamiento contable, cobertura y efecto legal. La contraprestación de la venta compró activos de servicios públicos; no fue compensación para los residentes. El reemplazo de capital creó activos operativos; no fue necesariamente una multa. Una multa penal castigó un delito; no valoró cada lesión.
La evidencia de remedio público debe usar un libro de contabilidad de recuperación con clase de reclamante, base legal, monto bruto, fuente de financiamiento, exclusiones, costo administrativo, estado de pago y subrogación. Cuando los datos a nivel de persona están protegidos, las categorías agregadas aún pueden mostrar si los montos aprobados se pagaron. Sin esa estructura, los grandes totales públicos pueden coexistir con preguntas sin respuesta sobre un hogar, una pequeña empresa, un municipio o una aseguradora.
La venta transfirió las operaciones pero no el significado histórico del evento
Eversource adquirió el negocio de gas de Massachusetts en octubre de 2020 y lo operó a través de Eversource Gas Company of Massachusetts. La transacción puso fin a la operación de distribución de gas de NiSource en el estado según lo requerido por las resoluciones federales y estatales. También transfirió un sistema operativo, fuerza laboral, obligaciones con los clientes y trabajo correctivo definido a un sucesor sujeto a la supervisión del DPU.
La venta puede ser un remedio porque cambia el control y crea un sucesor calificado. No es, por sí misma, evidencia de que los controles de ingeniería sean efectivos. El comprador debe integrar GIS, gestión de trabajo, monitoreo de presión, planes de emergencia, controles de contratistas y acciones correctivas abiertas sin perder la trazabilidad. El acuerdo del DPU requirió un programa de seguridad y confiabilidad y atención a las acciones correctivas restantes. Esas son obligaciones de implementación, no una certificación general en la fecha de cierre.
El sistema renovado de Merrimack Valley cambió el perfil de riesgo físico al reemplazar la configuración de baja presión compartida con distribución de alta presión y regulación individual. Eso redujo la probabilidad de que un evento de presión de distrito alcanzara muchos electrodomésticos de clientes de la misma manera. Sin embargo, los sistemas de alta presión introducen sus propios riesgos de diseño, regulador, línea de servicio y excavación. El riesgo se rediseña, no se abole.
La memoria institucional también debe sobrevivir al cambio de marca. El sucesor debe preservar los paquetes de ingeniería originales, las referencias del expediente de la NTSB, las excepciones de restauración, las órdenes del DPU, los registros de pruebas de presión y la evidencia de acciones correctivas bajo identificadores de activos estables. Un nuevo logotipo o sistema de facturación no puede romper el linaje entre un activo y el trabajo que lo instaló o remedió.
Para las comunidades, la partida puede satisfacer una demanda de responsabilidad mientras la continuidad aún importa. Los clientes necesitan calefacción confiable, administración de reclamos, contactos de emergencia claros y tratamiento de tarifas transparente. Los municipios necesitan mapas actualizados y protocolos de enlace. Las pequeñas empresas necesitan restauración predecible y coordinación de trabajos en la carretera. Por lo tanto, la transferencia operativa debe juzgarse desde la perspectiva del servicio público así como desde el cierre de la transacción.
La prueba duradera es un sistema de control conectado
La lección más transferible es que los controles de seguridad de oleoductos no pueden permanecer en departamentos separados. El regulador de presión está conectado a una línea de detección; la línea de detección está conectada a un mapa; el mapa está conectado a un paquete de trabajo; el paquete está conectado a una secuencia de construcción; la secuencia está conectada a la sala de control; la sala de control está conectada al aislamiento de campo; el aislamiento de campo está conectado a la respuesta municipal. La responsabilidad falla cuando cualquier interfaz no tiene propietario.
Un sistema de evidencia duradero mantendría siete registros vinculados. Primero, un registro autorizado de activos y líneas de control con verificación de campo e historial de revisiones. Segundo, un archivo de gestión de cambio del proyecto que muestre estados temporales, modos de falla, aprobaciones y puntos de detención. Tercero, un registro de revisión profesional que identifique alcance, suposiciones y dibujos modificados. Cuarto, una vista en vivo de operaciones de trabajos de importancia para la seguridad, presiones, alarmas y recursos de cierre. Quinto, un registro de interfaces con contratistas y municipios.
Sexto, una cronología de emergencia con mapas, mensajes y acciones de enlace. Séptimo, un libro de contabilidad de remedios y acciones correctivas que distinga multas, acuerdos, compensación, trabajo de capital y evidencia de cierre.
La automatización puede hacer cumplir el enrutamiento, comparar GIS con paquetes de trabajo, alertar sobre abandonos cerca de activos de reguladores y bloquear un cierre sin datos de prueba de presión. No puede determinar que un mapa de campo esté completo solo porque todos los campos de base de datos requeridos contengan valores. La verificación de campo, el juicio de ingeniería y el desafío independiente siguen siendo necesarios. Cada excepción automatizada necesita una persona responsable, y cada anulación manual necesita una razón conservada y una segunda revisión.
Las juntas y los reguladores deben probar el sistema con escenarios adversos. ¿Qué sucede si ambos reguladores pierden una fuente de detección? ¿Puede un equipo abandonar una tubería principal mientras una línea de control permanece conectada? ¿Muestra una alarma el estado activo de construcción? ¿Puede el personal de campo aislar el distrito dentro del tiempo modelado? ¿Los respondedores municipales reciben una huella precisa en minutos? ¿Puede el sucesor rastrear cada servicio de restauración hasta su prueba de presión y registro de abandono? Estas preguntas convierten las afirmaciones de reforma en evidencia falsificable.
Las recomendaciones cerradas, los acuerdos completados y los activos transferidos son hitos. No son lo mismo que el control sostenido. El estándar de ingeniería es si una sola omisión aún puede derrotar la protección de presión. El estándar de gestión es si una condición inesperada detiene el trabajo. El estándar de emergencia es si la información técnica llega a las personas que toman decisiones de seguridad pública. El estándar de responsabilidad es si cada hallazgo y remedio permanece correctamente atribuido a su institución, proceso legal, fecha y límite probatorio.
Merrimack Valley se convirtió en una prueba de responsabilidad de servicios públicos porque la falla original no se limitó a un corte de tubería. Unió diseño, registros, revisión, operaciones y respuesta en una sola cadena. La reparación es creíble solo cuando esas mismas interfaces se unen deliberadamente, se prueban repetidamente y se documentan lo suficientemente bien como para que los trabajadores, reguladores, municipios y el público puedan desafiar.