San Bruno convirtió la gestión de integridad de tuberías en una prueba de responsabilidad para las empresas de servicios públicos

Resumen

• La secuencia física de la falla está establecida.Aproximadamente a las 6:11 p.m. del 9 de septiembre de 2010, la tubería de transmisión de gas natural de 30 pulgadas Línea 132 de Pacific Gas and Electric Company se rompió en Earl Avenue y Glenview Drive en San Bruno. La Junta Nacional de Seguridad en el Transporte (NTSB) determinó que la fractura comenzó en una soldadura longitudinal parcialmente realizada en una sección corta de tubería instalada durante una reubicación en 1956. El gas que escapó se incendió, ocho personas murieron, 38 viviendas fueron destruidas y 70 resultaron dañadas. Diferentes registros oficiales cuentan las lesiones de manera distinta: la Comisión de Servicios Públicos de California (CPUC) reportó 58 heridos, mientras que el regulador federal de tuberías reportó 51 personas que requirieron hospitalización.
• El aumento de presión desencadenó la falla, pero no fue una sobrepresión más allá del límite federal de la línea.Los trabajos eléctricos en la Terminal Milpitas de PG&E causaron problemas de control y un aumento de presión. La NTSB estimó la presión en la ruptura en aproximadamente 386 libras por pulgada cuadrada manométricas (psig). Eso superó el objetivo operativo de PG&E de 375 psig, pero se mantuvo por debajo de la presión máxima permitida de 400 psig de la línea. Los investigadores concluyeron que esta presión no habría amenazado una tubería correctamente construida. La distinción importa: la mala planificación del trabajo creó el evento de carga inmediato, pero una costura críticamente defectuosa y controles de integridad fallidos hicieron que ese evento fuera catastrófico.
• El defecto fue una falla de construcción y control de calidad con una larga vida institucional.El segmento fallido fue una de seis piezas cortas, o pups, con configuraciones de soldadura y propiedades de material variadas. Cinco no cumplían con los estándares de calidad generalmente aceptados de 1956. La falla crítica de la costura habría sido visible cuando se instaló. Sin embargo, los registros de PG&E describían la ubicación como tubería sin costura con diferentes atributos de material, y los investigadores no encontraron ningún registro de que la sección reubicada hubiera recibido una prueba hidrostática de resistencia.
• La gestión de integridad de tuberías falló como un sistema de decisiones, no simplemente como un cronograma.PG&E tenía un programa de integridad, una lista de amenazas y evaluaciones planificadas. No integró correctamente la construcción, la presión y el historial de fugas de la tubería; trató los defectos de fabricación y construcción como estables; se basó en gran medida en la evaluación directa de corrosión externa que no podía encontrar una falla de costura longitudinal enterrada; y periódicamente aumentó la presión al nivel máximo permitido sin el margen de seguridad de una prueba de resistencia válida. La Línea 132 no había recibido su evaluación de integridad planificada antes de la ruptura.
• La responsabilidad regulatoria es compartida pero no simétrica.PG&E era propietaria y operaba la línea, controlaba sus registros, seleccionaba métodos de evaluación, planificaba el trabajo en la terminal y dirigía el aislamiento de emergencia. La CPUC era responsable de la inspección y aplicación estatal bajo delegación federal. La NTSB determinó que la supervisión de la CPUC no identificó la insuficiencia del programa de integridad de PG&E y que los protocolos y medidas de rendimiento de la supervisión federal también eran débiles. El fracaso regulatorio no transfirió el deber del operador al regulador; eliminó una barrera independiente que debería haber desafiado la garantía del operador.
• La respuesta de emergencia se dividió en dos actuaciones muy diferentes.Los residentes, la policía y los bomberos reconocieron el desastre rápidamente, movilizaron grandes recursos de ayuda mutua e improvisaron el suministro de agua después de que fallara una tubería principal de agua. PG&E tardó aproximadamente 95 minutos en aislar la sección rota. Su sistema de control no identificó rápidamente la rotura, el primer empleado enviado no estaba calificado para operar válvulas de transmisión, los mecánicos calificados se enviaron por su cuenta después de los informes de los medios, y no había una estructura de mando suficientemente practicada para una rotura importante de transmisión. La NTSB trató esas fallas y la ausencia de válvulas automáticas o de control remoto como contribuyentes a la gravedad, no como causas de la ruptura inicial.
• Los resultados legales y financieros no deben combinarse en un solo número engañoso.Un jurado federal condenó a PG&E por cinco delitos de seguridad en tuberías y obstrucción de la investigación de la NTSB; absolvió a la empresa de otros seis cargos de seguridad en tuberías. La sentencia impuso la multa máxima legal de $3 millones, libertad condicional, servicio comunitario y un monitor de cumplimiento. Por separado, la CPUC impuso un paquete de $1.6 mil millones que contenía una multa para el Fondo General, un crédito en la factura del cliente, trabajos de seguridad financiados por los accionistas y otras reparaciones. Los acuerdos civiles con los residentes y un acuerdo municipal de $70 millones fueron categorías adicionales. Ninguno debe describirse como un fondo único de compensación para víctimas o como prueba de que las pérdidas individuales fueron compensadas en su totalidad.
• La reforma es sustancial, pero el cierre requiere evidencia, no memoria institucional.PG&E posteriormente sometió a prueba de resistencia, reemplazó, retiró o hizo inspeccionables las tuberías; California impuso reparaciones extensas; las reglas federales fortalecieron los registros, la reconfirmación de presión máxima, las evaluaciones de integridad y las válvulas de respuesta a roturas. Algunas recomendaciones de la NTSB se cerraron después de una acción documentada. Sin embargo, las reglas no son condición de campo, los recuentos de proyectos no son operación libre de defectos, y el monitoreo actual aún reporta obligaciones abiertas de gestión de riesgos e infraestructura. La rendición de cuentas duradera depende de atributos de tubería rastreables, evidencia de pruebas, muestreo independiente, registros de control de trabajo, rendimiento de aislamiento rápido y cierre transparente de discrepancias.

Alcance y límites de la evidencia

Este análisis sigue la cadena de responsabilidad desde el trabajo de construcción de 1956 hasta la ruptura de 2010, la investigación, la aplicación de la ley, la compensación y las reformas de seguridad posteriores. La autoridad técnica central es el registro de investigación de la NTSB, el informe final del accidente y el expediente público. Esos registros contienen las conclusiones de causa probable de la Junta, así como presentaciones de metalurgia, operaciones, gestión de integridad, respuesta a emergencias y de la empresa. Una conclusión adoptada por la Junta se identifica como conclusión.

Una posición en una presentación de una parte sigue siendo la posición de esa parte.

La página del incidente de PHMSA proporciona contexto de aplicación federal e impacto. Las decisiones e informes de la CPUC establecen las acciones regulatorias estatales. Los comunicados del Departamento de Justicia y la orden de sentencia establecen la disposición penal. Las presentaciones de valores y los instrumentos de acuerdo establecen las categorías financieras reportadas. Cada fuente tiene un límite: una presentación de la empresa es evidencia confiable de lo que la empresa divulgó, pero no una auditoría de seguridad independiente; una orden de investigación inicial establece alegaciones y jurisdicción, no responsabilidad final;

un plan de reforma prueba un control previsto, no su efectividad en el campo.

El artículo utiliza cinco etiquetas de confianza implícita y explícitamente.Confirmadosignifica respaldado por una conclusión adoptada, orden final, condena, acuerdo ejecutado o registro medido directamente.Probablesigue el estándar causal de la NTSB.Posibleidentifica un mecanismo consistente con la evidencia pero no establecido.Disputadoidentifica una interpretación controvertida.Desconocidomarca evidencia que el registro público no resuelve.

Esta separación es especialmente importante para la presión, la intención, los recuentos de lesiones, el significado legal de las violaciones regulatorias y las afirmaciones de que programas posteriores hicieron seguro todo el sistema.

Taxonomía causal utilizada en este relato

La evidencia respalda una cadena de causas separada en lugar de una sola etiqueta.

Causa física raíz:una costura longitudinal defectuosa en una sección corta (pup) instalada durante la reubicación de 1956. El defecto existía en la instalación, creció por desgarro dúctil y fatiga, y se volvió incapaz de soportar la carga de presión de 2010.

Causa raíz de responsabilidad:los controles de aceptación de construcción, registros, base de presión y gestión de integridad de PG&E no convirtieron un segmento heredado no conforme y descrito incorrectamente en una acción conservadora. El operador mantuvo el control directo del activo y la evidencia necesaria para validarlo.

Desencadenante inmediato:la falla del trabajo eléctrico y los problemas de control en la Terminal Milpitas elevaron la presión de la Línea 132 por encima del objetivo operativo habitual de PG&E. La presión desencadenante se mantuvo por debajo de la MAOP de 400 psig, por lo que el desencadenante no debe tratarse como una simple superación del límite federal de presión.

Condiciones contribuyentes:la autorización federal de presión heredada sin una prueba de resistencia posterior, la supervisión de la CPUC que no detectó el programa inadecuado, los protocolos de supervisión de PHMSA que no probaron suficientemente la calidad de la revisión estatal, y la ausencia de capacidad de aislamiento automático o remoto de roturas debilitaron las barreras independientes. Contribuyeron de diferentes maneras; no fueron todas causas de la iniciación de la costura.

Fallo de detección:antes de la ruptura, la integración de datos, la clasificación de amenazas, la clasificación de riesgos, la validación de registros y los métodos de evaluación seleccionados de PG&E no detectaron la amenaza de la costura. Durante el evento, las alarmas SCADA y los datos de presión no identificaron rápidamente la ubicación de la ruptura ni crearon una vía de mando confiable para el aislamiento de válvulas.

Fallo de respuesta:los servicios de emergencia locales reconocieron y combatieron el fuego rápidamente, mientras que PG&E tardó aproximadamente 95 minutos en detener el flujo de gas al segmento dañado. Ese retraso amplificó la gravedad; no creó el defecto de soldadura original.

Recuperación y reforma:la sentencia penal, las reparaciones de la CPUC, los acuerdos civiles y municipales, las pruebas de presión, el reemplazo, el retiro, la capacidad de inspección en línea, las válvulas automatizadas, los cambios regulatorios federales y el monitoreo son acciones de recuperación o aseguramiento. Son evidencia real de respuesta institucional, pero ninguna prueba la restauración personal completa para los sobrevivientes o una ausencia permanente de riesgo futuro en tuberías.

Un proyecto de construcción de 1956 dejó un pasivo oculto

La Línea 132 entró en servicio en 1948. En 1956, la nivelación residencial requirió que PG&E reubicara aproximadamente 1,851 pies de la línea. La mayor parte de esa tubería reubicada permaneció en el sistema después de otro proyecto en 1961. La ruptura ocurrió dentro del trabajo de 1956, en una sección ensamblada a partir de seis piezas cortas. Los investigadores llamaron a las piezas pups. No eran un tramo uniforme de tubería sin costura fabricada en fábrica.

Tenían múltiples arreglos de costura longitudinal, diferentes dimensiones y características de material, y ninguna especificación de fabricación establecida para el segmento ensamblado.

El trabajo de laboratorio de la NTSB encontró el defecto iniciador en una costura longitudinal en el primer pup. La costura no había sido soldada en todo su espesor. Un cordón de raíz visible y otra evidencia de mano de obra mostraron que la soldadura era de calidad inferior cuando se instaló, no una soldadura sólida consumida solo por corrosión posterior. El desgarro dúctil progresivo y la fatiga agrandaron el defecto con el tiempo hasta que el ligamento restante no pudo sostener la carga de 2010. Cinco de los seis pups mostraron una mano de obra que no cumplía con los estándares de la industria generalmente aceptados disponibles en 1956.

Esto no fue una retrospectiva impuesta a través de un código de fabricación moderno. La Junta concluyó que una inspección visual competente durante la construcción debería haber identificado las soldaduras deficientes. O esa inspección no ocurrió, no interpretó lo que vio o permitió que el trabajo permaneciera. La decisión individual precisa se desconoce porque los registros sobrevivientes no identifican una cadena de control de calidad completa. El hecho institucional es más fuerte: PG&E aceptó, instaló y operó un conjunto no conforme en una tubería de transmisión.

La prueba de resistencia fue la segunda barrera perdida. La práctica de la industria disponible en 1956 recomendaba una prueba hidrostática a 1.25 veces la presión máxima de operación para esta clase de instalación. Esa recomendación no era entonces un requisito federal vinculante, y la ausencia de una regla obligatoria importa al describir el cumplimiento legal. No borra el contrafáctico de ingeniería. Una prueba ejecutada correctamente alrededor de 500 psig para un máximo de 400 psig probablemente habría fallado la costura defectuosa en un entorno controlado.

Los investigadores no encontraron ningún registro de que PG&E hubiera realizado una prueba hidrostática en la sección reubicada.

La tercera barrera fue la fidelidad de los registros. El sistema de información geográfica de PG&E describía la ubicación del accidente como tubería de 30 pulgadas, sin costura, API 5L Grado X42 con un espesor de pared de 0.375 pulgadas. El segmento físico era soldado y heterogéneo. La tubería sin costura de ese diámetro no estaba disponible comercialmente cuando se construyó la línea, y los registros de transferencia de material contemporáneos apuntaban a diferentes propiedades. Por lo tanto, el registro no era simplemente incompleto; transmitía atributos afirmativos que la tubería no poseía.

Esa distinción cambia la responsabilidad. Un tipo de costura desconocido debería forzar suposiciones conservadoras, investigación de registros o una prueba de validación. Un segmento falsamente registrado como sin costura puede suprimir por completo la vía de amenaza de fabricación. El registro inexacto afectó la confianza en la presión máxima, la identificación de amenazas, la clasificación de riesgos y la selección de evaluaciones. Un error administrativo enterrado se convirtió en una suposición operativa.

El evento de presión en Milpitas

El 9 de septiembre de 2010, contratistas y personal de PG&E estaban reemplazando un sistema de alimentación ininterrumpida en la Terminal Milpitas, la fuente aguas arriba de la Línea 132. La autorización de trabajo no especificaba adecuadamente qué equipos podían verse afectados, la secuencia de conmutación, las acciones de contingencia o la relación entre el trabajo eléctrico y los controles de presión de gas. Aproximadamente a las 5:22 p.m., un voltaje eléctrico errático hizo que las válvulas reguladoras se abrieran y generó más de 60 alarmas.

La presión de la Línea 132 aumentó. La medición en la terminal alcanzó aproximadamente 396 psig. En la ubicación de la ruptura, los investigadores utilizaron registros de presión y análisis hidráulico para estimar aproximadamente 386 a 386.4 psig inmediatamente antes de la falla. PG&E generalmente operaba la línea conectada a no más de 375 psig debido a un segmento de interconexión con una clasificación más baja. La presión máxima permitida federal para la Línea 132 era de 400 psig, establecida bajo una disposición histórica que utilizaba la presión más alta durante los cinco años anteriores a la entrada en vigor de la regulación federal.

Aproximadamente a las 6:11 p.m., la costura defectuosa se abrió. La ruptura creó un cráter de aproximadamente 72 pies de largo y 26 pies de ancho. Una sección de tubería de aproximadamente 28 pies y 3,000 libras fue expulsada a unos 100 pies. PG&E estimó que 47.6 millones de pies cúbicos estándar de gas escaparon antes del aislamiento. El gas se incendió en un vecindario residencial.

Llamar al evento simplemente una falla por sobrepresión oscurecería la evidencia. La presión superó el objetivo operativo habitual de PG&E, y la falla del trabajo eléctrico proporcionó el aumento de carga final. No superó la presión máxima permitida de 400 psig. La NTSB determinó que la presión no debería haber amenazado una tubería correctamente construida. La mala planificación del trabajo fue parte de la causa probable porque creó el aumento desencadenante, pero no creó la soldadura de 1956, el registro incorrecto ni el programa de integridad que dejó el defecto en servicio.

La distinción también evita el error opuesto. Permanecer por debajo de la MAOP no hizo que la operación fuera segura. La MAOP era un techo administrativo derivado en parte de la presión histórica, no una prueba de que cada segmento tuviera un margen de seguridad verificado. PG&E había llevado periódicamente la Línea 132 a su máximo de 400 psig durante períodos cortos, incluso en 2003 y 2008, y trató la supervivencia como evidencia de que los defectos de fabricación eran estables. La Junta rechazó esa lógica. Una exposición breve a la MAOP no equivale a una prueba de resistencia a una presión materialmente más alta.

Puede dejar una falla subcrítica en su lugar mientras la fatiga y los ciclos de presión continúan agrandándola.

Causa física, causas de gestión y explicaciones excluidas

La causa probable de la NTSB unió tres elementos controlados por la gestión: aseguramiento de calidad y control de calidad inadecuados durante la reubicación de 1956; un programa de gestión de integridad inadecuado que no detectó ni eliminó la tubería defectuosa; y una planificación deficiente para el trabajo eléctrico de 2010 que produjo el aumento de presión. El defecto de construcción era antiguo, pero su riesgo se renovaba cada vez que los registros, evaluaciones y decisiones operativas trataban el segmento como conocido y seguro.

Los investigadores también separaron las condiciones contribuyentes de la ruptura inicial. Las reglas federales y estatales permitían que las tuberías más antiguas conservaran la autoridad de presión sin una prueba de presión posterior a la construcción. La Junta determinó que esta exención contribuyó porque una prueba válida probablemente habría expuesto la costura. La supervisión de la CPUC contribuyó porque no identificó la insuficiencia del programa de integridad de PG&E.

La ausencia de válvulas de cierre automático o control remoto, los procedimientos de emergencia débiles y el aislamiento tardío aumentaron la duración y gravedad del incendio. No iniciaron la fractura de la costura.

Varias explicaciones propuestas fueron examinadas y no respaldadas como causas. La construcción de alcantarillado cerca de la línea en 2008 no dañó la tubería. Los investigadores no encontraron corrosión externa, movimiento sísmico o daño directo por excavación de terceros como origen. El consumo de drogas por parte de empleados no fue causal. Las exclusiones del informe final importan porque la responsabilidad no debe expandirse simplemente a cada condición presente cerca de un accidente.

El registro no puede identificar al soldador, inspector o supervisor individual que tomó cada decisión en 1956. Tampoco establece la fecha exacta en que la falla pasó de tolerable a crítica. Esas incógnitas no hacen que la falla del sistema sea incognoscible. PG&E mantuvo el control práctico sobre la línea durante décadas. Podía verificar registros, probar la resistencia a la presión, seleccionar una inspección en línea capaz de ver costuras longitudinales, exponer la tubería, reducir la presión o reemplazar segmentos inciertos. La responsabilidad se basa en el control y la evidencia, no en la supervivencia de cada nombre histórico.

La gestión de integridad no convirtió la incertidumbre en acción

Las reglas federales de gestión de integridad requerían que los operadores identificaran áreas de alta consecuencia, integraran información, identificaran amenazas, evaluaran segmentos cubiertos, remediaran defectos y mejoraran continuamente el programa. PG&E creó un programa de gestión de riesgos con 22 categorías de amenazas y evaluaciones de referencia planificadas para su kilometraje cubierto. En papel, estos eran elementos reconocibles de un sistema de seguridad moderno. La falla radicaba en lo que el sistema sabía, lo que asumía y lo que sus métodos elegidos podían detectar.

Primero, la base de datos no era confiable. Los atributos de las tuberías en el sistema geográfico no coincidían con el segmento excavado. Los registros de construcción estaban dispersos y no establecían que la reubicación hubiera sido probada. El historial operativo y de fugas no recibió suficiente peso. El programa no podía caracterizar con precisión una amenaza de costura si la base de datos decía que la tubería no tenía costura.

Segundo, PG&E clasificó los defectos de fabricación y construcción como estables a menos que una presión posterior superara el máximo histórico. Esta suposición ignoraba la posibilidad de que una costura defectuosa pudiera crecer bajo ciclos de presión ordinarios. También trataba la supervivencia previa cerca de la MAOP como un sustituto de una prueba de resistencia. La Junta determinó que este enfoque carecía de una base científica adecuada. Un defecto puede permanecer oculto a través de muchos ciclos y luego fallar por debajo de la presión que sobrevivió brevemente años antes.

Tercero, la clasificación de riesgos no elevó de manera confiable las amenazas relevantes. El sistema de clasificación de riesgos de PG&E asignaba pesos y puntuaciones entre corrosión, daño por terceros, movimiento del suelo, material y condiciones de construcción. La NTSB encontró que el sistema subestimaba o manejaba incorrectamente la evidencia conocida de costuras y fabricación, mientras daba influencia desproporcionada a otras amenazas. Por lo tanto, una puntuación de riesgo no era evidencia independiente; heredaba los supuestos y omisiones de sus entradas.

Cuarto, el método de evaluación no coincidía con el modo de falla. PG&E utilizaba la evaluación directa en la mayor parte de su kilometraje de transmisión de alta consecuencia. La evaluación directa de corrosión externa combina revisión de registros, inspecciones superficiales, excavaciones y evaluación para encontrar corrosión. Puede ser apropiada para esa amenaza. No puede establecer la solidez de una soldadura longitudinal no vista simplemente porque no aparece ninguna señal de corrosión.

Las herramientas de inspección en línea o las pruebas hidrostáticas pueden abordar diferentes clases de defectos, pero PG&E no seleccionó un método capaz de encontrar la falla de la costura de San Bruno antes de la ruptura.

Quinto, el tiempo de finalización no controlaba el riesgo. La Línea 132 estaba programada para evaluación pero no había sido evaluada para septiembre de 2010. Incluso una finalización más temprana no habría encontrado necesariamente la falla si el método seleccionado seguía siendo la evaluación directa de corrosión externa. La cuestión de responsabilidad no es solo si se cumplió un plazo. Es si el operador eligió una evaluación que respondiera a la amenaza creíble.

Sexto, la autoevaluación no generó una corrección significativa. La NTSB describió las revisiones del programa de PG&E como superficiales y encontró que no identificaron ni corrigieron debilidades fundamentales. Un sistema maduro debería probar si los registros supuestamente completos coinciden con la tubería excavada, si los hallazgos de la evaluación coinciden con excavaciones posteriores, si las excursiones de presión exponen fallas de control de trabajo, y si los resultados limpios repetidos reflejan bajo riesgo o un método insensible. La evidencia no mostró ese tipo de desafío antes de San Bruno.

Las recomendaciones de la Junta hicieron explícita la lógica faltante. Solicitó registros rastreables, verificables y completos que respalden la presión máxima; pruebas de resistencia cuando la autoridad de presión se basaba en evidencia incompleta; pruebas con margen suficiente antes de clasificar los defectos de fabricación como estables; y métodos de evaluación capaces de identificar las amenazas presentes. La carta de recomendación posterior a PG&E también exigía una auditoría integral de registros y corrección de discrepancias. Estas medidas no eran sanciones administrativas. Se dirigían a las decisiones que controlaban los registros.

La supervisión regulatoria fue una barrera independiente que no se mantuvo

California regulaba la seguridad de las tuberías de gas interestatales a través de un acuerdo con el gobierno federal. La CPUC inspeccionó el programa de integridad de PG&E en 2005 y nuevamente en 2010. Esas inspecciones no expusieron los defectos centrales antes de la ruptura. Después, el personal de la CPUC identificó evaluaciones retrasadas, uso excesivo de excepciones, cambios de inspección en línea a métodos menos adecuados y respuestas débiles a las auditorías internas.

La NTSB concluyó que la CPUC no detectó la insuficiencia del programa de gestión de integridad de PG&E. Su panel de revisión independiente profundizó en las condiciones organizativas. El panel no determinó la causa técnica probable del accidente; eso pertenecía a la NTSB. Reportó debilidades en la gestión de riesgos empresariales de PG&E, la cultura de seguridad, la priorización e implementación de recursos, y criticó los propios recursos, habilidades, enfoque y enfoque de aplicación de la Comisión en materia de seguridad de gas. Esos son hallazgos de revisión atribuidos, no un veredicto judicial sobre cada decisión de gestión.

La orden de apertura de la CPUC sobre el evento de San Bruno enmarcó las alegaciones del personal sobre operaciones, registros, gestión de integridad y respuesta a emergencias. También registró ocho muertes, 58 heridos, 38 viviendas destruidas y 70 dañadas. Debido a que abrió una investigación adjudicativa, sus alegaciones no deben reportarse como hallazgos finales simplemente porque aparecieron en un documento oficial. La responsabilidad final llegó a través de decisiones y medidas posteriores de la Comisión.

El regulador también abrió una investigación separada de mantenimiento de registros en todo el sistema. Esa separación fue significativa. San Bruno no era solo un caso de construcción en una ubicación; los registros inexactos o incompletos podrían afectar las decisiones de presión y evaluación en toda la red de PG&E. Inmediatamente después de la ruptura, la Resolución L-403 exigió la preservación de evidencia, reducciones de presión, inspecciones, acceso para investigadores y un plan de seguridad. Esas fueron acciones provisionales de protección, no prueba de que la red subyacente ya hubiera sido validada.

La supervisión federal también tenía límites. PHMSA establecía las reglas y evaluaba los programas estatales, pero la NTSB encontró que la guía de inspección federal y las medidas de rendimiento no probaban de manera confiable si un estado estaba evaluando los modelos de riesgo del operador, la integración de datos y la idoneidad de la evaluación. Una lista de verificación puede confirmar que un operador tiene procedimientos sin determinar si los procedimientos encontrarían el defecto realmente presente.

La contribución regulatoria no divide la responsabilidad de manera uniforme. PG&E poseía la tubería, los empleados, los contratistas, los datos operativos y el poder de probar o reemplazar. La CPUC tenía el deber independiente de desafiar ese sistema y hacer cumplir los estándares mínimos federales. PHMSA tenía el deber de definir y supervisar la arquitectura regulatoria. El control del operador era directo; el control de los reguladores era de supervisión. Las tres barreras importaban, pero la existencia de una inspección fallida no convierte al regulador público en el propietario de la línea.

Noventa y cinco minutos: control de emergencia después de que falló la prevención

La ruptura fue inmediatamente visible y audible para el vecindario. La policía y los bomberos recibieron informes en minutos. La primera respuesta policial se registró alrededor de las 6:12 p.m. y las primeras unidades de bomberos alrededor de las 6:13 p.m. Los respondedores locales se enfrentaron a una columna de gas en llamas, incendios estructurales, calles dañadas y una tubería de agua rota que dejó a los hidrantes cercanos sin agua adecuada. La ayuda mutua eventualmente involucró a 42 departamentos de bomberos, aproximadamente 600 bomberos y personal médico de emergencia y 325 agentes de la ley durante más de 50 horas.

Las cuadrillas establecieron suministros de agua alternativos, evacuaron residentes, protegieron exposiciones y buscaron en áreas dañadas.

La respuesta de PG&E comenzó desde una posición de información diferente. Su sistema registró cambios de presión y alarmas, pero el control de supervisión y adquisición de datos no identificó directamente una ubicación de ruptura. El despacho supo de un posible evento de gas alrededor de las 6:18 p.m. El primer empleado enviado fue un representante de servicio de gas, no un mecánico calificado para operar válvulas de la tubería de transmisión.

El personal consideró que la Línea 132 era una fuente probable, pero no estableció de inmediato un comando unificado de ruptura, no envió todas las cuadrillas calificadas para válvulas requeridas ni obtuvo una notificación directa de servicios de emergencia que resolviera la incertidumbre.

Los mecánicos calificados se enteraron del evento a través de cobertura noticiosa y se autoenviaron. Las válvulas manuales aguas arriba y las válvulas remotas y manuales aguas abajo se operaron durante la siguiente hora. Aproximadamente a las 7:46 p.m., el segmento dañado fue aislado, con una disminución visible de la intensidad del fuego alrededor de ese período. Las fuentes oficiales utilizan hitos ligeramente diferentes: PHMSA resume el aislamiento alrededor de las 7:40 p.m., mientras que la cronología detallada de la NTSB rastrea cierres individuales y describe aproximadamente 95 minutos desde la ruptura hasta detener el flujo de gas.

La diferencia refleja el punto medido, no una razón para implicar precisión que el registro no respalda.

La NTSB consideró excesivo el tiempo de aislamiento. PG&E carecía de válvulas de cierre automático o un arreglo de control remoto suficientemente capaz lo suficientemente cerca para detener el flujo rápidamente. También carecía de una respuesta integral y practicada para una gran ruptura de transmisión. La empresa no tenía un protocolo directo y confiable mediante el cual los servicios de emergencia pudieran informar inmediatamente al control de gas que se había producido una ruptura importante. SCADA era útil para la conciencia de presión, pero no un sustituto para el reconocimiento de ruptura, la ubicación y el comando.

Estas fallas amplificaron las consecuencias. El gas continuó alimentando un gran incendio mientras los bomberos intentaban proteger un vecindario. Un aislamiento más rápido no habría deshecho la explosión inicial, el cráter ni la primera ignición, y el registro público no cuantifica exactamente qué lesiones o pérdidas de propiedad posteriores se habrían evitado en cada tiempo de cierre hipotético. Sin embargo, habría reducido la duración y la energía de la liberación incontrolada. Es por eso que la NTSB clasificó las válvulas y la respuesta como contribuyentes a la gravedad, no como la raíz de la ruptura de la costura.

El impacto humano y comunitario no puede reducirse a un total de sanciones

Ocho personas murieron. Hogares, pertenencias, registros familiares, mascotas, relaciones vecinales y un sentido de seguridad física se perdieron o interrumpieron. Treinta y ocho viviendas fueron destruidas y 70 resultaron dañadas. Los recuentos de lesiones varían según la definición: la CPUC registró 58 heridos en su procedimiento del evento, mientras que PHMSA reportó 51 personas que requirieron hospitalización. Ambas cifras deben conservar sus etiquetas. Convertir una en la otra borraría las categorías administrativas subyacentes.

El daño se extendió más allá de las parcelas privadas. Carreteras, servicios públicos y servicios públicos requirieron reparación. Los residentes enfrentaron desplazamiento, atención médica, disputas de seguros, opciones de reconstrucción y largos procesos legales. Los bomberos y otros respondedores trabajaron en una escena inestable con suministro de agua comprometido.

Los clientes de gas financiaron un sistema de servicios públicos cuyos registros y controles de integridad se convirtieron en el tema de un importante trabajo correctivo, aunque la Comisión posteriormente ordenó que las sanciones clave y los costos de seguridad fueran asumidos por los accionistas.

PG&E reportó litigios civiles y actividad de acuerdos en su presentación de valores de septiembre de 2013. Dijo que había resuelto sustancialmente todas las reclamaciones restantes de los demandantes y reportó cargos acumulados de aproximadamente $565 millones y pagos de aproximadamente $389 millones al 30 de septiembre de 2013. Esas son cifras contables de la empresa. Los términos del acuerdo a menudo eran confidenciales, el número no revela los resultados a nivel de hogar, y un cargo no es lo mismo que efectivo recibido o recuperación completa.

La Ciudad de San Bruno celebró un acuerdo separado en 2012 con PG&E valorado en $70 millones: $68.75 millones en efectivo para fines de beneficio público y cinco lotes vacantes con un valor acordado de $1.25 millones. No era el fondo para los demandantes individuales por agravio. El acuerdo de la ciudad, los acuerdos con los residentes, las recuperaciones de seguros, los créditos regulatorios en las facturas y la multa penal son vías distintas con diferentes destinatarios y propósitos legales.

Ninguna cantidad agregada prueba la restauración. El dinero puede financiar la reconstrucción, instalaciones públicas, alivio de tarifas y servicios. No puede reemplazar una vida ni establecer que los efectos en la salud, el desplazamiento, el valor de la propiedad, los costos legales y la confianza comunitaria se repararon por completo. La rendición de cuentas requiere reportar las transferencias con precisión mientras se dejan visibles sus límites.

La condena penal y las sanciones regulatorias respondieron a diferentes preguntas

En agosto de 2016, un jurado federal encontró a PG&E culpable de cinco violaciones de los requisitos federales de seguridad en tuberías y un cargo de obstrucción de la investigación de la NTSB. El jurado absolvió a la empresa de otros seis cargos de seguridad en tuberías. El cargo de obstrucción se refería a la respuesta de PG&E sobre su política de aumentar la presión a la MAOP para tratar las amenazas de fabricación como estables. La precisión es esencial: las condenas no fueron condenas por homicidio por las ocho muertes, y una absolución en algunos cargos no borra las conclusiones técnicas de causa probable.

La sentencia de 2017 del tribunal federal impuso una multa de $3 millones, el máximo legal disponible en los cargos; cinco años de libertad condicional; 10,000 horas de servicio comunitario; requisitos de publicidad; y un programa de cumplimiento y ética supervisado por un monitor independiente. La orden de sentencia y monitor se centró en la seguridad de las tuberías de gas, la integridad de los registros, las pruebas de resistencia, la capacidad de inspección y el tratamiento conservador de la información faltante.

El bajo valor en dólares en comparación con el daño reflejó los límites legales de la sentencia, no una valoración judicial del daño.

La decisión de sanción final de la CPUC abordó tres procedimientos relacionados: la ruptura, el mantenimiento de registros en todo el sistema y problemas de ubicación de clase. Su paquete de $1.6 mil millones no era una sola multa en efectivo. Incluía $850 millones de infraestructura de seguridad de transmisión de gas financiada por los accionistas excluida de la base de tarifas, un pago de $300 millones al Fondo General de California, un crédito único de $400 millones en las facturas de los clientes de gas y aproximadamente $50 millones en medidas adicionales.

Llamar a todo el monto una multa, compensación a víctimas o gasto en seguridad sería inexacto.

El caso penal probó la culpabilidad más allá de toda duda razonable en los delitos imputados. Los procedimientos de la CPUC probaron el cumplimiento normativo, la idoneidad de la empresa, las medidas correctivas y la protección de los contribuyentes bajo un marco legal diferente. Los acuerdos civiles resolvieron reclamaciones privadas y municipales, a menudo sin hallazgos públicos sobre cada hecho en disputa. Estos sistemas se superponían pero no eran intercambiables. Su peso combinado mostró una grave falla institucional; sus estándares separados impiden que un resultado se use para exagerar otro.

La reforma cambió los registros, las pruebas, la evaluación y la respuesta a roturas

La primera ola de reforma trató los registros como evidencia crítica para la seguridad. En enero de 2011, PHMSA emitió un boletín de asesoramiento sobre presión máxima y datos de integridad. Instruyó a los operadores a utilizar registros confiables para establecer la presión máxima y a integrar la información conocida en la identificación, evaluación, prevención y mitigación de riesgos. Un boletín de asesoramiento aclara las expectativas y advierte a la comunidad regulada; no es en sí mismo lo mismo que una regla final ejecutable.

El Congreso promulgó la Ley de Seguridad de Tuberías, Certeza Regulatoria y Creación de Empleo de 2011, promulgada el 3 de enero de 2012. Exigió estudios y reglamentación sobre registros, verificación de presión, válvulas automáticas y de control remoto, y otros controles. La ley marcó una respuesta política, pero su promulgación no produjo inmediatamente verificación de campo en cada segmento heredado.

La regla final de transmisión de gas de PHMSA de 2019 exigió la reconfirmación de la presión máxima permitida para segmentos específicos que carecían de registros adecuados, amplió las evaluaciones más allá de las áreas de alta consecuencia, fortaleció la verificación de propiedades de materiales y el mantenimiento de registros, y abordó las superaciones de presión y el riesgo sísmico. La hoja informativa asociada sobre MAOP describe seis métodos de reconfirmación y la necesidad de conservar la evidencia de materiales y pruebas durante la vida útil de la tubería.

Estas reglas posteriores no pueden usarse para declarar una violación en 2010 de requisitos que aún no estaban en vigor. Muestran cómo la línea de base federal cambió en respuesta a las debilidades expuestas.

El aislamiento de roturas también se volvió más explícito. La regla de válvulas y respuesta a roturas de PHMSA de 2022 estableció requisitos para válvulas de mitigación de roturas, espaciado, mantenimiento, revisión posterior al evento y notificación inmediata a los servicios de emergencia. Su resumen de implementación explica un objetivo de cerrar las válvulas de mitigación de roturas tan pronto como sea práctico y generalmente dentro de los 30 minutos posteriores a la identificación de la rotura.

El alcance importa: las disposiciones principales de instalación se aplican principalmente a líneas de transmisión de gas en tierra recién construidas o completamente reemplazadas que cumplen con criterios específicos. La regla no es una afirmación general de que cada línea existente recibió nuevas válvulas.

Los requisitos federales actuales de integridad en 49 CFR Parte 192, Subparte O hacen que la lógica de control sea más explícita: integrar información disponible, considerar amenazas relevantes, elegir un método de evaluación adecuado, aplicar aseguramiento de calidad, gestionar el cambio y evaluar la efectividad del programa. La regulación actual es un punto de referencia para las obligaciones de hoy, no una descripción retrospectiva del texto vigente en 2010.

A nivel de empresa, PG&E emprendió un Plan de Mejora de Seguridad de Tuberías que implicaba pruebas de presión, reemplazos, reducciones de presión, retiros, modificaciones de inspección en línea y válvulas automatizadas. El resumen actual de la CPUC sobre el incidente y la reforma de San Bruno informa que el proyecto final se volvió operativo en noviembre de 2018. Enumera 673.5 millas probadas en resistencia, 114.9 millas reemplazadas, 12 millas degradadas, 9.1 millas retiradas, 202.4 millas hechas aptas para inspección en línea y 217 válvulas automatizadas, así como la validación en todo el sistema de los registros de MAOP de transmisión.

Estos son resultados del programa reportados por el regulador. No establecen que cada segmento esté libre de defectos o que cada control funcione en condiciones de emergencia.

Las decisiones de cierre de la NTSB proporcionan evidencia más sólida pero aún limitada. En enero de 2020, la Junta informó que las recomendaciones que exigían pruebas de tuberías de gas y una prueba a 1.25 veces la MAOP antes de tratar los defectos de fabricación como estables habían sido cerradas con acción aceptable. Su archivo de recomendaciones también registra el cierre después de que PG&E completara las pruebas de resistencia o la verificación de registros para más de 1,850 millas. El cierre significa que la Junta aceptó la acción de respuesta a la recomendación.

No certifica la ausencia de todo riesgo presente o futuro en las tuberías.

Cómo debería ser una verificación duradera

San Bruno expuso una debilidad recurrente en la gobernanza de la seguridad: las organizaciones pueden confundir la existencia de un programa con la evidencia de que el programa controla su peligro. La verificación duradera requiere una cadena desde el activo físico hasta la decisión.

Para lacalidad de fabricación, la evidencia es la trazabilidad de materiales, registros de soldadura, examen no destructivo, resultados de pruebas de presión y validación de tubería excavada. Cuando un registro heredado no puede hacerse rastreable, verificable y completo, la respuesta conservadora es la prueba, la reducción de presión, el reemplazo u otro método capaz de establecer la resistencia.

Para laidentificación de amenazas, la evidencia no es una lista genérica. Es un vínculo documentado entre el tipo de costura, la antigüedad de la construcción, el historial de fugas y fallas, los ciclos de presión, la ubicación de clase, las consecuencias y la tecnología de inspección seleccionada. Una herramienta que no puede detectar el defecto creíble no puede cerrar esa amenaza.

Para elcontrol operativo, la evidencia incluye autorizaciones de trabajo que nombran el equipo afectado, la secuencia de conmutación, la propiedad de las alarmas, las contingencias de presión, los umbrales de parada de trabajo y la gestión del cambio. Un reemplazo eléctrico normal se volvió crítico para la seguridad porque los límites eléctricos y de control de gas estaban acoplados. El paquete de trabajo debería haber hecho explícito ese acoplamiento.

Para larespuesta a emergencias, la evidencia son ejercicios cronometrados y rendimiento en eventos reales: qué tan rápido se reconoce, localiza, comunica a los servicios de emergencia y aísla una ruptura; si se envían operadores calificados; si las válvulas remotas funcionan; y si las lecciones se convierten en acciones correctivas verificadas. Un plan escrito sin tiempo de respuesta medido es una garantía débil.

Para lasupervisión regulatoria, la evidencia es el muestreo independiente. Los inspectores deben conciliar los atributos de la base de datos con la tubería excavada, desafiar los pesos de clasificación de riesgos, probar si los métodos de evaluación coinciden con las amenazas, inspeccionar los paquetes de gestión del cambio y rastrear las discrepancias hasta el cierre de campo. La presencia de procedimientos no es suficiente.

Para lareparación y compensación, la evidencia es específica de cada categoría: disposición judicial, asignación ordenada por la Comisión, pago del acuerdo, gasto en beneficio público y resultado del reclamante. Agregar cantidades diferentes hace que la respuesta parezca más grande mientras hace que la rendición de cuentas sea menos clara.

La supervisión actual muestra progreso y obligaciones abiertas

El período de cinco años del monitor penal federal concluyó en enero de 2022. California estableció entonces un Monitor de Seguridad Independiente separado para examinar las operaciones de seguridad, identificación de riesgos y mantenimiento de registros de PG&E por otro período de cinco años. Esta continuidad muestra que la supervisión no terminó con la libertad condicional penal. No debe leerse como una conclusión de que el mismo defecto de la Línea 132 permanece, o que el monitoreo por sí solo previene fallas.

El octavo informe de estado del monitor, emitido en mayo de 2026, ofrece una instantánea actual pero limitada. Describe un movimiento favorable en algunas medidas de encuesta de cultura de seguridad de gas y tendencias a largo plazo de prevención de daños, mientras también reporta gastos por debajo de los niveles adoptados por la CPUC en algunas categorías de gas, trabajo planificado en infraestructura de gas envejecida y acciones correctivas abiertas en partes del sistema. El informe se basa expresamente en parte en datos de PG&E y terceros que el monitor no verificó de forma independiente en todos los casos.

Por lo tanto, es evidencia de un proceso de aseguramiento activo y obligaciones restantes, no un certificado de buena salud.

La pregunta central posterior a San Bruno ya no es si PG&E tiene programas escritos, millas probadas o válvulas instaladas. El registro público confirma esas acciones. La pregunta es si la empresa y los reguladores pueden demostrar continuamente que los activos heredados inciertos reciben un tratamiento conservador, que los registros coinciden con el campo, que las herramientas de evaluación pueden ver las amenazas que se les asignan y que el aislamiento de emergencia cumple con los objetivos de rendimiento medidos.

Un mapa de control para la responsabilidad

La responsabilidad se vuelve más clara cuando se asigna al control práctico en lugar de a etiquetas institucionales amplias.

Fabricación de tubería y aceptación de 1956estaban controladas por PG&E y su cadena de construcción. El registro histórico no identifica a cada actor individual, pero la empresa controlaba la especificación, inspección, aceptación y pruebas.

Preservación y corrección de registrossiguió siendo responsabilidad de PG&E durante la vida del activo. Los reguladores podían obligar y muestrear, pero solo el operador podía integrar los registros de construcción, mantenimiento, presión y geográficos en las decisiones diarias.

Presión máxima y evaluación de integridaderan decisiones del operador limitadas por las reglas federales y la aplicación de la CPUC. PG&E seleccionó los supuestos, el método de clasificación de riesgos, el cronograma y el método de evaluación. La CPUC y PHMSA eran responsables de detectar si esas elecciones cumplían con el estándar y controlaban las amenazas creíbles.

Planificación del trabajo eléctricoestaba controlada por PG&E y su sistema de gestión de contratistas. El aumento de presión en la terminal era previsible como un acoplamiento entre la confiabilidad eléctrica y la regulación del gas. Una secuenciación clara, identificación de equipos afectados y planificación de contingencias eran barreras disponibles.

Aislamiento de rupturaestaba controlado principalmente por PG&E a través del diseño SCADA, ubicación de válvulas, personal, capacitación y comando de emergencia. Los bomberos y la policía controlaban la protección pública alrededor del incidente, no la operación de válvulas de transmisión.

Responsabilidad penal, regulatoria y civilpertenecía a los tribunales, fiscales, CPUC y demandantes bajo diferentes estándares. Ninguno podía reconstruir el vecindario destruido; podían establecer delitos, imponer medidas correctivas, transferir recursos y exigir controles más seguros.

Este mapa rechaza dos narrativas convenientes pero inexactas. San Bruno no fue solo la consecuencia de una mala soldadura de otra época. Tampoco fue únicamente una falla regulatoria en la que el operador confiaba razonablemente en la inspección gubernamental. La soldadura sobrevivió porque barreras sucesivas del operador y de supervisión no convirtieron la incertidumbre en acción.

Barreras contrafácticas y lo que queda sin resolver

Varios contrafácticos están fuertemente respaldados. Un control de calidad visual adecuado en 1956 probablemente habría rechazado los pups defectuosos. Una prueba hidrostática válida con un margen apropiado probablemente habría fallado la costura crítica antes del servicio o la habría expuesto durante la verificación posterior. Los registros precisos de costura habrían cambiado la identificación de amenazas. Un método de evaluación capaz de detectar defectos de costura longitudinal podría haber provocado reparación o reemplazo. Un mejor control del trabajo eléctrico podría haber evitado el aumento de presión.

Un aislamiento más rápido de válvulas podría haber reducido la duración y gravedad del incendio.

Estos contrafácticos tienen diferente alcance. Una prueba en 1956 aborda el defecto inicial. Una prueba posterior aborda la supervivencia después de décadas de ciclos de presión. Los registros precisos no eliminan una falla por sí mismos, pero cambian la vía de decisión. Prevenir el aumento de presión en la terminal podría haber evitado la ruptura esa noche sin hacer que la tubería fuera sólida. Un aislamiento más rápido no puede evitar la explosión inicial. La rendición de cuentas requiere acreditar a cada barrera solo por el daño que podría controlar.

Importantes preguntas permanecen abiertas en la evidencia pública:

• El registro no nombra a cada persona responsable de la fabricación, inspección visual o aceptación en 1956, ni explica exactamente dónde se fabricó el conjunto de seis pups.
• Las fuentes públicas no proporcionan resultados a nivel de hogar para acuerdos civiles confidenciales ni establecen que las pérdidas económicas y no económicas de los sobrevivientes fueran completamente compensadas.
• El kilometraje del programa y el cierre de recomendaciones no revelan cada discrepancia encontrada durante la validación de registros, cada costura comparable que permanece en servicio o la tasa de error de muestreo de campo completa.
• El monitoreo actual no verifica de forma independiente cada punto de datos de la empresa, y un informe periódico no puede probar cómo funcionarán todas las válvulas, alarmas y cuadrillas en la próxima ruptura.
• Las reglas posteriores fortalecen los controles mínimos pero no eliminan la discreción del operador en la clasificación de riesgos, la selección de métodos, la planificación del trabajo y el tratamiento conservador de la incertidumbre.

La evidencia que podría cambiar materialmente esta evaluación incluiría una conciliación pública integral de los atributos de tuberías heredadas con las excavaciones; prueba a nivel de segmento de prueba o base de MAOP validada; tasas de falsos negativos independientes para métodos de inspección; ejercicios cronometrados de aislamiento de ruptura en líneas comparables; y registros de cierre transparentes para los hallazgos del monitor y del regulador. La ausencia de ese detalle público no es prueba de que el trabajo no se realizó. Limita lo que los externos pueden afirmar responsablemente.

Conclusión

San Bruno convirtió la gestión de integridad de tuberías en una prueba de responsabilidad porque cada control decisivo tenía un dueño. La costura de 1956 era físicamente defectuosa. El aumento de presión de 2010 fue inducido operativamente. La línea se mantuvo por debajo de su máximo federal declarado, exponiendo la debilidad de tratar ese número como prueba de resistencia. Los registros incorrectos ocultaron la costura, una estrategia de integridad inadecuada la dejó sin probar, la supervisión no desafió la garantía, y los sistemas de emergencia tardaron demasiado en detener el gas.

La respuesta produjo condenas, un paquete regulatorio importante, acuerdos civiles, financiamiento municipal, pruebas de presión, reemplazos, proyectos de inspeccionabilidad, válvulas automatizadas, reglas federales más sólidas y años de monitoreo externo. Esos resultados son reales. No son intercambiables y no crean una presunción permanente de seguridad.

La lección duradera es más estrecha y más exigente. Una empresa de servicios públicos de gas debe poder demostrar qué es su tubería, qué cargas ha experimentado, qué amenazas pueden actuar sobre ella, por qué la evaluación elegida puede encontrar esas amenazas y qué tan rápido se aislará una falla si la prevención falla. Los reguladores deben probar esa prueba en lugar de confirmar que existe un programa. Cuando los registros son inciertos, la incertidumbre debe provocar una acción conservadora. San Bruno demostró el costo de permitir que se convirtiera en garantía.