Aliso Canyon a fait de l'intégrité des puits et de la surveillance du méthane un test de redevabilité pour le stockage de gaz

Résumé

• La fuite prolongée du puits Standard Sesnon 25 a finalement été attribuée, par une enquête indépendante, à la rupture du tubage externe de sept pouces après une corrosion microbienne externe là où l'eau souterraine entrait en contact avec l'acier. Cette constatation technique ne détermine pas en soi l'exposition spécifique des ménages, la causalité médicale, la responsabilité pénale, les dommages civils, ni la répartition des coûts entre actionnaires et clients.
• La défaillance de gouvernance plus profonde n'était pas seulement l'âge. SS-25 avait été converti de la production pétrolière au stockage de gaz, les ruptures de tubage précédentes sur le champ n'avaient pas donné lieu à un programme systématique d'analyse des défaillances, la surveillance de l'intégrité ne traitait pas correctement la corrosion externe, les preuves de pression continue étaient limitées, et le puits dépendait d'une configuration de tubage qui permettait à la perte d'une barrière de devenir une fuite en surface. Sept tentatives de tuerie de puits ont prolongé l'urgence jusqu'à ce qu'un puits de secours intercepte SS-25.
• Une réparation crédible nécessite donc des preuves distinctes mais liées: les registres de barrière et de corrosion au niveau du puits; des signaux de fuite continus et vérifiables de manière indépendante; des plans de notification et de contrôle de puits pratiqués; une surveillance communautaire spécifique à l'exposition; une mesure du méthane avec incertitude; une gouvernance transparente de la relocalisation et des études de santé; une application réglementaire spécifique; la protection des contribuables; et des preuves publiques que les règles ultérieures de l'État et fédérales sont mises en œuvre, pas seulement publiées.

La fuite de gaz du stockage d'Aliso Canyon a commencé comme une défaillance mécanique souterraine et est devenue quatre crises de redevabilité à la fois. Pour les ingénieurs, la question centrale était de savoir pourquoi un puits de stockage vieillissant avait perdu son confinement et pourquoi la fuite n'avait pas pu être contrôlée rapidement. Pour les résidents voisins, c'était ce qu'ils avaient respiré ou rencontré, pourquoi les odeurs et les symptômes persistaient, et quelles preuves justifiaient la relocalisation et le retour.

Pour les autorités climatiques, il s'agissait de quantifier un panache de méthane inhabituellement vaste et changeant. Pour les régulateurs des services publics et les tribunaux, il s'agissait de savoir qui devait payer, quelle conduite avait été admise ou prouvée, et quelles restrictions d'exploitation pouvaient protéger les personnes sans créer une autre défaillance de fiabilité. Ces questions partagent une chronologie, mais elles ne partagent pas un seul niveau de preuve.

L'événement a commencé le 23 octobre 2015, lorsque Southern California Gas Company a détecté une fuite au puits Standard Sesnon 25, connu sous le nom de SS-25, sur son champ de stockage souterrain d'Aliso Canyon au nord de Los Angeles. L'opérateur a commencé une opération de tuerie de puits en surface le lendemain. La fuite s'est poursuivie malgré de multiples tentatives de contrôle, tandis que les signalements d'odeurs et les symptômes aigus ont entraîné une réponse communautaire croissante.

Un puits de secours a finalement intercepté SS-25 en profondeur, permettant à la boue de forage lourde et au ciment d'arrêter l'écoulement du réservoir en février 2016. Le puits a ensuite été confirmé scellé et plus tard bouché et abandonné.

Cette séquence peut être décrite simplement, mais la redevabilité ne le peut pas. Un champ de stockage est un système de pression de réservoir, de puits convertis et construits à cet effet, de tubages et de barrières, de vannes, de compresseurs, d'instruments, d'historique de maintenance, de personnes et d'autorités réglementaires. Une fuite peut devenir visible à une tête de puits alors que ses conditions favorisantes se sont accumulées dans des registres dispersés sur des décennies. L'institution responsable de l'actif doit donc faire plus que réagir à un panache détectable.

Elle doit prouver en permanence que l'état des barrières, les mécanismes de défaillance connus, la pression d'exploitation, les signaux de fuite et la capacité d'urgence s'articulent.

Un vieux puits est devenu une infrastructure critique

SS-25 a commencé comme un puits de pétrole et a ensuite été converti pour le service de stockage de gaz. La conversion est importante car un puits de stockage ne connaît pas seulement l'historique d'exploitation imaginé lors de sa construction initiale. Les cycles d'injection et de prélèvement, la pression du réservoir, l'acier vieillissant, l'état du ciment, le contact avec les eaux souterraines et les interventions antérieures créent un problème d'intégrité changeant. Un puits qui reste disponible n'est pas nécessairement un puits dont les barrières ont été démontrées adaptées à chaque mode de défaillance actuel.

L'âge est un facteur de risque et une incitation à la preuve; ce n'est pas en soi un diagnostic.

L'enquête indépendante commandée par la California Public Utilities Commission et le régulateur pétrolier et gazier de l'État a reconstitué la défaillance à l'aide de matériaux récupérés, de registres de puits, de diagraphies, d'examens de laboratoire et de modélisation. Sa conclusion technique déterminante était que la cause directe de la fuite était la rupture du tubage externe de sept pouces due à une corrosion microbienne externe là où le tubage entrait en contact avec les eaux souterraines.

L'enquête a également identifié une fente axiale, des piqûres de corrosion, une perte de métal significative et un contexte de gestion plus large dans lequel les fuites de tubage antérieures n'avaient pas donné lieu à des enquêtes approfondies sur les défaillances. Le rapport d'analyse des causes profondes SS-25 indépendant est le principal dossier technique; ce n'est pas un jugement sur la maladie d'un résident individuel ou un verdict sur chaque allégation juridique.

La synthèse du régulateur public indique que plus de 60 fuites de tubage s'étaient produites à Aliso Canyon des années 1970 à 2015 sans les analyses de défaillance détaillées qui auraient pu révéler des tendances. Elle enregistre également l'absence d'une évaluation des risques d'intégrité des puits axée sur cette classe de danger, d'une protection systématique contre la corrosion externe et d'une surveillance continue de la pression en temps réel. Le dossier d'incident et d'analyse des causes profondes de CalGEM relie ces constatations aux ordonnances et règles ultérieures du régulateur.

Le nombre de fuites antérieures est important car il transforme la question de gouvernance: non pas de savoir si une rupture était prévisible à un endroit précis, mais si des événements répétés de perte d'intégrité étaient convertis en apprentissage organisationnel.

Un système mature de gestion des défaillances traite chaque fuite de tubage, tubage sectionné, changement de pression inexpliqué et diagraphie anormale comme faisant partie d'une population. Il enregistre le composant, la profondeur, l'environnement, le mécanisme d'endommagement, la conséquence et l'action corrective; teste si des puits similaires partagent l'exposition; et met à jour les intervalles d'inspection et les plans de contrôle. Le but n'est pas de prétendre que chaque fuite antérieure prédisait précisément SS-25. Il s'agit d'empêcher une entreprise de réinitialiser sa mémoire institutionnelle après chaque réparation.

Sans analyse structurée des défaillances, un champ peut accumuler des événements mais pas de connaissances.

La configuration des barrières était tout aussi importante. Le gaz a traversé le tubage défaillant et a atteint la surface. Le dossier des causes profondes a souvent été résumé comme un problème de vanne de sécurité souterraine manquante ou de point de défaillance unique. La leçon plus exacte est que l'indépendance des barrières doit être démontrée pour le chemin de fuite et le mode d'exploitation pertinents. Une vanne ne protège que dans son enveloppe de conception et son emplacement; le tubing, le packer, le tubage et le ciment nécessitent chacun une preuve de leur état et de leur isolation.

La gouvernance doit identifier chaque chemin crédible du réservoir à l'atmosphère, les contrôles sur ce chemin, la façon dont chaque contrôle est testé et ce qui se produit lorsqu'un contrôle n'est pas disponible.

L'historique opérationnel de la CPUC décrit les travaux de diagnostic qui ont trouvé des anomalies de perte de métal et de température ou de bruit, et enregistre comment l'enquête indépendante a été menée en dehors du contrôle de l'opérateur. La chronologie technique de la commission est utile pour séparer l'observation, la direction du régulateur et les constatations finales des causes profondes. Les résultats de diagnostic obtenus après la libération révèlent l'état de défaillance; ils ne prouvent pas que les mêmes outils, intervalles ou seuils d'interprétation étaient requis ou utilisés avant.

La détection et la notification sont des contrôles différents

La perte de confinement devient une urgence publique par étapes. Des instruments ou des personnes détectent d'abord une anomalie. Quelqu'un la classe. L'opérateur mobilise le contrôle du puits et notifie les agences. Les preuves atmosphériques et météorologiques sont rassemblées. Les résidents reçoivent des instructions et de l'aide. Ce sont des barrières de contrôle distinctes. Un détecteur puissant ne peut pas compenser un retard de classification, et une notification rapide aux agences ne peut pas compenser un système de surveillance qui n'a pas identifié la fuite tôt.

À Aliso Canyon, l'événement prolongé a exposé la faiblesse de la dépendance à des contrôles épisodiques ou aux plaintes d'odeur comme signal principal. L'assurance du puits de stockage nécessite des preuves continues de pression, de débit et d'annulaire avec des seuils dérivés de la configuration du puits. Elle nécessite également une détection du méthane au niveau du champ capable de reconnaître un panache, de localiser sa source probable et de conserver les données. Les alertes doivent parvenir aux personnes ayant autorité pour isoler l'équipement, mobiliser des spécialistes, notifier les régulateurs et avertir la communauté.

Les données doivent être horodatées et conservées afin que les enquêteurs puissent distinguer le début physique de la libération, le moment où l'opérateur l'a détectée, quand elle a été classée et quand chaque autorité a été informée.

La différence est devenue concrète sur le plan juridique. Southern California Gas Company a ensuite plaidé nolo contendere pour un chef de délit de ne pas avoir immédiatement signalé la fuite au California Office of Emergency Services et au Certified Unified Program Agency local. La disposition comprenait des conditions financières et des exigences de surveillance infrarouge du méthane, de surveillance de la pression des puits, de certification indépendante et de dotation en personnel. L'annonce du plaidoyer du procureur du comté de Los Angeles établit le plaidoyer de l'entreprise et ses conditions.

Elle ne doit pas être élargie en une admission pénale de la cause technique profonde, de chaque échec de signalement allégué, de la causalité en santé publique ou des dommages civils.

L'architecture de notification devrait maintenant être testable. Un plan de contrôle de puits devrait indiquer qui reçoit quel signal, le délai pour les avis internes et légaux, quelles informations peuvent rester provisoires, et qui informe les résidents. Les exercices devraient inclure des données incomplètes ou contradictoires, car les urgences réelles commencent rarement par une cause confirmée et une estimation stable. La preuve d'audit n'est pas une feuille de présence à la formation.

C'est le relevé chronométré des exercices, des transferts manqués, des actions correctives et la preuve que le personnel après les heures de bureau peut exécuter les mêmes fonctions que les équipes de jour.

Sept tentatives de tuerie de puits échouées et la décision du puits de secours

SoCalGas et ses entrepreneurs ont tenté sept tueries de puits entre le 24 octobre et le 22 décembre 2015. Dans une tuerie de puits, des fluides denses sont pompés à partir de la tête de puits pour tenter de surmonter le flux de gaz ascendant et reprendre le contrôle. Chaque échec a créé de nouvelles informations sur le débit, l'état du puits et les limites de l'accès en surface. Pourtant, les tentatives répétées ont également consommé du temps et comporté un risque opérationnel.

La redevabilité exige donc une règle de décision pour savoir quand continuer, modifier ou abandonner une stratégie de surface et quand s'engager dans un puits de secours.

Le 4 décembre, avec l'approbation du régulateur, les travaux ont commencé sur le puits de secours Porter 39A. Le puits de secours devait être dirigé pour intersecter SS-25 à des milliers de pieds sous terre. Une fois qu'il a atteint l'intervalle cible, de la boue lourde suivie de ciment a été pompée dans SS-25. L'intervention a arrêté l'écoulement du réservoir; des tests ultérieurs ont été utilisés pour déterminer si le joint tenait. L'avis de scellement du Department of Conservation enregistre que les régulateurs ont supervisé une batterie de tests après cimentation et confirmé le scellement le 18 février 2016.

Cette date de confirmation doit être distinguée du contrôle temporaire antérieur du débit, de la séquence de cimentation et du bouchage et abandon ultérieur du puits.

La réponse soulève une question de préparation plus large que SS-25. Un opérateur de stockage doit maintenir des relevés souterrains à jour, des trajectoires de puits, des registres de tubage et de ciment, des modèles de réservoir, des voies d'accès, des arrangements avec les entrepreneurs, des inventaires d'équipement et des autorités de décision avant un éruption. La planification du puits de secours ne doit pas partir d'archives incertaines.

Une préparation crédible peut être testée par des exercices d'ingénierie qui utilisent un puits ancien représentatif et obligent les équipes à produire un plan d'interception, un registre des risques, des contrôles environnementaux et un calendrier public sous délai.

L'échec de la tuerie de puits illustre également pourquoi la gestion des incidents devrait préserver les résultats négatifs. Une tentative échouée n'est pas seulement une déception opérationnelle. Les débits de pompage, les pressions, les retours de fluide, les conditions de la tête de puits et les changements observés du panache contraignent le chemin de fuite possible et aident à la décision suivante. Si ces données restent dans les systèmes des entrepreneurs ou dans des rapports quotidiens non structurés, elles ne peuvent pas soutenir l'apprentissage en temps réel ou un examen indépendant ultérieur.

L'opérateur a l'obligation de créer un dossier d'incident cohérent même lorsque plusieurs entreprises spécialisées exécutent le travail.

Protection communautaire sous exposition incertaine

Les résidents de Porter Ranch et des communautés voisines ont signalé des odeurs et des symptômes aigus, notamment des maux de tête, des nausées, des saignements de nez et des irritations. Le gaz naturel était odorisé, et la libération et les opérations de contrôle pouvaient impliquer d'autres composés que le méthane. La question appropriée de santé publique n'était pas simplement de savoir si le méthane lui-même était toxique de manière aiguë aux concentrations communautaires mesurées.

Les autorités devaient identifier les constituants potentiels, caractériser les expositions changeantes dans le lieu et le temps, évaluer les symptômes signalés, décider si la relocalisation était protectrice, et définir les conditions de retour.

Le Los Angeles County Department of Public Health a ordonné à SoCalGas en novembre 2015 d'offrir une relocalisation temporaire gratuite aux résidents affectés et a ensuite ordonné une assistance pour le déménagement des élèves de deux écoles. Il a élargi la surveillance de l'air et examiné les preuves intérieures et extérieures. Le contexte de l'incident du comté enregistre ces directives, le contexte de surveillance post-contrôle et les problèmes de nettoyage et de retour à domicile. Une directive de relocalisation est une action protectrice sous incertitude;

ce n'est pas la preuve que chaque ménage a reçu la même dose ou que chaque condition signalée avait la même cause.

Les preuves de la population sont restées complexes. L'échantillonnage intérieur, les mesures environnementales et une évaluation communautaire ont été utilisés pour évaluer les produits chimiques et les symptômes. L'évaluation du comté a rapporté que de nombreux ménages ont ressenti des symptômes après le scellement du puits et ont considéré la fuite ou les conditions liées à la réponse comme des contributeurs possibles, tandis que les tests intérieurs n'ont pas trouvé de produits chimiques à des niveaux interprétés comme un danger élevé pour la santé dans les contextes échantillonnés.

L'évaluation de santé publique doit être lue avec sa conception d'échantillonnage, son calendrier, ses limites de détection et sa portée démographique. Elle ne peut établir une absence universelle d'exposition, ni la prévalence des symptômes seule établir une causalité médicale individuelle.

Une bonne redevabilité préserve cette tension. La surveillance peut montrer des concentrations inférieures à un niveau de comparaison à un endroit et à un moment donnés alors que les résidents signalent encore des symptômes, des odeurs ou du stress. La réponse devrait enquêter sur l'inadéquation plutôt que de forcer un type de preuve à annuler l'autre. Les emplacements d'échantillonnage, les conditions de vent, la durée, les méthodes de laboratoire et les limites de détection devraient être publiés. Les rapports de santé devraient être codés sans effacer le contexte narratif.

Les cliniciens ont besoin d'informations sur l'exposition, tandis que les épidémiologistes ont besoin de groupes de comparaison et de contrôle des facteurs de confusion. Les résidents ont besoin d'une explication de ce que les preuves peuvent et ne peuvent pas répondre.

Plus de 8 000 ménages et deux écoles ont été dirigés vers une relocalisation temporaire selon le récit ultérieur du programme du comté. Le financement de règlement a soutenu une étude de santé à long terme supervisée par une structure scientifique indépendante. La FAQ de l'étude de santé du comté explique à la fois l'échelle de la relocalisation et le but de l'étude. L'étude est la preuve que des questions sans réponse ont été reconnues et financées; elle ne doit pas être décrite à l'avance comme prouvant un résultat particulier à long terme.

Le retour est une autre barrière de contrôle. Mettre fin à une fuite ne résout pas automatiquement les matériaux déposés, les préoccupations intérieures, le stress, la scolarité perturbée ou l'incertitude sur la poursuite des opérations de l'installation. Un cadre de retour nécessite des critères d'air déclarés, des options de nettoyage, des dispositions spéciales pour les personnes médicalement vulnérables, une voie de plainte et une surveillance post-retour. Il devrait enregistrer quelles preuves ont changé la recommandation de santé publique.

Autrement, « sûr de revenir » peut être entendu comme une affirmation de risque zéro alors que la décision réelle est un jugement limité selon lequel la relocalisation protectrice n'est plus justifiée sur la base des preuves disponibles.

Mesurer un panache de méthane en mouvement

Le problème de redevabilité climatique différait de l'enquête sanitaire. Le méthane est un puissant gaz à effet de serre, et le taux de libération a changé à mesure que la pression du réservoir et les travaux de contrôle changeaient. Aucun moniteur au sol ne pouvait directement peser l'ensemble du panache sur des mois. Les scientifiques ont combiné des mesures aériennes, des observations au sol et en tour, de la télédétection, des données de réservoir et une modélisation temporelle. Le calcul devait combler les périodes sans mesures aériennes directes et exprimer l'incertitude.

Le personnel du California Air Resources Board a finalement estimé 109 000 tonnes métriques de méthane émises de fin octobre 2015 à mi-février 2016. L'estimation utilisait des mesures du panache aérien et des informations sur la pression du réservoir, entre autres données. L'annonce finale des émissions de CARB explique le total sélectionné et son rôle dans l'atténuation. Le chiffre n'est pas une lecture directe du compteur au puits, et il ne doit pas être converti en une affirmation concernant l'exposition d'une personne spécifique.

La distinction entre estimation scientifique et obligation d'atténuation est importante. Des analyses antérieures ont rapporté des fourchettes à mesure que les méthodes et les données évoluaient. Pour une atténuation climatique complète, l'État a sélectionné le total supérieur de 109 000 tonnes métriques plutôt que de traiter une estimation centrale inférieure comme l'obligation. Le dossier du programme Aliso Canyon de CARB documente l'approche de mesure et le cadre d'atténuation. Choisir un montant d'atténuation conservateur est une décision politique et de réparation éclairée par la science;

cela n'élimine pas l'incertitude de mesure sous-jacente.

L'atténuation a ensuite créé une deuxième chaîne de preuve. Financer un projet n'est pas la même chose que réaliser une réduction vérifiée du méthane. L'accord exigeait des projets en Californie destinés à entraîner des réductions équivalentes à la libération, avec des conditions de rapport et de programme. Les résumés de rapports d'atténuation de CARB fournissent la piste de mise en œuvre publique. Une clôture crédible nécessite des lignes de base de projet, de l'additionnalité, des dates de mise en service, des performances surveillées, de la durabilité et un traitement de la sous-performance.

La comptabilité climatique ne doit pas être close par le montant d'argent dépensé.

Pour les futurs incidents de stockage, la mesure des émissions devrait faire partie de la préparation aux urgences. Les opérateurs et les régulateurs ont besoin d'une capacité aérienne ou mobile préarrangée, d'instruments de site calibrés, de données météorologiques, de formats de partage de données et d'une méthode de publication des estimations révisées. Les premiers chiffres devraient être étiquetés provisoires, avec un historique des versions montrant pourquoi ils ont changé. Cela empêche l'incertitude de devenir soit une fausse précision, soit une excuse pour le silence.

Une autorité fragmentée nécessite une carte de contrôle explicite

Aliso Canyon était régi par des mandats qui se chevauchaient. Le régulateur pétrolier et gazier de l'État contrôlait la sécurité souterraine des puits et les ordres de stockage. La CPUC traitait de la sécurité des services publics, de la fiabilité opérationnelle, de l'enquête et du recouvrement des coûts. CARB quantifiait les émissions de gaz à effet de serre et supervisait l'atténuation. Les autorités de santé publique du comté de Los Angeles s'occupaient de la surveillance communautaire, des symptômes et de la relocalisation. Les agences d'urgence recevaient les notifications d'incident.

Les agences fédérales ont ensuite développé des normes nationales de sécurité du stockage. Les tribunaux et les procureurs traitaient des réclamations et des infractions définies.

Le chevauchement peut fournir plusieurs lignes de défense, mais il peut aussi créer des lacunes. La tête de puits n'est pas une frontière naturelle pour les résidents, le méthane ou l'information. Un régulateur peut posséder des données de tubage tandis qu'un autre voit des données de coûts clients et un troisième voit des mesures atmosphériques. La redevabilité nécessite donc une carte de contrôle d'incident partagée identifiant le droit de décision, l'autorité principale, les preuves requises et la voie d'escalade pour chaque fonction.

Elle doit également indiquer où l'autorité change: intégrité souterraine, équipement de surface, air ambiant, santé publique, commandement d'urgence, répartition de fiabilité, recouvrement tarifaire et exécution légale.

La proclamation d'urgence du gouverneur de janvier 2016 a rendu explicite ce problème de coordination. Elle a mobilisé les agences d'État, interdit toute injection supplémentaire sans autorisation, ordonné un retrait maximal compatible avec la sécurité, exigé une atténuation du méthane financée par SoCalGas, et appelé à une réglementation plus stricte du stockage et à une évaluation de la viabilité à long terme. La proclamation d'urgence est une allocation contemporaine d'actions exécutives. Elle n'établit pas la cause technique ultérieure, ne quantifie pas chaque perte et ne détermine pas la responsabilité civile.

Le groupe de travail fédéral inter-agences a élargi la carte de contrôle. Il a examiné l'intégrité des puits, les effets sur la santé publique et l'environnement, et la fiabilité énergétique, et a recommandé des améliorations en matière de gestion des risques, de données, de réponse d'urgence et de réglementation. Le dossier du groupe de travail du Department of Energy est la preuve du programme de réforme nationale provoqué par Aliso Canyon. Ses recommandations sont des orientations politiques et une synthèse technique, pas une décision spécifique à l'incident.

Les recours juridiques répondent à des questions différentes

Plusieurs résultats juridiques et réglementaires ont suivi, et ils doivent rester séparés. Le plaidoyer de délit mineur concernait le signalement immédiat. Un décret de consentement civil étatique et local traitait des réclamations environnementales, de la surveillance, de la recherche en santé, de l'atténuation, des pénalités et des coûts. Les litiges civils privés traitaient des réclamations des résidents et autres. Les procédures de la CPUC traitaient des violations des services publics, des pénalités et de la possibilité de recouvrer les coûts de l'incident auprès des clients.

Aucune de ces procédures ne remplace l'analyse indépendante des causes profondes.

Le décret de consentement de 2019 exigeait que SoCalGas paie 119,5 millions de dollars pour l'atténuation du méthane, une étude de santé à long terme, la surveillance locale de l'air, des pénalités civiles et des frais gouvernementaux, ainsi que des dispositions injonctives. La page de mise en œuvre du décret de consentement du California Attorney General contient les documents de contrôle et suit les obligations spécifiées. Un règlement résout des réclamations définies selon des conditions convenues; ce n'est pas une conclusion de procès sur chaque fait contesté, chaque blessure de résident ou toutes les opérations futures de l'installation.

La conception du remède est néanmoins instructive. Elle liait l'argent à des institutions productrices de preuves: une étude de santé, une surveillance communautaire de l'air, des données de méthane en quasi-temps réel, un comité interne de sécurité et un ombudsman indépendant de la sécurité. Ces mesures reconnaissent que la redevabilité après un événement industriel complexe n'est pas épuisée par une compensation. Le public a besoin d'une visibilité durable sur le système de risque.

Le test de qualité est de savoir si les données résultantes sont complètes, intelligibles, gouvernées indépendamment et utilisées lorsque des seuils sont franchis.

La CPUC a ensuite adopté un règlement incluant une pénalité de 71 millions de dollars et des restrictions empêchant SoCalGas de demander le recouvrement par les clients de certaines catégories liées à l'incident, y compris les règlements civils, la relocalisation et l'hébergement, l'analyse des causes profondes et le travail juridique ou communautaire. Il exigeait également des attestations de dirigeants dans les demandes ultérieures de recouvrement des coûts. L'annonce de la décision de la CPUC de 2023 enregistre ces protections des actionnaires et des contributeurs.

Les montants listés sont des catégories distinctes, pas une estimation unique des dommages physiques, et le règlement réglementaire ne doit pas être confondu avec une résolution civile privée.

L'attestation de dirigeant n'est utile que si elle est soutenue par une comptabilité traçable. Chaque facture, charge de travail interne, paiement de règlement, dépense d'atténuation et projet en capital doit être codé selon une taxonomie de coûts gouvernée. Des contrôles devraient empêcher que des coûts non autorisés migrent vers une autre demande, un compte ou un calendrier d'amortissement. L'audit interne devrait échantillonner depuis les documents sources jusqu'aux dépôts tarifaires, tandis que le régulateur devrait pouvoir rapprocher les totaux entre les procédures. Sinon, une promesse que les actionnaires paieront n'est pas démontrable.

Les restrictions d'exploitation et la fiabilité n'annulent pas la sécurité

Après la fuite, l'injection a cessé et l'installation a subi un examen de sécurité complet. Les puits ont dû être testés, réparés ou mis hors service, avec des exigences de tubing et packer et une surveillance en temps réel parmi les contrôles. L'installation est ensuite revenue à une exploitation limitée sous la supervision de l'État. Cette décision a été contestée car les résidents voulaient la fermeture tandis que les opérateurs de système et les régulateurs évaluaient la fiabilité du gaz et de l'électricité en Californie du Sud.

La procédure de la CPUC sur la viabilité à long terme était structurée autour de la question de savoir si la dépendance à Aliso Canyon pouvait être minimisée ou éliminée tout en maintenant un service de gaz et d'électricité fiable et des tarifs justes et raisonnables. Le dossier de procédure à long terme de la commission documente la portée distincte de la modélisation de fiabilité, des limites de stockage et des décisions politiques ultérieures. Une évaluation de la fiabilité ne certifie pas l'intégrité du puits; un test d'intégrité n'établit pas que le système énergétique régional peut fonctionner sans l'installation.

Cette séparation évite un faux choix. La sécurité et la fiabilité sont toutes deux des obligations publiques, mais chacune nécessite des preuves explicites. La sécurité du puits nécessite des tests de barrière, une évaluation de la corrosion, une surveillance de la pression, une détection des fuites et une préparation aux urgences. La fiabilité nécessite des scénarios de demande, des hypothèses de panne de pipeline, de délivrabilité du stockage, de dépendance à la production d'électricité, de capacité de conservation et d'alternatives.

Les décideurs devraient divulguer la sensibilité aux conditions météorologiques extrêmes et aux pannes simultanées plutôt que d'invoquer la « fiabilité » comme une étiquette binaire.

Les limites d'exploitation ont également besoin d'un dossier de contrôle des modifications. Un niveau de stockage maximal n'est pas permanent simplement parce qu'il a été choisi une fois. Si le niveau change, le régulateur doit publier le déclencheur, le modèle, les contraintes de sécurité, la durée et la date de révision. L'utilisation de l'installation devrait être régie par des protocoles de retrait et un journal des exceptions transparent.

Les augmentations temporaires ne devraient pas devenir silencieusement la nouvelle base de référence, et un objectif de fermeture ne devrait pas être présenté comme atteint avant que la capacité de remplacement n'existe.

Des ordonnances d'urgence aux règles durables d'intégrité des puits

Les exigences post-fuite de la Californie ont fait passer la gouvernance du stockage vers l'évaluation des risques, les tests d'intégrité mécanique, la surveillance continue, le reporting, la planification d'urgence et les contrôles spécifiques aux puits. Les règles de l'État entrées en vigueur en 2018 exigeaient que les opérateurs identifient les modes de défaillance, évaluent les conséquences, mettent en œuvre des protocoles de prévention ou d'atténuation, testent l'intégrité des puits et surveillent la pression, la température et le débit.

Des révisions ultérieures ont traité des inventaires chimiques, de l'investigation des incidents anormaux, de la corrosion et de la planification du contrôle des puits. Le programme de stockage souterrain de gaz de CalGEM est le dossier officiel de l'État pour ce cadre évolutif. Les exigences actuelles sont la preuve d'une réforme, pas la preuve de la conformité à chaque puits ni une déclaration rétroactive du devoir exact en 2015.

Au niveau fédéral, le Congrès et le groupe de travail inter-agences ont conduit à des normes minimales de sécurité pour le stockage souterrain de gaz naturel. La règle intérimaire de PHMSA a incorporé les pratiques reconnues pour les réservoirs déplétés, les aquifères et les cavernes de sel; une règle finale a suivi en 2020. La page de la règle du stockage souterrain de PHMSA relie l'historique réglementaire et les normes. L'incorporation d'une pratique recommandée crée un plancher plus cohérent, mais une règle ne peut pas inspecter l'acier ou interpréter une tendance de pression anormale par elle-même.

Une mise en œuvre durable devrait être visible à quatre niveaux. Au niveau du puits, un dossier d'intégrité numérique devrait contenir les registres de construction et de conversion, chaque intervention, le tubage et le ciment, l'environnement de corrosion, le diagramme de barrière, les tests, les anomalies et les hypothèses de durée de vie restante. Au niveau du champ, l'opérateur devrait comparer les mécanismes de défaillance dans toute la population et mettre à jour les calendriers d'inspection classés par risque.

Au niveau de l'entreprise, les dirigeants et le conseil d'administration devraient voir les actions à haut risque en retard, les barrières dégradées et la capacité d'urgence, pas seulement les pourcentages globaux de conformité. Au niveau du régulateur, les inspecteurs devraient disposer de soumissions structurées, d'un accès indépendant et de l'autorité de contester le modèle de risque de l'opérateur.

Aucune plateforme logicielle unique ne garantit cela. « L'automatisation d'entreprise » n'est précieuse que là où elle empêche la fragmentation des enregistrements et rend les droits de décision exécutoires. Les champs obligatoires ne devraient pas être satisfaits par un récit vague; les mesures ont besoin d'unités, d'identifiants d'instrument, d'étalonnage et d'horodatages. Les changements de statut ou de classement de risque du puits ont besoin d'un historique d'approbation. Les alertes ont besoin de preuves de clôture.

Les documents anciens doivent être rapprochés du puits physique plutôt que numérisés dans une archive et déclarés complets.

Ce qu'une assurance responsable prouverait maintenant

La première preuve est l'intégrité des barrières. Pour chaque puits de stockage actif, l'opérateur doit maintenir un schéma actuel identifiant les barrières primaires et secondaires pour l'injection, le prélèvement, l'arrêt et l'intervention. Les tests doivent traiter la perte de métal interne et externe, le tubage, le tubing, le packer et le ciment le cas échéant. Les exceptions doivent porter une date d'expiration, des contrôles compensateurs et une acceptation nominative de la direction.

Un tableau de bord de la population devrait montrer les puits fonctionnant avec des barrières dégradées ou non vérifiées, et non les cacher à l'intérieur d'un taux moyen d'achèvement des tests.

La deuxième preuve est le contrôle de la corrosion. Le contact avec les eaux souterraines et la corrosion microbienne ne sont pas gérés par une politique de corrosion générique. L'opérateur a besoin de preuves de l'endroit où l'environnement peut entrer en contact avec le tubage, quels mécanismes sont crédibles, comment la protection cathodique ou autre est évaluée, quel outil d'inspection peut détecter les dommages externes aux profondeurs pertinentes, et comment l'incertitude affecte la date de la prochaine inspection. Chaque fuite de tubage devrait déclencher une analyse causale formelle et une recherche de puits analogues.

La troisième preuve est la performance de la détection à l'action. Les instruments de méthane sur le terrain, les inspections de tête de puits, la surveillance continue de la pression et du débit, les alarmes et la surveillance communautaire doivent partager une horloge. L'assurance devrait mesurer la latence de détection, la latence de classification, la latence de notification au régulateur et la latence d'avertissement public. Les exercices devraient démontrer que l'organisation peut mobiliser une mesure indépendante du panache et une voie de puits de secours pendant que les interventions de surface se poursuivent.

La quatrième preuve est la gouvernance des preuves sanitaires. Le plan d'intervention devrait prédéfinir les milieux d'échantillonnage, les laboratoires, les limites de détection, la météorologie, l'assurance qualité et la fréquence de publication. Un système de signalement des symptômes devrait protéger la vie privée tout en soutenant l'analyse spatiale et temporelle. Les décisions concernant la relocalisation, le nettoyage et le retour devraient citer des preuves explicites et préserver l'incertitude.

La recherche financée par un règlement devrait avoir une supervision scientifique indépendante, des questions préenregistrées lorsque possible et une politique de publication isolée de l'opérateur.

La cinquième preuve est la clôture climatique. Les estimations de rejet ont besoin d'un calcul versionné liant les observations, l'interpolation et l'incertitude. L'atténuation nécessite des réductions vérifiées, pas seulement des projets financés. Les rapports publics devraient indiquer ce qui a été construit, quelles réductions ont été mesurées, ce qui reste projeté et comment les déficits seront corrigés.

La sixième preuve est la responsabilité financière. Les coûts de l'incident doivent être traçables entre les travaux d'urgence, la relocalisation, la surveillance, les litiges, les règlements, le remplacement du capital et l'atténuation. L'opérateur devrait montrer quels montants sont supportés par les actionnaires, quels coûts ont été autorisés pour les clients et pourquoi, et comment la double récupération est empêchée. Les étiquettes juridiques doivent rester précises: plaidoyer, décret de consentement, règlement réglementaire et règlement privé répondent à des questions différentes.

La septième preuve est le défi indépendant. Les régulateurs devraient comparer les données de l'opérateur avec les inspections de terrain et les preuves de tiers. Les conseils d'administration devraient commander une assurance qui échantillonne les puits à haut risque et teste si les alertes atteindraient les décideurs. Les représentants de la communauté devraient recevoir des données de surveillance intelligibles et des explications des révisions. L'indépendance n'est pas l'absence de contact avec l'opérateur;

c'est l'autorité de choisir la portée, d'accéder aux preuves sources, de publier les conclusions matérielles et de suivre la remédiation.

Une architecture pratique de redevabilité

L'attribution de ces preuves à des fonctions nommées empêche l'événement de se dissoudre dans une affirmation selon laquelle « le système » a échoué. La fonction d'ingénierie du stockage devrait posséder des schémas de puits précis, une analyse des modes de défaillance et des critères d'acceptation technique. Les opérations de terrain devraient posséder les inspections, la réponse aux alarmes et l'exécution contrôlée de l'injection, du prélèvement et de l'intervention. Une fonction d'intégrité indépendante de la pression de production devrait posséder le classement des risques, l'interprétation des tests et l'escalade des barrières dégradées.

La gestion des urgences devrait posséder la notification, le commandement des incidents et la préparation au contrôle des puits. Les équipes environnementales et sanitaires devraient posséder la conception de l'échantillonnage et les interfaces avec les agences publiques. Les finances devraient posséder la classification des coûts de l'incident, tandis que les dirigeants et le conseil d'administration possèdent l'appétit pour le risque et les actions correctives en retard.

Les régulateurs ont également besoin de livrables nommés. Le régulateur souterrain devrait être capable d'identifier chaque puits dont l'intégrité n'est pas vérifiée et d'expliquer la conséquence opérationnelle. Le régulateur des services publics devrait concilier les restrictions de sécurité avec les décisions de fiabilité et de coûts clients. Les autorités atmosphériques devraient publier les méthodes et les estimations révisées des émissions. Les autorités de santé publique devraient indiquer ce que la surveillance peut répondre, ce qui reste incertain et pourquoi les recommandations protectrices changent.

Les agences d'urgence devraient tester l'avis et la coordination. Là où deux mandats se chevauchent, un mémorandum ou un protocole d'incident devrait identifier le principal décideur et les preuves que chaque agence doit fournir.

Cette architecture a besoin d'autorité d'arrêt. Un employé de terrain qui voit une tendance de pression inexpliquée doit être capable d'initier une réponse conservatrice sans d'abord prouver le mécanisme de défaillance final. Les spécialistes de l'intégrité ont besoin d'autorité pour restreindre un puits lorsque les registres ou les résultats de test sont incomplets. Le commandement des incidents a besoin d'autorité pour escalader la notification pendant que les estimations sont provisoires. Les régulateurs ont besoin d'autorité pour empêcher l'injection ou exiger l'abandon lorsque l'opérateur n'a pas résolu une incertitude matérielle.

L'autorité d'arrêt devrait être enregistrée et examinée à la fois pour une utilisation appropriée et pour les effets dissuasifs; un droit que les employés craignent d'exercer n'est qu'un diagramme organisationnel.

L'assurance devrait tester les décisions, pas seulement les documents. Un échantillon d'audit utile commencerait par un puits actif à haut risque et reconstituerait son état de barrière à partir des journaux originaux, des ordres de travail et des données de test. Il injecterait ensuite une anomalie de pression simulée et suivrait l'alarme à travers la classification, la réponse sur le terrain, l'avis au régulateur, la mobilisation de la surveillance du panache et la communication publique. Séparément, il sélectionnerait une catégorie de coût d'incident interdite et la tracerait à travers les comptes et les dépôts tarifaires.

Enfin, il choisirait une affirmation de surveillance publique et la reproduirait à partir d'instruments calibrés, de résultats de laboratoire ou d'entrées de modèle. Ces tests exposent les lacunes qu'une liste de contrôle politique ne peut pas.

Les registres doivent décrire l'actif physique

Aliso Canyon illustre également un risque général dans les infrastructures anciennes: les registres peuvent être internement ordonnés tandis que l'actif physique a changé par des conversions, des interventions et des réparations. L'identifiant du puits doit ancrer une lignée de la construction originale à travers chaque intervention. Les références de profondeur, les tailles de tubage, les sommets de ciment, les perforations, les bouchons, les packers et les vannes ont besoin d'un datum commun et d'unités contrôlées.

Lorsque les registres sont en conflit, l'écart est une condition de risque nécessitant une résolution, pas un inconvénient administratif.

La numérisation doit donc préserver la provenance. Une valeur transcrite d'un journal papier doit conserver l'image source, la page et le réviseur. Les interprétations ne doivent pas écraser les mesures. Le système doit distinguer « non trouvé », « non effectué », « non applicable » et « réussi », car les champs vides cachent des risques très différents. Les diagrammes de puits doivent être générés à partir de données contrôlées lorsque possible, avec des modifications nécessitant une approbation d'ingénierie.

Les entrepreneurs peuvent exploiter des outils de diagraphie et stocker des fichiers bruts, mais l'opérateur doit conserver des données natives accessibles et les informations nécessaires pour reproduire l'interprétation.

L'analyse de la population est le pont entre un puits et le champ. L'opérateur doit être capable d'interroger les puits par âge, historique de conversion, matériau de tubage, intervalle d'eau souterraine, fuite antérieure, mécanisme de corrosion, type d'intervention et configuration de barrière. Un événement à un puits devrait automatiquement identifier un ensemble de comparaison et créer des tâches de révision. L'analyse devrait inclure les puits inactifs capables de devenir des voies de migration, pas seulement les puits en cours d'injection ou de prélèvement.

Les rapports de gestion devraient montrer le dénominateur: dix tests terminés signifient peu sans savoir combien de puits étaient dus et quels puits à haute conséquence restent non résolus.

La qualité des données elle-même a besoin de contrôles. Les capteurs de pression nécessitent un étalonnage et un traitement explicite des données manquantes. Les seuils d'alarme ont besoin d'un contrôle de version et d'un registre des dérogations. Les caméras de détection de fuite et les moniteurs de clôture ont besoin de métriques de disponibilité, d'historique de maintenance et de contrôles de performance à l'aveugle. Les données de laboratoire et de modèle nécessitent des indicateurs de qualité. Le but n'est pas un jumeau numérique parfait en temps réel;

c'est suffisamment de preuves fiables pour détecter un changement, soutenir une décision conservatrice et permettre une reconstruction indépendante après coup.

La preuve communautaire est un contrôle opérationnel

Les plaintes communautaires sont parfois traitées comme des données de réputation en dehors du système de sécurité. Dans une installation de stockage près de zones peuplées, elles sont aussi des observations. Les odeurs, le bruit, l'activité visible et les rapports de symptômes doivent entrer dans un canal d'incident structuré avec le lieu, l'heure et le statut de suivi. Le regroupement peut inciter à un examen instrumental ou à un échantillonnage ciblé, tandis que les protections de la vie privée empêchent la divulgation d'informations personnelles de santé.

Les plaintes ne peuvent pas remplacer les mesures calibrées, mais les lectures négatives des instruments ne devraient pas non plus effacer automatiquement les rapports provenant de lieux ou d'intervalles que les instruments n'ont pas couverts.

L'opérateur et les agences devraient publier un dictionnaire de données conjoint afin que les résidents comprennent ce qui est mesuré. La concentration de méthane, les composés odorisants, d'autres toxiques atmosphériques, le flux du panache et les plaintes de santé sont des variables différentes. Un pic de méthane en limite de site ne se traduit pas directement en une dose intérieure; une estimation du flux aérien ne décrit pas une concentration au niveau de la rue; une comparaison avec une directive de santé dépend du temps de moyennage.

Des explications claires réduisent le risque que des chiffres techniquement corrects induisent en erreur par perte de contexte.

La confiance dépend aussi de la pratique de révision. Lorsqu'un résultat de laboratoire est corrigé ou qu'une estimation d'émission change, l'ancienne version doit rester disponible avec une explication. Les questions de réunion doivent recevoir des réponses suivies. Les experts indépendants et les représentants de la communauté devraient pouvoir inspecter les protocoles avant une urgence et les critiquer après. Ce n'est pas une promesse que chaque litige disparaîtra. C'est un moyen de rendre le désaccord traçable à des preuves, des hypothèses ou des valeurs plutôt qu'à l'accès à l'information.

Enfin, la protection communautaire doit rester connectée à la gouvernance de l'installation après la fin de l'urgence visible. Les seuils de surveillance, les schémas de plaintes, les anomalies d'intégrité et les changements opérationnels doivent alimenter un examen public récurrent. L'examen devrait indiquer quels puits sont actifs, quelles barrières ont été testées, quelles alarmes significatives se sont produites, comment les limites de stockage ont changé et si les jalons d'atténuation ou d'étude de santé ont été atteints.

La divulgation publique ne peut pas exploiter un puits, mais elle peut révéler si les promesses faites pendant la crise sont devenues des contrôles de routine.

Le test de redevabilité

Aliso Canyon ne devrait pas être retenu seulement comme un grand nombre de méthane ou une urgence de quatre mois. Sa leçon centrale est que les infrastructures critiques peuvent échouer par un mécanisme qui était physiquement local mais institutionnellement distribué. La rupture s'est produite dans un tubage. Les opportunités manquées se trouvaient dans les défaillances antérieures, la connaissance de la corrosion, les tests d'intégrité, la surveillance, la notification, la préparation au contrôle des puits et l'autorité fragmentée.

Les conséquences se sont ensuite déplacées à travers les maisons, les écoles, les comptes climatiques, la planification énergétique, les tribunaux et les factures des clients.

Le dossier technique indépendant soutient une constatation solide concernant la défaillance de SS-25 et les pratiques d'intégrité pré-incident de l'opérateur. Il ne prouve pas quel résident a développé quelle condition. La surveillance communautaire et les évaluations sanitaires soutiennent des décisions protectrices et la recherche; elles ne décident pas de la causalité médicale privée. Les mesures atmosphériques soutiennent une estimation des émissions avec incertitude et une obligation d'atténuation; elles ne mesurent pas la dose domestique. Un plaidoyer pénal établit une infraction de signalement admise;

les règlements civils et réglementaires définissent des remèdes négociés et le traitement des coûts. Garder ces limites n'est pas évasif. C'est ce qui rend la responsabilité défendable.

La réforme la plus importante est donc une chaîne de preuves qui commence avant une urgence. Chaque puits vieillissant doit avoir un état de barrière connu, un plan d'inspection spécifique au mode de défaillance, des signaux surveillés en continu et une route pratiquée de l'anomalie à l'arrêt, la notification et la protection publique. Chaque événement d'intégrité antérieur doit mettre à jour le modèle de risque du champ. Chaque action d'urgence doit préserver les données. Chaque conséquence doit être mesurée avec des méthodes adaptées à la question. Chaque remède doit avoir un propriétaire, un délai et un dossier de vérification.

Si cette chaîne peut être démontrée, le stockage souterrain peut être gouverné comme une infrastructure critique plutôt que comme une machinerie héritée. Si elle ne le peut pas, des règles ultérieures, des règlements et des programmes de surveillance peuvent documenter l'activité sans prouver le contrôle. Le test durable de redevabilité d'Aliso Canyon est de savoir si les institutions peuvent transformer une catastrophe visible en connaissances durables—et si les résidents, les travailleurs, les régulateurs et les clients peuvent vérifier indépendamment cette transformation avant qu'un autre tubage ne devienne le seul système d'alerte.