Résumé

  • Le 13 septembre 2018, une équipe de projet de Columbia Gas of Massachusetts a isolé et abandonné une conduite principale en fonte à South Lawrence alors que deux lignes de captage des régulateurs y restaient connectées. Lorsque la pression dans la conduite abandonnée a chuté, les régulateurs de travail et de surveillance ont interprété le signal comme une demande de gaz supplémentaire et se sont ouverts. L'alimentation à haute pression est entrée dans un réseau basse pression, provoquant des incendies et des explosions à Lawrence, Andover et North Andover. Une personne est décédée, 22 personnes ont été transportées à l'hôpital, 131 structures ont été endommagées et le service de gaz a été coupé pour 10 894 clients.
  • Le National Transportation Safety Board a conclu qu'une gestion technique insuffisante était la cause probable et qu'une protection insuffisante contre les surpressions était un facteur contributif. Les dossiers du projet n'avaient pas inclus les lignes de captage dans le dossier de travail, le processus de constructibilité n'avait pas imposé d'examen par le service détenant les dossiers pertinents, et Columbia Gas n'avait pas appliqué de processus de gestion du changement et d'évaluation des risques au niveau du projet. Des travailleurs qualifiés ont suivi un plan incomplet; cette distinction place la charge centrale de responsabilité sur la gouvernance du système et du projet plutôt que sur des allégations non fondées d'incompétence de l'équipe.
  • Les contrôles de réponse ont également échoué aux interfaces. Un centre de surveillance à distance a vu des alarmes de haute pression mais n'a pas pu actionner les vannes. Le commandant d'incident de l'entreprise avait des tâches simultanées de fermeture et de liaison. Les intervenants municipaux n'ont pas reçu rapidement de cartes, d'informations sur les zones touchées ou de statut exploitable, tandis que l'interopérabilité radio régionale était tendue. L'autorité d'urgence de l'État, l'aide mutuelle et le rôle de gestion d'un autre service public ont aidé à stabiliser l'événement, mais le rétablissement a créé un deuxième test de contrôle impliquant des milliers de reconnexions de service, des travaux sur les appareils, des registres d'abandon et une construction accélérée.
  • Les recours sont passés par des canaux distincts. Columbia Gas a plaidé coupable d'une infraction à la Pipeline Safety Act fédérale et a reçu une amende de 53 030 116 $ et une mise à l'épreuve. La société mère NiSource a signé un accord de poursuite différée plutôt qu'un plaidoyer de culpabilité. Les enquêtes de l'État se sont conclues par un règlement de 56 millions de dollars associé à la vente à Eversource. Un règlement de 143 millions de dollars en recours collectif excluait les réclamations pour dommages corporels, décès injustifiés, subrogation d'assurance et certains appareils. Ces montants ne peuvent pas être additionnés en une seule mesure de perte, d'indemnisation ou de responsabilité individuelle.
  • Une preuve durable nécessite plus qu'un sceau d'ingénieur professionnel ou une recommandation fermée. Elle nécessite des registres complets du système, un séquençage de construction spécifique au site, une analyse des modes de défaillance, une protection indépendante contre les surpressions, une surveillance continue pendant les changements, un personnel positionné pour isoler le système, des communications municipales testées, des registres de restauration vérifiés et des preuves récurrentes de régulateurs. Le Massachusetts a transformé plusieurs leçons en loi et en règles d'ingénierie détaillées. Cependant, la réforme fédérale en matière de surpression et de sécurité de distribution doit être décrite à son stade réel: un avis consultatif de 2020 et une réglementation qui est restée proposée et en cours d'examen par un comité consultatif en 2026.

L'événement a transformé des travaux de remplacement de routine en une urgence régionale

L'événement public a commencé peu avant 16h00 le 13 septembre 2018. Une équipe d'entrepreneurs travaillant sous la direction d'un coordonnateur de construction de Columbia Gas a effectué des raccordements pour une conduite principale de remplacement en polyéthylène près des rues South Union et Salem. L'équipe a ensuite isolé l'ancienne conduite en fonte en fermant les vannes sur une dérivation et a coupé la dérivation pour abandonner l'ancienne section.

En quelques minutes, la pression sur la nouvelle conduite a dépassé les lectures attendues, un raccord s'est séparé, des véhicules d'urgence sont devenus audibles et de la fumée est apparue dans plusieurs directions.

Le dossier d'enquête du NTSB pour PLD18MR003 établit l'ampleur publique et la déclaration finale de cause probable de l'agence. Les incendies et les explosions ont endommagé 131 structures, dont au moins cinq maisons détruites. Une personne est décédée et 22 personnes, dont trois pompiers, ont été transportées à l'hôpital; sept autres pompiers ont subi des blessures mineures. Columbia Gas a fermé le système basse pression affecté, interrompant 10 894 clients, dont certains ont été déconnectés par précaution. Ce sont les chiffres et les catégories du NTSB, et non une allocation de préjudice indemnisable par un tribunal civil.

Cette rapidité est centrale dans le test de responsabilité. Un réseau basse pression peut desservir de nombreux clients sans régulateur de service individuel à chaque compteur. Une défaillance du contrôle de la pression au niveau du district peut donc se propager avant qu'une équipe de terrain puisse visiter chaque station de régulation. Les plans d'urgence conçus autour d'une fuite, d'un incendie ou d'un coup de pelle ne s'adaptent pas automatiquement à des alarmes simultanées, des dizaines d'incendies, des embouteillages, une coupure de courant régionale et des limites de système incertaines.

L'incident ne doit pas être réduit à la seule fonte ancienne. Le remplacement des conduites sujettes aux fuites était un objectif de sécurité légitime, et l'équipe installait une nouvelle conduite principale en polyéthylène. La défaillance s'est produite parce que le projet a modifié le chemin de rétroaction qui régissait la pression alors que le dossier de construction ne traitait pas ce chemin comme faisant partie du système en cours de modification. Le renouvellement des infrastructures peut réduire un risque et en exposer un autre lorsque le contrôle de la configuration ne suit pas le réseau physique.

Les lignes de captage ont fait de la conduite abandonnée une partie de la boucle de contrôle

Avant l'accident, 14 stations de régulation alimentaient le réseau basse pression de la Merrimack Valley. Dans une station typique, le gaz à haute pression d'environ 75 livres par pouce carré manométrique était réduit à environ 12 pouces de colonne d'eau, soit environ 0,5 psi, pour distribution aux clients. Chaque station utilisait un régulateur de travail et un régulateur de surveillance en série. Chacun avait une ligne de captage, de commande ou statique connectée en aval afin que le régulateur puisse répondre à la pression réelle du réseau.

La disposition des régulateurs de travail et de surveillance semblait redondante, mais les deux dispositifs dépendaient des informations de pression provenant de la même condition du système. À la station de Winthrop Avenue, leurs lignes de captage sont restées connectées à la conduite en fonte que le projet a abandonnée. Lorsque la conduite a été isolée, la pression dans cette section abandonnée a chuté. Les deux régulateurs ont répondu comme prévu au faux signal de basse pression: ils se sont ouverts davantage.

Une fois le signal disparu, les régulateurs pouvaient s'ouvrir complètement et admettre du gaz à haute pression dans le réseau basse pression.

Le Rapport d'enquête d'accident de pipeline PAR-19/02 du NTSB a conclu que les régulateurs eux-mêmes étaient opérationnels et que la qualification de l'équipe, les drogues et l'alcool n'étaient pas des facteurs. Il a déterminé que la gestion technique insuffisante de Columbia Gas n'avait pas correctement planifié, examiné, séquencé et supervisé le projet, conduisant à l'abandon avant le déplacement des lignes de captage. Il a également identifié un système basse pression conçu et exploité sans protection adéquate contre les surpressions comme cause contributive. Les enquêtes du NTSB sont des procédures d'établissement des faits de sécurité;

leurs conclusions de cause probable n'attribuent pas de faute civile ou de responsabilité légale.

Cette distinction explique pourquoi deux régulateurs n'étaient pas deux barrières indépendantes. La redondance ne protège contre certaines défaillances d'un seul composant que lorsque les éléments redondants ne partagent pas la même entrée vulnérable. Ici, une action du projet a supprimé le signal de pression utilisé par les deux. En termes d'ingénierie, la disposition des lignes de captage présentait une défaillance de mode commun. En termes de gouvernance, aucun examen obligatoire n'a contraint l'équipe de projet à se demander quels dispositifs de protection seraient neutralisés par l'abandon de cette conduite.

Une protection adéquate contre les surpressions en basse pression peut prendre différentes formes selon la conception du système: capacité de décharge, dispositifs de coupure brutale, arrangements de surveillance avec captage indépendant, limitation de pression, isolement automatique ou autres couches techniques. Le test pertinent n'est pas de savoir si l'équipement est dupliqué mais si une seule erreur d'opérateur ou défaillance d'équipement peut vaincre la protection.

Une revue de conception doit modéliser le débit d'entrée maximal, la capacité en aval, les limites des appareils, le temps de détection, le temps d'isolement et l'effet de la perte de chaque chemin d'instrument.

Le système manquait également de télécommande rapide. La surveillance de supervision pouvait détecter une pression anormale, mais le centre de contrôle ne pouvait pas fermer les vannes locales qui isoleraient le district basse pression. Cela signifiait que le chemin de protection effectif allait de l'alarme à un appel téléphonique, de l'appel à la répartition sur le terrain, et du personnel de terrain aux vannes physiques. Chaque minute dans cette chaîne comptait après que la pression excessive était déjà entrée dans les locaux des clients.

Le dossier de travail n'a pas représenté le système en cours de modification

Le projet South Union est passé par le flux de travail de Columbia Gas, mais ses documents de construction ont omis les lignes de captage. L'ingénieur de terrain a utilisé les registres disponibles dans le processus d'ingénierie et a identifié une station de régulation voisine, mais n'a pas examiné les dessins séparés détenus par la fonction Mesure et Régulation qui montraient les informations sur les lignes de contrôle. L'ingénieur de terrain avait une connaissance limitée de l'importance de ces lignes. Parce que l'ingénieur n'a pas déterminé que Mesure et Régulation était concerné, ce département n'était pas tenu d'examiner le dossier.

C'est une défaillance de gouvernance des données exprimée à travers les infrastructures physiques. Un actif peut exister dans les fichiers d'un service public tout en étant absent du document qui autorise le travail autour de lui. « Enregistré quelque part » est plus faible que traçable, fiable, complet et disponible au point de décision. Le dossier d'enquête public du NTSB conserve les entretiens, le matériel factuel sur les opérations de pipeline, les registres de réponse d'urgence et la soumission de la partie NiSource. Le dossier permet d'examiner comment différentes fonctions comprenaient le système;

il ne doit pas être traité comme si chaque soumission de partie était une conclusion adoptée par le NTSB.

Un dossier de travail contrôlé devrait commencer par un modèle de système faisant autorité, et non par une collection de cartes spécifiques à un département. Pour chaque segment de conduite à installer, raccorder, isoler ou abandonner, le dossier doit identifier les services, les vannes, les dérivations, les stations de régulation, les lignes de captage, les dispositifs de décharge, la télémétrie, les liaisons de protection cathodique et les services publics adjacents. Chaque enregistrement nécessite une provenance, un statut de révision et un statut de vérification sur le terrain.

Les conflits entre le SIG, les dessins de construction et les observations de terrain doivent arrêter l'approbation jusqu'à résolution ou être portés comme des risques explicites avec des contrôles.

Les registres doivent également parvenir aux opérations. Un opérateur de salle de contrôle répondant à une alarme a besoin des limites actuelles du projet, de la carte des vannes et régulateurs, de la configuration prévue, du chef de terrain responsable et des options d'isolement immédiat. Un dossier de travail utilisé uniquement par la construction ne peut pas soutenir la réponse aux opérations anormales.

Les changements planifiés devraient être visibles dans une fenêtre opérationnelle partagée avant l'exécution sur le terrain, avec un début clair, des points d'arrêt, un état d'achèvement et une condition de retour arrière ou d'arrêt sécurisé.

La gestion du changement aurait dû transformer l'omission en point d'arrêt

NiSource avait une initiative de système de gestion de la sécurité des pipelines, mais Columbia Gas n'a pas appliqué de processus formel de gestion du changement aux modifications de maintenance et de construction de ce type. Des listes de contrôle de projet existaient, mais le projet n'a pas reçu d'évaluation des risques distincte qui retraçait comment l'abandon affecterait le contrôle de la pression. Une liste de contrôle confirme les tâches attendues; la gestion du changement demande ce que la configuration modifiée peut nouvellement causer.

La recommandation urgente de sécurité PSR-18/02 du NTSB a formulé quatre recommandations à l'entreprise: améliorer l'examen d'ingénierie et de constructibilité avec un sceau d'ingénieur professionnel approprié; rendre les registres du système traçables, fiables et complets; appliquer la gestion du changement à tous les changements qui pourraient créer une défaillance de mode commun; et établir des contrôles lors des modifications des conduites principales, y compris une surveillance continue de la pression et du personnel à des emplacements critiques capable de fermer le système.

Elle a également recommandé séparément que le Massachusetts supprime son exemption des services publics des exigences relatives aux ingénieurs professionnels.

Un dossier de gestion du changement utile pour ce projet aurait décrit la configuration avant et après, chaque état temporaire, la logique de contrôle de la pression, les départements concernés, les risques, les sauvegardes, les approbations requises et la réponse d'urgence. Il aurait demandé ce qui se passe si l'ancienne conduite perd de la pression avant le déplacement des lignes de captage, si les régulateurs de travail et de surveillance partagent une dépendance, où la pression sera observée, et quelle personne peut isoler le flux à chaque étape.

Les réponses transformeraient la séquence de construction en un ensemble de points d'arrêt de sécurité.

La séquence est un contrôle. « Déplacer les lignes de captage » et « abandonner l'ancienne conduite » peuvent tous deux figurer sur une liste de projet tout en restant dangereusement non ordonnés. Le permis d'abandon devrait être impossible à délivrer jusqu'à ce que les preuves de terrain montrent que les lignes de captage sont connectées à la conduite active, la pression stable, la télémétrie vérifiée et les départements responsables approuvés. Une fermeture de vanne ou une coupe de conduite devrait nécessiter une confirmation positive, pas l'hypothèse qu'un autre ordre de travail a déjà complété le prérequis.

La surveillance de la pression nécessite également une conception d'action. Un indicateur ou un point SCADA n'est pas une protection si personne n'est propriétaire de l'alarme ou ne peut atteindre rapidement l'équipement d'isolement. Les limites devraient être définies avant le travail; les alarmes devraient aller à du personnel nommé; les lectures locales et de la salle de contrôle devraient être rapprochées; et les techniciens pré-positionnés devraient avoir l'autorité d'arrêter le travail et de fermer les vannes spécifiées. La voie de fermeture devrait être répétée dans des conditions réalistes de trafic et d'accès.

L'examen professionnel peut renforcer ce processus mais ne peut s'y substituer. Un sceau sur un dessin incomplet peut créer une fausse confiance si l'ingénieur ne dispose pas des registres des régulateurs, ne peut pas vérifier les conditions de terrain ou examine uniquement l'agencement final plutôt que les états temporaires de construction. La portée, les hypothèses, les sources de données et les divergences non résolues de l'ingénieur doivent être visibles. L'examen indépendant est précieux car il crée un défi responsable, non parce qu'un tampon fait apparaître des informations manquantes.

La qualification de l'entrepreneur n'a pas remédié à une omission de conception contrôlée par le propriétaire

Feeney Brothers a effectué le travail de terrain avec un coordonnateur de construction de Columbia Gas présent. Le NTSB a constaté que l'équipe était formée et qualifiée selon les exigences de qualification des opérateurs et n'a trouvé aucun facteur de drogue ou d'alcool. Les membres de l'équipe ont suivi le plan de travail, ont remarqué une pression anormale et ont répondu à un raccord séparé. Ces constatations ne suppriment pas toutes les responsabilités de terrain, mais elles empêchent l'incident d'être décrit de manière inexacte comme un entrepreneur non qualifié ignorant simplement une conception correcte.

L'opérateur a conservé le contrôle sur la connaissance du système, l'approbation d'ingénierie, les registres des régulateurs, le séquençage du projet et l'autorité d'exploitation. Un entrepreneur ne peut pas exécuter en toute sécurité des informations qui ne lui ont jamais été données. La responsabilité du propriétaire inclut donc la spécification du travail, la fourniture de registres précis, la garantie d'un examen de constructibilité, l'attribution d'une inspection qualifiée et la définition des actions en cas de condition anormale.

Un langage contractuel qui dit que l'entrepreneur doit travailler en toute sécurité ne transfère pas l'obligation de l'opérateur de représenter fidèlement son propre réseau.

Les interfaces de l'entrepreneur ont encore besoin d'un défi réciproque. Un briefing de terrain devrait identifier les actifs de contrôle de pression et expliquer pourquoi la séquence est importante. Les travailleurs devraient comparer le dossier avec les conditions exposées et s'arrêter lorsque les tuyaux, les lignes de contrôle, les vannes ou les jauges diffèrent du dessin. Le propriétaire devrait faciliter l'accès aux experts en Mesure et Régulation et protéger les décisions de calendrier qui suspendent le travail.

Les quasi-accidents, les dégagements de raccords et les lectures inattendues doivent alimenter le même canal d'incidents que les alarmes de la salle de contrôle.

Les interfaces municipales appartiennent avant la réponse d'urgence. Le remplacement des conduites principales affecte les rues, la circulation, les autres services publics souterrains, l'accès des pompiers et parfois les registres des travaux publics. Les permis municipaux et les détails de police ne peuvent pas valider la conception du contrôle de pression de l'opérateur, mais des calendriers et des cartes de construction coordonnés peuvent révéler des travaux conflictuels, un accès aux vannes bloqué et des installations publiques vulnérables.

Les services publics devraient fournir aux municipalités les contacts du projet et les limites d'urgence sans divulguer les infrastructures sensibles au-delà des besoins opérationnels légitimes.

La salle de contrôle a détecté la pression mais n'a pas pu contrôler le résultat

Le centre de surveillance de Columbus, Ohio, a enregistré une augmentation rapide de la pression et des alarmes de haute pression. Les contrôleurs ont appelé le technicien de Mesure et Régulation de garde conformément au protocole de l'entreprise. Le centre, cependant, avait une capacité de surveillance plutôt qu'un contrôle de vanne à distance. Les techniciens de terrain ont été dépêchés parmi les emplacements des régulateurs, et la fermeture plus large du système a nécessité des actions manuelles sur plusieurs heures.

La réponse aux alarmes devrait être évaluée comme une barrière de bout en bout. Le temps de détection, l'interprétation, la répartition, le déplacement, l'accès, l'actionnement des vannes et la confirmation déterminent tous si la barrière est assez rapide. Une salle de contrôle peut respecter sa procédure d'appel tout en restant structurellement incapable d'empêcher l'escalade. Pour un district basse pression à haute conséquence, l'opérateur devrait quantifier jusqu'où la pression peut se propager pendant l'intervalle de réponse manuelle crédible et décider si une protection automatique indépendante ou un isolement à distance est nécessaire.

L'incident a également exposé une scission entre la sensibilisation à la construction et la sensibilisation aux opérations. Les contrôleurs ont besoin d'un registre en direct des travaux importants pour la sécurité qui pourraient affecter les points qu'ils surveillent. Une alarme de pression lors d'un raccordement planifié devrait immédiatement afficher l'emplacement du projet, la configuration, le contact de l'équipe, la fenêtre de pression attendue, les régulateurs affectés et le plan de fermeture. Sans ce contexte, le contrôleur doit enquêter pendant que la condition anormale se développe.

Les mesures post-incident devraient donc aller au-delà de « alarme reconnue ». Les preuves devraient montrer la trace de pression, la première alarme, tous les appels, les décisions de répartition, l'arrivée du technicien, les actions sur les vannes et l'isolement du système. Les exercices devraient tester les appels simultanés, le personnel indisponible, les routes bloquées et la défaillance des communications normales. Si l'isolement sécurisé dépend d'un spécialiste ou d'un commandant d'incident, le modèle de dotation en personnel a un point de défaillance organisationnelle unique.

L'autorité de contrôle doit également être sans ambiguïté. Le personnel de construction a besoin d'autorité pour s'arrêter et entrer dans un état sûr; le personnel de la salle de contrôle a besoin d'autorité pour escalader; les opérations de terrain ont besoin d'autorité pour fermer les vannes prédéfinies; et un commandant d'incident a besoin d'un adjoint ou d'une structure de liaison afin que le travail de fermeture n'évince pas la coordination gouvernementale. Ces rôles devraient être conçus ensemble car une réponse technique rapide et une réponse rapide de sécurité publique sollicitent les mêmes personnes.

La réponse d'urgence était un problème de cartes, de liaison et de communications

Les centres d'appels de sécurité publique locaux ont géré un afflux d'appels, et l'aide mutuelle a apporté des ressources substantielles. Pourtant, l'entreprise n'a pas rapidement fourni aux commandants d'incident municipaux et aux responsables de l'État la nature et l'étendue géographique de la surpression, des cartes utiles du système ou des progrès fiables de la fermeture. Le commandant d'incident de Columbia Gas faisait face à des responsabilités concurrentes: diriger l'isolement tout en devant communiquer avec les municipalités affectées et les gestionnaires d'urgence.

Le Massachusetts a déclaré l'état d'urgence et a utilisé l'autorité légale pour placer Eversource dans un rôle de gestion de la coordination du rétablissement. Les archives des ordres d'état d'urgence de la Merrimack Valley du DPU documentent des ordres successifs plutôt qu'un mandat intemporel. Les ordres concernaient la gestion immédiate, le rétablissement, la surveillance et les obligations de relèvement ultérieures. Chaque ordre doit être lu par date et par portée; le contrôle d'urgence du rétablissement n'était pas un transfert de propriété légale ou un jugement de responsabilité final.

Les services d'incendie ont également connu des problèmes d'interopérabilité radio et de capacité. Un plan de communication n'a été mis en œuvre que des heures après le début des incendies, alors que la demande d'appels et d'aide mutuelle la plus lourde était survenue plus tôt. Le Rapport d'après-action sur les explosions de gaz de la Merrimack Valley du Massachusetts a ensuite recommandé une direction des communications plus précoce, des canaux d'interopérabilité correctement programmés, un commandement unifié et des structures de leadership, une meilleure coordination de l'information publique et d'autres améliorations de la réponse.

C'est un rapport gouvernemental de leçons apprises, pas un substitut aux conclusions de cause probable du NTSB.

Les informations exploitables des services publics ont une forme spécifique. Les intervenants ont besoin du district de pression affecté, de l'empreinte client, de l'état des régulateurs et vannes, des risques crédibles, des progrès de l'isolement, des zones de rassemblement sûres et d'un contact horodaté qui peut répondre aux questions techniques. Une carte d'ingénierie brute peut être trop complexe; une carte de territoire de service générique peut être trop vague. L'opérateur devrait préparer des produits pour les intervenants à l'avance et être en mesure de générer rapidement une version spécifique à l'incident.

L'alerte publique a des exigences similaires. Les résidents ont besoin d'instructions claires sur l'évacuation, l'évitement des sources d'inflammation, l'odeur de gaz, la coupure électrique, le refuge et le retour. Ces messages devraient être disponibles dans les langues utilisées par la communauté et coordonnés entre les canaux municipaux, étatiques et des services publics.

L'absence d'informations précises sur le système peut forcer les responsables à évacuer et à mettre hors tension une zone plus vaste, augmentant les charges sur la circulation, les soins médicaux et la continuité, même lorsque cette action prudente est justifiée par l'incertitude.

Les enquêtes de l'État ont séparé la conformité en matière de sécurité de la performance d'urgence

Après que le NTSB a terminé son rapport, le DPU du Massachusetts a ouvert les dossiers D.P.U. 19-140 et 19-141. L'annonce officielle de l'enquête a défini des enquêtes séparées mais liées: l'une sur la cause et la conformité aux règles fédérales et étatiques sur les pipelines, et une autre sur la préparation aux urgences, la gestion du rétablissement, la sécurité publique, l'allocation des ressources, la communication municipale et l'information publique. Cette séparation a empêché la cause technique d'engloutir le registre de réponse.

Les enquêtes réglementaires ont un objectif et une norme différents de ceux du travail du NTSB ou des poursuites pénales. Le DPU pouvait examiner la conformité et imposer des recours étatiques dans le cadre de sa compétence. Le NTSB a déterminé la cause probable pour l'amélioration de la sécurité sans attribuer de responsabilité. Les procureurs devaient prouver ou obtenir un aveu d'infraction légale. Un règlement ultérieur pouvait résoudre les réclamations réglementaires sans produire de conclusions entièrement jugées sur chaque question contestée.

Le DPU et d'autres agences d'État ont également utilisé des mécanismes d'urgence et de surveillance avant la fin de ces affaires formelles. Les moratoires de travail, la supervision technique par un tiers, les conditions de rétablissement et l'examen à l'échelle de l'État ont traité les risques immédiats. Les ordonnances de protection rapides et les enquêtes contentieuses plus lentes remplissent des fonctions différentes.

Le dossier public devrait conserver les deux afin qu'une restriction d'urgence ne soit pas confondue avec une constatation de violation définitive et qu'un règlement ultérieur n'efface pas les contrôles imposés pendant le rétablissement.

La question de l'application de la loi n'est pas seulement de savoir quelle aurait pu être l'ampleur de la pénalité. Les régulateurs doivent convertir le mécanisme identifié en tests d'inspection chez chaque opérateur: cartographie des lignes de contrôle, analyse de mode commun des régulateurs, routage des examens de projet, gestion du changement, surveillance de la pression, registres d'abandon, cartes d'urgence et exercices des intervenants. Un dossier se ferme; ces assertions d'inspection doivent rester.

Le rétablissement a créé un deuxième test de gestion du changement

Rétablir le chauffage et l'eau chaude avant l'hiver nécessitait une ampleur de travail bien au-delà de l'activité annuelle ordinaire. Le réseau basse pression en fonte affecté a été remplacé par un système haute pression utilisant des régulateurs de service et une protection supplémentaire aux raccordements clients. Des milliers de compteurs et d'appareils ont nécessité une attention, tandis que les travaux de rue, l'accès des clients, le logement temporaire et les réclamations de la communauté se poursuivaient.

La rapidité était nécessaire, mais l'urgence a modifié les flux de travail normaux et créé de nouveaux risques en matière de registres et de qualité.

L' évaluation indépendante du programme de rétablissement de la Merrimack Valley commandée par le DPU a conclu que les infrastructures renouvelées amélioraient la sécurité par rapport au système qu'elles remplaçaient. Elle a également constaté que les modifications apportées pour accélérer les travaux ont créé des lacunes concernant les registres de tests de pression, les registres de conduites de service et l'abandon d'infrastructures, et que la dépendance aux personnes plutôt qu'aux processus a créé des lacunes en matière de documentation, d'inspection et de contrôle de la qualité.

Ces conclusions équilibrées comptent: les nouveaux actifs peuvent être plus sûrs tandis que le processus de rétablissement nécessite encore des mesures correctives.

La qualité du rétablissement devrait être prouvée actif par actif. Chaque nouvelle conduite principale et service nécessite une identité matérielle, des registres de fusion ou de joint, des preuves de test de pression, le statut de raccordement et d'abandon, l'installation du régulateur, l'inspection, l'emplacement conforme à la construction et la reconnexion du client. Les exceptions ne devraient pas disparaître dans un pourcentage de clôture de projet. Elles ont besoin d'un propriétaire, d'une classification des risques, d'une protection provisoire, d'une date d'échéance et d'une vérification indépendante.

L'abandon mérite un contrôle spécial car les actifs déconnectés peuvent être visuellement confondus avec des actifs actifs et un scellement incomplet peut créer des fuites. Un achèvement de terrain devrait être rapproché du SIG et des registres clients, avec une vérification indépendante de l'équipe qui a effectué le travail. Les dossiers de test de pression devraient lier l'instrument, l'étalonnage, les limites du test, la durée, le segment et le témoin. Une feuille scannée sans identifiant d'actif stable ne peut pas soutenir les opérations ultérieures ou l'examen des incidents.

L'évaluation du rétablissement illustre également pourquoi une vente de service public ne peut pas transférer l'incertitude de manière invisible. Le successeur a besoin d'un registre complet des exceptions et du droit de valider les registres, d'inspecter les actifs et d'exiger des corrections. La comptabilité d'achat peut attribuer des passifs, mais la responsabilité opérationnelle dépend d'une transition suffisamment détaillée pour que les équipes et les régulateurs sachent quels actifs sont encore en cours d'examen.

L'examen à l'échelle de l'État a demandé si la leçon se généralisait

Le Massachusetts n'a pas limité sa réponse à Columbia Gas. Une évaluation indépendante à l'échelle de l'État a examiné les entreprises gazières, les travaux de terrain, les centres d'exploitation, les sites de régulateurs, les centres de contrôle, la capacité du DPU et l'utilisation des pratiques de gestion de la sécurité. Le rapport final de la phase 2 de Dynamic Risk était une évaluation des conditions observées dans tout le Commonwealth, pas un jugement selon lequel chaque opérateur partageait les défaillances spécifiques de Columbia Gas.

L'examen a traité la maturité des processus comme un problème de sécurité. Les procédures doivent être utilisables sur le terrain; les superviseurs ont besoin de suffisamment de temps et d'autorité pour observer le travail; les informations sur les risques doivent circuler entre les fonctions; et les régulateurs ont besoin de capacité d'inspection et d'application en temps opportun. Il a également observé que la mise en œuvre de la nouvelle exigence d'ingénieur professionnel était en évolution.

C'est une preuve de mise en œuvre utile car elle résiste à la fiction selon laquelle l'adoption d'une loi produit instantanément une pratique uniforme.

L'assurance à l'échelle de l'État devrait utiliser un échantillonnage répété. Les inspecteurs peuvent sélectionner des projets impliquant des travaux sur les régulateurs, des abandons, des raccordements multiples ou des changements de pression et les retracer de la conception à la réalisation sur le terrain. Ils devraient comparer le plan tamponné avec la construction réelle, confirmer que les écarts ont reçu une approbation d'ingénierie, tester si le personnel de la salle de contrôle connaissait l'état des travaux, et inspecter les registres de clôture.

Les mesures devraient montrer les exceptions et le temps de correction, pas seulement le nombre de dessins tamponnés.

La supervision des régulateurs a également besoin de ressources indépendantes des dépôts des opérateurs. La Division de la sécurité des pipelines du DPU s'est élargie après l'incident, mais le nombre d'employés n'est qu'un intrant. Les preuves d'efficacité incluent la couverture des inspections basées sur les risques, le délai entre la constatation et l'ordonnance, les violations répétées, la vérification des clôtures, les observations des exercices d'urgence et la capacité d'analyser les données SIG, de pression et de gestion des travaux.

L'évaluation fédérale externe peut ajouter un contrôle, mais elle ne remplace pas les dossiers d'affaires étatiques transparents.

Le Massachusetts a transformé l'examen professionnel en loi et en règles

Le Massachusetts a donné suite à la recommandation urgente du NTSB avant le rapport final d'accident. Le chapitre 339 des lois de 2018, approuvé le 31 décembre, a supprimé l'exemption pertinente des services publics et a exigé que les plans ou spécifications d'ingénierie pour les travaux gaziers qui pourraient présenter un risque important pour la sécurité publique portent le sceau d'un ingénieur professionnel certifié. Il a également exigé que la compagnie gazière conserve ces registres pour examen et audit par le DPU.

La loi a établi l'obligation mais a laissé au DPU le soin de définir les travaux à risque matériel. Les lignes directrices D.P.U. 21-04-A pour les ingénieurs professionnels identifient les projets complexes, y compris la création ou la reconfiguration de stations de régulation de district, les changements de pression, les raccordements spécifiés de conduites principales et de services, l'interruption du flux principal, les travaux de transport, la revalorisation et d'autres configurations à risque plus élevé.

Elles exigent des instruments de service spécifiques au site, une séquence de construction adéquate et un tamponnage avant le travail, sous réserve d'un traitement d'urgence défini.

Cette progression fournit trois niveaux de preuve: une recommandation, une loi et un cadre réglementaire mis en œuvre. Ils ne doivent pas être confondus. Le NTSB a clos sa recommandation pour le Massachusetts sur la base de l'action législative, mais la clôture signifiait que l'action recommandée était traitée de manière acceptable; elle ne certifiait pas chaque plan futur. La loi a imposé une exigence; les lignes directrices ont rendu sa portée plus opérationnelle; l'inspection doit encore prouver la conformité et la qualité.

Un examen par un ingénieur professionnel devrait être suffisamment indépendant pour remettre en question les hypothèses du projet tout en étant suffisamment intégré pour obtenir des informations complètes sur le système. L'ingénieur devrait avoir accès aux registres des régulateurs et des lignes de captage, au SIG, à la vérification sur le terrain, à l'analyse hydraulique, à la configuration temporaire et aux procédures d'urgence. Le dossier devrait montrer les modifications de conception après le tamponnage, car un écart sur le terrain qui contourne le réexamen annule le contrôle.

Le test de mise en œuvre le plus fort est contrefactuel. Pour chaque projet échantillonné, une seule erreur ou omission pourrait-elle encore abandonner une entrée de contrôle partagée, ouvrir un régulateur, isoler le mauvais segment ou empêcher une fermeture en temps opportun? Si oui, la présence d'un tampon n'a pas encore transformé la leçon en barrière. La responsabilité professionnelle est une architecture d'information, de compétence, d'examen et d'autorité, pas une marque en bas d'une page.

La réforme fédérale est passée d'un avis consultatif à une réglementation encore en instance

La PHMSA a répondu à la recommandation P-19-15 du NTSB par un avis consultatif de 2020 sur le risque de surpression basse pression. L' avis ADB-2020-02 du Federal Register a rappelé aux opérateurs leurs obligations existantes en matière de gestion de l'intégrité de la distribution et a encouragé l'analyse des modes de défaillance et de leurs effets ou une méthode structurée équivalente. L'avis a expressément indiqué que son contenu n'avait pas force de loi et ne liait pas le public au-delà des exigences sous-jacentes.

Ce statut juridique est important. Un avis consultatif peut clarifier le risque et la pratique attendue, mais ce n'est pas la révision de la Partie 192 que le NTSB a recommandée séparément dans P-19-14: une protection contre les surpressions pour les systèmes basse pression qui ne peut être vaincue par une seule erreur de l'opérateur ou une défaillance d'équipement. Un opérateur ne devrait pas attendre une règle prescriptive finale pour traiter un risque connu, mais la responsabilité publique ne devrait pas présenter des directives volontaires comme si un nouveau mandat matériel était déjà en vigueur.

L' avis de proposition de règle de 2023 sur la sécurité de la distribution de gaz de la PHMSA a proposé des modifications à la gestion de l'intégrité de la distribution, à la réponse d'urgence, aux opérations et à la maintenance, à l'identification des menaces de surpression et à d'autres pratiques. Il incorporait les mandats de la PIPES Act de 2020, y compris les dispositions de la Leonel Rondon Pipeline Safety Act. En tant que règle proposée, elle décrivait les amendements prévus et l'analyse réglementaire, et non un texte exécutoire final.

Le statut actuel nécessite une source ultérieure. L' avis de réunion de 2026 du Gas Pipeline Advisory Committee décrivait encore la mesure de sécurité de la distribution comme une NPRM en cours d'examen par le comité et indiquait que la PHMSA évaluerait les recommandations avant de publier une règle finale. Par conséquent, à la date de preuve de cet article, la déclaration exacte est que la réforme fédérale se poursuivait, et non que les dispositions proposées étaient devenues définitives.

Les preuves de mise en œuvre devraient suivre à la fois les obligations existantes et le fossé réglementaire. Les opérateurs peuvent documenter les analyses des modes de défaillance, la protection indépendante, les données de contact d'urgence, les procédures d'alerte publique et les manuels d'exploitation actuels dès maintenant. La PHMSA peut publier l'état des recommandations, les protocoles d'inspection et les jalons réglementaires. Une longue procédure réglementaire ne suspend pas l'obligation générale d'exploiter en toute sécurité, mais elle affecte ce que les régulateurs peuvent appliquer en tant que minimum national spécifique.

La responsabilité pénale s'est attachée à l'entreprise, pas à des individus non nommés

Bay State Gas Company, faisant affaire sous le nom de Columbia Gas of Massachusetts, a plaidé coupable d'avoir violé la Pipeline Safety Act fédérale en n'ayant pas mis en œuvre les procédures requises pour empêcher les surpressions pendant le projet South Union. Le dossier de l'affaire et de la condamnation du DOJ indique que le tribunal a imposé une amende de 53 030 116 $, calculée comme le double du bénéfice tiré du Gas System Enhancement Plan de 2015 à 2018, et trois ans de probation avec surveillance jusqu'à la vente de l'entreprise à un acheteur qualifié.

L'infraction avouée a une portée définie. Il s'agissait d'une violation de la Pipeline Safety Act par une entreprise concernant les procédures requises et le projet basse pression. Il ne s'agissait pas d'un plaidoyer de culpabilité de chaque ingénieur, gestionnaire, entrepreneur ou dirigeant de la société mère. La page de l'affaire du DOJ a expressément indiqué qu'aucun individu n'avait été inculpé. Cela ne répond pas à toutes les questions sur les mesures disciplinaires en matière d'emploi, la responsabilité civile ou la prise de décision interne;

cela signifie que le dossier pénal public utilisé ici ne contient aucune poursuite individuelle à attribuer.

La résolution de NiSource était juridiquement différente. La société mère a signé un accord de poursuite différée couvrant l'exposition pénale fédérale connue du gouvernement liée à l'événement et au rétablissement. Elle a accepté d'utiliser ses meilleurs efforts raisonnables pour vendre l'activité du Massachusetts, cesser les activités de pipeline dans le Massachusetts après la vente, abandonner le bénéfice de la vente tel que défini dans l'accord, mettre en œuvre les recommandations du NTSB dans les filiales spécifiées, coopérer, poursuivre les réparations et chercher à résoudre les réclamations civiles.

Un DPA diffère les poursuites sous conditions; ce n'est pas un plaidoyer de culpabilité ou une condamnation de la société mère.

Le DPA et l'accord de plaidoyer ne devraient pas non plus être utilisés pour déduire une intention individuelle au-delà des faits corporatifs avoués. Le langage des poursuites, les conclusions du NTSB et les allégations civiles découlent de processus différents. Un dossier de responsabilité solide identifie séparément le répondant, l'accusation, l'aveu, la sentence, la durée de la surveillance et la disposition. Il enregistre également ce qui n'a pas été résolu: l'allocation des pertes pénales individuelles et la responsabilité personnelle ne peuvent pas être fabriquées à partir d'une formule d'amende corporative.

L'amende pénale a été dirigée en grande partie vers le Fonds fédéral d'aide aux victimes d'actes criminels plutôt que d'être allouée dollar pour dollar aux demandeurs de la Merrimack Valley. Le DOJ a noté des réparations volontaires et des réclamations civiles séparées. Qualifier les 53 millions de dollars de compensation locale directe serait donc inexact. La punition, le financement national des services aux victimes, l'indemnisation privée et les dépenses d'infrastructure sont des catégories de recours différentes même lorsqu'elles sont financées par le même groupe corporatif.

Les chiffres civils, réglementaires et d'indemnisation mesurent des choses différentes

La voie réglementaire étatique s'est conclue par une transaction négociée. L' approbation du règlement par le DPU exigeait un paiement de 56 millions de dollars, le départ du Massachusetts et le transfert des actifs à Eversource. Environ 15 millions de dollars ont été destinés à l'effacement des arriérés pour les faibles revenus, le reste soutenant un fonds de renouvellement de la Merrimack Valley pour des mesures d'énergie propre et d'efficacité. Le règlement a résolu les enquêtes de sécurité et de réponse d'urgence du DPU et les questions étatiques connexes dans le cadre de ses conditions;

ce n'était pas un jugement de procès quantifiant chaque violation ou perte de résident.

Le formulaire 10-K 2020 de NiSource fournit un contexte financier et juridique de première partie. Il enregistre l'approbation finale du tribunal le 12 mars 2020 d'un règlement collectif de 143 millions de dollars pour les personnes et les entreprises des trois municipalités, tout en identifiant les catégories exclues: les dommages corporels et les décès injustifiés, la subrogation d'assurance, et les réclamations concernant les appareils soumis aux ordonnances du DPU. Il enregistre également la vente et les coûts et procédures liés à l'incident du point de vue de la déclaration de l'entreprise.

La liste d'exclusion empêche une erreur arithmétique courante. Le fonds collectif n'était pas l'univers de l'indemnisation. Les réclamations pour dommages corporels et décès injustifiés pouvaient être poursuivies séparément; les assureurs pouvaient exercer une subrogation; les recours pour les appareils suivaient un autre canal; les municipalités et les entreprises ont également reçu des paiements ou un soutien dans le cadre d'arrangements distincts.

Certaines réclamations ont été réglées en dehors du recours collectif, mais les informations primaires citées ne fournissent pas un grand livre final personne par personne de chaque perte brute, recouvrement d'assurance, coût juridique et paiement net.

Le fonds collectif de 143 millions de dollars, le règlement étatique de 56 millions de dollars, l'amende pénale de 53 030 116 $, les dépenses de rétablissement, les produits d'assurance et le prix de vente ne devraient pas non plus être additionnés comme un seul « coût de la catastrophe ». Ils ont des destinataires, des traitements comptables, des couvertures et des effets juridiques différents. La contrepartie de la vente a acheté des actifs de services publics; ce n'était pas une indemnisation pour les résidents. Le remplacement du capital a créé des actifs d'exploitation; ce n'était pas nécessairement une pénalité.

Une amende pénale a puni une infraction; elle n'a pas évalué chaque préjudice.

Les preuves de recours public devraient utiliser un grand livre de rétablissement avec la classe de demandeurs, la base juridique, le montant brut, la source de financement, les exclusions, le coût administratif, le statut de paiement et la subrogation. Lorsque les données au niveau des personnes sont protégées, les catégories agrégées peuvent encore montrer si les montants approuvés ont été payés. Sans cette structure, de grands totaux publics peuvent coexister avec des questions sans réponse concernant un ménage, une petite entreprise, une municipalité ou un assureur.

La vente a transféré les opérations mais pas le sens historique de l'événement

Eversource a acquis l'activité gazière du Massachusetts en octobre 2020 et l'a exploitée par l'intermédiaire d'Eversource Gas Company of Massachusetts. La transaction a mis fin à l'exploitation de la distribution de gaz par NiSource dans l'État, comme l'exigeaient les résolutions fédérales et étatiques. Elle a également transféré un système d'exploitation, une main-d'œuvre, des obligations clients et des travaux correctifs définis à un successeur soumis à la supervision du DPU.

La vente peut être un recours car elle change le contrôle et crée un successeur qualifié. Ce n'est pas, en soi, une preuve que les contrôles d'ingénierie sont efficaces. L'acheteur doit intégrer le SIG, la gestion des travaux, la surveillance de la pression, les plans d'urgence, les contrôles des entrepreneurs et les actions correctives ouvertes sans perdre la traçabilité. Le règlement du DPU exigeait un programme de sécurité et de fiabilité et une attention aux actions correctives restantes. Ce sont des obligations de mise en œuvre, pas une certification générale à la date de clôture.

Le système renouvelé de la Merrimack Valley a changé le profil de risque physique en remplaçant la configuration basse pression partagée par une distribution haute pression et une régulation individuelle. Cela a réduit la probabilité qu'un événement de pression de district atteigne de nombreux appareils clients de la même manière. Pourtant, les systèmes haute pression introduisent leurs propres risques de conception, de régulation, de conduites de service et d'excavation. Le risque est reconçu, pas aboli.

La mémoire institutionnelle doit également survivre au changement de marque. Le successeur devrait conserver les dossiers d'ingénierie originaux, les références du dossier du NTSB, les exceptions de rétablissement, les ordres du DPU, les registres de tests de pression et les preuves d'actions correctives sous des identifiants d'actifs stables. Un nouveau logo ou système de facturation ne peut pas rompre la lignée entre un actif et les travaux qui l'ont installé ou réparé.

Pour les communautés, le départ peut satisfaire une demande de responsabilité tandis que la continuité compte toujours. Les clients ont besoin d'un chauffage fiable, d'une administration des réclamations, de contacts d'urgence clairs et d'un traitement tarifaire transparent. Les municipalités ont besoin de cartes actualisées et de protocoles de liaison. Les petites entreprises ont besoin d'un rétablissement prévisible et d'une coordination des travaux routiers. La transition opérationnelle devrait donc être jugée du point de vue du service public ainsi que de la clôture de la transaction.

Une preuve durable est un système de contrôle connecté

La leçon la plus transférable est que les contrôles de sécurité des pipelines ne peuvent pas rester dans des départements séparés. Le régulateur de pression est connecté à une ligne de captage; la ligne de captage est connectée à une carte; la carte est connectée à un dossier de travail; le dossier est connecté à une séquence de construction; la séquence est connectée à la salle de contrôle; la salle de contrôle est connectée à l'isolement sur le terrain; l'isolement sur le terrain est connecté à la réponse municipale. La responsabilité échoue lorsqu'aucune interface n'a de propriétaire.

Un système de preuve durable maintiendrait sept registres liés. Premièrement, un registre faisant autorité des actifs et des lignes de contrôle avec vérification sur le terrain et historique des révisions. Deuxièmement, un dossier de gestion du changement du projet montrant les états temporaires, les modes de défaillance, les approbations et les points d'arrêt. Troisièmement, un dossier d'examen professionnel identifiant la portée, les hypothèses et les dessins modifiés. Quatrièmement, une vue opérationnelle en direct des travaux importants pour la sécurité, des pressions, des alarmes et des ressources de fermeture.

Cinquièmement, un journal des interfaces avec les entrepreneurs et les municipalités. Sixièmement, une chronologie d'urgence avec cartes, messages et actions de liaison. Septièmement, un grand livre des recours et des actions correctives qui distingue les pénalités, les règlements, les indemnisations, les travaux d'investissement et les preuves de clôture.

L'automatisation peut imposer le routage, comparer le SIG avec les dossiers de travail, alerter en cas d'abandon près des actifs de régulateurs et bloquer une clôture sans données de test de pression. Elle ne peut pas déterminer qu'une carte de terrain est complète simplement parce que tous les champs requis de la base de données contiennent des valeurs. La vérification sur le terrain, le jugement technique et le défi indépendant restent nécessaires. Chaque exception automatisée a besoin d'une personne responsable, et chaque dérogation manuelle a besoin d'une raison conservée et d'un deuxième examen.

Les conseils d'administration et les régulateurs devraient tester le système avec des scénarios défavorables. Que se passe-t-il si les deux régulateurs perdent une source de captage? Une équipe peut-elle abandonner une conduite principale alors qu'une ligne de contrôle reste attachée? Une alarme montre-t-elle l'état de construction actif? Le personnel de terrain peut-il isoler le district dans le temps modélisé? Les intervenants municipaux reçoivent-ils une empreinte précise en minutes? Le successeur peut-il retracer chaque service de rétablissement jusqu'à son test de pression et son registre d'abandon?

Ces questions transforment les affirmations de réforme en preuves falsifiables.

Les recommandations fermées, les règlements conclus et les actifs transférés sont des jalons. Ils ne sont pas la même chose qu'un contrôle soutenu. La norme d'ingénierie est de savoir si une seule omission peut encore vaincre la protection contre les surpressions. La norme de gestion est de savoir si une condition inattendue arrête le travail. La norme d'urgence est de savoir si les informations techniques parviennent aux personnes prenant des décisions de sécurité publique.

La norme de responsabilité est de savoir si chaque constatation et chaque recours restent correctement attribués à leur institution, procédure légale, date et limite probatoire.

La Merrimack Valley est devenue un test de responsabilité des services publics parce que la défaillance initiale ne se limitait pas à une seule coupe de tuyau. Elle a réuni la conception, les registres, l'examen, les opérations et la réponse en une seule chaîne. La réparation n'est crédible que lorsque ces mêmes interfaces sont réunies délibérément, testées à plusieurs reprises et documentées suffisamment pour que les travailleurs, les régulateurs, les municipalités et le public puissent les contester.