San Bruno a fait de la gestion de l'intégrité des pipelines un test de responsabilité pour les entreprises gazières

Résumé

• La séquence de la défaillance physique est établie.Le 9 septembre 2010, vers 18 h 11, la conduite de gaz naturel de 30 pouces de Pacific Gas and Electric Company, Line 132, a rompu à l'intersection d'Earl Avenue et de Glenview Drive à San Bruno. Le National Transportation Safety Board a constaté que la fracture avait commencé dans une soudure longitudinale partiellement soudée sur un court tronçon installé lors d'un déplacement en 1956. Le gaz qui s'échappait s'est enflammé, huit personnes sont mortes, 38 maisons ont été détruites et 70 ont été endommagées. Différents registres officiels comptent les blessés différemment: la California Public Utilities Commission a signalé 58 blessés, tandis que le régulateur fédéral des pipelines a signalé 51 personnes nécessitant une hospitalisation.
• La montée en pression a déclenché la défaillance mais n'a pas constitué une surpression au-delà de la limite fédérale.Des travaux électriques au terminal Milpitas de PG&E ont causé des problèmes de contrôle et une augmentation de la pression. Le NTSB a estimé la pression au moment de la rupture à environ 386 livres par pouce carré. Cela dépassait l'objectif d'exploitation de 375 psig de PG&E mais restait en dessous de la pression maximale autorisée de 400 psig de la conduite. Les enquêteurs ont conclu que cette pression n'aurait pas menacé une conduite correctement construite. La distinction est importante: une mauvaise planification du travail a créé l'événement de charge immédiat, mais une soudure gravement défectueuse et des contrôles d'intégrité défaillants ont rendu cet événement catastrophique.
• Le défaut était un échec de construction et de contrôle qualité à longue durée de vie institutionnelle.Le segment défaillant était l'un des six courts morceaux, ou pups, avec diverses configurations de soudure et propriétés de matériau. Cinq d'entre eux ne répondaient pas aux normes de fabrication généralement acceptées en 1956. Le défaut critique de la soudure aurait été visible lors de l'installation. Les registres de PG&E décrivaient néanmoins l'emplacement comme un tube sans soudure avec des attributs de matériau différents, et les enquêteurs n'ont trouvé aucune trace indiquant que la section déplacée avait subi un test de résistance hydrostatique.
• La gestion de l'intégrité des pipelines a échoué en tant que système de décision, pas seulement en tant que calendrier.PG&E disposait d'un programme d'intégrité, d'une liste de menaces et d'évaluations planifiées. Il n'a pas correctement intégré la construction, la pression et l'historique des fuites du tuyau; il a traité les défauts de fabrication et de construction comme stables; il s'est fortement appuyé sur une évaluation directe de la corrosion externe qui ne pouvait pas détecter un défaut de soudure longitudinale enterré; et il a périodiquement augmenté la pression jusqu'au niveau maximal autorisé sans la marge de sécurité d'un test de résistance valide. La Line 132 n'avait pas reçu son évaluation d'intégrité prévue avant la rupture.
• La responsabilité réglementaire est partagée mais pas symétrique.PG&E possédait et exploitait la conduite, contrôlait ses registres, choisissait les méthodes d'évaluation, planifiait les travaux du terminal et dirigeait l'isolement d'urgence. La CPUC était responsable de l'inspection et de l'application de la réglementation dans le cadre de la délégation fédérale. Le NTSB a constaté que la supervision de la CPUC n'avait pas identifié l'insuffisance du programme d'intégrité de PG&E et que les protocoles de supervision fédéraux et les mesures de performance étaient également faibles. L'échec réglementaire n'a pas transféré le devoir de l'exploitant au régulateur; il a supprimé une barrière indépendante qui aurait dû contester l'assurance de l'exploitant.
• La réponse d'urgence s'est divisée en deux performances très différentes.Les résidents, la police et les pompiers ont rapidement reconnu la catastrophe, mobilisé d'importantes ressources d'entraide et improvisé l'approvisionnement en eau après la rupture d'une conduite d'eau principale. PG&E a mis environ 95 minutes pour isoler la section rompue. Son système de contrôle n'a pas rapidement identifié la rupture, le premier employé envoyé n'était pas qualifié pour opérer les vannes de transport, des mécaniciens qualifiés se sont envoyés après les rapports des médias, et il n'y avait pas de structure de commandement suffisamment pratiquée pour une rupture majeure de transport. Le NTSB a traité ces défaillances et l'absence de vannes automatiques ou télécommandées comme des contributeurs à la gravité, et non comme des causes de la rupture initiale.
• Les résultats juridiques et financiers ne doivent pas être combinés en un seul nombre trompeur.Un jury fédéral a reconnu PG&E coupable de cinq infractions à la sécurité des pipelines et d'obstruction à l'enquête du NTSB; il a acquitté l'entreprise de six autres chefs d'accusation liés à la sécurité des pipelines. La peine a imposé l'amende maximale légale de 3 millions de dollars, une probation, des travaux d'intérêt général et un contrôleur de conformité. Séparément, la CPUC a imposé un ensemble de 1,6 milliard de dollars comprenant une amende au Fonds général, un crédit sur la facture des clients, des travaux de sécurité financés par les actionnaires et d'autres mesures. Les règlements civils avec les résidents et un accord municipal de 70 millions de dollars étaient des catégories supplémentaires. Aucun ne doit être décrit comme un fonds unique d'indemnisation des victimes ou comme la preuve que les pertes individuelles ont été entièrement réparées.
• La réforme est substantielle, mais la clôture nécessite des preuves plutôt que la mémoire institutionnelle.PG&E a par la suite testé, remplacé, mis hors service ou rendu inspectables ses tuyaux; la Californie a imposé d'importantes mesures correctives; les règles fédérales ont renforcé les registres, la reconfirmation de la pression maximale, les évaluations d'intégrité et les vannes de réponse aux ruptures. Certaines recommandations du NTSB ont été closes après des actions documentées. Pourtant, les règles ne sont pas les conditions sur le terrain, les décomptes de projets ne sont pas une opération sans défaut, et la surveillance actuelle fait toujours état d'obligations ouvertes en matière de gestion des risques et d'infrastructure. Une responsabilité durable dépend d'attributs traçables des conduites, de preuves de test, d'échantillonnage indépendant, de registres de contrôle des travaux, de performances d'isolement rapide et de la clôture transparente des écarts.

Portée et limites des preuves

Cette analyse suit la chaîne de responsabilité depuis les travaux de construction de 1956 jusqu'à la rupture de 2010, l'enquête, l'application de la loi, l'indemnisation et les réformes de sécurité ultérieures. L'autorité technique centrale est ledossier d'enquêtedu NTSB, lerapport d'accident finalet ledossier public. Ces documents contiennent les conclusions de cause probable du Conseil ainsi que des soumissions sur la métallurgie, les opérations, la gestion de l'intégrité, la réponse d'urgence et de l'entreprise. Une conclusion adoptée par le Conseil est identifiée comme une conclusion. Une position dans une soumission d'une partie reste la position de cette partie.

Lapage d'incident de la PHMSAfournit le contexte d'application fédérale et d'impact. Les décisions et rapports de la CPUC établissent les actions réglementaires de l'État. Les communiqués du ministère de la Justice et l'ordonnance de condamnation établissent la résolution pénale. Les dépôts de titres et les instruments de règlement établissent les catégories financières déclarées. Chaque source a une limite: un dépôt d'entreprise est une preuve fiable de ce que l'entreprise a divulgué, mais pas un audit de sécurité indépendant; une ordonnance d'ouverture d'enquête énonce des allégations et une compétence, pas une responsabilité finale; un plan de réforme prouve un contrôle prévu, pas son efficacité sur le terrain.

L'article utilise cinq étiquettes de confiance de manière implicite et explicite.Confirmésignifie soutenu par une conclusion adoptée, une ordonnance finale, une condamnation, un accord exécuté ou un registre directement mesuré.Probablesuit la norme causale du NTSB.Possibleidentifie un mécanisme cohérent avec les preuves mais non établi.Contestéidentifie une interprétation contestée.Inconnumarque les preuves que le dossier public ne résout pas. Cette séparation est particulièrement importante pour la pression, l'intention, le nombre de blessés, la signification juridique des violations réglementaires et les affirmations selon lesquelles des programmes ultérieurs ont rendu l'ensemble du système sûr.

Taxonomie causale utilisée dans ce compte rendu

Les preuves soutiennent une chaîne de causes séparée plutôt qu'une seule étiquette.

Cause physique racine:une soudure longitudinale défectueuse dans un court pup installé lors du déplacement de 1956. Le défaut existait à l'installation, s'est développé par déchirure ductile et fatigue, et est devenu incapable de supporter la charge de pression de 2010.

Cause racine de responsabilité:les contrôles d'acceptation de construction, de registres, de base de pression et de gestion de l'intégrité de PG&E n'ont pas transformé un segment non conforme et incorrectement décrit en action conservative. L'exploitant a conservé le contrôle direct de l'actif et des preuves nécessaires pour le valider.

Déclencheur immédiat:la défaillance des travaux électriques au terminal Milpitas et les problèmes de contrôle ont augmenté la pression de la Line 132 au-dessus de l'objectif d'exploitation ordinaire de PG&E. La pression de déclenchement est restée en dessous du MAOP de 400 psig, de sorte que le déclencheur ne doit pas être traité comme un simple dépassement du plafond de pression fédéral.

Conditions contributives:l'autorisation fédérale de pression fondée sur l'historique sans test de résistance ultérieur, la supervision de la CPUC qui n'a pas détecté le programme inadéquat, les protocoles de supervision de la PHMSA qui n'ont pas suffisamment testé la qualité de l'examen par l'État, et l'absence de capacité d'isolement automatique ou télécommandée ont toutes affaibli les barrières indépendantes. Elles ont contribué de différentes manières; elles n'étaient pas toutes des causes de l'initiation de la soudure.

Échec de détection:avant la rupture, l'intégration des données, la classification des menaces, le classement des risques, la validation des registres et les méthodes d'évaluation sélectionnées par PG&E n'ont pas détecté la menace de la soudure. Pendant l'événement, les alarmes SCADA et les données de pression n'ont pas promptement identifié l'emplacement de la rupture ni créé une voie de commandement fiable pour l'isolement des vannes.

Échec de réponse:les services d'urgence locaux ont rapidement reconnu et combattu l'incendie, tandis que PG&E a pris environ 95 minutes pour arrêter le flux de gaz vers le segment endommagé. Ce retard a amplifié la gravité; il n'a pas créé le défaut de soudure d'origine.

Rétablissement et réforme:la condamnation pénale, les mesures correctives de la CPUC, les règlements civils et municipaux, les tests de pression, le remplacement, la mise hors service, la capacité d'inspection en ligne, les vannes automatisées, les changements de règles fédérales et la surveillance sont des actions de rétablissement ou d'assurance. Ce sont des preuves réelles de réponse institutionnelle, mais aucune ne prouve la restauration complète des personnes pour les survivants ou une absence permanente de risque futur de pipeline.

Un projet de construction de 1956 a laissé un passif caché

La Line 132 est entrée en service en 1948. En 1956, le nivellement résidentiel a obligé PG&E à déplacer environ 1 851 pieds de la conduite. La majeure partie de ce tuyau déplacé est restée dans le système après un autre projet en 1961. La rupture s'est produite dans les travaux de 1956, dans une section assemblée à partir de six courts morceaux. Les enquêteurs ont appelé les morceaux des pups. Ce n'était pas une section uniforme de tuyau sans soudure fabriqué en usine.

Ils avaient plusieurs dispositions de soudure longitudinale, des dimensions et des caractéristiques de matériau différentes, et aucune spécification de fabrication établie pour le segment assemblé.

Le travail de laboratoire du NTSB a trouvé le défaut initiateur dans une soudure longitudinale sur le premier pup. La soudure n'avait pas été soudée sur toute son épaisseur. Un cordon de racine visible et d'autres preuves de qualité de fabrication ont montré que la soudure était sous-standard lors de l'installation, pas une soudure saine ensuite consommée uniquement par la corrosion. Une déchirure ductile progressive et la fatigue ont agrandi le défaut au fil du temps jusqu'à ce que le ligament restant ne puisse plus supporter la charge de 2010.

Cinq des six pups présentaient une qualité de fabrication qui ne répondait pas aux normes généralement acceptées disponibles en 1956.

Ce n'était pas un jugement a posteriori imposé par un code de fabrication moderne. Le Conseil a conclu qu'une inspection visuelle compétente pendant la construction aurait dû identifier les soudures déficientes. Soit cette inspection n'a pas eu lieu, a échoué à interpréter ce qu'elle a vu, ou a permis aux travaux de rester. La décision individuelle précise est inconnue car les registres survivants n'identifient pas une chaîne complète de contrôle qualité. Le fait institutionnel est plus fort: PG&E a accepté, installé et exploité un assemblage non conforme dans une conduite de transport.

Les tests de résistance étaient la deuxième barrière manquée. La pratique industrielle disponible en 1956 recommandait un test hydrostatique à 1,25 fois la pression maximale d'exploitation pour cette classe d'installation. Cette recommandation n'était pas alors une exigence fédérale contraignante, et l'absence de règle obligatoire compte lorsqu'il s'agit de décrire la conformité légale. Elle n'efface pas le contrefactuel technique. Un test correctement exécuté à environ 500 psig pour un maximum de 400 psig aurait probablement fait échouer la soudure défectueuse dans un cadre contrôlé.

Les enquêteurs n'ont trouvé aucune trace que PG&E ait testé hydrostatiquement la section déplacée.

La troisième barrière était la fidélité des registres. Le système d'information géographique de PG&E décrivait l'emplacement de l'accident comme un tuyau sans soudure de 30 pouces, API 5L Grade X42 avec une paroi de 0,375 pouce. Le segment physique était soudé et hétérogène. Le tuyau sans soudure de ce diamètre n'était pas commercialement disponible lorsque la conduite a été construite, et les registres de transfert de matériaux contemporains indiquaient des propriétés différentes. Le registre n'était donc pas simplement incomplet; il transmettait des attributs affirmatifs que le tuyau ne possédait pas.

Cette distinction change la responsabilité. Un type de soudure inconnu devrait forcer des hypothèses conservatrices, des recherches de registres ou un test de validation. Un segment enregistré à tort comme sans soudure peut supprimer complètement la voie de menace de fabrication. Le registre inexact a affecté la confiance en la pression maximale, l'identification des menaces, le classement des risques et la sélection des évaluations. Une erreur administrative enterrée est devenue une hypothèse opérationnelle.

L'événement de pression à Milpitas

Le 9 septembre 2010, des entrepreneurs et le personnel de PG&E remplaçaient une alimentation sans interruption au terminal Milpitas, la source amont de la Line 132. L'autorisation de travail ne précisait pas adéquatement quel équipement pouvait être affecté, la séquence de commutation, les actions d'urgence ou la relation entre les travaux électriques et les contrôles de pression du gaz. Vers 17 h 22, une tension électrique erratique a fait bouger les vannes de régulation et a généré plus de 60 alarmes.

La pression de la Line 132 a augmenté. La mesure au terminal a atteint environ 396 psig. À l'emplacement de la rupture, les enquêteurs ont utilisé les registres de pression et l'analyse hydraulique pour estimer environ 386 à 386,4 psig immédiatement avant la défaillance. PG&E exploitait généralement la conduite connectée à pas plus de 375 psig en raison d'un segment croisé de moindre capacité. La pression maximale autorisée fédérale pour la Line 132 était de 400 psig, établie en vertu d'une disposition historique utilisant la pression la plus élevée au cours des cinq années précédant l'entrée en vigueur de la réglementation fédérale.

Vers 18 h 11, la soudure défectueuse s'est ouverte. La rupture a créé un cratère d'environ 72 pieds de long et 26 pieds de large. Un tronçon de tuyau d'environ 28 pieds et 3 000 livres a été expulsé à environ 100 pieds. PG&E a estimé que 47,6 millions de pieds cubes standard de gaz se sont échappés avant l'isolement. Le gaz s'est enflammé dans un quartier résidentiel.

Qualifier l'événement simplement de défaillance par surpression obscurcirait les preuves. La pression a dépassé l'objectif d'exploitation ordinaire de PG&E, et la défaillance des travaux électriques a fourni l'augmentation de charge finale. Elle n'a pas dépassé la pression maximale autorisée de 400 psig. Le NTSB a constaté que la pression n'aurait pas dû menacer un tuyau correctement construit. Une mauvaise planification du travail faisait partie de la cause probable parce qu'elle a créé l'augmentation déclencheuse, mais elle n'a pas créé la soudure de 1956, le registre incorrect ou le programme d'intégrité qui a laissé le défaut en service.

La distinction empêche également l'erreur inverse. Rester en dessous du MAOP n'a pas rendu l'opération sûre. Le MAOP était un plafond administratif dérivé en partie de la pression historique, pas une preuve que chaque segment avait une marge de sécurité vérifiée. PG&E avait périodiquement amené la Line 132 à son maximum de 400 psig pendant de courtes périodes, y compris en 2003 et 2008, et avait traité la survie comme une preuve que les défauts de fabrication étaient stables. Le Conseil a rejeté cette logique. Une brève exposition au MAOP n'équivaut pas à un test de résistance à une pression matériellement plus élevée.

Elle peut laisser un défaut sous-critique en place tandis que la fatigue et les cycles de pression continuent de l'agrandir.

Cause physique, causes de gestion et explications exclues

La cause probable du NTSB a réuni trois éléments contrôlés par la gestion: une assurance qualité et un contrôle qualité inadéquats lors du déplacement de 1956; un programme de gestion de l'intégrité inadéquat qui n'a pas détecté et retiré le tuyau défectueux; et une planification déficiente des travaux électriques de 2010 qui a produit l'augmentation de pression. Le défaut de construction était ancien, mais son risque a été renouvelé chaque fois que les registres, les évaluations et les décisions opérationnelles ont traité le segment comme connu et sain.

Les enquêteurs ont également séparé les conditions contributives de la rupture initiale. Les règles fédérales et étatiques permettaient aux pipelines plus anciens de conserver l'autorisation de pression sans test de pression après construction. Le Conseil a constaté que cette exemption a contribué car un test valide aurait probablement exposé la soudure. La supervision de la CPUC a contribué car elle n'a pas identifié l'insuffisance du programme d'intégrité de PG&E. L'absence de vannes d'arrêt automatiques ou télécommandées, des procédures d'urgence faibles et un isolement retardé ont augmenté la durée et la gravité de l'incendie.

Ils n'ont pas initié la fracture de la soudure.

Plusieurs explications proposées ont été examinées et non soutenues comme causes. La construction d'égouts près de la conduite en 2008 n'a pas endommagé le tuyau. Les enquêteurs n'ont pas trouvé de corrosion externe, de mouvement sismique ou de dommages directs par excavation de tiers comme origine. La consommation de drogue par les employés n'était pas causale. Les exclusions du rapport final comptent car la responsabilité ne doit pas s'étendre simplement à chaque condition présente près d'un accident.

Le registre ne peut pas identifier le soudeur, l'inspecteur ou le superviseur individuel qui a pris chaque décision en 1956. Il n'établit pas non plus la date exacte à laquelle le défaut est passé de tolérable à critique. Ces inconnues ne rendent pas la défaillance du système inconnaissable. PG&E a conservé le contrôle pratique de la conduite pendant des décennies. Il pouvait vérifier les registres, tester la résistance à la pression, sélectionner une inspection en ligne capable de voir les soudures longitudinales, exposer le tuyau, réduire la pression ou remplacer les segments incertains.

La responsabilité repose sur le contrôle et les preuves, pas sur la survie de chaque nom historique.

La gestion de l'intégrité n'a pas converti l'incertitude en action

Les règles fédérales de gestion de l'intégrité exigeaient des exploitants qu'ils identifient les zones à haute conséquence, intègrent les informations, identifient les menaces, évaluent les segments couverts, corrigent les défauts et améliorent continuellement le programme. PG&E a créé un programme de gestion des risques avec 22 catégories de menaces et des évaluations de base planifiées pour son kilométrage couvert. Sur le papier, c'étaient des éléments reconnaissables d'un système de sécurité moderne. L'échec résidait dans ce que le système savait, ce qu'il supposait et ce que ses méthodes choisies pouvaient détecter.

Premièrement, la base de données n'était pas fiable. Les attributs des tuyaux dans le système géographique ne correspondaient pas au segment excavé. Les registres de construction étaient dispersés et n'établissaient pas que le déplacement avait été testé. L'historique d'exploitation et de fuites n'a pas reçu un poids suffisant. Le programme ne pouvait pas caractériser avec précision une menace de soudure si la base de données disait que le tuyau n'avait pas de soudure.

Deuxièmement, PG&E a classé les défauts de fabrication et de construction comme stables à moins qu'une pression ultérieure ne dépasse le maximum historique. Cette hypothèse ignorait la possibilité qu'un défaut de soudure puisse se développer sous des cycles de pression ordinaires. Elle a également traité la survie antérieure près du MAOP comme un substitut à un test de résistance. Le Conseil a constaté que cette approche manquait de base scientifique adéquate. Un défaut peut rester caché pendant de nombreux cycles puis échouer en dessous de la pression qu'il a brièvement survécue des années plus tôt.

Troisièmement, le classement des risques n'a pas élevé de manière fiable les menaces pertinentes. Le système de classement des risques de PG&E attribuait des poids et des scores à travers la corrosion, les dommages par des tiers, les mouvements de terrain, les matériaux et les conditions de construction. Le NTSB a constaté que le système sous-estimait ou traitait mal les preuves connues de soudure et de fabrication, tout en accordant une influence disproportionnée à d'autres menaces. Un score de risque n'était donc pas une preuve indépendante; il héritait des hypothèses et des omissions de ses intrants.

Quatrièmement, la méthode d'évaluation ne correspondait pas au mode de défaillance. PG&E utilisait une évaluation directe sur la majeure partie de son kilométrage de transport à haute conséquence. L'évaluation directe de la corrosion externe combine l'examen des registres, les relevés de surface, les excavations et l'évaluation pour trouver la corrosion. Elle peut être appropriée pour cette menace. Elle ne peut pas établir la solidité d'une soudure longitudinale invisible simplement parce qu'aucun signal de corrosion n'apparaît.

Des outils d'inspection en ligne ou des tests hydrostatiques peuvent traiter différentes classes de défauts, mais PG&E n'a pas sélectionné une méthode capable de trouver le défaut de soudure de San Bruno avant la rupture.

Cinquièmement, le calendrier d'achèvement ne contrôlait pas le risque. La Line 132 était programmée pour une évaluation mais n'avait pas été évaluée en septembre 2010. Même un achèvement plus précoce n'aurait pas nécessairement trouvé le défaut si la méthode sélectionnée restait l'évaluation directe de la corrosion externe. La question de responsabilité n'est pas seulement de savoir si un délai a été respecté. C'est de savoir si l'exploitant a choisi une évaluation adaptée à la menace crédible.

Sixièmement, l'auto-évaluation n'a pas généré de correction significative. Le NTSB a décrit les examens de programme de PG&E comme superficiels et a constaté qu'ils n'identifiaient ni ne corrigeaient les faiblesses fondamentales. Un système mature devrait tester si les registres prétendument complets correspondent au tuyau excavé, si les résultats d'évaluation correspondent aux fouilles ultérieures, si les excursions de pression exposent les échecs de contrôle du travail, et si des résultats propres répétés reflètent un faible risque ou une méthode insensible. Les preuves n'ont pas montré ce genre de défi avant San Bruno.

Les recommandations du Conseil ont rendu explicite la logique manquante. Il a appelé à des registres traçables, vérifiables et complets soutenant la pression maximale; à des tests de résistance lorsque l'autorité de pression reposait sur des preuves incomplètes; à des tests avec une marge suffisante avant de classer les défauts de fabrication comme stables; et à des méthodes d'évaluation capables d'identifier les menaces présentes. Lalettre de recommandation ultérieure à PG&Eexigeait également un audit complet des registres et la correction des écarts. Ces mesures n'étaient pas des pénalités papier. Elles ciblaient les décisions que le papier contrôlait.

La supervision réglementaire était une barrière indépendante qui n'a pas tenu

La Californie réglementait la sécurité des gazoducs intrastatiques par le biais d'un accord avec le gouvernement fédéral. La CPUC a inspecté le programme d'intégrité de PG&E en 2005 et à nouveau en 2010. Ces inspections n'ont pas exposé les défauts centraux avant la rupture. Après coup, le personnel de la CPUC a identifié des évaluations retardées, un recours excessif aux exceptions, des changements de l'inspection en ligne vers des méthodes moins adaptées et des réponses faibles aux conclusions d'audit interne.

Le NTSB a conclu que la CPUC n'avait pas détecté l'insuffisance du programme de gestion de l'intégrité de PG&E. Songroupe d'examen indépendantest allé plus loin dans les conditions organisationnelles. Le groupe n'a pas établi la conclusion de cause probable technique de l'accident; cela relevait du NTSB. Il a signalé des faiblesses dans la gestion des risques d'entreprise, la culture de sécurité, la priorisation et la mise en œuvre des ressources de PG&E, et a critiqué les propres ressources, compétences, orientation et approche d'application de la Commission en matière de sécurité du gaz. Ce sont des conclusions d'examen attribuées, pas un verdict judiciaire sur chaque décision de gestion.

L'ordonnance d'ouverture de la CPUC sur l'événement de San Brunoa formulé des allégations du personnel concernant les opérations, les registres, la gestion de l'intégrité et la réponse d'urgence. Elle a également enregistré huit morts, 58 blessés, 38 maisons détruites et 70 maisons endommagées. Parce qu'elle a ouvert une enquête judiciaire, ses allégations ne doivent pas être rapportées comme des conclusions définitives simplement parce qu'elles figuraient dans un document officiel. La responsabilité finale est venue par le biais de décisions et de mesures correctives ultérieures de la Commission.

Le régulateur a également ouvert uneenquête distincte sur la tenue de registres à l'échelle du système. Cette séparation était significative. San Bruno n'était pas seulement un cas de construction à un seul endroit; des registres inexacts ou incomplets pouvaient affecter les décisions de pression et d'évaluation sur tout le réseau de PG&E. Immédiatement après la rupture, laRésolution L-403a exigé la conservation des preuves, des réductions de pression, des inspections, l'accès pour les enquêteurs et un plan de sécurité. C'étaient des mesures provisoires de protection, pas la preuve que le réseau sous-jacent avait déjà été validé.

La supervision fédérale avait aussi des limites. La PHMSA établissait les règles et évaluait les programmes des États, mais le NTSB a constaté que les directives d'inspection fédérales et les mesures de performance ne testaient pas de manière fiable si un État évaluait les modèles de risque, l'intégration des données et la pertinence des évaluations de l'exploitant. Une liste de contrôle peut confirmer qu'un exploitant a des procédures sans déterminer si les procédures trouveraient le défaut réellement présent.

La contribution réglementaire ne divise pas la responsabilité de manière égale. PG&E possédait le tuyau, les employés, les entrepreneurs, les données d'exploitation et le pouvoir de tester ou de remplacer. La CPUC avait le devoir indépendant de contester ce système et d'appliquer les normes minimales fédérales. La PHMSA avait le devoir de définir et de superviser l'architecture réglementaire. Le contrôle de l'exploitant était direct; le contrôle des régulateurs était de supervision. Les trois barrières comptaient, mais l'existence d'une inspection manquée ne transforme pas le régulateur public en propriétaire de la conduite.

Quatre-vingt-quinze minutes: le contrôle d'urgence après l'échec de la prévention

La rupture était immédiatement visible et audible pour le voisinage. La police et les pompiers ont reçu des rapports en quelques minutes. La première réponse policière a été enregistrée vers 18 h 12 et les premières unités de pompiers vers 18 h 13. Les intervenants locaux ont fait face à un panache de gaz enflammé, des incendies de structures, des rues endommagées et une conduite d'eau principale rompue qui a laissé les bouches d'incendie à proximité sans eau adéquate. L'entraide a finalement impliqué 42 services d'incendie, environ 600 pompiers et personnel médical d'urgence et 325 agents des forces de l'ordre pendant plus de 50 heures.

Les équipes ont établi des approvisionnements en eau alternatifs, évacué les résidents, protégé les expositions et recherché dans les zones endommagées.

La réponse de PG&E a commencé à partir d'une position d'information différente. Son système a enregistré des changements de pression et des alarmes, mais la supervision et l'acquisition de données n'ont pas identifié directement l'emplacement de la rupture. Le répartiteur a appris un possible événement de gaz vers 18 h 18. Le premier employé envoyé était un représentant du service gaz, pas un mécanicien qualifié pour opérer les vannes de transport.

Le personnel a considéré la Line 132 comme une source probable mais n'a pas immédiatement établi un commandement de rupture unifié, envoyé toutes les équipes qualifiées pour les vannes nécessaires ou obtenu une notification directe des services d'urgence qui aurait résolu l'incertitude.

Des mécaniciens qualifiés ont appris l'événement par la couverture médiatique et se sont envoyés. Des vannes manuelles en amont et des vannes télécommandées et manuelles en aval ont été actionnées au cours de l'heure suivante. Vers 19 h 46, le segment endommagé a été isolé, avec une diminution visible de l'intensité du feu autour de cette période. Les sources officielles utilisent des jalons légèrement différents: la PHMSA résume l'isolement vers 19 h 40, tandis que la chronologie détaillée du NTSB suit les fermetures individuelles et décrit environ 95 minutes de la rupture à l'arrêt du flux de gaz.

La différence reflète le point mesuré, pas une raison d'impliquer une précision que le registre ne soutient pas.

Le NTSB a jugé le temps d'isolement excessif. PG&E manquait de vannes d'arrêt automatiques ou d'un agencement de télécommande suffisamment capable à proximité pour arrêter rapidement le flux. Il manquait également d'un protocole complet et pratiqué pour une rupture majeure de transport. L'entreprise n'avait pas de protocole direct et fiable par lequel les services d'urgence pouvaient immédiatement dire au contrôle gaz qu'une rupture majeure s'était produite. Le SCADA était utile pour la conscience de la pression mais pas un substitut à la reconnaissance de rupture, à la localisation et au commandement.

Ces échecs ont amplifié les conséquences. Le gaz a continué à alimenter un grand incendie alors que les pompiers essayaient de protéger un quartier. Un isolement plus rapide n'aurait pas annulé l'explosion initiale, le cratère ou la première inflammation, et le dossier public ne quantifie pas exactement quelles blessures ultérieures ou pertes matérielles auraient été évitées à chaque heure hypothétique de fermeture. Cela aurait, cependant, réduit la durée et l'énergie de la libération non contrôlée.

C'est pourquoi le NTSB a classé les vannes et la réponse comme des contributeurs à la gravité plutôt que comme la racine de la rupture de la soudure.

L'impact humain et communautaire ne peut être réduit à un total de pénalités

Huit personnes sont mortes. Des maisons, des biens, des registres familiaux, des animaux de compagnie, des relations de voisinage et un sentiment de sécurité physique ont été perdus ou perturbés. Trente-huit maisons ont été détruites et 70 ont été endommagées. Le nombre de blessés varie selon la définition: la CPUC a enregistré 58 blessés dans le cadre de son procédure, tandis que la PHMSA a signalé 51 personnes nécessitant une hospitalisation. Les deux chiffres doivent conserver leurs étiquettes. Convertir l'un en l'autre effacerait les catégories administratives sous-jacentes.

Les dégâts se sont étendus au-delà des parcelles privées. Routes, services publics et services municipaux ont nécessité des réparations. Les résidents ont fait face au déplacement, aux soins médicaux, aux litiges d'assurance, aux choix de reconstruction et à de longs processus juridiques. Les pompiers et autres intervenants ont travaillé sur une scène instable avec un approvisionnement en eau compromis.

Les clients de gaz ont financé un système de services publics dont les registres et les contrôles d'intégrité sont devenus l'objet de travaux correctifs majeurs, bien que la Commission ait ensuite ordonné que les principales sanctions et les coûts de sécurité soient supportés par les actionnaires.

PG&E a fait état de litiges civils et d'activités de règlement dans sondépôt de titres de septembre 2013. Il a déclaré avoir réglé la quasi-totalité des réclamations restantes des plaignants et a déclaré des charges cumulées d'environ 565 millions de dollars et des paiements d'environ 389 millions de dollars au 30 septembre 2013. Ce sont des chiffres comptables de l'entreprise. Les conditions des règlements étaient souvent confidentielles, le nombre ne divulgue pas les résultats au niveau des ménages, et une charge n'est pas la même chose que l'argent reçu ou le rétablissement complet.

La ville de San Bruno a conclu unaccord de règlement distinctavec PG&E évalué à 70 millions de dollars: 68,75 millions de dollars en espèces à des fins d'intérêt public et cinq terrains vacants attribués une valeur convenue de 1,25 million de dollars. Ce n'était pas le fonds pour les plaignants individuels en responsabilité civile. L'accord municipal, les règlements avec les résidents, les remboursements d'assurance, les crédits sur les factures réglementaires et l'amende pénale sont des voies distinctes avec des destinataires et des objectifs juridiques différents.

Aucun montant agrégé ne prouve la restauration. L'argent peut financer la reconstruction, les équipements publics, les allégements tarifaires et les services. Il ne peut pas remplacer une vie ou établir que les effets sur la santé, le déplacement, la valeur de la propriété, les frais juridiques et la confiance de la communauté ont été entièrement réparés. La responsabilité exige de rapporter les transferts avec précision tout en laissant leurs limites visibles.

La condamnation pénale et les sanctions réglementaires ont répondu à des questions différentes

En août 2016, un jury fédéral areconnu PG&E coupablede cinq violations des exigences fédérales de sécurité des pipelines et d'un chef d'obstruction à l'enquête du NTSB. Le jury a acquitté l'entreprise de six autres chefs d'accusation liés à la sécurité des pipelines. Le chef d'obstruction concernait la réponse de PG&E concernant sa politique d'augmentation de la pression jusqu'au MAOP pour traiter les menaces de fabrication comme stables. La précision est essentielle: les condamnations n'étaient pas des condamnations pour homicide pour les huit morts, et un acquittement sur certains chefs n'efface pas les conclusions techniques de cause probable.

Lapeine de 2017du tribunal fédéral a imposé une amende de 3 millions de dollars, le maximum légal disponible sur les chefs d'accusation; cinq ans de probation; 10 000 heures de travaux d'intérêt général; des exigences de publicité; et un programme de conformité et d'éthique supervisé par un contrôleur indépendant. L'ordonnance de condamnation et de contrôles'est concentrée sur la sécurité des gazoducs, l'intégrité des registres, les tests de résistance, l'inspectabilité et le traitement conservateur des informations manquantes. La faible valeur en dollars par rapport aux dommages reflétait les limites légales de la condamnation, pas une évaluation judiciaire du préjudice.

Ladécision de pénalité finalede la CPUC a traité de trois procédures liées: la rupture, la tenue de registres à l'échelle du système et les problèmes de classement des emplacements. Son ensemble de 1,6 milliard de dollars n'était pas une amende unique en espèces. Il comprenait 850 millions de dollars d'infrastructures de sécurité de transport de gaz financées par les actionnaires exclues de la base tarifaire, un paiement de 300 millions de dollars au Fonds général de la Californie, un crédit unique de 400 millions de dollars sur les factures des clients de gaz et environ 50 millions de dollars de mesures supplémentaires. Qualifier l'ensemble du montant d'amende, d'indemnisation des victimes ou de dépenses de sécurité serait inexact.

L'affaire pénale a testé la preuve au-delà de tout doute raisonnable sur les infractions poursuivies. Les procédures de la CPUC ont testé la conformité réglementaire, l'aptitude du service public, les mesures correctives et la protection des contribuables dans un cadre juridique différent. Les règlements civils ont résolu les réclamations privées et municipales, souvent sans conclusions publiques sur chaque fait contesté. Ces systèmes se chevauchaient mais n'étaient pas interchangeables. Leur poids combiné a montré une défaillance institutionnelle grave; leurs normes distinctes empêchent qu'un résultat soit utilisé pour exagérer un autre.

La réforme a changé les registres, les tests, l'évaluation et la réponse aux ruptures

La première vague de réforme a traité les registres comme des preuves critiques pour la sécurité. En janvier 2011, la PHMSA a publié unbulletin consultatif sur la pression maximale et les données d'intégrité. Il a ordonné aux exploitants d'utiliser des registres fiables pour établir la pression maximale et d'intégrer les informations connues dans l'identification, l'évaluation, la prévention et l'atténuation des risques. Un bulletin consultatif clarifie les attentes et avertit la communauté réglementée; ce n'est pas en soi une règle exécutoire finale.

Le Congrès a adopté laPipeline Safety, Regulatory Certainty, and Job Creation Act of 2011, promulguée le 3 janvier 2012. Elle a ordonné des études et des réglementations sur les registres, la vérification de la pression, les vannes automatiques et télécommandées et d'autres contrôles. La loi a marqué une réponse politique, mais sa promulgation n'a pas immédiatement produit de vérification sur le terrain pour chaque segment hérité.

Larègle finale de 2019 sur le transport de gazde la PHMSA a exigé une reconfirmation de la pression maximale autorisée pour certains segments manquant de registres adéquats, a élargi les évaluations au-delà des zones à haute conséquence, a renforcé la vérification des propriétés des matériaux et la tenue de registres, et a traité des dépassements de pression et des risques sismiques. Lafiche d'information connexe sur le MAOPdécrit six méthodes de reconfirmation et la nécessité de conserver les preuves de matériaux et de tests pendant la durée de vie du pipeline. Ces règles ultérieures ne peuvent pas être utilisées pour déclarer une violation en 2010 d'exigences pas encore en vigueur. Elles montrent comment la base de référence fédérale a changé en réponse à des faiblesses exposées.

L'isolement des ruptures est également devenu plus explicite. Larègle sur les vannes et la réponse aux rupturesde la PHMSA a établi des exigences pour les vannes d'atténuation des ruptures, l'espacement, la maintenance, l'examen post-événement et la notification immédiate des services d'urgence. Sonrésumé de mise en œuvreexplique un objectif de fermeture des vannes d'atténuation des ruptures dès que possible et généralement dans les 30 minutes après l'identification de la rupture. La portée compte: les principales dispositions d'installation s'appliquent principalement aux conduites de transport de gaz terrestres nouvellement construites ou entièrement remplacées répondant à des critères spécifiés. La règle n'est pas une affirmation générale selon laquelle chaque conduite existante a reçu de nouvelles vannes.

Les exigences fédérales actuelles en matière d'intégrité dans la49 CFR Part 192, Subpart Orendent la logique de contrôle plus explicite: intégrer les informations disponibles, considérer les menaces pertinentes, choisir une méthode d'évaluation appropriée, appliquer l'assurance qualité, gérer les changements et évaluer l'efficacité du programme. La réglementation actuelle est une référence pour les obligations d'aujourd'hui, pas une description rétroactive du texte en vigueur en 2010.

Au niveau de l'entreprise, PG&E a entrepris un plan d'amélioration de la sécurité des pipelines impliquant des tests de pression, des remplacements, des réductions de pression, des mises hors service, des modifications d'inspection en ligne et des vannes automatisées. Lerésumé actuel de la CPUC sur l'incident de San Bruno et la réformeindique que le projet final est devenu opérationnel en novembre 2018. Il liste 673,5 miles testés en résistance, 114,9 miles remplacés, 12 miles déclassés, 9,1 miles mis hors service, 202,4 miles rendus capables d'inspection en ligne et 217 vannes automatisées, ainsi qu'une validation à l'échelle du système des registres MAOP de transport. Ce sont des résultats de programme rapportés par le régulateur. Ils n'établissent pas que chaque segment est exempt de défaut ou que chaque contrôle fonctionne dans des conditions d'urgence.

Les décisions de clôture du NTSB fournissent des preuves plus solides mais toujours limitées. En janvier 2020, le Conseil a signalé que les recommandations exigeant des tests de gazoducs et un test à 1,25 fois le MAOP avant de traiter les défauts de fabrication comme stables avaient étécloses avec une action acceptable. Son archive de recommandations enregistre également la clôture après que PG&E a achevé des tests de résistance ou une vérification des registres pour plus de 1 850 miles. La clôture signifie que le Conseil a accepté l'action de réponse à la recommandation. Elle ne certifie pas l'absence de tout risque de pipeline présent ou futur.

Ce à quoi une vérification durable devrait ressembler

San Bruno a exposé une faiblesse récurrente dans la gouvernance de la sécurité: les organisations peuvent confondre l'existence d'un programme avec la preuve que le programme contrôle son danger. Une vérification durable nécessite une chaîne allant de l'actif physique à la décision.

Pourla qualité de fabrication, les preuves sont la traçabilité des matériaux, les registres de soudure, l'examen non destructif, les résultats de tests de pression et la validation du tuyau excavé. Lorsqu'un registre hérité ne peut être rendu traçable, vérifiable et complet, la réponse conservative est le test, la réduction de pression, le remplacement ou une autre méthode capable d'établir la résistance.

Pourl'identification des menaces, les preuves ne sont pas une liste générique. C'est un lien documenté entre le type de soudure, l'année de construction, l'historique des fuites et des défaillances, les cycles de pression, le classement de l'emplacement, les conséquences et la technologie d'inspection sélectionnée. Un outil qui ne peut pas détecter le défaut crédible ne peut pas fermer cette menace.

Pourle contrôle opérationnel, les preuves incluent les autorisations de travail qui nomment l'équipement affecté, la séquence de commutation, la propriété des alarmes, les contingences de pression, les seuils d'arrêt de travail et la gestion des changements. Un remplacement électrique de routine est devenu critique pour la sécurité parce que les limites électriques et de contrôle de gaz étaient couplées. Le dossier de travail aurait dû rendre ce couplage explicite.

Pourla réponse d'urgence, les preuves sont des exercices chronométrés et la performance lors d'événements réels: à quelle vitesse une rupture est reconnue, localisée, communiquée aux services d'urgence et isolée; si des opérateurs qualifiés sont envoyés; si les vannes à distance fonctionnent; et si les leçons deviennent des actions correctives vérifiées. Un plan écrit sans temps de réponse mesuré est une faible assurance.

Pourla supervision réglementaire, les preuves sont un échantillonnage indépendant. Les inspecteurs devraient concilier les attributs de la base de données avec le tuyau excavé, contester les poids de classement des risques, tester si les méthodes d'évaluation correspondent aux menaces, inspecter les dossiers de gestion des changements et suivre les écarts jusqu'à leur clôture sur le terrain. La présence de procédures n'est pas suffisante.

Pourles mesures correctives et l'indemnisation, les preuves sont spécifiques à la catégorie: décision de justice, allocation ordonnée par la Commission, paiement de règlement, dépense d'intérêt public et résultat du demandeur. Agréger des montants différents donne l'impression que la réponse est plus importante tout en rendant la responsabilité moins claire.

La surveillance actuelle montre des progrès et des obligations ouvertes

Le mandat de cinq ans du contrôleur pénal fédéral s'est conclu en janvier 2022. La Californie a ensuite établi uncontrôleur de sécurité indépendantdistinct pour examiner les opérations de sécurité, l'identification des risques et la tenue de registres de PG&E pour une autre période de cinq ans. Cette continuité montre que la surveillance ne s'est pas terminée avec la probation pénale. Elle ne doit pas être interprétée comme une conclusion que le même défaut de la Line 132 subsiste, ou que la surveillance seule empêche la défaillance.

Lehuitième rapport d'étape du contrôleur, publié en mai 2026, offre un instantané actuel mais limité. Il décrit une évolution favorable dans certaines mesures de la culture de sécurité du gaz et des tendances à long terme de prévention des dommages, tout en signalant également des dépenses inférieures aux niveaux adoptés par la CPUC dans certaines catégories de gaz, des travaux planifiés sur le vieillissement des infrastructures gazière et des actions correctives ouvertes dans certaines parties du système. Le rapport se fonde expressément en partie sur les données de PG&E et de tiers que le contrôleur n'a pas vérifiées de manière indépendante dans tous les cas. Il constitue donc une preuve d'un processus d'assurance actif et d'obligations restantes, pas un bilan de santé clair.

La question centrale post-San Bruno n'est plus de savoir si PG&E a des programmes écrits, des miles testés ou des vannes installées. Le dossier public confirme ces actions. La question est de savoir si l'entreprise et les régulateurs peuvent démontrer en continu que les actifs hérités incertains reçoivent un traitement conservateur, que les registres correspondent au terrain, que les outils d'évaluation peuvent voir les menaces qui leur sont assignées et que l'isolement d'urgence répond à des objectifs de performance mesurés.

Une carte de contrôle pour la responsabilité

La responsabilité devient plus claire lorsqu'elle est assignée au contrôle pratique plutôt qu'à de vastes étiquettes institutionnelles.

La fabrication du tuyau et l'acceptation en 1956étaient contrôlées par PG&E et sa chaîne de construction. Le dossier historique n'identifie pas chaque acteur individuel, mais le service public contrôlait la spécification, l'inspection, l'acceptation et les tests.

La préservation et la correction des registressont restées la responsabilité de PG&E pendant toute la durée de vie de l'actif. Les régulateurs pouvaient contraindre et échantillonner, mais seul l'exploitant pouvait intégrer les registres de construction, de maintenance, de pression et géographiques dans les décisions quotidiennes.

La pression maximale et l'évaluation de l'intégritéétaient des décisions de l'exploitant encadrées par les règles fédérales et l'application de la CPUC. PG&E a sélectionné les hypothèses, la méthode de classement des risques, le calendrier et la méthode d'évaluation. La CPUC et la PHMSA étaient responsables de détecter si ces choix répondaient à la norme et contrôlaient les menaces crédibles.

La planification des travaux électriquesétait contrôlée par PG&E et son système de gestion des entrepreneurs. L'augmentation de pression au terminal était prévisible comme un couplage entre la fiabilité de l'alimentation électrique et la régulation du gaz. Un séquençage clair, l'identification de l'équipement affecté et une planification d'urgence étaient des barrières disponibles.

L'isolement de la ruptureétait principalement contrôlé par PG&E par la conception SCADA, le placement des vannes, le personnel, la formation et le commandement d'urgence. Les pompiers et la police contrôlaient la protection du public autour de l'incident, pas l'opération des vannes de transport.

La responsabilité pénale, réglementaire et civileappartenait aux tribunaux, aux procureurs, à la CPUC et aux demandeurs selon des normes différentes. Aucun ne pouvait reconstruire le quartier détruit; ils pouvaient établir des infractions, imposer des mesures correctives, transférer des ressources et exiger des contrôles plus sûrs.

Cette carte rejette deux récits commodes mais inexacts. San Bruno n'était pas seulement la conséquence d'une mauvaise soudure d'une autre époque. Ce n'était pas non plus uniquement un échec réglementaire dans lequel l'exploitant s'est raisonnablement fié à l'inspection gouvernementale. La soudure a survécu parce que des barrières successives de l'exploitant et de la supervision n'ont pas converti l'incertitude en action.

Contrefactuels des barrières et ce qui reste sans réponse

Plusieurs contrefactuels sont fortement soutenus. Un contrôle qualité visuel adéquat en 1956 aurait probablement rejeté les pups défectueux. Un test de résistance hydrostatique valide avec une marge appropriée aurait probablement fait échouer la soudure critique avant la mise en service ou l'aurait exposée lors d'une vérification ultérieure. Des registres précis de la soudure auraient changé l'identification des menaces. Une méthode d'évaluation capable de détecter les défauts de soudure longitudinale aurait pu provoquer une réparation ou un remplacement.

Un meilleur contrôle des travaux électriques aurait pu empêcher l'augmentation de pression. Un isolement plus rapide des vannes aurait pu réduire la durée et la gravité de l'incendie.

Ces contrefactuels ont une portée différente. Un test en 1956 traite du défaut initial. Un test ultérieur traite de la survie après des décennies de cycles de pression. Des registres précis n'enlèvent pas eux-mêmes un défaut, mais ils changent la voie de décision. Empêcher la montée de pression au terminal aurait pu empêcher la rupture ce soir-là sans rendre le tuyau sain. Un isolement plus rapide ne peut pas empêcher l'explosion initiale. La responsabilité exige de créditer chaque barrière uniquement pour le préjudice qu'elle pouvait contrôler.

Des questions importantes restent ouvertes dans les preuves publiques:

• Le dossier ne nomme pas chaque personne responsable de la fabrication, de l'inspection visuelle ou de l'acceptation en 1956, n'explique pas exactement où l'assemblage de six pups a été fabriqué.
• Les sources publiques ne fournissent pas de résultats au niveau des ménages pour les règlements civils confidentiels ou n'établissent pas que les pertes économiques et non économiques des survivants ont été entièrement indemnisées.
• Le kilométrage du programme et la clôture des recommandations ne divulguent pas tous les écarts constatés lors de la validation des registres, chaque soudure comparable restant en service ou le taux d'erreur complet de l'échantillonnage sur le terrain.
• La surveillance actuelle ne vérifie pas indépendamment chaque point de données de l'entreprise, et un rapport périodique ne peut pas prouver comment toutes les vannes, alarmes et équipes se comporteront lors de la prochaine rupture.
• Les règles ultérieures renforcent les contrôles minimaux mais n'éliminent pas la discrétion de l'exploitant dans le classement des risques, la sélection des méthodes, la planification du travail et le traitement conservateur de l'incertitude.

Des preuves qui pourraient modifier matériellement cette évaluation incluraient une reconciliation publique complète des attributs des tuyaux hérités avec les excavations; une preuve au niveau du segment de test ou de base MAOP validée; des taux de faux négatifs indépendants pour les méthodes d'inspection; des exercices d'isolement de rupture chronométrés sur des conduites comparables; et des registres de clôture transparents pour les conclusions du contrôleur et du régulateur. L'absence de ces détails publics n'est pas la preuve que le travail n'a pas été fait. Elle limite ce que les outsiders peuvent raisonnablement affirmer.

Conclusion

San Bruno a fait de la gestion de l'intégrité des pipelines un test de responsabilité parce que chaque contrôle décisif avait un propriétaire. La soudure de 1956 était physiquement défectueuse. L'augmentation de pression de 2010 était opérationnellement induite. La conduite est restée en dessous de son maximum fédéral déclaré, exposant la faiblesse de traiter ce nombre comme une preuve de résistance. Des registres incorrects ont caché la soudure, une stratégie d'intégrité inadaptée l'a laissée non testée, la supervision n'a pas contesté l'assurance, et les systèmes d'urgence ont mis trop de temps à arrêter le gaz.

La réponse a produit des condamnations, un ensemble réglementaire majeur, des règlements civils, un financement municipal, des tests de pression, des remplacements, des projets d'inspectabilité, des vannes automatisées, des règles fédérales plus strictes et des années de surveillance externe. Ces résultats sont réels. Ils ne sont pas interchangeables, et ils ne créent pas une présomption permanente de sécurité.

La leçon durable est plus étroite et plus exigeante. Une entreprise de gaz doit être en mesure de prouver ce qu'est son tuyau, quelles charges il a subies, quelles menaces peuvent agir sur lui, pourquoi l'évaluation choisie peut trouver ces menaces, et à quelle vitesse la défaillance sera isolée si la prévention échoue. Les régulateurs doivent tester cette preuve plutôt que de confirmer qu'un programme existe. Lorsque les registres sont incertains, l'incertitude doit entraîner une action conservative. San Bruno a démontré le coût de lui permettre de devenir une assurance à la place.