San Bruno a fait des dossiers de pipelines et de l'arrêt automatique un test de responsabilité en matière de sécurité gazière

Résumé

• Le 9 septembre 2010, la conduite de gaz naturel de 30 pouces de Pacific Gas and Electric Company, la ligne 132, a rompu à San Bruno, en Californie. Le gaz qui s'est échappé a pris feu dans un quartier résidentiel, tuant huit personnes, en blessant de nombreuses autres, détruisant 38 maisons et en endommageant 70. Le National Transportation Safety Board a attribué la cause probable au contrôle de qualité déficient de PG&E lors de la construction en 1956, qui a permis l'installation d'une section de tuyau mal soudée avec un défaut de joint visible, et à un programme de gestion de l'intégrité inadéquat qui n'a pas réussi à le détecter et à le retirer.
• La responsabilité s'étend au-delà de la soudure défectueuse. Les dossiers de PG&E ont mal caractérisé le segment défaillant, son évaluation des menaces n'a pas compensé l'incertitude, ses systèmes de contrôle et d'urgence n'ont pas isolé rapidement la rupture, et la ligne manquait de vanne d'arrêt automatique ou télécommandée. Les conclusions fédérales de sécurité, une condamnation pénale fédérale, les pénalités de la California Public Utilities Commission, l'indemnisation civile et les règles ultérieures ont chacun répondu à des questions différentes et ne doivent pas être présentés comme des verdicts interchangeables.
• Une réforme durable nécessite des preuves que les dossiers sont traçables, vérifiables et complets; les faits manquants déclenchent une reconfirmation de pression ou des tests physiques plutôt que des hypothèses; les méthodes d'évaluation peuvent détecter les menaces réellement présentes; la reconnaissance de rupture produit une notification immédiate de sécurité publique; et les vannes actionnées à distance ou automatiques réduisent la durée de fuite. Les totaux de projets et les actions correctives fermées montrent une activité, pas une efficacité permanente, donc l'assurance doit être testée sur des segments échantillonnés et des performances d'urgence réelles.

Vers 18h11 le 9 septembre 2010, un segment enterré de la ligne 132 a rompu près de Earl Avenue et Glenview Drive dans le quartier Crestmoor de San Bruno. Le gaz libéré a pris feu, projetant une section de tuyau du cratère et alimentant un incendie intense parmi les maisons. La page d'enquête terminée du NTSB enregistre les éléments stables essentiels: le segment défaillant avait environ 30 pouces de diamètre; la rupture a produit un cratère d'environ 72 pieds de long et 26 pieds de large; PG&E a estimé que 47,6 millions de pieds cubes standard de gaz se sont échappés; huit personnes sont mortes; 38 maisons ont été détruites;

et 70 ont été endommagées. Ces faits décrivent une catastrophe de transport et de sécurité publique. Ils ne décident pas, par eux-mêmes, d'une accusation pénale, d'une pénalité réglementaire, d'une demande de dommages-intérêts privée ou de l'adéquation d'un programme de réparation ultérieur.

L'événement est devenu un test de ce qu'une entreprise de services publics réglementée sait réellement d'un système vieillissant. Un gazoduc n'est pas rendu sûr par un champ de base de données indiquant qu'un segment est sans soudure, par une limite de pression copiée d'une feuille héritée ou par un formulaire de gestion de l'intégrité rempli. Chaque représentation doit être étayée par des preuves pouvant être retracées jusqu'au tuyau, vérifiées par une autre personne compétente et reconciliées avec la configuration physique. Lorsque les dossiers sont incomplets ou contradictoires, l'incertitude n'est pas neutre.

C'est une menace qui doit modifier les décisions de pression d'exploitation, de test, d'inspection et de remplacement.

San Bruno a également exposé une deuxième couche de protection. Même un programme d'intégrité solide ne peut garantir qu'aucun tuyau ne se rompe. Les opérateurs ont donc besoin de barrières indépendantes après le début de la défaillance: outils de salle de contrôle identifiant une rupture, communication directe avec les agences de sécurité publique, intervention sur le terrain formée et vannes capables d'arrêter rapidement le débit. Le joint défectueux de la ligne 132 a créé la rupture. L'absence d'isolement automatique ou télécommandé et les faiblesses de la réponse d'urgence ont prolongé le danger et augmenté sa gravité.

La prévention et l'atténuation étaient des devoirs distincts, mais le public comptait sur les deux.

Un assemblage de tuyaux défectueux de 1956 a survécu à l'intérieur d'une description de système inexacte

La section défaillante avait été installée lors d'un déplacement de la ligne 132 en 1956. Ce n'était pas une longueur uniforme de tuyau d'usine. Les enquêteurs ont trouvé un assemblage fabriqué contenant plusieurs morceaux courts, ou pups, joints ensemble. Un pup avait une soudure longitudinale avec une pénétration incomplète et d'autres défauts de soudure. Le rapport d'accident de pipeline PAR-11/01 adopté par le NTSB a conclu que l'assurance qualité et le contrôle qualité de PG&E pendant le déplacement étaient inadéquats et ont permis à une section sous-standard, mal soudée avec un défaut de soudure visible, d'entrer en service.

Au fil des décennies, le défaut a atteint une taille critique. Une augmentation de pression associée à des travaux électriques mal planifiés au terminal de Milpitas a fourni la condition de charge finale sous laquelle le tuyau a rompu.

Cette conclusion est spécifique. Le Board n'a pas dit que chaque tuyau de transport des années 1950 est défectueux ou que l'âge seul a causé la rupture. Il a identifié un défaut d'installation et de fabrication, les conditions qui ont permis qu'il persiste, et un programme d'intégrité qui ne l'a pas détecté ou retiré. Il a également identifié des exemptions de test de pression réglementaire et une surveillance insuffisante comme facteurs contributifs.

Une analyse de responsabilité solide préserve donc la distinction entre le travail défectueux d'origine, l'échec ultérieur à découvrir le défaut et l'environnement réglementaire dans lequel un segment hérité non testé a continué à fonctionner.

Les preuves physiques ont rendu l'écart de dossier indéniable. Les informations de PG&E représentaient le segment comme un tuyau sans soudure, mais l'acier récupéré contenait des soudures longitudinales et des sections courtes fabriquées sur le terrain. Le rapport factuel du Materials Laboratory du NTSB sur le tuyau récupéré a documenté une fissure provenant de la soudure longitudinale du pup 1 et des caractéristiques cohérentes avec un manque de pénétration de soudure. Ce rapport de laboratoire est une preuve physique primaire liée aux spécimens et méthodes qu'il décrit.

Il n'établit pas indépendamment chaque défaillance de gestion ou violation légale; ces conclusions nécessitent le rapport adopté et les dossiers des organes judiciaires compétents.

L'écart importait parce que le type de tuyau détermine les menaces qu'un programme d'intégrité doit considérer et quelle technologie d'évaluation est appropriée. Si un dossier indique qu'un segment est sans soudure, les analystes peuvent ne pas prioriser les défauts de fabrication des soudures longitudinales. Si le véritable segment se compose de morceaux courts non standard avec des soudures déficientes, une évaluation axée sur la corrosion peut manquer le mode de défaillance dominant.

Une erreur de base de données peut donc devenir une défaillance de contrôle physique lorsqu'elle supprime la menace même qui devrait conduire à des tests ou à un remplacement.

Les dossiers étaient des affirmations de sécurité, pas un inventaire administratif

Les dossiers de pipelines soutiennent la pression maximale de service (MAOP), les propriétés des matériaux, le diamètre, l'épaisseur de paroi, le type de joint, l'historique d'installation, la localisation de classe, les fuites antérieures, les tests et les réparations. Chaque champ influence le risque. La MAOP n'est pas simplement un objectif d'exploitation; elle doit reposer sur un calcul défendable et des preuves qualifiantes. La localisation de classe et le statut de zone à haute conséquence affectent les exigences applicables et l'intensité de l'évaluation. Le type de joint dirige l'attention vers les menaces de fabrication.

L'historique des tests établit si les défauts d'une certaine taille auraient déjà dû échouer et être retirés.

Le dossier public du NTSB conserve 400 éléments, y compris des preuves d'exploitation, des rapports métallurgiques, des données SCADA, des cartes, des matériaux de construction, des historiques de pression, des entretiens et des soumissions de parties. Il montre à quel point les preuves étaient dispersées. Le dossier est un dépôt plutôt qu'une conclusion unique adoptée. Une soumission de PG&E enregistre ce que l'entreprise a fourni; un rapport factuel de groupe décrit des faits collectés; un document de laboratoire rapporte des résultats d'examen; seul le rapport final du Board énonce la cause probable adoptée et les conclusions.

Cette hiérarchie importe chaque fois que l'interprétation d'une partie diffère de la disposition du Board.

La norme post-accident selon laquelle les dossiers doivent être traçables, vérifiables et complets peut être traduite en contrôles. Traçable signifie qu'une valeur pointe vers son document d'origine, test, dessin, enregistrement d'achat ou observation de terrain, puis vers un actif spécifique. Vérifiable signifie qu'une autre personne qualifiée peut confirmer la valeur à partir de preuves indépendantes ou authentifiées plutôt que de se fier à la répétition dans la même base de données.

Complet signifie que les preuves contiennent les caractéristiques nécessaires à la décision et ne manquent pas de qualificatifs, révisions ou composants adjacents qui pourraient contrôler la pression.

Les recommandations urgentes du NTSB en matière de dossiers à PG&E et aux régulateurs ont rendu ce langage opérationnel après la rupture. Les recommandations visaient une recherche agressive de dossiers, l'identification des segments de gazoduc pour lesquels la pression ne pouvait être justifiée, et la détermination d'une MAOP sûre à l'aide de dossiers fiables. Une recommandation de sécurité n'est pas un ordre criminel ou une attribution de dommages-intérêts. Elle identifie une action préventive pour un destinataire spécifique, et son statut ultérieur décrit le traitement de la réponse par le NTSB.

Elle ne certifie pas indéfiniment chaque actif sous-jacent.

Un programme de réparation de dossiers défendable devrait conserver les preuves négatives. Si aucun certificat d'usine, graphique de test de pression ou dessin tel que construit ne peut être trouvé, le système doit enregistrer la recherche infructueuse, les référentiels vérifiés, les conflits découverts et la conséquence technique. Choisir silencieusement la valeur survivante la plus pratique transforme l'absence de preuve en fausse confiance.

Pour un segment urbain à haute conséquence, des preuves de matériaux ou de pression non résolues devraient conduire à des tests hydrostatiques, une vérification des matériaux, une réduction de pression, un remplacement ou une autre méthode permise par la réglementation et démontrée comme répondant à la menace pertinente.

La gestion de l'intégrité n'a pas posé la question que nécessitait le tuyau

La gestion de l'intégrité vise à identifier les menaces, évaluer les segments couverts, réparer les conditions importantes et améliorer le programme en utilisant l'expérience opérationnelle. Sa valeur dépend de la mesure dans laquelle le modèle de risque représente la réalité. Un outil de classement peut produire des scores précis tout en omettant les défauts de fabrication parce que le dossier d'entrée étiquette une ligne comme sans soudure. Il peut récompenser l'absence d'incidents enregistrés même lorsque cette absence reflète un historique manquant.

Il peut choisir l'évaluation directe ou d'autres méthodes utiles pour la corrosion mais incapables de révéler un défaut de joint longitudinal du type présent à San Bruno.

Le rapport du Independent Review Panel créé par la CPUC a examiné la gestion et la surveillance plus larges. Le panel a constaté de multiples faiblesses dans la gestion de la sécurité des gazoducs par PG&E et a conclu que la CPUC manquait de ressources et de concentration organisationnelle suffisantes pour surveiller adéquatement la performance de la gestion de l'intégrité. Il a critiqué les données fragmentées, la faible assurance qualité, les responsabilités floues et l'attention stratégique insuffisante. Le panel a été mandaté pour la collecte de faits et des recommandations;

le NTSB a conservé le rôle fédéral de détermination de la cause de l'accident. Ses conclusions organisationnelles ne doivent pas être étiquetées comme la cause probable du Board ou comme des verdicts criminels.

Le mode de défaillance montre pourquoi la sélection des menaces doit être contestable. Un examinateur d'assurance devrait commencer par toutes les menaces plausibles pour un tuyau de l'âge, du fabricant, de la pratique de construction, de l'historique de pression et de l'environnement de la ligne, puis montrer quelles preuves soutiennent la suppression d'une menace de l'analyse ultérieure. Les dossiers contradictoires devraient élargir, et non réduire, l'ensemble des menaces. La méthode d'évaluation devrait ensuite être adaptée à ces menaces avec des limites de détection documentées.

Si les outils d'inspection en ligne ne peuvent pas passer ou caractériser de manière fiable les anomalies de joint, l'opérateur doit choisir des tests de pression, un remplacement ou une autre technique validée.

Les modèles de risque ont également besoin de menaces interactives et cumulatives. Un défaut de fabrication peut rester stable pendant des décennies, mais les cycles de pression, les surpressions antérieures, les travaux externes, la corrosion ou les mouvements du sol peuvent modifier sa marge. Il ne suffit pas de noter chaque catégorie indépendamment et de supposer que le nombre le plus élevé contrôle. Les ingénieurs devraient indiquer comment les menaces peuvent se combiner et quelles preuves réfuteraient le modèle.

Un programme d'intégrité devient responsable lorsqu'un défaut dans les données peut modifier les priorités et les budgets plutôt que d'être rationalisé pour préserver un calendrier préexistant.

L'analyse du Board a également lié la pression de rupture aux travaux au terminal de Milpitas. L'activité électrique a perturbé la régulation, et la pression en amont a augmenté. La pression est restée inférieure à la MAOP enregistrée, mais le tuyau a échoué parce que le joint réellement défectueux n'avait pas la capacité supposée par la paperasse. C'est l'avertissement central: la conformité à un plafond de pression nominal ne peut protéger un segment dont la base matérielle et de construction est erronée. La MAOP doit être le résultat de preuves vérifiées, pas un nombre hérité traité comme une preuve elle-même.

La pression d'exploitation et les exemptions héritées n'ont laissé aucun test de preuve pour le défaut

Les tests de pression sont un moyen de révéler les défauts qui ne peuvent pas survivre à une marge définie au-dessus de la pression d'exploitation. Le segment défaillant n'avait pas reçu le type de test hydrostatique après construction qui aurait probablement révélé ses défauts d'installation. Les pipelines existants avaient bénéficié de dispositions réglementaires qui permettaient à la pression d'exploitation historique de soutenir la MAOP sans test de preuve moderne.

Le NTSB a identifié les exemptions fédérales et étatiques des exigences de test de pression comme ayant contribué à l'accident car un test suffisamment exigeant aurait probablement détecté les défauts.

Cette conclusion ne signifie pas que les tests hydrostatiques sont sans risque ou universellement supérieurs. Un test de pression peut provoquer une rupture, créer des problèmes de gestion de l'eau et de service, et peut laisser certains défauts survivants qui se développent plus tard. L'inspection en ligne peut couvrir de longues distances et caractériser plusieurs conditions, mais seulement si la ligne est configurée pour l'outil et si la technologie peut détecter et dimensionner l'anomalie contrôlante. Le remplacement élimine l'incertitude pour le segment sélectionné mais nécessite ses propres contrôles de qualité de construction.

La responsabilité consiste à adapter la méthode à la menace et à documenter pourquoi la méthode choisie produit les preuves nécessaires.

Les régulateurs californiens ont entamé plusieurs procédures formelles. La décision de la CPUC ouvrant l'enquête sur San Bruno a formulé des allégations concernant la construction, la gestion de l'intégrité, la tenue de dossiers, le SCADA, les procédures d'urgence et la culture de sécurité d'entreprise pour jugement en vertu des exigences étatiques et fédérales administrées par la Commission. Une décision d'ouverture d'enquête est un document procédural et d'établissement d'allégations. Elle ne doit pas être citée comme si chaque allégation du personnel était déjà une constatation finale de la Commission.

Les décisions ultérieures, après avis et audience, contrôlent la disposition réglementaire.

La validation de la pression après San Bruno avait donc deux tâches liées. Premièrement, PG&E devait trouver et concilier les dossiers de son réseau de gazoducs. Deuxièmement, là où les dossiers ne pouvaient pas justifier la pression, il devait créer de nouvelles preuves physiques par des tests, une vérification des matériaux, un remplacement ou une déclassification.

Un dossier de contrôle solide montrerait l'identifiant de l'actif, la recherche de dossiers, les conflits, la méthode de reconfirmation choisie, les paramètres de test, les anomalies, les réparations, la MAOP mise à jour, l'approbation indépendante et le lien avec le système opérationnel. Sans cette chaîne, un total de campagne peut cacher des segments individuels dont la base reste non résolue.

La salle de contrôle a reconnu un événement majeur mais n'a pas pu convertir la conscience en isolement rapide

Lorsque la rupture s'est produite, des appelants d'urgence ont signalé une explosion et un incendie. Les premiers récits comprenaient des spéculations sur un avion ou un événement de station-service. Le personnel de contrôle de PG&E a vu des informations anormales de pression et de débit, et certains ont reconnu une rupture de la ligne 132 en quelques minutes, mais l'incertitude persistait quant à savoir si l'événement concernait le transport ou la distribution et sur son emplacement exact.

Le système SCADA manquait d'instrumentation rapprochée et de modélisation en temps réel de la rupture ou de la fuite qui pourrait comparer le comportement hydraulique attendu avec les mesures réelles et identifier le point de rupture probable.

La reconnaissance n'est pas un horodatage binaire. Une salle de contrôle peut savoir que quelque chose de grave s'est produit avant de connaître l'actif exact et l'adresse de rue. Les procédures d'urgence devraient spécifier quelle action suit à chaque niveau de confiance. Une possible rupture à haut débit dans une zone urbaine devrait déclencher une notification directe immédiate au centre 911 compétent, une action conservatrice du système et l'envoi de personnel aux vannes prédéterminées. Attendre une localisation parfaite peut préserver l'incertitude pendant que le gaz continue d'alimenter un incendie.

La ligne 132 a été isolée par une combinaison d'actions à distance et manuelles. Les vannes aval à la station Martin ont été fermées à distance, tandis que des mécaniciens de terrain se sont rendus et ont fermé manuellement une vanne principale en amont. Le débit de transport principal a été arrêté environ 95 minutes après la rupture. Les conduites de distribution locales ont continué à alimenter certains incendies jusqu'à des actions ultérieures. Ce n'était pas seulement un problème de temps de trajet.

Cela reflétait un isolement automatique limité, une connaissance de la situation imparfaite, des communications et un plan d'urgence qui n'a pas produit la réponse protectrice la plus rapide.

Le dossier d'incident de San Bruno de la CPUC maintient visibles les conclusions sur la prévention et les conséquences. Il attribue la cause probable de la rupture aux défaillances de construction et d'intégrité identifiées par le NTSB, et déclare que le manque de vannes automatiques ou télécommandées et le retard d'isolement ont contribué à la gravité. Il résume également les tests ultérieurs, les remplacements, la capacité d'inspection en ligne, l'installation de vannes automatisées et la validation des dossiers rapportés dans le cadre du plan d'amélioration de la sécurité des pipelines de PG&E.

Ces chiffres établissent les travaux achevés tels que rapportés au régulateur. Ils ne prouvent pas que chaque actif fonctionnera correctement lors d'une future urgence.

Les vannes automatiques et télécommandées sont une couche d'atténuation, pas un substitut à un tuyau solide

Une vanne d'arrêt automatique peut répondre à des conditions de pression ou de débit définies sans attendre une commande à distance. Une vanne télécommandée permet à un opérateur de la fermer depuis un centre de contrôle après avoir interprété les informations du système. Les deux peuvent réduire la durée et le volume d'une fuite, mais chacun introduit des questions de conception. Les capteurs doivent distinguer la rupture des transitoires de routine. Les communications et l'alimentation doivent survivre à l'événement. L'espacement des vannes doit produire un isolement significatif.

La fermeture ne doit pas créer une onde de pression dangereuse ou une conséquence de service ailleurs. Les opérateurs ont besoin de règles de dérogation, de maintenance, d'exercices et de preuve que la vanne a atteint la position commandée.

La Pipeline Safety Act de 2011 a orienté davantage de travaux sur les vannes automatisées et la réponse aux incidents. Le rapport du GAO sur la réponse des opérateurs et les vannes automatisées a constaté que les avantages, les fermetures non intentionnelles potentielles et les coûts varient selon l'emplacement et a recommandé de meilleures données et orientations pour les décisions. Il a noté qu'un isolement plus rapide aurait pu réduire le volume libéré à San Bruno et la gravité des risques pour les biens et les intervenants.

L'analyse politique du GAO n'est pas une conclusion sur la cause de l'accident et n'établit pas qu'un type de vanne est toujours correct. Elle définit les preuves décisionnelles que les régulateurs et les opérateurs devraient collecter.

Les exigences fédérales ont ensuite dépassé l'encouragement au cas par cas pour certaines nouvelles lignes et lignes remplacées. La présentation de la règle sur les vannes d'atténuation des ruptures de la PHMSA décrit les exigences relatives aux vannes d'arrêt télécommandées ou automatiques, ou à la technologie équivalente, sur les pipelines terrestres nouvellement construits et entièrement remplacés, ainsi que les dispositions sur l'espacement, la maintenance, l'inspection, l'analyse des risques et la réponse aux ruptures.

Elle exige également un contact rapide avec le 911 après notification d'une rupture potentielle et une enquête post-rupture. La portée importe: la règle ne signifie pas que chaque segment hérité a instantanément reçu une nouvelle vanne, ni que l'installation seule prouve l'efficacité en cas d'urgence.

Pour l'assurance, une entreprise de services publics devrait tester la fonction d'isolement complète. Elle devrait simuler une rupture, confirmer les capteurs et alarmes, enregistrer comment les contrôleurs la classifient, vérifier la notification externe immédiate, émettre une commande ou observer la logique automatique, chronométrer le mouvement et confirmer la fermeture physique. Elle devrait ensuite calculer le volume restant entre les vannes et l'effet des alimentations de retour et des connexions de distribution.

Un tableau de bord montrant qu'une vanne est « automatisée » est incomplet si les communications échouent, l'actionneur est indisponible, le modèle hydraulique est erroné ou une autre alimentation continue de fournir du gaz.

La réponse d'urgence nécessitait une image opérationnelle partagée avec les agences publiques

Les pompiers ont établi rapidement le commandement de l'incident et ont fait face à un incendie urbain intense alimenté au gaz. Ils devaient savoir si un gazoduc était impliqué, où il passait, comment il pouvait être isolé et quand l'alimentation en carburant avait cessé. Les salles de contrôle des services publics, les répartiteurs, les équipes de terrain et les intervenants publics détenaient différentes parties de cette information. Le retard a montré pourquoi les chaînes de relais informelles et les rumeurs sont dangereuses pour un système à haute conséquence.

Avant un incident, le service public devrait fournir des cartes de transport actuelles, des informations sur les vannes et des contacts d'urgence directs aux agences de lutte contre les incendies et de gestion des urgences. Pendant un incident, la salle de contrôle devrait appeler directement le 911 dès qu'une rupture possible est indiquée, indiquer la ligne et l'incertitude, et maintenir une liaison continue. Les intervenants de terrain devraient rapporter les preuves visuelles et auditives par un canal dédié plutôt qu'une file d'attente générale.

Le commandement de l'incident devrait recevoir des mises à jour explicites lorsque les chemins amont, aval et de retour sont fermés. Le message public devrait séparer les faits confirmés des instructions de protection et ne pas attendre la certitude de la cause profonde.

Le Plan d'action pour la sécurité du gaz naturel de la CPUC décrit un changement réglementaire vers l'évaluation et la gestion des risques et suit les réponses aux recommandations du NTSB et du panel indépendant. Ses quatre objectifs de haut niveau incluent la culture de sécurité, la surveillance réglementaire, les politiques fondées sur les risques et la préparation aux urgences. Un plan est une preuve de structure de gouvernance. Il ne démontre pas que le personnel possède une expertise adéquate à chaque période, que chaque audit remet en question les hypothèses de l'opérateur ou que les communications de terrain fonctionnent sous stress.

Les exercices devraient donc générer des preuves négatives. Un exercice utile enregistre les appels manqués, les conflits de cartes, l'incertitude sur la propriété des vannes, les expéditions retardées, les communications défaillantes et le désaccord sur la classification de la rupture. Les actions correctives doivent avoir des propriétaires et des échéances, et un exercice ultérieur doit montrer que la faiblesse a été corrigée. Un rapport de table rase parfait peut indiquer que le scénario était trop scripté.

La leçon de responsabilité de San Bruno est que les systèmes doivent fonctionner lorsque les premières informations sont confuses et que l'événement physique s'aggrave déjà.

La culpabilité pénale a été décidée par un jury fédéral sur un dossier et une norme différents

Le NTSB enquête pour prévenir les accidents. Son rapport de cause probable n'est pas un instrument d'accusation pénale et ne détermine pas la culpabilité. Les procureurs fédéraux ont séparément accusé PG&E de violations de la Natural Gas Pipeline Safety Act et d'obstruction. Après un procès, un jury a reconnu l'entreprise coupable de cinq violations intentionnelles de la sécurité des pipelines et d'un chef de corruption en obstruant la procédure du NTSB.

L' annonce du verdict du Department of Justice explique que les chefs d'accusation liés aux pipelines concernaient les pratiques de tenue de dossiers et de gestion de l'intégrité de 2007 à 2010, tandis que le chef d'obstruction concernait une tentative d'influencer l'enquête par le traitement d'un document de politique d'entreprise.

Le verdict doit être décrit précisément. Il s'agissait d'une condamnation pénale d'entreprise sur six chefs d'accusation prouvés au jury selon les instructions applicables. Ce n'était pas une condamnation pour homicide involontaire pour les huit morts, pas une condamnation de chaque employé, et pas un verdict sur chaque défaut énuméré par le NTSB ou la CPUC. La différence ne diminue pas la gravité du jugement. Elle protège la distinction entre la conduite réellement inculpée et prouvée au-delà de tout doute raisonnable et les conclusions plus larges de sécurité ou réglementaires atteintes sous d'autres mandats.

Le dossier de condamnation du DOJ indique que le tribunal de district a imposé une peine monétaire de 3 millions de dollars, cinq ans de probation, un moniteur de conformité et d'éthique, des exigences de publicité et 10 000 heures de travaux d'intérêt général. Le montant monétaire reflétait les limites statutaires pour les chefs d'accusation, pas une évaluation des vies, des maisons ou des dommages totaux. La punition pénale a servi à des fins de dissuasion, de condamnation et de conformité. Elle n'a pas indemnisé chaque victime ni financé toute la reconstruction du système.

Cette frontière importe également lors de l'évaluation de la conduite ultérieure. L'achèvement de la probation ou des tâches du moniteur montre que les conditions de peine spécifiées ont été traitées; il ne peut effacer la condamnation ni prouver la sécurité permanente. Inversement, les échecs ultérieurs dans une autre partie des opérations d'un service public ne modifient pas rétroactivement ce que le jury de San Bruno a décidé. Chaque événement et procédure judiciaire nécessite ses propres accusations, preuves et normes.

Les pénalités de la CPUC étaient des sanctions et des mesures correctives administratives, pas des dommages-intérêts civils

La California Public Utilities Commission a mené des procédures sur l'explosion, la tenue de dossiers et les pratiques de localisation de classe. En 2015, elle a adopté une décision combinée de pénalité et de réparation. La décision D.15-04-024 de la CPUC a imposé un ensemble totalisant 1,6 milliard de dollars: 850 millions de dollars en améliorations futures de la sécurité des gazoducs financées par les actionnaires, une amende de 300 millions de dollars au fonds général de l'État, un crédit de 400 millions de dollars aux clients de gaz et environ 50 millions de dollars pour plus de 75 mesures correctives spécifiées.

La Commission a fondé son action sur des décisions de violation connexes et sur son autorité réglementaire statutaire.

Qualifier le total de 1,6 milliard de dollars d'« amende » perd une allocation importante. Un paiement au fonds général est une amende. Une interdiction d'investissement de sécurité empêche les actionnaires de récupérer une rémunération sur des travaux spécifiés. Un crédit aux clients rend de la valeur aux consommateurs. Le financement des mesures correctives paie des mesures correctives. Aucun de ces éléments n'équivaut à une indemnisation négociée ou adjugée pour la mort, les blessures ou les pertes de biens d'un ménage. Des catégories claires permettent à un auditeur de tester si l'argent est allé là où l'ordre l'exigeait.

La décision ne peut pas non plus être fusionnée avec la condamnation pénale fédérale. L'adjudication de la CPUC a utilisé des procédures administratives étatiques et a traité des violations réglementaires dans le cadre de trois enquêtes. L'affaire pénale exigeait la preuve des infractions fédérales inculpées au-delà de tout doute raisonnable. Des preuves chevauchantes sur les dossiers et la gestion de l'intégrité ne rendent pas les résultats redondants ou interchangeables; ils exercent des pouvoirs publics différents.

La mise en œuvre est restée une tâche continue. Une mise à jour du plan de conformité de PG&E déposée auprès de la CPUC en 2021 faisait état de l'état de 144 mesures correctives et sous-recommandations et indiquait que trois éléments de gestion des dossiers restaient ouverts à cette date, impliquant la normalisation ou la migration de dossiers détenus dans des référentiels autonomes, des lecteurs partagés et un stockage local. Il s'agit d'un dépôt de conformité d'entreprise daté, pas d'une certification indépendante que tous les autres contrôles fonctionnaient efficacement.

Sa valeur est qu'il préserve les travaux en cours plutôt que de convertir un programme largement achevé en une déclaration de clôture sans condition.

Un régulateur mature devrait échantillonner les preuves sous-jacentes à la clôture. Pour les mesures correctives de dossiers, cela signifie retracer un attribut de tuyau à travers le référentiel faisant autorité, tester les contrôles d'accès et l'historique des révisions, et comparer la valeur électronique avec la vérification sur le terrain. Pour les vannes, cela signifie assister à des tests de fonctionnement et examiner les temps de réponse. Pour la gestion de l'intégrité, cela signifie recalculer les classements de menaces sélectionnés et vérifier si les conclusions défavorables ont modifié les projets.

La clôture de documents sans échantillonnage opérationnel risque de reconstruire le même écart entre l'assurance enregistrée et la réalité physique.

L'indemnisation civile et la restitution communautaire ont suivi leurs propres voies de règlement

Les familles, les blessés, les propriétaires et la ville ont subi des pertes que les recommandations de sécurité et les pénalités publiques ne pouvaient pas réparer. Les demandes civiles traitent de l'indemnisation et de la répartition des pertes privées en vertu du droit civil. Les règlements peuvent permettre un paiement sans verdict de procès sur chaque allégation, et la confidentialité peut limiter les détails publics au niveau du demandeur. Il est donc dangereux de décrire les estimations globales des médias comme si elles étaient une conclusion de cause d'un tribunal ou un calendrier de distribution complet.

Le dossier municipal public est plus spécifique. L' accord de règlement de mars 2012 entre PG&E et la ville de San Bruno prévoyait une contribution de 70 millions de dollars composée de 68,75 millions de dollars en espèces et de cinq terrains vacants évalués à 1,25 million de dollars, destinés à une entité publique à but non lucratif bénéficiant à la ville et à ses résidents. Il traitait également d'un mécanisme de fiducie séparé pour les coûts liés à l'incident de la ville. L'accord résolvait les demandes de la ville selon ses termes.

Il n'était pas le règlement de chaque demande de dommages corporels ou matériels et ne se substituait pas à une action pénale ou réglementaire.

Cette distinction protège le sens de la restitution. Le financement communautaire peut soutenir des parcs, des installations, des services ou d'autres avantages à long terme sélectionnés par la structure de règlement. Le remboursement des coûts de réponse et de reconstruction de la municipalité sert un objectif différent. L'indemnisation individuelle répond à des demandes distinctes de décès, de blessures et de biens. Les crédits aux clients dans le cadre de la décision de la CPUC servent les clients en tant que classe.

Combiner tous les paiements en un seul chiffre rend impossible de voir qui a été indemnisé, qui a supporté le coût et quels préjudices sont restés en dehors d'un accord particulier.

La responsabilité des mesures correctives devrait également inclure l'administration. Les entités publiques devraient déclarer le solde d'ouverture, la politique d'investissement, les subventions ou projets, les conflits de gouvernance et les fonds restants. La confidentialité des demandeurs privés doit être respectée, tandis que les catégories globales peuvent être rapportées lorsque la loi le permet. Le paiement est un résultat réel, mais il n'établit pas que les réformes techniques ont été achevées. Inversement, remplacer un tuyau ne satisfait pas à la demande civile d'une famille.

La réparation et la prévention doivent être suivies en parallèle.

La réforme fédérale a renforcé à la fois les preuves de pression et l'atténuation des ruptures

Le Congrès a adopté la Pipeline Safety, Regulatory Certainty, and Job Creation Act de 2011 après des accidents majeurs de pipelines, y compris San Bruno. Les règles fédérales ultérieures ont traité deux lacunes centrales: la base de la pression d'exploitation sur les pipelines hérités et la rapidité de l'atténuation des ruptures. Le long intervalle entre l'accident, la législation et les règles finales est lui-même un problème de responsabilité.

Les règles nationales complexes nécessitent une analyse technique et un processus public, mais l'action intérimaire de l'opérateur et de l'État reste nécessaire pendant que l'élaboration des règles se poursuit.

La page de la règle finale sur le gazoduc de 2019 de la PHMSA décrit les exigences pour reconfirmer la MAOP pour certains pipelines précédemment non testés et les pipelines manquant de dossiers de matériaux ou opérationnels, étendre les évaluations au-delà des zones à haute conséquence désignées, signaler les dépassements de MAOP et améliorer l'intégrité et les dispositions de tenue de dossiers. La règle est une preuve réglementaire prospective avec une applicabilité, des délais et des méthodes définis.

Elle ne doit pas être décrite comme la norme juridique régissant la conduite de PG&E en 1956 ou comme la preuve que chaque déficience de dossier existant en 2010 a été réparée.

La combinaison des règles sur les dossiers et les vannes reflète une défense en profondeur. Des données vérifiées et des tests de pression cherchent à prévenir la rupture. Des évaluations adaptées aux menaces cherchent à trouver les défauts avant la défaillance. La détection de rupture, la communication d'urgence et les vannes rapides limitent les dommages si la prévention échoue. Aucune couche n'excuse la faiblesse d'une autre. Un service public ne peut pas soutenir que les vannes automatiques rendent un tuyau défectueux acceptable, ou que des dossiers de tuyaux solides rendent la réponse d'urgence optionnelle.

Les règles créent également des opportunités d'automatisation sans transférer le jugement au logiciel. Un système de dossiers peut signaler les propriétés de matériaux manquantes, les types de joints contradictoires, les dates d'installation impossibles et les segments manquant de tests de pression qualifiants. L'analytique hydraulique peut détecter l'écart par rapport au débit et à la pression attendus. Un contrôleur de vanne peut exécuter une réponse plus rapidement qu'une équipe en déplacement.

Mais les ingénieurs doivent valider la provenance des données, les hypothèses du modèle, les seuils d'alarme, les états de sécurité et les conséquences imprévues. L'automatisation n'est responsable que lorsque les propriétaires humains peuvent expliquer pourquoi elle agit et que les preuves prouvent qu'elle a agi correctement.

Les métriques de réparation ont besoin de preuves de dénominateur, de qualité et d'événements indésirables

Après San Bruno, PG&E a entrepris un vaste plan d'amélioration de la sécurité des pipelines. Les travaux déclarés comprenaient des centaines de miles de tests de résistance, de remplacement de tuyaux, de conversion pour l'inspection en ligne, d'installation de vannes automatisées et de collecte et validation à l'échelle du système des dossiers de transport. Ces résultats importent. Ils montrent que l'infrastructure physique et informationnelle a changé.

Mais les totaux seuls ne peuvent pas répondre à la question de savoir si les segments les plus à risque ont été sélectionnés en premier, si les tests ont utilisé des marges adéquates, si les nouvelles soudures répondaient aux exigences de qualité ou si chaque vanne automatisée est disponible.

La question d'assurance commence par le dénominateur. Les « miles testés » devraient être comparés aux miles nécessitant des tests, à la distribution des risques et aux délais d'achèvement. Les « dossiers validés » devraient identifier quels attributs et quelles preuves répondaient à la norme. Les « vannes installées » devraient distinguer l'équipement automatique de l'équipement télécommandé, montrer la couverture des segments à haute conséquence et rapporter la disponibilité fonctionnelle. « ILI-capable » devrait être séparé de réellement inspecté, des constatations réparées et de la réévaluation programmée.

Les preuves de qualité sont tout aussi importantes. Les fichiers de tests hydrostatiques devraient inclure des instruments calibrés, la pression et la durée, les défaillances, les réparations et les résultats de retest. La vérification des matériaux devrait documenter l'échantillonnage et l'incertitude. Les dossiers de remplacement devraient inclure des certificats d'usine, des procédures de soudure, des examens non destructifs, des tests de pression, une position géospatiale et une reconciliation tel que construit.

L'assurance des vannes devrait inclure le temps de course, la résilience de l'alimentation et des communications, la compétence du contrôleur et les conséquences hydrauliques. Les systèmes de dossiers devraient empêcher qu'une valeur non vérifiée soit promue dans la source faisant autorité simplement parce qu'elle apparaît dans plusieurs fichiers hérités.

Les événements indésirables révèlent si le programme apprend. Les fuites, les dépassements de pression, les tests échoués, les fermetures de vannes fausses, les inspections manquées, les dossiers contradictoires et les quasi-accidents devraient être signalés aux conseils d'administration et aux régulateurs avec une analyse des causes profondes et de la récurrence. Une institution qui ne signale que l'achèvement du projet peut sembler plus sûre alors que ses contrôles continuent de produire des exceptions. La preuve la plus solide n'est pas l'absence de mauvaises nouvelles;

c'est la preuve que les mauvaises nouvelles sont détectées tôt, escaladées et résolues.

Un audit de reconstruction peut tester si les contrôles défaillants de San Bruno fonctionnent maintenant

Un audit pratique commence par un échantillon de segments de transport urbains, y compris les tuyaux hérités, les segments avec des dossiers incomplets et les endroits dont la couverture de vannes a changé. Pour chaque segment, geler la configuration physique et l'identifiant d'actif faisant autorité. Récupérer les documents de construction d'origine, les réparations, les propriétés des matériaux, le type de joint, le diamètre, l'épaisseur de paroi, le revêtement, la localisation de classe, le statut à haute conséquence, l'historique de pression, les dossiers de test et les résultats d'inspection.

Chaque fait matériel devrait avoir une provenance et un propriétaire.

Ensuite, reproduire la décision de MAOP. Vérifier la méthode réglementaire applicable, le composant le plus faible, l'historique de pression, le facteur de test et tout délai de reconfirmation. Si l'ensemble de dossiers est incomplet, confirmer que l'incertitude a produit une alternative approuvée telle que des tests, une vérification, une déclassification ou un remplacement. Comparer la limite opérationnelle dans le SCADA avec l'approbation technique et les paramètres de terrain. Un désalignement entre ces systèmes est en soi une constatation critique.

Ensuite, reconstruire l'évaluation des menaces. Commencer par les preuves réelles de matériaux et de construction plutôt que par la sortie du modèle de risque. Confirmer que les menaces de fabrication, de construction, de corrosion, de dommages par des tiers, de mouvement du sol et opérationnelles ont été considérées et que les exclusions ont des raisons. Tester si la méthode d'évaluation choisie peut trouver les anomalies préoccupantes. Examiner les résultats d'inspection bruts, les appels d'analystes, la sélection d'excavation, les réparations et les leçons intégrées dans des segments similaires.

Enfin, mener un exercice de rupture non annoncé ou minimalement scripté. Introduire des anomalies réalistes de pression et de débit, des informations d'appelant incomplètes et une défaillance de communication. Mesurer le temps jusqu'à l'alarme, la classification, la notification au 911, la décision de vanne, l'expédition, l'isolement physique et la confirmation au commandement de l'incident. Tester l'alimentation et les communications alternatives. Calculer la fuite résiduelle et identifier les alimentations continues. Exiger des actions correctives pour chaque retard et répéter l'exercice jusqu'à ce que la performance atteigne l'objectif.

La gouvernance devrait connecter les résultats. Un comité de sécurité du conseil et un régulateur devraient recevoir des exceptions au niveau des segments, pas seulement des tableaux de bord agrégés. Les auditeurs indépendants ont besoin d'accès aux dossiers sources et aux modèles techniques. Le personnel d'exploitation a besoin de l'autorité de réduire la pression lorsque les preuves sont insuffisantes. Les incitations devraient récompenser la réduction durable des risques et l'escalade honnête, pas l'apparence d'achèvement du calendrier.

Les résidents et les intervenants ont besoin d'informations utilisables sur les emplacements des pipelines et les actions d'urgence sans divulgation qui crée des risques de sécurité.

La norme de responsabilité

San Bruno était évitable car plusieurs contrôles auraient pu interrompre la chaîne. Une assurance qualité adéquate en 1956 aurait pu rejeter le tuyau visiblement défectueux. Des dossiers précis tels que construits auraient pu identifier le joint et l'assemblage inhabituel. Un programme d'intégrité sensible aux menaces aurait pu sélectionner une évaluation capable de détecter le défaut. Un test de pression qualifiant aurait probablement pu le révéler. De meilleurs systèmes et procédures de salle de contrôle auraient pu localiser la rupture plus rapidement.

Des vannes automatiques ou télécommandées auraient pu réduire la durée du débit de gaz et la gravité de l'incendie.

La responsabilité de ces contrôles doit rester spécifique à l'acteur. PG&E possédait les dossiers de construction, les décisions d'intégrité, l'exploitation et l'isolement d'urgence. La CPUC détenait les responsabilités réglementaires étatiques et de surveillance de la sécurité déléguée, et a ensuite reconnu des lacunes dans ses ressources et sa concentration de surveillance. La PHMSA contrôlait les normes fédérales et la surveillance dans le cadre de son rôle statutaire. Les pompiers et les intervenants municipaux géraient la protection publique avec les informations à leur disposition.

Ces rôles se chevauchent aux interfaces, mais ils ne sont pas identiques et ne devraient pas se voir attribuer une part de blâme indifférenciée.

Les voies juridiques doivent rester également précises. Le NTSB a adopté une cause probable à des fins de prévention des accidents. Le jury fédéral a condamné PG&E pour cinq chefs d'accusation intentionnels de sécurité des pipelines et d'obstruction, et le tribunal a imposé une peine d'entreprise. La CPUC a constaté des violations réglementaires et imposé des pénalités et des mesures correctives administratives. Le règlement de la ville a résolu les demandes civiles municipales dans le cadre d'un accord. D'autres demandes civiles ont suivi leurs propres processus.

Aucun de ces résultats ne prouve automatiquement un autre, et aucun paiement ou programme ne ferme chaque catégorie de préjudice.

La norme durable est la preuve qui survit à la contradiction. Un dossier de tuyau doit être fiable parce qu'il pointe vers une preuve physique et documentaire vérifiée, pas parce qu'il existe depuis des décennies. Une pression d'exploitation doit être acceptée parce que le composant le plus faible peut la supporter selon une méthode approuvée, pas parce que le système a généralement fonctionné à ce niveau. Un score d'intégrité doit conduire à une action seulement après que ses menaces et ses entrées ont été contestées.

Une vanne automatisée doit compter comme une protection seulement après que des tests de bout en bout démontrent un isolement fiable. Une mesure corrective fermée doit signifier que les opérations échantillonnées montrent que le contrôle fonctionne.

San Bruno a transformé un défaut de joint invisible en un test public de la connaissance institutionnelle. La catastrophe a montré que la qualité des données n'est pas une préoccupation de bureau lorsque les données décident à quel point un pipeline enterré peut être pressurisé et comment il sera inspecté. Elle a également montré que la prévention ne peut pas être seule: lorsqu'une rupture commence, les minutes, les voies de communication et l'architecture des vannes deviennent des contrôles de sécurité des vies.

La responsabilité en matière de sécurité gazière n'est complète que lorsque les entreprises de services publics et les régulateurs peuvent prouver les deux propositions segment par segment: connaître le tuyau avant qu'il ne défaille, et arrêter rapidement le débit s'il le fait.