San Bruno fez da gestão de integridade de dutos um teste de responsabilidade de concessionária de gás

Resumo

• A sequência de falha física está estabelecida.Por volta das 18h11 de 9 de setembro de 2010, a Linha 132 de transmissão de gás natural de 30 polegadas da Pacific Gas and Electric Company rompeu-se na Earl Avenue e Glenview Drive, em San Bruno. O National Transportation Safety Board determinou que a fratura começou em uma solda longitudinal parcialmente soldada em uma seção curta de tubo instalada durante uma relocação em 1956. O gás escapando inflamou, oito pessoas morreram, 38 casas foram destruídas e 70 foram danificadas. Diferentes registros oficiais contam os feridos de forma diferente: a California Public Utilities Commission relatou 58 feridos, enquanto o regulador federal de dutos relatou 51 pessoas necessitando de hospitalização.
• O aumento de pressão desencadeou a falha, mas não foi uma sobrepressão além do limite federal da linha.Trabalhos elétricos no Terminal Milpitas da PG&E causaram problemas de controle e um aumento de pressão. O NTSB estimou a pressão no momento da ruptura em cerca de 386 psig. Isso excedeu a meta operacional de 375 psig da PG&E, mas permaneceu abaixo da pressão máxima de operação permitida de 400 psig. Os investigadores concluíram que essa pressão não teria ameaçado um tubo construído adequadamente. A distinção é importante: o mau planejamento do trabalho criou o evento de carregamento imediato, mas uma costura criticamente defeituosa e controles de integridade falhos tornaram esse evento catastrófico.
• O defeito foi uma falha de construção e controle de qualidade com longa vida institucional.O segmento rompido foi uma de seis peças curtas, ou pups, com configurações de solda e propriedades de material variadas. Cinco não atendiam aos padrões de qualidade geralmente aceitos em 1956. A falha crítica da costura teria sido visível quando instalada. Os registros da PG&E, no entanto, descreviam o local como tubo sem costura com atributos de material diferentes, e os investigadores não encontraram nenhum registro de que a seção realocada tivesse recebido um teste de resistência hidrostática.
• A gestão de integridade do duto falhou como um sistema de decisão, não apenas como um cronograma.A PG&E tinha um programa de integridade, uma lista de ameaças e avaliações planejadas. Não integrou corretamente o histórico de construção, pressão e vazamento do tubo; tratou os defeitos de fabricação e construção como estáveis; confiou fortemente na avaliação direta de corrosão externa que não podia encontrar uma falha de solda longitudinal enterrada; e periodicamente elevava a pressão ao nível máximo permitido sem a margem de segurança de um teste de resistência válido. A Linha 132 não havia recebido sua avaliação de integridade planejada antes da ruptura.
• A responsabilidade regulatória é compartilhada, mas não simétrica.A PG&E era proprietária e operava a linha, controlava seus registros, selecionava métodos de avaliação, planejava o trabalho no terminal e dirigia o isolamento de emergência. A CPUC era responsável pela inspeção e fiscalização estadual sob delegação federal. O NTSB concluiu que a supervisão da CPUC não identificou a inadequação do programa de integridade da PG&E e que os protocolos de supervisão federal e as medidas de desempenho também eram fracos. A falha regulatória não transferiu o dever do operador para o regulador; removeu uma barreira independente que deveria ter desafiado a garantia do operador.
• A resposta de emergência separou-se em duas performances muito diferentes.Moradores, polícia e bombeiros reconheceram o desastre rapidamente, mobilizaram grandes recursos de ajuda mútua e improvisaram o abastecimento de água após a falha de uma tubulação de água. A PG&E levou cerca de 95 minutos para isolar a seção rompida. Seu sistema de controle não identificou rapidamente a ruptura, o primeiro funcionário despachado não era qualificado para operar válvulas de transmissão, mecânicos qualificados se autodespacharam após reportagens da mídia, e não havia uma estrutura de comando suficientemente praticada para uma grande ruptura de transmissão. O NTSB tratou essas falhas e a ausência de válvulas automáticas ou de controle remoto como contribuintes para a gravidade, não causas da ruptura inicial.
• Os resultados legais e financeiros não devem ser combinados em um número enganoso.Um júri federal condenou a PG&E por cinco infrações de segurança de dutos e obstrução da investigação do NTSB; absolveu a empresa em outras seis acusações de segurança de dutos. A sentença impôs a multa máxima legal de US$ 3 milhões, liberdade condicional, serviço comunitário e um monitor de conformidade. Separadamente, a CPUC impôs um pacote de US$ 1,6 bilhão contendo uma multa do Fundo Geral, um crédito na conta do cliente, trabalhos de segurança financiados pelos acionistas e outras medidas. Acordos civis com residentes e um acordo municipal de US$ 70 milhões foram categorias adicionais. Nenhum deve ser descrito como um fundo de compensação de vítimas ou como prova de que as perdas individuais foram totalmente reparadas.
• A reforma é substancial, mas o encerramento requer evidências, não memória institucional.A PG&E posteriormente testou a resistência, substituiu, aposentou ou tornou o tubo inspecionável; a Califórnia impôs medidas extensivas; as regras federais fortaleceram os registros, a reconfirmação da pressão máxima, as avaliações de integridade e as válvulas de resposta a rupturas. Algumas recomendações do NTSB foram encerradas após ação documentada. No entanto, as regras não são condições de campo, os números de projetos não são operação livre de defeitos, e o monitoramento atual ainda relata obrigações abertas de gestão de risco e infraestrutura. A responsabilidade duradoura depende de atributos rastreáveis do tubo, evidências de teste, amostragem independente, registros de controle de trabalho, desempenho de isolamento rápido e encerramento transparente de discrepâncias.

Escopo e limites das evidências

Esta análise segue a cadeia de responsabilidade desde o trabalho de construção de 1956 até a ruptura de 2010, investigação, aplicação da lei, compensação e reformas de segurança posteriores. A autoridade técnica central é o registro de investigação do NTSB, relatório final de acidente e dossiê público. Esses registros contêm as conclusões de causa provável do Conselho, bem como metalurgia, operações, gestão de integridade, resposta a emergências e submissões da empresa. Uma conclusão adotada pelo Conselho é identificada como uma constatação. Uma posição em uma submissão de parte permanece a posição dessa parte.

A página de incidentes da PHMSA fornece contexto de aplicação e impacto federal. As decisões e relatórios da CPUC estabelecem ações regulatórias estaduais. Comunicados do Departamento de Justiça e a ordem de sentença estabelecem a disposição criminal. Arquivos de valores mobiliários e instrumentos de acordo estabelecem categorias financeiras relatadas. Cada fonte tem um limite: um arquivo da empresa é evidência confiável do que a empresa divulgou, mas não uma auditoria de segurança independente; uma ordem de investigação inicial declara alegações e jurisdição, não responsabilidade final;

um plano de reforma prova um controle pretendido, não sua eficácia no campo.

O artigo usa cinco rótulos de confiança implícita e explicitamente.Confirmadosignifica apoiado por uma conclusão adotada, ordem final, condenação, acordo executado ou registro medido diretamente.Provávelsegue o padrão causal do NTSB.Possívelidentifica um mecanismo consistente com evidências, mas não estabelecido.Disputadoidentifica uma interpretação contestada.Desconhecidomarca evidências que o registro público não resolve. Essa separação é especialmente importante para pressão, intenção, contagens de feridos, o significado legal das violações regulatórias e alegações de que programas posteriores tornaram todo o sistema seguro.

Taxonomia causal usada neste relato

As evidências suportam uma cadeia de causas separada, em vez de um único rótulo.

Causa física raiz:uma solda longitudinal defeituosa em uma seção curta de pup instalada durante a realocação de 1956. O defeito existia na instalação, cresceu por rasgamento dúctil e fadiga, e tornou-se incapaz de suportar a carga de pressão de 2010.

Causa raiz de responsabilidade:os controles de aceitação de construção, registros, base de pressão e gestão de integridade da PG&E não converteram um segmento legado não conforme e incorretamente descrito em ação conservadora. O operador manteve o controle direto do ativo e das evidências necessárias para validá-lo.

Gatilho imediato:a falha no trabalho elétrico do Terminal Milpitas e os problemas de controle elevaram a pressão da Linha 132 acima da meta operacional ordinária da PG&E. A pressão desencadeadora permaneceu abaixo dos 400 psig de MAOP, portanto o gatilho não deve ser tratado como um simples excesso do teto de pressão federal.

Condições contribuintes:a autorização federal de pressão sem um teste de resistência posterior, a supervisão da CPUC que não detectou o programa inadequado, os protocolos de supervisão da PHMSA que não testaram suficientemente a qualidade da revisão estadual, e a ausência de capacidade de isolamento automático ou remoto de ruptura enfraqueceram todas as barreiras independentes. Contribuíram de maneiras diferentes; não foram todas causas da iniciação da solda.

Falha de detecção:antes da ruptura, a integração de dados, classificação de ameaças, classificação de risco, validação de registros e métodos de avaliação selecionados da PG&E não detectaram a ameaça da solda. Durante o evento, os alarmes SCADA e os dados de pressão não identificaram prontamente o local da ruptura nem criaram um caminho de comando confiável para o isolamento da válvula.

Falha de resposta:os serviços de emergência locais reconheceram e combateram o fogo rapidamente, enquanto a PG&E levou cerca de 95 minutos para parar o fluxo de gás para o segmento danificado. Esse atraso amplificou a gravidade; não criou o defeito de solda original.

Recuperação e reforma:condenação criminal, medidas da CPUC, acordos civis e municipais, testes de pressão, substituição, aposentadoria, capacidade de inspeção em linha, válvulas automatizadas, mudanças nas regras federais e monitoramento são ações de recuperação ou garantia. São evidências reais de resposta institucional, mas nenhuma prova a restauração pessoal completa para os sobreviventes ou a ausência permanente de risco futuro de dutos.

Um projeto de construção de 1956 deixou uma responsabilidade oculta

A Linha 132 entrou em serviço em 1948. Em 1956, o nivelamento residencial exigiu que a PG&E realocasse cerca de 1.851 pés da linha. A maior parte desse tubo realocado permaneceu no sistema após outro projeto em 1961. A ruptura ocorreu dentro do trabalho de 1956, em uma seção montada a partir de seis peças curtas. Os investigadores chamaram as peças de pups. Não eram uma extensão uniforme de tubo sem costura fabricado em fábrica. Tinham vários arranjos de solda longitudinal, diferentes dimensões e características de material, e nenhuma especificação de fabricação estabelecida para o segmento montado.

O trabalho de laboratório do NTSB encontrou o defeito iniciador em uma solda longitudinal no primeiro pup. A solda não havia sido soldada em toda a sua espessura. Um cordão de raiz visível e outras evidências de mão de obra mostraram que a solda era de qualidade inferior quando instalada, não uma solda sólida posteriormente consumida apenas por corrosão. Rasgamento dúctil progressivo e fadiga aumentaram o defeito ao longo do tempo até que o ligamento restante não pôde sustentar a carga de 2010. Cinco dos seis pups exibiram mão de obra que não atendia aos padrões da indústria geralmente aceitos disponíveis em 1956.

Isso não foi uma retrospectiva imposta por um código de fabricação moderno. O Conselho concluiu que uma inspeção visual competente durante a construção deveria ter identificado as soldas deficientes. Ou essa inspeção não ocorreu, não conseguiu interpretar o que viu ou permitiu que o trabalho permanecesse. A decisão individual precisa é desconhecida porque os registros sobreviventes não identificam uma cadeia completa de controle de qualidade. O fato institucional é mais forte: a PG&E aceitou, instalou e operou uma montagem não conforme em uma linha de transmissão.

O teste de resistência foi a segunda barreira perdida. A prática da indústria disponível em 1956 recomendava um teste hidrostático a 1,25 vezes a pressão máxima de operação para esta classe de instalação. Essa recomendação não era então um requisito federal vinculante, e a ausência de uma regra obrigatória é importante ao descrever a conformidade legal. Não apaga o contrafactual da engenharia. Um teste executado adequadamente em torno de 500 psig para um máximo de 400 psig provavelmente teria falhado a solda defeituosa em um ambiente controlado.

Os investigadores não encontraram nenhum registro de que a PG&E tenha testado hidrostaticamente a seção realocada.

A terceira barreira foi a fidelidade do registro. O sistema de informações geográficas da PG&E descrevia o local do acidente como tubo de 30 polegadas, sem costura, API 5L Grau X42 com parede de 0,375 polegada. O segmento físico era soldado e heterogêneo. Tubo sem costura desse diâmetro não estava comercialmente disponível quando a linha foi construída, e os registros contemporâneos de transferência de material apontavam para propriedades diferentes. O registro, portanto, não estava simplesmente incompleto; transmitia atributos afirmativos que o tubo não possuía.

Essa distinção muda a responsabilidade. Um tipo de solda desconhecido deve forçar suposições conservadoras, pesquisa de registros ou um teste de validação. Um registro falsamente sem costura pode suprimir completamente o caminho da ameaça de fabricação. O registro impreciso afetou a confiança na pressão máxima, a identificação de ameaças, a classificação de risco e a seleção de avaliação. Um erro burocrático enterrado tornou-se uma suposição operacional.

O evento de pressão em Milpitas

Em 9 de setembro de 2010, contratados e funcionários da PG&E estavam substituindo uma fonte de alimentação ininterrupta no Terminal Milpitas, a fonte a montante da Linha 132. A autorização de trabalho não especificou adequadamente quais equipamentos poderiam ser afetados, a sequência de comutação, as ações de contingência ou a relação entre o trabalho elétrico e os controles de pressão do gás. Por volta das 17h22, a tensão elétrica errática fez com que as válvulas reguladoras se abrissem e gerou mais de 60 alarmes.

A pressão na Linha 132 subiu. A medição no terminal atingiu cerca de 396 psig. No local da ruptura, os investigadores usaram registros de pressão e análise hidráulica para estimar aproximadamente 386 a 386,4 psig imediatamente antes da falha. A PG&E geralmente operava a linha conectada a não mais que 375 psig devido a um segmento interligado de classificação inferior. A pressão máxima de operação permitida federal para a Linha 132 era de 400 psig, estabelecida sob uma disposição histórica usando a pressão mais alta durante os cinco anos antes da regulamentação federal entrar em vigor.

Por volta das 18h11, a solda defeituosa abriu. A ruptura criou uma cratera de cerca de 72 pés de comprimento e 26 pés de largura. Uma seção de tubo de cerca de 28 pés e 3.000 libras foi expelida a cerca de 100 pés. A PG&E estimou que 47,6 milhões de pés cúbicos padrão de gás escaparam antes do isolamento. O gás inflamou em um bairro residencial.

Chamar o evento simplesmente de falha por sobrepressão obscureceria as evidências. A pressão excedeu a meta operacional ordinária da PG&E, e a falha do trabalho elétrico forneceu o aumento final de carga. Não excedeu a pressão máxima de operação permitida de 400 psig. O NTSB concluiu que a pressão não deveria ter ameaçado um tubo construído adequadamente. O mau planejamento do trabalho foi parte da causa provável porque criou o aumento desencadeador, mas não criou a solda de 1956, o registro incorreto ou o programa de integridade que deixou o defeito em serviço.

A distinção também evita o erro oposto. Permanecer abaixo do MAOP não tornou a operação segura. O MAOP era um teto administrativo derivado em parte da pressão histórica, não uma prova de que cada segmento tinha uma margem de segurança verificada. A PG&E periodicamente levava a Linha 132 ao seu máximo de 400 psig por curtos períodos, inclusive em 2003 e 2008, e tratava a sobrevivência como evidência de que os defeitos de fabricação eram estáveis. O Conselho rejeitou essa lógica. Uma breve exposição ao MAOP não equivale a um teste de resistência a uma pressão materialmente mais alta.

Pode deixar uma falha subcrítica no lugar enquanto a fadiga e os ciclos de pressão continuam a aumentá-la.

Causa física, causas gerenciais e explicações excluídas

A causa provável do NTSB uniu três elementos controlados pela gestão: garantia de qualidade e controle de qualidade inadequados durante a realocação de 1956; um programa de gestão de integridade inadequado que não detectou e removeu o tubo defeituoso; e planejamento deficiente para o trabalho elétrico de 2010 que produziu o aumento de pressão. O defeito de construção era antigo, mas seu risco foi renovado cada vez que registros, avaliações e decisões operacionais trataram o segmento como conhecido e sólido.

Os investigadores também separaram as condições contribuintes da ruptura inicial. As regras federais e estaduais permitiam que dutos mais antigos mantivessem a autoridade de pressão sem um teste de pressão pós-construção. O Conselho concluiu que essa isenção contribuiu porque um teste válido provavelmente teria exposto a solda. A supervisão da CPUC contribuiu porque não conseguiu identificar a inadequação do programa de integridade da PG&E. A ausência de válvulas de fechamento automático ou de controle remoto, procedimentos de emergência fracos e isolamento atrasado aumentaram a duração e a gravidade do incêndio.

Não iniciaram a fratura da solda.

Várias explicações propostas foram examinadas e não apoiadas como causas. A construção de esgoto perto da linha em 2008 não danificou o tubo. Os investigadores não encontraram corrosão externa, movimento sísmico ou danos diretos de escavação por terceiros como origem. O uso de drogas por funcionários não foi causal. As exclusões do relatório final são importantes porque a responsabilidade não deve se expandir apenas a todas as condições presentes perto de um acidente.

O registro não pode identificar o soldador, inspetor ou supervisor individual que tomou cada decisão em 1956. Também não estabelece a data exata em que a falha passou de tolerável a crítica. Esses desconhecidos não tornam a falha do sistema incognoscível. A PG&E manteve o controle prático sobre a linha por décadas. Poderia verificar registros, testar a resistência à pressão, selecionar uma inspeção em linha capaz de ver soldas longitudinais, expor o tubo, reduzir a pressão ou substituir segmentos incertos. A responsabilidade baseia-se no controle e nas evidências, não na sobrevivência de cada nome histórico.

A gestão de integridade falhou em converter incerteza em ação

As regras federais de gestão de integridade exigiam que os operadores identificassem áreas de alta consequência, integrassem informações, identificassem ameaças, avaliassem segmentos cobertos, remediassem defeitos e melhorassem continuamente o programa. A PG&E criou um programa de gestão de risco com 22 categorias de ameaças e avaliações de base planejadas para sua quilometragem coberta. No papel, esses eram elementos reconhecíveis de um sistema de segurança moderno. A falha residia no que o sistema sabia, no que assumia e no que seus métodos escolhidos podiam detectar.

Primeiro, a base de dados não era confiável. Os atributos do tubo no sistema geográfico não correspondiam ao segmento escavado. Os registros de construção estavam dispersos e não estabeleciam que a realocação havia sido testada. O histórico operacional e de vazamentos não recebeu peso suficiente. O programa não poderia caracterizar com precisão uma ameaça de solda se o banco de dados dissesse que o tubo não tinha solda.

Segundo, a PG&E classificou os defeitos de fabricação e construção como estáveis, a menos que uma pressão posterior excedesse o máximo histórico. Essa suposição ignorou a possibilidade de que uma solda defeituosa pudesse crescer sob ciclos normais de pressão. Também tratou a sobrevivência anterior perto do MAOP como substituto de um teste de resistência. O Conselho concluiu que essa abordagem não tinha base científica adequada. Um defeito pode permanecer oculto por muitos ciclos e então falhar abaixo da pressão que sobreviveu brevemente anos antes.

Terceiro, a classificação de risco não elevou de forma confiável as ameaças relevantes. O sistema de classificação de risco da PG&E atribuía pesos e pontuações em corrosão, danos de terceiros, movimento do solo, material e condições de construção. O NTSB concluiu que o sistema subestimou ou manipulou mal as evidências conhecidas de solda e fabricação, enquanto dava a outras ameaças influência desproporcional. Uma pontuação de risco não era, portanto, evidência independente; herdava as suposições e omissões de suas entradas.

Quarto, o método de avaliação não correspondia ao modo de falha. A PG&E usou avaliação direta na maior parte de sua quilometragem de transmissão de alta consequência. A avaliação direta de corrosão externa combina revisão de registros, levantamentos de superfície, escavações e avaliação para encontrar corrosão. Pode ser apropriada para essa ameaça. Não pode estabelecer a solidez de uma solda longitudinal invisível apenas porque nenhum sinal de corrosão aparece.

Ferramentas de inspeção em linha ou testes hidrostáticos podem abordar diferentes classes de defeitos, mas a PG&E não selecionou um método capaz de encontrar a falha da solda de San Bruno antes da ruptura.

Quinto, o cronograma de conclusão não controlou o risco. A Linha 132 estava programada para avaliação, mas não havia sido avaliada em setembro de 2010. Mesmo uma conclusão anterior não teria necessariamente encontrado a falha se o método selecionado permanecesse a avaliação direta de corrosão externa. A questão da responsabilidade não é apenas se um prazo foi cumprido. É se o operador escolheu uma avaliação responsiva à ameaça crível.

Sexto, a autoavaliação não gerou correção significativa. O NTSB descreveu as revisões do programa da PG&E como superficiais e concluiu que não identificaram ou corrigiram fraquezas fundamentais. Um sistema maduro deve testar se os registros supostamente completos concordam com o tubo escavado, se os achados da avaliação correspondem a escavações posteriores, se as excursões de pressão expõem falhas de controle de trabalho e se resultados limpos repetidos refletem baixo risco ou um método insensível. As evidências não mostraram esse tipo de desafio antes de San Bruno.

As recomendações do Conselho tornaram explícita a lógica ausente. Pediu registros rastreáveis, verificáveis e completos apoiando a pressão máxima; teste de resistência onde a autoridade de pressão se baseava em evidências incompletas; testes com margem suficiente antes de classificar defeitos de fabricação como estáveis; e métodos de avaliação capazes de identificar as ameaças presentes. A carta de recomendação posterior à PG&E também exigiu uma auditoria abrangente dos registros e correção de discrepâncias. Essas medidas não eram penalidades de papel. Visavam as decisões que o papel controlava.

A supervisão regulatória era uma barreira independente que não se sustentou

A Califórnia regulava a segurança de dutos de gás interestaduais por meio de um acordo com o governo federal. A CPUC inspecionou o programa de integridade da PG&E em 2005 e novamente em 2010. Essas inspeções não expuseram os defeitos centrais antes da ruptura. Posteriormente, a equipe da CPUC identificou avaliações atrasadas, uso excessivo de exceções, mudanças de inspeção em linha para métodos menos adequados e respostas fracas a descobertas de auditoria interna.

O NTSB concluiu que a CPUC não conseguiu detectar a inadequação do programa de gestão de integridade da PG&E. Seu painel de revisão independente foi mais longe nas condições organizacionais. O painel não fez a constatação técnica de causa provável do acidente; isso pertencia ao NTSB. Relatou fraquezas na gestão de risco empresarial da PG&E, cultura de segurança, priorização e implementação de recursos, e criticou os próprios recursos, habilidades, foco e abordagem de aplicação da Comissão. Essas são conclusões de revisão atribuídas, não um veredito judicial sobre cada decisão de gestão.

A ordem inicial da CPUC sobre o evento de San Bruno enquadrou as alegações da equipe sobre operações, registros, gestão de integridade e resposta a emergências. Também registrou oito mortes, 58 feridos, 38 casas destruídas e 70 casas danificadas. Como abriu uma investigação adjudicatória, suas alegações não devem ser relatadas como conclusões finais apenas porque apareceram em um documento oficial. A responsabilidade final veio através de decisões e medidas posteriores da Comissão.

O regulador também abriu uma investigação sistêmica de manutenção de registros separada. Essa separação foi significativa. San Bruno não era apenas um caso de construção em um local; registros imprecisos ou incompletos poderiam afetar as decisões de pressão e avaliação em toda a rede da PG&E. Imediatamente após a ruptura, a Resolução L-403 exigiu preservação de evidências, reduções de pressão, inspeções, acesso para investigadores e um plano de segurança. Essas foram ações protetivas provisórias, não prova de que a rede subjacente já havia sido validada.

A supervisão federal também tinha limites. A PHMSA estabeleceu as regras e avaliou os programas estaduais, mas o NTSB concluiu que as diretrizes de inspeção federal e as medidas de desempenho não testavam de forma confiável se um estado estava avaliando os modelos de risco do operador, a integração de dados e a adequação da avaliação. Uma lista de verificação pode confirmar que um operador tem procedimentos sem determinar se os procedimentos encontrariam o defeito realmente presente.

A contribuição regulatória não divide a responsabilidade igualmente. A PG&E possuía o tubo, funcionários, contratados, dados operacionais e poder para testar ou substituir. A CPUC tinha o dever independente de desafiar esse sistema e aplicar os padrões mínimos federais. A PHMSA tinha o dever de definir e supervisionar a arquitetura regulatória. O controle do operador era direto; o controle dos reguladores era de supervisão. Todas as três barreiras importavam, mas a existência de uma inspeção perdida não converte o regulador público no proprietário da linha.

Noventa e cinco minutos: controle de emergência após a falha da prevenção

A ruptura foi imediatamente visível e audível para o bairro. A polícia e o corpo de bombeiros receberam relatos em minutos. O primeiro atendimento policial foi registrado por volta das 18h12 e as primeiras unidades de bombeiros por volta das 18h13. Os socorristas locais enfrentaram uma pluma de gás em chamas, incêndios estruturais, ruas danificadas e uma tubulação de água quebrada que deixou os hidrantes próximos sem água adequada. A ajuda mútua acabou envolvendo 42 corpos de bombeiros, cerca de 600 bombeiros e pessoal médico de emergência e 325 agentes da lei ao longo de mais de 50 horas.

As equipes estabeleceram fontes alternativas de água, evacuaram moradores, protegeram exposições e procuraram em áreas danificadas.

A resposta da PG&E começou de uma posição de informação diferente. Seu sistema registrou mudanças de pressão e alarmes, mas a aquisição de dados e controle de supervisão não identificou um local de ruptura diretamente. O despacho soube de um possível evento de gás por volta das 18h18. O primeiro funcionário enviado foi um representante de serviço de gás, não um mecânico qualificado para operar válvulas de linha de transmissão.

O pessoal considerou a Linha 132 uma fonte provável, mas não estabeleceu imediatamente um comando unificado de ruptura, despachou todas as equipes qualificadas para válvulas necessárias ou obteve uma notificação direta dos serviços de emergência que resolvesse a incerteza.

Mecânicos qualificados souberam do evento através de reportagens da mídia e se autodespacharam. Válvulas manuais a montante e válvulas remotas e manuais a jusante foram operadas na hora seguinte. Por volta das 19h46, o segmento danificado foi isolado, com a intensidade do fogo visível diminuindo nesse período. Fontes oficiais usam marcos ligeiramente diferentes: a PHMSA resume o isolamento por volta das 19h40, enquanto a cronologia detalhada do NTSB acompanha fechamentos individuais e descreve cerca de 95 minutos desde a ruptura até a interrupção do fluxo de gás.

A diferença reflete o ponto medido, não uma razão para implicar precisão que o registro não suporta.

O NTSB considerou o tempo de isolamento excessivo. A PG&E não possuía válvulas de fechamento automático ou um arranjo de controle remoto suficientemente capaz próximo o suficiente para interromper o fluxo rapidamente. Também não possuía uma resposta abrangente e praticada para uma grande ruptura de transmissão. A empresa não tinha um protocolo direto e confiável pelo qual os serviços de emergência pudessem informar imediatamente o controle de gás de que uma grande ruptura havia ocorrido. O SCADA era útil para a conscientização da pressão, mas não um substituto para o reconhecimento, localização e comando da ruptura.

Essas falhas amplificaram as consequências. O gás continuou alimentando um grande incêndio enquanto os bombeiros tentavam proteger um bairro. O isolamento mais rápido não desfaria a explosão inicial, a cratera ou a primeira ignição, e o registro público não quantifica exatamente quais ferimentos ou perdas de propriedade posteriores teriam sido evitados em cada tempo de fechamento hipotético. No entanto, teria reduzido a duração e a energia da liberação descontrolada. É por isso que o NTSB classificou as válvulas e a resposta como contribuintes para a gravidade, em vez da raiz da ruptura da solda.

O impacto humano e comunitário não pode ser reduzido a um total de penalidades

Oito pessoas morreram. Casas, pertences, registros familiares, animais de estimação, relações de vizinhança e um senso de segurança física foram perdidos ou interrompidos. Trinta e oito casas foram destruídas e 70 danificadas. As contagens de feridos variam conforme a definição: a CPUC registrou 58 feridos em seu procedimento do evento, enquanto a PHMSA relatou 51 pessoas necessitando de hospitalização. Ambos os números devem manter seus rótulos. Converter um no outro apagaria as categorias administrativas subjacentes.

Os danos se estenderam além das parcelas privadas. Estradas, serviços públicos e serviços públicos exigiram reparos. Os moradores enfrentaram deslocamento, cuidados médicos, disputas com seguros, opções de reconstrução e longos processos legais. Bombeiros e outros socorristas trabalharam em um cenário instável com abastecimento de água comprometido. Os clientes de gás financiaram um sistema de serviços públicos cujos registros e controles de integridade se tornaram objeto de grandes trabalhos corretivos, embora a Comissão tenha posteriormente determinado que as principais sanções e custos de segurança fossem suportados pelos acionistas.

A PG&E relatou litígios civis e atividades de acordo em seu arquivamento de valores mobiliários de setembro de 2013. Disse que havia resolvido substancialmente todas as reivindicações restantes dos autores e relatou encargos cumulativos de cerca de US$ 565 milhões e pagamentos de cerca de US$ 389 milhões em 30 de setembro de 2013. Esses são números contábeis da empresa. Os termos dos acordos eram frequentemente confidenciais, o número não divulga resultados em nível doméstico, e um encargo não é o mesmo que dinheiro recebido ou recuperação completa.

A cidade de San Bruno celebrou um acordo separado de 2012 com a PG&E avaliado em US$ 70 milhões: US$ 68,75 milhões em dinheiro para fins de benefício público e cinco lotes vagos com valor acordado de US$ 1,25 milhão. Não era o pool para autores individuais de ato ilícito. O acordo da cidade, os acordos com residentes, as recuperações de seguros, os créditos regulatórios nas contas e a multa criminal são caminhos distintos com diferentes destinatários e propósitos legais.

Nenhum valor agregado prova a restauração. O dinheiro pode financiar a reconstrução, instalações públicas, alívio de tarifas e serviços. Não pode substituir uma vida ou estabelecer que os efeitos na saúde, deslocamento, valor da propriedade, custo legal e confiança da comunidade foram totalmente reparados. A responsabilidade exige relatar as transferências com precisão, deixando seus limites visíveis.

Condenação criminal e sanções regulatórias responderam a perguntas diferentes

Em agosto de 2016, um júri federal considerou a PG&E culpada de cinco violações dos requisitos federais de segurança de dutos e uma acusação de obstrução da investigação do NTSB. O júri absolveu a empresa em outras seis acusações de segurança de dutos. A acusação de obstrução dizia respeito à resposta da PG&E sobre sua política de aumentar a pressão para o MAOP para tratar ameaças de fabricação como estáveis. A precisão é essencial: as condenações não foram condenações por homicídio pelas oito mortes, e uma absolvição em algumas acusações não apaga as conclusões técnicas de causa provável.

A sentença de 2017 do tribunal federal impôs uma multa de US$ 3 milhões, o máximo legal disponível nas acusações; cinco anos de liberdade condicional; 10.000 horas de serviço comunitário; requisitos de publicidade; e um programa de conformidade e ética supervisionado por um monitor independente. A ordem de sentença e monitor focou na segurança de dutos de gás, integridade de registros, teste de resistência, capacidade de inspeção e tratamento conservador de informações ausentes. O baixo valor em dólares comparado ao dano refletiu os limites legais de condenação, não uma valoração judicial do dano.

A decisão final de penalidade da CPUC tratou de três processos relacionados: a ruptura, a manutenção de registros sistêmica e questões de localização de classe. Seu pacote de US$ 1,6 bilhão não era uma única multa em dinheiro. Incluía US$ 850 milhões em infraestrutura de segurança de transmissão de gás financiada por acionistas excluída da base de tarifas, um pagamento de US$ 300 milhões ao Fundo Geral da Califórnia, um crédito único de US$ 400 milhões na conta de clientes de gás e aproximadamente US$ 50 milhões em medidas adicionais. Chamar o valor total de multa, compensação de vítimas ou gastos com segurança seria impreciso.

O caso criminal testou a prova além da dúvida razoável sobre as infrações acusadas. Os processos da CPUC testaram a conformidade regulatória, a aptidão da concessionária, as medidas e a proteção do consumidor sob uma estrutura legal diferente. Os acordos civis resolveram reivindicações privadas e municipais, muitas vezes sem conclusões públicas sobre cada fato contestado. Esses sistemas se sobrepunham, mas não eram intercambiáveis. Seu peso combinado mostrou uma falha institucional grave; seus padrões separados impedem que um resultado seja usado para exagerar outro.

A reforma mudou registros, testes, avaliação e resposta a rupturas

A primeira onda de reforma tratou os registros como evidências críticas de segurança. Em janeiro de 2011, a PHMSA emitiu um boletim consultivo sobre pressão máxima e dados de integridade. Orientou os operadores a usar registros confiáveis para estabelecer a pressão máxima e integrar informações conhecidas na identificação, avaliação, prevenção e mitigação de riscos. Um boletim consultivo esclarece expectativas e alerta a comunidade regulada; não é em si o mesmo que uma regra executável final.

O Congresso aprovou a Lei de Segurança de Dutos, Certeza Regulatória e Criação de Empregos de 2011, sancionada em 3 de janeiro de 2012. Direcionou estudos e regulamentação sobre registros, verificação de pressão, válvulas automáticas e de controle remoto e outros controles. A lei marcou uma resposta política, mas a promulgação não produziu imediatamente verificação de campo em todos os segmentos legados.

A regra final de transmissão de gás de 2019 da PHMSA exigiu a reconfirmação da pressão máxima de operação permitida para segmentos especificados sem registros adequados, expandiu as avaliações além das áreas de alta consequência, fortaleceu a verificação de propriedades de materiais e a manutenção de registros, e abordou excessos de pressão e risco sísmico. A folha de dados do MAOP descreve seis métodos de reconfirmação e a necessidade de reter evidências de material e teste para a vida útil do duto. Essas regras posteriores não podem ser usadas para declarar uma violação de 2010 de requisitos ainda não em vigor.

Mostram como a linha de base federal mudou em resposta a fraquezas expostas.

O isolamento de ruptura também se tornou mais explícito. A regra de válvulas e resposta a rupturas de 2022 da PHMSA estabeleceu requisitos para válvulas de mitigação de rupturas, espaçamento, manutenção, revisão pós-evento e notificação imediata aos serviços de emergência. Seu resumo de implementação explica uma meta de fechamento de válvulas de mitigação de rupturas o mais rápido possível e geralmente dentro de 30 minutos após a identificação da ruptura.

O escopo é importante: as principais disposições de instalação aplicam-se principalmente a linhas de transmissão de gás onshore recém-construídas ou totalmente substituídas que atendam a critérios específicos. A regra não é uma alegação genérica de que todas as linhas existentes receberam novas válvulas.

Os requisitos federais atuais de integridade na 49 CFR Parte 192, Subparte O tornam a lógica de controle mais explícita: integrar informações disponíveis, considerar ameaças relevantes, escolher um método de avaliação adequado, aplicar garantia de qualidade, gerenciar mudanças e avaliar a eficácia do programa. O regulamento atual é uma referência para as obrigações de hoje, não uma descrição retroativa do texto em vigor em 2010.

Em nível de empresa, a PG&E empreendeu um Plano de Melhoria da Segurança de Dutos envolvendo testes de pressão, substituições, reduções de pressão, aposentadorias, modificações de inspeção em linha e válvulas automatizadas. O resumo do incidente e reforma de San Bruno atual da CPUC relata que o projeto final se tornou operacional em novembro de 2018. Ele lista 673,5 milhas testadas à resistência, 114,9 milhas substituídas, 12 milhas rebaixadas, 9,1 milhas aposentadas, 202,4 milhas tornadas capazes de inspeção em linha e 217 válvulas automatizadas, bem como validação sistêmica dos registros de MAOP de transmissão.

Esses são resultados de programa relatados pelo regulador. Não estabelecem que cada segmento está livre de defeitos ou que cada controle funciona em condições de emergência.

As decisões de encerramento do NTSB fornecem evidências mais fortes, ainda que limitadas. Em janeiro de 2020, o Conselho relatou que as recomendações que exigiam teste de dutos de gás e um teste de 1,25 vezes o MAOP antes de tratar defeitos de fabricação como estáveis foram encerradas com ação aceitável. Seu arquivo de recomendações também registra o encerramento após a PG&E concluir o teste de resistência ou verificação de registros para mais de 1.850 milhas. O encerramento significa que o Conselho aceitou a ação responsiva à recomendação. Não certifica a ausência de todo risco presente ou futuro de dutos.

Como deve ser a verificação duradoura

San Bruno expôs uma fraqueza recorrente na governança de segurança: as organizações podem confundir a existência de um programa com a evidência de que o programa controla seu perigo. A verificação duradoura requer uma cadeia do ativo físico à decisão.

Paraqualidade de fabricação, a evidência é a rastreabilidade do material, registros de solda, exame não destrutivo, resultados de teste de pressão e validação do tubo escavado. Quando um registro legado não pode ser tornado rastreável, verificável e completo, a resposta conservadora é teste, redução de pressão, substituição ou outro método capaz de estabelecer a resistência.

Paraidentificação de ameaças, a evidência não é uma lista genérica. É um vínculo documentado entre tipo de solda, ano de construção, histórico de vazamentos e falhas, ciclos de pressão, localização de classe, consequências e a tecnologia de inspeção selecionada. Uma ferramenta que não pode detectar o defeito crível não pode fechar essa ameaça.

Paracontrole operacional, a evidência inclui autorizações de trabalho que nomeiam o equipamento afetado, sequência de comutação, propriedade do alarme, contingências de pressão, limites de parada de trabalho e gestão de mudanças. Uma substituição elétrica normal tornou-se crítica para a segurança porque os limites elétricos e de controle de gás foram acoplados. O pacote de trabalho deveria ter tornado esse acoplamento explícito.

Pararesposta a emergências, a evidência são exercícios cronometrados e desempenho em eventos reais: quão rapidamente uma ruptura é reconhecida, localizada, comunicada aos serviços de emergência e isolada; se operadores qualificados são despachados; se as válvulas remotas funcionam; e se as lições se tornam ação corretiva verificada. Um plano escrito sem tempo de resposta medido é garantia fraca.

Parasupervisão regulatória, a evidência é a amostragem independente. Os inspetores devem reconciliar os atributos do banco de dados com o tubo escavado, desafiar os pesos de classificação de risco, testar se os métodos de avaliação correspondem às ameaças, inspecionar pacotes de gestão de mudanças e rastrear discrepâncias até o encerramento em campo. A presença de procedimento não é suficiente.

Parareparação e compensação, a evidência é específica da categoria: disposição judicial, alocação ordenada pela Comissão, pagamento de acordo, gasto de benefício público e resultado do reclamante. Agregar quantias diferentes faz uma resposta parecer maior enquanto torna a responsabilidade menos clara.

A supervisão atual mostra progresso e obrigações abertas

O mandato de cinco anos do monitor criminal federal terminou em janeiro de 2022. A Califórnia então estabeleceu um Monitor de Segurança Independente separado para examinar as operações de segurança da PG&E, identificação de riscos e manutenção de registros por mais cinco anos. Essa continuidade mostra que a supervisão não terminou com a liberdade condicional criminal. Não deve ser lido como uma constatação de que o mesmo defeito da Linha 132 permanece, ou que o monitoramento por si só previne falhas.

O oitavo relatório de status do monitor, emitido em maio de 2026, oferece um instantâneo atual, mas limitado. Descreve um movimento favorável em algumas medidas de pesquisa de cultura de segurança de gás e tendências de prevenção de danos a longo prazo, ao mesmo tempo que relata gastos abaixo dos níveis adotados pela CPUC em algumas categorias de gás, trabalho planejado em infraestrutura de gás envelhecida e ações corretivas abertas em partes do sistema. O relatório confia expressamente em parte em dados da PG&E e de terceiros que o monitor não verificou independentemente em todos os casos.

É, portanto, evidência de um processo de garantia ativo e obrigações remanescentes, não um atestado de saúde.

A questão central pós-San Bruno não é mais se a PG&E tem programas escritos, milhas testadas ou válvulas instaladas. O registro público confirma essas ações. A questão é se a empresa e os reguladores podem demonstrar continuamente que ativos legados incertos recebem tratamento conservador, que os registros correspondem ao campo, que as ferramentas de avaliação podem ver as ameaças atribuídas a elas, e que o isolamento de emergência atende a objetivos de desempenho medidos.

Um mapa de controle para a responsabilidade

A responsabilidade torna-se mais clara quando atribuída ao controle prático, e não a rótulos institucionais amplos.

Fabricação do tubo e aceitação em 1956foram controladas pela PG&E e sua cadeia de construção. O registro histórico não identifica todos os atores individuais, mas a concessionária controlava a especificação, inspeção, aceitação e teste.

Preservação e correção de registrospermaneceu responsabilidade da PG&E durante toda a vida do ativo. Os reguladores podiam obrigar e amostrar, mas apenas o operador podia integrar registros de construção, manutenção, pressão e geográficos nas decisões diárias.

Pressão máxima e avaliação de integridadeeram decisões do operador limitadas por regras federais e aplicação da CPUC. A PG&E selecionou as suposições, método de classificação de risco, cronograma e método de avaliação. A CPUC e a PHMSA eram responsáveis por detectar se essas escolhas atendiam ao padrão e controlavam ameaças críveis.

Planejamento do trabalho elétricofoi controlado pela PG&E e seu sistema de gestão de contratados. O aumento de pressão no terminal era previsível como um acoplamento entre confiabilidade de energia e regulação de gás. Sequenciamento claro, identificação de equipamentos afetados e planejamento de contingência eram barreiras disponíveis.

Isolamento da rupturafoi controlado principalmente pela PG&E através do projeto SCADA, posicionamento de válvulas, pessoal, treinamento e comando de emergência. Os bombeiros e a polícia controlavam a proteção pública ao redor do incidente, não a operação das válvulas de transmissão.

Responsabilidade criminal, regulatória e civilpertencia a tribunais, promotores, CPUC e reclamantes sob diferentes padrões. Nenhum poderia reconstruir o bairro destruído; eles podiam estabelecer infrações, impor medidas, transferir recursos e exigir controles mais seguros.

Este mapa rejeita duas narrativas convenientes, mas imprecisas. San Bruno não foi apenas a consequência de uma solda ruim de outra era. Nem foi apenas uma falha regulatória na qual o operador confiava razoavelmente na inspeção governamental. A solda sobreviveu porque barreiras sucessivas do operador e de supervisão falharam em converter a incerteza em ação.

Barreiras contrafactuais e o que permanece não resolvido

Vários contrafactuais são fortemente apoiados. O controle de qualidade visual adequado em 1956 provavelmente teria rejeitado os pups defeituosos. Um teste de resistência hidrostática válido com margem apropriada provavelmente teria falhado a solda crítica antes do serviço ou exposto durante a verificação posterior. Registros precisos de solda teriam mudado a identificação da ameaça. Um método de avaliação capaz de detectar defeitos de solda longitudinal poderia ter levado a reparo ou substituição. Um melhor controle do trabalho elétrico poderia ter evitado o aumento de pressão.

Um isolamento mais rápido da válvula poderia ter reduzido a duração e a gravidade do incêndio.

Esses contrafactuais têm diferentes alcances. Um teste de 1956 aborda o defeito inicial. Um teste posterior aborda a sobrevivência após décadas de ciclos de pressão. Registros precisos por si só não removem uma falha, mas mudam o caminho de decisão. Prevenir o aumento de pressão terminal poderia ter evitado a ruptura naquela noite sem tornar o tubo são. O isolamento mais rápido não pode prevenir a explosão inicial. A responsabilidade exige creditar cada barreira apenas pelo dano que ela poderia controlar.

Perguntas importantes permanecem em aberto nas evidências públicas:

• O registro não nomeia todas as pessoas responsáveis pela fabricação, inspeção visual ou aceitação em 1956, ou explica exatamente onde a montagem de seis pups foi feita.
• Fontes públicas não fornecem resultados em nível doméstico para acordos civis confidenciais ou estabelecem que as perdas econômicas e não econômicas dos sobreviventes foram totalmente compensadas.
• A quilometragem do programa e o encerramento de recomendações não divulgam cada discrepância encontrada durante a validação de registros, cada solda comparável remanescente em serviço ou a taxa de erro de amostragem de campo completa.
• O monitoramento atual não verifica independentemente cada ponto de dados da empresa, e um relatório periódico não pode provar como todas as válvulas, alarmes e equipes se comportarão na próxima ruptura.
• Regras posteriores fortalecem os controles mínimos, mas não eliminam a discrição do operador na classificação de risco, seleção de métodos, planejamento de trabalho e tratamento conservador da incerteza.

Evidências que poderiam alterar materialmente esta avaliação incluiriam uma reconciliação pública abrangente dos atributos do tubo legado com escavações; prova em nível de segmento de teste ou base MAOP validada; taxas independentes de falso negativo para métodos de inspeção; exercícios cronometrados de isolamento de ruptura em linhas comparáveis; e registros transparentes de encerramento para conclusões do monitor e do regulador. A ausência desse detalhe público não é prova de que o trabalho não foi feito. Limita o que terceiros podem alegar de forma responsável.

Conclusão

San Bruno tornou a gestão de integridade de dutos um teste de responsabilidade porque cada controle decisivo tinha um dono. A solda de 1956 era fisicamente defeituosa. O aumento de pressão de 2010 foi operacionalmente induzido. A linha permaneceu abaixo de seu máximo federal declarado, expondo a fraqueza de tratar esse número como prova de resistência. Registros incorretos esconderam a solda, uma estratégia de integridade inadequada a deixou sem teste, a supervisão não conseguiu desafiar a garantia, e os sistemas de emergência levaram muito tempo para parar o gás.

A resposta produziu condenações, um grande pacote regulatório, acordos civis, financiamento municipal, testes de pressão, substituições, projetos de inspeção, válvulas automatizadas, regras federais mais fortes e anos de monitoramento externo. Esses resultados são reais. Não são intercambiáveis e não criam uma presunção permanente de segurança.

A lição duradoura é mais restrita e mais exigente. Uma concessionária de gás deve ser capaz de provar o que é seu tubo, quais cargas sofreu, quais ameaças podem atuar sobre ele, por que a avaliação escolhida pode encontrar essas ameaças e quão rapidamente a falha será isolada se a prevenção falhar. Os reguladores devem testar essa prova, em vez de confirmar que um programa existe. Onde os registros são incertos, a incerteza deve causar ação conservadora. San Bruno demonstrou o custo de permitir que ela se tornasse garantia em vez disso.