O Vale do Merrimack fez do controle de pressão de gás e da revisão de engenharia um teste de responsabilidade para as concessionárias

Resumo

• Em 13 de setembro de 2018, uma equipe de projeto da Columbia Gas of Massachusetts isolou e abandonou uma tubulação principal de ferro fundido em South Lawrence, enquanto duas linhas de captação dos reguladores permaneciam conectadas a ela. Quando a pressão na tubulação abandonada caiu, os reguladores de trabalho e de monitoramento interpretaram o sinal como uma demanda de gás adicional e se abriram. O suprimento de alta pressão entrou em uma rede de baixa pressão, causando incêndios e explosões em Lawrence, Andover e North Andover. Uma pessoa morreu, 22 foram levadas ao hospital, 131 estruturas foram danificadas e o serviço de gás foi cortado para 10.894 clientes.
• O National Transportation Safety Board concluiu que o gerenciamento técnico insuficiente foi a causa provável e que a proteção insuficiente contra sobrepressão foi um fator contribuinte. Os registros do projeto não incluíram as linhas de captação no arquivo de trabalho, o processo de construtibilidade não exigiu revisão pelo departamento que detinha os registros relevantes, e a Columbia Gas não aplicou um processo de gerenciamento de mudanças e avaliação de riscos no nível do projeto. Trabalhadores qualificados seguiram um plano incompleto; essa distinção coloca o ônus central da responsabilidade na governança do sistema e do projeto, e não em alegações infundadas de incompetência da equipe.
• Os controles de resposta também falharam nas interfaces. Um centro de monitoramento remoto viu alarmes de alta pressão, mas não conseguiu operar as válvulas. O comandante de incidentes da empresa tinha tarefas simultâneas de fechamento e ligação. Os socorristas municipais não receberam mapas prontamente, informações sobre as áreas afetadas ou status acionável, enquanto a interoperabilidade de rádio regional estava tensa. A autoridade de emergência estadual, a ajuda mútua e o papel de gerenciamento de outra concessionária ajudaram a estabilizar o evento, mas a restauração criou um segundo teste de controle envolvendo milhares de reconexões de serviço, trabalho em aparelhos, registros de abandono e construção acelerada.
• Os recursos passaram por canais separados. A Columbia Gas se declarou culpada de uma violação da Pipeline Safety Act federal e recebeu uma multa de US$ 53.030.116 e liberdade condicional. A controladora NiSource assinou um acordo de suspensão condicional do processo, não uma declaração de culpabilidade. As investigações estaduais foram concluídas com um acordo de US$ 56 milhões associado à venda para a Eversource. Um acordo de US$ 143 milhões em ação coletiva excluiu reivindicações por danos pessoais, morte injusta, sub-rogação de seguros e certos aparelhos. Esses valores não podem ser somados em uma única medida de perda, compensação ou responsabilidade individual.
• Um prova duradoura requer mais do que um selo de engenheiro profissional ou uma recomendação fechada. Requer registros completos do sistema, sequenciamento de construção específico do local, análise de modos de falha, proteção independente contra sobrepressão, monitoramento contínuo durante mudanças, pessoal posicionado para isolar o sistema, comunicações municipais testadas, registros de restauração verificados e evidências recorrentes de reguladores. Massachusetts transformou várias lições em lei e em regras de engenharia detalhadas. No entanto, a reforma federal em sobrepressão e segurança de distribuição deve ser descrita em seu estágio real: um aviso consultivo de 2020 e uma regulamentação que permaneceu proposta e em revisão por um comitê consultivo em 2026.

O evento transformou trabalhos de substituição de rotina em uma emergência regional

O evento público começou pouco antes das 16h de 13 de setembro de 2018. Uma equipe de empreiteiros trabalhando sob a direção de um coordenador de construção da Columbia Gas fez conexões para uma tubulação principal de reposição em polietileno perto das ruas South Union e Salem. A equipe então isolou a antiga tubulação de ferro fundido fechando válvulas em um desvio e cortou o desvio para abandonar a seção antiga. Em minutos, a pressão na nova tubulação excedeu as leituras esperadas, uma conexão se separou, veículos de emergência se tornaram audíveis e fumaça apareceu em várias direções.

O dossiê de investigação do NTSB para PLD18MR003 estabelece a magnitude pública e a declaração final de causa provável da agência. Incêndios e explosões danificaram 131 estruturas, incluindo pelo menos cinco casas destruídas. Uma pessoa morreu e 22 pessoas, incluindo três bombeiros, foram levadas ao hospital; outros sete bombeiros sofreram ferimentos leves. A Columbia Gas fechou o sistema de baixa pressão afetado, interrompendo 10.894 clientes, alguns dos quais foram desconectados por precaução. Esses são os números e categorias do NTSB, não uma alocação de danos indenizáveis por um tribunal civil.

Essa rapidez é central para o teste de responsabilidade. Uma rede de baixa pressão pode atender muitos clientes sem um regulador de serviço individual em cada medidor. Uma falha no controle de pressão no nível do distrito pode se propagar antes que uma equipe de campo possa visitar cada estação de regulação. Os planos de emergência projetados em torno de um vazamento, incêndio ou golpe de pá não se adaptam automaticamente a alarmes simultâneos, dezenas de incêndios, congestionamentos de trânsito, uma queda de energia regional e limites de sistema incertos.

O incidente não deve ser reduzido apenas ao ferro fundido antigo. A substituição de tubulações sujeitas a vazamentos era um objetivo de segurança legítimo, e a equipe estava instalando uma nova tubulação principal de polietileno. A falha ocorreu porque o projeto alterou o caminho de feedback que governava a pressão, enquanto o arquivo de construção não tratava esse caminho como parte do sistema em modificação. A renovação de infraestrutura pode reduzir um risco e expor outro quando o controle de configuração não acompanha a rede física.

As linhas de captação fizeram da tubulação abandonada parte do loop de controle

Antes do acidente, 14 estações de regulação alimentavam a rede de baixa pressão do Merrimack Valley. Em uma estação típica, o gás de alta pressão de cerca de 75 libras por polegada quadrada manométrica era reduzido para cerca de 12 polegadas de coluna de água, aproximadamente 0,5 psi, para distribuição aos clientes. Cada estação usava um regulador de trabalho e um regulador de monitoramento em série. Cada um tinha uma linha de captação, comando ou estática conectada a jusante para que o regulador pudesse responder à pressão real da rede.

O arranjo de reguladores de trabalho e monitoramento parecia redundante, mas ambos os dispositivos dependiam das informações de pressão da mesma condição do sistema. Na estação da Winthrop Avenue, suas linhas de captação permaneceram conectadas à tubulação de ferro fundido que o projeto abandonou. Quando a tubulação foi isolada, a pressão naquela seção abandonada caiu. Ambos os reguladores responderam como previsto ao falso sinal de baixa pressão: eles se abriram mais. Uma vez que o sinal desapareceu, os reguladores puderam abrir completamente e admitir gás de alta pressão na rede de baixa pressão.

O Relatório de Investigação de Acidente de Gasoduto PAR-19/02 do NTSB concluiu que os próprios reguladores estavam operacionais e que a qualificação da equipe, drogas e álcool não foram fatores. Determinou que o gerenciamento técnico insuficiente da Columbia Gas não planejou, revisou, sequenciou e supervisionou adequadamente o projeto, levando ao abandono antes da realocação das linhas de captação. Também identificou um sistema de baixa pressão projetado e operado sem proteção adequada contra sobrepressão como causa contribuinte. As investigações do NTSB são procedimentos de apuração de fatos de segurança;

suas conclusões de causa provável não atribuem culpa civil ou responsabilidade legal.

Essa distinção explica por que dois reguladores não eram duas barreiras independentes. A redundância protege contra certas falhas de um único componente somente quando os elementos redundantes não compartilham a mesma entrada vulnerável. Aqui, uma ação do projeto removeu o sinal de pressão usado por ambos. Em termos de engenharia, o arranjo das linhas de captação apresentava uma falha de modo comum. Em termos de governança, nenhuma revisão obrigatória forçou a equipe do projeto a considerar quais dispositivos de proteção seriam neutralizados pelo abandono dessa tubulação.

Uma proteção adequada contra sobrepressão em baixa pressão pode assumir diferentes formas, dependendo do projeto do sistema: capacidade de alívio, dispositivos de corte abrupto, arranjos de monitoramento com captação independente, limitação de pressão, isolamento automático ou outras camadas técnicas. O teste relevante não é se o equipamento é duplicado, mas se um único erro do operador ou falha de equipamento pode superar a proteção. Uma revisão de projeto deve modelar a vazão máxima de entrada, a capacidade a jusante, os limites dos aparelhos, o tempo de detecção, o tempo de isolamento e o efeito da perda de cada caminho de instrumentação.

O sistema também carecia de controle remoto rápido. A supervisão de monitoramento podia detectar pressão anormal, mas o centro de controle não conseguia fechar as válvulas locais que isolariam o distrito de baixa pressão. Isso significava que o caminho de proteção efetivo ia do alarme a uma chamada telefônica, da chamada à despacho de campo, e do pessoal de campo às válvulas físicas. Cada minuto nessa cadeia contava depois que a pressão excessiva já havia entrado nas instalações dos clientes.

O arquivo de trabalho não representou o sistema em modificação

O projeto South Union passou pelo fluxo de trabalho da Columbia Gas, mas seus documentos de construção omitiram as linhas de captação. O engenheiro de campo usou os registros disponíveis no processo de engenharia e identificou uma estação de regulação próxima, mas não revisou os desenhos separados mantidos pela função de Medição e Regulação que mostravam informações sobre as linhas de controle. O engenheiro de campo tinha conhecimento limitado da importância dessas linhas. Como o engenheiro não determinou que Medição e Regulação estava envolvido, esse departamento não foi obrigado a revisar o arquivo.

Isso é uma falha de governança de dados expressa através de infraestruturas físicas. Um ativo pode existir nos arquivos de uma concessionária enquanto está ausente do documento que autoriza o trabalho ao seu redor. "Registrado em algum lugar" é mais fraco do que rastreável, confiável, completo e disponível no ponto de decisão. O dossiê de investigação pública do NTSB mantém entrevistas, material factual sobre operações de gasodutos, registros de resposta a emergências e a submissão da parte NiSource. O dossiê permite examinar como diferentes funções entendiam o sistema;

não deve ser tratado como se cada submissão de parte fosse uma conclusão adotada pelo NTSB.

Um arquivo de trabalho controlado deve começar com um modelo de sistema autoritativo, e não com uma coleção de mapas específicos de departamento. Para cada segmento de tubulação a ser instalado, conectado, isolado ou abandonado, o arquivo deve identificar os serviços, válvulas, derivações, estações de regulação, linhas de captação, dispositivos de alívio, telemetria, ligações de proteção catódica e concessionárias adjacentes. Cada registro requer proveniência, status de revisão e status de verificação em campo.

Conflitos entre GIS, desenhos de construção e observações de campo devem interromper a aprovação até resolução ou ser registrados como riscos explícitos com controles.

Os registros também devem chegar às operações. Um operador de sala de controle respondendo a um alarme precisa dos limites atuais do projeto, do mapa de válvulas e reguladores, da configuração pretendida, do líder de campo responsável e das opções de isolamento imediato. Um arquivo de trabalho usado apenas pela construção não pode suportar a resposta a operações anormais. As mudanças planejadas devem ser visíveis em uma janela operacional compartilhada antes da execução em campo, com um início claro, pontos de parada, status de conclusão e uma condição de reversão ou parada segura.

O gerenciamento de mudanças deveria ter transformado a omissão em ponto de parada

A NiSource tinha uma iniciativa de sistema de gerenciamento de segurança de gasodutos, mas a Columbia Gas não aplicou um processo formal de gerenciamento de mudanças às modificações de manutenção e construção desse tipo. Listas de verificação de projeto existiam, mas o projeto não recebeu uma avaliação de riscos separada que rastreasse como o abandono afetaria o controle de pressão. Uma lista de verificação confirma tarefas esperadas; o gerenciamento de mudanças pergunta o que a configuração modificada pode causar de novo.

A recomendação urgente de segurança PSR-18/02 do NTSB fez quatro recomendações à empresa: melhorar a revisão de engenharia e construtibilidade com um selo de engenheiro profissional adequado; tornar os registros do sistema rastreáveis, confiáveis e completos; aplicar o gerenciamento de mudanças a todas as mudanças que possam criar uma falha de modo comum; e estabelecer controles durante modificações em tubulações principais, incluindo monitoramento contínuo de pressão e pessoal em locais críticos capaz de fechar o sistema.

Recomendou separadamente que Massachusetts removesse sua isenção de concessionárias dos requisitos de engenheiros profissionais.

Um arquivo de gerenciamento de mudanças útil para este projeto teria descrito a configuração antes e depois, cada estado temporário, a lógica de controle de pressão, os departamentos envolvidos, os riscos, as salvaguardas, as aprovações necessárias e a resposta a emergências. Ele teria perguntado o que acontece se a tubulação antiga perder pressão antes da realocação das linhas de captação, se os reguladores de trabalho e de monitoramento compartilham uma dependência, onde a pressão será observada, e qual pessoa pode isolar o fluxo em cada etapa.

As respostas transformariam a sequência de construção em um conjunto de pontos de parada de segurança.

A sequência é um controle. "Realocar linhas de captação" e "abandonar a tubulação antiga" podem ambos aparecer em uma lista de projeto enquanto permanecem perigosamente não ordenados. A permissão de abandono deve ser impossível de emitir até que as evidências de campo mostrem que as linhas de captação estão conectadas à tubulação ativa, a pressão estável, a telemetria verificada e os departamentos responsáveis aprovados. Um fechamento de válvula ou corte de tubulação deve exigir confirmação positiva, não a suposição de que outra ordem de trabalho já completou o pré-requisito.

O monitoramento de pressão também requer um design de ação. Um indicador ou ponto SCADA não é uma proteção se ninguém é proprietário do alarme ou não consegue alcançar rapidamente o equipamento de isolamento. Os limites devem ser definidos antes do trabalho; os alarmes devem ir para pessoal nomeado; as leituras locais e da sala de controle devem ser reconciliadas; e técnicos pré-posicionados devem ter autoridade para parar o trabalho e fechar as válvulas especificadas. O caminho de fechamento deve ser percorrido em condições realistas de tráfego e acesso.

A revisão profissional pode fortalecer esse processo, mas não pode substituí-lo. Um selo em um desenho incompleto pode criar falsa confiança se o engenheiro não tiver os registros dos reguladores, não puder verificar as condições de campo ou revisar apenas o layout final em vez dos estados temporários de construção. O escopo, as suposições, as fontes de dados e as divergências não resolvidas do engenheiro devem ser visíveis. A revisão independente é valiosa porque cria um desafio responsável, não porque um carimbo faz informações faltantes aparecerem.

A qualificação do empreiteiro não remediou uma omissão de projeto controlada pelo proprietário

A Feeney Brothers realizou o trabalho de campo com um coordenador de construção da Columbia Gas presente. O NTSB concluiu que a equipe era treinada e qualificada de acordo com os requisitos de qualificação de operadores e não encontrou fatores de drogas ou álcool. Os membros da equipe seguiram o plano de trabalho, notaram pressão anormal e responderam a uma conexão separada. Essas conclusões não removem todas as responsabilidades de campo, mas impedem que o incidente seja descrito incorretamente como um empreiteiro não qualificado simplesmente ignorando um projeto correto.

O operador manteve o controle sobre o conhecimento do sistema, a aprovação de engenharia, os registros dos reguladores, o sequenciamento do projeto e a autoridade de operação. Um empreiteiro não pode executar com segurança informações que nunca lhe foram dadas. A responsabilidade do proprietário inclui, portanto, a especificação do trabalho, o fornecimento de registros precisos, a garantia de uma revisão de construtibilidade, a atribuição de inspeção qualificada e a definição de ações em caso de condição anormal.

Uma linguagem contratual que diz que o empreiteiro deve trabalhar com segurança não transfere a obrigação do operador de representar fielmente sua própria rede.

As interfaces do empreiteiro ainda precisam de um desafio recíproco. Um briefing de campo deve identificar os ativos de controle de pressão e explicar por que a sequência é importante. Os trabalhadores devem comparar o arquivo com as condições expostas e parar quando os tubos, linhas de controle, válvulas ou medidores diferirem do desenho. O proprietário deve facilitar o acesso a especialistas em Medição e Regulação e proteger as decisões de cronograma que suspendem o trabalho. Quase-acidentes, liberações de conexões e leituras inesperadas devem alimentar o mesmo canal de incidentes que os alarmes da sala de controle.

As interfaces municipais vêm antes da resposta a emergências. A substituição de tubulações principais afeta ruas, trânsito, outras concessionárias subterrâneas, acesso de bombeiros e, às vezes, registros de obras públicas. As licenças municipais e os detalhes policiais não podem validar o projeto de controle de pressão do operador, mas cronogramas e mapas de construção coordenados podem revelar trabalhos conflitantes, acesso a válvulas bloqueado e instalações públicas vulneráveis.

As concessionárias devem fornecer às municipalidades os contatos do projeto e os limites de emergência sem divulgar infraestruturas sensíveis além das necessidades operacionais legítimas.

A sala de controle detectou a pressão, mas não conseguiu controlar o resultado

O centro de monitoramento em Columbus, Ohio, registrou um rápido aumento de pressão e alarmes de alta pressão. Os controladores ligaram para o técnico de Medição e Regulação de plantão de acordo com o protocolo da empresa. O centro, no entanto, tinha capacidade de monitoramento, não controle remoto de válvulas. Os técnicos de campo foram despachados para os locais dos reguladores, e o fechamento mais amplo do sistema exigiu ações manuais ao longo de várias horas.

A resposta a alarmes deve ser avaliada como uma barreira de ponta a ponta. O tempo de detecção, interpretação, despacho, deslocamento, acesso, acionamento de válvulas e confirmação determinam se a barreira é rápida o suficiente. Uma sala de controle pode cumprir seu procedimento de chamada enquanto permanece estruturalmente incapaz de evitar a escalada. Para um distrito de baixa pressão de alto impacto, o operador deve quantificar até onde a pressão pode se propagar durante o intervalo de resposta manual crível e decidir se a proteção automática independente ou o isolamento remoto é necessário.

O incidente também expôs uma divisão entre a conscientização da construção e a conscientização das operações. Os controladores precisam de um registro ao vivo de trabalhos críticos para a segurança que possam afetar os pontos que estão monitorando. Um alarme de pressão durante uma conexão planejada deve exibir imediatamente o local do projeto, a configuração, o contato da equipe, a janela de pressão esperada, os reguladores afetados e o plano de fechamento. Sem esse contexto, o controlador precisa investigar enquanto a condição anormal se desenvolve.

As medições pós-incidente devem, portanto, ir além de "alarme reconhecido". As evidências devem mostrar o traçado da pressão, o primeiro alarme, todas as chamadas, as decisões de despacho, a chegada do técnico, as ações nas válvulas e o isolamento do sistema. Os exercícios devem testar chamadas simultâneas, pessoal indisponível, estradas bloqueadas e falha de comunicações normais. Se o isolamento seguro depende de um especialista ou comandante de incidentes, o modelo de pessoal tem um ponto de falha organizacional única.

A autoridade de controle também deve ser inequívoca. O pessoal de construção precisa de autoridade para parar e entrar em um estado seguro; o pessoal da sala de controle precisa de autoridade para escalar; as operações de campo precisam de autoridade para fechar válvulas predefinidas; e um comandante de incidentes precisa de um adjunto ou estrutura de ligação para que o trabalho de fechamento não sufoque a coordenação governamental. Esses papéis devem ser projetados juntos porque uma resposta técnica rápida e uma resposta rápida de segurança pública solicitam as mesmas pessoas.

A resposta a emergências foi um problema de mapas, ligação e comunicações

Os centros de chamadas de segurança pública locais gerenciaram um influxo de chamadas, e a ajuda mútua trouxe recursos substanciais. No entanto, a empresa não forneceu prontamente aos comandantes de incidentes municipais e autoridades estaduais a natureza e a extensão geográfica da sobrepressão, mapas úteis do sistema ou progresso confiável do fechamento. O comandante de incidentes da Columbia Gas enfrentava responsabilidades concorrentes: liderar o isolamento enquanto precisava se comunicar com as municipalidades afetadas e os gerentes de emergência.

Massachusetts declarou estado de emergência e usou autoridade legal para colocar a Eversource em um papel de gerenciamento da coordenação da restauração. Os arquivos de ordens de estado de emergência do Vale do Merrimack do DPU documentam ordens sucessivas, não um mandato atemporal. As ordens tratavam de gerenciamento imediato, restauração, supervisão e obrigações de recuperação posteriores. Cada ordem deve ser lida por data e escopo; o controle de emergência da restauração não era uma transferência de propriedade legal ou um julgamento de responsabilidade final.

Os bombeiros também enfrentaram problemas de interoperabilidade de rádio e capacidade. Um plano de comunicação só foi implementado horas após o início dos incêndios, quando a demanda mais pesada de chamadas e ajuda mútua já havia ocorrido. O Relatório Pós-Ação sobre as Explosões de Gás do Vale do Merrimack de Massachusetts recomendou posteriormente uma direção de comunicações mais precoce, canais de interoperabilidade adequadamente programados, comando unificado e estruturas de liderança, melhor coordenação de informações públicas e outras melhorias na resposta.

Este é um relatório governamental de lições aprendidas, não um substituto para as conclusões de causa provável do NTSB.

As informações acionáveis das concessionárias têm uma forma específica. Os socorristas precisam do distrito de pressão afetado, da pegada do cliente, do status dos reguladores e válvulas, dos riscos críveis, do progresso do isolamento, das zonas de reunião seguras e de um contato carimbado de data/hora que possa responder a perguntas técnicas. Um mapa de engenharia bruto pode ser complexo demais; um mapa de território de serviço genérico pode ser vago demais. O operador deve preparar produtos para os socorristas com antecedência e ser capaz de gerar rapidamente uma versão específica do incidente.

O alerta público tem requisitos semelhantes. Os moradores precisam de instruções claras sobre evacuação, evitar fontes de ignição, cheiro de gás, corte de energia, abrigo e retorno. Essas mensagens devem estar disponíveis nos idiomas usados pela comunidade e coordenadas entre canais municipais, estaduais e de concessionárias. A ausência de informações precisas sobre o sistema pode forçar as autoridades a evacuar e desligar a energia de uma área maior, aumentando as cargas sobre trânsito, cuidados médicos e continuidade, mesmo quando essa ação prudente é justificada pela incerteza.

As investigações estaduais separaram a conformidade de segurança do desempenho de emergência

Após o NTSB concluir seu relatório, o DPU de Massachusetts abriu os dossiês D.P.U. 19-140 e 19-141. O anúncio oficial da investigação definiu investigações separadas, mas relacionadas: uma sobre a causa e conformidade com as regras federais e estaduais de gasodutos, e outra sobre preparação para emergências, gerenciamento de restauração, segurança pública, alocação de recursos, comunicação municipal e informações públicas. Essa separação impediu que a causa técnica engolisse o registro de resposta.

As investigações regulatórias têm um propósito e padrão diferentes do trabalho do NTSB ou de processos criminais. O DPU poderia examinar a conformidade e impor recursos estaduais dentro de sua jurisdição. O NTSB determinou a causa provável para melhoria da segurança sem atribuir responsabilidade. Os promotores precisavam provar ou obter uma confissão de infração legal. Um acordo posterior poderia resolver reivindicações regulatórias sem produzir conclusões totalmente julgadas sobre cada questão contestada.

O DPU e outras agências estaduais também usaram mecanismos de emergência e supervisão antes da conclusão desses casos formais. Moratórias de trabalho, supervisão técnica por terceiros, condições de restauração e revisão em todo o estado trataram dos riscos imediatos. Ordens de proteção rápidas e investigações contenciosas mais lentas preenchem funções diferentes. O registro público deve manter ambos para que uma restrição de emergência não seja confundida com uma constatação de violação definitiva e um acordo posterior não apague os controles impostos durante a restauração.

A questão da aplicação da lei não é apenas qual poderia ter sido o valor da penalidade. Os reguladores devem converter o mecanismo identificado em testes de inspeção em cada operador: mapeamento de linhas de controle, análise de modo comum de reguladores, roteamento de revisões de projeto, gerenciamento de mudanças, monitoramento de pressão, registros de abandono, mapas de emergência e exercícios de socorristas. Um dossiê se fecha; essas afirmações de inspeção devem permanecer.

A restauração criou um segundo teste de gerenciamento de mudanças

Restaurar aquecimento e água quente antes do inverno exigiu uma escala de trabalho muito além da atividade anual comum. A rede de baixa pressão de ferro fundido afetada foi substituída por um sistema de alta pressão usando reguladores de serviço e proteção adicional nas conexões dos clientes. Milhares de medidores e aparelhos exigiram atenção, enquanto o trabalho nas ruas, o acesso dos clientes, a moradia temporária e as reclamações da comunidade continuavam. A rapidez era necessária, mas a urgência alterou os fluxos de trabalho normais e criou novos riscos de registros e qualidade.

A avaliação independente do programa de restauração do Vale do Merrimack encomendada pelo DPU concluiu que a infraestrutura renovada melhorou a segurança em comparação com o sistema que substituiu. Também constatou que as modificações feitas para acelerar o trabalho criaram lacunas nos registros de testes de pressão, registros de tubulações de serviço e abandono de infraestrutura, e que a dependência de pessoas em vez de processos criou lacunas em documentação, inspeção e controle de qualidade. Essas conclusões equilibradas contam: os novos ativos podem ser mais seguros enquanto o processo de restauração ainda requer medidas corretivas.

A qualidade da restauração deve ser provada ativo por ativo. Cada nova tubulação principal e serviço requer identidade de material, registros de fusão ou junta, evidências de teste de pressão, status de conexão e abandono, instalação do regulador, inspeção, localização conforme construção e reconexão do cliente. Exceções não devem desaparecer em uma porcentagem de conclusão de projeto. Elas precisam de um proprietário, classificação de risco, proteção provisória, data de vencimento e verificação independente.

O abandono merece controle especial porque ativos desconectados podem ser visualmente confundidos com ativos ativos e um selamento incompleto pode criar vazamentos. Uma conclusão de campo deve ser reconciliada com o GIS e os registros de clientes, com verificação independente da equipe que realizou o trabalho. Os registros de teste de pressão devem ligar o instrumento, calibração, limites do teste, duração, segmento e testemunha. Uma folha escaneada sem um identificador de ativo estável não pode sustentar operações posteriores ou revisão de incidentes.

A avaliação da restauração também ilustra por que uma venda de concessionária não pode transferir incerteza de forma invisível. O sucessor precisa de um registro completo das exceções e do direito de validar os registros, inspecionar ativos e exigir correções. A contabilidade de compra pode atribuir passivos, mas a responsabilidade operacional depende de uma transição suficientemente detalhada para que as equipes e reguladores saibam quais ativos ainda estão sob revisão.

A revisão em todo o estado perguntou se a lição se generalizava

Massachusetts não limitou sua resposta à Columbia Gas. Uma avaliação independente em todo o estado examinou as empresas de gás, trabalhos de campo, centros de operação, locais de reguladores, centros de controle, capacidade do DPU e uso de práticas de gerenciamento de segurança. O relatório final da Fase 2 da Dynamic Risk foi uma avaliação das condições observadas em todo o estado, não um julgamento de que cada operador compartilhava as falhas específicas da Columbia Gas.

A revisão tratou a maturidade dos processos como um problema de segurança. Os procedimentos devem ser utilizáveis em campo; os supervisores precisam de tempo e autoridade suficientes para observar o trabalho; as informações sobre riscos devem fluir entre as funções; e os reguladores precisam de capacidade de inspeção e aplicação em tempo hábil. Observou também que a implementação do novo requisito de engenheiro profissional estava em evolução. Esta é uma evidência de implementação útil porque resiste à ficção de que a aprovação de uma lei produz instantaneamente uma prática uniforme.

A garantia em todo o estado deve usar amostragem repetida. Os inspetores podem selecionar projetos envolvendo trabalho em reguladores, abandonos, múltiplas conexões ou mudanças de pressão e rastreá-los do projeto à conclusão em campo. Devem comparar o plano carimbado com a construção real, confirmar que as divergências receberam aprovação de engenharia, testar se o pessoal da sala de controle conhecia o status do trabalho e inspecionar os registros de encerramento. As medições devem mostrar as exceções e o tempo de correção, não apenas o número de desenhos carimbados.

A supervisão dos reguladores também precisa de recursos independentes dos depósitos dos operadores. A Divisão de Segurança de Gasodutos do DPU se expandiu após o incidente, mas o número de funcionários é apenas um insumo. As evidências de eficácia incluem cobertura de inspeções baseadas em risco, tempo entre constatação e ordem, violações repetidas, verificação de encerramentos, observações de exercícios de emergência e capacidade de analisar dados de GIS, pressão e gerenciamento de trabalho. A avaliação federal externa pode adicionar controle, mas não substitui os registros de casos estaduais transparentes.

Massachusetts transformou a revisão profissional em lei e regras

Massachusetts respondeu à recomendação urgente do NTSB antes do relatório final de acidente. O Capítulo 339 das Leis de 2018, aprovado em 31 de dezembro, removeu a isenção relevante das concessionárias e exigiu que planos ou especificações de engenharia para trabalhos de gás que pudessem representar um risco significativo à segurança pública levassem o selo de um engenheiro profissional licenciado. Também exigiu que a empresa de gás mantivesse esses registros para revisão e auditoria pelo DPU.

A lei estabeleceu a obrigação, mas deixou para o DPU definir o trabalho de risco material. As diretrizes D.P.U. 21-04-A para engenheiros profissionais identificam projetos complexos, incluindo a criação ou reconfiguração de estações de regulação de distrito, mudanças de pressão, conexões especificadas de tubulações principais e de serviço, interrupção do fluxo principal, trabalhos de transporte, reclassificação e outras configurações de maior risco. Elas exigem instrumentos de serviço específicos do local, sequência de construção adequada e carimbo antes do trabalho, sujeito a tratamento de emergência definido.

Essa progressão fornece três níveis de evidência: uma recomendação, uma lei e uma estrutura regulatória implementada. Eles não devem ser confundidos. O NTSB encerrou sua recomendação para Massachusetts com base na ação legislativa, mas o encerramento significava que a ação recomendada estava sendo tratada de forma aceitável; não certificava cada plano futuro. A lei impôs um requisito; as diretrizes tornaram seu escopo mais operacional; a inspeção ainda deve provar conformidade e qualidade.

Uma revisão por engenheiro profissional deve ser suficientemente independente para questionar as suposições do projeto, ao mesmo tempo que suficientemente integrada para obter informações completas do sistema. O engenheiro deve ter acesso aos registros dos reguladores e linhas de captação, GIS, verificação de campo, análise hidráulica, configuração temporária e procedimentos de emergência. O registro deve mostrar as modificações de projeto após o carimbo, pois uma divergência em campo que contorna a reavaliação anula o controle.

O teste de implementação mais forte é contrafactual. Para cada projeto amostrado, um único erro ou omissão ainda poderia abandonar uma entrada de controle compartilhada, abrir um regulador, isolar o segmento errado ou impedir um fechamento em tempo hábil? Se sim, a presença de um carimbo ainda não transformou a lição em barreira. A responsabilidade profissional é uma arquitetura de informação, competência, revisão e autoridade, não uma marca no final de uma página.

A reforma federal passou de um aviso consultivo para uma regulamentação ainda pendente

A PHMSA respondeu à recomendação P-19-15 do NTSB com um aviso consultivo de 2020 sobre o risco de sobrepressão em baixa pressão. O aviso ADB-2020-02 do Federal Register lembrou aos operadores suas obrigações existentes em gerenciamento de integridade de distribuição e incentivou a análise de modos de falha e efeitos ou um método estruturado equivalente. O aviso indicou expressamente que seu conteúdo não tinha força de lei e não vinculava o público além dos requisitos subjacentes.

Esse status legal é importante. Um aviso consultivo pode esclarecer risco e prática esperada, mas não é a revisão da Parte 192 que o NTSB recomendou separadamente em P-19-14: proteção contra sobrepressão para sistemas de baixa pressão que não pode ser superada por um único erro do operador ou falha de equipamento. Um operador não deve esperar por uma regra prescritiva final para tratar um risco conhecido, mas a responsabilidade pública não deve apresentar diretrizes voluntárias como se um novo mandato material já estivesse em vigor.

O aviso de regra proposta de 2023 sobre segurança de distribuição de gás da PHMSA propôs alterações no gerenciamento de integridade de distribuição, resposta a emergências, operações e manutenção, identificação de ameaças de sobrepressão e outras práticas. Incorporava os mandatos da PIPES Act de 2020, incluindo as disposições da Leonel Rondon Pipeline Safety Act. Como regra proposta, descrevia as emendas pretendidas e a análise regulatória, não um texto executório final.

O status atual requer uma fonte posterior. O aviso de reunião de 2026 do Gas Pipeline Advisory Committee ainda descrevia a medida de segurança de distribuição como uma NPRM em revisão pelo comitê e indicava que a PHMSA avaliaria as recomendações antes de publicar uma regra final. Portanto, na data de evidência deste artigo, a declaração exata é que a reforma federal continuava, e não que as disposições propostas se tornaram definitivas.

As evidências de implementação devem acompanhar tanto as obrigações existentes quanto a lacuna regulatória. Os operadores podem documentar análises de modos de falha, proteção independente, dados de contato de emergência, procedimentos de alerta público e manuais de operação atuais desde já. A PHMSA pode publicar o status das recomendações, protocolos de inspeção e marcos regulatórios. Um processo regulatório longo não suspende a obrigação geral de operar com segurança, mas afeta o que os reguladores podem aplicar como mínimo nacional específico.

A responsabilidade criminal se prendeu à empresa, não a indivíduos não nomeados

A Bay State Gas Company, operando como Columbia Gas of Massachusetts, se declarou culpada de violar a Pipeline Safety Act federal por não implementar os procedimentos necessários para evitar sobrepressões durante o projeto South Union. O dossiê do caso e da condenação do DOJ indica que o tribunal impôs uma multa de US$ 53.030.116, calculada como o dobro do lucro obtido do Gas System Enhancement Plan de 2015 a 2018, e três anos de liberdade condicional com supervisão até a venda da empresa para um comprador qualificado.

A infração confessada tem um escopo definido. Foi uma violação da Pipeline Safety Act por uma empresa em relação aos procedimentos necessários e ao projeto de baixa pressão. Não foi uma declaração de culpabilidade de cada engenheiro, gerente, empreiteiro ou diretor da controladora. A página do caso do DOJ indicou expressamente que nenhum indivíduo foi indiciado. Isso não responde a todas as perguntas sobre medidas disciplinares de emprego, responsabilidade civil ou tomada de decisão interna; significa que o registro criminal público usado aqui não contém nenhum processo individual a atribuir.

A resolução da NiSource era legalmente diferente. A controladora assinou um acordo de suspensão condicional do processo cobrindo a exposição criminal federal conhecida do governo relacionada ao evento e à restauração. Concordou em usar seus melhores esforços razoáveis para vender o negócio de Massachusetts, cessar as operações de gasoduto em Massachusetts após a venda, abandonar o lucro da venda conforme definido no acordo, implementar as recomendações do NTSB nas subsidiárias especificadas, cooperar, continuar os reparos e buscar resolver reivindicações civis. Um DPA difere o processo sob condições;

não é uma declaração de culpabilidade ou condenação da controladora.

O DPA e o acordo de confissão não devem ser usados para inferir intenção individual além dos fatos corporativos confessados. A linguagem da acusação, as conclusões do NTSB e as alegações civis decorrem de processos diferentes. Um dossiê de responsabilidade sólido identifica separadamente o requerido, a acusação, a confissão, a sentença, a duração da supervisão e a disposição. Registra também o que não foi resolvido: a alocação de perdas criminais individuais e a responsabilidade pessoal não podem ser fabricadas a partir de uma fórmula de multa corporativa.

A multa criminal foi direcionada em grande parte para o Fundo Federal de Assistência a Vítimas de Crimes, em vez de ser alocada dólar por dólar aos requerentes do Vale do Merrimack. O DOJ observou reparações voluntárias e reivindicações civis separadas. Qualificar os US$ 53 milhões como compensação local direta seria, portanto, impreciso. A punição, o financiamento nacional de serviços às vítimas, a indenização privada e as despesas de infraestrutura são categorias de recursos diferentes, mesmo quando financiadas pelo mesmo grupo corporativo.

Os números civis, regulatórios e de indenização medem coisas diferentes

O caminho regulatório estadual foi concluído com um acordo negociado. A aprovação do acordo pelo DPU exigiu um pagamento de US$ 56 milhões, a saída de Massachusetts e a transferência de ativos para a Eversource. Cerca de US$ 15 milhões foram destinados ao perdão de dívidas de baixa renda, o restante apoiando um fundo de renovação do Vale do Merrimack para medidas de energia limpa e eficiência. O acordo resolveu as investigações de segurança e resposta a emergências do DPU e questões estaduais relacionadas em suas condições; não foi um julgamento de processo quantificando cada violação ou perda de residente.

O Formulário 10-K 2020 da NiSource fornece contexto financeiro e jurídico de primeira parte. Registra a aprovação final do tribunal em 12 de março de 2020 de um acordo coletivo de US$ 143 milhões para indivíduos e empresas dos três municípios, enquanto identifica as categorias excluídas: danos pessoais e morte injusta, sub-rogação de seguros e reivindicações sobre aparelhos sujeitos a ordens do DPU. Registra também a venda e os custos e processos relacionados ao incidente da perspectiva de relatórios da empresa.

A lista de exclusão impede um erro aritmético comum. O fundo coletivo não era o universo da compensação. Reivindicações por danos pessoais e morte injusta podiam ser processadas separadamente; seguradoras podiam exercer sub-rogação; recursos para aparelhos seguiam outro canal; municípios e empresas também receberam pagamentos ou apoio em acordos separados. Algumas reivindicações foram resolvidas fora da ação coletiva, mas as informações primárias citadas não fornecem um livro-razão final pessoa por pessoa de cada perda bruta, recuperação de seguro, custo legal e pagamento líquido.

O fundo coletivo de US$ 143 milhões, o acordo estadual de US$ 56 milhões, a multa criminal de US$ 53.030.116, as despesas de restauração, os produtos de seguro e o preço de venda também não devem ser somados como um único "custo da catástrofe". Eles têm destinatários, tratamentos contábeis, coberturas e efeitos legais diferentes. A contraprestação da venda comprou ativos de concessionária; não foi uma compensação para os residentes. A substituição de capital criou ativos operacionais; não foi necessariamente uma penalidade. Uma multa criminal puniu uma infração; não avaliou cada dano.

As evidências de recursos públicos devem usar um livro-razão de restauração com a classe de requerentes, base legal, valor bruto, fonte de financiamento, exclusões, custo administrativo, status de pagamento e sub-rogação. Quando os dados no nível de pessoas são protegidos, as categorias agregadas ainda podem mostrar se os valores aprovados foram pagos. Sem essa estrutura, grandes totais públicos podem coexistir com perguntas sem resposta sobre uma residência, pequena empresa, município ou seguradora.

A venda transferiu as operações, mas não o significado histórico do evento

A Eversource adquiriu o negócio de gás de Massachusetts em outubro de 2020 e o operou através da Eversource Gas Company of Massachusetts. A transação encerrou as operações de distribuição de gás da NiSource no estado, conforme exigido pelas resoluções federais e estaduais. Também transferiu um sistema operacional, força de trabalho, obrigações de clientes e trabalhos corretivos definidos para um sucessor sujeito à supervisão do DPU.

A venda pode ser um recurso porque muda o controle e cria um sucessor qualificado. Não é, por si só, uma evidência de que os controles de engenharia são eficazes. O comprador deve integrar o GIS, o gerenciamento de trabalho, o monitoramento de pressão, os planos de emergência, os controles de empreiteiros e as ações corretivas abertas sem perder a rastreabilidade. O acordo do DPU exigia um programa de segurança e confiabilidade e atenção às ações corretivas restantes. Essas são obrigações de implementação, não uma certificação geral na data de fechamento.

O sistema renovado do Vale do Merrimack mudou o perfil de risco físico ao substituir a configuração de baixa pressão compartilhada por distribuição de alta pressão e regulação individual. Isso reduziu a probabilidade de um evento de pressão de distrito atingir muitos aparelhos de clientes da mesma forma. No entanto, os sistemas de alta pressão introduzem seus próprios riscos de projeto, regulação, tubulações de serviço e escavação. O risco é reprojetado, não abolido.

A memória institucional também deve sobreviver à mudança de marca. O sucessor deve manter os registros de engenharia originais, as referências do dossiê do NTSB, as exceções de restauração, as ordens do DPU, os registros de testes de pressão e as evidências de ações corretivas sob identificadores de ativos estáveis. Um novo logotipo ou sistema de faturamento não pode quebrar a linhagem entre um ativo e o trabalho que o instalou ou reparou.

Para as comunidades, a saída pode satisfazer uma demanda por responsabilidade, enquanto a continuidade ainda importa. Os clientes precisam de aquecimento confiável, administração de reivindicações, contatos de emergência claros e tratamento tarifário transparente. Os municípios precisam de mapas atualizados e protocolos de ligação. As pequenas empresas precisam de restauração previsível e coordenação de trabalho nas ruas. A transição operacional deve, portanto, ser julgada da perspectiva do serviço público, bem como do fechamento da transação.

Uma prova duradoura é um sistema de controle conectado

A lição mais transferível é que os controles de segurança de gasodutos não podem permanecer em departamentos separados. O regulador de pressão está conectado a uma linha de captação; a linha de captação está conectada a um mapa; o mapa está conectado a um arquivo de trabalho; o arquivo está conectado a uma sequência de construção; a sequência está conectada à sala de controle; a sala de controle está conectada ao isolamento em campo; o isolamento em campo está conectado à resposta municipal. A responsabilidade falha quando nenhuma interface tem um proprietário.

Um sistema de prova duradoura manteria sete registros ligados. Primeiro, um registro autoritativo de ativos e linhas de controle com verificação de campo e histórico de revisões. Segundo, um arquivo de gerenciamento de mudanças do projeto mostrando estados temporários, modos de falha, aprovações e pontos de parada. Terceiro, um arquivo de revisão profissional identificando escopo, suposições e desenhos modificados. Quarto, uma visão operacional ao vivo de trabalhos críticos para a segurança, pressões, alarmes e recursos de fechamento. Quinto, um diário de interfaces com empreiteiros e municípios.

Sexto, uma cronologia de emergência com mapas, mensagens e ações de ligação. Sétimo, um livro-razão de recursos e ações corretivas que distingue penalidades, acordos, compensações, trabalhos de capital e evidências de encerramento.

A automação pode impor o roteamento, comparar o GIS com os arquivos de trabalho, alertar sobre abandono perto de ativos de reguladores e bloquear um encerramento sem dados de teste de pressão. Não pode determinar que um mapa de campo está completo simplesmente porque todos os campos obrigatórios do banco de dados contêm valores. A verificação de campo, o julgamento técnico e o desafio independente permanecem necessários. Cada exceção automatizada precisa de uma pessoa responsável, e cada desvio manual precisa de uma razão preservada e uma segunda revisão.

Os conselhos e reguladores devem testar o sistema com cenários adversos. O que acontece se ambos os reguladores perderem uma fonte de captação? Uma equipe pode abandonar uma tubulação principal enquanto uma linha de controle permanece presa? Um alarme mostra o status de construção ativo? O pessoal de campo pode isolar o distrito no tempo modelado? Os socorristas municipais recebem uma pegada precisa em minutos? O sucessor pode rastrear cada serviço de restauração até seu teste de pressão e registro de abandono? Essas perguntas transformam afirmações de reforma em evidências falseáveis.

Recomendações fechadas, acordos concluídos e ativos transferidos são marcos. Eles não são a mesma coisa que controle sustentado. O padrão de engenharia é se uma única omissão ainda pode superar a proteção contra sobrepressão. O padrão de gerenciamento é se uma condição inesperada para o trabalho. O padrão de emergência é se as informações técnicas chegam às pessoas que tomam decisões de segurança pública. O padrão de responsabilidade é se cada constatação e cada recurso permanecem devidamente atribuídos à sua instituição, procedimento legal, data e limite probatório.

O Vale do Merrimack tornou-se um teste de responsabilidade de concessionárias porque a falha inicial não se limitou a um único corte de tubo. Ela reuniu projeto, registros, revisão, operações e resposta em uma única cadeia. O reparo só é crível quando essas mesmas interfaces são reunidas deliberadamente, testadas repetidamente e documentadas suficientemente para que trabalhadores, reguladores, municípios e o público possam contestá-las.