San Bruno transformou registros de dutos e desligamento automático em um teste de responsabilidade pela segurança de gás

Resumo

• Em 9 de setembro de 2010, o gasoduto de transmissão de 30 polegadas da Pacific Gas and Electric Company, Linha 132, rompeu em San Bruno, Califórnia. O gás escapou e inflamou em um bairro residencial, matando oito pessoas, ferindo muitas outras, destruindo 38 casas e danificando 70. O National Transportation Safety Board atribuiu a causa provável à garantia de qualidade deficiente da PG&E na construção de 1956, que permitiu a instalação de uma seção de tubo mal soldada com uma falha visível na costura, e a um programa de gerenciamento de integridade inadequado que não conseguiu encontrá-la e removê-la.
• A responsabilidade vai além da solda defeituosa. Os registros da PG&E caracterizaram erroneamente o segmento rompido, sua avaliação de ameaça não compensou a incerteza, seus sistemas de controle e emergência não isolaram a ruptura rapidamente, e a linha não tinha uma válvula de fechamento automático ou de controle remoto. As conclusões federais de segurança, uma condenação criminal federal, as penalidades da California Public Utilities Commission, a compensação civil e as regras posteriores responderam a perguntas diferentes e não devem ser apresentadas como veredictos intercambiáveis.
• Uma reforma duradoura exige evidências de que os registros são rastreáveis, verificáveis e completos; fatos ausentes desencadeiam reconfirmação de pressão ou testes físicos, em vez de suposições; os métodos de avaliação podem detectar as ameaças realmente presentes; o reconhecimento de ruptura produz notificação imediata de segurança pública; e válvulas operadas remotamente ou automáticas reduzem a duração da liberação. Os totais de projetos e ações corretivas fechadas mostram atividade, não eficácia permanente, portanto, a garantia deve ser testada em segmentos amostrados e no desempenho emergencial real.

Por volta das 18h11 de 9 de setembro de 2010, um segmento enterrado da Linha 132 rompeu perto da Earl Avenue e Glenview Drive, no bairro Crestmoor de San Bruno. O gás liberado inflamou, lançando uma seção de tubo da cratera e alimentando um incêndio intenso entre as casas. Apágina de investigação concluída do NTSBregistra os fatos essenciais: o segmento rompido tinha cerca de 30 polegadas de diâmetro; a ruptura produziu uma cratera com cerca de 72 pés de comprimento e 26 pés de largura; a PG&E estimou que 47,6 milhões de pés cúbicos padrão de gás escaparam; oito pessoas morreram; 38 casas foram destruídas; e 70 foram danificadas. Esses fatos descrevem um desastre de transporte e segurança pública. Eles não decidem, por si só, uma acusação criminal, uma penalidade regulatória, uma ação de danos privados ou a adequação de um programa de reparo posterior.

O evento se tornou um teste do que uma concessionária regulamentada realmente sabe sobre um sistema envelhecido. Um gasoduto de transmissão não se torna seguro por um campo de banco de dados dizendo que um segmento é sem costura, por um limite de pressão copiado de uma folha legada ou por um formulário de gerenciamento de integridade preenchido. Cada representação deve ser apoiada por evidências que possam ser rastreadas até o tubo, verificadas por outra pessoa competente e reconciliadas com a configuração física. Onde os registros são incompletos ou contraditórios, a incerteza não é neutra.

É uma ameaça que deve alterar as decisões de pressão operacional, teste, inspeção e substituição.

San Bruno também expôs uma segunda camada de proteção. Mesmo um programa de integridade forte não pode garantir que nenhum tubo rompa. Os operadores, portanto, precisam de barreiras independentes após o início da falha: ferramentas de sala de controle que identificam uma ruptura, comunicação direta com agências de segurança pública, resposta de campo treinada e válvulas capazes de interromper o fluxo rapidamente. A costura defeituosa da Linha 132 criou a ruptura. A ausência de isolamento automático ou de controle remoto e as fraquezas na resposta de emergência prolongaram o perigo e aumentaram sua gravidade.

A prevenção e a mitigação eram deveres distintos, mas o público dependia de ambos.

Uma montagem defeituosa de tubo de 1956 sobreviveu dentro de uma descrição imprecisa do sistema

A seção rompida foi instalada durante uma realocação da Linha 132 em 1956. Não era um comprimento uniforme de tubo de fábrica. Os investigadores encontraram uma montagem fabricada contendo várias peças curtas, ou pups, unidas. Um pup tinha uma costura longitudinal com penetração incompleta e outros defeitos de soldagem. ORelatório de Acidente de Gasoduto PAR-11/01 adotado pelo NTSBconcluiu que a garantia e o controle de qualidade da PG&E durante a realocação foram inadequados e permitiram que uma seção de baixo padrão, mal soldada, com uma falha visível na costura, entrasse em serviço. Ao longo de décadas, a falha cresceu até um tamanho crítico. Um aumento de pressão associado a trabalhos elétricos mal planejados no Terminal Milpitas forneceu a condição de carga final sob a qual o tubo rompeu.

Essa conclusão é específica. O Conselho não disse que todo tubo de transmissão dos anos 1950 é defeituoso ou que a idade sozinha causou a ruptura. Ele identificou um defeito de instalação e fabricação, as condições que permitiram que ele permanecesse e um programa de integridade que não o detectou ou removeu. Também identificou isenções regulatórias de testes de pressão e supervisão insuficiente como contribuintes.

Uma análise sólida de responsabilidade, portanto, preserva a distinção entre o trabalho defeituoso original, a falha posterior em descobrir o defeito e o ambiente regulatório no qual um segmento legado não testado continuou operando.

A evidência física tornou a discrepância do registro inegável. As informações da PG&E representavam o segmento como tubo sem costura, mas o aço recuperado continha costuras longitudinais e seções curtas fabricadas em campo. Orelatório factual do Laboratório de Materiais do NTSB sobre o tubo recuperadodocumentou uma trinca originada na costura longitudinal do pup 1 e características consistentes com falta de penetração da solda. Este relatório de laboratório é evidência física primária ligada aos espécimes e métodos que descreve. Ele não estabelece de forma independente todas as falhas de gestão ou violações legais; essas conclusões requerem o relatório adotado e os registros dos órgãos adjudicantes relevantes.

A discrepância importava porque o tipo de tubo determina quais ameaças um programa de integridade deve considerar e qual tecnologia de avaliação é adequada. Se um registro diz que um segmento é sem costura, os analistas podem não priorizar defeitos de fabricação de costura longitudinal. Se o segmento verdadeiro consiste em peças curtas não padronizadas com costuras deficientes, uma avaliação focada em corrosão pode perder o modo de falha controlador. Um erro de banco de dados pode, portanto, tornar-se uma falha de controle físico quando suprime a própria ameaça que deveria impulsionar testes ou substituição.

Os registros eram alegações de segurança, não inventário administrativo

Os registros de gasodutos suportam a pressão máxima de operação permitida, propriedades dos materiais, diâmetro, espessura da parede, tipo de costura, histórico de instalação, localização de classe, vazamentos anteriores, testes e reparos. Cada campo influencia o risco. MAOP não é simplesmente um alvo operacional; deve basear-se em um cálculo defensável e evidências qualificadas. A localização de classe e o status de área de alta consequência afetam os requisitos aplicáveis e a intensidade da avaliação. O tipo de costura direciona a atenção para ameaças de fabricação.

O histórico de testes estabelece se defeitos de um determinado tamanho já deveriam ter falhado e sido removidos.

Odossiê público do NTSBpreserva 400 itens, incluindo evidências de operações, relatórios metalúrgicos, dados SCADA, mapas, material de construção, históricos de pressão, entrevistas e submissões das partes. Ele mostra como as evidências estavam dispersas. O dossiê é um repositório, não uma conclusão única adotada. Uma submissão da PG&E registra o que a empresa forneceu; um relatório factual do grupo descreve fatos coletados; um documento de laboratório relata resultados de exames; apenas o relatório final do Conselho declara a causa provável e as conclusões adotadas. Essa hierarquia importa sempre que a interpretação de uma parte difere da disposição do Conselho.

O padrão pós-acidente de que os registros sejam rastreáveis, verificáveis e completos pode ser traduzido em controles. Rastreável significa que um valor aponta para seu documento de origem, teste, desenho, registro de compra ou observação de campo e, em seguida, para um ativo específico. Verificável significa que outra pessoa qualificada pode confirmar o valor a partir de evidências independentes ou autenticadas, em vez de confiar na repetição dentro do mesmo banco de dados.

Completo significa que a evidência contém as características necessárias para a decisão e não está faltando qualificadores, revisões ou componentes adjacentes que possam controlar a pressão.

Asrecomendações urgentes de registros do NTSB para a PG&E e reguladorestornaram essa linguagem operacional após a ruptura. As recomendações buscavam uma busca agressiva de registros, identificação de segmentos de transmissão de gás para os quais a pressão não pudesse ser substanciada e determinação de MAOP segura usando registros confiáveis. Uma recomendação de segurança não é uma ordem criminal ou uma indenização. Ela identifica ação preventiva para um destinatário específico, e seu status posterior descreve o tratamento do NTSB da resposta. Não certifica todos os ativos subjacentes indefinidamente.

Um programa defensável de reparo de registros deve preservar evidências negativas. Se nenhum certificado de moinho, gráfico de teste de pressão ou desenho as-built pode ser encontrado, o sistema deve registrar a busca fracassada, os repositórios verificados, os conflitos descobertos e a consequência de engenharia. Selecionar silenciosamente o valor sobrevivente mais conveniente converte ausência de prova em falsa confiança.

Para um segmento urbano de alta consequência, evidências não resolvidas de material ou pressão devem levar a teste hidrostático, verificação de material, redução de pressão, substituição ou outro método permitido por regulamento e demonstrado para abordar a ameaça relevante.

O gerenciamento de integridade falhou em fazer a pergunta que o tubo exigia

O gerenciamento de integridade visa identificar ameaças, avaliar segmentos cobertos, reparar condições significativas e melhorar o programa usando experiência operacional. Seu valor depende se o modelo de risco representa a realidade. Uma ferramenta de classificação pode produzir pontuações precisas enquanto omite defeitos de fabricação porque o registro de entrada classifica uma linha como sem costura. Pode recompensar a ausência de incidentes registrados mesmo quando a ausência reflete histórico faltante.

Pode escolher avaliação direta ou outros métodos úteis para corrosão, mas incapazes de revelar um defeito de costura longitudinal do tipo presente em San Bruno.

Orelatório do Painel de Revisão Independentecriado pela CPUC examinou a gestão e supervisão mais amplas. O painel encontrou múltiplas fraquezas na gestão da segurança da transmissão de gás da PG&E e concluiu que a CPUC carecia de recursos e foco organizacional suficientes para monitorar adequadamente o desempenho do gerenciamento de integridade. Criticou dados fragmentados, garantia de qualidade fraca, responsabilidade pouco clara e atenção estratégica insuficiente. O painel foi comissionado para coleta de fatos e recomendações; o NTSB manteve o papel controlador federal de causa de acidente. Suas conclusões organizacionais não devem ser rotuladas como causa provável do Conselho ou como veredictos criminais.

O modo de falha demonstra por que a seleção de ameaças deve ser contestável. Um revisor de garantia deve começar com todas as ameaças plausíveis para tubo da idade, fabricante, prática de construção, histórico de pressão e ambiente da linha, e depois mostrar qual evidência suporta a remoção de qualquer ameaça de análise posterior. Registros contraditórios devem expandir, não estreitar, o conjunto de ameaças. O método de avaliação deve então ser combinado com essas ameaças com limites de detecção documentados.

Se ferramentas de inspeção em linha não podem passar ou não podem caracterizar confiavelmente anomalias de costura, o operador deve escolher teste de pressão, substituição ou outra técnica validada.

Os modelos de risco também precisam de ameaças interativas e cumulativas. Um defeito de fabricação pode permanecer estável por décadas, mas ciclagem de pressão, sobrepressão anterior, trabalho externo, corrosão ou movimento do solo podem alterar sua margem. Não é suficiente pontuar cada categoria independentemente e assumir que o maior número controla. Os engenheiros devem declarar como as ameaças podem se combinar e que evidência refutaria o modelo. Um programa de integridade se torna responsável quando dados adversos podem mudar prioridades e orçamentos, em vez de serem racionalizados para preservar um cronograma pré-existente.

A análise do Conselho também conectou a pressão de ruptura ao trabalho no Terminal Milpitas. A atividade elétrica interrompeu a regulação, e a pressão a montante aumentou. A pressão permaneceu abaixo do MAOP registrado, mas o tubo falhou porque a costura defeituosa real não tinha a capacidade assumida pela documentação. Esse é o aviso central: a conformidade com um teto nominal de pressão não pode proteger um segmento cuja base de material e construção está errada. O MAOP deve ser o resultado de evidências verificadas, não um número herdado tratado como evidência em si.

Pressão operacional e isenções legadas não deixaram teste de prova para a falha

O teste de pressão é uma maneira de expor defeitos que não podem sobreviver a uma margem definida acima da pressão operacional. O segmento rompido não recebeu o tipo de teste hidrostático pós-construção que provavelmente teria revelado seus defeitos de instalação. Gasodutos existentes se beneficiaram de disposições regulatórias que permitiam que a pressão operacional histórica suportasse o MAOP sem um teste de prova moderno. O NTSB identificou isenções federais e estaduais dos requisitos de teste de pressão como contribuintes para o acidente, porque um teste suficientemente exigente provavelmente teria detectado os defeitos.

Essa conclusão não significa que o teste hidrostático seja livre de riscos ou universalmente superior. Um teste de pressão pode causar ruptura, criar problemas de gerenciamento de água e serviço, e pode deixar alguns defeitos sobreviventes que crescem depois. A inspeção em linha pode cobrir longas distâncias e caracterizar múltiplas condições, mas apenas se a linha estiver configurada para a ferramenta e a tecnologia puder detectar e dimensionar a anomalia controladora. A substituição remove a incerteza para o segmento selecionado, mas requer controles de qualidade de construção próprios.

A responsabilidade está em combinar o método com a ameaça e documentar por que o método selecionado produz a evidência necessária.

Os reguladores da Califórnia iniciaram múltiplos procedimentos formais. Aordem da CPUC abrindo a investigação de San Brunoenquadrou alegações sobre construção, gerenciamento de integridade, manutenção de registros, SCADA, procedimentos de emergência e cultura de segurança corporativa para adjudicação sob requisitos estaduais e federais administrados pela Comissão. Uma ordem que institui uma investigação é um documento processual e de estabelecimento de alegações. Não deve ser citada como se toda alegação da equipe já fosse uma conclusão final da Comissão. Decisões posteriores, após notificação e audiência, controlam a disposição regulatória.

A validação de pressão após San Bruno teve, portanto, duas tarefas vinculadas. Primeiro, a PG&E teve que encontrar e reconciliar registros para seu sistema de transmissão de gás. Segundo, onde os registros não puderam substanciar a pressão, teve que criar novas evidências físicas através de testes, verificação de material, substituição ou redução de classificação. Um arquivo de controle robusto mostraria o identificador do ativo, busca de registro, conflitos, método de reconfirmação selecionado, parâmetros de teste, anomalias, reparos, MAOP atualizado, aprovação independente e vinculação ao sistema operacional.

Sem essa cadeia, um total de campanha pode ocultar segmentos individuais cuja base permanece não resolvida.

A sala de controle reconheceu um evento grave, mas não conseguiu converter a conscientização em isolamento rápido

Quando a ruptura ocorreu, chamadores de emergência relataram uma explosão e incêndio. Relatos iniciais incluíam especulação sobre um evento de aeronave ou posto de gasolina. O pessoal de controle da PG&E viu informações anormais de pressão e fluxo, e alguns reconheceram uma ruptura na Linha 132 em minutos, mas a incerteza persistiu sobre se o evento envolvia transmissão ou distribuição e sobre sua localização exata. O sistema SCADA carecia de instrumentação próxima e modelagem em tempo real de ruptura ou vazamento que pudesse comparar o comportamento hidráulico esperado com medições reais e identificar o ponto provável de ruptura.

O reconhecimento não é um timestamp binário. Uma sala de controle pode saber que algo sério ocorreu antes de saber o ativo exato e o endereço. Os procedimentos de emergência devem especificar qual ação segue cada nível de confiança. Uma possível ruptura de alta taxa em uma área urbana deve desencadear notificação direta imediata ao centro 911 relevante, ação conservadora do sistema e envio de pessoal para válvulas predeterminadas. Esperar pela localização perfeita pode preservar a incerteza enquanto o gás continua alimentando um incêndio.

A Linha 132 foi isolada através de uma combinação de ações remotas e manuais. As válvulas a jusante no Martin Station foram fechadas remotamente, enquanto mecânicos de campo dirigiram até e fecharam manualmente uma válvula principal a montante. O fluxo de transmissão principal foi interrompido cerca de 95 minutos após a ruptura. Linhas de distribuição locais continuaram alimentando alguns incêndios até ações posteriores. Isso não foi apenas um problema de tempo de viagem. Refletiu isolamento automatizado limitado, consciência situacional imperfeita, comunicações e um plano de emergência que não produziu a resposta protetora mais rápida.

Oregistro do incidente de San Bruno da CPUCmantém visíveis as conclusões de prevenção e consequência. Atribui a causa provável da ruptura às falhas de construção e integridade identificadas pelo NTSB, e afirma que a falta de válvulas automáticas ou de controle remoto e o atraso no isolamento contribuíram para a gravidade. Também resume testes posteriores, substituição, capacidade de inspeção em linha, instalação de válvulas automatizadas e validação de registros relatados sob o Plano de Melhoria de Segurança de Gasodutos da PG&E. Esses números estabelecem trabalhos concluídos conforme relatados ao regulador. Eles não são prova de que cada ativo operará corretamente em uma emergência futura.

Válvulas automáticas e de controle remoto são uma camada de mitigação, não um substituto para tubo sólido

Uma válvula de fechamento automático pode responder a condições definidas de pressão ou fluxo sem esperar por um comando remoto. Uma válvula de controle remoto permite que um operador a feche a partir de um centro de controle após interpretar informações do sistema. Ambas podem reduzir a duração e o volume de uma liberação, mas cada uma introduz questões de projeto. Sensores devem distinguir ruptura de transitórios de rotina. Comunicações e energia devem sobreviver ao evento. O espaçamento das válvulas deve produzir isolamento significativo. O fechamento não deve criar um surto de pressão inseguro ou consequência de serviço em outro lugar.

Os operadores precisam de regras de substituição, manutenção, exercícios e prova de que a válvula atingiu a posição comandada.

A Lei de Segurança de Gasodutos de 2011 direcionou mais trabalho sobre válvulas automatizadas e resposta a incidentes. Orelatório do GAO sobre resposta do operador e válvulas automatizadasdescobriu que benefícios, potenciais fechamentos não intencionais e custos variam por localização e recomendou melhores dados e orientação para decisões. Observou que um isolamento mais rápido poderia ter reduzido o volume liberado em San Bruno e a gravidade dos riscos à propriedade e aos respondedores. A análise de políticas do GAO não é uma conclusão de causa de acidente e não estabelece que um tipo de válvula é sempre correto. Ela define a evidência de decisão que reguladores e operadores devem coletar.

Os requisitos federais posteriormente avançaram além do incentivo caso a caso para linhas novas e substituídas especificadas. Avisão geral da regra de válvula de mitigação de ruptura da PHMSAdescreve requisitos para válvulas de fechamento remoto ou automático, ou tecnologia equivalente, em gasodutos terrestres cobertos recém-construídos e totalmente substituídos, juntamente com disposições de espaçamento, manutenção, inspeção, análise de risco e resposta a rupturas. Também exige contato imediato com o 911 após notificação de uma potencial ruptura e investigação pós-ruptura. O escopo importa: a regra não significa que todo segmento legado recebeu instantaneamente uma nova válvula, nem que a instalação por si só prova eficácia emergencial.

Para garantia, uma concessionária deve testar a função de isolamento completa. Deve simular uma ruptura, confirmar sensores e alarmes, registrar como os controladores a classificam, verificar notificação externa imediata, emitir um comando ou observar a lógica automática, cronometrar o movimento e confirmar o fechamento físico. Deve então calcular o volume restante entre válvulas e o efeito de retroalimentações e conexões de distribuição.

Um painel mostrando que uma válvula é "automatizada" é incompleto se as comunicações falharem, o atuador estiver indisponível, o modelo hidráulico estiver errado ou outra alimentação continuar fornecendo gás.

A resposta de emergência exigia uma imagem operacional compartilhada com agências públicas

Os bombeiros estabeleceram comando de incidente rapidamente e enfrentaram um incêndio urbano intenso alimentado por gás. Eles precisavam saber se um gasoduto de transmissão estava envolvido, onde ele corria, como poderia ser isolado e quando o fornecimento de combustível havia parado. As salas de controle da concessionária, despachantes, equipes de campo e respondedores públicos tinham diferentes partes dessa informação. O atraso mostrou por que cadeias de retransmissão informais e rumores são inseguros para um sistema de alta consequência.

Antes de um incidente, a concessionária deve fornecer mapas de transmissão atuais, informações de válvulas e contatos de emergência diretos para agências de incêndio e gerenciamento de emergência. Durante um incidente, a sala de controle deve ligar para o 911 diretamente assim que uma possível ruptura for indicada, declarar a linha e a incerteza, e manter uma ligação contínua. Os respondedores de campo devem relatar evidências visíveis e audíveis através de um canal dedicado, em vez de uma fila geral. O comando de incidente deve receber atualizações explícitas quando os caminhos a montante, a jusante e de retroalimentação forem fechados.

A mensagem pública deve separar fatos confirmados de instruções protetivas e não deve esperar pela certeza da causa raiz.

OPlano de Ação de Segurança de Gás Natural da CPUCdescreve uma mudança regulatória em direção à avaliação e gerenciamento de riscos e rastreia respostas às recomendações do NTSB e do painel independente. Suas quatro metas de alto nível incluem cultura de segurança, supervisão regulatória, políticas informadas por risco e preparação para emergências. Um plano é evidência de estrutura de governança. Não demonstra que a equipe tem expertise adequada em todos os períodos, que cada auditoria desafia as suposições do operador ou que as comunicações de campo funcionam sob estresse.

Os exercícios devem, portanto, gerar evidências adversas. Um exercício útil registra chamadas perdidas, conflitos de mapa, incerteza sobre a propriedade da válvula, despacho atrasado, comunicações falhadas e desacordo sobre a classificação de ruptura. As ações corretivas devem ter proprietários e prazos, e um exercício posterior deve mostrar que a fraqueza foi corrigida. Um relatório de exercício de mesa perfeito pode indicar que o cenário foi muito roteirizado. A lição de responsabilidade de San Bruno é que os sistemas devem ter um desempenho quando a primeira informação é confusa e o evento físico já está escalando.

A culpa criminal foi decidida por um júri federal em um registro e padrão diferentes

O NTSB investiga para prevenir acidentes. Seu relatório de causa provável não é um instrumento de acusação criminal e não determina culpa. Promotores federais acusaram separadamente a PG&E de violações da Lei de Segurança de Gasodutos de Gás Natural e obstrução. Após um julgamento, um júri considerou a empresa culpada de cinco violações intencionais de segurança de gasodutos e uma acusação de obstrução corrupta do processo do NTSB. Oanúncio de veredicto do Departamento de Justiçaexplica que as acusações de gasodutos diziam respeito a práticas de manutenção de registros e gerenciamento de integridade de 2007 a 2010, enquanto a acusação de obstrução dizia respeito a uma tentativa de influenciar a investigação através do tratamento de um documento de política da empresa.

O veredicto deve ser descrito precisamente. Foi uma condenação criminal corporativa em seis acusações de crime provadas ao júri sob as instruções aplicáveis. Não foi uma condenação por homicídio pelas oito mortes, nem uma condenação de cada funcionário, nem um veredicto sobre cada defeito listado pelo NTSB ou CPUC. A diferença não diminui a seriedade do julgamento. Protege a distinção entre conduta realmente acusada e provada além de dúvida razoável e conclusões mais amplas de segurança ou regulatórias alcançadas sob outros mandatos.

Oregistro de sentença do DOJafirma que o tribunal distrital impôs uma penalidade monetária de $3 milhões, cinco anos de liberdade condicional, um monitor de conformidade e ética, requisitos de publicidade e 10.000 horas de serviço comunitário. O valor monetário refletiu limites estatutários para as acusações, não uma valoração de vidas, casas ou dano total. A punição criminal serviu a propósitos de dissuasão, condenação e conformidade. Não compensou cada vítima ou financiou toda a reconstrução do sistema.

Esse limite também importa ao avaliar conduta posterior. A conclusão da liberdade condicional ou tarefas do monitor mostra que condições especificadas da sentença foram abordadas; não pode apagar a condenação ou provar segurança permanente. Inversamente, falhas posteriores em outra parte das operações de uma concessionária não mudam retroativamente o que o júri de San Bruno decidiu. Cada evento e processo legal requer suas próprias acusações, evidências e padrão.

As penalidades da CPUC foram sanções e remédios administrativos, não indenizações civis

A California Public Utilities Commission conduziu processos sobre a explosão, manutenção de registros e práticas de localização de classe. Em 2015, adotou uma decisão combinada de penalidade e remédio. ADecisão D.15-04-024 da CPUCimpôs um pacote totalizando $1,6 bilhão: $850 milhões em melhorias de segurança de transmissão de gás financiadas pelos acionistas, uma multa de $300 milhões ao Fundo Geral do estado, um crédito de $400 milhões aos consumidores de gás e aproximadamente $50 milhões para mais de 75 remédios especificados. A Comissão baseou sua ação em decisões de violação complementares e sua autoridade regulatória estatutária.

Chamar todo o $1,6 bilhão de "multa" perde uma alocação importante. Um pagamento ao Fundo Geral é uma multa. Uma desaprovação para investimento em segurança impede que os acionistas obtenham recuperação em trabalhos especificados. Um crédito ao consumidor retorna valor aos clientes. O financiamento de remédios paga por medidas corretivas. Nenhum desses é o mesmo que compensação negociada ou adjudicada para a morte, lesão ou perda de propriedade de uma família. Categorias claras permitem que um auditor teste se o dinheiro foi para onde a ordem exigia.

A decisão também não pode ser mesclada com a sentença criminal federal. A adjudicação da CPUC usou procedimentos administrativos estaduais e abordou violações regulatórias em três investigações. O caso criminal exigiu prova das acusações federais imputadas além de dúvida razoável. Evidências sobrepostas sobre registros e gerenciamento de integridade não tornam os resultados duplicativos ou intercambiáveis; eles exercem diferentes poderes públicos.

A implementação permaneceu uma tarefa contínua. Umaatualização do plano de conformidade da PG&E de 2021 arquivada na CPUCrelatou o status de 144 remédios e sub-recomendações e afirmou que três itens de gerenciamento de registros permaneciam abertos naquela data, envolvendo padronização ou migração de registros mantidos em repositórios independentes, unidades compartilhadas e armazenamento local. Esta é uma apresentação de conformidade da empresa datada, não uma certificação independente de que todos os outros controles estavam operando efetivamente. Seu valor é que preserva trabalho aberto em vez de converter um programa amplamente concluído em uma alegação de encerramento incondicional.

Um regulador maduro deve amostrar a evidência subjacente por trás do encerramento. Para remédios de registro, isso significa rastrear um atributo de tubo através do repositório autoritativo, testar controles de acesso e histórico de revisão, e comparar o valor eletrônico com a verificação de campo. Para válvulas, significa testemunhar testes de função e revisar tempos de resposta. Para gerenciamento de integridade, significa recalcular classificações de ameaça selecionadas e verificar se descobertas adversas mudaram projetos.

O encerramento documental sem amostragem operacional corre o risco de reconstruir a mesma lacuna entre a garantia registrada e a realidade física.

A compensação civil e a restituição comunitária seguiram seus próprios canais de acordo

Famílias, feridos, proprietários de imóveis e a cidade experimentaram perdas que as recomendações de segurança e as penalidades públicas não podiam reparar. Reivindicações civis abordam compensação e alocação de perda privada sob a lei civil. Acordos podem entregar pagamento sem um veredicto de julgamento sobre cada alegação, e a confidencialidade pode limitar detalhes públicos ao nível do reclamante. É, portanto, inseguro descrever estimativas agregadas da mídia como se fossem uma conclusão causal do tribunal ou um cronograma de distribuição completo.

O registro municipal público é mais específico. Oacordo de março de 2012 entre a PG&E e a Cidade de San Brunoforneceu uma contribuição de $70 milhões consistindo em $68,75 milhões em dinheiro e cinco lotes vagos avaliados em $1,25 milhão, destinados a uma entidade de propósito público isenta de impostos beneficiando a cidade e seus residentes. Também abordou um mecanismo de confiança separado para custos municipais relacionados ao incidente. O acordo resolveu as reivindicações da cidade sob seus termos. Não foi o acordo de cada reivindicação de lesão pessoal ou propriedade e não substituiu a ação criminal ou regulatória.

Essa distinção protege o significado de restituição. O financiamento comunitário pode apoiar parques, instalações, serviços ou outros benefícios de longo prazo selecionados através da estrutura do acordo. O reembolso de custos municipais de resposta e reconstrução serve a um propósito diferente. A compensação individual responde a reivindicações distintas de morte, lesão e propriedade. Os créditos ao consumidor sob a decisão da CPUC servem aos clientes como classe. Combinar todos os pagamentos em um número torna impossível ver quem foi compensado, quem arcou com o custo e quais danos permaneceram fora de um acordo específico.

A responsabilidade pelo remédio também deve incluir administração. Entidades públicas devem relatar o saldo inicial, política de investimento, subsídios ou projetos, conflitos de governança e fundos restantes. A confidencialidade do reclamante privado deve ser respeitada, enquanto categorias agregadas podem ser relatadas quando lícito. O pagamento é um resultado real, mas não estabelece que as reformas técnicas foram concluídas. Inversamente, substituir tubo não satisfaz uma reivindicação civil de uma família. Remédio e prevenção devem ser rastreados em paralelo.

A reforma federal fortaleceu tanto a evidência de pressão quanto a mitigação de ruptura

O Congresso aprovou a Lei de Segurança de Gasodutos, Certeza Regulatória e Criação de Empregos de 2011 após grandes acidentes em gasodutos, incluindo San Bruno. As regras federais posteriores abordaram duas lacunas centrais: a base para a pressão operacional em tubulações legadas e a velocidade de mitigação de ruptura. O longo intervalo entre acidente, legislação e regras finais é em si uma questão de responsabilidade. Regras nacionais complexas exigem análise técnica e processo público, mas a ação intermediária do operador e estadual permanece necessária enquanto a elaboração de regras prossegue.

Apágina da regra final de transmissão de gás da PHMSA de 2019descreve requisitos para reconfirmar MAOP para gasodutos anteriormente não testados especificados e gasodutos sem registros materiais ou operacionais, expandir avaliações além de áreas designadas de alta consequência, relatar excedências de MAOP e melhorar disposições de integridade e manutenção de registros. A regra é evidência regulatória prospectiva com aplicabilidade, prazos e métodos definidos. Não deve ser descrita como o padrão legal que rege a conduta da PG&E em 1956 ou como prova de que toda deficiência de registro existente em 2010 foi reparada.

A combinação de regras de registro e válvulas reflete defesa em profundidade. Dados verificados de tubos e testes de pressão buscam prevenir ruptura. Avaliações apropriadas à ameaça buscam encontrar defeitos antes da falha. Detecção de ruptura, comunicação de emergência e válvulas rápidas limitam danos se a prevenção falhar. Nenhuma camada desculpa fraqueza em outra. Uma concessionária não pode argumentar que válvulas automáticas tornam o tubo defeituoso aceitável, ou que registros fortes de tubos tornam a resposta de emergência opcional.

As regras também criam oportunidades para automação sem transferir julgamento para software. Um sistema de registro pode sinalizar propriedades de material faltantes, tipos de costura conflitantes, datas de instalação impossíveis e segmentos sem testes de pressão qualificados. A análise hidráulica pode detectar desvio do fluxo e pressão esperados. Um controlador de válvula pode executar uma resposta mais rápido do que uma equipe em deslocamento. Mas os engenheiros devem validar a proveniência dos dados, suposições do modelo, limites de alarme, estados seguros contra falhas e consequências não intencionais.

A automação é responsável apenas quando os proprietários humanos podem explicar por que ela age e a evidência prova que ela agiu corretamente.

As métricas de reparo precisam de evidências de denominador, qualidade e evento adverso

Após San Bruno, a PG&E empreendeu um grande Plano de Melhoria de Segurança de Gasodutos. O trabalho relatado incluiu centenas de milhas de teste de resistência, substituição de tubos, conversão para inspeção em linha, instalação de válvulas automatizadas e coleta e validação em todo o sistema de registros de transmissão. Esses resultados importam. Eles mostram que a infraestrutura física e de informação mudou.

Mas os totais sozinhos não podem responder se os segmentos de maior risco foram selecionados primeiro, se os testes usaram margens adequadas, se as novas soldas atenderam aos requisitos de qualidade ou se cada válvula automatizada está disponível.

A questão de garantia começa com o denominador. "Milhas testadas" devem ser comparadas com milhas que requerem teste, distribuição de risco e prazos de conclusão. "Registros validados" devem identificar quais atributos e que evidência atenderam ao padrão. "Válvulas instaladas" devem distinguir equipamentos automáticos de controle remoto, mostrar cobertura de segmentos de alta consequência e relatar disponibilidade funcional. "Capaz de ILI" deve ser separado de realmente inspecionado, descobertas reparadas e reavaliação agendada.

A evidência de qualidade é igualmente importante. Os arquivos de teste hidrostático devem incluir instrumentos calibrados, pressão e duração, falhas, reparos e resultados de reteste. A verificação de material deve documentar amostragem e incerteza. Os registros de substituição devem incluir certificados de moinho, procedimentos de soldagem, exame não destrutivo, testes de pressão, posição geoespacial e reconciliação as-built. A garantia de válvula deve incluir tempo de curso, resiliência de energia e comunicação, competência do controlador e consequências hidráulicas.

Os sistemas de registro devem impedir que um valor não verificado seja promovido à fonte autoritativa meramente porque aparece em vários arquivos herdados.

Eventos adversos revelam se o programa aprende. Vazamentos, excedências de pressão, testes falhados, fechamentos falsos de válvulas, inspeções perdidas, registros conflitantes e quase acidentes devem ser relatados aos conselhos de administração e reguladores com análise de causa raiz e recorrência. Uma instituição que relata apenas conclusão de projeto pode parecer mais segura enquanto seus controles continuam produzindo exceções. A prova mais forte não é a ausência de más notícias; é a evidência de que más notícias são detectadas cedo, escaladas e resolvidas.

Uma auditoria de reconstrução pode testar se os controles falhos de San Bruno agora funcionam

Uma auditoria prática começa com uma amostra de segmentos de transmissão urbana, incluindo tubos legados, segmentos com registros incompletos e locais cuja cobertura de válvula mudou. Para cada segmento, congele a configuração física e o identificador de ativo autoritativo. Recupere os documentos de construção originais, reparos, propriedades do material, tipo de costura, diâmetro, espessura da parede, revestimento, localização de classe, status de alta consequência, histórico de pressão, registros de teste e resultados de inspeção. Cada fato material deve ter proveniência e um proprietário.

Em seguida, reproduza a decisão de MAOP. Verifique o método regulatório aplicável, componente mais fraco, histórico de pressão, fator de teste e qualquer prazo de reconfirmação. Se o conjunto de registros estiver incompleto, confirme que a incerteza produziu uma alternativa aprovada, como teste, verificação, redução de classificação ou substituição. Compare o limite operacional no SCADA com a aprovação de engenharia e as configurações de campo. Uma incompatibilidade entre esses sistemas é em si uma descoberta crítica.

Em seguida, reconstrua a avaliação de ameaças. Comece a partir da evidência real de material e construção, e não da saída do modelo de risco. Confirme que as ameaças de fabricação, construção, corrosão, danos de terceiros, movimento do solo e operacionais foram consideradas e que as exclusões têm razões. Teste se o método de avaliação selecionado pode encontrar as anomalias de preocupação. Revise resultados brutos de inspeção, chamadas de analistas, seleção de escavação, reparos e lições incorporadas em segmentos similares.

Finalmente, conduza um exercício de ruptura não anunciado ou minimamente roteirizado. Introduza anomalias realistas de pressão e fluxo, informações de chamador incompletas e uma falha de comunicação. Meça o tempo até o alarme, classificação, notificação ao 911, decisão de válvula, despacho, isolamento físico e confirmação ao comando de incidente. Teste energia e comunicações alternativas. Calcule a liberação residual e identifique alimentações contínuas. Exija ações corretivas para cada atraso e repita o exercício até que o desempenho atinja a meta.

A governança deve conectar os resultados. Um comitê de segurança do conselho e regulador devem receber exceções ao nível do segmento, não apenas painéis agregados. Auditores independentes precisam de acesso a registros de origem e modelos de engenharia. A equipe de operações precisa de autoridade para reduzir a pressão quando a evidência é inadequada. Os incentivos devem recompensar a redução durável de riscos e a escalada honesta, não a aparência de conclusão de cronograma. Os residentes e respondedores precisam de informações utilizáveis sobre localizações de gasodutos e ações de emergência sem divulgação que crie riscos de segurança.

O padrão de responsabilidade

San Bruno era evitável porque vários controles poderiam ter interrompido a cadeia. A garantia de qualidade adequada em 1956 poderia ter rejeitado o tubo visivelmente defeituoso. Registros as-built precisos poderiam ter identificado a costura e a montagem fabricada incomum. Um programa de integridade consciente de ameaças poderia ter selecionado uma avaliação capaz de detectar o defeito. Um teste de pressão qualificante provavelmente poderia tê-lo exposto. Melhores sistemas e procedimentos de sala de controle poderiam ter localizado a ruptura mais rapidamente.

Válvulas automáticas ou de controle remoto poderiam ter reduzido a duração do fluxo de gás e a gravidade do incêndio.

A responsabilidade por esses controles deve permanecer específica ao ator. A PG&E possuía registros de construção, decisões de integridade, operação e isolamento de emergência. A CPUC detinha responsabilidades estaduais de supervisão regulatória e delegada de segurança e posteriormente reconheceu deficiências em seus recursos e foco de monitoramento. A PHMSA controlava padrões federais e supervisão dentro de seu papel estatutário. Os bombeiros e respondedores municipais gerenciaram a proteção pública com as informações disponíveis para eles.

Esses papéis se sobrepõem nas interfaces, mas não são idênticos e não devem receber uma parcela indiferenciada de culpa.

As vias legais devem permanecer igualmente precisas. O NTSB adotou causa provável para fins de prevenção de acidentes. O júri federal condenou a PG&E em cinco acusações intencionais de segurança de gasodutos e obstrução, e o tribunal impôs uma sentença corporativa. A CPUC encontrou violações regulatórias e impôs penalidades e remédios administrativos. O acordo da cidade resolveu reivindicações civis municipais sob um acordo. Outras reivindicações civis seguiram seus próprios processos. Nenhum desses resultados prova automaticamente outro, e nenhum pagamento ou programa encerra toda categoria de dano.

O padrão duradouro é a evidência que sobrevive à contradição. Um registro de tubo deve ser confiável porque aponta para prova física e documental verificada, não porque existe há décadas. Uma pressão operacional deve ser aceita porque o componente mais fraco pode suportá-la sob um método aprovado, não porque o sistema geralmente funcionou lá. Uma pontuação de integridade deve impulsionar ação apenas depois que suas ameaças e entradas foram desafiadas. Uma válvula automatizada deve contar como proteção apenas após testes de ponta a ponta demonstrarem isolamento confiável.

Um remédio fechado deve significar que operações amostradas mostram que o controle funciona.

San Bruno transformou uma falha de costura invisível em um teste público de conhecimento institucional. O desastre mostrou que a qualidade dos dados não é uma preocupação de escritório quando os dados decidem o quão forte um gasoduto enterrado pode ser pressurizado e como será inspecionado. Também mostrou que a prevenção não pode ficar sozinha: quando uma ruptura começa, minutos, caminhos de comunicação e arquitetura de válvula se tornam controles de segurança de vida.

A responsabilidade pela segurança do gás é completa apenas quando concessionárias e reguladores podem provar ambas as proposições segmento por segmento – conhecer o tubo antes que ele falhe, e parar o fluxo rapidamente se isso acontecer.