Кратко

  • 9 сентября 2010 года 30-дюймовый газопровод Line 132 компании Pacific Gas and Electric Company разорвался в Сан-Бруно, Калифорния. Вырвавшийся газ воспламенился в жилом квартале: погибли восемь человек, многие пострадали, 38 домов были уничтожены и 70 повреждены. По заключению NTSB, вероятная причина была связана с недостаточным контролем качества при строительстве в 1956 году, из-за чего в эксплуатацию попал плохо сваренный участок трубы с видимым дефектом продольного шва, а также с неадекватной программой управления целостностью, которая не смогла обнаружить и устранить этот дефект.
  • Ответственность не сводится к дефектному шву. Записи PG&E искажённо описывали разрушившийся участок, оценка угроз не учитывала неопределённость, системы управления и аварийного реагирования не изолировали разрыв быстро, а на линии отсутствовал автоматический или дистанционно управляемый отсечной клапан. Федеральные выводы о безопасности, федеральный уголовный приговор, штрафы CPUC, гражданские компенсации и позднейшие нормативные требования отвечали на разные вопросы, и их нельзя выдавать за взаимозаменяемые вердикты.
  • Устойчивая реформа требует доказательств того, что записи прослеживаемы, проверяемы и полны; что недостающие факты ведут к повторному подтверждению давления или физическим испытаниям, а не к предположениям; что методы оценки способны обнаружить реально присутствующие угрозы; что распознавание разрыва приводит к немедленному оповещению служб спасения; и что дистанционно управляемые или автоматические клапаны сокращают продолжительность выброса. Итоговые показатели проектов и закрытые корректирующие мероприятия свидетельствуют об активности, а не о постоянной эффективности, поэтому уверенность в безопасности должна проверяться на выборке участков и на реальных аварийных действиях.

Примерно в 18:11 9 сентября 2010 года подземный участок Line 132 разорвался в районе Crestmoor в Сан-Бруно, у пересечения Earl Avenue и Glenview Drive. Вырвавшийся газ воспламенился, выбросил из воронки секцию трубы и питал интенсивный пожар среди домов. Настранице NTSB о завершённом расследованиизафиксированы основные факты: разрушившийся участок имел диаметр около 30 дюймов; разрыв образовал воронку длиной около 72 футов и шириной 26 футов; по оценке PG&E, вырвалось 47,6 млн стандартных кубических футов газа; погибли восемь человек; уничтожено 38 домов; повреждено 70. Эти факты описывают транспортную катастрофу и бедствие для общественной безопасности.

Сами по себе они не решают вопрос об уголовном обвинении, регуляторном штрафе, частном иске о возмещении ущерба или достаточности позднейшей программы ремонта.

Это событие стало проверкой того, что регулируемая коммунальная компания на самом деле знает о стареющей системе. Магистральный газопровод не становится безопасным из-за поля в базе данных, гласящего, что участок бесшовный, из-за предела давления, скопированного из старого бланка, или из-за заполненной формы управления целостностью. Каждое утверждение должно подтверждаться доказательствами, которые можно проследить до самой трубы, проверить силами другого компетентного специалиста и сопоставить с фактической конфигурацией. Там, где записи неполны или противоречивы, неопределённость не нейтральна.

Это угроза, которая должна менять решения о рабочем давлении, испытаниях, инспекциях и замене.

Сан-Бруно вскрыл и второй уровень защиты. Даже сильная программа управления целостностью не может гарантировать, что труба не разорвётся. Поэтому операторам нужны независимые барьеры на случай, когда отказ уже начался: средства в диспетчерской, позволяющие распознать разрыв, прямая связь с аварийно-спасательными службами, обученное реагирование на линии и клапаны, способные быстро остановить поток. Дефектный шов Line 132 создал разрыв. Отсутствие автоматической или дистанционной изоляции и слабости в аварийном реагировании продлили опасность и усилили её тяжесть.

Предотвращение и смягчение последствий были разными обязанностями, но общество зависело от обеих.

Дефектная труба 1956 года сохранилась внутри неточного описания системы

Разрушившийся участок был установлен при переносе Line 132 в 1956 году. Это был не цельный отрезок заводской трубы. Следователи обнаружили сборную конструкцию из нескольких коротких отрезков — «патрубков» (pups), соединённых между собой. На одном патрубке имелся продольный шов с непроваром и другими дефектами сварки. Впринятом NTSB отчёте об аварии PAR-11/01сделан вывод, что контроль качества при переносе был недостаточным и позволил ввести в эксплуатацию нестандартный, плохо сваренный участок с видимым дефектом сварного шва. За десятилетия дефект вырос до критического размера.

Повышение давления, связанное с плохо спланированными электромонтажными работами на терминале Milpitas Terminal, создало финальную нагрузку, при которой труба разорвалась.

Этот вывод конкретен. Совет не утверждал, что каждая магистральная труба 1950-х годов дефектна или что разрыв вызван только возрастом. Он выявил дефект монтажа и изготовления, условия, позволившие ему сохраниться, и программу управления целостностью, которая не обнаружила и не устранила его. Совет также назвал способствующими факторами нормативные исключения из гидроиспытаний и недостаточный надзор. Поэтому корректный анализ ответственности сохраняет различие между исходным дефектным качеством работ, позднейшим провалом в обнаружении дефекта и регуляторной средой, в которой непроверенный старый участок продолжал работать.

Физические доказательства сделали расхождение в записях неоспоримым. В данных PG&E участок значился как бесшовная труба, однако на извлечённой стали имелись продольные швы и короткие секции, изготовленные в полевых условиях. Вфактическом отчёте материаловедческой лаборатории NTSB об извлечённой трубезадокументирована трещина, зародившаяся в продольном шве патрубка 1, и признаки, соответствующие непровару. Этот лабораторный отчёт — первичное физическое доказательство, связанное с описанными в нём образцами и методами.

Сам по себе он не устанавливает каждый управленческий провал или нарушение закона; для таких выводов нужны принятый отчёт и материалы соответствующих судебных и административных органов.

Это расхождение имело значение, потому что тип трубы определяет, какие угрозы должна учитывать программа управления целостностью и какая технология оценки подходит. Если в записи указано, что участок бесшовный, аналитики могут не придавать приоритета производственным дефектам продольных швов. Если фактически участок состоит из нестандартных коротких отрезков с дефектными швами, оценка, ориентированная на коррозию, может пропустить определяющий механизм отказа. Ошибка в базе данных может превратиться в физический отказ контроля, когда она подавляет именно ту угрозу, которая должна определять испытания или замену.

Записи были утверждениями о безопасности, а не канцелярской описью

Записи о трубопроводе обосновывают максимально допустимое рабочее давление (MAOP), свойства материала, диаметр, толщину стенки, тип шва, историю монтажа, класс места прокладки, прошлые утечки, испытания и ремонты. Каждое поле влияет на риск. MAOP — это не просто рабочий ориентир; оно должно опираться на защитимый расчёт и подтверждающие данные. Класс места и статус зоны повышенной опасности влияют на применимые требования и интенсивность оценки. Тип шва направляет внимание на производственные угрозы. История испытаний показывает, должны ли были дефекты определённого размера уже проявиться отказами и быть устранены.

Воткрытом досье NTSBсохранено 400 позиций, включая эксплуатационные материалы, металлургические отчёты, данные SCADA, карты, строительные материалы, историю давлений, интервью и представления сторон. Оно показывает, насколько разрозненными стали доказательства. Досье — это хранилище, а не единый принятый вывод. Материал, поданный PG&E, фиксирует то, что предоставила компания; групповой фактический отчёт описывает собранные факты; лабораторный документ сообщает результаты исследований; и только итоговый отчёт Совета формулирует принятую вероятную причину и выводы. Эта иерархия важна всякий раз, когда трактовка стороны расходится с решением Совета.

Принятый после аварии стандарт, согласно которому записи должны быть прослеживаемыми, проверяемыми и полными, можно перевести в конкретные механизмы контроля. Прослеживаемость означает, что значение указывает на породивший его документ, испытание, чертёж, запись о закупке или полевое наблюдение, а затем на конкретный актив. Проверяемость означает, что другой квалифицированный специалист может подтвердить значение по независимым или аутентифицированным доказательствам, а не по повторению в той же базе данных.

Полнота означает, что в доказательствах есть характеристики, необходимые для решения, и не отсутствуют уточняющие данные, редакции или смежные компоненты, способные влиять на давление.

Срочныерекомендации NTSB по учётным записям, адресованные PG&E и регуляторам, превратили эти формулировки в практические требования после разрыва. Рекомендации требовали интенсивного поиска записей, выявления участков газотранспортной системы, для которых давление не удаётся обосновать, и определения безопасного MAOP на основе надёжных записей. Рекомендация по безопасности — это не уголовное распоряжение и не присуждение компенсации. Она определяет профилактические действия для адресата, а её позднейший статус описывает, как NTSB оценил ответ. Она не удостоверяет каждый нижележащий актив бессрочно.

Защитимая программа восстановления записей должна сохранять негативные свидетельства. Если не удаётся найти сертификат завода-изготовителя, диаграмму гидроиспытания или исполнительный чертёж, система обязана зафиксировать сам факт безрезультатного поиска, проверенные хранилища, обнаруженные противоречия и инженерные последствия. Тихий выбор наиболее удобного сохранившегося значения превращает отсутствие доказательств в ложную уверенность.

Для городского участка с высокими последствиями неразрешённые вопросы о материале или давлении должны вести к гидроиспытаниям, проверке материала, снижению давления, замене или к другому методу, разрешённому нормами и доказавшему, что он устраняет соответствующую угрозу.

Управление целостностью не задало вопрос, которого требовала труба

Управление целостностью призвано выявлять угрозы, оценивать охваченные участки, устранять значимые условия и совершенствовать программу на основе опыта эксплуатации. Его ценность зависит от того, насколько модель рисков отражает реальность. Инструмент ранжирования может выдавать точные баллы, но упускать производственные дефекты, потому что во входной записи линия помечена как бесшовная. Он может вознаграждать за отсутствие зафиксированных инцидентов, даже когда это отсутствие отражает утраченную историю.

Он может выбрать прямую оценку или другие методы, полезные для коррозии, но не способные вскрыть дефект продольного шва того типа, который присутствовал в Сан-Бруно.

Созданный по инициативе CPUCотчёт независимой комиссиирассматривал более широкие вопросы управления и надзора. Комиссия выявила многочисленные слабости в управлении PG&E безопасностью газотранспортной системы и пришла к выводу, что у CPUC не хватало ресурсов и организационного фокуса для надлежащего контроля за управлением целостностью. Она критиковала разрозненность данных, слабый контроль качества, неясное распределение ответственности и недостаточное стратегическое внимание. Комиссия была создана для сбора фактов и выработки рекомендаций; определяющая роль в установлении причины аварии на федеральном уровне осталась за NTSB.

Её организационные выводы не следует выдавать ни за вероятную причину, установленную Советом, ни за уголовные вердикты.

Этот механизм отказа показывает, почему выбор угроз должен поддаваться оспариванию. Специалист по аудиту безопасности должен начинать со всех правдоподобных угроз для трубы с учётом возраста линии, производителя, практики строительства, истории давления и окружающей среды, а затем показывать, какие доказательства позволяют исключить ту или иную угрозу из дальнейшего анализа. Противоречивые записи должны расширять набор угроз, а не сужать его. Метод оценки затем должен подбираться под эти угрозы с документально зафиксированными пределами обнаружения.

Если средства внутритрубной диагностики не могут пройти по линии или надёжно охарактеризовать аномалии шва, оператор обязан выбрать гидроиспытание, замену или другую подтверждённую методику.

Модели рисков должны учитывать и взаимодействующие, и накапливающиеся угрозы. Производственный дефект может оставаться стабильным десятилетиями, но циклы давления, прежние превышения давления, работы на линии, коррозия или подвижки грунта могут изменить запас прочности. Недостаточно оценить каждую категорию по отдельности и считать, что управляет самый большой показатель. Инженеры должны указывать, как угрозы могут сочетаться и какие доказательства опровергли бы модель.

Программа управления целостностью становится подотчётной, когда неблагоприятные данные могут менять приоритеты и бюджеты, а не рационализироваться ради сохранения прежнего графика.

Анализ Совета связал давление в момент разрыва и с работами на терминале Milpitas Terminal. Электромонтажная деятельность нарушила регулирование давления, и давление выше по потоку выросло. Оно оставалось ниже зафиксированного MAOP, но труба разрушилась, потому что фактически дефектный шов не имел той прочности, которую предполагали документы. В этом и состоит главное предупреждение: соблюдение номинального потолка давления не может защитить участок, у которого неверна материальная и строительная основа. MAOP должно быть результатом проверенных данных, а не унаследованным числом, которое само считается доказательством.

Рабочее давление и старые исключения оставили дефект без проверочного испытания

Гидроиспытание давлением — один из способов выявить дефекты, которые не могут выдержать заданный запас сверх рабочего давления. Разрушившийся участок не проходил то послестроительное гидроиспытание, которое, вероятно, вскрыло бы дефекты монтажа. Существующие трубопроводы пользовались нормативными положениями, позволявшими обосновывать MAOP историческим рабочим давлением без современного проверочного испытания. NTSB назвала федеральные и штатные исключения из требований к испытаниям одним из факторов аварии, поскольку достаточно требовательное испытание, вероятно, обнаружило бы дефекты.

Этот вывод не означает, что гидроиспытание не сопряжено с рисками и что оно универсально лучше. Испытание давлением может само вызвать разрыв, создать проблемы с водой и эксплуатацией, а также оставить выжившие дефекты, которые позже разрастутся. Внутритрубная диагностика может охватывать большие расстояния и характеризовать многие состояния, но только если линия приспособлена для пропуска прибора и технология способна обнаружить и оценить размер определяющей аномалии. Замена снимает неопределённость для выбранного участка, но требует собственного контроля качества строительства.

Ответственность заключается в подборе метода под угрозу и в документировании того, почему выбранный метод даёт нужные доказательства.

Регуляторы Калифорнии начали несколько официальных разбирательств.Постановление CPUC об открытии расследования по Сан-Бруносформулировало для рассмотрения обвинения, касающиеся строительства, управления целостностью, ведения записей, SCADA, аварийных процедур и корпоративной культуры безопасности, в рамках государственных и федеральных требований, применяемых Комиссией. Постановление о начале расследования — это процессуальный документ, фиксирующий обвинения. Его нельзя цитировать так, будто каждое обвинение сотрудников уже стало окончательным выводом Комиссии. Позднейшие решения, вынесенные после уведомления и слушаний, определяют регуляторное урегулирование.

Поэтому проверка давления после Сан-Бруно имела две связанные задачи. Во-первых, PG&E должна была найти и привести в соответствие записи по своей газотранспортной системе. Во-вторых, там, где записи не могли обосновать давление, нужно было создать новые физические доказательства путём испытаний, проверки материалов, замены или снижения давления. Надёжное контрольное досье должно показывать идентификатор актива, проведённый поиск записей, обнаруженные противоречия, выбранный метод повторного подтверждения, параметры испытаний, аномалии, ремонты, обновлённое MAOP, независимое утверждение и связь с эксплуатационной системой.

Без этой цепочки общие итоги кампании могут скрывать отдельные участки, основание для которых осталось невыясненным.

Диспетчерская распознала серьёзное событие, но не смогла превратить осведомлённость в быстрое отключение

Когда произошёл разрыв, звонившие в экстренные службы сообщали о взрыве и пожаре. В ранних сообщениях были предположения о падении самолёта или происшествии на заправке. Диспетчеры PG&E видели аномальные показатели давления и расхода, некоторые в течение минут распознали разрыв Line 132, но оставалась неопределённость: касается ли событие магистральной или распределительной сети и где именно оно произошло. В системе SCADA не хватало частых точек измерения и средств оперативного моделирования разрывов или утечек, которые сравнивали бы ожидаемое гидравлическое поведение с фактическими данными и указывали вероятную точку разрыва.

Распознавание — это не бинарная отметка времени. Диспетчерская может знать, что произошло нечто серьёзное, ещё до того, как будут известны точный актив и адрес. Аварийные процедуры должны задавать, какие действия следуют при каждой степени уверенности. Возможный скоростной разрыв в городской зоне должен вызывать немедленное прямое уведомление соответствующего центра 911, консервативные действия по системе и отправку бригад к заранее определённым клапанам. Ожидание идеальной локализации может сохранять неопределённость, пока газ продолжает питать пожар.

Line 132 была изолирована комбинацией дистанционных и ручных действий. Нижележащие клапаны на станции Martin Station были закрыты дистанционно, а слесари доехали до вышележащего магистрального клапана и закрыли его вручную. Основной магистральный поток был остановлен примерно через 95 минут после разрыва. Местные распределительные линии продолжали питать некоторые очаги пожара до последующих действий. Это была не только проблема времени в пути. Здесь отразились ограниченная автоматическая изоляция, неполная ситуационная осведомлённость, связь и аварийный план, который не дал максимально быстрой защитной реакции.

Вматериалах CPUC по инциденту в Сан-Бруносохраняются выводы о предотвращении и последствиях. Там вероятная причина разрыва связывается с дефектами строительства и управления целостностью, установленными NTSB, и указывается, что отсутствие автоматических или дистанционно управляемых клапанов и задержка с изоляцией усилили тяжесть последствий. В материалах также обобщены позднейшие испытания, замена, возможности внутритрубной диагностики, установка автоматизированных клапанов и проверка записей, о которых сообщалось в рамках Плана повышения безопасности трубопроводов PG&E. Эти цифры фиксируют выполненные работы так, как о них доложили регулятору. Они не доказывают, что каждый актив сработает правильно в будущей чрезвычайной ситуации.

Автоматические и дистанционно управляемые клапаны — слой смягчения последствий, а не замена качественной трубы

Автоматический отсечной клапан может срабатывать при заданных условиях давления или расхода без ожидания дистанционной команды. Дистанционно управляемый клапан позволяет оператору закрыть его из диспетчерского центра после анализа информации о системе. Оба типа могут сократить продолжительность и объём выброса, но каждый порождает конструктивные вопросы. Датчики должны отличать разрыв от обычных переходных процессов. Связь и энергопитание должны пережить само событие. Расстояние между клапанами должно обеспечивать содержательную изоляцию. Закрытие не должно создавать опасного скачка давления или последствий для обслуживания в других местах.

Операторам нужны правила приоритетного управления, техническое обслуживание, учения и доказательство того, что клапан достиг заданного положения.

Закон о безопасности трубопроводов 2011 года предписал дальнейшую работу над автоматизированными клапанами и реагированием на инциденты. Вотчёте GAO о реагировании операторов и автоматизированных клапанахотмечалось, что выгоды, потенциальные несанкционированные срабатывания и затраты зависят от конкретного объекта, и рекомендовалось собирать более качественные данные и вырабатывать руководства для решений. В отчёте указано, что более быстрое отключение могло бы уменьшить объём газа, выброшенного в Сан-Бруно, и тяжесть рисков для имущества и спасателей. Политический анализ GAO не является установлением причины аварии и не доказывает, что какой-то один тип клапана всегда правильный. Он задаёт перечень доказательств для решений, которые должны собирать регуляторы и операторы.

Федеральные требования позже вышли за рамки поощрения в каждом отдельном случае для определённых новых и заменённых линий. Вобзоре правил PHMSA о клапанах для снижения последствий разрываописаны требования к дистанционно управляемым или автоматическим отсечным клапанам либо эквивалентной технологии на охваченных новых и полностью заменённых наземных трубопроводах, а также положения о расстоянии между клапанами, обслуживании, инспекциях, анализе рисков и реагировании на разрыв. Правила также требуют незамедлительно связываться с 911 после уведомления о возможном разрыве и проводить расследование после разрыва.

Важен охват: это правило не означает, что каждый старый участок мгновенно получил новый клапан и что одна установка доказывает эффективность в чрезвычайной ситуации.

Для уверенности в безопасности коммунальная компания должна проверять полную функцию изоляции. Нужно смоделировать разрыв, подтвердить работу датчиков и сигнализации, зафиксировать, как диспетчеры классифицируют событие, проверить немедленное внешнее уведомление, отдать команду или наблюдать автоматическую логику, замерить время движения и подтвердить фактическое закрытие. Затем следует рассчитать объём газа, оставшийся между клапанами, и влияние обратных подпиток и присоединений распределительной сети.

Панель управления, показывающая, что клапан «автоматизирован», неполна, если отказывает связь, недоступен привод, неверна гидравлическая модель или газ продолжает поступать по другому каналу.

Аварийное реагирование требовало общей оперативной картины с государственными службами

Пожарные быстро развернули штаб ликвидации и столкнулись с интенсивным городским пожаром, питаемым газом. Им нужно было знать, затронут ли магистральный газопровод, где он проходит, как его можно изолировать и когда прекратится подача топлива. Диспетчерские службы коммунальной компании, диспетчеры, полевые бригады и аварийные службы владели разными частями этой информации. Задержка показала, почему неформальные цепочки передачи информации и слухи небезопасны для системы с высокими последствиями.

До инцидента коммунальная компания должна предоставлять пожарным и службам управления чрезвычайными ситуациями актуальные карты магистральных трубопроводов, данные о клапанах и прямые контакты для экстренной связи. Во время инцидента диспетчерская должна напрямую звонить в 911, как только возникнет указание на возможный разрыв, называть линию и степень неопределённости и поддерживать непрерывный контакт. Полевые службы должны передавать видимые и слышимые свидетельства по выделенному каналу, а не через общую очередь. Штаб ликвидации должен получать явные сообщения, когда перекрыты пути выше и ниже по потоку и каналы обратной подпитки.

Публичное сообщение должно отделять подтверждённые факты от защитных инструкций и не ждать полной уверенности в первопричине.

ВПлане действий по безопасности природного газа CPUCописан регуляторный сдвиг в сторону оценки и управления рисками и отслеживается реакция на рекомендации NTSB и независимой комиссии. Четыре главные цели включают культуру безопасности, регуляторный надзор, политику, основанную на учёте рисков, и готовность к чрезвычайным ситуациям. План — это свидетельство структуры управления. Он не доказывает, что у персонала достаточно компетенций в каждый период, что каждая проверка оспаривает допущения оператора и что полевая связь работает в условиях стресса.

Поэтому учения должны давать неблагоприятные свидетельства. Полезная тренировка фиксирует пропущенные звонки, расхождения на картах, неопределённость в отношении принадлежности клапанов, задержку отправки бригад, сбои связи и разногласия по классификации разрыва. Корректирующие меры должны иметь ответственных и сроки, а последующее учение должно показать, что слабость устранена. Идеальный отчёт о штабной тренировке может означать, что сценарий был слишком прописанным. Урок подотчётности из Сан-Бруно состоит в том, что системы должны работать, когда первая информация сбивает с толку, а физическое событие уже нарастает.

Уголовная вина была установлена федеральным судом присяжных на иных материалах и по иному стандарту

NTSB расследует аварии для их предотвращения. Её отчёт о вероятной причине не является уголовным обвинительным документом и не определяет вину. Федеральные прокуроры отдельно предъявили PG&E обвинения в нарушении Закона о безопасности газопроводов и в воспрепятствовании расследованию. После судебного разбирательства присяжные признали компанию виновной по пяти умышленным нарушениям правил безопасности трубопроводов и по одному эпизоду коррупционного воспрепятствования разбирательству NTSB.

Всообщении DOJ о вердиктепоясняется, что эпизоды, связанные с трубопроводом, касались практики ведения записей и управления целостностью в 2007–2010 годах, а эпизод о воспрепятствовании — попытки повлиять на расследование через обращение с внутренним документом о политике компании.

Вердикт нужно описывать точно. Это был корпоративный уголовный приговор по шести пунктам обвинения в тяжких преступлениях, доказанным присяжным в соответствии с применявшимися инструкциями. Это не был приговор за непредумышленное убийство восьми человек, не осуждение каждого сотрудника и не вердикт по каждому дефекту, перечисленному NTSB или CPUC. Это различие не умаляет серьёзности приговора. Оно защищает разграничение между поведением, которое фактически было предъявлено и доказано вне разумных сомнений, и более широкими выводами о безопасности или регулировании, сделанными в рамках других мандатов.

Вдокументе DOJ о приговореуказано, что окружной суд назначил штраф в размере 3 млн долларов, пять лет испытательного срока, внешнего наблюдателя за соблюдением требований и этикой, требования о публичности и 10 000 часов общественных работ. Денежная сумма отражала установленные законом пределы по предъявленным эпизодам, а не оценку человеческих жизней, домов или общего ущерба. Уголовное наказание служило целям сдерживания, осуждения и обеспечения соблюдения требований. Оно не компенсировало каждую жертву и не финансировало всю реконструкцию системы.

Эта граница важна и при оценке позднейшего поведения. Завершение испытательного срока или задач наблюдателя показывает, что определённые условия приговора были выполнены; оно не может стереть судимость или доказать постоянную безопасность. И наоборот, позднейшие провалы в другой части деятельности коммунальной компании не меняют задним числом то, что решили присяжные по Сан-Бруно. Каждое событие и каждое судебное разбирательство требуют своих обвинений, доказательств и стандарта.

Штрафы CPUC были административными санкциями и мерами исправления, а не гражданской компенсацией ущерба

Комиссия по коммунальным предприятиям Калифорнии провела разбирательства по поводу взрыва, практики ведения записей и определения классов местности. В 2015 году она приняла объединённое решение о санкциях и мерах исправления.Решение CPUC D.15-04-024установило пакет мер на общую сумму 1,6 млрд долларов: 850 млн долларов на финансируемые акционерами будущие улучшения безопасности газотранспортной системы, 300 млн долларов штрафа в Общий фонд штата, 400 млн долларов в виде кредита плательщикам тарифов за газ и примерно 50 млн долларов на более чем 75 конкретных мер исправления. Комиссия основывала свои действия на сопутствующих решениях о нарушениях и на своих полномочиях в соответствии с законом.

Называть все 1,6 млрд долларов «штрафом» — значит терять важное распределение. Платёж в Общий фонд — это штраф. Исключение расходов на инвестиции в безопасность лишает акционеров возможности получать доход на указанные работы. Кредит плательщикам тарифов возвращает ценность потребителям. Финансирование мер исправления оплачивает корректирующие мероприятия. Ни одна из этих категорий не является компенсацией, согласованной или присуждённой за гибель человека, телесные повреждения или потерю имущества. Чёткие категории позволяют аудитору проверить, пошли ли деньги туда, куда требовало предписание.

Это решение нельзя также сливать с федеральным уголовным приговором. Разбирательство CPUC использовало административные процедуры штата и рассматривало регуляторные нарушения в рамках трёх расследований. Уголовное дело требовало доказывания предъявленных федеральных преступлений вне разумных сомнений. Пересекающиеся доказательства по записям и управлению целостностью не делают исходы дублирующими или взаимозаменяемыми; здесь осуществляются разные публичные полномочия.

Реализация оставалась продолжающейся задачей. Вобновлении плана соблюдения требований PG&E за 2021 год, поданном в CPUC, сообщалось о статусе 144 мер и подрекомендаций и указывалось, что на ту дату оставались открытыми три пункта, связанные с записями: стандартизация или перенос записей, хранящихся в отдельных хранилищах, на общих дисках и в локальных директориях. Это датированный корпоративный документ о соблюдении требований, а не независимое подтверждение того, что все остальные механизмы контроля работали эффективно. Его ценность в том, что он сохраняет открытую работу, а не превращает в значительной степени выполненную программу в безусловное заявление о закрытии.

Зрелый регулятор должен выборочно проверять доказательства, лежащие в основе закрытия. Для мер по записям это означает прослеживание характеристики трубы через авторитетное хранилище, проверку контроля доступа и истории правок, а также сопоставление электронного значения с полевой проверкой. Для клапанов — присутствие при функциональных испытаниях и анализ времени срабатывания. Для управления целостностью — пересчёт выбранных рейтингов угроз и проверку того, изменили ли неблагоприятные выводы проекты.

Закрытие по документам без выборочной операционной проверки рискует воссоздать тот же разрыв между задокументированной уверенностью и физической реальностью.

Гражданские компенсации и возмещение перед сообществом шли своими каналами мировых соглашений

Семьи, пострадавшие, домовладельцы и город понесли потери, которые не могли возместить ни рекомендации по безопасности, ни публичные штрафы. Гражданские иски решают вопросы компенсации и распределения частного ущерба по гражданскому праву. Мировые соглашения позволяют произвести выплату без судебного вердикта по каждому требованию, а конфиденциальность может ограничивать объём публичных сведений по отдельным истцам. Поэтому небезопасно описывать агрегированные оценки СМИ так, будто это установленный судом вывод о причинности или полный график распределения.

Публичная документация города более конкретна.Мировое соглашение от марта 2012 года между PG&E и городом Сан-Брунопредусматривало взнос в размере 70 млн долларов: 68,75 млн долларов наличными и пять пустующих участков стоимостью 1,25 млн долларов, предназначенных для некоммерческой организации общественного назначения на благо города и его жителей. Соглашение также затронуло отдельный доверительный механизм для покрытия расходов города, связанных с инцидентом. Соглашение урегулировало претензии города на своих условиях. Оно не было урегулированием всех исков о телесных повреждениях или имуществе и не заменяло уголовное или регуляторное разбирательство.

Это различие защищает смысл реституции. Средства для сообщества могут поддерживать парки, объекты, услуги или другие долгосрочные блага, выбранные в рамках структуры соглашения. Возмещение расходов муниципалитета на реагирование и восстановление служит иной цели. Индивидуальные компенсации отвечают на отдельные иски в связи с гибелью, телесными повреждениями и имуществом. Кредиты плательщикам тарифов в рамках решения CPUC служат потребителям как классу. Сведение всех выплат в одну цифру делает невозможным увидеть, кому было компенсировано, кто нёс издержки и какой ущерб остался за пределами конкретного соглашения.

Подотчётность в отношении мер исправления должна включать и администрирование. Публичные организации должны отчитываться о начальном остатке, инвестиционной политике, грантах или проектах, конфликтах в управлении и остатках средств. Конфиденциальность частных истцов должна соблюдаться, при этом агрегированные категории могут раскрываться, когда это законно. Выплата — это реальный результат, но она не подтверждает, что технические реформы завершены. И наоборот, замена трубы не удовлетворяет гражданский иск семьи. Меры исправления и предотвращение должны отслеживаться параллельно.

Федеральная реформа усилила и доказательную базу давления, и снижение последствий разрывов

Конгресс принял Закон о безопасности трубопроводов, регуляторной определённости и создании рабочих мест 2011 года после крупных аварий на трубопроводах, включая Сан-Бруно. Позднейшие федеральные правила закрыли два центральных пробела: основание рабочего давления на старых трубах и скорость снижения последствий разрыва. Долгий промежуток между аварией, законодательством и итоговыми правилами сам по себе является вопросом подотчётности. Сложные национальные правила требуют технического анализа и публичного процесса, но действия операторов и штатов остаются необходимыми, пока идёт нормотворчество.

Настранице PHMSA об итоговом правиле 2019 года по газотранспортным трубопроводамописаны требования повторно подтверждать MAOP для отдельных ранее неиспытанных трубопроводов и трубопроводов, у которых нет данных о материале или эксплуатации, расширять оценку за пределы обозначенных зон повышенной опасности, сообщать о превышениях MAOP и улучшать положения об управлении целостностью и ведении записей. Правило — это перспективное регуляторное доказательство с определённой сферой применения, сроками и методами. Его не следует описывать как правовой стандарт, регулировавший действия PG&E в 1956 году, или как доказательство того, что все недостатки записей, существовавшие в 2010 году, устранены.

Сочетание правил о записях и клапанах отражает эшелонированную защиту. Подтверждённые данные о трубах и испытания давлением направлены на предотвращение разрыва. Оценки, соответствующие угрозам, направлены на обнаружение дефектов до отказа. Распознавание разрыва, экстренная связь и быстрые клапаны ограничивают вред, если предотвращение не сработало. Ни один уровень не извиняет слабость другого. Коммунальная компания не может утверждать, что автоматические клапаны делают дефектную трубу приемлемой или что надёжные записи о трубах делают аварийное реагирование необязательным.

Правила также создают возможности для автоматизации без передачи суждений программному обеспечению. Система учёта может помечать отсутствующие свойства материала, противоречивые типы швов, невозможные даты монтажа и участки без подтверждающих испытаний давлением. Гидравлическая аналитика может выявлять отклонение от ожидаемого расхода и давления. Контроллер клапана может выполнить реакцию быстрее, чем выехавшая бригада. Но инженеры должны проверять происхождение данных, допущения моделей, пороги сигнализации, отказобезопасные состояния и непредвиденные последствия.

Автоматизация подотчётна только тогда, когда люди-владельцы могут объяснить, почему она действует, и доказательства подтверждают, что она действовала правильно.

Показатели ремонта нуждаются в данных о знаменателе, качестве и неблагоприятных событиях

После Сан-Бруно PG&E реализовала масштабный План повышения безопасности трубопроводов. Заявленные работы включали сотни миль испытаний на прочность, замену труб, подготовку линий к внутритрубной диагностике, установку автоматизированных клапанов и сбор с валидацией записей о системе по всей сети. Эти результаты важны. Они показывают, что физическая и информационная инфраструктура изменилась.

Но одних итоговых цифр недостаточно, чтобы ответить, были ли в первую очередь выбраны участки с наибольшим риском, использовались ли в испытаниях достаточные запасы, соответствовали ли новые сварные швы требованиям к качеству и каждый ли автоматизированный клапан доступен.

Вопрос об уверенности в безопасности начинается со знаменателя. «Миль испытано» следует сравнивать с милями, требующими испытаний, распределением риска и сроками завершения. «Записей проверено» должно указывать, какие атрибуты и какие доказательства соответствовали стандарту. «Клапанов установлено» должно разделять автоматическое и дистанционно управляемое оборудование, показывать охват участков с высокими последствиями и сообщать о функциональной доступности. «Готовность к внутритрубной диагностике» следует отделять от фактически проведённой диагностики, устранённых выявленных дефектов и запланированной повторной оценки.

Доказательства качества не менее важны. Файлы гидроиспытаний должны включать калиброванные приборы, давление и продолжительность, отказы, ремонты и результаты повторных испытаний. Проверка материалов должна документировать выборку и неопределённость. Записи о замене должны включать сертификаты завода-изготовителя, технологии сварки, неразрушающий контроль, испытания давлением, геопространственное положение и сверку с исполнительной документацией. Обеспечение работы клапанов должно включать время срабатывания, устойчивость энергопитания и связи, компетентность операторов и гидравлические последствия.

Системы учёта не должны допускать продвижения непроверенного значения в авторитетный источник только потому, что оно встречается в нескольких унаследованных файлах.

Неблагоприятные события показывают, учится ли программа. Утечки, превышения давления, проваленные испытания, ложные срабатывания клапанов, пропущенные инспекции, противоречивые записи и почти аварии должны доводиться до советов директоров и регуляторов с анализом корневых причин и предотвращением повторения. Институт, который сообщает только о завершении проектов, может выглядеть безопаснее, пока его механизмы контроля продолжают выдавать исключения. Сильнейшее доказательство — не отсутствие плохих новостей, а то, что плохие новости обнаруживаются рано, эскалируются и устраняются.

Реконструктивный аудит может проверить, работают ли сейчас механизмы, отказавшие в Сан-Бруно

Практический аудит начинается с выборки городских магистральных участков, включая старые трубы, участки с неполными записями и места, где изменилось клапанное покрытие. Для каждого участка фиксируются физическая конфигурация и авторитетный идентификатор актива. Извлекаются исходные строительные документы, данные о ремонтах, свойства материала, тип шва, диаметр, толщина стенки, покрытие, класс места, статус зоны повышенной опасности, история давления, записи об испытаниях и результатах инспекций. Каждый материальный факт должен иметь происхождение и владельца.

Затем необходимо воспроизвести решение о MAOP. Проверить применимый нормативный метод, самый слабый компонент, историю давления, коэффициент испытания и любой срок повторного подтверждения. Если набор записей неполон, подтвердить, что неопределённость привела к утверждённой альтернативе: испытанию, проверке, снижению давления или замене. Сравнить эксплуатационный предел в SCADA с инженерным утверждением и полевыми настройками. Несовпадение между этими системами само по себе является критической находкой.

Затем реконструируется оценка угроз. Начать нужно с фактических данных о материале и строительстве, а не с выхода модели рисков. Подтвердить, что рассматривались производственные, строительные, коррозионные угрозы, повреждения третьими лицами, подвижки грунта и эксплуатационные угрозы и что исключения имеют обоснование. Проверить, способен ли выбранный метод оценки обнаружить значимые аномалии. Изучить первичные результаты инспекций, решения аналитиков, выбор мест для шурфов, ремонты и уроки, учтённые на аналогичных участках.

Наконец, провести необъявленное или минимально прописанное учение по разрыву. Внести реалистичные аномалии давления и расхода, неполную информацию от звонивших и сбой связи. Замерить время до сигнализации, классификации, уведомления 911, решения по клапанам, отправки бригад, физической изоляции и подтверждения штабу ликвидации. Проверить резервное энергопитание и связь. Рассчитать остаточный выброс и выявить продолжающиеся источники подачи. Требовать корректирующих мер для каждой задержки и повторять учение, пока показатели не достигнут цели.

Управление должно связывать результаты. Комитет совета директоров по безопасности и регулятор должны получать исключения на уровне участков, а не только сводные панели. Независимые аудиторы нуждаются в доступе к исходным записям и инженерным моделям. Операционный персонал должен иметь полномочия снижать давление, когда доказательств недостаточно. Стимулы должны поощрять устойчивое снижение риска и честную эскалацию, а не видимость выполнения графика. Жители и спасатели нуждаются в пригодной для использования информации о расположении трубопроводов и аварийных действиях без раскрытия, создающего угрозы безопасности.

Стандарт подотчётности

Аварии в Сан-Бруно можно было избежать, поскольку несколько механизмов контроля могли прервать эту цепочку. Надлежащий контроль качества в 1956 году мог отбраковать трубу с видимым дефектом. Точные исполнительные записи могли выявить шов и необычную сборную конструкцию. Программа управления целостностью, учитывающая угрозы, могла выбрать метод оценки, способный обнаружить дефект. Подтверждающее испытание давлением, вероятно, вскрыло бы его. Более совершенные системы и процедуры в диспетчерской могли бы быстрее определить место разрыва.

Автоматические или дистанционно управляемые клапаны могли сократить продолжительность истечения газа и тяжесть пожара.

Ответственность за эти механизмы должна оставаться конкретной для каждого участника. PG&E отвечала за строительные записи, решения по целостности, эксплуатацию и аварийную изоляцию. CPUC обладала полномочиями штата по регулированию и делегированным надзором за безопасностью и позднее признала недостатки своих ресурсов и фокуса мониторинга. PHMSA устанавливала федеральные стандарты и осуществляла надзор в рамках своей законодательной роли. Пожарные и муниципальные службы обеспечивали защиту населения на основе доступной им информации. Эти роли пересекаются на стыках, но не идентичны, и их нельзя приписывать одну неразделённую долю вины.

Правовые треки должны оставаться столь же точными. NTSB установила вероятную причину в целях предотвращения аварий. Федеральные присяжные признали PG&E виновной по пяти умышленным нарушениям правил безопасности трубопроводов и воспрепятствованию расследованию, и суд назначил корпоративное наказание. CPUC установила регуляторные нарушения и применила административные санкции и меры исправления. Городское мировое соглашение урегулировало муниципальные гражданские иски в рамках договорённости. Остальные гражданские иски прошли свои процедуры.

Ни один из этих исходов автоматически не доказывает другой, и ни одна выплата или программа не закрывает каждую категорию вреда.

Устойчивый стандарт — это доказательства, выдерживающие противоречие. Записи о трубе следует доверять потому, что они указывают на проверенные физические и документальные подтверждения, а не потому, что они существуют десятилетиями. Рабочее давление следует принимать потому, что самый слабый компонент выдерживает его в рамках утверждённого метода, а не потому, что система обычно работала на этом уровне. Показатель целостности должен влиять на действия только после того, как его угрозы и исходные данные были оспорены. Автоматический клапан следует считать защитой только после сквозных испытаний, подтверждающих надёжную изоляцию.

Закрытая мера исправления должна означать, что выборочные проверки показали: механизм работает.

Сан-Бруно превратил незаметный дефект шва в публичную проверку институционального знания. Катастрофа показала, что качество данных — это не канцелярская забота, когда данные определяют, под каким давлением можно эксплуатировать подземный трубопровод и как его будут инспектировать. Она также показала, что предотвращение не может существовать само по себе: когда начинается разрыв, минуты, каналы связи и архитектура клапанов становятся механизмами спасения жизни.

Подотчётность в газовой безопасности полна только тогда, когда коммунальные компании и регуляторы могут доказать оба положения по каждому участку: знать трубу до того, как она откажет, и быстро остановить поток, если она откажет.