摘要
- 物理失效序列已经确定。 2010 年 9 月 9 日下午约 6:11，Pacific Gas and Electric Company 位于 San Bruno 的 Earl Avenue 和 Glenview Drive 处的 30 英寸天然气输送 132 号线破裂。National Transportation Safety Board 认定，断裂始于 1956 年迁移期间安装的一段短管上的部分焊接纵向焊缝。逸出天然气被点燃，8 人死亡，38 栋住宅被毁，70 栋受损。不同官方记录对受伤人数的统计不同：California Public Utilities Commission 报告 58 人受伤，而联邦管道监管机构报告 51 人需要住院治疗。
- 压力上升触发了失效，但并非超过管线联邦限值的超压。 PG&E 的 Milpitas Terminal 电气作业造成控制问题和压力上升。NTSB 估计破裂处压力约为每平方英寸表压 386 磅。该压力超过 PG&E 的 375 psig 运行目标，但仍低于该管线 400 psig 的最高允许运行压力。调查人员得出结论，该压力不应威胁正确建造的管道。这个区分很重要：糟糕的作业规划制造了即时加载事件，但关键缺陷焊缝和失效的完整性控制使该事件变成灾难。
- 缺陷是施工和质量控制失效，并拥有漫长的机构生命。 失效管段由六段短管，即 pups，之一组成，焊接构型和材料属性各不相同。五段不符合 1956 年普遍接受的工艺标准。关键焊缝缺陷在安装时本应可见。尽管如此，PG&E 记录把该位置描述为具有不同材料属性的无缝管，调查人员也没有发现迁移管段曾接受水压强度测试的记录。
- 管道完整性管理作为决策系统失败，而不仅仅是进度失败。 PG&E 拥有完整性项目、威胁清单和计划评估。它没有正确整合管道的施工、压力和泄漏历史；它把制造和施工缺陷视为稳定；它严重依赖无法发现埋地纵向焊缝缺陷的外腐蚀直接评估；并且在没有有效强度测试安全余量的情况下，周期性把压力提高到最高允许水平。破裂前，132 号线尚未接受其计划中的完整性评估。
- 监管问责是共同的，但并不对称。 PG&E 拥有并运营该管线，控制其记录，选择评估方法，规划终端作业并指挥应急隔离。CPUC 在联邦授权下负责州级检查和执法。NTSB 认定，CPUC 监督没有识别 PG&E 完整性项目的不足，联邦监督协议和绩效指标也很薄弱。监管失效没有把运营商义务转移给监管方；它移除了本应挑战运营商保证的一道独立屏障。
- 应急响应分成两种非常不同的表现。 居民、警察和消防员迅速识别灾难，调集大量互助资源，并在一条供水主管失效后临时组织供水。PG&E 大约用了 95 分钟才隔离破裂管段。其控制系统没有迅速识别破裂，首名派出的员工不具备操作输送管线阀门的资格，合格技工在媒体报道后自行赶赴现场，也没有针对大型输送管线破裂进行充分演练的指挥结构。NTSB 将这些失效以及缺少自动或远程控制阀门视为严重程度的促成因素，而不是最初破裂的原因。
- 法律和财务结果不能合并成一个误导性数字。 联邦陪审团裁定 PG&E 五项管道安全罪名以及妨碍 NTSB 调查罪名成立；同时裁定公司在另外六项被指控的管道安全罪名上无罪。判决处以法定最高 300 万美元罚款、缓刑、社区服务和合规监督。另行地，CPUC 处以 16 亿美元的一揽子措施，包括 General Fund 罚款、客户账单抵免、股东出资的安全工程以及其他补救。居民民事和解以及 7,000 万美元的城市协议属于额外类别。任何一项都不应被描述为一个受害者赔偿基金，也不应被描述为个人损失已被补足的证明。
- 改革是实质性的，但结案需要证据，而不是机构记忆。 PG&E 后来对管道进行强度测试、更换、退役或使其可内检测；加利福尼亚实施了广泛补救；联邦规则强化了记录、最高压力重新确认、完整性评估和破裂响应阀门。一些 NTSB 建议在有记录行动后关闭。然而，规则不是现场状态，项目数量不是无缺陷运行，当前监测仍报告开放的风险管理和基础设施义务。持久问责取决于可追溯管道属性、测试证据、独立抽样、作业控制记录、快速隔离表现以及透明关闭差异。
范围和证据边界
本文沿着问责链条，从 1956 年施工工作追踪到 2010 年破裂、调查、执法、赔偿和后续安全改革。核心技术权威是 NTSB 的调查记录、最终事故报告和公开案卷。这些记录包含委员会的可能原因认定，也包含冶金、运行、完整性管理、应急响应和公司提交材料。委员会采纳的认定被标识为认定。某一方提交材料中的立场仍然只是该方立场。
PHMSA 事件页面提供联邦执法和影响背景。CPUC 决定和报告确立州级监管行动。Department of Justice 新闻稿和量刑令确立刑事处置。证券披露和和解文件确立已报告的财务类别。每个来源都有边界：公司披露是公司披露内容的可靠证据，但不是独立安全审计；启动调查令陈述的是指控和管辖权，不是最终责任；改革计划证明的是预期控制，而不是其现场有效性。
文章隐含并明确使用五类置信标签。已确认指由已采纳认定、最终命令、定罪、已执行协议或直接测量记录支持。可能原因遵循 NTSB 的因果标准。可能标识与证据一致但尚未确立的机制。有争议标识存在争议的解释。未知标记公开记录没有解决的证据问题。这种区分对于压力、意图、受伤人数、监管违法的法律含义以及后续项目使整个系统安全的说法尤其重要。
本文使用的因果分类
证据支持分离的因果链，而不是单一标签。
根本物理原因： 1956 年迁移期间安装的短管段中存在缺陷纵向焊缝。该缺陷在安装时已经存在，通过韧性撕裂和疲劳扩大，并最终无法承受 2010 年压力荷载。
根本问责原因： PG&E 的施工接受、记录、压力依据和完整性管理控制，没有把一个不合格且描述错误的遗留管段转化为保守行动。运营商保持着对资产以及验证该资产所需证据的直接控制。
即时触发因素： Milpitas Terminal 电气作业失败和控制问题，使 132 号线压力升高到 PG&E 普通运行目标以上。触发压力仍低于 400 psig 的 MAOP，因此不应把触发因素简单视为超过联邦压力上限。
促成条件： 联邦允许在没有后续强度测试情况下沿用历史压力授权，CPUC 监督未发现项目不足，PHMSA 监督协议没有充分测试州级复核质量，以及缺少自动或远程破裂隔离能力，都削弱了独立屏障。它们以不同方式作出贡献；它们并不都是焊缝起裂的原因。
检测失效： 破裂前，PG&E 的数据整合、威胁分类、风险排序、记录验证和所选评估方法没有发现焊缝威胁。事件期间，SCADA 报警和压力数据没有及时识别破裂位置，也没有为阀门隔离形成可靠指挥路径。
响应失效： 当地应急服务迅速识别并扑救火灾，而 PG&E 大约用了 95 分钟才停止向受损管段供气。这一延迟放大了严重程度；它没有造成原始焊接缺陷。
恢复和改革： 刑事量刑、CPUC 补救、民事和市政和解、压力测试、更换、退役、内检测能力、自动阀、联邦规则变化和监测，都是恢复或保证行动。它们是机构回应的真实证据，但没有任何一项能证明幸存者获得完全个人修复，或未来管道风险永久不存在。
1956 年施工项目留下了隐藏负债
132 号线于 1948 年投入运行。1956 年，住宅区整地要求 PG&E 迁移约 1,851 英尺管线。1961 年另一项目之后，迁移管道的大部分仍留在系统中。破裂发生在 1956 年工程范围内，位于由六段短管组装的管段。调查人员称这些短段为 pups。它们不是工厂制造的统一无缝管线。它们具有多种纵向焊缝布置、不同尺寸和材料特征，并且没有为该组装管段确立的制造规范。
NTSB 实验室工作在第一段短管的一条纵向焊缝中发现起始缺陷。该焊缝没有贯穿其全厚度焊透。可见根部焊道和其他工艺证据表明，该焊缝在安装时就低于标准，而不是一个合格焊缝后来仅被腐蚀耗尽。渐进性韧性撕裂和疲劳随时间扩大缺陷，直到剩余韧带无法承受 2010 年荷载。六段短管中有五段显示的工艺不符合 1956 年已经存在的普遍接受行业标准。
这不是用现代制造规范进行事后苛责。委员会认定，施工期间合格的目视检查本应识别缺陷焊缝。要么该检查没有发生，要么没有正确解释所见，要么允许该工程保留下来。精确的个人决定未知，因为现存记录没有识别完整质量控制链。机构事实更强：PG&E 接受、安装并运行了一个不合格组件，且该组件位于输送管线中。
强度测试是第二道被错过的屏障。1956 年可用的行业实践建议，对这类安装进行 1.25 倍最高运行压力的水压测试。该建议当时不是有约束力的联邦要求，描述法律合规时必须承认缺少强制规则。它并不抹去工程反事实。对于 400 psig 最高压力而言，在约 500 psig 下正确执行的测试很可能会在受控环境中使缺陷焊缝失效。调查人员没有发现 PG&E 对迁移管段进行水压测试的记录。
第三道屏障是记录忠实性。PG&E 的地理信息系统把事故位置描述为 30 英寸、无缝、API 5L Grade X42、壁厚 0.375 英寸的管道。实物管段是焊接且异质的。该直径无缝管在管线建造时并无商业供应，同时期材料转移记录指向不同属性。因此，该记录并不只是缺失；它传达了管道并不具备的肯定属性。
这个区分改变了问责。未知焊缝类型应迫使采取保守假设、记录研究或验证测试。被错误记录为无缝的管段可能完全压制制造威胁路径。不准确记录影响最高压力信心、威胁识别、风险排序和评估选择。一个埋藏的文书错误变成了运行假设。
Milpitas 的压力事件
2010 年 9 月 9 日，承包商和 PG&E 人员正在 Milpitas Terminal 更换一台不间断电源，该终端是 132 号线上游来源。作业许可没有充分说明哪些设备可能受影响、切换顺序、应急行动，或电气作业与燃气压力控制之间的关系。下午约 5:22，不稳定电压导致调节阀打开，并产生 60 多个报警。
132 号线压力上升。终端测量值达到约 396 psig。在破裂位置，调查人员使用压力记录和水力分析估计失效前压力约为 386 至 386.4 psig。由于存在一段额定值较低的交叉连接管段，PG&E 通常以不超过 375 psig 运行相关管线。132 号线的联邦最高允许运行压力为 400 psig，该压力依据一项历史条款，使用联邦监管生效前五年期间的最高压力确立。
下午约 6:11，缺陷焊缝打开。破裂形成一个约 72 英尺长、26 英尺宽的坑洞。约 28 英尺长、3,000 磅重的一段管道被抛出约 100 英尺。PG&E 估计隔离前逸出 4,760 万标准立方英尺天然气。天然气在住宅区被点燃。
把事件简单称为超压失效会遮蔽证据。压力超过 PG&E 普通运行目标，电气作业失效提供了最后荷载增加。它没有超过 400 psig 的最高允许运行压力。NTSB 认定，该压力不应威胁正确建造的管道。糟糕的作业规划是可能原因的一部分，因为它制造了触发性上升，但它没有创造 1956 年焊缝、错误记录或使缺陷继续服役的完整性项目。
这个区分也防止相反错误。低于 MAOP 并不使运行安全。MAOP 是一项行政上限，部分来自历史压力，而不是每一段管道都有已验证安全余量的证明。PG&E 曾周期性地把 132 号线短时间提高到 400 psig 的最高值，包括 2003 年和 2008 年，并把存活视为制造缺陷稳定的证据。委员会否定了这种逻辑。短暂暴露于 MAOP 不等同于在明显更高压力下进行强度测试。它可以让一个亚临界缺陷继续存在，同时疲劳和压力循环继续扩大它。
物理原因、管理原因和被排除解释
NTSB 的可能原因结合了三个由管理控制的要素：1956 年迁移期间质量保证和质量控制不足；完整性管理项目不足，没有发现并移除缺陷管道；以及 2010 年电气作业规划缺陷，产生了压力升高。施工缺陷很旧，但每当记录、评估和运行决策把该管段视为已知且可靠时，其风险就被重新延续。
调查人员还把促成条件与最初破裂区分开来。联邦和州规则允许较老管道在没有施工后压力测试的情况下保留压力授权。委员会认定这一豁免构成促成因素，因为有效测试很可能会暴露焊缝。CPUC 监督构成促成因素，因为它没有识别 PG&E 完整性项目的不足。缺少自动切断或远程控制阀、薄弱应急程序和延迟隔离增加了火灾持续时间和严重程度。它们没有引发焊缝断裂。
若干提出的解释经过审查后未被支持为原因。2008 年管线附近的下水道施工没有损坏管道。调查人员没有发现外腐蚀、地震运动或直接第三方开挖损伤是起源。员工用药不是因果因素。最终报告的排除很重要，因为问责不应仅因事故附近存在某一条件而扩张到该条件。
记录无法识别作出每个 1956 年决定的具体焊工、检查员或主管。它也没有确定缺陷究竟在哪一天从可容忍转变为关键。这些未知并不使系统失效变得不可知。PG&E 数十年来保留着对该管线的实际控制。它可以验证记录、测试压力强度、选择能够看到纵向焊缝的内检测、暴露管道、降低压力或更换不确定管段。问责立足于控制和证据，而不是每个历史姓名是否保存下来。
完整性管理没有把不确定性转化为行动
联邦完整性管理规则要求运营商识别高后果区域、整合信息、识别威胁、评估覆盖管段、修复缺陷并持续改进项目。PG&E 建立了风险管理项目，包含 22 类威胁，并为其覆盖里程计划基线评估。从纸面看，这些是现代安全系统中可识别的要素。失效在于该系统知道什么、假设什么，以及其所选方法能够检测什么。
第一，数据基础不可靠。地理系统中的管道属性与开挖管段不匹配。施工记录分散，无法证明迁移管段经过测试。运行和泄漏历史没有获得足够权重。如果数据库说管道没有焊缝，项目就无法准确刻画焊缝威胁。
第二，PG&E 把制造和施工缺陷归类为稳定，除非后续压力超过历史最高值。这一假设忽视了有缺陷焊缝可能在普通压力循环下扩展的可能性。它还把此前接近 MAOP 的存活当成强度测试替代。委员会认定，这种做法缺乏充分科学基础。一个缺陷可能在许多循环中保持隐藏，然后在低于其多年前短暂承受过的压力下失效。
第三，风险排序没有可靠提升相关威胁。PG&E 的风险排序系统对腐蚀、第三方损坏、地面运动、材料和施工状况等赋予权重和分数。NTSB 认定，该系统低估或错误处理了已知焊缝和制造证据，同时赋予其他威胁过大影响。因此，风险分数不是独立证据；它继承了输入的假设和遗漏。
第四，评估方法与失效模式不匹配。PG&E 对其大部分高后果输送里程使用直接评估。外腐蚀直接评估结合记录复核、地上调查、开挖和评价来寻找腐蚀。对于该威胁，这种方法可以适用。它不能仅仅因为没有腐蚀信号就证明不可见纵向焊缝可靠。内检测工具或水压测试可以处理不同缺陷类别，但破裂前 PG&E 没有选择能够发现 San Bruno 焊缝缺陷的方法。
第五，完成时间没有控制风险。132 号线被安排评估，但截至 2010 年 9 月尚未接受评估。即便更早完成，如果所选方法仍是外腐蚀直接评估，也不一定会发现缺陷。问责问题不只是是否满足期限，而是运营商是否选择了响应可信威胁的评估。
第六，自我评价没有产生有意义纠正。NTSB 将 PG&E 的项目复核描述为表面化，并认定它们没有识别或纠正根本弱点。成熟系统应测试所谓完整记录是否与开挖管道相符、评估发现是否与后续开挖匹配、压力异常是否暴露作业控制失败，以及反复清洁结果反映的是低风险还是方法不敏感。San Bruno 之前，证据没有显示这种挑战存在。
委员会的建议明确了缺失逻辑。它要求支持最高压力的记录可追溯、可验证且完整；在压力授权依赖不完整证据的地方进行强度测试；在把制造缺陷归类为稳定之前，以足够余量测试；并使用能够识别现有威胁的评估方法。后来给 PG&E 的建议函还要求全面审计记录并纠正差异。这些补救不是文书惩罚。它们瞄准的是文书所控制的决策。
监管监督是一道没有撑住的独立屏障
加利福尼亚通过与联邦政府的协议监管州内燃气管道安全。CPUC 在 2005 年和 2010 年检查了 PG&E 的完整性项目。这些检查在破裂前没有暴露核心缺陷。事后，CPUC 工作人员识别出评估延迟、例外使用过度、从内检测改为不太适合的方法，以及对内部审计发现回应薄弱。
NTSB 结论认为，CPUC 未能发现 PG&E 完整性管理项目不足。其独立审查小组进一步审查了组织条件。该小组没有作出事故技术可能原因认定；那属于 NTSB。它报告了 PG&E 企业风险管理、安全文化、资源优先排序和实施方面的弱点，并批评委员会自身燃气安全资源、技能、重点和执法方式。这些是归因于审查的发现，而不是关于每项管理决定的司法裁判。
CPUC 关于 San Bruno 事件的启动令界定了工作人员关于运行、记录、完整性管理和应急响应的指控。它还记录了 8 人死亡、58 人受伤、38 栋住宅被毁、70 栋住宅受损。由于它启动的是裁判式调查，其指控不应仅因出现在官方文件中就被报道为最终认定。最终责任通过后来的委员会决定和补救形成。
监管机构还启动了单独的全系统记录保存调查。这种分离意义重大。San Bruno 不只是一个地点的施工案件；不准确或不完整记录可能影响 PG&E 全网的压力和评估决策。破裂后立即发布的 Resolution L-403要求保存证据、降低压力、检查、向调查人员开放访问以及制定安全计划。这些是保护性临时行动，不是底层网络已经得到验证的证明。
联邦监督也有限。PHMSA 制定规则并评估州级项目，但 NTSB 认定，联邦检查指南和绩效指标没有可靠测试一个州是否在评估运营商风险模型、数据整合和评估适用性。清单可以确认运营商有程序，却不能判断这些程序能否发现实际存在的缺陷。
监管贡献并不平均分摊责任。PG&E 拥有管道、员工、承包商、运行数据以及测试或更换的权力。CPUC 有独立职责挑战该系统并执行联邦最低标准。PHMSA 有职责界定并监督监管架构。运营商的控制是直接的；监管方的控制是监督性的。三道屏障都重要，但一次错失检查的存在，并不会把公共监管方变成管线业主。
九十五分钟：预防失败后的应急控制
破裂立即被周边居民看见并听见。警消调度在数分钟内收到报告。首个警方响应记录约在下午 6:12，首批消防单位约在 6:13。当地响应人员面对燃烧的燃气羽流、结构火灾、受损街道和一条破裂供水主管，附近消防栓因此没有足够水量。互助最终在 50 多小时内涉及 42 个消防部门、约 600 名消防和急救医疗人员以及 325 名执法人员。队伍建立替代水源，疏散居民，保护暴露建筑并搜索受损区域。
PG&E 的响应从不同信息状态开始。其系统记录了压力变化和报警，但监控和数据采集没有直接识别破裂位置。调度约在 6:18 得知可能发生燃气事件。派出的第一名员工是燃气服务代表，不是具备操作输送管线阀门资格的技工。人员认为 132 号线可能是来源，但没有立即建立统一破裂指挥、派出所有所需阀门合格队伍，或取得一项能够消除不确定性的直接应急服务通知。
合格技工通过新闻报道得知事件并自行赶赴现场。上游手动阀以及下游远程和手动阀在随后一小时内被操作。到约下午 7:46，受损管段被隔离，可见火势强度也在这一时期下降。官方来源使用略有不同的节点：PHMSA 概述约在 7:40 隔离，而 NTSB 的详细时间线追踪各个关闭动作，并描述从破裂到停止燃气流动约 95 分钟。差异反映的是测量点不同，不是暗示记录并不支持的精确性。
NTSB 认定隔离时间过长。PG&E 缺少自动切断阀，或缺少足够有能力、足够靠近以快速终止流动的远程控制安排。它也缺少针对大型输送管线破裂的全面、经过演练的响应。公司没有直接且可靠的协议，使应急服务能够立即告知燃气控制部门发生重大破裂。SCADA 对压力感知有用，但不能替代破裂识别、定位和指挥。
这些失效放大了后果。当天然气继续供给大火时，消防员正在努力保护一个社区。更快隔离不会撤销最初爆炸、坑洞或首次点燃，公开记录也没有量化在每个假设关闭时间点会避免哪些后续伤害或财产损失。然而，它会减少失控释放的持续时间和能量。这就是为什么 NTSB 将阀门和响应归类为严重程度促成因素，而不是焊缝破裂根源。
人和社区影响不能被压缩成罚款总额
8 人死亡。住宅、财物、家庭记录、宠物、邻里关系以及身体安全感被夺走或扰乱。38 栋住宅被毁，70 栋受损。受伤人数因定义不同而异：CPUC 在其事件程序中记录 58 人受伤，而 PHMSA 报告 51 人需要住院治疗。两个数字都应保留其标签。把一个转换成另一个会抹去底层行政类别。
损害延伸到私人地块之外。道路、公用设施和公共服务需要修复。居民面对流离、医疗护理、保险争议、重建选择和漫长法律程序。消防员和其他响应人员在供水受损的不稳定现场工作。燃气客户资助了一个其记录和完整性控制成为重大纠正工作对象的公用事业系统，尽管委员会后来指示关键制裁和安全成本由股东承担。
PG&E 在其 2013 年 9 月证券披露中报告了民事诉讼和和解活动。公司称，它已基本和解所有剩余原告诉求，并报告截至 2013 年 9 月 30 日累计计提约 5.65 亿美元、付款约 3.89 亿美元。这些是公司会计数字。和解条款通常保密，该数字不披露家庭层面的结果，计提也不等同于收到的现金或完全恢复。
City of San Bruno 与 PG&E 签订了单独的 2012 年和解协议，价值 7,000 万美元：6,875 万美元现金用于公共利益目的，另有五块空地按约定价值 125 万美元转让。它不是个人侵权原告的资金池。城市协议、居民和解、保险赔付、监管账单抵免和刑事罚款是不同路径，接收方和法律目的也不同。
没有任何总额能证明修复完成。金钱可以资助重建、公共设施、费率减免和服务。它不能替代生命，也不能证明健康影响、流离、财产价值、法律成本和社区信任都得到完全修复。问责要求准确报告转移，同时让其限度保持可见。
刑事定罪和监管制裁回答了不同问题
2016 年 8 月，联邦陪审团裁定 PG&E 有罪，罪名包括五项违反联邦管道安全要求和一项妨碍 NTSB 调查。陪审团同时裁定公司在另外六项被指控的管道安全罪名上无罪。妨碍罪涉及 PG&E 关于其把压力提高到 MAOP 以将制造威胁视为稳定的政策所作回应。精确性至关重要：这些定罪不是针对 8 人死亡的杀人罪定罪，部分罪名无罪也不会抹去技术可能原因认定。
联邦法院 2017 年量刑处以 300 万美元罚款，即相关罪名可用的法定最高额；五年缓刑；10,000 小时社区服务；公开宣传要求；以及由独立监督人监督的合规和伦理项目。量刑和监督人命令聚焦燃气管道安全、记录完整性、强度测试、可检测性以及对缺失信息的保守处理。与损害相比金额较低，反映的是法定量刑限制，而不是法院对伤害的估值。
CPUC 的最终处罚决定处理了三个相关程序：破裂、全系统记录保存和类别位置问题。其 16 亿美元一揽子措施不是单一现金罚款。它包括 8.5 亿美元由股东出资且排除在费率基础之外的燃气输送安全基础设施、向 California General Fund 支付 3 亿美元、向燃气客户提供 4 亿美元一次性账单抵免，以及约 5,000 万美元其他补救。把整个金额称为罚款、受害者赔偿或安全支出，都是不准确的。
刑事案件以排除合理怀疑标准测试被控罪行。CPUC 程序在不同法律框架下测试监管合规、公用事业适格性、补救和费率支付者保护。民事和解解决私人和市政请求，通常没有就每个争议事实作出公开认定。这些系统相互重叠，但不能互换。它们的合力显示严重机构失效；它们各自的标准阻止用一个结果夸大另一个结果。
改革改变了记录、测试、评估和破裂响应
第一轮改革把记录视为安全关键证据。2011 年 1 月，PHMSA 发布关于最高压力和完整性数据的咨询公告。它指示运营商使用可靠记录确立最高压力，并把已知信息整合进风险识别、评估、预防和缓解。咨询公告澄清期望并警示受监管群体；它本身不等同于最终可执行规则。
国会通过了 Pipeline Safety, Regulatory Certainty, and Job Creation Act of 2011，该法于 2012 年 1 月 3 日签署。它指示就记录、压力验证、自动和远程控制阀以及其他控制开展研究和制定规则。该法规标志着政策回应，但颁布并不会立即在每个遗留管段上产生现场验证。
PHMSA 的 2019 年燃气输送最终规则要求对缺少充分记录的特定管段重新确认最高允许运行压力，将评估扩大到高后果区域之外，强化材料属性验证和记录保存，并处理压力超限和地震风险。相关 MAOP 情况说明描述了六种重新确认方法，以及在管道全寿命内保留材料和测试证据的需要。这些后来的规则不能用来宣称违反了 2010 年尚未生效的要求。它们显示联邦底线如何因暴露出的弱点而改变。
破裂隔离也变得更明确。PHMSA 的 2022 年阀门和破裂响应规则确立了对破裂缓解阀、间距、维护、事件后复盘以及立即通知应急服务的要求。其实施摘要解释了在破裂识别后尽快关闭破裂缓解阀、通常在 30 分钟内关闭的目标。范围很重要：主要安装条款原则上适用于符合特定条件的新建或整段更换的陆上燃气输送管线。该规则不是声称每条既有管线都获得了新阀门。
现行 49 CFR Part 192, Subpart O 中的联邦完整性要求使控制逻辑更加明确：整合可用信息、考虑相关威胁、选择合适评估方法、应用质量保证、管理变化并评价项目有效性。现行法规是今天义务的基准，不是对 2010 年有效文本的追溯描述。
在公司层面，PG&E 推行了 Pipeline Safety Enhancement Plan，涉及压力测试、更换、降压、退役、内检测改造和自动阀。CPUC 当前的 San Bruno 事件和改革摘要报告称，最终项目于 2018 年 11 月投入运行。它列出 673.5 英里经过强度测试，114.9 英里被更换，12 英里降压，9.1 英里退役，202.4 英里具备内检测能力，217 个自动阀，以及全系统输送 MAOP 记录验证。这些是监管机构报告的项目输出。它们不能证明每一段都无缺陷，也不能证明每一项控制都能在紧急情况下发挥作用。
NTSB 关闭决定提供更强但仍有边界的证据。2020 年 1 月，委员会报告称，要求测试燃气管道以及在把制造缺陷视为稳定前进行 1.25 倍 MAOP 测试的建议，已经以可接受行动关闭。其建议档案还记录，在 PG&E 完成超过 1,850 英里的强度测试或记录验证后，建议被关闭。关闭意味着委员会接受了对建议的响应行动。它不认证所有当前或未来管道风险都不存在。
持久验证应是什么样子
San Bruno 暴露了安全治理中的反复弱点：组织可能把项目存在误当成项目控制其危险的证据。持久验证需要一条从实体资产到决策的链。
对于制造质量，证据是材料可追溯性、焊接记录、无损检测、压力测试结果和开挖管道验证。当遗留记录无法做到可追溯、可验证且完整时，保守回应是测试、降压、更换或采用另一种能够确立强度的方法。
对于威胁识别，证据不是通用清单。它是焊缝类型、施工年代、泄漏和失效历史、压力循环、类别位置、后果和所选检测技术之间有记录的联系。一个不能检测可信缺陷的工具，不能关闭该威胁。
对于运行控制，证据包括作业许可，明确受影响设备、切换顺序、报警归属、压力应急措施、停工阈值和变更管理。一次普通电气更换之所以变得安全关键，是因为电气边界和燃气控制边界发生耦合。作业包本应明确这种耦合。
对于应急响应，证据是计时演练和真实事件表现：多快识别、定位破裂，多快向应急服务沟通并隔离；是否派出合格操作人员；远程阀是否运行；以及经验教训是否转化为已验证纠正行动。没有测量响应时间的书面计划，是薄弱保证。
对于监管监督，证据是独立抽样。检查员应把数据库属性与开挖管道核对，挑战风险排序权重，测试评估方法是否匹配威胁，检查变更管理作业包，并跟踪差异直到现场关闭。程序存在并不足够。
对于补救和赔偿，证据按类别区分：法院处置、委员会命令分配、和解付款、公共利益支出和索赔人结果。聚合不同性质的金额，会让回应看起来更大，同时让问责更不清楚。
当前监督显示进展和未结义务
联邦刑事监督人的五年任期于 2022 年 1 月结束。随后，加利福尼亚设立了单独的 Independent Safety Monitor，在另一个五年期间审查 PG&E 安全运行、风险识别和记录保存。这种连续性显示监督没有随刑事缓刑结束而终止。它不应被解读为发现同一 132 号线缺陷仍然存在，或监测本身就能防止失效。
监督人在 2026 年 5 月发布的第八份状态报告提供了当前但有边界的快照。它描述了一些燃气安全文化调查指标和长期损害预防趋势中的有利变化，同时也报告部分燃气类别支出低于 CPUC 采纳水平、老化燃气基础设施计划工作，以及系统部分领域仍有开放纠正行动。报告明确说明，它部分依赖 PG&E 和第三方数据，监督人并未在每个实例中独立核验。因此，它是活跃保证过程和剩余义务的证据，而不是健康证明。
San Bruno 之后的核心问题不再是 PG&E 是否编写了项目、测试了里程或安装了阀门。公共记录确认这些行动。问题在于，公司和监管机构能否持续证明不确定遗留资产得到保守处理，记录与现场相符，评估工具能够看到分配给它们的威胁，以及应急隔离达到已测量的绩效目标。
责任控制图
如果把责任分配给实际控制，而不是宽泛机构标签，情况会更清楚。
管道制造和 1956 年接受由 PG&E 及其施工链控制。历史记录没有识别每个个人行为人，但该公用事业公司控制规范、检查、接受和测试。
记录保存和纠正在资产全寿命内仍是 PG&E 责任。监管方可以强制并抽样，但只有运营商能够把施工、维护、压力和地理记录整合进日常决策。
最高压力和完整性评估是受联邦规则和 CPUC 执法约束的运营商决策。PG&E 选择假设、风险排序方法、进度和评估方法。CPUC 和 PHMSA 负责发现这些选择是否符合标准并控制可信威胁。
电气作业规划由 PG&E 及其承包商管理系统控制。终端压力上升是电力可靠性和燃气调节之间耦合的可预见结果。清晰顺序、受影响设备识别和应急规划都是可用屏障。
破裂隔离主要由 PG&E 通过 SCADA 设计、阀门布置、人员配置、培训和应急指挥控制。消防和警察控制事件周边的公共保护，而不是输送阀门操作。
刑事、监管和民事问责按不同标准属于法院、检察官、CPUC 和索赔人。没有任何一方能够重建被毁社区；它们可以确立罪行、施加补救、转移资源并要求更安全控制。
这张图拒绝两个方便但不准确的叙事。San Bruno 不只是另一个年代一条糟糕焊缝的后果。它也不只是监管失效，仿佛运营商合理依赖政府检查。焊缝之所以存活，是因为连续的运营商和监督屏障没有把不确定性转化为行动。
反事实屏障和仍未解决的问题
若干反事实得到强力支持。1956 年充分的目视质量控制很可能会拒绝缺陷短管。以适当余量进行的有效水压强度测试，很可能会在投运前使关键焊缝失效，或在后续验证中暴露它。准确焊缝记录会改变威胁识别。能够检测纵向焊缝缺陷的评估方法本可促成修复或更换。更好的电气作业控制本可防止压力升高。更快阀门隔离本可减少火灾持续时间和严重程度。
这些反事实的作用范围不同。1956 年测试处理初始缺陷。后来的测试处理数十年压力循环后的存活。准确记录本身不会移除缺陷，但会改变决策路径。防止终端压力升高或许会避免当晚破裂，却不会使管道变得可靠。更快隔离不能防止最初爆炸。问责要求只按每道屏障能够控制的伤害给予评价。
公开证据中仍有重要问题未决：
- 记录没有点名 1956 年负责制造、目视检查或接受的每一个人，也没有解释六短管组件究竟在哪里制造。
- 公开来源没有提供保密民事和解的家庭层面结果，也没有确立幸存者的经济和非经济损失已获充分赔偿。
- 项目里程和建议关闭没有披露记录验证期间发现的每一项差异、仍在服役的每一处可比焊缝，或完整现场抽样错误率。
- 当前监测没有独立核验每一项公司数据，周期性报告也不能证明所有阀门、报警和队伍在下一次破裂中的表现。
- 后来规则强化最低控制，但没有消除运营商在风险排序、方法选择、作业规划和保守处理不确定性方面的裁量。
可能实质性改变本评估的证据包括：遗留管道属性与开挖结果的全面公开核对；管段层面的测试证明或已验证 MAOP 依据；检测方法的独立假阴性率；同类管线上的计时破裂隔离演练；以及监督人和监管机构发现的透明关闭记录。缺少这些公开细节并不证明工作没有完成。它限制了外部人士能够负责任提出的主张。
结论
San Bruno 使管道完整性管理成为问责测试，因为每个决定性控制都有所有者。1956 年焊缝在物理上有缺陷。2010 年压力上升由运行诱发。管线仍低于其声明的联邦最高值，暴露出把该数字视为强度证明的弱点。错误记录隐藏了焊缝，不合适的完整性策略使其未经测试，监督未能挑战该保证，应急系统又花了太长时间才停止供气。
回应产生了定罪、重大监管一揽子措施、民事和解、城市资金、压力测试、更换、可检测性项目、自动阀、更强联邦规则以及多年外部监测。这些结果是真实的。它们不能互换，也不创造永久安全推定。
持久教训更窄，也要求更高。燃气公用事业必须能够证明其管道是什么、经历过什么荷载、哪些威胁可能作用其上、为什么所选评估能够发现这些威胁，以及当预防失效时失效会多快被隔离。监管机构必须测试这些证明，而不是确认项目存在。当记录不确定时，不确定性必须引发保守行动。San Bruno 展示了让不确定性变成保证的代价。