摘要
- 2019 年 1 月 25 日约 12:28，淡水河谷位于 Corrego do Feijao 矿区的 B1 大坝发生溃坝。通过淡水河谷法律顾问聘请的技术专家组估计，约 970 万立方米、约占储存尾矿四分之三的尾矿在不到五分钟内冲出库区。270 人遇难。根据技术记录最一致支持的物理模式，该坝底部饱和松散脆性尾矿发生静态流动液化，而该坝的上游加高使得后期建造部分坐落在较弱的材料之上。
- 稳定性声明并非完整的安全结论。已签署的声明传达了一个二值结果，而底层分析却包含临界安全系数、依赖于方法的假设、排水问题以及未来工作的承诺。淡水河谷董事会委托的独立特别咨询调查委员会发现，该声明的支撑材料并未完整上传至联邦系统，并且高级别的报告强调的是正面声明的百分比，而非 B1 大坝的具体不确定性。
- 实际控制权是分散但不平等的。淡水河谷控制着设施、运营数据、专家采购、预算、坝下土地利用、应急计划以及停止、排水、加固或搬迁的决定。TUV SUD Bureau de Projetos e Consultoria 提供了 2018 年 3 月和 9 月的声明，并对其自身工作负有专业责任。国家矿业局（ANM）制定并执行采矿大坝管理制度，但严重依赖矿主报告的信息，现场能力有限。市、州和联邦应急响应人员无法替代位于生命周期上游的决定。
- 确切的触发事件仍存在争议。公司主导的技术专家组将触发归因于持续的内部蠕变加上雨季的吸力降低，未发现当天进行的钻孔造成足够的全局触发。后来的联邦警察理论将注水钻孔视为决定性因素。2026 年 6 月，巴西高等法院表示这一技术争议必须在刑事审判中得到检验；它未就实质作出裁决。这一分歧并不抹杀共同的先决条件：一个已经容易发生脆性液化的结构，以及一个未能迫使保守行动的保证流程。
- 执法结果必须分开看待。民事和行政措施已产生 R$376.9 亿元的司法赔偿协议、一项针对淡水河谷的 R$8630 万反腐法罚款（该罚款在高等法院的审查中得以维持），以及一项针对 TUV SUD 的联邦行政处罚。在美国的证券索赔已和解，淡水河谷既不承认也不否认所主张的指控。针对个人和公司的刑事诉讼截至 2026 年仍在进行中，截至访问日期尚无最终的刑事实质判决确定有罪。
- 修复工作是有实质进展的，但尚无法归结为一个完成百分比。淡水河谷在 2025 年 12 月报告称已对 30 座上游结构中的 19 座完成了去特征化工作，并表示已在其投资组合中实施了《全球尾矿管理行业标准》（GISTM）。这些是公司披露，不能替代监管机构验收、独立合规证据、长期水质和健康结果，或证明赔偿和集体项目已恢复受影响的生活。米纳斯吉拉斯州官方页面在 2026 年 7 月仍将健康与生态风险研究、水质监测和协议义务描述为正在进行中。
声明是控制输出，而非大坝的状况
布鲁马迪纽常常被叙述为一张纸和一座坍塌结构之间的冲突。这种框架过于狭窄。稳定性条件声明（DCE）是一个更大控制系统的可见输出。该系统包括大坝的建设历史、岩土模型、实验室假设、仪器、目视检查、排水性能、承包商判断、淡水河谷的内部风险流程、董事会升级、监管数据和应急后果。一个有效的签名只能与该链的可靠性相当。如果在不确定因素到达签字人之前就被过滤掉，或者如果付费的签字人在要求未来措施作为安心条件的情况下可以声明稳定性，那么该声明就失去了独立挑战的作用。
ANM 最初的公开记录显示，B1 大坝拥有 2018 年 3 月、6 月和 9 月的声明，其中 9 月的声明归因于独立审计，而淡水河谷 2018 年 12 月的检查记录未报告安全问题。ANM 将该坝列为低风险但高潜在损害。这一组合很重要：低概率标签并不意味着低后果，正面声明并不意味着每个可信的失效路径都已被消除。初步记录可在https://www.gov.br/anm/pt-br/assuntos/noticias/2019/nota-a-imprensa-1获取。
因此，问责失败既是语义上的也是技术上的。“稳定”在主管、监管机构或投资者那里可能被理解为广泛的安全性保证。在声明的工程工作中，它意味着选定的分析在选定的假设下达到了公认的最低标准。淡水河谷董事会委托的调查后来描述了接近边界的安全系数、关于适用最低标准的争议以及尚未改变结构的计划措施。二值报告掩盖了“计算通过”与“风险可控”之间的距离。一个稳健的控制应当传达裕度、敏感性、数据质量、未解决的异常、后果暴露以及仍处于开放状态的行动。它还应当说明谁有权在那些行动仍开放时停止运营或撤离人员。
这种区分的重要性超越采矿。公共机构、企业平台和小型服务提供商都在消费保证输出。一个已签署的结果可能通过采购、保险、融资、许可和持续运行计划自动传播。如果下游用户只看到一个通过状态，自动化会增加误信的速度和规模。布鲁马迪纽表明，保证数据需要出处、支持证据和升级状态。它绝不允许单个布尔字段抹去高后果的例外情况。
实际控制权随证据、资金和权力而分布
淡水河谷拥有主导的实际控制权。它拥有并运营矿山；继承并管理 B1 大坝；委托岩土研究；提供仪器和运营数据；选择并支付承包商；决定员工和承包商的工作地点；维护应急计划；控制下游行政建筑和餐厅；并能为排水、加固、去特征化、搬迁或关闭提供资金。它还控制着从现场专家到企业风险报告和公开披露的信息流。这并不意味着每个淡水河谷员工拥有相同的知识或法律责任。这意味着公司能够以任何外部参与者都无法做到的方式整合信息和资源。
保证承包商的控制权更窄但仍有重大影响。TUV SUD 的巴西分支开展了支持稳定性声明的工作。一家专业公司控制着自己的方法论、接受阈值、资质、文件记录、保留意见和签署意愿。它可以拒绝委托、保留意见或在证据不足时退出。然而，其决策是在商业关系内运作的。淡水河谷的委员会发现，进行大坝审查的公司也可以在同一业务领域寻求其他岩土工程任务，并且描述了商业压力被感知到的沟通。TUV SUD 公开质疑了指控，并于灾难后表示巴西的声明框架涉及不确定性；其立场记录在https://www.tuvsud.com/en-us/press-and-media/2019/april/accident-in-brazil-collapse-of-dam-of-a-retention-basin。任何压力的存在和法律效力由主管程序决定，但结构性冲突是独立可见的：需要声明的当事方选择并支付了其拒绝可能打乱其计划的当事方。
ANM 控制着法规、注册要求、检查、执法和禁止令。它不控制大坝的日常状况，也不生成业主的原始数据。其事后技术报告指出，联邦系统严重依赖运营者提交的信息，并发现了淡水河谷记录与采矿大坝安全管理综合系统（SIGBM）条目之间的差异。ANM 还报告称，其区域团队在相关时期只有 8 名技术人员负责 425 座受国家政策约束的大坝，且该机构对 B1 大坝的最后一次现场检查是在 2016 年。该机构的报告可在https://www.gov.br/anm/pt-br/assuntos/noticias/2019/agencia-nacional-de-mineracao-conclui-o-relatorio-tecnico-sobre-barragem-de-brumadinho获取。资源限制解释了监控差距的部分原因；但这并不转移运营者了解并报告其设施的责任。
其他机构控制着后续阶段。州环境和民事防御机构负有许可、应急和响应职能。检察官可以寻求禁令和赔偿。劳动监察员可以调查工作场所保护。法院可以强制执行或审查补救措施。投资者和贷款方可以要求披露或改变资本准入。社区拥有本地知识和权利，但他们在工具、模型、合同和董事会文件方面没有相同的访问权限。将所有的参与者称为“利益相关者”可能会掩盖这种不对称性。问责应遵循参与者实际看到风险、改变物理条件、阻止暴露或迫使另一个参与者采取行动的能力。
因此，正确的控制图是时间性的。在失效之前，淡水河谷及其保证链拥有最强的预防控制；ANM 拥有监督和强制控制；应急机构拥有准备控制；工人和居民几乎只有依赖和报告可见关切的能力。失效之后，检察官、监管机构、法院和政府获得了更强的执法和赔偿控制。事后付款不能追溯性地等同于事前的工程否决权。同样，外部监管机构不能持续检查到成为运营者的程度。每种控制应在其可能改变结果的那一刻进行评估。
漫长的建设历史造成了快照可能遗漏的状况
B1 大坝于 1970 年代开始运行，并经过数十年时间使用上游法加高。技术专家组的报告描述了约 37 年间进行的十次加高，尾矿排放于 2016 年 7 月停止，2013 年后未再进行加高。在上游法施工中，后期坝体阶段是推进到先前沉积的尾矿之上，而不是完全停留在常规下游基础上。只有在材料状态、水、排水、几何形状和荷载保持了解和可控的情况下，这种方法才能被管理。它对后期加高下方尾矿的强度和饱和度固有敏感。
专家组发现，储存的尾矿因其铁含量异常沉重，并且部分尾矿是松散的、饱和的、具有胶结性和脆性。在小变形下，这种材料似乎能承受荷载；但在其结构崩溃后，它会收缩并迅速失去强度。后期加高还将边坡向外推移到了较弱的细粒尾矿之上，而内部排水并未按设计控制水位。专家组得出结论，无需常规的外部冲击就有可能发生流动液化机制。其完整报告可在https://bdrb1investigationstacc.z15.web.core.windows.net/assets/Feijao-Dam-I-Expert-Panel-Report-ENG.pdf获取。
该报告具有很高的技术价值，但独立性界限是明确的。淡水河谷披露，专家组是由 Skadden 按照淡水河谷的指示聘请以提供法律建议，Skadden 和专家组均未开展独立于公司的工作，专家组也不是由董事会特别调查委员会聘请的。淡水河谷自己的聘用通知说明了这些限制，可在https://vale.com/ca/w/vale-informs-on-the-hiring-of-expert-panel获取。这并不使测量或计算失效。这意味着读者应将专家组的结论与监管机构、警方、劳动部门、立法和司法记录进行比较，而不应将报告视为责任的中立裁定。
大坝的历史也驳斥了一个常见的快照错误。即使在结构在多年间已接近脆性极限时，仪器在最后一天早上仍可能保持在报警阈值内。目视检查可能发现不了新的裂缝，即使模型对不排水强度的假设很敏感。水位可能看起来稳定，而材料在雨后吸力发生变化。稳定性不是一张照片；它是关于结构将如何在各种可能状态下响应的断言。对于高后果的上游大坝，保证流程需要整合建设历史、材料变异性、排水性能、季节性变化和不确定性，而不仅仅是询问最新读数是否超过预选线。
这就是为什么不应将追溯性证据简化为“仪器发出了警告”或“没有警告”。ANM 后来发现了可报告的异常和数据差异。专家组在其评估的特定监测序列中未发现清晰、加速的前兆。两者都有可能成立。当一个控制系统有足够证据要求谨慎，但没有产生预测崩溃时刻的整洁最终信号时，独立保证的价值恰恰体现在这一点上。
2016 年至 2018 年，边际证据被转化为通过
淡水河谷的独立特别咨询调查委员会（CIAEA）由董事会在溃坝后任命。其 2020 年 2 月的执行报告重建了一个序列，其中稳定性问题在 2018 年声明之前就已存在。它提到 2016 年的分析产生了不利结果，后续工作仍停留在边际水平。在一项核心分析中，峰值不排水安全系数约为 1.09。报告称使用了 1.05 的最低标准，但引用的出版物并未将该值确立为此应用的一般最低标准。报告将此做法与淡水河谷的其他大坝实践以及巴西工程建议的 1.3 进行了对比。
安全系数是一个模型结果，而非物理保护伞。其含义取决于几何形状、材料强度、孔隙水压力、排水假设、荷载情况和所分析滑动面。1.09 和 1.05 之间的差不是可以像财务比率那样理解的四个百分点安全裕度。输入参数的不确定性可能大于数值裕度。对于脆性材料和包含工作场所的后果区域，边际结果应加强挑战、敏感性测试和暴露减少。
委员会称，TUV SUD 最初表示在结果低于 1.3 时不能发布声明，但在经过讨论并承诺采取未来行动后，使用了较低阈值发布了 2018 年 3 月的声明。报告还描述了先前的一名顾问因标准分歧而离职，以及后来围绕 9 月声明的沟通。这些是淡水河谷董事会委托委员会的调查结果，并非针对任何个人或公司的最终司法裁决。委员会明确表示不决定法律责任，并且不能保证已发现所有相关事实。其执行报告（包括这些限制）可在https://vale.com/documents/44618/1272931/20.02.20_CIAEA_Report_i.pdf/b3fe6efd-bdba-abfd-3622-677369d820d4?version=1.0获取。
无需解决每一条有争议的消息就能看到关键的控制缺陷。稳定性声明代表了当前状况，而支撑其安心的一些措施却依赖于尚待完成的工作。如果一座大坝只有在计划中的排水、调查或运营控制后续提高信心的情况下才通过，那么系统不应显示无条件的当前通过。它应显示受限状态、完成期限、指定的责任方以及在证据延迟或不利时自动升级。否则，行动清单就成了加诸于公开保证的不可见条件。
声明还脱离了其完整的分析背景向外传播。CIAEA 报告称，DCE 是一份简短的文件，其详细的安全系数分析本身并未置入 SIGBM。这种设计给了监管机构一个结果，却没有赋予其检验背后假设的同等能力。它还允许企业报告汇总多个大坝的正面声明。一个显示 100%正面 DCE 的投资组合听起来令人安心，但它并不揭示是否有一座高后果结构是通过狭窄且有争议的方法通过的。
淡水河谷委员会还发现，风险信息在向上传递时发生了变化。它描述了 B1 大坝出现在更详细的技术风险小组中，但在更高级别的企业视图中却未出现其名称。它还发现没有证据表明董事会讨论过低安全系数或拆除下游行政设施。这并不证明每位高管都了解每一项技术事实。这表明治理架构在信息汇总时未能可靠地保留特定设施的严重性。问责归于该架构，因为汇总是一种设计选择。
监测数据并未转化为保守的决策
ANM 的 2019 年采矿大坝安全报告列出了 B1 大坝的大量监测设备：测压管、水位计、测斜仪、测量点、流量测量和雷达。仅凭仪器数量并不能产生控制。该机构发现淡水河谷内部信息与监管报告之间存在不一致，包括排水相关事件、读数和雷达行为在 SIGBM 中未以符合 ANM 后来认为的严重程度表示。它还描述了 2019 年 1 月 10 日一起测压管紧急情况未按规定向机构报告。详细的年度报告可在https://www.gov.br/anm/pt-br/assuntos/barragens/relatorios-anuais-de-seguranca-da-barragens-de-mineracao-2/relatorio-anual-gsbm-2019-v-final.pdf/@@download/file查看。
教训并非每一个异常读数都预示着即将发生失效。假阳性、故障仪器和局部影响是正常的工程现实。教训在于高后果保证系统必须保留异常，直到有授权的、记录在案的审查解释它们。本地评分不应通过未经解释的映射变成较低的国家级评分。被分类为紧急的仪器应创建持久的案例记录、独立审查和关闭证据。雷达移动应与测量和岩土模型相协调。业主不应是唯一能够看到原始序列或变更提供给监管机构解释的一方。
ANM 得出结论，正确和及时的信息本可以改变其反应，包括可能的预防措施或禁止令。这是该机构的反事实评估，并非证明特定的检查本可以必然防止失效。它仍然具有相关性，因为它指出了因报告不完整而失去的控制。监管机构无法对看不到的事物进行风险排序。反之，注册的存在并不意味着监管机构是公司数据的作者。
该机构在溃坝当天禁止了 Corrego do Feijao 综合体的运营，记录在https://www.gov.br/anm/pt-br/assuntos/noticias/2019/anm-interdita-vale-em-brumadinho-mg。溃坝后的禁止令可以防止进一步危险，但也说明了时机问题。停止作业的权力在证据超过失效前决策阈值时最为重要。因此，未来的系统需要在声明到期之前按等级设置状态：正常、加强监测、限制运行、人员撤离自救区域、以及紧急。这些状态必须由不确定性和后果以及测量到的移动来驱动。
1 月 25 日，溃坝超过了应急架构
视频和技术重建显示初始崩塌发生在约 12:28。专家组报告称主要运动在数秒内展开发话，大部分释放物质在几分钟内离开。行政和餐饮设施就位于下游。淡水河谷委员会表示，洪水研究表明一些有人区域可能在大约一分钟后被淹没。一个围绕确认失效后启动警报而设计的预警系统，无法为如此近的工作人员提供有意义的疏散间隔。
警报器在波浪到达矿区设施之前并未有效响起。这一失效很重要，尤其在理解应急准备和沿路径可能进行更远预警方面。但不应利用它来掩盖先前的土地使用决策。第一个生命安全保障是将日常有人工作的建筑物保持在自救区域之外。官方劳动监察分析将工作场所位置、应急规划和大坝的物理状况视为相互关联的作业控制措施，而非孤立系统。报告可在https://www.gov.br/trabalho-e-emprego/pt-br/assuntos/inspecao-do-trabalho/seguranca-e-saude-no-trabalho/acidentes-de-trabalho-informacoes-1/relatorio_analise_acidentes_brumadinho.pdf获取。
这种分离对于问责很重要。稳定性预防、暴露减少和预警是独立层。正面的稳定性声明绝不应豁免安全选址。安全选址绝不应豁免监测。对于预计到达时间仅为一分钟的有人区域，警报器绝不应该是唯一的计划。当一层薄弱时，另一层必须保持有效。在布鲁马迪纽，同一个组织控制了结构、下方的工地和应急安排，但这些控制并未相互补充。
公开纪念活动中使用的确切数字也需要谨慎。270 人遇难，包括两名怀孕妇女；米纳斯吉拉斯州的纪念活动通常提到 272 条生命或“宝石”，以包括两名未出生的孩子。这一区别解释了官方来源可能显示 270 和 272 且不是描述不同灾难的原因。米纳斯吉拉斯州民事警察的纪念说明可在https://www.agenciaminas.mg.gov.br/noticia/policia-civil-homenageia-joias-de-brumadinho-no-instituto-de-identificacao了解。本文在尊重纪念总数的同时，将遇难人数报告为 270 人。
物理失效模式比触发因素更明确
最有力的共同技术结论是 B1 大坝经历了静态流动液化。一旦变形破坏了松散且呈脆性结构的饱和尾矿，其可用强度下降，迅速传播的失效随之发生。专家组确定了几个长期贡献因素：部分坝体加高下方存在弱细粒尾矿、高水位条件、内部排水不足、上游加高的几何形状、鼓励脆性响应的材料胶结以及持续蠕变。在崩塌前没有地震或矿山爆破的证据来提供常规的外部触发因素。
这是物理系统层面的根因分析。它比说“雨水导致大坝溃坝”或“一个钻孔导致大坝溃坝”更有力。季节性降雨可以改变吸力和孔隙水条件，但一个适当控制的高后果结构应能承受预期的天气。钻孔可以在局部改变应力或水条件，但其效应取决于已经处于临界状态的材料。触发因素不同于累积的易感性，后者使得微小扰动或内部变化就能造成灾难性损失。
公司主导专家组的数值工作支持了内部蠕变和雨季吸力丧失导致的触发。它检查了 1 月 25 日进行的钻孔，并得出结论认为模拟的扰动不足以造成整体失效。这一结论并未终结此事。后来的联邦警察报告提出了注水钻孔是决定性触发事件的理论。被告已质疑该理论与专家组说法之间的关系。
2026 年 6 月，高等法院维持了对淡水河谷和 TUV SUD 工程师的刑事案件，并表示相互竞争的技术解释需要在审判中进行证据检验。法院的说明指出，遗漏和主动触发因素不一定是互斥的法律理论。它并未认定钻孔导致了溃坝、验证了每项起诉指控或确定有罪。该决定及其程序范围在https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2026/16062026-STJ-mantem-acoes-penais-contra-engenheiros-da-Vale-e-TUV-SUD-por-rompimento-da-barragem-em-Brumadinho.aspx有描述。
因此，严谨的结论是多层次的。已确认的事实：大坝容易发生脆性液化失效，并确实通过快速流动失效。有支持但有争议的推断：长期蠕变和雨季吸力丧失在没有大型外部事件的情况下触发了失效。待裁决的司法问题：当天的注水钻孔是否是决定性触发因素，以及任何作为或不作为如何映射到个人刑事责任。负责任的叙述不会等待触发因素争议来解决先前的控制失效，也不会将专家组的模型视为刑事判决。
有偿保证需要制度独立性，而非仅一个形容词
“独立”这个词可以描述一个法律上与运营方分离的承包商，但对委托的激励因素几乎不置一词。功能性独立提出了更困难的问题：谁任命和撤换审查员？谁协商费用？审查员能否向同一运营单位销售其他工作？拒绝是否会危及未来业务？审查员是否能够直接访问原始数据和员工？它能否不加管理层编辑地向董事会和监管机构报告？审查标准是否在结果已知之前就已固定？是否有强制冷却期？谁记录分歧？
CIAEA 发现淡水河谷的岩土部门委托审查员和其他专家，有时涉及更广泛的商业关系。它描述了审查员感知到的压力，以及一种挑战可能被层级和部门孤岛削弱的“文化”。委员会并未声明每份保证意见都是腐败的，记录也不支持这种泛化。它展示了一种采购设计，在最重要的时候无法展示独立性：即在否定或保留结果可能关闭设施、带来巨大成本并违背公司信心的时候。
最低限度补救措施不仅仅是轮换公司名称。审查委托应由运营业务之外的机构控制，拥有受保护的预算以及直接与负责任高管、董事会委员会和监管机构沟通的权力。其他服务收入应披露并受到限制。选择标准、范围变更、模型假设和技术分歧应构成保证记录的一部分。审查员应因胜任工作而获得报酬，而非因积极结果获得报酬，合同续签不应取决于声明是否方便。
监管架构还必须避免将公共判断外包给私人意见。业主资助的审查可以提供专业知识，但监管机构需要访问完整的支持包、原始时间序列、模型文件、实验室基础、敏感性结果和未解决的异常。它应有权在运营者承担费用的情况下委托第二次审查，而不允许运营者选择该审查员。高后果、临界或老旧的上游结构即使声明是正面的，也应受到更多外部审查。
淡水河谷后来发布了一份关于其对 CIAEA 建议回应的问责报告，称已进行了治理和风险变革。这是管理层行动的相关证据，而非独立有效性的证明。公司说明在https://www.vale.com/w/vale-releases-the-accountability-report-on-the-ciae-a-recommendations。有效性需要证据表明不利的调查结果现在未经更改地送达决策者，审查员发布了保留或否定结果而未受到商业报复，并且此类结果导致了物理或暴露控制。政策和委员会图表本身无法确立这些结果。
董事会保证失败：组合报告抹去了设施严重性
董事会不能运行测压管网络，但它可以决定哪些信息必须传达到它以及什么后果随之而来。布鲁马迪纽展示了为什么综合合规措施是危险的。一份所有声明都是正面的报告回答了表格是否存在；它没有回答最具后果的大坝是否处于临界状态、审查员是否意见不一、行动是否逾期或人员是否仍在淹没区。
CIAEA 描述了安全措施存在但财务组成部分仍然更大、安全报告主要关注审计和声明的薪酬和绩效体系。它还发现预算在识别个别结构支出的层面上不易追溯。这些调查结果并不确立特定的薪酬支付导致了技术决策。它们支持一个治理推断：公司系统使得正式完成和财务绩效比 B1 大坝的残余风险更容易看到。
因此，董事会级别的保证应按例外原则而非平均值运作。每座高后果设施都应有一名指定的问责高管，以及一份关于最低系数、敏感性范围、最突出的未解决观察、逾期行动、下游占用和保证冲突的简明记录。董事会应直接收到审查员的不同意见。因标准分歧而从一名顾问更换为另一名顾问，应自动浮出水面。任何低于运营方在其他地方使用的接受阈值，同样应自动浮出水面。
公开披露也需要同样的纪律。2022 年 4 月，美国证券交易委员会指控淡水河谷在溃坝前对大坝安全和可持续性做出了虚假和误导性陈述。投诉是一份指控文件，并非判决，可在https://www.sec.gov/files/litigation/complaints/2022/comp-pr2022-72.pdf获取。2023 年，淡水河谷同意支付 5590 万美元以解决所主张的指控，既不承认也不否认；淡水河谷还报告称 SEC 不反对驳回以故意或鲁莽为构成要件的指控。公司申报文件在https://www.sec.gov/Archives/edgar/data/917851/000129281423001206/vale20230328_6k.htm。这种区分防止执法和解被重新解释为承认，同时保留了问责教训：广泛的安全声明需要在设施层面有可追溯的支持。
损害超出了遇难人数
尾矿释放导致 270 人死亡，绝大多数是淡水河谷设施内或附近的员工和承包商工人，以及下游的居民和访客。它摧毁了家庭的收入和护理结构，导致人员流离失所，中断了道路和服务，给应急响应人员带来了多年负担，并产生了多年的搜寻工作。流动的速度和密度使得工作场所布局成为冲击乘数。损失不能仅用赔偿总额来代表。
尾矿通过 Ferro-Carvao 溪流走廊移动并影响了 Paraopeba 流域。联邦和州当局记录了土地、植被、动物救援、水质和公共卫生问题。IBAMA 发布了环境执法措施，包括与动物救援相关的每日罚款，并描述了数百公顷受影响的区域；执法说明在https://www.gov.br/ibama/pt-br/assuntos/notas/copy_of_notas/ibama-aplica-multa-diaria-a-vale-por-falhas-no-salvamento-de-animais。罚款确立了对特定行为的行政回应；它并非完整的生态损害清单。
当前官方监测显示了因何因果用语必须保持精确。米纳斯吉拉斯州继续监测受影响区域的水井和蓄水池，并报告监测点存在不符合要求的微生物、感官和化学结果。当局继续建议用户遵守官方限制。这些结果并不意味着每次超标仅由尾矿释放引起；基线条件、当地卫生和污染物路径需要针对具体地点的研究。当前水质监测记录在https://www.mg.gov.br/pro-brumadinho/pagina/reparacao-brumadinho-monitoramento-da-qualidade-da-agua-para-consumo-humano。
州政府还描述了跨目标区域的持续人类健康和生态风险评估。截至 2026 年 7 月，这项工作尚未归结为一份关于恢复状况的最终、普遍声明。项目页面在https://www.mg.gov.br/pro-brumadinho/pagina/brumadinho-estudos-de-avaliacao-de-risco-saude-humana-e-risco-ecologico。这是持续测量和干预的证据，而非没有修复发生的证据。它设置了正确的责任：宣称完成的公司应能够显示暴露途径已关闭、用水安全恢复、健康发现已解决、生态功能正在适当时期内恢复。
经济影响是分布式的。淡水河谷承担了补救、法律、运营和融资成本；公共机构承担了响应和监督需求；供应商和小企业面临需求中断和准入问题；家庭面临健康、交通和就业后果。依赖河流和原住民社区需要针对其用水、土地和文化资源使用情况的证据。通用的项目交付百分比无法证明对每个群体的修复情况。
执法产生了多种问责，而非一项最终判决
主要民事框架是 2021 年 2 月由淡水河谷、米纳斯吉拉斯州机构和司法机构签署的司法赔偿协议。宣称的经济价值为 R$37,689,767,329。它涵盖特定的集体和分散损害、项目、收入转移、机动性和环境义务。州政府说明协议及其附件可在https://www.mg.gov.br/pro-brumadinho/pagina/entenda-o-acordo-judicial-de-reparacao-ao-rompimento-em-brumadinho获取。该协议并未消灭个人索赔或刑事诉讼。其标题价值不等于已支付现金，在政府项目上的支出并非自动证明每个受影响的人已得到修复。
淡水河谷的 2025 年年度申报文件称，截至 2025 年 12 月 31 日，更新后的承诺价值已支付 81%，在支付义务和履行义务之间进展不一。这些数字是证券申报文件中的经审计公司披露，但支出的定义仍需与结果相匹配。申报文件在https://www.sec.gov/Archives/edgar/data/917851/000129281426001844/valeform20f_2025.htm。后来的综合报告称，几乎所有符合条件的庭外个人诉讼已了结，并给出了住房和支付数字。这些仍然是公司报告的输出。它们应与索赔人获取情况、争议资格、交付质量和政府监测结果进行调和。
行政执法涉及数据完整性和保证行为。巴西联邦总审计长根据《清洁公司法》对淡水河谷处以约 R$8630 万罚款，原因是通过在 SIGBM 中提供虚假或不完整信息阻碍矿业机构监管。2025 年 4 月，高等法院维持了该罚款。法院说明在https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2025/30042025-Primeira-Secao-mantem-multa-de-R--86-milhoes-contra-Vale-por-dificultar-fiscalizacao-em-Brumadinho.aspx。这是法院描述的最终行政责任结果，区别于决定物理触发因素或个人杀人罪责。
联邦总审计长还制裁了 TUV SUD 的巴西实体，并于 2025 年 1 月在行政责任程序中驳回了复议请求。该机构表示案件涉及虚假稳定性声明，并实施了其决定中所述的制裁。通知在https://www.gov.br/cgu/pt-br/assuntos/noticias/2025/01/cgu-indefere-pedido-de-reconsideracao-de-empresa-em-processo-administrativo-de-responsabilizacao/。TUV SUD 在其公开和司法论坛上保持辩护。行政认定不应被扩展到其法律范围之外，但它直接检验了有偿保证的问责性。
刑事诉讼在另一套举证标准下进行。联邦法院听证于 2026 年 2 月开始，涉及公司和个体被告。联邦第六地区法院描述了听证阶段，在https://portal.trf6.jus.br/trf6-inicia-audiencias-do-caso-brumadinho-a-partir-desta-segunda-feira-23-de-fevereiro/。2026 年 4 月，高等法院恢复了淡水河谷前任首席执行官作为被告，认为公诉方有足够的门槛支持以继续诉讼。该程序决定在https://www.stj.jus.br/sites/portalp/paginas/comunicacao/noticias/2026/07042026-ex-president-da-vale-volta-a-ser-reu-em-acoes-penais-pelo-rompimento-da-barragem-de-brumadinho--mg-.aspx，并未决定有罪。
截至 2026 年 7 月 15 日，刑事实质问题仍未解决。每位被告均享有无罪推定。用民事和解、SEC 决议、行政罚款或受理指控的决定来替代刑事判决是不准确的。同样，仅因刑事审判尚未终结就说问责不存在也是不准确的。记录中包含可执行的民事义务、行政制裁、公司治理变革和活跃的刑事司法程序。每一项都应针对其自身的法律问题进行衡量。
法律法规改变了上游大坝的默认规则
巴西当局从个案执法转向结构性规则。ANM 2019 年 8 月的第 13 号决议禁止在其范围内对采矿大坝使用上游法施工，并规定了去特征化和安全措施的要求。决议在https://www.gov.br/anm/pt-br/assuntos/barragens/resolucao-anm-no-13-de-8-de-agosto-de-2019.pdf。2020 年 9 月的联邦法第 14,066 号修订了《国家大坝安全政策》，禁止以上游法建造或加高采矿大坝，加强了责任，规定了自救区域并修订了应急和检查要求。该法律在https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2020/lei/l14066.htm。
这些改革改变了法律默认值，但禁止并不等于消除继承的风险。现有结构必须通过技术上分阶段的工作进行去特征化或以其他方式纳入法律框架。去特征化本身是一个高风险施工过程：水可能需要控制，尾矿可能需要稳定，可能需要安装支撑和排水设施，土方工程必须避免使正在移除坝体功能的结构失稳。期限可能因技术或许可原因而改变。因此，问责要求针对每座结构有具体的里程碑、延迟原因、临时风险控制和监管机构验收。
更强有力的法律本身也并不能解决数据问题。监管机构仍然需要准确的提交资料、合格人员、优先排序方法、检查能力和执法跟进。业主需要保存源数据并报告例外情况。应急计划必须反映实际的到达时间。有效性测试是，一座临界结构现在是否会产生更早的限制和暴露减少，而不是法规是否包含更多义务。
在国际层面，《全球尾矿管理行业标准》于 2020 年发布，包含 15 项原则和 77 条可审计要求，涵盖受影响的社区、综合知识、设计、治理、应急响应和公开披露。它将问责归责于最高组织层级，并呼吁独立审查。UNEP 的官方说明在https://www.unep.org/resources/report/global-industry-standard-tailings-management。该标准是一个重要的参考，但自愿采纳和自称的实施需要可信的合规评估。布鲁马迪纽的历史警示着不要允许新标签变成另一个二值声明。
淡水河谷的修复计划是可衡量的，但其主张需要外部关闭证据
淡水河谷称已建立新的尾矿治理、独立技术审查委员会、24 小时监控以及消除上游结构的计划。2025 年 12 月，它报告称已完成 30 座结构中 19 座的去特征化工作，占其计划的 63%，自 2019 年以来已支出约 R$127 亿元。至少对于该新闻稿中讨论的新完成的结构，淡水河谷表示已向当局提交了验证证据，并将继续监测。披露信息在https://www.vale.com/w/vale-completes-decharacterization-work-on-19th-upstream-dam。
措辞很重要。运营方“完成工作”、在工程标准下“去特征化”以及“监管机构验收”是相关但不相同的状态。土方工程后的长期性能是另一种状态。一个透明的登记册应显示所有四种状态：物理工作、负责工程师的记录、监管机构决定和后工作监测。它还应根据紧急水平、临时控制和预计完成时间显示剩余结构。
淡水河谷还在 2025 年 8 月报告称，已在其所有尾矿坝中实施了全球尾矿管理行业标准。公司说明在https://vale.com/w/vale-has-implemented-gistm-across-all-its-tailings-dams。这一说法表明了一项全投资组合的管理工作。它本身并不是每座设施都得到了全球尾矿管理研究所的独立认证或每项要求在实践中有效的证据。证据性区分应在投资者、监管机构和社区报告中明确：运营方声称的实施；指定评估者审查的一致性；以及在明确计划下的认证（如有）；以及未解决的发现。
同样的区分适用于 CIAEA 建议。淡水河谷可以记录修订后的政策、组织变革、委员会和系统。独立性问责要求操作性测试：审查员在业务线之外被选中的例子；不利调查结果送达董事会的例子；在失效前人员从后果区域撤离的例子；模型文件送达监管机构的例子；以及在物理工作关闭风险之前声明被扣发的例子。以经过编辑但可审计的形式发布这些案例，将比标记为完成的建议百分比提供更有力的证据。
赔偿也有类似的层次。承诺的资金、已转移的资金、已建成的资产、正在运行的服务和已恢复的人类结果是不同的衡量标准。米纳斯吉拉斯州已发布项目与协议报告，包括已完成的基础设施项目，在https://www.mg.gov.br/pro-brumadinho/pagina/reparacao-brumadinho-prestacao-de-contas-final-dos-projetos-realizados-e-concluidos-pelo-governo-do-estado。这种报告提高了可追溯性。它并未完结健康、生态、个体或刑事等问题，这些问题不在已完成项目清单的范围内。
已确定的、推断的和仍未知的内容
已确定的事实。B1 大坝使用了上游法施工，并且有长期的加高历史。尾矿排放已在失效前停止，但结构仍含水且易受影响。淡水河谷控制着设施并委托了声明。TUV SUD 的巴西实体在 2018 年发布了稳定性声明。详细记录包括临界稳定性计算和未解决的关切。ANM 的系统并未包含后来在淡水河谷记录中发现的所有相同形式的信息。大坝于 2019 年 1 月 25 日迅速溃坝，预警系统未能提供有效的疏散间隔，270 人死亡。失效涉及流动液化。随后达成了一项大型民事赔偿协议和行政处罚。截至访问日期，刑事实质问题尚未最终裁定。
有支持的推断。声明过程赋予决策者的信心超出了底层裕度所证明的合理范围。即使个别工程师可能认为其工作符合公认实践，商业关系也削弱了可证明的独立性。汇总的企业报告使得设施特定的例外更难传达到董事会。完整、及时的异常报告本可能增加监管审查或预防性限制的机会。将有人建筑物从直接淹没区移除本可以减少暴露，即使失效时间仍然不可预测。这些推断得到汇聚的技术、监管和治理记录的支持，但它们仍然是因果判断而非直接观察。
未知或有争议的事项。当天钻孔的确切触发作用在活跃的刑事诉讼中仍存在争议。公开记录并未确立每名个体被告在每项决策点知道什么，有罪与否由法院决定。任何一项排水措施、检查、警报行动或报告的反事实效果无法确切知晓。全面的长期健康和生态结果仍在研究中。公开数据尚未证明淡水河谷计划中的每座上游结构都已通过最终外部关闭和后工作性能审查。公司报告的全球尾矿管理行业标准实施情况并未回答每一个独立合规问题。
这种分类防止了两种相反的错误。一是最大化：将每项指控视为已证明，并将相同的知识归于每个行为者。二是最小化：利用对最后一个触发因素的不确定性来否认一个充分支持的生命周期和保证失效。一份高质量的问责记录可以同时容纳已确定的事实、有支持推断和开放性问题。
缺失的证据本身就是一个治理发现
如果以可用的形式发布，几份记录将显著改善问责。首先是每个原始仪器和检查观察到输入 SIGBM 的分数（包括每次覆盖、作者和理由）的完整时间戳链。其次是完整的保证委托记录：选择、费用、其他服务、范围变更、验收标准、模型版本、不同意见以及与运营方的沟通。第三是升级链，精确显示 B1 大坝的什么信息在何时到达了现场、业务部门、高管、董事会和监管机构。
第四是设施级别的修复登记册。对于每座剩余的上游结构，它应说明当前状况、临时暴露控制、独立审查员、监管机构里程碑、物理进展、预测、延迟和去特征化后监测。第五是赔偿结果分类账，将支出与受益人、已交付服务和独立测量的人类或生态结果联系起来。商业机密和个人隐私可以证明删节是合理的，但不能证明缺少可审计字段的合理性。
第六是关于新保证模型有效性的独立证据。有多少声明被保留或拒绝？独立技术审查委员会在多大程度上改变了设计或运营决策？问责高管或董事会是否收到了每项高严重性例外？人员是否因不确定性超出容忍范围而被搬迁，即使没有可见的移动？一个只产生正面结果的系统可能是极其安全的，或者它可能仍在过滤不同意见。输出分布本身无法区分两者。
最后，经过法庭检验的技术证据仍在发展中。活跃的诉讼可能澄清钻孔顺序、个人沟通、专家差异和法律责任。在此之前，负责任的分析绝不能以确定性填补空白。它仍可以得出结论：失效前的系统缺乏一个足够独立的机制，来将临界稳定性和极端后果转化为保守的控制。
一项持久的独立保证问责测试
持久的测试始于控制而非指责。对于每座高后果尾矿设施，确定谁可以改变设计、沉积、水、排水、监测、审查、土地利用、预警、关闭和披露。指定一名问责高管，但为工程师、审查员和监管机构保留指定的职责。使董事会负责确保设施特定例外在没有被平均掉的情况下传达到它。
第二，将保证治理与运营单位分开。审查员应由需要声明之外的业务线选择和监督。其他商业工作应被禁止或严格限制并披露。标准应事先固定。拒绝或保留意见应触发受保护的升级，而非寻找更宽容的方法。监管机构应收到支持包，并有权委托第二种意见。
第三，用富含证据的状态取代二值通过。公布控制性安全系数和方法、敏感性范围、材料不确定性、仪器例外、逾期行动、下游暴露和审查员保留意见。机器可读系统应保留出处并防止异常严重性的静默降级。自动化应将例外向前传递，直到存在授权的关闭记录。
第四，使后果控制独立于失效预测。没有日常有人使用的设施应留在建模到达时间使疏散不切实际的地方。预警系统应经过测试，但警报器不能证明自救区域内的暴露是合理的。限制、搬迁和疏散标准应对不确定性和后果做出反应，而不仅仅是对即将移动的预测。
第五，通过外部状态证明修复。公司完成、工程师签字、监管机构验收、独立合规和持续的环境绩效应分别报告。赔偿应将资金与获取和结果联系起来。健康和水质限制应保持可见，直到主管当局结束它们。刑事指控应保持为指控，直到得到裁决。
布鲁马迪纽以灾难性的代价使这些控制变得具体。对其他机构的警示并非保证无用。而是当付费的结论与证据、商业背景、不确定性和后果脱节时，保证变得危险。一项声明应成为有责任的审查的开始，而非其终结。