En la noche del 9 de septiembre de 2010, un gasoducto de transmisión de gas natural de 30 pulgadas, propiedad de Pacific Gas and Electric, se rompió bajo una calle residencial de San Bruno, California, y el gas que escapaba se incendió. La National Transportation Safety Board contó ocho personas muertas. También determinó que pasaron cerca de 95 minutos antes de que PG&E detuviera el flujo de gas, y el Cuerpo de Bomberos de San Bruno pasó ese tiempo combatiendo un incendio que no tenía cómo cortar. Este texto usa el informe de la NTSB para cubrir lo que vio la sala de control de la empresa, cómo se aisló finalmente el tramo y qué se le dijo y qué no se le dijo al cuerpo de bomberos.

Crestmoor, 9 de septiembre de 2010: lo que establece el registro y lo que los primeros reportes hicieron mal

La ruptura ocurrió hacia las 6:11 p. m., hora de verano del Pacífico, en la Línea 132 de PG&E, un gasoducto de transmisión que llevaba gas por la península de San Francisco y pasaba bajo el barrio Crestmoor de San Bruno. El registro de referencia es el informe de accidente de ductos de la NTSB, que la junta adoptó en una reunión pública el 30 de agosto de 2011, junto con el expediente público que lo respalda. Según ese informe, la ruptura liberó un estimado de 47,6 millones de pies cúbicos estándar de gas natural, murieron ocho personas, muchas más resultaron heridas, 38 viviendas quedaron destruidas y otras 70 sufrieron daños. Yo no estuve en San Bruno esa noche, y nada de este artículo proviene de observación personal, sino del registro publicado, y cuando caracterizo ese registro en lugar de repetir una cifra suya, lo indico.

Los primeros reportes se equivocaron en varios puntos, y vale la pena nombrar los errores porque son de los que se repiten. Algunas de las primeras personas que llamaron y parte de la cobertura noticiosa inicial describieron el evento como la caída de un avión, lo cual no fue así, aunque la suposición se entiende en un barrio a pocas millas del Aeropuerto Internacional de San Francisco y con una bola de fuego visible desde lejos. Las cifras de víctimas de los primeros días también fueron inferiores a ocho y cambiaron a medida que se identificó a las víctimas. No voy a repetir esas cifras iniciales, porque nunca llegaron a ser el registro, y ocho es el número que publicó la NTSB. Las cifras publicadas de heridos varían de una fuente a otra, así que quien necesite una cifra de heridos debe tomarla del propio informe de la NTSB y atribuirla allí.

El informe final de la junta incluye una declaración de causa probable y una lista de factores contribuyentes, y deliberadamente no reproduzco ninguna de las dos aquí. Este artículo trata de lo que ocurrió en la sala de control después de la falla del tubo y de cómo eso condicionó lo que enfrentó el cuerpo de bomberos, y una paráfrasis de la causa no aportaría nada a ese tema, además de arriesgar un resumen que se aparte de la redacción real de la junta. Quien necesite la causa probable para una clase, un plan o un informe debe leerla con las palabras de la propia NTSB en el informe publicado y citarla desde allí.

Los trabajos en la Terminal de Milpitas: una sala de control en condición anormal antes de la ruptura

La sala de control ya estaba lidiando con un problema antes de que fallara la Línea 132. Esa misma tarde, personal de PG&E realizaba trabajos eléctricos en el sistema de alimentación ininterrumpida (uninterruptible power supply) de la Terminal de Milpitas, una instalación en el extremo sur del sistema de la península donde varias líneas, entre ellas la 132, recibían gas. Según describe la NTSB, el trabajo interrumpió la energía de partes del equipo de control de la terminal, los controles de presión recibieron lecturas erróneas y las válvulas reguladoras que normalmente limitan la presión hacia las líneas de salida se abrieron por completo. Como resultado, la presión subió en las líneas que salían de Milpitas. El informe da las presiones específicas y cómo se comparan con los límites operativos de la línea, y los lectores que necesiten esos números deben tomarlos del informe y no de un resumen.

El Centro de Control de Gas (Gas Control Center) de PG&E en San Francisco vigilaba el sistema mediante un sistema de control de supervisión y adquisición de datos (supervisory control and data acquisition, SCADA), que lleva lecturas remotas y alarmas a las consolas de los operadores. Cuando comenzó el problema de energía en Milpitas, el centro empezó a recibir desde la terminal un flujo de alarmas junto con lecturas que no eran confiables, y el personal atendió el problema por teléfono con los técnicos que estaban en el sitio. La NTSB criticó la forma en que se planificó y controló el trabajo en Milpitas, y concluyó que los procedimientos de autorización de trabajos de PG&E no anticiparon de manera adecuada la pérdida de funciones de control y monitoreo que causó la labor.

Para quien ha trabajado en una consola, lo importante es la condición en que se encontraba la sala cuando llegaron las alarmas de la ruptura. Los operadores ya estaban en operación anormal, con una pantalla que mostraba alarmas que creían entender y datos que tenían motivos para poner en duda. Soy cuidadoso aquí, porque no leo el informe de la NTSB como si atribuyera los 95 minutos de aislamiento únicamente a las alarmas de Milpitas, y no pondré esa afirmación en boca de la junta. Lo que el registro sí establece es que las indicaciones de baja presión de la ruptura llegaron a una sala cuya atención ya estaba comprometida con otro evento anormal, una situación que todo centro de despacho y toda sala de control de una empresa de servicios públicos debería prever, porque las emergencias no esperan a que la consola esté tranquila.

Baja presión en la pantalla: lo que el SCADA podía y no podía decirles a los operadores

Después de la falla del tubo, la presión a lo largo de la Línea 132 cayó, y el SCADA reportó presiones bajas en puntos de monitoreo de la línea. Una caída de presión le indica al operador que el gas sale del sistema más rápido de lo que entra, pero por sí sola no dice dónde. El SCADA de PG&E no tenía una capacidad de detección de fugas que ubicara una rotura en un punto determinado de la línea, de modo que los operadores debían inferir la ubicación a partir del patrón de lecturas en estaciones separadas por millas, combinado con la información que llegara por teléfono. La NTSB concluyó que las limitaciones del sistema SCADA de PG&E causaron demoras en precisar la ubicación de la rotura, y recomendó que PHMSA exija a los operadores equipar sus sistemas SCADA con herramientas que ayuden a reconocer y ubicar fugas.

El expediente público incluye transcripciones de las llamadas telefónicas hechas y recibidas por el centro de control de gas y otras oficinas de PG&E esa noche. No voy a citarlas, porque una cita sacada de una llamada telefónica confusa engaña con más frecuencia de la que informa, y quien quiera las palabras exactas debe leer las transcripciones completas en el expediente de la NTSB. Según mi lectura, las llamadas muestran al personal de la sala de control armando el panorama desde varias direcciones a la vez, con sus propias pantallas, llamadas de otro personal de PG&E y reportes de un gran incendio en San Bruno llegando todos durante el mismo período, y solo poco a poco conectándose en la conclusión de que la Línea 132 se había roto allí.

La NTSB también se ocupó de cómo estaba organizada la sala. La junta concluyó que PG&E carecía de un procedimiento detallado y completo para responder a una emergencia de gran escala como la rotura de una línea de transmisión, incluida una estructura de comando definida que asignara con claridad responsabilidades al personal del centro de control, y halló que esa deficiencia contribuyó a la demora en aislar la ruptura. Ese hallazgo le resultará familiar a cualquiera formado en el Sistema de Comando de Incidentes (Incident Command System, ICS), porque describe una sala donde varias personas competentes trabajaban en el mismo problema sin una indicación clara de quién estaba a cargo de qué parte. Las regulaciones federales administradas por PHMSA incluyen hoy requisitos de gestión de salas de control para los operadores de gasoductos, que cubren temas como la gestión de alarmas y los roles de los operadores, y quien necesite el texto vigente debe leer las regulaciones en el Título 49 del Código de Regulaciones Federales (Code of Federal Regulations) o consultar a PHMSA.

Noventa y cinco minutos: cómo se aisló finalmente el tramo

Las válvulas de línea principal del tramo de la Línea 132 que había que cerrar para aislar la ruptura se operaban manualmente. Ninguna podía cerrarse a distancia desde el centro de control, y ninguna se cerraba automáticamente ante una caída de presión. Detener el gas exigía, por tanto, que PG&E identificara cuáles válvulas flanqueaban la rotura, enviara personal que pudiera llegar a esos sitios y lo hiciera cerrarlas a mano. La NTSB determinó que a PG&E le tomó 95 minutos, desde la ruptura, detener el flujo de gas y aislar el sitio de la rotura, lo que sitúa el fin del flujo de gas hacia las 7:46 p. m. El informe y el expediente dan las horas en que se cerró cada válvula, y quien reconstruya la secuencia debe usar esos registros y no un relato de segunda mano.

La junta trazó una línea directa entre el diseño de las válvulas y la duración. Concluyó que el uso de válvulas de cierre automático o de control remoto habría reducido de manera significativa el tiempo necesario para detener el gas y aislar la ruptura. También concluyó que el tiempo que PG&E tardó en aislar la ruptura contribuyó a la extensión y la gravedad de los daños materiales y aumentó los riesgos para la vida de los residentes y de los socorristas. Ambos puntos son hallazgos del informe publicado y no inferencias mías, y la redacción completa está en la sección de hallazgos.

Cerrar las válvulas no apaga el incendio en el momento en que gira la última, y los socorristas deben entender por qué. El gas que ya está en el tubo entre las válvulas cerradas todavía tiene que escapar y quemarse, de modo que un incendio alimentado por un tramo aislado continúa durante un tiempo después del aislamiento mientras ese inventario se vacía, a un ritmo que depende del tamaño del tubo, de la presión y de la longitud de la sección aislada. No voy a poner una cifra a eso para San Bruno, pero significa que la estimación de trabajo del cuerpo de bomberos sobre cuándo disminuirá un incendio alimentado por gas tiene que partir del tiempo de aislamiento y sumarle el tiempo que tarda en vaciarse el tramo aislado. Las válvulas remotas o automáticas acortan considerablemente la primera parte de esa estimación, y nada de lo que haga una válvula acorta la segunda.

Quién le avisó al cuerpo de bomberos: los hallazgos sobre notificación

El Cuerpo de Bomberos de San Bruno se enteró de la ruptura como se enteran la mayoría de los cuerpos de bomberos de la mayoría de los incidentes, por llamadas al 911 y, en el caso de las unidades lo bastante cercanas, por lo que podían ver y oír. El centro de control de gas de PG&E supo en cuestión de minutos que algo andaba muy mal con la Línea 132, pero la NTSB concluyó que la empresa no tenía procedimientos para que su sala de control notificara directamente al cuerpo de bomberos o al centro del 911, y que el cuerpo de bomberos no recibió esa información del operador en la parte inicial de la respuesta. Lo que la empresa sabía sobre una pérdida de presión en una línea de transmisión específica y lo que el cuerpo de bomberos sabía sobre un incendio en una dirección específica estaba en edificios distintos, en manos de personas que no tenían un motivo establecido para llamarse.

El informe también examinó lo que los socorristas locales sabían del gasoducto antes de la noche de la falla. La NTSB recomendó que PHMSA emita lineamientos para que los operadores de ductos entreguen información específica de cada sistema a los organismos de respuesta a emergencias de las comunidades que sus ductos atraviesan, con datos como el diámetro del tubo, la presión de operación, el producto transportado y el radio de impacto potencial (potential impact radius). El hecho de que la junta viera necesaria esa recomendación dice algo sobre cuánto sabía, en general, el servicio de bomberos de las comunidades con ductos, aunque el hallazgo preciso sobre lo que San Bruno sabía de antemano debe leerse en el informe mismo y no tomarse de mi resumen.

En esta parte de la historia no falló ningún radio, y por eso pertenece a una sección sobre comunicaciones. La brecha estaba entre dos organizaciones que tenían cada una la mitad del panorama, y ninguna contaba con un procedimiento escrito ni con un contacto establecido que provocara una llamada a la otra. Un operador del 911 que recibía reportes de una explosión, un incendio y posiblemente un avión no tenía línea hacia la sala de control de la empresa, y el operador de la sala de control que veía caer la presión en una pantalla no tenía un procedimiento para llamar al punto de respuesta de seguridad pública (public safety answering point) que atendía a San Bruno. Cerrar esa brecha exige un número de teléfono verificado y un paso escrito en los procedimientos de cada lado que alguien haya probado realmente con una llamada, y el costo de hacerlo es pequeño comparado con lo que esa brecha costó aquella noche.

Un incendio que no se puede cortar: qué significó la demora en la escena

La doctrina del servicio de bomberos para un incendio de gas alimentado a presión está bien establecida y aparece en la capacitación estándar de materiales peligrosos (hazmat) y de oficiales de bomberos. No se extingue la llama en el punto de liberación mientras el gas sigue fluyendo, porque el gas sin quemar que se acumula en la zona puede encontrar una fuente de ignición y producir una explosión peor que el incendio. Hasta que se controla el suministro, el trabajo consiste en rescate, evacuación, protección de las exposiciones frente al calor radiante y control de los incendios que el incendio de gas ha iniciado en estructuras vecinas. Cada minuto antes del aislamiento es un minuto pasado en esa postura defensiva, y la duración de esa fase depende por completo del operador y de sus válvulas.

En San Bruno esa fase duró cerca de 95 minutos según el conteo de la NTSB. Durante ese tiempo se incendiaron y ardieron viviendas en las cuadras circundantes, hubo que encontrar y trasladar a los residentes, y el cuerpo de bomberos y las compañías de ayuda mutua (mutual aid) que llegaron de toda la región tuvieron que trabajar en los bordes de una columna alimentada por gas mientras la empresa intentaba ubicar y cerrar las válvulas. No voy a dar conteos de aparatos ni una cronología de las operaciones del cuerpo de bomberos, porque esos detalles deben provenir del informe de la NTSB, del expediente y de los registros de las propias agencias y no de mí, y los relatos publicados no coinciden todos en los detalles.

La lección que saco del lado bomberil de San Bruno viene de mi propia capacitación en materiales peligrosos y no de un hallazgo del informe. Cada decisión que toma el comandante del incidente (incident commander) en esa fase defensiva, desde hasta dónde extender la evacuación hasta cuánto tiempo pueden mantener las cuadrillas las líneas de protección de exposiciones y cuándo solicitar más ayuda mutua, depende de una estimación de cuándo se detendrá el gas, y la única organización que puede producir esa estimación es el operador. Si el comandante del incidente no tiene un representante de la empresa en el puesto de comando (command post) ni una línea telefónica que funcione hacia la sala de control del operador, el comando está planificando sin el número más importante del incidente. En San Bruno, el registro muestra que incluso el operador tardó más de una hora y media en dar la respuesta cerrando efectivamente las válvulas.

Recomendaciones sobre válvulas, salas de control y llamadas al 911

La NTSB emitió recomendaciones a PG&E, a la Comisión de Servicios Públicos de California (California Public Utilities Commission), a PHMSA y a grupos de la industria, y la lista completa con los números de recomendación está en el informe. Varias se relacionan directamente con las salas de control y con la interfaz con los socorristas. La junta recomendó que PHMSA exija válvulas de cierre automático o de control remoto en áreas de alta consecuencia (high consequence areas) y en ubicaciones de clase más densamente pobladas, considerando también el espaciamiento. Recomendó que PHMSA exija a los operadores equipar los sistemas SCADA con herramientas que ayuden a reconocer y precisar fugas. También recomendó que PHMSA exija a los operadores de salas de control notificar de inmediato y directamente al centro de llamadas del 911 de las comunidades afectadas cuando se indique una posible ruptura del ducto.

Las recomendaciones a la propia PG&E abordaron, entre otras cosas, el proceso de autorización de trabajos que falló en Milpitas y la necesidad de un procedimiento integral de respuesta a emergencias, que incluya una estructura de comando definida en el centro de control. Una recomendación de la NTSB no es una regulación, y la junta no tiene poder para obligar a nadie a cumplirla. Lo que ocurrió después dependió del Congreso, de PHMSA y de la Comisión de Servicios Públicos de California, y la NTSB hace seguimiento de si cada recomendación fue adoptada, de modo que el estado actual de cualquiera de ellas puede consultarse en el sitio web de la junta.

El Congreso respondió con la Pipeline Safety, Regulatory Certainty, and Job Creation Act of 2011, que entre otras disposiciones ordenó requisitos de válvulas de cierre automático o de control remoto, donde fuera técnica, operativa y económicamente viable, en los tramos de ductos de transmisión recién construidos o reemplazados. PHMSA emitió posteriormente, en 2022, una norma sobre la instalación de válvulas y la detección de rupturas y la respuesta a ellas para las líneas de transmisión de gas y de líquidos peligrosos. El alcance de estos requisitos, es decir, qué tramos de tubería cubren, qué se considera una válvula que califica y qué fechas de cumplimiento aplican, es justamente el tipo de detalle que no voy a parafrasear de memoria, así que verifique los requisitos vigentes directamente con PHMSA antes de poner algo sobre ellos en un plan.

Lo que sigue dependiendo de su relación con el operador

Las nuevas reglas de válvulas rigen en gran medida para la tubería nueva y la reemplazada, lo que significa que una línea de transmisión que lleva décadas atravesando su jurisdicción todavía puede estar aislada hoy con válvulas manuales. Si un tramo determinado cerca de un barrio determinado fue modernizado es una pregunta que solo el operador puede responder, y la respuesta puede variar de un tramo a otro de la misma línea. Un cuerpo de bomberos que suponga que San Bruno llevó a válvulas automáticas en todas partes comete un error de planificación, y la manera de corregirlo es preguntar.

Las regulaciones federales exigen que los operadores de gasoductos mantengan enlace con bomberos, policía y otros funcionarios públicos, y los operadores ejecutan programas de concientización pública que incluyen contacto con los socorristas. En la práctica la calidad de ese enlace varía, y con frecuencia toma la forma de una reunión anual con una presentación de diapositivas y un folleto. Esa reunión es el lugar adecuado para hacer preguntas específicas sobre tramos específicos, incluidos el tipo de válvula, la estimación del operador sobre el tiempo de aislamiento, el número de 24 horas de la sala de control del operador y si esa sala de control llamará a su centro del 911 si ve una posible ruptura. Esas preguntas son mucho más fáciles de hacer en una reunión programada que en un puesto de comando.

PHMSA mantiene el Sistema Nacional de Mapeo de Ductos (National Pipeline Mapping System), que ofrece un visor de mapas público con las ubicaciones aproximadas de los ductos de transmisión, y una vía de acceso aparte que da más detalle a los funcionarios del gobierno. Consulte el sitio web de PHMSA para conocer las reglas de acceso vigentes, ya que han cambiado con el tiempo. Los datos del mapa muestran por dónde pasan las líneas y no qué válvulas tienen, y no sustituyen la conversación con el operador, pero son una buena manera de saber con qué operadores debería hablar. Algunos cuerpos de bomberos descubren gracias a ese mapa una línea de transmisión que no sabían que cruzaba su distrito.

Qué hacer en su agencia

• El jefe de bomberos o el director de manejo de emergencias escribe al enlace público de cada operador de ductos de transmisión de la jurisdicción para preguntar cuáles válvulas de línea principal aíslan tramos cercanos a zonas pobladas, si cada una es manual, remota o automática y cuál es el tiempo estimado del operador para aislar cada tramo, y archiva la respuesta escrita con los planes previos (preplans) correspondientes.
• El gerente del centro del 911 confirma que la tabla de contactos del CAD o el directorio de llamadas tenga un número de sala de control de 24 horas para cada operador de ductos del área de servicio, llama a cada número fuera del horario laboral y registra la fecha, la hora y quién contestó.
• El supervisor de despacho agrega un paso al protocolo vigente de fuga de gas y explosión que indica al despachador llamar directamente a la sala de control del operador con la ubicación del incidente, pedir el estado del aislamiento y un tiempo estimado, y registrar ambos en la narrativa del CAD.
• El oficial de capacitación incluye en la agenda de la próxima reunión de oficiales o del equipo de materiales peligrosos una revisión de 30 minutos de la cronología de San Bruno, tomada del informe de la NTSB, centrada en las tácticas defensivas ante un incendio alimentado por gas antes del aislamiento y en cómo hacer llegar un representante de la empresa al puesto de comando.
• El líder de la unidad de comunicaciones o el administrador de radio agrega una línea a la plantilla ICS-205 de la agencia y al plan de comunicaciones para el enlace con la empresa de servicios públicos, con el número de la sala de control del operador y el grupo de conversación (talkgroup) o canal que se le asignará al representante de la empresa en el puesto de comando.
• El director de manejo de emergencias consulta el Sistema Nacional de Mapeo de Ductos para ver las líneas de transmisión de la jurisdicción, compara los resultados con los mapas de planes previos que el cuerpo de bomberos usa realmente y entrega al jefe de bomberos una lista escrita de las líneas u operadores que falten en esos mapas.

Puntos clave

• El informe de 2011 de la NTSB registra ocho muertes por la ruptura de San Bruno, y los primeros reportes de un accidente aéreo y las primeras cifras de víctimas eran erróneos y no deben repetirse como el registro.
• El centro de control de gas de PG&E ya manejaba alarmas y datos poco confiables por el trabajo eléctrico en la Terminal de Milpitas cuando llegaron las indicaciones de baja presión de la ruptura.
• La NTSB concluyó que las limitaciones del sistema SCADA de PG&E retrasaron la ubicación precisa de la rotura, porque una caída de presión mostraba que el gas se escapaba pero no dónde.
• Aislar la Línea 132 exigió que el personal cerrara válvulas manuales a mano, y la NTSB determinó que tomó 95 minutos detener el flujo de gas.
• La junta concluyó que las válvulas automáticas o de control remoto habrían reducido de manera significativa el tiempo de aislamiento y que la demora aumentó los daños y el peligro para residentes y socorristas.
• La NTSB concluyó que PG&E carecía de procedimientos para que su sala de control notificara directamente al cuerpo de bomberos o al 911, y recomendó exigir a los operadores de salas de control llamar de inmediato al 911 cuando se indique una ruptura.
• Un incendio de gas alimentado a presión se mantiene en fase defensiva hasta que el gas se detiene, de modo que el tiempo de aislamiento del operador es un número de planificación para el cuerpo de bomberos que debe obtenerse por escrito antes de un incidente.
• Los requisitos de válvulas adoptados después de San Bruno se aplican en gran medida a tubería nueva y reemplazada, así que verifique los requisitos vigentes con PHMSA y pregunte al operador qué hay realmente instalado en su jurisdicción.