ثري مايل آيلاند واختبار مساءلة أجهزة غرف التحكم النووية

الموجز

• في حوالي الساعة 4:00 صباحًا من 28 مارس 1979، فقدت الوحدة 2 بمحطة ثري مايل آيلاند مياه التغذية الطبيعية، وانفتح صمام تخفيف الضغط المُدار بالطاقة (PORV)، ثم فشل في الإغلاق مجددًا. أدى هذا الصمام العالق إلى فقدان صغير الحجم لمبرد المفاعل لم يتم إيقافه حتى أغلق المشغّلون صمام الحجب التابع له بعد ساعتين واثنتين وعشرين دقيقة تقريبًا.
• أظهر الضوء المرتبط بالـ PORV في غرفة التحكم أن أمر إغلاق كهربائي قد أُرسل، وليس أن الصمام كان مغلقاً فعلياً. وهكذا حصل المشغّلون على إشارة حالة أمر مطمئنة، بينما أشارت أنابيب الصرف الأكثر سخونة من المعتاد، وارتفاع إشعاع الاحتواء، وامتلاء حوض تجميع الاحتواء، وانخفاض ضغط مبرد المفاعل، إلى استمرار التسرب. لم تدمج الأجهزة هذه الظروف في بيان مباشر عن مخزون المبرد أو وضع الصمام.
• خفّض المشغّلون الحقن عالي الضغط واستمروا في التصريف لأن مستوى مركم الضغط كان يرتفع، وكان التدريب يؤكد على تجنب امتلاء مركم الضغط بالكامل بالماء. في حالة السائل ثنائي الطور الفعلية، لم يكن مستوى مركم الضغط مقياساً موثوقاً لمخزون وعاء المفاعل. أدى هذا الإجراء إلى تقليل التغذية بينما استمر الـ PORV المفتوح في إزالة المبرد.
• كانت الإجراءات التشغيلية الفردية مهمة، لكنها حدثت داخل نظام صممته ووفرته ورخصته وأدارته مؤسسات. وجدت لجنة الرئيس قصوراً في تصميم غرفة التحكم، والإجراءات، والتدريب، والإدارة، وتبادل الخبرات التشغيلية، وتنظيم NRC. قامت NRC وسجلات التدقيق في الكونغرس لاحقاً بترجمة العديد من تلك النتائج إلى متطلبات لعرض معلمات السلامة، ومراجعات غرف التحكم، والتدريب بالمحاكاة، وإجراءات التشغيل الطارئة، وبرامج الخبرات التشغيلية، والتأهب للطوارئ.
• تضمن حادث مماثل عام 1977 في محطة ديفيس-بيس التابعة لـ Babcock & Wilcox PORV عالقاً، وارتفاع مستوى مركم الضغط، وانخفاض ضغط النظام، وتقليل الحقن. لم يتسبب هذا الحادث في تلف قلب المفاعل، لكنه جعل نمط حادث TMI قابلاً للتنبؤ بما يكفي ليتطلب تحليلاً منضبطاً وتواصلاً على مستوى الأسطول. لم يكن الفشل في أن كل مشارك يمكنه التنبؤ بالحادث بالضبط؛ بل كان في أن سلائف عالية القيمة لم تُحوَّل إلى أداة تحكم تشخيصية وتدريبية قوية.
• أضافت الاستجابة للطوارئ مشكلة مساءلة ثانية. افتقر المشاركون من المحطة والولاية والجهات الفيدرالية إلى صورة تشغيلية مشتركة وفي الوقت المناسب، وكانت الاتصالات العامة غير متسقة، واتُخذت قرارات الإجراءات الوقائية وسط تقديرات غير مؤكدة للمصدر الإشعاعي والجرعات. هذه القصور منفصلة عن التقييم الرسمي اللاحق الذي يفيد بأن التسربات خارج الموقع أنتجت جرعات متوسطة منخفضة ولم يتم اكتشاف آثار صحية على السكان.
• أصلحت عمليات التنظيف والفحص جزءاً من السجل الإثباتي، وليس المفاعل. أثبتت إزالة الوقود والأبحاث اللاحقة حدوث ذوبان وانتقال واسع لمواد قلب المفاعل، بينما احتفظ وعاء المفاعل السفلي والاحتواء بوظائف أمان مهمة. أُزيل حوالي 99 في المائة من مخزون الوقود الأصلي في النهاية، لكن بقيت مواد حاملة للوقود متبقية، ولا تزال الوحدة 2 في حالة إيقاف تشغيل، مع تاريخ إغلاق تقديري قدره 2052 وفقاً لـ NRC.
• استنتاج المساءلة مؤسسي وقائم على التحكم، وليس ادعاءً بنية جنائية أو مسؤولية فردية تلقائية. احتفظت Metropolitan Edison بمسؤولية التشغيل؛ وتحكمت Babcock & Wilcox بمعرفة التصميم والسلائف الهامة؛ وتحكمت NRC بمعايير الترخيص والتفتيش والتعلم على مستوى الصناعة. للنتائج التحقيقية، والإقرار الجنائي للشركة لاحقاً بشأن تقارير اختبار التسريب قبل الحادث، والتقاضي بشأن إعادة التشغيل، والتقاضي بشأن الأضرار الإشعاعية، نطاق إجرائي مختلف ويجب عدم دمجها في حكم قانوني واحد عن الحادث.

حدود الأدلة: ما يمكن قوله بثقة

يأتي التسلسل الزمني المشترك الأقوى منتقرير لجنة الرئيس، وتحقيق NRCNUREG-0600، والاستفسار الخاص لـ NRC المعروف باسم تقرير روجوفين، والمتاح من خلالسجل OSTI، وملخص NRC اللاحقThree Mile Island knowledge-management digest. تختلف هذه المصادر في النطاق وأحياناً في تفاصيل الإعمار. لا يشكل أي منها حكماً جنائياً. لكنها تدعم معاً التسلسل الأساسي: فقدان مياه التغذية، انغمار المفاعل، فتح PORV وعلقه، عدم الاعتراف الكافي بمسار التسريب المفتوح، تقليل الحقن الطارئ، فقدان المبرد لفترة طويلة، انكشاف القلب وتلف الوقود الشديد.

تستخدم هذه المقالة خمس علامات أدلة.حقيقة مؤكدةتعني أن النقطة مدعومة بسجلات رسمية متقاربة أو بفحص مادي لاحق.استنتاج مدعوميعني أن الاستنتاج يتبع ظروفاً مؤكدة وأداء تحكم، لكنه ليس نفسه نتيجة قضائية.ادعاء متنازع عليهيعني أن الروايات الرسمية أو الشهود أو المتقاضين اللاحقين اختلفوا بطريقة مادية بالنسبة للنسبة.غير معروفيعني أن السجل الباقي لا يدعم استنتاجاً موثوقاً.نتيجة قانونيةتعني أن محكمة أو هيئة إنفاذ قررت بالفعل مسألة محددة وفقاً لمعيارها الخاص؛ وهي لا تتجاوز تلك المسألة.

هذا الانضباط مهم لأن TMI-2 أنتجت عدة سجلات مختلفة. وصفت قراءات الأجهزة وسجلات المشغلين حادثاً أثناء تطوره. أعادت التحقيقات بناء التصرف بعد أشهر. كشفت إزالة الوقود والأعمال المعدنية عن تلف بعد سنوات. أنشأت الإجراءات التنظيمية متطلبات استباقية. فصلت المحاكم مسائل نطاق المراجعة البيئية أو الترخيص أو الإثبات في دعاوى محددة. ورقة الحقائق الحالية لـ NRCعن خلفية الحادثهي توليفة رسمية مفيدة، لكن الملخصات اللاحقة يجب ألا تمحو الشك الذي كان موجوداً في غرفة التحكم أو الاختلاف الذي بقي في التقاضي.

قبل انغمار المفاعل: من كان يتحكم في ماذا

كانت TMI-2 مفاعلاً مبرداً بالماء المضغوط قدمته Babcock & Wilcox وشغّلته Metropolitan Edison، وهي جزء من نظام General Public Utilities. لم يكن توزيع التحكم التشغيلي غامضاً: كان المرخص له مسؤولاً عن تشغيل المحطة بأمان، وصيانة المعدات، وتأهيل الموظفين، ووضع الإجراءات، والوفاء برخصته. سيطر البائع على معرفة تصميم نظام المفاعل، والتوجيه الفني، والمعلومات الهامة حول السلوك الذي شوهد في محطات Babcock & Wilcox الأخرى. سيطرت NRC على قواعد الترخيص، ومعايير ترخيص المشغلين، والتفتيش، والإنفاذ، ونشر معلومات السلامة العامة.

تداخلت تلك الأدوار في غرفة التحكم. يمكن لمُصنِّع الصمامات توريد مكون، لكن مورد المفاعل والمهندس المعماري هو من يحدد كيفية تمثيل حالته. يمكن للمرخص له التدريب وفقاً لخط أساس معتمد من NRC، لكن القبول التنظيمي لم ينقل واجب المرخص له في جعل التدريب مناسباً للمحطة. يمكن لـ NRC مراجعة التصميم دون أن تصبح المشغّل، لكن قواعدها وعمليات التفتيش الخاصة بها شكلت أي عيوب في العوامل البشرية تلقت تصحيحاً إلزامياً. وبالتالي تتبع المساءلة التحكم في إجراءات الأمان، وليس مجرد القرب من لوحة التحكم.

دخلت المحطة الخدمة التجارية فقط في ديسمبر 1978. كان مشغّلوها مرخصين، ووفقاً للجنة الرئيس، أدوا فوق المتوسط الوطني في عملية الترخيص. هذه الحقيقة مهمة لأنها ترفض قصة مبسطة عن طاقم غير مؤهل. وخلص التقرير نفسه إلى أن نظام التدريب وامتحانات NRC وإجراءات المحطة لم تعد الموظفين بشكل كافٍ للظروف التي واجهوها. لم تكن المؤهلات الرسمية والاستعداد التشغيلي ضوابط متكافئة.

كان سجل السلائف مهماً أيضاً. في سبتمبر 1977، تعرضت محطة ديفيس-بيس، وهي محطة أخرى تابعة لـ Babcock & Wilcox، لاضطراب في مياه التغذية حيث علق PORV الخاص بها مفتوحاً. انخفض ضغط النظام، وارتفع مستوى مركم الضغط، وأوقف المشغّلون الحقن عالي الضغط قبل إغلاق صمام الحجب. انتهى الحدث دون تلف في القلب، لكنه كشف نفس العلاقة المضللة التي كانت ستهم لاحقاً في TMI-2: يمكن أن يتزامن ارتفاع مستوى مركم الضغط مع فقدان مخزون نظام المفاعل. أفادت لجنة الرئيس أن Babcock & Wilcox أدركت الخطورة المحتملة داخلياً لكن التحذير لم يصل إلى مشغلي TMI بشكل غير سلوكهم. تم تأكيد هذا كفشل في نقل المعلومات؛ أي اتصال كان سيضمن استجابة مختلفة بالضبط يظل غير معروف.

التسلسل الزمني قبل الحكم

4:00 إلى 4:08 صباحاً: انغمار المفاعل، وتسريب الضغط، وأول طمأنة خاطئة

في حوالي الساعة 4:00 صباحاً، بينما كانت TMI-2 تعمل بالقرب من الطاقة الكاملة، توقفت مضخات مياه التغذية الرئيسية. تتبع المحققون تسلسل الفتح من خلال أنظمة المكثفات ومياه التغذية في الدائرة الثانوية، لكن التفاصيل الميكانيكية أو الكهربائية الأولى الدقيقة لم تُحدد بالثقة الممكنة لتسلسل مبرد المفاعل اللاحق.الزنادالقابل للدفاع هو فقدان مياه التغذية الطبيعية، وليس نظرية مكون واحد غير مدعومة أكثر تحديداً.

انغمرت التوربينة خلال ثوانٍ. مع انخفاض الطلب على البخار فجأة، ارتفعت الحرارة والضغط في النظام الأولي. فتح PORV تلقائياً عند نقطة ضبطه. ثم انغمر المفاعل، منهياً تفاعل الانشطار المتسلسل، بينما بقيت حرارة الانحلال ولا تزال تتطلب تبريداً. بدأت مضخات مياه التغذية الطارئة، لكن كلا مساري التدفق إلى مولدات البخار كانا معزولين في البداية بصمامات مغلقة. حُجب مؤشر حالة صمام واحد بعلامة صيانة؛ فات المشغّلون الآخر. تم فتح الصمامات بعد حوالي ثماني دقائق من بدء الحدث. خلصت اللجنة إلى أن هذه الفترة لم تحدد بشكل جوهري تلف القلب النهائي، على الرغم من أنها أضافت عبء عمل وارتباك في أسوأ وقت ممكن.

كان ينبغي أن يغلق PORV عندما انخفض الضغط. ميكانيكياً، لم يفعل. كهربائياً، أزال نظام التحكم إشارة الفتح، وانطفأ ضوء اللوحة. وهكذا مثّل الضوء حالة الأمر بدلاً من وضع الصمام الفعلي. في التشغيل العادي قد يظل هذا التمييز مخفياً. في هذا الحادث قسم نموذج غرفة التحكم عن المحطة: اعتقد المشغّلون أن مسار التسريب الأولي قد أغلق بينما استمر مبرد المفاعل في الهروب من خلاله.

لم يكن هذا غياباً لكل الأدلة. كانت درجة حرارة خط الصرف السفلي مرتفعة. استمر الضغط في الانخفاض. ارتفع مستوى حوض تجميع الاحتواء. لاحقاً، أشارت ظروف الإشعاع والمبنى أيضاً إلى أن المبرد الأولي كان يغادر حدوده المقصودة. ومع ذلك، لم يُظهر أي عرض واحد بارز أن PORV كان مفتوحاً، ولم توفر غرفة التحكم مقياساً مباشراً وموثوقاً لمخزون مبرد المفاعل الإجمالي. كانت مشكلة الكشف الفوري لذلك خاصة بالمكون ونظامية.

4:02 إلى 4:15 صباحاً: يتم خنق التغذية التلقائية

بعد حوالي دقيقتين من الانغمار، بدأ الحقن عالي الضغط تلقائياً بإضافة الماء مع انخفاض الضغط الأولي. كان ذلك هو استجابة الأمان المطلوبة لتعويض الفقد عبر PORV المفتوح. سرعان ما خفّض المشغّلون الحقن بشكل حاد. تبع إجراءهم نموذج المحطة الذي تعلموه: كان مستوى مركم الضغط يرتفع، ويمكن لمركم الضغط الممتلئ تماماً بالماء أن يزيل وسادة التحكم في الضغط ويعقد التحكم في المحطة. كما استمروا أو زادوا من التصريف، ساحبين الماء عمداً من النظام الأولي.

في ظل الحالة الحرارية الهيدروليكية الفعلية، كان الغليان وتشكل الفجوات يعيدان توزيع الماء والبخار. لم يثبت ارتفاع مستوى مركم الضغط أن وعاء المفاعل كان ممتلئاً. تحرك الضغط والمستوى في نمط لم يتم تدريب المشغّلين عليه بشكل كافٍ لمعاملته كحادث فقدان مبرد صغير. كان الإجراء ذا عواقب تشغيلية: انخفضت التغذية إلى جزء من التدفق التلقائي بينما بقي مسار التسريب المفتوح متاحاً.

عند حوالي 5.5 دقائق، وصلت ظروف مبرد المفاعل إلى التشبع، مما جعل التفسير البسيط أحادي الطور أقل موثوقية. حوالي الساعة 4:11 صباحاً، ظهر إنذار ارتفاع مستوى حوض تجميع الاحتواء. حوالي الساعة 4:15، فتح قرص تمزق خزان تصريف مبرد المفاعل، مطلقاً المبرد إلى حوض تجميع الاحتواء. كانت هذه علامات مؤيدة لفقدان المخزون. لم تتغلب على الاعتقاد الأكثر هيمنة معرفياً بأن PORV قد أغلق وأن مركم الضغط أصبح ممتلئاً جداً.

الأهمية ليست أن المشغّلين تجاهلوا أداة واضحة تماماً. كانوا محاطين بإشارات صالحة جزئياً تتطلب توليفاً عبر اللوحات وحالات الإنذار ومعرفة النظام. حدد تقييم العوامل البشرية لغرفة التحكم TMI-2 الذي رعته NRC لاحقاًهناحوالي 750 نافذة إنذار، معظمها مستخدم للإنذارات، بدون ترميز فعال للأولوية. أفاد المحققون أن أكثر من 100 إنذار نشط في الدقائق الأولى. تخلفت طابعة الإنذارات كثيراً وتعطلت في النهاية. كانت المعلومات موجودة، لكن النظام لم يحولها بشكل موثوق إلى تشخيص.

4:15 إلى 6:22 صباحاً: يتراكم التسريب بينما يستمر النموذج الذهني

بحلول الساعة 4:20 صباحاً تقريباً، كانت الأجهزة تظهر نشاط نيوتروني مرتبط بظروف قلب متغيرة. نقلت مضخات الحوض المياه الملوثة من الاحتواء إلى المبنى المساعد حتى توقفت حوالي الساعة 4:39 صباحاً؛ قدرت اللجنة أنه قد تم نقل ما يصل إلى 8,000 جالون تقريباً. ساهم هذا المسار في التسربات خارج الاحتواء ويوضح مشكلة حدودية ثانية: كان حادث شديد ينقل المواد عبر أنظمة مهيأة لإدارة السوائل الروتينية قبل أن يتعرف الموظفون على الحالة.

وصل الموظفون الفنيون والإشرافيون، لكن إضافة الأشخاص لم تنتج فوراً تشخيصاً صحيحاً. لم تكن هيكلية إدارة العمليات في المحطة مستعدة لفرض تسلسل هرمي موحد للأدلة على الغرفة المزدحمة. حوالي الساعة 4:45 صباحاً، وصل مشرف فني إلى غرفة التحكم. بقيت أدلة مسار التسريب المستمر تُفسر على أنها تسريب بدلاً من صمام مفتوح بالكامل، ولا يزال المؤشر يوحي بالإغلاق.

بعد الساعة 5:00 صباحاً، بدأت مضخات مبرد المفاعل تهتز مع تدهور ظروف المضخة بسبب فجوات البخار والتدفق ثنائي الطور. أوقف المشغّلون مضختين حوالي الساعة 5:14 والمضختين المتبقيتين حوالي الساعة 5:41. كان إيقاف المضخات التالفة أو المتكهفة حماية مفهومة للمعدات، لكنه أزال الدوران القسري بينما لم يكن الدوران الطبيعي الموثوق مضموناً. لم يكن الحقن عالي الضغط لا يزال يُستخدم بالمعدل اللازم لاستعادة المخزون.

في حوالي الساعة 6:15 صباحاً، انخفض مستوى الماء في وعاء المفاعل إلى ما دون قمة القلب وفقاً للإعمار اللاحق. في الساعة 6:22 صباحاً، أغلق مشغّل صمام الحجب السفلي لـ PORV، منهياً مسار الفقد الرئيسي بعد حوالي ساعتين واثنتين وعشرين دقيقة. اختلفت الروايات المعاصرة حول اقتراح من أدى مباشرة إلى هذا الإجراء. ذلك النسب هوادعاء متنازع عليهوليس ضرورياً للاستنتاج المؤسسي. الحقيقة المؤكدة هي أن إجراء عزل مباشر متاح من غرفة التحكم تأخر لأن منظمة التشغيل لم تحدد بشكل صحيح حالة الصمام.

أوقف إغلاق صمام الحجب المزيد من التصريف، لكنه لم يستعد المخزون المفقود بالفعل. قدر المحققون أن ما يقرب من 32,000 جالون قد مر عبر مسار التسريب في أول مائة دقيقة. لم يتم إنشاء حقن كافٍ لاستعادة القلب على الفور. بحلول الساعة 6:48 صباحاً تقريباً، أشار الإعمار اللاحق إلى أن جزءاً كبيراً من القلب قد يكون مكشوفاً. كان على المحققين الأوائل استنتاج درجة الحرارة والتلف من أجهزة لم تصمم للنجاة أو تحديد هذه الحالة؛ قام الفحص المادي اللاحق بمراجعة وتعزيز هذا الدليل بشكل جوهري.

7:00 صباحاً وحتى الأيام التالية: تصنيف الطوارئ وتحقيق الاستقرار

أعلن المرخص له حالة طوارئ موقع قبل الساعة 7:00 صباحاً بقليل وطوارئ عامة حوالي الساعة 7:24 صباحاً. علمت منطقة NRC الأولى بالحادث عندما افتتح مكتبها، حوالي الساعة 7:45 صباحاً، بدلاً من مركز عمليات فيدرالي مستمر قادر على استلام ودمج البيانات فوراً. دعم هذا التسلسل الزمني التغييرات اللاحقة في تنظيم واتصالات الطوارئ لـ NRC.

تمت إعادة التبريد في النهاية وجلب المفاعل إلى حالة أكثر استقراراً، لكن الطوارئ العامة لم تنتهِ عندما توقف التسريب الرئيسي. تحركت المواد المشعة إلى الاحتواء والمبنى المساعد. حدث احتراق هيدروجين في الاحتواء خلال اليوم الأول، وتركز القلق لاحقاً على الهيدروجين المتراكم في نظام المفاعل. كان لدى مسؤولي المحطة والولاية والجهات الفيدرالية معلومات غير كاملة ومتضاربة أحياناً حول التسربات وحالة القلب وإمكانية التصعيد الإضافي.

في 30 مارس، أدت تقارير عن تسرب إلى نصح مسؤولي بنسلفانيا النساء الحوامل والأطفال في سن ما قبل المدرسة ضمن خمسة أميال بالمغادرة مؤقتاً وإخبار الناس ضمن عشرة أميال بالبقاء في منازلهم. لم يكن ذلك إخلاءً إلزامياً عاماً. هذا التمييز مهم، كما هو حقيقة أن العديد من السكان غادروا طواعية وسط عدم اليقين. يسجل أرشيف NRC منأقسام التقرير السنوي حول تعافي TMI-2كلاً من نصائح الإجراءات الوقائية وإخفاقات الاتصالات المحيطة بها.

وهكذا كان لمرحلة الحادث مشكلتا استقرار. كان على المشغّلين إنشاء إزالة الحرارة والتحكم في مخزون الهيدروجين والمواد المشعة. كان على السلطات العامة إنشاء صورة تشغيلية مشتركة ذات مصداقية. لا يمكن الحكم على أي منهما من حقيقة أن المفاعل قد انغمر: أوقف الإغلاق الانشطار، لكنه لم يزل حرارة الانحلال، أو يصلح مخزون المبرد، أو يمنع توليد الهيدروجين، أو يوفر معلومات عامة جديرة بالثقة.

التوفيق بين الساعة والمحطة المتضررة

لا تتمتع جميع علامات الدقائق في هذا السرد بنفس الجودة الإثباتية. تم تسجيل انغمار التوربينة وانغمار المفاعل والإشارات التلقائية بواسطة أنظمة المحطة. تم إعادة بناء أوقات أخرى من سجلات المشغّلين والمقابلات وسجلات الكمبيوتر والمخططات الشريطية وتسلسل الإنذارات. كانت طابعة الإنذارات التي كان ينبغي أن تحافظ على سجل مرتب مناسب تتخلف بالفعل أثناء الحدث وتعطلت لاحقاً. يمكن للمحققين ربط مصادر متعددة، لكن الطابع الزمني المطبوع بعد ساعات لا يعادل سجل عملية مختوم زمنياً مباشراً. وبناءً على ذلك، فإن أوقاتاً مثل 4:00 و6:22 و7:24 هي مرتكزات أحداث قوية؛ تقديرات مستوى ماء القلب والتلف عند 6:15 أو 6:48 هي إعمارات قائمة على نماذج وتوصف بأنها تقريبية.

ينطبق نفس التسلسل الهرمي على تلف المحطة. أثناء الحادث، يمكن لأجهزة غرفة التحكم إظهار الضغط والمستوى المحلي ودرجة الحرارة أو الإشعاع، لكنها لم تستطع عرض خريطة تبريد القلب. خرجت بعض القراءات عن النطاق؛ وتأثرت أخرى بالبخار والفجوات والظروف البيئية القاسية أو الافتراضات حول مكان وجود الماء. استخدمت التقارير المبكرة نماذج حرارية وكيميائية لتقدير درجة حرارة الوقود وجزء القلب المكشوف. كانت هذه التقديرات ضرورية للاستجابة والتحقيق، لكنها لم تكن ملاحظة مباشرة.

بعد سنوات، وفرت إزالة الوقود أدلة مختلفة: تجميعات وقود تالفة، مواد متصلبة، ركام وحطام في الحجرة السفلية. أكد أخذ العينات والفحص حدوث ذوبان وانتقال واسع مع إظهار أن الرأس السفلي ظل سليماً. تعزز الأدلة اللاحقة الفرضية القائلة بأن التبريد فشل بشدة وتحد من الادعاءات شديدة الدقة حول ما أثبتته أجهزة 1979 وحدها في دقيقة معينة. كما توضح لماذا يجب أن تدعم أجهزة الحوادث كلاً من التحكم الفوري والإعمار اللاحق. نظام يفقد النطاق أو التأهيل البيئي أو تسجيل التسلسل يضر بالاستجابة والمساءلة في نفس الوقت.

يحتاج نسب الشهود إلى ضبط مماثل. يمكن للتحقيقات أن تثبت أن صمامات عزل مياه التغذية المساعدة كانت مغلقة وفتحت بعد حوالي ثماني دقائق من الانغمار، لكن الروايات اختلفت حول سبب إغلاقها. حكمت اللجنة بأن الانقطاع القصير لم يكن حاسماً لتلف القلب النهائي. سيكون من المضلل لذلك جعل أصل محاذاة صمام غير محلول السبب الجذري. اختلفت الروايات أيضاً حول من اقترح أولاً إغلاق صمام حجب PORV. حقيقة التحكم في السلامة ليست ملكية الاقتراح؛ بل هي أن منظمة التشغيل استغرقت حوالي ساعتين واثنتين وعشرين دقيقة لتنفيذ عزل متاح لأنها لم تتحقق من الحالة المادية للصمام.

ينتج هذا التوفيق سرداً أضيق لكنه أقوى. بدأت رحلة انغمار مياه التغذية الاضطراب. خلق فشل PORV في إعادة الإغلاق مسار الفقد. لم تتعرف غرفة التحكم على ذلك المسار بالسرعة الكافية. أدى تقليل الحقن وتأخير العزل إلى استنزاف المخزون. تضرر القلب بشكل كبير، كما أكد الفحص اللاحق. تبقى عمليات التفكير الفردية الدقيقة وبعض مؤلفي الإجراءات وأول مكون في سلسلة مياه التغذية غير مؤكدة. يجب أن تقيد تلك المجهولات النسب الشخصي، لا أن تستخدم لحل السلسلة السببية المؤكدة.

غرفة التحكم كنظام قرارات هندسي

كانت الأداة الأكثر تبعية هي ضوء PORV، لكن التركيز على هذا الضوء وحده يقلل من فشل التصميم. لا تكون إشارة غرفة التحكم مفيدة إلا إذا كان معناها غير ملتبس في ظل الظروف التي يجب أن يعمل فيها المشغّلون. أشار ضوء PORV بدقة إلى أن الملف اللولبي قد استلم أمر إغلاق. لم يتحقق من وضع الساق أو الصمام. لم تجعل الواجهة هذا القيد بارزاً. بعد حادث PORV سابق في TMI-2، أُضيف ضوء، لكن التعديل استمر في الإبلاغ عن إشارة التحكم بدلاً من الإغلاق المادي. عالج الإجراء التصحيحي العرض المرئي دون التحقق من وظيفة الأمان.

كانت الأدلة الأخرى مجزأة. كان عرض مستوى مركم الضغط بارزاً لكنه أصبح بديلاً مضللاً لمخزون النظام الإجمالي أثناء التدفق ثنائي الطور. يمكن أن تقترح درجة حرارة خط الصرف استمرار التسريب، لكن المشغّلين كانت لديهم خبرة مع التسريب ولم يعاملوا القراءة كدليل قاطع على صمام مفتوح بالكامل. كانت إنذارات مستوى الحوض وقرص التمزق عواقب فيزيائية سفلية بدلاً من تشخيص مباشر. كانت المؤشرات الرئيسية على لوحات خلفية، وانتقلت بعض القيم إلى ما وراء نطاق الأجهزة. وجد تقييم غرفة التحكم عرضاً مفقوداً أو غير كافٍ لمتغيرات مثل المخزون الأولي الإجمالي، وعلاقة الضغط-الحرارة اللازمة للتعرف على التشبع، وتدفق تصريف PORV، وتدفق مياه التغذية المساعدة.

ضاعف حجم الإنذارات المشكلة. أضاء عدد كبير من نوافذ الإنذار في فترة قصيرة دون أولوية لأهمية السلامة. تخلفت الطابعة المخصصة لحفظ التسلسل بساعات وتعطلت. لم تنتج شكوى مشغّل سابقة حول أداء الطابعة تصحيحاً فعالاً، وفقاً للجنة الرئيس. هذا دليل إصلاح من قبل الحادث: كان لدى المنظمة نقطة ضعف يمكن الإبلاغ عنها، ولم تطبق علاجاً مثبتاً، ثم فقدت الأداة أثناء الحدث الذي كان إعمار تسلسله الأكثر أهمية.

الاستنتاج المدعومهو أن فشل اكتشاف TMI-2 كان فشلاً في هيكلية المعلومات. أنتجت المحطة بيانات، لكن الواجهة فضلت أوامر المكونات والكميات المحلية وتكاثر الإنذارات على وظائف السلامة المثبتة: هل المخزون كافٍ، هل القلب مغطى، هل يتم إزالة حرارة الانحلال، وهل مسار التسريب معزول مادياً؟ يتسق هذا الاستنتاج مع برنامج مراجعة تصميم غرفة التحكم اللاحق لـ NRCهنا، والذي تطلب من المرخص لهم تقييم عيوب العوامل البشرية وساعد في مأسسة أنظمة عرض معلمات السلامة.

عرض السلامة ليس بحد ذاته دليلاً على السلامة. سعىالرسالة العامة 89-06من NRC إلى شهادة بأن أنظمة عرض معلمات السلامة قد تم تركيبها وأن إجراءات التشغيل الطارئة والتدريب متكاملة معها. الهيكل مهم: تم علاج التركيب واستخدام الإجراءات والتدريب والشهادة كضوابط منفصلة. لا يمكن إعلان إصلاح الأجهزة لمجرد شراء شاشة أو مستشعر.

التصنيف السببي

الزناد - مؤكد على مستوى النظام، غير مؤكد على مستوى المكون الأول.كان الزناد المباشر فقدان مياه التغذية الطبيعية حوالي الساعة 4:00 صباحاً. الفشل الأول الدقيق داخل تسلسل ملمع المكثفات والهواء والتحكم في مياه التغذية أقل تأكيداً في السجل الرسمي الباقي وليس ضرورياً لشرح مسار تلف القلب. إسناد الحادث بأكمله إلى انسداد راتنج غير مثبت أو فعل صيانة واحد سيبالغ في الدليل.

السبب الجذري - نتيجة مؤسسية مدعومة.كان السبب الجذري هو الفشل في تصميم وتشغيل وتنظيم TMI-2 بحيث يمكن التعرف على حالة فقدان مبرد صغيرة متوقعة والتحكم فيها قبل فقدان تبريد القلب. هذه الصياغة تحليلية وليست قضائية. تتماشى مع استنتاج لجنة الرئيس بأن المشكلات الأساسية كانت متعلقة بالأشخاص بالمعنى الواسع للمؤسسات التي صنعت وشغلت ونظمت المحطة، وليس ادعاءً بأن خطأ شخص واحد تسبب في كل عاقبة.

السبب المادي المباشر - مؤكد.فتح PORV على الضغط العالي وفشل في إعادة الإغلاق. أدى التصريف المستمر إلى تقليل مخزون مبرد المفاعل. سمح تدفق الاستبدال غير الكافي وفقدان الدوران القسري لاحقاً بانكشاف القلب والسخونة المفرطة وتفاعل الزركونيوم-الماء وتوليد الهيدروجين وذوبان الوقود وانتقال المواد. كان فشل الصمام ضرورياً للتسلسل كما حدث، لكنه ليس كافياً لشرح لماذا فشلت إجراءات الأمان في إنهائه في الوقت المناسب.

الظروف المساهمة - مؤكدة أو مدعومة بقوة.صمامات عزل مياه التغذية المساعدة المغلقة في البداية زادت من عبء العمل؛ مثلت إشارة PORV الأمر بدلاً من الوضع؛ لم توجد إشارة مخزون إجمالي مباشر؛ تم ترجيح مستوى مركم الضغط بشكل مفرط؛ افتقرت الإنذارات إلى الأولوية؛ تعطلت طابعة الإنذارات؛ فضلت الإجراءات والتدريب تجنب مركم ضغط ممتلئ بالماء؛ كان تشخيص الكسر الصغير ضعيفاً؛ لم تحول خبرة السلائف إلى إجراء خاص بالمحطة؛ لم تكن القيادة الإدارية والدعم الفني مستعدين لحدث شديد غامض؛ وكان الاهتمام التنظيمي قد أكد نماذج حوادث أخرى.

فشل الاكتشاف - مؤكد.لم يتعرف الطاقم على PORV المفتوح في الوقت المناسب، على الرغم من الإشارات غير المباشرة المتعددة. المساءلة مشتركة بين التفسير التشغيلي وتصميم المعلومات المقدمة لهذا التفسير. ضوء أمر الإغلاق ليس قراءة كهربائية خاطئة، لكن استخدامه كما لو كان يثبت الإغلاق الميكانيكي يخلق فرضية تشغيلية خاطئة. التمييز هو الدرس الأساسي في الأجهزة.

فشل الاستجابة - مؤكد، مع سياق.خفّض المشغّلون الحقن عالي الضغط بشكل حاد، واستمروا في التصريف، وأخروا عزل صمام الحجب، وأوقفوا مضخات مبرد المفاعل مع تدهور الظروف. فاقمت هذه الإجراءات أو فشلت في إيقاف فقدان المبرد. يجب تقييمها في سياق المؤشرات والإجراءات والتدريب، وليس تبريرها بذلك السياق. المسؤولية التنظيمية لا تمحو الفاعلية عند لوحات التحكم؛ بل تشرح لماذا يمكن لعدة مهنيين مرخصين اتخاذ مجموعة خيارات متماسكة لكنها غير آمنة.

فشل الاستجابة للطوارئ - مؤكد مؤسسياً.لم يوفر الإخطار والتقييم الفني والتنسيق بين الحكومات والاتصال العام صورة مشتركة في الوقت المناسب. يحدد تاريخ التأهب للطوارئ لـ NRCهناصراحة TMI كمكشف لنقاط ضعف في الخطط والتنسيق. لا يعتمد الاستنتاج على التأكيد بأن كل توصية إجراء وقائي كانت خاطئة.

أدلة التعافي والإصلاح - مختلطة.أدى الاحتواء والرأس السفلي لوعاء المفاعل وظائف أمان مهمة؛ أنشأ المشغّلون والفرق الفنية التبريد في النهاية؛ حددت المراقبة جزءاً كبيراً من التسرب خارج الموقع؛ وأزالت عملية التنظيف اللاحقة معظم الوقود وعالجت المياه الملوثة. هذه نجاحات مؤكدة. لم تعكس الحادث، ولا تزال ملفات إيقاف التشغيل المستمرة تعني أن التعافي المادي لا يزال غير مكتمل.

مجهولات.لا يمكن للسجل تحديد الجرعة الفردية الدقيقة خارج الموقع لكل مقيم، أو اللحظة بالضبط وتاريخ درجة الحرارة لكل منطقة قلب، أو النتيجة المضادة للواقع لو اختلف إجراء سابق واحد، أو مؤلف فردي قاطع لكل قرار حاسم في غرفة التحكم. كما لا يمكنه إثبات أن تحذيراً واحداً قائماً على ديفيس-بيس كان سيمنع بالضرورة TMI. تقيد هذه الفجوات الادعاءات الفردية والمضادة للواقع، وليس النتيجة على مستوى النظام بأن الضوابط كانت ناقصة.

التدريب والإجراءات والفشل في استخدام الخبرة التشغيلية

التدريب مسؤول عندما يغير ما يمكن للمشغّلين التعرف عليه تحت الضغط، وليس عندما ينتج مجرد رخص وسجلات حضور. كان أفراد TMI-2 قد أكملوا البرامج المطلوبة، لكن البرامج لم تعطهم نموذجاً موثوقاً لفقدان كسر صغير مع مستوى مركم ضغط مرتفع. لم تعيد المحاكيات إنتاج الظروف ذات الصلة بشكل كافٍ، ولم تتعمق الامتحانات في مشكلة التشخيص المتكاملة بما فيه الكفاية. لم تقدم إجراءات التشغيل مساراً حاسماً قائماً على الأعراض من انخفاض الضغط وارتفاع المستوى إلى الحقن المستدام وعزل PORV.

تظهر نشرات NRC الفورية كيف أصبحت الضوابط المفقودة مقروءة بسرعة بعد الحدث. وزعتنشرة IE 79-05Aتسلسلاً زمنياً أولياً وتطلبت مراجعة فورية للمشغّلين وإجراءات. تناولتنشرة IE 79-06Bالأخطاء التشغيلية وسوء المحاذاة، بما في ذلك خطر بناء القرارات على إشارة واحدة والحاجة إلى التحقق من توفر مياه التغذية المساعدة. كانت هذه استجابات حكيمة، لكن توقيتها يوضح أيضاً أن الضوابط الحالية لم تحول بالفعل سلوك المفاعل المعروف إلى ممارسة على مستوى الأسطول.

ديفيس-بيس مركزية لأنها تختبر القابلية للتنبؤ دون المطالبة باستبصار. لم يعيد إنتاج الحدث السابق كل ظرف TMI. أعاد إنتاج التركيبة الخطرة تشغيلياً لمسار تسريب مفتوح، وانخفاض الضغط، وارتفاع مستوى مركم الضغط، والحقن المقلص. كان لدى Babcock & Wilcox رؤية عبر المحطات لم تكن لدى مشغّلي TMI الفرديين. كان على Metropolitan Edison مسؤولية اكتساب وتقييم خبرة البائع والصناعة ذات الصلة. كان لدى NRC دور معلومات السلامة العامة. تحكمت كل مؤسسة برابط مختلف في السلسلة من تقرير الحدث إلى الإجراء المنقح وسيناريو المحاكاة والامتحان وأداء الطاقم المثبت.

جعل برنامج ما بعد الحادث تلك الروابط أكثر وضوحاً. أكدت مهمة تحسين المحاكاة لـ NRCهناعلى الواقعية والاضطرابات المعقدة والتشخيص. وسعت مهمة ترخيص المشغّلين وإعادة التأهيلهناتوقعات الامتحان وإعادة التأهيل. عالجت مهمة تحليل الخبرة التشغيليةهناالتقييم المركزي والنشر. تجسد معاً نموذج مساءلة أقوى: جمع أدلة السلائف، تقرير أهميتها للسلامة، ترجمتها إلى ضوابط المحطة، اختبار الأداء، والاحتفاظ بإثبات أن الضابط يعمل.

يبقى التمييز بين الامتثال الإجرائي والكفاءة التشخيصية مهماً. يمكن للمشغّل اتباع إجراء يجسد الأولوية الخاطئة. يمكن للمرخص له توثيق التدريب دون إعادة إنشاء الإشارات وضغط الوقت للخطر. يمكن للمنظم إغلاق بند إجراء بعد استلام تقديم دون مراقبة الأداء الدائم. الإصلاح الحقيقي لذلك يحتاج إلى أدلة نتائج، بما في ذلك نتائج المحاكاة والملاحظات الميدانية وأداء الاستجابة للإنذارات والاختبار المتكرر ضد إشارات متدهورة أو متناقضة.

الاستجابة للطوارئ والمساءلة العامة

لم تكن طوارئ TMI-2 مجرد مشكلة تحكم في المفاعل. كانت مشكلة حوكمة معلومات تشمل المرخص له وبنسلفانيا وNRC ووكالات فيدرالية أخرى والجمهور. لم تقدم الإخطارات المبكرة لجميع المشاركين معلومات متسقة عن حالة المحطة والتسربات. كان عدم اليقين التقني لا مفر منه؛ الأوصاف المتناقضة وسلطة القرار غير الواضحة لم تكن. وصفت لجنة الرئيس ارتباكاً خطيراً وأوصت بقيادة طوارئ واتصالات وتخطيط أوضح.

تتطلب الحقائق الإشعاعية صياغة حذرة. تقدر التوليفة الحالية لـ NRC أن حوالي مليوني شخص حول المحطة تلقوا جرعة إضافية متوسطة تبلغ واحد مليريم تقريباً، مع أقصى جرعة عند حدود الموقع أقل من 100 مليريم فوق الخلفية. وتفيد بأن دراسات مستفيضة لم تجد آثاراً صحية قابلة للكشف تُعزى إلى الحادث. يصف حساب وكالة حماية البيئة المؤرشفلدورها في المراقبةشبكة موسعة استخدمت لتقييم التسربات. تدعم هذه التقييمات الرسمية جرعة سكانية مقاسة منخفضة؛ وهي لا تحدد الجرعة بالضبط لكل شخص، أو تزيل كل عدم يقين وبائي، أو تنفي العواقب الاجتماعية والنفسية للتحذيرات المشوشة.

قسم إصلاح ما بعد TMI السلطة بشكل أوضح. أعطت إعادة تنظيم فيدرالية رئيس NRC سلطة طوارئ إضافية؛ يحدد تجميع خطط إعادة التنظيم الرسميهناقصوراً في إدارة الأزمات في حقبة TMI. تولت FEMA دوراً قيادياً للتخطيط خارج الموقع، بينما احتفظت NRC بمسؤولية التأهب داخل الموقع وأداء المرخص لهم. أنشأت معاييرNUREG-0654/FEMA-REP-1المشتركة أساساً أكثر منهجية لخطط الطوارئ الإشعاعية والتأهب.

توضح هذه الإصلاحات مبدأ مساءلة: يجب أن يغير عدم اليقين نمط القرار، لا أن يعلق المسؤولية. عندما تكون تقديرات المصدر غير مستقرة، يحتاج المسؤولون إلى نطاقات ثقة صريحة، ومالكي قرار معينين، وبيانات مختومة زمنياً، وعتبات إجراءات وقائية متفق عليها مسبقاً. أظهرت TMI بدلاً من ذلك كيف يمكن أن تتحرك التقارير التقنية غير المثبتة أسرع من مؤهلاتها. تضررت الثقة العامة ليس ببساطة من الإشعاع، ولكن من الاختلاف المرئي حول ما كانت تعرفه السلطات ومن كان المسؤول.

تخصيص المساءلة دون انهيار الأدوار

مشغّلو غرفة التحكم.مارس المشغّلون تحكماً فورياً في الحقن عالي الضغط والتصريف ومضخات مبرد المفاعل وعزل صمام حجب PORV. أفعالهم لذلك جزء من السبب التشغيلي المباشر. لكن السجل الإثباتي لا يدعم تصوير الطاقم كمصدر فشل مستقل منفصل عن التصميم والتدريب. فسروا ضوء أمر كإغلاق، واعتمدوا على مستوى مركم الضغط، واتبعوا قلقاً متعلماً حول نظام ممتلئ بالماء، وعملوا خلال عاصفة إنذارات غير مرتبة الأولوية. مسؤولية المشغّلين عن القرارات داخل تلك البيئة؛ المسؤولية المؤسسية عن خلق وقبول البيئة.

Metropolitan Edison و GPU.حمل المرخص له مسؤولية التشغيل غير القابلة للتفويض. تحكم في التوظيف والإجراءات والصيانة وتنفيذ التدريب وإصلاح طابعة الإنذارات وتعديلات المحطة والدعم الفني والإخطار بالطوارئ. لم يكن تلبية شروط ترخيص NRC الدنيا دفاعاً كاملاً ضد خطر مرئي من خلال خبرة المحطة والبائع. كان لدى المرخص له أيضاً أقوى قدرة محلية لاختبار ما أثبته ضوء PORV فعلاً، وما إذا كان المشغّلون يمكنهم تشخيص كسر صغير، وما إذا كانت الصيانة التصحيحية قد أعادت الوظيفة.

Babcock & Wilcox والموردون الآخرون.سيطر مورد المفاعل على معرفة التصميم وخبرة الأسطول المتقاطعة. أظهرت محطاته مشكلات PORV، وقدمت ديفيس-بيس سلائف ذات صلة خاصة. ترتكز مسؤولية المورد على تحليل المخاطر، وتصميم الواجهة الدقيق، والتواصل التقني غير الملتبس، وتصعيد الأنماط عبر العملاء. ليس نتيجة بأن البائع تحكم في وردية TMI أو أن كل عيب مكون فرض مسؤولية قانونية. تدعم الأدلة فشلاً في جعل معرفة النظام فعالة تشغيلياً.

NRC.رخصت الجهة المنظمة التصميم والمشغّلين، وفتشت المحطة، وحددت معايير التدريب والطوارئ، وتحكمت في اتصال السلامة على مستوى الصناعة. وجدت التحقيقات الرسمية أن نهجها لم يؤكد بشكل كافٍ على العوامل البشرية وجودة الإدارة وسلوك الكسر الصغير أو توليفة الخبرة التشغيلية. دعا تقرير فريق عمل الدروس المستفادة من NRC نفسهNUREG-0585إلى تغييرات أساسية في التصميم والتشغيل العملية التنظيمية. المسؤولية التنظيمية ليست قيادة تشغيلية، ولم تفتح NRC أو تعزل PORV. إنها مسؤولية عن نظام الضمان الذي قبل التصميم ونظام التأهيل.

منظمات الطوارئ الحكومية.اتخذت سلطات بنسلفانيا قرارات الإجراءات الوقائية؛ قيمت NRC سلامة المفاعل والتسربات؛ راقبت هيئات فيدرالية أخرى الإشعاع ودعمت الاستجابة. أضرت السلطة والاتصالات المجزأة بالمساءلة العامة. يعكس تعيين قيادة التخطيط خارج الموقع لـ FEMA لاحقاً إصلاح واجهة مؤسسية، وليس دليلاً على أن كل قرار ولاية أو فيدرالي في 1979 كان مهملاً.

وصل مكتب مساءلة الحكومة الأمريكية إلى نتيجة نظامية بالمثل في مراجعته لعام1980 للتحقيقات الرئيسية: حدد المحققون عموماً عطل المعدات، والتدريب غير الكافي، وتصميم غرفة التحكم والإجراءات الرديئة، والقصور التنظيمي المعروف. يلخص التدقيق الحكومي الأدلة ويقيمها؛ وهو لا يفصل في المسؤولية التقصيرية أو الجنائية. تكمن قيمته في التقارب عبر التحقيقات.

الوضع القانوني والإجرائي

ولّد الحادث إنفاذاً وترخيصاً وتقاضياً مدنياً، لكن لم تقدم أي دعوى واحدة توزيعاً قانونياً شاملاً لجميع مسؤولية الحادث. يجب أن تبقى النتائج التحليلية أعلاه منفصلة عن النتائج القانونية.

اعترفت Metropolitan Edison لاحقاً بالذنب جنائياً بتزوير تقارير اختبار معدل التسريب قبل الحادث، كما لخصت نشرة محامي الولايات المتحدة المؤرشفةهنا. هذا الإقرار المؤسسي هو تصرف قانوني يتعلق بسلوك إبلاغي محدد. لا ينبغي توسيعه إلى دليل على أن الاختبارات المزورة سببت تسلسل PORV، أو أن كل شرط قبل الحادث متنازع عليه كان مخفياً، أو أن أي فرد معين تكبد مسؤولية جنائية.

في قضيةMetropolitan Edison Co. v. PANE، قررت المحكمة العليا نطاق المراجعة البيئية المرتبطة بإعادة تشغيل الوحدة 1 غير المتضررة المقترحة، بما في ذلك ما إذا كانت آثار الصحة النفسية مرتبطة بشكل كافٍ بتغيير في البيئة المادية لتحليل قانون السياسة البيئية الوطنية المعني. لم يكن الحكم حكماً تعويضياً حول سبب حادث TMI-2 أو الإصابة الإشعاعية أو نية الشركة.

تحول التقاضي اللاحق عن الإصابات الشخصية بدوره حول دليل محدد. في قضيةIn re TMI, 193 F.3d 613 (3d Cir. 1999)، أيدت محكمة الاستئناف حكماً موجزاً للمدعى عليهم لأن أدلة المدعين المقبولة لم تدعم إظهارات الجرعة والسببية المطلوبة في تلك القضايا؛ وعالجت خطأ إثباتياً واحداً على أنه غير ضار. هذه النتيجة الإجرائية ليست مكافئة منطقياً لنتيجة بأنه لم يتم إطلاق أي مادة مشعة، أو لم يعانِ أي مقيم من الإجهاد، أو لم تفشل أي ضوابط مؤسسية. إنها تثبت ما لم يثبته أولئك المدعون في ذلك السجل بموجب المعيار القانوني الحاكم.

يحمي هذا الفصل تحليل المساءلة من خطأين متقابلين. لا يمكن تقديم النقد التحقيقي كإدانة جنائية. لا يمكن تقديم حكم دفاعي عن السببية كشهادة إيجابية بأن العمليات والاتصالات الطارئة كانت كافية. النطاق القانوني وعبء الإثبات والتعويض مهمة.

ما أثبتته عمليات التنظيف والفحص اللاحق

لم تستطع تقديرات الحادث المبكرة رؤية القلب بأكمله. كانت الأجهزة تالفة أو خارج النطاق أو غير مباشرة، ولم يمكن فتح وعاء المفاعل على الفور. أصبحت عملية التنظيف عملية إثباتية طويلة. بدأت إزالة رأس الوعاء في 1984، وبدأت إزالة الوقود في 1985 واستمرت إزالة الوقود الرئيسية حتى 1990. يفيد سجل مهمة تنظيف وفحص TMI-2 لـ NRCهنابأن ما لا يقل عن 19 طناً مترياً من مادة القلب المنقولة وصلت إلى الحجرة السفلية. خلصت أبحاث وزارة الطاقة اللاحقة الملخصة من خلالOSTIإلى أن ما لا يقل عن 45 في المائة من القلب ذاب وأن ما يقرب من 19 طناً انتقلت إلى الرأس السفلي للوعاء.

يغير هذا الدليل المادي تأكيد نتيجة تلف القلب. إنه يؤكد الذوبان والانتقال الواسعين، مع إظهار أن الرأس السفلي لوعاء المفاعل لم يفشل. كما حد الاحتواء من العاقبة خارج الموقع على الرغم من هروب المواد عبر مسارات المبنى المساعد وحدوث تسربات مضبوطة أثناء التنظيف. نجح الدفاع في العمق جزئياً بعد فشل الوقاية والتشخيص. هذا ليس تناقضاً؛ صُممت ضمانات الطبقات على وجه التحديد لأن الضوابط السابقة يمكن أن تفشل.

اختبرت عملية التنظيف أيضاً حماية العمال، ومعالجة النفايات، ومعالجة المياه، والتحكم في الحرجية، والأجهزة في بيئة متضررة. يحفظ ملحق ملخص إدارة المعرفة 2 لـ NRCهنادروساً من الاستقرار وإزالة الوقود بدلاً من معاملة الحدث كمكتمل عندما انتهت الطوارئ العامة. تذكر ورقة حقائق NRC أن حوالي 2.23 مليون جالون من المياه المتولدة عن الحادث عولجت بحلول أغسطس 1993 وأزيل حوالي 99 في المائة من الوقود. دخلت الوحدة تخزيناً مراقباً بعد إزالة الوقود بموجب رخصة حيازة فقط.

تقدم حالة منشأة NRC TMI-2 الحاليةهناحداً أكثر دقة. تقدر المواد الحاملة للوقود المتبقية بأقل من 1,125 كيلوغراماً، حوالي واحد في المائة من مخزون القلب الأصلي، في مواقع نظام المبرد وخارج الوعاء. تحدد وضع DECON، وتقول إن NRC تراجع تقرير إيقاف تشغيل معدل قدم في أكتوبر 2025، وتدرج 2052 كتاريخ إغلاق تقديري. هذه حقائق تنظيمية راهنة، وليست دليلاً على أن الوحدة المتضررة أصلحت للتشغيل.

التمييز بين TMI-2 والوحدة 1 أساسي. كانت الوحدة 1 منفصلة مادياً وغير متضررة من حادث قلب 1979. أعيد تشغيلها لاحقاً وعملت وأغلقت في 2019؛ النشاط الفيدرالي الحالي بشأن إعادة تشغيل محتملة يعود إلى الوحدة 1، التي تسمى الآن مركز كرين للطاقة النظيفة، وليس إلى TMI-2. توثق صفحة الوحدة 1 الحالية لـ NRCهناوضع الترخيص المنفصل ذلك. أي سرد يقول "تم إصلاح ثري مايل آيلاند وإعادة تشغيلها" دون تحديد الوحدة يحجب السجل المادي والقانوني.

تحتاج أدلة تكلفة التنظيف أيضاً تسميات تاريخية. ناقشت مراجعة لتمويل التنظيف من مكتب المساءلة الحكومية عام 1981هناتقديراً يبلغ حوالي 1.034 مليار دولار وعدم يقين تمويلي كبير. كان ذلك تقديراً معاصراً، وليس نتيجة تكلفة نهائية معدلة بالتضخم. تكمن قيمة مساءلته في إظهار كيف نقل فشل تشغيلي أعباء مالية وإدارة نفايات وحوكمة عامة طويلة الأمد إلى ما وراء الحدث نفسه.

الإصلاح دليل على الاعتراف، وليس دليلاً آلياً على الإصلاح

كانت إصلاحات NRC والصناعة بعد TMI مكثفة. أصدرت NRC نشرات فورية، وزادت التفتيش المقيم، ونقحت تدريب المشغّلين وترخيصهم، وعززت التأهب للطوارئ، وطلبت مراجعات تصميم غرفة التحكم وعروض معلمات السلامة، وطورت توجيهاً تشغيلياً طارئاً موجهاً نحو الأعراض، وأنشأت وظائف خبرة تشغيلية أقوى. أسست الصناعة معهد العمليات النووية (INPO) لإضافة تقييم الأقران وتبادل الأداء. دمجت NRC المتطلبات المعتمدة وجداول التنفيذ فيNUREG-0737، بينما يظهر أرشيف خطة عمل TMI الخاص بهاهنااتساع وحالة المهام الفردية في النهاية.

أصبح ضمان الصمام أكثر وضوحاً. عالجت مهام ما بعد TMI الطاقة الكهربائية وإشارة الوضع والموثوقية لصمامات تخفيف ضغط مركم الضغط والحجب. وثقتالرسالة العامة 90-06من NRC حل أسئلة عامة حول موثوقية PORV وصمام الحجب، بما في ذلك دور إشارة وضع غرفة التحكم والطاقة المؤهلة. يشرح السجل التنظيمي أيضاً لماذا لم يصبح كل تحديث مرغوب تحسيناً إلزامياً عالمياً للسلامة. بقيت تحليلات التكلفة-الفائدة والقرارات الخاصة بالمحطة جزءاً من العملية. يجب أن يكون هذا التحديد مرئياً عند الحكم على اكتمال الإصلاح.

إغلاق بند الإجراء هو دليل إداري: صدر متطلب، وقُبل تقديم أو حُلَّت مهمة بطريقة أخرى. لا يثبت أن الضوابط تبقى فعالة عبر العقود. دعت مراجعة تقدم خطة العمل لعام 1985 من مكتب المساءلة الحكوميةهناإلى محاسبة شاملة لبنود ما بعد TMI العديدة؛ قدمت NRC لاحقاً واحدة وأغلق مكتب المساءلة الحكومية توصيته. هذا دليل تتبع مفيد، لكنه ليس ضمان أداء لكل محطة على حدة.

يقدم الإنفاذ اللاحق اختباراً صعباً لهذا التمييز. في 1998 أصدرت NRCإشعار مخالفة EA-97-533للوحدة 1 المنفصلة في TMI. بعد استبدال PORV في 1995، جعلت أخطاء الأسلاك الصمام غير قابل للتشغيل، وفشل اختبار ما بعد الصيانة غير الكافي في كشف الحالة لدورة تشغيل مدتها 23 شهراً. صنفت NRC المخالفة عند مستوى الخطورة الثالث. قدرت الوكالة تحديد واتخاذ الإجراء التصحيحي ولم تفرض العقوبة المدنية المتوخاة.

لم تعِد تلك المخالفة اللاحقة إنتاج فشل 1979: كان صمام الوحدة 1 غير قادر على الفتح، بينما علق صمام الوحدة 2 مفتوحاً، ولم ينتج أي حادث في 1995-1997. إشارة مساءلته أضيق وأكثر دواماً. حتى في موقع محدد بحادث PORV، يمكن للفنيين والتحقق المستقل وضوابط العمل أن يقبلوا جميعاً توصيلاً غير صحيح، بينما فشل الاختبار في إثبات استجابة الصمام الفعلية. الدرس ليس أن الإصلاح كان عديم الجدوى. بل هو أن مسارات الأوامر والإشارات وإكمال الورق تبقى بدائل غير كافية للتحقق الوظيفي.

نموذج الإصلاح الأقوى هو لذلك دوري. يجب على المرخص له تحديد وظيفة الأمان، وقياس الحالة المادية، والتدرب على إشارات متدهورة موثوقة، واختبار المكون بعد الصيانة، ومراقبة الأداء في ظل سيناريوهات واقعية، والتقاط أحداث السلائف، والطعن بشكل مستقل في أدلة الإغلاق، وإبقاء النتيجة مرئية للإدارة والمنظم. يجب على NRC تفتيش ما يكفي من تلك الدورة لكشف الأعمال الورقية التي انحرفت عن الوظيفة.

ضوابط افتراضية ومساءلة قابلة للقياس

يمكن لعدة ضوابط أن تكون قد قطعت التسلسل دون الحاجة إلى تنبؤ كامل. إشارة مباشرة ومؤهلة لوضع PORV الفعلي كان يمكن أن تناقض ضوء الأمر. عرض بارز يدمج الضغط ودرجة الحرارة وهامش التبريد الفرعي والمخزون كان يمكن أن يتحدى الاعتماد على مستوى مركم الضغط. إنذار عالي الأولوية لتفريغ PORV المستمر، مدعوم بتدفق تصريف مثبت أو منطق درجة حرارة، كان يمكن أن يركز الانتباه. كان يمكن أن تتطلب الإجراءات عزل صمام الحجب مبكراً عندما تستمر أدلة التسريب بعد أمر إغلاق. كان يمكن أن تتدرب سيناريوهات المحاكاة على نمط ديفيس-بيس حتى تثبت الأطقم الحقن المستدام والتشخيص القائم على الأعراض.

هذه الافتراضات هيضوابط مدعومة، وليست ادعاءات بأن أي واحد منها كان سيمنع بالتأكيد كل ضرر. قد تتعطل المستشعرات، ويمكن أن يخلق العزل مخاوف ضغط مفرط، ويمكن أن تتجاوز ظروف الحادث النماذج. تكمن قيمتها في التراكم. تجعل قنوات الأدلة المستقلة من الصعب على بديل مضلل واحد أن يهيمن. تجعل الإجراءات والتدريب الأدلة قابلة للتنفيذ. تثبت الاختبارات الوظيفية أن الإصلاح يصل إلى المحطة. تجعل برامج الخبرة التشغيلية الإخفاقات السابقة متاحة قبل التكرار.

يمكن قياس المساءلة مقابل تلك السلسلة:

1. هل حددت المنظمة وظيفة السلامة المادية ذات الصلة بدلاً من مجرد الحالة المأمورة؟
2. هل اكتسبت أدلة السلائف من محطتها الخاصة وأسطول البائع والمنظم؟
3. هل قيمت الأدلة لظروف خارج التشغيل العادي؟
4. هل غيرت الأجهزة والإجراءات والتدريب وواجهات الطوارئ؟
5. هل اختبرت التغيير تحت إشارات واقعية ومتناقضة؟
6. هل تحقق الرقابة المستقلة من الأداء المادي بدلاً من إكمال الوثيقة وحده؟
7. هل راقبت المنظمة التكرار وأعادت فتح المسألة عندما تناقض أدلة لاحقة الإغلاق؟

فشلت TMI-2 في معظم تلك السلسلة قبل 28 مارس 1979. بنت إصلاحات ما بعد الحادث العديد من عناصرها. يظهر سجل إنفاذ الوحدة 1 لماذا لا يمكن أن ينتهي السؤالان الأخيران.

استنتاج المساءلة

جعلت ثري مايل آيلاند الأجهزة اختبار مساءلة لأن السؤال الحاسم لم يكن ما إذا كانت البيانات موجودة. كان ما إذا جعلت المؤسسات الحالة المادية للمفاعل قابلة للمعرفة والتنفيذ قبل أن يفقد المشغّلون السيطرة على التبريد. أظهر ضوء PORV أمراً، وأظهر مركم الضغط مستوى محلياً، وأظهرت نوافذ الإنذار مئات الانحرافات المكونة، وحاولت الطابعة إظهار التسلسل. لم يجب أي منها بشكل موثوق على سؤال الأمان الذي كان مهماً: هل كان مخزون المفاعل يُفقد من خلال مسار تسريب مفتوح؟

تدعم الأدلة توزيعاً نظامياً. أطلق PORV العالق وفقدان مياه التغذية الحدث. سمحت تخفيضات المشغّلين في الحقن وتأخير العزل له بأن يسوء. كانت Metropolitan Edison مسؤولة عن التشغيل الآمن والإجراءات والتدريب والصيانة وقيادة الطوارئ. كانت Babcock & Wilcox مسؤولة عن معرفة التصميم والاستخدام الفعال لأدلة السلائف عبر الأسطول. كانت NRC مسؤولة عن المعايير والترخيص والتفتيش والتعلم على مستوى الصناعة. حد الاحتواء والرأس السفلي للوعاء والتبريد اللاحق وعملية تنظيف مكثفة من العواقب، لكنها كانت طبقات تعافٍ بعد فشل الوقاية والتشخيص.

لا يثبت هذا الاستنتاج نية جنائية أو مسؤولية مدنية فردية أو نتيجة سببية صحية عامة. يحافظ على النطاق المحدود لإقرار الإبلاغ المؤسسي وقرارات المحكمة اللاحقة. كما يميز تقديرات الجرعة السكانية الرسمية المنخفضة عن فشل الاتصالات الطارئة الموثق وعن عدم اليقين في الجرعة على المستوى الفردي.

يمكن لأدلة جديدة مادية أن تغير التوزيع إذا أظهرت سجلات موثقة أن مؤسسة مسؤولة قدمت تحذيراً واضحاً قائماً على ديفيس-بيس تلقت إدارة TMI واختبرته ونفذته بشكل صحيح؛ إذا حلت سجلات غير متاحة سابقاً تأليف قرار متنازع عليه أو زناد مياه التغذية الأولي؛ إذا غيرت قياسات جرعات أو وبائيات جديدة مادياً نتائج التسرب والصحة؛ أو إذا كشف إيقاف التشغيل عن تلف قلب أو احتواء غير متسق مع الفحوصات الحالية. في غياب مثل هذه الأدلة، يبقى الاستنتاج الأقوى موجزاً: أصبحت TMI-2 شديدة عندما مر فشل معدة يمكن التحكم به عبر إشارة غير مثبتة وتشخيص غير كافٍ واستجابة متأخرة، وتتبع المسؤولية كل مؤسسة سيطرت على ضمانات الأمان تلك.