Three Mile Island: Warteninstrumentierung als Rechenschaftstest für den Nuklearbetrieb

Zusammenfassung

• Etwa um 4:00 Uhr morgens am 28. März 1979 verlor TMI-2 die normale Speisewasserversorgung, die Turbine schaltete ab, der Reaktordruck stieg, das druckbetriebene Druckhalter-Entlastungsventil (PORV) öffnete und der Reaktor schaltete automatisch ab. Das PORV schloss anschließend nicht wieder. Dieses festsitzende Ventil erzeugte einen Kühlmittelverluststörfall mit kleinem Leck, der nicht gestoppt wurde, bis die Operateure etwa zwei Stunden und zweiundzwanzig Minuten später das nachgeschaltete Absperrventil schlossen.
• Die Kontrollraumleuchte für das PORV zeigte an, dass ein elektrisches Schließsignal gesendet worden war, nicht dass das Ventil physisch geschlossen war. Die Operateure erhielten daher ein beruhigendes Signal zum Befehlsstatus, während heißere als normale Ablaufleitungen, steigende Containmentstrahlung, ein sich füllender Containmentsumpf und sinkender Reaktorkühlmitteldruck auf eine anhaltende Freisetzung hinwiesen. Die Instrumente integrierten diese Zustände nicht zu einer direkten Aussage über den Kühlmittelinventar oder die Ventilstellung.
• Die Operateure reduzierten die Hochdruckeinspeisung und setzten das Abschlämmen fort, weil der Füllstand im Druckhalter stieg und die Ausbildung betonte, einen vollständig mit Wasser gefüllten Druckhalter zu vermeiden. Unter den tatsächlichen Zweiphasenbedingungen war der Druckhalterfüllstand kein zuverlässiges Maß für den Reaktordruckbehälterbestand. Diese Maßnahme verringerte die Nachspeisung, während das offene PORV weiterhin Kühlmittel abführte.
• Individuelle Handlungen der Operateure spielten eine Rolle, aber sie fanden innerhalb eines Systems statt, das von Institutionen entworfen, geliefert, genehmigt und verwaltet wurde. Die Untersuchungskommission des Präsidenten stellte Mängel in der Wartenauslegung, in den Verfahren, der Ausbildung, dem Management, dem Austausch von Betriebserfahrungen und der Regulierung durch die NRC fest. Aufzeichnungen der NRC und von Kongressprüfungen übersetzten viele dieser Erkenntnisse später in Anforderungen für Sicherheitsparameteranzeigen, Wartenüberprüfungen, Simulatortraining, Notfallbetriebsverfahren, Betriebserfahrungsprogramme und Notfallvorsorge.
• Ein ähnliches Ereignis im Jahr 1977 im Davis-Besse-Kraftwerk von Babcock & Wilcox beinhaltete ein festsitzendes PORV, einen steigenden Druckhalterfüllstand, sinkenden Systemdruck und eine reduzierte Einspeisung. Dieses Ereignis verursachte keine Kernschäden, machte das TMI-Muster jedoch vorhersehbar genug, um eine disziplinierte Analyse und Flottenkommunikation zu fordern. Das Versagen bestand nicht darin, dass jeder Beteiligte den genauen Unfall vorhersagen konnte; es lag darin, dass ein hochwertiges Vorläuferereignis nicht in eine robuste Diagnose- und Ausbildungskontrolle umgewandelt wurde.
• Die Notfallreaktion fügte ein zweites Rechenschaftsproblem hinzu. Anlagen-, Landes- und Bundesbeteiligte verfügten nicht über ein gemeinsames, zeitnahes Lagebild, die öffentliche Kommunikation war widersprüchlich und Schutzmaßnahmenentscheidungen wurden unter unsicheren Quellterm- und Dosisinformationen getroffen. Diese Mängel unterscheiden sich von der späteren offiziellen Bewertung, dass die Freisetzungen außerhalb des Standorts zu niedrigen durchschnittlichen Dosen und keinen nachweisbaren Auswirkungen auf die Bevölkerungsgesundheit führten.
• Die Beseitigungs- und Untersuchungsarbeiten reparierten einen Teil der Beweislage, nicht den Reaktor. Spätere Entkernung und Forschung belegten umfangreiches Schmelzen und Verlagerung von Kernmaterial, während der untere Boden des Reaktordruckbehälters und das Containment wichtige Sicherheitsfunktionen behielten. Etwa 99 Prozent des ursprünglichen Brennstoffinventars wurden schließlich entfernt, jedoch verbleibt restliches brennstoffhaltiges Material und TMI-2 befindet sich weiterhin im Rückbauzustand, wobei die NRC ein geschätztes Abschlussdatum des Standorts von 2052 angibt.
• Die Schlussfolgerung zur Rechenschaft ist institutionell und kontrollbasiert, keine Behauptung von Vorsatz oder automatischer individueller Haftung. Metropolitan Edison behielt die Betriebsverantwortung; Babcock & Wilcox kontrollierte wichtige Design- und Vorläuferkenntnisse; und die NRC kontrollierte die Genehmigungsnormen, Inspektionen und das branchenweite Lernen. Die Untersuchungsergebnisse, ein späteres strafrechtliches Schuldeingeständnis eines Unternehmens bezüglich Lecktest-Berichterstattung vor dem Unfall, Wiederanfahrklagen und Strahlungsschadensklagen haben jeweils einen unterschiedlichen verfahrensrechtlichen Umfang und dürfen nicht zu einem einzigen rechtlichen Urteil über den Unfall zusammengeführt werden.

Evidenzgrenze: Was mit Sicherheit gesagt werden kann

Die stärkste gemeinsame Chronologie stammt aus demBericht der Präsidentenkommission, derNUREG-0600-Untersuchungdes NRC-Büros für Inspektion und Durchsetzung, der speziellen NRC-Untersuchung, die allgemein als Rogovin-Bericht bekannt ist und über denOSTI-Datensatzdes Energieministeriums verfügbar ist, sowie dem späterenWissensmanagement-Kompendium zu Three Mile Islandder NRC. Sie unterscheiden sich im Auftrag und manchmal im Detail der Rekonstruktion. Keiner ist ein strafrechtliches Urteil. Zusammen stützen sie jedoch die Kernabfolge: Speisewasserverlust, Reaktorschnellabschaltung, ein PORV, das öffnete und feststeckte, unzureichende Erkennung des offenen Entlastungspfads, reduzierte Notkühleinspeisung, anhaltender Kühlmittelverlust, Kernfreilegung und schwere Brennstoffschäden.

Dieser Artikel verwendet fünf Evidenzkennzeichnungen.Bestätigte Tatsachebedeutet, dass der Punkt durch übereinstimmende offizielle Aufzeichnungen oder durch spätere physische Untersuchungen gestützt ist.Gestützte Schlussfolgerungbedeutet, dass die Schlussfolgerung aus bestätigten Bedingungen und der Kontrollleistung folgt, aber selbst keine gerichtliche Feststellung ist.Umstrittene Behauptungbedeutet, dass offizielle Darstellungen, Zeugen oder spätere Prozessparteien in einer für die Zuschreibung wesentlichen Weise voneinander abwichen.Unbekanntbedeutet, dass die erhaltenen Aufzeichnungen keine verlässliche Schlussfolgerung stützen.Rechtliche Feststellungbedeutet, dass ein Gericht oder eine Durchsetzungsbehörde tatsächlich eine definierte Angelegenheit nach ihrem eigenen Standard entschieden hat; sie geht nicht über diese Angelegenheit hinaus.

Diese Disziplin ist wichtig, weil TMI-2 mehrere unterschiedliche Aufzeichnungen hervorbrachte. Instrumentenablesungen und Operateursprotokolle beschrieben einen Unfall, während er sich entfaltete. Untersuchungen rekonstruierten das Verhalten Monate später. Entkernungs- und metallurgische Arbeiten deckten Jahre später Schäden auf. Regulierungsmaßnahmen begründeten vorausschauende Anforderungen. Gerichte entschieden über Fragen des Umfangs der Umweltverträglichkeitsprüfung, der Genehmigung oder des Beweises in bestimmten Klagen. Der aktuelleUnfallhintergrundbericht der NRCist eine nützliche offizielle Synthese, aber spätere Zusammenfassungen sollten die Unsicherheit, die im Kontrollraum bestand, oder die Meinungsverschiedenheiten, die in Rechtsstreitigkeiten verblieben, nicht auslöschen.

Vor der Schnellabschaltung: Wer kontrollierte was

TMI-2 war ein Druckwasserreaktor, der von Babcock & Wilcox geliefert und von Metropolitan Edison, einem Teil des General Public Utilities-Systems, betrieben wurde. Die Aufteilung der Betriebskontrolle war nicht zweideutig: Der Lizenznehmer war verantwortlich für den sicheren Betrieb der Anlage, die Instandhaltung der Ausrüstung, die Qualifizierung des Personals, die Erstellung von Verfahren und die Erfüllung seiner Lizenz. Der Lieferant kontrollierte das Systemdesignwissen, die technische Anleitung und wichtige Informationen über das Verhalten, das in anderen Babcock & Wilcox-Anlagen beobachtet wurde.

Die NRC kontrollierte die Genehmigungsvorschriften, die Lizenzierungsstandards für Operateure, die Inspektionen, die Durchsetzung und die Verbreitung allgemeiner Sicherheitsinformationen.

Diese Rollen überschnitten sich im Kontrollraum. Ein Ventilhersteller konnte eine Komponente liefern, aber der Reaktorlieferant und der Architekturingenieur bestimmten, wie ihr Zustand dargestellt wurde. Ein Lizenznehmer konnte nach einem von der NRC genehmigten Standard schulen, aber die behördliche Akzeptanz übertrug nicht die Pflicht des Lizenznehmers, die Ausbildung an die Anlage anzupassen. Die NRC konnte ein Design überprüfen, ohne zum Betreiber zu werden, doch ihre Regeln und Inspektionen prägten, welche menschlichen Faktor-Mängel zwingend korrigiert wurden.

Die Rechenschaft folgt daher der Kontrolle über eine Schutzmaßnahme, nicht der bloßen Nähe zum Pult.

Die Anlage war erst im Dezember 1978 kommerziell in Betrieb gegangen. Ihre Operateure waren lizenziert und schnitten laut der Präsidentenkommission im Lizenzierungsprozess über dem nationalen Durchschnitt ab. Diese Tatsache ist wichtig, denn sie weist eine vereinfachende Geschichte einer unqualifizierten Mannschaft zurück. Derselbe Bericht kam zu dem Schluss, dass die Ausbildungsregelung, die Prüfungen der NRC und die Anlagenverfahren das Personal nicht angemessen auf die Bedingungen vorbereiteten, denen es begegnete. Formale Qualifikation und Betriebsbereitschaft waren keine äquivalenten Kontrollen.

Die Aufzeichnung der Vorläufersignale war ebenfalls bedeutsam. Im September 1977 erlebte Davis-Besse, eine weitere Anlage von Babcock & Wilcox, eine Speisewassertransiente, bei der das PORV offen feststeckte. Der Systemdruck sank, der Druckhalterfüllstand stieg und die Operateure unterbrachen die Hochdruckeinspeisung, bevor sie das Absperrventil schlossen. Das Ereignis endete ohne Kernschäden, aber es legte dieselbe irreführende Beziehung offen, die später bei TMI-2 von Bedeutung war: Ein steigender Druckhalterfüllstand konnte mit einem Verlust des Reaktorsysteminventars koexistieren.

Die Präsidentenkommission berichtete, dass Babcock & Wilcox die potenzielle Schwere intern erkannte, die Warnung die TMI-Operateure jedoch nicht in einer Form erreichte, die ihr Verhalten änderte. Dies ist als ein Informationsübertragungsversagen bestätigt; welche Kommunikation genau eine andere Reaktion garantiert hätte, bleibt unwissbar.

Chronologie vor der Beurteilung

4:00 bis 4:08 Uhr: Schnellabschaltung, Entlastung und die erste falsche Beruhigung

Gegen 4:00 Uhr, als TMI-2 nahe Volllast lief, stoppten die Hauptspeisewasserpumpen. Die Untersucher verfolgten die Auslösesequenz über die sekundärseitigen Kondensat- und Speisewassersysteme, aber das genaue erste mechanische oder elektrische auslösende Detail wurde nicht mit der für die spätere Reaktor-Kühlmittel-Abfolge möglichen Sicherheit ermittelt. Der vertretbareAuslöserist der Verlust des normalen Speisewassers, nicht eine spezifischere, nicht gestützte Einzelkomponententheorie.

Die Turbine schaltete innerhalb von Sekunden ab. Mit abrupt reduzierter Dampfabnahme stiegen Hitze und Druck im Primärsystem. Das PORV öffnete automatisch bei seinem Druck-Sollwert. Der Reaktor scramte dann, wodurch die Kettenreaktion der Spaltung beendet wurde, während die Nachzerfallswärme blieb und weiterhin Kühlung erforderte. Die Notspeisewasserpumpen starteten, aber beide Strömungswege zu den Dampferzeugern waren anfangs durch geschlossene Ventile isoliert. Ein Ventilstellungsanzeiger war durch ein Wartungsschild verdeckt; die Operateure übersahen den anderen. Die Ventile wurden etwa acht Minuten nach Beginn des Ereignisses geöffnet.

Die Kommission kam zu dem Schluss, dass dieses Intervall den endgültigen Kernschaden nicht maßgeblich bestimmte, obwohl es zur Arbeitsbelastung und Verwirrung zum ungünstigsten Zeitpunkt beitrug.

Das PORV hätte schließen sollen, als der Druck fiel. Mechanisch tat es das nicht. Elektrisch entfernte das Kontrollsystem das Öffnungssignal, und die Kontrollraumleuchte ging aus. Die Leuchte repräsentierte somit den Befehlsstatus und nicht die tatsächliche Ventilstellung. Im Normalbetrieb könnte dieser Unterschied verborgen bleiben. Bei diesem Unfall trennte er das Wartenmodell von der Anlage: Die Operateure glaubten, der primäre Entlastungsweg sei geschlossen, während Reaktorkühlmittel weiterhin dadurch entwich.

Dies war kein Fehlen jeglicher Beweise. Eine nachgeschaltete Ablaufleitungstemperatur war hoch. Der Druck fiel weiter. Der Containmentsumpf-Füllstand stieg. Später signalisierten auch Strahlung und Gebäudezustände, dass das Primärkühlmittel seine vorgesehene Begrenzung verließ. Dennoch zeigte keine einzelne prominente Anzeige, dass das PORV offen war, und die Warte bot kein direktes, zuverlässiges Maß für das gesamte Reaktorkühlmittelinventar. Das unmittelbare Erkennungsproblem war daher sowohl komponentenspezifisch als auch systemisch.

4:02 bis 4:15 Uhr: Automatische Nachspeisung wird gedrosselt

Etwa zwei Minuten nach der Schnellabschaltung begann die Hochdruckeinspeisung automatisch Wasser zuzuführen, als der Primärdruck sank. Dies war die Sicherheitsreaktion, die benötigt wurde, um den Verlust durch das offene PORV auszugleichen. Die Operateure reduzierten die Einspeisung bald drastisch. Ihr Handeln folgte dem Anlagenmodell, das man ihnen beigebracht hatte: Der Druckhalterfüllstand stieg, und ein vollständig mit Wasser gefüllter Druckhalter könnte ein Druckkontrollpolster beseitigen und die Anlagenkontrolle erschweren. Sie setzten auch das Abschlämmen fort oder erhöhten es und entnahmen dem Primärsystem damit bewusst Wasser.

Unter den tatsächlichen thermohydraulischen Bedingungen verteilten Sieden und Dampfblasenbildung Wasser und Dampf neu. Ein steigender Druckhalterfüllstand bewies nicht, dass der Reaktordruckbehälter voll war. Druck und Füllstand bewegten sich in einem Muster, das die Operateure nicht ausreichend darauf trainiert hatten, als Kühlmittelverluststörfall mit kleinem Leck zu behandeln. Die Handlung war betrieblich folgenreich: Die Nachspeisung sank auf einen Bruchteil des automatischen Durchflusses, während der offene Entlastungsweg verfügbar blieb.

Ungefähr 5,5 Minuten nach dem Ereignis erreichte das Reaktorkühlmittel Sättigungsbedingungen, was eine einfache einphasige Interpretation noch unzuverlässiger machte. Gegen 4:11 Uhr erschien ein Hochfüllstandalarm im Containmentsumpf. Um etwa 4:15 Uhr öffnete die Berstscheibe des Reaktorkühlmittel-Ablassbehälters und ließ Kühlmittel in den Containmentsumpf ab. Dies waren bestätigende Anzeichen für einen Inventarverlust. Sie überwanden nicht den kognitiv dominanteren Glauben, dass das PORV geschlossen und der Druckhalter zu voll werde.

Die Bedeutung liegt nicht darin, dass die Operateure ein vollkommen klares Instrument ignorierten. Sie waren von teilweise gültigen Signalen umgeben, die eine Synthese über Tafeln, Alarmzustände und Systemwissen hinweg erforderten. Dievon der NRC unterstützte Bewertung der menschlichen Faktoren des TMI-2-Kontrollraumsidentifizierte später etwa 750 Meldefenster, von denen die meisten für Alarme verwendet wurden, ohne effektive Prioritätskodierung. Die Untersucher berichteten, dass in den ersten Minuten mehr als 100 Alarme aktiviert wurden. Der Alarmdrucker blieb weit zurück und klemmte schließlich. Informationen existierten, aber das System setzte sie nicht zuverlässig in Diagnose um.

4:15 bis 6:22 Uhr: Leckage sammelt sich an, während das gedankliche Modell bestehen bleibt

Gegen 4:20 Uhr zeigten Instrumente Neutronenaktivität an, die mit sich verändernden Kernbedingungen verbunden war. Sumpfpumpen förderten kontaminiertes Wasser vom Sicherheitsbehälter in das Nebenanlagengebäude, bis sie um etwa 4:39 Uhr gestoppt wurden; die Kommission schätzte, dass bis zu etwa 8.000 Gallonen übertragen worden sein könnten. Dieser Pfad trug zu Freisetzungen außerhalb des Sicherheitsbehälters bei und veranschaulicht ein zweites Grenzproblem: Ein schwerer Unfall bewegte Material durch Systeme, die für das routinemäßige Flüssigkeitsmanagement konfiguriert waren, bevor das Personal den Zustand erkannt hatte.

Technisches und Aufsichtspersonal traf ein, doch zusätzliche Personen führten nicht sofort zu einer korrekten Diagnose. Die Betriebsmanagementstruktur der Anlage war nicht darauf vorbereitet, dem überfüllten Raum eine gemeinsame Evidenzhierarchie aufzuerlegen. Gegen 4:45 Uhr erreichte ein technischer Leiter den Kontrollraum. Die anhaltenden Anzeichen für einen Entlastungspfad wurden weiterhin als ein leckendes und nicht als vollständig offenes Ventil interpretiert, und die Anzeige deutete weiterhin auf Schließung hin.

Nach 5:00 Uhr begannen die Hauptkühlmittelpumpen zu vibrieren, als Dampfblasen und Zweiphasenströmung die Pumpenbedingungen verschlechterten. Die Operateure stoppten zwei Pumpen gegen 5:14 Uhr und die restlichen zwei gegen 5:41 Uhr. Das Stoppen beschädigter oder kavitierender Pumpen war verständlicher Geräteschutz, aber es beseitigte die Zwangsumwälzung, während eine zuverlässige Naturumwälzung nicht gesichert war. Die Hochdruckeinspeisung wurde immer noch nicht mit der Rate genutzt, die erforderlich war, um das Inventar wiederherzustellen.

Gegen 6:15 Uhr war der Wasserstand im Reaktordruckbehälter gemäß späterer Rekonstruktion unter die Oberkante des Kerns gefallen. Um 6:22 Uhr schloss ein Operateur das Absperrventil hinter dem PORV und beendete den Hauptverlustpfad nach etwa zwei Stunden und zweiundzwanzig Minuten. Zeitgenössische Berichte wichen darin voneinander ab, wessen Vorschlag diese Maßnahme direkt auslöste. Diese Zuschreibung ist eineumstrittene Behauptungund für die institutionelle Schlussfolgerung nicht notwendig. Die bestätigte Tatsache ist, dass eine einfache, vom Kontrollraum aus verfügbare Isolationsmaßnahme verzögert wurde, weil die Betriebsorganisation den Ventilzustand nicht korrekt identifiziert hatte.

Das Schließen des Absperrventils stoppte den weiteren Austritt, stellte aber das bereits verlorene Inventar nicht wieder her. Die Untersucher schätzten, dass in den ersten hundert Minuten rund 32.000 Gallonen durch den Entlastungspfad geströmt waren. Eine zur Wiederherstellung des Kerns ausreichende Einspeisung wurde nicht sofort hergestellt. Gegen 6:48 Uhr deutete die spätere Rekonstruktion darauf hin, dass ein großer Teil des Kerns möglicherweise freigelegt war.

Frühe Untersucher mussten Temperatur und Schäden aus Instrumenten ableiten, die nicht dafür ausgelegt waren, diesen Zustand zu überstehen oder zu quantifizieren; spätere physische Untersuchungen revidierten und verstärkten diese Beweise wesentlich.

7:00 Uhr bis in die folgenden Tage: Notfallklassifizierung und Stabilisierung

Der Lizenznehmer erklärte kurz vor 7:00 Uhr einen Standortnotfall und gegen 7:24 Uhr einen allgemeinen Notfall. NRC Region I erfuhr von dem Ereignis erst, als ihr Büro gegen 7:45 Uhr öffnete, und nicht über eine kontinuierlich besetzte Bundesoperationszentrale, die in der Lage gewesen wäre, Daten sofort zu empfangen und zu integrieren. Diese Chronologie unterstützte spätere Änderungen an der Notfallorganisation und -kommunikation der NRC.

Die Kühlung wurde schließlich wiederhergestellt und der Reaktor in einen stabileren Zustand gebracht, doch der öffentliche Notfall endete nicht, als das Hauptleck gestoppt war. Radioaktives Material war in den Sicherheitsbehälter und das Nebenanlagengebäude gelangt. Am ersten Tag ereignete sich ein Wasserstoffbrand im Sicherheitsbehälter, und spätere Besorgnis konzentrierte sich auf im Reaktorsystem angesammelten Wasserstoff. Anlagen-, Landes- und Bundesbehörden verfügten über unvollständige, manchmal widersprüchliche Informationen über Freisetzungen, den Kernzustand und die Möglichkeit einer weiteren Eskalation.

Am 30. März veranlassten Berichte über eine Freisetzung die Behörden von Pennsylvania dazu, schwangeren Frauen und Kindern im Vorschulalter zu raten, das Gebiet im Umkreis von fünf Meilen vorübergehend zu verlassen, und Personen im Umkreis von zehn Meilen zu sagen, in ihren Häusern zu bleiben. Dies war keine allgemeine obligatorische Evakuierung. Der Unterschied ist wichtig, ebenso wie die Tatsache, dass viele Bewohner angesichts der Unsicherheit freiwillig das Gebiet verließen. Das Archiv der NRC überJahresberichtsabschnitte zur TMI-2-Wiederherstellungdokumentiert sowohl die Schutzmaßnahmenempfehlung als auch die Kommunikationsfehler, die sie umgaben.

Die Unfallphase hatte somit zwei Stabilisierungsprobleme. Die Operateure mussten die Wärmeabfuhr herstellen und den Wasserstoff- und radioaktiven Bestand kontrollieren. Die öffentlichen Behörden mussten ein glaubwürdiges gemeinsames Lagebild herstellen. Keines der beiden konnte daran gemessen werden, dass der Reaktor scramte: Die Abschaltung stoppte die Spaltung, beseitigte aber nicht die Nachzerfallswärme, reparierte nicht das Kühlmittelinventar, verhinderte nicht die Wasserstoffbildung und lieferte keine vertrauenswürdige öffentliche Information.

Abgleich der Uhr mit der beschädigten Anlage

Nicht alle Minutenmarken in diesem Bericht haben dieselbe Beweisqualität. Die Turbinenschnellabschaltung, die Reaktorschnellabschaltung und automatische Signale wurden von Anlagensystemen aufgezeichnet. Andere Zeitpunkte wurden aus Operateurprotokollen, Interviews, Computeraufzeichnungen, Streifenschreibern und der Abfolge von Alarmen rekonstruiert. Der Alarmdrucker, der eine praktische geordnete Aufzeichnung hätte bewahren sollen, hinkte bereits während des Ereignisses hinterher und klemmte später.

Die Untersucher konnten mehrere Quellen korrelieren, aber ein Stunden zu spät gedruckter Zeitstempel ist nicht dasselbe wie eine direkt zeitgestempelte Prozessaufzeichnung. Daher sind Zeiten wie 4:00, 6:22 und 7:24 starke Ereignisanker; Schätzungen des Kernwasserstands und der Kernschäden um 6:15 oder 6:48 sind modellbasierte Rekonstruktionen und werden als näherungsweise beschrieben.

Dieselbe Hierarchie gilt für die Anlagenschäden. Während des Unfalls konnten Warteninstrumente Druck, lokalen Füllstand, Temperatur oder Strahlung anzeigen, aber sie konnten keine Karte der Kernkühlung darstellen. Einige Messwerte gingen über den Skalenbereich hinaus; andere wurden durch Dampf, Hohlräume, raue Umgebungsbedingungen oder Annahmen darüber, wo sich Wasser befand, beeinflusst. Frühe Berichte verwendeten thermische und chemische Modelle, um die Brennstofftemperatur und den Anteil des freigelegten Kerns zu schätzen. Diese Schätzungen waren für die Reaktion und Untersuchung notwendig, aber sie waren keine direkte Beobachtung.

Jahre später lieferte die Entkernung andere Beweise: beschädigte Brennelemente, wiedererstarrtes Material, Schutt und Trümmer im unteren Plenum. Probenahme und Untersuchung bestätigten umfangreiches Schmelzen und Verlagerung, während sie zeigten, dass der untere Boden des Druckbehälters intakt blieb. Die späteren Beweise stärken die Aussage, dass die Kühlung schwerwiegend versagte, und begrenzen allzu präzise Behauptungen darüber, was die Instrumente von 1979 allein zu einem bestimmten Zeitpunkt bewiesen. Sie zeigen auch, warum die Unfallinstrumentierung sowohl die unmittelbare Kontrolle als auch die spätere Rekonstruktion unterstützen muss.

Ein System, das seinen Messbereich, die Umweltqualifikation oder die Sequenzaufzeichnung verliert, beeinträchtigt Reaktion und Rechenschaft gleichermaßen.

Für die Zeugenzuschreibung ist ähnliche Zurückhaltung geboten. Die Untersuchungen konnten feststellen, dass die Notspeisewasser-Absperrventile geschlossen waren und etwa acht Minuten nach der Schnellabschaltung geöffnet wurden, aber die Darstellungen darüber, warum sie geschlossen waren, gingen auseinander. Die Kommission beurteilte die kurze Unterbrechung als nicht entscheidend für den endgültigen Kernschaden. Es wäre daher irreführend, einen ungeklärten Ursprung der Ventilstellung zur Grundursache zu machen. Die Berichte variierten auch darin, wer zuerst vorschlug, das PORV-Absperrventil zu schließen.

Die sicherheitsrelevante Erkenntnis ist nicht die Urheberschaft des Vorschlags; sie ist, dass die Betriebsorganisation etwa zwei Stunden und zweiundzwanzig Minuten benötigte, um eine verfügbare Isolation durchzuführen, weil sie den physischen Zustand des Ventils nicht validiert hatte.

Dieser Abgleich ergibt eine schmalere, aber stärkere Erzählung. Die Speisewasser-Schnellabschaltung löste die Transiente aus. Das Versagen des PORV, wieder zu schließen, schuf den Verlustpfad. Der Kontrollraum erkannte diesen Pfad nicht früh genug. Die Reduzierung der Einspeisung und die verzögerte Isolation leerten das Inventar. Der Kern wurde erheblich beschädigt, wie spätere Untersuchungen bestätigten. Genaue individuelle Denkprozesse, einige Handlungsverantwortliche und die erste Komponente der Speisewasserkette bleiben ungewiss.

Diese Unbekannten sollten die persönliche Zuschreibung einschränken, nicht dazu verwendet werden, die bestätigte Kausalkette aufzulösen.

Die Warte als technisches Entscheidungssystem

Das folgenreichste Instrument war die PORV-Leuchte, doch sich nur auf diese Leuchte zu konzentrieren, untertreibt den Designfehler. Eine Wartenanzeige ist nur nützlich, wenn ihre Bedeutung unter den Bedingungen, unter denen Operateure handeln müssen, eindeutig ist. Die PORV-Leuchte zeigte korrekt an, dass das Solenoid ein Schließsignal erhalten hatte. Sie verifizierte nicht die Spindel- oder Ventilstellung. Die Schnittstelle machte diese Einschränkung nicht deutlich. Nach einem früheren PORV-Ereignis in TMI-2 war eine Leuchte hinzugefügt worden, aber die Änderung meldete immer noch das Steuersignal anstelle des physischen Verschlusses.

Die Korrekturmaßnahme adressierte das sichtbare Symptom, ohne die Sicherheitsfunktion zu verifizieren.

Andere Beweise waren fragmentiert. Die Druckhalterfüllstandsanzeige war prominent, wurde aber während der Zweiphasenströmung zu einem irreführenden Stellvertreter für das gesamte Systeminventar. Die Ablaufleitungstemperatur konnte auf eine anhaltende Entlastung hindeuten, doch die Operateure hatten Erfahrung mit Leckagen und behandelten die Anzeige nicht als entscheidenden Beweis für ein vollständig offenes Ventil. Sumpffüllstand und Berstscheibenalarme waren physikalisch stromabwärtige Folgen und keine direkte Diagnose. Wichtige Anzeigen befanden sich auf Rücktafeln, und einige Werte gingen über den Messbereich hinaus.

Die Wartenbewertung stellte fehlende oder unzureichende direkte Darstellung von Variablen wie das gesamte Primärinventar, die zur Erkennung der Sättigung erforderliche Druck-Temperatur-Beziehung, den PORV-Ausstoßstrom und den Notspeisewasserstrom fest.

Das Alarmvolumen verschärfte das Problem. Eine große Zahl von Alarmfenstern leuchtete in kurzer Zeit ohne Priorisierung nach Sicherheitsbedeutung auf. Der Drucker, der die Abfolge bewahren sollte, hinkte um Stunden hinterher und klemmte. Eine frühere Beschwerde eines Operateurs über die Leistung des Druckers hatte laut der Präsidentenkommission zu keiner effektiven Korrektur geführt. Dies ist ein Reparaturhinweis aus der Zeit vor dem Unfall: Die Organisation hatte eine meldepflichtige Schwachstelle, wandte keine verifizierte Abhilfe an und verlor dann das Werkzeug während des Ereignisses, für das die Sequenzrekonstruktion am wichtigsten war.

Diegestützte Schlussfolgerunglautet, dass das Erkennungsversagen von TMI-2 ein Informationsarchitekturversagen war. Die Anlage produzierte Daten, aber die Schnittstelle bevorzugte Komponentenbefehle, lokale Mengen und Alarmvermehrung gegenüber validierten Sicherheitsfunktionen: Ist das Inventar ausreichend, ist der Kern bedeckt, wird die Nachzerfallswärme abgeführt und ist ein Entlastungsweg physisch isoliert? Diese Schlussfolgerung steht im Einklang mit dem späterenProgramm der NRC zur Überprüfung der Wartenauslegung, das Lizenznehmer verpflichtete, Mängel in menschlichen Faktoren zu bewerten, und half, Sicherheitsparameteranzeigesysteme zu institutionalisieren.

Eine Sicherheitsanzeige an sich ist kein Sicherheitsbeweis. DasNRC Generic Letter 89-06forderte eine Bestätigung, dass Sicherheitsparameteranzeigesysteme installiert waren und Notfallbetriebsverfahren sowie Ausbildung mit ihnen integriert waren. Die Struktur ist wichtig: Installation, Verfahrensnutzung, Ausbildung und Zertifizierung wurden als getrennte Kontrollen behandelt. Die Hardware konnte nicht allein deshalb als repariert erklärt werden, weil ein Bildschirm oder Sensor gekauft worden war.

Kausale Einstufung

Auslöser – auf Systemebene bestätigt, auf der Ebene der ersten Komponente unsicher.Der unmittelbare Auslöser war der Verlust des normalen Speisewassers gegen 4:00 Uhr. Der genaue erste Fehler innerhalb der Kondensatreinigungs-, Luft- und Speisewasserregelungssequenz ist in den überlieferten offiziellen Aufzeichnungen weniger sicher und wird nicht benötigt, um den Kernschadenspfad zu erklären. Den gesamten Unfall einer unbewiesenen Harzblockade oder einer einzigen Wartungshandlung zuzuschreiben, würde die Beweise überdehnen.

Grundursache – gestützte institutionelle Feststellung.Die Grundursache war das Versagen, TMI-2 so zu entwerfen, zu betreiben und zu regulieren, dass ein vorhersehbarer Kühlmittelverlustzustand mit kleinem Leck erkannt und kontrolliert worden wäre, bevor die Kernkühlung verloren ging. Diese Formulierung ist analytisch, nicht gerichtlich. Sie stimmt mit der Schlussfolgerung der Präsidentenkommission überein, dass die grundlegenden Probleme menschenbezogen waren, im weiten Sinne der Institutionen, die die Anlage herstellten, betrieben und regulierten, und nicht eine Behauptung, dass der Fehler einer einzigen Person jede Konsequenz verursachte.

Direkte physische Ursache – bestätigt.Das PORV öffnete bei hohem Druck und schloss nicht wieder. Die anhaltende Abgabe verringerte das Reaktorkühlmittelinventar. Unzureichende Ersatzzufuhr und späterer Verlust der Zwangsumwälzung ermöglichten die Kernfreilegung, Überhitzung, Zirkonium-Wasser-Reaktion, Wasserstoffbildung, Brennstoffschmelzen und Materialverlagerung. Das Ventilversagen war für die Abfolge, wie sie sich ereignete, notwendig, aber nicht hinreichend, um zu erklären, warum die Schutzmaßnahmen sie nicht rechtzeitig beendeten.

Beitragende Bedingungen – bestätigt oder stark gestützt.Anfangs geschlossene Notspeisewasser-Absperrventile erhöhten die Arbeitsbelastung; die PORV-Anzeige repräsentierte einen Befehl und nicht die Stellung; es gab keine direkte Gesamtinventaranzeige; der Druckhalterfüllstand wurde überbewertet; Alarme hatten keine Priorität; der Alarmdrucker versagte; Verfahren und Ausbildung begünstigten die Vermeidung eines wasserfesten Druckhalters; die Diagnose kleiner Lecks war schwach; Vorläufererfahrungen wurden nicht in anlagenspezifische Maßnahmen umgesetzt; Managementführung und technische Unterstützung waren nicht auf einen mehrdeutigen schweren Störfall vorbereitet; und die regulatorische Aufmerksamkeit hatte andere Unfallmodelle betont.

Erkennungsversagen – bestätigt.Die Mannschaft identifizierte das offene PORV nicht rechtzeitig, trotz mehrerer indirekter Anzeichen. Die Verantwortung teilt sich zwischen der betrieblichen Interpretation und dem Design der für diese Interpretation bereitgestellten Informationen. Ein Schließbefehl-Leuchte ist keine falsche elektrische Anzeige, aber sie so zu verwenden, als beweise sie den mechanischen Verschluss, erzeugt eine falsche betriebliche Annahme. Diese Unterscheidung ist die Kernlektion der Instrumentierung.

Reaktionsversagen – bestätigt, mit Kontext.Die Operateure reduzierten die Hochdruckeinspeisung drastisch, setzten das Abschlämmen fort, verzögerten die Absperrventilisolation und stoppten die Hauptkühlmittelpumpen, als sich die Bedingungen verschlechterten. Diese Handlungen verschlimmerten oder stoppten den Kühlmittelverlust nicht. Sie sollten im Kontext der Anzeigen, Verfahren und Ausbildung bewertet, nicht durch diesen Kontext entschuldigt werden. Organisatorische Verantwortung löscht das Handeln an den Bedienelementen nicht aus; sie erklärt, warum mehrere lizenzierte Fachleute eine kohärente, aber unsichere Reihe von Entscheidungen treffen konnten.

Notfallreaktionsversagen – institutionell bestätigt.Benachrichtigung, technische Bewertung, zwischenstaatliche Koordination und öffentliche Kommunikation lieferten kein zeitnahes gemeinsames Bild. DieNRC-Geschichte der Notfallvorsorgeidentifiziert TMI ausdrücklich als Aufdeckung von Schwachstellen in Plänen und Koordination. Die Schlussfolgerung hängt nicht davon ab, zu behaupten, dass jede Schutzmaßnahmenempfehlung falsch war.

Wiederherstellungs- und Reparaturbeweise – gemischt.Das Containment und der untere Boden des Reaktordruckbehälters erfüllten wichtige Sicherheitsfunktionen; Operateure und technische Teams stellten schließlich die Kühlung her; die Überwachung begrenzte einen Großteil der Freisetzung außerhalb des Standorts; und die spätere Beseitigung entfernte den größten Teil des Brennstoffs und behandelte das kontaminierte Wasser. Dies sind bestätigte Erfolge. Sie machten den Unfall nicht rückgängig, und der fortlaufende Rückbauvorgang bedeutet, dass die physische Wiederherstellung unvollständig bleibt.

Unbekannte.Die Aufzeichnungen können die genaue individuelle Dosis außerhalb des Standorts für jeden Bewohner, den genauen Zeitpunkt und Temperaturverlauf jeder Kernregion, den kontrafaktischen Ausgang, wenn eine frühere Handlung anders gewesen wäre, oder einen definitiven individuellen Urheber für jede kritische Wartenentscheidung nicht feststellen. Sie können auch nicht beweisen, dass eine Warnung auf der Grundlage von Davis-Besse TMI notwendigerweise verhindert hätte. Diese Lücken begrenzen individuelle und kontrafaktische Behauptungen, nicht die Feststellung auf Systemebene, dass die Kontrollen mangelhaft waren.

Ausbildung, Verfahren und das Versagen, Betriebserfahrungen zu nutzen

Ausbildung ist rechenschaftspflichtig, wenn sie das ändert, was Operateure unter Stress erkennen können, nicht wenn sie lediglich Lizenzen und Anwesenheitsaufzeichnungen produziert. Das Personal von TMI-2 hatte die erforderlichen Programme absolviert, aber die Programme vermittelten kein verlässliches Modell für einen kleinen Leckverlust mit steigendem Druckhalterfüllstand. Simulatoren gaben die relevanten Bedingungen nicht ausreichend wieder, und Prüfungen sondierten das integrierte diagnostische Problem nicht tief genug.

Die Betriebsverfahren boten keinen entscheidenden symptomgestützten Weg von fallendem Druck und steigendem Niveau zu anhaltender Einspeisung und PORV-Isolation.

Die unmittelbaren Bulletins der NRC zeigen, wie schnell die fehlenden Kontrollen nach dem Ereignis sichtbar wurden.IE Bulletin 79-05Averteilte eine vorläufige Chronologie und verlangte eine sofortige Überprüfung und Maßnahmen der Operateure.IE Bulletin 79-06Bbehandelte operative Fehler und Fehlausrichtungen, einschließlich der Gefahr, Entscheidungen auf eine einzige Anzeige zu stützen, und der Notwendigkeit, die Verfügbarkeit von Notspeisewasser zu überprüfen. Dies waren umsichtige Reaktionen, aber ihr Zeitpunkt zeigt auch, dass bestehende Kontrollen das bekannte Reaktorverhalten nicht bereits in eine flottenweite Praxis umgesetzt hatten.

Davis-Besse ist zentral, weil es die Vorhersehbarkeit prüft, ohne Hellsichtigkeit zu verlangen. Das frühere Ereignis reproduzierte nicht jede TMI-Bedingung. Es reproduzierte jedoch die betrieblich gefährliche Kombination aus offenem Entlastungspfad, fallendem Druck, steigendem Druckhalterfüllstand und reduzierter Einspeisung. Babcock & Wilcox hatte eine anlagenübergreifende Übersicht, die die einzelnen TMI-Operateure nicht hatten. Metropolitan Edison hatte die Verantwortung, relevante Lieferanten- und Branchenerfahrungen zu beschaffen und zu bewerten. Die NRC hatte eine Rolle im Bereich allgemeiner Sicherheitsinformationen.

Jede Institution kontrollierte ein anderes Glied in der Kette vom Ereignisbericht bis zum überarbeiteten Verfahren, Simulatorszenario, zur Prüfung und zur verifizierten Leistung der Mannschaft.

Das Programm nach dem Unfall machte diese Verbindungen expliziter. DieSimulatorverbesserungsaufgabe der NRCbetonte Realismus, komplexe Transienten und Diagnose. IhreAufgabe zur Lizenzierung und Requalifikation von Operateurenerweiterte die Erwartungen an Prüfungen und Requalifikation. DieAufgabe zur Analyse von Betriebserfahrungenadressierte die zentralisierte Auswertung und Verbreitung. Zusammen verkörpern sie ein stärkeres Rechenschaftsmodell: Vorläuferbeweise sammeln, ihre Sicherheitsbedeutung entscheiden, sie in Anlagenkontrollen umsetzen, die Leistung testen und den Nachweis aufbewahren, dass die Kontrolle funktioniert.

Der Unterschied zwischen Verfahrenskonformität und diagnostischer Kompetenz bleibt wichtig. Ein Operateur kann ein Verfahren befolgen, das die falsche Priorität verkörpert. Ein Lizenznehmer kann Ausbildung dokumentieren, ohne die Hinweise und den Zeitdruck der Gefahr nachzubilden. Eine Regulierungsbehörde kann ein Aktionspunkt schließen, nachdem sie eine Vorlage erhalten hat, ohne die dauerhafte Leistung zu beobachten. Echte Reparatur benötigt daher Ergebnisbeweise, einschließlich Simulatorergebnissen, Feldbeobachtungen, Alarmreaktionsleistung und wiederkehrenden Tests gegen beeinträchtigte oder widersprüchliche Anzeigen.

Notfallreaktion und öffentliche Rechenschaft

Der Notfall von TMI-2 war nicht nur ein Reaktorsteuerungsproblem. Es war ein Informations-Governance-Problem, das den Lizenznehmer, Pennsylvania, die NRC, andere Bundesbehörden und die Öffentlichkeit umfasste. Frühe Benachrichtigungen gaben nicht allen Beteiligten konsistente Informationen über den Anlagenzustand und Freisetzungen. Technische Unsicherheit war unvermeidlich; widersprüchliche Beschreibungen und unklare Entscheidungsbefugnis waren es nicht. Die Präsidentenkommission beschrieb ernsthafte Verwirrung und empfahl eine klarere Notfallführung, Kommunikation und Planung.

Radiologische Fakten erfordern eine sorgfältige Formulierung. Die aktuelle Synthese der NRC schätzt, dass etwa zwei Millionen Menschen rund um die Anlage eine durchschnittliche zusätzliche Dosis von etwa einem Millirem erhielten, wobei die maximale Dosis an der Standortgrenze unter 100 Millirem über dem Hintergrund lag. Sie berichtet, dass umfangreiche Studien keine nachweisbaren gesundheitlichen Auswirkungen fanden, die auf den Unfall zurückzuführen sind. Der archivierte Bericht der Environmental Protection Agency überihre Überwachungsrollebeschreibt ein erweitertes Netzwerk, das zur Bewertung der Freisetzungen eingesetzt wurde. Diese offiziellen Bewertungen stützen eine niedrige gemessene Bevölkerungsdosis; sie stellen nicht die genaue Dosis für jede Person fest, beseitigen nicht alle epidemiologischen Unsicherheiten und negieren nicht die sozialen und psychologischen Folgen verwirrender Warnungen.

Die Reform nach TMI teilte die Zuständigkeiten klarer auf. Eine föderale Reorganisation gab dem NRC-Vorsitzenden zusätzliche Notfallbefugnisse; die offizielleZusammenstellung der Reorganisationspläneidentifiziert die Mängel der TMI-Ära im Krisenmanagement. FEMA übernahm eine Führungsrolle bei der außerbetrieblichen Planung, während die NRC die Verantwortung für die betriebliche Vorsorge und die Leistung der Lizenznehmer behielt. GemeinsameNUREG-0654/FEMA-REP-1-Kriterienetablierten eine systematischere Grundlage für radiologische Notfallpläne und Vorsorge.

Diese Reformen verdeutlichen ein Rechenschaftsprinzip: Unsicherheit sollte den Entscheidungsmodus ändern, nicht die Verantwortung aussetzen. Wenn Quelltermschätzungen instabil sind, benötigen die Behörden explizite Konfidenzbereiche, benannte Entscheidungsträger, zeitgestempelte Daten und vorab vereinbarte Schwellenwerte für Schutzmaßnahmen. TMI zeigte stattdessen, wie unbestätigte technische Berichte schneller verbreitet werden konnten als ihre Qualifikationen. Das öffentliche Vertrauen wurde nicht einfach durch Strahlung beschädigt, sondern durch sichtbare Uneinigkeit darüber, was die Behörden wussten und wer die Verantwortung trug.

Zuweisung von Rechenschaft ohne Rollen zu vermischen

Wartenoperateure.Die Operateure übten die unmittelbare Kontrolle über die Hochdruckeinspeisung, das Abschlämmen, die Hauptkühlmittelpumpen und die PORV-Absperrventilisolation aus. Ihre Handlungen sind daher Teil der direkten operativen Ursache. Die Beweislage stützt jedoch nicht die Darstellung der Mannschaft als unabhängige Fehlerquelle, losgelöst von Design und Ausbildung. Sie interpretierten eine Befehlsleuchte als Schließung, verließen sich auf den Druckhalterfüllstand, folgten der erlernten Sorge vor einem wasserfesten System und arbeiteten sich durch einen nicht priorisierten Alarmsturm. Die Rechenschaft der Operateure liegt bei den Entscheidungen innerhalb dieser Umgebung; die institutionelle Rechenschaft liegt in der Schaffung und Akzeptanz der Umgebung.

Metropolitan Edison und GPU.Der Lizenznehmer trug die nicht delegierbare Betriebsverantwortung. Er kontrollierte Personalbesetzung, Verfahren, Wartung, Ausbildungsumsetzung, Alarmdruckerreparatur, Anlagenmodifikationen, technische Unterstützung und Notfallbenachrichtigung. Die Erfüllung der Mindestanforderungen der NRC-Lizenzierung war keine vollständige Verteidigung gegen eine Gefahr, die durch Anlagen- und Lieferantenerfahrung sichtbar war. Der Lizenznehmer hatte auch die stärkste lokale Fähigkeit zu prüfen, was die PORV-Leuchte tatsächlich bewies, ob die Operateure ein kleines Leck diagnostizieren konnten und ob die korrektive Wartung die Funktion wiederherstellte.

Babcock & Wilcox und andere Lieferanten.Der Reaktorlieferant kontrollierte das Designwissen und die flottenübergreifende Erfahrung. Seine Anlagen hatten PORV-Probleme gezeigt, und Davis-Besse lieferte ein besonders relevantes Vorläufersignal. Die Rechenschaft des Lieferanten beruht auf Gefahrenanalyse, genauer Schnittstellengestaltung, eindeutiger technischer Kommunikation und der Weitergabe von Mustern an Kunden. Es ist keine Feststellung, dass der Lieferant die TMI-Schicht kontrollierte oder dass jeder Komponentendefekt eine rechtliche Haftung auferlegte. Die Beweise stützen ein Versagen, das Systemwissen betrieblich wirksam zu machen.

Die NRC.Die Regulierungsbehörde genehmigte das Design und die Operateure, inspizierte die Anlage, legte Ausbildungs- und Notfallstandards fest und kontrollierte die branchenweite Sicherheitskommunikation. Offizielle Untersuchungen stellten fest, dass ihr Ansatz menschliche Faktoren, Managementqualität, das Verhalten bei kleinen Lecks oder die Synthese von Betriebserfahrungen nicht ausreichend betont hatte. DerNUREG-0585 Lessons-Learned-Task-Force-Berichtder NRC forderte grundlegende Änderungen in Design, Betrieb und im Regulierungsprozess. Die regulatorische Verantwortung ist nicht das operative Kommando, und die NRC öffnete oder isolierte das PORV nicht. Es ist die Verantwortung für das Sicherungssystem, das das Design- und Qualifikationsregime akzeptierte.

Staatliche Notfallorganisationen.Die Behörden von Pennsylvania trafen Schutzmaßnahmenentscheidungen; die NRC bewertete die Reaktorsicherheit und Freisetzungen; andere Bundesbehörden überwachten die Strahlung und unterstützten die Reaktion. Fragmentierte Zuständigkeiten und Kommunikation beeinträchtigten die öffentliche Rechenschaft. Die spätere Zuweisung der außerbetrieblichen Planungsführerschaft an FEMA spiegelt die Reparatur einer institutionellen Schnittstelle wider, nicht den Beweis, dass jede bundesstaatliche oder föderale Entscheidung von 1979 fahrlässig war.

Das U.S. Government Accountability Office kam in seinerÜberprüfung der großen Untersuchungen von 1980zu einer vergleichbar systemischen Schlussfolgerung: Die Untersucher identifizierten im Allgemeinen Geräteversagen, unzureichende Ausbildung, schlechte Wartenauslegung und Verfahren sowie bekannte regulatorische Mängel. Eine staatliche Prüfung fasst Beweise zusammen und bewertet sie; sie entscheidet nicht über deliktrechtliche oder strafrechtliche Verantwortung. Ihr Wert liegt in der Konvergenz über verschiedene Untersuchungen hinweg.

Rechtliche und verfahrensrechtliche Lage

Der Unfall löste Durchsetzungs-, Lizenzierungs- und Zivilrechtsstreitigkeiten aus, aber kein einziges Verfahren lieferte eine umfassende rechtliche Zuweisung aller Unfallverantwortlichkeiten. Die obigen analytischen Feststellungen müssen daher von den rechtlichen Ergebnissen getrennt bleiben.

Metropolitan Edison bekannte sich später strafrechtlich schuldig, Berichte über Leckratentests vor dem Unfall gefälscht zu haben, wie in einem archiviertenBulletin der United States Attorneys des Justizministeriumszusammengefasst. Dieses Schuldeingeständnis des Unternehmens ist eine rechtliche Entscheidung bezüglich eines bestimmten Meldeverhaltens. Es sollte nicht zu der Annahme erweitert werden, dass gefälschte Tests die PORV-Sequenz verursachten, dass jeder umstrittene Zustand vor dem Unfall verschleiert wurde oder dass eine bestimmte Person strafrechtlich haftbar wurde.

InMetropolitan Edison Co. v. PANEentschied der Oberste Gerichtshof über den Umfang der Umweltverträglichkeitsprüfung im Zusammenhang mit dem vorgeschlagenen Wiederanfahren des unbeschädigten Blocks 1, einschließlich der Frage, ob psychische Gesundheitsauswirkungen hinreichend mit einer Veränderung der physischen Umgebung verbunden waren, für die Analyse nach dem National Environmental Policy Act im vorliegenden Fall. Das Urteil war kein Schadensersatzurteil über die Unfallursache von TMI-2, Strahlenschäden oder Unternehmensvorsatz.

Spätere Personenschadensklagen drehten sich ebenfalls um definierte Beweise. InIn re TMI, 193 F.3d 613 (3d Cir. 1999)bestätigte das Berufungsgericht das summarische Urteil zugunsten der Beklagten, weil die zulässigen Beweise der Kläger die in diesen Fällen erforderlichen Dosis- und Kausalitätsnachweise nicht stützten; es behandelte einen Beweisfehler als unschädlich. Dieses verfahrensrechtliche Ergebnis ist logisch nicht gleichbedeutend mit der Feststellung, dass kein radioaktives Material freigesetzt wurde, kein Bewohner Stress erfuhr oder keine institutionelle Kontrolle versagte. Es stellt fest, was diese Kläger unter den gegebenen rechtlichen Standards in dieser Aktenlage nicht bewiesen.

Diese Trennung schützt die Rechenschaftsanalyse vor zwei entgegengesetzten Fehlern. Untersuchungskritik kann nicht als strafrechtliche Verurteilung dargestellt werden. Ein abweisendes Kausalitätsurteil kann nicht als positive Bestätigung dargestellt werden, dass Betrieb und Notfallkommunikation angemessen waren. Der rechtliche Umfang, die Beweislast und der Rechtsbehelf sind von Bedeutung.

Was Beseitigung und spätere Untersuchung bewiesen

Frühe Unfallschätzungen konnten nicht den gesamten Kern sehen. Instrumente waren beschädigt, außerhalb des Messbereichs oder indirekt, und der Reaktordruckbehälter konnte nicht sofort geöffnet werden. Die Beseitigung wurde zu einem langen Beweissicherungsprozess. Die Abnahme des Druckbehälterkopfes begann 1984, die Brennstoffentfernung begann 1985 und die Hauptentladung dauerte bis 1990. DerTMI-2-Beseitigungs- und Untersuchungsaufgabenberichtder NRC berichtet, dass mindestens 19 Tonnen verlagertes Kernmaterial das untere Plenum erreichten. Spätere Forschungen des Energieministeriums, zusammengefasst überOSTI, kamen zu dem Schluss, dass mindestens 45 Prozent des Kerns schmolzen und nahezu 19 Tonnen sich in den unteren Boden des Reaktordruckbehälters verlagerten.

Diese physischen Beweise verändern die Sicherheit der Kernschadensfeststellung. Sie bestätigen umfangreiches Schmelzen und Verlagerung, während sie auch zeigen, dass der untere Boden des Reaktordruckbehälters nicht versagte. Das Containment begrenzte ebenfalls die außerbetrieblichen Folgen, obwohl Material über Nebenbauwerkspfade entwich und während der Beseitigung kontrollierte Freisetzungen erfolgten. Die gestaffelte Sicherheit funktionierte teilweise, nachdem Prävention und Diagnose versagt hatten. Das ist kein Widerspruch; gestaffelte Sicherheitsvorkehrungen sind genau deshalb konzipiert, weil frühere Kontrollen versagen können.

Die Beseitigung testete auch den Arbeitnehmerschutz, die Abfallbehandlung, die Wasseraufbereitung, die Kritikalitätskontrolle und die Instrumentierung in einer beschädigten Umgebung. DerWissensmanagement-Kompendium Supplement 2der NRC bewahrt Lehren aus Stabilisierung und Entkernung, anstatt das Ereignis als abgeschlossen zu behandeln, wenn der öffentliche Notfall endete. Der NRC-Hintergrundbericht gibt an, dass bis August 1993 etwa 2,23 Millionen Gallonen unfallbedingtes Wasser aufbereitet und etwa 99 Prozent des Brennstoffs entfernt waren. Die Anlage ging in die überwachte Lagerung nach der Brennstoffentladung unter einer Nur-Besitz-Lizenz über.

Der aktuelleNRC-Status des Standorts TMI-2liefert eine genauere Begrenzung. Er schätzt das verbleibende brennstoffhaltige Material auf weniger als 1.125 Kilogramm, etwa ein Prozent des ursprünglichen Kerninventars, in Kühlmittelsystem- und ex-vessel-Bereichen. Er weist den DECON-Status aus, gibt an, dass die NRC einen im Oktober 2025 eingereichten geänderten Rückbaubericht prüft, und listet 2052 als geschätztes Abschlussdatum. Dies sind aktuelle regulatorische Fakten, kein Beweis dafür, dass die beschädigte Anlage für den Betrieb repariert wurde.

Die Unterscheidung zwischen TMI-2 und Block 1 ist wesentlich. Block 1 war physisch getrennt und durch den Kernunfall von 1979 nicht beschädigt. Er wurde später wieder angefahren, betrieben und 2019 abgeschaltet; die aktuellen Bundesaktivitäten bezüglich eines möglichen Wiederanfahrens betreffen Block 1, der jetzt als Crane Clean Energy Center bezeichnet wird, nicht TMI-2. Dieaktuelle NRC-Seite zu Block 1dokumentiert diesen separaten Genehmigungsstatus. Jeder Bericht, der sagt, „Three Mile Island wurde repariert und wieder in Betrieb genommen“, ohne die Einheit zu identifizieren, verschleiert die physische und rechtliche Aktenlage.

Die Beweise zu den Beseitigungskosten benötigen ebenfalls Datumsangaben. EineÜberprüfung der Beseitigungsfinanzierungvon 1981 durch das GAO diskutierte eine Schätzung von etwa 1,034 Milliarden Dollar und eine erhebliche Finanzierungsunsicherheit. Dies war eine zeitgenössische Schätzung, keine endgültige inflationsbereinigte Kostenfeststellung. Ihr Rechenschaftswert liegt darin, zu zeigen, wie ein Betriebsversagen langfristige finanzielle, abfallwirtschaftliche und öffentlich-rechtliche Belastungen über das Ereignis selbst hinaus übertrug.

Reform ist Beweis der Erkenntnis, nicht automatischer Beweis der Reparatur

Die Reformen der NRC und der Industrie nach TMI waren umfangreich. Die NRC gab sofortige Bulletins heraus, verstärkte die ansässige Inspektion, überarbeitete die Operateurausbildung und -lizenzierung, stärkte die Notfallvorsorge, verlangte Wartenentwurfsüberprüfungen und Sicherheitsparameteranzeigen, entwickelte symptomorientierte Notfallbetriebsanleitungen und schuf stärkere Betriebserfahrungsfunktionen. Die Industrie gründete das Institute of Nuclear Power Operations, um Peer-Evaluierung und Leistungsaustausch hinzuzufügen. Die NRC konsolidierte genehmigte Anforderungen und Umsetzungspläne inNUREG-0737, während ihrTMI-Aktionsplan-Archivdie Breite und den eventuellen Status einzelner Aufgaben zeigt.

Die Ventilsicherung wurde expliziter. Nach-TMI-Aufgaben adressierten die elektrische Energieversorgung, Stellungsanzeige und Zuverlässigkeit für Druckhalter-Entlastungs- und -absperrventile. DasNRC Generic Letter 90-06dokumentierte die Lösung allgemeiner Fragen zur PORV- und Absperrventilzuverlässigkeit, einschließlich der Rolle der Stellungsanzeige im Kontrollraum und der qualifizierten Stromversorgung. Die regulatorischen Aufzeichnungen erklären auch, warum nicht jede gewünschte Aufrüstung zu einer universellen sicherheitsrelevanten Nachrüstung wurde. Kosten-Nutzen- und anlagenspezifische Entscheidungen blieben Teil des Prozesses. Diese Einschränkung sollte sichtbar sein, wenn die Vollständigkeit der Reform beurteilt wird.

Der Abschluss von Aktionspunkten ist administrativer Nachweis: Eine Anforderung wurde erlassen, eine Vorlage akzeptiert oder eine Aufgabe auf andere Weise abgeschlossen. Es beweist nicht, dass die Kontrollen über Jahrzehnte wirksam bleiben. DerFortschrittsbericht zum Aktionsplan von 1985des GAO forderte eine umfassende Rechenschaft über die vielen Nach-TMI-Punkte; die NRC legte später eine vor und das GAO schloss seine Empfehlung. Dies sind nützliche Nachverfolgbarkeitsbeweise, aber keine anlagenindividuelle Leistungsgarantie.

Spätere Durchsetzung liefert einen harten Test dieser Unterscheidung. Im Jahr 1998 erließ die NRC einenVerstoßbescheid EA-97-533für den separaten TMI-Block 1. Nach einem PORV-Austausch im Jahr 1995 machten Verdrahtungsfehler das Ventil funktionsunfähig, und unzureichende Nachwartungstests übersahen diesen Zustand für einen 23-monatigen Betriebszyklus. Die NRC stufte den Verstoß auf Schweregrad III ein. Die Behörde würdigte die Identifikation und Korrekturmaßnahmen und verhängte nicht die erwogene Geldstrafe.

Dieser spätere Verstoß reproduzierte nicht das Versagen von 1979: Das Ventil von Block 1 konnte nicht öffnen, während das Ventil von Block 2 offen feststeckte, und es kam 1995-1997 zu keinem Unfall. Sein Rechenschaftssignal ist schmaler und dauerhafter. Selbst an einem Standort, der durch einen PORV-Unfall definiert ist, konnten Techniker, unabhängige Überprüfung und Arbeitskontrollen alle eine falsche Verbindung akzeptieren, während Tests den tatsächlichen Ventilansprech nicht nachwiesen. Die Lehre ist nicht, dass die Reform vergeblich war.

Sie ist, dass Befehlspfade, Anzeigen und Papierabschluss unzureichende Ersatz für funktionale Verifikation bleiben.

Das stärkste Reparaturmodell ist daher zyklisch. Ein Lizenznehmer muss die Sicherheitsfunktion identifizieren, den physischen Zustand instrumentieren, gegen glaubwürdige beeinträchtigte Anzeigen schulen, die Komponente nach der Wartung testen, die Leistung unter realistischen Szenarien beobachten, Vorläuferereignisse erfassen, unabhängig die Abschlussbeweise hinterfragen und das Ergebnis für Management und Regulierungsbehörde sichtbar halten. Die NRC muss genug von diesem Zyklus inspizieren, um Papierarbeit zu erkennen, die sich von der Funktion entfernt hat.

Kontrafaktische Kontrollen und messbare Rechenschaft

Mehrere Kontrollen hätten die Sequenz unterbrechen können, ohne perfekte Vorhersage zu erfordern. Eine direkte und qualifizierte Anzeige der tatsächlichen PORV-Stellung hätte der Befehlsleuchte widersprechen können. Eine prominente Anzeige, die Druck, Temperatur, Unterkühlungsreserve und Inventar integriert, hätte das Vertrauen auf den Druckhalterfüllstand herausfordern können. Ein hochpriorisierter Alarm für anhaltende PORV-Entladung, unterstützt durch validierte Ablaufstrom- oder Temperaturlogik, hätte die Aufmerksamkeit fokussieren können.

Verfahren hätten eine frühe Absperrventilisolation fordern können, wenn Entlastungshinweise nach einem Schließbefehl bestehen blieben. Simulatorszenarien hätten das Davis-Besse-Muster proben können, bis die Mannschaften eine anhaltende Einspeisung und symptomgestützte Diagnose demonstrierten.

Diese Kontrafaktuale sindgestützte Kontrollen, keine Behauptungen, dass eine davon mit Sicherheit alle Schäden verhindert hätte. Sensoren können ausfallen, Isolation kann Überdruckprobleme verursachen und Unfallbedingungen können Modelle übertreffen. Ihr Wert ist kumulativ. Unabhängige Beweiskanäle machen es schwerer, dass ein einzelner irreführender Stellvertreter dominiert. Verfahren und Ausbildung machen die Beweise handlungsfähig. Funktionale Tests beweisen, dass die Reparatur die Anlage erreicht. Betriebserfahrungsprogramme machen vorherige Fehler vor der Wiederholung verfügbar.

Die Rechenschaft kann an dieser Kette gemessen werden:

1. Identifizierte die Organisation die relevante physische Sicherheitsfunktion und nicht nur den befohlenen Zustand?
2. Beschaffte sie Vorläuferbeweise aus ihrer eigenen Anlage, der Lieferantenflotte und von der Regulierungsbehörde?
3. Bewertete sie die Beweise auf Bedingungen jenseits des Normalbetriebs?
4. Änderte sie Instrumente, Verfahren, Ausbildung und Notfallschnittstellen?
5. Testete sie die Änderung unter realistischen und widersprüchlichen Anzeigen?
6. Verifizierte die unabhängige Aufsicht die physische Leistung und nicht nur den Dokumentationsabschluss?
7. Überwachte die Organisation auf Wiederholungen und öffnete das Problem erneut, wenn spätere Beweise dem Abschluss widersprachen?

TMI-2 scheiterte an einem großen Teil dieser Kette vor dem 28. März 1979. Die Reformen nach dem Unfall bauten viele ihrer Elemente auf. Der Durchsetzungsdatensatz zu Block 1 zeigt, warum die letzten beiden Fragen nicht verjähren können.

Schlussfolgerung zur Rechenschaft

Three Mile Island machte die Instrumentierung zu einem Rechenschaftstest, weil die entscheidende Frage nicht war, ob Daten existierten. Sie war, ob die Institutionen den physischen Zustand des Reaktors erkennbar und handlungsfähig machten, bevor die Operateure die Kontrolle über die Kühlung verloren. Die PORV-Leuchte zeigte einen Befehl, der Druckhalter einen lokalen Füllstand, die Alarmfenster hunderte von Komponentenabweichungen und der Drucker versuchte, die Sequenz zu zeigen. Keine beantwortete zuverlässig die entscheidende Sicherheitsfrage: Ging Reaktorinventar durch einen offenen Entlastungsweg verloren?

Die Beweise stützen eine systemische Zuweisung. Das festsitzende PORV und der Speisewasserverlust lösten das Ereignis aus. Die Reduzierung der Einspeisung durch die Operateure und die verzögerte Isolation erlaubten eine Verschlimmerung. Metropolitan Edison war für den sicheren Betrieb, die Verfahren, die Ausbildung, die Wartung und die Notfallführung rechenschaftspflichtig. Babcock & Wilcox war für Designwissen und die wirksame Nutzung flottenübergreifender Vorläuferbeweise rechenschaftspflichtig. Die NRC war für Normen, Lizenzierung, Inspektion und branchenweites Lernen rechenschaftspflichtig.

Das Containment, der untere Boden des Druckbehälters, die spätere Kühlung und eine umfangreiche Beseitigung begrenzten die Folgen, aber sie waren Wiederherstellungsebenen, nachdem Prävention und Diagnose versagt hatten.

Diese Schlussfolgerung begründet keine strafrechtliche Absicht, individuelle zivilrechtliche Haftung oder eine universelle Gesundheitskausalitätsfeststellung. Sie bewahrt den begrenzten Umfang des Unternehmens-Schuldeingeständnisses zur Berichterstattung und späterer Gerichtsentscheidungen. Sie unterscheidet auch niedrige offizielle Bevölkerungsschätzungen von dem dokumentierten Versagen der Notfallkommunikation und von der Dosisunsicherheit auf der individuellen Ebene.

Neue substanzielle Beweise könnten die Zuweisung ändern, falls authentifizierte Aufzeichnungen zeigten, dass eine verantwortliche Institution eine klare, auf Davis-Besse basierende Warnung übermittelte, die das TMI-Management erhielt, testete und korrekt umsetzte; falls zuvor nicht verfügbare Protokolle die umstrittene Entscheidungsverfasserschaft oder den ursprünglichen Speisewasserauslöser klärten; falls neue Dosimetrie oder Epidemiologie die Befunde zu Freisetzungen und Gesundheit wesentlich veränderten; oder falls der Rückbau Kern- oder Containmentschäden offenbarte, die mit den aktuellen Untersuchungen nicht übereinstimmen.

Ohne solche Beweise bleibt die stärkste Schlussfolgerung prägnant: TMI-2 wurde schwerwiegend, als ein beherrschbares Geräteversagen durch unverifizierte Anzeige, unzureichende Diagnose und verzögerte Reaktion ging, und die Rechenschaft folgt jeder Institution, die diese Schutzmaßnahmen kontrollierte.