Three Mile Island convirtió la instrumentación de la sala de control en una prueba de responsabilidad para las operaciones nucleares

Resumen

• Aproximadamente a las 4:00 a. m. del 28 de marzo de 1979, la Unidad 2 de Three Mile Island (TMI-2) perdió el agua de alimentación normal, la turbina se disparó, la presión del reactor aumentó, la válvula de alivio accionada por motor (PORV) se abrió y el reactor se apagó automáticamente. La PORV no se volvió a cerrar. Esa válvula atascada creó una pérdida de refrigerante del reactor por pequeña rotura que no se detuvo hasta que los operadores cerraron su válvula de bloqueo aguas abajo aproximadamente dos horas y veintidós minutos después.
• La luz de la sala de control asociada con la PORV mostraba que se había enviado una orden de cierre eléctrico, no que la válvula estuviera físicamente cerrada. Por lo tanto, los operadores tenían una señal tranquilizadora de estado de comando mientras que la tubería de drenaje más caliente de lo normal, el aumento de la radiación en la contención, un sumidero de contención que se llenaba y la presión decreciente del refrigerante del reactor indicaban una descarga continua. Los instrumentos no integraban esas condiciones en una declaración directa del inventario de refrigerante o de la posición de la válvula.
• Los operadores redujeron la inyección de alta presión y continuaron la purga porque el nivel del presurizador estaba aumentando y el entrenamiento enfatizaba evitar un presurizador completamente lleno de agua. En la condición real de dos fases, el nivel del presurizador no era una medida confiable del inventario del recipiente del reactor. La acción redujo el aporte mientras la PORV abierta seguía eliminando refrigerante.
• Las acciones operativas individuales fueron importantes, pero ocurrieron dentro de un sistema diseñado, suministrado, licenciado y gestionado por instituciones. La Comisión del Presidente encontró deficiencias en el diseño de la sala de control, los procedimientos, el entrenamiento, la gestión, el intercambio de experiencia operativa y la regulación de la NRC. Los registros de la NRC y de auditorías del Congreso tradujeron posteriormente muchos de esos hallazgos en requisitos para pantallas de parámetros de seguridad, revisiones de la sala de control, entrenamiento en simulador, procedimientos de operación de emergencia, programas de experiencia operativa y preparación para emergencias.
• Un evento similar en 1977 en la planta de Davis-Besse de Babcock & Wilcox incluyó una PORV atascada abierta, aumento del nivel del presurizador, caída de presión del sistema e inyección reducida. Ese evento no causó daños al núcleo, pero hizo que el patrón de TMI fuera lo suficientemente previsible como para exigir un análisis disciplinado y comunicación con la flota. El fracaso no fue que cada participante pudiera predecir el accidente exacto; fue que un precursor de alto valor no se convirtió en un control sólido de diagnóstico y entrenamiento.
• La respuesta de emergencia añadió un segundo problema de responsabilidad. Los participantes de la planta, el estado y el gobierno federal carecían de una imagen operativa común y oportuna, las comunicaciones públicas fueron inconsistentes y las decisiones de protección se tomaron en medio de estimaciones inciertas de término fuente y dosis. Estas deficiencias son distintas de la evaluación oficial posterior de que las liberaciones fuera del sitio produjeron dosis promedio bajas y ningún efecto detectable en la salud de la población.
• La limpieza y el examen repararon parte del registro probatorio, no el reactor. El desmantelamiento y la investigación posteriores establecieron una extensa fusión y reubicación del material del núcleo, mientras que la cabeza inferior del recipiente y la contención conservaron funciones de seguridad importantes. Aproximadamente el 99 por ciento del inventario original de combustible fue finalmente retirado, pero queda material combustible residual y TMI-2 sigue en estado de desmantelamiento, con la NRC listando una fecha estimada de cierre del sitio de 2052.
• La conclusión sobre la responsabilidad es institucional y basada en controles, no una afirmación de intención criminal o responsabilidad individual automática. Metropolitan Edison Company retuvo la responsabilidad operativa; Babcock & Wilcox controló importantes conocimientos de diseño y precursores; y la NRC controló los estándares de licencia, la inspección y el aprendizaje de toda la industria. Los hallazgos de investigación, una posterior declaración de culpabilidad corporativa por informes de pruebas de fugas previos al accidente, litigios sobre el reinicio y litigios por daños por radiación tienen cada uno un alcance procesal diferente y no deben colapsarse en un solo veredicto legal sobre el accidente.

Límite de evidencia: lo que se puede decir con confianza

La cronología común más sólida proviene delinforme de la Comisión del Presidente, la investigaciónNUREG-0600 de la Oficina de Inspección y Ejecución de la NRC, la investigación especial de la NRC comúnmente llamada el informe Rogovin, disponible a través delregistro OSTIdel Departamento de Energía, y el posteriorcompendio de gestión del conocimiento de Three Mile Islandde la NRC. Difieren en mandato y a veces en detalle de reconstrucción. Ninguno es un juicio penal. Sin embargo, juntos respaldan la secuencia central: pérdida de agua de alimentación, disparo del reactor, una PORV que se abrió y se atascó, reconocimiento inadecuado de la vía de alivio abierta, inyección de emergencia reducida, pérdida prolongada de refrigerante, descubrimiento del núcleo y daño severo al combustible.

Este artículo utiliza cinco etiquetas de evidencia.Hecho confirmadosignifica que el punto está respaldado por registros oficiales convergentes o por examen físico posterior.Inferencia respaldadasignifica que la conclusión se deriva de condiciones confirmadas y desempeño del control, pero no es en sí misma un hallazgo judicial.Afirmación controvertidasignifica que los relatos oficiales, los testigos o los litigantes posteriores difirieron de manera material para la atribución.Desconocidosignifica que el registro sobreviviente no respalda una conclusión confiable.Hallazgo legalsignifica que un tribunal u organismo de ejecución efectivamente decidió un asunto definido según su propio estándar; no migra más allá de ese asunto.

Esa disciplina importa porque TMI-2 produjo varios registros diferentes. Las lecturas de instrumentos y los registros de operadores describieron un accidente mientras ocurría. Las investigaciones reconstruyeron la conducta meses después. El desmantelamiento y el trabajo metalúrgico revelaron daños años después. La acción regulatoria estableció requisitos prospectivos. Los tribunales decidieron cuestiones sobre el alcance de la revisión ambiental, la licencia o la prueba en reclamos particulares. Eldocumento de antecedentes del accidenteactual de la NRC es una síntesis oficial útil, pero los resúmenes posteriores no deben borrar la incertidumbre que existía en la sala de control ni el desacuerdo que permaneció en los litigios.

Antes del disparo: quién controlaba qué

TMI-2 era un reactor de agua a presión suministrado por Babcock & Wilcox y operado por Metropolitan Edison Company, parte del sistema General Public Utilities. La asignación del control operativo no era ambigua: el titular de la licencia era responsable de operar la planta de manera segura, mantener el equipo, calificar al personal, establecer procedimientos y cumplir con su licencia. El proveedor controlaba el conocimiento de diseño del sistema del reactor, la orientación técnica e información importante sobre el comportamiento observado en otras plantas de Babcock & Wilcox.

La NRC controlaba las reglas de licencia, los estándares de licencia de operadores, la inspección, la ejecución y la difusión de información genérica de seguridad.

Esos roles se superponían en la sala de control. Un fabricante de válvulas podía suministrar un componente, pero el proveedor del reactor y el arquitecto-ingeniero determinaban cómo se representaba su estado. Un titular de licencia podía entrenar según una línea base aprobada por la NRC, pero la aceptación regulatoria no transfería el deber del titular de hacer que el entrenamiento se ajustara a la planta. La NRC podía revisar un diseño sin convertirse en el operador, sin embargo, sus reglas e inspecciones configuraban qué defectos de factores humanos recibían corrección obligatoria.

Por lo tanto, la responsabilidad sigue al control sobre una salvaguardia, no a la mera proximidad a la consola.

La planta había entrado en operación comercial solo en diciembre de 1978. Sus operadores estaban licenciados y, según la Comisión del Presidente, se desempeñaron por encima del promedio nacional en el proceso de licencia. Ese hecho es importante porque rechaza una historia simplista de una tripulación no calificada. El mismo informe concluyó que el régimen de entrenamiento, los exámenes de la NRC y los procedimientos de la planta no prepararon al personal adecuadamente para las condiciones que encontraron. La calificación formal y la preparación operativa no eran controles equivalentes.

El registro de precursores también fue significativo. En septiembre de 1977, Davis-Besse, otra planta de Babcock & Wilcox, experimentó un transitorio de agua de alimentación en el que su PORV se atascó abierta. La presión del sistema disminuyó, el nivel del presurizador aumentó y los operadores interrumpieron la inyección de alta presión antes de cerrar la válvula de bloqueo. El evento terminó sin daños al núcleo, pero expuso la misma relación engañosa que más tarde importó en TMI-2: un nivel creciente del presurizador podía coexistir con la pérdida de inventario del sistema del reactor.

La Comisión del Presidente informó que Babcock & Wilcox reconoció la gravedad potencial internamente pero que la advertencia no llegó a los operadores de TMI en una forma que cambiara su comportamiento. Esto está confirmado como un fallo en la transferencia de información; exactamente qué comunicación habría garantizado una respuesta diferente sigue siendo desconocido.

Cronología antes del juicio

4:00 a 4:08 a. m.: disparo, alivio y la primera falsa tranquilidad

Aproximadamente a las 4:00 a. m., con TMI-2 operando cerca de la potencia total, las bombas principales de agua de alimentación se detuvieron. Los investigadores rastrearon la secuencia de apertura a través de los sistemas de condensado y agua de alimentación del lado secundario, pero el primer detalle iniciador mecánico o eléctrico preciso no se estableció con la confianza posible para la secuencia posterior del refrigerante del reactor. Eldesencadenantedefendible es la pérdida de agua de alimentación normal, no una teoría más específica de un solo componente sin respaldo.

La turbina se disparó en segundos. Con la demanda de vapor abruptamente reducida, el calor y la presión en el sistema primario aumentaron. La PORV se abrió automáticamente en su punto de ajuste de presión. Luego, el reactor se scramó, terminando la reacción en cadena de fisión, mientras que el calor de desintegración permaneció y aún requería enfriamiento. Las bombas de agua de alimentación de emergencia arrancaron, pero ambas vías de flujo a los generadores de vapor estaban inicialmente aisladas por válvulas cerradas. Un indicador de estado de válvula estaba oscurecido por una etiqueta de mantenimiento; los operadores no vieron el otro.

Las válvulas se abrieron aproximadamente ocho minutos después del inicio del evento. La Comisión concluyó que este intervalo no determinó materialmente el daño final al núcleo, aunque añadió carga de trabajo y confusión en el peor momento posible.

La PORV debería haberse cerrado cuando la presión cayera. Mecánicamente, no lo hizo. Eléctricamente, el sistema de control eliminó la señal de apertura y la luz del panel se apagó. Por lo tanto, la luz representaba el estado de comando en lugar de la posición real de la válvula. En operación normal, esa distinción podría permanecer oculta. En este accidente, separó el modelo de la sala de control de la planta: los operadores creían que la vía de alivio primaria se había cerrado mientras el refrigerante del reactor continuaba escapando a través de ella.

Esto no fue una ausencia de toda evidencia. La temperatura de la tubería de drenaje aguas abajo era alta. La presión continuó cayendo. El nivel del sumidero de contención aumentó. Más tarde, la radiación y las condiciones del edificio también señalaron que el refrigerante primario estaba saliendo de su límite previsto. Sin embargo, ninguna pantalla prominente única decía que la PORV estuviera abierta, y la sala de control no proporcionaba una medida directa y confiable del inventario total de refrigerante del reactor. El problema de detección inmediata era, por lo tanto, tanto específico del componente como sistémico.

4:02 a 4:15 a. m.: la reposición automática se estrangula

Aproximadamente dos minutos después del disparo, la inyección de alta presión comenzó automáticamente a agregar agua a medida que la presión primaria disminuía. Esa era la respuesta de seguridad necesaria para compensar la pérdida a través de la PORV abierta. Los operadores pronto redujeron la inyección drásticamente. Su acción siguió el modelo de planta que se les había enseñado: el nivel del presurizador estaba subiendo, y un presurizador completamente lleno de agua podría eliminar un colchón de control de presión y complicar el control de la planta.

También continuaron o aumentaron la purga, extrayendo deliberadamente agua del sistema primario.

Bajo la condición termohidráulica real, la ebullición y la formación de vacíos estaban redistribuyendo agua y vapor. Un nivel creciente del presurizador no demostraba que el recipiente del reactor estuviera lleno. La presión y el nivel se movían en un patrón que los operadores no habían sido entrenados adecuadamente para tratar como un accidente de pérdida de refrigerante de pequeña rotura. La acción fue operativamente consecuente: la reposición cayó a una fracción del flujo automático mientras la vía de alivio abierta permanecía disponible.

Aproximadamente a los 5,5 minutos, las condiciones del refrigerante del reactor alcanzaron la saturación, haciendo que una interpretación simple monofásica fuera aún menos confiable. Alrededor de las 4:11 a. m., apareció una alarma de alto nivel en el sumidero de contención. Aproximadamente a las 4:15, el disco de ruptura del tanque de drenaje de refrigerante del reactor se abrió, liberando refrigerante al sumidero de contención. Estas eran señales corroborantes de pérdida de inventario. No superaron la creencia cognitivamente más dominante de que la PORV se había cerrado y el presurizador se estaba llenando demasiado.

La importancia no es que los operadores ignoraran un instrumento perfectamente claro. Estaban rodeados de señales parcialmente válidas que requerían síntesis a través de paneles, estados de alarma y conocimiento del sistema. Laevaluación de factores humanos patrocinada por la NRC de la sala de control de TMI-2identificó más tarde alrededor de 750 ventanas anunciadoras, la mayoría utilizadas para alarmas, sin codificación de prioridad efectiva. Los investigadores informaron que más de 100 alarmas se activaron en los primeros minutos. La impresora de alarmas se quedó muy atrás y finalmente se atascó. La información existía, pero el sistema no la convirtió de manera confiable en un diagnóstico.

4:15 a 6:22 a. m.: la fuga se acumula mientras persiste el modelo mental

Alrededor de las 4:20 a. m., los instrumentos mostraban actividad neutrónica asociada con condiciones cambiantes del núcleo. Las bombas del sumidero transfirieron agua contaminada de la contención al edificio auxiliar hasta que se detuvieron alrededor de las 4:39 a. m.; la Comisión estimó que podrían haberse transferido hasta aproximadamente 8 000 galones. Esta vía contribuyó a liberaciones fuera de la contención e ilustra un segundo problema de límites: un accidente severo estaba moviendo material a través de sistemas configurados para la gestión rutinaria de líquidos antes de que el personal hubiera reconocido el estado.

Llegó personal técnico y de supervisión, pero las personas adicionales no produjeron inmediatamente un diagnóstico correcto. La estructura de gestión de operaciones de la planta no estaba preparada para imponer una jerarquía de evidencia común en la sala abarrotada. Alrededor de las 4:45 a. m., un superintendente técnico llegó a la sala de control. La evidencia continua de la vía de alivio seguía interpretándose como una fuga en lugar de una válvula completamente abierta, y el indicador aún implicaba cierre.

Después de las 5:00 a. m., las bombas de refrigerante del reactor comenzaron a vibrar a medida que los vacíos de vapor y el flujo bifásico degradaban las condiciones de las bombas. Los operadores detuvieron dos bombas alrededor de las 5:14 y las dos restantes alrededor de las 5:41. Detener bombas dañadas o en cavitación era una protección de equipo comprensible, pero eliminó la circulación forzada mientras no se aseguraba una circulación natural confiable. La inyección de alta presión todavía no se estaba utilizando a la tasa necesaria para restaurar el inventario.

Aproximadamente a las 6:15 a. m., el nivel de agua en el recipiente del reactor había caído por debajo de la parte superior del núcleo según reconstrucciones posteriores. A las 6:22 a. m., un operador cerró la válvula de bloqueo aguas abajo de la PORV, terminando la vía de pérdida principal después de aproximadamente dos horas y veintidós minutos. Los relatos contemporáneos difirieron sobre qué sugerencia produjo directamente esa acción. Esa atribución es unaafirmación controvertiday no es necesaria para la conclusión institucional. El hecho confirmado es que una acción de aislamiento sencilla disponible desde la sala de control se retrasó porque la organización operativa no había identificado correctamente el estado de la válvula.

Cerrar la válvula de bloqueo detuvo la descarga adicional, pero no restauró el inventario ya perdido. Los investigadores estimaron que aproximadamente 32 000 galones habían pasado a través de la vía de alivio en los primeros cien minutos. No se estableció inmediatamente una inyección suficiente para recuperar el núcleo. Alrededor de las 6:48 a. m., la reconstrucción posterior indicó que una gran parte del núcleo podría haber quedado descubierta.

Los primeros investigadores tuvieron que inferir la temperatura y el daño a partir de instrumentos no diseñados para sobrevivir o cuantificar este estado; el examen físico posterior revisó y fortaleció materialmente esa evidencia.

7:00 a. m. en adelante y los días siguientes: clasificación de emergencia y estabilización

El titular de la licencia declaró una emergencia en el sitio poco antes de las 7:00 a. m. y una emergencia general alrededor de las 7:24 a. m. La Región I de la NRC se enteró del evento cuando su oficina abrió, alrededor de las 7:45 a. m., en lugar de a través de un centro de operaciones federal con personal continuo capaz de recibir e integrar datos de inmediato. Esta cronología respaldó cambios posteriores en la organización de emergencia y las comunicaciones de la NRC.

El enfriamiento finalmente se restableció y el reactor se llevó a una condición más estable, pero la emergencia pública no terminó cuando se detuvo la fuga principal. Material radiactivo se había movido a la contención y al edificio auxiliar. Ocurrió una combustión de hidrógeno en la contención durante el primer día, y luego la preocupación se centró en el hidrógeno acumulado en el sistema del reactor. Los funcionarios de la planta, el estado y el gobierno federal tenían información incompleta, a veces contradictoria, sobre las liberaciones, el estado del núcleo y la posibilidad de una escalada adicional.

El 30 de marzo, informes de una liberación llevaron a los funcionarios de Pensilvania a aconsejar a las mujeres embarazadas y niños en edad preescolar dentro de un radio de cinco millas que se fueran temporalmente, y a las personas dentro de diez millas que permanecieran en el interior. No fue una evacuación general obligatoria. La distinción es importante, al igual que el hecho de que muchos residentes se fueron voluntariamente en medio de la incertidumbre. El archivo de la NRC desecciones de informes anuales sobre la recuperación de TMI-2registra tanto los consejos de protección como las fallas de comunicación que los rodearon.

La fase del accidente tuvo así dos problemas de estabilización. Los operadores tenían que establecer la eliminación de calor y controlar los inventarios de hidrógeno y radiactivos. Las autoridades públicas tenían que establecer una imagen operativa común creíble. Ninguna podía juzgarse por el hecho de que el reactor se había scramado: el apagado detuvo la fisión, pero no eliminó el calor de desintegración, reparó el inventario de refrigerante, evitó la generación de hidrógeno ni suministró información pública confiable.

Conciliando el reloj con la planta dañada

Los marcadores de minutos en este relato no tienen todos la misma calidad probatoria. El disparo de la turbina, el scram del reactor y las señales automáticas fueron registrados por los sistemas de la planta. Otros tiempos se reconstruyeron a partir de registros de operadores, entrevistas, registros de computadora, gráficas de banda y la secuencia de alarmas. La impresora de alarmas que debería haber preservado un registro ordenado ya se estaba atrasando durante el evento y luego se atascó.

Los investigadores pudieron correlacionar múltiples fuentes, pero una marca de tiempo impresa horas más tarde no es equivalente a un registro de proceso directo con marca de tiempo. En consecuencia, las horas como 4:00, 6:22 y 7:24 son anclas de eventos sólidas; las estimaciones del nivel de agua del núcleo y del daño a las 6:15 o 6:48 son reconstrucciones basadas en modelos y se describen como aproximadas.

La misma jerarquía se aplica al daño de la planta. Durante el accidente, los instrumentos de la sala de control podían mostrar presión, nivel local, temperatura o radiación, pero no podían mostrar un mapa del enfriamiento del núcleo. Algunas lecturas salieron de escala; otras se vieron afectadas por vapor, vacíos, condiciones ambientales adversas o suposiciones sobre dónde se encontraba el agua. Los primeros informes utilizaron modelos térmicos y químicos para estimar la temperatura del combustible y la fracción de núcleo descubierto. Esas estimaciones fueron necesarias para la respuesta y la investigación, pero no fueron observación directa.

Años más tarde, el desmantelamiento proporcionó evidencia diferente: conjuntos de combustible dañados, material resolidificado, escombros y restos en el plenum inferior. El muestreo y el examen confirmaron una fusión y reubicación extensas, al tiempo que mostraron que la cabeza inferior permaneció intacta. La evidencia posterior refuerza la proposición de que el enfriamiento falló severamente y limita las afirmaciones excesivamente precisas sobre lo que los instrumentos de 1979 por sí solos probaron en un minuto particular.

También demuestra por qué la instrumentación para accidentes debe apoyar tanto el control inmediato como la reconstrucción posterior. Un sistema que pierde rango, calificación ambiental o registro de secuencia perjudica la respuesta y la responsabilidad al mismo tiempo.

La atribución de testigos requiere una contención similar. Las investigaciones pudieron establecer que las válvulas de aislamiento del agua de alimentación auxiliar estaban cerradas y se abrieron aproximadamente ocho minutos después del disparo, pero los relatos difirieron sobre por qué estaban cerradas. La Comisión consideró que la breve interrupción no fue decisiva para el daño final al núcleo. Por lo tanto, sería engañoso convertir un origen no resuelto de la alineación de válvulas en la causa raíz. Los relatos también variaron sobre quién propuso primero cerrar la válvula de bloqueo de la PORV.

El hecho de control de seguridad no es la propiedad de la sugerencia; es que la organización operativa tardó aproximadamente dos horas y veintidós minutos en realizar un aislamiento disponible porque no había validado el estado físico de la válvula.

Esta conciliación produce una narrativa más estrecha pero más sólida. El disparo del agua de alimentación inició el transitorio. La falla de la PORV al re-cerrar creó la vía de pérdida. La sala de control no reconoció esa vía a tiempo. La reducción de la inyección y el aislamiento retrasado agotaron el inventario. El núcleo resultó sustancialmente dañado, como confirmó el examen posterior. Los procesos de pensamiento individuales exactos, algunos autores de acciones y el primer componente de la cadena de agua de alimentación siguen siendo inciertos.

Esas incógnitas deben restringir la atribución personal, no ser utilizadas para disolver la cadena causal confirmada.

La sala de control como un sistema de decisión diseñado

El instrumento más consecuente fue la luz de la PORV, pero centrarse solo en esa luz subestima el fallo de diseño. Una indicación de sala de control es útil solo si su significado es inequívoco bajo las condiciones en que los operadores deben actuar. La luz de la PORV indicaba con precisión que el solenoide había recibido una orden de cierre. No verificaba la posición del vástago o de la válvula. La interfaz no hacía destacar esa limitación. Después de un evento anterior de la PORV en TMI-2, se había añadido una luz, pero la modificación seguía informando la señal de control en lugar del cierre físico.

La acción correctiva abordó el síntoma visible sin verificar la función de seguridad.

Otra evidencia estaba fragmentada. La pantalla de nivel del presurizador era prominente pero se convirtió en un indicador engañoso del inventario total del sistema durante el flujo bifásico. La temperatura de la tubería de drenaje podía sugerir alivio continuo, pero los operadores tenían experiencia con fugas y no trataron la lectura como prueba decisiva de una válvula completamente abierta. El nivel del sumidero y las alarmas del disco de ruptura eran consecuencias físicas aguas abajo en lugar de un diagnóstico directo. Indicadores clave estaban en paneles traseros, y algunos valores se movieron más allá del rango del instrumento.

La evaluación de la sala de control encontró una presentación directa faltante o inadecuada de variables como el inventario primario total, la relación presión-temperatura necesaria para reconocer la saturación, el flujo de descarga de la PORV y el flujo de agua de alimentación auxiliar.

El volumen de alarmas agravó el problema. Un gran número de ventanas de alarma se encendieron en un corto período sin prioridad de importancia de seguridad. La impresora destinada a preservar la secuencia se retrasó horas y se atascó. Una queja anterior de un operador sobre el rendimiento de la impresora no había producido una corrección efectiva, según la Comisión del Presidente. Esta es evidencia de reparación previa al accidente: la organización tenía una debilidad reportable, no aplicó un remedio verificado y luego perdió la herramienta durante el evento para el cual la reconstrucción de la secuencia era más importante.

Lainferencia respaldadaes que el fallo de detección de TMI-2 fue un fallo de arquitectura de información. La planta producía datos, pero la interfaz favorecía los comandos de componentes, las cantidades locales y la proliferación de alarmas sobre las funciones de seguridad validadas: ¿es adecuado el inventario?, ¿está cubierto el núcleo?, ¿se está eliminando el calor de desintegración?, ¿está físicamente aislada una vía de alivio? Esa inferencia es consistente con el posteriorprograma de revisión del diseño de la sala de controlde la NRC, que requirió que los titulares evaluaran las deficiencias de factores humanos y ayudó a institucionalizar los sistemas de pantalla de parámetros de seguridad.

Una pantalla de seguridad no es en sí misma prueba de seguridad. LaCarta Genérica 89-06de la NRC solicitó la certificación de que se habían instalado sistemas de pantalla de parámetros de seguridad y que los procedimientos de operación de emergencia y el entrenamiento estaban integrados con ellos. La estructura es importante: instalación, uso de procedimientos, entrenamiento y certificación fueron tratados como controles separados. El hardware no podía declararse reparado simplemente porque se hubiera comprado una pantalla o un sensor.

Clasificación causal

Desencadenante: confirmado a nivel del sistema, incierto a nivel del primer componente.El desencadenante inmediato fue la pérdida de agua de alimentación normal alrededor de las 4:00 a. m. El primer fallo exacto dentro de la secuencia de control de pulido de condensado, aire y agua de alimentación es menos cierto en el registro oficial superviviente y no es necesario para explicar la vía de daño al núcleo. Atribuir todo el accidente a un bloqueo de resina no probado o a un acto de mantenimiento exageraría la evidencia.

Causa raíz: hallazgo institucional respaldado.La causa raíz fue la falla en diseñar, operar y regular TMI-2 de manera que una condición previsible de pérdida de refrigerante por pequeña rotura fuera reconocida y controlada antes de que se perdiera el enfriamiento del núcleo. Esta formulación es analítica, no judicial. Se alinea con la conclusión de la Comisión del Presidente de que los problemas fundamentales estaban relacionados con las personas en el sentido amplio de las instituciones que fabricaron, operaron y regularon la planta, no una afirmación de que el error de una persona causó todas las consecuencias.

Causa física directa: confirmada.La PORV se abrió por alta presión y no se volvió a cerrar. La descarga continua redujo el inventario de refrigerante del reactor. El flujo de reposición inadecuado y la posterior pérdida de circulación forzada permitieron el descubrimiento del núcleo, el sobrecalentamiento, la reacción zirconio-agua, la generación de hidrógeno, la fusión del combustible y la reubicación del material. La falla de la válvula fue necesaria para la secuencia tal como ocurrió, pero no suficiente para explicar por qué las salvaguardias no lograron terminarla a tiempo.

Condiciones contribuyentes: confirmadas o fuertemente respaldadas.Las válvulas de aislamiento del agua de alimentación auxiliar inicialmente cerradas aumentaron la carga de trabajo; la indicación de la PORV representaba el comando en lugar de la posición; no existía una indicación directa del inventario total; se sobrevaloró el nivel del presurizador; las alarmas carecían de prioridad; la impresora de alarmas falló; los procedimientos y el entrenamiento favorecían evitar un presurizador lleno de agua sólido; el diagnóstico de pequeña rotura era débil; la experiencia precursora no se convirtió en acción específica de la planta; el comando de gestión y el apoyo técnico no estaban preparados para un evento severo ambiguo; y la atención regulatoria había enfatizado otros modelos de accidente.

Fallo de detección: confirmado.La tripulación no identificó la PORV abierta a tiempo, a pesar de múltiples señales indirectas. La responsabilidad se comparte entre la interpretación operativa y el diseño de la información suministrada para esa interpretación. Una luz de comando de cierre no es una lectura eléctrica falsa, pero usarla como si probara el cierre mecánico crea una proposición operativa falsa. La distinción es la lección central de instrumentación.

Fallo de respuesta: confirmado, con contexto.Los operadores redujeron drásticamente la inyección de alta presión, continuaron la purga, retrasaron el aislamiento de la válvula de bloqueo y detuvieron las bombas de refrigerante del reactor a medida que las condiciones se deterioraban. Estas acciones empeoraron o no lograron detener la pérdida de refrigerante. Deben evaluarse en el contexto de las indicaciones, los procedimientos y el entrenamiento, no excusarse por ese contexto. La responsabilidad organizativa no borra la agencia en los controles; explica por qué múltiples profesionales licenciados pudieron tomar un conjunto de decisiones coherente pero inseguro.

Fallo de respuesta a emergencias: confirmado institucionalmente.La notificación, la evaluación técnica, la coordinación intergubernamental y la comunicación pública no proporcionaron una imagen común oportuna. Lahistoria de preparación para emergencias de la NRCidentifica expresamente a TMI como exponente de debilidades en planes y coordinación. La conclusión no depende de afirmar que cada recomendación de acción protectora fue incorrecta.

Evidencia de recuperación y reparación: mixta.La contención y la cabeza inferior del recipiente del reactor desempeñaron funciones de seguridad importantes; los operadores y equipos técnicos finalmente establecieron enfriamiento; el monitoreo acotó gran parte de la liberación fuera del sitio; y la limpieza posterior eliminó la mayor parte del combustible y procesó agua contaminada. Son éxitos confirmados. No revirtieron el accidente, y el expediente de desmantelamiento continuo significa que la recuperación física sigue incompleta.

Desconocidos.El registro no puede establecer la dosis individual exacta fuera del sitio para cada residente, el momento preciso y el historial de temperatura de cada región del núcleo, el resultado contrafactual si una acción anterior hubiera sido diferente, o un autor individual definitivo para cada decisión crítica en la sala de control. Tampoco puede probar que una advertencia basada en Davis-Besse hubiera necesariamente evitado TMI. Estas brechas limitan las afirmaciones individuales y contrafactuales, no el hallazgo a nivel de sistema de que los controles eran deficientes.

Entrenamiento, procedimientos y el fallo en el uso de la experiencia operativa

El entrenamiento es responsable cuando cambia lo que los operadores pueden reconocer bajo estrés, no cuando simplemente produce licencias y registros de asistencia. El personal de TMI-2 había completado los programas requeridos, pero los programas no les dieron un modelo confiable para una pérdida por pequeña rotura con un nivel de presurizador en aumento. Los simuladores no reproducían adecuadamente las condiciones relevantes, y los exámenes no indagaban el problema de diagnóstico integrado con suficiente profundidad.

Los procedimientos operativos no proporcionaban una ruta decisiva basada en síntomas desde la caída de presión y el aumento de nivel hasta la inyección sostenida y el aislamiento de la PORV.

Los boletines inmediatos de la NRC muestran cuán legibles se volvieron los controles faltantes después del evento. ElBoletín IE 79-05Adistribuyó una cronología preliminar y requirió revisión y acciones inmediatas de los operadores. ElBoletín IE 79-06Babordó errores operativos y desalineaciones, incluido el peligro de basar decisiones en una sola indicación y la necesidad de verificar la disponibilidad del agua de alimentación auxiliar. Estas fueron respuestas prudentes, pero su oportunidad también demuestra que los controles existentes no habían convertido el comportamiento conocido del reactor en práctica de toda la flota.

Davis-Besse es central porque prueba la previsibilidad sin exigir clarividencia. El evento anterior no reprodujo todas las condiciones de TMI. Reprodujo la combinación operativamente peligrosa de una vía de alivio abierta, caída de presión, aumento del nivel del presurizador e inyección reducida. Babcock & Wilcox tenía visibilidad entre plantas que los operadores individuales de TMI no tenían. Metropolitan Edison Company tenía la responsabilidad de adquirir y evaluar la experiencia relevante del proveedor y de la industria. La NRC tenía un rol de información genérica de seguridad.

Cada institución controlaba un eslabón diferente en la cadena desde el informe del evento hasta el procedimiento revisado, el escenario de simulador, el examen y el desempeño verificado de la tripulación.

El programa posterior al accidente hizo esos eslabones más explícitos. La tarea demejora del simuladorde la NRC enfatizó el realismo, los transitorios complejos y el diagnóstico. Su tarea delicencia y recalificación de operadoresamplió las expectativas de examen y recalificación. Latarea de análisis y difusión de la experiencia operativaabordó la evaluación y difusión centralizadas. Juntos encarnan un modelo de responsabilidad más fuerte: recopilar evidencia precursora, decidir su importancia para la seguridad, traducirla en controles de planta, probar el desempeño y conservar la prueba de que el control funciona.

La distinción entre cumplimiento procedimental y competencia diagnóstica sigue siendo importante. Un operador puede seguir un procedimiento que encarna la prioridad equivocada. Un titular puede documentar el entrenamiento sin recrear las señales y la presión de tiempo del peligro. Un regulador puede cerrar un punto de acción después de recibir una presentación sin observar un desempeño duradero. La reparación real necesita, por lo tanto, evidencia de resultados que incluya resultados de simulador, observaciones de campo, desempeño de respuesta a alarmas y pruebas recurrentes frente a indicaciones degradadas o contradictorias.

Respuesta a emergencias y responsabilidad pública

La emergencia de TMI-2 no fue solo un problema de control del reactor. Fue un problema de gobernanza de la información que abarcaba al titular de la licencia, Pensilvania, la NRC, otras agencias federales y el público. Las primeras notificaciones no dieron a todos los participantes información consistente sobre el estado de la planta y las liberaciones. La incertidumbre técnica era inevitable; las descripciones contradictorias y la autoridad de decisión poco clara no lo eran. La Comisión del Presidente describió confusión grave y recomendó un comando de emergencia, comunicaciones y planificación más claros.

Los hechos radiológicos requieren una redacción cuidadosa. La síntesis actual de la NRC estima que aproximadamente dos millones de personas alrededor de la planta recibieron una dosis adicional promedio de aproximadamente un milirem, con la dosis máxima en el límite del sitio por debajo de 100 milirem por encima del fondo. Informa que estudios extensos no encontraron efectos de salud detectables atribuibles al accidente. El relato archivado de la Agencia de Protección Ambiental sobresu rol de monitoreodescribe una red ampliada utilizada para evaluar las liberaciones. Estas evaluaciones oficiales respaldan una dosis baja medida para la población; no establecen la dosis exacta para cada persona, no eliminan toda incertidumbre epidemiológica ni niegan las consecuencias sociales y psicológicas de advertencias confusas.

La reforma posterior a TMI dividió la autoridad más claramente. Una reorganización federal otorgó al presidente de la NRC autoridad adicional de emergencia; la compilación oficial dePlanes de Reorganizaciónidentifica las deficiencias de la era de TMI en la gestión de crisis. FEMA asumió un rol principal en la planificación fuera del sitio, mientras que la NRC retuvo la responsabilidad de la preparación en el sitio y el desempeño del titular de la licencia. Loscriterios conjuntos NUREG-0654/FEMA-REP-1establecieron una base más sistemática para los planes de emergencia radiológica y la preparación.

Estas reformas aclaran un principio de responsabilidad: la incertidumbre debe cambiar el modo de decisión, no suspender la responsabilidad. Cuando las estimaciones del término fuente son inestables, los funcionarios necesitan rangos de confianza explícitos, responsables de decisión designados, datos con marca de tiempo y umbrales de acción protectora preacordados. TMI, en cambio, mostró cómo los informes técnicos no verificados podían moverse más rápido que sus calificaciones. La confianza pública fue dañada no simplemente por la radiación, sino por desacuerdos visibles sobre lo que las autoridades sabían y quién estaba a cargo.

Asignando responsabilidad sin colapsar roles

Operadores de la sala de control.Los operadores ejercieron control inmediato sobre la inyección de alta presión, la purga, las bombas de refrigerante del reactor y el aislamiento de la válvula de bloqueo de la PORV. Sus acciones son, por lo tanto, parte de la causa operativa directa. Pero el registro probatorio no respalda retratar a la tripulación como una fuente independiente de fallo separada del diseño y el entrenamiento. Interpretaron una luz de comando como cierre, confiaron en el nivel del presurizador, siguieron la preocupación aprendida sobre un sistema lleno de agua sólido y trabajaron a través de una tormenta de alarmas no priorizadas. La responsabilidad del operador es por las decisiones dentro de ese entorno; la responsabilidad institucional es por crear y aceptar el entorno.

Metropolitan Edison Company y GPU.El titular de la licencia tenía la responsabilidad operativa no delegable. Controlaba el personal, los procedimientos, el mantenimiento, la implementación del entrenamiento, la reparación de la impresora de alarmas, las modificaciones de la planta, el apoyo técnico y la notificación de emergencias. Cumplir con las condiciones mínimas de licencia de la NRC no era una defensa completa frente a un peligro visible a través de la experiencia de la planta y del proveedor. El titular también tenía la capacidad local más fuerte para probar lo que realmente probaba la luz de la PORV, si los operadores podían diagnosticar una pequeña rotura y si el mantenimiento correctivo restauraba la función.

Babcock & Wilcox y otros proveedores.El proveedor del reactor controlaba el conocimiento de diseño y la experiencia en toda la flota. Sus plantas habían exhibido problemas con la PORV, y Davis-Besse proporcionó un precursor particularmente relevante. La responsabilidad del proveedor recae en el análisis de peligros, el diseño preciso de la interfaz, la comunicación técnica inequívoca y la escalada de patrones entre clientes. No es una conclusión de que el proveedor controlara el turno de TMI o que cada defecto de componente impusiera responsabilidad legal. La evidencia respalda una falla en hacer que el conocimiento del sistema fuera operativamente efectivo.

La NRC.El regulador licenció el diseño y a los operadores, inspeccionó la planta, estableció estándares de entrenamiento y emergencia y controló la comunicación de seguridad en toda la industria. Las investigaciones oficiales encontraron que su enfoque no había enfatizado adecuadamente los factores humanos, la calidad de la gestión, el comportamiento de pequeñas roturas o la síntesis de la experiencia operativa. El informe deNUREG-0585 del grupo de trabajo de lecciones aprendidasde la propia NRC pidió cambios fundamentales en el diseño, la operación y el proceso regulatorio. La responsabilidad regulatoria no es el comando operativo, y la NRC no abrió ni aisló la PORV. Es la responsabilidad por el sistema de aseguramiento que aceptó el diseño y el régimen de calificación.

Organizaciones gubernamentales de emergencia.Las autoridades de Pensilvania tomaron decisiones de acción protectora; la NRC evaluó la seguridad del reactor y las liberaciones; otros organismos federales monitorearon la radiación y apoyaron la respuesta. La autoridad fragmentada y las comunicaciones perjudicaron la responsabilidad pública. La posterior asignación del liderazgo de planificación fuera del sitio a FEMA refleja la reparación de una interfaz institucional, no la prueba de que cada decisión estatal o federal de 1979 fue negligente.

La Oficina de Rendición de Cuentas del Gobierno de los EE. UU. llegó a una conclusión comparablemente sistémica en surevisión de las principales investigacionesde 1980: los investigadores generalmente identificaron mal funcionamiento del equipo, entrenamiento inadecuado, diseño deficiente de la sala de control y procedimientos, y deficiencias regulatorias conocidas. Una auditoría gubernamental resume y evalúa la evidencia; no adjudica responsabilidad civil o penal. Su valor es la convergencia entre las investigaciones.

Postura legal y procesal

El accidente generó litigios de ejecución, licencia y civiles, pero ningún procedimiento único proporcionó una asignación legal integral de toda la responsabilidad del accidente. Los hallazgos analíticos anteriores deben, por lo tanto, permanecer distintos de los resultados legales.

Metropolitan Edison Company se declaró posteriormente culpable de falsificación criminal de informes de pruebas de tasa de fuga previas al accidente, como se resume en unBoletín de Fiscales de EE. UU. del Departamento de Justiciaarchivado. Esa declaración de culpabilidad corporativa es una disposición legal sobre una conducta de reporte específica. No debe ampliarse como prueba de que las pruebas falsificadas causaron la secuencia de la PORV, de que todas las condiciones previas al accidente disputadas fueron ocultadas, o de que algún individuo en particular incurrió en responsabilidad penal.

EnMetropolitan Edison Co. v. PANE, la Corte Suprema decidió el alcance de la revisión ambiental asociada con el reinicio propuesto de la Unidad 1 no dañada, incluyendo si los efectos psicológicos en la salud estaban suficientemente conectados con un cambio en el entorno físico para el análisis de la Ley de Política Ambiental Nacional en cuestión. La sentencia no fue un veredicto de daños sobre la causa del accidente de TMI-2, lesiones por radiación o intención corporativa.

Los litigios posteriores por lesiones personales igualmente dependieron de pruebas definidas. EnIn re TMI, 193 F.3d 613 (3d Cir. 1999), el tribunal de apelaciones afirmó el fallo sumario a favor de los demandados porque la evidencia admisible de los demandantes no respaldaba las demostraciones de dosis y causalidad requeridas en esos casos; trató un error probatorio como inofensivo. Ese resultado procesal no es lógicamente equivalente a un hallazgo de que no se liberó material radiactivo, de que ningún residente experimentó estrés o de que ningún control institucional falló. Establece lo que esos demandantes no probaron en ese expediente bajo el estándar legal vigente.

Esta separación protege el análisis de responsabilidad de dos errores opuestos. La crítica investigativa no puede presentarse como una condena penal. Un fallo de defensa sobre causalidad no puede presentarse como una certificación afirmativa de que las operaciones y comunicaciones de emergencia fueron adecuadas. El alcance legal, la carga de la prueba y el remedio importan.

Lo que la limpieza y el examen posterior probaron

Las primeras estimaciones del accidente no podían ver todo el núcleo. Los instrumentos estaban dañados, fuera de escala o eran indirectos, y el recipiente del reactor no podía abrirse de inmediato. La limpieza se convirtió en un largo proceso probatorio. La remoción de la cabeza del recipiente comenzó en 1984, la remoción del combustible comenzó en 1985 y el desmantelamiento principal continuó hasta 1990. Elregistro de la tarea de limpieza y examen de TMI-2de la NRC informa que al menos 19 toneladas métricas de material del núcleo reubicado llegaron al plenum inferior. Investigaciones posteriores del Departamento de Energía resumidas a través deOSTIconcluyeron que al menos el 45 por ciento del núcleo se fundió y casi 19 toneladas se reubicaron en la cabeza inferior del recipiente.

Esta evidencia física cambia la certeza del hallazgo de daño al núcleo. Confirma una fusión y reubicación extensas, al tiempo que muestra que la cabeza inferior del recipiente no falló. La contención igualmente limitó las consecuencias fuera del sitio a pesar de que el material escapó a través de vías del edificio auxiliar y se realizaron liberaciones controladas durante la limpieza. La defensa en profundidad funcionó parcialmente después de que la prevención y el diagnóstico fallaron. Eso no es una contradicción; las salvaguardias en capas están diseñadas precisamente porque los controles anteriores pueden fallar.

La limpieza también puso a prueba la protección de los trabajadores, el manejo de residuos, el procesamiento de agua, el control de criticidad y la instrumentación en un entorno dañado. ElSuplemento 2 del Compendio de Gestión del Conocimientode la NRC preserva las lecciones de la estabilización y el desmantelamiento en lugar de tratar el evento como completo cuando terminó la emergencia pública. El documento de antecedentes de la NRC afirma que aproximadamente 2,23 millones de galones de agua generada por el accidente se procesaron para agosto de 1993 y se eliminó aproximadamente el 99 por ciento del combustible. La unidad entró en almacenamiento monitoreado posterior al desmantelamiento bajo una licencia de solo posesión.

Elestado actual de las instalaciones de TMI-2de la NRC proporciona un límite más preciso. Estima el material combustible residual en menos de 1.125 kilogramos, aproximadamente el uno por ciento del inventario original del núcleo, en ubicaciones del sistema de refrigerante y fuera del recipiente. Identifica el estado DECON, dice que la NRC está revisando un informe de desmantelamiento enmendado presentado en octubre de 2025, y enumera 2052 como la fecha estimada de cierre. Estos son hechos regulatorios actuales, no evidencia de que la unidad dañada fuera reparada para operar.

La distinción entre TMI-2 y la Unidad 1 es esencial. La Unidad 1 estaba físicamente separada y no fue dañada por el accidente del núcleo de 1979. Más tarde se reinició, operó y cerró en 2019; la actividad federal actual sobre un posible reinicio corresponde a la Unidad 1, ahora llamada Crane Clean Energy Center, no a TMI-2. Lapágina actual de la Unidad 1de la NRC documenta esa postura de licencia separada. Cualquier relato que diga "Three Mile Island fue reparada y reiniciada" sin identificar la unidad oscurece el registro físico y legal.

La evidencia del costo de la limpieza también necesita etiquetas de fecha. Unarevisión de la financiación de la limpiezade la GAO de 1981 discutió una estimación de aproximadamente $1.034 millones y una incertidumbre sustancial de financiación. Esa fue una estimación contemporánea, no un hallazgo de costo final ajustado por inflación. Su valor de responsabilidad radica en mostrar cómo un fallo operativo transfirió cargas financieras de larga duración, de gestión de residuos y de gobernanza pública más allá del evento en sí.

La reforma es evidencia de reconocimiento, no prueba automática de reparación

Las reformas de la NRC y la industria después de TMI fueron extensas. La NRC emitió boletines inmediatos, aumentó la inspección residente, revisó el entrenamiento y la licencia de los operadores, fortaleció la preparación para emergencias, requirió revisiones del diseño de la sala de control y pantallas de parámetros de seguridad, desarrolló guías de operación de emergencia orientadas a síntomas y creó funciones más fuertes de experiencia operativa. La industria estableció el Instituto de Operaciones de Energía Nuclear para agregar evaluación por pares e intercambio de desempeño. La NRC consolidó los requisitos aprobados y los cronogramas de implementación enNUREG-0737, mientras que suarchivo del Plan de Acción TMImuestra la amplitud y el estado eventual de las tareas individuales.

El aseguramiento de las válvulas se hizo más explícito. Las tareas posteriores a TMI abordaron la alimentación eléctrica, la indicación de posición y la confiabilidad de las válvulas de alivio y bloqueo del presurizador. LaCarta Genérica 90-06de la NRC documentó la resolución de cuestiones genéricas sobre la confiabilidad de la PORV y las válvulas de bloqueo, incluido el papel de la indicación de posición en la sala de control y la energía calificada. El registro regulatorio también explica por qué no todas las actualizaciones deseadas se convirtieron en una retroadaptación universal de grado de seguridad. Las determinaciones de costo-beneficio y específicas de la planta permanecieron como parte del proceso. Esa limitación debe ser visible al juzgar la integridad de la reforma.

El cierre de puntos de acción es evidencia administrativa: se emitió un requisito, se aceptó una presentación o se resolvió una tarea de otro modo. No prueba que los controles sigan siendo efectivos a lo largo de décadas. Larevisión del progreso del Plan de Acción de 1985de la GAO pidió una contabilidad integral de los muchos puntos posteriores a TMI; la NRC proporcionó una posteriormente y la GAO cerró su recomendación. Esta es evidencia de trazabilidad útil, pero no es una garantía de desempeño planta por planta.

La aplicación posterior proporciona una prueba dura de esa distinción. En 1998, la NRC emitió elAviso de Violación EA-97-533para la Unidad 1 separada de TMI. Después de un reemplazo de la PORV en 1995, errores de cableado hicieron que la válvula fuera inoperable, y pruebas posteriores al mantenimiento inadecuadas no detectaron la condición durante un ciclo operativo de 23 meses. La NRC clasificó la violación en el Nivel de Severidad III. La agencia acreditó la identificación y la acción correctiva y no impuso la multa civil contemplada.

Esa violación posterior no recreó el fallo de 1979: la válvula de la Unidad 1 no podía abrirse, mientras que la válvula de la Unidad 2 se atascó abierta, y no resultó ningún accidente en 1995-1997. Su señal de responsabilidad es más estrecha y más duradera. Incluso en un sitio definido por un accidente de PORV, los técnicos, la verificación independiente y los controles de trabajo pudieron aceptar una conexión incorrecta, mientras que las pruebas no lograron demostrar la respuesta real de la válvula. La lección no es que la reforma fue inútil.

Es que las rutas de comando, las indicaciones y la finalización en papel siguen siendo sustitutos inadecuados para la verificación funcional.

El modelo de reparación más fuerte es, por lo tanto, cíclico. Un titular debe identificar la función de seguridad, instrumentar el estado físico, entrenar frente a indicaciones degradadas creíbles, probar el componente después del mantenimiento, observar el desempeño bajo escenarios realistas, capturar eventos precursores, desafiar de forma independiente la evidencia de cierre y mantener el resultado visible para la gestión y el regulador. La NRC debe inspeccionar lo suficiente de ese ciclo para detectar el papeleo que se ha alejado de la función.

Controles contrafactuales y responsabilidad medible

Varios controles podrían haber interrumpido la secuencia sin requerir una predicción perfecta. Una indicación directa y calificada de la posición real de la PORV podría haber contradicho la luz de comando. Una pantalla prominente que integrara presión, temperatura, margen de subenfriamiento e inventario podría haber desafiado la confianza en el nivel del presurizador. Una alarma de alta prioridad para la descarga sostenida de la PORV, respaldada por una lógica validada de flujo de drenaje o temperatura, podría haber centrado la atención.

Los procedimientos podrían haber requerido el aislamiento temprano de la válvula de bloqueo cuando la evidencia de alivio persistiera después de una orden de cierre. Los escenarios de simulador podrían haber ensayado el patrón de Davis-Besse hasta que las tripulaciones demostraran una inyección sostenida y un diagnóstico basado en síntomas.

Esos contrafactuales soncontroles respaldados, no afirmaciones de que uno solo habría evitado ciertamente todo el daño. Los sensores pueden fallar, el aislamiento puede crear preocupaciones de sobrepresión y las condiciones del accidente pueden superar los modelos. Su valor es acumulativo. Los canales de evidencia independientes hacen que sea más difícil que un indicador engañoso domine. El procedimiento y el entrenamiento hacen que la evidencia sea procesable. Las pruebas funcionales demuestran que la reparación llega a la planta. Los programas de experiencia operativa hacen que los fallos anteriores estén disponibles antes de la repetición.

La responsabilidad puede medirse contra esa cadena:

1. ¿Identificó la organización la función de seguridad física relevante en lugar del mero estado comandado?
2. ¿Adquirió evidencia precursora de su propia planta, la flota del proveedor y el regulador?
3. ¿Evaluó la evidencia para condiciones más allá de la operación normal?
4. ¿Cambió instrumentos, procedimientos, entrenamiento e interfaces de emergencia?
5. ¿Probó el cambio bajo indicaciones realistas y contradictorias?
6. ¿Verificó la supervisión independiente el desempeño físico en lugar de la finalización documental por sí sola?
7. ¿Monitoreó la organización la recurrencia y reabrió el problema cuando la evidencia posterior contradijo el cierre?

TMI-2 falló gran parte de esa cadena antes del 28 de marzo de 1979. Las reformas posteriores al accidente construyeron muchos de sus elementos. El registro de aplicación de la Unidad 1 muestra por qué las dos últimas preguntas no pueden caducar.

Conclusión sobre la responsabilidad

Three Mile Island convirtió la instrumentación en una prueba de responsabilidad porque la pregunta decisiva no era si existían datos. Era si las instituciones hicieron que la condición física del reactor fuera conocible y accionable antes de que los operadores perdieran el control del enfriamiento. La luz de la PORV mostraba un comando, el presurizador mostraba un nivel local, las ventanas de alarma mostraban cientos de desviaciones de componentes y la impresora intentaba mostrar la secuencia.

Ninguno respondió de manera confiable a la pregunta de seguridad que importaba: ¿se estaba perdiendo el inventario del reactor a través de una vía de alivio abierta?

La evidencia respalda una asignación sistémica. La PORV atascada y la pérdida de agua de alimentación desencadenaron el evento. Las reducciones de inyección por parte de los operadores y el aislamiento retrasado permitieron que empeorara. Metropolitan Edison Company fue responsable de la operación segura, los procedimientos, el entrenamiento, el mantenimiento y el comando de emergencia. Babcock & Wilcox fue responsable del conocimiento de diseño y del uso efectivo de la evidencia precursora de toda la flota. La NRC fue responsable de los estándares, las licencias, la inspección y el aprendizaje de toda la industria.

La contención, la cabeza inferior del recipiente, el enfriamiento posterior y una limpieza extensa limitaron las consecuencias, pero fueron capas de recuperación después de que la prevención y el diagnóstico habían fallado.

Esta conclusión no establece intención criminal, responsabilidad civil individual o un hallazgo universal de causalidad de salud. Preserva el alcance limitado de la declaración de culpabilidad corporativa por informes y las decisiones judiciales posteriores. También distingue las bajas estimaciones oficiales de dosis poblacional del fallo documentado en la comunicación de emergencia y de la incertidumbre de dosis a nivel individual.

Nueva evidencia material podría cambiar la asignación si los registros autenticados mostraran que una institución responsable entregó una advertencia clara basada en Davis-Besse que la gestión de TMI recibió, probó e implementó correctamente; si registros previamente no disponibles resolvieran la autoría de decisiones disputada o el desencadenante inicial del agua de alimentación; si nueva dosimetría o epidemiología alteraran materialmente los hallazgos sobre liberaciones y salud; o si el desmantelamiento revelara daños en el núcleo o la contención inconsistentes con los exámenes actuales.

En ausencia de tal evidencia, la conclusión más sólida sigue siendo concisa: TMI-2 se volvió severo cuando un fallo de equipo manejable pasó a través de una indicación no verificada, un diagnóstico inadecuado y una respuesta retrasada, y la responsabilidad recae en cada institución que controló esas salvaguardias.