Three Mile Island a fait de l'instrumentation en salle de commande un test de responsabilité nucléaire

Résumé

• Vers 4 h 00 le 28 mars 1979, TMI-2 a perdu l'eau d'alimentation normale, la turbine s'est déclenchée, la pression du réacteur a augmenté, la soupape de décharge motorisée du pressuriseur (PORV) s'est ouverte et le réacteur s'est arrêté automatiquement. La PORV ne s'est ensuite pas refermée. Cette vanne bloquée en position ouverte a créé une brèche entraînant une perte de réfrigérant primaire qui n'a été arrêtée que lorsque les opérateurs ont fermé sa vanne d'isolement en aval, environ deux heures et vingt-deux minutes plus tard.
• Le voyant de la salle de commande associé à la PORV indiquait qu'un signal électrique de fermeture avait été envoyé, et non que la vanne était physiquement fermée. Les opérateurs disposaient donc d'un signal rassurant d'état de commande, tandis que des tuyaux de drainage plus chauds que la normale, une augmentation de la radioactivité dans l'enceinte, un puisard de l'enceinte se remplissant et une pression du caloporteur en baisse signalaient une décharge continue. Les instruments n'intégraient pas ces conditions en une indication directe de l'inventaire de caloporteur ou de la position de la vanne.
• Les opérateurs ont réduit l'injection de sécurité haute pression et ont continué la décharge parce que le niveau du pressuriseur montait et que la formation mettait l'accent sur l'évitement d'un pressuriseur entièrement rempli d'eau. Dans les conditions diphasiques réelles, le niveau du pressuriseur n'était pas une mesure fiable de l'inventaire de la cuve du réacteur. Cette action a réduit l'appoint tandis que la PORV ouverte continuait à évacuer du caloporteur.
• Les actions individuelles des opérateurs comptaient, mais elles se sont produites dans un système conçu, fourni, autorisé et géré par des institutions. La Commission présidentielle a constaté des lacunes dans la conception de la salle de commande, les procédures, la formation, la gestion, l'échange d'expérience d'exploitation et la réglementation de la NRC. La NRC et les audits du Congrès ont par la suite traduit nombre de ces constats en exigences pour les affichages des paramètres de sûreté, les revues des salles de commande, la formation sur simulateur, les procédures d'urgence, les programmes de retour d'expérience et la préparation aux urgences.
• Un événement similaire en 1977 à la centrale Davis-Besse de Babcock & Wilcox avait inclus une PORV bloquée ouverte, une montée du niveau du pressuriseur, une chute de pression système et une réduction de l'injection. Cet incident n'avait pas causé de dommage au cœur, mais il rendait la configuration de TMI suffisamment prévisible pour exiger une analyse rigoureuse et une communication à l'échelle du parc. L'échec n'était pas que chaque entité aurait dû prédire l'accident exact; c'était que ce précurseur de grande valeur n'ait pas été transformé en un contrôle robuste de diagnostic et de formation.
• La réponse d'urgence a ajouté un deuxième problème de responsabilité. La centrale, l'État et les entités fédéraux manquaient d'une image opérationnelle commune et opportune, les communications publiques étaient incohérentes et les décisions d'actions de protection ont été prises dans un contexte d'incertitude sur le terme source et les doses. Ces lacunes sont distinctes de l'évaluation officielle ultérieure selon laquelle les rejets à l'extérieur du site ont produit de faibles doses moyennes et aucun effet détectable sur la santé de la population.
• Le nettoyage et les examens ont réparé une partie du dossier probatoire, pas le réacteur. Le déchargement du combustible et les recherches ultérieures ont établi une fusion et une relocalisation importantes du matériau du cœur, tandis que le fond de cuve et l'enceinte de confinement ont conservé des fonctions de sûreté importantes. Environ 99 % de l'inventaire initial de combustible a finalement été retiré, mais des matières résiduelles contenant du combustible subsistent et TMI-2 est toujours en cours de démantèlement, la NRC indiquant une date estimée de fermeture du site en 2052.
• La conclusion sur la responsabilité est institutionnelle et fondée sur le contrôle, non une allégation d'intention criminelle ou de responsabilité individuelle automatique. Metropolitan Edison a conservé la responsabilité opérationnelle; Babcock & Wilcox contrôlait des connaissances importantes en conception et sur les précurseurs; et la NRC contrôlait les normes d'autorisation, l'inspection et l'apprentissage à l'échelle de l'industrie. Les conclusions d'enquête, un plaidoyer de culpabilité ultérieur de l'entreprise sur la déclaration des tests d'étanchéité avant l'accident, les litiges sur le redémarrage et les recours en responsabilité civile pour irradiation ont chacun une portée procédurale différente et ne doivent pas être amalgamés en un seul verdict juridique sur l'accident.

Limites des preuves: ce qui peut être affirmé avec confiance

La chronologie la plus solide provient du rapport de laCommission présidentielle, de l'enquêteNUREG-0600du Bureau de l'inspection et de la mise en application de la NRC, de l'enquête spéciale de la NRC communément appelée rapport Rogovin, disponible via lanotice OSTIdu Département de l'Énergie, et durecueil de gestion des connaissances de la NRC sur Three Mile Island. Ils diffèrent par leur mandat et parfois par les détails de la reconstitution. Aucun n'est un jugement pénal. Ensemble, cependant, ils étayent l'enchaînement principal: perte d'eau d'alimentation, arrêt du réacteur, ouverture puis blocage de la PORV, identification insuffisante de la voie de décharge ouverte, réduction de l'injection de sécurité, perte prolongée de caloporteur, découvrement du cœur et dommages graves au combustible.

Cet article utilise cinq étiquettes de preuve.Fait confirmésignifie que le point est étayé par des archives officielles convergentes ou par des examens physiques ultérieurs.Inférence étayéesignifie que la conclusion découle de conditions confirmées et de performances de contrôle, mais ne constitue pas en soi une conclusion judiciaire.Affirmation contestéesignifie que les comptes rendus officiels, les témoins ou les plaideurs ultérieurs ont divergé de manière significative pour l'attribution.Inconnusignifie que les archives survivantes ne permettent pas une conclusion fiable.Constatation juridiquesignifie qu'un tribunal ou une autorité de contrôle a réellement tranché une question définie selon sa propre norme; elle ne s'étend pas au-delà de cette question.

Cette discipline importe car TMI-2 a produit plusieurs types d'archives. Les relevés d'instruments et les journaux des opérateurs décrivaient un accident en cours. Les enquêtes ont reconstitué les actions des mois plus tard. Le déchargement du combustible et les travaux métallurgiques ont révélé des dommages des années plus tard. L'action réglementaire a établi des exigences prospectives. Les tribunaux ont tranché des questions de portée de l'évaluation environnementale, d'autorisation ou de preuve dans des recours spécifiques. Lafiche d'information sur l'accident de la NRCest une synthèse officielle utile, mais les résumés ultérieurs ne devraient pas effacer l'incertitude qui existait dans la salle de commande ou les désaccords qui ont subsisté dans les litiges.

Avant le déclenchement: qui contrôlait quoi

TMI-2 était un réacteur à eau pressurisée fourni par Babcock & Wilcox et exploité par Metropolitan Edison, qui faisait partie du système General Public Utilities. La répartition du contrôle opérationnel n'était pas ambiguë: le titulaire de licence était responsable de l'exploitation sûre de la centrale, de l'entretien des équipements, de la qualification du personnel, de l'établissement des procédures et du respect de sa licence. Le fournisseur contrôlait les connaissances en conception du réacteur, les orientations techniques et les informations importantes sur le comportement observé dans d'autres centrales de Babcock & Wilcox.

La NRC contrôlait les règles d'autorisation, les normes de licence des opérateurs, l'inspection, l'application et la diffusion des informations de sûreté génériques.

Ces rôles se chevauchaient dans la salle de commande. Un fabricant de vannes pouvait fournir un composant, mais le fournisseur du réacteur et l'architecte-ingénieur déterminaient comment son état était représenté. Un titulaire de licence pouvait se former à un niveau de référence approuvé par la NRC, mais l'acceptation réglementaire ne transférait pas au titulaire l'obligation d'adapter la formation à la centrale. La NRC pouvait examiner une conception sans devenir l'exploitant, mais ses règles et inspections déterminaient quels défauts en facteurs humains recevaient une correction obligatoire.

La responsabilité suit donc le contrôle d'une mesure de protection, et non la simple proximité du pupitre.

La centrale n'était entrée en exploitation commerciale qu'en décembre 1978. Ses opérateurs étaient titulaires d'une licence et, selon la Commission présidentielle, avaient obtenu des résultats supérieurs à la moyenne nationale lors du processus de licence. Ce fait est important car il rejette l'histoire simpliste d'une équipe non qualifiée. Le même rapport a conclu que le régime de formation, les examens de la NRC et les procédures de la centrale n'avaient pas préparé le personnel de manière adéquate aux conditions rencontrées. La qualification formelle et la préparation opérationnelle n'étaient pas des mesures de contrôle équivalentes.

L'antécédent était également significatif. En septembre 1977, Davis-Besse, une autre centrale de Babcock & Wilcox, a connu un transitoire d'eau d'alimentation lors duquel sa PORV est restée bloquée ouverte. La pression du système a baissé, le niveau du pressuriseur est monté et les opérateurs ont interrompu l'injection de sécurité haute pression avant de fermer la vanne d'isolement. Cet événement s'est terminé sans dommage au cœur, mais il a mis en évidence la même relation trompeuse qui allait plus tard compter à TMI-2: un niveau de pressuriseur montant pouvait coexister avec une perte d'inventaire du réacteur.

La Commission présidentielle a indiqué que Babcock & Wilcox avait reconnu la gravité potentielle en interne, mais que l'avertissement n'est pas parvenu aux opérateurs de TMI sous une forme qui ait modifié leur comportement. Ceci est confirmé comme un échec de transfert d'information; on ne peut savoir exactement quelle communication aurait garanti une réponse différente.

Chronologie avant jugement

4 h 00 à 4 h 08: déclenchement, décharge et la première fausse réassurance

Vers 4 h 00, alors que TMI-2 fonctionnait à presque pleine puissance, les pompes principales d'eau d'alimentation se sont arrêtées. Les enquêteurs ont retracé l'enchaînement côté secondaire dans les systèmes de condensat et d'eau d'alimentation, mais le premier détail mécanique ou électrique initiateur n'a pas été établi avec la confiance possible pour la séquence ultérieure du caloporteur. Le déclencheur défendable est la perte d'eau d'alimentation normale, non une théorie plus spécifique et non étayée sur un seul composant.

La turbine s'est déclenchée en quelques secondes. La demande de vapeur ayant brusquement chuté, la chaleur et la pression dans le circuit primaire ont augmenté. La PORV s'est ouverte automatiquement à sa pression de consigne. Le réacteur s'est ensuite arrêté d'urgence, mettant fin à la réaction en chaîne de fission, tandis que la chaleur résiduelle demeurait et nécessitait toujours un refroidissement. Les pompes d'eau d'alimentation de secours ont démarré, mais les deux voies d'écoulement vers les générateurs de vapeur étaient initialement isolées par des vannes fermées.

Un indicateur d'état de vanne était masqué par une étiquette de maintenance; l'autre a échappé aux opérateurs. Les vannes ont été ouvertes environ huit minutes après le début de l'événement. La Commission a conclu que cet intervalle n'a pas déterminé de manière matérielle les dommages ultimes au cœur, bien qu'il ait ajouté charge de travail et confusion au pire moment.

La PORV aurait dû se fermer lorsque la pression a chuté. Mécaniquement, ce ne fut pas le cas. Électriquement, le système de commande a supprimé le signal d'ouverture et le voyant du panneau s'est éteint. Le voyant représentait donc l'état de la commande plutôt que la position réelle de la vanne. En fonctionnement normal, cette distinction pourrait rester invisible. Dans cet accident, elle a séparé le modèle mental de la salle de commande de l'état réel de la centrale: les opérateurs croyaient que la voie de décharge primaire s'était fermée alors que le caloporteur continuait de s'en échapper.

Ce n'était pas une absence totale de preuves. La température d'une conduite de drainage en aval était élevée. La pression continuait de chuter. Le niveau du puisard de l'enceinte montait. Plus tard, la radioactivité et l'état du bâtiment ont également signalé que le caloporteur primaire quittait son enceinte prévue. Pourtant, aucun affichage proéminent n'indiquait que la PORV était ouverte, et la salle de commande ne fournissait pas de mesure directe et fiable de l'inventaire total de caloporteur. Le problème de détection immédiat était donc à la fois spécifique au composant et systémique.

4 h 02 à 4 h 15: l'appoint automatique est réduit

Environ deux minutes après le déclenchement, l'injection de sécurité haute pression a automatiquement commencé à ajouter de l'eau à mesure que la pression primaire baissait. C'était la réponse de sûreté nécessaire pour compenser la perte par la PORV ouverte. Les opérateurs ont rapidement réduit l'injection de manière drastique. Leur action suivait le modèle de centrale qu'on leur avait enseigné: le niveau du pressuriseur montait, et un pressuriseur entièrement rempli d'eau pouvait supprimer un coussin de régulation de pression et compliquer le contrôle de la centrale.

Ils ont également continué ou augmenté la décharge, prélevant délibérément de l'eau du circuit primaire.

Dans les conditions thermohydrauliques réelles, l'ébullition et la formation de vides redistribuaient l'eau et la vapeur. Un niveau montant du pressuriseur ne prouvait pas que la cuve du réacteur était pleine. La pression et le niveau évoluaient selon un schéma que les opérateurs n'avaient pas été suffisamment formés à traiter comme un accident de perte de réfrigérant primaire par petite brèche. L'action a eu des conséquences opérationnelles: l'appoint est tombé à une fraction du débit automatique alors que la voie de décharge ouverte restait disponible.

À environ 5,5 minutes, les conditions du caloporteur ont atteint la saturation, rendant une simple interprétation monophasique encore moins fiable. Vers 4 h 11, une alarme de niveau haut du puisard de l'enceinte est apparue. Vers 4 h 15, le disque de rupture du réservoir de drainage du caloporteur s'est ouvert, libérant du caloporteur vers le puisard de l'enceinte. C'étaient des signes corroborant une perte d'inventaire. Ils n'ont pas surpassé la conviction cognitivement dominante que la PORV s'était fermée et que le pressuriseur devenait trop plein.

L'importance n'est pas que les opérateurs aient ignoré un instrument parfaitement clair. Ils étaient entourés de signaux partiellement valides qui exigeaient une synthèse entre les panneaux, les états d'alarme et la connaissance du système. L'évaluation des facteurs humains de la salle de commande de TMI-2, parrainée par la NRC, a identifié plus tard environ 750 fenêtres d'annonciateur, pour la plupart utilisées pour les alarmes, sans codage de priorité efficace. Les enquêteurs ont signalé que plus de 100 alarmes se sont activées dans les premières minutes. L'imprimante d'alarmes a pris beaucoup de retard et a fini par se bloquer.

L'information existait, mais le système ne la transformait pas de manière fiable en diagnostic.

4 h 15 à 6 h 22: la fuite s'aggrave alors que le modèle mental persiste

Vers 4 h 20, les instruments montraient une activité neutronique associée à l'évolution des conditions du cœur. Les pompes de puisard ont transféré de l'eau contaminée de l'enceinte vers le bâtiment auxiliaire jusqu'à ce qu'elles soient arrêtées vers 4 h 39; la Commission a estimé que jusqu'à environ 8 000 gallons ont pu être transférés. Cette voie a contribué aux rejets à l'extérieur de l'enceinte et illustre un deuxième problème de frontière: un accident grave déplaçait des matières à travers des systèmes conçus pour la gestion courante des liquides avant que le personnel n'ait reconnu l'état.

Le personnel technique et de supervision est arrivé, mais l'ajout de personnes n'a pas immédiatement produit un diagnostic correct. La structure de gestion des opérations de la centrale n'était pas prête à imposer une hiérarchie commune des preuves dans la salle bondée. Vers 4 h 45, un chef technique est arrivé en salle de commande. Les preuves persistantes de la voie de décharge ont continué d'être interprétées comme une fuite plutôt que comme une vanne complètement ouverte, et l'indicateur indiquait toujours la fermeture.

Après 5 h 00, les pompes de refroidissement du réacteur ont commencé à vibrer en raison des vides de vapeur et de l'écoulement diphasique qui dégradaient les conditions des pompes. Les opérateurs ont arrêté deux pompes vers 5 h 14 et les deux restantes vers 5 h 41. L'arrêt des pompes endommagées ou en cavitation était une protection compréhensible de l'équipement, mais il a supprimé la circulation forcée alors qu'une circulation naturelle fiable n'était pas assurée. L'injection de sécurité haute pression n'était toujours pas utilisée au débit nécessaire pour rétablir l'inventaire.

À environ 6 h 15, le niveau d'eau dans la cuve du réacteur était tombé sous le sommet du cœur selon les reconstitutions ultérieures. À 6 h 22, un opérateur a fermé la vanne d'isolement en aval de la PORV, mettant fin à la principale voie de perte après environ deux heures et vingt-deux minutes. Les récits contemporains divergent sur l'auteur de la suggestion qui a directement conduit à cette action. Cette attribution est uneaffirmation contestéeet n'est pas nécessaire à la conclusion institutionnelle. Le fait confirmé est qu'une action d'isolement simple disponible depuis la salle de commande a été retardée parce que l'organisation exploitante n'avait pas correctement identifié l'état de la vanne.

La fermeture de la vanne d'isolement a arrêté la décharge, mais n'a pas rétabli l'inventaire déjà perdu. Les enquêteurs ont estimé qu'environ 32 000 gallons étaient passés par la voie de décharge au cours des cent premières minutes. Une injection suffisante pour récupérer le cœur n'a pas été établie immédiatement. Vers 6 h 48, les reconstitutions ultérieures indiquaient qu'une grande partie du cœur pouvait avoir été découvrte.

Les premiers enquêteurs ont dû déduire la température et les dommages à partir d'instruments non conçus pour survivre ou quantifier cet état; les examens physiques ultérieurs ont considérablement révisé et renforcé ces preuves.

7 h 00 et les jours suivants: classification d'urgence et stabilisation

Le titulaire de licence a déclaré une urgence site peu avant 7 h 00 et une urgence générale vers 7 h 24. La Région I de la NRC a appris l'événement à l'ouverture de son bureau, vers 7 h 45, plutôt que par un centre d'opérations fédéral doté de personnel en permanence capable de recevoir et d'intégrer des données immédiatement. Cette chronologie a étayé les modifications ultérieures de l'organisation et des communications d'urgence de la NRC.

Le refroidissement a finalement été rétabli et le réacteur ramené à une condition plus stable, mais l'urgence publique n'a pas pris fin lorsque la fuite principale s'est arrêtée. Des matières radioactives s'étaient déplacées dans l'enceinte et le bâtiment auxiliaire. Une combustion d'hydrogène s'est produite dans l'enceinte le premier jour, et les préoccupations se sont ensuite concentrées sur l'hydrogène accumulé dans le circuit du réacteur. Les responsables de la centrale, de l'État et du gouvernement fédéral disposaient d'informations incomplètes, parfois contradictoires, sur les rejets, l'état du cœur et la possibilité d'une aggravation.

Le 30 mars, des signalements de rejet ont conduit les autorités de Pennsylvanie à conseiller aux femmes enceintes et aux enfants d'âge préscolaire dans un rayon de cinq miles de partir temporairement et de dire aux personnes dans un rayon de dix miles de rester à l'intérieur. Il ne s'agissait pas d'une évacuation obligatoire générale. La distinction importe, tout comme le fait que de nombreux résidents ont quitté les lieux volontairement dans l'incertitude.

Les archives des sections des rapports annuels de la NRC sur la remise en état de TMI-2 consignent à la fois les conseils d'actions de protection et les défaillances de communication qui les ont entourés.

La phase accidentelle présentait ainsi deux problèmes de stabilisation. Les opérateurs devaient établir l'évacuation de la chaleur et contrôler les inventaires d'hydrogène et de radioactivité. Les autorités publiques devaient établir une image opérationnelle commune crédible. Ni l'un ni l'autre ne pouvait être jugé sur le fait que le réacteur s'était arrêté d'urgence: l'arrêt a stoppé la fission, mais n'a pas éliminé la chaleur résiduelle, rétabli l'inventaire de caloporteur, empêché la production d'hydrogène ni fourni des informations publiques fiables.

Réconcilier l'horloge avec la centrale endommagée

Les repères horaires de ce récit n'ont pas tous la même qualité probatoire. Le déclenchement de la turbine, l'arrêt d'urgence du réacteur et les signaux automatiques ont été enregistrés par les systèmes de la centrale. D'autres moments ont été reconstitués à partir des journaux des opérateurs, des entretiens, des enregistrements informatiques, des bandes déroulantes et de la séquence d'alarmes. L'imprimante d'alarmes qui aurait dû conserver un enregistrement ordonné pratique prenait déjà du retard pendant l'événement et s'est bloquée plus tard.

Les enquêteurs ont pu corréler des sources multiples, mais un horodatage imprimé avec des heures de retard n'équivaut pas à un enregistrement chronologique direct du processus. En conséquence, des temps comme 4 h 00, 6 h 22 et 7 h 24 sont des repères événementiels solides; les estimations du niveau d'eau dans le cœur et des dommages à 6 h 15 ou 6 h 48 sont des reconstitutions basées sur des modèles et sont décrites comme approximatives.

La même hiérarchie s'applique aux dommages de la centrale. Pendant l'accident, les instruments de la salle de commande pouvaient indiquer la pression, le niveau local, la température ou le rayonnement, mais ils ne pouvaient pas afficher une carte du refroidissement du cœur. Certaines lectures sont sorties de l'échelle; d'autres ont été affectées par la vapeur, les vides, les conditions environnementales difficiles ou des hypothèses sur l'emplacement de l'eau. Les premiers rapports ont utilisé des modèles thermiques et chimiques pour estimer la température du combustible et la fraction du cœur découvrte.

Ces estimations étaient nécessaires pour la réponse et l'enquête, mais elles ne constituaient pas une observation directe.

Des années plus tard, le déchargement du combustible a fourni des preuves différentes: assemblages de combustible endommagés, matière resolidifiée, gravats et débris dans le plénum inférieur. Les échantillonnages et examens ont confirmé une fusion et une relocalisation importantes tout en montrant que le fond de cuve inférieur est resté intact. Les preuves ultérieures renforcent la proposition selon laquelle le refroidissement a gravement défailli et limitent les affirmations trop précises sur ce que les instruments de 1979 prouvaient à eux seuls à une minute donnée.

Elles démontrent également pourquoi l'instrumentation d'accident doit soutenir à la fois le contrôle immédiat et la reconstitution ultérieure. Un système qui perd sa plage de mesure, sa qualification environnementale ou l'enregistrement des séquences compromet simultanément la réponse et la responsabilité.

L'attribution des témoignages exige une retenue similaire. Les enquêtes ont pu établir que les vannes d'isolement de l'eau d'alimentation de secours étaient fermées et ont été ouvertes environ huit minutes après le déclenchement, mais les récits divergent sur les raisons de leur fermeture. La Commission a jugé que la brève interruption n'était pas déterminante pour les dommages ultimes au cœur. Il serait donc trompeur de faire d'une origine non résolue d'alignement de vannes la cause fondamentale. Les récits ont également varié quant à la première personne à proposer de fermer la vanne d'isolement de la PORV.

Le fait de contrôle-sûreté n'est pas la paternité de la suggestion; c'est que l'organisation exploitante a mis environ deux heures et vingt-deux minutes pour effectuer un isolement disponible parce qu'elle n'avait pas validé l'état physique de la vanne.

Ce rapprochement produit un récit plus étroit mais plus solide. Le déclenchement sur perte d'eau d'alimentation a initié le transitoire. Le défaut de refermeture de la PORV a créé la voie de perte. La salle de commande n'a pas reconnu cette voie assez tôt. La réduction de l'injection et l'isolement retardé ont épuisé l'inventaire. Le cœur a été substantiellement endommagé, comme l'ont confirmé les examens ultérieurs. Les processus de pensée individuels exacts, les auteurs de quelques actions et le premier maillon de la chaîne d'eau d'alimentation restent incertains.

Ces inconnues devraient limiter l'attribution personnelle, et non être utilisées pour dissoudre la chaîne causale confirmée.

La salle de commande comme système de décision ingénierie

L'instrument le plus lourd de conséquences était le voyant de la PORV, mais se concentrer sur ce seul voyant sous-estime la défaillance de conception. Une indication en salle de commande n'est utile que si sa signification est sans ambiguïté dans les conditions où les opérateurs doivent agir. Le voyant de la PORV indiquait avec précision que le solénoïde avait reçu un ordre de fermeture. Il ne vérifiait pas la position de la tige ou de la vanne. L'interface ne rendait pas cette limitation saillante.

Après un événement antérieur de PORV à TMI-2, un voyant avait été ajouté, mais la modification continuait de rapporter le signal de commande plutôt que la fermeture physique. L'action corrective a traité le symptôme visible sans vérifier la fonction de sûreté.

Les autres preuves étaient fragmentées. L'affichage du niveau du pressuriseur était proéminent mais devenait un indicateur trompeur de l'inventaire total du système pendant l'écoulement diphasique. La température de la conduite de drainage pouvait suggérer une décharge continue, mais les opérateurs avaient l'expérience des fuites et ne considéraient pas cette lecture comme une preuve décisive d'une vanne complètement ouverte. Le niveau du puisard et les alarmes de disque de rupture étaient des conséquences physiques en aval plutôt qu'un diagnostic direct.

Des indicateurs clés se trouvaient sur des panneaux arrière, et certaines valeurs sont sorties de la plage des instruments. L'évaluation de la salle de commande a constaté l'absence ou l'insuffisance de présentation directe de variables telles que l'inventaire primaire total, la relation pression-température nécessaire pour reconnaître la saturation, le débit de décharge de la PORV et le débit d'eau d'alimentation de secours.

Le nombre d'alarmes a aggravé le problème. Un grand nombre de fenêtres d'alarme se sont allumées en peu de temps sans priorité liée à l'importance pour la sûreté. L'imprimante destinée à conserver la séquence a pris des heures de retard et s'est bloquée. Une plainte antérieure d'opérateur sur les performances de l'imprimante n'avait pas abouti à une correction efficace, selon la Commission présidentielle.

Il s'agit d'une preuve de maintenance antérieure à l'accident: l'organisation avait une faiblesse à signaler, n'a appliqué aucune mesure corrective vérifiée, et a ensuite perdu l'outil pendant l'événement pour lequel la reconstitution de la séquence était la plus importante.

L'inférence étayéeest que l'échec de détection de TMI-2 était un échec d'architecture de l'information. La centrale produisait des données, mais l'interface favorisait les commandes de composants, les grandeurs locales et la prolifération d'alarmes au détriment des fonctions de sûreté validées: l'inventaire est-il adéquat, le cœur est-il couvert, la chaleur résiduelle est-elle évacuée, et une voie de décharge est-elle physiquement isolée? Cette inférence est conforme auprogramme ultérieur d'examen de la conception des salles de commandede la NRC, qui exigeait des titulaires de licence qu'ils évaluent les lacunes en facteurs humains et a contribué à institutionnaliser les systèmes d'affichage des paramètres de sûreté.

Un affichage de sûreté n'est pas en soi une preuve de sûreté. Lalettre générique 89-06de la NRC visait à certifier que les systèmes d'affichage des paramètres de sûreté avaient été installés et que les procédures d'urgence et la formation y étaient intégrées. La structure est importante: l'installation, l'utilisation des procédures, la formation et la certification étaient traitées comme des contrôles distincts. Le matériel ne pouvait pas être déclaré réparé simplement parce qu'un écran ou un capteur avait été acheté.

Classification causale

Déclencheur - confirmé au niveau système, incertain au niveau du premier composant.Le déclencheur immédiat a été la perte d'eau d'alimentation normale vers 4 h 00. La première défaillance exacte dans l'enchaînement du polisseur de condensat, de l'air et du contrôle d'eau d'alimentation est moins certaine dans les archives officielles survivantes et n'est pas nécessaire pour expliquer le chemin des dommages au cœur. Attribuer l'ensemble de l'accident à un blocage de résine non prouvé ou à un acte de maintenance unique exagérerait les preuves.

Cause fondamentale - constat institutionnel étayé.La cause fondamentale a été l'incapacité à concevoir, exploiter et réglementer TMI-2 de sorte qu'une condition prévisible de perte de caloporteur par petite brèche soit reconnue et maîtrisée avant la perte du refroidissement du cœur. Cette formulation est analytique plutôt que judiciaire. Elle s'aligne sur la conclusion de la Commission présidentielle selon laquelle les problèmes fondamentaux étaient liés aux personnes au sens large des institutions qui ont fabriqué, exploité et réglementé la centrale, et non sur l'affirmation que l'erreur d'une seule personne a causé toutes les conséquences.

Cause physique directe - confirmée.La PORV s'est ouverte à haute pression et ne s'est pas refermée. La décharge continue a réduit l'inventaire de caloporteur. Un débit d'appoint insuffisant et la perte ultérieure de la circulation forcée ont permis le découvrement du cœur, la surchauffe, la réaction zirconium-eau, la production d'hydrogène, la fusion du combustible et le déplacement de matière. La défaillance de la vanne était nécessaire à l'enchaînement tel qu'il s'est produit, mais pas suffisante pour expliquer pourquoi les mesures de protection n'ont pas réussi à y mettre fin à temps.

Conditions contributives - confirmées ou fortement étayées.Les vannes d'isolement de l'eau d'alimentation de secours initialement fermées ont accru la charge de travail; l'indication de la PORV représentait la commande plutôt que la position; il n'y avait pas d'indication directe de l'inventaire total; le niveau du pressuriseur était surpondéré; les alarmes manquaient de priorité; l'imprimante d'alarmes est tombée en panne; les procédures et la formation favorisaient l'évitement d'un pressuriseur plein d'eau; le diagnostic de petite brèche était faible; l'expérience des précurseurs n'a pas été convertie en action spécifique à la centrale; la chaîne de commandement et le soutien technique n'étaient pas préparés à un événement grave ambigu; et l'attention réglementaire avait mis l'accent sur d'autres modèles d'accident.

Défaillance de détection - confirmée.L'équipage n'a pas identifié la PORV ouverte à temps, malgré de multiples signes indirects. La responsabilité est partagée entre l'interprétation opérationnelle et la conception de l'information fournie pour cette interprétation. Un voyant d'ordre de fermeture n'est pas une fausse lecture électrique, mais l'utiliser comme s'il prouvait la fermeture mécanique crée une proposition opérationnelle fausse. Cette distinction est l'enseignement essentiel en instrumentation.

Défaillance de réponse - confirmée, avec contexte.Les opérateurs ont fortement réduit l'injection de sécurité, continué la décharge, retardé l'isolement de la vanne d'isolement et arrêté les pompes de refroidissement à mesure que les conditions se détérioraient. Ces actions ont aggravé ou n'ont pas réussi à arrêter la perte de caloporteur. Elles doivent être évaluées dans le contexte des indications, des procédures et de la formation, et non excusées par ce contexte. La responsabilité organisationnelle n'efface pas l'agence aux commandes; elle explique pourquoi plusieurs professionnels titulaires de licence ont pu faire un ensemble de choix cohérents mais dangereux.

Défaillance de la réponse d'urgence - confirmée institutionnellement.La notification, l'évaluation technique, la coordination intergouvernementale et la communication publique n'ont pas fourni une image commune en temps opportun. L'historique de la préparation aux urgences de la NRCidentifie expressément TMI comme ayant exposé des faiblesses dans les plans et la coordination. La conclusion ne dépend pas de l'affirmation que chaque recommandation d'action de protection était erronée.

Preuves de récupération et de réparation - mitigées.L'enceinte de confinement et le fond de cuve inférieur ont rempli des fonctions de sûreté importantes; les opérateurs et les équipes techniques ont fini par établir le refroidissement; la surveillance a circonscrit une grande partie des rejets hors site; et le nettoyage ultérieur a retiré la majeure partie du combustible et traité l'eau contaminée. Ce sont des succès confirmés. Ils n'ont pas annulé l'accident, et le processus de démantèlement en cours signifie que la récupération physique reste incomplète.

Inconnus.Les archives ne peuvent pas établir la dose individuelle exacte hors site pour chaque résident, le moment précis et l'historique de température de chaque région du cœur, l'issue contrefactuelle si une action antérieure avait différé, ou un auteur individuel définitif pour chaque décision critique en salle de commande. Elles ne peuvent pas non plus prouver qu'un avertissement fondé sur Davis-Besse aurait nécessairement empêché TMI. Ces lacunes limitent les affirmations individuelles et contrefactuelles, et non la conclusion au niveau du système que les contrôles étaient déficients.

Formation, procédures et l'échec à utiliser l'expérience d'exploitation

La formation est responsable lorsqu'elle modifie ce que les opérateurs peuvent reconnaître sous stress, et non lorsqu'elle ne fait que produire des licences et des relevés de présence. Le personnel de TMI-2 avait terminé les programmes requis, mais ces programmes ne leur donnaient pas un modèle fiable pour une perte par petite brèche avec un niveau de pressuriseur montant. Les simulateurs ne reproduisaient pas adéquatement les conditions pertinentes, et les examens n'approfondissaient pas suffisamment le problème de diagnostic intégré.

Les procédures d'exploitation ne fournissaient pas un chemin décisif fondé sur les symptômes, allant de la chute de pression et de la montée du niveau à l'injection soutenue et à l'isolement de la PORV.

Les bulletins immédiats de la NRC montrent à quelle vitesse les contrôles manquants sont devenus lisibles après l'événement. Lebulletin IE 79-05Aa distribué une chronologie préliminaire et exigé un examen et des actions immédiats des opérateurs. Lebulletin IE 79-06Ba traité des erreurs opérationnelles et des défauts d'alignement, y compris le danger de fonder les décisions sur une seule indication et la nécessité de vérifier la disponibilité de l'eau d'alimentation de secours. Il s'agissait de réponses prudentes, mais leur calendrier démontre également que les contrôles existants n'avaient pas déjà converti le comportement connu du réacteur en une pratique à l'échelle du parc.

Davis-Besse est central car il teste la prévisibilité sans exiger de clairvoyance. L'événement antérieur n'a pas reproduit toutes les conditions de TMI. Il a reproduit la combinaison opérationnellement dangereuse d'une voie de décharge ouverte, d'une chute de pression, d'un niveau de pressuriseur montant et d'une injection réduite. Babcock & Wilcox avait une visibilité inter-centrales que les opérateurs de TMI n'avaient pas individuellement. Metropolitan Edison avait la responsabilité d'acquérir et d'évaluer l'expérience pertinente du fournisseur et de l'industrie. La NRC avait un rôle d'information de sûreté générique.

Chaque institution contrôlait un maillon différent de la chaîne allant du rapport d'événement à la procédure révisée, au scénario de simulateur, à l'examen et à la performance vérifiée de l'équipage.

Le programme post-accidentel a rendu ces maillons plus explicites. La tâche d'amélioration des simulateursde la NRC a mis l'accent sur le réalisme, les transitoires complexes et le diagnostic. Sa tâche delicence et de requalificationdes opérateurs a élargi les attentes en matière d'examen et de requalification. La tâched'analyse et de diffusion de l'expérience d'exploitationa abordé l'évaluation et la diffusion centralisées. Ensemble, elles incarnent un modèle de responsabilité plus solide: recueillir les preuves des précurseurs, décider de leur importance pour la sûreté, les traduire en contrôles de la centrale, tester la performance et conserver la preuve que le contrôle fonctionne.

La distinction entre la conformité procédurale et la compétence diagnostique reste importante. Un opérateur peut suivre une procédure qui incarne la mauvaise priorité. Un titulaire de licence peut documenter la formation sans recréer les signaux et la pression temporelle du danger. Un régulateur peut clore une action après avoir reçu une soumission sans observer une performance durable. Une véritable réparation nécessite donc des preuves de résultat, y compris les résultats de simulateur, les observations sur le terrain, la performance de réponse aux alarmes et les tests récurrents face à des indications dégradées ou contradictoires.

Réponse d'urgence et responsabilité publique

L'urgence de TMI-2 n'était pas seulement un problème de contrôle du réacteur. C'était un problème de gouvernance de l'information impliquant le titulaire de licence, la Pennsylvanie, la NRC, d'autres agences fédérales et le public. Les premières notifications n'ont pas fourni à tous les entités des informations cohérentes sur l'état de la centrale et les rejets. L'incertitude technique était inévitable; les descriptions contradictoires et l'autorité décisionnelle floue ne l'étaient pas. La Commission présidentielle a décrit une confusion grave et recommandé un commandement d'urgence, des communications et une planification plus clairs.

Les faits radiologiques exigent une formulation prudente. La synthèse actuelle de la NRC estime qu'environ deux millions de personnes autour de la centrale ont reçu une dose supplémentaire moyenne d'environ un millirem, la dose maximale à la limite du site étant inférieure à 100 millirem au-dessus du bruit de fond. Elle indique que des études approfondies n'ont trouvé aucun effet sur la santé détectable attribuable à l'accident. Lecompte rendu archivé de l'EPA sur son rôle de surveillancedécrit un réseau élargi utilisé pour évaluer les rejets. Ces évaluations officielles étayent une faible dose mesurée à la population; elles n'établissent pas la dose exacte pour chaque personne, n'éliminent pas toute incertitude épidémiologique, et n'annulent pas les conséquences sociales et psychologiques des avertissements confus.

La réforme post-TMI a divisé les autorités plus clairement. Une réorganisation fédérale a donné au président de la NRC une autorité d'urgence supplémentaire; lerecueil officiel des plans de réorganisationidentifie les lacunes de la gestion de crise à l'époque de TMI. La FEMA a assumé un rôle principal pour la planification hors site, tandis que la NRC conservait la responsabilité de la préparation sur site et de la performance des titulaires de licence. Les critères conjointsNUREG-0654/FEMA-REP-1ont établi une base plus systématique pour les plans d'urgence radiologique et la préparation.

Ces réformes clarifient un principe de responsabilité: l'incertitude devrait changer le mode de décision, et non suspendre la responsabilité. Lorsque les estimations du terme source sont instables, les responsables ont besoin d'intervalles de confiance explicites, de propriétaires de décision désignés, de données horodatées et de seuils d'action de protection convenus à l'avance. TMI a plutôt montré comment des rapports techniques non vérifiés pouvaient circuler plus vite que leurs réserves.

La confiance du public a été endommagée non seulement par les radiations, mais par un désaccord visible sur ce que les autorités savaient et qui était aux commandes.

Attribuer la responsabilité sans amalgamer les rôles

Opérateurs de la salle de commande.Les opérateurs exerçaient un contrôle immédiat sur l'injection de sécurité, la décharge, les pompes de refroidissement du réacteur et l'isolement de la vanne de la PORV. Leurs actions font donc partie de la cause opérationnelle directe. Mais les archives probatoires ne permettent pas de décrire l'équipage comme une source de défaillance indépendante, détachée de la conception et de la formation. Ils ont interprété un voyant de commande comme une fermeture, se sont fiés au niveau du pressuriseur, ont suivi la préoccupation apprise concernant un système plein d'eau et ont travaillé à travers une tempête d'alarmes non hiérarchisées. La responsabilité des opérateurs porte sur les décisions prises dans cet environnement; la responsabilité institutionnelle porte sur la création et l'acceptation de cet environnement.

Metropolitan Edison et GPU.Le titulaire de licence détenait la responsabilité d'exploitation non délégable. Il contrôlait le personnel, les procédures, la maintenance, la mise en œuvre de la formation, la réparation de l'imprimante d'alarmes, les modifications de la centrale, le soutien technique et la notification d'urgence. Le respect des conditions minimales de licence de la NRC ne constituait pas une défense complète face à un danger visible à travers l'expérience de la centrale et du fournisseur. Le titulaire avait également la plus forte capacité locale pour tester ce que le voyant de la PORV prouvait réellement, si les opérateurs pouvaient diagnostiquer une petite brèche et si la maintenance corrective rétablissait la fonction.

Babcock & Wilcox et autres fournisseurs.Le fournisseur du réacteur contrôlait les connaissances en conception et l'expérience inter-centrales. Ses centrales avaient présenté des problèmes de PORV, et Davis-Besse a fourni un précurseur particulièrement pertinent. La responsabilité du fournisseur repose sur l'analyse des dangers, la conception précise des interfaces, la communication technique sans ambiguïté et la remontée de schémas observés chez les clients. Il ne s'agit pas d'une conclusion selon laquelle le fournisseur contrôlait le quart de TMI ou que chaque défaut de composant entraînait une responsabilité juridique. Les preuves étayent un échec à rendre les connaissances du système opérationnellement efficaces.

La NRC.Le régulateur a autorisé la conception et les opérateurs, inspecté la centrale, fixé les normes de formation et d'urgence et contrôlé la communication de sûreté à l'échelle de l'industrie. Les enquêtes officielles ont constaté que son approche n'avait pas suffisamment mis l'accent sur les facteurs humains, la qualité de la gestion, le comportement en petite brèche ou la synthèse de l'expérience d'exploitation. Lerapport NUREG-0585du groupe de travail de la NRC sur les enseignements à tirer a appelé à des changements fondamentaux dans la conception, l'exploitation et le processus réglementaire. La responsabilité réglementaire n'est pas le commandement opérationnel, et la NRC n'a pas ouvert ni isolé la PORV. Il s'agit de la responsabilité du système d'assurance qui a accepté le régime de conception et de qualification.

Organismes gouvernementaux d'urgence.Les autorités de Pennsylvanie ont pris les décisions d'action de protection; la NRC a évalué la sûreté du réacteur et les rejets; d'autres entités fédérales ont surveillé les radiations et soutenu l'intervention. L'autorité fragmentée et les communications ont nui à la responsabilité publique. L'attribution ultérieure de la direction de la planification hors site à la FEMA reflète la réparation d'une interface institutionnelle, et non la preuve que chaque décision des autorités étatiques ou fédérales de 1979 était négligente.

Le U.S. Government Accountability Office est parvenu à une conclusion également systémique dans sonexamen de 1980 des principales enquêtes: les enquêteurs ont généralement identifié un dysfonctionnement de l'équipement, une formation inadéquate, une conception médiocre de la salle de commande et des procédures, ainsi que des lacunes réglementaires connues. Un audit gouvernemental résume et évalue les preuves; il ne juge pas de la responsabilité civile ou pénale. Sa valeur réside dans la convergence entre les enquêtes.

Situation juridique et procédurale

L'accident a généré des mesures d'application, des procédures d'autorisation et des litiges civils, mais aucune procédure unique n'a fourni une attribution juridique complète de toutes les responsabilités de l'accident. Les conclusions analytiques ci-dessus doivent donc rester distinctes des issues judiciaires.

Metropolitan Edison a plaidé coupable plus tard de falsification criminelle des rapports de tests de taux de fuite antérieurs à l'accident, comme le résume unbulletin archivé du ministère de la Justice des États-Unis. Ce plaidoyer de l'entreprise est une décision juridique concernant un comportement de déclaration spécifié. Il ne doit pas être étendu à la preuve que des tests falsifiés ont causé la séquence de la PORV, que toutes les conditions contestées antérieures à l'accident ont été dissimulées, ou qu'un individu particulier a encouru une responsabilité pénale.

DansMetropolitan Edison Co. c. PANE, la Cour suprême a décidé de la portée de l'examen environnemental associé au redémarrage proposé de la tranche 1 non endommagée, y compris si les effets sur la santé psychologique étaient suffisamment liés à un changement de l'environnement physique pour l'analyse en vertu de la National Environmental Policy Act en cause. L'arrêt n'était pas un verdict de responsabilité civile sur la cause de l'accident de TMI-2, les dommages radiologiques ou l'intention de l'entreprise.

Les litiges ultérieurs en dommages corporels ont également reposé sur des preuves définies. DansIn re TMI, 193 F.3d 613 (3d Cir. 1999), la cour d'appel a confirmé le jugement sommaire en faveur des défendeurs parce que les preuves admissibles des plaignants ne permettaient pas de démontrer la dose et la causalité requises dans ces affaires; elle a considéré une erreur de preuve comme inoffensive. Ce résultat procédural n'est pas logiquement équivalent à une conclusion selon laquelle aucune matière radioactive n'a été rejetée, aucun résident n'a subi de stress, ou aucun contrôle institutionnel n'a échoué. Il établit ce que ces plaignants n'ont pas prouvé dans ce dossier en vertu de la norme juridique applicable.

Cette séparation protège l'analyse de responsabilité contre deux erreurs opposées. Une critique d'enquête ne peut pas être présentée comme une condamnation pénale. Un jugement en défense sur le lien de causalité ne peut pas être présenté comme une certification affirmative que les opérations et les communications d'urgence étaient adéquates. La portée juridique, la charge de la preuve et la réparation importent.

Ce que le nettoyage et les examens ultérieurs ont prouvé

Les premières estimations de l'accident ne pouvaient pas voir l'intégralité du cœur. Les instruments étaient endommagés, hors échelle ou indirects, et la cuve du réacteur ne pouvait pas être ouverte immédiatement. Le nettoyage est devenu un long processus probatoire. L'enlèvement du couvercle de la cuve a commencé en 1984, le retrait du combustible en 1985 et le déchargement principal s'est poursuivi jusqu'en 1990. Ledossier de la tâche de nettoyage et d'examen de TMI-2de la NRC indique qu'au moins 19 tonnes métriques de matière du cœur déplacée ont atteint le plénum inférieur. Des recherches ultérieures du ministère de l'Énergie résumées par l'OSTIont conclu qu'au moins 45 % du cœur a fondu et que près de 19 tonnes se sont déplacées vers le fond de cuve inférieur.

Ces preuves physiques modifient la certitude de la constatation de dommages au cœur. Elles confirment une fusion et un déplacement importants, tout en montrant que le fond de cuve inférieur n'a pas cédé. L'enceinte a de même limité les conséquences hors site même si des matières se sont échappées par des voies du bâtiment auxiliaire et que des rejets contrôlés ont eu lieu pendant le nettoyage. La défense en profondeur a partiellement fonctionné après l'échec de la prévention et du diagnostic. Ce n'est pas une contradiction; les couches de sauvegarde sont conçues précisément parce que les contrôles antérieurs peuvent échouer.

Le nettoyage a également mis à l'épreuve la protection des travailleurs, la gestion des déchets, le traitement de l'eau, le contrôle de la criticité et l'instrumentation dans un environnement endommagé. Lesupplément 2 du recueil de gestion des connaissances de la NRCconserve les enseignements de la stabilisation et du déchargement du combustible, plutôt que de traiter l'événement comme terminé lorsque l'urgence publique a pris fin. La fiche d'information de la NRC indique qu'environ 2,23 millions de gallons d'eau générée par l'accident ont été traités en août 1993 et qu'environ 99 % du combustible a été retiré. La tranche est passée en stockage sous surveillance après déchargement, avec une licence de simple possession.

Lestatut actuel de l'installation TMI-2 selon la NRCfournit une limite plus précise. Il estime les matières résiduelles contenant du combustible à moins de 1 125 kilogrammes, soit environ un pour cent de l'inventaire initial du cœur, dans des emplacements du système de refroidissement et hors cuve. Il identifie le statut DECON, indique que la NRC examine un rapport de démantèlement modifié soumis en octobre 2025 et cite 2052 comme date de fermeture estimée. Il s'agit de faits réglementaires actuels, et non de preuves que la tranche endommagée a été réparée pour l'exploitation.

La distinction entre TMI-2 et la tranche 1 est essentielle. La tranche 1 était physiquement séparée et non endommagée par l'accident de cœur de 1979. Elle a redémarré plus tard, fonctionné et s'est arrêtée en 2019; l'activité fédérale actuelle concernant un redémarrage potentiel appartient à la tranche 1, désormais appelée Crane Clean Energy Center, et non à TMI-2. Lapage actuelle de la NRC pour la tranche 1documente cette situation d'autorisation distincte. Tout récit affirmant que « Three Mile Island a été réparée et redémarrée » sans identifier la tranche occulte le dossier physique et juridique.

Les preuves des coûts de nettoyage ont également besoin d'être datées. Unexamen du GAO de 1981 sur le financement du nettoyagea évoqué une estimation d'environ 1,034 milliard de dollars et une incertitude substantielle sur le financement. C'était une estimation contemporaine, et non une conclusion définitive de coût corrigée de l'inflation. Sa valeur de responsabilité réside dans la démonstration de la manière dont une défaillance d'exploitation a transféré des charges financières, de gestion des déchets et de gouvernance publique de longue durée au-delà de l'événement lui-même.

La réforme est une preuve de reconnaissance, non une preuve automatique de réparation

Les réformes de la NRC et de l'industrie après TMI ont été considérables. La NRC a publié des bulletins immédiats, augmenté l'inspection résidente, révisé la formation et la licence des opérateurs, renforcé la préparation aux urgences, exigé des examens de la conception des salles de commande et des affichages des paramètres de sûreté, élaboré des guides d'exploitation d'urgence axés sur les symptômes, et créé des fonctions plus solides de retour d'expérience. L'industrie a créé l'Institute of Nuclear Power Operations pour ajouter l'évaluation par les pairs et l'échange de performances. La NRC a consolidé les exigences approuvées et les calendriers de mise en œuvre dansNUREG-0737, tandis que sesarchives du Plan d'action TMImontrent l'ampleur et le statut final des tâches individuelles.

L'assurance des vannes est devenue plus explicite. Les tâches post-TMI ont traité de l'alimentation électrique, de l'indication de position et de la fiabilité des soupapes de décharge du pressuriseur et des vannes d'isolement. Lalettre générique 90-06de la NRC a documenté la résolution des questions génériques sur la fiabilité de la PORV et des vannes d'isolement, y compris le rôle de l'indication de position en salle de commande et de l'alimentation qualifiée. Le dossier réglementaire explique également pourquoi toutes les améliorations souhaitées ne sont pas devenues des modifications de sûreté universelles. Les analyses coûts-avantages et les déterminations spécifiques aux centrales sont restées partie intégrante du processus. Cette limitation devrait être visible lorsqu'on juge de la complétude de la réforme.

La clôture des actions est une preuve administrative: une exigence a été émise, une soumission acceptée ou une tâche résolue autrement. Elle ne prouve pas que les contrôles restent efficaces pendant des décennies. L'examen de l'avancement du Plan d'action du GAO de 1985a appelé à un inventaire complet des nombreux éléments post-TMI; la NRC en a fourni un par la suite et le GAO a clos sa recommandation. C'est une preuve de traçabilité utile, mais ce n'est pas une garantie de performance centrale par centrale.

L'application ultérieure fournit un test concret de cette distinction. En 1998, la NRC a émisl'avis de violation EA-97-533pour la tranche 1 distincte de TMI. Après un remplacement de la PORV en 1995, des erreurs de câblage ont rendu la vanne inopérante, et des tests insuffisants après maintenance n'ont pas détecté la condition pendant un cycle d'exploitation de 23 mois. La NRC a classé la violation au niveau de gravité III. L'agence a crédité l'identification et l'action corrective et n'a pas imposé l'amende civile envisagée.

Cette violation ultérieure n'a pas reproduit la défaillance de 1979: la vanne de la tranche 1 était incapable de s'ouvrir, alors que la vanne de la tranche 2 est restée bloquée ouverte, et aucun accident n'en a résulté en 1995-1997. Son signal de responsabilité est plus étroit et plus durable. Même sur un site défini par un accident de PORV, les techniciens, la vérification indépendante et les contrôles de travail ont tous pu accepter une connexion incorrecte, tandis que les tests n'ont pas réussi à prouver la réponse réelle de la vanne. La leçon n'est pas que la réforme a été vaine.

C'est que les chemins de commande, les indications et la complétude papier restent des substituts inadéquats à la vérification fonctionnelle.

Le modèle de réparation le plus solide est donc cyclique. Un titulaire de licence doit identifier la fonction de sûreté, instrumenter l'état physique, former contre des indications dégradées crédibles, tester le composant après maintenance, observer la performance dans des scénarios réalistes, capturer les événements précurseurs, contester indépendamment les preuves de clôture et garder le résultat visible pour la direction et le régulateur. La NRC doit inspecter suffisamment de ce cycle pour détecter les dossiers qui se sont écartés de la fonction.

Contrôles contrefactuels et responsabilité mesurable

Plusieurs contrôles auraient pu interrompre la séquence sans exiger une prédiction parfaite. Une indication directe et qualifiée de la position réelle de la PORV aurait pu contredire le voyant de commande. Un affichage proéminent intégrant la pression, la température, la marge de sous-refroidissement et l'inventaire aurait pu remettre en cause le recours au niveau du pressuriseur. Une alarme de haute priorité pour une décharge soutenue de la PORV, étayée par une logique de débit de drainage ou de température validée, aurait pu focaliser l'attention.

Les procédures auraient pu exiger un isolement précoce de la vanne d'isolement lorsque les preuves de décharge persistaient après un ordre de fermeture. Les scénarios de simulateur auraient pu répéter le schéma de Davis-Besse jusqu'à ce que les équipages démontrent une injection soutenue et un diagnostic basé sur les symptômes.

Ces contrefactuels sont descontrôles étayés, et non des affirmations selon lesquelles un seul aurait certainement évité tous les dommages. Les capteurs peuvent tomber en panne, l'isolement peut créer des problèmes de surpression, et les conditions d'accident peuvent dépasser les modèles. Leur valeur est cumulative. Des canaux de preuve indépendants rendent plus difficile la domination d'un indicateur trompeur unique. La procédure et la formation rendent les preuves exploitables. Les tests fonctionnels prouvent que la réparation atteint la centrale. Les programmes de retour d'expérience rendent les échecs antérieurs disponibles avant leur répétition.

La responsabilité peut être mesurée par rapport à cette chaîne:

1. L'organisation a-t-elle identifié la fonction de sûreté physique pertinente plutôt que le simple état commandé?
2. A-t-elle acquis des preuves de précurseurs de sa propre centrale, du parc du fournisseur et du régulateur?
3. A-t-elle évalué les preuves pour des conditions au-delà du fonctionnement normal?
4. A-t-elle modifié les instruments, les procédures, la formation et les interfaces d'urgence?
5. A-t-elle testé le changement dans des conditions d'indications réalistes et contradictoires?
6. La surveillance indépendante a-t-elle vérifié la performance physique plutôt que la seule complétude documentaire?
7. L'organisation a-t-elle surveillé les récurrences et rouvert le dossier lorsque des preuves ultérieures contredisaient la clôture?

TMI-2 a échoué sur une grande partie de cette chaîne avant le 28 mars 1979. Les réformes post-accidentelles en ont construit de nombreux éléments. Le dossier d'application de la tranche 1 montre pourquoi les deux dernières questions ne peuvent pas expirer.

Conclusion sur la responsabilité

Three Mile Island a fait de l'instrumentation un test de responsabilité parce que la question décisive n'était pas de savoir si des données existaient. C'était de savoir si les institutions rendaient l'état physique du réacteur connaissable et exploitable avant que les opérateurs ne perdent le contrôle du refroidissement. Le voyant de la PORV montrait une commande, le pressuriseur montrait un niveau local, les fenêtres d'alarme montraient des centaines d'écarts de composants, et l'imprimante tentait de montrer la séquence.

Aucun n'a répondu de manière fiable à la question de sûreté qui importait: l'inventaire du réacteur était-il en train d'être perdu par une voie de décharge ouverte?

Les preuves étayent une attribution systémique. La PORV bloquée et la perte d'eau d'alimentation ont déclenché l'événement. Les réductions d'injection par les opérateurs et l'isolement retardé l'ont laissé s'aggraver. Metropolitan Edison était responsable de l'exploitation sûre, des procédures, de la formation, de la maintenance et du commandement d'urgence. Babcock & Wilcox était responsable de la connaissance de la conception et de l'utilisation efficace des preuves de précurseurs dans l'ensemble du parc. La NRC était responsable des normes, de l'autorisation, de l'inspection et de l'apprentissage à l'échelle de l'industrie.

L'enceinte, le fond de cuve inférieur, le refroidissement ultérieur et un nettoyage approfondi ont limité les conséquences, mais il s'agissait de couches de récupération après l'échec de la prévention et du diagnostic.

Cette conclusion n'établit pas d'intention criminelle, de responsabilité civile individuelle ou de constatation universelle de causalité sanitaire. Elle préserve la portée limitée du plaidoyer de l'entreprise sur les rapports et des décisions de justice ultérieures. Elle distingue également les faibles estimations officielles de doses à la population de l'échec documenté de la communication d'urgence et de l'incertitude dosimétrique au niveau individuel.

De nouvelles preuves matérielles pourraient modifier l'attribution si des documents authentifiés montraient qu'une institution responsable a délivré un avertissement clair fondé sur Davis-Besse que la direction de TMI a reçu, testé et correctement mis en œuvre; si des journaux auparavant indisponibles résolvaient l'attribution d'une décision contestée ou le déclencheur initial de l'eau d'alimentation; si une nouvelle dosimétrie ou épidémiologie modifiait matériellement les conclusions sur les rejets et la santé; ou si le démantèlement révélait des dommages au cœur ou à l'enceinte incompatibles avec les examens actuels.

En l'absence de telles preuves, la conclusion la plus solide reste concise: TMI-2 est devenue grave lorsqu'une défaillance maîtrisable de l'équipement a traversé une indication non vérifiée, un diagnostic inadéquat et une réponse retardée, et la responsabilité incombe à chaque institution qui contrôlait ces mesures de protection.