スリーマイル島原発事故：制御室計装が問う説明責任

概況

1979年3月28日午前4時00分頃、TMI-2 は通常給水を喪失し、タービンがトリップ、原子炉圧力が上昇、加圧器逃がし弁（PORV）が開き、原子炉は自動停止した。その後 PORV は再閉鎖に失敗した。開固着したこの弁により小破断冷却材喪失が発生し、運転員が下流の隔離弁を閉じるまで約2時間22分間停止されなかった。
PORV に関連する制御室の表示灯は、電気的閉信号が送られたことを示したが、弁が物理的に閉じていることは示さなかった。そのため運転員には安心できる指令状態信号が示されていたが、通常より高温のドレン配管、格納容器内放射線レベルの上昇、格納容器サンプ水位の上昇、原子炉冷却材圧力の低下は、冷却材の吐出が継続していることを示していた。これらの状態は、計器上で冷却材保有量や弁位置を直接示す情報に統合されていなかった。
運転員は高圧注入を絞り、レットダウンを継続した。これは加圧器水位が上昇しており、訓練において加圧器が完全に水で満たされる（水固体）状態を回避することが強調されていたためである。実際の二相流状態では、加圧器水位は原子炉容器内の保有量を正しく反映していなかった。この操作により、開いた PORV が冷却材を排出し続ける中で補給量が減少した。
個々の運転操作は重要ではあるが、それらは組織によって設計・供給・認可・管理されたシステムの中で行われた。President's Commission は、制御室設計、手順、訓練、管理、運転経験の共有、NRC 規制に欠陥があると指摘した。NRC や議会の監査記録は、後にこれらの指摘事項の多くを、安全パラメータ表示システム、制御室設計レビュー、シミュレータ訓練、緊急時操作手順、運転経験プログラム、緊急事態準備などの要件に反映させた。
1977年、Babcock & Wilcox 社の Davis-Besse 発電所で発生した類似事象では、PORV の開固着、加圧器水位の上昇、系統圧力の低下、高圧注入の絞り込みが発生した。この事象では炉心損傷には至らなかったが、TMI で後に見られるパターンは十分に予見可能なものとなり、そのためには規律ある分析と全炉心への情報伝達が必要であった。問題は、全ての関係者が厳密な事故の進展を予測できなかったことではなく、価値の高い前兆事象が強固な診断・訓練管理に結び付かなかったことにある。
緊急時対応は、第二の説明責任問題を加えた。発電所、州政府、連邦政府の参加者は共通のタイムリーな状況認識を欠き、一般向け情報発信は一貫性を欠き、防護措置の決定は不確かなソースタームと線量情報の中で行われた。これらの欠陥は、後に公式評価によってオフサイト放出による平均線量は低く、検出可能な集団健康影響は確認されなかったとされたこととは別問題である。
クリーンアップとその後の調査は、原子炉そのものではなく、証拠記録の一部を修復した。その後の燃料取り出しと研究により、炉心材料の広範な溶融と移行が確認されたが、原子炉容器下部鏡板と格納容器は重要な安全機能を保持した。最終的に当初の燃料装荷量の約99%が除去されたが、残留燃料含有物が残っており、TMI-2 は依然として廃止措置中であり、NRC はサイト閉鎖予定日を2052年としている。
説明責任の結論は、制度的かつ制御ベースのものであり、犯罪意図や自動的な個人責任を主張するものではない。Metropolitan Edison は運営責任を保持し、Babcock & Wilcox は重要な設計知識と前兆事象情報を管理し、NRC は認可基準、検査および業界全体の学習を管理していた。調査結果、事故前の漏洩試験報告に関する後の企業刑事答弁、再起動訴訟、放射線不法行為訴訟は、それぞれ異なる手続き的範囲を持ち、事故に関する単一の法的評価にまとめてはならない。

証拠の境界：確信を持って言えること

最も信頼できる共通の時系列情報は、President's Commission 報告書、NRC 検査・執行局（Office of Inspection and Enforcement）によるNUREG-0600 調査、通称 Rogovin 報告書と呼ばれる NRC 特別調査（エネルギー省OSTI 記録経由で入手可能）、および NRC の後のThree Mile Island 知識管理ダイジェストから得られる。これらは調査の権限や再構築の詳細において一部異なるものの、いずれも刑事判決ではない。しかし、これらの情報は総合的に、給水喪失、原子炉トリップ、PORV が開固着、開放された逃がし経路の認識不足、緊急注入の絞り込み、長期にわたる冷却材喪失、炉心露出、深刻な燃料損傷という中核的シーケンスを支持している。

本記事では、5つの証拠ラベルを使用する。確認された事実は、複数の公式記録の一致、または後の物理的調査によって裏付けられていることを意味する。裏付けられた推論は、確認された状況と制御パフォーマンスから結論が導かれるが、それ自体は司法判断ではないことを意味する。議論のある主張は、公式見解や証言、後の訴訟において、原因の帰属に重要な点で相違があったことを意味する。不明は、現存する記録から信頼できる結論を導き出せないことを意味する。法的認定は、裁判所や規制当局が所定の基準に基づいて特定の事項について事実上判断したことであり、その範囲を超えるものではないことを示す。

このラベル付けの規律が重要なのは、TMI-2 事故が複数の異なる記録を生み出したためである。計器の読み値と運転員のログは、事故が進行する中でそれを記述した。調査報告書は数か月後に行動を再構築した。燃料取り出しと金属組織学的調査は数年後に損傷を明らかにした。規制措置は将来的な要件を確立した。裁判所は、特定の申し立てにおける環境審査の範囲、認可または証明に関する争点を判断した。NRC の現在の事故背景解説は有用な公式統合資料であるが、後の要約が、制御室内に存在した不確実性や訴訟で残った意見の相違を消し去るものであってはならない。

トリップ前：誰が何を制御していたか

TMI-2 は、Babcock & Wilcox 社が供給し、General Public Utilities システムの一部である Metropolitan Edison 社が運営する加圧水型原子炉（PWR）であった。運転管理責任の所在は曖昧ではなかった。すなわち、事業者（認可取得者）は、プラントの安全運転、設備保守、運転員の資格認定、手順の確立、認可条件の順守に責任を負っていた。ベンダーである Babcock & Wilcox は、原子炉システムの設計知識、技術ガイダンス、および他の Babcock & Wilcox プラントで観察された事象に関する重要情報を管理していた。NRC は、認可規則、運転員認可基準、検査、法執行、及び一般的な安全情報の周知を管理していた。

これらの役割は制御室内で重複していた。弁メーカーは構成部品を供給できるが、その状態がどのように表示されるかは、原子炉供給者と設計・建設会社が決定した。事業者は NRC が承認した基準に基づいて訓練できたが、規制当局の承認は、事業者が自らの訓練をプラントに適合させる義務を移転するものではなかった。NRC は運転員になることなく設計を審査できたが、NRC の規則と検査は、どのヒューマンファクター上の欠陥が強制的な是正を受けるかを形作った。したがって、説明責任は、単に操作卓の近くにいることではなく、当該の安全機能に対する制御の所在に従う。

このプラントは商業運転を開始したばかりで、1978年12月のことだった。運転員は認可を受けており、President's Commission によれば、その認可プロセスにおける成績は全国平均を上回っていた。この事実は重要である。なぜなら、単純な「無資格のクルー」というストーリーを否定するからである。しかし、同じ報告書は、訓練体制、NRC 試験、プラント手順が、彼らが遭遇した状況に対して適切に準備させていなかったと結論づけている。正式な資格と運用上の即応性は同等の制御とは言えなかった。

前兆事象の記録も重要である。1977年9月、同じく Babcock & Wilcox 社のプラントである Davis-Besse で、給水過渡事象が発生し、PORV が開固着した。系統圧力が低下し、加圧器水位が上昇し、運転員は隔離弁を閉じる前に高圧注入を中断した。この事象は炉心損傷なしに終わったが、後に TMI-2 で重大な問題となる誤解を招く関係性、すなわち加圧器水位の上昇と原子炉一次系保有量の喪失が同時に起こり得ることを露呈した。President's Commission は、Babcock & Wilcox 社がこの潜在的重大性を内部的に認識していたものの、TMI 運転員に対して彼らの行動を変えるような形では伝わらなかったと報告している。これは情報伝達の失敗として確認されている。どのようなコミュニケーションがあれば、異なる対応を保証できたかは、依然として不明である。

判断前の時系列

午前4時00分～4時08分：トリップ、逃がし、最初の誤った安心感

1979年3月28日午前4時00分頃、TMI-2 がほぼ定格出力で運転中に、主給水ポンプが停止した。調査官は二次側の復水・給水系統を通じて作動シーケンスを追跡したが、最初の機械的あるいは電気的な詳細な発端は、後の原子炉冷却材喪失シーケンスほど確実には特定されなかった。確実に言えるトリガーは「通常給水の喪失」であり、より具体的で裏付けのない単一コンポーネント理論ではない。

タービンは数秒以内にトリップした。蒸気需要が急減したことで、一次系の熱と圧力が上昇した。PORV はその圧力設定値で自動的に開いた。その後、原子炉はスクラムし、核分裂連鎖反応は停止したが、崩壊熱は残り、依然として冷却が必要であった。非常用給水ポンプが起動したが、蒸気発生器への両方の流路は当初、閉じた弁によって隔離されていた。一方の弁の状態表示灯は保守用の札で隠されており、運転員はもう一方の弁の閉止を見落とした。これらの弁は、事象発生から約8分後に開かれた。委員会はこの遅れが最終的な炉心損傷に決定的な影響を及ぼさなかったと結論づけたが、最も悪いタイミングで作業負荷と混乱を増大させた。

PORV は圧力が低下すれば閉じるはずであった。機械的には閉じなかった。電気的には、制御システムが開信号を除去し、パネルの表示灯が消灯した。したがって、表示灯は実際の弁位置ではなく、指令状態を表していた。通常運転では、この区別は隠れたままかもしれない。この事故では、それが制御室のメンタルモデルをプラントの実態から切り離した。運転員は一次系の逃がし経路が閉じたと信じていたが、実際には原子炉冷却材がそこから流出し続けていた。

これは全く証拠がなかったわけではない。下流のドレン配管温度は高かった。圧力は低下し続けた。格納容器サンプ水位は上昇した。後に、放射線レベルや建屋の状況も一次冷却材が本来のバウンダリから漏れ出していることを示した。しかし、PORV が開いていることを明確に示す単一の目立った表示は存在せず、制御室は原子炉冷却材の総保有量を直接かつ確実に示す手段を提供していなかった。したがって、即時検知の問題は、コンポーネント固有であると同時にシステム全体の問題でもあった。

午前4時02分～4時15分：自動補給が絞られる

トリップから約2分後、高圧注入（HPI）が自動的に開始され、一次系圧力の低下に応じて水を補給し始めた。これは、開いた PORV からの喪失を相殺するために必要な安全応答であった。運転員はすぐに HPI を大幅に絞った。この操作は、彼らが教えられていたプラントモデルに従ったものである。すなわち、加圧器水位が上昇しており、加圧器が完全に水で満たされる（水固体）と、圧力制御のクッションが失われ、プラント制御が複雑化するというものだ。彼らはまた、レットダウン（一次系からの意図的な水の抜き取り）を継続または増加させた。

実際の熱流動状態の下では、沸騰とボイド発生により水と蒸気が再分布していた。加圧器水位の上昇は、原子炉容器が満水であることを証明しなかった。圧力と水位は、運転員が小破断冷却材喪失事故として扱うように適切に訓練されていなかったパターンで動いた。この操作は運転上重大な結果をもたらした。補給流量は自動注入流量の数分の一にまで低下し、一方で開放された逃がし経路は利用可能なままだった。

約5.5分後、原子炉冷却材の状態は飽和に達し、単純な単相としての解釈はますます信頼できなくなった。午前4時11分頃、格納容器サンプ高レベル警報が発生した。午前4時15分頃、原子炉冷却材ドレンタンクのラプチャーディスクが開き、冷却材が格納容器サンプに放出された。これらは保有量喪失を裏付ける兆候であった。しかし、それらは「PORV は閉じた」そして「加圧器が満水になりすぎている」という、より認知的に優勢な信念を覆すには至らなかった。

重要なのは、運転員が完全に明瞭な計器を無視したわけではない点である。彼らは、複数のパネル、警報状態、およびシステム知識にまたがって統合を必要とする、部分的に妥当なシグナルに囲まれていた。後にNRC が後援した TMI-2 制御室のヒューマンファクター評価では、約750のアナンシエータウィンドウがあることが確認され、そのほとんどが警報に使用されていたが、効果的な優先順位付けはなされていなかった。調査官は、初期の数分間で100以上の警報が作動したと報告している。警報プリンターは大幅に遅れ、最終的に紙詰まりを起こした。情報は存在したが、システムはそれを信頼性高く診断に変換しなかった。

午前4時15分～6時22分：漏洩が継続し、メンタルモデルが固執する

午前4時20分頃までに、炉心状態の変化に伴う中性子の変動が計器に現れ始めた。サンプポンプは、午前4時39分頃に停止されるまで、汚染水を格納容器から補助建屋へ移送した。委員会は、最大で約8,000ガロンが移送された可能性があると推定した。この経路は、格納容器外への放出に寄与し、第二の境界問題を示している。すなわち、過酷事故が、通常の液体管理用に構成された系統を通じて物質を移動させており、その状態を担当者が認識する前であった。

技術者や監督者が到着したが、人員が増えても直ちに正しい診断が下されるわけではなかった。プラントの運転管理構造は、混雑した制御室に共通の証拠の優先順位を課す準備ができていなかった。午前4時45分頃、技術課長が制御室に到着した。逃がし経路の継続的な証拠は、全開の弁としてではなく、漏洩している弁として解釈され続け、表示灯は依然として閉止を示唆していた。

午前5時を過ぎると、蒸気ボイドと二相流の影響で、原子炉冷却材ポンプが振動し始め、ポンプ状態が悪化した。運転員は午前5時14分頃に2台のポンプを、午前5時41分頃に残りの2台を停止した。損傷またはキャビテーションを起こしているポンプを停止することは、理解可能な機器保護措置であったが、信頼できる自然循環が確保されていない中で強制循環を除去することになった。高圧注入は依然として、保有量を回復するのに必要な流量では使用されていなかった。

後の再構築によれば、午前6時15分頃までに、原子炉容器内の水位は炉心頂部以下に低下していた。午前6時22分、運転員が PORV 下流の隔離弁を閉じ、約2時間22分間にわたる主要な喪失経路を遮断した。誰の提案がその操作に直接つながったかについては、当時の証言に相違がある。その帰属は議論のある主張であり、制度的な結論には必須ではない。確実な事実は、制御室から利用可能な単純な隔離操作が、運営組織が弁の物理的状態を正しく特定していなかったために遅延した、ということである。

隔離弁を閉じたことでそれ以上の流出は止まったが、既に失われた保有量は回復しなかった。調査官は、最初の100分間で約32,000ガロンが逃がし経路を通じて流出したと推定した。炉心を回復するのに十分な注入は直ちには確立されなかった。後の再構築によれば、午前6時48分頃までに、炉心の大部分が露出していた可能性がある。初期の調査官は、この状態を生き延びるようにも定量化するようにも設計されていない計器から温度と損傷を推測しなければならなかった。後の物理的調査は、その証拠を大幅に修正し強化した。

午前7時以降数日間：緊急事態区分と安定化

事業者は午前7時直前にサイト緊急事態を宣言し、午前7時24分頃に全面緊急事態を宣言した。NRC 第 I 地域事務所がこの事象を最初に知ったのは、同事務所の開所時刻である午前7時45分頃であり、データを即時に受信・統合できる継続的に人員が配置された連邦オペレーションセンターを通じてではなかった。この時系列は、後の NRC の緊急時組織と通信の変更を支持するものであった。

冷却は最終的に再確立され、原子炉はより安定した状態になったが、一般市民向けの緊急事態は主要な漏洩が止まった時点で終わったわけではなかった。放射性物質は格納容器と補助建屋に移動していた。初日中に格納容器内で水素燃焼が発生し、後に原子炉系に蓄積した水素が懸念された。発電所、州、連邦当局者は、放出、炉心状態、さらなる拡大の可能性について不完全で、時に矛盾する情報を持っていた。

3月30日、放射性物質の放出報告を受け、ペンシルベニア州当局は、妊娠中の女性と就学前の児童に対して、5マイル以内から一時的に退避し、10マイル以内の人々は屋内退避するよう勧告した。これは一般的な強制避難ではなかった。この区別は重要であり、多くの住民が不確実性の中で自主的に避難したという事実も同様に重要である。TMI-2 の復旧に関する NRC 年次報告書のセクションアーカイブは、防護措置の勧告と、それを取り巻く通信の失敗の両方を記録している。

したがって、事故の段階には二つの安定化問題があった。運転員は、除熱を確立し、水素と放射性物質の保有を制御しなければならなかった。公的機関は、信頼できる共通の状況認識を確立しなければならなかった。原子炉がスクラムしたという事実だけで、どちらかを判断することはできない。停止は核分裂を止めたが、崩壊熱を除去したり、冷却材保有量を修復したり、水素発生を防いだり、信頼できる公的情報を提供したりはしなかった。

時計と損傷したプラントの整合

この説明における分単位の時刻は、全てが同じ証拠的品質を持つわけではない。タービントリップ、原子炉スクラム、自動信号はプラントシステムによって記録された。他の時刻は、運転員ログ、インタビュー、計算機記録、ストリップチャート、警報シーケンスから再構築された。事象発生中に便利な順序付き記録を保存すべき警報プリンターは、既に遅延し始めており、後に紙詰まりを起こした。調査官は複数の情報源を相関付けることができたが、何時間も後に印字されたタイムスタンプは、直接的なタイムスタンプ付きプロセス記録と同等ではない。したがって、4:00、6:22、7:24といった時刻は強力なイベントアンカーである。6:15や6:48における炉心水位と損傷の推定はモデルベースの再構築であり、近似値として記述される。

同じ階層がプラントの損傷にも当てはまる。事故中、制御室の計器は、圧力、局所水位、温度、放射線を示すことはできたが、炉心冷却の全体像を表示することはできなかった。一部の測定値はスケール外れとなり、他のものは蒸気、ボイド、過酷な環境条件、または水の所在に関する仮定の影響を受けた。初期の報告書は、熱的・化学的モデルを用いて燃料温度と炉心露出割合を推定した。これらの推定は、対応と調査に必要であったが、直接的な観察ではなかった。

数年後、燃料取り出しによって異なる証拠がもたらされた。損傷した燃料集合体、再凝固した物質、下部プレナム内のがれきや破片である。サンプリングと調査により、広範な溶融と移行が確認された一方で、下部鏡板は無傷のままであることも示された。後の証拠は、冷却が深刻に損なわれたという命題を強化し、1979年の計器だけが特定の瞬間に何を証明したかについての過度に正確な主張を制限する。また、事故時の計装が、即時の制御と後の再構築の両方を支援しなければならない理由も示している。測定範囲、環境耐性、またはシーケンス記録を失うシステムは、対応と説明責任を同時に損なう。

目撃者の行為の帰属にも同様の抑制が必要である。調査により、補助給水隔離弁が閉じており、トリップから約8分後に開いたことは確認できたが、なぜ閉じられていたかについては説明が分かれた。委員会は、この短い中断は最終的な炉心損傷に決定的ではないと判断した。したがって、未解決の弁のアライメントの原因を根本原因にすることは、誤解を招く。PORV 隔離弁を閉じることを誰が最初に提案したかについても、説明は様々である。安全制御の事実は、提案の所有権ではない。それは、運営組織が弁の物理的状態を検証していなかったために、利用可能な隔離操作を実行するのに約2時間22分を要したということである。

この統合により、より狭いがより強力な物語が生まれる。給水トリップが過渡事象を開始した。PORV の再閉鎖失敗が喪失経路を作った。制御室はその経路をすぐに認識しなかった。注入の絞り込みと隔離の遅延が保有量を使い果たした。後の調査で確認されたように、炉心は実質的に損傷した。正確な個々の思考プロセス、幾つかの操作の実施者、最初の給水チェーンの構成要素の原因は、不確かなままである。これらの未知の点は、個人への帰属を制約すべきであり、確認された因果連鎖を溶解するために使用されるべきではない。

工学的意思決定システムとしての制御室

最も重大な結果をもたらした計器は PORV 表示灯であったが、その表示灯だけに焦点を当てることは、設計の失敗を過小評価することになる。制御室の表示は、その意味が、運転員が行動しなければならない条件下で曖昧でない場合にのみ有用である。PORV 表示灯は、電磁弁が閉信号を受け取ったことを正確に示していた。それは、弁棒や弁体の位置を検証してはいなかった。インターフェースは、その限界を顕著に示してはいなかった。以前の TMI-2 での PORV 事象の後、表示灯が追加されたが、その改造後も、物理的な閉止ではなく制御信号を報告していた。是正処置は、安全機能を検証することなく、目に見える症状に対処した。

他の証拠は断片的であった。加圧器水位の表示は目立っていたが、二相流の際にはシステム全体の保有量の誤解を招く代理指標となった。ドレン配管温度は継続的な逃がしを示唆し得たが、運転員は漏洩の経験があり、その測定値を全開の弁の決定的な証拠とは見なさなかった。サンプ水位やラプチャーディスク警報は、物理的には下流の結果であり、直接的な診断ではなかった。主要な指標は背面パネルにあり、一部の値は計器範囲を超えていた。制御室の評価では、一次系総保有量、飽和を認識するために必要な圧力-温度関係、PORV 吐出流量、補助給水流量といった変数の直接的表示が欠落または不十分であることが確認された。

警報の量が問題を複雑にした。多数の警報窓が短期間に点灯し、安全上の重要度に応じた優先順位はなかった。シーケンスを保存することを目的としたプリンターは、数時間も遅延し、紙詰まりを起こした。プリンターの性能に関する以前の運転員からの苦情に対して、有効な是正が行われなかったと President's Commission は報告している。これは事故前からの修繕に関わる証拠である。すなわち、組織は報告すべき弱点を抱え、検証された対策を講じず、まさにシーケンス再構築が最も重要だった事象の最中にそのツールを失ったのである。

裏付けられた推論は、TMI-2 の検知失敗は情報アーキテクチャの失敗であったということである。プラントはデータを生成したが、インターフェースは、コンポーネントへの指令、局所的な量、警報の急増を、検証された安全機能（保有量は十分か、炉心は冠水しているか、崩壊熱は除去されているか、逃がし経路は物理的に隔離されているか）よりも優先させた。この推論は、NRC が後に実施した制御室設計レビュープログラムと整合する。これは、事業者にヒューマンファクターの欠陥を評価することを要求し、安全パラメータ表示システムの制度化に貢献した。

安全表示システムの存在自体が安全性を証明するものではない。NRC のGeneric Letter 89-06は、安全パラメータ表示システムが設置され、緊急時操作手順と訓練がそれらと統合されていることの認証を求めた。ここで重要なのは構造である。設置、手順の使用、訓練、認証が別個の管理策として扱われたことだ。画面やセンサーが購入されたからといって、ハードウェアが修復されたと宣言することはできなかった。

原因分類

トリガー：システムレベルでは確認、最初のコンポーネントレベルでは不確実。直接的なトリガーは午前4時00分頃の通常給水の喪失であった。復水脱塩装置、空気、給水制御シーケンス内の厳密な最初の故障は、現存する公式記録ではあまり確実ではなく、炉心損傷経路の説明には不要である。事故全体を、証明されていない樹脂閉塞や単一の保守操作のせいにすることは、証拠を誇張することになる。

根本原因：裏付けられた制度的所見。根本原因は、予見可能な小破断冷却材喪失状態を、炉心冷却が失われる前に認識し、制御できるように TMI-2 が設計・運営・規制されていなかったことである。この定式化は司法的ではなく、分析的なものである。これは、President's Commission が「根本的な問題は、プラントを製造、運転、規制した組織という広い意味での人々に関連するものであり、一人の人間の過失がすべての結果を引き起こしたという主張ではない」と結論付けたことと一致する。

直接的な物理的原因：確認された。PORV が高圧で開き、再閉鎖に失敗した。継続的な吐出により原子炉冷却材保有量が減少した。不十分な補給流量とその後の強制循環の喪失が、炉心露出、過熱、ジルコニウム-水反応、水素発生、燃料溶融、物質移行を許した。弁の故障は発生したシーケンスに必要不可欠であったが、安全装置がそれをタイムリーに終息させられなかった理由を説明するには十分ではない。

寄与条件：確認または強く支持されている。初期に閉じていた補助給水隔離弁が作業負荷を増加させた。PORV 表示が指令状態を表し、実際の弁位置を示さなかった。直接的な総保有量表示が存在しなかった。加圧器水位が過大評価された。警報に優先順位がなかった。警報プリンターが故障した。手順と訓練が水固体化の回避を優先した。小破断診断が弱かった。前兆事象の経験がプラント固有の対策に変換されなかった。管理指揮系統と技術支援が、曖昧な過酷事象に対する準備ができていなかった。規制当局の注意が他の事故モデルを重視していた。

検出の失敗：確認された。クルーは、複数の間接的な兆候があったにもかかわらず、開いた PORV をタイムリーに特定できなかった。説明責任は、運用上の解釈と、その解釈のために供給された情報の設計との間で共有される。閉指令信号を表す表示灯は偽の電気的表示ではないが、あたかもそれが機械的閉止を証明するかのように使用することは、偽の運用的命題を生み出す。この区別が、計装の教訓の中核である。

対応の失敗：状況を踏まえて確認された。運転員は高圧注入を大幅に絞り、レットダウンを継続し、隔離弁の閉止を遅らせ、状態が悪化する中で原子炉冷却材ポンプを停止した。これらの操作は冷却材喪失を悪化させるか、あるいは阻止できなかった。これらは、表示、手順、訓練の文脈で評価されるべきであり、その文脈によって免除されるべきものではない。組織的責任は、操作卓での行為主体性を消し去るものではない。それは、資格を持った複数の専門家が、首尾一貫しているが安全ではない一連の選択を行い得た理由を説明するものである。

緊急時対応の失敗：制度的に確認された。通報、技術評価、政府間調整、公的情報発信は、タイムリーな共通の状況認識を提供しなかった。NRC の緊急時準備の歴史は、TMI が計画と調整の弱点を露呈したことを明確に示している。この結論は、全ての防護措置の勧告が間違っていたと主張することを必要としない。

復旧と修復の証拠：複合的。格納容器と原子炉容器下部鏡板は重要な安全機能を果たした。運転員と技術チームは最終的に冷却を確立し、監視によりオフサイト放出の多くを特定し、その後のクリーンアップで大部分の燃料を除去し、汚染水を処理した。これらは確認された成功である。しかし、それらは事故を逆転させたわけではなく、廃止措置が進行中の案件であるが故に、物理的な復旧は依然として未完了である。

不明の事項。記録からは、全ての住民の正確な個人線量、炉心の各領域の正確な瞬間温度履歴、ある一つの早期操作が異なっていた場合の仮想的結果、全ての重要な制御室での決定の決定的な単独の実行者を確立することはできない。また、Davis-Besse に基づく一つの警告が TMI を必ず防止したであろうことも証明できない。これらのギャップは、個人的および仮想的な主張を制限するものであり、管理策が不十分であったというシステムレベルの所見を制限するものではない。

訓練、手順、運転経験活用の失敗

訓練は、それがストレス下で運転員が何を認識できるかを変えるときに説明責任を果たしていることになり、単にライセンスと出席記録を生み出すときではない。TMI-2 の要員は要求されたプログラムを修了していたが、そのプログラムは、加圧器水位が上昇する小破断喪失に対する信頼できるモデルを彼らに与えなかった。シミュレータは関連する状態を適切に再現せず、試験は統合された診断問題を十分に深く調査しなかった。運転手順は、圧力低下と水位上昇から持続的な注入と PORV 隔離に至る決定的な症状ベースの経路を提供していなかった。

NRC の事故直後の速報は、欠落していた管理策が事象後にどれほど速やかに明確になったかを示している。IE Bulletin 79-05Aは暫定的な時系列を配布し、運転員への即時のレビューと対応を要求した。IE Bulletin 79-06Bは、単一の表示に基づいて判断する危険性や補助給水の利用可能性を検証する必要性など、運転上の誤りや不整合に対処した。これらは慎重な対応であったが、そのタイミングは、既存の管理策が、既知の原子炉挙動を炉全体の実践に変換していなかったことをも示している。

Davis-Besse は、千里眼を要求することなく予見可能性をテストするものであるため、中心的な重要性を持つ。以前の事象は、TMI の全ての状況を再現しなかった。しかし、それは、開放された逃がし経路、圧力低下、加圧器水位上昇、注入絞り込みという運転上危険な組み合わせを再現した。Babcock & Wilcox は、個々の TMI 運転員が持たないクロスプラントの視点を持っていた。Metropolitan Edison は、関連するベンダーと業界の経験を取得・評価する責任を負っていた。NRC は、一般的な安全情報の役割を担っていた。各機関は、事象報告から手順改訂、シミュレータシナリオ、試験、検証されたクルーのパフォーマンスに至る連鎖の中で、異なるリンクを制御していた。

事故後のプログラムは、これらのリンクをより明確にした。NRC のシミュレータ改善タスクは、リアリズム、複雑な過渡事象、診断を強調した。NRC の運転員認可以及び再資格認定タスクは、試験と再資格認定の期待値を拡大した。運転経験分析タスクは、集中的な評価と普及に取り組んだ。これらは共に、より強力な説明責任モデルを体現している。すなわち、前兆事象の証拠を収集し、その安全上の重要性を判断し、それをプラント管理に変換し、パフォーマンスをテストし、管理が機能しているという証拠を保持することである。

手順遵守と診断能力の区別は引き続き重要である。運転員は、誤った優先順位を組み込んだ手順に従うことができる。事業者は、ハザードの手がかりや時間的プレッシャーを再現することなく、訓練を文書化できる。規制当局は、提出版を受領した後、持続的なパフォーマンスを観察せずにアクションアイテムをクローズできる。したがって、真の修復には、シミュレータの結果、現場観察、警報対応パフォーマンス、劣化または矛盾した表示に対する再発テストなどの結果証拠が必要である。

緊急時対応と公的説明責任

TMI-2 の緊急事態は、原子炉制御の問題だけではなかった。それは、事業者、ペンシルベニア州、NRC、他の連邦機関、そして公衆を巻き込む情報ガバナンスの問題であった。初期の通報は、全ての参加者に一貫したプラント状態と放出情報を提供しなかった。技術的不確実性は避けられなかったが、矛盾する記述と不明確な意思決定権限は避けられたはずである。President's Commission は、深刻な混乱を報告し、より明確な緊急時の指揮、通信、計画を勧告した。

放射線に関する事実は、慎重な表現を必要とする。NRC の現在の統合資料は、プラント周辺の約200万人が、平均して約1ミリレムの追加線量を受け、サイト境界での最大線量はバックグラウンドを超える100ミリレム未満であったと推定している。また、広範な研究により、事故に起因する検出可能な健康影響は見つからなかったと報告している。環境保護庁の監視活動に関するアーカイブされた説明は、放出評価に用いられた拡大された監視ネットワークについて説明している。これらの公式評価は、測定された集団線量が低いことを裏付けているが、全ての人の正確な線量を立証したり、全ての疫学的不確実性を排除したり、混乱した警報の社会的・心理的影響を否定したりするものではない。

TMI 後の改革は、権限をより明確に分割した。連邦政府の再編により、NRC 委員長に追加の緊急時権限が与えられた。公式の再編計画の編集は、TMI 時代の危機管理の欠陥を特定している。FEMA がオフサイト計画の主導的役割を担い、NRC はオンサイトの準備と事業者パフォーマンスに対する責任を保持した。共同のNUREG-0654/FEMA-REP-1 基準は、放射線緊急時計画と準備のための、より体系的な基盤を確立した。

これらの改革は、ある説明責任の原則を明確にする。すなわち、不確実性は意思決定の様式を変えるべきであり、責任を停止させるべきではないということだ。ソースタームの推定値が不安定な場合、当局者は明示的な信頼区間、指名された意思決定者、タイムスタンプ付きデータ、事前に合意された防護措置のしきい値を必要とする。それとは逆に、TMI では、検証されていない技術報告がその前提条件よりも速く伝播し得ることを示した。公衆の信頼が損なわれたのは、単に放射線のせいではなく、当局が何を知っており、誰が指揮を執っているかについての目に見える意見の相違のせいであった。

役割を混同しない説明責任の割り当て

制御室運転員。運転員は、高圧注入、レットダウン、原子炉冷却材ポンプ、PORV 隔離弁に対して即時の制御を行った。したがって、彼らの操作は直接的な運転原因の一部である。しかし、証拠記録は、クルーを設計や訓練から切り離された独立した失敗の原因として描くことを支持しない。彼らは、指令灯を閉止と解釈し、加圧器水位に依存し、教えられた水固体化の懸念に従い、優先順位のない警報の嵐をくぐり抜けて作業した。運転員の説明責任は、その環境内での判断に対して負われるものであり、その環境を創出し、容認したことに対する組織の説明責任は別に存在する。

Metropolitan Edison と GPU。事業者は、委譲不可能な運転責任を保有していた。人員配置、手順、保守、訓練の実施、警報プリンターの修繕、プラント改造、技術支援、緊急時通報を管理していた。NRC の最小限の認可条件を満たすことは、プラントとベンダーの経験を通じて認識可能であったハザードに対する完全な防御にはならなかった。事業者はまた、PORV 表示灯が実際に何を証明するか、運転員が小破断を診断できるか、是正保守が機能を回復したかをテストする最も強力な現場の能力も有していた。

Babcock & Wilcox、その他サプライヤー。原子炉供給者は、設計知識とクロスフリートの経験を管理していた。そのプラントは PORV の問題を示しており、Davis-Besse は特に関連性の高い前兆事象を提供した。供給者の説明責任は、ハザード分析、正確なインターフェース設計、曖昧さのない技術コミュニケーション、顧客間でのパターンのエスカレーションに依拠する。これは、ベンダーが TMI のシフトを管理したとか、全てのコンポーネントの欠陥が法的責任を伴うという判断ではない。証拠は、システム知識を運転上効果的にしなかったことを示している。

NRC。規制当局は、設計と運転員を認可し、プラントを検査し、訓練と緊急時の基準を設定し、業界全体の安全コミュニケーションを管理していた。公式調査は、NRC のアプローチがヒューマンファクター、管理の質、小破断挙動、運転経験の統合を十分に強調していなかったと指摘した。NRC 自身のNUREG-0585「教訓」タスクフォース報告書は、設計、運転、規制プロセスの根本的変革を求めた。規制責任は運転指令ではないし、NRC が PORV を開閉したわけではない。それは、当該の設計と資格認定体制を承認した保証システムに対する責任である。

政府の緊急時組織。ペンシルベニア州当局は防護措置を決定し、NRC は原子炉の安全と放出を評価し、他の連邦機関は放射線監視と対応支援を行った。断片化された権限と通信は、公的説明責任を損なった。後に FEMA にオフサイト計画の主導権が割り当てられたことは、制度的インターフェースの修復を反映したものであり、1979年の州または連邦の決定全てが過失であったことの証明ではない。

米国会計検査院（GAO）は、その1980年の主要調査のレビューにおいて、比較可能な全体的な結論に達した。すなわち、調査官は一般的に機器の故障、不十分な訓練、貧弱な制御室設計と手順、および既知の規制上の欠陥を特定した。政府監査は証拠を要約・評価するものであり、不法行為や刑事責任を裁定するものではない。その価値は、複数の調査間の収束にある。

法的・手続き上の状況

この事故は、法執行、認可、民事訴訟を引き起こしたが、単一の手続きが全ての事故責任の包括的な法的配分を提供したわけではなかった。したがって、上記の分析上の所見は、法的結果とは区別されなければならない。

Metropolitan Edison は後に、事故前の漏洩率試験報告書の偽造に関して刑事罰の答弁を行った。これは、米国司法省連邦検事速報のアーカイブに要約されている。この企業答弁は、特定の報告行為に関する法的処分である。これが、偽造された試験が PORV シーケンスを引き起こした、あるいは係争中の事故前の状態全てが隠蔽されていた、または特定の個人が刑事責任を負ったという証拠に拡大解釈されるべきではない。

Metropolitan Edison Co. v. PANE 事件において、連邦最高裁判所は、損傷していない1号機の再起動提案に関連する環境審査の範囲について判断し、その中には心理的健康影響が、問題となっている国家環境政策法（NEPA）分析上、物理的環境の変化と十分に結び付いているかどうかも含まれていた。この判決は、TMI-2 の事故原因、放射線障害、企業の意図に関する不法行為賠償評決ではない。

その後の人身傷害訴訟も同様に、定義された証拠に焦点を当てた。In re TMI, 193 F.3d 613 (第3巡回区控訴裁判所, 1999年)において、控訴裁判所は、これらの訴訟で要求される線量と因果関係の立証を、原告の許容される証拠が満たしていないとして、被告側への略式判決を支持した。同裁判所は、ある一つの証拠上の誤りを無害なものと扱った。この手続き上の結果は、放射性物質が一切放出されなかった、どの居住者もストレスを経験しなかった、または制度的な管理破綻がなかったという認定と論理的に等価ではない。これは、当該原告が、当該記録上、適用される法的基準の下で何を立証できなかったかを確定するものである。

この分離は、説明責任分析を二つの対極的な誤りから保護する。調査による批判を刑事有罪判決であるかのように提示することはできない。因果関係に関する防御判決を、運転と緊急通信が適切であったという積極的な保証として提示することもできない。法的範囲、立証責任、救済措置は重要である。

クリーンアップと後の調査で証明されたこと

事故直後の推定では、炉心全体を見ることはできなかった。計器は損傷するか、スケール外れになるか、間接的であり、原子炉容器をすぐに開けることはできなかった。クリーンアップは長い証拠調べのプロセスとなった。容器ヘッドの取り外しは1984年に始まり、燃料取り出しは1985年に始まり、主要な燃料取り出しは1990年まで続いた。NRC のTMI-2 クリーンアップ・調査タスク記録は、少なくとも19トンの移行した炉心材料が下部プレナムに達したと報告している。後のエネルギー省の研究（OSTI 経由で要約）は、炉心の少なくとも45%が溶融し、ほぼ19トンが原子炉容器下部鏡板に移行したと結論づけた。

この物理的証拠は、炉心損傷の認定の確実性を変える。それは広範な溶融と移行を確認すると同時に、原子炉容器下部鏡板が破損しなかったことも示している。格納容器も同様に、物質が補助建屋経路を通じて漏洩し、クリーンアップ中に管理放出が行われたにもかかわらず、オフサイトへの影響を制限した。多重防護は、予防と診断が失敗した後に部分的に機能した。これは矛盾ではない。まさにそのような事態のために、より早期の管理策が失敗し得る前提で、多層的な安全策が設計されているからである。

クリーンアップはまた、損傷した環境下での作業員防護、廃棄物処理、水処理、臨界管理、計装についても検証した。NRC の知識管理ダイジェスト補遺2は、公衆の緊急事態が終了した時点で事象が完了したかのように扱わず、安定化と燃料取り出しからの教訓を保存している。NRC の背景説明では、1993年8月までに約223万ガロンの事故発生水が処理され、燃料の約99%が除去されたとされている。ユニットは、占有のみのライセンスの下で、燃料取り出し後監視保管に入った。

現在のNRC TMI-2 施設状況は、より正確な限界を示している。残留燃料含有物は1,125キログラム未満と推定され、これは当初の炉心装荷量の約1%に相当し、冷却材系統や容器外の場所に存在する。DECON ステータスであること、NRC が2025年10月に提出された修正廃止措置報告書を審査中であること、推定閉鎖日が2052年とされていることが示されている。これらは現在の規制上の事実であり、損傷したユニットが運転のために修復されたという証拠ではない。

TMI-2 と1号機の区別は不可欠である。1号機は物理的に分離されており、1979年の炉心事故による損傷を受けていない。同機は後に再起動、運転され、2019年に停止された。現在、再起動の可能性に関する連邦政府の活動は、現在 Crane Clean Energy Center と呼ばれる1号機に関するものであり、TMI-2 に関するものではない。NRC の現在の1号機のページは、その別個の認可状態を文書化している。「Three Mile Island は修復され再起動された」とする記述で、どのユニットかを特定しないものは、物理的・法的記録を曖昧にする。

クリーンアップの費用証拠も日付ラベルを必要とする。1981年の GAO のクリーンアップ資金に関するレビューは、約10億3,400万ドルという推定と、多額の資金的不確実性について論じている。これは当時の推定であり、最終的なインフレ調整後の費用確定ではない。その説明責任上の価値は、運転上の失敗が、事象そのものを超えて、長期にわたる財務上、廃棄物管理上、公共ガバナンス上の負担を移転させたことを示すことにある。

改革は認識の証拠であり、自動的に修復を証明するものではない

TMI 後の NRC および業界の改革は広範囲に及んだ。NRC は即時の速報を発行し、常駐検査を増強し、運転員訓練と認可を改訂し、緊急事態準備を強化し、制御室設計レビューと安全パラメータ表示を要求し、症状ベースの緊急時操作指針を策定し、より強力な運転経験機能を創設した。業界は、相互評価とパフォーマンス交換を追加するために、原子力発電運転協会（INPO）を設立した。NRC は、承認された要件と実施スケジュールをNUREG-0737に統合し、そのTMI アクションプランのアーカイブは、個々のタスクの広がりと最終的な状況を示している。

弁の確証はより明示的になった。TMI 後のタスクでは、加圧器逃がし弁と隔離弁に対する電源、位置表示、信頼性が取り上げられた。NRC のGeneric Letter 90-06は、PORV と隔離弁の信頼性に関する一般的な質問の解決を文書化し、制御室の位置表示や適格電源の役割も含まれていた。また、規制記録は、望ましい全てのアップグレードが普遍的な安全グレードのバックフィットにはならなかった理由も説明している。費用対効果やプラント固有の判断は、プロセスの一部であり続けた。改革の完全性を判断する際には、この制限が可視化されるべきである。

アクションアイテムのクローズは、管理的な証拠である。要件が発行され、提出物が受理されたか、またはタスクが他の方法で解決されたことの証拠だ。それは、管理策が数十年にわたって有効であり続けることを証明するものではない。GAO の1985年のアクションプラン進捗レビューは、多数の TMI 後のアイテムの包括的な会計処理を求めた。NRC は後にそれを提供し、GAO はその推奨事項をクローズした。これは有用なトレーサビリティ証拠であるが、プラントごとのパフォーマンス保証ではない。

後の法執行は、その区別に対する厳しいテストを提供する。1998年、NRC は、別の TMI 1号機に対してNotice of Violation EA-97-533を発行した。1995年の PORV 交換後に配線ミスにより弁が動作不能となり、不十分な保守後試験が23ヶ月の運転サイクルにわたってその状態を検出できなかった。NRC はこの違反を Severity Level III に分類した。当局は、特定と是正措置を評価し、検討されていた民事制裁金を課さなかった。

この後の違反は、1979年の失敗を再現したわけではない。1号機の弁は開くことができず、2号機の弁は開固着したのであり、1995年から1997年にかけて事故は発生しなかった。その説明責任上のシグナルは、より狭く、より持続的である。PORV 事故によって定義されたサイトにおいてさえ、技術者、独立検証者、作業管理が全て誤った配線を受け入れる可能性があり、一方で試験は実際の弁の応答を証明できなかった。この教訓は、改革が無益であったということではない。それは、指令経路、表示、書類上の完成が、機能検証にとって依然として不十分な代替物であるということである。

したがって、最も強力な修復モデルは循環的である。事業者は、安全機能を特定し、物理的状態を計装し、信頼できる劣化表示に対する訓練を行い、保守後にコンポーネントをテストし、現実的なシナリオの下でパフォーマンスを観察し、前兆事象を捕捉し、クローズ証拠に対して独立したチャレンジを行い、結果を経営陣と規制当局に可視化し続けなければならない。NRC は、機能から逸脱した書類仕事を検出するのに十分なほど、そのサイクルの多くを検査しなければならない。

仮想的な制御策と測定可能な説明責任

完全な予測を必要とせずにシーケンスを中断し得たであろう、幾つかの制御策が考えられる。実際の PORV 位置の直接的かつ適格な表示は、指令表示灯と矛盾し得た。圧力、温度、サブクールマージン、保有量を統合した目立つ表示は、加圧器水位への依存に挑戦し得た。検証されたドレン流量または温度論理に裏打ちされた、持続的な PORV 吐出に対する高優先度警報は、注意を集中させ得た。手順は、閉指令の後も逃がしの証拠が続く場合に、早期のブロック弁隔離を要求し得た。シミュレータシナリオは、クルーが持続的注入と症状ベースの診断を示すまで、Davis-Besse パターンを反復練習させ得た。

これらの仮想的対策は支持される制御策であり、そのいずれか一つが必ず全ての損傷を防いだとする主張ではない。センサーは故障し得、隔離は過圧の懸念を生み出し得、事故状態はモデルを超え得る。これらの価値は累積的である。独立した証拠チャネルは、一つの誤解を招く代理指標が支配的になるのを難しくする。手順と訓練は証拠を実行可能にする。機能試験は、修復がプラントに届いたことを証明する。運転経験プログラムは、以前の失敗を繰り返す前に利用可能にする。

説明責任は、以下の連鎖に対して測定され得る。

組織は、指令された状態ではなく、関連する物理的安全機能を特定したか？
自社プラント、ベンダー艦隊、規制当局から前兆事象の証拠を取得したか？
通常運転を超えた状態について証拠を評価したか？
計器、手順、訓練、緊急時のインターフェースを変更したか？
現実的かつ矛盾する表示の下で、その変更をテストしたか？
独立した監視は、書類の完成だけではなく、物理的なパフォーマンスを検証したか？
組織は再発を監視し、後の証拠がクローズと矛盾した場合に問題を再オープンしたか？

TMI-2 は、1979年3月28日より前に、この連鎖の多くを失敗した。事故後の改革は、その要素の多くを構築した。1号機の法執行記録は、最後の二つの質問が期限切れになり得ない理由を示している。

説明責任の結論

スリーマイル島事故は、計装を説明責任のテストに変えた。なぜなら、決定的な問題は、データが存在したかどうかではなかったからだ。それは、運転員が冷却の制御を失う前に、組織が原子炉の物理的状態を知り得るように、かつ対処可能にしたかどうかだった。PORV 表示灯は指令を示し、加圧器は局所水位を示し、警報窓は何百ものコンポーネントの逸脱を示し、プリンターはシーケンスを示そうとした。どれ一つとして、本当に重要な安全上の問いに確実に答えなかった。すなわち、原子炉保有量は開放された逃がし経路を通じて失われているのか？

証拠は、体系的な配分を支持している。開固着した PORV と給水喪失が事象を引き起こした。運転員による注入の絞り込みと隔離の遅延が、それを悪化させた。Metropolitan Edison は、安全運転、手順、訓練、保守、緊急時指揮に対して説明責任を負う。Babcock & Wilcox は、設計知識とクロスフリートの前兆事象証拠の効果的な活用に対して説明責任を負う。NRC は、基準、認可、検査、業界全体の学習に対して説明責任を負う。格納容器、原子炉容器下部鏡板、その後の冷却、そして広範なクリーンアップは影響を制限したが、それらは予防と診断が失敗した後の回復層であった。

この結論は、犯罪意図、個人の民事責任、または普遍的な健康因果関係の認定を立証するものではない。企業報告に関する答弁や後の裁判所決定の限定的な範囲を保持する。また、公式の低い集団線量推定と、文書化された緊急時通信の失敗、および個人レベルでの線量の不確実性とを区別する。

新たな重要な証拠は、以下の場合にこの配分を変更し得る。認証された記録が、責任ある機関が Davis-Besse に基づく明確な警告を発し、TMI 管理者がそれを受領し、テストし、正しく実施したことを示す場合。以前は入手不可能だったログが、係争中の決定の実施者や最初の給水トリガーを解決する場合。新しい線量測定や疫学が、放出と健康に関する知見を大幅に変更する場合。または廃止措置によって、現在の調査と矛盾する炉心もしくは格納容器の損傷が明らかになった場合。そのような証拠がない限り、最も強力な結論は簡潔である。すなわち、TMI-2 は、管理可能な機器故障が、検証されていない表示、不十分な診断、遅延した対応をすり抜けたときに深刻化したのであり、責任はそれらの安全策を管理した全ての組織に帰属する。