Three Mile Island fez da instrumentação da sala de controle um teste de responsabilização nuclear

Resumo

• Por volta das 4h00 de 28 de março de 1979, a TMI-2 perdeu a alimentação normal de água, a turbina desarmou, a pressão do reator subiu, a válvula de alívio operada por motor do pressurizador (PORV) abriu e o reator desarmou automaticamente. Em seguida, a PORV falhou ao fechar novamente. Essa válvula emperrada aberta criou uma perda de refrigerante do reator por pequena ruptura que não foi interrompida até que os operadores fecharam sua válvula de bloqueio a jusante cerca de duas horas e vinte e dois minutos depois.
• A luz da sala de controle associada à PORV mostrava que um comando elétrico de fechamento havia sido enviado, não que a válvula estava fisicamente fechada. Portanto, os operadores tinham um sinal tranquilizador de status de comando, enquanto a tubulação de drenagem mais quente que o normal, o aumento da radiação no contêiner, o enchimento do poço de contenção e a queda da pressão do refrigerante do reator indicavam descarga contínua. Os instrumentos não integravam essas condições em uma declaração direta do inventário de refrigerante ou da posição da válvula.
• Os operadores reduziram a injeção de alta pressão e continuaram a descarga porque o nível do pressurizador estava subindo e o treinamento enfatizava evitar um pressurizador completamente cheio de água. Na condição real de duas fases, o nível do pressurizador não era uma medida confiável do inventário do vaso do reator. A ação reduziu a reposição enquanto a PORV aberta continuava removendo refrigerante.
• As ações operacionais individuais importaram, mas ocorreram dentro de um sistema projetado, fornecido, licenciado e gerenciado por instituições. A Comissão do Presidente encontrou deficiências no projeto da sala de controle, nos procedimentos, no treinamento, na gestão, no intercâmbio de experiências operacionais e na regulação da NRC. Posteriormente, os registros de auditoria da NRC e do Congresso traduziram muitas dessas conclusões em requisitos para exibições de parâmetros de segurança, revisões da sala de controle, treinamento em simulador, procedimentos operacionais de emergência, programas de experiência operacional e preparação para emergências.
• Um evento semelhante em 1977 na usina Davis-Besse, da Babcock & Wilcox, incluiu uma PORV emperrada aberta, aumento do nível do pressurizador, queda da pressão do sistema e injeção reduzida. Esse evento não causou danos ao núcleo, mas tornou o padrão de TMI previsível o suficiente para exigir análise disciplinada e comunicação à frota. A falha não foi que todos os participantes pudessem prever o acidente exato; foi que um precursor de alto valor não foi convertido em um controle robusto de diagnóstico e treinamento.
• A resposta de emergência adicionou um segundo problema de responsabilização. Os participantes da usina, do estado e do governo federal não dispunham de um quadro operacional comum e oportuno, as comunicações públicas foram inconsistentes e as decisões de ação protetiva foram tomadas em meio a informações incertas sobre o termo fonte e a dose. Essas deficiências são distintas da avaliação oficial posterior de que as liberações externas produziram doses médias baixas e nenhum efeito detectável na saúde da população.
• A limpeza e o exame repararam parte do registro probatório, não o reator. O descomissionamento e a pesquisa posteriores estabeleceram extensa fusão e relocação do material do núcleo, enquanto a tampa inferior do vaso e a contenção mantiveram funções de segurança importantes. Cerca de 99 por cento do inventário original de combustível foi removido, mas material residual contendo combustível permanece e a TMI-2 ainda está em status de descomissionamento, com a NRC listando uma data estimada de fechamento do local em 2052.
• A conclusão de responsabilização é institucional e baseada em controle, não uma alegação de intenção criminosa ou responsabilidade individual automática. A Metropolitan Edison manteve a responsabilidade operacional; a Babcock & Wilcox controlava conhecimento importante de projeto e de precursores; e a NRC controlava os padrões de licenciamento, inspeção e aprendizado da indústria. As conclusões investigativas, um pleito criminal corporativo posterior sobre relatórios de teste de vazamento pré-acidente, litígios de reinício e litígios de responsabilidade civil por radiação cada um tem um escopo processual diferente e não devem ser resumidos em um veredicto legal único sobre o acidente.

Limite da evidência: o que pode ser dito com confiança

A cronologia comum mais robusta provém dorelatório da Comissão do Presidente, dainvestigação NUREG-0600 do Escritório de Inspeção e Fiscalização da NRC, do inquérito especial da NRC comumente chamado de relatório Rogovin, disponível através doregistro OSTI do Departamento de Energia, e do posteriorresumo de gestão do conhecimento de Three Mile Island da NRC. Eles diferem no mandato e às vezes nos detalhes de reconstrução. Nenhum deles é um julgamento criminal. Juntos, no entanto, sustentam a sequência central: perda de alimentação de água, desarme do reator, uma PORV que abriu e emperrou, reconhecimento inadequado do caminho de alívio aberto, injeção de emergência reduzida, perda prolongada de refrigerante, descoberta do núcleo e danos graves ao combustível.

Este artigo utiliza cinco rótulos de evidência.Fato confirmadosignifica que o ponto é sustentado por registros oficiais convergentes ou por exames físicos posteriores.Inferência suportadasignifica que a conclusão decorre de condições confirmadas e desempenho de controle, mas não é em si uma constatação judicial.Afirmação disputadasignifica que relatos oficiais, testemunhas ou litigantes posteriores discordaram de forma relevante para a atribuição.Desconhecidosignifica que o registro sobrevivente não sustenta uma conclusão confiável.Constatação legalsignifica que um tribunal ou órgão de execução decidiu uma questão definida sob seu próprio padrão; isso não se estende além dessa questão.

Essa disciplina é importante porque a TMI-2 produziu vários registros diferentes. Leituras de instrumentos e registros de operadores descreveram um acidente enquanto ele se desdobrava. Investigações reconstruíram condutas meses depois. O descomissionamento e o trabalho metalúrgico revelaram danos anos depois. A ação regulatória estabeleceu requisitos prospectivos. Os tribunais decidiram questões de escopo de revisão ambiental, licenciamento ou prova em reivindicações específicas. Obackgrounder atual do acidente da NRCé uma síntese oficial útil, mas resumos posteriores não devem apagar a incerteza que existia na sala de controle ou o desacordo que permaneceu nos litígios.

Antes do desarme: quem controlava o quê

A TMI-2 era um reator de água pressurizada fornecido pela Babcock & Wilcox e operado pela Metropolitan Edison, parte do sistema General Public Utilities. A alocação do controle operacional não era ambígua: o licenciado era responsável por operar a usina com segurança, manter equipamentos, qualificar pessoal, estabelecer procedimentos e cumprir sua licença. O fornecedor controlava o conhecimento de projeto do sistema do reator, orientação técnica e informações importantes sobre comportamentos observados em outras usinas da Babcock & Wilcox.

A NRC controlava as regras de licenciamento, os padrões de licenciamento de operadores, a inspeção, a fiscalização e a disseminação de informações genéricas de segurança.

Esses papéis se sobrepunham na sala de controle. Um fabricante de válvula podia fornecer um componente, mas o fornecedor do reator e o arquiteto-engenheiro determinavam como seu estado era representado. Um licenciado podia treinar para uma linha de base aprovada pela NRC, mas a aceitação regulatória não transferia o dever do licenciado de fazer o treinamento se adequar à usina. A NRC podia revisar um projeto sem se tornar o operador, mas suas regras e inspeções moldavam quais defeitos de fatores humanos recebiam correção obrigatória. Portanto, a responsabilização segue o controle sobre uma salvaguarda, não a mera proximidade do console.

A usina havia entrado em operação comercial apenas em dezembro de 1978. Seus operadores eram licenciados e, segundo a Comissão do Presidente, tiveram desempenho acima da média nacional no processo de licenciamento. Esse fato é importante porque rejeita uma história simplista de uma tripulação não qualificada. O mesmo relatório concluiu que o regime de treinamento, os exames da NRC e os procedimentos da usina não prepararam o pessoal adequadamente para as condições que encontraram. A qualificação formal e a prontidão operacional não eram controles equivalentes.

O registro de precursores também era significativo. Em setembro de 1977, Davis-Besse, outra usina da Babcock & Wilcox, sofreu um transitório de alimentação de água no qual sua PORV emperrou aberta. A pressão do sistema diminuiu, o nível do pressurizador subiu e os operadores interromperam a injeção de alta pressão antes de fechar a válvula de bloqueio. O evento terminou sem danos ao núcleo, mas expôs a mesma relação enganosa que mais tarde importou em TMI-2: o nível do pressurizador subindo podia coexistir com a perda de inventário do sistema do reator.

A Comissão do Presidente relatou que a Babcock & Wilcox reconheceu a gravidade potencial internamente, mas o aviso não chegou aos operadores da TMI de forma a mudar seu comportamento. Isso é confirmado como uma falha de transferência de informação; exatamente qual comunicação teria garantido uma resposta diferente permanece desconhecido.

Cronologia antes do julgamento

4h00 às 4h08: desarme, alívio e a primeira falsa segurança

Por volta das 4h00, com a TMI-2 operando perto da potência total, as bombas principais de alimentação de água pararam. Os investigadores rastrearam a sequência de abertura através dos sistemas de condensado e alimentação de água do lado secundário, mas o detalhe mecânico ou elétrico exato que iniciou não foi estabelecido com a confiança possível para a sequência posterior do refrigerante do reator. Ogatilhodefensável é a perda da alimentação normal de água, não uma teoria específica não suportada de um único componente.

A turbina desarmou em segundos. Com a demanda de vapor abruptamente reduzida, o calor e a pressão no sistema primário subiram. A PORV abriu automaticamente em seu ponto de ajuste de pressão. O reator então scramou, interrompendo a reação em cadeia de fissão, enquanto o calor de decaimento permaneceu e ainda exigia resfriamento. As bombas de alimentação de emergência partiram, mas ambos os caminhos de fluxo para os geradores de vapor estavam inicialmente isolados por válvulas fechadas. Um indicador de estado das válvulas estava obscurecido por uma etiqueta de manutenção; os operadores não perceberam o outro.

As válvulas foram abertas cerca de oito minutos após o início do evento. A Comissão concluiu que esse intervalo não determinou materialmente o dano final ao núcleo, embora tenha adicionado carga de trabalho e confusão no pior momento possível.

A PORV deveria ter fechado quando a pressão caísse. Mecanicamente, não fechou. Eletricamente, o sistema de controle removeu o sinal de abertura e a luz do painel apagou. A luz, portanto, representava o status do comando e não a posição real da válvula. Em operação normal, essa distinção poderia permanecer oculta. Neste acidente, dividiu o modelo da sala de controle da usina: os operadores acreditavam que o caminho de alívio primário havia fechado enquanto o refrigerante do reator continuava escapando por ele.

Isso não foi uma ausência de todas as evidências. A temperatura de uma linha de drenagem a jusante estava alta. A pressão continuava a cair. O nível do poço de contenção subia. Mais tarde, a radiação e as condições do prédio também sinalizaram que o refrigerante primário estava saindo de seu limite pretendido. No entanto, nenhum display único e proeminente dizia que a PORV estava aberta, e a sala de controle não fornecia uma medida direta e confiável do inventário total do refrigerante do reator. O problema imediato de detecção era, portanto, tanto específico do componente quanto sistêmico.

4h02 às 4h15: a reposição automática é estrangulada

Cerca de dois minutos após o desarme, a injeção de alta pressão começou automaticamente a adicionar água à medida que a pressão primária diminuía. Essa era a resposta de segurança necessária para compensar a perda pela PORV aberta. Os operadores logo reduziram a injeção drasticamente. Sua ação seguiu o modelo da usina que lhes foi ensinado: o nível do pressurizador estava subindo e um pressurizador completamente cheio de água poderia remover uma almofada de controle de pressão e complicar o controle da usina. Eles também continuaram ou aumentaram a descarga, deliberadamente tirando água do sistema primário.

Sob a condição termo-hidráulica real, a ebulição e a formação de vazios estavam redistribuindo água e vapor. Um nível do pressurizador subindo não provava que o vaso do reator estava cheio. A pressão e o nível se moviam em um padrão que os operadores não foram adequadamente treinados para tratar como um acidente de perda de refrigerante por pequena ruptura. A ação foi operacionalmente consequente: a reposição caiu para uma fração do fluxo automático enquanto o caminho de alívio aberto permanecia disponível.

Aproximadamente 5,5 minutos após o desarme, as condições do refrigerante do reator atingiram a saturação, tornando uma interpretação simples de fase única ainda menos confiável. Por volta das 4h11, um alarme de nível alto do poço de contenção apareceu. Por volta das 4h15, o disco de ruptura do tanque de drenagem do refrigerante do reator se abriu, liberando refrigerante para o poço de contenção. Esses eram sinais corroborantes de perda de inventário. Eles não superaram a crença cognitivamente mais dominante de que a PORV havia fechado e o pressurizador estava ficando muito cheio.

A significância não é que os operadores ignoraram um instrumento perfeitamente claro. Eles estavam cercados por sinais parcialmente válidos que exigiam síntese entre painéis, estados de alarme e conhecimento do sistema. Aavaliação de fatores humanos patrocinada pela NRC da sala de controle da TMI-2posteriormente identificou cerca de 750 janelas de alarme, a maioria usada para alarmes, sem codificação de prioridade eficaz. Os investigadores relataram que mais de 100 alarmes ativaram nos primeiros minutos. A impressora de alarmes ficou muito atrasada e eventualmente travou. A informação existia, mas o sistema não a convertia confiavelmente em diagnóstico.

4h15 às 6h22: o vazamento se acumula enquanto o modelo mental persiste

Por volta das 4h20, os instrumentos mostravam atividade de nêutrons associada a condições variáveis do núcleo. As bombas do poço transferiram água contaminada da contenção para o prédio auxiliar até serem paradas por volta das 4h39; a Comissão estimou que até aproximadamente 8.000 galões podem ter sido transferidos. Esse caminho contribuiu para liberações fora da contenção e ilustra um segundo problema de fronteira: um acidente severo estava movendo material através de sistemas configurados para gestão rotineira de líquidos antes que o pessoal reconhecesse o estado.

Pessoal técnico e de supervisão chegou, mas pessoas adicionais não produziram imediatamente um diagnóstico correto. A estrutura de gestão de operações da usina não estava preparada para impor uma hierarquia de evidências comum na sala lotada. Por volta das 4h45, um superintendente técnico chegou à sala de controle. A evidência contínua do caminho de alívio permaneceu interpretada como uma válvula com vazamento em vez de totalmente aberta, e o indicador ainda implicava fechamento.

Após as 5h00, as bombas de refrigerante do reator começaram a vibrar à medida que vazios de vapor e fluxo bifásico degradavam as condições das bombas. Os operadores pararam duas bombas por volta das 5h14 e as duas restantes por volta das 5h41. Parar bombas danificadas ou cavitando era proteção de equipamento compreensível, mas removeu a circulação forçada enquanto a circulação natural confiável não estava assegurada. A injeção de alta pressão ainda não estava sendo usada na taxa necessária para restaurar o inventário.

Aproximadamente às 6h15, o nível de água no vaso do reator havia caído abaixo do topo do núcleo, segundo reconstrução posterior. Às 6h22, um operador fechou a válvula de bloqueio a jusante da PORV, encerrando o caminho principal de perda após cerca de duas horas e vinte e dois minutos. Relatos contemporâneos divergiram sobre de quem foi a sugestão que diretamente produziu essa ação. Essa atribuição é umaafirmação disputadae não é necessária para a conclusão institucional. O fato confirmado é que uma ação de isolamento direta disponível na sala de controle foi atrasada porque a organização operacional não havia identificado corretamente o estado da válvula.

Fechar a válvula de bloqueio interrompeu a descarga adicional, mas não restaurou o inventário já perdido. Os investigadores estimaram que cerca de 32.000 galões haviam passado pelo caminho de alívio nos primeiros cem minutos. A injeção suficiente para recuperar o núcleo não foi estabelecida imediatamente. Por volta das 6h48, a reconstrução posterior indicou que grande parte do núcleo poderia estar descoberto. Os primeiros investigadores tiveram que inferir temperatura e danos a partir de instrumentos não projetados para sobreviver ou quantificar esse estado; o exame físico posterior revisou e fortaleceu materialmente essas evidências.

7h00 nos dias seguintes: classificação de emergência e estabilização

O licenciado declarou uma emergência no local pouco antes das 7h00 e uma emergência geral por volta das 7h24. A Região I da NRC soube do evento quando seu escritório abriu, por volta das 7h45, e não através de um centro de operações federal continuamente equipado capaz de receber e integrar dados imediatamente. Essa cronologia sustentou mudanças posteriores na organização de emergência e comunicações da NRC.

O resfriamento foi eventualmente restabelecido e o reator levado a uma condição mais estável, mas a emergência pública não terminou quando o vazamento principal parou. Material radioativo havia se movido para a contenção e o prédio auxiliar. Uma queima de hidrogênio ocorreu na contenção durante o primeiro dia, e a preocupação posteriormente se concentrou no hidrogênio acumulado no sistema do reator. Autoridades da usina, do estado e federais tinham informações incompletas e às vezes conflitantes sobre liberações, condição do núcleo e possibilidade de escalada adicional.

Em 30 de março, relatos de uma liberação levaram as autoridades da Pensilvânia a aconselhar mulheres grávidas e crianças em idade pré-escolar em um raio de cinco milhas a se retirarem temporariamente e a recomendar que pessoas em um raio de dez milhas permanecessem em ambientes fechados. Isso não foi uma evacuação obrigatória geral. A distinção importa, assim como o fato de muitos residentes terem saído voluntariamente em meio à incerteza. O arquivo deseções de relatórios anuais sobre a recuperação da TMI-2da NRC registra tanto as recomendações de ação protetiva quanto as falhas de comunicação ao redor delas.

A fase do acidente teve, portanto, dois problemas de estabilização. Os operadores tinham que estabelecer remoção de calor e controlar inventários de hidrogênio e radioativos. As autoridades públicas tinham que estabelecer um quadro operacional comum crível. Nenhum poderia ser julgado pelo fato de o reator ter scramado: o desarme parou a fissão, mas não removeu o calor de decaimento, reparou o inventário de refrigerante, preveniu a geração de hidrogênio ou forneceu informações públicas confiáveis.

Reconciliando o relógio com a usina danificada

As marcas de minutos neste relato nem todas têm a mesma qualidade probatória. O desarme da turbina, o scram do reator e os sinais automáticos foram registrados pelos sistemas da usina. Outros horários foram reconstruídos a partir de registros de operadores, entrevistas, registros de computador, gráficos de tira e a sequência de alarmes. A impressora de alarmes que deveria preservar um registro ordenado conveniente já estava ficando para trás durante o evento e depois travou.

Os investigadores puderam correlacionar várias fontes, mas um carimbo de tempo impresso horas depois não é equivalente a um registro de processo com carimbo de tempo direto. Consequentemente, horários como 4h00, 6h22 e 7h24 são âncoras fortes do evento; estimativas do nível de água do núcleo e danos às 6h15 ou 6h48 são reconstruções baseadas em modelos e são descritas como aproximadas.

A mesma hierarquia se aplica aos danos na usina. Durante o acidente, os instrumentos da sala de controle podiam mostrar pressão, nível local, temperatura ou radiação, mas não podiam exibir um mapa do resfriamento do núcleo. Algumas leituras saíram da escala; outras foram afetadas por vapor, vazios, condições ambientais adversas ou suposições sobre onde a água estava localizada. Os primeiros relatórios usaram modelos térmicos e químicos para estimar a temperatura do combustível e a fração do núcleo descoberto. Essas estimativas eram necessárias para resposta e investigação, mas não eram observação direta.

Anos depois, o descomissionamento forneceu evidências diferentes: conjuntos de combustível danificados, material resolidificado, escombros e detritos no pleno inferior. A amostragem e o exame confirmaram fusão e relocação extensas, ao mesmo tempo que mostraram que a tampa inferior permaneceu intacta. As evidências posteriores fortalecem a proposição de que o resfriamento falhou gravemente e limitam alegações excessivamente precisas sobre o que os instrumentos de 1979 sozinhos provaram em um minuto particular. Isso também demonstra por que a instrumentação de acidentes deve suportar tanto o controle imediato quanto a reconstrução posterior.

Um sistema que perde alcance, qualificação ambiental ou registro de sequência prejudica resposta e responsabilização ao mesmo tempo.

A atribuição de testemunhas precisa de contenção semelhante. As investigações puderam estabelecer que as válvulas de isolamento de alimentação auxiliar estavam fechadas e abertas cerca de oito minutos após o desarme, mas os relatos diferiram sobre por que estavam fechadas. A Comissão julgou a curta interrupção não decisiva para o dano final ao núcleo. Portanto, seria enganoso fazer de uma origem não resolvida de alinhamento de válvula a causa raiz. Os relatos também variaram sobre quem primeiro propôs fechar a válvula de bloqueio da PORV.

O fato de controle de segurança não é a propriedade da sugestão; é que a organização operacional levou cerca de duas horas e vinte e dois minutos para realizar um isolamento disponível porque não havia validado o estado físico da válvula.

Essa reconciliação produz uma narrativa mais estreita, mas mais forte. O desarme da alimentação de água iniciou o transitório. A falha da PORV em fechar novamente criou o caminho de perda. A sala de controle não reconheceu esse caminho a tempo. A redução da injeção e o atraso no isolamento esgotaram o inventário. O núcleo foi substancialmente danificado, como o exame posterior confirmou. Os processos de pensamento individuais exatos, alguns autores de ação e o primeiro componente da cadeia de alimentação de água permanecem incertos.

Essas lacunas devem restringir a atribuição pessoal, não serem usadas para dissolver a cadeia causal confirmada.

A sala de controle como um sistema de decisão de engenharia

O instrumento mais consequente foi a luz da PORV, mas focar apenas nessa luz subestima a falha de projeto. Uma indicação na sala de controle é útil apenas se seu significado for inequívoco sob as condições em que os operadores devem agir. A luz da PORV indicava com precisão que a solenoide havia recebido um comando de fechamento. Ela não verificava a posição da haste ou da válvula. A interface não tornava essa limitação saliente. Após um evento anterior da PORV na TMI-2, uma luz havia sido adicionada, mas a modificação ainda relatava o sinal de controle em vez do fechamento físico.

A ação corretiva abordou o sintoma visível sem verificar a função de segurança.

Outras evidências eram fragmentadas. O display do nível do pressurizador era proeminente, mas tornou-se um proxy enganoso para o inventário total do sistema durante o fluxo bifásico. A temperatura da linha de drenagem podia sugerir alívio contínuo, mas os operadores tinham experiência com vazamentos e não trataram a leitura como prova decisiva de uma válvula totalmente aberta. Os alarmes de nível do poço e disco de ruptura eram consequências fisicamente a jusante, em vez de um diagnóstico direto. Indicadores-chave estavam em painéis traseiros, e alguns valores se moveram além do alcance do instrumento.

A avaliação da sala de controle encontrou apresentação direta ausente ou inadequada de variáveis como inventário primário total, a relação pressão-temperatura necessária para reconhecer a saturação, fluxo de descarga da PORV e fluxo de alimentação de água auxiliar.

O volume de alarmes agravou o problema. Um grande número de janelas de alarme acendeu em um curto período sem prioridade de significância de segurança. A impressora destinada a preservar a sequência ficou horas atrasada e travou. Uma reclamação anterior do operador sobre o desempenho da impressora não havia produzido uma correção eficaz, segundo a Comissão do Presidente. Esta é uma evidência de reparo anterior ao acidente: a organização tinha uma fraqueza reportável, não aplicou nenhum remédio verificado e depois perdeu a ferramenta durante o evento para o qual a reconstrução da sequência era mais importante.

Ainferência suportadaé que a falha de detecção da TMI-2 foi uma falha de arquitetura de informação. A usina produzia dados, mas a interface favorecia comandos de componentes, quantidades locais e proliferação de alarmes sobre funções de segurança validadas: o inventário é adequado, o núcleo está coberto, o calor de decaimento está sendo removido e um caminho de alívio está fisicamente isolado? Essa inferência é consistente com o subsequenteprograma de revisão de projeto da sala de controleda NRC, que exigiu que os licenciados avaliassem deficiências de fatores humanos e ajudou a institucionalizar sistemas de exibição de parâmetros de segurança.

Um display de segurança não é em si uma prova de segurança. ACarta Genérica 89-06 da NRCbuscou certificação de que sistemas de exibição de parâmetros de segurança haviam sido instalados e que os procedimentos operacionais de emergência e o treinamento estavam integrados a eles. A estrutura é importante: instalação, uso de procedimentos, treinamento e certificação foram tratados como controles separados. O hardware não podia ser declarado reparado meramente porque uma tela ou sensor havia sido adquirido.

Classificação causal

Gatilho - confirmado no nível do sistema, incerto no primeiro nível de componente.O gatilho imediato foi a perda de alimentação normal de água por volta das 4h00. A primeira falha exata dentro da sequência de polidor de condensado, ar e controle de alimentação de água é menos certa no registro oficial sobrevivente e não é necessária para explicar o caminho de dano ao núcleo. Atribuir todo o acidente a um bloqueio de resina não comprovado ou a um ato de manutenção superestimaria a evidência.

Causa raiz - constatação institucional suportada.A causa raiz foi a falha em projetar, operar e regular a TMI-2 de modo que uma condição previsível de perda de refrigerante por pequena ruptura fosse reconhecida e controlada antes da perda de resfriamento do núcleo. Esta formulação é analítica e não judicial. Está alinhada com a conclusão da Comissão do Presidente de que os problemas fundamentais eram relacionados a pessoas no sentido amplo de instituições que fabricaram, operaram e regularam a usina, não uma alegação de que o erro de uma pessoa causou todas as consequências.

Causa física direta - confirmada.A PORV abriu com alta pressão e falhou ao fechar novamente. A descarga contínua reduziu o inventário do refrigerante do reator. O fluxo de reposição inadequado e a subsequente perda de circulação forçada permitiram a descoberta do núcleo, superaquecimento, reação zircônio-água, geração de hidrogênio, fusão do combustível e relocação do material. A falha da válvula foi necessária para a sequência como ocorreu, mas não suficiente para explicar por que as salvaguardas falharam em interrompê-la a tempo.

Condições contribuintes - confirmadas ou fortemente suportadas.Válvulas de isolamento de alimentação auxiliar inicialmente fechadas aumentaram a carga de trabalho; a indicação da PORV representava comando e não posição; não existia indicação direta do inventário total; o nível do pressurizador foi supervalorizado; alarmes careciam de prioridade; a impressora de alarmes falhou; procedimentos e treinamento favoreciam evitar um pressurizador sólido de água; o diagnóstico de pequena ruptura era fraco; a experiência precursora não foi convertida em ação específica da usina; o comando da gestão e o suporte técnico não estavam preparados para um evento severo ambíguo; e a atenção regulatória havia enfatizado outros modelos de acidente.

Falha de detecção - confirmada.A tripulação não identificou a PORV aberta a tempo, apesar de múltiplos sinais indiretos. A responsabilização é compartilhada entre a interpretação operacional e o projeto da informação fornecida para essa interpretação. Uma luz de comando de fechamento não é uma leitura elétrica falsa, mas usá-la como se provasse o fechamento mecânico cria uma proposição operacional falsa. A distinção é a lição central de instrumentação.

Falha de resposta - confirmada, com contexto.Os operadores reduziram drasticamente a injeção de alta pressão, continuaram a descarga, atrasaram o isolamento da válvula de bloqueio e pararam as bombas de refrigerante do reator à medida que as condições se deterioravam. Essas ações pioraram ou não conseguiram interromper a perda de refrigerante. Elas devem ser avaliadas no contexto das indicações, procedimentos e treinamento, não desculpadas por esse contexto. A responsabilidade organizacional não apaga a agência nos controles; ela explica por que múltiplos profissionais licenciados puderam fazer um conjunto coerente, mas inseguro, de escolhas.

Falha na resposta de emergência - confirmada institucionalmente.Notificação, avaliação técnica, coordenação intergovernamental e comunicação pública não forneceram um quadro comum oportuno. Ohistórico de preparação para emergências da NRCidentifica expressamente TMI como expondo fraquezas nos planos e coordenação. A conclusão não depende de afirmar que todas as recomendações de ação protetiva estavam erradas.

Evidência de recuperação e reparo - mista.A contenção e a tampa inferior do vaso do reator desempenharam funções de segurança importantes; operadores e equipes técnicas eventualmente estabeleceram resfriamento; o monitoramento limitou grande parte da liberação externa; e a limpeza posterior removeu a maior parte do combustível e processou água contaminada. Esses são sucessos confirmados. Eles não reverteram o acidente, e o dossiê de descomissionamento contínuo significa que a recuperação física permanece incompleta.

Desconhecidos.O registro não pode estabelecer a dose externa individual exata para cada residente, o momento preciso e o histórico de temperatura de cada região do núcleo, o resultado contrafactual se uma ação anterior tivesse diferido, ou um autor individual definitivo para cada decisão crítica na sala de controle. Também não pode provar que um aviso baseado em Davis-Besse necessariamente teria prevenido TMI. Essas lacunas limitam alegações individuais e contrafactuais, não a constatação no nível do sistema de que os controles eram deficientes.

Treinamento, procedimentos e a falha no uso da experiência operacional

O treinamento é responsável quando muda o que os operadores podem reconhecer sob estresse, não quando meramente produz licenças e registros de frequência. O pessoal da TMI-2 havia concluído os programas requeridos, mas os programas não lhes deram um modelo confiável para uma perda por pequena ruptura com nível do pressurizador subindo. Os simuladores não reproduziam adequadamente as condições relevantes, e os exames não sondavam profundamente o problema diagnóstico integrado. Os procedimentos operacionais não forneciam uma rota decisiva baseada em sintomas de pressão caindo e nível subindo para injeção sustentada e isolamento da PORV.

Os boletins imediatos da NRC mostram quão rapidamente os controles ausentes se tornaram legíveis após o evento. OBoletim IE 79-05Adistribuiu uma cronologia preliminar e exigiu revisão e ações imediatas dos operadores. OBoletim IE 79-06Babordou erros operacionais e desalinhamentos, incluindo o perigo de basear decisões em uma única indicação e a necessidade de verificar a disponibilidade da alimentação de água auxiliar. Essas foram respostas prudentes, mas seu timing também demonstra que os controles existentes não haviam convertido o comportamento conhecido do reator em prática para toda a frota.

Davis-Besse é central porque testa a previsibilidade sem exigir clarividência. O evento anterior não reproduziu todas as condições de TMI. Reproduziu a combinação operacionalmente perigosa de um caminho de alívio aberto, pressão caindo, nível do pressurizador subindo e injeção reduzida. A Babcock & Wilcox tinha visibilidade entre usinas que os operadores individuais da TMI não tinham. A Metropolitan Edison tinha a responsabilidade de adquirir e avaliar a experiência relevante do fornecedor e da indústria. A NRC tinha um papel genérico de informação de segurança.

Cada instituição controlava um elo diferente na cadeia do relatório de evento para procedimento revisado, cenário de simulador, exame e desempenho verificado da tripulação.

O programa pós-acidente tornou esses elos mais explícitos. Atarefa de melhoria de simuladoresda NRC enfatizou realismo, transitórios complexos e diagnóstico. Suatarefa de licenciamento e requalificação de operadoresexpandiu as expectativas de exame e requalificação. Atarefa de análise de experiência operacionalabordou avaliação e disseminação centralizadas. Juntas, elas incorporam um modelo de responsabilização mais forte: coletar evidências precursoras, decidir sua significância de segurança, traduzi-las em controles da usina, testar o desempenho e reter prova de que o controle funciona.

A distinção entre conformidade processual e competência diagnóstica permanece importante. Um operador pode seguir um procedimento que incorpora a prioridade errada. Um licenciado pode documentar treinamento sem recriar as dicas e a pressão de tempo do perigo. Um regulador pode fechar um item de ação após receber uma submissão sem observar desempenho durável. O reparo real, portanto, precisa de evidência de resultado, incluindo resultados de simulador, observações de campo, desempenho de resposta a alarmes e testes recorrentes contra indicações degradadas ou contraditórias.

Resposta de emergência e responsabilização pública

A emergência da TMI-2 não foi apenas um problema de controle do reator. Foi um problema de governança da informação que abrangeu o licenciado, a Pensilvânia, a NRC, outras agências federais e o público. As notificações iniciais não deram a todos os participantes informações consistentes sobre o estado da usina e as liberações. A incerteza técnica era inevitável; descrições contraditórias e autoridade decisória pouco clara não eram. A Comissão do Presidente descreveu grave confusão e recomendou comando de emergência, comunicações e planejamento mais claros.

Os fatos radiológicos exigem redação cuidadosa. A síntese atual da NRC estima que cerca de dois milhões de pessoas ao redor da usina receberam uma dose adicional média de aproximadamente um milirem, com a dose máxima no limite do local abaixo de 100 milirem acima do background. Ela relata que estudos extensivos não encontraram efeitos detectáveis na saúde atribuíveis ao acidente. O relato arquivado da Agência de Proteção Ambiental sobreseu papel de monitoramentodescreve uma rede expandida usada para avaliar as liberações. Essas avaliações oficiais suportam uma baixa dose populacional medida; elas não estabelecem a dose exata para cada pessoa, eliminam toda incerteza epidemiológica ou anulam as consequências sociais e psicológicas de avisos confusos.

A reforma pós-TMI dividiu a autoridade mais claramente. Uma reorganização federal deu ao presidente da NRC autoridade adicional de emergência; a compilação oficial dePlanos de Reorganizaçãoidentifica deficiências da era TMI na gestão de crises. A FEMA assumiu um papel de liderança para planejamento externo, enquanto a NRC manteve a responsabilidade pela preparação no local e desempenho do licenciado. Os critérios conjuntosNUREG-0654/FEMA-REP-1estabeleceram uma base mais sistemática para planos e preparação radiológica de emergência.

Essas reformas esclarecem um princípio de responsabilização: a incerteza deve mudar o modo de decisão, não suspender a responsabilidade. Quando as estimativas do termo fonte são instáveis, os funcionários precisam de faixas de confiança explícitas, proprietários de decisão nomeados, dados com carimbo de tempo e limiares de ação protetiva pré-acordados. TMI, em vez disso, mostrou como relatórios técnicos não verificados podiam se mover mais rápido do que suas qualificações. A confiança pública foi danificada não simplesmente pela radiação, mas pelo desacordo visível sobre o que as autoridades sabiam e quem estava no comando.

Alocando responsabilização sem colapsar papéis

Operadores da sala de controle.Os operadores exerceram controle imediato sobre a injeção de alta pressão, descarga, bombas de refrigerante do reator e isolamento da válvula de bloqueio da PORV. Suas ações são, portanto, parte da causa operacional direta. Mas o registro probatório não suporta retratar a tripulação como uma fonte independente de falha separada de projeto e treinamento. Eles interpretaram uma luz de comando como fechamento, confiaram no nível do pressurizador, seguiram a preocupação aprendida sobre um sistema sólido de água e trabalharam através de uma tempestade de alarmes não priorizada. A responsabilização do operador é pelas decisões dentro desse ambiente; a responsabilização institucional é por criar e aceitar o ambiente.

Metropolitan Edison e GPU.O licenciado detinha a responsabilidade operacional não delegável. Controlava pessoal, procedimentos, treinamento, implementação de manutenção, reparo da impressora de alarmes, modificações da usina, suporte técnico e notificação de emergência. Atender às condições mínimas de licenciamento da NRC não era uma defesa completa contra um perigo visível através da experiência da usina e do fornecedor. O licenciado também tinha a capacidade local mais forte de testar o que a luz da PORV realmente provava, se os operadores podiam diagnosticar uma pequena ruptura e se a manutenção corretiva restaurava a função.

Babcock & Wilcox e outros fornecedores.O fornecedor do reator controlava o conhecimento de projeto e a experiência entre frotas. Suas usinas haviam exibido problemas de PORV, e Davis-Besse forneceu um precursor particularmente relevante. A responsabilização do fornecedor repousa na análise de perigos, projeto de interface preciso, comunicação técnica inequívoca e escalada de padrões entre clientes. Não é uma constatação de que o fornecedor controlava o turno da TMI ou que todo defeito de componente impunha responsabilidade legal. A evidência suporta uma falha em tornar o conhecimento do sistema operacionalmente eficaz.

A NRC.O regulador licenciou o projeto e os operadores, inspecionou a usina, estabeleceu padrões de treinamento e emergência e controlou a comunicação de segurança da indústria. Investigações oficiais descobriram que sua abordagem não havia enfatizado adequadamente fatores humanos, qualidade de gestão, comportamento de pequena ruptura ou síntese de experiência operacional. O própriorelatório da força-tarefa de lições aprendidas NUREG-0585da NRC pediu mudanças fundamentais no projeto, operação e processo regulatório. A responsabilidade regulatória não é comando operacional, e a NRC não abriu nem isolou a PORV. É responsabilidade pelo sistema de garantia que aceitou o projeto e o regime de qualificação.

Organizações governamentais de emergência.As autoridades da Pensilvânia tomaram decisões de ação protetiva; a NRC avaliou a segurança do reator e as liberações; outros órgãos federais monitoraram a radiação e apoiaram a resposta. A autoridade fragmentada e as comunicações prejudicaram a responsabilização pública. A posterior atribuição da liderança do planejamento externo à FEMA reflete o reparo de uma interface institucional, não a prova de que cada decisão estadual ou federal de 1979 foi negligente.

O Government Accountability Office dos EUA chegou a uma conclusão comparativamente sistêmica em suarevisão de 1980 das principais investigações: os investigadores geralmente identificaram mau funcionamento de equipamentos, treinamento inadequado, projeto e procedimentos deficientes da sala de controle e deficiências regulatórias conhecidas. Uma auditoria governamental resume e avalia evidências; não adjudica responsabilidade civil ou criminal. Seu valor é a convergência entre os inquéritos.

Postura legal e processual

O acidente gerou fiscalização, licenciamento e litígios civis, mas nenhum processo único forneceu uma alocação legal abrangente de toda a responsabilidade pelo acidente. As constatações analíticas acima devem, portanto, permanecer distintas dos resultados legais.

A Metropolitan Edison posteriormente se declarou culpada criminalmente por falsificar relatórios de teste de taxa de vazamento pré-acidente, conforme resumido em umBoletim dos Procuradores dos Estados Unidosarquivado do Departamento de Justiça. Esse pleito corporativo é uma disposição legal relativa a conduta de relatório especificada. Não deve ser ampliado para prova de que testes falsificados causaram a sequência da PORV, que toda condição pré-acidente disputada estava oculta ou que qualquer indivíduo particular incorreu em responsabilidade criminal.

EmMetropolitan Edison Co. v. PANE, a Suprema Corte decidiu o escopo da revisão ambiental associada à proposta de reinício da Unidade 1 não danificada, incluindo se os efeitos psicológicos na saúde estavam suficientemente conectados a uma mudança no ambiente físico para a análise da National Environmental Policy Act em questão. A decisão não foi um veredicto de responsabilidade civil sobre a causa do acidente na TMI-2, lesão por radiação ou intenção corporativa.

Litígios posteriores de lesões pessoais também se voltaram para prova definida. EmIn re TMI, 193 F.3d 613 (3d Cir. 1999), o tribunal de apelações confirmou julgamento sumário para os réus porque as evidências admissíveis dos autores não suportavam as demonstrações de dose e causalidade exigidas naqueles casos; tratou um erro probatório como inócuo. Esse resultado processual não é logicamente equivalente a uma constatação de que nenhum material radioativo foi liberado, nenhum residente experimentou estresse ou nenhum controle institucional falhou. Ele estabelece o que aqueles autores não provaram naquele registro sob o padrão legal aplicável.

Esta separação protege a análise de responsabilização de dois erros opostos. A crítica investigativa não pode ser apresentada como uma condenação criminal. Um julgamento de defesa sobre causalidade não pode ser apresentado como uma certificação afirmativa de que as operações e comunicações de emergência eram adequadas. Escopo legal, ônus da prova e remédio importam.

O que a limpeza e o exame posterior provaram

As estimativas iniciais do acidente não podiam ver todo o núcleo. Os instrumentos estavam danificados, fora de escala ou indiretos, e o vaso do reator não pôde ser aberto imediatamente. A limpeza tornou-se um longo processo probatório. A remoção da tampa do vaso começou em 1984, a remoção do combustível começou em 1985 e o descomissionamento principal continuou até 1990. Oregistro da tarefa de limpeza e exame da TMI-2da NRC relata que pelo menos 19 toneladas métricas de material do núcleo relocado atingiram o pleno inferior. Pesquisas posteriores do Departamento de Energia resumidas através doOSTIconcluíram que pelo menos 45 por cento do núcleo derreteram e quase 19 toneladas se relocaram para a tampa inferior do vaso.

Esta evidência física muda a certeza da constatação de dano ao núcleo. Confirma extensa fusão e relocação, ao mesmo tempo que mostra que a tampa inferior do vaso do reator não falhou. A contenção igualmente limitou a consequência externa, embora material tenha escapado por caminhos do prédio auxiliar e liberações controladas tenham ocorrido durante a limpeza. A defesa em profundidade funcionou parcialmente depois que a prevenção e o diagnóstico falharam. Isso não é uma contradição; salvaguardas em camadas são projetadas precisamente porque controles anteriores podem falhar.

A limpeza também testou proteção do trabalhador, manuseio de resíduos, processamento de água, controle de criticalidade e instrumentação em um ambiente danificado. OSuplemento 2 do Resumo de Gestão do Conhecimentoda NRC preserva lições da estabilização e descomissionamento, em vez de tratar o evento como concluído quando a emergência pública terminou. O backgrounder da NRC afirma que cerca de 2,23 milhões de galões de água gerada pelo acidente foram processados até agosto de 1993 e aproximadamente 99 por cento do combustível foi removido. A unidade entrou em armazenamento monitorado pós-descomissionamento sob uma licença apenas de posse.

Ostatus atual da instalação TMI-2 na NRCfornece um limite mais preciso. Ele estima material residual contendo combustível em menos de 1.125 quilogramas, aproximadamente um por cento do inventário original do núcleo, em locais do sistema de refrigerante e externos ao vaso. Identifica o status DECON, diz que a NRC está revisando um relatório de descomissionamento alterado submetido em outubro de 2025 e lista 2052 como a data estimada de fechamento. Esses são fatos regulatórios atuais, não evidência de que a unidade danificada foi reparada para operação.

A distinção entre TMI-2 e Unidade 1 é essencial. A Unidade 1 era fisicamente separada e não danificada pelo acidente do núcleo de 1979. Ela posteriormente reiniciou, operou e foi desligada em 2019; a atividade federal atual relativa a um potencial reinício pertence à Unidade 1, agora chamada Crane Clean Energy Center, não à TMI-2. Apágina atual da Unidade 1da NRC documenta essa postura de licenciamento separada. Qualquer relato que diga "Three Mile Island foi reparada e reiniciada" sem identificar a unidade obscurece o registro físico e legal.

A evidência de custo de limpeza também precisa de rótulos de data. Uma revisão do GAO de 1981 sobre ofinanciamento da limpezadiscutiu uma estimativa de aproximadamente US$ 1,034 bilhão e incerteza substancial de financiamento. Isso foi uma estimativa contemporânea, não uma constatação final de custo ajustada pela inflação. Seu valor de responsabilização reside em mostrar como uma falha operacional transferiu encargos financeiros de longa duração, de gestão de resíduos e de governança pública para além do evento em si.

A reforma é evidência de reconhecimento, não prova automática de reparo

As reformas da NRC e da indústria após TMI foram extensas. A NRC emitiu boletins imediatos, aumentou a inspeção residente, revisou o treinamento e licenciamento de operadores, fortaleceu a preparação para emergências, exigiu revisões de projeto da sala de controle e exibições de parâmetros de segurança, desenvolveu orientação de operação de emergência orientada por sintomas e criou funções mais fortes de experiência operacional. A indústria estabeleceu o Institute of Nuclear Power Operations para adicionar avaliação por pares e troca de desempenho. A NRC consolidou requisitos aprovados e cronogramas de implementação noNUREG-0737, enquanto seuarquivo do Plano de Ação TMImostra a amplitude e o status eventual das tarefas individuais.

A garantia de válvulas tornou-se mais explícita. As tarefas pós-TMI abordaram energia elétrica, indicação de posição e confiabilidade para válvulas de alívio e bloqueio do pressurizador. ACarta Genérica 90-06da NRC documentou a resolução de questões genéricas sobre confiabilidade de PORV e válvula de bloqueio, incluindo o papel da indicação de posição na sala de controle e energia qualificada. O registro regulatório também explica por que nem toda atualização desejada se tornou um retroajuste universal de grau de segurança. Determinações de custo-benefício e específicas da usina permaneceram parte do processo. Essa limitação deve ser visível ao julgar a completude da reforma.

O fechamento de itens de ação é evidência administrativa: um requisito foi emitido, uma submissão aceita ou uma tarefa resolvida de outra forma. Não prova que os controles permanecem eficazes por décadas. Arevisão de progresso do Plano de Ação de 1985do GAO pediu uma contabilidade abrangente dos muitos itens pós-TMI; a NRC posteriormente forneceu uma e o GAO fechou sua recomendação. Esta é uma evidência útil de rastreabilidade, mas não é uma garantia de desempenho usina por usina.

A fiscalização posterior fornece um teste duro dessa distinção. Em 1998, a NRC emitiu oAviso de Violação EA-97-533para a Unidade 1 da TMI separada. Após uma substituição da PORV em 1995, erros de fiação tornaram a válvula inoperável, e testes pós-manutenção inadequados não detectaram a condição por um ciclo operacional de 23 meses. A NRC classificou a violação no Nível de Severidade III. A agência creditou a identificação e ação corretiva e não impôs a penalidade civil contemplada.

Essa violação posterior não recriou a falha de 1979: a válvula da Unidade 1 era incapaz de abrir, enquanto a válvula da Unidade 2 emperrou aberta, e nenhum acidente resultou em 1995-1997. Seu sinal de responsabilização é mais estreito e mais durável. Mesmo em um local definido por um acidente de PORV, técnicos, verificação independente e controles de trabalho puderam todos aceitar uma conexão incorreta, enquanto o teste falhou em provar a resposta real da válvula. A lição não é que a reforma foi fútil. É que caminhos de comando, indicações e conclusão no papel permanecem substitutos inadequados para a verificação funcional.

O modelo de reparo mais forte é, portanto, cíclico. Um licenciado deve identificar a função de segurança, instrumentar o estado físico, treinar contra indicações degradadas críveis, testar o componente após a manutenção, observar o desempenho sob cenários realistas, capturar eventos precursores, desafiar independentemente a evidência de fechamento e manter o resultado visível para a gestão e o regulador. A NRC deve inspecionar o suficiente desse ciclo para detectar papelada que se afastou da função.

Controles contrafactuais e responsabilização mensurável

Vários controles poderiam ter interrompido a sequência sem exigir previsão perfeita. Uma indicação direta e qualificada da posição real da PORV poderia ter contradito a luz de comando. Um display proeminente integrando pressão, temperatura, margem de subresfriamento e inventário poderia ter desafiado a confiança no nível do pressurizador. Um alarme de alta prioridade para descarga sustentada da PORV, suportado por lógica validada de fluxo de drenagem ou temperatura, poderia ter focado a atenção.

Os procedimentos poderiam ter exigido isolamento antecipado da válvula de bloqueio quando a evidência de alívio persistisse após um comando de fechamento. Cenários de simulador poderiam ter ensaiado o padrão Davis-Besse até que as tripulações demonstrassem injeção sustentada e diagnóstico baseado em sintomas.

Esses contrafactuais sãocontroles suportados, não alegações de que qualquer um certamente teria prevenido todos os danos. Sensores podem falhar, o isolamento pode criar preocupações de sobrepressão e as condições de acidente podem exceder os modelos. Seu valor é cumulativo. Canais de evidência independentes tornam mais difícil para um único proxy enganoso dominar. Procedimento e treinamento tornam a evidência acionável. Testes funcionais provam que o reparo atinge a usina. Programas de experiência operacional tornam as falhas anteriores disponíveis antes da repetição.

A responsabilização pode ser medida contra essa cadeia:

1. A organização identificou a função de segurança física relevante em vez de meramente o estado comandado?
2. Ela adquiriu evidência precursora de sua própria usina, frota de fornecedores e regulador?
3. Ela avaliou a evidência para condições além da operação normal?
4. Ela mudou instrumentos, procedimentos, treinamento e interfaces de emergência?
5. Ela testou a mudança sob indicações realistas e contraditórias?
6. A supervisão independente verificou o desempenho físico em vez de apenas a conclusão de documentos?
7. A organização monitorou a recorrência e reabriu a questão quando evidências posteriores contradisseram o fechamento?

A TMI-2 falhou em grande parte dessa cadeia antes de 28 de março de 1979. As reformas pós-acidente construíram muitos de seus elementos. O registro de fiscalização da Unidade 1 mostra por que as duas últimas perguntas não podem expirar.

Conclusão de responsabilização

Three Mile Island tornou a instrumentação um teste de responsabilização porque a questão decisiva não era se os dados existiam. Era se as instituições tornaram a condição física do reator conhecível e acionável antes que os operadores perdessem o controle do resfriamento. A luz da PORV mostrava um comando, o pressurizador mostrava um nível local, as janelas de alarme mostravam centenas de desvios de componentes e a impressora tentava mostrar a sequência. Nenhum respondeu confiavelmente à pergunta de segurança que importava: o inventário do reator estava sendo perdido por um caminho de alívio aberto?

A evidência suporta uma alocação sistêmica. A PORV emperrada e a perda de alimentação de água desencadearam o evento. As reduções de injeção e o isolamento atrasado pelos operadores permitiram que ele piorasse. A Metropolitan Edison era responsável pela operação segura, procedimentos, treinamento, manutenção e comando de emergência. A Babcock & Wilcox era responsável pelo conhecimento de projeto e uso eficaz da evidência precursora entre frotas. A NRC era responsável pelos padrões, licenciamento, inspeção e aprendizado da indústria.

A contenção, a tampa inferior do vaso, o resfriamento posterior e uma extensa limpeza limitaram as consequências, mas foram camadas de recuperação depois que a prevenção e o diagnóstico falharam.

Esta conclusão não estabelece intenção criminosa, responsabilidade civil individual ou uma constatação universal de causalidade de saúde. Ela preserva o escopo limitado do pleito de relatório corporativo e das decisões judiciais posteriores. Também distingue as baixas estimativas oficiais de dose populacional da falha documentada de comunicação de emergência e da incerteza de dose no nível individual.

Novas evidências materiais poderiam mudar a alocação se registros autenticados mostrassem que uma instituição responsável entregou um aviso claro baseado em Davis-Besse que a gestão da TMI recebeu, testou e implementou corretamente; se registros anteriormente indisponíveis resolvessem a autoria disputada da decisão ou o gatilho inicial da alimentação de água; se nova dosimetria ou epidemiologia alterasse materialmente as conclusões de liberação e saúde; ou se o descomissionamento revelasse danos ao núcleo ou contenção inconsistentes com os exames atuais.

Na ausência de tais evidências, a conclusão mais forte permanece concisa: a TMI-2 tornou-se severa quando uma falha de equipamento gerenciável passou por indicação não verificada, diagnóstico inadequado e resposta atrasada, e a responsabilidade segue cada instituição que controlava essas salvaguardas.