Авария на Три-Майл-Айленд сделала приборы блочного щита управления испытанием подотчётности в атомной энергетике

Краткое содержание

• Около 4:00 утра 28 марта 1979 года на TMI-2 пропала подача нормальной питательной воды, турбина отключилась, давление в реакторе выросло, открылся предохранительный клапан с электроприводом сброса давления компенсатора (power-operated relief valve, PORV), и реактор автоматически заглушился. Затем PORV не закрылся повторно. Заклинивший в открытом положении клапан создал течь теплоносителя реактора по сценарию малой течи, которую не удалось остановить, пока операторы не закрыли расположенную ниже по потоку отсечную задвижку — примерно через два часа двадцать две минуты.
• Лампа на блочном щите управления, связанная с PORV, показывала, что отправлена электрическая команда на закрытие, а не то, что клапан физически закрыт. Поэтому у операторов был успокаивающий сигнал о состоянии команды, в то время как более горячий, чем обычно, дренажный трубопровод, рост радиации в гермооболочке, заполняющийся приямок гермооболочки и падение давления теплоносителя указывали на продолжающийся сброс. Приборы не сводили эти условия в прямое указание на запас теплоносителя или положение клапана.
• Операторы снизили подпитку под высоким давлением и продолжили отвод теплоносителя, потому что уровень в компенсаторе давления рос, а в обучении подчёркивалась необходимость избегать полного заполнения компенсатора водой. В реальных двухфазных условиях уровень в компенсаторе не был надёжной мерой запаса теплоносителя в корпусе реактора. Это действие уменьшило подпитку, в то время как открытый PORV продолжал удалять теплоноситель.
• Отдельные действия операторов имели значение, но они происходили внутри системы, спроектированной, поставленной, лицензированной и управляемой институтами. Комиссия президента выявила недостатки в конструкции блочного щита управления, процедурах, обучении, управлении, обмене эксплуатационным опытом и регулировании со стороны NRC. Более поздние документы NRC и материалы проверок Конгресса превратили многие из этих выводов в требования к системам отображения параметров безопасности, пересмотрам блочных щитов управления, подготовке на тренажёрах, аварийным эксплуатационным процедурам, программам эксплуатационного опыта и аварийной готовности.
• Похожее событие 1977 года на станции Davis-Besse компании Babcock & Wilcox включало заклинивший в открытом положении PORV, рост уровня в компенсаторе давления, падение давления в системе и сниженную подпитку. Это событие не привело к повреждению активной зоны, но сделало сценарий TMI достаточно предсказуемым, чтобы требовать дисциплинированного анализа и оповещения всего парка. Провал заключался не в том, что каждый участник мог предсказать точную аварию, а в том, что ценный предвестник не был превращён в надёжный диагностический и обучающий инструмент.
• Аварийное реагирование добавило вторую проблему подотчётности. У заводских, государственных и федеральных участников не было общей и своевременной оперативной картины, коммуникация с общественностью была противоречивой, а решения о защитных мерах принимались при неопределённых данных об источнике выброса и дозах. Эти недостатки следует отличать от более поздней официальной оценки о том, что выбросы за пределами площадки привели к низким средним дозам и не выявили обнаруживаемых последствий для здоровья населения.
• Очистка и обследование восстановили часть доказательной базы, но не сам реактор. Более поздняя выгрузка топлива и исследования установили обширное плавление и перемещение материала активной зоны, в то время как нижняя часть корпуса реактора и гермооболочка сохранили важные функции безопасности. В конечном счёте было удалено около 99 процентов первоначальной загрузки топлива, но остаточный топливосодержащий материал сохраняется, и TMI-2 до сих пор находится в статусе вывода из эксплуатации, при этом NRC указывает ориентировочную дату закрытия площадки — 2052 год.
• Вывод о подотчётности носит институциональный и контрольный характер, а не является утверждением о преступном умысле или автоматической индивидуальной ответственности. Metropolitan Edison сохраняла эксплуатационную ответственность; Babcock & Wilcox владела важными знаниями о конструкции и предвестниках; а NRC контролировала стандарты лицензирования, инспекции и отраслевую обучаемость. Результаты расследований, более позднее корпоративное признание вины по уголовному делу о предоставлении отчётности об испытаниях на течи до аварии, тяжбы о перезапуске и деликтные иски о радиационном вреде имеют разный процессуальный объём и не должны сливаться в единый юридический вердикт об аварии.

Граница доказательств: что можно утверждать с уверенностью

Наиболее надёжная общая хронология содержится вдокладе Комиссии президента, расследованииNUREG-0600Управления инспекций и надзора NRC, специальном расследовании NRC, обычно называемом докладом Роговина и доступном череззапись OSTIМинистерства энергетики, а также в более позднемдайджесте знаний NRC о Три-Майл-Айленд. Они различаются по мандату, а иногда и по деталям реконструкции. Ни один из них не является уголовным приговором.

Вместе, однако, они подтверждают ключевую последовательность: потеря питательной воды, аварийная остановка реактора, открывшийся и заклинивший PORV, недостаточное распознавание открытого пути сброса, сниженная аварийная подпитка, продолжительная потеря теплоносителя, вскрытие активной зоны и тяжёлое повреждение топлива.

В этой статье используются пять обозначений доказательств.Подтверждённый фактозначает, что положение подтверждается сходящимися официальными записями или более поздним физическим обследованием.Обоснованное умозаключениеозначает, что вывод следует из подтверждённых условий и работы органов управления, но сам по себе не является судебным решением.Оспариваемое утверждениеозначает, что официальные версии, свидетели или более поздние участники судебных процессов расходились способом, значимым для установления ответственности.Неизвестноозначает, что сохранившиеся записи не позволяют сделать надёжный вывод.Юридическое установлениеозначает, что суд или надзорный орган фактически решил определённый вопрос по своему собственному стандарту; этот вывод не переносится за пределы данного вопроса.

Эта дисциплина важна, потому что TMI-2 породил несколько различных записей. Показания приборов и журналы операторов описывали аварию в процессе её развития. Расследования реконструировали действия спустя месяцы. Выгрузка топлива и металлургические работы выявили повреждения спустя годы. Регуляторные действия установили перспективные требования. Суды решали вопросы об объёме экологической экспертизы, лицензировании или доказывании по конкретным искам. Текущаясправка NRC об аварииявляется полезным официальным обобщением, но более поздние сводки не должны стирать неопределённость, существовавшую на блочном щите управления, или разногласия, сохранявшиеся в судебных разбирательствах.

До аварийной остановки: кто чем управлял

TMI-2 был водо-водяным реактором под давлением, поставленным компанией Babcock & Wilcox и эксплуатировавшимся компанией Metropolitan Edison, входившей в систему General Public Utilities. Распределение эксплуатационного контроля не было двусмысленным: лицензиат отвечал за безопасную эксплуатацию станции, техническое обслуживание оборудования, квалификацию персонала, разработку процедур и соблюдение лицензии. Поставщик контролировал знания о конструкции реакторной системы, техническое руководство и важную информацию о поведении, наблюдаемом на других станциях Babcock & Wilcox.

NRC контролировала правила лицензирования, стандарты лицензирования операторов, инспекции, правоприменение и распространение обобщённой информации по безопасности.

Эти роли пересекались на блочном щите управления. Производитель клапана мог поставить компонент, но поставщик реактора и архитектор-инженер определяли, как представлено его состояние. Лицензиат мог обучать персонал по одобренной NRC базовой программе, но регуляторное одобрение не передавало обязанность лицензиата адаптировать обучение к конкретной станции. NRC могла рассматривать проект, не становясь оператором, однако её правила и инспекции определяли, какие дефекты человеческого фактора подлежали обязательному устранению. Таким образом, подотчётность следует за контролем над средством безопасности, а не за простым нахождением у пульта.

Станция вступила в коммерческую эксплуатацию только в декабре 1978 года. Её операторы имели лицензии и, по данным Комиссии президента, показали результаты выше средних по стране при лицензировании. Этот факт важен, поскольку он отвергает упрощённую историю о неквалифицированном экипаже. Тот же доклад пришёл к выводу, что режим обучения, экзамены NRC и заводские процедуры не подготовили персонал должным образом к условиям, с которыми они столкнулись. Формальная квалификация и операционная готовность не были эквивалентными средствами контроля.

Записи о предвестниках также были значимыми. В сентябре 1977 года на Davis-Besse, другой станции Babcock & Wilcox, произошёл переходный процесс по питательной воде, в ходе которого PORV заклинило в открытом положении. Давление в системе падало, уровень в компенсаторе давления рос, и операторы прервали подпитку под высоким давлением, прежде чем закрыть отсечную задвижку. Событие завершилось без повреждения активной зоны, но оно вскрыло ту же вводящую в заблуждение взаимосвязь, которая позже оказалась важной на TMI-2: рост уровня в компенсаторе давления мог сосуществовать с потерей запаса теплоносителя в реакторной системе.

Комиссия президента сообщила, что Babcock & Wilcox признала потенциальную серьёзность проблемы внутри компании, но предупреждение не дошло до операторов TMI в форме, которая изменила бы их поведение. Это подтверждено как сбой передачи информации; какое именно сообщение гарантированно привело бы к иной реакции, остаётся непознаваемым.

Хронология до вынесения суждений

4:00–4:08 утра: аварийная остановка, сброс и первое ложное успокоение

Примерно в 4:00 утра, когда TMI-2 работал вблизи полной мощности, остановились главные насосы питательной воды. Следователи проследили последовательность открытия через конденсатную и питательную системы вторичного контура, но точную первую механическую или электрическую инициирующую деталь установить с той же уверенностью, что и для последующей последовательности с теплоносителем реактора, не удалось. Обоснованнымтриггеромявляется потеря нормальной питательной воды, а не более конкретная неподтверждённая теория об одном компоненте.

Турбина отключилась в течение нескольких секунд. При резком снижении спроса на пар теплота и давление в первом контуре выросли. PORV открылся автоматически при своей уставке по давлению. Затем реактор был заглушён аварийной защитой, прекратившей цепную реакцию деления, в то время как остаточное тепловыделение сохранялось и по-прежнему требовало охлаждения. Аварийные питательные насосы запустились, но оба пути подачи воды в парогенераторы первоначально были изолированы закрытыми задвижками. Один индикатор положения задвижки был скрыт биркой технического обслуживания; другую операторы не заметили.

Задвижки были открыты примерно через восемь минут после начала события.

Комиссия пришла к выводу, что этот интервал не определил окончательное повреждение активной зоны, хотя и добавил рабочей нагрузки и неразберихи в самый неподходящий момент.

Когда давление упало, PORV должен был закрыться. Механически он не закрылся. Электрически система управления сняла сигнал открытия, и лампа на панели погасла. Таким образом, лампа отражала состояние команды, а не фактическое положение клапана. При обычной эксплуатации это различие могло оставаться скрытым. В этой аварии оно разделило модель на блочном щите управления и реальную станцию: операторы полагали, что путь аварийного сброса первого контура закрыт, в то время как теплоноситель продолжал уходить через него.

Это не было отсутствием всех доказательств. Температура дренажного трубопровода ниже по потоку была высокой. Давление продолжало падать. Уровень в приямке гермооболочки рос. Позже радиация и состояние зданий также сигнализировали о том, что теплоноситель первого контура покидает предусмотренную для него границу. Тем не менее ни один заметный индикатор не показывал, что PORV открыт, и блочный щит управления не предоставлял прямого и надёжного измерения общего запаса теплоносителя реактора. Поэтому проблема немедленного обнаружения была одновременно и специфичной для компонента, и системной.

4:02–4:15 утра: автоматическая подпитка урезается

Примерно через две минуты после аварийной остановки автоматически началась подпитка под высоким давлением, добавлявшая воду по мере снижения давления в первом контуре. Это была необходимая мера безопасности для компенсации потерь через открытый PORV. Операторы вскоре резко снизили подпитку. Их действие следовало модели станции, которой их обучали: уровень в компенсаторе давления рос, а полностью заполненный водой компенсатор мог лишить систему подушки давления и осложнить управление станцией. Они также продолжали или усиливали отвод теплоносителя, намеренно выводя воду из первого контура.

В реальных термогидравлических условиях кипение и образование паровых полостей перераспределяли воду и пар. Рост уровня в компенсаторе давления не доказывал, что корпус реактора заполнен. Давление и уровень менялись по схеме, которой операторов недостаточно обучили распознавать как аварию с малой течью теплоносителя. Действие имело операционные последствия: подпитка упала до доли автоматического расхода, в то время как открытый путь сброса оставался доступным.

Примерно на 5,5-й минуте условия теплоносителя реактора достигли насыщения, что сделало простую однофазную интерпретацию ещё менее надёжной. Около 4:11 утра появился сигнал высокого уровня в приямке гермооболочки. Примерно в 4:15 утра разорвалась мембрана дренажного бака теплоносителя реактора, и теплоноситель поступил в приямок гермооболочки. Это были подтверждающие признаки потери запаса теплоносителя. Они не перевесили когнитивно более доминирующее убеждение, что PORV закрылся, а компенсатор давления переполняется.

Значение здесь не в том, что операторы проигнорировали совершенно ясный прибор. Их окружали частично достоверные сигналы, требовавшие синтеза по панелям, состояниям сигнализации и знанию системы.Оценка человеческого фактора блочного щита управления TMI-2, выполненная при поддержке NRC, позже выявила около 750 окон табло сигнализации, большинство из которых использовалось для аварийных сигналов, без эффективной кодировки приоритетов. Следователи сообщили, что в первые минуты сработало более 100 сигналов. Печатающее устройство сигнализации сильно отставало и в конце концов заклинило. Информация существовала, но система не превращала её надёжно в диагноз.

4:15–6:22 утра: течь накапливается, а мысленная модель сохраняется

Примерно к 4:20 утра приборы показывали нейтронную активность, связанную с изменением состояния активной зоны. Насосы приямка перекачивали загрязнённую воду из гермооболочки во вспомогательное здание, пока их не остановили около 4:39 утра; Комиссия оценила, что могло быть перекачано до примерно 8000 галлонов. Этот путь способствовал выбросам за пределы гермооболочки и иллюстрирует вторую проблему границ: тяжёлая авария перемещала материалы через системы, сконфигурированные для рутинного управления жидкостями, прежде чем персонал распознал состояние.

Прибыли технические и руководящие сотрудники, но дополнительные люди не сразу привели к правильному диагнозу. Структура управления эксплуатацией станции не была готова навязать общую иерархию доказательств переполненному помещению. Примерно в 4:45 утра на блочный щит управления прибыл технический суперинтендант. Продолжающиеся свидетельства о пути сброса по-прежнему интерпретировались как утечка, а не полностью открытый клапан, а индикатор по-прежнему подразумевал закрытие.

После 5:00 утра насосы теплоносителя реактора начали вибрировать по мере того, как паровые полости и двухфазный поток ухудшали условия работы насосов. Операторы остановили два насоса около 5:14 и оставшиеся два около 5:41. Остановка повреждённых или кавитирующих насосов была понятной защитой оборудования, но она устранила принудительную циркуляцию, в то время как надёжная естественная циркуляция не была обеспечена. Подпитка под высоким давлением по-прежнему не использовалась с расходом, необходимым для восстановления запаса теплоносителя.

Примерно в 6:15 утра уровень воды в корпусе реактора, согласно более поздней реконструкции, опустился ниже верха активной зоны. В 6:22 утра оператор закрыл отсечную задвижку ниже по потоку от PORV, прекратив основной путь потерь примерно через два часа двадцать две минуты. Современные отчёты расходились в том, чьё предложение непосредственно привело к этому действию. Эта атрибуция являетсяоспариваемым утверждениеми не требуется для институционального вывода. Подтверждённый факт состоит в том, что простое действие по изоляции, доступное с блочного щита управления, было отложено, потому что эксплуатирующая организация неверно определила состояние клапана.

Закрытие отсечной задвижки остановило дальнейший сброс, но не восстановило уже потерянный запас теплоносителя. Следователи оценили, что за первые сто минут через путь сброса прошло примерно 32 000 галлонов. Подпитка, достаточная для восстановления активной зоны, не была немедленно обеспечена. Примерно к 6:48 утра, согласно более поздней реконструкции, большая часть активной зоны могла оказаться открытой.

Ранним следователям приходилось делать выводы о температуре и повреждениях по приборам, не предназначенным для выживания или количественной оценки такого состояния; более позднее физическое обследование существенно пересмотрело и укрепило эти доказательства.

7:00 утра и последующие дни: классификация чрезвычайной ситуации и стабилизация

Лицензиат объявил аварийную ситуацию на площадке незадолго до 7:00 утра и общую аварию примерно в 7:24 утра. Первый регион NRC узнал о событии, когда его офис открылся, около 7:45 утра, а не через постоянно действующий федеральный операционный центр, способный немедленно принимать и интегрировать данные. Эта хронология поддержала более поздние изменения в аварийной организации и коммуникациях NRC.

Охлаждение в конечном счёте было восстановлено, и реактор приведён в более стабильное состояние, но общественная чрезвычайная ситуация не закончилась с прекращением основной течи. Радиоактивный материал переместился в гермооболочку и вспомогательное здание. В первый день в гермооболочке произошло горение водорода, а позже опасения сосредоточились на водороде, накопившемся в реакторной системе. У заводских, государственных и федеральных должностных лиц была неполная, иногда противоречивая информация о выбросах, состоянии активной зоны и возможности дальнейшей эскалации.

30 марта сообщения о выбросе побудили власти Пенсильвании рекомендовать беременным женщинам и детям дошкольного возраста в радиусе пяти миль временно покинуть район, а людям в радиусе десяти миль — оставаться в помещении. Это не было общей обязательной эвакуацией. Это различие важно, как и тот факт, что многие жители уехали добровольно в условиях неопределённости.Разделы годовых отчётов NRC о восстановлении TMI-2фиксируют как рекомендации о защитных мерах, так и коммуникационные сбои, окружавшие их.

Таким образом, аварийная фаза имела две проблемы стабилизации. Операторы должны были обеспечить отвод тепла и контроль водорода и радиоактивных запасов. Органы публичной власти должны были сформировать достоверную общую оперативную картину. Ни то, ни другое нельзя было оценивать по факту срабатывания аварийной защиты: остановка реактора прекратила деление, но не устранила остаточное тепловыделение, не восполнила запас теплоносителя, не предотвратила образование водорода и не обеспечила достоверной публичной информации.

Согласование часов с повреждённой станцией

Минутные отметки в этом изложении имеют неодинаковое доказательственное качество. Отключение турбины, аварийная остановка реактора и автоматические сигналы были зарегистрированы заводскими системами. Другие времена были реконструированы по журналам операторов, опросам, компьютерным записям, диаграммным лентам и последовательности сигналов. Печатающее устройство сигнализации, которое должно было сохранить удобный упорядоченный протокол, уже во время события отставало, а затем заклинило.

Следователи могли сопоставлять несколько источников, но отметка времени, напечатанная с опозданием на часы, не эквивалентна прямой записи технологического процесса с меткой времени.

Соответственно, такие времена, как 4:00, 6:22 и 7:24, являются прочными якорями событий; оценки уровня воды в активной зоне и повреждений на 6:15 или 6:48 являются реконструкциями на основе моделей и описываются как приблизительные.

Та же иерархия применима к повреждению станции. Во время аварии приборы блочного щита управления могли показывать давление, локальный уровень, температуру или радиацию, но не могли отображать карту охлаждения активной зоны. Некоторые показания вышли за пределы шкалы; другие искажались паром, паровыми полостями, суровыми условиями окружающей среды или допущениями о том, где находится вода. Ранние отчёты использовали тепловые и химические модели для оценки температуры топлива и доли вскрытой активной зоны. Эти оценки были необходимы для реагирования и расследования, но они не были прямым наблюдением.

Годы спустя выгрузка топлива дала другие доказательства: повреждённые топливные сборки, переплавленный материал, обломки и мусор в нижней камере. Отбор проб и обследование подтвердили обширное плавление и перемещение материала, показав при этом, что нижняя часть корпуса осталась неповреждённой. Более поздние доказательства усиливают тезис о том, что охлаждение серьёзно нарушалось, и ограничивают излишне точные утверждения о том, что одни лишь приборы 1979 года доказали в конкретную минуту. Они также демонстрируют, почему аварийное приборное оснащение должно поддерживать и немедленное управление, и последующую реконструкцию.

Система, теряющая диапазон измерения, устойчивость к условиям окружающей среды или запись последовательности, одновременно ухудшает и реагирование, и подотчётность.

Атрибуция свидетельских показаний требует аналогичной сдержанности. Расследования могли установить, что изолирующие задвижки аварийной питательной воды были закрыты и открыты примерно через восемь минут после аварийной остановки, но версии о том, почему они были закрыты, расходились. Комиссия сочла краткое прерывание нерешающим для конечного повреждения активной зоны. Поэтому было бы вводящим в заблуждение делать невыясненное происхождение неправильного положения задвижек корневой причиной. Версии также расходились в том, кто первым предложил закрыть отсечную задвижку PORV.

Факт безопасности и контроля здесь — не авторство предложения; а то, что эксплуатирующая организация потратила примерно два часа двадцать две минуты на выполнение доступной изоляции, потому что не подтвердила физическое состояние клапана.

Эта сверка даёт более узкое, но более сильное повествование. Отключение питательной воды инициировало переходный процесс. Отказ PORV закрыться повторно создал путь потерь. Блочный щит управления не распознал этот путь достаточно быстро. Снижение подпитки и запоздалая изоляция истощили запас теплоносителя. Активная зона была существенно повреждена, как подтвердило более позднее обследование. Точные мыслительные процессы отдельных лиц, несколько авторов действий и первый компонент цепочки питательной воды остаются неопределёнными.

Эти неизвестные должны ограничивать персональную атрибуцию, а не использоваться для растворения подтверждённой причинно-следственной цепочки.

Блочный щит управления как спроектированная система принятия решений

Наиболее значимым прибором была лампа PORV, но сосредоточение только на этой лампе преуменьшает дефект конструкции. Индикация на блочном щите управления полезна только в том случае, если её значение однозначно в условиях, в которых операторам приходится действовать. Лампа PORV точно показывала, что соленоид получил команду на закрытие. Она не подтверждала положение штока или клапана. Интерфейс не делал это ограничение заметным. После более раннего события с PORV на TMI-2 была добавлена лампа, но доработка по-прежнему сообщала о контрольном сигнале, а не о физическом закрытии.

Корректирующее действие устранило видимый симптом, не проверив функцию безопасности.

Прочие доказательства были фрагментированы. Индикатор уровня в компенсаторе давления был заметным, но стал вводящим в заблуждение заменителем общего запаса системы при двухфазном потоке. Температура дренажного трубопровода могла указывать на продолжающийся сброс, но у операторов был опыт утечек, и они не рассматривали это показание как решающее доказательство полностью открытого клапана. Уровень в приямке и сигналы о разрыве мембраны были физическими последствиями ниже по потоку, а не прямым диагнозом. Ключевые индикаторы находились на задних панелях, а некоторые значения выходили за пределы диапазона приборов.

Оценка блочного щита управления выявила отсутствие или неадекватность прямого представления таких переменных, как общий запас теплоносителя первого контура, соотношение давления и температуры, необходимое для распознавания насыщения, расход сброса через PORV и расход аварийной питательной воды.

Объём сигнализации усугублял проблему. За короткий период загорелось большое количество окон сигнализации без приоритизации по значимости для безопасности. Печатающее устройство, предназначенное для сохранения последовательности, отставало на часы и заклинило. Более ранняя жалоба оператора на работу печатающего устройства не привела к эффективному исправлению, по данным Комиссии президента. Это доказательство ремонта ещё до аварии: у организации была зарегистрированная слабость, она не применила проверенное средство, а затем потеряла инструмент во время события, для которого реконструкция последовательности была наиболее важна.

Обоснованное умозаключениесостоит в том, что сбой обнаружения на TMI-2 был сбоем информационной архитектуры. Станция производила данные, но интерфейс отдавал предпочтение командам компонентов, локальным величинам и размножению сигналов перед проверенными функциями безопасности: достаточен ли запас теплоносителя, покрыта ли активная зона, отводится ли остаточное тепло и физически ли изолирован путь сброса? Это умозаключение согласуется с более позднейпрограммой NRC по пересмотру конструкции блочных щитов управления, которая потребовала от лицензиатов оценивать дефекты человеческого фактора и помогла институционализировать системы отображения параметров безопасности.

Индикатор безопасности сам по себе не является доказательством безопасности.Обобщающее письмо NRC 89-06требовало сертификации того, что системы отображения параметров безопасности установлены и что аварийные эксплуатационные процедуры и обучение интегрированы с ними. Важна структура: установка, использование процедур, обучение и сертификация рассматривались как отдельные средства контроля. Оборудование не могло быть объявлено отремонтированным только потому, что был куплен экран или датчик.

Классификация причин

Триггер — подтверждён на уровне системы, неопределёнен на уровне первого компонента.Непосредственным триггером стала потеря нормальной питательной воды примерно в 4:00 утра. Точный первый отказ в последовательности «конденсатоочистка — воздух — регулирование питательной воды» менее определён в сохранившейся официальной документации и не требуется для объяснения пути повреждения активной зоны. Приписывание всей аварии неподтверждённой закупорке смолой или одному действию при техническом обслуживании было бы преувеличением доказательств.

Корневая причина — обоснованный институциональный вывод.Корневой причиной был отказ спроектировать, эксплуатировать и регулировать TMI-2 так, чтобы предвидимый сценарий малой течи теплоносителя был распознан и взят под контроль до потери охлаждения активной зоны. Эта формулировка аналитическая, а не судебная. Она согласуется с выводом Комиссии президента о том, что фундаментальные проблемы были связаны с людьми в широком смысле слова — с институтами, которые производили, эксплуатировали и регулировали станцию, — а не с утверждением, что ошибка одного человека вызвала все последствия.

Непосредственная физическая причина — подтверждена.PORV открылся при высоком давлении и не закрылся повторно. Продолжающийся сброс уменьшал запас теплоносителя реактора. Недостаточная подпитка и последующая потеря принудительной циркуляции привели к вскрытию активной зоны, перегреву, паро-циркониевой реакции, образованию водорода, плавлению топлива и перемещению материала. Отказ клапана был необходим для последовательности, как она произошла, но недостаточен, чтобы объяснить, почему средства защиты не смогли вовремя её прекратить.

Способствующие условия — подтверждены или убедительно обоснованы.Первоначально закрытые изолирующие задвижки аварийной питательной воды увеличили рабочую нагрузку; индикация PORV отражала команду, а не положение; отсутствовала прямая индикация общего запаса теплоносителя; уровню в компенсаторе давления придавался чрезмерный вес; сигнализация не имела приоритетов; печатающее устройство сигнализации вышло из строя; процедуры и обучение отдавали предпочтение избеганию полностью заполненного водой компенсатора; диагностика малых течей была слабой; опыт предвестников не был превращён в действия на конкретной станции; управленческое командование и техническая поддержка не были готовы к неоднозначному тяжёлому событию; а регуляторное внимание было сосредоточено на других моделях аварий.

Сбой обнаружения — подтверждён.Экипаж не идентифицировал открытый PORV вовремя, несмотря на множество косвенных признаков. Ответственность разделяется между операционной интерпретацией и конструкцией информации, предоставленной для этой интерпретации. Лампа команды на закрытие — это не ложное электрическое показание, но использование её так, будто она доказывает механическое закрытие, создаёт ложное операционное утверждение. Это различие — главный урок приборного оснащения.

Сбой реагирования — подтверждён, с контекстом.Операторы резко снизили подпитку под высоким давлением, продолжили отвод теплоносителя, отложили изоляцию отсечной задвижки и останавливали насосы теплоносителя реактора по мере ухудшения условий. Эти действия усугубили потерю теплоносителя или не остановили её. Их следует оценивать в контексте показаний, процедур и обучения, но не оправдывать этим контекстом. Организационная ответственность не стирает свободу действий у органов управления; она объясняет, почему несколько лицензированных профессионалов могли сделать связный, но небезопасный набор выборов.

Сбой аварийного реагирования — подтверждён институционально.Оповещение, техническая оценка, межправительственная координация и публичная коммуникация не обеспечили своевременную общую картину.История аварийной готовности NRCпрямо указывает на TMI как на событие, вскрывшее слабости планов и координации. Вывод не зависит от утверждения, что каждая рекомендация о защитных мерах была ошибочной.

Доказательства восстановления и ремонта — смешанные.Гермооболочка и нижняя часть корпуса реактора выполнили важные функции безопасности; операторы и технические группы в конечном счёте восстановили охлаждение; мониторинг ограничил оценку значительной части выброса за пределы площадки; а более поздняя очистка удалила большую часть топлива и переработала загрязнённую воду. Это подтверждённые успехи. Они не обратили аварию вспять, и продолжающееся делопроизводство по выводу из эксплуатации означает, что физическое восстановление остаётся незавершённым.

Неизвестные.Документация не позволяет установить точную индивидуальную дозу для каждого жителя за пределами площадки, точный момент и историю температур для каждого участка активной зоны, контрфактический исход, если бы одно более раннее действие было иным, или окончательного автора каждого критического решения на блочном щите управления. Она также не позволяет доказать, что одно предупреждение, основанное на Davis-Besse, обязательно предотвратило бы TMI. Эти пробелы ограничивают индивидуальные и контрфактические утверждения, но не системный вывод о том, что средства контроля были неадекватными.

Обучение, процедуры и неиспользование эксплуатационного опыта

Обучение подотчётно, когда оно меняет то, что операторы могут распознать под стрессом, а не когда оно просто приносит лицензии и записи о посещаемости. Персонал TMI-2 прошёл требуемые программы, но программы не дали им надёжной модели для малой течи с ростом уровня в компенсаторе давления. Тренажёры недостаточно воспроизводили соответствующие условия, а экзамены недостаточно глубоко проверяли интегрированную диагностическую задачу. Эксплуатационные процедуры не давали решающего маршрута на основе симптомов — от падающего давления и растущего уровня к устойчивой подпитке и изоляции PORV.

Немедленные бюллетени NRC показывают, как быстро отсутствующие средства контроля стали читаемыми после события.Бюллетень IE 79-05Aраспространил предварительную хронологию и потребовал немедленного ознакомления операторов и действий.Бюллетень IE 79-06Bкасался операционных ошибок и неправильных положений оборудования, включая опасность принятия решений на основе единственного показания и необходимость проверки доступности аварийной питательной воды. Это были благоразумные меры, но их появление также демонстрирует, что существовавшие средства контроля не превратили уже известное поведение реактора в практику для всего парка.

Davis-Besse централен, потому что он проверяет предсказуемость, не требуя ясновидения. Более раннее событие не воспроизвело все условия TMI. Оно воспроизвело операционно опасную комбинацию открытого пути сброса, падающего давления, растущего уровня в компенсаторе давления и урезанной подпитки. Babcock & Wilcox обладала видимостью на уровне парка, которой не было у отдельных операторов TMI. Metropolitan Edison несла ответственность за получение и оценку соответствующего опыта поставщика и отрасли. У NRC была роль в распространении обобщённой информации по безопасности.

Каждый институт контролировал своё звено в цепочке от отчёта о событии до пересмотренной процедуры, сценария на тренажёре, экзамена и проверенной работы экипажа.

Послеаварийная программа сделала эти звенья более явными.Задача по улучшению тренажёровNRC подчёркивала реалистичность, сложные переходные процессы и диагностику. Еёзадача по лицензированию и переаттестации оператороврасширила требования к экзаменам и переаттестации.Задача по анализу и распространению эксплуатационного опытакасалась централизованной оценки и распространения. Вместе они воплощают более сильную модель подотчётности: собирать доказательства предвестников, определять их значимость для безопасности, превращать их в средства контроля на станции, проверять исполнение и сохранять доказательство того, что контроль работает.

Различие между процедурным соответствием и диагностической компетентностью остаётся важным. Оператор может следовать процедуре, воплощающей ошибочный приоритет. Лицензиат может документировать обучение, не воссоздавая сигналы и временное давление опасности. Регулятор может закрыть пункт действий после получения представления, не наблюдая устойчивого исполнения. Поэтому настоящий ремонт требует доказательств результата, включая результаты на тренажёрах, полевые наблюдения, работу с сигнализацией и повторные испытания на деградированных или противоречивых показаниях.

Аварийное реагирование и публичная подотчётность

Авария на TMI-2 была не только проблемой управления реактором. Это была проблема управления информацией, охватывавшая лицензиата, Пенсильванию, NRC, другие федеральные ведомства и общественность. Ранние уведомления не давали всем участникам согласованных данных о состоянии станции и выбросах. Техническая неопределённость была неизбежна; противоречивые описания и неясные полномочия по принятию решений — нет. Комиссия президента описала серьёзную неразбериху и рекомендовала более чёткое аварийное командование, коммуникации и планирование.

Радиологические факты требуют тщательных формулировок. Текущая сводка NRC оценивает, что около двух миллионов человек вокруг станции получили среднюю дополнительную дозу примерно в один миллирентген, при этом максимальная доза на границе площадки составила менее 100 миллирентгенов сверх фоновой. В ней сообщается, что обширные исследования не выявили обнаруживаемых последствий для здоровья, связанных с аварией. В архивном описаниисвоей роли в мониторингеАгентство по охране окружающей среды США описывает расширенную сеть, использованную для оценки выбросов.

Эти официальные оценки подтверждают низкую измеренную дозу для населения; они не устанавливают точную дозу для каждого человека, не устраняют всю эпидемиологическую неопределённость и не отрицают социальные и психологические последствия противоречивых предупреждений.

Пост-TMI-реформа разделила полномочия более чётко. Федеральная реорганизация наделила председателя NRC дополнительными аварийными полномочиями; официальныйсборник планов реорганизацииуказывает на недостатки эпохи TMI в управлении кризисом. FEMA взяла на себя ведущую роль в планировании за пределами площадки, в то время как NRC сохранила ответственность за готовность на площадке и результаты работы лицензиата. Совместныекритерии NUREG-0654/FEMA-REP-1установили более систематическую основу для планов радиационной аварийной готовности.

Эти реформы проясняют принцип подотчётности: неопределённость должна менять режим принятия решений, а не приостанавливать ответственность. Когда оценки источника выброса нестабильны, должностным лицам нужны явные доверительные интервалы, названные лица, ответственные за решения, данные с метками времени и заранее согласованные пороги защитных мер. TMI вместо этого показал, как непроверенные технические сообщения могут распространяться быстрее, чем их оговорки. Доверие общественности было подорвано не только радиацией, но и видимыми разногласиями о том, что знали власти и кто руководил.

Распределение подотчётности без смешения ролей

Операторы блочного щита управления.Операторы осуществляли непосредственный контроль над подпиткой под высоким давлением, отводом теплоносителя, насосами теплоносителя реактора и изоляцией отсечной задвижки PORV. Поэтому их действия являются частью непосредственной операционной причины. Но доказательная база не позволяет изображать экипаж как независимый источник отказа, оторванный от конструкции и обучения. Они интерпретировали лампу команды как закрытие, полагались на уровень в компенсаторе давления, следовали усвоенной обеспокоенности по поводу водозаполненной системы и работали сквозь шторм неупорядоченной сигнализации.

Ответственность операторов — за решения в рамках этой среды; институциональная ответственность — за создание и принятие этой среды.

Metropolitan Edison и GPU.Лицензиат нёс неделегируемую эксплуатационную ответственность. Он контролировал укомплектование персоналом, процедуры, техническое обслуживание, реализацию обучения, ремонт печатающего устройства сигнализации, модификации станции, техническую поддержку и аварийное оповещение. Выполнение минимальных условий лицензирования NRC не было полной защитой от опасности, видимой через заводской и вендорский опыт. Лицензиат также имел сильнейшую локальную возможность проверить, что на самом деле доказывает лампа PORV, могут ли операторы диагностировать малую течь и восстановило ли корректирующее обслуживание функцию.

Babcock & Wilcox и другие поставщики.Поставщик реактора контролировал знания о конструкции и опыт по всему парку. На его станциях были проблемы с PORV, а Davis-Besse предоставил особенно значимый предвестник. Ответственность поставщика основывается на анализе опасностей, точном проектировании интерфейса, однозначной технической коммуникации и эскалации закономерностей среди заказчиков. Это не вывод о том, что вендор управлял сменой на TMI или что каждый дефект компонента влечёт юридическую ответственность. Доказательства подтверждают отказ сделать системные знания операционно эффективными.

NRC.Регулятор лицензировал конструкцию и операторов, инспектировал станцию, устанавливал стандарты обучения и аварийной готовности и контролировал отраслевую коммуникацию по безопасности. Официальные расследования установили, что её подход недостаточно подчёркивал человеческий фактор, качество управления, поведение при малых течах или синтез эксплуатационного опыта. Собственныйотчёт целевой группы NRC по извлечённым урокам (NUREG-0585)призвал к фундаментальным изменениям в проектировании, эксплуатации и регуляторном процессе. Регуляторная ответственность — это не операционное командование, и NRC не открывала и не изолировала PORV.

Это ответственность за систему гарантий, которая приняла данный проект и режим квалификации.

Правительственные аварийные организации.Власти Пенсильвании принимали решения о защитных мерах; NRC оценивала безопасность реактора и выбросы; другие федеральные органы контролировали радиацию и поддерживали реагирование. Фрагментированные полномочия и коммуникации ухудшили публичную подотчётность. Более позднее возложение руководства планированием за пределами площадки на FEMA отражает ремонт институционального интерфейса, а не доказательство того, что каждое решение штата или федерального уровня в 1979 году было небрежным.

Счётная палата США (GAO) пришла к сопоставимо системному выводу в своёмобзоре основных расследований 1980 года: следователи в целом выявили неисправность оборудования, неадекватное обучение, плохую конструкцию блочного щита управления и процедур, а также известные регуляторные недостатки. Правительственный аудит обобщает и оценивает доказательства; он не разрешает деликтные или уголовные вопросы. Его ценность — в сходимости результатов различных проверок.

Правовой и процессуальный статус

Авария породила правоприменительные, лицензионные и гражданские разбирательства, но ни одно производство не дало исчерпывающего юридического распределения всей ответственности за аварию. Поэтому аналитические выводы выше должны оставаться отличными от юридических исходов.

Metropolitan Edison позднее признала себя виновной по уголовному делу в фальсификации отчётов об испытаниях на течи до аварии, как резюмировано в архивномбюллетене прокуроров США Министерства юстиции. Это корпоративное признание — правовое решение по конкретному отчётному поведению. Его не следует расширять до доказательства того, что фальсифицированные испытания вызвали последовательность с PORV, что каждое оспариваемое доаварийное состояние было скрыто или что какое-либо конкретное лицо понесло уголовную ответственность.

В делеMetropolitan Edison Co. против PANEВерховный суд решил вопрос об объёме экологической экспертизы, связанной с предлагаемым перезапуском неповреждённого энергоблока № 1, включая то, достаточно ли психологические последствия для здоровья связаны с изменением физической среды для анализа в рамках Национального закона о политике в области окружающей среды. Это решение не было деликтным вердиктом о причине аварии на TMI-2, радиационном вреде или корпоративном умысле.

Более поздние иски о причинении вреда здоровью также определялись установленными требованиями доказывания. В делеIn re TMI, 193 F.3d 613 (3d Cir. 1999)Апелляционный суд США третьего округа подтвердил решение о суммарном отказе в удовлетворении иска в пользу ответчиков, потому что допустимые доказательства истцов не поддерживали требуемые в этих делах показания о дозе и причинно-следственной связи; одна ошибка в доказательствах была признана несущественной. Этот процессуальный результат логически не эквивалентен выводу о том, что радиоактивный материал не выбрасывался, ни один житель не испытывал стресс или ни один институциональный контроль не отказал. Он устанавливает, что эти истцы не доказали в рамках данной документальной базы по применяемому правовому стандарту.

Это разделение защищает анализ подотчётности от двух противоположных ошибок. Критика в расследованиях не может быть представлена как уголовная судимость. Судебное решение в пользу защиты по причинно-следственной связи не может быть представлено как утвердительная сертификация того, что эксплуатация и аварийные коммуникации были адекватны. Объём правового регулирования, бремя доказывания и средства правовой защиты имеют значение.

Что доказали очистка и более позднее обследование

Ранние оценки аварии не могли видеть всю активную зону. Приборы были повреждены, вышли за пределы шкалы или были косвенными, а корпус реактора нельзя было немедленно вскрыть. Очистка стала длительным доказательным процессом. Снятие крышки корпуса реактора началось в 1984 году, удаление топлива началось в 1985 году, а основные работы по выгрузке топлива продолжались до 1990 года. Взаписи о задаче очистки и обследования TMI-2NRC сообщается, что по меньшей мере 19 метрических тонн перемещённого материала активной зоны достигли нижней камеры. Более поздние исследования Министерства энергетики, обобщённые черезOSTI, пришли к выводу, что расплавилось не менее 45 процентов активной зоны и почти 19 тонн переместилось на нижнюю часть корпуса реактора.

Эти физические доказательства меняют определённость вывода о повреждении активной зоны. Они подтверждают обширное плавление и перемещение материала, а также показывают, что нижняя часть корпуса реактора не разрушилась. Гермооболочка также ограничила последствия за пределами площадки, хотя материал выходил через пути во вспомогательном здании, а во время очистки происходили контролируемые выбросы. Глубокоэшелонированная защита частично сработала после того, как предотвращение и диагностика потерпели неудачу. Это не противоречие: многослойные средства защиты предназначены именно потому, что более ранние средства контроля могут отказать.

Очистка также проверила защиту работников, обращение с отходами, переработку воды, контроль критичности и приборное оснащение в повреждённой среде.Дополнение 2 к дайджесту знаний NRCсохраняет уроки стабилизации и выгрузки топлива, а не рассматривает событие как завершённое в момент окончания общественной чрезвычайной ситуации. В справке NRC указано, что к августу 1993 года было переработано около 2,23 миллиона галлонов воды, образовавшейся в результате аварии, и удалено примерно 99 процентов топлива. Энергоблок перешёл в контролируемое хранение после выгрузки топлива по лицензии, разрешающей только владение.

Текущийстатус объекта TMI-2 на сайте NRCдаёт более точную границу. Он оценивает остаточный топливосодержащий материал менее чем в 1125 килограммов, приблизительно один процент от первоначального запаса активной зоны, в местах нахождения в системах теплоносителя и за пределами корпуса. Он указывает статус DECON, сообщает, что NRC рассматривает исправленный отчёт о выводе из эксплуатации, поданный в октябре 2025 года, и указывает 2052 год как ориентировочную дату закрытия. Это текущие регуляторные факты, а не доказательство того, что повреждённый энергоблок был отремонтирован для эксплуатации.

Различие между TMI-2 и энергоблоком № 1 имеет ключевое значение. Энергоблок № 1 был физически отдельным и не был повреждён аварией с активной зоной в 1979 году. Позже он был перезапущен, эксплуатировался и был остановлен в 2019 году; текущая федеральная деятельность, касающаяся возможного перезапуска, относится к энергоблоку № 1, ныне называемому Crane Clean Energy Center, а не к TMI-2. Натекущей странице NRC об энергоблоке № 1задокументирован этот отдельный лицензионный статус. Любое утверждение о том, что «Три-Майл-Айленд был отремонтирован и перезапущен», без указания энергоблока, искажает физическую и правовую документацию.

Данные о стоимости очистки также нуждаются в датировке. В обзоре GAO 1981 годао финансировании очисткиобсуждалась оценка примерно в 1,034 миллиарда долларов и существенная неопределённость финансирования. Это была современная оценка, а не окончательный вывод о затратах с поправкой на инфляцию. Её ценность для подотчётности состоит в том, чтобы показать, как эксплуатационный отказ перенёс долгосрочные финансовые, отходные и публично-управленческие обязательства за пределы самого события.

Реформа — доказательство признания, а не автоматическое доказательство ремонта

Реформы NRC и отрасли после TMI были масштабными. NRC выпустила немедленные бюллетени, усилила инспекции с проживанием на площадке, пересмотрела обучение и лицензирование операторов, укрепила аварийную готовность, потребовала пересмотра конструкции блочных щитов управления и систем отображения параметров безопасности, разработала симптомно-ориентированные аварийные эксплуатационные руководства и создала более сильные функции эксплуатационного опыта. Отрасль учредила Институт эксплуатации атомных станций (INPO) для независимой оценки коллег и обмена показателями работы.

NRC свела утверждённые требования и графики реализации вNUREG-0737, а еёархив Плана действий по TMIпоказывает широту и итоговый статус отдельных задач.

Гарантии по клапанам стали более явными. Послеаварийные задачи касались электропитания, индикации положения и надёжности предохранительных и отсечных клапанов компенсатора давления.Обобщающее письмо NRC 90-06задокументировало решение общих вопросов о надёжности PORV и отсечных задвижек, включая роль индикации положения на блочном щите управления и квалифицированного электропитания. Регуляторная документация также объясняет, почему не каждое желаемое улучшение стало универсальной доработкой класса безопасности. Оценки затрат и выгод и решения по конкретным станциям оставались частью процесса. Это ограничение должно быть заметно при оценке полноты реформы.

Закрытие пунктов действий — это административное доказательство: требование было издано, представление принято или задача иным образом решена. Оно не доказывает, что средства контроля остаются эффективными на протяжении десятилетий.Обзор хода реализации Плана действий GAO 1985 годапризвал к всеобъемлющему учёту многочисленных пост-TMI-пунктов; NRC позднее представила такой учёт, и GAO закрыла свою рекомендацию. Это полезное доказательство прослеживаемости, но не гарантия работы каждой станции.

Более позднее правоприменение является жёсткой проверкой этого различия. В 1998 году NRC издалауведомление о нарушении EA-97-533в отношении отдельного энергоблока № 1 TMI. После замены PORV в 1995 году ошибки в проводке сделали клапан неработоспособным, а неадекватные послеремонтные испытания не выявили это состояние в течение 23-месячного эксплуатационного цикла. NRC классифицировала нарушение как нарушение III уровня серьёзности. Агентство признало выявление и корректирующие действия и не применило предусмотренный гражданский штраф.

Это более позднее нарушение не воспроизвело отказ 1979 года: клапан энергоблока № 1 не мог открыться, тогда как клапан энергоблока № 2 заклинило в открытом положении, и в 1995–1997 годах аварии не произошло. Его сигнал для подотчётности уже и долговечнее. Даже на площадке, определённой аварией с PORV, техники, независимая проверка и производственный контроль работы могли принять неправильное соединение, а испытания не доказали фактическую реакцию клапана. Урок не в том, что реформа была бесполезной. Он в том, что пути команд, индикации и оформление документации остаются неадекватными заменителями функциональной проверки.

Поэтому сильнейшая модель ремонта циклическая. Лицензиат должен определить функцию безопасности, оснастить прибором физическое состояние, обучить персонал работе с правдоподобными деградированными показаниями, испытать компонент после обслуживания, наблюдать работу в реалистичных сценариях, фиксировать события-предвестники, независимо оспаривать доказательства закрытия и держать результат видимым для руководства и регулятора. NRC должна инспектировать достаточную часть этого цикла, чтобы выявлять документацию, оторвавшуюся от функции.

Контрфактические средства контроля и измеримая подотчётность

Несколько средств контроля могли прервать последовательность без требования совершенного предсказания. Прямая и квалифицированная индикация фактического положения PORV могла бы противоречить лампе команды. Заметный дисплей, интегрирующий давление, температуру, запас до насыщения и запас теплоносителя, мог бы поставить под сомнение опору на уровень в компенсаторе давления. Сигнал высокого приоритета о продолжительном сбросе через PORV, поддержанный проверенной логикой расхода или температуры дренажа, мог бы сфокусировать внимание.

Процедуры могли бы требовать ранней изоляции отсечной задвижки, когда после команды на закрытие сохраняются свидетельства сброса.

Сценарии на тренажёрах могли бы отрабатывать модель Davis-Besse до тех пор, пока экипажи не продемонстрируют устойчивую подпитку и диагностику по симптомам.

Эти контрфактические средства —обоснованные средства контроля, а не утверждения, что любое из них наверняка предотвратило бы все повреждения. Датчики могут отказать, изоляция может создать опасения по поводу превышения давления, а аварийные условия могут выйти за пределы моделей. Их ценность кумулятивна. Независимые информационные каналы затрудняют доминирование одного вводящего в заблуждение заменителя. Процедуры и обучение делают доказательства действенными. Функциональные испытания доказывают, что ремонт дошёл до станции. Программы эксплуатационного опыта делают прошлые отказы доступными до их повторения.

Подотчётность можно измерять по этой цепочке:

1. Определила ли организация соответствующую физическую функцию безопасности, а не только командное состояние?
2. Получила ли она доказательства предвестников от своей станции, парка поставщика и регулятора?
3. Оценила ли она доказательства на предмет условий за пределами нормальной эксплуатации?
4. Изменила ли она приборы, процедуры, обучение и аварийные интерфейсы?
5. Испытала ли она изменение в реалистичных и противоречивых условиях?
6. Проверила ли независимая надзорная инстанция физические показатели, а не только документирование завершения?
7. Следила ли организация за повторением и вновь открывала ли вопрос, когда более поздние доказательства противоречили закрытию?

TMI-2 не прошла значительную часть этой цепочки до 28 марта 1979 года. Послеаварийные реформы создали многие её элементы. Документация о правоприменении на энергоблоке № 1 показывает, почему последние два вопроса не могут устареть.

Вывод о подотчётности

Три-Майл-Айленд превратила приборное оснащение в испытание подотчётности, потому что решающий вопрос заключался не в том, существовали ли данные. Он заключался в том, сделали ли институты физическое состояние реактора познаваемым и действенным до того, как операторы потеряли контроль над охлаждением. Лампа PORV показывала команду, компенсатор давления показывал локальный уровень, окна сигнализации показывали сотни отклонений компонентов, а печатающее устройство пыталось показать последовательность.

Ни одно из них надёжно не отвечало на вопрос безопасности, который имел значение: терялся ли запас теплоносителя реактора через открытый путь сброса?

Доказательства поддерживают системное распределение. Заклинивший PORV и потеря питательной воды инициировали событие. Снижение операторами подпитки и запоздалая изоляция позволили ему усугубиться. Metropolitan Edison несла ответственность за безопасную эксплуатацию, процедуры, обучение, техническое обслуживание и аварийное командование. Babcock & Wilcox несла ответственность за знания о конструкции и эффективное использование доказательств предвестников по всему парку. NRC несла ответственность за стандарты, лицензирование, инспекции и отраслевую обучаемость.

Гермооболочка, нижняя часть корпуса реактора, более позднее охлаждение и масштабная очистка ограничили последствия, но это были слои восстановления после того, как предотвращение и диагностика потерпели неудачу.

Этот вывод не устанавливает преступного умысла, индивидуальной гражданской ответственности или универсального вывода о причинении вреда здоровью. Он сохраняет ограниченный объём корпоративного признания в сфере отчётности и более поздних судебных решений. Он также отличает низкие официальные оценки доз для населения от задокументированного сбоя аварийной коммуникации и от неопределённости доз на индивидуальном уровне.

Новые существенные доказательства могли бы изменить распределение ответственности, если бы аутентифицированные записи показали, что ответственный институт направил чёткое предупреждение, основанное на Davis-Besse, которое руководство TMI получило, проверило и правильно реализовало; если бы ранее недоступные журналы разрешили спорное авторство решений или первоначальный триггер питательной воды; если бы новые дозиметрические или эпидемиологические данные существенно изменили выводы о выбросах и здоровье; или если бы вывод из эксплуатации выявил повреждения активной зоны или гермооболочки, несовместимые с текущими обследованиями.

При отсутствии таких доказательств сильнейший вывод остаётся кратким: TMI-2 стала тяжёлой аварией, когда управляемый отказ оборудования прошёл через непроверенную индикацию, неадекватную диагностику и запоздалое реагирование, и ответственность лежит на каждом институте, который контролировал эти средства защиты.