摘要
- 大约在 1979 年 3 月 28 日凌晨 4:00，TMI-2 失去正常给水，汽轮机跳机，反应堆压力上升，稳压器电动卸压阀（PORV）开启，反应堆自动停堆。随后 PORV 未能回座。该卡开的阀门形成一个小破口失水事故，直到操作员在大约两小时二十二分钟后关闭其下游截止阀才停止。
- 控制室中与 PORV 相关的指示灯显示已发出电气关闭指令，而非阀门已物理关闭。因此，操作员获得了一个令人安心的指令状态信号，而温度偏高的排放管道、升高的安全壳辐射、充满水的地坑以及下降的反应堆冷却剂压力均表明排放仍在继续。仪表未能将这些条件整合为对冷却剂储量或阀门位置的直接指示。
- 操作员因稳压器水位上升，且培训强调避免稳压器满水，遂减少了高压安注并继续下泄。在实际的两相工况下，稳压器水位并非反应堆容器储量的可靠量度。这一操作在 PORV 持续排放冷却剂的情况下减少了补水量。
- 个别的操作行为确有影响，但它们发生在一个由多个机构设计、供货、许可和管理的体系中。总统委员会指出控制室设计、程序、培训、管理、运行经验反馈及 NRC 监管等诸多缺陷。NRC 及国会审计记录随后将其中许多发现转化为对安全参数显示、控制室审查、模拟机培训、应急操作程序、运行经验计划和应急准备的要求。
- 1977 年 Babcock & Wilcox 公司 Davis-Besse 电厂发生的类似事件中，曾出现 PORV 卡开、稳压器水位上升、系统压力下降及注入流量减少的情况。该事件未造成堆芯损坏，但足以使 TMI 的模式具有可预见性，因而有必要进行严谨的分析和全行业的沟通。问题并不在于每个参与者都应能预测确切的事故进程，而在于一个高价值的先兆事件未被转化为严格的诊断和培训管理措施。
- 应急响应暴露了第二个问责问题。电厂、州及联邦的参与方缺乏一个共同的、及时的态势图景，公众沟通前后不一，保护行动决策是在源项和剂量信息不明确的情况下做出的。这些缺陷与官方事后评估——即场外释放造成的平均剂量低且未发现对人群可检测的健康影响——是两回事。
- 清理和检查过程仅修复了部分证据记录，而非反应堆本身。后续的去燃料化及研究证实堆芯发生了大规模的熔化和材料再分布，而压力容器下封头和安全壳保持了重要安全功能。最终约 99%的原装料被移除，但仍有残余含燃料物质，TMI-2 目前仍处于退役状态，NRC 列明的估计厂址关闭时间为 2052 年。
- 问责结论是机构性的、基于控制的，并非指控蓄意犯罪或自动推定个人责任。Metropolitan Edison 公司承担运营责任；Babcock & Wilcox 公司掌控了重要的设计和先兆知识；而 NRC 掌控了许可标准、检查及全行业的学习。调查结果、后来企业就事故前泄漏率试验报告问题的刑事认罪、重启诉讼及辐射侵权诉讼各有不同的程序范围，不应被混为一谈而合并成对该事故的单一法律裁决。
证据边界：可以确证的内容
最有力的共同时间线来自总统委员会报告、NRC 检查与执法办公室的NUREG-0600 调查、通常被称为罗戈文报告的 NRC 特别调查（可通过能源部OSTI 记录获取）以及 NRC 后来的三里岛知识管理摘要。这些报告的授权不同，在某些重建细节上有时也有所差异。没有一份是刑事判决。但它们共同支持了核心序列：给水丧失、反应堆跳闸、PORV 开启后卡住、未能充分识别敞开的释放路径、应急注入减少、冷却剂持续流失、堆芯裸露及严重燃料损坏。
本文采用五种证据标签。已确认事实意即该点得到一致官方记录或后续物理检查的支持。有支持推断意即结论依循已确认的条件和控制表现，但本身并非司法裁定。争议主张意即官方记录、目击者或后来诉讼方在归因至关重要的方面存在分歧。未知意即现有记录无法支持可靠结论。法律裁决意即法院或执法机构实际依据其标准就某一明确事项作出了决定；该裁决不延伸至该事项之外。
这种规范之所以重要，是因为 TMI-2 产生的记录有好几类。仪表读数和操作员日志描述了事故展开过程。调查在数月后重构了事中行为。去燃料化和金相工作在数年后揭示了损坏情况。监管行动确立了前瞻性要求。法院就环境审查范围、许可或特定索赔的举证等问题作出了裁决。NRC 当前的事故背景说明是一份有用的官方综述，但后续的摘要不应抹去控制室中曾存在的不确定性或诉讼中留存的争议。
跳堆之前：各方控制力界定
TMI-2 是一座由 Babcock & Wilcox 供货、由 Metropolitan Edison 公司（隶属于 General Public Utilities 系统）运营的压水堆。运行控制权的分配并不模糊：持证方负责安全运营电厂、维护设备、资质认证人员、建立程序并满足其许可证要求。供应商控制着反应堆系统设计知识、技术指导以及有关在其它 Babcock & Wilcox 电厂可见行为的重要信息。NRC 控制着许可规则、操纵员取证标准、检查、执法以及通用安全信息的传播。
这些角色在控制室中相互重叠。一个阀门制造商可以供应一个部件，但反应堆供应商和设计工程公司决定了其状态如何被呈现。一个持证方可以按照 NRC 批准的基准进行培训，但监管接受并未转移持证方使培训适应电厂实际的责任。NRC 可以在不成为运营方的情况下审查设计，然而其规则和检查影响了哪些人因缺陷会得到强制性纠正。因此，问责应遵循对某一安全措施的控制权，而不是仅仅趋近于控制台。
该电厂在 1978 年 12 月才投入商业运行。其操纵员均持有执照，据总统委员会称，他们在取证过程中表现高于全国平均水平。这一点很重要，因为它拒斥了简单的“不合格班组”说法。同一报告也得出结论，认为培训体制、NRC 考试和电厂程序未能使人员充分应对他们所遇到的工况。资质认证和运行就绪并非等同的控制手段。
前兆经验记录也很重要。1977 年 9 月，另一座 Babcock & Wilcox 电厂 Davis-Besse 发生了一次给水瞬态，其间其 PORV 卡开。系统压力下降、稳压器水位上升，操作员在关闭截止阀之前中断了高压安注。该事件虽未造成堆芯损坏，但暴露了后来在 TMI-2 再次起关键作用的同样误导关系：上升的稳压器水位可能与反应堆系统储量的损失并存。总统委员会报告称，Babcock & Wilcox 内部认识到了潜在的严重性，但该警告并未以一种足以改变操作员行为的形式送达 TMI 操作员。这一点已确证为信息传递失效；究竟怎样的沟通可确保带来不同响应，则仍属未知。
评断之前的时间线
凌晨 4:00 至 4:08：跳堆、释放与首次虚假安慰
约凌晨 4:00，当 TMI-2 在近满功率下运行时，主给水泵停止。调查人员追溯了二次侧凝结水和给水系统中的开启序列，但首个精确的机械或电气触发细节并未以与后期反应堆冷却剂序列可获得的同等可信度得以确立。可辩护的触发点是正常给水丧失，而非某种更具体的未经证实的单一部件理论。
汽轮机在数秒内跳机。由于蒸汽需求骤然下降，一回路中的热量和压力升高。PORV 在其压力设定点自动开启。反应堆随后紧急停堆，终止了裂变链式反应，但衰变热仍然存在，仍需冷却。应急给水泵启动，但通往蒸汽发生器的两条流路最初均被关闭的阀门隔离。一个阀门状态指示器被维护标签遮挡；操作员忽略了另一个。阀门约在事件发生后八分钟才被打开。总统委员会推断，这一间隔并未最终决定堆芯损坏结果，尽管它在最不利的时机增加了工作量和混乱。
PORV 本应在压力下降时关闭。机械上它未关闭，电气上控制系统撤除了开启信号，面板灯熄灭。因此，该指示灯代表指令状态，而非实际阀门位置。在常规运行中，这一区别可能被隐没。但在本次事故中，它使控制室模型脱离了电厂实际：操作员认为主释放路径已关闭，而反应堆冷却剂仍持续通过该路径逸出。
这并非完全缺乏证据。下游排水管温度很高。压力持续下降。安全壳地坑水位上升。随后，辐射和厂房条件也表明一回路冷却剂正在离开其预期边界。但没有一个显著的单独显示指明 PORV 处于开启状态，控制室也未给出反应堆冷却剂总储量的直接、可靠测量值。因此，当即的探测问题既是部件层面的，也是系统性的。
凌晨 4:02 至 4:15：自动补给被节制
跳堆约两分钟后，随着一回路压力下降，高压安注自动开始注入水。这正是抵消通过开启的 PORV 所造成流失所需的安全响应。操作员很快急剧减少注入。他们的行动遵循了他们被教授的“电厂模型”：稳压器水位正在攀升，而一个完全充水的稳压器会消除压力控制气垫，使电厂控制复杂化。他们还继续或增加了下泄，有意从一回路排出水。
在实际的热工水力状态下，沸腾和空泡形成正在重新分配水和蒸汽。上升的稳压器水位并不证明反应堆容器已满。压力与水位以操作员尚未充分受训、无法将其识别为小破口失水事故的模式变动。该操作在运行上是后果严重的：补给流量降至自动流量的几分之一，而敞开的释放路径仍可随时排放。
大约在第 5.5 分钟，反应堆冷却剂条件达到饱和，使得简单单相解读更不可靠。约在凌晨 4:11，安全壳地坑高水位报警出现。约 4:15，反应堆冷却剂排放罐破裂盘打开，将冷却剂泄至安全壳地坑。这些都是储量丧失的佐证。但它们未能压倒那个更具认知优势的信念，即 PORV 已经关闭且稳压器变得过满。
其意义并非让操作员忽略一个完美清晰的仪表。他们被部分有效的信号所包围，这些信号需要跨面板、报警状态和系统知识进行综合。NRC 委托的TMI-2 控制室人因评估后来识别出约 750 个告警窗口，大部分用于报警，却没有有效的优先级编码。调查人员报告称，在最初几分钟内激活了超过 100 个报警。报警打印机严重滞后并最终卡住。信息存在，但该系统未能可靠地将其转化为诊断。
凌晨 4:15 至 6:22：累积泄漏与固守心智模型
约凌晨 4:20，仪表显示与堆芯条件变动相关的中子活性。地坑泵将污染水从安全壳转移至辅助厂房，大概在 4:39 前后才停止；委员会估计可能转移了多达约 8000 加仑。此路径促成了安全壳外的释放，并说明了第二个边界问题：一场严重事故正将物质通过按常规液体管理设计的系统推出，而人员尚未识别出这一状态。
技术和管理人员到达，但人数增加并未立刻产生正确诊断。电厂的运行管理架构并无准备将一套共通的证据建立在拥挤的控制室中。约 4:45，一位技术主管抵达控制室。持续的释放路径证据仍被解读为泄漏而非全开阀门，而指示器仍暗示关闭。
5:00 过后，当蒸汽空泡和两相流恶化泵的运行条件时，反应堆冷却剂泵开始振动。操作员约在 5:14 停止了两台泵，约 5:41 停止了其余两台。停止受损或空泡化的泵，从设备保护角度可以理解，但这在可靠的自然循环未获保证的情况下撤除了强迫循环。高压安注仍未以恢复储量所需速率进行。
约 6:15，根据后期重建，反应堆容器中水位已降至堆芯顶部以下。6:22，一名操作员关闭了 PORV 下游的截止阀，在约两小时二十二分钟后终止了主要流失路径。当时的叙述对究竟是谁直接建议了此行动存在分歧。该归属为争议主张，并非机构结论所必需。已确证的事实是，一项可在控制室直接实施的简单隔离动作被延误了，因为运行组织未能正确识别阀门状态。
关闭截止阀停止了后续排放，但并未恢复已经损失的储量。调查人员估计在最初 100 分钟内，约 32000 加仑已通过释放路径流失。足以恢复堆芯的注入并未立即建立。根据后期重建，约在 6:48，堆芯的很大一部分可能已裸露。早期调查者不得不在并非为承受或量化该状态而设计的仪表上推断温度和损坏；后来的物理检查对此证据作出了重大的修正和强化。
上午 7:00 起及随后数日：事故分级与稳定
持证方在快到早晨 7:00 时宣布了厂址应急，约在 7:24 宣布全面应急。NRC 第一区在其办公室开放时（约 7:45）才得知该事件，而不是通过一个能够即时接收和整合数据的持续配备人员的联邦运行中心。这一时序支撑了后来 NRC 应急组织和通信的改变。
冷却最终恢复，反应堆被带至较稳定状态，但公共危急并未在主泄漏停止时结束。放射性物质已进入安全壳和辅助厂房。第一天安全壳内发生了氢燃烧，而此后对反应堆系统中积聚氢气的担忧成为焦点。电厂、州和联邦官员对释放、堆芯状况及事态可能升级拥有不完整、有时相互矛盾的信息。
3 月 30 日，有关释放的报告促使宾夕法尼亚州官员建议五英里范围内的孕妇和学龄前儿童暂时撤离，并告知十英里范围内的民众留在室内。这并非普遍性的强制撤离。这一区别很重要，同样重要的是，在不确定性中，许多居民主动撤离。NRC 的年度报告有关 TMI-2 恢复的章节归档既记录了保护行动建议，也记录了围绕它的沟通失败。
因此，事故阶段存在两个稳定问题。操作员必须建立排热并控制氢和放射性存量。公共当局必须建立一个可信的共同态势图景。不能仅凭反应堆已紧急停堆来判断两者：停堆停止了裂变，但并未消除衰变热、未修复冷却剂存量、未阻止氢气产生、也未提供可信的公众信息。
将时钟与被毁电厂相调和
本叙述中的分钟时间点并非都具有同等的证据质量。汽轮机跳机、反应堆紧急停堆和自动信号由电厂系统记录。其他时间则根据操作员日志、访谈、计算机记录、带状记录图和报警序列重建。本应保存一个便利有序记录的报警打印机在事件期间已经滞后，随后卡住。调查人员可以关联多个来源，但数小时后打印的时间戳并不等同于直接盖有时间戳的过程记录。因此，诸如 4:00、6:22 和 7:24 这类时间节点是较强的事件锚点；而对 6:15 或 6:48 时堆芯水位和损坏的估计是基于模型的重建，被描述为近似的。
同样的层级也适用于电厂损坏。事故期间，控制室仪表可以显示压力、局部水位、温度或辐射，但无法展示堆芯冷却图景。一些读数超出量程；另一些则受蒸汽、空泡、恶劣环境条件或关于水的位置的假设影响。早期报告使用热工和化学模型来估算燃料温度和堆芯裸露比例。这些估算对于响应和调查是必要的，但它们并非直接观测。
多年后，去燃料化工作提供了不同的证据：损坏的燃料组件、再凝固的物料、碎屑以及下腔室中的碎片。取样和检查证实了大规模的熔化和重定位，同时显示下封头保持完整。后续证据加强了冷却严重失效的推论，并限制了对 1979 年仪表单独证明在某一特定分钟状态下提出过于精确主张的可能性。它也说明了为何事故仪表必须同时支撑即时控制和后期重建。一个丧失量程、环境鉴定或序列记录的系统，会同时损害响应和问责。
目击者归因也需要类似的克制。调查可以确认辅助给水隔离阀在跳堆后是关闭的，并在约八分钟后打开，但关于它们为何关闭的叙述不一。委员会判断这一短暂中断并非决定最终堆芯损坏。因此，将一个未解决的阀门排列起源定为根本原因将产生误导。关于谁首先建议关闭 PORV 截止阀的叙述亦莫衷一是。安全控制事实并非建议的所有权，而是运行组织花费了大约两小时二十二分钟才实施一项可用的隔离措施，因为它未验证阀门的物理状态。
这种调和得出了一个更窄但更有力的叙事。给水跳机触发了瞬态。PORV 未能回座造成了流失路径。控制室未能足够早地识别该路径。注入减少和隔离延迟消耗了储备。如后期检查所证实，堆芯受到了严重损坏。准确的个体思维过程、少数几个行动的发出者以及首位给水链条部件的细节仍属未知。这些未知因素应约束个人归因，而不应被用来消解已经确证的因果链条。
控制室：一个被设计的决策系统
最关键的仪表是 PORV 灯，但单单关注那盏灯低估了设计失败。一个控制室指示只有在操作员必须行动的条件下其含义毫不含混时才有用。PORV 灯准确地表明电磁线圈收到关闭命令。但它并未证实阀杆或阀门位置。接口未使该限制突显。在一次较早的 TMI-2 的 PORV 事件之后，曾增加了一个灯，但该修改仍报告控制信号，而非物理关闭。纠正行动仅处理了可见症状，而未验证安全功能。
其他证据是碎片化的。稳压器水位显示虽突出，但在两相流期间却变成系统总储量的误导性替代指标。排水管温度可以提示持续排放，但操作员曾经历过泄漏，并未将该读数当作阀门全开的决定证据。地坑水位和破裂盘报警在物理上是下游后果，而非直接诊断。关键指示器位于后部面板，某些值甚至跑出了仪表量程。控制室评估发现，对于诸如一回路总储量、识别饱和所需的压力-温度关系、PORV 排放流量和辅助给水流量等变量，缺少或未提供充分的直接呈现。
报警数量使问题加剧。大量报警窗口在短时间内亮起，却没有安全重要性的优先级排序。本应保存序列的打印机滞后数小时并卡死。据总统委员会指出，此前操作员对打印机性能的投诉并未产生有效纠正。这是事故前的修复证据：组织存在一个可报告弱点，未经验证的补救措施，然后在最需要序列重建的事件中丧失了该工具。
有支持推断为：TMI-2 的探测失效是一个信息架构失效。电厂产生了数据，但接口偏好的是部件指令、局部数量和报警扩散，而非经验证的安全功能：储量是否充足？堆芯是否被淹没？衰变热是否被带走？释放路径是否被物理隔离？这一推断与 NRC 后来的控制室设计审查计划一致，该计划要求持证方评估人因缺陷，并协助使安全参数显示系统制度化。
安全显示本身并不证明安全。NRC通用信函 89-06要求证实安全参数显示系统已安装，并且应急操作程序和培训已与这些系统集成。该结构很重要：安装、程序使用、培训和证实被分别作为单独的控制环节。不能仅因购买了屏幕或传感器就宣称硬件已修复。
因果分类
触发因素 – 系统层面已确证，第一部件层面不确定。当即触发因素是约凌晨 4:00 的正常给水丧失。确切的第一故障——在凝结水精处理器、空气和给水控制序列内部——在现存官方记录中较不确切，对于解释堆芯损坏路径并不必要。将整个事故归咎于未经证实的树脂堵塞或单一维护行为，将夸大证据。
根本原因 – 有支持的机构认定。根本原因在于未能设计、运营和监管 TMI-2，使得可预见的小破口失水工况能在堆芯冷却丧失之前被识别和控制。这一表述是分析性的，而非司法性的。它与总统委员会关于根本问题是人员相关——广而言之，是制造、运营和监管该电厂的机构——的结论一致，而非主张某个人的错误造就每一后果。
直接物理原因 – 已确证。PORV 在高压下开启，且未能回座。持续排放缩减了反应堆冷却剂储量。补流不足及后来丧失强迫循环，致使堆芯裸露、过热、锆-水反应、氢气生成、燃料熔化和材料重定位。阀门失效是事故序列发生的必要条件，但并非足以解释为何安全措施未能及时终止它。
促成条件 – 已确证或有强烈支持。辅助给水隔离阀初始关闭增加了工作负荷；PORV 指示代表指令而非位置；没有直接的总储量显示；稳压器水位被过度加权；报警缺少优先级排序；报警打印机失效；程序与培训倾向避免水固态稳压器；小破口诊断薄弱；先兆经验未转化为电厂具体行动；管理层指挥和技术支持未准备好应对模糊的严重事件；且监管关注曾强调其他事故模型。
探测失效 – 已确证。班组未能及时识别 PORV 开启，尽管存在多种间接信号。问责应由运行解读与为支持该解读所提供的信息设计共同承担。一个关闭命令灯并非错误的电气读数，但将其当作证实机械关闭来使用，便制造了一个错误的运行命题。该区分是核心的仪表经验教训。
响应失效 – 已确证，但需置于背景。操作员大幅减少高压安注、继续下泄、延迟截止阀隔离并在工况恶化时停止反应堆冷却剂泵。这些行动恶化或未能阻止冷却剂丧失。它们应在仪表、程序和培训的背景下被评估，而不应被该背景所开脱。组织责任并不抹除控制台前的能动性；它解释了为何多名持证专业人员能做出虽连贯但不安全的一组选择。
应急响应失效 – 机构层面已确证。通知、技术评估、跨政府协调和公众沟通未能提供一个及时的共用图景。NRC 应急准备历史明确将 TMI 标识为暴露了计划和协调中的弱点。这一结论并不依赖于断定每一项保护行动建议都是错误的。
恢复与修复证据 – 混合。安全壳和反应堆容器下封头履行了重要的安全功能；操作员和技术团队最终建立了冷却；监测界定了大部分场外释放；后来清理移走了大部分燃料并处理了污染水。这些是已确证的成功。它们并未逆转事故，且持续进行的退役案卷意味着物理恢复仍不完全。
未知因素。记录无法确定每位居民的精确个人场外剂量、每一堆芯区域的确切时刻与温度历程、假使某项较早行动不同会出现的反事实结果，或每一关键控制室决策的绝无争议的个人作者。它也无法证明，基于 Davis-Besse 的一场警示必定能避免 TMI。这些缺口限制的是个人和反事实主张，而非系统层面的控制缺陷认定。
培训、程序及未能利用运行经验
只有当培训能改变操作员在压力下识别问题的能力时，它才是可问责的，而非仅仅产出执照和出勤记录。TMI-2 人员完成了规定的培训计划，但这些计划并未给予他们一个应对与上升稳压器水位相伴的小破口丧失的可靠模型。模拟机未能充分复现相关工况，考试也未能足够深入地探究综合诊断问题。运行程序未能提供一条决定性的、基于症状的路径，从下降的压力和上升的水位导向持续注入和 PORV 隔离。
NRC 的即时公告表明，缺失的控制如何在事后迅速变得清晰可见。IE 公告 79-05A发布了一份初步时序，并要求立即进行操纵员审查与行动。IE 公告 79-06B处理了运行失误和错位，包括依赖单一指示做决策的危险以及验证辅助给水可用性的必要。这些是审慎的回应，但它们出台的时机也表明，已有控制并未已将已知反应堆行为转化为全行业实践。
Davis-Besse 之所以至关重要，在于它考验了可预见性，却并不要求先知先觉。较早事件并未复现 TMI 的每一种状态。它确实复现了敞开的释放路径、下降的压力、上升的稳压器水位以及被缩减的注入这一运行危险组合。Babcock & Wilcox 拥有跨电厂的可视性，而单独的 TMI 操作员并不拥有。Metropolitan Edison 公司负有获取并评估相关供应商和行业经验的责任。NRC 承担着通用安全信息的角色。每个机构都控制着从事件报告到修订程序、模拟机场景、考试和经核验的班组表现这条链条中不同的环节。
事故后的规划使这些环节更明确。NRC 的模拟机改进项目强调真实性、复杂瞬态和诊断。其操纵员取证与再取证项目扩展了考试和再培训期望。运行经验分析项目处理了集中化的评价和传播。它们共同体现出一种更健全的问责模型：收集先兆证据，判定其安全重要性，将其转化为电厂控制措施，测试表现，并保留控制有效的证据。
程序合规与诊断能力之间的区分仍然重要。一名操作员可以遵循一项内含错误优先级的程序。一个持证方可以记录培训而未能重现危害的线索和时间压力。一个监管机构可以在收到提交文件之后关闭某项行动，而无需观察持久的表现。因此，真正的修复需要结果证据，包括模拟机结果、现场观察、报警响应表现以及在降级或矛盾指示条件下的定期测试。
应急响应与公共问责
TMI-2 的应急不单是一个反应堆控制问题。这是一个跨越持证方、宾夕法尼亚州、NRC、其他联邦机构及公众的信息治理问题。早期通知并未给予所有参与方一致的厂内状态和释放信息。技术不确定性虽不可避免，但相互矛盾的描述和不清晰的决策权并非不可避免。总统委员会描述了严重的混乱，并建议更清晰的应急指挥、沟通和规划。
辐射事实需谨慎措辞。NRC 当前的综合估计认为，电厂周围约两百万人口接受了平均约 1 毫雷姆的额外剂量，厂址边界最大剂量低于本底以上 100 毫雷姆。报告称，广泛研究未发现可归因于事故的可检测健康效应。环境保护局关于其监测角色的归档叙述描述了一个为评估释放而扩展的网络。这些官方评估支持了较低的实测人口剂量；它们并未确定对每个人的精确剂量、消除所有流行病学不确定性，或否定混乱警报所带来的社会和心理学后果。
TMI 后的改革更明晰地划分了权力。联邦重新组织赋予了 NRC 主席额外的应急权限；官方的重组计划汇编标识了 TMI 时期危机管理中的缺陷。FEMA 承担了场外规划的领导角色，而 NRC 保留了场内准备和持证方表现的职责。联合的NUREG-0654/FEMA-REP-1 标准为辐射应急计划和准备确立了一个更系统的基础。
这些改革澄清了一项问责原则：不确定性应改变决策模式，而非中止责任。当源项估计不稳定时，官员需要明确的置信区间、被指定的决策者、加盖时间戳的数据和预先约定的保护行动阈值。而 TMI 却显示未经验证的技术报告可比其限定条件传播得更快。公众信任之受损害，并不仅仅来自辐射，也来自对当局所知何事以及谁在主事这一问题的可见分歧。
分配问责而不混淆角色
控制室操作员。操作员对高压安注、下泄、反应堆冷却剂泵和 PORV 截止阀隔离行使了直接控制。因此，其行动属于直接运行原因的一部分。但证据记录并不支持将班组刻画为一个与设计和培训脱离的独立失效源。他们将一个命令灯光解读为关闭状态，依赖稳压器水位，遵循对水固态系统的习得关切，并穿行于一个无优先级的报警风暴之中。操作员问责针对的是在该环境中的决策；机构问责针对的是该环境的创建和接受。
Metropolitan Edison 公司和 GPU。持证方承担不可委托的运行责任。它控制着人员配置、程序、维护、培训实施、报警打印机修复、电厂改造、技术支持及应急通知。仅满足 NRC 最低许可条件，对于通过电厂和供应商经验可见的危害而言，并非完整的抗辩。持证方还拥有最强的本地能力来测试 PORV 灯光究竟证实了什么、操作员能否诊断一个小破口，以及纠正性维修是否恢复了功能。
Babcock & Wilcox 及其他供应商。反应堆供应商控制了设计知识和跨舰队经验。其电厂曾出现 PORV 问题，而 Davis-Besse 提供了一个特别相关的先兆。供应商的责任在于危害分析、准确的接口设计、不含混的技术沟通以及向各客户传报事故模式。这并非认定供应商控制了 TMI 当班，或认定每一部件缺陷均导致法律责任。证据支持的是未能使系统知识成为运行上有效的控制。
NRC。监管机构许可了设计和操纵员，检查了电厂，制定了培训和应急标准，并控制了全行业的安全沟通。官方调查发现，其方法并未充分强调人因、管理质量、小破口行为或运行经验综合。NRC 自身的NUREG-0585 经验教训任务组报告要求在设计、运行和监管流程方面进行根本性变化。监管责任非运行命令，NRC 未开启或隔离 PORV。其责任在于接受了该设计和资质认定体制的保证体系。
政府应急组织。宾夕法尼亚州当局做出了保护行动决定；NRC 评估了反应堆安全和释放；其他联邦机构监测了辐射并支持响应。碎片化的权力和通信损害了公共问责。后来将场外规划领导权指派给 FEMA，反映了对机构接口的修复，而非证明 1979 年每一项州或联邦决定都是疏忽的。
美国政府问责办公室在其1980 年对主要调查的审评中得出了一个可比较的系统性结论：调查者普遍识别出设备故障、培训不足、糟糕的控制室设计与程序，以及已知的监管缺陷。政府审计总结并评估证据；它不裁定侵权或刑事责任。其价值在于多项调查的一致趋同。
法律与程序状态
事故催生了执法、许可及民事诉讼，但没有一个单一程序提供了一个对所有事故责任的全面法律分配。因此，上述分析结果必须与法律结局保持区分。
Metropolitan Edison 公司后来就事故前泄漏率试验报告的刑事造假问题认罪，如一份归档的司法部美国检察官通讯所概括。该企业认罪是一份关于特定报告行为的法律处置。不应被放大成一种证明，声称造假试验导致 PORV 序列、每一项存在争议的事故前状况均被隐瞒，或任何特定个人因此承担刑事责任。
在Metropolitan Edison Co.诉 PANE一案中，最高法院裁定了与拟议重启未受损 1 号机组相关的环境审查范围，包括心理影响是否与国家环境政策法下所涉分析的物理环境变动充分相连。该判决并非对 TMI-2 事故原因、辐射损害或企业意图的侵权裁决。
后来的个人损害赔偿诉讼同样取决于明确定义的举证。在关于 TMI，193 F.3d 613（第三巡回区，1999 年）案中，上诉法庭维持了有利于被告的简易判决，因为原告的可采信证据在这些案件中未支持所需的剂量和因果关系证明；它将一项证据错误视作无害。该程序结果在逻辑上不等同于认定无放射性物质被释放、无居民经受压力、或无机构控制失效。它确定了该案原告在那一记录上依据适用法律标准未能证明什么。
这种分离保护问责分析免受两个相反错误。调查批评不能被当作刑事定罪来呈现。一项对因果关系做出的防御性判决不能被当作对运行和应急沟通之充分性的肯定认证。法律范围、举证责任和救济方式至关重要。
清理与后续检查证实了什么
早期事故评估无法看透整个堆芯。仪表被损坏、超量程或只是间接的，反应堆压力容器无法被立即打开。清理遂成为一个漫长的取证过程。压力容器顶盖移除始于 1984 年，燃料取出始于 1985 年，主要去燃料化工作持续至 1990 年。NRC 的TMI-2 清理与检查任务记录报告称，至少 19 公吨重定位的堆芯材料到达了下腔室。后来通过OSTI总结的能源部研究推断，至少 45%的堆芯熔化掉，近 19 吨材料重定位至压力容器下封头。
这一物理证据改变了堆芯损坏发现的确定性。它确证了大规模的熔化和重定位，同时亦显示反应堆压力容器下封头并未失效。安全壳同样限制了场外后果，即便物质通过辅助厂房路径逸出，并在清理期间发生了受控释放。纵深防御在预防与诊断失灵之后部分生效。这并不矛盾；分层防护正是为着较早期的控制可能失效而设计的。
清理工作也考验了人员保护、废物处理、水处理、临界控制以及受损环境中的仪表。NRC 的知识管理摘要补编 2保留了来自稳定化和去燃料化阶段的经验教训，而非将事件当作公共危急结束即告完结。NRC 背景资料指出，到 1993 年 8 月，约有 223 万加仑事故产生的水被处理，约 99%的燃料被取出。该机组随后进入仅持有 Possession-only 许可证的卸料后监控储存状态。
当前NRC 关于 TMI-2 设施状态提供了更精确的限定。它估计残余含燃料物质少于 1125 千克，约占初始堆芯装量 1%，分布在冷却剂系统和压力容器外位置。它标识为 DECON 状态，表明 NRC 正在审查 2025 年 10 月提交的一份修订后的退役报告，并将 2052 年列为估计关闭日期。这些是当前监管事实，而非证据表明受损机组已为运行修复。
TMI-2 与 1 号机组的区分至关重要。1 号机组物理独立，且未因 1979 年的堆芯事故受损。它后来重启、运行并于 2019 年关闭；当前关于可能重启的联邦活动属于 1 号机组，现称为 Crane 清洁能源中心，而非 TMI-2。NRC 的当前 1 号机组页面记录了此独立的许可状态。任何说“三里岛被修复并重启”而未区分机组的叙述，都会模糊物理和法律记录。
清理费用证据也需要时间标签。1981 年 GAO 的清理融资审查讨论了一项约 10.34 亿美元的估算及重大的资金不确定性。那是一个当时的估算，而非最终的通胀调整后成本认定。其问责价值在于展示一次运行失效如何将长期的财务、废物管理和公共治理负担转移至事件本身之外。
改革是确认失效的证据，而非自动证明修复
NRC 和工业界在 TMI 后的改革是广泛的。NRC 发布了即时公告，增加了驻地检查，修订了操纵员培训和许可证，强化了应急准备，要求开展控制室设计审查和安全参数显示，制定了针对症状的应急运行导则，并创建了更强有力的运行经验职能。工业界成立了核动力运行研究所以增加同行评价和绩效交流。NRC 在NUREG-0737中巩固了批准的要求和执行时间表，而其TMI 行动计划档案展示了各项任务的广度和最终状态。
阀门保证变得更加明确。TMI 后的任务处理了稳压器卸压阀和截止阀的电源、位置指示和可靠性。NRC通用信函 90-06记录了关于 PORV 和截止阀可靠性的共性问题的解决，包括控制室位置指示和合格电源的角色。监管记录也说明了为何并非每一理想升级都成为普遍的安全级改造。成本效益和电厂特定裁决仍然属于流程的一部分。在判断改革的完备性时，该限制应明示。
行动项关闭是行政上的证据：某项要求已被发布，某项提交已被接受或某项任务以其他方式被了结。它并不证明控制措施在数十年间依然有效。GAO 的1985 年行动计划进展审查要求对众多后 TMI 项目给出全面的会计记录；NRC 后来提供了一份，GAO 关闭了建议。这是有用的追溯证据，但并非对逐个电厂的性能保证。
后来的执法为上述区分提供了严苛检验。1998 年，NRC 就单独的 TMI 1 号机组发布了违规通知 EA-97-533。在一次 1995 年的 PORV 更换后，接线错误使阀门不可操作，而不足的维修后试验未能在 23 个月的运行循环中检测出该状态。NRC 将违规定为三级严重程度。该机构认可了识别与纠正行动，并未施加考虑中的民事处罚。
那一后来的违规并未复现 1979 年的失效：1 号机组的阀门无法打开，而 2 号机组的阀门卡在开启，且 1995-1997 年间未导致事故。它所发出的问责信号更窄但也更持久。即便是发生在一座因 PORV 事故而定义的电厂，技术人员、独立验证和工作控制仍可全部接受一个错误的连接，而试验却未能证明阀门的实际响应。教训不在于改革徒劳。而在于：指令路径、指示和纸面完成记录仍是功能验证的不当替代。
因此，最强的修复模型是循环的。持证方必须识别安全功能，将物理状态以仪表化，针对可信的降级指示进行培训，在维护后测试部件，在真实场景下观察表现，捕获先兆事件，独立挑战关闭证据，并将结果保持对管理层和监管机构可见。NRC 必须在此循环中检查足够多的环节，以发现那些已偏离功能的文书工作。
反事实控制与可量度的问责
有多项控制本可在不要求完美预测的情况下中断事故序列。一个直接且经资质认定的实际 PORV 位置指示，本可反驳命令灯光。一个整合压力、温度、过冷度和储量的突出显示，本可挑战对稳压器水位的依赖。一个针对持续 PORV 排放的高优先级报警，若以获得验证的排放流量或温度逻辑支撑，本可集中注意力。程序本可要求在释放证据在关阀命令后存续时尽早隔离截止阀。模拟机场景本可排练 Davis-Besse 模式，直至班组展现持续注入和基于症状的诊断。
这些反事实是有支持的控制项，而非断言任何一项必定能防止全部损坏。传感器可以失效，隔离可能产生过压关切，且事故条件可超越模型。其价值是累积的。独立的证据通道使某一个误导性替代指标的支配更困难。程序与培训使证据可据以行动。功能试验证明了修复能到达实物电厂。运行经验计划使先前失效在重复发生之前可用。
问责可对照此链条加以量度：
- 组织是否识别出了相关的物理安全功能，而非仅仅受命令的状态？
- 它是否从自身电厂、供应商体系及监管机构获取了先兆证据？
- 它是否针对超越正常运行的条件评估了证据？
- 它是否改变了仪表、程序、培训和应急接口？
- 它是否在真实和矛盾的指示下测试了改变？
- 独立的监督是否验证了物理性能，而非单单文档的完成？
- 组织是否监测再现，并在后来证据与关闭结论相矛盾时重新打开议题？
TMI-2 在 1979 年 3 月 28 日之前大多数环节均告失败。事故后的改革建立了其中许多要素。1 号机组的执法记录表明，为何最后两个问题不可被允许过期。
问责结论
三里岛使仪表化为一项问责检验，因为决定性问题并非数据是否存在，而是各机构是否使反应堆的物理状态变得可知、可行动，在操作员丧失冷却控制之前。PORV 灯显示了一道命令，稳压器显示了一个局部水位，报警窗口显示了数百个部件偏差，打印机试图显示序列。它们均未可靠地回答那个至关重要的安全问题：反应堆储量是否正通过一个敞开的释放路径而丧失？
证据支持一种系统性的分配。卡开的 PORV 和给水丧失触发了事件。操作员对注入的减少和延迟的隔离使其恶化。Metropolitan Edison 公司为安全运行、程序、培训、维护和应急指挥负责。Babcock & Wilcox 为设计知识和有效利用跨舰队先兆证据负责。NRC 为标准、许可、检查和全行业学习负责。安全壳、压力容器下封头、后来的冷却以及大范围的清理限制了后果，但它们是预防与诊断已然失效之后的恢复层。
这一结论并不构成刑事意图、个人民事责任或普遍性健康因果认定。它保留了企业报告认罪的有限范围及后来的法院裁决。它亦区分了较低的官方人口剂量估计，与已记录的应急通信失效和个体层面的剂量不确定性。
重要的新证据——例如若有已鉴定记录表明某负责任机构提供了一个明确的、基于 Davis-Besse 的警告，且 TMI 管理层收到、测试并正确实施；若有此前不可得的日志解决了争议性的决策作者或初始给水触发因素；若有新的剂量测量或流行病学显著改变了释放和健康认定；或若退役过程中揭示了与当前检查不一致的堆芯或安全壳损坏——可改变此分配。若无此类证据，最强结论依然凝练：TMI-2 之所以成灾，是因一个可管理的设备故障穿过未经验证的指示、不充分的诊断和延迟的响应，责任跟随那些控制着这些保障环节的每一个机构。