三里岛：卡住的泄压阀与只显示指令的指示灯

破除误解：不是一盏坏掉的灯，也不是几个笨操作员#

第一个误解，是把事故写成“操作员关错了安注”。凯梅尼委员会（Kemeny Commission，1979）与 NRC 特别调查组的罗戈文报告（Rogovin，NUREG/CR-1250）都拒绝把主因写成个人疏忽。操作员按培训和面板行动：稳压器不能被水充满，否则会失去用以调节压力的蒸汽空间；灯告诉他们 PORV 已关。高压安注在低压力时自动启动，水位随后升高，他们把升高读成“水已经太多”，于是节流。在显示所构造的世界里，这一步是连贯的。在物理世界里，水位升高是因为堆芯里正在形成汽泡，把水挤进稳压器。削减安注，是把正在失水的堆芯再次抽走补水。调查若停在“他们关了泵”，会把显示设计从原因里删掉。灯没有坏。灯在做它被接线去做的事：报告线圈状态。错的是把线圈状态当成阀位。

第二个误解，是把 PORV 卡开写成罕见的、无法预见的机械奇迹。阀门卡在开位，是卸压阀已知的失效模式。1975 年的 WASH-1400（拉斯穆森主持的《反应堆安全研究》）已经把小破口失水列入堆芯熔化的重要贡献序列，而不是只盯着大破口。TMI-2 的破口就在这盏阀的尾管上。卡开本身不足以造成这次熔化。促成熔化的，是卡开被指示灯和水位假象盖住，再叠加给水丧失初期辅助给水隔离阀仍关着、报警墙在扰动中同时亮起。把对象写成“一个阀坏了”，会把人机界面和培训从调查里拿掉。阀是物理起点。灯是让起点在控制室里消失的那一层。

第三个误解，是把三里岛写成核电被当场证伪，或写成大规模厂外放射。安全壳大体兜住了放射性，厂外剂量很小。这一页要证明的不是裂变物理失败，而是：一套按设计打开的阀，可以在指示错误的条件下演成未被识别的失水。它也没有证明“只要换一盏更好的灯就结束了核安全”。灯是这一次的关键伪证。培训把高水位等同于高库存，报警过载让其他线索（尾管温度、疏水箱压力）被解释成旧泄漏。对象教的是：状态必须被直接测量。命令被执行，不等于装置到达了命令所指向的状态。

装置：卡开的 PORV，和一盏只报“指令已发出”的灯#

TMI-2 是压水堆。稳压器是一回路顶部的压力容器，上部保留蒸汽空间，用电加热和喷淋把压力维持在运行带内。PORV 装在稳压器顶部：压力高到整定值就打开，把蒸汽排向疏水箱，压力回落应回座。1979 年 3 月 28 日凌晨，给水中断使蒸汽发生器传热变差，一回路温度和压力上升，PORV 打开。它没有回座。从此，一回路经一条尚未被控制室承认为破口的路径失水。疏水箱随后超压，爆破片破裂，冷却剂进入安全壳地坑。这是现场本可用来校正灯的物理噪声。噪声被读成别的故事。

灯的接线是对象的核心几何。指示并不取自阀杆行程开关，而取自驱动先导线圈的电路：线圈得电，灯说“开指令在”；线圈断电，灯说“关指令已发出”。阀芯被杂质、温差或机械卡滞留在开位时，线圈仍可按控制系统的要求断电。灯变“关”，泄漏继续。操作员没有看到一盏坏灯。他们看到一盏按规格工作的灯，回答了一个错误的问题。人因评估（Malone 等，NUREG/CR-1270，1980）把这类指示称为把“需求”当成“状态”。需求是控制器想要什么。状态是金属件在哪里。两件事在正常回座时重合，在卡开时分叉。事故发生在分叉被当成重合的那两小时。

稳压器水位是第二条伪证。压水堆运行规程极度警惕“水实体”——稳压器被水充满、蒸汽泡消失。失去蒸汽泡，压力会随温度剧烈跳动。操作员被训练成：水位高，意味着库存高，要减少补水。TMI-2 的水位高，来自堆芯空泡：燃料周围的水开始沸腾，体积膨胀，把液相推入稳压器。库存其实在从 PORV 流失。高压安注本来是在补这份流失。节流安注，是用一条正确的“防满水”规则，去管理一场未被命名的失水。规则在其设计工况里是对的。它在小破口加错误阀位指示的工况里是错的。培训没有把这条分叉写成必须演练的剧本。WASH-1400 把剧本写在概率清单里。清单没有自动变成控制室里的心理模型。

Malone 报告还记录了空间上的错位。高压安注相关操作在前面板，对应的流量指示在后面板；扰动时一千多个报警窗争同一套声响。人不是在安静教室里做单选题。人是在闪光的墙前，用一条被教过的水位规则，去解释一盏声称阀门已关的灯。查尔斯·佩罗（Charles Perrow）后来在《正常事故》（1984）里把这种局面称为交互复杂、耦合紧密：局部指示可以各自自洽，系统状态却无法从单点读出。佩罗的句子容易被写成宿命。调查报告更具体：不是系统注定不可理解，而是这一套显示没有被设计去理解小破口。理解一旦被设计进去——阀位直接测量、水位不再独占库存判断、模拟机强制走卡开剧本——同一套硬件可以变得可理解。可理解是事后装上的。装上之前，堆芯已经过热。

大约 06:22，值长关闭了 PORV 上游的隔离阀，泄漏路径被截断。截断来得太晚，不足以阻止已经开始的燃料损伤，但足以标明：装置上始终存在着一条设计用于隔离卡开卸压阀的路径。对象不是教人去旁路安注或拆除联锁。对象是说明，在指示说谎的那两小时里，隔离没有被当作正在进行的失水来使用。认识滞后于物理。滞后的长度，由灯和水位共同写成。

它证明了什么，没有证明什么#

它证明：在给水丧失之后，一台卡开的 PORV 可以构成小破口；若阀位指示只反映关闭指令，操作员可以在相当长的时间里按“系统太满”来管理一场正在失水的事故；高压安注被节流后，堆芯可以裸露并部分熔化。凯梅尼与罗戈文把这条因果链写成公开记录。它没有证明操作员是系统里必须被清除的弱项。它证明显示与培训可以把一个合理的人，稳定地导向错误的物理动作。处罚最后按下手的人，补不上灯的接线错误。

它没有证明 WASH-1400 的数字是准的。它证明 WASH-1400 的场景清单不是纸上谈兵：小破口就在清单上，而行业的规程、试验与控制室布局仍长期被大破口和“防满水”所主导。概率研究指出了路径。指示灯没有把路径显示出来。数字与显示是两层证据。把三里岛写成“概率安全评价失败了”，会看错层。评价看见了序列。控制室没看见正在发生的那一条。

它也没有证明安全壳无用，或核电作为一种能源被判决。安全壳这一层大体成立，厂外后果与切尔诺贝利、福岛不是同一类释放。把三次事故并成一句“核电就是这样”，会把这一页的对象——阀位指示与库存判据——重新埋进口号。三里岛留给工程的硬句子是：纵深防御的某一层可以在控制室里被一幅错误的图画关掉。图画来自灯和水位。关掉的是安注流量。物理层仍在发热。

组织课可以和对读，不要写成道德剧。业主的维修留下关闭的辅助给水隔离阀、监管把培训审查得过浅、制造商的一次性蒸汽发生器让给水丧失更敏感：这些都是凯梅尼点名的促成条件。它们解释为什么扰动来得又快又乱。它们不替代灯的接线这一条。接线是可以在图纸上改的。改接线，比改“人的素质”便宜，也比事后责备更接近原因。

深一层：把状态测出来，而不是把指令显示出来#

指令与状态的区分，比核电更老，也比核电更宽。任何用电磁阀、先导阀、电动执行器去动一扇真实的门的系统，都会遇到同一问题：线圈断电，只证明控制器放弃了打开；不证明门已关上。行程开关、限位、差压、流量，才是状态。TMI-2 把这条一般原则写进了核安全的监管语言。事故后的行动计划要求卸压阀与安全阀给出阀位指示，控制室人机界面审查被写成 NUREG-0700 一类指南。灯从此必须回答阀芯问题。回答线圈问题，不再被当作阀位。

培训的改写同样属于对象。B&W 机组把“不要让稳压器满水”写成强记忆。规则在没有破口时保护压力控制。小破口时，水位高可能是空泡推移。库存要靠多参数：压力、过冷度、安注流量、疏水箱、安全壳、尾管温度。单一水位是可供性陷阱：它太干净，干净到能压过一堆吵闹的、彼此不完全一致的线索。Malone 写的报警过载，是陷阱的扩音器。一千盏窗同时亮，等于没有一盏在说话。人因工程后来用告警合理化去配额。配额的起源现场，就是这间在凌晨四点被灯闪满的房间。

伦理边界必须写清。复盘可以说明安注被节流的认知机制，但不得提供如何停用保护、如何屏蔽联锁、如何让堆芯失冷的操作程序。公开调查已经足够教学。教学停在机制、显示与组织。具体机组的运行规程属于持照人员与监管，不属于百科条目。把“他们当时按了什么”写成可复制的步骤，会把失效剖析变成另一类文本。这一页拒绝写成那一类。

佩罗的“正常事故”仍要放回证据。交互复杂可以解释为何现场感到混乱。它不能取消设计责任：阀位可以测，库存可以不只看一根水位，卡开剧本可以进模拟机。TMI-2 之后这些都被装上了。装上之后，同类序列的可发现性上升。这不是为 1979 年开脱。这是说：复杂性不是赦免错误接线的哲学。它是警告：错误接线会在复杂系统里被放大成熔化。放大路径一旦被调查写清，就应当被设计改掉。改掉的那一笔，首先是让灯说真话。

可靠性工程在这里分叉成两笔账。PORV 卡开是部件失效，可用失效率去谈。灯的错误是规格失效：它可靠地报告了错误的变量。高可靠的错误变量，比低可靠的正确变量更危险，因为它能组织起一整班人的一致行动。WASH-1400 能把阀的卡开放进事件树。它当时没有同等力度地把“指示回答了错误问题”写成独立顶事件。三里岛把这一项补进行业的事件树。此后的人因可靠性分析仍有争议，但问题已经不能再被省略：人不是在真空里失误，人是在灯给出的世界里行动。

跨域连接#

• 人因工程：总览里的可供性、情景意识与告警疲劳，在本对象里收成一盏线圈灯和一根被空泡顶高的水位。人因条目已点名三里岛；本页把点名展开成“指令对状态”的接线错误，以及为何在该显示下节流安注是连贯的。改面板、改告警配额、改模拟机剧本，是对人因总论的现场注释，而不是另起一句“人会犯错”。
• 核电：核电总览把三里岛、切尔诺贝利、福岛分成三种失效。本页只负责第一种里的阀与灯，不把裂变物理或石墨堆正反馈写进来。安全壳兜住释放，与堆芯曾经裸露，必须两句一起读：屏障可以成立，同时人机界面可以把另一道安注屏障在控制室里关掉。
• 安全工程：瑞士奶酪在这里的孔，是卡开、错误阀位指示、水位判据、报警过载与辅助给水一度隔离。孔对齐不是宿命，是设计清单上可逐项关掉的孔。安全工程若只加屏障数量，不检查屏障在控制室里是否仍被正确的图画所调用，会把三里岛写成“再加一道阀”的错误作业。
• 挑战者号 O 形圈：两起事故都发生在既有证据已经指向风险、却未被操作界面或发射决策吸收的时刻。三里岛缺的是阀位与小破口剧本，挑战者缺的是低温密封证据。组织压力压缩的是证据包。对读时比较缺了哪一项显示或哪一项试验，不要并成一句“工程师不在乎”。
• 过程安全：化工过程安全用独立保护层去管超压与误开阀。核电的 PORV 本是一层超压保护，卡开后变成失水路径。保护层在失效模式下会改身份。指示若仍按“保护已完成”来画，操作员就会去关真正还在工作的安注层。过程安全与核安全在此共用一句：知道一层装置被命令去关，不等于知道它已经关，更不等于知道它此刻仍是保护而不是破口。

参考文献#

1. President's Commission on the Accident at Three Mile Island (Kemeny Commission). The Need for Change: The Legacy of TMI. Washington, D.C., 1979.
2. Rogovin, Mitchell, and the NRC Special Inquiry Group. Three Mile Island: A Report to the Commissioners and to the Public. NUREG/CR-1250, 1980.
3. Malone, T. B., et al. Human Factors Evaluation of Control Room Design and Operator Performance at Three Mile Island-2. NUREG/CR-1270, 1980.
4. U.S. Nuclear Regulatory Commission. Reactor Safety Study: An Assessment of Accident Risks in U.S. Commercial Nuclear Power Plants. WASH-1400 (NUREG-75/014), 1975.
5. Perrow, Charles. Normal Accidents: Living with High-Risk Technologies. Basic Books, 1984.
6. U.S. Nuclear Regulatory Commission. Clarification of TMI Action Plan Requirements. NUREG-0737, 1980; Guidelines for Control Room Design Reviews. NUREG-0700, 1981.

延伸阅读#

• 与 人因工程 对读：把“灯在说谎”从比喻放回线圈接线。
• 与 核电 对读：三里岛在三次事故遗产里的位置，以及它没有证明的东西。
• 与 可靠性工程 对读：WASH-1400 的小破口清单如何早于、却没有阻止这次熔化。