Accident de Three Mile Island

Centrale nucléaire de Three Mile Island avec ses 4 tours de réfrigération. Les réacteurs nucléaires sont contenus dans les deux dômes en béton

Le réacteur TMI-2, qui a subi l'accident de fusion du cœur, est à l'arrière plan

Three Mile Island est une île de 3,3 km² sur la rivière Susquehanna, près de Harrisburg, Pennsylvanie aux États-Unis. Son nom est associé à un accident nucléaire qui s'est produit le 28 mars 1979 dans la centrale nucléaire de l'île, lorsque, à la suite d'une chaîne d'évènements accidentels, le cœur du réacteur de type réacteur à eau pressurisée, appelé TMI-2, a en partie fondu. Cet accident a été classé au niveau 5 de l'échelle internationale des événements nucléaires (INES).

L'accident nucléaire de Three Mile Island

Les premières minutes de l'accident

Les pompes principales d'alimentation en eau du système de refroidissement secondaire (ou circuit secondaire) tombèrent en panne vers 4 heures du matin (t = 0) le 28 mars 1979. Cette panne modifia instantanément les conditions thermodynamiques dans le générateur de vapeur, diminuant sa capacité à refroidir le système de refroidissement primaire (circuit primaire). La pression dans le circuit primaire (qui traverse le cœur) augmenta alors immédiatement à cause de la hausse de température. Afin d'éviter que la pression n'augmente trop, la soupape de décharge du pressuriseur du circuit primaire s'ouvrit automatiquement (t = 3s) puis la turbine et le réacteur se coupèrent automatiquement (t = 8s). Cette soupape aurait dû ensuite se fermer dès que la pression serait redescendue, mais malgré l’ordre automatique de fermeture, ce ne fut pas le cas. Facteur aggravant, les voyants des opérateurs montrèrent la soupape en position fermée (le voyant indiquait en fait que l'ordre de fermeture avait été donné, mais pas que la manœuvre avait été réalisée). Par conséquent, la pression continua de diminuer dans le circuit primaire, qui se vidait par cette soupape restée ouverte (perte de la seconde barrière de confinement).

La baisse de pression dans le circuit primaire entraîna le démarrage automatique du circuit d'injection de sécurité (t = 2min 01s), chargé d'amener de l'eau dans le circuit primaire. Cependant, en même temps que la pression baissait, des « vides » (de la vapeur d’eau en fait) se formaient dans le circuit primaire. Ces vides générèrent des mouvements d’eau complexes qui, paradoxalement, remplirent le pressuriseur en eau (pourtant en haut du circuit). L’opérateur, ayant l’information que le pressuriseur était plein, en conclut par erreur que tout le circuit primaire l’était également et arrêta manuellement le circuit d’injection de sécurité (t = 4min 38s). Peu de temps après, l’eau commença à bouillir à la sortie du cœur (t = 5min 30s).

Parallèlement, un autre problème était apparu ailleurs :

• Le système de secours de refroidissement en eau des générateurs de vapeur avait été testé 42 heures avant l'accident. Lors de ce test, une vanne avait été fermée, et devait être rouverte à la fin du test. Mais cette fois, suite à une négligence humaine ou administrative, la vanne ne fut pas rouverte, empêchant le système de refroidissement de secours de fonctionner. La vanne fermée fut finalement découverte et ouverte manuellement (t = 8min 18s), permettant au système de secours de fonctionner correctement, de refroidir les générateurs de vapeur, et par conséquent le circuit primaire.

• Le mélange de vapeur et d’eau qui s’échappait de la soupape du pressuriseur était dirigé vers un réservoir de décharge. Or, au bout d’un certain temps (t = 14min 48s), ce réservoir fut complètement plein, amenant à la rupture des disques de décharge prévus pour cette situation. À partir de cet instant, le circuit primaire se vidait directement dans l’enceinte de confinement (troisième et dernière barrière de confinement de la radioactivité).

Pendant les heures qui suivent

Après plus d’une heure de lente augmentation de la température et de vidange du circuit primaire, les pompes du circuit primaire commencèrent à trembler parce qu'elles pompaient plus de vapeur que d’eau. Elles furent alors coupées (t = 1h13 pour la première, t = 1h40 pour la seconde), car la théorie prévoyait que la convection naturelle permettrait à l'eau de continuer à circuler. En réalité la circulation fut quasiment stoppée par l’hydrogène déjà piégé dans les générateurs de vapeur, et l’évaporation de l’eau du circuit primaire s’accéléra encore. Au même moment, le haut du cœur commença à émerger de l'eau. La température favorisa la réaction entre la vapeur et le revêtement en zirconium du combustible, formant de l'hydrogène, dégradant fortement la gaine du combustible et amenant au relâchement d’éléments radioactifs dans le circuit primaire (perte de la première barrière de confinement).

Mais en salle de commande les opérateurs commencèrent à réagir. Pour comprendre l’enchaînement de cet accident, il faut bien comprendre que les opérateurs étaient pratiquement aveugles (noyés sous les alarmes) et n'étaient pas en mesure de comprendre ce qui se passait (situation très complexe, stress, pression, trop de monde en salle des commandes, etc.).

Une vanne d’isolement située en aval de la soupape du pressuriseur fut fermée, ce qui arrêta enfin la vidange du circuit primaire (t = 2h22). Ensuite, les opérateurs décidèrent également de démarrer une pompe du circuit primaire (t = 2h54) alors qu’il ne devait rester environ qu’un mètre d’eau dans le cœur : le mouvement de brassage dégrada fortement les éléments combustibles, en grande partie émergés et extrêmement chauds (voire déjà partiellement fondus).

La pompe fut finalement arrêtée (t = 3h12), et les opérateurs décidèrent de rouvrir 5 minutes la vanne d’isolement qui fermait la soupape du pressuriseur. Le circuit primaire recommença à se vider dans l’enceinte, mais cette fois-ci avec de l’eau très fortement contaminée, ce qui déclencha les alarmes d’irradiation. Comprenant alors que le cœur avait été fortement dégradé et que le circuit manquait donc sûrement d’eau (et commençant à comprendre la situation), les opérateurs remirent en service l’injection de sécurité (t = 3h20), remettant le cœur, en partie fondu, sous eau. En faisant cela, ils prenaient le risque de générer une explosion de vapeur ou de provoquer la rupture de la cuve à cause du choc thermique, mais rien de tout cela n’arriva : la cuve tint bon et le cœur fut de nouveau sous eau (t = 3h45), stabilisant la situation.

Le circuit d’injection de sécurité envoyant de l’eau à très haute pression dans le circuit primaire, il fallut, dans les heures qui suivirent (entre t = 5h et t = 9h), ouvrir et fermer successivement la vanne d’isolement afin de maintenir une pression acceptable (ce qui était le rôle de la soupape défaillante normalement). Ceci amena encore à relâcher des centaines de mètres cubes d’eau contaminée dans l’enceinte de confinement.

Dernier évènement majeur (t = 9h50) : l’hydrogène, généré par la réaction entre la vapeur d’eau et le zirconium du combustible puis relâché dans l’enceinte de confinement, explosa, mais sans faire de dégât particulier (le seul indice de cet évènement fut la détection d’un pic de pression dans l’enceinte de confinement).

Pendant les heures qui suivirent, les opérateurs tâchèrent de remplir le circuit primaire en eau, ce qui fut difficile puisque de grandes quantités d’hydrogène étaient piégées dans les points hauts des générateurs de vapeur. Enfin, la situation se stabilisa, et les pompes du circuit primaire furent remises en service (t = 15h49). L’état du réacteur était très dégradé, mais permettait néanmoins de refroidir le combustible qui, même partiellement fondu, allait continuer de produire de la chaleur pendant des années…

Bilan des études postérieures à l'accident

Des années d’études sur cet accident ont permis de découvrir qu’au final :

• 50% du cœur avait fondu
• 20% avaient coulé au fond de la cuve, qui a pourtant résisté !

À côté de cet enchaînement de défaillances mécaniques, d’erreurs humaines et de défauts de conception, il faut aussi retenir que malgré la gravité extrême de l’accident, l’enceinte de confinement étant restée intègre, le relâchement de produits radioactifs dans l’environnement est resté faible. Il est cependant difficile de trouver des chiffres fiables pour le quantifier (pour la simple raison qu'ils n'ont pu, pour l'essentiel, être mesurés sur le moment).

Par ailleurs, un mal pour un bien, cet accident amena les exploitants de centrales de conception similaires (et en particulier EDF en France, même si ses centrales présentent bon nombre de différences) à de profondes réflexions. En effet, contrairement à Tchernobyl, TMI a été très instructif et a permis de faire avancer la sûreté. D'ailleurs, s’il fallait retenir une avancée, ce serait celle de la « conduite par état ».

Les opérateurs de TMI disposaient de procédures à appliquer en fonction de tel ou tel incident (on parle de « procédures évènementielles »). On a vu qu’en situation réelle, ils n’ont pas pu faire un diagnostic et que cela a en fait aggravé la situation (arrêt de l’injection de sécurité, redémarrage des pompes primaires avec un cœur émergé etc.). Toutes les procédures de conduite accidentelle ont donc été revues avec une approche totalement nouvelle : ne plus demander aux opérateurs de comprendre ce qui se passe (car il y a de très grandes probabilités pour qu’ils se trompent, aussi compétents soient-ils), mais leur donner des actions à faire en fonction des paramètres dont ils disposent : pression, température, niveaux d’eau, taux de radioactivité ou autres. C’est ce qui s’appelle « l’approche par état », qui est aujourd’hui utilisée dans de très nombreuses centrales nucléaires de par le monde.

Voir aussi

Articles connexes

• Liste des accidents nucléaires

Liens externes

• (fr) Informations techniques et description de l'accident
• (fr) La leçon de Three Mile Island
• (en) Rapport de la Nuclear Regulatory Commission (NRC) sur l'accident de Three Mile Island et au format pdf

40°8′50″N 76°43′30″O / 40.14722, -76.725

• Portail de l’énergie
• Portail des États-Unis