Les enseignements de l’accident nucléaire de Three Mile Island

A l’instar des deux autres accidents nucléaires majeurs que sont Fukushima et Tchernobyl, tous les enseignements nécessaires auront été tirés de l’accident nucléaire de la centrale de Three Mile Island, le 28 mars 1979, pour continuer à renforcer la sûreté des centrales.

L’accident de la centrale nucléaire de Three Mile Island (TMI-2) s’est produit aux États-Unis en 1979. Le réacteur avait été mis en service un an avant. Cet accident a été classé rétrospectivement au niveau 5 de l’échelle INES.

Ce qu’il s’est passé le 28 mars 1979

Le 28 mars 1979, vers 4 heures du matin, après un incident sur le circuit secondaire, le réacteur s’arrête automatiquement. Mais, alors que l’ordre en avait été donné et qu’elle apparaissait fermée sur le panneau de contrôle, une vanne du pressuriseur est restée ouverte. NB : Le pressuriseur met l’eau du circuit primaire sous pression pour l’empêcher de bouillir.

Pour garder la pression du circuit primaire, l’opérateur décide d’arrêter l’injection de secours mise en route automatiquement. En 6 minutes, l’eau du circuit primaire entre en ébullition. L’extraction de la chaleur par les générateurs de vapeur est empêchée par des vannes laissées fermées après des travaux de maintenance, alors que les consignes exigeaient qu’elles soient laissées ouvertes.

Moins de 10 minutes après que l’eau du circuit primaire a commencé à bouillir, les disques qui protègent le circuit primaire d’une montée en pression excessive, éclatent. Le circuit primaire est mis en communication avec l’atmosphère de l’enceinte du réacteur. L’opérateur arrête les pompes qui alimentent en eau le circuit primaire, entraînant le dénoyage rapide du cœur, la fusion des gaines de combustible et la formation d’hydrogène. NB : On dit que le cœur d’un réacteur nucléaire est « dénoyé » lorsqu’il n’y a plus d’eau dans la cuve pour recouvrir (ou « noyer ») le combustible.

Ce n’est que trois heures et demie plus tard que l’opérateur s’aperçoit de la fuite du pressuriseur et qu’il reprend l’injection d’eau dans le circuit primaire. Mais un tiers du combustible a déjà fondu, l’activité du circuit primaire est très élevée, 2 400 m3 de liquide radioactif ont été déversés dans l’enceinte de confinement, et des gaz radioactifs rejetés dans l’atmosphère.
Abusés par une instrumentation ambiguë, les opérateurs ont mal interprété ce qui se passait dans le réacteur et ont, deux heures durant, pris des mesures aggravantes, transformant un incident d’exploitation banal en accident sérieux.

L’accident n’a causé aucune victime et n’a pas eu d’impact significatif sur l’environnement. Toutefois, la centrale a été arrêtée définitivement.

Copyright : DR

L’analyse de l’accident et les conséquences : un cas d’école

La combinaison des causes qui ont transformé un incident en accident grave est devenue un cas d’école. Les Autorités de sûreté et les exploitants ont tiré de nombreux enseignements de Three Mile Island : importance de la défense en profondeur et du facteur humain, dispositifs d’aide à l’opérateur en salle de commande, hiérarchisation et clarification des alarmes… Sans oublier le rôle capital de l’enceinte de confinement, barrière ultime entre la radioactivité du cœur du réacteur et l’extérieur.

On a estimé que les leçons tirées de TMI-2 ont permis de réduire d’un facteur 10 le risque de fusion de cœur dans les réacteurs occidentaux de 2ème génération.

Les enseignements : une organisation défaillante et des procédures mal maîtrisées

L’analyse du déroulement a permis d’identifier les erreurs humaines commises et d’en tirer des enseignements, toujours mis en œuvre.

L’information sur l’état des matériels n’était pas claire. Depuis, les indications doivent correspondre au résultat de l’exécution d’un ordre. Plus largement, la gestion des indications en situation accidentelle priorise les informations pour que l’opérateur ne soit pas submergé par une multitude de signaux. Les interfaces Homme-machine et l’ergonomie des salles de commande ont été revues.
L’opérateur ne maîtrisait pas l’état de l’installation. En l’occurrence, les questions de la formation du personnel à la conduite en situation dégradée et celles de la rédaction des consignes se sont posées.

Depuis, la formation à l’exploitation en situation accidentelle sur simulateur s’est très largement développée. Les équipes d’exploitation des centrales nucléaires françaises suivent un cursus long et complet de formation avant de prendre leur fonction, avec l’obligation de recyclages et de mises à niveau régulières.

Les procédures n’ont pas été respectées. Les vannes des générateurs de vapeur n’ont pas été replacées correctement après des travaux de maintenance. Depuis, des vérifications systématiques sont exigées en fin de chantier, avant le redémarrage des matériels, selon des procédures rigoureuses d’assurance qualité.

L’opérateur a mal réagi, privilégiant la préservation de l’équipement. Dans un état qui peut conduire à un accident grave, préserver les matériels n’est pas prioritaire, contrairement à la protection des populations et de l’environnement. EDF a mis en place des Ingénieurs de Sûreté et de Radioprotection (ISR), indépendants des équipes de pilotage qui interviennent en cas d’incident ou d’accident avec une approche différente des procédures de conduite normale du réacteur.

La possibilité de formation d’hydrogène en cas de dénoyage du cœur n’était pas prise en compte à la conception du réacteur. Après l’accident, tous les réacteurs français ont été équipés de recombineurs d’hydrogène. Ces matériels (une centaine dans chaque réacteur) absorbent l’hydrogène qui se forme lors de la fusion du combustible et le transforment en eau, évitant l’accumulation d’hydrogène qui peut conduire à l’explosion (comme à Fukushima en 2011).

La nécessité de faire retomber la pression dans l’enceinte de confinement du réacteur, tout en préservant l’environnement, n’a pas été intégrée. Pour éviter une pression excessive pour l’enceinte, causée par l’accumulation de gaz pouvant être radioactifs, il est indispensable de relâcher ces gaz.
Mais ce relâchement doit être maîtrisé et contrôlé. Les exploitants français ont équipé tous les réacteurs des centrales de filtres qui piègent les radioéléments et réduisent les rejets d’iodes.

La gestion de la crise n’a pas été préparée. Pendant l’accident, les journalistes appelaient directement les équipes en salle de commande, qui avaient du mal à comprendre et gérer l’accident. Des exercices ont lieu désormais régulièrement (plusieurs par an sur chaque installation nucléaire), tant au niveau local que national et la communication est gérée par une cellule identifiée.

Three Mile Island – Vue du site dans les années 2010 – Copyright : DR

Ce qu’il faut retenir

L’accident de Three Mile Island a fait évoluer la conception des réacteurs.

L’enceinte de confinement a un rôle important. A partir de la construction des réacteurs du palier de puissance de 1300 MWe, les centrales françaises ont été dotées d’une double enceinte en béton qui dédouble les parades vis-à-vis des agressions internes et externes et de filtres qui piègent les iodes radioactifs. La cuve en acier a conservé le corium (combustible fondu) dans le réacteur. Néanmoins, pour parer l’éventualité d’accidents plus sévères, un « récupérateur de corium » est installé sur les réacteurs de 3ème génération, comme l’EPR. Ces deux dispositifs ont été confortés par l’accident de Tchernobyl.
Cet accident a également amené l’exploitant à prendre en compte des situations de cumuls de défaillances, matérielles et humaines, et à introduire dans l’exploitation de ses réacteurs une approche spécifique pour les accidents graves.