L’accident de Three Mile Island

L’accident du réacteur n° 2 de la centrale nucléaire de Three Mile Island (Pennsylvanie), le 28 mars 1979, a donné lieu à de nombreux commentaires. M. Pierre Tanguy, directeur de l’Institut de Protection et de Sûreté Nucléaire, a présenté un document de synthèse sur la base des informations disponibles en France en avril. Nous remercions vivement le Département des Relations Publiques du Commissariat à l’ Energie Atomique d’avoir bien voulu nous communiquer ce document, dont nous vous présentons ci-dessous le larges extraits. Ce sinistre n’est pas un incendie. Mais il nous a paru assez important et intéressant pour que nous en parlions ici. De plus, la démarche d’analyse des événements et certains des enseignements qui en sont tirés peuvent tout à fait être transposés dans le domaine de la sécurité incendie. (N.D.L.R.).

Avant d’exposer le déroulement de l’accident, il est important de souligner que dans un événement de cette ampleur, il faut attendre la publication du rapport complet, qui sera diffusé par les autorités américaines avec les comptes rendus détaillés des résultats de mesure et des enquêtes effectuées sur place, avant d’en tirer des conclusions définitives. Et en cela, l’accident d’Harrisburg ne diffère pas des grands accidents que l’on rencontrerait sur des installations non nucléaires. Cela dit, il semble qu’aujourd’hui, nous disposions, grâce à l’information diffusée par les Services Officiels des Etats-Unis et aux renseignements complémentaires recueillis sur place par le Ministère de l’Industrie, d’une description plausible de l’accident.

Pour mieux comprendre ce qui s’est passé, je rappellerai brièvement ce qu’est un réacteur nucléaire à eau pressurisée du type de celui de TMI^[1], et les bases sur lesquelles repose sa sûreté. J’utiliserai deux schémas, en m’efforçant de limiter la présentation technique au minimum nécessaire pour comprendre ce qui s’est passé.

En fonctionnement normal, trois « barrières» physiques, étanches, sont interposées entre les produits dangereux, produits par la fission nucléaire, et l’homme (public ou travailleurs). Ces trois barrières sont indiquées sur le schéma n° 1 :

• au centre du réacteur, les gaines des éléments combustibles. Ces gaines, en alliage de zirconium (zircaloy), entourent l’oxyde d’uranium et empêchent la sortie des produits de fission radioactifs. La dissémination accidentelle de ces produits de fission constitue l’essentiel du danger nucléaire. Un cœur de réacteur PWR de 1.000 MWe comporte environ 40.000 « crayons» de 4 mètres de long, ainsi constitués, rassemblés en faisceaux dits « assemblages combustibles» d’environ 300 crayons ;

• le circuit primaire contient l’eau primaire, sous haute pression, chargée de refroidir les crayons combustibles et de transmettre la chaleur correspondante à un circuit secondaire par l’intermédiaire des générateurs de vapeur. Cette deuxième barrière comprend (voir schéma n° 2) : la cuve du réacteur, des tuyauteries de gros diamètre (70 cm) qui transportent l’eau primaire aux générateurs de vapeur, des pompes, un pressuriseur, appareil chargé de maintenir la pression constante ;

• l’enceinte de confinement, ou bâtiment réacteur, barrière ultime vis-à-vis des produits de fission, chargée de retenir ceux-ci au cas où des défauts interviendraient sur les précédentes barrières. Cette enceinte en béton, d’environ 1 mètre d’épaisseur, est capable de résister à l’énergie dégagée lors d’accidents graves.

Les barrières, sommairement décrites ci-dessus, sont surveillées en permanence, et des dispositifs techniques permettent d’intervenir automatiquement en cas de défaillance de l’une d’entre elles : l’état des gaines est surveillé par des mesures de la quantité de produits de fission passant dans le fluide primaire et par des mesures de température; des mesures de la puissance délivrée permettent d’arrêter l’installation en cas de dé passement des valeurs spécifiées. La seconde barrière est surveillée par des mesures de la pression du fluide primaire, et toute variation anormale de celle-ci en traîne l’arrêt de l’installation et la mise en service de dispositifs de secours (exemples ouverture d’une vanne de décharge au pressuriseur en cas de baisse de pression et de perte de fluide primaire). La troisième barrière comporte des moyens de surveillance de la radioactivité et de la pression interne, et des dispositifs permettant de fermer automatiquement toute liaison avec l’extérieur en cas de mesures anormales.

Tout est parti, le mercredi 28 mars, à 4 heures du matin, d’une panne en salle des machines : pour une cause qui n’a pas encore été précisée de manière définitive, on a perdu l’alimentation en eau des générateurs de vapeur. Cette panne, sur des matériels non nucléaires, que l’on retrouve sur toutes les centrales électriques, n’a rien en soi d’extraordinaire. Elle entraîne le déclenchement de la turbine, donc l’arrêt de la production électrique. C’est un incident d’exploitation comme il s’en produit de temps en temps sur toutes les installations, qui doivent être dépistés et éliminés, car ils sont contraires à une bonne fiabilité de l’installation et la sûreté est associée à une bonne fiabilité. Mais, en soi, une telle panne n’a rien de catastrophique.

A TMI, cette panne s’est conjuguée avec une défectuosité grave : lorsque l’alimentation des générateurs de vapeur est interrompue, quelle qu’en soit la cause, une alimentation de secours est mise en œuvre automatiquement, c’est-à-dire que l’on envoie de l’eau en remplacement, toujours dans le circuit secondaire, par des pompes et un circuit auxiliaire. Or, à TMI, ce circuit auxiliaire n’a pas fonctionné. Il semble, mais ceci reste à confirmer, que la responsabilité en incombe aux exploitants de la centrale, qui au cours d’opérations d’entretien, avaient laissé fermées des vannes qui doivent toujours rester ouvertes.

La conséquence a été l’absence d’eau du côté secondaire des générateurs. Tout à fait logiquement, du côté primaire, c’est-à-dire du côté du réacteur nucléaire, la chaleur produite n’a plus été évacuée : il y a eu augmentation de température et de pression. Les sécurités prévues ont fonctionné : la réaction en chaîne a été arrêtée par insertion des barres de contrôle, ce qui arrête l’accroissement de température et les vannes de décharge du circuit qui sont placées sur le ballon, appelé pressuriseur, se sont ouvertes pour réduire la pression. Ces deux actions sont automatiques et se sont normalement déroulées, quelques secondes après la panne initiale.

Lorsque la réaction en chaîne est stoppée, il faut dans une centrale nucléaire poursuivre le refroidissement, car les éléments combustibles dégagent une certaine puissance, due à la radioactivité, ce qu’on appelle la chaleur résiduelle, qui représente une faible fraction (quelques %) de la puissance en régime normal.

Pour permettre un bon refroidissement, compte tenu de ce qu’une certaine quantité d’eau avait été déchargée du réacteur par les vannes que je viens de mentionner, on déclenche un système d’injection d’eau, l’injection de secours, ce qui s’est fait normalement à TMI, le système injection de secours ayant été automatiquement mis en route deux minutes après la panne initiale.

A ce stade, on peut faire le point : une panne initiale, la coïncidence d’une défaillance tout à fait anormale d’un système auxiliaire important, mais toutes les sécurités ont joué correctement et l’ensemble de l’installation est dans un état apparemment convenable, le réacteur à puissance très faible, et sans aucune dispersion anormale de radioactivité, puisque l’eau rejetée du circuit primaire est allée dans un bidon prévu à cet effet.

Ensuite, sur une durée assez longue, plusieurs heures, se déroulent toute une série d’événements qui vont conduire à l’accident très grave que l’on connaît. L’enchaînement des évènements est complexe, il subsistera encore quelques doutes sur les opérations exactes effectuées par les exploitants. Je résumerai très brièvement, en me limitant aux cinq événements clés qu’ont retenus, en première analyse, les autorités américaines.

• la vanne de décharge du pressuriseur aurait dû se fermer après avoir joué son rôle : elle est restée bloquée ;

• les indications dont disposait l’opérateur sur le circuit de refroidissement par l’intermédiaire du niveau d’eau dans le pressuriseur ont été erronées ;

• l’opérateur a arrêté manuellement l’injection de secours, probablement en partie à cause de l’information erronée que je viens d’indiquer ;

• l’opérateur a arrêté manuellement les pompes du circuit primaire, pour une raison encore imprécise ;

• enfin, l’isolement de l’enceinte, indispensable pour empêcher le transfert éventuel de radioactivité de l’enceinte aux bâtiments des auxiliaires nucléaires, cet isolement n’a été fait que plusieurs heures après le début de l’accident.

Finalement, le refroidissement du cœur, c’est-à-dire l’extraction de la chaleur résiduelle, a été insuffisant, donc les crayons combustibles ont chauffé et les gaines de zircaloy ont lâché (sans doute sur 20 % environ des crayons) libérant ainsi dans l’eau leurs produits de fission, notamment gazeux. La vanne de décharge étant restée ouverte, il y a eu finalement déversement de cette eau radioactive dans l’enceinte. L’enceinte n’étant pas isolée, il y a eu transfert dans le bâtiment des auxiliaires nucléaires. Par l’intermédiaire du circuit de ventilation, les produits gazeux ont été aspirés. L’iode a été retenu dans les filtres, les gaz rares (isotopes radioactifs des gaz rares présents dans l’air, essentiellement le xénon) ont été relâchés dans l’environnement.

Environ seize heures après la panne initiale, une situation stable était rétablie : il y avait de l’eau du côté secondaire des générateurs de vapeur, la vanne du côté primaire avait été fermée, l’injection de sécurité avait compensé l’eau perdue dans le circuit primaire, l’enceinte avait é té isolée, l’eau radioactive dans le bâtiment auxiliaire était dans des bidons.

On était donc à ce moment-là le mercredi 28 mars aux environs de 20 heures, heure locale, avec une situation parfaitement contrôlée et d’ailleurs la présence sur place des contrôleurs américains. L’accident avait eu lieu : dommages sérieux sur le cœur, radioactivité importante dans le circuit primaire, radioactivité élevée dans l’enceinte et le bâtiment auxiliaire, et des rejets de gaz radioactifs dans l’environnement au cours de cette journée du 28.

Pourquoi alors l’incertitude a-t-elle encore régné sur la possibilité d’une catastrophe jusqu’au lundi 2 avril ?

Il y a eu d’abord le vendredi matin une manœuvre de pompage d’eau du bâtiment auxiliaire vers l’enceinte, manœuvre normale dans son principe, mais qui a donné naissance dans ce bâtiment à un dégagement de gaz radioactif et à une bouffée de xénon radioactif dans l’environnement. La quantité de radioactivité rejetée était très réduite, ceci a été confirmé depuis, mais pour le public, comme pour les autorités de l’Etat de Pennsylvanie, cela a provoqué une inquiétude extrême et a conduit aux mesures d’évacuation que la presse a rapportées.

Pendant ce temps-là , les techniciens s’efforçaient de résoudre au mieux deux difficultés :

• dans la cuve au-dessus de l’eau et du cœur, il y avait une bulle de gaz incondensable, des gaz de fission , mais aussi de l’hydrogène formé au moment de l’accident, lorsque les gaines avaient fortement surchauffé. Son volume ne pouvait être estimé que par des mesures indirectes : si on prenait des hypothèses très pessimistes, elle occupait un fort volume et il fallait l’évacuer sans risquer une recombinaison explosive avec l’oxygène ou un grossissement qui conduirait à une nouvelle surchauffe du cœur. En fait, sa taille réelle était plus faible et elle s’est dissoute progressivement dans l’eau, les gaz étant récupérés, puis évacués, au pressuriseur ;

• dans l’enceinte, il y avait des gaz radioactifs et de l’hydrogène : il fallait installer un dispositif permettant la recombinaison catalytique de cet hydrogène avec l’oxygène de l’air et l’appareil, volumineux et de branchement délicat, n’a pu être mis en place qu’au bout de quelques jours.

Il est certain que pendant toutes ces journées, les techniciens se sont efforcés avant tout de ne courir aucun risque de nouvelle dissémination de radioactivité dans l’environnement et ont donc préféré prendre tout leur temps. On peut penser que cette attitude restera la règle pendant les jours et les semaines qui suivent.

On peut mesurer maintenant les conséquences de cet accident, depuis la panne initiale jusqu’à aujourd’hui. Et il faut distinguer les travailleurs de la centrale et les personnes du public et l’environnement.

Il est clair que ces résultats sont d’une importance considérable et il faudra attendre le rapport définitif du gouvernement américain, regroupant les résultats obtenus par les divers organismes impliqués (Commission de régulation nucléaire, Agence pour la protection de l’environnement et Conseil National de sûreté radiologique) pour disposer de chiffres indiscutables. Près d’une centaine de spécialistes ont procédé en effet à un grand nombre de mesures au long de ces journées. Les résultats que je vous donne sont des résultats officiels, mais non définitifs bien sûr. Ils permettent de se faire une première idée et confirment qu’il ne s’agit en rien d’une catastrophe nucléaire au sens où on l’entend généralement.

• Irradiation du personnel : douze travailleurs auraient reçu des doses entre 2 et 3 rem; trois autres ont reçu des doses respectivement de 3 à 4 rem, dont deux, le 29 lors du prélèvement d’un échantillon d’eau primaire. Rappelons que la dose maximale admissible pour les travailleurs est 5 rem par an ou 3 rem en trois mois.

• Les évaluations de la NRC relatives au bilan d’exposition du public sur les cinq jours qui ont suivi l’accident sont les suivantes : dose maximum individuelle hypothétique 80 mrem; dose collective : 1.800 hommes x rem répartis sur deux millions d’habitants, à comparer à la dose collective annuelle due aux rayonnements naturels qui est supérieure à 200.000 hommes x rem pour la même population.

• Le 3 avril, le débit de dose n’était plus que de 0,01 à 0,04 mrem/heure à l’extérieur du site.

Quelle est la situation actuelle, quelle est l’évolution prévisible et quels sont les risques associés ?

Côté réacteur, la situation comme nous l’avons dit est stabilisée et il ne semble pas qu’il puisse y avoir d’aggravation dans l’avenir. L’activité du circuit primaire est élevée, mais contenue dans un circuit dont l’étanchéité a été retrouvée. Il faudra passer dans la situation dite d’arrêt à froid où on pourra ouvrir la cuve et constater les dégâts, mais les Américains semblent vouloir attendre la décroissance de la radioactivité dans l’enceinte avant d’y procéder^[2].

Dans l’enceinte en effet, l’activité reste élevée, correspondant à une dose de l’ordre de la dizaine de rad/heure sur le plancher principal. La majeure partie de cette activité résulte sans doute d’iode 131 et de xénon 133, donc avec une décroissance moyenne de l’ordre d’un facteur 2 par semaine : en 10 semaines, l’activité devrait donc se retrouver au millième de sa valeur actuelle, ce qui faciliterait considérablement l’accès et éviterait tout risque de rejet notable dans l’ environnement.

C’est en effet le risque principal qui subsiste : toute opération sur les circuits auxiliaires risque en effet aujourd’hui de laisser échapper quelques fuites de gaz radioactifs, que les responsables souhaitent certainement éviter, quelle que soit leur importance objective, en raison des conséquences vis-à-vis du public et des autorités locales.

A plus long terme, peut-on envisager la décontamination de l’installation, et sa remise en route, avec un cœur neuf bien entendu ? Il est aujourd’hui beaucoup trop tôt pour le dire, mais il nous paraît également prématuré d’affirmer que la centrale ne sera jamais remise en marche. Ce qui est sûr, c’est qu’un redémarrage éventuel ne pourra être autorisé qu’après que les autorités aient pu vérifier que tous les composants sont en bon état et que la sûreté est garantie.

Le problème le plus urgent était posé par les centrales de même type, du même constructeur, actuellement en service aux Etats-Unis : une demi-douzaine. Après analyse de l’accident, les autorités ont jugé que ces centrales pouvaient continuer à fonctionner sans risque inacceptable pour le public et l’environnement. Néanmoins, il a été demandé aux exploitants de présenter sous deux semaines aux autorités un rapport indiquant les mesures prises au niveau des consignes d’exploitation pour prévenir un accident analogue. A terme, les autorités américaines ont indiqué qu’il serait nécessaire de revoir l’analyse de sûreté des réacteurs nucléaires aux Etats-Unis, et éventuellement de renforcer les normes de sûreté.

Il apparaît que nous devons retirer de l’accident d’Harrisburg des enseignements importants pour la sûreté des centrales françaises. Dès maintenant, nous sommes en mesure de définir quelques orientations, pour nous-mêmes comme pour tous les organismes de sûreté dans le monde.

A l’origine de l’accident de Three Mile Island, il y a un certain nombre de défaillances de matériel : turbo-pompes alimentaires, vannes bloquées… Ces pannes doivent être pourchassées et cela en prenant des mesures dès qu’elles apparaissent sur des installations, même lorsqu’elles n’ont pas de conséquences, ce qui est le cas général, pour qu’elles ne se reproduisent pas. Il peut être significatif d’indiquer que le blocage de vanne de décharge avait été observé déjà sur deux réacteurs Babcock (les mêmes que ceux de TMI) aux Etats-Unis. Il est clair que tous les organismes de sûreté doivent apporter la plus grande attention à l’analyse de tous ces incidents que je qualifierai de « précurseurs» et que les exploitants ont l’obligation de rapporter aux autorités.

Sans vouloir préjuger les conclusions de l’enquête américaine, il semble que des actions prématurées ou intempestives des opérateurs aient joué un rôle dans l’accident et aient une part de responsabilité dans sa gravité. Ceci indique que les consignes que doit suivre l’opérateur ne sont pas parfaitement adaptées à tous les cas d’accident. Les autorités de sûreté se sont surtout préoccupées des accidents très graves, risquant d’entraîner des rejets radioactifs significatifs et doivent apporter la même attention aux consignes correspondant aux accidents mineurs qu’une action intempestive peut transformer en accident grave. Il faut notamment examiner dans quelles conditions l’opérateur est autorisé à interrompre l’injection de secours ou à manipuler les effluents contaminés; il faut également vérifier la validité des systèmes de protection actionnant automatiquement des actions de sûreté, telle que l’injection de secours.

Enfin, dans le déroulement de l’accident, il faut examiner si les phénomènes physiques d’écoulement hydraulique et de transfert de chaleur se sont bien passés comme ils étaient prévus par les modèles de calcul. Nous savons qu’il subsiste encore des lacunes dans nos connaissances : c’est pourquoi d ‘une part d’importants programmes de recherches sont effectués en France comme dans tous les pays nucléaires; c’est pourquoi aussi les analyses de sûreté prennent en compte des marges qui doivent englober les inconnues et incertitudes actuelles. L’accident de Three Mile Island représente un essai «en vraie grandeur» qui doit permettre une amélioration de nos connaissances physiques…

[1] Three Mile Island. unit 2″, réacteur à eau pressurisée de 906 MWe sur le territoire de la commune de Middleton, Pennsylvanie, à 15 km de la ville d’Harrisburg (90.000 habitants) et sur la Susquehanna River « TMI, unit 1», réacteur de même type sur le même site, était arrêté pour rechargement lors de l’accident.
[2] Rappelons que ce texte a été établi en avril (N.D.L.R).