13.1. L'accident du 28 mars à Three Mile Island
13.1.1. Scénario de l'accident
La centrale de Three Mile Island est située sur le territoire de la commune de Middletown, à environ 16 kilomètres au sud-est d'Harrisburg, 90 000 habitants, capitale de l'Etat de la Pennsylvanie. Elle comporte deux réacteurs à eau sous pression de 900 MWe de conception Babcock and Wilcox, très semblables aux réacteurs Westinghouse construits en France. La deuxième tranche de la centrale, TMI-2, a été mise en service commercial le 30 décembre 1978, un peu plus de quatre ans après TMI-1, et fonctionne à pleine puissance. C'est sur ce deuxième réacteur que, dans la nuit du 28 mars, à 4 heures du matin, débute l'accident. Il ne peut être question de décrire ici le déroulement complet de l'accident. Nous n'en donnons qu'un résumé simplifié devant aider à appréhender les principales leçons qui en seront tirées, ainsi que les différents points de vue qui s'exprimeront à leurs sujets.
Au départ, il s'agit d'un incident tout à fait banal sur le circuit secondaire au niveau du condenseur : cet appareil sert à récupérer la vapeur du circuit secondaire après avoir alimenté la turbine, à la condenser sous forme liquide pour l'envoyer dans les deux générateurs de vapeur grâce à deux pompes d'alimentation normale (pompes ANG). Lors d'une opération de maintenance consistant à remplacer un des bacs de résine qui sert à épurer l'eau au sortir du condenseur pour éviter la corrosion des générateurs de vapeur, une fuite d'eau se produit dans l'air comprimé utilisé pour briser la résine : une série d'actions automatiques aboutit à la perte de l'alimentation normale en eau des générateurs de vapeur côté secondaire. Jusque-là, rien d'exceptionnel ne se produit : l'arrêt des pompes ANG entraîne celui de la turbine et le démarrage des pompes d'alimentation de secours des générateurs de vapeur.
Il s'ensuit une augmentation de température et de pression dans le circuit primaire qui entraîne automatiquement l'ouverture de la vanne de décharge du pressuriseur afin de réduire la pression dans le circuit primaire, et l'arrêt d'urgence du réacteur par chute des barres. La pression baisse alors progressivement. Au bout de 12 secondes, la pression devenue suffisamment faible, un automatisme envoie à la vanne de décharge l'ordre de se refermer (voir schéma plus loin). C'est là que se produit une première défaillance matérielle : la vanne de décharge qui reçoit l'ordre de se fermer se coince et reste ouverte, mais l'opérateur l'ignore puisque le voyant en salle de commande lui indique qu'elle est fermée : celui-ci indique que l'ordre a été donné mais pas la position réelle de la vanne. Les opérateurs ignorent donc qu'il y a une petite brèche dans le circuit primaire, qui laisse s'échapper l'eau au rythme d'une tonne par minute dans un réservoir de décharge du pressuriseur situé à l'intérieur de l'enceinte de confinement. La pression du circuit primaire baisse et deux minutes après le début de l'accident elle tombe à 110 bars ce qui provoque la mise en service automatique du système d'injection de sécurité pour envoyer de l'eau froide dans le circuit primaire afin d'empêcher que le cœur, insuffisamment refroidi, ne commence à fondre. Respectant une consigne réglementaire à suivre dans toutes les situations transitoires sur le circuit primaire, l'opérateur s'attache à vérifier que le niveau d'eau ne monte pas trop dans le pressuriseur et qu'il conserve une bulle de vapeur, qui sert d'amortisseur pour éviter que les variations brutales de pression n'usent les tuyauteries du circuit primaire. Or, le niveau d'eau s'est mis à monter rapidement, et croyant que la vanne de décharge est refermée, l'opérateur conclue qu'il y a trop d'eau dans le circuit primaire et arrête manuellement l'injection de sécurité.
Dès lors, l'eau, qui continue de fuir par la vanne de décharge n'est plus remplacée : six minutes après le début de l'accident, l'eau du circuit primaire se met à bouillir. Au bout d'un quart d'heure, le ballon de décharge du pressuriseur, submergé, se rompt : l'eau radioactive du circuit primaire se répand alors dans l'enceinte de confinement. Pendant ce temps, le fluide primaire est de plus en plus composé d'un mélange d'eau et de vapeur, que les pompes primaires ont de plus en plus de difficultés à faire circuler, elles se mettent à vibrer dangereusement. C'est pourquoi les opérateurs, 1h13 puis 1h 40 après le début de l'accident, décident d'arrêter la première puis la deuxième pompe, espérant qu'une circulation naturelle va s'établir dans le circuit primaire. Or la vapeur s'accumule dans tous les points hauts tandis que l'eau se rassemble dans les points bas, il n'y a plus de circulation et la chaleur du cœur n'est plus évacuée par les générateurs de vapeur 760 . Car si le réacteur a bien été arrêté, la puissance résiduelle continue de provoquer un dégagement de chaleur de plusieurs dizaines de MWth, qui provoque l'ébullition de l'eau. Le refroidissement du combustible est moins efficace, et le haut du cœur n'est plus recouvert d'eau, les gaines atteignent des températures très élevées, se rompent puis fondent, libérant les produits de fission dans l'eau du circuit primaire, puis à l'intérieur du bâtiment réacteur. Pierre Tanguy, Directeur de l'IPSN, dans la narration qu'il fait de l'accident dans un article de septembre 1979 dont nous nous sommes grandement inspiré, écrit qu'à ce moment de l'accident, «on atteint vraisemblablement en certains points la température de fusion de la gaine.»761 Reprenant en grande partie cet article dans son livre de 1995 762 , cette phrase est remplacée par «on atteindra la température de fusion de l'oxyde d'uranium» au cours de cette phase, la plus critique de l'accident.
A 6h14, une alarme annonçant la présence de radioactivité dans l'enceinte se met en marche. Avec de grandes difficultés, l'opérateur remet en service une pompe primaire, qui envoie de l'eau froide sur le combustible. Cette action permet un meilleur refroidissement, mais provoque aussi des dégâts sur les éléments combustibles et une vaporisation de l'eau au contact des crayons combustibles surchauffés : la pression augmente dangereusement et l'opérateur ouvre à nouveau la vanne d'isolement, mais il entraîne ainsi un fluide encore plus radioactif vers l'intérieur du bâtiment réacteur. De nouvelles alarmes de radioactivité se déclenchent, et certaines à l'extérieur du bâtiment réacteur : en effet, l'eau qui se déverse dans l'enceinte est récupérée par des pompes qui l'envoient automatiquement dans un bâtiment auxiliaire qui lui n'est pas étanche. Ce sont les réservoirs qui accueillent cette eau qui ont à leur tour débordé, laissant s'échapper la vapeur radioactive vers l'extérieur. La situation d'urgence est alors proclamée : l'enceinte est isolée, le transfert de la radioactivité vers le bâtiment auxiliaire est interrompu.
A 6h22, un chef de quart du bâtiment voisin arrivé sur les lieux a compris que la vanne de décharge est restée ouverte. Les opérateurs l'isolent, arrêtant la fuite. A 7h20, l'opérateur remet en service l'injection de sécurité, ce qui permet le refroidissement du cœur, mais provoque un nouveau choc entre l'eau froide et le combustible chaud. Quatre heures après le début de l'accident, il semble que le cœur a été à peu près refroidi, mais les dégâts sont considérables. Ne parvenant pas à rétablir une circulation normale, l'équipe de quart assure le refroidissement en ouvrant et fermant successivement la vanne de décharge. Mais ce faisant, des produits radioactifs s'échappent du circuit primaire. Une bulle de gaz incondensables, principalement de l'hydrogène dégagé par la fusion des gaines, s'est concentrée au sommet de la cuve du réacteur. Dans l'enceinte, l'hydrogène réagit avec l'air, ce qui provoque à 13 h 50 une explosion localisée et un pic de surpression (2 atm) dans le bâtiment réacteur, mais on ne s'en rendra compte que le lendemain.