13.2.2.2. Le rapport Roche-Cayol

Les développements de l'accident de TMI aux Etats-Unis sont suivis avec grand intérêt dans les milieux nucléaires en France : les Etats-Unis informent en direct, rendant publiques leurs informations (relevés de mesure par les capteurs de la centrale, comptes-rendus des auditions…). Le 1er avril, le gouvernement décide l'envoi d'une mission composée de deux experts, M. Roche, ingénieur au Service Central de Sûreté des Installations Nucléaires (SCSIN) et M. Cayol, ingénieur du CEA, afin de recueillir le maximum d'informations sur l'accident et renforcer l'équipe française permanente implantée à Washington et dirigée par M. P. Zaleski, attaché nucléaire à l'ambassade de France.

Le rapport de ces experts fait la synthèse des renseignements qui leur ont été communiqués du 2 au 5 avril par la NRC dans le cadre d'un accord de coopération avec le SCSIN. Dès le 4 avril, la NRC communiquait que l'accident était dû à six causes :

1. Le non fonctionnement du système d'alimentation de secours des générateurs de vapeur, lié à la position fermée des vannes d'isolement de ce système;
2. La non-fermeture complète de la vanne de décharge du pressuriseur après chute de la pression primaire;
3. Les indications inexploitables données par le niveau d'eau du pressuriseur;
4. A TMI, il n'était pas prévu que l'isolement de l'enceinte s'effectue automatiquement par la mise en route de l'injection de secours, ce qui aurait arrêté les pompes d'exhaure des réservoirs d'effluents primaires et limité fortement les rejets extérieurs;
5. L'opérateur a arrêté prématurément l'injection de secours;
6. L'arrêt des pompes primaires a largement contribué à aggraver les dégâts sur le combustible.

Ces conclusions sont reprises par les experts français dans leur rapport rendu public le 27 avril 1979 au cours d'une conférence de presse présidée par M. Kosciusko-Morizet, Directeur de la Qualité et de la Sécurité Industrielles. ⁷⁸¹

La première réaction, comme aux Etats-Unis, est de montrer le rôle des erreurs des opérateurs. La présentation de l'accident faite par Roche et Cayol, même si elle est fidèle aux faits, tend à mettre l'accent sur la responsabilité de l'opérateur : «Lors du déroulement de ce qui n'était alors [jusqu'à la quatrième minute] qu'un accident sans conséquences importantes pour la centrale et l'environnement, l'opérateur, au vu d'une indication de niveau pressuriseur qui n'était pas significative de la situation réelle, a arrêté pendant plusieurs minutes le système d'injection de secours qui s'était mis automatiquement en route. Cette action a entraîné un premier défaut de refroidissement du cœur, dont les conséquences ne peuvent encore être évaluées. Dans une seconde phase, qui a duré d'environ 5 heures du matin à 20 heures le 28 mars, l'opérateur a cherché à assurer le refroidissement du cœur. Il a pris dans un premier temps une initiative qui s'est très vite révélée inadaptée à la situation : l'arrêt des pompes de circulation du fluide primaire; il craignait certainement une dégradation de celles-ci sous l'effet de la cavitation. Cet arrêt des pompes primaires a entraîné un grave défaut de refroidissement du cœur et donc de fortes dégradations des crayons combustibles (on considère qu'environ 10 à 25% de ceux-ci ont été rompus) ainsi qu'une réaction chimique zircaloy-eau, d'où un fort dégagement d'hydrogène responsable de la formation d'une bulle en partie supérieure de la cuve. Cependant, contrairement à certaines informations, aucune fusion notable de l'oxyde d'uranium ne s'est produite.» ⁷⁸² Dans ce type de questions, il y a en fait deux objectivités : celle de la machine, et celle de l'opérateur, et les récits de l'accident sont fortement dépendants du «camp» choisi, le point de vue, aux sens propre comme figuré. Le résumé que présente le SCSIN de leur rapport donne une très nette impression de combat entre un opérateur qui a certes ses raisons mais prend de mauvaises décisions, et de l'autre la «situation réelle» avec ses lois d'airain, la machine et ses automatismes qui ne flanchent pas, eux. Cette objectivité-là ne peut manquer d'impressionner par son apparente rigueur, n'était la conclusion, assénée sur un ton tout aussi vigoureux, mais fausse. Un autre type de description pourrait s'attacher à recréer la complexité de la situation à laquelle étaient confrontés les opérateurs, la complexité des séquences possibles, les hypothèses différentes qui pouvaient légitimement être suggérées par la situation.

Cette position tendant à montrer du doigt les erreurs de l'opérateur est relativisée au mois de juillet. En réponse à une question d'une journaliste de la Recherche sur le rôle qu'a joué l'homme dans l'accident et sur la possibilité de juger l'opportunité des interventions humaines, le chef de l'IPSN, Pierre Tanguy est plus nuancé : «De mon point de vue, on ne peut pas juger et il ne faut surtout pas parler d'erreur humaine. On peut dire simplement que l'homme n'a pas agi de façon appropriée à la situation réelle de l'installation telle que nous la connaissons aujourd'hui. Mais nous ne savons pas ce qu'il connaissait exactement, et par quel processus intellectuel il a analysé l'information dont il disposait. Par ailleurs, on ignore aussi les consignes exactes qu'il devait suivre.» ⁷⁸³ Quelques mois plus tard, plus amplement informé, Tanguy est en mesure de préciser le rôle de l'opérateur dans le bilan qu'il tire de l'accident d'Harrisburg. Le chef de l'IPSN reprend l'explication sur l'indication erronée de la position de la vanne, «erreur de conception» et non pas de l'opérateur qui a été induit en erreur. Sur la question de la position de la vanne, un expert apporte une explication supplémentaire à cette «erreur» de conception : il est bien plus facile d'élaborer un signal à partir de l'ordre électrique de fermeture que de doter une vanne peu accessible de palpeurs de position très difficiles à régler et à entretenir ⁷⁸⁴ . Ceci dit, Tanguy ne disculpe pas totalement l'opérateur : «l'opérateur avait deux autres moyens à sa disposition pour connaître la position réelle de la vanne de décharge : une indication de la température sur la ligne de décharge en aval de la vanne et le niveau d'eau dans le réservoir de décharge. Pour ce dernier, il semble que l'opérateur ne l'ait pas consulté (il n'est pas reporté en salle de contrôle, mais dans un local mitoyen). Il a par contre relevé les indications de température, qui étaient anormalement élevées mais il n'en a pas tenu compte et cela provient, semble-t-il, de ce que l'opérateur savait que cette vanne fuyait avant l'accident (…) et l'opérateur a pu considérer que la vanne s'était échauffée par suite de cette fuite.» ⁷⁸⁵ Tanguy précise ensuite que l'opérateur a concentré son attention sur l'appareil de mesure lui permettant de suivre cette fameuse consigne réglementaire exigeant de ne pas perdre la bulle de vapeur au pressuriseur, dont l'indication n'avait d'ailleurs plus aucun sens étant donné l'état du circuit : les exploitants ne pouvaient pas ignorer que dans certains cas, dont celui qui s'est produit à TMI, l'indication n'avait plus de signification, mais ils n'avaient pas formé les opérateurs à ce type de cas. Encore plus explicite dans son ouvrage de 1996, Tanguy écrit : «On s'est étonné de ce que les opérateurs ne comprennent pas ce qui se passait pendant toute cette période. En fait, c'est la conception qui est ici en cause plus que l'homme. Les indications dont ce dernier disposait n'étaient valables que pour le fonctionnement normal; pendant l'accident proprement dit, elles perdaient toute signification physique. Toutes les analyses post-accidentelles ont insisté sur le fait que l'opérateur n'était pas simplement informé de la «marge vis-à-vis de l'ébullition» qui lui aurait tout de suite fait comprendre que l'eau bouillait dans son réacteur.» ⁷⁸⁶