13.3. Les leçons tirées de l'accident de TMI du point de vue de la philosophie de la sûreté. Le choc chez les ingénieurs du nucléaire

13.3.1. La révélation d'un biais conceptuel

Malgré les dénégations officielles, l'accident de Three Mile Island a surpris tous les spécialistes. Des années plus tard, Tanguy peut écrire à propos des enseignements tirés de l'accident que «le cœur fut endommagé très au-delà de ce qui était envisagé dans les accidents pris en compte à la conception. La quantité de radioactivité relâchée dans l'enceinte dépassa largement les évaluations utilisées jusque-là dans les analyses de sûreté 794 L'accident de TMI marque une véritable rupture, LA grande rupture, dans l'histoire de la sûreté nucléaire, en France comme dans le monde. Même les spécialistes les plus avertis en viennent à s'interroger sur la méthodologie utilisée jusque-là pour garantir la sûreté des installations nucléaires. Ainsi, Pierre Tanguy, Directeur de l'IPSN, tire cette leçon de l'accident : «On ne peut nier qu'Harrisburg remette en cause l'approche de sûreté des réacteurs nucléaires : la séquence accidentelle n'avait pas été prévue, et les dégâts sur le cœur ont dépassé ce qui était considéré antérieurement comme acceptable, en particulier en ce qui concerne la formation d'hydrogène.» 795 Ce jugement émis par Tanguy alors que l'ensemble de la communauté nucléaire pense encore que l'on n'a pas atteint la fusion du combustible montre à quel point la secousse est grande.

En effet, Three Mile Island prouve premièrement qu'un accident sur une centrale nucléaire est possible, et deuxièmement que des accidents plus graves que celui considéré comme l'enveloppe des situations plausibles, l'accident de perte de réfrigérant primaire, sont possibles : ils peuvent provenir de défaillances mineures mais multiples et d'erreurs humaines. Car ce qu'illustre parfaitement TMI, c'est la remise en cause du concept de Maximum Credible Accident et de la notion d'accident-enveloppe.

Dès 1976, les techniciens du Département de Sûreté Nucléaire (DSN) du CEA avaient attiré l'attention sur les risques d'accident grave, notamment après la lecture du rapport de Rasmussen de 1974. Il montrait, mais ce n'était pas la partie sur laquelle le rapport insistait le plus, que certains accidents beaucoup moins graves que l'accident de dimensionnement pouvaient conduire à des accidents graves, c'est-à-dire allant jusqu'à la fusion du cœur. Mais l'ensemble de la communauté nucléaire, concepteurs comme exploitants, restait fidèle à la méthodologie utilisée depuis le début des années cinquante : une liste conventionnelle d'accidents dits de dimensionnement servait à définir les niveaux de protection des installations. C'est l'exemple du célèbre LOCA (Loss Of Coolant Accident) grosse brèche, la rupture de la plus grosse tuyauterie primaire, pour lequel la conception avait défini les moyens d'injection de secours, s'était assurée que l'enceinte de confinement pouvait résister sous la pression de plusieurs bars qui en découle, et où les moyens étaient prévus pour refroidir le cœur. Armé de cette méthode, les ingénieurs du monde entier pensaient qu'ayant protégé l'installation contre les accidents «enveloppe», les plus graves, on était automatiquement protégé contre les accidents moins graves du même genre. En d'autres termes, tout le monde pensait que l'enveloppe était suffisante. Or Rasmussen dès 1974 avait montré que des accidents beaucoup moins graves, des petites brèches - et l'exemple de la brèche en phase vapeur du pressuriseur qui s'est produite à Three Mile Island allait le confirmer - pouvaient conduire à des accidents allant jusqu'à la fusion du cœur.

Les ingénieurs se trompaient de cible, comme l'explique François Cogné, à l'époque chef du Département de Sûreté (DSN) de l'IPSN : «Alors qu'on avait étudié avec des marges considérables le plus gros accident qu'on pouvait imaginer, la plus grosse rupture, il ne se passait rien. Et vraiment dans l'esprit de tous les ingénieurs de l'époque, dans les années 70, on était persuadé qu'on était largement couvert par l'accident de dimensionnement. Et c'est un piège, parce qu'en voulant faire de l'accident de dimensionnement en prenant des marges considérables, on croit qu'on est protégé contre n'importe quoi, donc on pense qu'on est dispensé de faire beaucoup d'études, alors qu'il vaut mieux (…) être capable d'étudier des séquences beaucoup plus réelles sans prendre des marges considérables, mais par contre être beaucoup plus près du réalisme, et à ce moment-là on voit les phénomènes physiques. Alors, l'accident de Three Mile Island a été un révélateur de ce point de vue là pour tous les exploitants et pour les concepteurs, pas tellement pour nous [les experts de sûreté], parce que je crois qu'après Rasmussen, on considérait qu'il y a avait la possibilité d'avoir des accidents de fusion du cœur dans certaines conditions, alors que c'était considéré comme impossible par les concepteurs et les exploitants.» 796

Les experts de sûreté avaient en effet noté dans l'étude de Rasmussen cette conclusion révélant que les mesures prises à la conception ne rendaient pas les accidents aussi peu probables qu'on le pensait. Cette conclusion était assortie de considérations sur les conséquences : ces accidents étaient plus probables que prévu, mais les dommages causés par l'accident seraient bien moindres que ce qui était reconnu précédemment. L'accident de Three Mile Island allait s'avérer une parfaite illustration de ces deux conclusions.

Notes
794.

Pierre Tanguy, «Les enseignements de l'accident de TMI pour la sûreté nucléaire», Contrôle, n°110, avril 1996, pp. 51-54.

795.

Pierre Tanguy, «L'accident de Harrisburg…», op. cit., p. 531.

796.

Entretien avec François Cogné.