Savoir et comprendre

Un cumul de défaillances

 

La centrale nucléaire de Three Mile Island (TMI), située en Pennsylvanie (États-Unis), était équipée de deux réacteurs de 900 MWe à eau sous pression construits par Babcock et Wilcox.

 

L'accident a commencé le mercredi 28 mars 1979 à 4 heures du matin par un simple incident d'exploitation : la défaillance de l'alimentation normale en eau des générateurs de vapeur. Les automatismes de sûreté prévus fonctionnèrent parfaitement : arrêt d’urgence de la réaction nucléaire par insertion des barres de commande dans le cœur et mise en service des pompes de secours d’alimentation en eau des générateurs de vapeur.

 

C’est alors qu'est intervenue une première défaillance : malgré la mise en service des pompes du système d'alimentation de secours des générateurs de vapeur, l'eau n’a pas pu atteindre les générateurs de vapeur car les vannes situées entre ces derniers et les pompes étaient fermées au lieu d'être ouvertes, par suite d'un oubli de l’opérateur (ces vannes avaient été régulièrement fermées pour procéder à un essai réglementaire des pompes ; après l’essai, ces vannes auraient du être replacées en position ouverte). Ces vannes ont été réouvertes manuellement, huit minutes plus tard. 

 

Néanmoins, pendant ce laps de temps, en raison du dégagement de chaleur produit par la puissance résiduelle due à la décroissance radioactive des produits de fission dans le combustible, l’eau du circuit primaire, insuffisamment refroidie, avait fait augmenter la pression de ce circuit jusqu’à déclencher l’ouverture de la vanne de décharge du pressuriseur, dont le rôle est d’évacuer l’excès de vapeur vers un réservoir et donc de diminuer la pression dans le circuit primaire.

 

Lorsque le refroidissement par les générateurs de vapeur fut rétabli et que la pression du circuit primaire commença à descendre en-dessous du seuil d’ouverture de la vanne de décharge du pressuriseur, une seconde défaillance se produisit : la vanne de décharge du pressuriseur reçut l'ordre de se fermer mais resta coincée en position ouverte, d’où l’apparition d’une brèche dans la partie supérieure du pressuriseur.

 

 

Une application des consignes en vigueur mais avec de fausses informations

 

Les opérateurs, regardant l'indicateur de position de la vanne de décharge du pressuriseur, ont vu « vanne fermée » : cette information était fausse, et c'est là le point crucial de l'accident. En effet, l'indicateur retransmettait en salle de commande l'ordre reçu par la vanne et non sa position réelle. Ceci constituera un des enseignements essentiels de l’accident.

 

De plus, l'équipe d’opérateurs en charge de la conduite de la centrale a concentré son attention sur le niveau d'eau dans le pressuriseur, en application des consignes en vigueur. Les opérateurs de cette centrale n'avaient ni formation ni procédure pour faire face à une brèche située dans la partie supérieure du pressuriseur.

 

Ceci a fait apparaître un autre enseignement de l’accident : les opérateurs de la centrale ne disposaient pas de procédures adaptées leur permettant de couvrir les combinaisons possibles d'événements correspondant à des cumuls de défaillances matérielles ou humaines, simultanées ou différées.

 

Un manque d’informations sur l’état du cœur

 

Devant la montée rapide du niveau d'eau dans le pressuriseur, et croyant la vanne de décharge fermée, les opérateurs ont arrêté manuellement (après moins de cinq minutes) l'injection de sécurité d’alimentation en eau qui avait été automatiquement mise en service du fait de la brèche. La représentation mentale de la situation qu'avaient les opérateurs était fausse, ils manquaient d’informations directes sur l’état du cœur du réacteur. Ce sera également un enseignement important de l’accident. 

 

Fusion du combustible puis remise en service de l’injection de sécurité

 

Compte tenu de la vidange du circuit primaire, le dégagement de chaleur dans le cœur du réacteur a porté l'eau à ébullition ; comme il n'y avait plus d'alimentation en eau dans le circuit primaire, le niveau d’eau dans la cuve a baissé et le combustible a commencé à ne plus être sous eau. Le refroidissement du combustible est devenu moins efficace et sa température a augmenté. A terme, il s’est produit un fort relâchement de produits de fission du combustible dans le fluide primaire et, par ce fluide, dans l'enceinte de confinement (la vanne de décharge du pressuriseur étant toujours ouverte) : 2 heures et 14 minutes après le début de l'accident, l'alarme de radioactivité élevée dans l'enceinte de confinement s’est déclenchée.

 

Les opérateurs ne pouvaient dès lors plus ignorer que la situation était sérieuse et qu’il existait sûrement une brèche du circuit primaire.

 

Réalisant qu'il pouvait bien y avoir sortie de radioactivité par la vanne de décharge du pressuriseur, les opérateurs ont fermé la vanne d'isolement de la ligne, ce qui a interrompu la décharge. Cependant, cette action a interrompu également toute évacuation d'énergie alors que le cœur du réacteur continuait à s’échauffer. Les opérateurs ont alors remis en service une pompe primaire qui a envoyé de l'eau refroidie par les générateurs de vapeur sur le combustible très chaud. La pression dans le circuit primaire augmenta alors dangereusement par vaporisation de l'eau au contact du combustible. Les opérateurs ont ouvert de nouveau momentanément la vanne d'isolement de la décharge du pressuriseur pour limiter le pic de pression dans le circuit primaire.

 

A ce stade de l’incident, de nouvelles alarmes de radioactivité se déclenchèrent, dont certaines hors du bâtiment du réacteur. L’eau qui se déverse dans l’enceinte de confinement était, en effet, reprise par des pompes de puisard à démarrage automatique qui renvoyaient cette eau contaminée dans des réservoirs de stockage situés dans un bâtiment auxiliaire non étanche. Ces réservoirs vont eux-mêmes déborder et créer une source de vapeur radioactive qui pourra s’échapper vers l’extérieur de la centrale. 

 

Après avoir réalisé que le circuit primaire n’était pas plein d’eau mais en fait quasiment vide, les opérateurs remirent en service l'injection de sécurité d’alimentation en eau, d'abord à faible débit, puis au débit nominal. Cette action provoqua un nouveau choc d'eau froide sur le combustible mais le cœur fut à nouveau refroidi, quatre heures après le premier événement. Il faudra les douze heures suivantes pour évacuer du circuit primaire l'essentiel de l'hydrogène créé par l’oxydation du zircaloy et des gaz de fission incondensables relâchés hors du combustible lors de l’accident.

 

Neuf heures et cinquante minutes après le début de l’accident, une explosion localisée d’environ 320 kg d’hydrogène provoqua un pic de pression de 2 bars environ dans le bâtiment du réacteur, sans provoquer de dégâts particuliers.

 

Il est vingt heures, le mercredi 28 mars 1979, l'accident proprement dit est terminé. Plusieurs jours seront cependant nécessaires pour pouvoir éliminer l'hypothèse du risque d'une explosion d'hydrogène.

 

Les dégâts subis par les éléments combustibles sont très supérieurs à ceux imaginés pour l'accident le plus grave étudié dans le cadre du dimensionnement de l'installation. On ne le constatera qu'en 1985, soit 6 ans plus tard, mais 45 % du combustible a fondu, entraînant avec lui des matériaux de gaines et de structures, formant ce qu'on appelle un « corium ». Une partie de ce corium, 20 tonnes environ, s'est écoulée sous forme liquide dans le fond de la cuve, sans heureusement la traverser (voir figure 1), grâce peut-être à la formation d’un espace entre le corium et la cuve qui aurait permis la circulation de l’eau de refroidissement dans la cuve.

 

Figure 1 : Coupe de la cuve montrant le combustible significativement dégradé par la fusion partielle du cœur lors de l'accident survenu aux USA le 28 mars 1979 à Three Mile Island, près de Middletown, Pennsylvanie.  

 

Les conséquences de l’accident sur la population

 

Malgré la fusion partielle du cœur du réacteur et l'important relâchement de radioactivité dans l'enceinte de confinement, les conséquences radiologiques immédiates dans l'environnement ont été minimes. L'enceinte de confinement a en effet rempli son rôle. Les faibles rejets dans l’environnement ont été causés par le maintien en service d’un système de pompage des effluents du circuit primaire. 

 

Dans la conception de l’installation de Three Mile Island, l’injection de sécurité d’alimentation en eau ne provoquait pas automatiquement l’isolement de l’enceinte de confinement, c’est-à-dire la fermeture de vannes sur toutes les tuyauteries entrant ou sortant du bâtiment réacteur et non indispensables pour le bon déroulement des séquences de sauvegarde. L’isolement de l’enceinte de confinement est destiné à bloquer les échanges entre l’intérieur et l’extérieur, pour limiter les rejets éventuels. Les pompes des puisards ont donc pu, pendant plusieurs heures, transporter dans un bâtiment auxiliaire de l’eau de plus en plus chargée en produits radioactifs. Du fait d’inétanchéités de circuits, de l’eau contaminée chaude s’est échappée dans le bâtiment et s’y est vaporisée, relâchant l’iode et le xénon qu’elle contenait. Ces gaz et vapeurs ont été aspirés par la ventilation générale du bâtiment, à travers des filtres à iode à l’efficacité insuffisante, et rejetés. 

 

Il a fallu que le transfert provoque des alarmes dans ce bâtiment pour que l’ordre d’isolement soit donné, manuellement, un peu plus tard. Il s’agit là d’une erreur de conception.

 

Soulignons que le niveau d’anxiété de la population a été élevé et encore intensifié par une recommandation d’évacuation provenant de l’autorité de sûreté américaine (la NRC), recommandation cependant annulée par le Gouverneur de l’Etat de Pennsylvanie.

Pour plus d’information :

• Ouvrage IRSN « Les accidents de fusion du coeur des réacteurs nucléaires de puissance - Etat des connaissances » (2013), Chapitre 7.