| Accident nucléaire de Three Mile Island | |
Un panneau posé en 1999 à Middletown en Pennsylvannie rappelle l'accident nucléaire survenu à la centrale nucléaire de Three Mile Island. | |
| Type | Accident nucléaire sérieux de niveau 5 |
|---|---|
| Pays | États-Unis |
| Localisation | |
| Coordonnées | 40° 08′ 50″ nord, 76° 43′ 30″ ouest |
| Date | |
| modifier |
|

L'accident nucléaire de Three Mile Island est un accident survenu le dans la centrale nucléaire de Three Mile Island (3,3 km2). Cette centrale nucléaire est située sur une île de la rivière Susquehanna, près de Harrisburg, dans l'État de Pennsylvanie aux États-Unis. À la suite d'une chaîne d'événements, le cœur du réacteur no 2 de la centrale nucléaire (« TMI-2 ») fond en partie, entraînant le relâchement dans l'environnement d'une « faible » quantité de radioactivité.
Cet accident est classé au niveau 5 de l'échelle internationale des événements nucléaires (INES).

Une vanne de décharge du pressuriseur est restée bloquée en position ouverte provoquant la perte d’étanchéité du circuit d’eau primaire (deuxième barrière de protection). À la suite d’actions inadaptées, le refroidissement du cœur n’a plus été assuré, ce qui a entraîné la fusion d’une partie du combustible, c’est-à-dire la perte de la première barrière de protection. L’enceinte de confinement, troisième barrière, a joué son rôle pour limiter les rejets radioactifs.
Quand six ans plus tard, il a été possible de pénétrer dans l’enceinte, une caméra introduite dans la cuve a montré que près de la moitié du combustible avait fondu, mais qu’il n’avait pas traversé la cuve, le corium s’étant stratifié en fond de cuve sans provoquer d’explosion de vapeur,,.

L'accident a commencé par la défaillance des pompes principales d'alimentation en eau du circuit secondaire vers 4 h du matin (t = 0) le , ce qui provoqua notamment l’arrêt automatique du groupe turboalternateur, une réduction de la puissance du réacteur et le démarrage de l'alimentation de secours des générateurs de vapeur. Cependant, les vannes de l'alimentation de secours des générateurs de vapeur étaient restées en position fermée (oubli des opérateurs) à la suite de la réalisation d'un essai réglementaire effectué 2 jours plus tôt (les vannes n'ont été ouvertes manuellement que huit minutes après le début de l'accident). Ceci modifia les conditions thermodynamiques dans les générateurs de vapeur, en diminuant leur capacité à refroidir le réacteur nucléaire, provoquant une augmentation de la pression du circuit primaire. Afin d'écrêter cette pression, la vanne de décharge du pressuriseur s'ouvrit automatiquement (t = 3 s), malgré cela la pression a continué à augmenter jusqu'à l'arrêt automatique du réacteur pour pression élevée à t = 8 s.
La vanne de décharge du pressuriseur aurait dû ensuite se fermer dès la pression redescendue, mais malgré l’ordre automatique de fermeture, elle est restée ouverte. Facteur aggravant, le voyant en salle de commande montrait cette vanne de décharge du pressuriseur en position fermée, mais en fait ce voyant indiquait juste que l'ordre de fermeture avait été donné, et non pas que la vanne était fermée. Par conséquent, le circuit primaire continua de se vider et de se dépressuriser par cette vanne de décharge restée ouverte (perte de la seconde barrière de confinement).
La baisse de pression dans le circuit primaire entraîna le démarrage automatique du circuit d'injection de sécurité (t = 2 min 1 s), chargé d'amener de l'eau dans le circuit primaire. Cependant, en même temps que la pression baissait, des « vides » (de la vapeur d’eau en fait) se formaient dans la cuve et dans le circuit primaire. Ces vides générèrent des mouvements d’eau complexes qui, paradoxalement, remplirent et maintenaient le pressuriseur en eau, celui-ci se trouvant à ce moment plus froid que la cuve du fait :
Cet écart de température a empêché la vidange du pressuriseur vers le reste du circuit primaire et notamment la cuve, malgré son positionnement en point haut (par passage sous vide de la même manière qu'un « abreuvoir à oiseaux ») , les « vides » (vapeur d'eau) présent dans la cuve et le reste du circuit primaire bloquant la vidange du pressuriseur.
L’opérateur, ayant l'information que le pressuriseur était plein, en conclut par erreur que tout le circuit primaire l’était également et arrêta manuellement le circuit d’injection de sécurité (t = 4 min 38 s) afin d'essayer de limiter la montée du niveau du pressuriseur, en application des procédures. Peu de temps après, l’eau commença à bouillir à la sortie du cœur (t = 5 min 30 s).
Parallèlement, un autre problème était diagnostiqué par les opérateurs :
Le mélange de vapeur et d’eau qui s’échappait de la vanne de décharge du pressuriseur restée ouverte, était dirigé vers un réservoir de décharge. À t = 14 min 48 s, le sur-remplissage de ce réservoir provoqua la rupture des disques de décharge prévue pour cette situation. À partir de cet instant, le circuit primaire se vida directement dans l’enceinte de confinement (troisième et dernière barrière de confinement de la radioactivité),.
En salle de commande les opérateurs étaient dépassés par le flux d'alarmes et n'étaient pas en mesure de comprendre exactement ce qui se passait (situation très complexe, stress, pression, trop de monde en salle de commande, etc.). Des voyants reflétaient l'action demandée et non l'état de l'équipement commandé, or les procédures liées aux « événements » nécessitaient la compréhension de la situation.
Après plus d’une heure de lente augmentation de la température et de vidange du circuit primaire, les pompes du circuit primaire commencèrent à vibrer parce qu'elles pompaient plus de vapeur que d’eau. Elles furent alors arrêtées (t = 1 h 13 pour la première, t = 1 h 40 pour la seconde), car selon les lois de la physique, la convection naturelle permettrait à l'eau de continuer à circuler par thermosiphon. Cependant, la convection naturelle fut bloquée par l’hydrogène déjà piégé dans les générateurs de vapeur, la chaleur n’était donc pas évacuée par les générateurs de vapeur et l’évaporation de l’eau du circuit primaire s’accéléra encore. À cet instant, le haut du cœur commença à être découvert. La température élevée (>1 200 °C) favorisa la réaction entre la vapeur et le revêtement en zirconium du combustible, qui forma de l'hydrogène en dégradant fortement la gaine du combustible jusqu'au relâchement d’éléments radioactifs dans le circuit primaire (perte de la première barrière de confinement).
Une vanne d’isolement située en aval de la vanne de décharge du pressuriseur fut fermée, ce qui arrêta la vidange du circuit primaire (t = 2 h 22). Ensuite, les opérateurs décidèrent également de démarrer une pompe du circuit primaire (t = 2 h 54) alors qu’il ne devait rester environ qu’un mètre d’eau dans le cœur (contre plus de quatre en situation normale) : le mouvement de brassage dégrada fortement les éléments combustibles, en grande partie émergés et extrêmement chauds (voire déjà partiellement fondus).
La pompe fut finalement arrêtée (t = 3 h 12), et les opérateurs décidèrent de rouvrir, pendant 5 minutes, la vanne d’isolement qui fermait la soupape du pressuriseur. Le circuit primaire recommença à se vider dans l’enceinte, mais cette fois-ci avec de l’eau très fortement contaminée à la suite de la dégradation des éléments combustibles, ce qui déclencha les alarmes d’irradiation. Comprenant alors que le cœur avait été fortement dégradé et que le circuit manquait donc sûrement d’eau, les opérateurs remirent en service l’injection de sécurité (t = 3 h 20), et purent ainsi remettre sous eau le cœur, en partie fondu. En faisant cela, ils prenaient le risque de générer une explosion de vapeur ou de provoquer la rupture de la cuve à cause du choc thermique, mais la cuve tint bon et la remise sous eau du cœur (t = 3 h 45), stabilisa la situation.
Le circuit d’injection de sécurité envoyant de l’eau à très haute pression dans le circuit primaire, il fallut, dans les heures qui suivirent (entre t = 5 h et t = 9 h), ouvrir et fermer successivement la vanne d’isolement afin de maintenir une pression acceptable (ce qui était le rôle de la soupape défaillante normalement). Ceci amena encore à relâcher des centaines de mètres cubes d’eau contaminée dans l’enceinte de confinement.
Dernier événement majeur (t = 9 h 50) : l’hydrogène, généré par la réaction entre la vapeur d’eau et le zirconium de la gaine des crayons de combustible puis relâché dans l’enceinte de confinement, explosa, mais sans faire de dégâts particuliers (le seul indice de cet événement fut la détection d’un pic de pression dans l’enceinte de confinement).
Pendant les heures qui suivirent, les opérateurs tâchèrent de remplir le circuit primaire en eau, ce qui fut difficile puisque de grandes quantités d’hydrogène étaient piégées dans les points hauts des générateurs de vapeur. La situation se stabilisa, et les pompes du circuit primaire furent remises en service (t = 15 h 49). L’état du réacteur était très dégradé, mais permettait néanmoins de refroidir le combustible.
Deux jours plus tard, la Commission de réglementation nucléaire des États-Unis (NRC) annonçait la possibilité d'une fusion du cœur du réacteur nucléaire. Plus de 200 000 personnes fuirent la région, et par mesure de précaution, le gouverneur de l'État de la Pennsylvanie fait évacuer les enfants d'âge préscolaire et les femmes enceintes à huit kilomètres de la centrale pour éviter qu'ils soient incommodés par l'échappement de gaz radioactifs. Deux jours après l'accident, 90 % des résidents de la municipalité de Goldsboro (Pennsylvanie), située à moins de deux kilomètres de la centrale, étaient partis.
Le cependant, le directeur de la régulation des réacteurs nucléaires du NRC, Harold Denton, annonce que la situation est rétablie.
À ce sujet, le journaliste québécois Jean-Claude Leclerc se déclarait frappé que les « autorités publiques aient dû improviser des évacuations massives de population ».


Au terme d'années d’études sur cet accident, il est révélé que :
Bien qu'endommagée, la cuve n'a pas été percée et la partie fondue du cœur est restée contenue dans la cuve ; de même, malgré des déformations importantes et fusions partielles, les cuves internes n'ont pas été détruites.
En dépit de cet enchaînement de défaillances mécaniques, d’erreurs humaines et de défauts de conception néanmoins, l’enceinte de confinement est restée intègre ; le relâchement de produits radioactifs dans l’environnement est ainsi resté faible. Il est cependant difficile de trouver des chiffres fiables pour le quantifier (car ils n'ont pu être mesurés sur le moment).
Par ailleurs, cet accident amena les exploitants de centrales de conception similaire à de profondes réflexions (notamment EDF en France, même si ses centrales présentent quelques différences). L'accident de Three Mile Island (TMI) a été très instructif et a permis de faire avancer la sûreté, en particulier de souligner l'importance de la « conduite par état ». Les opérateurs de TMI disposaient, en effet, de procédures à appliquer en fonction d'incidents spécifiques (on parle de « procédures événementielles »). En situation réelle, cependant, ils n’ont pas été capables de faire un diagnostic, ce qui a, de ce fait, aggravé la situation (arrêt de l’injection de sécurité, redémarrage des pompes primaires avec un cœur émergé, etc.).
Toutes les procédures de conduite accidentelle ont donc été revues avec une approche totalement nouvelle : ne plus demander aux opérateurs de comprendre l'état de la situation (car, aussi compétents soient-ils, la marge d'erreur reste significativement importante), mais leur donner des actions à faire en fonction des paramètres dont ils disposent : pression, température, niveaux d’eau, taux de radioactivité ou autres. Cette approche, qualifiée d'« approche par état », est aujourd’hui utilisée dans de très nombreuses centrales nucléaires de par le monde. Il a également été décidé d'assurer une « redondance humaine » des opérateurs par un ingénieur de sûreté ayant pour mission d’assurer une vérification indépendante de la pertinence de la stratégie de conduite mise en œuvre.
Situation présente :
L’accident est intégré dans les programmes de formation nucléaire de la NRC : une longue étude présentée en 2007 se conclut par un document de formation de l’USNRC présentant une chronologie détaillée de l'accident :


Selon l'Agence internationale de l'énergie atomique, l'accident de Three Mile Island a été un tournant considérable dans le développement mondial de l'industrie nucléaire.
Three Mile Island a conduit les États-Unis à abandonner la construction de nouvelles centrales, à la suite d’une décision prise par le président Jimmy Carter. Un chantier de centrale est abandonné en 1981 sur le site nucléaire de Phipps Bend.
Jusqu'en 1989, les procédures qui avaient été utilisées pour la conduite en situation incidentelle et accidentelle étaient fondées sur une approche de type « évènementiel ». Cette approche consiste, pour des évènements initiateurs conventionnellement sélectionnés, à définir par avance les actions de conduite nécessaires au maintien des fonctions de sûreté (sous-criticité, évacuation de la puissance, confinement des matières radioactives). À partir d'un diagnostic initial unique, les opérateurs sont donc amenés à engager une stratégie de conduite prédéterminée. L'accident qui a affecté le la centrale de Three Mile Island (TMI) a mis en évidence les limites de la conduite évènementielle. Celle-ci ne permet en effet pas de gérer les situations où se trouvent cumulées, en plus de l'évènement initiateur, des défaillances humaines ou matérielles. EDF a de ce fait décidé d’abandonner progressivement l’approche « évènementielle » pour passer à une approche nouvelle, dite « par états » (APE). Cette dernière consiste à adapter la conduite de l’installation à l’état réel de la chaudière. L’état de la chaudière est défini à partir de six « fonctions d’état » qui recouvrent les trois fonctions de sûreté susmentionnées. La conduite APE a ensuite pour objectif de restaurer la ou les fonctions d’état dégradées, selon une grille de conduite qui définit les priorités.

Plusieurs rapports scientifiques concluent que cet accident n'a provoqué ni décès, ni blessures ou effets néfastes sur la santé :
D'autres rapports affirment des incidences sur la santé publique, sans qu'on sache si elles sont réelles ou du fait d'un biais (une plus grande surveillance entraîne la détection de cas qui autrement seraient passés inaperçus) :

L'incident a été largement diffusé au niveau international, et a eu des effets profonds sur l'opinion publique et le renforcement du mouvement antinucléaire dans le monde et en particulier aux États-Unis.
L'opinion publique européenne a pris conscience que les accidents nucléaires constituent un risque réel pouvant se concrétiser à tout moment. Elle a marqué l'élargissement du débat sur la sûreté nucléaire du domaine des scientifiques et des industriels à celui des citoyens et des politiques.
Le Syndrome chinois, un film sur une catastrophe nucléaire, sorti seulement 12 jours avant l’accident, a connu un grand succès aux États-Unis.
L'accident a inspiré les paroles de la chanson Roulette de Bruce Springsteen et Three mile smile du groupe Aerosmith.
Le site ainsi que l'accident sont mentionnés dans le roman Les Robots et l'Empire d'Isaac Asimov.