Three Mile Island (28/03/1979, USA, INES Niv.5)
Résumé
Abusés par une instrumentation ambiguë, les opérateurs de la seconde unité de Three Mile Island (TMI2) ont mal interprété ce qui se passait dans le réacteur et ont, deux heures durant, pris des mesures aggravantes qui ont transformé un incident banal en accident sérieux et conduit à la destruction du cœur du réacteur, dont un tiers a fondu.
Si la centrale – mise en service l'année précédent l'accident – a du être définitivement arrêtée, l’accident n’a pourtant causé aucune victime et n’a eu aucun impact significatif sur l’environnement, ce qui démontre spectaculairement la robustesse de la conception des réacteurs à eau ordinaire en matière de sûreté.
L’accident a été riche d’enseignements : importance de la défense en profondeur, importance du facteur humain, dispositifs d’aide à l’opérateur, hiérarchisation des alarmes, et rôle essentiel, en dernier ressort, de l’enceinte de confinement, barrière ultime entre la radioactivité du cœur et le monde extérieur.
Tous les réacteurs du monde ont profité des enseignements tirés de l’accident de TMI2. On a pu estimer que la prise en compte de ces leçons a réduit d’un facteur 10 le risque de fusion de cœur dans les réacteurs occidentaux « de deuxième génération ».
Le bâtiment réacteur a été complètement nettoyé, ce qui constitue également une « première » à valeur démonstrative.
Description du site
Three Mile Island est une île au milieu de la rivière Susquehanna, en Pennsylvanie, à 15 km d’Harrisburg, 60 000 habitants, la grande ville la plus proche et centre d’une région urbaine avoisinant les 500 000 habitants.
La centrale nucléaire implantée sur cette île comportait deux tranches REP de 800 et 900 MWe, toutes deux de conception Babcock & Wilcox mais qui présentaient entre elles des différences sensibles, notamment au niveau de l’îlot conventionnel et de la salle de commande.
Les deux seules différences significative entre l’îlot nucléaire Babcock & Wilcox et l’îlot nucléaire Westinghouse des REP construits en France à cette époque sont le nombre de boucles primaires (2 pour B&W et 3 pour W) et le choix d’un générateur de vapeur à tubes droits à circulation simple au lieu de tubes en U à recirculation.
En cas d’interruption de son alimentation en eau, un GV à tubes droits s’assèche en deux minutes alors que l’assèchement d’un GV à tubes en U prend dix minutes, mais cette différence n’a pas été importante dans le déroulement de l’accident.
La tranche TMI1, toujours en fonctionnement, avait été mise en service en 1974 tandis que TMI2 avait été mise en service industriel le 30 décembre 1978 : l’inventaire en produits de fission à vie longue du cœur de TMI2 était donc encore assez faible à l’heure de l’accident.
Type et caractéristiques du réacteur
Three Mile Island 2 est un réacteur à eau pressurisée (REP) construit par Babcock & Wilcox, semblable à l'unité 1 à la différence que TMI-2 délivre 906 MWe, par rapport à TMI-1, qui délivre 802 MWe.
La tranche accidentée ne figure plus sur la table AIEA des réacteurs en fonction au 31/12/2009.
Chronologie de l’accident
Le 28 mars 1979, vers 4 heures du matin, après un incident sur le circuit secondaire, le réacteur s’arrête automatiquement. Mais, alors que l’ordre en avait été donné et qu’elle apparaissait fermée sur le panneau de contrôle, une vanne du pressuriseur est restée ouverte.
NB : Le pressuriseur met l’eau du circuit primaire sous pression pour l’empêcher de bouillir.
Pour garder la pression du circuit primaire, l’opérateur décide d’arrêter l’injection de secours mise en route automatiquement. En 6 minutes, l’eau du circuit primaire entre en ébullition.
L’extraction de la chaleur par les générateurs de vapeur est empêchée par des vannes laissées fermées après des travaux de maintenance, alors que les consignes exigeaient qu’elles soient laissées ouvertes.
Moins de 10 minutes après que l’eau du circuit primaire a commencé à bouillir, les disques qui protègent le circuit primaire d’une montée en pression excessive, éclatent. Le circuit primaire est mis en communication avec l’atmosphère de l’enceinte du réacteur.
L’opérateur arrête les pompes qui alimentent en eau le circuit primaire, entraînant le dénoyage rapide du cœur, la fusion des gaines de combustible et la formation d’hydrogène. NB : On dit que le cœur d’un réacteur nucléaire est « dénoyé » lorsqu’il n’y a plus d’eau dans la cuve pour recouvrir (ou « noyer ») le combustible.
Ce n’est que trois heures et demie plus tard que l’opérateur s’aperçoit de la fuite du pressuriseur et qu’il reprend l’injection d’eau dans le circuit primaire.
Mais un tiers du combustible a déjà fondu, l’activité du circuit primaire est très élevée, 2 400 m3 de liquide radioactif ont été déversés dans l’enceinte de confinement, et des gaz radioactifs rejetés dans l’atmosphère.
Abusés par une instrumentation ambiguë, les opérateurs ont mal interprété ce qui se passait dans le réacteur et ont, deux heures durant, pris des mesures aggravantes, transformant un incident d’exploitation banal en accident sérieux.
Causes de l’accident
La combinaison des causes qui ont transformé un incident en accident grave est devenue un cas d’école. Les Autorités de sûreté et les exploitants ont tiré de nombreux enseignements de Three Mile Island : importance de la défense en profondeur et du facteur humain, dispositifs d’aide à l’opérateur en salle de commande, hiérarchisation et clarification des alarmes… Sans oublier le rôle capital de l’enceinte de confinement, barrière ultime entre la radioactivité du cœur du réacteur et l’extérieur.
L’analyse du déroulement a permis d’identifier les erreurs humaines commises et d’en tirer des enseignements, toujours mis en œuvre.
L’information sur l’état des matériels n’était pas claire. Depuis, les indications doivent correspondre au résultat de l’exécution d’un ordre. Plus largement, la gestion des indications en situation accidentelle priorise les informations pour que l’opérateur ne soit pas submergé par une multitude de signaux. Les interfaces Homme-machine et l’ergonomie des salles de commande ont été revues.
L’opérateur ne maîtrisait pas l’état de l’installation. En l’occurrence, les questions de la formation du personnel à la conduite en situation dégradée et celles de la rédaction des consignes se sont posées. Depuis, la formation à l’exploitation en situation accidentelle sur simulateur s’est très largement développée. Les équipes d’exploitation des centrales nucléaires françaises suivent un cursus long et complet de formation avant de prendre leur fonction, avec l’obligation de recyclages et de mises à niveau régulières.
Les procédures n’ont pas été respectées. Les vannes des générateurs de vapeur n’ont pas été replacées correctement après des travaux de maintenance. Depuis, des vérifications systématiques sont exigées en fin de chantier, avant le redémarrage des matériels, selon des procédures rigoureuses d’assurance qualité.
L’opérateur a mal réagi, privilégiant la préservation de l’équipement. Dans un état qui peut conduire à un accident grave, préserver les matériels n’est pas prioritaire, contrairement à la protection des populations et de l’environnement. EDF a mis en place des Ingénieurs de Sûreté et de Radioprotection (ISR), indépendants des équipes de pilotage qui interviennent en cas d’incident ou d’accident avec une approche différente des procédures de conduite normale du réacteur.
La possibilité de formation d’hydrogène en cas de dénoyage du cœur n’était pas prise en compte à la conception du réacteur. Après l’accident, tous les réacteurs français ont été équipés de recombineurs d’hydrogène. Ces matériels (une centaine dans chaque réacteur) absorbent l’hydrogène qui se forme lors de la fusion du combustible et le transforment en eau, évitant l’accumulation d’hydrogène qui peut conduire à l’explosion (comme à Fukushima en 2011).
La nécessité de faire retomber la pression dans l’enceinte de confinement du réacteur, tout en préservant l’environnement, n’a pas été intégrée. Pour éviter une pression excessive pour l’enceinte, causée par l’accumulation de gaz pouvant être radioactifs, il est indispensable de relâcher ces gaz. Mais ce relâchement doit être maîtrisé et contrôlé. Les exploitants français ont équipé tous les réacteurs des centrales de filtres qui piègent les radio-éléments et réduisent les rejets d'iodes.
La gestion de la crise n’a pas été préparée. Pendant l’accident, les journalistes appelaient directement les équipes en salle de commande, qui avaient du mal à comprendre et gérer l’accident. Des exercices ont lieu désormais régulièrement (plusieurs par an sur chaque installation nucléaire), tant au niveau local que national et la communication est gérée par une cellule identifiée.
Conséquences de l’accident
On a estimé que les leçons tirées de TMI-2 ont permis de réduire d’un facteur 10 le risque de fusion de cœur dans les réacteurs occidentaux de 2ième génération.
L’accident n’a causé aucune victime et n’a pas eu d’impact significatif sur l’environnement.
Au lendemain de l’accident de Three Mile Island, l’industrie créa son propre « gendarme » : l’INPO (Institute of Nuclear Power Operations). Celui-ci promeut les normes les plus élevées en matière de sécurité et de fiabilité d’exploitation des centrales nucléaires. L’institut édicte des directives, des critères et des objectifs et évalue régulièrement les performances et la gestion de tous les producteurs d’électricité nucléaire. Sur la base des rapports de bonnes pratiques, l’INPO fournit un conseil et une assistance pour optimiser le fonctionnement des installations. L’institut fut une réussite telle qu’il servit de modèle à l’élaboration de la WANO (World Association of Nuclear Operators) qui définit, elle, les standards de performances de toutes les centrales nucléaires dans le monde entier.
L'accident de TMI, premier de l’industrie nucléaire civile est de loin le plus documenté, et est à l'origine de nombreux retours d'expériences.
Les conséquences d'un accident nucléaire sont évoquées plus généralement dans la page du même nom du blog.
Aucun commentaire:
Enregistrer un commentaire