La G@zette Nucléaire sur le Net! 
N°26/27
THREE MILE ISLAND
8. Analyse complémentaire

     Dans ce chapitre, nous allons tenter d'aller plus loin dans l'analyse de l'accident. Mais, compte tenu de la complexité et aussi de l'importance de ce qui s'est passé aux États-Unis, nous nous proposons de revenir sur ce sujet dans les prochains numéros.
     Affirmons tout d'abord qu'un accident comparable à celui de T.M.l. peut arriver en France plus d'une fois dans les cinq ans à venir. A l'appui de cette affirmation, nous allons, dans ce numéro, traiter du scénario et des responsabilités impliqués, en réservant pour une prochaine étude de revenir sur la conception de l'exploitation des centrales mises en cause par l'analyse de T.M.I.
     Signalons également que nous essaierons de publier prochainement un «bêtisier TMI» plus complet que celui qui figure dans ce numéro. Ceci devrait permettre de remettre à leur place dans l'esprit du public un certain nombre de vedettes et de "compétences" dont les affirmations péremptoires-pourraient encore inspirer confiance.
     Enfin, remarquons que les autorités françaises semblent faire leur possible pour oublier l'accident en regrettant que les Américains aient fait tant de bruit autour. Tirant l'enseignement, il y a maintenant la volonté d'organiser préventivement l'information de façon à avoir une information officielle et unique: voir à ce sujet le rapport Augustin du 4.6.79 (L'accident nucléaire de TMI, Mission d'études sur le déroulement de la crise).
     Mais abordons maintenant les analyses physiques.		 Ce qui s'est passé dans la centrale de Three Mile Island
     S'appuyant sur:
 · des télex officiels largement diffusés en France auprès des spécialistes,
 · les courbes enregistrées à TMI durant l'accident et diffusées aux missions étrangères par la N.R.C. au milieu des 800 pages de sténotypie des réunions (rapportées par la «mission spéciale» du GSIEN à TMI),
 · les interprétations physiques des spécialistes, la connaissance des centrales PWR et leurs conditions d'exploitation.
     Nous allons essayer de préciser et rectifier les interprétations données dans le rapport officiel de la mission Roche-Cayol (voir plus haut). Nous nous excusons par avance du caractère technique de ce qui suit, mais nous pensons indispensable de donner ces informations ... sachant que la Gazette peut apporter des précisions, y compris aux technocrates qui forment une partie de ses lecteurs!
     Les cinq graphiques joints, réalisés à partir des courbes dont on notera qu'elles n'ont pas été diffusées par le rapport officiel, permettent de mieux apprécier et interpréter la séquence des événements. On peut distinguer quatre phases:
 · les deux premières minutes: initiation de l'accident (figure 1), 
 · les seize premières minute : «suivre la notice» (figures 2 et 3), 
 · les seize premières heures: une improvisation... qui fnit bien (figures 4 et 5), 
 · du 28 mars à nos jours: à quand l'arrêt sûr?
p.13
Phase 1 
Initiation de l'accident (figure 1):


Figure 1

     Le manque d'alimentation normale en eau secondaire des GV entraîne le déclenchement (c'est-à-dire la fermeture) de la turbine. Une montée très rapide de la pression primaire entraîne l'ouverture automatique de la vanne de décharge du pressuriseur vers t = 3 à 6 secondes. En effet, le manque d'alimentation en eau aux GV ne permet pas un transfert de chaleur suffisant entre primaire et secondaire.
     Vers t = 9 à 12 s, l'arrêt d'urgence automatique du réacteur permet d'arrêter la montée de pression primaire: avant t = 15 s, cette pression, en chutant, passe en-dessous du seuil de refermeture de la soupape de décharge du pressuriseur. Or cette soupape ne se ferme pas: "dès t = 15 s, la situation est ainsi celle d'un "accident de perte de réfrigérant primaire par brèche intermédiaire en phase vapeur au pressuriseur"
     Le terme intermédiaire caractérise la taille de la brèche dans la classification des accidents «pris en compte» à la conception, par comparaison à la «grosse brèche» qui caractérise le dimensionnement de l'enceinte. 
     La figure 1 montre qu'à t = 15 s, le niveau secondaire aux GV n'a baissé que de 2 m sur les 10 m et plus que comportent leurs faisceaux de tubes (la gamme de mesure, elle, se limite à - 4 m au-dessous du niveau normal): bien qu'il en résulte une diminution de la surface d'échange utile, la pression secondaire aux GV n'a pas encore baissé. Le manque de réserve d'eau des GV de TMI n'a donc pas joué dans l'initiation de l'accident de brèche primaire intermédiaire.

      On notera également que les pompes d'alimentation de secours des GV n'atteignent leur plein régime qu'à t = 30 s: les vannes manuelles restées fermées par erreur sur les circuits d'alimentation de secours auraient-elles été ouvertes dès t = 0, l'alimentation de secours aurait été sans effet sur l'ouverture et la non-fermeture de la soupape de décharge du pressuriseur. Ainsi, le manque d'eau alimentaire de secours n'a pas joué à TMI dans l'initiation de l'accident de brèche primaire intermédiaire.
     Les spécialistes français, dans leur totalité, se sont mis d'accord sur cette interprétation, avancée semble-t-il par EDF. Babcock et Wilcox, constructeur des générateurs de vapeur de TMI, soulignait le premier point à la revue américaine Nucleonics Week dès avant le 26 avril: «La pression initiale s'est maintenue dans les GV durant 1,5 à 2 minutes». L'EPRI, Institut de Recherche sur l 'Énergie Électrique, financée par une majorité de producteurs d'électricité américains, et qui fait techniquement autorité aux USA, partagerait cette analyse. La NRC en resterait à sa première interprétation.
     On peut noter également que cette première phase se termine par le démarrage automatique de l'injection de sécurité à  t = 2 mn sur un signal «Basse pression primaire» aux environs de 110 bars (1.600 psi), tandis que le «niveau pressuriseur» croit jusqu'à une valeur proche de sa valeur initiale.

Phase 2
«Suivre la notice» (figures 2 et 3)
     On remarque, sur les figures 2 et 3, les points d'intervention des opérateurs qui ont porté sur l'injection de sécurité et sur l'alimentation de secours des GV.
     Sur l'injection de sécurité, l'action a été indiscutablement très néfaste globalement, empêchant un refroidissement nécessaire du réacteur aussi bien que la compensation du volume de vapeur évacué par la soupape coincée ouverte. (Ce deuxième point n'apparaîtra qu'au delà de t = 1 h 40, au début de la troisième phase).


Figure 2                    Figure 3
p.14
     La figure 2 montre qu'à t = 6 mn, l'eau primaire atteint l'ébullition massive dans la moitié chaude du circuit. Cette situation, qui durera jusqu'à t = 14 h 30, conduira à un assèchement localisé du combustible qui, alors non refroidi, verra sa température croître dangereusement.
     Sur l'alimentation de secours des GV, l'action a été bénéfique, stoppant la chute de la pression secondaire des GV avant qu'elle ne fut réellement basse (figure 5 à t = 8 minutes) et arrêtant la montée en température de l'eau primaire. On notera également que les «niveaux» secondaires aux GV sont restés «bas», ce qui montre que cette situation n'empêche pas un refroidissement suffisant du primaire (voir phase 1).
     Le «niveau» au pressuriseur, observable sur la figure 2, n'a ici, en réalité, que peu de signification. Son évolution a néanmoins joué un rôle déterminant dans le déroulement de l'accident: c'est en effet essentiellement sur celle-ci que s'est basée l'intervention des opérateurs sur l'Injection de Sécurité, comme le confirme la figure 2. Les opérateurs ont certainement suivi en cela la notice mise à leur disposition pour les situations accidentelles de la chaudière, appelée «procédure de conduite post-accidentelle». Nous ne connaissons pas la "procédure" en usage à TMI, nous savons seulement que sur la procédure en cours d'élaboration pour les centrales françaises qui vont démarrer sont signalés comme «phénomènes à éviter»:
 · la rupture de la membrane d'éclatement du ballon de décharge (rupture de la seconde barrière entre les produits radioactifs et l'environnement, la première étant les gaines du combustible et la troisième l'enceinte de confinement),		  · la cavitation des pompes primaires,
 · le remplissage du pressuriseur après démarrage de l'I.S.
     On ajoutera que, selon l'EPRI, dont Nucleonics Week cite l'analyse détaillée dans son numéro du 21 juin, les opérateurs «followed the book» [8].
     En réalité, les spécialistes savent depuis plusieurs années que lors d'une fuite en phase vapeur du pressuriseur, l'indication du niveau de cet appareil ne mesure plus un niveau d'eau, qui d'ailleurs n'existe plus: il s'agit d'une mesure de colonne d'eau par différence de pression entre deux points placés sur une même verticale d'un bidon. Dans le cas présent, le bidon n'est plus qu'une tuyauterie traversée de bas en haut par un débit de vapeur ou d'émulsion. On dispose donc d'une mesure de débit non étalonnée. 
     L'opérateur, qui n'en croyait pas ses yeux, voulut néanmoins éviter le remplissage du pressuriseur et le remplissage du ballon de décharge: si le «niveau» avait effectivement représenté le niveau de l'eau, il importait donc d'arrêter d'injecter dans le circuit primaire un fort débit d'eau à pression élevée, et de se borner à compenser la perte d'eau par la brèche. 
     A la fin de cette seconde phase, la rupture de la membrane du ballon de décharge était un échec pour l'opérateur, qui néanmoins avait retrouvé son «niveau» de pressuriseur et voyait décroître pression et températures primaires...
p.15
8. «Suivaient le livre».
Phase 3 
Une improvisation ... qui finit bien (figures 4 et 5)

Figure 3

     Le primaire était quand même en ébullition dans sa masse entre le cœur et les générateurs de vapeur. Ainsi les choses se sont-elles gâtées une heure après la fin de la seconde phase: les pompes primaires se sont mises à vibrer dangereusement. Ces vibrations étaient provoquées par la «cavitation»[9], fonctionnement perturbé par la présence de poches de vapeur dans les pompes. Les opérateurs ont ainsi arrêté les unes après les autres les pompes de la boucle B, puis celles de la boucle A.
     Etait-ce écrit sur leur «procédure»? Nous ne le savons pas. Ça l'est sur les «procédures» françaises. La NRC laisse entendre que ce n'était pas préconisé sur la «procédure» de TMI: «seule l'enquête détaillée, actuellement effectuée par la NRC, permettra de préciser les raisons exactes de l'arrêt des pompes, qui apparaît dès aujourd'hui comme une grave erreur d'appréciation», lit-on en effet dans le rapport officiel «RocheCayol ».
     Le Directeur de la Qualité et de la Sécurité industrielles au ministère de l'Industrie, Monsieur François Kociusko-Morizet a confirmé cette thèse de la NRC au Comité «Veil» pour l'«information» sur l'énergie nucléaire, le 7 mai dernier: il s'est d'abord appliqué à démontrer que l'accident a véritablement commencé au moment où, l'inertie des GV Babcock étant insuffisante, l'alimentation de secours des GV faisait défaut. Il a ensuite estimé que «l'exploitant avait pu avoir peur de détériorer des pompes qui coûtent très cher, ou de casser ces pompes, mais pouvait prendre le risque d'en casser une en attendant...»

suite:

Figure 5

     D'autres spécialistes estiment que ces pompes avaient du être arrêtées beaucoup plus tôt, et que les laisser fonctionner dans un primaire diphasique risquait d'entraîner leur rupture et une seconde brèche primaire, plus difficilement maîtrisable encore que la première...
     On ne sait donc pas trop ce qui se serait passé si les opérateurs n'avaient pas arrêté ces pompes, on sait que les ayant arrêtées, ils ont vu la situation se détériorer à un point que la «procédure» était alors totalement dépassée et qu'il ne restait plus que l'improvisation pour éviter le pire: la fusion du cœur.
     En effet, comme le montrent les figures 4 et 5:
 · plus aucun échange n'a eu lieu entre primaire et secondaire, entraînant la chute de pression dans les GV et la montée de leurs niveaux,
 · l'eau primaire est devenue très hétérogène, la moitié comprise entre les GV et le cœur (branches froides) devenant de plus en plus froides et la moitié comprise au-dessus du cœur dépassant la limite supérieure de la gamme de mesure de températures.
     Toute circulation était alors interrompue dans l'ensemble du circuit primaire, interdisant un bon refroidissemen du cœur. Seule une convection localisée dans la cuve pouvait intervenir, convection d'une eau saturante, comme le montre la figure 4, et ne pouvant donc éviter l'assèchement localisé du combustible. Un dénoyage d'une partie importante du cœur est certainement intervenue au cours de cette phase, dont la période la plus critique semble avoir eu lieu vers t = 8 heures: eau primaire très chaude, dépressurisation très importante, d'où importante vaporisation et assèchement étendu sur les gaines du combustible.

p.16
9. Cavitation: formation de gaz (donc cavités) dans un liquide en mouvement (se produit quand la pression décroît).
     Les opérateurs, s'appliquant apparemment à conserver un niveau de pressuriseur visible en réduisant l'Injection de Sécurité, ont mis en œuvre la méthode expérimentale en jouant sur l'isolement de la ligne de décharge du pressuriseur:
 · fermer la «brèche» ralentissait la vaporisation et réduisait le volume de la bulle de vapeur accumulée dans le dôme de l'enceinte et dont on pouvait craindre qu'elle n'atteigne le cœur qu'elle aurait asséché irrémédiablement, 
 · ouvrir la brèche évacuait de l'énergie et pouvait permettre d'espérer atteindre les conditions de refroidissement du primaire par le circuit de réfrigération à l'arrêt. 
     Ces tentatives n'ont pas abouti. Cependant, pour des raisons encore à éclaircir, la circulation naturelle semble s'être rétablie au-delà de t = 10 heures. La décharge des accumulateurs dans la cuve y a sans doute contribué. L'homogénéisation du circuit primaire a alors été favorisée par une nouvelle fermeture de la «brèche» vers t = 13 h 30, et les opérateurs ont pu remettre en service sans dommage les pompes primaires de la boucle A: le refroidissement par le générateur de vapeur A mettait fin à cette phase périlleuse.

Phase 4 
A quand l'arrêt sûr?
     Nous ne nous étendrons pas dans la présente Gazette sur cette dernière phase, non moins périlleuse que la précédente,... et qui n'est pas terminée aujourd'hui, à notre connaissance.

      Il s'est agi d'abord d'éliminer la «bulle», d'hydrogène, de gaz de fission radioactifs et de vapeur, qui s'était constituée dans la partie supérieure de la cuve et qui mettait en péril le bon refroidissement du cœur.
     Il s'est agi ensuite de recombiner l'hydrogène accumulée dans l'enceinte, afin d'éviter une explosion d'hydrogène plus puissante que celle qui s'était produite à t = 10 heures au cours de la phase 3 (voir figure 5), qui aurait pu, fissurant l'enceinte, conduire également à la catastrophe, par relâchement massif de radioactivité dans l'environnement.
     Il s'agit enfin d'amener le circuit primaire dans une configuration «d'arrêt sûr», malgré les défaillances de matériels qui n'ont pas été conçus pour fonctionner dans de telles conditions (injection de sécurité, instrumentation, générateurs de vapeur...) ou qui étaient défaillants avant l'accident (circuit de refroidissement à l'arrêt fuitard) malgré les risques de manque d'alimentation électrique, malgré les multiples fuites d'une eau primaire dont le niveau de radioactivité rend les interventions très problématiques voire impossibles, malgré les tonnes d'effluents liquides qui sont dans le même cas, etc.
     Un bilan des rejets dans l'environnement ne pourra être fait qu'après la fin de cette quatrième phase. Il semble que pour ce qui est du cœur, ou de ce qu'il en reste, il soit désormais à l'abri de tout risque de fusion.
p.17

Figure 5

LES VÉRITABLES RESPONSABILITÉS IMPLIQUÉES

     La NRC n'a pas craint d'insister sur les «erreurs humaines» commises à son avis dans la salle de commande de TMI. Sans vouloir trop préjuger de ses mobiles, on doit préciser que:
 · le terme «erreur humaine» est très ambigü et a été facilement transformé en «fautes des opérateurs», «d'ailleurs insuffisamment formés dans le cas particulier de TMI»,
 · le terme «erreur humaine» tend à mettre hors de cause la machine, c'est à dire essentiellement sa conception... qui est néanmoins l'œuvre d'autres hommes,
 · le terme «erreur humaine» tend enfin à faire croire que les opérateurs ont agi en tout de leur propre initiative. Or nous venons de voir qu'ils se sont avant tout appliqués à suivre les «procédures» rédigées antérieurement par des spécialistes ayant étudié le problème à tête reposée!
     La NRC, en réalité, est ici juge et partie: n'est-ce pas elle qui a contrôlé la bonne conception de la chaudière de TMI? N'est-ce pas elle qui a contrôlé la bonne rédaction des procédures postaccidentelles, qui a réglementé la formation des opérateurs?
     Si cette formulation a été reprise par Babcock, le constructeur de la chaudière, par Giraud, ministre français de l'industrie, et par ses hommes, enfin par une certaine presse ostensiblement pronucléaire, ce n'est pas par hasard, c'est parce qu'ils y ont trouvé leur compte: les officiels français n'ont pas cru devoir démentir cette formulation, eux qui ont eu tout le temps d'apprendre, depuis début avril, qu'elle était fallacieuse.

      Voyons donc où sont les véritables défaillances:
En phase 1
 · manque d'alimentation normale des GV: défaut banal, à mettre au compte de la fiabilité des matériels ou des circuits,
 · manque d'alimentation de secours: faute grave, mais n'a pas joué de rôle matériel à TMI. Ce n'est pas une faute d'opérateur, c'est l'accumulation d'une faille antérieure, dans les procédures d'entretien et de passage d'un quart au suivant, et d'une faute de conception de la salle de commande, qui aurait dû signaler de façon aveuglante l'indisponibilité d'un circuit essentiel pour la sûreté,
 · non fermeture de la soupape de décharge du pressuriseur: défaillance de matériel, ou de son circuit de commande.
En phase 2 
 · indication sans signification de la mesure de «niveau» du pressuriseur: faute de conception, existant sur toutes les chaudières nucléaires à eau «pressurisée», PWR, quel que soit leur constructeur,
 · isolement d'enceinte non actionné par la mise en service de l'I.S., comme se serait le cas en France par exemple: défaut de conception particulière à la chaudière de TMI et probablement à d'autres chaudières nucléaires, mais probablement aussi défaut de «procédure» avant d'être une faute d'opérateur!
 · arrêt de l'injection de sécurité, et remise en route seulement à trop faible débit: action due au défaut de représentativité de la «mesure de niveau» du pressuriseur, soit un défaut de conception, annulé avec un défaut de procédure, comme nous l'avons vu. Monsieur François Kociusko-Morizet lui-même reconnaissait, le 7 mai, qu'«il est difficile de reprocher à l'opérateur» d'avoir arrêté l'Injection de Sécurité. La formation des opérateurs est sans doute en cause, néanmoins elle l'est pour la quasi-totalité des opérateurs en centrales nucléaires dans le monde. Une formation suffisante requiert des efforts d'étude du même ordre que la rédaction de bonnes «procédures», et des efforts d'organisation supérieurs encore: les autorités de sûreté sont autant impliquées par une insuffisance que par l'autre.
p.18
En phase 3 
 · l'arrêt des pompes primaires semble ne pas avoir été une erreur. En France, selon des procédures en cours, cela aurait été une faute de les arrêter si tard. Il s'agit donc soit d'une action préconisée par une «procédure» en cours à TMI, soit d'une action d'improvisation dans une situation non prévue par les «procédures». Dans les deux cas, cette action semble avoir été positive, en dépit de ses conséquences immédiates, qui n'ont été que la mise en évidence du manque d'eau dans le circuit primaire, résultant des actions antérieures, 
 · quant aux manœuvres se situant entre t = 1 h 40 et t = 16 h, nous avons vu qu'elles avaient été improvisées, ce qu'il n'était pas admis jusqu'alors d'exiger d'un opérateur de centrale nucléaire dans de telles conditions. On notera d'ailleurs que les spécialistes de la NRC sont arrivés en salle de commande vers t = 7 h, et que les ingénieurs de chez Babcock, peu après, cherchaient toujours dans les « tables» si le primaire était ou non à l'état diphasique...

En phase 4 
 · la bulle est le résultat des fautes antérieures auxquelles s'ajoutent les erreurs d'appréciation dans des calculs qui n'avaient pas prévu un tel relâchement de gaz de fission par les éléments combustibles. Les difficultés d'évacuation sont liées à la conception même de la chaudière: configuration du circuit primaire qui permet le passage d'une bulle dans le dôme de la cuve. Il s'agit donc bien ici d'une faute de conception, 
 · l'explosion d'hydrogène n'a heureusement pas dépassé la pression de calcul de l'enceinte (environ 5 bars). Néanmoins une explosion plus puissante n'a été évitée que par l'ardeur mise à approvisionner la centrale en recombineurs d'hydrogène. Il y a eu là une faute d'organisation.

 CONCLUSION provisoire
     Cette rapide revue des défaillances mises en évidence à TMI montre qu'en ce qui concerne les 7 défaillances vraiment décisives: indisponiblité de l'alimentation de secours, non fermeture de la soupape de décharge, non représentativité du niveau du pressuriseur, non isolement de l'enceinte durant les 5 premières heures, arrêt ou réduction de l'I.S., formation d'une bulle dans la cuve, et accumulation d'hydrogène dans l'enceinte:
 · la conception de la chaudière est en cause 5 fois, 
 · les procédures de conduite 3 fois, 
 · l'organisation immédiate de l'exploitation et de la sûreté 2 fois, 
 · la formation des opérateurs 1 fois, 
 · la défaillance du matériel 1 fois. 
     Pour ce qui est de l'arrêt des pompes primaires, la Gazette informera ses lecteurs quand tous les spécialistes seront tombés d'accord, nous estimons aujourd'hui que ce n'était pas une mauvaise manœuvre.

Three Mile Island est-il donc possible en France? 
     Pour ce qui est de la probabilité, nous l'avons indiquée au début de ce papier. 
Pour ce qui est de la gravité, nous devons d'abord dire que les relâchements de radioactivité à l'extérieur ont été d'ores et déjà supérieurs à ce qui avait été annoncé jusqu'ici, la NRC l'a récemment admis. Nous devons dire ensuite que le relâchement de radioactivité à l'intérieur de l'enceinte dépasse ce qui avait été prévu en France pour l'accident «enveloppe», dit «de dimentionnement de l'enceinte». Plusieurs éléments permettent d'affirmer que le même accident aurait pu être en France plus grave qu'il ne le fut à TMI. Nous reviendoms là-dessus dans une prochaine Gazette. 
     Pour ce qui est du scénario, nous pouvons affirmer dès aujourd'hui que sur les 7 défaillances citées ci-dessus, seul le non-isolement de l'enceinte durant les 5 premières heures ne se serait pas produit en France. 
     Quand on sait que la majeure partie des rejets radioactifs dans l'environnement de TMI a eu lieu depuis l'isolement de l'enceinte, selon un rapport récent de la NRC elle-même, on «comprend» le silence total des autorités françaises sur l'aspect dit «technique» de l'accident de Three Mile Island....

A suivre...
p.19
Retour vers la G@zette N°26/27