«Non fonctionnement de l'alimentation de secours:
     Une perte de l'alimentation normale en eau des générateurs de vapeur est la cause initiale de l'accident. L'origine n'en est pas encore bien établie mais il s'agit d'un incident assez banal qui n'entraîne pas habituellement de conséquences fâcheuses. En l'espèce, l'alimentation de secours a été immédiatement mise en route, mais n'a pas été suivie d'effets car les vannes d'isolement de ce système d'alimentation étaient fermées, en violation des consignes d'exploitation.
     Nous sommes donc en présence d'une erreur humaine, sans qu'il soit possible de la localiser et d'en fixer la responsabilité, dans l'ignorance des consignes données par l'exploitant à l'opérateur (nous entendons par opérateur le chef de quart et son équipe).
     Mais nous sommes aussi devant une faiblesse du système de pilotage du réacteur. Il serait normal que la mise en marche des pompes de secours ouvre automatiquement les vannes si, par malchance, elles étaient fermées et ceci sans intervention de l'opérateur. Il semble bien que dans les centrales françaises des dispositions équivalentes soient prises dans ce sens.»

     Alons, Messieurs, n'écoutez pas tout ce que l'on vous raconte sans le vérifier. Non seulement il n'y a pas ouverture automatique des vannes, mais de plus, il n'y a pas de rappel en salle de commande indiquant la position de ces vannes, comme l'a d'ailleurs rappelé M. Tanguy(2) lors de son audition par le Comité d'Information Nucléaire présidé par Simone Veil.

     «C'est seulement au bout de 8 mn que l'opérateur, s'étant aperçu du défaut, a ouvert les vannes, mais les générateurs de vapeur s'étaient déjà vidés partiellement et n'avaient pu assurer un refroidissement normal de l'eau primaire. La rapidité de cet effet néfaste provient de la faible réserve d'eau des générateurs de vapeur du type Babcock et Wilcox. Les générateurs de vapeur qui équipent les centrales françaises, du type Westinghouse, possèdent une réserve d'eau cinq à dix fois plus grande et donnent davantage de temps à l'opérateur pour réparer une erreur initiale d'appréciation.»

     Deuxième erreur: l'étude des évolutions des paramètres de pression et température dans le réacteur et dans l'enceinte montre que l'incident d'origine se transforme en un défaut sur le circuit primaire si au bout de 12s la vanne de décharge du pressuriseur reste ouverte, car alors il y a rupture de la membrane de sécurité du ballon de décharge du pressuriseur.

     «Notons en passant que le défaut d'alimentation en eau du circuit secondaire a entraîné, par suite de l'insuffisance de refroidissement, une élévation de pression dans le circuit primaire, suivie de l'ouverture de la vanne de décharge du pressuriseur et, 10s environ après l'incident initial, de l'arrêt d'urgence du réacteur. Dans les centrales françaises, cet arrêt aurait été immédiatement déclenché par la défaillance du circuit secondaire.»

     Notons qu'après la tranche 5 de Bugey, donc pour tout le palier 900 MWe CPl, la chute des barres n'est plus commandée par l'arrêt turbine.

     «Non fermeture de la vanne de décharge du pressuriseur:
     Cette vanne, ouverte quelques secondes après l'incident initial, ne s'est pas refermée après la chute de la pression du primaire. Il s'est ainsi ouvert une brèche dans le circuit primaire qui n'a pas été immédiatement détectée et qui a été suivie d'une dépressurisation du primaire, d'une augmentation du débit de l'injection de sécurité, du débordement du réservoir de décharge du pressuriseur, etc.
     L'opérateur ne s'est en effet pas aperçu de cette non-fermeture. Ce n'est probablement pas une faute de sa part. D'après le tableau de contrôle, la commande de la vanne était bien dans la position de fermeture, mais la vanne n'avait pas obéi à la commande. Il paraît donc indispensable qu'un indicateur de position de la vanne figure au tableau, permettant de contrôler l'obéissance à l'ordre de fermeture.
     Cette exigence est en partie satisfaite par l'existence d'un thermocouple, situé au voisinage de l'orifice de sortie de la vanne de décharge du pressuriseur. Si la vanne est ouverte, le dégagement de vapeur échauffe le thermocouple. Ce dispositif présente l'inconvénient de ne pas être très sensible à l'importance du débit de vapeur et de signaler simplement l'existence d'une fuite.
     Les documents mis à notre disposition ne précisent pas la cause du blocage de la vanne de décharge. Le rapport de la première mission française indique qu'elle aurait pu être endommagée par un fonctionnement dans un mélange liquide-vapeur, alors qu'elle est conçue pour fonctionner dans la vapeur seule. Si cela est exact, c'est très fâcheux car l'eau du pressuriseur est normalement à l'ébullition quand la vanne est ouverte et la vapeur peut entraîner des gouttelettes d'eau. La vanne doit être conçue pour fonctionner aussi bien en phase liquide qu'en phase vapeur.
     Compte tenu de l'importance du rôle de cette vanne, aussi bien en marche normale qu'en présence de transitoires, ne serait-il pas opportun d'en avoir deux? La deuxième, réglée à une pression d'ouverture un peu supérieure à la prem ère, remplacerait une des soupapes de sécurité et ne jouerait le rôle de vanne de décharge qu'en cas d'indisponibilité de la première qui serait alors mise hors circuit au moyen de sa vanne d'isolement.»

     Vous a-t-on parlé, Messieurs, des modifications intervenues sur le circuit de refroidissement du réacteur à l'arrêt où une telle mesure a été prise et a conduit à des résultats désastreux (voir encart)?
     Notons de plus que la C.F.D.T., à EDF (Direction de l'Équipement) demande le remplacement de toutes les vannes d'isolement des soupapes de décharge de préssuriseurs qui ne permettraient pas, à coup sûr, un isolement total sous plein débit.

     Le niveau du pressuriseur:
     Bien évidemment, au cours du fonctionnement normal en puissance du réacteur, le pilotage d'après le niveau du pressuriseur paraît le mieux adapté et le plus sensible. Mais dès l'arrêt du réacteur, en présence de transitoires complexes, accompagnés de baisses momentanées de la pression du primaire, susceptibles de donner naissance à des bulles de vapeur, la présence de celles-ci enlève beaucoup de signification au niveau du pressuriseur. Il serait alors plus sûr de se guider sur la pression et la température de l'eau primaire, à la sortie du cœur. Comme la présence de bulles de vapeur dans le cœur n'est pas du tout souhaitable et devant les faibles marges de température et de pression qui séparent les conditions normales de marche et celles d'apparition de la vapeur saturante, il serait bon de donner à l'opérateur, sur le tableau de contrôle, l'indication des marges dont il dispose, en température et en pression, de manière à lui éviter de consulter les tables thermodynamiques de la vapeur d'eau. A cet égard, une formation théorique adéquate devrait sensibiliser l'opérateur à la physique du fonctionnement du réacteur.»

     Au fait qu'en est-il en France?

     «Isolement de l'enceinte de confinement:
     Un point faible des conditions d'exploitation du réacteur de T.M.1. réside dans l'absence d'isolement automatique de l'enceinte après la mise en route de l'injection de sécurité. Cet isolement paraît indispensable, surtout comme c'était le cas après rupture de la membrane d'éclatement du réservoir de décharge du pressuriseur. Si l'enceinte du réacteur de T.M.I. était restée isolée, les rejets à l'extérieur de la centrale seraient restés absolument négligeables. Dans les centrales françaises et dans les conditions précitées, l'isolement de l'enceinte est automatique.

      Arrêt prématuré de l'injection de sécurité:
     Cet arrêt a aggravé considérablement les conséquences d'un incident mineur, en provoquant la formation de bulles de vapeur, en rendant possible la découverte du cœur accompagnée d'élévations locales de température et de réaction eau-zircalloy, avec formation d'hydrogène pour des températures suffisamment élevées. Cet arrêt prématuré est à mettre sur le compte d'une mauvaise appréciation de la situation par l'opérateur et peut-être d'instructions de pilotage insuffisantes.»

     Notons à propos de l'injection de sécurité, que dans le cas des centrales françaises de Bugey et Fessenheim, celle-ci ne se serait pas déclenchée automatiquement, l'opérateur aurait eu 25 mn pour comprendre ce processus et démarrer l'injection manuellement.

     «Arrêt des pompes primaires:
     Une nouvelle aggravation des dégâts provoqués par l'arrêt des pompes primaires est certaine, surtout lorsqu'il est accompagné de l'arrêt de l'injection de sécurité.

     Nous espérons que les Académiciens savent qu'il n'existe pas de vannes d'isolement des pompes primaires, il doit donc s'agir d'arrêter une boucle, ce qui ne règle rien en ce qui concerne les fuites aux joints de pompes primaires.

    «Les opérations ultérieures:
     Il ne nous est pas apparu nécessaire de discuter les manœuvres effectuées plus de 3 ou 4 h après l'incident initial. En effet, il s'agit de manœuvres concertées entre l'opérateur initial et les experts compétents de Babcock et Wilcox et de la N.R.C. arrivés sur les lieux et disposant de données et renseignements nombreux et complexes qui ne figurent pas dans les documents dont nous disposons. Il n'est donc pas possible de porter un jugement valable de leur conduite devant une situation déjà très dégradée.
     La seule remarque que pourraient se permettre des physiciens se rapporte aux incondensables et à la bulle d'hydrogène, apparus dans le circuit primaire. Il existe, paraît-il, un purgeur, situé au point le plus haut du couvercle de la cuve du réacteur, qui sert au moment du remplissage en eau du réacteur, à éliminer l'air qui reste au sommet de la cuve. Ce purgeur serait ensuite bouché. Ne serait-il pas souhaitable de conserver ce purgeur en état de fonctionnement et de l'utiliser éventuellement pour détecter la présence d'incondensables et pour les extraire aisément?»

     Il faudrait peut être signaler qu'il y a eu une explosion d'hydrogène à l'intérieur de l'enceinte de confinement conduisant à une suppression de l'ordre de 2 bar (voir Gazette 26/27). A ce niveau, il faut également dire qu'il n'existe qu'un recombineur d'hydrogène actuellement disponible pour toutes les centrales. Il semble bien que l'Institut de Protection et de Sûreté Nucléaire s'efforce vainement d'obtenir d'EDF la présence d'un tel appareil sur tous les sites.

     Le raport Kemeny, lui, signale beaucoup d'autres choses, en particulier le fait que la salle de commandes est prévue pour la marche normale et est inadaptée au fonctionnement accidentel. En particulier, c'est plusieurs dizaines d'alarmes qui fonctionnaient au même moment dès le début de l'accident, rendant très difficile l'analyse de ce qui se passait.
     Le Groupe permanent chargé des réacteurs nucléaires (au Ministère de l'Industrie) demandait, après T.M.I. qu'EDF revoie la conception de la salle de commandes avant la fin de l'année 1979. Qu'en est-il?
     On ne parle pas non plus des dommages très importants du cœur du réacteur.
     Nous conseillons vivement à nos auteurs de prendre connaissance des actions demandées en particulier par le Service Central de Sûreté des Installations Nucléaires (SCSIN). Ils auraient ainsi pu appuyer de leur poids pour faire adopter des modifications qu'EDF rechigne à faire.

     «Conclusions:
     Finalement les causes de l'accident se révèlent complexes: erreurs humaines, défaillances du matériel et du système de contrôle, insuffisance des instructions de pilotage. Mais il est à remarquer que la conception générale de la sûreté des réacteurs PWR sort plutôt renforcée de cette épreuve, puisque, malgré toutes ces défaillances, les trois enceintes de protection, emboîtées les unes dans les autres, ont joué parfaitement leur rôle et que, en dehors de la centrale, les effets radioactifs ont été minimes.
     En ce qui concerne l'aspect purement technique, nous avons déjà signalé plus haut les points faibles qui nous paraissent susceptibles d'améliorations et nous n'y reviendrons pas. Sur les centrales françaises, EDF, par anticipation, a déjà porté remède à certains d'entre eux. Restent les erreurs humaines.»

     Décidément nos Académiciens sont bien mal renseignés et auraient dû faire un effort de rigueur scientifique en rencontrant des personnes mieux informées ou plus critiques.

     «CONCLUSIONS GÉNÉRALES ET TECHNIQUES
     L'analyse de l'accident de Three Mile Island a mis en évidence, d'une part, des déficiences matérielles, en particulier des défauts de fonctionnement de certaines vannes et des insuffisances de certains appareils de mesure et de contrôle; d'autre part, le personnel chargé de la surveillance du fonctionnement du réacteur, privé d'éléments d'information très importants, n'a pas pris de dispositions adéquates et il a même réalisé des manœuvres apparemment aberrantes qui ont transformé en un véritable accident un incident qui aurait pu demeurer mineur.»

     Quelle méconnaissance des faits: sembler vouloir dire que le personnel d'exploitation est responsable de la gravité de l'accident, c'est vraiment faire preuve d'insinuations totalement erronées. Non, Messieurs, les opérateurs ont agi correctement au vu des informations qu'ils avaient et au total leur comportement a diminué la gravité de l'accident.

     «Les déficiences matérielles et les erreurs humaines n'ont toutefois pas entraîné de conséquences importantes pour le personnel de la Centrale et pour l'environnement. Les informations parues dans la presse et parlant de «catastrophe» étaient donc dangereusement exagérées, et le rétablissement de la véritable nature de l'accident est important pour l'avenir.
     Des trois barrières qui assuraient le confinement du combustible nucléaire, seule la première, constituée par les gaines de zircalloy, a cédé.»

     Nous ne reviendrons pas sur ce point déjà commenté plus haut.

     Là encore, on oublie de parler de l'explosion d'hydrogène dans le bâtiment réacteur, explosion qui justifiait les inquiétudes les plus sérieuses.

     «Enfin, la saturation des lignes téléphoniques a gêné la concertation de certains responsables de la Centrale.
     A la suite des événements qui ont été exposés dans les rapports particuliers de notre Comité, nous avons le devoir de formuler, dans les limites de notre mission, quelques remarques. Il n'est pas douteux que la conception des centrales à eau pressurisée est excellente et que, bénéficiant de la vaste expérience de la Société Westinghouse, l'EDF a construit des centrales plus sûres que celles établies à Harrisburg par la Société Babcock et Wilcox.»

     Si l'affaire n'était si grave, nous aurions envie de sourire de cette naïve affirmation étayée sur quoi?... quant à l'équation EDF + Westinghouse supérieur à Babcock et Wilcox...

     «Mais, afin d'obtenir la sûreté optimale, on devra utiliser le meilleur matériel possible., notamment en ce qui concerne les vannes et les pompes.»

     Voilà au moins une demande claire, nous nous permettons cependant de signaler à ces dignes personnalités:
     - que les essais des moteurs sont en cours... alors que les centrales sont au démarrage pour certaines et déjà démarrées pour d'autres,
     - que nous serions heureux de connaître les résultats des essais de simulation sur:
     - le moteur du circuit de refroidissement du réacteur à l'arrêt (RRA),
     - les soupapes de ce même circuit (voir encart),
     - les soupapes et vannes du pressuriseur,
     - les matériels électriques de sûreté du bâtiment réacteur,
     - l'évolution des fissures des tubulures de sortie de cuve,
     etc., etc.

     «Par ailleurs, la marche normale des centrales et les remises en ordre à la suite de tous les incidents de fonctionnement prévisibles devraient être assurées au moyen de dispositifs automatiques parfaitement fiables et dont le fonctionnement devra être constamment visible sur le tableau de bord.»

     «De toute façon, les personnes qui ont à surveiller le fonctionnement des installations devraient être capables de faire face avec sang-froid et efficacité à toutes les crises susceptibles de survenir.
     Or, il est connu que, dans une population, il ne se trouve au maximum que 2 à 3% d'individus qui soient en mesure de faire face à des situations de crise. Les aptitudes techniques des opérateurs ne sont pas en cause: il s'agit de particularités psychologiques en partie indépendantes de leur formation et qui ne peuvent être appréciées qu'en examinant leur comportement tant au cours d'une longue période d'activité dans les fonctions qui leur sont confiées qu'au cours de périodes probatoires. Les hommes ainsi sélectionnés sur des critères objectifs, à l'exclusion de toute autre considération, devraient disposer d'un pouvoir de décision complet et jouir d'une position sociale et d'une rémunération en rapport avec l'importance de leur responsabilité.»

     Quel morceau de bravoure... inquiétant: l'examen du comportement sur des périodes longues!... En tout cas, nous conseillons au personnel d'exploitation des centrales de réclamer les classifications qui leur reviennent. Assez de mesquineries, ces gens-là doivent être au sommet de la hiérarchie.

     «Le public devrait être largement informé du fonctionnement des centrales. Il convient d'abolir à son égard la sensation de mystère qui engendre la peur et provoque une réaction de rejet.
     Il faut surtout éviter les informations contradictoires qui font douter globalement de leur validité et contribuent à saper l'autorité des hommes de science et des ingénieurs. Une explosion de type nucléaire est hors de question dans une centrale.»
 

     Voilà, c'est tout. En finissant la lecture de ce texte, nous avons eu un sentiment de malaise. Que les auteurs soient ou non convaincus de l'intérêt de l'énergie nucléaire, là n'est pas la question. Le problème est que ce texte est du mauvais journalisme, mal informé et tendancieux de ce fait. Si ce texte avait été écrit pour une quelconque revue scientifique, par un journaliste pro-nucléaire chargé de vulgarisation, nous en déplorerions le contenu, mais nous ne nous attarderions pas. Mais quand nous voyons la composition de la Commission, alors nous sommes interrogatifs:
     - ou bien il s'agit d'une intoxication à laquelle ont été soumis les signataires et il serait judicieux pour leur renom qu'ils réagissent vite. Nous nous tenons à leur disposition pour en discuter,
     - ou il s'agit d'une manœuvre consciente et alors il faut la dénoncer avec force.
     Dans tous les cas, le problème de la crédibilité de la source d'information est posé. Nous pouvons d'ailleurs, avec un brin d'ironie, renvoyer leurs arguments aux nucléocrates lorsqu'ils disaient que la connaissance en physique des particules, par exemple, ne permettait pas de parler avec pertinence de l'industrie électronucléaire!...

     A la Gazette, nous essayons de vérifier toutes nos informations et nous nous informons à toutes les sources, en particulier auprès des travailleurs du nucléaire, avec une préférence pour les échelons qui sont au courant et ne font pas d'auto-censure ou de censure tout court.

     Nous envoyons ce numéro à tous les auteurs du rapport de l'Académie des Sciences en espérant qu'ils prendront conscience et réagiront. Une nouvelle fois, nous nous tenons à leur disposition pour tous renseignements complémentaires.