| Inscription
Mémoire & retour d’expérience | Risque nucléaire
Un accident de fusion de cœur s’est produit le 28 mars 1979 dans le réacteur n° 2 de la centrale de Three Mile Island (TMI) près de Harrisburg en Pennsylvanie aux États-Unis (réacteur de 800 MWe conçu par Babcock et Wilcox, similaire aux réacteurs à eau sous pression français).
L’évènement initiateur a été un incident d’exploitation relativement banal : la défaillance de l’alimentation normale en eau des générateurs de vapeur (cf. figure 1) alors que le réacteur fonctionnait à sa puissance nominale, entraînant une augmentation de la température et de la pression dans le circuit primaire. Cette défaillance a sans doute été provoquée par une erreur lors de travaux de maintenance.
L’incident a entraîné l’arrêt automatique du réacteur et la vanne de décharge du circuit primaire, située au sommet du pressuriseur, s’est ouverte afin de faire décroître la pression.
Deux défaillances vont déterminer l’évolution de la situation. Première défaillance, la vanne de décharge du pressuriseur ne s’est pas refermée automatiquement. Le fluide primaire a donc continué de se décharger dans un réservoir de décharge puis dans l’enceinte de confinement. Deuxième défaillance, le circuit d’alimentation de secours des générateurs de vapeur n’a pas pris le relais du circuit d’alimentation normal, car des vannes du circuit de secours, qui auraient dû être ouvertes, étaient fermées (elles avaient été fermées lors d’un essai règlementaire réalisé quelques jours auparavant).
La première défaillance a été la plus lourde de conséquences, car les opérateurs n’ont pas compris que la vanne du pressuriseur était restée ouverte ; pendant plus de deux heures, environ 60 t/h de fluide primaire se sont déversées dans l’enceinte de confinement (pour un inventaire initial du circuit primaire de deux cents tonnes).Le blocage de la vanne n’a pas été diagnostiqué rapidement, car les opérateurs ne disposaient pas en salle de conduite d’indicateur de la position réelle de la vanne, mais seulement d’un voyant indiquant que l’ordre de fermeture avait été envoyé. Ils ne savaient donc pas si la fermeture avait réellement été réalisée. Le dénoyage partiel du cœur qui en résulta entraînera sa fusion partielle. Après rétablissement d’un refroidissement stable du cœur, la situation put finalement être maîtrisée seize heures après le début de l’accident au cours duquel près de la moitié du cœur a fondu et environ vingt tonnes de matériaux en fusion ont atteint le fond de la cuve du réacteur, heureusement sans la percer (cf. figure ci-dessous).
Malgré la fusion partielle du cœur du réacteur et l’important relâchement de produits radioactifs dans l’enceinte de confinement, les rejets dans l’environnement ont été faibles, l’enceinte ayant rempli son rôle.
De nombreuses études ont montré que l’accident n’a pas eu de conséquences sanitaires pour les personnes du public et n’a pas eu d’impact significatif sur l’environnement.
L’accident n’a pas remis en cause la conception globale des réacteurs, l’application du concept de défense en profondeur (cf. figure 3) imposant notamment un confinement résistant qui a protégé les populations et le personnel de la centrale de TMI.
Indépendamment des recherches menées sur les accidents, les réflexions ont porté sur trois sujets : la place de l’humain dans la conduite des installations, l’expérience tirée de l’exploitation des centrales nucléaires et la gestion des situations d’urgence.
Avant l’accident, les analyses de sûreté examinaient principalement la fiabilité des composants du réacteur nécessaires à la sûreté. L’accident a mis en exergue le fait, connu mais peu étudié, que l'humain est un maillon essentiel de la sûreté.
L’amélioration des conditions d’exploitation s’est traduite par une formation initiale et des recyclages renforcés des opérateurs, avec l’utilisation systématique de simulateurs.
L'inadéquation des procédures disponibles ayant été flagrante lors de l’accident de TMI, les procédures et consignes des réacteurs français ont été réexaminées et une nouvelle approche de la conduite accidentelle a été mise en place : « l’approche par états ». Les procédures ne sont ainsi plus fondées sur la compréhension par l’opérateur de la succession d’évènements qu’a subie le réacteur (approche évènementielle), mais sur son état effectif à un instant donné, caractérisé par des données physiques.
Par ailleurs, le principe de procédures dites hors dimensionnement (procédures H) et ultimes (procédures U) a été retenu à partir de 1981 : elles visent à prévenir la fusion du cœur (en cas de perte de la source froide, de perte des alimentations électriques...) et à limiter les relâchements de produits radioactifs hors de l'enceinte de confinement, si une telle fusion survenait.
Les insuffisances en termes d’indications et de hiérarchisation des alarmes ont conduit à modifier les salles de conduite des réacteurs. De plus, les informations essentielles ont été doublées sur un panneau de sûreté.
Un autre enseignement important concerne la gestion du retour d’expérience du fonctionnement des centrales nucléaires. Un incident précurseur semblable avait eu lieu en 1977 dans un réacteur américain du même type (Davis Besse), sans dommage pour le réacteur ; les opérateurs avaient commis la même erreur d’analyse. Un incident précurseur similaire avait également affecté le réacteur suisse de Beznau en 1974.
Depuis l’accident, la détection des évènements précurseurs, susceptibles de conduire à un accident, est devenue une préoccupation importante des exploitants et des organismes de sûreté nucléaire.
L’accident a montré que les opérateurs, les responsables de la centrale et les autorités chargées de la protection des populations n’étaient pas suffisamment préparés pour un accident de fusion de cœur.
C’est au début des années 1980 que les plans d’urgence spécifiques aux installations nucléaires ont été mis en place en France. Des Plans d’urgence internes (PUI) ont été développés par les exploitants pour maîtriser autant que possible les accidents et en limiter les conséquences. Les pouvoirs publics ont établi des Plans particuliers d’intervention (PPI) répondant à l’objectif général de protection des populations en cas d’accident nucléaire ainsi qu’un « plan national de réponse » en cas d’accident majeur.
D’autres améliorations techniques découlent du retour d’expérience de l’accident, notamment :
L’accident a été riche d’enseignements, pour la plupart confortés par ceux de l’accident de Fukushima en 2011 : importance de la défense en profondeur, des facteurs humains et des procédures de conduite et rôle essentiel de l’enceinte de confinement, barrière ultime entre les substances radioactives et l’environnement.
Quarante ans après TMI, la démarche de sûreté a évolué, apprenant des connaissances issues de la recherche, de l’exploitation des installations et de l’étude des accidents. TMI a conduit à une remise en question, qui a refondé la démarche sans remettre en cause les principes fondateurs, notamment la défense en profondeur et la culture de sûreté. De nombreuses évolutions, à la fois des installations et des pratiques de sûreté, ont permis de renforcer la sûreté.
Il convient cependant de garder à l’esprit que la sûreté n’est jamais définitivement acquise, que l’accident est toujours possible et que tous les acteurs de la sûreté doivent maintenir un haut niveau de vigilance pour limiter autant que possible l’occurrence d’un accident.
Dans ce cadre, l’IRSN est dans une dynamique permanente d’évolution pour faire avancer la sûreté, en veillant à une expertise proportionnée aux enjeux, ouverte à la société et s’appuyant sur le retour d’expérience et la recherche.
Référence : Les accidents de fusion de cœur des réacteurs nucléaires de puissance, États des connaissances - IRSN - EDP Sciences – Didier Jacquemain, coordinateur – ISBN : 978-2-7598- 0972-1
// Article paru dans Risques Infos n°39 - août 2019, à consulter ici ou là :
L'Institut des Risques Majeurs est soutenu par :
Ou inscrivez vous
x Annuler