Pour Three Mile Island, là, pas de problème de barres de modération en graphite qui descendent trop lentement. Et pas de problème de responsables incompétents choisi par le pouvoir centrale, ou de techniciens soi-disant mal formés. Donc, qu'est-ce qu'ils ont pu inventer cette fois pour justifier la fonte du coeur ?
Vu que le problème ne peut pas venir des barres de modérations (puisque dans le cas de Tchernobyl, on affirme à l'envie qu'un tel problème ne pouvait pas arriver avec les centrales occidentales), on peut déjà être à peu près sur qu'il vient du système de refroidissement en eau. Et on peut aussi penser a priori qu'il y a eu une longue suite d'incidents pour qu'on en soit arrivé à une fonte partielle du coeur. Et effectivement, quand on analyse ce qui s'est passé, c'est le cas.
1) Le déroulement officiel de "l'accident"
La version officielle est en gros la suivante. Effectivement, c'est le circuit de refroidissement qui a posé problème. Il y a eu une série incroyable de dysfonctionnements qui ont conduit à ce qu'il n'y ait plus assez d'eau dans le coeur, cela sans que les opérateurs ne s'aperçoivent du problème ; ce qui a conduit à une fonte partielle du celui-ci. Heureusement, les opérateurs ont fini par comprendre ce qui se passait, et on réussit à éviter une fonte complète du coeur.
Voici comment les choses se sont déroulées ce 28 mars 1979. Tout s'est passé en à peu près 3h20.
A) Les premiers instants de l'accident
(Note : il y a un petit résumé en fin de sous-chapitre, si vous voulez zapper ce passage)
Un peu avant 4 heures du matin, un problème est apparu avec un des 8 déminéraliseurs d'eau du circuit secondaire. Ce sont des citernes d'eau dans lesquelles l'eau circulant dans le circuit secondaire est déminéralisée. Il semble que ce soit fait à l'aide de perles constituées d'une résine à laquelle les minéraux se collent. Régulièrement donc, il faut enlever les perles en résine usagées, et les remplacer par de nouvelles. C'est une opération faite très régulièrement. Et jusque là, ça n'avait posé de problème que deux fois, sans jamais aboutir à une telle catastrophe.
Seulement cette fois, après avoir isolé cette citerne du flux d'eau général, le flux d'air sous pression, pourtant utilisé plusieurs fois (ainsi qu'un flux d'eau, ou de vapeur), n'a pas réussi à débloquer les perles de résine accumulées. Elles s'étaient en effet agrégées en une masse compacte. William Zewe, le superviseur, a alors appelé Fred Sheimann, un contremaitre, pour aider les 2 opérateurs affectés à cette tache à résoudre le problème.
Une telle chose n'était absolument pas inhabituelle. Ca arrivait régulièrement. Ca arrivait même si souvent qu'on avait installé sur chaque épurateur des 8 citernes des tuyaux d'air sous pression raccordés au système d'aération général. De courts jets d'air sous pressions suffisaient généralement à déloger l'agglomérat de perles de résine.
En plus du système d'aération principale, il y a un deuxième système de conduits d'air sous pression, appelé système d'instruments à air, qui était utilisé pour contrôler pneumatiquement certaines valves dans la centrale. Ce système était essentiel pour la sécurité de la centrale.
Selon la version officielle, ce que les opérateurs ne savaient pas, c'est que quelqu'un, durant la nuit, avait connecté un tuyau en plastique entre ce système d'instruments à air et une canalisation d'eau. D'après certaines hypothèses, il aurait peut-être essayé de pressuriser la canalisation d'eau, ou de connecter les deux systèmes à air ensembles. Cette connexion des deux systèmes était rendue possible par le fait que le système d'instruments à air, le système d'aération principale et les canalisations d'eau de la centrale utilisaient tous les mêmes équipements pneumatiques Chicago. La zone était assez sombre, et les équipements n'étaient pas bien étiquetés. Or, la canalisation d'eau avait plus de pression que le système d'instruments à air. Du coup, toujours selon la théorie officielle, l'eau a commencé à se déverser dans les canalisations d'air. Or, ce système d'instruments à air contrôlait pneumatiquement les valves reliant les déminéraliseurs au circuit secondaire. La fermeture des valves devait donc entrainer le blocage du flux d'eau du circuit secondaire, et aussitôt après, l'arrêt automatique des pompes du circuit secondaire.
Aussi, à 3h57, alors que Scheimann se trouvait au dessus d'un tuyau d'alimentation lorgnant les perles de résine à travers un hublot, l'eau a finalement atteint la soupape pneumatique des déminéraliseurs. Porté par la pression de l'air, il avait voyagé le long du système d'instruments à air, pour finalement entrer dans les soupapes de contrôle.
Pourtant, peu de temps après que la centrale soit entrée en activité, 5 ans plus tôt, en 1974, quelqu'un s'était préoccupé du risque éventuel d'un passage de l'eau dans le système d'instruments à air. On avait bien compris que ça conduirait les valves à se fermer. Un plan fut donc discuté pour modifier le système des valves de contrôle. Si une telle chose arrivait, les valves se bloqueraient dans leur position actuelle. Personne ne sait pourquoi, mais le câblage pour cette modification n'avait jamais été connecté.
B) De la première à la 8ème minute de l'accident : le problème du vaporisateur et du circuit secondaire
Note : il faut bien garder à l'esprit que les évènements décrits dans cette sous-partie se sont déroulés en seulement 8 minutes. Cette partie est peut-être la plus compliquée, mais en même temps la moins importante, puisqu'en fait, la plupart des problèmes ont été résolus rapidement (en 8 mn donc).
Lorsque l'eau est arrivée au niveau des valves, ou en tout cas, que la pression a été suffisamment importante, instantanément, celles-ci se sont fermées violemment. Les valves des 7 autres déminéraliseurs qui étaient restés ouverts se sont fermées en un instant. Un coup de bélier s'est produit, entrainé par le soudain arrêt du flux d'eau. Faust et Frederick ont senti le sol de salle de contrôle trembler alors que le violent choc arrachait les valves de contrôle, fissurait l'enveloppe d'une pompe d'alimentation en eau et brisait les tuyaux. Scheimann a sauté sur le coté juste au moment où le tuyau sur lequel il se trouvait se soulevait violemment. En quelques secondes, tout le bâtiment auxiliaire était rempli de vapeur.
Dans la salle de contrôle, les systèmes automatiques de contrôle de la centrale ont fonctionné de la façon prévue. Avec le système de circulation d'eau bloqué, et le système de contrôle des valves hors service, l'eau ne pouvait plus atteindre les générateurs de vapeur. Du coup, ceux-ci risquaient de s'assécher en quelques secondes et d'entrer en ébullition. Une telle chose ne doit surtout pas arriver. Parce que la trop grande chaleur entrainerait la rupture des tubes. Du coup, l'eau du circuit d'eau primaire se déverserait dans le circuit d'eau secondaire.
Pour empêcher ça, les systèmes automatiques se sont mis en action. 5 secondes après l'arrêt des pompes, la turbine génératrice d'électricité a été arrêtée. En général, ça entraine l'ouverture des valves de contournement, qui déversent alors directement le flux de vapeur du générateur de vapeur vers le condenseur, contournant la turbine.
Mais, le condenseur de Three Mile Island avait une faille légère dans son design. La vapeur venant des valves de contournement était orientée d'une telle façon que si un jet de vapeur soudain se produisait, ça devait souffler l'eau du condenseur dans la pompe à vide du condenseur. C'est exactement ce qui s'est passé. Et la pompe à vide étouffant sous l'eau, s'est arrêtée. Quand le condenseur a perdu la dépression due au vide, il n'a pas pu accepter la vapeur plus longtemps. Du coup, le système de contournement s'est arrêté.
Avec le condenseur hors-service, des tonnes de vapeur d'eau devaient toujours s'évacuer. Aussi, un ensemble de gicleurs externes, appelés déchargeurs atmosphérique, se sont ouverts, envoyant le flux de vapeur vers l'extérieur de la centrale, avec un rugissement assourdissant qui a été entendu à des kilomètres. Des habitants des environs de Middletown et Royalton ont été réveillés par ce premier signe externe de problèmes sur l'ile.
La perte d'alimentation en eau signifiait que la chaleur du réacteur n'avait nul part où aller. Aussi, la température et la pression ont commencé à augmenter. Détectant ça, le système de contrôle a arrêté le réacteur (là aussi 5 secondes après l'arrêt des pompes), et en quelques secondes, toutes les barres de contrôles étaient descendues.
Cependant, le coeur d'un réacteur ne se refroidit pas instantanément une fois les barres de contrôle descendues. La chaleur résiduelle peut encore être de quelques mégawatts. Le générateur de vapeur continuait donc de menacer de bouillir à sec à cause du manque d'eau. Aussi, 3 pompes à eau de secours, 2 électriques et une actionnée via le flux de vapeur ont été automatiquement mises en marche pour fournir le flux d'eau nécessaire aux générateurs de vapeur qui étaient en train de se vider.
Mais il y a eu un nouveau problème. Les vannes qui permettaient le raccordement de ces pompes de secours au circuit secondaire étaient fermées. Un test avait été conduit sur le circuit de secours 42 h avant, entrainant la fermeture des deux vannes (nommées EFW-12 A et B). Et, alors que la procédure exige de façon impérative qu'elles soient immédiatement réouvertes, les opérateurs avaient oublié de le faire. Et aucun opérateur ne savait qu'elles étaient fermées. Les opérateurs auraient du s'en rendre compte, car il y a un voyant lumineux qui permet de voir si la vanne est ouverte ou fermée. Mais une des deux lumières étaient cachée par une étiquette de maintenance et les opérateurs n'ont tout simplement pas prêté attention à la deuxième. En effet, ils ne s'attendaient pas à ce que les vannes soient fermées, vu qu'elles étaient toujours ouvertes d'habitude. Par ailleurs, une des premières choses à vérifier dans la checklist des opérateurs de la salle de contrôle, est que le circuit de secours fonctionne bien. Mais Faust n'a pas vu la lumière de l'indicateur resté visible, et à présumés que les vannes étaient ouvertes, comme elles devaient l'être et l'avaient toujours été avant.
Donc en fait, les pompes de secours marchaient. Mais, le circuit de secours n'était pas ouvert. Donc, l'eau continuait à ne pas circuler dans le circuit secondaire.
A cause du blocage du circuit secondaire, immédiatement, la chaleur et la pression ont augmenté dans le circuit primaire. Aussi, très rapidement, à T = 3 secondes, la soupape de décharge automatique, située en haut du pressuriseur s'est ouverte, relâchant la vapeur du circuit primaire dans un réservoir de confinement. Elle aurait du se refermer automatiquement dès que la pression aurait baissé. Mais malgré un ordre automatique de fermeture, ce ne fut pas le cas. Elle est restée bloquée en position ouverte.
Puisque le réacteur était arrêté, la chaleur dans le circuit primaire a commencé à diminuer. L'eau a commencé à refroidir et donc la pression aussi (la pression diminuant également à cause de la soupape de décharge ouverte). Aussi, le niveau de l'eau dans le pressuriseur a commencé à diminuer. C'était un phénomène prévu. Faust et Frederick ont assisté à la mise en marche automatique, à T = 2 mn, de deux pompes servant à amener de l'eau pour compenser la diminution de volume (pompes de compensation). Ensuite, quand le niveau a continué à baisser, les pompes spéciales pour le système d'injection à haute pression ont été mises en marche pour amener encore plus d'eau dans la cuve du réacteur. A ce moment là, la soupape de décharge aurait du être fermée, mais, comme on l'a vu, ce n'était pas le cas.
Au soulagement général, le niveau d'eau a commencé à se stabiliser. Puis, à l'angoisse générale, il a commencé à monter à nouveau. Craignant que l'effet amortisseur du pressuriseur ne soit bientôt perdu tandis qu'il finissait de se remplir, Faust a arrêté le système d'injection à haute pression du circuit primaire. Mais le niveau a continué à monter. Aussi, il a arrêté les pompes de compensation. Ca a encore continué à monter. Frederick regardait, transpirant à grosses goutes. Il a rappelé les chiffres du niveau d'eau, tandis que l'eau montait dans le pressuriseur jusqu'à ce qu'elle ait presque débordé à travers la soupape de décharge.
Faust, Frédérick et Zewe ont essayé de comprendre la nature du problème. Rien ne collait.
En ce qui concerne le circuit secondaire, le niveau de l'eau continuait à baisser dans les générateurs de vapeur. En fait, l'un des deux était complètement à sec et bouillant. C'est une situation très dangereuse, parce que les générateurs ne sont pas conçus pour atteindre de telles températures. Si un tuyau du générateur de vapeur venait à se fendre ou casser à cause de la chaleur, l'eau radioactive du circuit primaire pourrait se mélanger à l'eau du circuit secondaire et quitter le bâtiment de confinement, ce qui serait catastrophique. Il y avait une confusion considérable concernant la raison initiale pour laquelle le générateur de vapeur (OTSG) était en train de s'assécher et de bouillir. En effet, d'après ce que les opérateurs comprenaient, les pompes de secours d'alimentation en eau étaient en train d'apporter toute l'eau nécessaire à ces générateurs de vapeur. Mais, en réalité, avec les vannes fermées, les pompes ne servaient à rien.
La quantité d'eau disponible dans le circuit primaire est mesurée d'habitude en mesurant le niveau d'eau dans le pressuriseur. Plus d'eau signifie que la bulle de vapeur diminue et que le niveau d'eau monte ; et inversement. Or, alors que le circuit primaire perdait de l'eau très rapidement, les opérateurs ont vu une augmentation du niveau d'eau. L'explication officielle donnée a postériori est que le flux de vapeur sortant vers la soupape de décharge perturbait l'indicateur de niveau d'eau. On peut imaginer que le flux de vapeur vers le haut faisait remonter l'indicateur. Donc, les opérateurs ont été trompés dans leur estimation de la pression à cause de l'indicateur de niveau d'eau.
La température continuait à augmenter dans le circuit primaire, en dépit du fait que le réacteur avait été arrêté. C'était le résultat de l'absence d'apport d'eau de secours aux générateurs de vapeur, permettant d'enlever la chaleur du circuit primaire.
Par ailleurs, la pression baissait dans le circuit primaire. Dans la mesure où la température et la pression vont dans la même direction, dans un système clos, les trois opérateurs étaient complètement perdus face à ce paradoxe. Bien sur, s'ils avaient su que la soupape de décharge était ouverte, ils auraient su qu'ils n'avaient pas du tout à faire à un système fermé.
Une chose était certaine, si la pression tombait trop bas, ou si la température augmentait trop, l'eau du circuit primaire commencerait à bouillir. Si une telle chose arrivait, et si la température augmentait suffisamment dans le coeur, de la vapeur commencerait à se former dans l'enceinte du réacteur. Si suffisamment de vapeur était produite, ça ferait baisser le niveau d'eau dans l'enceinte du réacteur en dessous du niveau des barres d'uranium, les laissant à découvert. La vapeur ne refroidit pas aussi bien que l'eau, et les barres d'uranium seraient sévèrement endommagées par l'accumulation de chaleur. Elles se rompraient rapidement. Au bout d'un certain temps, la mise à découvert du coeur entrainerait que l'uranium pourrait se mettre à fondre, voir à s'enflammer, ou même éventuellement se réarranger de façon plus compacte, ce qui entrainerait la production d'encore plus de chaleur. Ca serait évidemment désastreux. Donc, le coeur ne doit jamais être à découvert.
Trop d'eau dans le circuit primaire serait aussi un problème. Si le pressuriseur, la bulle de vapeur autorisée dans le circuit primaire, était remplie complètement, tout choc soudain ou transitoire pourrait entrainer la rupture des tuyaux du circuit primaire ou endommager les pompes à eau. C'est une chose à éviter à tout prix, puisque la rupture d'un tuyau du circuit primaire est le pire cauchemar des ingénieurs du réacteur. Les opérateurs se voient répéter régulièrement de ne jamais, jamais "remplir le système". Donc, le fait d'être à deux doigts de ce type d'évènement, entrainait une peur palpable dans la salle de contrôle.
Trompés par l'indication du niveau d'eau erronée, les opérateurs ont décidé d'ouvrir les vannes d'éjection et de démarrer les pompes pour évacuer l'eau du circuit primaire. Désormais, l'eau sortait du circuit primaire non plus par une, mais par deux voies de sortie : la soupape de décharge, et le système d'éjection. Réagissant à la perte de pression, les pompes d'injection activées lors d'une situation de basse pression, ont automatiquement commencé à déverser de l'eau dans le circuit primaire. Les opérateurs, ignorant de la situation réelle, les ont arrêtées (à T = 4 mn 38s). Alors que l'eau sortait du réacteur à travers la soupape de décharge, ils avaient tout simplement neutralisé le seul système capable de remplacer l'eau évacuée, et ils en évacuaient encore plus.
Du coup, l'eau s'est mise à bouillir à la sortie du cœur (à T = 5 mn 30s)
A ce moment-là, Faust a parcouru rapidement une fois de plus la checklist de l'alimentation de secours en eau du circuit secondaire. Vérifiant cette fois chaque vanne du système, il a enlevé finalement l'étiquette et a vu les lumières rouges indiquant que les vannes d'alimentation en eau 12A et 12B étaient fermées, bloquant le flux.
Il a alors crié à Zewe : "Les 12 sont fermées !". A T = 8mn 18s, Faust les a alors mises en position ouverte. L'eau froide s'est précipitée dans les tuyaux bouillants du générateur de vapeur. La chaleur du circuit primaire a donc enfin pu être refroidie par le circuit secondaire. L'indicateur de niveau d'eau du pressuriseur s'est alors lentement stabilisé, et la montée de température a commencé à ralentir, mais ralentir seulement.
Résumé : plusieurs erreurs humaines supposées ont conduit à ce que les soupapes de tous les déminéraliseurs se ferment, et donc à ce que le mouvement d'eau dans le circuit secondaire soit bloqué. Les sécurités automatiques ont fonctionné normalement. Elles ont notamment arrêté la réaction nucléaire dans le cœur. Mais, il y a eu deux dysfonctionnements. Le premier, qui a été résolu en 8 minutes, est que les vannes d'alimentation de secours en eau du circuit secondaire étaient restées fermées suite à un contrôle technique récent. Du coup, le circuit secondaire se vidait de son eau. Celui-ci, ainsi que le circuit primaire n'étaient donc plus refroidis et la chaleur augmentait rapidement dans les deux circuits. Heureusement, à la 8ème minute, les opérateurs ont compris le problème et ont ouvert les vannes en question. Le circuit secondaire s'est alors retrouvé alimenté en eau, et a donc été à nouveau refroidi correctement. Le deuxième dysfonctionnement est que la soupape évacuant la vapeur du circuit primaire en cas de surpression avait été ouverte par les sécurités automatiques, mais ne s'était pas refermée. Par ailleurs, les opérateurs ont coupé le système automatique d'injection d'eau dans le circuit primaire (d'abord celui à haute pression, puis celui à basse pression). L'eau partait donc du circuit primaire sans être remplacée. Et celui-ci ne pouvait plus être refroidi. C'est ce problème, qui n'a pas été résolu pendant plus de deux heures, qui a entrainé la fonte du coeur.
C) De la 8ème minute jusqu'à 3h20, une inaction quasi totale malgré la possession des éléments permettant de résoudre le problème
Donc là, on était à la 8ème minute de l'accident. L'accident ayant duré 3h20, ça veut dire que tout ce qui est raconté maintenant dure 3h12, donc beaucoup plus longtemps que la première partie. Les opérateurs ont eu beaucoup plus de temps pour réagir. Et pourtant, pendant 1h52 (jusqu'à T= 2h), ils n'ont rien fait, et pendant encore une 1h20, malgré quelques actions, ils n'ont encore pas compris ce qui se passait.
a) De la 8ème à la 15ème minute : pas de détection de l'ouverture de la soupape du circuit primaire
Pour en revenir au tout début de l'accident, comme on l'a vu, lorsque les pompes principales du circuit de refroidissement secondaire sont tombées en panne, 3 secondes plus tard, pour éviter que la pression n'augmente trop dans le circuit primaire, la soupape de décharge du pressuriseur du circuit primaire s'est ouverte automatiquement. La vapeur a alors commencé à se déverser dans le réservoir étanche du bâtiment de confinement.
C'est surtout cette soupape qui a posé problème durant toute la durée de l'accident. Elle aurait dû se fermer une fois la pression redescendue dans le circuit primaire. Mais malgré l’ordre automatique de fermeture, ce ne fut pas le cas.
L'explication donnée est que la soupape était conçue pour se fermer après avoir évacué une certaine quantité de pression. Mais elle n'était pas fiable. En fait, la valve électromagnétique de décharge, réalisée par les industries Dresser était connue pour avoir des problèmes d'échec à la fermeture. On avait évalué que le nombre moyen de manœuvres d'ouverture/fermeture avant qu'il y ait un échec était de seulement 40 manoeuvres. On pensait que c'était suffisant, parce que la soupape était sensée ne s'ouvrir que rarement (la même vanne sur l'unité 1 de Three Mile Island n'avait jamais été ouverte, sauf lors de tests). Mais le défaut dans la conception du condenseur de l'unité 2 entrainait qu'elle s'ouvrait à chaque arrêt de la turbine génératrice.
Les opérateurs auraient bien sur pu fermer ce circuit de décharge de vapeur manuellement. Mais le problème, c'est que les voyants de contrôle montraient la soupape en position fermée. En effet, le voyant lumineux était mal conçu, et ne réagissait qu'à l'ordre de fermeture, pas à la fermeture réelle. Il suffisait de donner l'ordre de fermeture pour que le voyant indique une position fermée, même si c'était faux. Donc, les opérateurs, croyant le problème réglé, n'ont pas réagi, et la soupape étant toujours ouverte, la pression a continué de diminuer dans le circuit primaire.
Les opérateurs auraient du savoir qu'il y avait un problème avec la soupape, parce qu'il y a bien sur un indicateur de pression d'eau dans le circuit primaire (appelé pressuriseur). Donc, comme la pression diminuait puisque la soupape était toujours ouverte, le problème avec la soupape aurait du être très rapidement détecté. Seulement, là encore, pas de chance, on nous dit (sur Wikipedia) :
"La baisse de pression dans le circuit primaire entraîna le démarrage automatique du circuit d'injection de sécurité (t = 2min 01s), chargé d'amener de l'eau dans le circuit primaire. Cependant, en même temps que la pression baissait, des « vides » (de la vapeur d’eau en fait) se formaient dans le circuit primaire. Ces vides générèrent des mouvements d’eau complexes qui, paradoxalement, remplirent le pressuriseur en eau (pourtant en haut du circuit). L’opérateur, ayant l’information que le pressuriseur était plein, en conclut par erreur que tout le circuit primaire l’était également et arrêta manuellement le circuit d’injection de sécurité (t = 4min 38s)."
Donc, le circuit primaire se vidait, mais on ne pouvait pas le savoir parce que des mouvements d'eau complexes continuaient à remplir le pressuriseur. Vraiment pas de chance décidément.
Et les opérateurs ont été inconscients du problème de la soupape de décharge pendant 2 heures, jusqu'à l'arrivée de l'équipe du matin. Et ils ont été inconscients du problème de la vidange du circuit primaire pendant 3h20.
Du coup, le circuit d'injection d'eau de sécurité automatique ayant été désactivé, et la quantité d'eau diminuant de plus en plus dans le circuit primaire, l'eau a bien sur commencé à bouillir à la sortie du coeur (t = 5min 30s). A bien noter que le circuit d'injection de sécurité a été désactivé, pas seulement arrêté ponctuellement.
b) De la 15ème minute à 2ème heure de l'accident
Le réservoir dans lequel se déversait l'eau du circuit primaire via la soupape s'est rapidement retrouvé plein. Une alarme s'est alors déclenchée. Une température supérieure à la normale a également été détectée dans la canalisation liée à la soupape de décharge, ainsi qu'une température et une pression supérieures dans le bâtiment de confinement. Ceci indiquait clairement qu'il y avait un problème. Mais, au départ, ces indications ont été ignorées par les opérateurs (note : en fait, elles ont été ignorées pendant 3 heures).
Du coup, puisque le réservoir était plein et qu'il continuait à se remplir, le disque de sécurité du réservoir s'est rompu (à T = 15 minutes). Rapidement, le bâtiment de confinement a été inondé d'eau radioactive, une partie de celle-ci a coulé dans les drains du sol et a été aspirée vers les réservoirs du bâtiment auxiliaire. Frederick a pensé à vérifier le niveau du réservoir (sur un instrument situé derrière les panneaux principaux, et non visible de là où il était assis), mais, seulement après la rupture du disque de sécurité. Et à ce moment là, vu que le réservoir se vidait, l'eau était revenue à un niveau normal. Décidément, le sort s'acharnait. La pression dans le bâtiment de confinement a commencé à augmenter.
Suite à ça, pendant encore 1h, alors que plein d'indicateurs permettent déjà de comprendre parfaitement la situation, les opérateurs ne comprennent rien à ce qui se passe.
Concernant le moment ou la première alarme à la radioactivité a commencé à sonner, les sources sont contradictoires. Normalement, ça a du se déclencher quand le réservoir de confinement s'est percé, donc, vers la 15ème minute de l'accident. C'est ce que semble dire le site "Engineering.com", qui dit que rapidement après que le disque de sécurité se soit brisé, l'alarme à la radioactivité à commencé à sonner.
Mais, dans "TMI step by step", il est dit que l'alarme à la radioactivité n'a tout simplement pas sonné. D'autres sources (Everything) disent que les opérateurs se sont aperçu que l'eau était radioactive à la 45ème minute. Et ils mettent ça en liaison avec le fait que l'eau était pompée du bâtiment de confinement vers le bâtiment auxiliaire. Plus précisément, ils disent que quand le réservoir a crevé au niveau de sa base, à la 15ème minute, déversant 250.000 gallons (environ 950 tonnes) d'eau dans l'enceinte de confinement, une pompe a commencé à évacuer automatiquement l'eau vers le bâtiment auxiliaire (en fait vers d'autres réservoirs situés dans le bâtiment auxiliaire). 29 minutes plus tard, les opérateurs se sont rendu compte que l'eau de refroidissement qui était en train d'être transférée vers le bâtiment auxiliaire, était radioactive. Ils ont alors immédiatement coupé la pompe.
Sur la version anglaise de wikipedia, il est dit que ce n'est qu'à T = 2h45, que l'alarme à la radioactivité se déclenche.
Enfin, selon la version française de Wikipédia, c'est à T = 3h12 que l'alerte à la radioactivité se déclenche, parce que l'eau injectée à ce moment dans le bâtiment de confinement là aurait été très radioactive.
Engineering.com se contredit apparemment lui-même, puisqu'il est dit que, juste au moment où Porter arrive dans la salle de contrôle (donc vers 6h du matin, soit à T= 2h), l'eau radioactive se trouvant dans le bâtiment de confinement arrive dans le bâtiment annexe via des canalisations d'évacuation d'eau et que les alarmes de radioactivité se mettent alors à retentir et se mettent en position maximum. Donc, les alarmes auraient retenti bien plus tard.
Pour le problème du moment où s'est déclenché l'alarme à la radioactivité, les choses ne sont donc vraiment pas claires.
Pour en revenir à ce qui se passait par ailleurs, à la 20ème minute, la température et la pression ont commencé à augmenter fortement dans le bâtiment de confinement, à cause de la chaleur de la vapeur. Les opérateurs s'en sont aperçu et ont alors actionné le système de refroidissement du bâtiment de confinement. Il est dit que le fait qu'ils n'aient pas compris que ces conditions résultaient du fait que le circuit primaire perdait son liquide de refroidissement indique une déficience importante dans leur formation pour analyser les symptômes d'un tel accident.
Après un temps qui n'est pas précisé mais qui doit être proche de 45 mn (donc à T = 1h), les pompes du circuit primaire commencent à trembler parce qu'elles pompent plus de vapeur que d'eau. En effet, rapidement, la pression et la température ont été telles que l'eau a commencé à bouillir. Des bulles de vapeur ont commencé à se former, à voyager à travers le circuit et à atteindre les pompes. Ces immenses machines, aussi larges qu'un camion à ciment, et 20 fois plus puissantes, ont commencé à vibrer dangereusement et à être mises à rude épreuve, alors qu'elles luttaient pour pomper le mélange de vapeur et d'eau. La vitesse du flux a commencé à diminuer, faisant monter la température encore un peu plus. Des vibrations comme celles-ci pouvaient faire sauter les joints des rotors de la pompe, faisant ainsi se répandre l'eau du circuit primaire, et rendant les pompes inutilisables. Sachant qu'il n'avait pas le choix, Zewe a ordonné que les pompes soient arrêtées, avant qu'elles ne se détruisent elles-mêmes ainsi que les canalisations auxquelles elles étaient connectées.
Le problème, c'est que la vibration des pompes indiquait elle aussi que le circuit primaire n'avait plus d'eau et donc que la soupape était restée ouverte. Donc, si Zewe voyait que les pompes tremblaient, il aurait du forcément faire ce raisonnement. Mais non, Zewe ne comprend pas.
Donc, à T = 1h13, les opérateurs décident d'arrêter la pompe 1 du circuit primaire. Ils restent encore près de 30 mn sans rien faire, puis, à T = 1h40, ils coupent la pompe 2 du circuit primaire. Ca ne leur pose pas de problème, parce que normalement, avec le réacteur arrêté, les mouvements de convection de la chaleur dans l'eau du circuit primaire doivent être suffisants pour refroidir le cœur. Bref, avec le réacteur arrêté, normalement, il n'y a pas besoin des pompes.
A présent, le seul mouvement d'eau restant dans le circuit est le mouvement de convection naturelle. Ce que les opérateurs ignorent, c'est qu'à cause de la formation de vapeur, des parties du circuit primaire sont désormais bloquées par la vapeur. Du coup, l'eau ne peut pas circuler par la seule convection. Une grosse bulle de vapeur, a commencé à se développer dans la partie supérieure de l'enceinte du réacteur, et a rapidement augmenté de taille. Rapidement, la partie supérieure du coeur a commencé à émerger de l'eau et a commencé à surchauffer.
A un moment se situant dans cette période de temps, Zewe, dans un soudain éclair de lucidité, s'est mis à suspecter que la soupape de décharge aurait bien pu être restée bloquée en position ouverte. Il a demandé à un technicien de lire la température à la sortie de la soupape. Une haute température aurait indiqué que de la vapeur était en train de traverser la soupape, mais le technicien a par erreur lu la température d'une autre sortie de soupape, qui était basse et normale. Du coup, la soupape est restée en position ouverte.
c) L'arrivée de l'équipe du matin à T = 2h
A 6 heures du matin, c'est-à-dire vers T = 2h, l'équipe du matin arrive. L'ingénieur du matin, un homme appelé Ivan Porter, remarque à T = 2h20 mn que la température dans le réservoir de confinement est très élevée (donc, il y avait aussi un détecteur de température dans le réservoir de confinement, en plus d'un détecteur de niveau d'eau). Il voit aussi que la pression du circuit primaire est basse (donc, l'indicateur de pression montrait bien la bonne pression depuis un moment si cet ingénieur a pu voir que la pression était basse), et que la pression du bâtiment de confinement est haute. Il fait le rapprochement entre ces différentes informations. Il suggère alors de fermer une valve de blocage dans le circuit de vapeur, immédiatement derrière la soupape de décharge qui était bloquée. Dès que cela est fait, la pression commence à augmenter à nouveau dans le circuit primaire.
C'est à T = 2h22, soit 40 mn après la dernière action, alors qu'il ne reste plus qu'un mètre d'eau dans le cœur, que l'ingénieur du matin décide de fermer une vanne en aval de la soupape du pressuriseur. Ca arrête la vidange du circuit primaire.
En fait, Porter et les autres ne semblent toujours pas comprendre la situation, puisqu'alors qu'ils devraient injecter de l'eau dans le circuit primaire, ils ne font rien de ce genre. Ce qui serait pourtant logique, puisque si Porter a décidé de fermer la vanne en question, c'est qu'il a compris que le circuit primaire se vidait. Et vu la chaleur et les divers autres problèmes, il devrait être évident pour eux que le circuit primaire est quasiment vide. Du coup, ce n'est qu'une heure après qu'ils décident d'actionner l'injection d'eau de secours.
Selon la version anglaise de Wikipédia, à T = 2h45, c'est-à-dire à 6h45, l'alarme à la radioactivité se déclenche. Information qu'on retrouve sur "TMI step by step". Mais ceux-ci précisent que les opérateurs reçoivent les premières indications montrant que le niveau de radiation est en augmentation.
On ne sait pas pourquoi, mais les opérateurs décident, de relancer à T = 2h54 (30 minutes après la fermeture de la vanne), une pompe du circuit primaire. Du coup, vu qu'il ne reste plus qu'un mètre d'eau dans le cœur, et que celui-ci a été endommagé à cause du manque d'eau, ça brasse de l'eau fortement contaminé (et vu ce qui a déjà été dit plus haut, ça ne doit pas brasser grand-chose. Ca doit tourner quasiment à vide).
A T = 3h, à cause des hautes températures observées dans le cœur, les opérateurs commencent à se demander si celui-ci est émergé ou s'il est encore immergé et donc, commence à se dire que les températures mesurées sont peut-être fausses. Par ailleurs, Gary Miller, le directeur, qui avait déjà eu une conférence téléphonique à 6h du matin avec les responsables présents dans la centrale, arrive dans celle-ci.
20 mn après (T = 3h12), les opérateurs décident (là encore, on ne sait pas pourquoi) d'arrêter la pompe. Immédiatement après, ils décident de rouvrir pendant 5 mn la vanne d'isolement qui fermait la soupape du pressuriseur. L'eau du réacteur se déverse donc à nouveau dans le bâtiment de confinement. Selon la version française de Wikipédia, c'est à ce moment là que l'alerte à la radioactivité se déclenche, parce que l'eau injectée à ce moment dans le bâtiment de confinement là aurait été très radioactive.
Les opérateurs abandonnent alors le bâtiment en hâte et le ferment hermétiquement. Les alarmes se déclenchent un peu partout dans la centrale. Le site est alors déclaré en situation d'urgence, et une évacuation des zones proches de la centrale commencent.
Ce n'est qu'à ce moment là, en entendant l'alerte à la radioactivité, que les opérateurs commencent à comprendre la situation. Ils se disent que l'alerte à la radioactivité signifie que le cœur a été fortement dégradé et qu'il doit manquer d'eau. A 7h20 du matin, soit à T = 3h20, ils mettent en service l'injection de sécurité. C'est-à-dire qu'ils apportent de l'eau dans le circuit primaire et donc noient à nouveau le cœur sous l'eau. Selon le Wikipedia anglais, c'est en fait à 11 heure du matin (soit à T = 7h).
En faisant ça, ils prenaient le risque de créer une explosion de vapeur ou de provoquer une rupture de la cuve à cause du choc thermique. Mais rien de tout ça n'est arrivé, et à T = 3h45, la cuve est à nouveau sous eau.
De façon assez incroyable, il n'était pas encore clair pour les opérateurs qu'ils étaient face à un LOCA (loss of coolant accident), c'est-à-dire, à une perte d'eau dans le circuit primaire.
Ils ont alors essayé de déterminer la température du coeur. Il y avait un certain nombre d'instruments de mesure de la température dans le coeur, contrôlés par ordinateur. Mais l'ordinateur n'avait été calibré que pour mesurer des températures en dessous de 700 degrés. Au dessus, l'ordinateur ne faisait qu'imprimer des points d'interrogation. Les concepteurs du logiciel n'avaient jamais imaginé qu'une température plus élevée que celle-ci serait atteinte.
Porter a alors utilisé un multimètre pour lire les thermocouples directement. Les mesures qu'il fit correspondaient à une température d'environs 10.000 degrés (note : a priori, vu la source, ce sont des Fahrenheits. Donc, environ 5,500 degrés Celsius), sur un certain nombre de thermocouples du coeur. Le technicien ne pouvait tout simplement pas en croire ses yeux. Porter lui-même était près de rejeter les mesures en considérant que les thermocouples étaient défectueux. Mais il nota alors que les températures près du centre étaient plus élevées que celles sur les cotés. C'est à ce moment qu'ils ont été sûrs que le coeur était sévèrement endommagé et qu'il y avait donc eu perte de liquide dans le circuit primaire.
Ils ont alors alterné pendant plusieurs heures, injection d'eau à haute pression et ouverture de la vanne du circuit primaire, pour faire partir petit à petit la bulle de vapeur se trouant dans celui-ci. La situation s'est stabilisée et les pompes du circuit primaire ont pu se remettre en service vers T = 15h49.
Vu que le problème ne peut pas venir des barres de modérations (puisque dans le cas de Tchernobyl, on affirme à l'envie qu'un tel problème ne pouvait pas arriver avec les centrales occidentales), on peut déjà être à peu près sur qu'il vient du système de refroidissement en eau. Et on peut aussi penser a priori qu'il y a eu une longue suite d'incidents pour qu'on en soit arrivé à une fonte partielle du coeur. Et effectivement, quand on analyse ce qui s'est passé, c'est le cas.
1) Le déroulement officiel de "l'accident"
La version officielle est en gros la suivante. Effectivement, c'est le circuit de refroidissement qui a posé problème. Il y a eu une série incroyable de dysfonctionnements qui ont conduit à ce qu'il n'y ait plus assez d'eau dans le coeur, cela sans que les opérateurs ne s'aperçoivent du problème ; ce qui a conduit à une fonte partielle du celui-ci. Heureusement, les opérateurs ont fini par comprendre ce qui se passait, et on réussit à éviter une fonte complète du coeur.
Voici comment les choses se sont déroulées ce 28 mars 1979. Tout s'est passé en à peu près 3h20.
A) Les premiers instants de l'accident
(Note : il y a un petit résumé en fin de sous-chapitre, si vous voulez zapper ce passage)
Un peu avant 4 heures du matin, un problème est apparu avec un des 8 déminéraliseurs d'eau du circuit secondaire. Ce sont des citernes d'eau dans lesquelles l'eau circulant dans le circuit secondaire est déminéralisée. Il semble que ce soit fait à l'aide de perles constituées d'une résine à laquelle les minéraux se collent. Régulièrement donc, il faut enlever les perles en résine usagées, et les remplacer par de nouvelles. C'est une opération faite très régulièrement. Et jusque là, ça n'avait posé de problème que deux fois, sans jamais aboutir à une telle catastrophe.
Seulement cette fois, après avoir isolé cette citerne du flux d'eau général, le flux d'air sous pression, pourtant utilisé plusieurs fois (ainsi qu'un flux d'eau, ou de vapeur), n'a pas réussi à débloquer les perles de résine accumulées. Elles s'étaient en effet agrégées en une masse compacte. William Zewe, le superviseur, a alors appelé Fred Sheimann, un contremaitre, pour aider les 2 opérateurs affectés à cette tache à résoudre le problème.
Une telle chose n'était absolument pas inhabituelle. Ca arrivait régulièrement. Ca arrivait même si souvent qu'on avait installé sur chaque épurateur des 8 citernes des tuyaux d'air sous pression raccordés au système d'aération général. De courts jets d'air sous pressions suffisaient généralement à déloger l'agglomérat de perles de résine.
En plus du système d'aération principale, il y a un deuxième système de conduits d'air sous pression, appelé système d'instruments à air, qui était utilisé pour contrôler pneumatiquement certaines valves dans la centrale. Ce système était essentiel pour la sécurité de la centrale.
Selon la version officielle, ce que les opérateurs ne savaient pas, c'est que quelqu'un, durant la nuit, avait connecté un tuyau en plastique entre ce système d'instruments à air et une canalisation d'eau. D'après certaines hypothèses, il aurait peut-être essayé de pressuriser la canalisation d'eau, ou de connecter les deux systèmes à air ensembles. Cette connexion des deux systèmes était rendue possible par le fait que le système d'instruments à air, le système d'aération principale et les canalisations d'eau de la centrale utilisaient tous les mêmes équipements pneumatiques Chicago. La zone était assez sombre, et les équipements n'étaient pas bien étiquetés. Or, la canalisation d'eau avait plus de pression que le système d'instruments à air. Du coup, toujours selon la théorie officielle, l'eau a commencé à se déverser dans les canalisations d'air. Or, ce système d'instruments à air contrôlait pneumatiquement les valves reliant les déminéraliseurs au circuit secondaire. La fermeture des valves devait donc entrainer le blocage du flux d'eau du circuit secondaire, et aussitôt après, l'arrêt automatique des pompes du circuit secondaire.
Aussi, à 3h57, alors que Scheimann se trouvait au dessus d'un tuyau d'alimentation lorgnant les perles de résine à travers un hublot, l'eau a finalement atteint la soupape pneumatique des déminéraliseurs. Porté par la pression de l'air, il avait voyagé le long du système d'instruments à air, pour finalement entrer dans les soupapes de contrôle.
Pourtant, peu de temps après que la centrale soit entrée en activité, 5 ans plus tôt, en 1974, quelqu'un s'était préoccupé du risque éventuel d'un passage de l'eau dans le système d'instruments à air. On avait bien compris que ça conduirait les valves à se fermer. Un plan fut donc discuté pour modifier le système des valves de contrôle. Si une telle chose arrivait, les valves se bloqueraient dans leur position actuelle. Personne ne sait pourquoi, mais le câblage pour cette modification n'avait jamais été connecté.
B) De la première à la 8ème minute de l'accident : le problème du vaporisateur et du circuit secondaire
Note : il faut bien garder à l'esprit que les évènements décrits dans cette sous-partie se sont déroulés en seulement 8 minutes. Cette partie est peut-être la plus compliquée, mais en même temps la moins importante, puisqu'en fait, la plupart des problèmes ont été résolus rapidement (en 8 mn donc).
Lorsque l'eau est arrivée au niveau des valves, ou en tout cas, que la pression a été suffisamment importante, instantanément, celles-ci se sont fermées violemment. Les valves des 7 autres déminéraliseurs qui étaient restés ouverts se sont fermées en un instant. Un coup de bélier s'est produit, entrainé par le soudain arrêt du flux d'eau. Faust et Frederick ont senti le sol de salle de contrôle trembler alors que le violent choc arrachait les valves de contrôle, fissurait l'enveloppe d'une pompe d'alimentation en eau et brisait les tuyaux. Scheimann a sauté sur le coté juste au moment où le tuyau sur lequel il se trouvait se soulevait violemment. En quelques secondes, tout le bâtiment auxiliaire était rempli de vapeur.
Dans la salle de contrôle, les systèmes automatiques de contrôle de la centrale ont fonctionné de la façon prévue. Avec le système de circulation d'eau bloqué, et le système de contrôle des valves hors service, l'eau ne pouvait plus atteindre les générateurs de vapeur. Du coup, ceux-ci risquaient de s'assécher en quelques secondes et d'entrer en ébullition. Une telle chose ne doit surtout pas arriver. Parce que la trop grande chaleur entrainerait la rupture des tubes. Du coup, l'eau du circuit d'eau primaire se déverserait dans le circuit d'eau secondaire.
Pour empêcher ça, les systèmes automatiques se sont mis en action. 5 secondes après l'arrêt des pompes, la turbine génératrice d'électricité a été arrêtée. En général, ça entraine l'ouverture des valves de contournement, qui déversent alors directement le flux de vapeur du générateur de vapeur vers le condenseur, contournant la turbine.
Mais, le condenseur de Three Mile Island avait une faille légère dans son design. La vapeur venant des valves de contournement était orientée d'une telle façon que si un jet de vapeur soudain se produisait, ça devait souffler l'eau du condenseur dans la pompe à vide du condenseur. C'est exactement ce qui s'est passé. Et la pompe à vide étouffant sous l'eau, s'est arrêtée. Quand le condenseur a perdu la dépression due au vide, il n'a pas pu accepter la vapeur plus longtemps. Du coup, le système de contournement s'est arrêté.
Avec le condenseur hors-service, des tonnes de vapeur d'eau devaient toujours s'évacuer. Aussi, un ensemble de gicleurs externes, appelés déchargeurs atmosphérique, se sont ouverts, envoyant le flux de vapeur vers l'extérieur de la centrale, avec un rugissement assourdissant qui a été entendu à des kilomètres. Des habitants des environs de Middletown et Royalton ont été réveillés par ce premier signe externe de problèmes sur l'ile.
La perte d'alimentation en eau signifiait que la chaleur du réacteur n'avait nul part où aller. Aussi, la température et la pression ont commencé à augmenter. Détectant ça, le système de contrôle a arrêté le réacteur (là aussi 5 secondes après l'arrêt des pompes), et en quelques secondes, toutes les barres de contrôles étaient descendues.
Cependant, le coeur d'un réacteur ne se refroidit pas instantanément une fois les barres de contrôle descendues. La chaleur résiduelle peut encore être de quelques mégawatts. Le générateur de vapeur continuait donc de menacer de bouillir à sec à cause du manque d'eau. Aussi, 3 pompes à eau de secours, 2 électriques et une actionnée via le flux de vapeur ont été automatiquement mises en marche pour fournir le flux d'eau nécessaire aux générateurs de vapeur qui étaient en train de se vider.
Mais il y a eu un nouveau problème. Les vannes qui permettaient le raccordement de ces pompes de secours au circuit secondaire étaient fermées. Un test avait été conduit sur le circuit de secours 42 h avant, entrainant la fermeture des deux vannes (nommées EFW-12 A et B). Et, alors que la procédure exige de façon impérative qu'elles soient immédiatement réouvertes, les opérateurs avaient oublié de le faire. Et aucun opérateur ne savait qu'elles étaient fermées. Les opérateurs auraient du s'en rendre compte, car il y a un voyant lumineux qui permet de voir si la vanne est ouverte ou fermée. Mais une des deux lumières étaient cachée par une étiquette de maintenance et les opérateurs n'ont tout simplement pas prêté attention à la deuxième. En effet, ils ne s'attendaient pas à ce que les vannes soient fermées, vu qu'elles étaient toujours ouvertes d'habitude. Par ailleurs, une des premières choses à vérifier dans la checklist des opérateurs de la salle de contrôle, est que le circuit de secours fonctionne bien. Mais Faust n'a pas vu la lumière de l'indicateur resté visible, et à présumés que les vannes étaient ouvertes, comme elles devaient l'être et l'avaient toujours été avant.
Donc en fait, les pompes de secours marchaient. Mais, le circuit de secours n'était pas ouvert. Donc, l'eau continuait à ne pas circuler dans le circuit secondaire.
A cause du blocage du circuit secondaire, immédiatement, la chaleur et la pression ont augmenté dans le circuit primaire. Aussi, très rapidement, à T = 3 secondes, la soupape de décharge automatique, située en haut du pressuriseur s'est ouverte, relâchant la vapeur du circuit primaire dans un réservoir de confinement. Elle aurait du se refermer automatiquement dès que la pression aurait baissé. Mais malgré un ordre automatique de fermeture, ce ne fut pas le cas. Elle est restée bloquée en position ouverte.
Puisque le réacteur était arrêté, la chaleur dans le circuit primaire a commencé à diminuer. L'eau a commencé à refroidir et donc la pression aussi (la pression diminuant également à cause de la soupape de décharge ouverte). Aussi, le niveau de l'eau dans le pressuriseur a commencé à diminuer. C'était un phénomène prévu. Faust et Frederick ont assisté à la mise en marche automatique, à T = 2 mn, de deux pompes servant à amener de l'eau pour compenser la diminution de volume (pompes de compensation). Ensuite, quand le niveau a continué à baisser, les pompes spéciales pour le système d'injection à haute pression ont été mises en marche pour amener encore plus d'eau dans la cuve du réacteur. A ce moment là, la soupape de décharge aurait du être fermée, mais, comme on l'a vu, ce n'était pas le cas.
Au soulagement général, le niveau d'eau a commencé à se stabiliser. Puis, à l'angoisse générale, il a commencé à monter à nouveau. Craignant que l'effet amortisseur du pressuriseur ne soit bientôt perdu tandis qu'il finissait de se remplir, Faust a arrêté le système d'injection à haute pression du circuit primaire. Mais le niveau a continué à monter. Aussi, il a arrêté les pompes de compensation. Ca a encore continué à monter. Frederick regardait, transpirant à grosses goutes. Il a rappelé les chiffres du niveau d'eau, tandis que l'eau montait dans le pressuriseur jusqu'à ce qu'elle ait presque débordé à travers la soupape de décharge.
Faust, Frédérick et Zewe ont essayé de comprendre la nature du problème. Rien ne collait.
En ce qui concerne le circuit secondaire, le niveau de l'eau continuait à baisser dans les générateurs de vapeur. En fait, l'un des deux était complètement à sec et bouillant. C'est une situation très dangereuse, parce que les générateurs ne sont pas conçus pour atteindre de telles températures. Si un tuyau du générateur de vapeur venait à se fendre ou casser à cause de la chaleur, l'eau radioactive du circuit primaire pourrait se mélanger à l'eau du circuit secondaire et quitter le bâtiment de confinement, ce qui serait catastrophique. Il y avait une confusion considérable concernant la raison initiale pour laquelle le générateur de vapeur (OTSG) était en train de s'assécher et de bouillir. En effet, d'après ce que les opérateurs comprenaient, les pompes de secours d'alimentation en eau étaient en train d'apporter toute l'eau nécessaire à ces générateurs de vapeur. Mais, en réalité, avec les vannes fermées, les pompes ne servaient à rien.
La quantité d'eau disponible dans le circuit primaire est mesurée d'habitude en mesurant le niveau d'eau dans le pressuriseur. Plus d'eau signifie que la bulle de vapeur diminue et que le niveau d'eau monte ; et inversement. Or, alors que le circuit primaire perdait de l'eau très rapidement, les opérateurs ont vu une augmentation du niveau d'eau. L'explication officielle donnée a postériori est que le flux de vapeur sortant vers la soupape de décharge perturbait l'indicateur de niveau d'eau. On peut imaginer que le flux de vapeur vers le haut faisait remonter l'indicateur. Donc, les opérateurs ont été trompés dans leur estimation de la pression à cause de l'indicateur de niveau d'eau.
La température continuait à augmenter dans le circuit primaire, en dépit du fait que le réacteur avait été arrêté. C'était le résultat de l'absence d'apport d'eau de secours aux générateurs de vapeur, permettant d'enlever la chaleur du circuit primaire.
Par ailleurs, la pression baissait dans le circuit primaire. Dans la mesure où la température et la pression vont dans la même direction, dans un système clos, les trois opérateurs étaient complètement perdus face à ce paradoxe. Bien sur, s'ils avaient su que la soupape de décharge était ouverte, ils auraient su qu'ils n'avaient pas du tout à faire à un système fermé.
Une chose était certaine, si la pression tombait trop bas, ou si la température augmentait trop, l'eau du circuit primaire commencerait à bouillir. Si une telle chose arrivait, et si la température augmentait suffisamment dans le coeur, de la vapeur commencerait à se former dans l'enceinte du réacteur. Si suffisamment de vapeur était produite, ça ferait baisser le niveau d'eau dans l'enceinte du réacteur en dessous du niveau des barres d'uranium, les laissant à découvert. La vapeur ne refroidit pas aussi bien que l'eau, et les barres d'uranium seraient sévèrement endommagées par l'accumulation de chaleur. Elles se rompraient rapidement. Au bout d'un certain temps, la mise à découvert du coeur entrainerait que l'uranium pourrait se mettre à fondre, voir à s'enflammer, ou même éventuellement se réarranger de façon plus compacte, ce qui entrainerait la production d'encore plus de chaleur. Ca serait évidemment désastreux. Donc, le coeur ne doit jamais être à découvert.
Trop d'eau dans le circuit primaire serait aussi un problème. Si le pressuriseur, la bulle de vapeur autorisée dans le circuit primaire, était remplie complètement, tout choc soudain ou transitoire pourrait entrainer la rupture des tuyaux du circuit primaire ou endommager les pompes à eau. C'est une chose à éviter à tout prix, puisque la rupture d'un tuyau du circuit primaire est le pire cauchemar des ingénieurs du réacteur. Les opérateurs se voient répéter régulièrement de ne jamais, jamais "remplir le système". Donc, le fait d'être à deux doigts de ce type d'évènement, entrainait une peur palpable dans la salle de contrôle.
Trompés par l'indication du niveau d'eau erronée, les opérateurs ont décidé d'ouvrir les vannes d'éjection et de démarrer les pompes pour évacuer l'eau du circuit primaire. Désormais, l'eau sortait du circuit primaire non plus par une, mais par deux voies de sortie : la soupape de décharge, et le système d'éjection. Réagissant à la perte de pression, les pompes d'injection activées lors d'une situation de basse pression, ont automatiquement commencé à déverser de l'eau dans le circuit primaire. Les opérateurs, ignorant de la situation réelle, les ont arrêtées (à T = 4 mn 38s). Alors que l'eau sortait du réacteur à travers la soupape de décharge, ils avaient tout simplement neutralisé le seul système capable de remplacer l'eau évacuée, et ils en évacuaient encore plus.
Du coup, l'eau s'est mise à bouillir à la sortie du cœur (à T = 5 mn 30s)
A ce moment-là, Faust a parcouru rapidement une fois de plus la checklist de l'alimentation de secours en eau du circuit secondaire. Vérifiant cette fois chaque vanne du système, il a enlevé finalement l'étiquette et a vu les lumières rouges indiquant que les vannes d'alimentation en eau 12A et 12B étaient fermées, bloquant le flux.
Il a alors crié à Zewe : "Les 12 sont fermées !". A T = 8mn 18s, Faust les a alors mises en position ouverte. L'eau froide s'est précipitée dans les tuyaux bouillants du générateur de vapeur. La chaleur du circuit primaire a donc enfin pu être refroidie par le circuit secondaire. L'indicateur de niveau d'eau du pressuriseur s'est alors lentement stabilisé, et la montée de température a commencé à ralentir, mais ralentir seulement.
Résumé : plusieurs erreurs humaines supposées ont conduit à ce que les soupapes de tous les déminéraliseurs se ferment, et donc à ce que le mouvement d'eau dans le circuit secondaire soit bloqué. Les sécurités automatiques ont fonctionné normalement. Elles ont notamment arrêté la réaction nucléaire dans le cœur. Mais, il y a eu deux dysfonctionnements. Le premier, qui a été résolu en 8 minutes, est que les vannes d'alimentation de secours en eau du circuit secondaire étaient restées fermées suite à un contrôle technique récent. Du coup, le circuit secondaire se vidait de son eau. Celui-ci, ainsi que le circuit primaire n'étaient donc plus refroidis et la chaleur augmentait rapidement dans les deux circuits. Heureusement, à la 8ème minute, les opérateurs ont compris le problème et ont ouvert les vannes en question. Le circuit secondaire s'est alors retrouvé alimenté en eau, et a donc été à nouveau refroidi correctement. Le deuxième dysfonctionnement est que la soupape évacuant la vapeur du circuit primaire en cas de surpression avait été ouverte par les sécurités automatiques, mais ne s'était pas refermée. Par ailleurs, les opérateurs ont coupé le système automatique d'injection d'eau dans le circuit primaire (d'abord celui à haute pression, puis celui à basse pression). L'eau partait donc du circuit primaire sans être remplacée. Et celui-ci ne pouvait plus être refroidi. C'est ce problème, qui n'a pas été résolu pendant plus de deux heures, qui a entrainé la fonte du coeur.
C) De la 8ème minute jusqu'à 3h20, une inaction quasi totale malgré la possession des éléments permettant de résoudre le problème
Donc là, on était à la 8ème minute de l'accident. L'accident ayant duré 3h20, ça veut dire que tout ce qui est raconté maintenant dure 3h12, donc beaucoup plus longtemps que la première partie. Les opérateurs ont eu beaucoup plus de temps pour réagir. Et pourtant, pendant 1h52 (jusqu'à T= 2h), ils n'ont rien fait, et pendant encore une 1h20, malgré quelques actions, ils n'ont encore pas compris ce qui se passait.
a) De la 8ème à la 15ème minute : pas de détection de l'ouverture de la soupape du circuit primaire
Pour en revenir au tout début de l'accident, comme on l'a vu, lorsque les pompes principales du circuit de refroidissement secondaire sont tombées en panne, 3 secondes plus tard, pour éviter que la pression n'augmente trop dans le circuit primaire, la soupape de décharge du pressuriseur du circuit primaire s'est ouverte automatiquement. La vapeur a alors commencé à se déverser dans le réservoir étanche du bâtiment de confinement.
C'est surtout cette soupape qui a posé problème durant toute la durée de l'accident. Elle aurait dû se fermer une fois la pression redescendue dans le circuit primaire. Mais malgré l’ordre automatique de fermeture, ce ne fut pas le cas.
L'explication donnée est que la soupape était conçue pour se fermer après avoir évacué une certaine quantité de pression. Mais elle n'était pas fiable. En fait, la valve électromagnétique de décharge, réalisée par les industries Dresser était connue pour avoir des problèmes d'échec à la fermeture. On avait évalué que le nombre moyen de manœuvres d'ouverture/fermeture avant qu'il y ait un échec était de seulement 40 manoeuvres. On pensait que c'était suffisant, parce que la soupape était sensée ne s'ouvrir que rarement (la même vanne sur l'unité 1 de Three Mile Island n'avait jamais été ouverte, sauf lors de tests). Mais le défaut dans la conception du condenseur de l'unité 2 entrainait qu'elle s'ouvrait à chaque arrêt de la turbine génératrice.
Les opérateurs auraient bien sur pu fermer ce circuit de décharge de vapeur manuellement. Mais le problème, c'est que les voyants de contrôle montraient la soupape en position fermée. En effet, le voyant lumineux était mal conçu, et ne réagissait qu'à l'ordre de fermeture, pas à la fermeture réelle. Il suffisait de donner l'ordre de fermeture pour que le voyant indique une position fermée, même si c'était faux. Donc, les opérateurs, croyant le problème réglé, n'ont pas réagi, et la soupape étant toujours ouverte, la pression a continué de diminuer dans le circuit primaire.
Les opérateurs auraient du savoir qu'il y avait un problème avec la soupape, parce qu'il y a bien sur un indicateur de pression d'eau dans le circuit primaire (appelé pressuriseur). Donc, comme la pression diminuait puisque la soupape était toujours ouverte, le problème avec la soupape aurait du être très rapidement détecté. Seulement, là encore, pas de chance, on nous dit (sur Wikipedia) :
"La baisse de pression dans le circuit primaire entraîna le démarrage automatique du circuit d'injection de sécurité (t = 2min 01s), chargé d'amener de l'eau dans le circuit primaire. Cependant, en même temps que la pression baissait, des « vides » (de la vapeur d’eau en fait) se formaient dans le circuit primaire. Ces vides générèrent des mouvements d’eau complexes qui, paradoxalement, remplirent le pressuriseur en eau (pourtant en haut du circuit). L’opérateur, ayant l’information que le pressuriseur était plein, en conclut par erreur que tout le circuit primaire l’était également et arrêta manuellement le circuit d’injection de sécurité (t = 4min 38s)."
Donc, le circuit primaire se vidait, mais on ne pouvait pas le savoir parce que des mouvements d'eau complexes continuaient à remplir le pressuriseur. Vraiment pas de chance décidément.
Et les opérateurs ont été inconscients du problème de la soupape de décharge pendant 2 heures, jusqu'à l'arrivée de l'équipe du matin. Et ils ont été inconscients du problème de la vidange du circuit primaire pendant 3h20.
Du coup, le circuit d'injection d'eau de sécurité automatique ayant été désactivé, et la quantité d'eau diminuant de plus en plus dans le circuit primaire, l'eau a bien sur commencé à bouillir à la sortie du coeur (t = 5min 30s). A bien noter que le circuit d'injection de sécurité a été désactivé, pas seulement arrêté ponctuellement.
b) De la 15ème minute à 2ème heure de l'accident
Le réservoir dans lequel se déversait l'eau du circuit primaire via la soupape s'est rapidement retrouvé plein. Une alarme s'est alors déclenchée. Une température supérieure à la normale a également été détectée dans la canalisation liée à la soupape de décharge, ainsi qu'une température et une pression supérieures dans le bâtiment de confinement. Ceci indiquait clairement qu'il y avait un problème. Mais, au départ, ces indications ont été ignorées par les opérateurs (note : en fait, elles ont été ignorées pendant 3 heures).
Du coup, puisque le réservoir était plein et qu'il continuait à se remplir, le disque de sécurité du réservoir s'est rompu (à T = 15 minutes). Rapidement, le bâtiment de confinement a été inondé d'eau radioactive, une partie de celle-ci a coulé dans les drains du sol et a été aspirée vers les réservoirs du bâtiment auxiliaire. Frederick a pensé à vérifier le niveau du réservoir (sur un instrument situé derrière les panneaux principaux, et non visible de là où il était assis), mais, seulement après la rupture du disque de sécurité. Et à ce moment là, vu que le réservoir se vidait, l'eau était revenue à un niveau normal. Décidément, le sort s'acharnait. La pression dans le bâtiment de confinement a commencé à augmenter.
Suite à ça, pendant encore 1h, alors que plein d'indicateurs permettent déjà de comprendre parfaitement la situation, les opérateurs ne comprennent rien à ce qui se passe.
Concernant le moment ou la première alarme à la radioactivité a commencé à sonner, les sources sont contradictoires. Normalement, ça a du se déclencher quand le réservoir de confinement s'est percé, donc, vers la 15ème minute de l'accident. C'est ce que semble dire le site "Engineering.com", qui dit que rapidement après que le disque de sécurité se soit brisé, l'alarme à la radioactivité à commencé à sonner.
Mais, dans "TMI step by step", il est dit que l'alarme à la radioactivité n'a tout simplement pas sonné. D'autres sources (Everything) disent que les opérateurs se sont aperçu que l'eau était radioactive à la 45ème minute. Et ils mettent ça en liaison avec le fait que l'eau était pompée du bâtiment de confinement vers le bâtiment auxiliaire. Plus précisément, ils disent que quand le réservoir a crevé au niveau de sa base, à la 15ème minute, déversant 250.000 gallons (environ 950 tonnes) d'eau dans l'enceinte de confinement, une pompe a commencé à évacuer automatiquement l'eau vers le bâtiment auxiliaire (en fait vers d'autres réservoirs situés dans le bâtiment auxiliaire). 29 minutes plus tard, les opérateurs se sont rendu compte que l'eau de refroidissement qui était en train d'être transférée vers le bâtiment auxiliaire, était radioactive. Ils ont alors immédiatement coupé la pompe.
Sur la version anglaise de wikipedia, il est dit que ce n'est qu'à T = 2h45, que l'alarme à la radioactivité se déclenche.
Enfin, selon la version française de Wikipédia, c'est à T = 3h12 que l'alerte à la radioactivité se déclenche, parce que l'eau injectée à ce moment dans le bâtiment de confinement là aurait été très radioactive.
Engineering.com se contredit apparemment lui-même, puisqu'il est dit que, juste au moment où Porter arrive dans la salle de contrôle (donc vers 6h du matin, soit à T= 2h), l'eau radioactive se trouvant dans le bâtiment de confinement arrive dans le bâtiment annexe via des canalisations d'évacuation d'eau et que les alarmes de radioactivité se mettent alors à retentir et se mettent en position maximum. Donc, les alarmes auraient retenti bien plus tard.
Pour le problème du moment où s'est déclenché l'alarme à la radioactivité, les choses ne sont donc vraiment pas claires.
Pour en revenir à ce qui se passait par ailleurs, à la 20ème minute, la température et la pression ont commencé à augmenter fortement dans le bâtiment de confinement, à cause de la chaleur de la vapeur. Les opérateurs s'en sont aperçu et ont alors actionné le système de refroidissement du bâtiment de confinement. Il est dit que le fait qu'ils n'aient pas compris que ces conditions résultaient du fait que le circuit primaire perdait son liquide de refroidissement indique une déficience importante dans leur formation pour analyser les symptômes d'un tel accident.
Après un temps qui n'est pas précisé mais qui doit être proche de 45 mn (donc à T = 1h), les pompes du circuit primaire commencent à trembler parce qu'elles pompent plus de vapeur que d'eau. En effet, rapidement, la pression et la température ont été telles que l'eau a commencé à bouillir. Des bulles de vapeur ont commencé à se former, à voyager à travers le circuit et à atteindre les pompes. Ces immenses machines, aussi larges qu'un camion à ciment, et 20 fois plus puissantes, ont commencé à vibrer dangereusement et à être mises à rude épreuve, alors qu'elles luttaient pour pomper le mélange de vapeur et d'eau. La vitesse du flux a commencé à diminuer, faisant monter la température encore un peu plus. Des vibrations comme celles-ci pouvaient faire sauter les joints des rotors de la pompe, faisant ainsi se répandre l'eau du circuit primaire, et rendant les pompes inutilisables. Sachant qu'il n'avait pas le choix, Zewe a ordonné que les pompes soient arrêtées, avant qu'elles ne se détruisent elles-mêmes ainsi que les canalisations auxquelles elles étaient connectées.
Le problème, c'est que la vibration des pompes indiquait elle aussi que le circuit primaire n'avait plus d'eau et donc que la soupape était restée ouverte. Donc, si Zewe voyait que les pompes tremblaient, il aurait du forcément faire ce raisonnement. Mais non, Zewe ne comprend pas.
Donc, à T = 1h13, les opérateurs décident d'arrêter la pompe 1 du circuit primaire. Ils restent encore près de 30 mn sans rien faire, puis, à T = 1h40, ils coupent la pompe 2 du circuit primaire. Ca ne leur pose pas de problème, parce que normalement, avec le réacteur arrêté, les mouvements de convection de la chaleur dans l'eau du circuit primaire doivent être suffisants pour refroidir le cœur. Bref, avec le réacteur arrêté, normalement, il n'y a pas besoin des pompes.
A présent, le seul mouvement d'eau restant dans le circuit est le mouvement de convection naturelle. Ce que les opérateurs ignorent, c'est qu'à cause de la formation de vapeur, des parties du circuit primaire sont désormais bloquées par la vapeur. Du coup, l'eau ne peut pas circuler par la seule convection. Une grosse bulle de vapeur, a commencé à se développer dans la partie supérieure de l'enceinte du réacteur, et a rapidement augmenté de taille. Rapidement, la partie supérieure du coeur a commencé à émerger de l'eau et a commencé à surchauffer.
A un moment se situant dans cette période de temps, Zewe, dans un soudain éclair de lucidité, s'est mis à suspecter que la soupape de décharge aurait bien pu être restée bloquée en position ouverte. Il a demandé à un technicien de lire la température à la sortie de la soupape. Une haute température aurait indiqué que de la vapeur était en train de traverser la soupape, mais le technicien a par erreur lu la température d'une autre sortie de soupape, qui était basse et normale. Du coup, la soupape est restée en position ouverte.
c) L'arrivée de l'équipe du matin à T = 2h
A 6 heures du matin, c'est-à-dire vers T = 2h, l'équipe du matin arrive. L'ingénieur du matin, un homme appelé Ivan Porter, remarque à T = 2h20 mn que la température dans le réservoir de confinement est très élevée (donc, il y avait aussi un détecteur de température dans le réservoir de confinement, en plus d'un détecteur de niveau d'eau). Il voit aussi que la pression du circuit primaire est basse (donc, l'indicateur de pression montrait bien la bonne pression depuis un moment si cet ingénieur a pu voir que la pression était basse), et que la pression du bâtiment de confinement est haute. Il fait le rapprochement entre ces différentes informations. Il suggère alors de fermer une valve de blocage dans le circuit de vapeur, immédiatement derrière la soupape de décharge qui était bloquée. Dès que cela est fait, la pression commence à augmenter à nouveau dans le circuit primaire.
C'est à T = 2h22, soit 40 mn après la dernière action, alors qu'il ne reste plus qu'un mètre d'eau dans le cœur, que l'ingénieur du matin décide de fermer une vanne en aval de la soupape du pressuriseur. Ca arrête la vidange du circuit primaire.
En fait, Porter et les autres ne semblent toujours pas comprendre la situation, puisqu'alors qu'ils devraient injecter de l'eau dans le circuit primaire, ils ne font rien de ce genre. Ce qui serait pourtant logique, puisque si Porter a décidé de fermer la vanne en question, c'est qu'il a compris que le circuit primaire se vidait. Et vu la chaleur et les divers autres problèmes, il devrait être évident pour eux que le circuit primaire est quasiment vide. Du coup, ce n'est qu'une heure après qu'ils décident d'actionner l'injection d'eau de secours.
Selon la version anglaise de Wikipédia, à T = 2h45, c'est-à-dire à 6h45, l'alarme à la radioactivité se déclenche. Information qu'on retrouve sur "TMI step by step". Mais ceux-ci précisent que les opérateurs reçoivent les premières indications montrant que le niveau de radiation est en augmentation.
On ne sait pas pourquoi, mais les opérateurs décident, de relancer à T = 2h54 (30 minutes après la fermeture de la vanne), une pompe du circuit primaire. Du coup, vu qu'il ne reste plus qu'un mètre d'eau dans le cœur, et que celui-ci a été endommagé à cause du manque d'eau, ça brasse de l'eau fortement contaminé (et vu ce qui a déjà été dit plus haut, ça ne doit pas brasser grand-chose. Ca doit tourner quasiment à vide).
A T = 3h, à cause des hautes températures observées dans le cœur, les opérateurs commencent à se demander si celui-ci est émergé ou s'il est encore immergé et donc, commence à se dire que les températures mesurées sont peut-être fausses. Par ailleurs, Gary Miller, le directeur, qui avait déjà eu une conférence téléphonique à 6h du matin avec les responsables présents dans la centrale, arrive dans celle-ci.
20 mn après (T = 3h12), les opérateurs décident (là encore, on ne sait pas pourquoi) d'arrêter la pompe. Immédiatement après, ils décident de rouvrir pendant 5 mn la vanne d'isolement qui fermait la soupape du pressuriseur. L'eau du réacteur se déverse donc à nouveau dans le bâtiment de confinement. Selon la version française de Wikipédia, c'est à ce moment là que l'alerte à la radioactivité se déclenche, parce que l'eau injectée à ce moment dans le bâtiment de confinement là aurait été très radioactive.
Les opérateurs abandonnent alors le bâtiment en hâte et le ferment hermétiquement. Les alarmes se déclenchent un peu partout dans la centrale. Le site est alors déclaré en situation d'urgence, et une évacuation des zones proches de la centrale commencent.
Ce n'est qu'à ce moment là, en entendant l'alerte à la radioactivité, que les opérateurs commencent à comprendre la situation. Ils se disent que l'alerte à la radioactivité signifie que le cœur a été fortement dégradé et qu'il doit manquer d'eau. A 7h20 du matin, soit à T = 3h20, ils mettent en service l'injection de sécurité. C'est-à-dire qu'ils apportent de l'eau dans le circuit primaire et donc noient à nouveau le cœur sous l'eau. Selon le Wikipedia anglais, c'est en fait à 11 heure du matin (soit à T = 7h).
En faisant ça, ils prenaient le risque de créer une explosion de vapeur ou de provoquer une rupture de la cuve à cause du choc thermique. Mais rien de tout ça n'est arrivé, et à T = 3h45, la cuve est à nouveau sous eau.
De façon assez incroyable, il n'était pas encore clair pour les opérateurs qu'ils étaient face à un LOCA (loss of coolant accident), c'est-à-dire, à une perte d'eau dans le circuit primaire.
Ils ont alors essayé de déterminer la température du coeur. Il y avait un certain nombre d'instruments de mesure de la température dans le coeur, contrôlés par ordinateur. Mais l'ordinateur n'avait été calibré que pour mesurer des températures en dessous de 700 degrés. Au dessus, l'ordinateur ne faisait qu'imprimer des points d'interrogation. Les concepteurs du logiciel n'avaient jamais imaginé qu'une température plus élevée que celle-ci serait atteinte.
Porter a alors utilisé un multimètre pour lire les thermocouples directement. Les mesures qu'il fit correspondaient à une température d'environs 10.000 degrés (note : a priori, vu la source, ce sont des Fahrenheits. Donc, environ 5,500 degrés Celsius), sur un certain nombre de thermocouples du coeur. Le technicien ne pouvait tout simplement pas en croire ses yeux. Porter lui-même était près de rejeter les mesures en considérant que les thermocouples étaient défectueux. Mais il nota alors que les températures près du centre étaient plus élevées que celles sur les cotés. C'est à ce moment qu'ils ont été sûrs que le coeur était sévèrement endommagé et qu'il y avait donc eu perte de liquide dans le circuit primaire.
Ils ont alors alterné pendant plusieurs heures, injection d'eau à haute pression et ouverture de la vanne du circuit primaire, pour faire partir petit à petit la bulle de vapeur se trouant dans celui-ci. La situation s'est stabilisée et les pompes du circuit primaire ont pu se remettre en service vers T = 15h49.
