Accident de Three Mile Island, là aussi, très probablement un sabotage gouvernemental 3

3) Une enquête gouvernementale légèrement légère et comme légèrement orientée sur les bords


a) Des conclusions quasi immédiates sur l'absence de sabotage

Comme en Russie pour Tchernobyl, les commissions gouvernementales en charge d'étudier le problème ont conclu extrêmement rapidement à une défaillance technique et ont rejeté tout aussi rapidement la thèse du sabotage.

4 jours après l'accident, le FBI avait déjà annoncé que l'hypothèse du sabotage était écartée et que l'enquête était close.

Le 6 avril, soit 7 jours seulement après l'accident, le FBI a envoyé un télégramme crypté au Cabinet de Crise de la Maison Blanche disant que le sabotage n'était pas la cause de l'accident, selon le membre du NRC (Nuclear Regulatory Commission) Harold Denton. Comme il est dit, il n'y avait pas d'argument raisonnable pouvant conduire Denton à cette conclusion. Le télégramme qui est maintenant aux Archives Nationales est marqué "Encrypté pour raisons de transmission seulement". Des bouts de ce message sont masqués à l'encre noir, alors qu'il est considéré comme "unclassified", ce qui peut vouloir dire "non classifié", ou "non traité". Mais qu'il soit l'un ou l'autre, ça veut tout de même dire qu'il ne devrait pas y avoir ces coups de feutre noir.

Le 7 aout, la commission présidentielle demande au FBI de déterminer la possibilité d'une investigation concernant les circonstances entourant la fermeture des valves des déminéraliseurs. La commission présidentielle avait l'autorité de demander de l'assistance à n'importe quelle agence d'état, et par vote, avait décidé qu'elle avait besoin du FBI. Le FBI prit contact très rapidement. Mais le NRC les informa que les erreurs humaines et les défaillances du matériel étaient la cause de l'accident, et donc, qu'une enquête n'était pas nécessaire.

On rappellera que dans des accidents d'avions, on va carrément rechercher des minuscules morceaux de carlingue au fond des mers, puis on reconstitue l'avion, et on recherche pendant des années ce qui a bien pu causer le problème. Là, alors qu'il s'agit d'un problème de sécurité nationale, on sait dès le départ ce qui a causé le problème.

C'est un peu comme ce qui s'est passé pour les attentats du 11 septembre 2001. Le gouvernement US savait que c'était Al Qaeda le responsable des attentats au bout de même pas une demi-journée.

Donc, il est clair qu'on voulait supprimer toute possibilité d'enquête et enterrer l'affaire le plus vite possible, pour ne retenir que la thèse de l'accident. Forcément, puisque c'était le gouvernement US le responsable du sabotage. C'est sur qu'il n'allait pas orienter l'enquête dans cette direction.


b) Concernant l'analyse des divers problèmes techniques apparus durant l'accident

Sur le problème des vannes du circuit secondaire de secours qui avaient été fermées et pas rouvertes (et dont l'un des voyants lumineux était caché par une étiquette de maintenance), l'enquête interne n'a pas considéré l'éventualité d'une fermeture intentionnelle. Par ailleurs, le NRC a considéré que ça prendrait trop d'effort d'interroger les 750 personnes qui avaient accès à ces vannes. Et finalement, le NRC n'a jamais découvert la cause initiale de ce problème. Géniale comme enquête.

On ne peut pas dire qu'ils soient le moins du monde soupçonneux. Il y a un évènement hyper louche. Mais ils ne considèrent pas la possibilité d'un sabotage. Ben oui, forcément, vu qu'ils étaient de mèche.

Le 15 aout, la commission présidentielle demanda à la NASA de réaliser une inspection sur le système de déminéraliseurs. Les responsables de la centrale n'avaient même pas les dessins techniques de l'engin requis pour une inspection correcte. Comment les inspecteurs du NRC ont-ils pu faire un travail correct sans ces dessins ? Ben ils n'ont pas pu le faire, tout simplement.

Concernant le problème initial du blocage des valves d'un des déminéraliseurs du circuit secondaire, le NRC a émis une hypothèse sur la cause de cet arrêt : à savoir, que le système d'alimentation en eau avait été raccordé au système d'air sous pression. Seulement, lors de la réalisation d'une expérience sur les déminéraliseurs pour vérifier l'hypothèse, ils ont été incapables d'obtenir le résultat attendu. Mais, malgré l'échec de leur expérience, ils n'ont pas cherché une autre raison possible à l'arrêt des pompes. Et ils ne se sont pas inquiétés de ne pas connaitre la cause initiale du problème.

Quand un Airbus se crash, pour la société incriminée, ce n'est jamais la faute du matériel, mais pratiquement toujours celle des pilotes. Idem quand un pétrolier géant coule et répand son pétrole sur les cotes alentours. Alors que là, les opérateurs ne sont responsables de rien. En général, les entreprises ont tendance à refuser d'avouer leur responsabilité dans un accident. Ou quand il s'agit d'une administration, les responsables ne veulent pas que l'accident leur retombe sur le dos et se défaussent vers leurs subordonnés. Mais là, aucun problème, ils avouent que la centrale déconnait à pleins tubes.

Par ailleurs, a priori, comme déjà évoqué plus haut, on n'a pas interrogé les responsables du centre de contrôle pour savoir ce qu'ils avaient pensé aux différents moments de la catastrophe. On s'est juste contenté du fait que les alarmes retentissaient de partout et que ça ne les avait pas aidés. Très léger quand même. Dans toute enquête de ce genre, d'habitude, on essaye de savoir précisément comment les opérateurs comprenaient la situation durant les différents moments de la catastrophe. On demande aux opérateurs pourquoi ils n'ont pas compris la situation, et s'ils ne pensent pas, a posteriori, s'ils auraient pu mieux faire, s'ils n'ont pas fait d'erreur à un moment où à un autre. Pour les pilotes d'avions, c'est toujours comme ça. Mais là, non, on se contente du simple fait que les alarmes les avaient submergés.


c) Des enquêteurs non formés et des retards dans l'enquête

En juin 1979, le NRC, via un groupe d'examen de l'enquête, a reconnu que ses enquêteurs n'avaient pas de formation dans les techniques d'investigation, ou de connaissances des façons de trouver des preuves, ou des procédures d'enquêtes criminelles. Le NRC a voulu également faire croire qu'ils n'avaient pas l'autorité d'obliger les gens à faire des témoignages sous serment, alors qu'en réalité, ils l'avaient.

Le rapport disait également que :

"Un inspecteur expérimenté aurait du être recruté avec l'équipe d'inspection initiale pour collecter des preuves (notes, feuilles de contrôle, etc...), qui ont été perdues durant les premiers jours suivant l'accident".

En plus, le groupe d'examen a constaté que l'enquête du NRC a été gênée par le retard dans la réception des transcriptions des interviews des ouvriers.
On notera encore que les investigateurs de l'enquête appartenant à l'Office de l'Inspection et de la Mise en Oeuvre des Consignes, ne sont arrivés à la centrale que 2 semaines après l'accident. Tout le temps qu'il fallait pour faire disparaitre des preuves compromettantes.

Eh oui, c'est sur que le gouvernement n'avait pas tellement envie d'enquêter, puisque c'était lui qui était à l'origine de "l'accident".

Conclusion : on le voit, le gouvernement a été très léger dans la réalisation de l'enquête et dans les explications données sur "l'accident" (normal, puisque c'est lui qui a réalisé le sabotage). Mais c'est sur qu'à l'époque, avec les médias de masse, il n'y avait vraiment pas à s'inquiéter. On pouvait balancer n'importe quelle version complètement bidon, ça passait sans problème. Ils n'imaginaient pas qu'il y aurait un jour un truc qui s'appellerait Internet qui permettrait aux sceptiques de venir dire que rien de tout ça ne tient debout.


b) Le rapport Rogovin

Mitchell Rogovin, avocat pour clients fortunés (il est engagé d'abord chez Arnold & Porter, dont il devient associé. Puis il fonde sa propre société de juristes : Rogovin, Stern & Huge) et par ailleurs ancien Procureur Général Adjoint du gouvernement et Conseiller en Chef de l'IRS (Internal Revenue Service) dans les années 60, puis conseiller spécial de la CIA (en 75/76), est la personne engagée par le NRC pour diriger l'enquête sur l'accident.

3 ans après, en 1982, sort le rapport Rogovin. Comme par hasard, celui-ci dédouane les opérateurs de la responsabilité de l'accident et met en cause surtout des problèmes organisationnels ainsi que l'avalanche d'alarmes. Le rapport cite un certain nombre de facteurs hors de contrôle des opérateurs ayant participé à l'erreur humaine :

"L'entraînement inadéquat, des procédures insuffisantes, un manque d'habileté au diagnostic de la part du groupe de direction du site, une instrumentation trompeuse, des déficiences de l'installation, et une mauvaise conception de salle de commande. Pour ces fautes, l'industrie et la NRC doivent partager la responsabilité avec M et Ed.

"…Les opérateurs à TMI au début de la matinée du 28 mars se sont trouvés devant des instrumentations trompeuses, des paramètres de réacteurs qu'ils n'avaient jamais été entraînés à comprendre et des procédures qui n'offraient aucune assistance utile."

Bien sur, le but de ce rapport était de dédouaner les 6 traitres. Et Rogovin en était certainement un aussi.


4) Des révélations et des coïncidences louches


a) Les deux seules anomalies trouvées par le NRC

Comme par hasard, le NRC ne trouve rien du tout de bizarre, là où tout est extrêmement louche. Et la seule anomalie qu'il trouve, oriente, là aussi comme par hasard, bien heureusement vers une thèse très bien faite pour détourner les gens de la vérité.

Quelques jours avant l'accident, une inspection surprise du NRC concernant la protection de la centrale a entrainé la découverte d'infractions au contrôle d'accès, alors que les précédentes inspections, qui avaient été annoncée, n'avaient rien trouvé de tel. Par ailleurs, au moment de l'accident, la centrale de TMI n'était pas encore obligée d'utiliser la nouvelle règle de "deux hommes", qui devait empêcher qu'une personne ne se retrouve seule dans une zone vitale. La centrale n'était par ailleurs pas à jour pour d'autres nouvelles mesures de sécurité.

Ces "révélations" sur les anomalies de sécurité, dans la mesure où le sabotage avait été réalisé par des agents du gouvernement, sont en réalité destinées à donner du poids à la thèse éventuelle du complot terroriste. Ce sont des informations données pour faire croire qu'on pouvait entrer dans la centrale comme dans un moulin et se balader où on le voulait ; donc, pour faire croire que ce n'était pas un problème pour des terroristes de s'introduire dans cette centrale.

Alors que c'est tout à fait faux. Déjà, on ne peut pas entrer comme on veut dans une centrale (il y a peu d'entrées, et toutes sont fortement surveillées), ce qui invalide la possibilité d'une action terroriste sans infiltration dans le personnel. Et on ne peut certainement pas non plus se faire embaucher si facilement, sans aucune enquête sur la personne.

Surtout que, dans le cas d'une action terroriste avec infiltration, certains employés de la centrale se seraient volatilisés dans la nature juste après l'accident. Et, vu que l'administration doit conserver des photos du personnel, ils auraient été identifiés rapidement. Or, a priori, ce n'est pas le cas. On n'a jamais eu de révélation comme quoi des terroristes se seraient infiltrés dans le personnel.

Le problème pour le gouvernement américain, c'est que si la thèse du complot terroriste est disqualifiée, et si on doute de la thèse officielle, on se dirige tout droit vers la thèse du complot gouvernemental. D'où la tentative d'orienter les gens soupçonneux vers la thèse du complot terroriste, tout en gardant un gros flou sur le sujet, vu le peu de crédibilité de l'hypothèse et vu l'intention initiale de privilégier la thèse de l'accident.

Tout ça a peut-être été fait pour avoir un plan B au cas où une quantité importante de gens se seraient mis à ne pas croire à la version officielle de l'accident. Mais, il est plus probable que ces débuts d'information ont été laissés à destination des gens les plus soupçonneux, pour les orienter vers une fausse piste. C'est le principe des gatekeepers.

On notera également, que comme par hasard, cette enquête inopinée sur le sérieux des contrôles d'accès a été faite par le NRC lui-même, et ce, quelques jours avant la catastrophe. Eh oui, il fallait une inspection surprise peu de temps avant la catastrophe. Un contrôle du même genre, aboutissant aux mêmes conclusions fait 6 mois avant aurait rendu la thèse du complot terroriste moins facile a défendre, parce que ça aurait du aboutir à des renforcements de la sécurité.

Donc là, a posteriori, on peut même se dire qu'ils en ont un peu trop fait, qu'ils se sont un peu trop révélés. Parce que les quatre éléments suivants : les résultats négatifs de cette inspection surprise, le fait que ce soit une inspection surprise alors qu'il y en avait apparemment pas eu pendant longtemps, le fait que ça ait été fait juste avant la catastrophe, et le fait que ça ait été fait par le NRC lui-même, sont un peu trop beaux pour être vrais. Ils devaient penser que cette petite manipulation ne se serait jamais détectée.

Autre "anomalie" révélée. La commission présidentielle a obtenu un mémo interne de la centrale de TMI qui avait été écrit 10 mois avant l'accident, qui disait : "c'est le moment de faire vraiment quelque chose concernant ce problème avant qu'un grave accident ne se produise. Si les polisseurs (les déminéraliseurs) tombent en panne d'eux mêmes quand la centrale est proche de sa pleine puissance, les dommages en résultant pourraient être très importants".

Là aussi, on trouve fort heureusement un mémo accusant l'élément qui va être soi-disant la cause initiale de l'accident. Là aussi, le hasard est un peu trop beau. Donc, là aussi, on peut penser qu'on a inventé le mémo (ou qu'on l'ait bien créé 10 mois avant) pour pouvoir justifier après coup "l'accident".


b) Dans le même genre, un journal alerte l'opinion sur le faible niveau de sécurité de la centrale

Quelques mois après l'accident, un journaliste du journal "The Guide", un certain Robert Kapler, a alerté l'opinion sur le faible niveau de sécurité à l'intérieur de la centrale. Il a réussi à se faire embaucher comme agent de sécurité. Puis, il a réussi à se promener seul dans des endroits stratégiques de la centrale.

Le but est le même que pour les "révélations" du NRC. C'est une ruse pour détourner l'esprit des gens soupçonneux de l'idée que le sabotage est venu de l'intérieur, de personnes faisant partie de la centrale. Ceci pour les orienter vers l'idée d'un complot terroriste. Peut-être aussi que les instigateurs du complot se sont dit que l'histoire du contrôle inopiné du NRC juste avant la catastrophe paraitrait louche, ou serait insuffisante, et a voulu en augmenter la crédibilité et le poids en ajoutant cette histoire d'infiltration par un journaliste.

Le journaliste qui a réussi à se faire nommer agent de sécurité devait faire parti de l'opération visant à faire croire que n'importe qui peut se faire embaucher dans une centrale nucléaire (et donc, un terroriste). Le fait qu'il ait été pris comme agent de sécurité a du être arrangé.


c) Hollywood sort un film de propagande anti-nucléaire juste au même moment

15 jours avant la catastrophe de Three Mile Island est sorti un film appelé "le syndrome chinois", avec Jane Fonda et Michael Douglas. Il raconte l'histoire d'un incident se passant dans une centrale nucléaire. Cet incident peut mener à la fonte du cœur du réacteur, comme ce qui s'est passé à Three Mile Island. Voici un résumé du film, trouvé sur Wikipédia :

Kimberley Wells, journaliste a la télévision, filme au cours d'un documentaire un incident à la centrale nucléaire de Point Conception. Son caméraman le montre à un ingénieur nucléaire. Dans une centrale nucléaire, à la suite de l'emballement de la réaction nucléaire, le cœur risque de fondre, de tomber dans la cuve, d'attaquer ensuite celle-ci puis d'entamer son chemin à travers la Terre, qu'il traverserait - comme s'il allait arriver jusqu'en Chine, d'où le nom.

Le thème traité par le film qui nous intéresse est que la centrale a des défauts fondamentaux qui risquent d'entrainer une catastrophe à tout moment. De quoi bien faire peur aux gens ordinaires, de quoi bien entretenir la paranoïa envers l'énergie nucléaire.

Bien sur, dans le film, le gouvernement cherche à cacher la dangerosité de la centrale au peuple. Comme ça, quand dans la réalité, un membre du gouvernement, ou un spécialiste de la question nucléaire cherche à défendre cette énergie, les gens influencés par le film vont avoir tendance à ne pas les croire. Et ce n'est pas un sujet de propagande qui n'a été utilisé que dans ce film. On le retrouve régulièrement dans les journaux ou au cinéma depuis des années.

La sortie de ce film juste avant la catastrophe n'est évidemment pas un hasard. Le film est sorti pour augmenter l'impact de "l'accident" de Three Mile Island dans l'imaginaire collectif.

Mais à l'époque, avec les médias de masse rois, et contrôlés par la clique qui dirige le monde, en l'absence d'information alternative, comme tous les journalistes privilégiaient la thèse que la sortie de ce film juste avant la catastrophe était une incroyable coïncidence, tout le monde y a cru.

En plus, comme c'est le genre d'information qui passe rapidement dans les journaux avant d'être remplacée par une autre, les gens n'ont pas le temps de réfléchir au problème. Et à moins d'être sur leur garde, ils acceptent l'information sans plus y penser. Le magma d'informations quotidien empêche de réfléchir vraiment aux différents problèmes présentés, si on n'a pas des connaissances qui permettent dès le départ de douter de l'information. Le recours à l'émotionnel favorise lui aussi l'absence de réflexion.


5) Le mobile du sabotage

Pourquoi le gouvernement US aurait fait une telle chose ? Eh bien, comme pour le gouvernement russe à propos de Tchernobyl, tout simplement pour mettre un coup d'arrêt au développement du nucléaire dans le monde. Comme déjà évoqué dans d'autres articles, le nucléaire est une énergie bon marché qui permet à un état d'être indépendant énergétiquement pendant des années, voir des dizaines d'années avec la mise en place de centrales à surgénération. Et ça, c'est mauvais quand on veut contrôler les pays en question. Alors qu'avec les hydrocarbures (gaz, pétrole, charbon), on peut facilement fermer le robinet en cas de rébellion d'un pays.

En effet, comme pour Tchernobyl, ce n'est pas le gouvernement US en soi qui est derrière le coup, mais la clique qui gouverne le monde.

Le complot contre l'énergie nucléaire s'est fait en deux coups : Three Mile Island, puis Tchernobyl. Three Mile Island a donné un coup sévère au développement du nucléaire dans le monde. Et Tchernobyl a donné le coup de grâce.

Avant le sabotage de Three Mile Island, 70 % des américains étaient pour le nucléaire civil. Juste après "l'accident", ce n'était plus que 50 % (si tant est que le sondage ne soit pas bidon bien sur).

Mais l'opinion des gens, ce n'est pas tout. Il faut compter avec les médias, dont le pouvoir pèse très fortement dans la balance. On pourrait dire que ça compte au minimum pour une correction de l'opinion de + ou - 20 %. Donc, avec des médias d'abord subtilement, puis de plus en plus nettement anti-nucléaires, quand on avait du 70/30 dans l'opinion, on avait en fait plutôt du 50/50. Et quand ensuite, on a eu du 50/50, on avait plutôt du 30/70. Il faut par ailleurs tenir compte de la motivation dans les deux camps. Si d'un coté, on a des gens juste pour sans plus, de bonne composition et de bonne foie ; et de l'autre, des gens qui ont le couteau entre les dents, qui sont très motivés contre le nucléaire, près à être de mauvaise fois pour la cause, ça ne donne pas le même rapport de force. Donc, on peut encore diminuer le rapport de force réelle.

Cela dit, peut-être que les sondages sont bidons. Mais peu importe. Ces gens là n'ont besoin que d'avoir un prétexte à présenter à l'opinion public. Donc, vrai ou pas vrai, le prétexte était là. Et ils pouvaient alors arrêter le programme nucléaire en toute quiétude. C'est comme les armes de destruction massive que le gouvernement américain a mis en avant pour attaquer l'Irak en 2003. Il était évident dès le départ qu'elles n'existaient pas. Mais peu importe. C'est avoir un prétexte à présenter à l'opinion publique qui était important, aussi fallacieux soit-il.

Ensuite, durant le début des années 80, le développement du nucléaire civil a subit un très fort ralentissement dans le monde. Puis, à la fin des années 80, suite à Tchernobyl, il a été presque complètement arrêté.


6) Ce qui a du réellement se passer

Apparemment, cette nuit là, il y avait seulement 3 personnes dans la salle de contrôle : William Zewe (dans certains documents c'est Bill au lieu de William), le superviseur, ainsi que les 2 opérateurs Craig Faust et Edward Frederick. Au passage, ils venaient tous les trois de l'armée.

Une centrale de 2 réacteurs, c'est en moyenne 600 personnes qui y travaillent. Mais la plupart sont des exécutants. Tout se décide dans la salle de contrôle pour l'essentiel. Donc, il suffit que les quelques personnes qui travaillent dans la salle de contrôle soient des traitres, ainsi que 3 ou 4 techniciens travaillant sur le terrain. Les traitres sur le terrain n'ont qu'à déclencher un premier gros dysfonctionnement, pour qu'ensuite, tout se passe à partir de la salle de contrôle. S'il y a des personnes honnêtes dans le staff de la salle de contrôle, on peut aussi les envoyer faire des vérifications dans la centrale pour les éloigner.

Donc, a priori, voilà comment ça s'est passé. 6 personnes au moins étaient des traitres. Les deux opérateurs qui ont saboté les déminéraliseurs et les vannes d'injection de sécurité, le contremaitre Fred Sheimann ; et les 3 opérateurs de la salle de contrôle (Bill Zewe le superviseur, et Craig Faust et Edward Frederick).

A 4 heures, les deux techniciens travaillant sur les déminéraliseurs sabotent ceux-ci. Détail, il y avait une fête organisée avec le personnel juste à ce moment-là (presque à la minute près) pour célébrer la première année de mise en fonctionnement de la centrale. Probablement que les saboteurs en ont profité pour éloigner certaines personnes de l'endroit où allait se passer le sabotage initial. Ensuite, les opérateurs de la salle de contrôle prennent le relais pour continuer le sabotage. Ils avaient préalablement saboté la soupape de décharge pour que celle-ci ne puisse pas se refermer. Les deux opérateurs qui s'occupaient de la tuyauterie avaient fermé les vannes du circuit d'injection d'eau de sécurité du circuit secondaire. Et ils avaient mis aussi une étiquette de maintenance pour masquer le signal de fermeture de la vanne en question, pour justifier qu'ils ne l'aient pas vu durant "l'accident". Peut-être que le logiciel a été simplement saboté pour que certains éléments soient défectueux. Par ailleurs, comme on l'a vu, quelques minutes après le début de "l'accident", ils ont désactivé l'injection d'eau de sécurité automatique.

Il leur était alors facile de jouer ceux qui ne comprenaient pas ce qui se passait, et de laisser l'eau s'échapper lentement du circuit primaire. Ils ont attendu tranquillement pendant trois heures que le celui-ci se vide de son eau et que le cœur fonde en partie. Ils ont joué aussi les imbéciles concernant tous les indicateurs qui auraient pu leur faire se rendre compte de ce qui se passait. Par exemple, ils voyaient en réalité parfaitement que l'indicateur de pression indiquait que celle-ci diminuait. Et les alertes à la radioactivité devaient parfaitement fonctionner.

Ils ont pu effacer toutes les traces de leurs mensonges concernant les indicateurs en purgeant la mémoire de l'imprimante. Et puis, une fois le cœur suffisamment endommagé, et une fois la vapeur radioactive larguée à l'extérieur de la centrale, ils ont remis le coeur sous l'eau. L'objectif était atteint. Ensuite, la commission d'enquête officielle s'est chargée d'enterrer l'affaire vite fait bien fait. Tout a été fait durant la nuit, pour qu'il y ait le moins de réactions possibles.

Cela dit, peut-être qu'en réalité, rien de tout ça ne s'est passé, et que tout était bidonné pour faire croire qu'une telle chose est arrivé. A partir du moment où il y a complot, et où les comploteurs maitrisent les médias de masse à 100 %, on peut tout soupçonner.

Accident de Three Mile Island, là aussi, très probablement un sabotage gouvernemental 2

2) Critique de la version officielle


A) La liste des problèmes techniques ou humains

On a donc une accumulation de 20 problèmes techniques ou humains.

1) Le circuit d'eau qui est raccordé au circuit d'air, ce qui entraine que l'eau s'introduit dans le circuit d'air, ferme les vannes raccordant les déminéraliseurs au circuit secondaire et donc aboutit à l'arrêt des pompes du circuit secondaire.

2) Le fait que le blocage du circuit secondaire à cause des valves des déminéraliseurs avait été prévu, et un système empêchant leur fermeture installé, mais qu'il n'avait jamais été raccordé.

3) le fait que les vannes d'alimentation du circuit de secours secondaire soient restées fermées suite à un test 42h avant. Alors que la procédure indique bien qu'elles doivent être immédiatement rouvertes.

4) Un des indicateurs indiquant la fermeture de ces vannes qui est recouvert d'une étiquette de maintenance, empêchant ainsi les opérateurs de se rendre compte de la fermeture.

5) Le fait que les opérateurs ne soient pas capables de voir que l'indicateur de fermeture/ouverture des vannes est caché par une étiquette de maintenance.

6) Les opérateurs qui ne voient pas l'indicateur de la deuxième vanne, qui lui, n'est pas caché par une étiquette. Et ce, pendant 42h !

7) La présence des deux problèmes précédents alors qu'une des premières choses à vérifier dans la check-list des opérateurs de la salle de contrôle est le flux du circuit de secours grâce aux indicateurs en question.

8) Le design mal conçu du circuit de contournement, dans le circuit secondaire, qui fait que la pompe à vide s'arrête quasi immédiatement, ce qui fait que l'eau doit sortir directement dans l'atmosphère.

9) la soupape de décharge du circuit primaire qui reste ouverte alors qu'elle aurait du se fermer.

10) La désactivation par les opérateurs de l'injection d'eau automatique dans le circuit primaire. Ce qui fait que la perte en eau à cause de la soupape de décharge restée ouverte n'a pas pu être compensée.

11) l'indicateur de la soupape qui n'indique que le fait que l'ordre de fermeture a été donné, mais pas si la soupape est ouverte ou fermée (et donc pas si l'ordre de fermeture a été exécuté avec succès). Ceci alors qu'il est connu que la soupape de décharge a une durée moyenne de seulement 40 réussites avant de connaitre un échec de fermeture.

12) l'indicateur de niveau d'eau du circuit primaire qui dans certains cas, tout de même certainement assez fréquents, ne donne pas la bonne pression, soit disant à cause d'un phénomène qui ferait que l'eau, via des mouvements complexes avec la vapeur, tromperaient l'indicateur ; faisant ainsi croire que le niveau d'eau reste correcte (ou même est au maximum) alors que ce n'est pas le cas. Il est vrai qu'on pensait que c'était suffisant, parce que la soupape était sensée ne s'ouvrir que rarement (la même vanne sur l'unité 1 de Three Mile Island n'avait jamais été ouverte, sauf lors de tests). Mais on savait aussi que le défaut dans la conception du condenseur de l'unité 2 entrainait qu'elle s'ouvrait à chaque arrêt de la turbine génératrice.

13) Le fait que lorsque le réservoir dans lequel se déversait l'eau du circuit primaire via la soupape s'est rapidement retrouvé plein, les opérateurs aient ignoré pendant 3 heures l'alarme qui s'est alors déclenchée.

14) Le fait qu'un opérateur lise le mauvais indicateur quand on lui demande de donner la température à la sortie de la soupape du circuit primaire. Alors que s'il avait lu le bon indicateur, la température élevée affichée aurait montré que la soupape n'était pas fermée.

15) Le fait que les opérateurs aient également ignoré pendant 3h le fait qu'une température supérieure à la normale ait également été détectée dans la canalisation liée à la soupape de décharge.

16) Le fait que les opérateurs aient ignoré pendant 3h l'indication d'une température et une pression supérieures dans le bâtiment de confinement. Ce qui indiquait clairement qu'il y avait un problème.

17) Le fait que les opérateurs n'aient pas observé pendant au moins 2h que les réservoirs du bâtiment auxiliaire recevant l'eau radioactive venant du bâtiment de confinement se remplissaient.

18) Le fait que les alarmes à la radioactivité n'aient pas retenti quand le réservoir de confinement s'est crevé et que l'eau radioactive s'est déversée dans le bâtiment de confinement. Et également le fait que, bizarrement, elles aient fonctionné 3h plus tard (ce qui veut dire qu'elles fonctionnaient). Ou alors, (puisque le fait que les alarmes n'aient pas retentie n'est défendu que dans un document), le fait que les alarmes se soient déclenchées, mais que les opérateurs ne s'en soient pas rendu compte, et ce pendant plus de 3h.

19) Le fait que Fréderick ait consulté l'indicateur de niveau d'eau dans le réservoir de confinement trop tard, c'est à dire après que le disque de sécurité de celui-ci se soit brisé et que le réservoir se soit vidé. Ce qui fait que l'indicateur était revenu à un niveau normal.

20) Le fait que les opérateurs se rendent compte que les pompes du circuit primaire se sont mises à vibrer fortement, qu'ils coupent les pompes en question ; mais qu'ils ne comprennent pas que ça signifie qu'elles pompent plus de vapeur que d'eau et que ça veut donc dire qu'il n'y a plus assez d'eau dans le circuit primaire.


B) Analyse des problèmes techniques et de ceux liés aux opérateurs

Tous ces problèmes, ça fait beaucoup. Ca fait même énorme. Ca fait beaucoup trop pour que la thèse de l'accident soit crédible. Surtout que ce ne sont pas des petits problèmes ou des problèmes logiques ; non, ce sont des problèmes énormes et incroyables.
Quelle est la probabilité que 20 choses aussi incroyables arrivent le même jour dans un endroit aussi contrôlé qu'une centrale ? 1 sur 100 millions ? Non, la seule raison possible à une telle accumulation d'évènements, c'est un sabotage.


- Le problème initial des déminéraliseurs

Ce qui s'est passé à ce moment là est déjà très suspect.

Le fait de raccorder un circuit d'eau au deuxième système pneumatique indique déjà clairement une volonté de sabotage, surtout juste avant une opération de maintenance sur les déminéraliseurs. L'explication fournie selon laquelle quelqu'un aurait peut-être voulu pressuriser le circuit d'eau ou connecter ensemble les deux systèmes pneumatiques en faisant une erreur de connexion semble complètement tirée par les cheveux. Et puis personne n'irait prendre la responsabilité d'une telle chose sans en référer à un responsable. Il est rigoureusement impossible qu'un simple opérateur se soit amusé à faire ça sans ordres venant d'un supérieur hiérarchique. Et si un responsable avait donné un tel ordre, l'opérateur l'ayant exécuté ne se serait pas gêné pour en parler lors de l'enquête. Donc, en réalité, il n'y a aucune explication convaincante à cet acte en dehors d'une volonté de sabotage.

Le fait que les opérateurs n'aient pas vu qu'il y avait un tuyau raccordant le circuit d'eau au système pneumatique contrôlant les valves est très louche. On nous dit qu'il faisait sombre à cet endroit. Comme s'ils travaillaient dans le noir, comme s'il n'y avait pas suffisamment de luminosité pour qu'ils voient ce problème de raccordement non autorisé. Et même si c'était le cas, on peut imaginer qu'ils auraient alors amené des lampes torches.

On se demande d'ailleurs pourquoi tout ça n'est pas arrivé plus tôt, quand le tuyau a été raccordé. La personne (en supposant que ça ait été fait sans volonté de sabotage) qui a raccordé les deux systèmes a du le faire pour se servir immédiatement de ce bricolage. Dans ce cas, ça aurait du déclencher la catastrophe à ce moment là. Peut-être qu'il fallait ouvrir en plus une autre valve pour que l'eau déferle dans le système d'instruments à air. Donc, on ne peut effectivement pas être sur que ça aurait du obligatoirement se produire plus tôt. Mais il y a quand même un gros doute sur ce point.

Par ailleurs, concernant l'enquête réalisée après "l'accident", il est dit que le NRC a émis la présente hypothèse sur la cause de ce blocage des valves des déminéraliseurs. Seulement, lors de la réalisation d'une expérience pour vérifier l'hypothèse, ils ont été incapables d'obtenir le résultat attendu. Donc, le raccordement du circuit d'eau au système pneumatique ne permet pas de bloquer les valves contrôlées par celui-ci. Donc, l'explication officielle concernant les valves qui se seraient bloquées à cause de l'eau sous pression qui se serait introduite dans le circuit pneumatique ne tient pas.

Donc, il est bien possible que le raccordement entre les deux circuits ait été réalisé après coup et qu'en réalité ce qui a causé la fermeture des valves serait un ordre volontaire de la part des opérateurs, ou alors, un sabotage sur un élément du circuit pneumatique, là encore, par les opérateurs.

Par ailleurs, l'histoire de la fermeture des valves des déminéraliseurs a tendance à être simplifiée dans ce qu'on peut lire dans la plupart des descriptions. En fait, c'est seulement le premier déminéraliseur qui a été bloqué. Les valves des 8 autres déminéraliseurs auraient du rester ouvertes et le flux d'eau aurait donc du continuer à passer. Mais elles se sont fermée quasiment en même temps que celles du premier déminéraliseur. L'explication donnée officiellement serait une mystérieuse erreur de connexion qui aurait entrainé que les autres déminéraliseurs devaient se fermer quand le premier le faisait. On aurait donc encore une autre erreur de connexion. Ca commence à faire beaucoup. Et puis, là aussi, on imagine qu'une telle chose ne peut pas se faire sans l'assentiment d'un responsable. Et on peut penser que l'exécutant aurait ensuite donné le nom du responsable à l'origine de l'erreur. Donc, on peut imaginer qu'en fait d'erreur de connexion, celle-ci était en réalité tout à fait volontaire.

Il est dit également qu'on a constaté qu'une canalisation d'air comprimé d'un des déminéraliseurs était cassée. Selon les enquêteurs, l'air ne pouvait pas se déverser dans le déminéraliseur, parce qu'une valve automatique aurait du se fermer alors automatiquement. Seulement, un opérateur a témoigné par la suite avoir entendu de l'air fuir dans le déminéraliseur au moment de l'accident. Une hypothèse avancée par un opérateur est que c'est un coup de bélier qui a cassé la canalisation en question. Mais les enquêteurs du NRC ont estimé par la suite que le coup de bélier n'avait pas été aussi important que l'opérateur l'avait affirmé. Donc, puisque selon les enquêteurs, ça ne pouvait pas être une cause naturelle qui avait causé la cassure de la canalisation d'air, on peut là aussi penser à un sabotage.

http://www.tmia.com/old-website/tmisab.html

Ensuite, un peu plus tard, il y a le problème des vannes du circuit de secours fermées et non rouvertes suit à une intervention 42h avant. Alors que la procédure dit expressément qu'elles doivent être rouvertes. Une "erreur" humaine de plus.

Par ailleurs, autre erreur, les opérateurs ne remarquent pas la lumière indiquant que les vannes sont restées fermées ; pour l'une, parce qu'une étiquette de maintenance cache la lampe, et pour la deuxième tout simplement parce qu'ils ne la remarquent pas. On peut bien sur se poser des questions sur la raison de la présence de l'étiquette de maintenance. Mais c'est surtout, le fait que la lumière qui n'était pas cachée n'ait pas été remarquée pendant 42 heures qui est extrêmement louche (le fait qu'ils n'aient pas tilté sur la présence de l'étiquette de maintenance est louche aussi, mais dans une moindre mesure). Pendant 42h, les opérateurs de la salle de contrôle ont une lumière qui est allumée alors qu'elle ne l'est jamais, ils savent à quoi correspondent cette lumière, et pourtant, ils ne la remarquent pas. Et à ce moment là, on ne peut pas invoquer le fait qu'ils étaient submergés par les alarmes. Donc, c'est très très louche.

Mais il fallait qu'il y ait tout ces dysfonctionnements si on voulait que l'accident arrive. Si le circuit d'eau n'avait pas été raccordé au circuit d'air comprimé commandant les valves du premier déminéraliseur, pas de raison que ce dernier se bloque. Si le circuit d'air comprimé du deuxième déminéraliseur n'avaient pas eu une erreur de connexion, pas de raison non plus que celui-ci se bloque, et du coup, pas de blocage du circuit secondaire. Et si les vannes du circuit de secours avaient été ouvertes, le circuit secondaire aurait été alimenté en eau après quelques secondes de blocage, et alors, pas de problème de montée de température dans le circuit secondaire, et donc, pas non plus dans le circuit primaire. De même, il fallait que les alarmes indiquant pourtant clairement que les vannes étaient fermées soient ignorées par les opérateurs pendant plus de 42 heures. Sinon, s'ils avaient réagi immédiatement, même problème : le circuit secondaire et le circuit primaires n'auraient eu aucun problème de montée en température. Donc, pas d'ouverture de la soupape de décharge dans le circuit primaire et pas de fonte du coeur.

Au passage, le fait d'avoir résolu le problème des vannes bloquées du circuit secondaire n'a rien d'extraordinaire. Dans la mesure où il doit certainement y avoir un indicateur de chaleur dans le circuit secondaire, ils ont très vite vu que le circuit secondaire ne se refroidissait pas. Donc, ça voulait forcément dire que les vannes étaient restées fermées. Je dis ça parce qu'on nous donne l'impression que vu qu'il y avait plein d'évènements qui se passaient, tout devait être super compliqué et que donc, les opérateurs ont réagit de façon très intelligente. Non, c'était complètement basique.


- Le problème de l'indicateur de niveau d'eau pendant les 10 ou 15 premières minutes

La partie de "l'accident" concernant le circuit primaire montre encore mieux la volonté de sabotage.

Déjà, les explications pour justifier la désactivation de l'injection automatique d'eau sont cousues de fil blanc. Cette histoire de l'indicateur de niveau d'eau qui n'indique plus correctement celui-ci quand la soupape décharge est ouverte ne tient absolument pas debout.

Déjà, si les mouvements d'eau et de vapeur avaient été complexes comme on peut le lire dans les comptes-rendus de l'accident, ils auraient également été instables. Donc l'opérateur en charge de l'analyse de la pression aurait du constater des variations continuelles du niveau d'eau.

Dans le même genre d'idée, il semble qu'on nous dise que la pression a augmenté petit à petit. Si l'indicateur de niveau d'eau était perturbé par des mouvements d'eau, en dehors de la situation conduisant à des variations continuelles de pression, éventuellement, il y aurait pu y avoir celle (très peu probable, mais bon, supposons) où l'indicateur aurait été poussé à son maximum en permanence. Mais alors, la pression n'aurait pas augmenté de façon régulière, mais elle aurait été au maximum aussitôt. Mais, en dehors de ces deux situations (variation, ou mise de l'indicateur au maximum), on voit mal comment des mouvements d'eau complexes, donc erratiques, aurait pu engendrer une augmentation progressive du niveau d'eau.

Et puis, une fois que l'injection d'eau a été désactivée, on ne sait pas trop ce qui est arrivé à l'indicateur de niveau d'eau. Est-ce que le problème a été résolu ? A priori, oui, vu qu'il semble qu'on dise que la pression d'eau baissait. Et par la suite, quand l'injection d'eau a été réactivée, il ne semble pas qu'on parle à nouveau de ce problème. Donc, pourquoi y aurait-il eu un dysfonctionnement juste au début ? Mystère. Si c'est parce qu'il y avait encore de l'eau dans le pressuriseur (donc, au tout début du problème, bien avant qu'il y ait surtout de la vapeur dans le circuit primaire), alors ça voudrait dire que ça arriverait essentiellement lors de situations peu éloignées de la normale. Donc, ça devrait arriver quasiment à chaque fois qu'il y a ouverture de la soupape pendant 5 ou 6 minutes. Si la soupape s'ouvre, c'est parce que la chaleur et donc, la pression, deviennent trop important dans le circuit primaire. Donc, il y a de fortes chances pour qu'il y ait alors formation de mouvements de vapeur ou d'eau complexes dans le pressuriseur. Et si ça arrivait souvent, il y a longtemps que les opérateurs s'en seraient aperçus.

Si ça n'était pas connu et résolu, c'est tout simplement que de tels mouvements n'existent pas. C'est une pure invention ad hoc pour expliquer que les opérateurs n'aient pas réagi. Si c'était connu, les concepteurs de la centrale auraient mis d'autres types de détecteurs pour éviter que le problème ne soit pas détecté.

Et par ailleurs, les concepteurs de l'indicateur de niveau d'eau du pressuriseur s'en serait évidemment aperçu lors des tests sur l'indicateur.

On nous dit que quand l'injection de sécurité a été coupée, après quelques minutes, l'indication de niveau d'eau est redescendue. Ca indiquait bien que la pression diminuait. Donc, ça veut dire que l'indicateur de niveau d'eau fonctionnait à nouveau correctement. La baisse progressive de la pression indiquait donc clairement qu'il y avait une perte de liquide. Donc, à ce moment là, les opérateurs auraient du comprendre immédiatement que la soupape était restée ouverte.

Par ailleurs, il devait bien y avoir un indicateur de pression. Là, il s'agissait d'un analyseur de niveau d'eau apparemment. Donc, s'il y avait un analyseur de pression par ailleurs (n'ayant pas de raison de mal fonctionner, lui), il y aurait bien eu un deuxième indicateur contredisant le premier.


- La soupape qui ne peut se fermer que 40 fois

Ensuite, cette histoire de soupape qui ne peut se fermer avec succès que 40 fois avant de connaitre un échec de fermeture est elle aussi fortement suspecte.

On imagine assez mal, pour un élément aussi critique, dans un environnement où les problèmes de sécurité sont cruciaux, qu'on puisse avoir un matériel qui soit si peu fiable. Il est dit que cette soupape était sensée ne fonctionner que très rarement. Mais même très rarement, vu le rôle absolument crucial de cette soupape, il aurait du être hors de question qu'elle ait une fiabilité si faible. Par ailleurs, on voit mal ce qui poserait problème pour la fermeture d'une simple soupape.

Il est dit que le problème était qu'elle était conçue pour ne jamais poser de problème à l'ouverture, mais qu'en contrepartie, elle posait fréquemment des problèmes à la fermeture. Mais dans ce cas, on double la soupape avec une autre soupape en aval, qui elle, n'a pas ces problèmes de fermeture.

Et si cette deuxième soupape est suspectée d'avoir des problèmes à l'ouverture, alors on fait un deuxième circuit de décharge. Comme ça, aucun danger que la pression ne puisse être évacuée, et aucun danger non plus que le liquide du circuit primaire puisse s'échapper à cause d'une défaillance de la soupape à la fermeture.

En tout cas, si on laisse la soupape sans doublon, on fait alors en sorte d'avoir des indicateurs qui donnent précisément la situation de la soupape ; avec des détecteurs redondants bien sur.

Le fait que l'indicateur de la soupape ne signale que le fait que l'ordre d'arrêt ait été donné, mais qu'il n'y ait aucun indicateur donnant exactement la situation de la soupape (ouverte ou fermée) est donc assez incroyable. Pourquoi faire une alarme qui ne sert qu'à dire que l'ordre a bien été donné, alors qu'on sait que la soupape est foireuse et ne peut servir qu'une quarantaine de fois ? Bonjour le truc louche.

Surtout qu'il semble clair que le problème ne vient pas d'une usure trop rapide du mécanisme de la soupape, mais qu'il s'agit d'un problème aléatoire. Donc, un changement de soupape, ou l'entretien de celle-ci n'auraient eu aucun effet sur le nombre de cycles avant le premier échec de fermeture. Le problème devrait donc arriver tôt ou tard dans une centrale. La présence d'indicateurs pour signaler son état réel était donc d'autant plus nécessaire.

La version la plus plausible c'est que la soupape avait une durée de fonctionnement avec succès bien supérieure à ce qu'on nous dit. Cette histoire serait donc une explication ad hoc pour nous faire accepter le fait que la soupape soit tombée en panne juste à ce moment-là. C'est sur qu'avec tous les autres dysfonctionnements et "erreurs" des opérateurs, si le problème de la soupape avait été considéré comme exceptionnel, l'idée d'un sabotage aurait pu venir à l'esprit des gens. Ca aurait pu être la goutte d'eau qui fait déborder le vase. En fait, la soupape devait fonctionner parfaitement, mais, elle a du être sabotée (ou c'est le logiciel commandant sa fermeture qui a été saboté).


- Les opérateurs ne comprennent pas pendant plus de 3h que la soupape est restée ouverte

Le fait que pendant deux heures, les opérateurs ne s'aperçoivent pas que la soupape est restée ouverte est totalement incroyable. C'est clairement l'élément le plus incroyable de tous, celui qui indique clairement la volonté de sabotage.

Il y a trop d'éléments qui montraient que la soupape était restée ouverte pour que les opérateurs n'aient pas pu comprendre qu'elle l'était.

• La température qui monte et la pression qui baisse indiquaient clairement d'où venait le problème

Déjà, le fait le plus évident est que la température continuait à augmenter de plus en plus dans le circuit d'eau primaire alors que la pression diminuait. Si la pression baissait et que la température augmentait, c'est forcément que : soit le système (et donc la soupape) n'était pas fermé et il y avait perte de liquide ; soit l'indicateur de température était déréglé.

La première hypothèse à retenir était qu'il n'y avait pas erreur d'indicateur. Dans ce cas, le fait que la pression diminue alors que la température augmentait montrait sans ambigüité que le système n'était pas fermé. Dans un système fermé, les variations de ces deux mesures vont dans le même sens. Si ça va dans le sens contraire, c'est que le système n'est pas fermé. Et s'il n'était pas fermé, c'était forcément que la soupape ne s'était pas refermée. Et vu la faible fiabilité de la soupape, on ne voit pas ce que les opérateurs auraient pu y trouver d'étonnant. Il aurait pu y avoir une fuite ailleurs bien sur, une brèche dans le circuit primaire. Mais la chose à vérifier en priorité, c'était nettement la soupape de décharge.

Dans le cas où la soupape aurait été fermée et que l'indicateur de température aurait été déréglé, ça veut dire qu'il n'y avait pas péril en la demeure et que tout était normal en réalité. Vu que le circuit secondaire était à nouveau en eau, il était évident que le circuit primaire était refroidi sans problème. Donc, c'était sur le problème éventuel de l'absence de fermeture de la soupape qu'il fallait concentrer les efforts d'analyse.

En fait, il ne pouvait même pas y avoir simplement erreur sur l'indicateur de température, puisque la pression baissait aussi, et s'est rapidement trouvée très basse. S'il n'y avait eu erreur que sur la température (donc elle baissait en réalité), et que la soupape était réellement fermée, alors, la pression aurait du baisser bien sur, mais seulement légèrement. Elle n'aurait pas baissé aussi fortement. Donc, si la soupape était fermée, ça veut dire que les deux indicateurs étaient faux, la température, et la pression. Vu que la probabilité que les deux indicateurs soient défaillants était très faible, ça voulait donc clairement dire que c'était la deuxième solution la bonne : la soupape était restée ouverte, et donc, le circuit primaire perdait du liquide, ce qui faisait baisser la pression et augmenter la température.

Donc, tout devait faire diriger l'analyse en priorité vers l'état de la soupape de décharge ; et seulement après, éventuellement, l'indicateur de température.

Une fois ceci posé, il est clair qu'en plus de vérifier tous les indicateurs pouvant révéler que la soupape était restée ouverte, il fallait faire immédiatement un test de réaction du circuit primaire en fermant la vanne située derrière la soupape de décharge. Si la température était montée moins vite, ou s'était stabilisée, voir s'était mise à descendre, et si la pression s'était mise à remonter, il aurait était immédiatement certain que c'était bien la soupape le problème. Le fait que les opérateurs présents n'aient pas effectués cette opération est là aussi extrêmement louche.

Donc, le fait d'avoir ignoré les 4 ou 5 indicateurs exposant de façon évidente le fait que la soupape de décharge était restée ouverte montre déjà clairement un sabotage. Ces indicateurs étaient suffisants en eux-mêmes pour qu'il n'y ait aucun doute sur l'origine du problème (la soupape). Mais en plus, vu qu'il était déjà parfaitement clair d'un point de vu logique qu'il y avait perte de liquide dans le circuit primaire, le fait d'avoir ignoré ces indicateurs montre sans aucune ambigüité le fait qu'il y a eu sabotage de la part des opérateurs. Quand on sait qu'il n'y a que deux raisons possibles à un phénomène, et qu'on ignore systématiquement les indicateurs désignant clairement l'une de ces deux raisons, et qu'en plus, il est quasi impossible que ce soit l'autre cause (vu qu'ici, le circuit secondaire était en eau), c'est qu'il y a volonté de sabotage. Surtout quand cet aveuglement dure deux heures.

• Des indicateurs ignorés pendant 3 heures

Les éléments permettant de se rendre compte que la soupape de décharge était restée ouverte sont : 1) Le fait que lorsque le réservoir dans lequel se déversait l'eau du circuit primaire via la soupape s'est rapidement retrouvé plein, les opérateurs aient ignoré pendant 3 heures l'alarme qui s'est alors déclenchée. 2) Le fait qu'un opérateur lise le mauvais indicateur quand on lui demande de donner la température à la sortie de la soupape du circuit primaire. 3) Le fait que les opérateurs aient également ignoré pendant 3h le fait qu'une température supérieure à la normale a également été détectée dans le tuyau lié à la soupape de décharge. 4) Le fait que les opérateurs aient ignoré pendant 3h l'indication d'une température et une pression supérieures dans le bâtiment de confinement. Ce qui indiquait clairement qu'il y avait un problème. 5) Le fait que Fréderick ait consulté l'indicateur de niveau d'eau dans le réservoir de confinement trop tard, c'est à dire après que le disque de sécurité de celui-ci se soit brisé et que le réservoir se soit vidé. Ce qui fait que l'indicateur était revenu à un niveau normal.

Concernant les problèmes 1, 3 et 4, ben voilà quoi. Pendant 3 heures, les opérateurs avaient ces indicateurs sous les yeux. Comme on l'a vu, ils savaient forcément que la cause la plus probable au problème rencontré était que la soupape était restée ouverte. Ces indicateurs impliquaient de leur coté forcément que la soupape de décharge était restée ouverte. Et pendant 3h, ils n'ont rien fait. Une telle chose est rigoureusement impossible sans volonté de sabotage. On ne peut pas ignorer systématiquement pendant 3 heures des indicateurs qu'on a sous les yeux sans que ce soit volontaire. Surtout quand on est plusieurs. Déjà, avec une personne seule, c'est complètement incroyable, alors, avec plusieurs personnes, c'est impossible.

Par ailleurs, on peut penser qu'il devait y avoir des indicateurs non précisés dans les divers articles sur "l'accident" qui devaient révéler le problème de la soupape. Par exemple, il devait y avoir d'autres outils pour connaitre la pression dans le circuit primaire. Dans un endroit aussi sensible, il y a évidemment redondance des instruments de mesure, pour que si un tombe en panne, deux ou trois autres puissent être consultés pour savoir ce qui se passe. On nous dit qu'une fois rempli, le réservoir de confinement se déversait ensuite dans l'enceinte de confinement. Là aussi, il devait y avoir un détecteur qui devait indiquer la chose. Et il devait y avoir des détecteurs de radioactivité dans l'enceinte de confinement. Donc, la présence d'eau radioactive aurait du être détectée immédiatement aussi par ce biais là.

Le fait que le technicien devant donner la température à la sortie de la soupape du circuit primaire à Zewe se trompe d'indicateur (pb 2) et lise la température de sortie d'une autre soupape fait un peu goutte d'eau qui fait déborder le vase. Au bout d'un certain nombre "d'erreurs" humaines (connexion du système d'air comprimé et d'eau, mauvaise connexion concernant le deuxième déminéraliseur, non vérification de l'ouverture des vannes, étiquette de maintenance sur un indicateur essentiel, autre indicateur visible mais ignoré, indicateurs systématiquement ignorés pendant 3 heures, etc…), on ne peut plus parler de maladresse ou d'erreurs, on ne peut parler que de traitrise. Mais, c'est sur que si on avait dit que Zewe n'avait pas pensé à ça, ça aurait paru beaucoup trop louche. Donc, on a dit qu'il y avait pensé, mais qu'il y a eu une erreur de lecture.

Concernant le fait que le superviseur ait regardé l'indicateur de remplissage du réservoir de confinement trop tard (pb 5), il faut voir le timing du truc. A la 8ème minute, le problème était réglé pour le circuit secondaire. Donc, les opérateurs pouvaient se concentrer sur le circuit primaire. Ils avaient déjà vu qu'il y avait un problème concernant celui-ci. Donc, ayant enfin le temps, ils auraient du se concentrer sur ce problème (qui est quand même l'élément le plus important de la centrale). Donc, vu qu'entre la 8ème minute et la 15ème, il y avait un indicateur montrant que le réservoir de confinement se remplissait, ils auraient du s'en apercevoir (on peut penser qu'il y avait une alarme le signalant). Ils avaient 7 minutes pour s'en apercevoir. Ensuite, quand le réservoir a été plein, il y a une alarme qui a retentit pendant 3h. Pendant 3h, les opérateurs ne pouvaient pas ne pas se rendre compte de ça. Quand le disque du réservoir de confinement s'est brisé et que l'eau s'est déversée hors du réservoir, un instrument de mesure à indiqué pendant 3h que la chaleur et la pression étaient supérieure à la normale. Les opérateurs ne pouvaient pas non plus passer à coté de ça.

• Autres détails

Par ailleurs, on peut penser qu'ils devaient savoir exactement la quantité de liquide perdu par le circuit primaire. Il doit forcément y avoir un indicateur de remplissage du réservoir. Donc il suffit d'une simple soustraction pour savoir combien d'eau à été perdue par le circuit primaire et combien y avait été injecté par l'injection de sécurité. On sait alors combien d'eau il reste dans le circuit primaire (et en fonction de la température, quelle doit être la pression). Donc, pourquoi, au départ, arrêter le transfert d'eau à cause de la pression alors qu'on devrait savoir qu'en fait, le circuit primaire a perdu déjà beaucoup d'eau et ne peut pas être en situation de surpression ?

Un autre problème, c'est que la vibration des pompes indiquait elle aussi que le circuit primaire n'avait plus d'eau et donc que la soupape était restée ouverte. Si Zewe voyait que les pompes tremblaient, il aurait du forcément faire ce raisonnement. Mais non, Zewe ne comprend pas.

C'est bizarre qu'il n'y ait pas eu une alarme de prévue pour la rupture du disque de sécurité (apparemment, c'est le cas, vu qu'on n'en parle dans aucun des comptes-rendus). Parce que la rupture de ce disque doit être tout de même un problème majeur pour une centrale. Et une fois que l'alarme visuelle commence à tilter, elle ne doit pas s'arrêter. Donc, on doit la voir tôt ou tard.

Autre chose, dans "the nuclear accident at TMI day 1" (part 4), il est dit qu'en fait, l'eau radioactive coulant du bâtiment primaire vers le bâtiment auxiliaire par des pompes via des drains était stockée dans un réservoir dans le bâtiment auxiliaire. Donc, l'eau ne se retrouvait pas dans le bâtiment auxiliaire directement. Et du coup, ça veut dire que là aussi, il devait y avoir des indicateurs de remplissage, des indicateurs de pression, etc… Donc, le remplissage des réservoirs dans le bâtiment auxiliaire aurait du être vu par les opérateurs.

Comme déjà dit plus haut, concernant le moment ou la première alarme à la radioactivité a commencé à sonner, les sources sont contradictoires. Selon les versions, ça s'est déclenché vers la 15ème minute de l'accident ("Engineering.com"), ou alors ça n'a pas sonné à se moment là par défaillance de l'alarme ("TMI step by step"), ou encore les opérateurs se sont aperçus que l'eau était radioactive à la 45ème minute (everything). Ailleurs, il est dit que ce n'est qu'à T = 2h45, que l'alarme à la radioactivité se déclenche (version anglaise de wikipedia). Enfin, selon la version française de Wikipédia, c'est à T = 3h12 que l'alerte à la radioactivité se déclenche. Engineering.com se contredit apparemment lui-même, puisqu'il est dit que l'alarme à la radioactivité retentit juste au moment où Porter arrive dans la salle de contrôle (donc vers 6h du matin, soit à T= 2h). 5 sources qui se contredisent toutes, plus une contradiction dans une source, ça fait beaucoup.

Dans tous les cas, on a un incroyable dysfonctionnement ou une incroyable erreur humaine de plus. Si l'alarme s'est déclenchée à T = 15mn, comme ça serait logique, ça veut dire que très tôt durant "l'accident", les opérateurs avaient un élément très important en plus pour comprendre ce qui se passait concernant la soupape et que là encore, ils n'ont rien compris pendant environ 1h45. Même avec une alarme se déclenchant à la 45ème minute, ça fait encore 1h15 d'encéphalogramme plat. Et si l'alarme ne s'est déclenchée que vers 2h45 ou 3h12, ça veut dire qu'il y a eu dysfonctionnement de l'alarme avant ça (et même de plusieurs alarmes, puisque rapidement, l'eau a été pompée dans des drains qui possédaient apparemment des capteurs de radioactivité), ce qui est tout aussi incroyable (et d'autant plus qu'ensuite, l'alarme aurait fonctionné).

On nous dit qu'à T = 2h (6h du matin), l'ingénieur du matin, Ivan Porter, voit que la pression du circuit primaire est basse. Donc, l'indicateur de pression montrait bien la bonne pression depuis un moment si cet ingénieur a pu voir que la pression était basse. Donc, les opérateurs de la salle de contrôle auraient du s'en apercevoir depuis longtemps. Il remarque aussi que la température dans le réservoir de confinement est très élevée. Donc, il y avait aussi un détecteur de température dans le réservoir de confinement, en plus d'un détecteur de niveau d'eau. Donc, la aussi, les opérateurs auraient du s'apercevoir que l'eau du circuit primaire était en train de se déverser dans le réservoir de confinement.

Vers la fin de la crise, entre T = 2h22 et T = 3h12, on ne comprend pas pourquoi les opérateurs ont fermé la vanne en aval de la soupape du pressuriseur (pour arrêter l'évacuation de l'eau donc), et ont remis une pompe en marche, tout ça sans introduire de l'eau à nouveau. S'ils ont fermé la vanne, c'est qu'ils avaient du se rendre compte que la soupape était toujours ouverte. Et partant de là, ils devaient forcément se rendre compte qu'elle était restée ouverte depuis plus de 2h. Donc, ils savaient que le circuit primaire avait été fortement vidangé. Ils auraient donc du introduire de l'eau de refroidissement en plus. Evidemment, on comprend beaucoup mieux dans le cas où il s'agissait de traitres.

On se demande bien aussi comment ils ont calculé la quantité d'eau à remettre dans le circuit primaire. Parce que si l'indicateur de pression est foireux et déconne dès qu'il y a de la cavitation, ben il n'est absolument pas fiable. Or, vu qu'on se repose apparemment uniquement sur lui pour déterminer la quantité d'eau dans le cœur, on voit mal comment on pourrait savoir combien il y a encore d'eau dans le cœur, et donc, combien d'eau il faut remettre pour que celui-ci soit à nouveau entièrement submergé. Mais comme par hasard, à ce moment-là, l'indicateur ne déconnait plus.


- Des opérateurs soi-disant submergés par les alarmes

Pour expliquer le fait que les opérateurs n'ont pas compris ce qui se passait pendant plus de 3h, on nous dit que les opérateurs étaient submergés par les indicateurs. Ben voyons.

Ils disent que les alarmes s'allumaient partout. Mais de toute façon, l'important, ce sont les indicateurs, pas les alarmes. Et jusqu'à nouvel ordre, les indicateurs, eux, n'étaient pas devenus fous (à part le problème de l'indicateur de la soupape, ce qui faisait seulement 1 indicateur erroné. Et encore, le problème était inhérent à la conception de l'instrument). Donc, il suffisait qu'ils analysent les indicateurs. Et une fois résolu le problème du circuit secondaire, il n'y avait pas 36 choses de changées dans la centrale. Il n'y avait que la température du circuit primaire qui augmentait et la pression qui baissait. Rien de tout cela ne devait être surprenant pour un opérateur. En quand l'eau radioactive s'est déversée dans le réservoir de confinement, puis le bâtiment de confinement et enfin, dans le réservoir du bâtiment auxiliaire, eh bien justement, ça aurait du rendre évidente l'origine du problème (le fait que la soupape soit restée ouverte).

De toutes façons, ils sont sensés être formés à ce genre de situation. On doit les former à ne pas se laisser affoler par les alarmes et à ne regarder que les indicateurs. Et comme on l'a vu, il y avait de nombreux indicateurs qui permettaient de comprendre la situation. Surtout que, come déjà dit, les évènements ne se sont pas passés en 10 minutes, ce qui aurait effectivement justifié que les opérateurs aient pu être noyés sous les alarmes, mais en 3h20, ce qui laissait largement le temps de comprendre la situation, surtout avec tous les ingénieurs présents.

Et comme les barres de contrôle étaient toutes descendues, et que le circuit secondaire était à nouveau en eau, les opérateurs de la salle de contrôle n'avaient quasiment plus aucun problème. Ils pouvaient prendre tout leur temps, vu que le cœur ne conservait encore (avant de refroidir complètement), qu'une chaleur de quelques mégawatts. Et le fait que tout se soit passé si lentement le montre bien. Donc, même s'il y avait réellement des indicateurs qui clignotaient de partout, les opérateurs n'avaient plus de raison de stresser complètement. Ils pouvaient analyser la situation relativement tranquillement.

Et puis, on nous dit que les opérateurs étaient noyés sous les alarmes, mais évidemment, comme par hasard, on ne nous dit pas lesquelles. Si ça avait été le cas, ils auraient dit quelles alarmes clignotaient et en quoi ça les rendaient circonspects, en quoi ça faisait qu'ils ne comprenaient pas ce qui se passait. Ils auraient dit quelles étaient les alarmes qui ont attiré leur attention à tel moment, et pourquoi ça a attiré leur attention. Par ailleurs, dans des circonstances pareilles, on élabore des hypothèses. Mais, pratiquement nul part on ne nous dit les hypothèses élaborées par les opérateurs à tel ou tel moment (sauf vers la toute fin), ce qu'ils ont fait pour vérifier si l'hypothèse en question était bonne, et à quel moment ils se sont aperçus qu'elle était mauvaise. C'est normal, en réalité, ils ne réfléchissaient absolument pas à des hypothèses ; ils savaient très bien ce qui se passait. Ils attendaient tranquillement de refermer la soupape du circuit primaire au moment voulu (ou la vanne se trouvant en avale de celle-ci).

En fait, on ne voit pas trop quelles alarmes n'ayant pas à voir avec le problème qui restait il pouvait encore y avoir. Tout était résolu dans le circuit secondaire. Donc, il ne devait plus y avoir d'alarmes de ce coté là. L'essentiel des alarmes devait être concentré sur ce qui posait problème, à savoir le circuit primaire. Donc, les alarmes en question étaient certainement des alarmes utiles et centrées sur le problème du moment. En aucun cas, on ne peut considérer ça comme une avalanche d'alarmes inutiles déconcentrant les opérateurs du problème principal.

Le plus probable, c'est certainement que toutes les alarmes ne se sont pas mises à fonctionner en même temps, que celles qui sonnaient étaient les alarmes significatives, mais qu'ils ont décidé de les ignorer parce que c'était des traitres, tout simplement.

Concernant les preuves de cette submersion par les alarmes (et les preuves de la façon dont s'est passé l'accident), il semble que tout repose sur les rapports donnés par l'imprimante servant à retranscrire les alarmes de la salle de commande. Or, selon les opérateurs, il y a eu tellement d'alarmes qui se sont déclenchées durant les premiers moments de l'alerte que l'imprimante n'arrivait pas à suivre. Plus le temps passait, et plus elle prenait du retard. Au bout de 2 heures, les opérateurs de la salle de commande ont vidé la mémoire de l'imprimante pour pouvoir imprimer les alarmes de l'instant. Du coup, ces informations sur les alarmes ont comme par hasard été perdues à jamais. Ce qui permettait ainsi aux opérateurs d'inventer cette histoire d'avalanche d'alarmes (et d'absence du déclenchement de l'alarme pour certains évènements) à postériori comme ils le voulaient. Personne ne pouvait plus les contredire.

En tout cas, ça veut dire que pour cette histoire d'avalanche d'alarmes, il n'y a aucune preuve. Il n'y a que sur la bonne fois des opérateurs qu'on doit se reposer.

Cela dit, on a du mal à croire qu'ils ne se reposaient que sur l'imprimante pour avoir un historique des évènements et qu'ils ne pouvaient pas remonter dans le temps avec l'ordinateur (sur l'écran relié à celui-ci) pour voir ce qui s'était passé. Ils auraient ainsi pu vérifier l'évolution de la pression au cours de la dernière heure et voir ce qui s'était passé à ce niveau là.

Accident de Three Mile Island, là aussi, très probablement un sabotage gouvernemental

Pour Three Mile Island, là, pas de problème de barres de modération en graphite qui descendent trop lentement. Et pas de problème de responsables incompétents choisi par le pouvoir centrale, ou de techniciens soi-disant mal formés. Donc, qu'est-ce qu'ils ont pu inventer cette fois pour justifier la fonte du coeur ?

Vu que le problème ne peut pas venir des barres de modérations (puisque dans le cas de Tchernobyl, on affirme à l'envie qu'un tel problème ne pouvait pas arriver avec les centrales occidentales), on peut déjà être à peu près sur qu'il vient du système de refroidissement en eau. Et on peut aussi penser a priori qu'il y a eu une longue suite d'incidents pour qu'on en soit arrivé à une fonte partielle du coeur. Et effectivement, quand on analyse ce qui s'est passé, c'est le cas.


1) Le déroulement officiel de "l'accident"

La version officielle est en gros la suivante. Effectivement, c'est le circuit de refroidissement qui a posé problème. Il y a eu une série incroyable de dysfonctionnements qui ont conduit à ce qu'il n'y ait plus assez d'eau dans le coeur, cela sans que les opérateurs ne s'aperçoivent du problème ; ce qui a conduit à une fonte partielle du celui-ci. Heureusement, les opérateurs ont fini par comprendre ce qui se passait, et on réussit à éviter une fonte complète du coeur.

Voici comment les choses se sont déroulées ce 28 mars 1979. Tout s'est passé en à peu près 3h20.


A) Les premiers instants de l'accident

(Note : il y a un petit résumé en fin de sous-chapitre, si vous voulez zapper ce passage)

Un peu avant 4 heures du matin, un problème est apparu avec un des 8 déminéraliseurs d'eau du circuit secondaire. Ce sont des citernes d'eau dans lesquelles l'eau circulant dans le circuit secondaire est déminéralisée. Il semble que ce soit fait à l'aide de perles constituées d'une résine à laquelle les minéraux se collent. Régulièrement donc, il faut enlever les perles en résine usagées, et les remplacer par de nouvelles. C'est une opération faite très régulièrement. Et jusque là, ça n'avait posé de problème que deux fois, sans jamais aboutir à une telle catastrophe.

Seulement cette fois, après avoir isolé cette citerne du flux d'eau général, le flux d'air sous pression, pourtant utilisé plusieurs fois (ainsi qu'un flux d'eau, ou de vapeur), n'a pas réussi à débloquer les perles de résine accumulées. Elles s'étaient en effet agrégées en une masse compacte. William Zewe, le superviseur, a alors appelé Fred Sheimann, un contremaitre, pour aider les 2 opérateurs affectés à cette tache à résoudre le problème.

Une telle chose n'était absolument pas inhabituelle. Ca arrivait régulièrement. Ca arrivait même si souvent qu'on avait installé sur chaque épurateur des 8 citernes des tuyaux d'air sous pression raccordés au système d'aération général. De courts jets d'air sous pressions suffisaient généralement à déloger l'agglomérat de perles de résine.

En plus du système d'aération principale, il y a un deuxième système de conduits d'air sous pression, appelé système d'instruments à air, qui était utilisé pour contrôler pneumatiquement certaines valves dans la centrale. Ce système était essentiel pour la sécurité de la centrale.

Selon la version officielle, ce que les opérateurs ne savaient pas, c'est que quelqu'un, durant la nuit, avait connecté un tuyau en plastique entre ce système d'instruments à air et une canalisation d'eau. D'après certaines hypothèses, il aurait peut-être essayé de pressuriser la canalisation d'eau, ou de connecter les deux systèmes à air ensembles. Cette connexion des deux systèmes était rendue possible par le fait que le système d'instruments à air, le système d'aération principale et les canalisations d'eau de la centrale utilisaient tous les mêmes équipements pneumatiques Chicago. La zone était assez sombre, et les équipements n'étaient pas bien étiquetés. Or, la canalisation d'eau avait plus de pression que le système d'instruments à air. Du coup, toujours selon la théorie officielle, l'eau a commencé à se déverser dans les canalisations d'air. Or, ce système d'instruments à air contrôlait pneumatiquement les valves reliant les déminéraliseurs au circuit secondaire. La fermeture des valves devait donc entrainer le blocage du flux d'eau du circuit secondaire, et aussitôt après, l'arrêt automatique des pompes du circuit secondaire.

Aussi, à 3h57, alors que Scheimann se trouvait au dessus d'un tuyau d'alimentation lorgnant les perles de résine à travers un hublot, l'eau a finalement atteint la soupape pneumatique des déminéraliseurs. Porté par la pression de l'air, il avait voyagé le long du système d'instruments à air, pour finalement entrer dans les soupapes de contrôle.

Pourtant, peu de temps après que la centrale soit entrée en activité, 5 ans plus tôt, en 1974, quelqu'un s'était préoccupé du risque éventuel d'un passage de l'eau dans le système d'instruments à air. On avait bien compris que ça conduirait les valves à se fermer. Un plan fut donc discuté pour modifier le système des valves de contrôle. Si une telle chose arrivait, les valves se bloqueraient dans leur position actuelle. Personne ne sait pourquoi, mais le câblage pour cette modification n'avait jamais été connecté.


B) De la première à la 8ème minute de l'accident : le problème du vaporisateur et du circuit secondaire

Note : il faut bien garder à l'esprit que les évènements décrits dans cette sous-partie se sont déroulés en seulement 8 minutes. Cette partie est peut-être la plus compliquée, mais en même temps la moins importante, puisqu'en fait, la plupart des problèmes ont été résolus rapidement (en 8 mn donc).

Lorsque l'eau est arrivée au niveau des valves, ou en tout cas, que la pression a été suffisamment importante, instantanément, celles-ci se sont fermées violemment. Les valves des 7 autres déminéraliseurs qui étaient restés ouverts se sont fermées en un instant. Un coup de bélier s'est produit, entrainé par le soudain arrêt du flux d'eau. Faust et Frederick ont senti le sol de salle de contrôle trembler alors que le violent choc arrachait les valves de contrôle, fissurait l'enveloppe d'une pompe d'alimentation en eau et brisait les tuyaux. Scheimann a sauté sur le coté juste au moment où le tuyau sur lequel il se trouvait se soulevait violemment. En quelques secondes, tout le bâtiment auxiliaire était rempli de vapeur.

Dans la salle de contrôle, les systèmes automatiques de contrôle de la centrale ont fonctionné de la façon prévue. Avec le système de circulation d'eau bloqué, et le système de contrôle des valves hors service, l'eau ne pouvait plus atteindre les générateurs de vapeur. Du coup, ceux-ci risquaient de s'assécher en quelques secondes et d'entrer en ébullition. Une telle chose ne doit surtout pas arriver. Parce que la trop grande chaleur entrainerait la rupture des tubes. Du coup, l'eau du circuit d'eau primaire se déverserait dans le circuit d'eau secondaire.

Pour empêcher ça, les systèmes automatiques se sont mis en action. 5 secondes après l'arrêt des pompes, la turbine génératrice d'électricité a été arrêtée. En général, ça entraine l'ouverture des valves de contournement, qui déversent alors directement le flux de vapeur du générateur de vapeur vers le condenseur, contournant la turbine.

Mais, le condenseur de Three Mile Island avait une faille légère dans son design. La vapeur venant des valves de contournement était orientée d'une telle façon que si un jet de vapeur soudain se produisait, ça devait souffler l'eau du condenseur dans la pompe à vide du condenseur. C'est exactement ce qui s'est passé. Et la pompe à vide étouffant sous l'eau, s'est arrêtée. Quand le condenseur a perdu la dépression due au vide, il n'a pas pu accepter la vapeur plus longtemps. Du coup, le système de contournement s'est arrêté.

Avec le condenseur hors-service, des tonnes de vapeur d'eau devaient toujours s'évacuer. Aussi, un ensemble de gicleurs externes, appelés déchargeurs atmosphérique, se sont ouverts, envoyant le flux de vapeur vers l'extérieur de la centrale, avec un rugissement assourdissant qui a été entendu à des kilomètres. Des habitants des environs de Middletown et Royalton ont été réveillés par ce premier signe externe de problèmes sur l'ile.

La perte d'alimentation en eau signifiait que la chaleur du réacteur n'avait nul part où aller. Aussi, la température et la pression ont commencé à augmenter. Détectant ça, le système de contrôle a arrêté le réacteur (là aussi 5 secondes après l'arrêt des pompes), et en quelques secondes, toutes les barres de contrôles étaient descendues.

Cependant, le coeur d'un réacteur ne se refroidit pas instantanément une fois les barres de contrôle descendues. La chaleur résiduelle peut encore être de quelques mégawatts. Le générateur de vapeur continuait donc de menacer de bouillir à sec à cause du manque d'eau. Aussi, 3 pompes à eau de secours, 2 électriques et une actionnée via le flux de vapeur ont été automatiquement mises en marche pour fournir le flux d'eau nécessaire aux générateurs de vapeur qui étaient en train de se vider.

Mais il y a eu un nouveau problème. Les vannes qui permettaient le raccordement de ces pompes de secours au circuit secondaire étaient fermées. Un test avait été conduit sur le circuit de secours 42 h avant, entrainant la fermeture des deux vannes (nommées EFW-12 A et B). Et, alors que la procédure exige de façon impérative qu'elles soient immédiatement réouvertes, les opérateurs avaient oublié de le faire. Et aucun opérateur ne savait qu'elles étaient fermées. Les opérateurs auraient du s'en rendre compte, car il y a un voyant lumineux qui permet de voir si la vanne est ouverte ou fermée. Mais une des deux lumières étaient cachée par une étiquette de maintenance et les opérateurs n'ont tout simplement pas prêté attention à la deuxième. En effet, ils ne s'attendaient pas à ce que les vannes soient fermées, vu qu'elles étaient toujours ouvertes d'habitude. Par ailleurs, une des premières choses à vérifier dans la checklist des opérateurs de la salle de contrôle, est que le circuit de secours fonctionne bien. Mais Faust n'a pas vu la lumière de l'indicateur resté visible, et à présumés que les vannes étaient ouvertes, comme elles devaient l'être et l'avaient toujours été avant.

Donc en fait, les pompes de secours marchaient. Mais, le circuit de secours n'était pas ouvert. Donc, l'eau continuait à ne pas circuler dans le circuit secondaire.

A cause du blocage du circuit secondaire, immédiatement, la chaleur et la pression ont augmenté dans le circuit primaire. Aussi, très rapidement, à T = 3 secondes, la soupape de décharge automatique, située en haut du pressuriseur s'est ouverte, relâchant la vapeur du circuit primaire dans un réservoir de confinement. Elle aurait du se refermer automatiquement dès que la pression aurait baissé. Mais malgré un ordre automatique de fermeture, ce ne fut pas le cas. Elle est restée bloquée en position ouverte.

Puisque le réacteur était arrêté, la chaleur dans le circuit primaire a commencé à diminuer. L'eau a commencé à refroidir et donc la pression aussi (la pression diminuant également à cause de la soupape de décharge ouverte). Aussi, le niveau de l'eau dans le pressuriseur a commencé à diminuer. C'était un phénomène prévu. Faust et Frederick ont assisté à la mise en marche automatique, à T = 2 mn, de deux pompes servant à amener de l'eau pour compenser la diminution de volume (pompes de compensation). Ensuite, quand le niveau a continué à baisser, les pompes spéciales pour le système d'injection à haute pression ont été mises en marche pour amener encore plus d'eau dans la cuve du réacteur. A ce moment là, la soupape de décharge aurait du être fermée, mais, comme on l'a vu, ce n'était pas le cas.

Au soulagement général, le niveau d'eau a commencé à se stabiliser. Puis, à l'angoisse générale, il a commencé à monter à nouveau. Craignant que l'effet amortisseur du pressuriseur ne soit bientôt perdu tandis qu'il finissait de se remplir, Faust a arrêté le système d'injection à haute pression du circuit primaire. Mais le niveau a continué à monter. Aussi, il a arrêté les pompes de compensation. Ca a encore continué à monter. Frederick regardait, transpirant à grosses goutes. Il a rappelé les chiffres du niveau d'eau, tandis que l'eau montait dans le pressuriseur jusqu'à ce qu'elle ait presque débordé à travers la soupape de décharge.

Faust, Frédérick et Zewe ont essayé de comprendre la nature du problème. Rien ne collait.

En ce qui concerne le circuit secondaire, le niveau de l'eau continuait à baisser dans les générateurs de vapeur. En fait, l'un des deux était complètement à sec et bouillant. C'est une situation très dangereuse, parce que les générateurs ne sont pas conçus pour atteindre de telles températures. Si un tuyau du générateur de vapeur venait à se fendre ou casser à cause de la chaleur, l'eau radioactive du circuit primaire pourrait se mélanger à l'eau du circuit secondaire et quitter le bâtiment de confinement, ce qui serait catastrophique. Il y avait une confusion considérable concernant la raison initiale pour laquelle le générateur de vapeur (OTSG) était en train de s'assécher et de bouillir. En effet, d'après ce que les opérateurs comprenaient, les pompes de secours d'alimentation en eau étaient en train d'apporter toute l'eau nécessaire à ces générateurs de vapeur. Mais, en réalité, avec les vannes fermées, les pompes ne servaient à rien.

La quantité d'eau disponible dans le circuit primaire est mesurée d'habitude en mesurant le niveau d'eau dans le pressuriseur. Plus d'eau signifie que la bulle de vapeur diminue et que le niveau d'eau monte ; et inversement. Or, alors que le circuit primaire perdait de l'eau très rapidement, les opérateurs ont vu une augmentation du niveau d'eau. L'explication officielle donnée a postériori est que le flux de vapeur sortant vers la soupape de décharge perturbait l'indicateur de niveau d'eau. On peut imaginer que le flux de vapeur vers le haut faisait remonter l'indicateur. Donc, les opérateurs ont été trompés dans leur estimation de la pression à cause de l'indicateur de niveau d'eau.

La température continuait à augmenter dans le circuit primaire, en dépit du fait que le réacteur avait été arrêté. C'était le résultat de l'absence d'apport d'eau de secours aux générateurs de vapeur, permettant d'enlever la chaleur du circuit primaire.

Par ailleurs, la pression baissait dans le circuit primaire. Dans la mesure où la température et la pression vont dans la même direction, dans un système clos, les trois opérateurs étaient complètement perdus face à ce paradoxe. Bien sur, s'ils avaient su que la soupape de décharge était ouverte, ils auraient su qu'ils n'avaient pas du tout à faire à un système fermé.

Une chose était certaine, si la pression tombait trop bas, ou si la température augmentait trop, l'eau du circuit primaire commencerait à bouillir. Si une telle chose arrivait, et si la température augmentait suffisamment dans le coeur, de la vapeur commencerait à se former dans l'enceinte du réacteur. Si suffisamment de vapeur était produite, ça ferait baisser le niveau d'eau dans l'enceinte du réacteur en dessous du niveau des barres d'uranium, les laissant à découvert. La vapeur ne refroidit pas aussi bien que l'eau, et les barres d'uranium seraient sévèrement endommagées par l'accumulation de chaleur. Elles se rompraient rapidement. Au bout d'un certain temps, la mise à découvert du coeur entrainerait que l'uranium pourrait se mettre à fondre, voir à s'enflammer, ou même éventuellement se réarranger de façon plus compacte, ce qui entrainerait la production d'encore plus de chaleur. Ca serait évidemment désastreux. Donc, le coeur ne doit jamais être à découvert.

Trop d'eau dans le circuit primaire serait aussi un problème. Si le pressuriseur, la bulle de vapeur autorisée dans le circuit primaire, était remplie complètement, tout choc soudain ou transitoire pourrait entrainer la rupture des tuyaux du circuit primaire ou endommager les pompes à eau. C'est une chose à éviter à tout prix, puisque la rupture d'un tuyau du circuit primaire est le pire cauchemar des ingénieurs du réacteur. Les opérateurs se voient répéter régulièrement de ne jamais, jamais "remplir le système". Donc, le fait d'être à deux doigts de ce type d'évènement, entrainait une peur palpable dans la salle de contrôle.

Trompés par l'indication du niveau d'eau erronée, les opérateurs ont décidé d'ouvrir les vannes d'éjection et de démarrer les pompes pour évacuer l'eau du circuit primaire. Désormais, l'eau sortait du circuit primaire non plus par une, mais par deux voies de sortie : la soupape de décharge, et le système d'éjection. Réagissant à la perte de pression, les pompes d'injection activées lors d'une situation de basse pression, ont automatiquement commencé à déverser de l'eau dans le circuit primaire. Les opérateurs, ignorant de la situation réelle, les ont arrêtées (à T = 4 mn 38s). Alors que l'eau sortait du réacteur à travers la soupape de décharge, ils avaient tout simplement neutralisé le seul système capable de remplacer l'eau évacuée, et ils en évacuaient encore plus.

Du coup, l'eau s'est mise à bouillir à la sortie du cœur (à T = 5 mn 30s)

A ce moment-là, Faust a parcouru rapidement une fois de plus la checklist de l'alimentation de secours en eau du circuit secondaire. Vérifiant cette fois chaque vanne du système, il a enlevé finalement l'étiquette et a vu les lumières rouges indiquant que les vannes d'alimentation en eau 12A et 12B étaient fermées, bloquant le flux.

Il a alors crié à Zewe : "Les 12 sont fermées !". A T = 8mn 18s, Faust les a alors mises en position ouverte. L'eau froide s'est précipitée dans les tuyaux bouillants du générateur de vapeur. La chaleur du circuit primaire a donc enfin pu être refroidie par le circuit secondaire. L'indicateur de niveau d'eau du pressuriseur s'est alors lentement stabilisé, et la montée de température a commencé à ralentir, mais ralentir seulement.

Résumé : plusieurs erreurs humaines supposées ont conduit à ce que les soupapes de tous les déminéraliseurs se ferment, et donc à ce que le mouvement d'eau dans le circuit secondaire soit bloqué. Les sécurités automatiques ont fonctionné normalement. Elles ont notamment arrêté la réaction nucléaire dans le cœur. Mais, il y a eu deux dysfonctionnements. Le premier, qui a été résolu en 8 minutes, est que les vannes d'alimentation de secours en eau du circuit secondaire étaient restées fermées suite à un contrôle technique récent. Du coup, le circuit secondaire se vidait de son eau. Celui-ci, ainsi que le circuit primaire n'étaient donc plus refroidis et la chaleur augmentait rapidement dans les deux circuits. Heureusement, à la 8ème minute, les opérateurs ont compris le problème et ont ouvert les vannes en question. Le circuit secondaire s'est alors retrouvé alimenté en eau, et a donc été à nouveau refroidi correctement. Le deuxième dysfonctionnement est que la soupape évacuant la vapeur du circuit primaire en cas de surpression avait été ouverte par les sécurités automatiques, mais ne s'était pas refermée. Par ailleurs, les opérateurs ont coupé le système automatique d'injection d'eau dans le circuit primaire (d'abord celui à haute pression, puis celui à basse pression). L'eau partait donc du circuit primaire sans être remplacée. Et celui-ci ne pouvait plus être refroidi. C'est ce problème, qui n'a pas été résolu pendant plus de deux heures, qui a entrainé la fonte du coeur.


C) De la 8ème minute jusqu'à 3h20, une inaction quasi totale malgré la possession des éléments permettant de résoudre le problème

Donc là, on était à la 8ème minute de l'accident. L'accident ayant duré 3h20, ça veut dire que tout ce qui est raconté maintenant dure 3h12, donc beaucoup plus longtemps que la première partie. Les opérateurs ont eu beaucoup plus de temps pour réagir. Et pourtant, pendant 1h52 (jusqu'à T= 2h), ils n'ont rien fait, et pendant encore une 1h20, malgré quelques actions, ils n'ont encore pas compris ce qui se passait.

a) De la 8ème à la 15ème minute : pas de détection de l'ouverture de la soupape du circuit primaire

Pour en revenir au tout début de l'accident, comme on l'a vu, lorsque les pompes principales du circuit de refroidissement secondaire sont tombées en panne, 3 secondes plus tard, pour éviter que la pression n'augmente trop dans le circuit primaire, la soupape de décharge du pressuriseur du circuit primaire s'est ouverte automatiquement. La vapeur a alors commencé à se déverser dans le réservoir étanche du bâtiment de confinement.

C'est surtout cette soupape qui a posé problème durant toute la durée de l'accident. Elle aurait dû se fermer une fois la pression redescendue dans le circuit primaire. Mais malgré l’ordre automatique de fermeture, ce ne fut pas le cas.

L'explication donnée est que la soupape était conçue pour se fermer après avoir évacué une certaine quantité de pression. Mais elle n'était pas fiable. En fait, la valve électromagnétique de décharge, réalisée par les industries Dresser était connue pour avoir des problèmes d'échec à la fermeture. On avait évalué que le nombre moyen de manœuvres d'ouverture/fermeture avant qu'il y ait un échec était de seulement 40 manoeuvres. On pensait que c'était suffisant, parce que la soupape était sensée ne s'ouvrir que rarement (la même vanne sur l'unité 1 de Three Mile Island n'avait jamais été ouverte, sauf lors de tests). Mais le défaut dans la conception du condenseur de l'unité 2 entrainait qu'elle s'ouvrait à chaque arrêt de la turbine génératrice.

Les opérateurs auraient bien sur pu fermer ce circuit de décharge de vapeur manuellement. Mais le problème, c'est que les voyants de contrôle montraient la soupape en position fermée. En effet, le voyant lumineux était mal conçu, et ne réagissait qu'à l'ordre de fermeture, pas à la fermeture réelle. Il suffisait de donner l'ordre de fermeture pour que le voyant indique une position fermée, même si c'était faux. Donc, les opérateurs, croyant le problème réglé, n'ont pas réagi, et la soupape étant toujours ouverte, la pression a continué de diminuer dans le circuit primaire.

Les opérateurs auraient du savoir qu'il y avait un problème avec la soupape, parce qu'il y a bien sur un indicateur de pression d'eau dans le circuit primaire (appelé pressuriseur). Donc, comme la pression diminuait puisque la soupape était toujours ouverte, le problème avec la soupape aurait du être très rapidement détecté. Seulement, là encore, pas de chance, on nous dit (sur Wikipedia) :

"La baisse de pression dans le circuit primaire entraîna le démarrage automatique du circuit d'injection de sécurité (t = 2min 01s), chargé d'amener de l'eau dans le circuit primaire. Cependant, en même temps que la pression baissait, des « vides » (de la vapeur d’eau en fait) se formaient dans le circuit primaire. Ces vides générèrent des mouvements d’eau complexes qui, paradoxalement, remplirent le pressuriseur en eau (pourtant en haut du circuit). L’opérateur, ayant l’information que le pressuriseur était plein, en conclut par erreur que tout le circuit primaire l’était également et arrêta manuellement le circuit d’injection de sécurité (t = 4min 38s)."

Donc, le circuit primaire se vidait, mais on ne pouvait pas le savoir parce que des mouvements d'eau complexes continuaient à remplir le pressuriseur. Vraiment pas de chance décidément.

Et les opérateurs ont été inconscients du problème de la soupape de décharge pendant 2 heures, jusqu'à l'arrivée de l'équipe du matin. Et ils ont été inconscients du problème de la vidange du circuit primaire pendant 3h20.

Du coup, le circuit d'injection d'eau de sécurité automatique ayant été désactivé, et la quantité d'eau diminuant de plus en plus dans le circuit primaire, l'eau a bien sur commencé à bouillir à la sortie du coeur (t = 5min 30s). A bien noter que le circuit d'injection de sécurité a été désactivé, pas seulement arrêté ponctuellement.

b) De la 15ème minute à 2ème heure de l'accident

Le réservoir dans lequel se déversait l'eau du circuit primaire via la soupape s'est rapidement retrouvé plein. Une alarme s'est alors déclenchée. Une température supérieure à la normale a également été détectée dans la canalisation liée à la soupape de décharge, ainsi qu'une température et une pression supérieures dans le bâtiment de confinement. Ceci indiquait clairement qu'il y avait un problème. Mais, au départ, ces indications ont été ignorées par les opérateurs (note : en fait, elles ont été ignorées pendant 3 heures).

Du coup, puisque le réservoir était plein et qu'il continuait à se remplir, le disque de sécurité du réservoir s'est rompu (à T = 15 minutes). Rapidement, le bâtiment de confinement a été inondé d'eau radioactive, une partie de celle-ci a coulé dans les drains du sol et a été aspirée vers les réservoirs du bâtiment auxiliaire. Frederick a pensé à vérifier le niveau du réservoir (sur un instrument situé derrière les panneaux principaux, et non visible de là où il était assis), mais, seulement après la rupture du disque de sécurité. Et à ce moment là, vu que le réservoir se vidait, l'eau était revenue à un niveau normal. Décidément, le sort s'acharnait. La pression dans le bâtiment de confinement a commencé à augmenter.

Suite à ça, pendant encore 1h, alors que plein d'indicateurs permettent déjà de comprendre parfaitement la situation, les opérateurs ne comprennent rien à ce qui se passe.

Concernant le moment ou la première alarme à la radioactivité a commencé à sonner, les sources sont contradictoires. Normalement, ça a du se déclencher quand le réservoir de confinement s'est percé, donc, vers la 15ème minute de l'accident. C'est ce que semble dire le site "Engineering.com", qui dit que rapidement après que le disque de sécurité se soit brisé, l'alarme à la radioactivité à commencé à sonner.

Mais, dans "TMI step by step", il est dit que l'alarme à la radioactivité n'a tout simplement pas sonné. D'autres sources (Everything) disent que les opérateurs se sont aperçu que l'eau était radioactive à la 45ème minute. Et ils mettent ça en liaison avec le fait que l'eau était pompée du bâtiment de confinement vers le bâtiment auxiliaire. Plus précisément, ils disent que quand le réservoir a crevé au niveau de sa base, à la 15ème minute, déversant 250.000 gallons (environ 950 tonnes) d'eau dans l'enceinte de confinement, une pompe a commencé à évacuer automatiquement l'eau vers le bâtiment auxiliaire (en fait vers d'autres réservoirs situés dans le bâtiment auxiliaire). 29 minutes plus tard, les opérateurs se sont rendu compte que l'eau de refroidissement qui était en train d'être transférée vers le bâtiment auxiliaire, était radioactive. Ils ont alors immédiatement coupé la pompe.

Sur la version anglaise de wikipedia, il est dit que ce n'est qu'à T = 2h45, que l'alarme à la radioactivité se déclenche.

Enfin, selon la version française de Wikipédia, c'est à T = 3h12 que l'alerte à la radioactivité se déclenche, parce que l'eau injectée à ce moment dans le bâtiment de confinement là aurait été très radioactive.

Engineering.com se contredit apparemment lui-même, puisqu'il est dit que, juste au moment où Porter arrive dans la salle de contrôle (donc vers 6h du matin, soit à T= 2h), l'eau radioactive se trouvant dans le bâtiment de confinement arrive dans le bâtiment annexe via des canalisations d'évacuation d'eau et que les alarmes de radioactivité se mettent alors à retentir et se mettent en position maximum. Donc, les alarmes auraient retenti bien plus tard.

Pour le problème du moment où s'est déclenché l'alarme à la radioactivité, les choses ne sont donc vraiment pas claires.

Pour en revenir à ce qui se passait par ailleurs, à la 20ème minute, la température et la pression ont commencé à augmenter fortement dans le bâtiment de confinement, à cause de la chaleur de la vapeur. Les opérateurs s'en sont aperçu et ont alors actionné le système de refroidissement du bâtiment de confinement. Il est dit que le fait qu'ils n'aient pas compris que ces conditions résultaient du fait que le circuit primaire perdait son liquide de refroidissement indique une déficience importante dans leur formation pour analyser les symptômes d'un tel accident.

Après un temps qui n'est pas précisé mais qui doit être proche de 45 mn (donc à T = 1h), les pompes du circuit primaire commencent à trembler parce qu'elles pompent plus de vapeur que d'eau. En effet, rapidement, la pression et la température ont été telles que l'eau a commencé à bouillir. Des bulles de vapeur ont commencé à se former, à voyager à travers le circuit et à atteindre les pompes. Ces immenses machines, aussi larges qu'un camion à ciment, et 20 fois plus puissantes, ont commencé à vibrer dangereusement et à être mises à rude épreuve, alors qu'elles luttaient pour pomper le mélange de vapeur et d'eau. La vitesse du flux a commencé à diminuer, faisant monter la température encore un peu plus. Des vibrations comme celles-ci pouvaient faire sauter les joints des rotors de la pompe, faisant ainsi se répandre l'eau du circuit primaire, et rendant les pompes inutilisables. Sachant qu'il n'avait pas le choix, Zewe a ordonné que les pompes soient arrêtées, avant qu'elles ne se détruisent elles-mêmes ainsi que les canalisations auxquelles elles étaient connectées.

Le problème, c'est que la vibration des pompes indiquait elle aussi que le circuit primaire n'avait plus d'eau et donc que la soupape était restée ouverte. Donc, si Zewe voyait que les pompes tremblaient, il aurait du forcément faire ce raisonnement. Mais non, Zewe ne comprend pas.

Donc, à T = 1h13, les opérateurs décident d'arrêter la pompe 1 du circuit primaire. Ils restent encore près de 30 mn sans rien faire, puis, à T = 1h40, ils coupent la pompe 2 du circuit primaire. Ca ne leur pose pas de problème, parce que normalement, avec le réacteur arrêté, les mouvements de convection de la chaleur dans l'eau du circuit primaire doivent être suffisants pour refroidir le cœur. Bref, avec le réacteur arrêté, normalement, il n'y a pas besoin des pompes.

A présent, le seul mouvement d'eau restant dans le circuit est le mouvement de convection naturelle. Ce que les opérateurs ignorent, c'est qu'à cause de la formation de vapeur, des parties du circuit primaire sont désormais bloquées par la vapeur. Du coup, l'eau ne peut pas circuler par la seule convection. Une grosse bulle de vapeur, a commencé à se développer dans la partie supérieure de l'enceinte du réacteur, et a rapidement augmenté de taille. Rapidement, la partie supérieure du coeur a commencé à émerger de l'eau et a commencé à surchauffer.

A un moment se situant dans cette période de temps, Zewe, dans un soudain éclair de lucidité, s'est mis à suspecter que la soupape de décharge aurait bien pu être restée bloquée en position ouverte. Il a demandé à un technicien de lire la température à la sortie de la soupape. Une haute température aurait indiqué que de la vapeur était en train de traverser la soupape, mais le technicien a par erreur lu la température d'une autre sortie de soupape, qui était basse et normale. Du coup, la soupape est restée en position ouverte.

c) L'arrivée de l'équipe du matin à T = 2h

A 6 heures du matin, c'est-à-dire vers T = 2h, l'équipe du matin arrive. L'ingénieur du matin, un homme appelé Ivan Porter, remarque à T = 2h20 mn que la température dans le réservoir de confinement est très élevée (donc, il y avait aussi un détecteur de température dans le réservoir de confinement, en plus d'un détecteur de niveau d'eau). Il voit aussi que la pression du circuit primaire est basse (donc, l'indicateur de pression montrait bien la bonne pression depuis un moment si cet ingénieur a pu voir que la pression était basse), et que la pression du bâtiment de confinement est haute. Il fait le rapprochement entre ces différentes informations. Il suggère alors de fermer une valve de blocage dans le circuit de vapeur, immédiatement derrière la soupape de décharge qui était bloquée. Dès que cela est fait, la pression commence à augmenter à nouveau dans le circuit primaire.

C'est à T = 2h22, soit 40 mn après la dernière action, alors qu'il ne reste plus qu'un mètre d'eau dans le cœur, que l'ingénieur du matin décide de fermer une vanne en aval de la soupape du pressuriseur. Ca arrête la vidange du circuit primaire.

En fait, Porter et les autres ne semblent toujours pas comprendre la situation, puisqu'alors qu'ils devraient injecter de l'eau dans le circuit primaire, ils ne font rien de ce genre. Ce qui serait pourtant logique, puisque si Porter a décidé de fermer la vanne en question, c'est qu'il a compris que le circuit primaire se vidait. Et vu la chaleur et les divers autres problèmes, il devrait être évident pour eux que le circuit primaire est quasiment vide. Du coup, ce n'est qu'une heure après qu'ils décident d'actionner l'injection d'eau de secours.

Selon la version anglaise de Wikipédia, à T = 2h45, c'est-à-dire à 6h45, l'alarme à la radioactivité se déclenche. Information qu'on retrouve sur "TMI step by step". Mais ceux-ci précisent que les opérateurs reçoivent les premières indications montrant que le niveau de radiation est en augmentation.

On ne sait pas pourquoi, mais les opérateurs décident, de relancer à T = 2h54 (30 minutes après la fermeture de la vanne), une pompe du circuit primaire. Du coup, vu qu'il ne reste plus qu'un mètre d'eau dans le cœur, et que celui-ci a été endommagé à cause du manque d'eau, ça brasse de l'eau fortement contaminé (et vu ce qui a déjà été dit plus haut, ça ne doit pas brasser grand-chose. Ca doit tourner quasiment à vide).

A T = 3h, à cause des hautes températures observées dans le cœur, les opérateurs commencent à se demander si celui-ci est émergé ou s'il est encore immergé et donc, commence à se dire que les températures mesurées sont peut-être fausses. Par ailleurs, Gary Miller, le directeur, qui avait déjà eu une conférence téléphonique à 6h du matin avec les responsables présents dans la centrale, arrive dans celle-ci.

20 mn après (T = 3h12), les opérateurs décident (là encore, on ne sait pas pourquoi) d'arrêter la pompe. Immédiatement après, ils décident de rouvrir pendant 5 mn la vanne d'isolement qui fermait la soupape du pressuriseur. L'eau du réacteur se déverse donc à nouveau dans le bâtiment de confinement. Selon la version française de Wikipédia, c'est à ce moment là que l'alerte à la radioactivité se déclenche, parce que l'eau injectée à ce moment dans le bâtiment de confinement là aurait été très radioactive.

Les opérateurs abandonnent alors le bâtiment en hâte et le ferment hermétiquement. Les alarmes se déclenchent un peu partout dans la centrale. Le site est alors déclaré en situation d'urgence, et une évacuation des zones proches de la centrale commencent.

Ce n'est qu'à ce moment là, en entendant l'alerte à la radioactivité, que les opérateurs commencent à comprendre la situation. Ils se disent que l'alerte à la radioactivité signifie que le cœur a été fortement dégradé et qu'il doit manquer d'eau. A 7h20 du matin, soit à T = 3h20, ils mettent en service l'injection de sécurité. C'est-à-dire qu'ils apportent de l'eau dans le circuit primaire et donc noient à nouveau le cœur sous l'eau. Selon le Wikipedia anglais, c'est en fait à 11 heure du matin (soit à T = 7h).

En faisant ça, ils prenaient le risque de créer une explosion de vapeur ou de provoquer une rupture de la cuve à cause du choc thermique. Mais rien de tout ça n'est arrivé, et à T = 3h45, la cuve est à nouveau sous eau.

De façon assez incroyable, il n'était pas encore clair pour les opérateurs qu'ils étaient face à un LOCA (loss of coolant accident), c'est-à-dire, à une perte d'eau dans le circuit primaire.

Ils ont alors essayé de déterminer la température du coeur. Il y avait un certain nombre d'instruments de mesure de la température dans le coeur, contrôlés par ordinateur. Mais l'ordinateur n'avait été calibré que pour mesurer des températures en dessous de 700 degrés. Au dessus, l'ordinateur ne faisait qu'imprimer des points d'interrogation. Les concepteurs du logiciel n'avaient jamais imaginé qu'une température plus élevée que celle-ci serait atteinte.

Porter a alors utilisé un multimètre pour lire les thermocouples directement. Les mesures qu'il fit correspondaient à une température d'environs 10.000 degrés (note : a priori, vu la source, ce sont des Fahrenheits. Donc, environ 5,500 degrés Celsius), sur un certain nombre de thermocouples du coeur. Le technicien ne pouvait tout simplement pas en croire ses yeux. Porter lui-même était près de rejeter les mesures en considérant que les thermocouples étaient défectueux. Mais il nota alors que les températures près du centre étaient plus élevées que celles sur les cotés. C'est à ce moment qu'ils ont été sûrs que le coeur était sévèrement endommagé et qu'il y avait donc eu perte de liquide dans le circuit primaire.

Ils ont alors alterné pendant plusieurs heures, injection d'eau à haute pression et ouverture de la vanne du circuit primaire, pour faire partir petit à petit la bulle de vapeur se trouant dans celui-ci. La situation s'est stabilisée et les pompes du circuit primaire ont pu se remettre en service vers T = 15h49.