1. Informations techniques
2. Description de l'accident
3.  Analyse
4. Aspects radiologiques de l'accident
5.  Problèmes liés au plan de secours
6. Impact biologique
7. Petite revue de presse
Encarts et annexes

EDITORIAL

Le 28 mars 1979, à 8 heures du matin à la centrale de Three Mile Island, s'est produit un événement dont les conséquences sont loin d'être connues. Ce jour-là, en effet, est arrivé un accident dans une installation nucléaire civile, accident non prévu dans la liste des accidents «enveloppes» «étudiés?» par les autorités de sûreté et dérivant de l'enchaînement, estimé très improbable, d'une défaillance de matériel, d'une faute de maintenance non prévue à la conception, de deux erreurs de conception (au moins) et de la non-validité de la «procédure de conduite » fournie aux opérateurs.
     D'une certaine façon tout le monde savait que ceci arriverait un jour, très exactement le jour où un grand nombre de réacteurs nucléaires seraient en service, et chacun savait qu'alors une page serait tournée.
     En schématisant, on peut dire que cet événement peut avoir, selon la façon dont le recevra l'opinion publique, deux conséquences: soit la remise en cause de l'utilisation pacifique (?) de l'énergie dc fission, soit au contraire son acceptation quasi définitive par la société. En effet, d'un côté, on avance que toute entreprise industrielle a sa part de risques et que, en comparaison l'industrie nucléaire a fait la preuve de son haut degré de sécurité, de l'autre on constate que divers principes de sûreté ont finalement été mis en échec: rupture ou contournement des trois barrières, à cause du principe de défaillance unique adopté pour définir les scénarins d'accidents enveloppes, impossibilité de prendre en compte les différentes possibilités pour définir a priori une séquence accidentelle, etc.
     Nous n'entrons pas ici dans le débat «Pour ou Contre l'énergie nucléaire». Le débat n'est pas entre le mal ou le bien, chacun des termes recouvrant l'une ou l'autre opinion. La question qui est de fait posée par l'accident d'Harrisburg est plutôt quels risques écologiques, économiques, sociologiques, politiques, nous font courir les différentes sources d'énergie. C'est une interrogation plus profonde sur l'avenir, sur ce qui est acceptable par chaque société et ce qui ne l'est pas. C'est d'abord la question du pouvoir: qui impose le choix, qui décide de ce qui est acceptable ? au nom de qui ? Et cela commence dès la question de la nécessité et de la possibilité, de l'information du plus grand nombre.
     Aux Etats-Unis, les informations se succèdent, très rapidement, des mesures sont envisagées pour les autres centrales du même type ou de type similaire, la NRC, les constructeurs, exploitants, engagent des études remettant en cause la conception actuelle de la sûreté des centrales nucléaires. 
En France, la satisfaction de soi, la béatitude ou l'indifférence semblent régner au niveau des instances dirigeantes. On confirme l'engagement accéléré de tranches supplémentaires (celles que l'Iran avait commandées puis annulées)!
     Reconnaissons que la situation française est assez particulière. Notre pays a engagé un pari tellement important pour son avenir que les autorités semblent déjà condamnées à la fuite en avant sous peine de catastrophe économique à court terme. Regardons de plus près: le programme français est basé sur une seule technique avec un seul constructeur, et prévoit la mise en service d'une tranche nucléaire tous les deux mois dans les années à venir. On ne construit plus que ce type d'installation pour la fourniture de l'électricité. Actuellement, une trentaine de tranches sont engagées. Et s'il faut tout arrêter pour réviser, modifier, maintenant ou dans quelques années parce que telle défaillance, tel accident est beaucoup plus probable que prévu ? On voit ce qu'il peut en être avec la situation des D.C. 10... Alors, c'est le pari, la tête dans le sable. Vis-à-vis de l'exportation, si nous voulons nous ouvrir d'autres marchés que l'Afrique, il faut montrer que chez nous il n'y a pas de problèmes, que les « Américains » sont des ânes, que notre technique est au point ! Plus le temps passe, plus le système tend à devenir irréversible. Il faudra accepter le nucléaire et les risques quels qu'ils soient. L'avenir ne serait d'ores et déjà plus à choisir mais à subir
     Bien entendu, il est bien clair pour les décideurs, que l'opinion publique est manipulée par les mass média au nom du sensationnel et que la question est trop importante, trop fondamentale pour que l'on puisse admettre que «les gens »décident. Le nucléaire, c'est trop compliqué ! Libéralisme avancé et marche vers le socialisme, inflation, politique internationale, mécanismes économiques, tout ceci est bien sûr très simple donc on peut le laisser au jugement de chacun, mais le nucléaire, jamais ! Au nom de la technique et de la rationalité ! Qu'est-ce donc que le nucléaire, sinon une technique, de mêrne que tout le reste. Il est encore temps que les Français soient informés des risques qui sont pris en leur nom. Il faudrait enfin que soient connus les termes de l'incroyable pari économique engagé et peut-être déjà perdu. Allons, messieurs, mesdames, les décideurs du gouvernement, d'EDF, des grands corps et des grandes administrations, il est plus que temps que vous demandîez aux Français ce qu'ils pensent de tous vos calculs ! Si vos dossiers (existent-ils d'ailleurs ?) sont si bons que vous le dîtes, qu'avez-vous à perdre, rien qu'un peu de temps? Alors?

AVANT-PROPOS

Une fois encore, certains de nos lecteurs vont trouver que la Gazette est vraiment difficile à lire et trop technique !... Mais pour ce numéro, particulièrement, il est important, très important même de s'appuyer sur des bases techniques sérieuses et précises. Et que surtout cet avant-propos ne rebute pas certains ; en fait, ce numéro se lit comme un roman... noir.

1. Informations techniques

Avant de décrire l'accident tel qu'il ressort actuellement des informations à notre disposition, il nous faut faire un bref rappel technique qui sera d'ailleurs aidé par un schéma (voir ci-dessous)
     Le réacteur de Three Mile Island 2 est du type PWR, c'est-à-dire qu'il comprend un circuit primaire dans lequel un pressuriseur maintient une pression telle (150 bars) que l'eau ne bout pas à la température de fonctionnement (320° C). Le modérateur et le caloporteur étant constitués par cette eau du circuit primaire, il est nécessaire d'enrichir légèrement l'uranium naturel: on passe de 0,7 % en U 235 à 2,6 % dans le cas de la centrale qui nous intéresse. Le circuit prnnaire comprend ainsi le réacteur (1), quatre pompes primaires (2) qui ont pour but de faire circuler l'eau, deux échangeurs de chaleur (3) et un pressuriseur (4). Tout ce premier circuit peut être contaminé par suite des fuites des gaines des combustibles tolérées dans ce type de centrale à eau légère (environ 1 % de gaines fissurées), aussi est-il à l'intérieur d'un bâtiment en béton appelé enceinte de confmement et séparé de l'eau secondaire qui traverse la turbine par la paroi des tubes des générateurs de vapeur.
     L'accident grave est toujours dû au fait que, pour des raisons diverses, le coeur du réacteur n'est plus suffisamment refroidi; cela provient soit d'un mauvais refroidissement par le circuit secondaire, soit d'une défaillance propre au circuit primaire, soit des deux en cascade. Aussi sont prévues des injections de sécurité dans le circuit primaire: à haute pression, s'il s'agit de brèches de faible importance, à basse pression et fort débit, s'il s'agit de la rupture franche d'une tuyauterie primaire. De plus une aspersion extérieure au circuit est installée dans l'enceinte contenant le réacteur. Enfin, un circuit auxiliaire permet de refroidir le réacteur à l'arrêt (RRA).
Sur ces différents circuits, il y a bien sûr des vannes et des soupapes. Ces dernières, en particulier, ne sont pas sans poser des problèmes car elles sont surtout prévues pour s'ouvrir.
     Certaines soupapes de sécurité installées sur le circuit primaire n'expédient pas leur vapeur ou leur eau, dans l'atmosphère mais dans des volumes de stockage: il s'agit en effet d'une eau très contaminée.
     Le circuit secondaire qui fait tourner la turbine et l'altérateur comprend:
- les générateurs de vapeur (3) qui récupèrent la chaleur du circuit primaire et produisent la vapeur du circuit secondaire
- les turbines (5) dans lesquelles cette vapeur se détend et fournit l'énergie mécanique qui entraîne l'altérateur
- le condenseur (6) où la vapeur se condense au contact de la source froide du circuit: autre circuit (tertiaire en somme) qui à Three Mile Island cédait sa chaleur à l'atmosphère grâce à des aéro-réfrigerants;
- des turbo-pompes alimentaires (7) qui renvoient l'eau après réchauffage aux générateurs de vapeur.
     Sur ce circuit existent aussi des sécurités et en particulier un système auxiliaire permet d'envoyer de l'eau dans les générateurs de vapeur (côté secondaire) en cas de défaillance de l'alimentation normale.
     Au moment de l'accident, le réacteur n^o1 était à l'arrêt pour rechargement du combustible et le réacteur n^o 2 (accidenté) était, lui, à 97 % de sa puissance nominale. 

2. Description de l'accident

Description de l'accident lors des 16 premières heures, le 28 mars
Lors d'une réunion publique le 4 avril, les ingénieurs de la NRC ont présenté à leurs directeurs, le scénario de l'accident tel qu'il découlait du dépouillement des enregistrements de la centrale [1]. Seuls les enregistrements correspondant aux 16 premières heures avaient été dépouillés.
     En prenant comme origine des temps l'instant où débute l'accident (4 heures du matin, heure locale), le 28 mars, le scénario est le suivant
Temps:
- O:
. Perte pour une raison non encore établie de l'alimentation normale des générateurs de vapeur. Ceci entraine l'arrêt automatique de la turbine.

- 3 à 6s:
. Ouverture de l'électrovanne de décharge du pressuriseur sur signal de pression primaire élevée (153 bar) [2].
- de 9 à l2s:
. Arrêt d'urgence du réacteur au signal pression primaire élevée (161 bar).
- de 12 à 15s:
. La pression primaire descend à 152 bar, puis à 148 bar. La température de la branche chaude à la sortie du coeur atteint 320^o C. La vanne de décharge du pressuriseur aurait dû se refermer à 155 bar, or elle ne se referme pas.
- 30s:
. Les trois pompes d'alimentation de secours des générateurs de vapeur marchent à pleine pression. Leur débit est nul: les vannes en aval sont fermées, ce qui est en contradiction flagrante avec les spécifications techniques.
- 60s.
. Le niveau pressuriseur monte rapidement - Niveau « bas » des générateurs de vapeur A et B.
- 2 mn:
. Démarrage automatique de l'injection de sécurité haute pression sur signal basse pression primaire, 110 bar.
- de 4 à 11 mn:
. Le niveau pressuriseur sort de sa gamme de lecture. Successivement à 4,5 mn et 10,5 mn, l'opérateur arrête les deux pompes d'injection de sécurité.
. A 6 mn, ébullition en masse (« steam flashing») dans le coeur. Pression primaire: 93 bar; température sortie du coeur :308^o.
. A 7,5 mn, les pompes des puisards d'enceinte se mettent automatiquement en servioe.
. A 8 mn, l'opérateur ouvre les vannes d'alimentation de secours des générateurs de vapeur.
. A 8 mn 18 s, la pression est minimum dans le générateur de vapeur B.
. A 8 mn 21 s, la pression (côté secondaire) dans le générateur de vapeur A remonte.
- de 11 à 12mn:
. Le niveau pressuriseur est de nouveau lisible -
. Remise en route manuelle des pompes d'injection de sécurité haute pression
- 15mn.
. Rupture des membranes d'éclatement du ballon de décharge du pressuriseur àenviron 13,5 bar.
- de 20 à 60mn:
. Les pression et température du circuit primaire restent stables; pression primaire: 72 bar ; température du coeur: 287^o C (conditions d'ébullition).
-1h 15:
. L'opérateur arrête les deux pompes primaires de la boucle B.
«A ce stade des dégradations s'étaient certainement déjà produites sur le combustible, mais le plus grave était à venir»(citation NRC).
- 1 h 40:
. L'opérateur arrête les deux pompes primaires de la boucle A.
- 1 h45 à 2 h
. Le coeur commence à s'échauffer fortement.
. La température de sortie du coeur dépasse 327^o et sort de la gamme de lecture pendant 14 mn.
. La température d'entrée du coeur décroit à 65^o.
- de2h15 à 3h:
. La pression primaire passe de 48 à 148 bar.
. A 2 h 20, isolement du générateur de vapeur B. Décharge à l'atmosphère de la vapeur secondaire par les soupapes de décharge commandées.
. A 3 h, ouverture de la vanne de décharge du pressuriseur (action manuelle).
. A 3 h, détection de radioactivité dans le réseau de drains des puisards d'enceinte.
-3h15:
. Pic de pression : 34 bar dans le ballon de décharge du pressuriseur. 
- 3h50:
. Nouveau pic de pression : 0,76 bar dans le ballon de décharge de pressuriseur.
. La pression primaire serait de 120 bar. La pression dans l'enceinte atteint 0,31 bar.
. Isolement automatique de l'enceinte à une pression de 0,3 bar (suppression).
- 5 à 6h:
. La pression primaire passe de 85 bar à 145 bar.
- 7h30:
. Ouverture de la vanne de décharge du pressuriseur pour réduire la pression primaire.
Nota : De nombreuses manoeuvres ont été effectuées sur la vanne de décharge. Elle semble donc être restée, dans une certaine mesure, manoeuvrable pendant l'accident.
- de 8h à 9h:
. La pression primaire décroît à 35 bar.
. Les températures mesurées par les thermocouples du coeur (52 mesures) donnent des valeurs très diverses. Les thermocouples sortent de leur ganrine de lecture 325 à 370^o C. Une ébullition dans une partie du coeur est certaine.
. Les accumulateurs se sont en partie déversés dans la cuve (pression de charge des accumulateurs: 41 bar).
-10h:
. Pic de pression de 1,9 bar dans l'enceinte (probablement explosion d'hydrogène).
. Démarrage de l'aspersion d'enceinte qui est arrêtée (manuellement ?) après avoir injecté 20 m³ d'eau sodée dans l'enceinte.
- 13h30:
. Fermeture de la vanne de décharge du pressuriseur pour augmenter la pression primaire afm de:
--réduire les dimensions d'une bulle d'incondensables et/ou de vapeur,
-- permettre le démarrage des pompes primaires.
. Mise en route des pompes primaires de la boucle A.
. A ce moment, la forte différence de température entre l'entrée et la sortie du coeur (branches froide et chaude) indique un débit quasiment nul dans le coeur.
-13h30 à 16h:
. La pression primaire augmente de 44,8 bar à 158 bar.
-16h:
. La température de sortie du coeur décroit à 293^o C.
. La température d'entrée du coeur re-monte à 204^o C.
. Le générateur de vapeur A fonctionne et évacue sa vapeur vers le condenseur où le vide a été rétabli.
     16 heures après l'accident, l'installation se trouve dans l'état général suivant:
- très forte dégradation du combustible: les ingénieurs de la NRC estiment qu'environ 10 à 25 % des crayons de combustible ont été rompus. Le refroidissement des crayons de la zone centrale du coeur est gêné par leurs déformations. Cependant, les mesures faites ultérieurement sur l'activité de l'eau primaire montrent une faible concentration en produits de fission solide, ce qui indique qu'il n'y a pas eu de fusion notable du combustible.
- Présence d'une bulle d'incondensables au sommet du coeur. La présence et les dimensions de cette bulle ont pu être estimées en corrélant les variations de pression du circuit primaire, les températures des branches chaudes et froides, les températures du coeur et le niveau du pressuriseur.
Cette bulle est essentiellement composée d'hydrogène provenant d'une réaction zircaloy-eau qui a pu se produire lors des phases d'assèchement du coeur au cours desquelles la température des gaines aurait atteint un niveau rendant possible cette réaction (on nous a même cité la valeur de 1920^o C).
- Ebullition locale dans le coeur indiquée par les thermocouples du coeur.
- Présence dans l'enceinte d'une eau fortement contaminée dont l'activité était de 800'000 Ci/m³.
- Contamination du bâtiment des auxiliaires nucléaires à la suite du déversement d'environ 40 m³ d'eau contaminée puisée dans l'enceinte par les pompes d'exhaust [3]. Ce déversement est dû au débordement des réservoirs du traitement des effluents liquides.
- Le refroidissement du coeur est assuré par circulation de l'eau primaire (utilisation d'une pompe primaire) dans la boucle A et évacuation de la chaleur par le générateur de vapeur A. Ce mode nécessite le fonctionnement du système d'eau d'appoint et notamment un débit de décharge d'eau primaire fortement contaminée d'environ 80 1/mn en direction des circuits du systèrne de contrôle volumétrique et volumique (RCV).
- Rappelons que la pression primaire est de l'ordre de 138 bar, la température de branche chaude de 293^oC ; les thermocouples du coeur indiquent la présence de zones d'ébullition dans le coeur.

     Nous n'avons pas pu recueillir de renseignements précis concernant l'évolution exacte des paramètres de la centrale au-delà des seize premières heures. Cependant, les principales actions de l'exploitant, agissant sous le contrôle des ingénieurs de la NRC et avec le concours d'ingénieurs de Babcock et Wilcox, ont eu pour buts :
a) En ce qui conoerne le refroidissement du coeur, de réduire les phénomènes d'ébullition dans le coeur tout en réduisant progressivement la pression primaire.
     Le passage en arrêt froid du circuit primaire et son refroidisisement par le circuit de refroidissement à l'arrêt étaient rendus très délicats pour différentes raisons:
. présence d'une bulle d'incondensables au-dessus du coeur: la réduction de pression qu'aurait nécessité le passage sur le circuit de refroidissement à l'arrêt aurait pu entraîner une augmentation de la taille de la bulle et donc un dénoyage partiel du coeur et des risques de cavitation des pompes (d'où arrêt possible de la circulation du fluide primaire).
. les pompes et échangeurs du circuit de refroidissement à l'arrêt sont situés dans le bâtiment des auxiliaires nucléaires et non à l'intérieur de l'enceinte de confmement, d'où risque de rejets radioactifs à l'extérieur (fuites possibles sur ce circuit).
. la déformation du combustible pouvait faire craindre, à pression faible, un mauvais refroidissement des assemblages.
b) En ce qui concerne l'enceinte, de réduire la teneur en hydrogène par mise en service de recombineurs. Cette utilisation des recombineurs a nécessité la mise en oeuvre d'environ 400 t de plomb en briquettes pour limiter les doses pour le personnel. Ce plomb, non disponible sur le site, a été collecté en deux jours chez des industriels. Certaines quantités ont même été transportées par avion.
     Les recombineurs ont été mis en ser-vice, le 3 avril, sur le mode suivant un en service traitant environ 1,7 m³ /mn, l'autre en attente.
Nota:
1) La teneur en hydrogène dans l'enceinte avait atteint 2,2 % juste avant la mise en service du recombineur, alors que le 31 mars au matin, la concentration maximale était de 1,7 %
2) Les experts de la NRC considèrent qu'il faudra environ 11 jours pour réduire à 1 % la concentration en hydrogène.
c) En ce qui concerne les rejets, de réduire les rejets extérieurs (gaz rares) en renvoyant les produits de dégazage des réservoirs d'effluents primaires à l'intérieur de l'enceinte, par l'intermédiaire d'une ligne provisoire.

     Au 4 avril, les mesures dans le coeur n'indiquaient plus aucune trace d'ébullition dans ce dernier.
. Température maximale dans le coeur (248^o C) [4] (seuls 3 thermocouples indi-quent plus de 205^o C).
. Pression primaire : (69 bar). Températures moyennes entrée et sortie du coeur :138^o C.
La puissance résiduelle du coeur était de l'ordre de 5 MW. Les estimations conduisaient à penser que la bulle d'incondensables avait fortement décru. Aucune indication chiffrée de son volume ne nous a été communiquée alors que, le 3 avril, il était question d'environ 1,4 m³ et que, précédemment, les estimations les plus pessimistes avaient indiqué environ 25 m³ à60 bar.

     L'exploitant envisageait de passer en circulation naturelle, tout en remplissant complètement d'eau le pressuriseur. Une telle opération permettrait de s'affranchir des problèmes suivants:
. disponibilité des pompes primaires celles-ci ont certainement souffert au cours de l'accident et leur fonctionnement permanent peut être aléatoire, . disponibilité des sources électriques externes: une perte du réseau entraînerait l'arrêt des pompes qui ne sont pas secourues,
. disponibilité des mesures de niveau du pressuriseur : signalons qu'un des trois capteurs de niveau est tombé en panne le 3 avril.
     Cependant, le passage en circulation naturelle supposait que l'on puisse garantir l'établissement du thermosiphon. Les études des ingénieurs de Babcock et Wilcox étaient orientées dans ce but et il était même envisagé d'effectuer un essai d'établissement du thermosiphon sur un réacteur du même type.
     Le passage au refroidissement par le système de refroidissement à l'arrêt n'était pas encore envisagé à court terme, en raison surtout, des problèmes de re-jets radioactifs et de contamination que pourraient poser des fuites sur ce cir-cuit, situé hors de l'enceinte, et qui au-rait eu à véhiculer un fluide particuliè-rement actif.

     Lors de la réunion du 4 avril, la NRC a indiqué en conclusion de son exposé que l'accident était du aux six causes suivantes:
1. Le non-fonctionnement du système d'alimentation de secours des générateurs de vapeur (ASG), lié à la position fermée des vannes d'isolement de ce systèrne en violation des spécifications techniques. Ces vannes avaient certainement été fermées pour permettre des opérations de maintenance ou de test sur ce circuit, deux semaines auparavant.
2. La non-fermeture complète de la vanne de décharge du pressuriseur après chute de la pression primaire.
3. Les indications inexploitables données par le niveau d'eau du pressuriseur.
4. Il n'était pas prévu que l'isolement de l'enceinte  s'effectue  automatiquement par la mise en route de l'injection de sécurité sur le réacteur de Three Mile Island. Cependant, la mise en service de cet isolement aurait arrêté les pompes d'exhaure et, ainsi, évité le débordement des réservoirs d'effluents primaires et, partant, aurait fortement limité les rejets extérieurs.
5. L'opérateur a arrêté prématurément l'injection de secours.
6. L'arrêt des pompes primaires a largement contribué à aggraver les dégats sur le combustible. 

Notes:
1. Nous remercions tout spécialement MM Cayol et Roche de excellente traduction (Rapport de la mission effectué aux USA, 1er au 6 avril 1979). M. Roche, service central de sûreté des installations nucléaires. M Cayol, C.E. A.
2. 1 bar égale à peu près 1 kg par centimètre carré.
3. Terme technique de mine ou carrière: épuisement des eaux d'infiltration.
4. La température de saturation de l'eau à 69 bar est de 285^o C.

3.  Analyse

Beaucoup de points restent à approfondir et l'analyse que font certains (NRC, puis constructeurs, gouvernement français...) en appuyant sur les «erreurs humaines» nous paraît largement prématurée. Actuellement nous considérons qu'il y a eu:

- une défaillance de matériel non-fermeture de la soupape de décharge du pressuriseur
- deux interventions discutables des opérateurs (arrêt de l'injection de secours et des pompes primaires) explicables par l'inadaptation de la «procédure de conduite», «mode d'emploi » à la disposition des opérateurs pour les configurations de fonctionnement accidentelles
- une faute flagrante (vannes en position fermée) mais faute de maintenance... et d'inadaptation de la salle de commande
- deux défauts de conception au moins: mauvaise signalisation de l'état du circuit primaire, transfert de l'eau radioactive hors de l'enceinte.

     Mais il serait utile également d'étudier les facteurs favorables qui ont limité la gravité de l'accident: combustible neuf (circonstance qui a aidé à revenir à une température correcte au bout de 24 h environ), explosion hydrogène limitée, calme des opérateurs, etc.
     Reprenons point par point les diverses défaillances en comparaison avec ce qui pourrait se passer en France, au vu des informations qui ont pu nous parvenir:

Extrait de l'article: "Les 14 failles des centrales atomiques" (Science & Vie n°742, juillet 1979, en PDF).
"Deux mois exactement avant que ne survienne l'accident de Three Mile Island, la Commission de Réglementation Nucléaire américaine, la NRC, remettait au Congrès des Etats-Unis un rapport d'une centaine de pages. Son titre: « Identification des problèmes de sécurité non résolus dans les centrales nucléaires ». Son but: définir avec précision les défauts de construction, de fonctionnement, d'organisation des centrales, qui présentent, encore aujourd'hui, un risque potentiel important pour la population. Depuis décembre 1977, la loi américaine fait obligation à la Commission de Réglementation Nucléaire, de cataloguer toutes les imperfections des centrales, de mettre sur pied un plan pour y remédier, et d'en faire part au Congrès. Il en a résulté une longue liste de 133 « tares », plus ou moins graves, qu'il est indispensable de corriger. Parmi elles, 17 ont été jugées prioritaires, justement parce qu'elle représentaient une menace réelle pour les populations. Sur ces 17 défauts graves, 3 au moins ont été à l'origine de l'accident de Three Mile Island."

La défaillance de matériel: de nombreux exemples (et en particulier le 21 mars à Bugey 5 et le 6 avril à Gravelines) montrent que c'est un point faible des chaudières PWR.
Les vannes en position fermée sur le circuit de secours: il existe sur les chaudières construites en France des vannes non signalées en salle de commande sur les circuits d'alimentation de secours; cela peut donc aussi arriver en France. 
Il faut revoir la conception de la sûreté qui néglige le secondaire et se préoccupe surtout du primaire: un accident commence le plus souvent sur un incident.
Les interventions discutables: l'opérateur a suivi scrupuleusement la procédure de conduite. Celle-ci est inadaptée car les études sur lesquelles elle s'appuie sont très insuffisantes et ne permettent pas en réalité de ramener un réacteur à l'arrêt. La procédure utilisée en France n'est pas meilleure.
Les défauts de conception: en France, les indications du pressuriseur auraient été tout aussi fausses, mais de plus, l'injection de sécurité ne se serait pas déclenchée car il faut un double signal: baisse de pression primaire ET bas niveau du pressuriseur. Or, il y avait baisse de pression primaire et haut niveau du pressuriseur à TMI. On n'a remédié à ce défaut qu'à partir des réacteurs Tricastin et Gravelines: sept réacteurs fonctionnent néanmoins actuellement avec ce défaut.
Par contre le déclenchement de l'injection de secours déclenche l'isolement de l'enceinte.
Le combustible neuf: au début de l'accident, la présence des produits de fission à vie courte n'a pas changé la séquence d'accident si on compare à un réacteur ayant déjà fonctionné 2 à 3 ans (rotation du combustible 1/3 est remplacé tous les ans). Mais déjà au bout de 24 h la puissance à évacuer était inférieure de quelques Mégawatts à ce qu'elle aurait été avec un coeur normalement irradié... Cela a très favorablement influencé la suite des événements, c'est-à-dire le comportement de la «bulle» et le refroidissement du coeur. Par exemple au bout d'une semaine, la puissance à évacuer était vraisemblablement de 5 MW, contre 10 MW pour un coeur normalement irradié (ces chiffres sont des estimations indicatives). Pendant toute la période du refroidissement, le risque de fusion du coeur existait; ce risque aurait été beaucoup plus élevé (environ deux fois) avec un coeur normalement irradié. Par ailleurs, la contamination radioactive à l'intérieur de l'enceinte de confinement et dans les bâtiments auxiliaires aurait été considérablement aggravée par la présence d'une grande quantité de produits de fission à vie longue.

4. Aspects radiologiques de l'accident

Les rejets radioactifs dans l'atmosphère ont trois origines:

1. La fuite supposée au niveau du générateur de vapeur B a pu entraîner un relâchement de gaz rares et d'iode dans l'environnement dans les premières heures qui ont suivi l'accident. Aucune estimation des quantités ainsi rejetées n'a pu, à ce jour, nous être fournie.
2. Le débordement des réservoirs de tête du système de traîtement des effluents liquides a entrainé le déversement dans le bâtiment des auxiliaires nucléaires d'environ 40 m³ d'eau fortement contaminée Le système de ventilation du bâtiment des auxiliaires nucléaires a rejeté après filtration (filtre absolu et filtre à iode) les gaz rares (krypton et xenon) contenus dans cette eau.
     Ces rejets non contrôlés sont à l'origine de l'activité observée au voisinage de l'installation et dans le panache lors des premiers jours suivant l'accident. L'exploitant a disposé, à une date non précisée, des bâches en vinyle sur l'eau répandue dans le bâtiment des auxiliaires nucléaires, afin de ralentir le dégazage et, donc, les rejets radioactifs.
3. L'éventage de l'eau primaire soutirée en raison de 80 l/mn par le circuit de contrôle volumétrique et chimique a conduit à des rejets périodiques contrôlés. En fait, les gaz rares radioactifs dissous à l'origine dans l'eau primaire étaient recueillis dans les réservoirs conçus pour le stockage et le traitement des effluents gazeux. L'apport en gaz a été supérieur aux possibilités de stockage et l'exploitant, pour éviter des rejets intempestifs par les soupapes de ces réservoirs (pression de tarage 7 à 8 bar), a préféré, avec l'accord de la NRC, procéder à des délestages contrôlés.

     Ultérieurement, à une date non précisée, l'exploitant a renvoyé ces gaz dans l'enceinte de façon à réduire les rejets extérieurs.
     Il semble par ailleurs que les rejets radioactifs en rivière soient liés à une action volontaire (après autorisation de la NRC): en effet, 230 m³ d'eau de servitude faiblement contaminée ont été déversés.

     Le 29 mars au matin, lors d'une opération d'échantillonnage d'eau primaire dans le bâtiment des auxiliaires nucléaires, deux employés (un opérateur et un chimiste) ont reçu respectivement 3,1 et 3,4 rerns. Rappelons que la dose maximale admissible pour les travailleurs est de 5 rems par an ou 3 rems en trois mois.
Dix autres personnes de l'équipe de quart ont reçu des doses de l'ordre de 2 à 3 rems dans les premières heures de l'accident.
     Enfin, le 5 avril, les débits de dose en salle de commande étaient de 0,1 mrem/h (0,4 mrem/h le 2 avril). Le port du masque n'était pas nécessaire; par précaution, les opérateurs l'avaient porté dans les premières heures après l'accident.

Activité de l'eau primaire
     L'analyse d'un échantillon d'eau primaire a montré que la contamination de celle-ci était de l'ordre de 800.000 Ci/m³ (cette valeur confirme l'important taux des rejets de produits de fission du coeur).
     L'essentiel de cette activité, qui entraînait un débit de dose de 1.000 rem/h, au contact d'un échantillon de 100 cm³, était dû à des gaz rares (Xénon et Krypton), des iodes, du césium et dans une très faible mesure (nous n'avons pas pu avoir les résultats précis des analyses isotopiques) à des produits non volatils (strontium). Ceci indique bien qu'il n'y a pas eu de fusion notable des éléments combustibles.

Activité et débits de dose dans l'enceinte
     Il n'a pas été fourni de valeurs sûres de l'activité dans l'atmosphère de l'enceinte. Les valeurs de 700 Ci/m³ le 31 mars et de 70 Ci/m³ le 2 avril ont éte annoncées par la NRC puis démenties.
     Les capteurs de rayonnements installés dans l'enceinte ont indiqué des valeurs discordantes:
10 à 20 rad/h au niveau du plancher de service, 10.000 à 30.000 rad/h au sommet de l'enceinte.
     Nous ne pouvons garantir ces valeurs qui nous ont été comnuniquées oralement. Il nous a aussi été précisé que le capteur placé au sommet de l'enceinte était un capteur blindé, mais non étanche, destiné à mesurer le rayonnement direct en provenance du coeur, de ce fait l'infiltration de gaz sous le blindage serait, d'après notre interlocuteur, à l'origine de ce chiffre très élevé.
     Pour notre part, nous pensons que les capteurs à l'intérieur de l'enceinte n'ont certainement pas été prévus pour de tels débits de dose et que les valeurs qu'ils ont pu indiquer n'ont rien à voir avec la réalité.
     Cependant des mesures d'irradiation au contact de la paroi externe de l'enceinte (épaisse d'environ 1,2 m) ont indiqué un débit de dose inférieur au mrad/ heure. Compte tenu d'un coefficient d'atténuation des parois de l'enceinte de 10⁷, le niveau d'irradiation à l'intérieur de l'enceinte n'a certainement[6] pas dépassé 10.000 rad/h.

Débit de dose dans le bâtiment des auxiliaires nucléaires
     Les débits de dose dans le bâtiment des auxiliaires nucléaires ont vraisemblablement posé des problèmes d'accessibilité. Pour mémoire, on peut citer:
- les difficultés de mise en place du recombineur d'hydrogène,
- les débits de dose au contact des réservoirs de stockage des effluents gazeux (60 rad/h), ce qui a empêché certaines interventions,
- les débits de dose (10 rad/h) après transfert d'eau contaminée dans le bâtiment des auxiliaires nucléaires.

Irradiation directe
     La direction du vent, le 28 mars, était de tendance Nord-Nord-Ouest: la ville de Middletown (12.000 habitants) à 5 km du réacteur, était sous le vent de la centrale.
     Les relevés de 17 dosimètres à poste fixe depuis trois mois ont fourni, pour deux d'entre eux, des doses intégrées aux 32 heures, dues à l'accident de:
- 65 mrad à 700 m au Nord du réacteur.
- 22 mrad à 1.000 m au Nord-Nord-Est du réacteur.
     Ces valeurs ne comprennent pas l'irradiation due aux rejets de gaz rares postérieurs au 29 mars à midi.
     Les rejets intermittents et incontrôlés de gaz rares les 29 et 30 mars ont provoqué des débits de dose transitoires en limite de site atteignant 25 à 30 mrad/h. Ils ont été de faible durée (certainement inférieure à l'heure).
     Les évaluations de la NRC relatives au bilan d'exposition du public sur les cinq jours qui ont suivi l'accident sont les suivantes:
- dose maximum individuelle hypothétique: 80mrem,
- dose moyenne pour les deux milliers d'habitants autour de la centrale: 9 mrem, à comparer à la dose annuelle due à l'irradiation naturelle, qui est supérieure à 100 mrem.
     Le 3 avril, le débit de dose n'était plus que de 0,01 à 0,04 mrem/h à l'extérieur du site.

Contamination par les iodes
     152 prélèvements atmosphériques ont été effectués. Seuls 8 échantillons ont indiqué des activités en iode comprises entre 0,3 et 2,5 pico Ci/m³. L'activité maximum relevée correspond au quart de la concentration maximale admissible aux Etats-Unis pour un rejet continu (règlement US:10 CFR 50 appendix I). CFR: Code of Federal Regulations, équivalent du Journal Officiel en France.
     Dans un rayon de 20 km autour de la centrale, 56 prélèvements de lait (de vache ou de chèvre) ont été effectues dans 20 fermes. Les mesures ont montré que 18 échantillons n'étaient pas interprétables et que les 38 autres étaient au-dessous du seuil de sensibilité de la mesure. Une analyse détaillée de 9 prétevements a permis de déceler une activité variant de 10 à 40 picocurie d'iode 131 par litre de lait. Or c'est à partir de 12'000 picocurie d'iode 131 par litre de lait que le Ministère fédéral de la santé impose la nourriture du bétail sur fourrage engrangé.

Nota:
1. Les concentrations maximales admissibles en France (Arrêté du 20 juin 1966) sont pour l'iode 131 les suivantes:
- dans l'air : 200 pico Ci/m³ sous forme soluble
- dans l'eau ou le lait: 1.000 pico Ci/l sous forme soluble
2. Les arrêtés du 10 août 1976 limitent l'activité volumique moyenne hebdomadaire pour une tranche en fonctionnement normal de 3.000 MW à 0,2 pico Ci/m³ pour les aérosols (essentiellement Iode).

Notes:
5. Extrait du rapport de MM. Cayol et Roche.
6. Sic.

5.  Problèmes liés au plan de secours

Il faut distinguer:
- Le plan de secours interne à la centrale, qui est de la responsabilité de l'exploitant lorsque l'accident n'est pas susceptible d'avoir des répercussions à l'extérieur du site. Ce plan est régi aux Etats-Unis par l'annexe E du 10 CFR 50.
- Le plan de secours externe à la centrale qui est de la responsabilité du gouverneur de l'Etat considéré et des autorités locales. Ce plan ne fait pas l'objet d'un règlement précis. Il ne fait l'objet que d'un échange de lettres entre la RNC, qui donne son accord de principe sur les dispositions contenues dans le plan, et les autorités locales qui s'engagent à mettre en oeuvre un certain nombre de moyens en cas d'accident;ll semble, en fait, que dans l'Etat de Pennsylvanie, le plan n'était pas parfaitement au point: tous les Etats américains concernés par des implantations nucléaires n'ont d'ailleurs pas encore de plan de secours bénéficiant de l'aval de la NRC.
     Ces plans de secours en cas d'accident sur une installation nucléaire civile semblent valables aussi dans les cas d'un accident survenant sur des installations militaires.

     Il convient de préciser que c'est le gouverneur de l'Etat qui prend ou non la décision d'évacuer les populations. La NRC n'a auprès de celui-ci qu'un rôle consultatif. Dans ces conditions, la NRC n'a pas pu nous fournir d'indications précises sur l'application du plan de secours.
     La direction des opérations d'évacuation est du ressort des autorités locales (Etats et Comtés).
     Il faut noter qu'en ce qui concerne les différentes décisions techniques à prendre au niveau de la conduite de la centrale en cas d'accident, l'exploitant propose des décisions à la NRC qui doit donner son avis conforme. Mais l'exploitant reste toujours responsable des conséquences de ses actes.

     L'accident ayant eu lieu vers 4 heures du matin le mercredi 28 mars, ce n'est que vers 7 hcures du matin que la NRC et l'Etat de Pennsylvanie ont été informés de l'accident, ce qui peut signifier que l'exploitant ne s'est pas rendu compte immédiatement de sa gravité. L'alerte a été déclenchée vers 10 heures du matin.
     Dès le 28 mars au matin, 40 personnes du laboratoire de Brookhaven (Etat de New-York) arrivaient sur les lieux avec leur matériel; cette unité est particulièrement bien entrainée aux échantillonnage des sols et d'eau.
     Le mercredi 28 mars dans l'après-midi, arrivaient sur les lieux un certain nombre d'unités mobiles de la NRC chargées du prélèvement d'échantillons et des mesures éventuelles de décontamination. Le jeudi 29 mars dans l'après-midi, des unités de l'armée américaine arrivaient, avec avions et hélicoptères, du centre d'expérimentation nucléaire du Nevada. Ces unités étaient chargées exclusivement des prélèvements atmosphériques.
     Le vendredi 30 mars, les experts fédéraux du Ministère chargé de la santé publique et de l'alimentation (FDA: Food and Drug Administration) arrivèrent sur le site.
     Les premières journées après l'accident semblent avoir été marquées, d'après les renseignements recueillis auprès de la NRC, par certaines difficultés d'organisation et de coordination entre les différents intervenants (autorités locales, organismes fédéraux, sociétés privées).
Ces difficultés se sont concrétisées notarnment par:
- une saturation totale des lignes téléphoniques dans la zone concernée par l'accident. La compagnie de téléphone est arrivée toutefois à mettre en place très rapidement un certain nombre de lignes directes qui ont permis de débloquer la situation.
- la difficulté d'utiliser les différents échantillons recueillis par les différents organismes chargés du prélèvement par suite de difficultés de repérage des lieux de prélèvement, et de l'absence de normalisation des prélèvements: les 3/4 des échantillons (de lait, d'eau) recueillis dans les deux premiers jours après l'accident ont été inutilisables.
     Le vendredi, l'exploitant a décidé d'effectuer des rejets importants à la cheminée (1,2 rem/h à la cheminée), ce qui a amené le gouverneur, sur une suggestion de la NRC, à recommander, dans une intervention télévisée, l'évacuation des femmes enceintes et des enfants d'âge pré-scolaire, dans un rayon de 5 miles (8 km) autour de la centrale. Cette recommandation a été interprétée par les populations comme un ordre d'évacuation. Dans un rayon de 8 à 10 miles (13 à 16 km) autour de la centrale, les populations ont cherché à quitter les lieux, ce qui a engendré de nombreux embouteillages: les automobilistes se sont précipités, pour faire le plein vers les pompes à essence, qui ont pu cependant faire face à la demande, et vers les banques qui ont enregistré des retraits très importants (10 à 15 millions de dollars en un jour et demi).
     D'après les informations dont nous avons pu disposer, le responsable du plan de secours au niveau local n'était pas favorable à cette évacuation. Il semble qu'une bonne partie des personnes qui ont quitté les lieux, soient revenues assez rapidement à leur domicile. En fait, 15.000 personnes environ (femmes enceintes et jeunes enfants) seraient restées de façon prolongée loin de leur domicile.
     Les responsables achevaient l'étude, vers le mardi 2 avril, d'un plan d'évacuation concernant 600.000 personnes habitant dans un rayon de 20 miles (32 km) autour de la centrale. Ce plan aurait sans doute été appliqué s'il avait été nécessaire de faire une intervention particulière pour supprimer la bulle située en partie supérieure du coeur du réacteur ou si la teneur en hydrogène de l'enceinte avait atteint un niveau dangereux (plus de 4%).
     Depuis de nombreux mois avaient lieu des discussions sur l'efficacité de l'ingestion d'iode à titre préventif: cet iode non radioactif est susceptible de saturer la thyroïde et donc d'éviter l'absorption d'iode radioactif. L'accident de Three Mile Island a permis de mettre un point final à ces discussions: le samedi 31 mars, les responsables du plan de secours se sont préoccupés de la distribution de doses d'iodure de potassium aux populations. Or ce produit n'était pas disponible au matin du 31 mars sur le sol américain. Grâce à la diligence d'une société chimique américaine, 50.000 doses d'iodure de potassium furent fournies le samedi soir sur l'aéroport d'Harrisburg. En fait, aucune dose n'a été distribuée, même pas aux employés de la centrale, la direction de celle-ci pensant que ce n'était plus utile.
    Par ailleurs, il a été recommandé par les autorités de nourrir le bétail avec du fourrage engrangé, mais il n'y a pas eu d'interdiction de vente du lait.
    Malgré certaines difficultés pendant les premières heures, sinon même les deux premiers jours qui ont suivi le début de l'accident, la mise en place d'un plan de secours a, semble-t-il, pu être menée à bien par les autorités locales.

6. Impact biologique

(de notre envoyé spécial à Harrisburg)
     Nous présentons ici des informations recueillies auprès de la NRC, de l'Institut de Politique de l'Environnement et des Docteurs K.Z. Morgan et D.E. Sternglass

I. Mesures effectuées
     La dose collective subie par la population lors de l'accident est fort mal connue. En effet, les seules données relatives aux deux premiers jours viennent de 17 dosimètres thermoluminescents (TLD) mis en place trois mois auparavant par l'exploitant. Ces dosimètres, pour la plupart hors du trajet du panache radioactif, ne sont pas sensibles au rayonnement bêta. Or le xenon 133 est surtout émetteur bêta. Par ailleurs, les doses mesurées ne concernent que l'irradiation, et non une contamination éventuelle.

L'Agence de Protection de l'Environnement n'a pu commencer les mesures aériennes que 48 heures parés le début de l'accident. La radioactivité mesurée était alors de 5 à 10 fois la radioactivité naturelle.
     Actuellement 37 TLD sont en place.

2. Estimation des doses
Doses aux travailleurs
     Ce sont les moins mal connues. Douze travalleurs ont reçu des doses comprises entre 1 et 4 rem dès le début de l'accident (la dose maxiinale autorisée pour un travailleur du nucléaire est de 5 rem par an). D'autres doses ont été et continuent à être reçues au cours de diverses interventions par exemple, changement des filtres à iode (qui semblent avoir bien fonctionné).
Dose collective à la population
     La dose individuelle intégrée par un individu au point le plus critique est estimée à 100 millirem par la NRC.
     L'estirnation de la dose collective est passée successivernent de 1800 à 2500, puis enfin à 3500 homme x rem (dernière
estimation en date du 18.4.1979).
     Si cette dose vient des indications des TLD sans tenir compte du rayonnement bêta, elle est sous-estimée d'un facteur 5 environ.
     Une dose collective entraîne un nombre supplémentaire de cas de cancer, parrni la population soumise aux rayonnements. D'après les premiers travaux, effectués sur de fortes doses, on admettait généralement 6 cancers pour 10 000 homme x rem, soit 2 cancers supplémentaires pour 3 500h x rem (abrévation de homme x rem). Les travaux récents de Mancuso, Stewart et Kneale sur les faibles doses reçues par les travailleurs de l'usine de retraitement de Hanford conduiraient à multiplier par 10 ce chiffre. Enfm, si la dose réelle est bien de 5 fois supérieure aux 3 500 h x rem officiels, et si on fait confiance aux travaux (fort sérieux) de Mancuso, on arrive à 100 cancers supplémentaires.
     Il n'est évidemment pas possible de trancher à l'heure actuelle. Les deux incertitudes sur la dose collecuve réelle et le rapport cancer/dose obligent à donner une « fourchette » très large: l'accident du réacteur de T'hree Mile Island fera entre 2 et 100 victimes parmi la population. La seule chose sûre est qu'affirmer que cet accident n'aura pas de conséquences est un mensonge (un de plus...).  

7. Petite revue de presse

  Il nous a semblé intéressant de reprendre quelques extraits des multiples déclarations de quelques-uns de nos nucléocrates français.
     Nous avons dû en oublier beaucoup d'autres toutes aussi réjouissantes les unes que les autres, mais nous pensons que l'échantillonnage donne bien les grandes lignes de l'ensemble.

GIRAUD
2.04.79
Le Matin
« ... A première vue je ne vois pas de raison de bouleverser notre programme. Après l'accident d' Harrisburg, l'électricité d'origine nucléaire apparaît aussi nécessaire à notre équilibre énergétique qu'elle l'était avant. Et du point de vue de la sécurité, il faut tout de même rappeler qu'il n'y a pas eu la moindre victime à Harrisburg, bien que l'accident ait été du type le plus grave et le plus dangereux qui puisse arriver à une centrale. »
« Ces problèmes sont étudiés site par site. Mais il ne faut pas exagérer les dimensions de la zone qui, même dans les cas les plus graves, serait affectée. »

5.04.79
Le Matin
« La nécessité du programme n'est aucunement modifiée par l'accident de Three Mile lsland, mais nous continuerons à y apporter le meilleur soin en matière de sécurité. »

3.04.79
Le Monde
« Un accident de ce type est pris en compte dans la conception des centrales françaises. Nos centrales doivent pouvoir contenir des émissions de radioactivité - même dans le cas de tels accidents. De plus, la centrale américaine comporte un appareil qui s'est avéré défaillant et qui est très différent sur les centrales françaises. »
2.04.79
Libération
« Rien ne conduit à modifier le programme nucléaire français. Seuls les faits comptent, ce n'est pas avec des arguments irrationnels que l'on mène une politique.» 

25.04.79
Le Matin
« Nomination de 6 experts + analyse devant le Sénat. »
« Les conséquences de l'accident sur l'environnement ont été pratiquement nulles »
« Il n'est apparu aucun élément de nature à modifier notre attitude à l'égard des centrales à eau légère du modèle utilisé en France ou à remettre en cause notre doctrine en matière de sûreté nucléaire.»
« On doit d'ores et déjà noter qu'il n'est apparu aucun élémert de nature soit à modifier notre attitude générale à l'égard des centrales à eau légère du modèle utilisé en France dans les conditions où elles sont exploitées, soit à remettre en cause la doctrine générale adoptée en matière de sûreté nucléaire, et notamment le principe des barrières successives dont le bien-fondé vient d'être confirmé. »
« Dans le souci d'assurer la plus large et la plus objective information des Français, le gouvernement mettra en oeuvre, lorsque les travaux d'analyse et d'interprétation seront suffisamment avancés, la procédure de la communication à la télévision comportant l'utilisation du droit de réponse et du débat contradictoire. »

7.04.79 (débat à l'assemblée)
Le Monde
« Nul n'a contesté que le recours au nucléaire soit inéluctable. »
« La Communauté Européenne va donner son concours au projet Thermos (réacteur calogène) qui va pouvoir être réalisé. » 

TANGUY (IPSN CEA)
2.04.79
Le Matin
« Nous avons complètement refait l'analyse des problèmes de sûreté et de sécurité de la filière comme si les Américains
ne l'avaient pas fait eux-mêmes. »
« Il faut revoir les analyses prévisionnelles de risques. »
« ... Car EDF a eu la sagesse de choisir un réacteur standardisé et de porter tous ses efforts sur une seule et même technique. »

Christian GERONDEAU
2.04.79
(Directeur de la Sécurité Civile et routière)
Le Figaro
«Ces plans sont en cours d'élaboration à l'échelon local. Nous sommes dans une phase de transition au plan de l'information nucléaire. »

KOSCIUSKO-MORIZET
3.04.79
Le Monde et Libération
« ... Si des enseignements sur la sécurité montraient la nécessité de modifier certaines dispositions, celles-ci seraient instantanément modifiées dans toutes les centrales françaises. »
« ... Modifications de détail: car ce sont des détails qui sont en jeu. »

25.04.79
Le Matin
« Le directeur adjoint de la NRC, Harold Dentov, déclare que la probabilité pour qu'un accident similaire se produise à l'avenir dans une centrale Babcock and Wilcox était de 10 %, alors qu'elle n'est que de 1 % pour des centrales construites par d'autres sociétés. »

Raymond BARRE
3.04.79
Le Monde

« C'est un événement considérable... Il est plus considérable par ses retombées psychologiques que par la réalité technique que nous pouvons observer. Sur cette réalité technique, je ne peux encore rien dire... Si la centrale de Three Mile lsland est du même type que les réacteurs qui sont construits en France, cette centrale présente des caractéristiques techniques très différentes et le scénario qui s'est déroulé aux Etats-Unis ne pourrait se présenter de la même façon en France. Nous avons, en effet, des systèmes de sécurité qui prennent en compte la possibilité de tels accidents techniques et ceci nous met à l'abri de conséquences qui pourraient être considérables. »
Question: « Le gouvernement est-il décidé à remettre en question son programme électronucléaire ? »
Réponse : « Ma réponse sera: non. Parce que si la France doit multiplier les mesures de sécurité, elle ne peut renoncer à l'énergie électronucléaire. »
A propos des déchets: « Jusqu'ici nous avons résolu le problème sans que cela provoque des drames et nous continuerons à le faire... »
Question:  « Où met-on les déchets ? »
Réponse: « En divers endroits. »

M. LEBLOND
4.04.79
(Directeur de Fessenheim)
Le Monde
« Au vu des renseignements qui me sont parvenus lundi, je puis affirmer que Fessenheim est à l'abri d'un accident comparable à celui de Three Mile lsland.»

ENCARTS

Les caractéristiques de la centrale de Three Mile lsland
Lieu Géographique
Commune de Dauphin County - Etat de Pennsylvanie (États-Unis).
Aéroport civil à 4 km.
Villes voisines
Middletown - 5 km - 9 000 habitants
Harrisburg - 16 km - 68 000 hab.
Lancaster - 25 km - 580.000 hab.
Ainsi on trouve 9 700 habitants dans un rayon de 5 km et pratiquement 1 millions d'habitants dans un rayon de 50 km.

Caractéristiques générales
Architecte industriel : B et R / Gilbert
Chaudière : Babock et Wilcok
Groupe Turbo-Alternateur : Westinghouse
Puissance thermique : 2 772 MW
Puissance électrique brute 959 MWe
Puissance électrique nette 905 MWe, soit un rendement de 32,7 %
Refroidissement sur réfrigérant atmosphérique à tirage naturel

Historique
Commande chaudière 3 février 1967
Permis de construire 4 novembre 1968
Mise en service industrielle prévue à l'origine en octobre 1976
Première criticité :28 mars 1978
Mise en service industrielle réelle : 30 décembre 1978

Caractéristique de la chaudière
Température d'entrée du coeur : 291 ^o C
Température de sortie du coeur : 320 ^o C
Pression 150 bar
Masse des éléments lourds (UO₂) : 82 t.
Enrichissement initial : 2,57
Nature de la gaine : Zircaloy 4
Type réseau: 15 x 15.
Générateur de vapeur (type Babock)
nombre : 2
tubes en inconel  
Turbine
vitesse de rotation 1800 tour/minute
température de vapeur haute pression : 296 ^o C
pression de vapeur haute pression 62 bar
pression au condenseur : 85 millibar.
Enceinte : béton précontraint + acier.

Quelques problèmes de soupape... et autres
21 mars 1979 : lors d'essai en inactif (combustible non chargé), sur la tranche de Bugey 5, non fermeture intempestive des vannes de décharge du pressuriseur, entraînant une dépressurisation du circuit primaire et la rupture d'une membrane du réservoir de décharge du pressuriseur...
6 avril 1979 : lors des essais en inactif sur une tranche de Gravelines, non fermeture d'une soupape sur le circuit de refroidissement du réacteur à l'arrêt et rupture d'une membrane du réservoir de décharge : 300 m³ d'eau « primaire » dans le bâtiment réacteur.
     On peut s'interroger sur la volonté de tenir compte de ces «incidents» lors des essais lorsqu'on lit, dans une note interne à EDF, que pour les matériels électriques:
«Il n'y aura pas répercussion des résultats d'essais sur les matériels de Fessenheim et de Bugey ; la seule exception concerne les moteurs RRA de Bugey pour lesquels le SCSIN n'a accepté la mise en service que sous réserve que la qualification soit obtenue pour les moteurs identiques du Cp1»
RRA : refroidissement. du réacteur à l'arrêt.
SCSIN : Service Central de Sûreté des Installations Nucléaires (le zinzin pour les habitués!...)
CP1 : Contrats programme n^o 1, autrement dit les tranches 900 MWe après Bugey.

Quel est le poids des services de sûreté en France?
Le 5 février 1978, M. Christian de Torquat, chef du Service Central de Sûreté des Installations Nucléaires (Ministère de l'Industrie) écrivait au Directeur du Gaz et de l'Électricité au même ministère de l'Industrie, la lettre suivante (référence SIN 282/78):
Objet : Déclaration d'utilité publique des travaux de construction d'une centrale nucléaire sur le site de Cattenom (Moseile)
Référence : Votre lettre AS-2 - P/CN 593 du 2 janvier 1978
     Par lettre citée en référence, vous m'avez adressé le dossier d'enquête relatif à la déclaration d'utilité publique des travaux de construction d'une centrale nucléaire (deux tranches de 900 MWe et deux tranches de 1300 MWe) sur le site de Cattenom et vous m'avez demandé mon avis sur les problèmes de sûreté qui pourraient être liés au choix de ce site.
     A cet égard, j'ai l'honneur de vous faire savoir que j'estime que le site de Cattenom présente, notamment du point de vue de la répartition de la population, des caractéristiques nettement plus défavorables que la plupart des sites précédemment utilisés pour l'implantation de tranches nucléaires. Cette constatation m'a amené, dès le 29 octobre 1975, à appeler l'attention du ministre sur les réserves de mon service sur le choix de ce site. En outre, dans le cadre de l'instruction de la déclaration d'utilité publique des travaux de construction d'une centrale nucléaire sur le site de Cattenom, je vous ai d'ores et déjà précisé de façon détaillée la position de mon service sur le choix de ce site; je vous rappelle à cet égard les termes de ma lettre SIN n^o 1432/76 du 14 décembre 1976.
     Par ailleurs, comme vous le savez, le ministre de l'industrie, du commerce et de l'artisanat a, par lettre CAB n^o 4312 Z du 22 septembre 1977, demandé au Premier ministre qu'une réflexion sur les directives qui pourraient être élaborées quant au choix des sites des centrales nucléaires pour ce qui concerne les problèmes liés à la densité et à la répartition de la populàtion, soit menée au sein du comité interministériel de la sécurité nucléaire. Cette réflexion n'a pas, à ce jour, atteint un stade qui permette d'en esquisser les conclusions.
     Dans ces conditions et dans l'attente des résultats des travaux précités, je ne peux que maintenir les réserves que j'ai déjà exprimées depuis plus de deux ans sur le choix du site de Cattenom pour l'implantation de tranches nucléaires. »
     Ce qui n'a pas empêché, malgré toutes les réserves du Service chargé de la Sûreté, M. Giscard d'Estaing d'annoncer qu'il fallait que des tranches nucléaires soient engagées le plus rapidement possible sur le site de Cattenom.

Questions:
- A quoi sert le SCSIN?
- Pourquoi ses avis ne sont-ils pas rendus publics?

     Après la diffusion, le 27 avril, du premier rapport de MM. Roche (SCSIN) et Cayol (CEA), le Ministère de l'Industrie a annoncé que celui-ci serait étudié par six personnalités membres de l'Académie des Sciences. Le GSIEN a publié le communiqué suivant:
     « Le Groupement de Scientifiques pour l'Information sur l'Energie Nucléaire s'élève avec vigueur contre la campagne qui tend à faire croire que l'information va être faite sur les conditions de sécurité des centrales nucléaires construites en France.
     Nous avons appris avec tristesse mais sans réelle surprise l'annonce faite par Monsieur André Giraud, de la création d'un comité compose de hautes personnalités scientifiques, qui sera chargé d'examiner les conclusions des experts et qui «suggèreront les mesures à prendre en France pour renforcer la sûreté des installations ».
     Avec tristesse, car si certaines de ces personnalités n'ont jamais cessé de faire chorus avec nos officiels, il est certain que les autres, d'une honnêteté reconnue, se sont laissés piéger dans un comité croupion qui ne peut servir que d'alibi à nos décideurs.
     La preuve en est, la suite de la déclaration de Monsieur André Giraud, qui a déjà conclu avant même que le comité se soit réuni (et qui comme le premier ministre, avait déjà dès le 31 mars 1979 émis des avis défmitifs) «il n'est apparu aucun élément de nature à modifier notre attitude à l'égard des centrales à eau légère du modèle utilisé en France, ou à remettre en cause notre doctrine en matière de sécurité nucléaire. » (Le Matin de Paris, 25.04.79).
     Ce n'est pas un comité de sages qu'il faut, mais une commission d'enquête qui élaborera un document contradictoire, commission d'enquête qui doit comprendre outre des représentants officiels, des représentants des travailleurs, des scientifiques ayant émis des doutes.
     Cette commission doit être habilitée à avoir accès à tous les dossiers. Les dépositions doivent être publiques.
     La démocratie pratiquée en France serait-elle en retrait par rapport à l'Angleterre qui a fait les auditions de Windscale, par rapport à l'Allemagne qui vient de procéder à une analyse publique du dossier de l'usine de retraitement de Gorleben?
     Ont participé à ces travaux des contre-experts de toute nationalité, Arnéricain, Anglais, Suédois et même Français.
     Pourquoi faut-il qu'en France, le principe soit toujours celui des enquêtes d'utilité publique, où un commissaire enquêteur peut se permettre de considérer que, comme il n'est pas compétent, il ne tient pas compte des avis contre, mais fait entière confiance aux experts officiels (exemple: enquête sur le site du Pellerin)?
     Aux U.S.A., il fallut un scandale pour que la N.R.C., organisme indépendant de l'AE.C., des constructeurs et des exploitants, soit créé.
     Aura-t-on toujours en France la chance que les incidents comme celui survenu à Bugey le 21 mars 1979 sur la tranche 5 (avec l'ouverture de la vanne de décharge et rupture de la membrane du ballon de décharge analogue à Three Mile Island) ou celui survenu à Graveline le 3 avril 1979 (perte de 50 m³ d'eau du circuit primaire par défaillance d'une vanne du circuit de refroidissement du réacteur à l'arrêt) aient lieu toujours lors des derniers essais en inactif, environ 3 mois avant le démarrage de ces réacteurs ?
     Faudra-t-il un Three Mile Island français pour que soit créée une commission indépendante dont les conclusions seront respectées et qui pourra imposer ses décisions à EDF et Framatome?
     De toute façon, le programme électronucléaire français repose sur un bluff permanent soutenu par une campagne d'intoxication faite sous forme d'une information lénifiante et tronquée.
     Le G.S.I.E.N. rappelle avec force sa demande d'un débat sur la politique énergétique française et plus particulièrement sur la part de 1'électronucléaire. Il demande en outre l'arrêt du programme en l'état des centrales divergées, tant que ce débat n'aura pas eu lieu.

                                      Période                   Activité
                                                                  Curies/tonne
KRIPTON
83 m                           1,86 h                        1,23 10⁵
85 m                           4,5 h                          1,7   10⁵
85 f¹                          10,7 ans                      9,85 10³
87                                1,27 h                       5,13 10⁵
88                                2,8 h                         7      10⁵
89²                             191 sec                       8,6  10⁵
90³                             32,3 sec                      8,3  10⁵
IODE
128                             1150 sec                        10⁴
129¹                          1,6 10⁷ ans                    3 10²
130 m                           552 sec                      1,5 10⁴
130 f                             12,3 h                        2,13 10⁴
131                             8,03 jours                    1,07 10⁶
132 f                              2,3 h                         1,54 10⁶
133 f                              20,8 h                       2,15 10⁶
135                                 6,7 h                          2 10⁶
137⁴                               230 sec                      2 10⁶
XENON
131 m                            12 jours                      7,05 10⁵
133 m                              2,25 j                        3,1  10⁵
133 f                                 5,3j                         2,16 106
135 f                                9,14 h                       5,06 10⁵

1. EquiIibre non atteint à TMI.
2. Donne du Strontium 89 de période 50 jours.
3. Donne du Strontium 90.
4. Donne du Cesium 137.
(p. 11: schéma du réacteur dans le 1er dossier)

ANNEXE 2
Pour les amateurs, nous donnons ci-dessous les schémas des circuits auxiliaires d'un réacteur PWR (ici Bugey 2 et 3)

     A titre d'information et sans aucun commentaire, le lecteur jugera, nous donnons intégralement un texte paru dans le Bulletin n^o 128 (mars 1979) d'information des chefs d'Unité d'Electricité de France

1. Se référer constamment à la notion de service public
· Avoir le souci prioritaire de l'intérêt du client, de l'accueil du public, de la réduction des inconvénients qui résultent pour lui de la construction et de l'exploitation de nos ouvrages;
- Ne pas se prévaloir abusivement de l'intérêt général même si nous avons la conviction de lui subordonner toujours celui d'EDF;
- Ne pas laisser dégénérer « l'esprit maison » en une appropriation de l'entreprise par ses agents
- Faciliter au personnel cette «défense de la nationalisation», à laquelle il tient comme la Direction, en recherchant toujours avec lui la qualité du service et des relations extérieures.
2. Passer de l'information aveugle et sourde à la vraie communication
- Se vouloir le plus possible une maison de verre, mais en se comportant en conséquence;
- Limiter au minimum strictement indispensable le domaine du secret et du confidentiel
· Ne pas répugner à avouer les faiblesses de l'entreprise si on a la volonté de les combattre
· Dénoncer la rétention intéressée de l'information tant interne qu'externe;
· Faire la chasse au jargon des spécialistes. S'attacher à bien se faire comprendre
· Se garder de l'illusion qu'il suffit d'informer pour intéresser et à plus forte raison pour convaincre
· Admettre que la seule rationalité technico-économique ne suffit pas à entraîner l'adhésion et que l'information est inutile si on ne sait la faire désirer
· Etre à l'écoute des publics interne et externe. Accueillir avec attentions les points de vue différents et rechercher leur complémentarité
- Favoriser toutes les formes d'information remontante et mieux cerner les vrais centres d'intérêt du personnel
· Améliorer le dialogue avec le personnel par l'ouverture, la loyauté, l'appel au respect du service public
- Comprendre que les hommes ont plus besoin de considération que d'information, surtout si cette information ne les implique pas directement.
3 - Donner toute l'importanoe qu'elles ruéritent aux Relations Publiques
· Ne pas considérer les Relations Publiques comme une fonction secondaire destinée seulement à « mettre dc l'huile dans les rouages », car une bonne image de l'~tabh.ssement demande bien d'autres efforts
· Chasser l'esprit technocratique et marquer une juste considération aux hommes de plume ou de tribune. 

Notes:
7. Voir note 5

8. Analyse complémentaire

Dans ce chapitre, nous allons tenter d'aller plus loin dans l'analyse de l'accident. Mais, compte tenu de la complexité et aussi de l'importance de ce qui s'est passé aux Etats-Unis, nous nous proposons de revenir sur ce sujet dans les prochains numéros.
     Affirmons tout d'abord qu'un accident comparable à celui de TMI peut arriver en France plus d'une fois dans les cinq ans à venir. A l'appui de cette affirmation, nous allons, dans ce numéro, traiter du scénario et des responsabilités impliqués, en réservant pour une prochaine étude de revenir sur la conception de l'exploitation des centrales mises en cause par l'analyse de T.M.I.
     Signalons également que nous essaierons de publier prochainement un « bêtisier TMI » plus complet que celui qui figure dans ce numéro. Ceci devrait permettre de remettre à leur place dans l'esprit du public un certain nombre de vedettes et de «compétences» dont les affirmations péremptoires pourraient encore inspirer confiance.
     Enfm, remarquons que les autorités françaises semblent faire leur possible pour oublier l'accident en regrettant que les Américains aient fait tant de bruit autour. Tirant l'enseignement, il y a maintenant la volonté d'organiser préventivement l'information de façon à avoir une information officielle et unique: voir à ce sujet le rapport Augustin du 4.6.79 (l'accident nucléaire de TMI, Mission d'études sur le déroulement de la crise).

     Mais abordons maintenant les analyses physiques;ce qui s'est passé dans la centrale deThree Mile Island:
     S'appuyant sur:
 - des télex officiels largement diffusés en France auprès des spécialistes,
- les courbes enregistrées à TMI durant l'accident et diffusées aux missions étrangères par la N.R.C. au milieu des 800 pages de sténotypie des réunions (rapportées par la « mission spéciale » du GSIEN à TMI),
- les interprétations physiques des spécialistes, la connaissance des centrales PWR et leurs conditions d'exploitation, nous allons essayer de préciser et rectifier les interprétations données dans le rapport officiel de la mission Roche-Cayol (voir plus haut). Nous nous excusons par avance du caractère technique de ce qui suit, mais nous pensons indispensable de donner ces informations... sachant que la Gazette peut apporter des précisions, y compris aux technocrates qui forment une partie de ses lecteurs!
     Les cinq graphiques joints, réalisés à partir des courbes dont on notera qu'elles n'ont pas été diffusées par le rapport officiel, permettent de mieux apprécier et interpréter la séquence des événements.
     On peut distinguer quatre phases:
- les deux premières minutes : initiation de l'accident (figure 1),
- les seize premières minutes : «suivre la notice» (figures 2 et 3),
- les seize premières heures : une improvisation... qui finit bien (figures 4 et 5),
- du 28 mars à nos jours : à quand l'arrêt sûr ?

Phase 1
Initiation de l'accident

figure 1

     Le manque d'alimentation normale en eau secondaire des GV entraîne le déclenchement (c'est-à-dire la fermeture) de la turbine. Une montée très rapide de la pression primaire entraîne l'ouverture automatique de la vanne de décharge du pressuriseur vers t = 3 à 6 secondes. En effet, le manque d'alimentation en eau aux GV ne permet pas un transfert de chaleur suffisant entre primaire et secondaire.
     Vers t = 9 à 12 s, l'arrêt d'urgence automatique du réacteur permet d'arrêter la montée de pression primaire: avant t = 15 s, cette pression, en chutant, passe en-dessous du seuil de refermeture de la soupape de décharge du pressuriseur.. Or cette soupape ne se ferme pas: dès t = 15 s, la situation est ainsi celle d'un «accident de perte de réfrigérant primaire par brèche intermédiaire en phase vapeur au pressuriseur».
     Le terme intermédiaire caractérise la taille de la brèche dans la classification des accidents «pris en compte» à la conception, par comparaison à la «grosse brèche» qui caractérise le dimensionnement de l'enceinte.
     La figure 1 montre qu'à t = 15s, le niveau secondaire aux GV n'a baissé que de 2 m sur les 10 m et plus que comportent leurs faisceaux de tubes (la gamme de mesure, elle, se limite à - 4 m au-dessous du niveau normal) : bien qu'il en résulte une diminution de la surface d'échange utile, la pression aux GV n'a pas encore baissé. Le manque de réserves d'eau des GV de TMI n'a donc pas joué dans l'initiation de l'accident de brèche primaire intermédiaire.
     On notera également que les pompes d'alimentation de secours des GV n'atteignent leur plein régime qu'à t = 30 s: les vannes manuelles restées fermées par erreur sur les circuits d'alimentation de secours auraient-elles été ouvertes dès t = 0, l'alimentation de secours aurait été sans effet sur l'ouverture et la non-fermeture de la soupape de décharge du pressuriseur. Ainsi, le manque d'eau alimentaire de secours n'a pas joué à TMI dans l'initiation de l'accident de brèche primaire intermédiaire.
     Les spécialistes français, dans leur totalité, se sont mis d'accord sur cette interprétation, avancée semble-t-il par EDF. Babcock et Wilcox, constructeur des générateurs de vapeur de TMI, soulignait le premier point à la revue américaine Nucleonics Week dès avant le 26 avril : « La pression initiale s'est maintenue dans les GV durant 1,5 à 2 minutes». L'EPRI, Institut de Recherche sur l'Energie Electrique, financé par une majorité de producteurs d'électricité américains, et qui fait techniquement autorité aux USA, partagerait cette analyse. La NRC en resterait à sa première interprétation.
     On peut noter également que cette première phase se termine par le démarrage automatique de l'injection de sécurité à t =2 mn sur un signal «Basse pression primaire» aux environs de 110 bars (1600 psi), tandis que le «niveau pressuriseur» croit jusqu'à une valeur proche de sa valeur initiale.

Phase 2
«Suivre la notice» (figures 2 et 3)
     On remarque, sur les figures 2 et 3, les points d'intervention des opérateurs qui ont porté sur l'injection de sécurité et sur l'alimentation de secours des GV.
     Sur l'injection de sécurité, l'action a été indiscutablement très néfaste globalement, empêchant un refroidissement nécessaire du réacteur aussi bien que la compensation du volume de vapeur évacué par la soupape coincée ouverte. (Ce deuxième point n'apparaîtra qu'au-delà de t = 1 h 40, au début de la troisième phase).

figure 2

     La figure 2 montre qu'à t = 6 mn, l'eau primaire atteint l'ébullition massive dans la moitié chaude du circuit. Cette situation, qui durera jusqu'à t = 14 h 30, conduira à un assèchement localisé du combustible qui, alors non refroidi, verra sa température croître dangereusement.
     Sur l'alimentation de secours des GV, l'action a été bénéfique, stoppant la chute de la pression secondaire des GV avant qu'elle ne fut réellement basse (figure 5 à t = 8 minutes) en arrêtant la montée en température de l'eau primaire. On notera également que les « niveaux » secondaires aux GV sont restés « bas », ce qui montre que cette situation n'empêche pas un refroidissement suffisant du primaire (voir phase 1).
     Le « niveau » au pressuriseur, observable sur la figure 2, n'a ici, en réalité, que peu de signification. Son évolution a néanmoins joué un rôle déterminant dans le déroulement de l'accident: c'est en effet essentiellement sur celle-ci que s'est basée 1'intervention des opérateurs sur l'Injection de Sécurité, comme le confirme la figure 2. Les opérateurs ont certainement suivi en cela la notice mise à leur disposition pour les situations accidentelles de la chaudière, appelée «procédure de conduite post-accidentelle». 
Nous ne connaissons pas la «procédure» en usage à TMI, nous savons seulement que sur la procédure en cours d'élaboration pour les centrales françaises qui vont démarrer sont signalés comme « phénomènes à éviter »:
- la rupture de la membrane d'éclatement du ballon de décharge (rupture de la seconde barrière entre les produits radioactifs et l'environnement, la première étant les gaines du combustible et la troisième l'enceinte de confinement),
- la cavitation des pompes primaires, le remplissage du pressuriseur après démarrage de l'I.S.
     On ajoutera que, selon l'EPRI, dont Nucleonics Week cite l'analyse détaillée dans son numéro du 21 juin, les opérateurs «followed the book»[8].
     En réalité, les spécialistes savent depuis plusieurs années que lors d'une fuite en phase vapeur du pressuriseur, l'indication du niveau de cet appareil ne mesure plus un niveau d'eau, qui d'ailleurs n'existe plus: il s'agit d'nne mesure de colonne d'eau par différence de pression entre deux points placés sur une même verticale d'un bidon. Dans le cas présent, le bidon n'est plus qu'une tuyauterie traversée de bas en haut par un débit de vapeur ou d'émulsion. On dispose donc d'une mesure de débit non étalonnée.
     L'opérateur, qui n'en croyait pas ses yeux, voulut néanmoins éviter le remplissage du pressuriseur et le remplissage du ballon de décharge: si le « niveau » avait effectivement représenté le niveau de l'eau, il importait donc d'arrêter d'injecter dans le circuit primaire un fort débit d'eau à pression élevée, et de se borner à compenser la perte d'eau par la brèche.
    A la fin de cette seconde phase, la rupture de la membrane du ballon de décharge était un échec pour l'opérateur, qui néanmoins avait retrouvé son « niveau » de pressuriseur et voyait décroître pression et températures primaires...

Phase 3
Une improvisation... qui finit bien (figures 4 et 5)
     Le primaire était quand même en ébullition dans sa masse entre le coeur et les générateurs de vapeur. Ainsi les choses se sont-elles gâtées une heure après la fin de la seconde phase les pompes primaires se sont mises à vibrer dangereusement. Ces vibrations étaient provoquées par la «cavitation[9]», fonctionnement perturbé par la présence de poches de vapeur dans les pompes. Les opérateurs ont ainsi arrêté les unes après les autres les pompes de la boucle B, puis celles de la boucle A.
     Etait-ce écrit sur leur «procédure» ? Nous ne le savons pas. Ça l'est sur les «procédures » françaises. La NRC laisse entendre que ce n'était pas préconisé sur la « procédure » de TMI « seule l'enquête détaillée, actuellement effectuée par la NRC, permettra de préciser les raisons exactes de l'arrêt des pompes, qui apparaît dès aujourd'hui comme une grave erreur d'appréciation», lit-on en effet dans le rapport officiel «Roche-Cayol».
     Le Directeur de la Qualité et de la Sécurité industrielles au ministère de l'industrie, Monsieur François Kociusko-Morizet a confirmé cette thèse de la NRC au Comité «Veil» pour l'«information» sur l'énergie nucléaire, le 7 mai dernier : il s'est d'abord appliqué à démontrer que l'accident a véritablement commencé au moment où, l'inertie des GV Babcock étant insuffisante, l'alirnentation de secours des GV faisait défaut. Il a ensuite estimé que «l'exploitant avait pu avoir peur de détériorer des pompes qui coûtent très cher, ou de casser ces pompes, mais pouvait prendre le risque d'en casser une en attendant... »
     D'autres spécialistes estiment que ces pompes avaient du être arrêtées beaucoup plus tôt, et que les laisser fonctionner dans un primaire diphasique risquait d'entraîner leur rupture et une seconde brèche primaire, plus difficilement maîtrisable encore que la première...
     On ne sait donc pas trop ce qui se serait passé si les opérateurs n'avaient pas arrêté ces pompes, on sait que les ayant arrêtées, ils ont vu la situation se détériorer à un point que la «procédure» était alors totalement dépassée et qu'il ne restait plus que l'improvisation pour éviter le pire: la fusion du coeur.
     En effet, comme le montrent les figures 4 et 5: 
- plus aucun échange n'a eu lieu entre primaire et secondaire, entraînant la chute de pression dans les GV et la montée de leurs niveaux,
- l'eau primaire est devenue très hétérogène, la moitié comprise entre les GV et le coeur (branches froides) devenant de plus en plus froide et la moitié comprise au-dessus du coeur dépassant la limite supérieure de la gamme de mesure de températures.
     Toute circulation était alors interrompue dans l'ensemble du circuit primaire, interdisant un bon refroidissement du coeur. Seule une convection localisée dans la cuve pouvait intervenir, convection d'une eau saturante, comme le montre la figure 4, et ne pouvant donc éviter l'assèchement localisé du combustible. Un dénoyage d'une partie importante du coeur est certainement intervenue au cours de cette phase, dont la période la plus critique semble avoir eu lieu vers t = 8 heures: eau primaire très chaude, dépressurisation très importante, d'où importante vaporisation et assèchement étendu sur les gaines du combustible.

figure 4

figure 5

     Les opérateurs, s'appliquant apparemment à conserver un niveau de pressunseur visible en réduisant l'injection de Sécurité, ont mis en oeuvre la métliode expérimentale en jouant sur l'isolement de la ligne de décharge du pressuriseur:
- fermer la « brèche » ralentissait la va-porisation et réduisait le volume de la bulle de vapeur accumulée dans le dôme de l'enceinte et dont on pouvait craindre qu'elle n'atteigne le coeur qu'elle aurait asséché irrémédiablement,
- ouvrir la brèche évacuait de l'énergie et pouvait permettre d'espérer atteindre les conditions de refroidissement du primaire par le circuit de réfrigération àl'arrêt.
     Ces tentatives n'ont pas abouti. Cependant, pour des raisons encore a éclairer, la circulation naturelle semble s'être rétablie au-delà de t = 10 heures. La décharge des accumulateurs dans la cuve y a sans doute contribué. L'homogénéisation du circuit primaire a alors été favorisée par une nouvelle fermeture de la brèche » vers t = 13 h 30, et les opérateurs ont pu remettre en service sans dommage les pompes primaires de la boucle A le refroidissement par le générateur de vapeur A mettait fin à cette phase périlleuse.

Phase 4
A quand l'arrêt sûr?
     Nous ne nous étendrons pas dans la présente Gazette sur cette dernière phase, non moins périlleuse que la précédente, et qui n'est pas terminée aujourd'hui, à notre connaissance.
     Il s'est agi d'abord d'éliminer la «bulle» d'hydrogène, de gaz de fission radioactifs et de vapeur, qui s'était constituée dans la partie supérieure de la cuve et qui mettait en péril le bon refroidissement du coeur.
     Il s'est agi ensuite de recombiner l'hydrogène accumulée dans l'enceinte, afin d'éviter une explosion d'hydrogène plus puissante que celle qui s'était produite à t = 10 heures au cours de la phase 3 (voir figure 5), qui aurait pu, fissurant l'enceinte, conduire également à la catastrophe, par relâchement massif de radioactivité dans l'environnement.
     Il s'agit enfin d'amener le circuit primaire dans une configuration «d'arrêt sûr», malgré les défaillances de matériels qui ii'ont pas été conçus pour fonctionner dans de telles conditions (injection de sécurité, instrumentation, générateurs de vapeur...) ou qui étaient défaillants avant l'accident (circuit de refroidissement à l'arrêt fuitard) malgré les risques de manque d'alimentation électrique, malgré les multiples fuites d'une eau primaire dont le niveau de radioactivité rend les interventions très problématiques voire impossibles, malgré les tonnes d'effluents liquides qui sont dans le même cas, etc.
     Un bilan des rejets dans l'environnement ne pourra être fait qu'après la fin de cette quatrième phase. Il semble que pour ce qui est du coeur, ou de ce qu'il en reste, il soit désormais à l'abri de tout risque de fusion.

     La NRC n'a pas craint d'insister sur les « erreurs humaines » commises à son avis dans la salle de commande de TMI. Sans vouloir trop préjuger de ses mobiles, on doit préciser que:
- le terme «erreur humaine» est très ambigu et a été facilement transformé en «fautes des opérateurs», «d'ailleurs insuffisemment formés dans le cas particulier de TMI »,
- le terme «erreur humaine» tend à mettre hors de cause la machine, c'est-à-dire essentiellement sa conception... qui est néanmoins l'oeuvre d'autres hommes,
- le terme «erreur humaine» tend enfin à faire croire que les opérateurs ont agi en tout de leur propre initiative. Or nous venons de voir qu'ils se sont avant tout appliqués à suivre les «procédures» rédigées antérieurement par des spécialistes ayant étudié le problème à tête reposée
     La NRC, ea réalité, est ici juge et partie : n'est-ce pas elle qui a contrôlé la bonne conception de la chaudière de TMI ? N'est~e pas elle qui a contrôlé la bonne rédaction des procédures post-accidentelles, qui a réglementé la formation des opérateurs?
     Si cette formulation a été reprise par Babcock, le constructeur de la chaudière, par Giraud, ministre français de l'industrie et par ses hommes, enfin par une certaine presse ostensiblement pro-nucléaire, ce n'est pas par hasard, c'est parce qu'ils y ont trouvé leur compte: les officiels français n'ont pas cru devoir démentir cette formulation, eux qui ont eu tout le temps d'apprendre, depuis début avril, qu'elle était fallacieuse.

Voyons donc où sont les véritables défaillances:

En phase 1
- manque d'alimentation normale des GV: défaut banal, à mettre au compte de la fiabilité des matériels ou des circuits,
- manque d'alimentation de secours: faute grave, mais n'a pas joué de rôle matériel à TMI.
 Ce n'est pas une faute d'opérateur, c'est l'accumulation d'une faille antérieure, dans les procédures d'entretien et de passage d'un quart au suivant, et d'une faute de conception de la salle de commande, qui aurait dû signaler de façon aveuglante l'indisponibilité d'un circuit essentiel pour la sûreté,
- non fermeture de la soupape de décharge du pressuriseur: défaillance de matériel, ou de son circuit de commande.

En phase2
- indication sans signification de la mesure de «niveau» du pressuriseur: faute de conoeption, existant sur toutes les chaudières nucléaires à eau «pressurisé », PWR, quel que soit leur constructeur,
- isolement d'enceinte non actionné par la mise en service de 1'I.S., comme se serait le cas en France par exemple: défaut de conception particulière à la chaudière de TMI et probablement à d'autres chaudières nucléaires, mais probablement aussi défaut de «procédure» avant d'être une faute d'opérateur!
- arrêt de l'injection de sécurité, et remise en route seulement à trop faible débit: action due au défaut de représentativité de la «mesure de niveau» du pressuriseur, soit un défaut de conception, annulé avec un défaut de procédure, comme nous l'avons vu. Monsieur François Kociusko-Morizet lui-même reconnaissait, le 7 mai, qu'«il est difficile de reprocher à l'opérateur» d'avoir arrêté l'Injection de Sécurité. La formation des opérateurs est sans doute en cause, néanmoins elle l'est pour la quasi-totalité des opérateurs en centrales nucléaires dans le monde. Une formation suffisante requiert des efforts d'étude du même ordre que la rédaction de bonnes «procédures», et des efforts d'organisation supérieurs encore: les autorités de sûreté sont autant impliquées par une insuffisance que par l'autre.

En phase 3
- l'arrêt des pompes primaires semble ne pas avoir été une erreur. En France, selon des procédures en cours, cela aurait été une faute de les arrêter si tard. Il s'agit donc soit d'une action préconisée par une «procédure» en cours à TMI, soit d'une action d'improvisation dans une situation non prévue par les «procédures». Dans les deux cas, cette action semble avoir été positive, en dépit de ses conséquences immédiates, qui n'ont été que la mise en évidence du manque d'eau dans le circuit primaire, résultant des actions antérieures,
- quant aux manoeuvres se situant entre t = 1 h 40 et t = 16 h, nous avons vu qu'elles avaient été improvisées, ce qu'il n'était pas admis jusqu'alors d'exiger d'un opérateur de centrale nucléaire dans de telles conditions. On notera d'ailleurs que les spécialistes de la NRC sont arrivés en salle de commande vers t = 7 h, et que les ingénieurs de chez Babcock, peu après, cherchaient toujours dans les «tables» si le primaire était ou non à l'état diphasique...

En phase 4
- la bulle est le résultat des fautes antérieures auxquelles s'ajoutent les erreurs d'appréciation dans des calculs qui n'avaient pas prévu un tel relâchement de gaz de fission par les éléments combustibles. Les difficultés d'évacuation sont liées à la conception même de la chaudière configuration du circuit primaire qui permet le passage d'une bulle dans le dôme de la cuve. Il s'agit donc bien ici d'une faute de conception,
- l'explosion d'hydrogène n'a heureusement pas dépassé la pression de calcul de l'enceinte (environ 5 bar). Néanmoins une explosion plus puissante n'a été évitée que par l'ardeur mise à approvisionner la centrale en recombineurs d'hydrogène. Il y a eu là une faute d'organisation.

     Cette rapide revue des défaillances mises en évidence à TMI montre qu'en ce qui concerne les 7 défaillances vraiment décisives: indisponiblité de l'alimentation de secours, non fermeture de la soupape de décharge, non représentativité du niveau du pressuriseur, non isolement de l'enceinte durant les 5 premières heures, arrêt ou réduction de l'I.S., formation d'une bulle dans la cuve, et accumulation d'hydrogène dans l'enceinte,

- la conception de la chaudière est en cause 5 fois,
- les procédures de conduite 3 fois,
- l'organisation immédiate de l'exploitation et de la sûreté 2 fois,
- la formation des opérateurs 1 fois,
- la défaillance du matériel 1 fois.

     Pour ce qui est de l'arrêt des pompes primaires, la Gazette informera ses lecteurs quand tous les spécialistes seront tombés d'accord, nous estimons aujourd'hui que ce n'était pas une mauvaise manoeuvre.

Three Mile Island est-il donc possible en France?

     Pour ce qui est de la probabilité, nous l'avons indiquée au début de ce papier.
     Pour ce qui est de la gravité, nous devons d'abord dire que les relâchements de radioactivité à l'extérieur ont été d'ores et déjà supérieurs à ce qui avait été annoncé jusqu'ici, la NRC l'a récemment admis. Nous devons dire ensuite que le relâchement de radioactivité à l'intérieur de l'enceinte dépasse ce qui avait été prévu en France pour l'accident «enveloppe», dit «de dimentionnement de l'enceinte». Plusieurs éléments permettent d'affirmer que le même accident aurait pu être en France plus grave qu'il ne le fut à TMI. Nous reviendonrs là-dessus dans une prochaine Gazette.
     Pour ce qui est du scénario, nous pouvons affirmer dès aujourd'hui que sur les 7 défaillances citées ci-dessus, seul le non-isolement de l'enceinte durant les 5 premières heures ne se serait pas produit.
     Quand on sait que la majeure partie des rejets radioactifs dans l'environnement de TMI a eu lieu depuis l'isolement de l'enceinte, selon un rapport récent de la NRC elle-même, on «comprend» le silence total des autorités françaises sur l'aspect dit «technique» de l'accident de Three Mile island. 

Petit lexique

Accumulateurs réservoirs d'eau borée froide sous une pression de 41 bars.
ANG: Alimentation Normale des Générateurs de vapeur en eau secondaire.
Boucles A et B: le circuit primaire de la chaudière de TMI comporte la cuve et deux « boucles » comportant chacune, essentiellement, un générateur de vapeur en série avec deux pompes primaires en parallèle (voir schéma).
Fan cooler: système de refroidissement de l'atmosphère de l'enceinte par ventilateur et radiateur air-eau dans l'enceinte et échangeur à l'extérieur de l'enceinte. Le circuit fermé permet le confinement de l'enceinte. Il est réputé tenir aux ambiances accidentelles. Ce dispositif n'existe pas sur les chaudiêres nucléaires françaises.
GV: Générateur de Vapeur. Le « niveau » des GV est mesuré de la même façon que celui du pressuriseur: mesure d'une différence de pressions.
I.S.: Injection de Sécurité, système appelé, aux USA, ECCS (Emergency Core Cooling System) et injectant de l'eau froide sous pression dans la cuve en cas d'accident, afin d'assurer un refroidissement suffisant du réacteur.
I.S.H.P.: Injection de Sécurité Haute Pression. Prévue pour injecter de l'eau froide dès les premiers instants d'une dépressurisation de la cuve (dès 110 bars à TMI). C'est de l'ISHP qu'il sera ici toujours question, même sous l'appellation «I.S.». 

     Après l'accident de TMJ, la CFDT-EDT de l'Equipement (le service qui construit les centrales) a envoyé au Directeur de l'Equipement une lettre ouverte, dont nous extrayons ici quelques passages caractéristiques:
     Ne pas cacher la probabilité et la gravité d'un accident du type T.M.I. sur une centrale française.
     Plusieurs éléments montrent en effet que les informations dont on disposait le 24 avril étaient encore très optimistes. En effet
- la mise hors service de l'alimentation de secours des GV n'est pas une condition nécessaire au développement d'un accident du type T.M.I.[1],
- la réserve en eau secondaire des GV du type Westinghouse n'aurait pas eu d'effet sensible sur le scénario de l'accident de T.M.I.,
- l'Injection de Sécurité a démarré automatiquement, à T.M.I., à l'instant t = 2 mn. Cela n'aurait pas été le cas à Fessenheim ou Bugey où l'on accordait 25 mn à l'opérateur pour comprendre le processus et démarrer l'IS manuellement, temps considéré comme «non totalement satisfaisant» par l'autorité de sûreté,
- la circulation naturelle n'est pas plus possible sur une chaudière Westinghouse que sur une chaudière Babcock, dès que le circuit primaire a atteint l'état diphasique,

- les chaudières «françaises» ne comportent pas le circuit de brassage et de refroidissement[2] de l'air contenu dans l'enceinte qui existe sur la majorité des chaudières PWR construites aux USA, qui évite la mise hors service définitive de la chaudière en cas de brèche intermédiaire et épargne aux opérateurs le choix, en cas de petite brèche, entre risquer de fissurer l'enceinte ou détruire leur machine,
- l'épaisseur d'enceinte en France est inférieure à celle de TMI, ce qui correspondrait à une irradiation directe à travers l'enceinte environ 30 fois supérieure en France à ce qu'elle fut à TMI[3],
- l'accident de TMI semble n'être pas passé loin de la catastrophe, notamment en cas d'arrêt plus tardif des pompes primaires, ou d'explosion plus puissante de l'hydrogène,
- enfin, le rythme excessif de l'actuel programme, vis-à-vis des moyens de l'industrie nationale, du maitre d'oeuvre et de l'autorité de sûreté, sont des conditions propres à accroître dans une large mesure toutes les probabilités d'accidents,
- nous insisterons plus particulièrement sur l'inquiétante faiblesse des moyens de l'appui technique de l'autorité de sûreté, qui manifeste clairement quelles sont les priorités du gouvernement actuel.
     Nous n'insisterons pas sur la gravité de la signification de l'incident de Gravelines. Nous avons seulement noté que:
-pour les mêmes raisons qu'à TMI, rien ne permet aujourd'hui d'affirmer que les opérateurs auraient agi d'une façon sensiblement différente sur une chaudière dont le coeur aurait été chargé,
- la gravité d'un tel accident aurait dans ce cas été bien supérieure à celle de l'accident de TMI.
     Plus loin, on peut lire:
- Si aucun délai n 'est encore annoncé dans les intentions de la Direction dans la note du 18 mai, sinon pour repousser le plus grand nombre d'applications au niveau du palier N4, le CNLE-CFDT croit devoir préciser sur ce point ses exigences a minima:

Actions conditionnant dès aujourd'hui le maintien en service de Fessenheim 1 et 2, Bugey 2, 3, 4 et la divergence de Bugey 5
- révision provisoire exhaustive des huit procédures de conduite post-accidentelles citées dans le rapport du 18 mai,
- rédaction d'une procédure de conduite post-accidentelle provisoire pour le cas d'une fuite du RRA, sur la base de l'expérience de Gravelines, et en attendant la rédaction d'une version définitive s'appuyant sur des simulations crédibles,
- correction de la logique de mise en route de l'injection de sécurité pour les tranches de Fessenheim et de Bugey, avec modification correspondante des procédures,
- remplacement par des soupapes de conception corrigée de toutes et soupapes de sûreté de RRA éventuellement semblables à celles de Gravelines,
- remplaçement par des vannes d'isolement modifiées de toutes les vannes d'isolement de soupapes de décharge de pressuriseurs qui ne permettraient pas à coup sûr dès aujourd'hui un isolement total sous plein débit,
- révision du plan d'urgence en cas d'accident de dimensionnement du réacteur, pour tenir compte du dépassement des hypothèses admises comme réalistes jusqu'à TMI quant aux conséquences radiologiques enveloppes.
    Nous demandons à la Direction de l'Equipement si ces conditions sont actuellement remplies, et sinon, de nous dire quel est l'état actuel et quelles sont ses intentions sur ces points.

Actions conditionnant impérativement le chargement de toutes les tranches du CP1, y compris Gravelines et Tricastin
     Les mêmes, plus:
- retour à l'arrêt d'urgence automatique sur déclenchement de la turbine au-dessus de 40 % de puissance nominale, comme pour les tranches précédentes et pour les tranches du palier PWR 1300,
- présence permanente sur chaque site d'un recombineur d'hydrogène opérationnel.

Actions devant donner lieu à des applications dès que possible sur les tranches du palier PWR 900
- amélioration de la signalisation en Salle de Commande (information synthétique sur la disponibilité des circuits de sûreté,
et pour l'aide au diagnostic, le suivi de l'état du fluide primaire, etc.),
- réétude de la nécessité d'automatiser certaines actions de sauvegarde au-delà des dix premières minutes,
- construction d'un banc d'essai en conditions réelles de toute la robinetterie primaire (ou auxiliaire nucléaire) pour laquelle la qualification se révélera nécessaire par ce moyen pour le palier N4,
- addition d'un système de refroidissement de l'enceinte autre que l'aspersion en cas de petites brèches primaires,
- mesures propres à protéger le RRA contre les suppressions tout en facilitant la tâche de l'opérateur et la protection des pompes primaires lors du passage à l'état monophasique,
- mesures propres à faire face à une perte totale d'alimentations électriques, qui, dans l'état actuel, peut conduire à un accident très grave en moins d'une heure.

En ce qui concerne la filière «rapide »,
     L'objectif affiché par la Direction de l'Equipement, d'alignement de la conception de la sûreté de cette filière sur celle du PWR, n'est pas propre à rassurer ceux qui ne croient ni à la sagesse d'un projet comme Super Phénix, ni au bien fondé d'une recherche à court terme de la compétitivité de cette filière.
     Intéressant non ?...
 
 

La Gazette nucléaire n°26/27 mai-juin 1979.
(La Gazette Nucléaire est éditée sur Internet grâce à Yves Renaud.)

La leçon de Harrisburg

Three Mile Island (1979):
* 1er des trois feuilletons
* 2e des trois feuilletons
* 3e des trois "feuilletons
sur les enregistrements des menbres de la Commission de Réglementation Nucléaire (NRC).