L'accident nucléaire de Three Mile Island est un accident survenu le 28 mars 1979 dans la centrale nucléaire de Three Mile Island (3,3 km2). Cette centrale nucléaire est située sur une île de la rivière Susquehanna, près de Harrisburg, dans l'État de Pennsylvanie aux États-Unis. À la suite d'une chaîne d'événements, le cœur du réacteur no 2 de la centrale nucléaire (« TMI-2 ») fond en partie, entraînant le relâchement dans l'environnement d'une « faible » quantité de radioactivité.
Cet accident est classé au niveau 5 de l'échelle internationale des événements nucléaires (INES).
Une vanne de décharge du pressuriseur est restée bloquée en position ouverte provoquant la perte d’étanchéité du circuit d’eau primaire (deuxième barrière de protection). À la suite d’actions inadaptées, le refroidissement du cœur n’a plus été assuré, ce qui a entraîné la fusion d’une partie du combustible, c’est-à-dire la perte de la première barrière de protection. L’enceinte de confinement, troisième barrière, a joué son rôle pour limiter les rejets radioactifs.
Quand six ans plus tard, il a été possible de pénétrer dans l’enceinte, une caméra introduite dans la cuve a montré que près de la moitié du combustible avait fondu, mais qu’il n’avait pas traversé la cuve, le corium s’étant stratifié en fond de cuve sans provoquer d’explosion de vapeur.
Premières minutes de l'accident
L'accident a commencé par la défaillance des pompes principales d'alimentation en eau du circuit secondaire vers 4 h du matin (t = 0) le 28 mars 1979, ce qui provoqua notamment l’arrêt automatique du groupe turboalternateur, une réduction de la puissance du réacteur et le démarrage de l'alimentation de secours des générateurs de vapeur. Cependant, les vannes de l'alimentation de secours des générateurs de vapeur étaient restées en position fermée (oubli des opérateurs) à la suite de la réalisation d'un essai réglementaire effectué 2 jours plus tôt (les vannes n'ont été ouvertes manuellement que huit minutes après le début de l'accident). Ceci modifia les conditions thermodynamiques dans les générateurs de vapeur, en diminuant leur capacité à refroidir le réacteur nucléaire, provoquant une augmentation de la pression du circuit primaire. Afin d'écrêter cette pression, la vanne de décharge du pressuriseur s'ouvrit automatiquement (t = 3 s), malgré cela la pression a continué à augmenter jusqu'à l'arrêt automatique du réacteur pour pression élevée à t = 8 s.
La vanne de décharge du pressuriseur aurait dû ensuite se fermer dès la pression redescendue, mais malgré l’ordre automatique de fermeture, elle est restée ouverte. Facteur aggravant, le voyant en salle de commande montrait cette vanne de décharge du pressuriseur en position fermée, mais en fait ce voyant indiquait juste que l'ordre de fermeture avait été donné, et non pas que la vanne était fermée. Par conséquent, le circuit primaire continua de se vider et de se dépressuriser par cette vanne de décharge restée ouverte (perte de la seconde barrière de confinement).
La baisse de pression dans le circuit primaire entraîna le démarrage automatique du circuit d'injection de sécurité (t = 2 min 1 s), chargé d'amener de l'eau dans le circuit primaire. Cependant, en même temps que la pression baissait, des « vides » (de la vapeur d’eau en fait) se formaient dans la cuve et dans le circuit primaire. Ces vides générèrent des mouvements d’eau complexes qui, paradoxalement, remplirent et maintenaient le pressuriseur en eau, celui-ci se trouvant à ce moment plus froid que la cuve du fait :
de la décharge en vapeur des soupapes primaires qui avait refroidi le pressuriseur par évaporation de l'eau contenue ;
de la chaleur résiduelle du cœur qui faisait monter la température de l'eau présente dans la cuve.
Cet écart de température a empêché la vidange du pressuriseur vers le reste du circuit primaire et notamment la cuve, malgré son positionnement en point haut (par passage sous vide de la même manière qu'un « abreuvoir à oiseaux ») , les « vides » (vapeur d'eau) présent dans la cuve et le reste du circuit primaire bloquant la vidange du pressuriseur.
L’opérateur, ayant l'information que le pressuriseur était plein, en conclut par erreur que tout le circuit primaire l’était également et arrêta manuellement le circuit d’injection de sécurité (t = 4 min 38 s) afin d'essayer de limiter la montée du niveau du pressuriseur, en application des procédures. Peu de temps après, l’eau commença à bouillir à la sortie du cœur (t = 5 min 30 s).
Parallèlement, un autre problème était diagnostiqué par les opérateurs :
le système de secours d'alimentation en eau des générateurs de vapeur avait été testé 42 heures avant l'accident. Lors de ce test, les vannes d'alimentation de secours des générateurs de vapeur avaient été fermées manuellement, et devaient être rouvertes à la fin du test. Mais à la suite d'un oubli des opérateurs, ces vannes furent laissées fermées, et empêchaient ainsi le système de refroidissement de secours de fonctionner. L'anomalie fut découverte et les vannes furent rouvertes manuellement (t = 8 min 18 s), ce qui permit au système de secours de fonctionner correctement mais tardivement, et de refroidir les générateurs de vapeur, et par conséquent le circuit primaire ;
Le mélange de vapeur et d’eau qui s’échappait de la vanne de décharge du pressuriseur restée ouverte, était dirigé vers un réservoir de décharge. À t = 14 min 48 s, le sur-remplissage de ce réservoir provoqua la rupture des disques de décharge prévue pour cette situation. À partir de cet instant, le circuit primaire se vida directement dans l’enceinte de confinement (troisième et dernière barrière de confinement de la radioactivité).
En salle de commande les opérateurs étaient dépassés par le flux d'alarmes et n'étaient pas en mesure de comprendre exactement ce qui se passait (situation très complexe, stress, pression, trop de monde en salle de commande, etc.). Des voyants reflétaient l'action demandée et non l'état de l'équipement commandé, or les procédures liées aux « événements » nécessitaient la compréhension de la situation.
Après plus d’une heure de lente augmentation de la température et de vidange du circuit primaire, les pompes du circuit primaire commencèrent à vibrer parce qu'elles pompaient plus de vapeur que d’eau. Elles furent alors arrêtées (t = 1 h 13 pour la première, t = 1 h 40 pour la seconde), car selon les lois de la physique, la convection naturelle permettrait à l'eau de continuer à circuler par thermosiphon. Cependant, la convection naturelle fut bloquée par l’hydrogène déjà piégé dans les générateurs de vapeur, la chaleur n’était donc pas évacuée par les générateurs de vapeur et l’évaporation de l’eau du circuit primaire s’accéléra encore. À cet instant, le haut du cœur commença à être découvert. La température élevée (>1 200 °C) favorisa la réaction entre la vapeur et le revêtement en zirconium du combustible, qui forma de l'hydrogène en dégradant fortement la gaine du combustible jusqu'au relâchement d’éléments radioactifs dans le circuit primaire (perte de la première barrière de confinement).
Une vanne d’isolement située en aval de la vanne de décharge du pressuriseur fut fermée, ce qui arrêta la vidange du circuit primaire (t = 2 h 22). Ensuite, les opérateurs décidèrent également de démarrer une pompe du circuit primaire (t = 2 h 54) alors qu’il ne devait rester environ qu’un mètre d’eau dans le cœur (contre plus de quatre en situation normale) : le mouvement de brassage dégrada fortement les éléments combustibles, en grande partie émergés et extrêmement chauds (voire déjà partiellement fondus).