Vers 4 heures du matin, un réacteur tournant à 97 % de sa puissance bascule dans le chaos à cause d’une vanne restée coincée en position ouverte. Personne dans la salle de commande ne le sait : les instruments affirment le contraire. En quelques heures, la centrale de Three Mile Island, bardée de systèmes de secours, frôle la fusion du cœur.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

• Comment un simple élément mal positionné a neutralisé un dispositif de sécurité essentiel.
• Pourquoi la redondance des systèmes n’a pas suffi à empêcher l’accident.
• Les leçons tirées de Three Mile Island qui ont transformé l’industrie nucléaire.

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

Une forteresse technologique réputée infaillible

À la fin des années 1970, l’énergie nucléaire américaine incarnait la maîtrise absolue. Chaque réacteur reposait sur un principe rassurant : la redondance. Si un système tombe en panne, un autre prend le relais. Et si celui-ci flanche, un troisième entre en jeu. Sur le papier, rien ne pouvait mal tourner.

La centrale de Three Mile Island, installée près de Harrisburg en Pennsylvanie, cochait toutes les cases. Son réacteur numéro 2, le fameux Unit 2, disposait de pompes principales, de pompes auxiliaires, de vannes de secours et de dizaines de capteurs. Une véritable armure conçue pour parer à chaque défaillance imaginable.

Un détail troublant précède pourtant le drame. Le réacteur avait été mis en service dans la précipitation, le dernier jour de 1978. La raison ? L’exploitant risquait de perdre un crédit d’impôt fédéral de 40 millions de dollars s’il attendait un jour de plus. La sécurité, parfois, se heurte au calendrier fiscal.

Le grain de sable qui a enrayé toute la machine

Tout commence par une banale interruption. Les pompes d’alimentation principales cessent d’envoyer de l’eau aux générateurs de vapeur, ces échangeurs qui évacuent la chaleur du cœur. Automatiquement, la turbine s’arrête, puis le réacteur lui-même. Jusque-là, le scénario reste sous contrôle.

Pour absorber la montée de pression, une vanne de décharge pilotée s’ouvre au sommet du pressuriseur. C’est son rôle. Elle aurait dû se refermer une fois la pression retombée. Sauf qu’elle reste bloquée en position ouverte. Un petit composant, mal positionné, empêche le mécanisme de revenir en place. Le point de départ de tout le désastre tient dans ce minuscule dysfonctionnement.

Le piège se referme ici : les instruments de la salle de commande indiquent que la vanne est fermée. Les opérateurs voient une lumière rassurante, alors que l’eau de refroidissement s’échappe sous forme de vapeur par cette ouverture invisible. Un objet posé au mauvais endroit venait de tromper toute une équipe.

Quand la cascade de défaillances échappe aux opérateurs

Pendant plus de deux heures, la vanne reste ouverte à l’insu de tous. L’eau qui couvrait et refroidissait le combustible s’évapore lentement du circuit. Privé de sa protection liquide, le cœur commence à surchauffer. Et le pire, c’est que le filet de sécurité censé compenser était lui aussi hors service.

Car trois pompes auxiliaires s’étaient bien activées automatiquement. Mais leurs vannes avaient été fermées pour une maintenance de routine. Impossible d’injecter la moindre goutte d’eau supplémentaire. La redondance existait, elle était simplement condamnée par une négligence humaine antérieure.

Face à des indications contradictoires, les opérateurs prennent une décision fatale : ils coupent le système d’eau d’urgence, persuadés qu’il y avait trop de liquide, non pas trop peu. La température du cœur grimpe alors jusqu’à environ 4 300 degrés Fahrenheit, soit près de 2 370 °C, frôlant dangereusement la fusion. Il faudra l’arrivée d’un chef de quart, deux heures après le début de l’incident, pour comprendre en vingt minutes que la vanne était bloquée et fermer une vanne d’isolement salvatrice.

L’héritage d’une nuit qui a tout changé

Le bilan aurait pu être catastrophique. Il fut, heureusement, limité. La perte progressive d’eau a provoqué une fusion partielle du combustible et le rejet d’une petite quantité de matière radioactive. Aucun blessé, aucun mort : les niveaux relâchés étaient trop faibles pour engendrer des effets sanitaires directement mesurables.

Le chantier, lui, fut colossal. Nettoyer le réacteur endommagé a exigé près de douze ans de travail et coûté environ 973 millions de dollars. Un défi technique et radiologique inédit, où chaque geste devait être pensé pour limiter l’exposition des équipes.

Surtout, l’accident a bouleversé la philosophie de la sûreté. On a compris qu’un système peut être parfait sur le papier et défaillir à cause d’un capteur trompeur ou d’une information mal interprétée. La formation des opérateurs, l’ergonomie des salles de commande et la fiabilité des indicateurs sont devenues des priorités absolues.

Three Mile Island rappelle une vérité déroutante : dans les systèmes les plus sophistiqués, ce n’est presque jamais la grande panne prévue qui frappe, mais le détail dérisoire que personne n’avait vu venir. Combien de technologies modernes, aujourd’hui jugées infaillibles, reposent-elles encore sur un maillon minuscule que nous croyons anodin ?