La catastrophe de Three Mile Island ne s'est pas déroulée comme une explosion, mais comme une spirale de malentendus à l'intérieur d'une machine scellée. Le 28 mars 1979, à la centrale nucléaire de Three Mile Island près de Middletown, en Pennsylvanie, la séquence qui deviendrait l'accident nucléaire civil le plus célèbre de l'histoire des États-Unis a avancé silencieusement à l'intérieur des systèmes de l'usine avant de devenir visible pour le public. Alors que le liquide de refroidissement s'échappait par le chemin de la soupape de décharge, le cœur a commencé à se découvrir. Ce que les opérateurs croyaient être un contrôle de pression adéquat était en réalité un système en train de se vider. Dans une centrale nucléaire, les moments les plus dangereux sont souvent ceux où rien de visiblement spectaculaire ne se produit. La catastrophe a progressé à l'intérieur des tuyaux, des vannes et des assemblages de combustible avant de devenir visible pour quiconque à l'extérieur de la structure de confinement.
Le réacteur a réagi à la perte de liquide de refroidissement de manière difficile à interpréter depuis la salle de contrôle. Les températures ont augmenté. Le cœur a été privé de l'eau qui aurait dû évacuer la chaleur. Le revêtement du combustible a commencé à surchauffer, et le zirconium a réagi avec la vapeur, générant de l'hydrogène. Cette chimie était importante car elle était à la fois un symptôme et un nouveau danger. Le processus n'a pas créé instantanément la célèbre bulle d'hydrogène à l'extérieur du réacteur ; il a plutôt contribué aux conditions internes complexes qui ont ensuite poussé les ingénieurs et les régulateurs à s'inquiéter de la pression, de l'accumulation de gaz et de la possibilité de dommages supplémentaires. La crise interne était technique, mais ses conséquences deviendraient politiques, juridiques et nationales. L'usine avait été conçue avec plusieurs barrières, mais l'accident a montré à quel point ces barrières pouvaient être facilement mal comprises dans la pratique.
À l'intérieur de l'usine, le personnel faisait face à une salle de contrôle remplie d'alarmes et de signaux fragmentaires. Ils devaient travailler avec les outils disponibles, mais ces outils ne racontaient pas la bonne histoire. La soupape de décharge, encore mal comprise, restait centrale à l'urgence. Les opérateurs et les superviseurs croyaient à différents moments que le cœur était suffisamment couvert, alors qu'en réalité, le niveau d'eau et les conditions de refroidissement étaient bien pires que ne le suggéraient les lumières du tableau de bord. La salle n'était pas vide d'informations ; elle en était pleine. Mais les informations étaient trompeuses, incomplètes ou retardées. Un réacteur peut tolérer de nombreuses erreurs ; il tolère beaucoup moins bien une perte prolongée de liquide de refroidissement. C'était l'essence de la catastrophe : pas un échec unique, mais une chaîne de systèmes qui a permis à une mauvaise lecture de dominer la véritable condition du cœur.
Les dommages physiques se sont aggravés au cours de la matinée. Des portions du cœur ont été exposées suffisamment longtemps pour créer de graves dommages au combustible et une fusion partielle. Le cœur ne s'est pas transformé en une masse unique semblable à de la lave dans le sens sensationnel parfois utilisé dans des résumés ultérieurs, mais les reconstructions officielles ont conclu qu'environ la moitié du cœur était endommagée, avec environ 63 % du combustible endommagé à un certain degré selon les analyses de la NRC. Ce chiffre est important car il distingue l'événement réel à la fois de la minimisation et du mythe : il s'agissait d'une fusion partielle, suffisamment grave pour rendre le réacteur inutilisable, mais pas de la libération apocalyptique que beaucoup craignaient. Le récipient du réacteur a survécu, mais le combustible n'est pas ressorti intact. En termes techniques, l'usine a connu le type de destruction interne que la doctrine de la sécurité nucléaire est conçue pour prévenir.
Les dommages ont été évalués plus tard par le biais d'une enquête officielle et de documentation, y compris l'analyse de la Commission de réglementation nucléaire et le travail de la Commission Kemeny, dont le rapport deviendrait un document historique central de l'accident. L'étendue exacte des dommages au combustible n'était pas évidente sur le moment, et cet écart entre l'apparence et la réalité était l'une des caractéristiques définissantes de l'événement. Les opérateurs de la salle de contrôle voyaient des instruments ; les enquêteurs ont ensuite vu des preuves. La disparité entre ces deux points de vue fait partie de la raison pour laquelle Three Mile Island reste une étude de cas si puissante en matière de catastrophe industrielle.
Les résidents à proximité, entendant des informations d'urgence et voyant l'ampleur des préoccupations, ont commencé à comprendre que quelque chose de plus qu'un défaut de routine de l'usine était en cours. Les familles regardaient les rapports locaux et essayaient de décider s'il fallait partir. La menace était invisible et donc particulièrement difficile à évaluer ; les gens ne pouvaient pas sentir une rupture de réacteur comme ils pouvaient sentir la fumée d'un incendie. Cette incertitude, plus que tout panache, était une forme de violence en soi. Du côté public de la clôture, l'événement s'est déroulé sous forme de rumeurs, d'instructions et d'hésitations. Du côté de l'usine, il s'est déroulé sous forme de chaleur, de pression et de la lente révélation que les hypothèses du système échouaient.
Le chemin allant des dommages internes à la peur publique a également été façonné par la possibilité de libération radiologique. L'usine a libéré certains gaz radioactifs et de l'iode, mais les évaluations officielles ont ensuite révélé que la dose reçue par le public était très faible, bien en dessous des niveaux associés à des effets sur la santé immédiats. Ce fait, cependant, n'était pas disponible pour le public effrayé en temps réel. Dans une urgence nucléaire, la certitude voyage lentement, et la peur remplit le délai. Le bilan public final reposerait donc sur des mesures, des estimations de dose et un examen post-accident, et non sur la clarté visible que les gens souhaitaient pendant la crise. La libération elle-même, bien que limitée, portait un poids symbolique énorme car elle confirmait que l'accident n'était pas entièrement confiné à la machinerie.
Au plus fort de l'incident, les ingénieurs et les autorités devaient décider combien de risque assumer à l'intérieur de l'usine et combien d'informations fournir à l'extérieur. C'était la tension cruciale : si le cœur était en train d'être sauvé ou si la tentative de le diagnostiquer aggravait les dommages. Chaque ajustement des pompes, des vannes et des procédures modifiait l'avenir de l'usine de quelques minutes et parfois de quelques secondes. La séquence a donc contraint les régulateurs et le personnel de l'usine à prendre des décisions dans l'incertitude, avec la possibilité qu'une action erronée puisse aggraver un cœur déjà endommagé. L'événement est ainsi devenu non seulement un échec d'équipement, mais un test de la prise de décision sous pression.
L'une des caractéristiques les plus remarquables de l'événement est qu'il a atteint son paroxysme sans rupture catastrophique de la structure de confinement. Le cœur du réacteur a subi de graves dommages internes, mais le bâtiment de confinement robuste a aidé à prévenir une libération beaucoup plus importante. Ce fait structurel est central à l'histoire. Three Mile Island n'était pas un cas où la technologie nucléaire se comportait en toute sécurité par défaut ; c'était un cas où une couche de défense a tenu pendant que d'autres échouaient. Le bâtiment de confinement, en effet, était la dernière barrière entre un accident interne grave et quelque chose d'encore pire. L'architecture de sécurité de l'usine n'a pas empêché la fusion, mais elle a aidé à limiter la libération dans l'environnement.
Alors que la matinée avançait vers l'après-midi, les responsables faisaient face à une incertitude épouvantable : si les dommages progressaient à l'intérieur du récipient du réacteur, combien cela pourrait-il empirer ? La catastrophe s'était déjà produite en termes techniques. Ce qui restait non résolu, c'était de savoir si elle resterait contenue suffisamment longtemps pour qu'une intervention humaine puisse la stabiliser. Cette question a guidé la réponse qui a suivi. Le bilan de l'accident est donc un enregistrement du temps sous pression : chaque minute d'incertitude, chaque lecture instrumentale trompeuse, chaque tentative de reprendre le contrôle, et chaque reconstruction ultérieure de ce qui s'était passé à l'intérieur du récipient. En fin de compte, Three Mile Island est devenue une catastrophe non pas parce que l'usine a éclaté de manière spectaculaire, mais parce qu'elle a révélé comment une chaîne cachée d'erreurs à l'intérieur d'un système hautement ingénierie pouvait atteindre le seuil de la destruction partielle du cœur avant que le monde extérieur ne comprenne le danger.