Réseau Sortir du nucléaire
BoutiqueAgendaFaire un donEN

Nucléaire : stop au rafistolage !

EDF veut rafistoler ses 58 réacteurs nucléaires vieillissants pour prolonger leur activité jusqu’à 50 voire 60 ans, en dépit des risques majeurs et des coûts astronomiques que cela impliquerait. Depuis avril 2014, nous menons cette campagne pour obtenir l’arrêt des réacteurs de plus de 30 ans, à commencer par Fessenheim, une centrale obsolète qui cumule les risques.


Actualités > Sûreté des installations françaises : et si la terre tremble ?

Pourquoi Tricastin est à l’arrêt ?




Problèmes de sûreté (conduite des réacteurs et surveillance des alarmes), défauts de confinement des sources radioactives liquides (fuites, absence d’entretien), facteur humain (manque de compétences fondamentales, méconnaissances des spécifications techniques d’exploitation, communication et coordination du personnel), et risque d’inondation qui engendrerait la fusion du combustible des 4 réacteurs en quelques heures (pertes totales des alimentations électriques et des moyens de refroidissement)



Mise en bouche : Un rapide récapitulatif du fil des évènements

 Le 7 avril 2017, événement significatif pour la sûreté déclaré le 11 avril : Dépassement prolongé de la limite fixée par les Spécifications techniques d’exploitation pour la puissance maximale du réacteur 4

> Inspection réactive le 18 avril
 Le 15 juin 2017, événement significatif pour la sûreté déclaré le 2 août : Dépassement prolongé de la limite fixée par les spécifications techniques d’exploitation pour la puissance maximale du réacteur 1
 Le 19 juin 2017, événement significatif pour l’environnement déclaré le 26 juillet : Déversement de fluide primaire au sol d’un local inétanche et classé important pour la protection des intérêts
 Le 20 juillet 2017, événement significatif pour la sûreté déclaré le 4 août : Défaut de traitement d’une alarme ayant conduit à effectuer le rejet des effluents d’un réservoir de l’îlot nucléaire avec un débit canal inférieur à 400 m 3/s (+ événement intéressant l’environnement déclaré le 24 juillet)

> inspection réactive le 9 août 2017
 Le 8 août 2017 : nouveau dépassement de la limite de puissance nominale du cœur du réacteur 4, bloqué 8 minutes en dehors des limites permises par les spécifications techniques d’exploitation (= similaire au incidents des 7 avril et 15 juin)

> Centrale placée sous contrôle renforcée du 12 septembre jusqu’au 31 décembre 2017 (pour défauts de sûreté notamment de conduite des réacteurs et de surveillance en salle des machines)
 Le 18 août 2017, déclaration d’un événement significatif pour la sûreté : Non tenue en cas de séisme majoré de sécurité d’une portion de digue du canal Donzère-Mondragon

> audition du 26 septembre de la direction par la division ASN de Lyon, éléments complémentaires apportés par EDF jugés insuffisants pour écarter les risques à court terme

> décision du 27 septembre de mise à l’arrêt temporaire des 4 réacteurs dans les délais les plus courts
 Arrêt du réacteur 1 dans la nuit du 28 au 29 septembre
 Arrêt des réacteurs 2 et 4 le 30 septembre
 Arrêt du réacteur 3 le 4 octobre
 Reprise estimée le 2 novembre

Chapitre 1 : tout commence au printemps

Tout commence au printemps 2017. Depuis le 5 avril, le réacteur 4 a des problèmes sur le système de régulation de la turbine (dysfonctionnements du dispositif de régulation automatique de la puissance appelée par la turbine).

Le 7 avril, le réacteur 4 fonctionnera pendant plus de 6 heures au delà de sa puissance maximale, dépassant largement la limite fixée par les spécifications techniques d’exploitation (STE) [1]. Malgré la persistance de l’alarme rouge « puissance thermique élevée » en salle des commandes [2], le réacteur sera maintenu en fonctionnement pendant plus de 6h.

L’inspection réactive qui s’en suit le 18 avril [3] pointe un dysfonctionnement des dispositifs de régulation de la puissance appelée par la turbine certes, mais aussi et surtout une difficulté de pilotage des groupes de régulation de puissance par les opérateurs de conduite et l’impossibilité de mettre en œuvre les actions de conduite spécifiée par les procédures de conduite en situation d’incident.

Plusieurs lignes de défense « matérielles » (régulation turbine, soupapes..) se sont révélées inopérantes alors qu’elles visent à ramener le réacteur dans le domaine d’exploitation autorisé. Les actions de pilotage réalisées dans les faits n’apparaissent pas pleinement cohérentes avec le principe de défense en profondeur et la politique de protection des intérêts mentionnée à l’article 2.3.1 de l’arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base qui imposent à l’exploitant d’accorder la priorité à la sûreté nucléaire, notamment en matière de prévention des accidents.

L’ASN note que les décisions prises le 7 avril 2017 ne traduisent pas cette politique de protection des intérêts dans la mesure où le réacteur a été maintenu durablement en production dans un état dégradé. Au final, deux tentatives de déblocage et environ six heures auront été nécessaires pour permettre de retrouver un fonctionnement standard du réacteur.

Outre la question du diagnostic d’un fonctionnement du réacteur au-delà de la puissance autorisée par les spécifications techniques d’exploitation, les opérateurs présents ainsi que le chef d’exploitation auraient dû être alertés par la présence d’une alarme rouge en salle de commande pendant tout le temps qu’a duré l’aléa.

Cette inspection a mis en lumière une méconnaissance des spécifications techniques d’exploitation et une tolérance aux écarts. L’évènement qui l’a motivé révèle de multiples défaillances dans le traitement d’une alarme importante pour la protection des intérêts mentionnés à l’article L.593-1 du code de l’environnement.

Ce qui laisse planer de sérieux doutes quant à la capacité à :
 identifier les gestes techniques nécessaires pour ramener le réacteur dans son domaine de fonctionnement normal en cas de défaillance d’un automatisme ;
 comprendre, voire connaître, les fondements techniques à l’origine des exigences portées dans les procédures de conduite et les règles générales d’exploitation ;
 favoriser l’ergonomie des documents opératoires ;
 assurer une communication opérationnelle appropriée entre les acteurs.

À la suite de cette inspection, la direction de la centrale nucléaire a été convoquée par la division de Lyon de l’ASN pour présenter son analyse de la situation et les actions mises en œuvre pour « sécuriser la sûreté ».

Chapitre 2 : tout s’accélère pendant l’été

Entre la fin du mois de juillet et le début du mois d’août 2017, la centrale nucléaire du Tricastin a déclaré 2 nouveaux événements significatifs pour la sûreté jugés comme marquants par la division de Lyon et qui ont motivé la réalisation de l’inspection réactive du 9 août 2017 [4].

Il ressort de cette inspection deux points majeurs :
 EDF doit impérativement revoir son référentiel interne de maintenance des joints inter-bâtiments afin de le rendre cohérent et conforme à la réglementation  ;
  la surveillance dans les salles de commande de la centrale nucléaire du Tricastin présente des faiblesses qui se manifestent tout particulièrement dans la bonne prise en compte des alarmes. Ce point a déjà été relevé par l’ASN au cours de l’inspection réactive menée au mois d’avril 2017.

Cette inspection a confirmé des lacunes dans la surveillance des salles de commande de la centrale nucléaire du Tricastin, et plus particulièrement dans la prise en compte des alarmes par les équipes de conduite.

Dans ces conditions, la division de Lyon de l’ASN décide que la centrale nucléaire du Tricastin fera l’objet entre le 12 septembre 2017 et le 31 décembre 2017 d’une action de contrôle qui portera sur ces faiblesses.

Mais au fait, qui est aux commandes ?

La centrale nucléaire du Tricastin a déclaré, entre le 1er janvier et le 1er aout 2017, 13 événements significatifs pour la sûreté imputables directement au service conduite de la centrale nucléaire.

La centrale nucléaire du Tricastin est, à l’instar des 18 autres centrales nucléaires d’EDF, dans une phase de déploiement du projet national d’EDF appelé « noyau de cohérence conduite » qui redéfinit en profondeur l’organisation et les postes des équipes de conduite.

Parmi les changements introduits par ce projet figure la mise en place dans chaque salle de commande d’une nouvelle fonction, celle d’opérateur pilote de tranche (OPPT). Le rôle de l’OPPT consiste à superviser en temps réel les activités d’exploitation d’un réacteur.

Une première analyse des événements significatifs pour la sûreté déclarés par la centrale nucléaire du Tricastin depuis le début de l’année 2017 met en évidence des carences dans la surveillance des activités réalisées en salle de conduite des réacteurs. Pour plusieurs de ces événements, l’action des OPPT semble avoir joué un rôle sur la survenue ou le non-rattrapage d’une situation d’écart.

EDF a par ailleurs indiqué (réunion du 13 juillet 2017 division ASN Lyon / équipes de direction de la centrale) que l’établissement faisait face à un renouvellement important des équipes de conduite, ce qui se traduit par l’habilitation récente de plusieurs opérateurs dans les équipes de conduite. Or, c’est dans ce vivier que, par la suite, les OPPT sont recrutés.

Par ailleurs les effectifs des équipes de conduite sont actuellement fixés par un référentiel interne d’EDF qui date de 1994 : l’instruction n° 32 (IN32). Il est régulièrement annoncé aux inspecteurs de l’ASN qu’une nouvelle directive interne d’EDF remplacera l’IN32 : la directive interne n° 132. Cependant, toujours aucune date de déploiement de cette DI 132 ni copie de cette directive n’a été transmise.

Il y a donc un problème non seulement d’effectifs, mais aussi de formation, de compétences, connaissances et expérience du personnel qui supervise l’exploitation des réacteurs.

Détails des évènements ayant conduits à l’inspection réactive du 9 août :

 Evénement significatif pour la sûreté du 15 juin 2017 déclaré le 2 août 2017  [5] : dépassement prolongé de la limite fixée par les spécifications techniques d’exploitation pour la puissance maximale du réacteur 1.

Les spécifications techniques d’exploitation prescrivent que la puissance thermique maximale du cœur ne doit pas dépasser 102 % de la puissance nominal en fonctionnement continu. Une alarme fixée à 100,4 % de la puissance nominale permet de s’assurer du non dépassement de la limite des STE compte tenu des incertitudes.

Le 15 juin 2017, entre 11h57 et 12h42, l’alarme apparaît plusieurs fois. L’opérateur rabaisse régulièrement le point de consigne du limiteur de puissance manuel de la turbine, mais pas suffisamment. Le chef d’exploitation ordonne finalement une baisse immédiate de la puissance du réacteur, qui est resté 45 min en dehors de la limite maximale de puissance autorisée. Ce qui n’a cependant pas été évoqué par le chef d’exploitation lors de sa confrontation quotidienne avec l’ingénieur sûreté. Ce n’est que le 10 juillet 2017 que le service sûreté l’a découvert par une vérification a posteriori de l’ingénieur sûreté.

À noter que lors de l’inspection du 9 aout 2017, un nouveau dépassement de la limite de 102 % de la puissance nominale du cœur a été signalé. Le 8 août 2017, le réacteur 4 s’est encore retrouvé subitement bloqué dans un point de fonctionnement situé en dehors des limites permises par les spécifications techniques d’exploitation.

 Événement significatif pour l’environnement du 19 juin déclaré le 26 juillet 2017 : déversement le 19 juillet 2017 de fluide primaire au sol d’un local inétanche et classé important pour la protection des intérêts.

Des vannes et des clapets inétanches ont été à l’origine d’écoulements de fluide primaire dans un local. Ces écoulements se sont ensuite déversés dans un autre local, à l’état inférieur, car les joints inter-bâtiments n’étaient pas étanches. Problèmes récurrents de gestion des déchets et de confinement d’une manière générale, l’ASN considère que les délais de traitement des écarts affectant les joints inter-bâtiments sont trop longs et ne sont pas adaptés aux enjeux associés au confinement des substances radioactives liquides.

Lors de leur visite des locaux, les inspecteurs ont constaté que le contrôle du joint inter-bâtiment est rendu impossible par l’encombrement du local et le débit de dose ambiant. Ce joint n’est pas calfeutré dans les zones les plus encombrées du local, alors même que ce sont dans ces zones que sont susceptibles de se produire les écoulements d’eau primaire en raison de la présence de nombreuses vannes et tuyaux. Le joint inter-bâtiment est visiblement détérioré, que le local n’est pas dans un bon état de propreté et témoigne d’une absence d’entretien.

De plus, la présence avérée de défauts sur des joints inter-bâtiments qui participent au confinement liquide de des installations ne peut être temporairement acceptable que dans la mesure où des parades solides sont mises en place pour éviter tout déversement liquide, ce qu’on appelle des « mesures compensatoires ». Or, les mesures compensatoires mises en place par l’exploitant n’en sont pas. Veiller à l’absence d’eau au sol, voire à stopper et confiner tout écoulement ne préviennent pas le risque d’écoulement de liquide. Elles se limitent à le détecter et à l’arrêter, mais elles ne l’empêchent pas. Une situation similaire s’était déjà produite en 2013, qui avait conduit au marquage au tritium de la nappe phréatique sous la centrale [6].

L’ASN donne jusqu’au 31 août 2018 à EDF pour qu’elle définisse et mette en œuvre un référentiel de maintenance des joints inter-bâtiments techniquement cohérent et totalement conforme au cadre réglementaire applicable aux INB depuis 2006 [7] . Par ailleurs, elle a également imposé à l’exploitant une surveillance hebdomadaire de la teneur en tritium des eaux souterraines et somme de tenir informée la division de Lyon des résultats relevés.

 Événement significatif pour la sûreté du 20 juillet 2017 déclaré le 4 août : défaut de traitement d’une alarme ayant conduit à effectuer le rejet des effluents [8] d’un réservoir de l’îlot nucléaire alors que le débit du canal était inférieur à 400 m 3/s.

(non-respect des modalités de rejet lors d’un rejet de réservoir d’effluents de l’îlot nucléaire KER dans le canal de Donzère-Mondragon + défaut de traitement d’alarme) Le 20 juillet 2017, l’équipe de conduite du réacteur 2 entame le rejet vers le canal du contenu d’un réservoir d’effluents provenant d’un îlot nucléaire. Vers 15h, une alarme se déclenche en salle des commandes signalant que le débit du canal de Donzère-Mondragon est inférieur à 400m3/s, seuil limite en dessous duquel il n’est plus permis à EDF d’effectuer des rejets d’effluents . Le rejet n’a pour autant pas été interrompu. L’opérateur n’a pas pris en compte cette alarme indiquant un débit anormal du Rhône ; Vers 15h45, l’opérateur pilote de tranche (OPPT) détecte une baisse du débit du canal et demande à un opérateur de stopper le rejet. Mais la communication entre l’OPPT et l’opérateur chargé de piloter le rejet a été inefficace puisque la demande de l’OPPT n’a pas été prise en compte. L’OPPT n’a quant à lui pas vérifié que sa demande de cesser le rejet était bien prise en compte et réalisée par l’opérateur. Les équipes en charge de la conduite du réacteur n’ont diagnostiqué qu’un rejet avait été effectué en dehors des autorisations que vers 20h30, soit plus de 5 heures après le déclenchement de l’alarme.

Cet incident cumul donc 2 problèmes : non seulement des modalités de rejet d’effluents dans le canal de Donzère-Mondragon n’ont pas été respectées, mais il y a (encore) eu un défaut de traitement d’alarme par les équipes de conduite de la centrale. L’organisation interne EDF n’a donc pas pu rattraper une situation d’écart, qui s’est matérialisée par un rejet d’effluents ne respectant pas les modalités de rejet prescrites.

Chapitre 3 : retour vers le futur et arrêt à l’automne

Graves défaillances du personnel en charge de la conduite des réacteurs et de superviser l’exploitation de la centrale, défauts de surveillance, manque de compétences et de connaissances, formation inadaptée, nombre d’opérateurs insuffisant, manque de communication et de coordination... Les rapports des 2 inspections faites en avril et en août 2017 dressent un bilan effrayant. Mais dans l’idée de prendre un peu de recul pour prendre de la hauteur, et avoir une vision globale de la situation de l’exploitation nucléaire, si l’on remonte un peu dans le temps on trouve déjà de nombreuses traces de ces « faiblesses » :

Le 4 janvier 2017, l’exploitant de la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif à l’indisponibilité d’un tableau électrique du réacteur 3 [9] .

Le 19 janvier 2017, l’exploitant de la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif à l’indisponibilité d’une vanne participant à l’isolement de l’enceinte de confinement du réacteur 4 [10].

Le 21 février 2017, l’exploitant de la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif à un dépassement du gradient maximal de refroidissement de la chaudière nucléaire qui est fixé à 14°C/h pour le circuit primaire du réacteur 1 [11].

Le 3 novembre 2016, la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif au non-respect de la conduite à tenir en cas de cumul de plusieurs indisponibilités de matériels importants pour la sûreté du réacteur. A la suite de l’analyse menée par EDF sur cet événement, EDF a reclassé cet événement significatif pour la sûreté au niveau 1 de l’échelle INES le 16 mars 2017 [12].

Le 7 octobre 2016, la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif au maintien en position ouverte pendant tout un cycle de fonctionnement d’une vanne de traversée de l’enceinte du réacteur 1 [13].

Avec ce petit retour en arrière, ce qui se dessine fait encore plus froid dans le dos. D’ailleurs, l’appréciation de l’ASN du site nucléaire pour 2016 [14] relève déjà des problèmes de sûreté (l’ensemble des réacteurs du site est concerné par la présence de ségrégations de carbone dans l’acier constitutif des fonds primaires des générateurs de vapeur et des contrôles prescrits par l’ASN ont maintenus plusieurs mois à l’arrêt les réacteurs 1 et 3). Mais aussi de graves problèmes de gestion des déchets et de confinement des substances radioactives liquides qui doivent impérativement être améliorés. Auxquels s’ajoutent de sérieuses lacunes depuis 2015 en terme de propreté radiologique.

Problèmes de sûreté persistants, dus essentiellement à des défauts de conduite et aux erreurs d’un personnel mal formé, pas toujours compétent ni qualifié, des opérateurs à des postes clés tous nouveaux qui n’ont pas d’expérience ; problèmes de fuites de liquides radioactifs, défaut de confinement à répétition, erreurs d’inattention, fautes professionnelles, manque de communication… La décision de l’ASN du 27 septembre 2017 [15] de mettre immédiatement à l’arrêt les 4 réacteurs en raison du risque d’inondation du site en cas de séisme [16] n’apparaît alors plus très surprenante.

Après avoir déclaré le 18 août 2017 cet énième événement significatif pour la sûreté (non tenue en cas de séisme majorité d’une portion de digue qui sépare le site nucléaire du canal de Donzère-Mondragon [17]) , EDF a été entendu le 26 septembre par la division ASN de Lyon qui a estimé que les éléments complémentaires apportés par l’exploitant n’étaient pas suffisants pour écarter le risque à court terme. EDF a été incapable de fournir la démonstration de la résistance de la digue en cas de séisme, ce que l’Autorité de sûreté nucléaire a jugé « inacceptable » [18] . Même si elle justifie sa décision par les caractéristiques physiques du site situé sous le niveau du canal et par la disposition géographique des équipements et installations (perte des alimentations électriques internes et externes, perte totale des systèmes de refroidissement et de sauvegarde, difficulté d’accès pour les secours et donc de mise en œuvre du plan d’urgence [19]) , on comprend en filigrane que lorsqu’on ne fait pas confiance à ceux qui sont aux commandes pour gérer un réacteur nucléaire en situation normale, mieux vaut tout arrêter tout de suite, surtout avec un risque de situation accidentelle majoré par des défauts de construction et de localisation.

Pour l’heure, les 4 réacteurs de Tricastin sont effectivement arrêtés. Et au vu des événements, on ne peut que souhaiter qu’ils le restent. Mais, sans même évoquer tout ce qui concerne la base chaude opérationnelle du Tricastin et les usines Areva de Pierrelatte, quid de la situation pourtant quasi similaire d’autres sites ? Cruas par exemple est toute proche. Placée sous surveillance rapprochée par l’ASN depuis plusieurs années, ses performances en matière de sûreté, de protection de l’environnement et de radioprotection sont en retrait. Rigueur dans l’exploitation « fragile », l’ASN se dit particulièrement vigilante quant à la gestion des déchets sur le site et au confinement des sources radioactives [20] , ce qui n’est pas sans rappeler la situation de la centrale du Tricastin.

Fessenheim, la plus vielle de toutes, largement concernée par des défauts de sûreté, est elle aussi sous le niveau d’un canal, « protégée » par des digues au béton douteux. EDF prévoie un mois de travaux pour consolider la digue séparant les réacteurs nucléaires de Tricastin du canal de Donzère-Mondragon, et estime reprendre l’exploitation début novembre. Mais seul le risque d’inondation sera écarté. Les défaillances de sûreté, de confinement, de conduite, de compétence des équipes seront toujours là eux. On ne peut alors dire, voire hurler qu’une seule chose : fermez-là pour de bon !

06/10/17

Laure Barthélemy


Notes

[1Recueil des modes opératoires à respecter pour la conduite des installations. https://www.asn.fr/Lexique/S/Specifications-techniques-d-exploitation

[2Local où s’exercent le contrôle de fonctionnement et le pilotage d’une tranche nucléaire. C’est là que sont centralisées les informations utiles à la conduite des installations et les moyens de commande à distance des différents organes. https://www.asn.fr/Lexique/S/Salle-de-commande

[6décision ASN n°2013-DC-0371 du 2 septembre 2013

[7arrêté du 7 février 2012 modifié et décision n° 2013-DC-0360 du 16 juillet 2013 modifiée

[8Décision ASN n° 2008-DC-0101 du 13 mai 2008 et Décision n° 2008-DC-0102 de l’Autorité de sûreté nucléaire du 13 mai 2008

Mise en bouche : Un rapide récapitulatif du fil des évènements

 Le 7 avril 2017, événement significatif pour la sûreté déclaré le 11 avril : Dépassement prolongé de la limite fixée par les Spécifications techniques d’exploitation pour la puissance maximale du réacteur 4

> Inspection réactive le 18 avril
 Le 15 juin 2017, événement significatif pour la sûreté déclaré le 2 août : Dépassement prolongé de la limite fixée par les spécifications techniques d’exploitation pour la puissance maximale du réacteur 1
 Le 19 juin 2017, événement significatif pour l’environnement déclaré le 26 juillet : Déversement de fluide primaire au sol d’un local inétanche et classé important pour la protection des intérêts
 Le 20 juillet 2017, événement significatif pour la sûreté déclaré le 4 août : Défaut de traitement d’une alarme ayant conduit à effectuer le rejet des effluents d’un réservoir de l’îlot nucléaire avec un débit canal inférieur à 400 m 3/s (+ événement intéressant l’environnement déclaré le 24 juillet)

> inspection réactive le 9 août 2017
 Le 8 août 2017 : nouveau dépassement de la limite de puissance nominale du cœur du réacteur 4, bloqué 8 minutes en dehors des limites permises par les spécifications techniques d’exploitation (= similaire au incidents des 7 avril et 15 juin)

> Centrale placée sous contrôle renforcée du 12 septembre jusqu’au 31 décembre 2017 (pour défauts de sûreté notamment de conduite des réacteurs et de surveillance en salle des machines)
 Le 18 août 2017, déclaration d’un événement significatif pour la sûreté : Non tenue en cas de séisme majoré de sécurité d’une portion de digue du canal Donzère-Mondragon

> audition du 26 septembre de la direction par la division ASN de Lyon, éléments complémentaires apportés par EDF jugés insuffisants pour écarter les risques à court terme

> décision du 27 septembre de mise à l’arrêt temporaire des 4 réacteurs dans les délais les plus courts
 Arrêt du réacteur 1 dans la nuit du 28 au 29 septembre
 Arrêt des réacteurs 2 et 4 le 30 septembre
 Arrêt du réacteur 3 le 4 octobre
 Reprise estimée le 2 novembre

Chapitre 1 : tout commence au printemps

Tout commence au printemps 2017. Depuis le 5 avril, le réacteur 4 a des problèmes sur le système de régulation de la turbine (dysfonctionnements du dispositif de régulation automatique de la puissance appelée par la turbine).

Le 7 avril, le réacteur 4 fonctionnera pendant plus de 6 heures au delà de sa puissance maximale, dépassant largement la limite fixée par les spécifications techniques d’exploitation (STE) [1]. Malgré la persistance de l’alarme rouge « puissance thermique élevée » en salle des commandes [2], le réacteur sera maintenu en fonctionnement pendant plus de 6h.

L’inspection réactive qui s’en suit le 18 avril [3] pointe un dysfonctionnement des dispositifs de régulation de la puissance appelée par la turbine certes, mais aussi et surtout une difficulté de pilotage des groupes de régulation de puissance par les opérateurs de conduite et l’impossibilité de mettre en œuvre les actions de conduite spécifiée par les procédures de conduite en situation d’incident.

Plusieurs lignes de défense « matérielles » (régulation turbine, soupapes..) se sont révélées inopérantes alors qu’elles visent à ramener le réacteur dans le domaine d’exploitation autorisé. Les actions de pilotage réalisées dans les faits n’apparaissent pas pleinement cohérentes avec le principe de défense en profondeur et la politique de protection des intérêts mentionnée à l’article 2.3.1 de l’arrêté du 7 février 2012 modifié fixant les règles générales relatives aux installations nucléaires de base qui imposent à l’exploitant d’accorder la priorité à la sûreté nucléaire, notamment en matière de prévention des accidents.

L’ASN note que les décisions prises le 7 avril 2017 ne traduisent pas cette politique de protection des intérêts dans la mesure où le réacteur a été maintenu durablement en production dans un état dégradé. Au final, deux tentatives de déblocage et environ six heures auront été nécessaires pour permettre de retrouver un fonctionnement standard du réacteur.

Outre la question du diagnostic d’un fonctionnement du réacteur au-delà de la puissance autorisée par les spécifications techniques d’exploitation, les opérateurs présents ainsi que le chef d’exploitation auraient dû être alertés par la présence d’une alarme rouge en salle de commande pendant tout le temps qu’a duré l’aléa.

Cette inspection a mis en lumière une méconnaissance des spécifications techniques d’exploitation et une tolérance aux écarts. L’évènement qui l’a motivé révèle de multiples défaillances dans le traitement d’une alarme importante pour la protection des intérêts mentionnés à l’article L.593-1 du code de l’environnement.

Ce qui laisse planer de sérieux doutes quant à la capacité à :
 identifier les gestes techniques nécessaires pour ramener le réacteur dans son domaine de fonctionnement normal en cas de défaillance d’un automatisme ;
 comprendre, voire connaître, les fondements techniques à l’origine des exigences portées dans les procédures de conduite et les règles générales d’exploitation ;
 favoriser l’ergonomie des documents opératoires ;
 assurer une communication opérationnelle appropriée entre les acteurs.

À la suite de cette inspection, la direction de la centrale nucléaire a été convoquée par la division de Lyon de l’ASN pour présenter son analyse de la situation et les actions mises en œuvre pour « sécuriser la sûreté ».

Chapitre 2 : tout s’accélère pendant l’été

Entre la fin du mois de juillet et le début du mois d’août 2017, la centrale nucléaire du Tricastin a déclaré 2 nouveaux événements significatifs pour la sûreté jugés comme marquants par la division de Lyon et qui ont motivé la réalisation de l’inspection réactive du 9 août 2017 [4].

Il ressort de cette inspection deux points majeurs :
 EDF doit impérativement revoir son référentiel interne de maintenance des joints inter-bâtiments afin de le rendre cohérent et conforme à la réglementation  ;
  la surveillance dans les salles de commande de la centrale nucléaire du Tricastin présente des faiblesses qui se manifestent tout particulièrement dans la bonne prise en compte des alarmes. Ce point a déjà été relevé par l’ASN au cours de l’inspection réactive menée au mois d’avril 2017.

Cette inspection a confirmé des lacunes dans la surveillance des salles de commande de la centrale nucléaire du Tricastin, et plus particulièrement dans la prise en compte des alarmes par les équipes de conduite.

Dans ces conditions, la division de Lyon de l’ASN décide que la centrale nucléaire du Tricastin fera l’objet entre le 12 septembre 2017 et le 31 décembre 2017 d’une action de contrôle qui portera sur ces faiblesses.

Mais au fait, qui est aux commandes ?

La centrale nucléaire du Tricastin a déclaré, entre le 1er janvier et le 1er aout 2017, 13 événements significatifs pour la sûreté imputables directement au service conduite de la centrale nucléaire.

La centrale nucléaire du Tricastin est, à l’instar des 18 autres centrales nucléaires d’EDF, dans une phase de déploiement du projet national d’EDF appelé « noyau de cohérence conduite » qui redéfinit en profondeur l’organisation et les postes des équipes de conduite.

Parmi les changements introduits par ce projet figure la mise en place dans chaque salle de commande d’une nouvelle fonction, celle d’opérateur pilote de tranche (OPPT). Le rôle de l’OPPT consiste à superviser en temps réel les activités d’exploitation d’un réacteur.

Une première analyse des événements significatifs pour la sûreté déclarés par la centrale nucléaire du Tricastin depuis le début de l’année 2017 met en évidence des carences dans la surveillance des activités réalisées en salle de conduite des réacteurs. Pour plusieurs de ces événements, l’action des OPPT semble avoir joué un rôle sur la survenue ou le non-rattrapage d’une situation d’écart.

EDF a par ailleurs indiqué (réunion du 13 juillet 2017 division ASN Lyon / équipes de direction de la centrale) que l’établissement faisait face à un renouvellement important des équipes de conduite, ce qui se traduit par l’habilitation récente de plusieurs opérateurs dans les équipes de conduite. Or, c’est dans ce vivier que, par la suite, les OPPT sont recrutés.

Par ailleurs les effectifs des équipes de conduite sont actuellement fixés par un référentiel interne d’EDF qui date de 1994 : l’instruction n° 32 (IN32). Il est régulièrement annoncé aux inspecteurs de l’ASN qu’une nouvelle directive interne d’EDF remplacera l’IN32 : la directive interne n° 132. Cependant, toujours aucune date de déploiement de cette DI 132 ni copie de cette directive n’a été transmise.

Il y a donc un problème non seulement d’effectifs, mais aussi de formation, de compétences, connaissances et expérience du personnel qui supervise l’exploitation des réacteurs.

Détails des évènements ayant conduits à l’inspection réactive du 9 août :

 Evénement significatif pour la sûreté du 15 juin 2017 déclaré le 2 août 2017  [5] : dépassement prolongé de la limite fixée par les spécifications techniques d’exploitation pour la puissance maximale du réacteur 1.

Les spécifications techniques d’exploitation prescrivent que la puissance thermique maximale du cœur ne doit pas dépasser 102 % de la puissance nominal en fonctionnement continu. Une alarme fixée à 100,4 % de la puissance nominale permet de s’assurer du non dépassement de la limite des STE compte tenu des incertitudes.

Le 15 juin 2017, entre 11h57 et 12h42, l’alarme apparaît plusieurs fois. L’opérateur rabaisse régulièrement le point de consigne du limiteur de puissance manuel de la turbine, mais pas suffisamment. Le chef d’exploitation ordonne finalement une baisse immédiate de la puissance du réacteur, qui est resté 45 min en dehors de la limite maximale de puissance autorisée. Ce qui n’a cependant pas été évoqué par le chef d’exploitation lors de sa confrontation quotidienne avec l’ingénieur sûreté. Ce n’est que le 10 juillet 2017 que le service sûreté l’a découvert par une vérification a posteriori de l’ingénieur sûreté.

À noter que lors de l’inspection du 9 aout 2017, un nouveau dépassement de la limite de 102 % de la puissance nominale du cœur a été signalé. Le 8 août 2017, le réacteur 4 s’est encore retrouvé subitement bloqué dans un point de fonctionnement situé en dehors des limites permises par les spécifications techniques d’exploitation.

 Événement significatif pour l’environnement du 19 juin déclaré le 26 juillet 2017 : déversement le 19 juillet 2017 de fluide primaire au sol d’un local inétanche et classé important pour la protection des intérêts.

Des vannes et des clapets inétanches ont été à l’origine d’écoulements de fluide primaire dans un local. Ces écoulements se sont ensuite déversés dans un autre local, à l’état inférieur, car les joints inter-bâtiments n’étaient pas étanches. Problèmes récurrents de gestion des déchets et de confinement d’une manière générale, l’ASN considère que les délais de traitement des écarts affectant les joints inter-bâtiments sont trop longs et ne sont pas adaptés aux enjeux associés au confinement des substances radioactives liquides.

Lors de leur visite des locaux, les inspecteurs ont constaté que le contrôle du joint inter-bâtiment est rendu impossible par l’encombrement du local et le débit de dose ambiant. Ce joint n’est pas calfeutré dans les zones les plus encombrées du local, alors même que ce sont dans ces zones que sont susceptibles de se produire les écoulements d’eau primaire en raison de la présence de nombreuses vannes et tuyaux. Le joint inter-bâtiment est visiblement détérioré, que le local n’est pas dans un bon état de propreté et témoigne d’une absence d’entretien.

De plus, la présence avérée de défauts sur des joints inter-bâtiments qui participent au confinement liquide de des installations ne peut être temporairement acceptable que dans la mesure où des parades solides sont mises en place pour éviter tout déversement liquide, ce qu’on appelle des « mesures compensatoires ». Or, les mesures compensatoires mises en place par l’exploitant n’en sont pas. Veiller à l’absence d’eau au sol, voire à stopper et confiner tout écoulement ne préviennent pas le risque d’écoulement de liquide. Elles se limitent à le détecter et à l’arrêter, mais elles ne l’empêchent pas. Une situation similaire s’était déjà produite en 2013, qui avait conduit au marquage au tritium de la nappe phréatique sous la centrale [6].

L’ASN donne jusqu’au 31 août 2018 à EDF pour qu’elle définisse et mette en œuvre un référentiel de maintenance des joints inter-bâtiments techniquement cohérent et totalement conforme au cadre réglementaire applicable aux INB depuis 2006 [7] . Par ailleurs, elle a également imposé à l’exploitant une surveillance hebdomadaire de la teneur en tritium des eaux souterraines et somme de tenir informée la division de Lyon des résultats relevés.

 Événement significatif pour la sûreté du 20 juillet 2017 déclaré le 4 août : défaut de traitement d’une alarme ayant conduit à effectuer le rejet des effluents [8] d’un réservoir de l’îlot nucléaire alors que le débit du canal était inférieur à 400 m 3/s.

(non-respect des modalités de rejet lors d’un rejet de réservoir d’effluents de l’îlot nucléaire KER dans le canal de Donzère-Mondragon + défaut de traitement d’alarme) Le 20 juillet 2017, l’équipe de conduite du réacteur 2 entame le rejet vers le canal du contenu d’un réservoir d’effluents provenant d’un îlot nucléaire. Vers 15h, une alarme se déclenche en salle des commandes signalant que le débit du canal de Donzère-Mondragon est inférieur à 400m3/s, seuil limite en dessous duquel il n’est plus permis à EDF d’effectuer des rejets d’effluents . Le rejet n’a pour autant pas été interrompu. L’opérateur n’a pas pris en compte cette alarme indiquant un débit anormal du Rhône ; Vers 15h45, l’opérateur pilote de tranche (OPPT) détecte une baisse du débit du canal et demande à un opérateur de stopper le rejet. Mais la communication entre l’OPPT et l’opérateur chargé de piloter le rejet a été inefficace puisque la demande de l’OPPT n’a pas été prise en compte. L’OPPT n’a quant à lui pas vérifié que sa demande de cesser le rejet était bien prise en compte et réalisée par l’opérateur. Les équipes en charge de la conduite du réacteur n’ont diagnostiqué qu’un rejet avait été effectué en dehors des autorisations que vers 20h30, soit plus de 5 heures après le déclenchement de l’alarme.

Cet incident cumul donc 2 problèmes : non seulement des modalités de rejet d’effluents dans le canal de Donzère-Mondragon n’ont pas été respectées, mais il y a (encore) eu un défaut de traitement d’alarme par les équipes de conduite de la centrale. L’organisation interne EDF n’a donc pas pu rattraper une situation d’écart, qui s’est matérialisée par un rejet d’effluents ne respectant pas les modalités de rejet prescrites.

Chapitre 3 : retour vers le futur et arrêt à l’automne

Graves défaillances du personnel en charge de la conduite des réacteurs et de superviser l’exploitation de la centrale, défauts de surveillance, manque de compétences et de connaissances, formation inadaptée, nombre d’opérateurs insuffisant, manque de communication et de coordination... Les rapports des 2 inspections faites en avril et en août 2017 dressent un bilan effrayant. Mais dans l’idée de prendre un peu de recul pour prendre de la hauteur, et avoir une vision globale de la situation de l’exploitation nucléaire, si l’on remonte un peu dans le temps on trouve déjà de nombreuses traces de ces « faiblesses » :

Le 4 janvier 2017, l’exploitant de la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif à l’indisponibilité d’un tableau électrique du réacteur 3 [9] .

Le 19 janvier 2017, l’exploitant de la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif à l’indisponibilité d’une vanne participant à l’isolement de l’enceinte de confinement du réacteur 4 [10].

Le 21 février 2017, l’exploitant de la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif à un dépassement du gradient maximal de refroidissement de la chaudière nucléaire qui est fixé à 14°C/h pour le circuit primaire du réacteur 1 [11].

Le 3 novembre 2016, la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif au non-respect de la conduite à tenir en cas de cumul de plusieurs indisponibilités de matériels importants pour la sûreté du réacteur. A la suite de l’analyse menée par EDF sur cet événement, EDF a reclassé cet événement significatif pour la sûreté au niveau 1 de l’échelle INES le 16 mars 2017 [12].

Le 7 octobre 2016, la centrale nucléaire du Tricastin a déclaré à l’Autorité de sûreté nucléaire un événement significatif pour la sûreté relatif au maintien en position ouverte pendant tout un cycle de fonctionnement d’une vanne de traversée de l’enceinte du réacteur 1 [13].

Avec ce petit retour en arrière, ce qui se dessine fait encore plus froid dans le dos. D’ailleurs, l’appréciation de l’ASN du site nucléaire pour 2016 [14] relève déjà des problèmes de sûreté (l’ensemble des réacteurs du site est concerné par la présence de ségrégations de carbone dans l’acier constitutif des fonds primaires des générateurs de vapeur et des contrôles prescrits par l’ASN ont maintenus plusieurs mois à l’arrêt les réacteurs 1 et 3). Mais aussi de graves problèmes de gestion des déchets et de confinement des substances radioactives liquides qui doivent impérativement être améliorés. Auxquels s’ajoutent de sérieuses lacunes depuis 2015 en terme de propreté radiologique.

Problèmes de sûreté persistants, dus essentiellement à des défauts de conduite et aux erreurs d’un personnel mal formé, pas toujours compétent ni qualifié, des opérateurs à des postes clés tous nouveaux qui n’ont pas d’expérience ; problèmes de fuites de liquides radioactifs, défaut de confinement à répétition, erreurs d’inattention, fautes professionnelles, manque de communication… La décision de l’ASN du 27 septembre 2017 [15] de mettre immédiatement à l’arrêt les 4 réacteurs en raison du risque d’inondation du site en cas de séisme [16] n’apparaît alors plus très surprenante.

Après avoir déclaré le 18 août 2017 cet énième événement significatif pour la sûreté (non tenue en cas de séisme majorité d’une portion de digue qui sépare le site nucléaire du canal de Donzère-Mondragon [17]) , EDF a été entendu le 26 septembre par la division ASN de Lyon qui a estimé que les éléments complémentaires apportés par l’exploitant n’étaient pas suffisants pour écarter le risque à court terme. EDF a été incapable de fournir la démonstration de la résistance de la digue en cas de séisme, ce que l’Autorité de sûreté nucléaire a jugé « inacceptable » [18] . Même si elle justifie sa décision par les caractéristiques physiques du site situé sous le niveau du canal et par la disposition géographique des équipements et installations (perte des alimentations électriques internes et externes, perte totale des systèmes de refroidissement et de sauvegarde, difficulté d’accès pour les secours et donc de mise en œuvre du plan d’urgence [19]) , on comprend en filigrane que lorsqu’on ne fait pas confiance à ceux qui sont aux commandes pour gérer un réacteur nucléaire en situation normale, mieux vaut tout arrêter tout de suite, surtout avec un risque de situation accidentelle majoré par des défauts de construction et de localisation.

Pour l’heure, les 4 réacteurs de Tricastin sont effectivement arrêtés. Et au vu des événements, on ne peut que souhaiter qu’ils le restent. Mais, sans même évoquer tout ce qui concerne la base chaude opérationnelle du Tricastin et les usines Areva de Pierrelatte, quid de la situation pourtant quasi similaire d’autres sites ? Cruas par exemple est toute proche. Placée sous surveillance rapprochée par l’ASN depuis plusieurs années, ses performances en matière de sûreté, de protection de l’environnement et de radioprotection sont en retrait. Rigueur dans l’exploitation « fragile », l’ASN se dit particulièrement vigilante quant à la gestion des déchets sur le site et au confinement des sources radioactives [20] , ce qui n’est pas sans rappeler la situation de la centrale du Tricastin.

Fessenheim, la plus vielle de toutes, largement concernée par des défauts de sûreté, est elle aussi sous le niveau d’un canal, « protégée » par des digues au béton douteux. EDF prévoie un mois de travaux pour consolider la digue séparant les réacteurs nucléaires de Tricastin du canal de Donzère-Mondragon, et estime reprendre l’exploitation début novembre. Mais seul le risque d’inondation sera écarté. Les défaillances de sûreté, de confinement, de conduite, de compétence des équipes seront toujours là eux. On ne peut alors dire, voire hurler qu’une seule chose : fermez-là pour de bon !

06/10/17

Laure Barthélemy