arch/ive/ief (2000 - 2005)

Une série d'erreurs, de procédures inappropriées et de défaillances ont placé l'installation dans une situation particulièrement critique, avec la perte des systèmes de sauvegarde, des alimentations électriques de secours, y compris le 3è groupe électrogène à turbine d'ultime secours ajouté récemment pour palier aux défaillances des deux autres. La surchauffe des joints de pompes primaires pouvaient déboucher sur la rupture du circuit primaire. En prime une fuite d'hydrogène utilisé pour refroidir les paliers du groupe turboalternateur pouvait provoquer lincendie de l'usine électrique.
Au travers cet incident c'est la défense en profondeur de la sûreté nucléaire de l'ensemble du parc des 1300MW qui est remis en cause.
En minimisant l'incident et autorisant le redémarrage 9 jours plus tard, l'autorité de sûreté nucléaire vient une fois de plus de faire la démonstration de sa dépendance à l'égard de sa tutelle, le ministère de l'industrie, dont les intérêts politiques passent largement outre la protection des populations. On peut observer aussi le total silence du ministre Vert de l'environnement, co-tutelle de la DSIN.

Claude Boyer du Comité Stop Nogent-sur-Seine

(Liste chronologique des accidents et incidents graves survenus sur réacteur nucléaire)

COMMUNIQUE DE PRESSE

Paris, le 1er février 2002

L'ASN classe au niveau 2 un incident à la centrale nucléaire de Flamanville

L'Autorité de sûreté nucléaire (ASN) a décidé de classer au niveau 2 de l'échelle internationale des événements nucléaires (INES) un incident survenu le 21 janvier 2002 à la centrale nucléaire EDF de Flamanville (Manche).
Le 21 janvier 2002 vers 10 heures, une erreur survenue lors d'une opération de maintenance a provoqué, sur le réacteur 2 de la centrale nucléaire de Flamanville, la défaillance d'un système de commande et de surveillance du réacteur. Ce système fournit aux agents de conduite en salle de commande une partie des informations relatives à l'état du réacteur et transmet des ordres vers des matériels importants pour la sûreté.
A la suite de cette défaillance, plusieurs anomalies supplémentaires, ayant pour origine des défaillances de matériels ou des actions inappropriées, ont entraîné une succession d'événements, notamment :
* perte de l'une des deux alimentations électriques, provoquant l'arrêt automatique du réacteur ;
* perte du système d'injection d'eau sous pression destiné à maintenir l'étanchéité des joints des pompes primaires qui font circuler l'eau servant à extraire l'énergie du coeur du réacteur ;
* endommagement d'une pompe d'alimentation de secours en eau des générateurs de vapeur à la suite de son redémarrage intempestif.
L'Autorité de sûreté nucléaire a procédé à une inspection sur le site le 23 janvier 2002 et a constaté que la procédure de conduite prévue dans une telle situation incidentelle a été appliquée de façon incomplète.
Elle a demandé à l'exploitant des explications précises sur ce point.
En outre, l'Autorité de sûreté nucléaire a soumis le redémarrage du réacteur à la démonstration que les matériels à l'origine de l'incident, ainsi que les matériels endommagés au cours de l'incident, ont été remis en conformité. Cette démonstration ayant été apportée, l'Autorité de sûreté nucléaire a donné son accord au redémarrage le 30 janvier 2002.
Par ailleurs, l'Autorité de sûreté nucléaire a demandé à EDF d'analyser de manière approfondie les causes et le déroulement de l'incident et de lui remettre ses conclusions.
Cet incident n'a pas eu de conséquence sur les travailleurs ni sur l'environnement. Mais, en raison des multiples défaillances, l'Autorité de sûreté nucléaire a classé cet incident au niveau 2 de l'échelle internationale des événements nucléaires qui en compte 7.

Sur le site de l'asn
- - - - - - - - - - -
Paris, le 1er février 2002. Note technique

Incident survenu sur le réacteur n° 2 de la centrale nucléaire de Flamanville le 21 janvier 2002

Le 21 janvier 2001 vers 10 heures, une erreur survenue lors d'un essai après le remplacement de composants électroniques a provoqué, sur le réacteur 2 de la centrale nucléaire de Flamanville, la défaillance d'un système de commande et de surveillance (dénommé CONTROBLOC) qui fournit aux agents de conduite en salle de commande une partie des informations relatives à l'état du réacteur, et qui transmet les commandes d'une partie des équipements importants pour la sûreté.
Cette défaillance a engendré des ordres aléatoires. Elle a provoqué notamment l'arrêt d'une des deux alimentations électriques externes. L'arrêt automatique du réacteur a alors été déclenché normalement par le système de protection du réacteur.

Origine de l'incident

A l'occasion d'une action de maintenance périodique sur les onduleurs alimentant le tableau électrique qui lui même alimente le système de commande et de surveillance de la voie A ( figure 2, tableau LNG ), le remplacement erroné de composants obsolètes a rendu inopérante la logique de secours des trois onduleurs. L'essai de requalification, qui doit suivre systématiquement toute modification d'un matériel, a révélé l'erreur et provoqué la coupure de l'alimentation du système de commande et de surveillance.
Le système d'alimentation électrique et le système de commande et de surveillance, comme l'ensemble des équipements importants pour la sûreté des réacteurs, sont doublés selon deux voies redondantes (voie A et voie B), chacune devant être capable d'assurer seule le maintien des fonctions de sûreté du réacteur (figure n°1).
L'alimentation électrique de chaque voie est elle-même secourue par une deuxième source électrique externe et, en dernier recours, par un alternateur actionné par un moteur diesel. L'alimentation électrique des systèmes les plus sensibles (notamment les systèmes de protection) est en plus secourue par des batteries.
A la suite de la coupure de l'alimentation électrique du système de commande et de surveillance, une tentative trop rapide de redémarrage manuel des onduleurs a entraîné l'envoi d'ordres intempestifs dont l'un a provoqué la coupure de l'alimentation électrique externe de la voie A (figure n°1).
La défaillance du système de commande et de surveillance n'a pas permis le basculement sur l'alimentation de secours, ni le démarrage du moteur diesel, provoquant la perte de toutes les alimentations électriques de la voie A non secourues par des batteries.

Déroulement de l'incident

En application des procédures, les opérateurs en salle de commande ont appliqué les consignes de conduite en situation d'incident. Plusieurs difficultés sont apparues au cours du déroulement de l'incident. Elles ont été dues à la panne initiale, à des anomalies supplémentaires sur des matériels et à certaines actions inappropriées.
En particulier, le passage en état d'arrêt à froid du réacteur, qui aurait du être lancé au cours des premières phases de la conduite incidentelle, n'a été engagée qu'environ 6 heures après le début de l'incident.
Les anomalies apparues au cours de l'incident sont les suivantes :

Refroidissement des joints des pompes primaires

Le circuit de contrôle volumétrique et chimique (circuit RCV) a notamment pour fonction de maintenir dans le circuit primaire la quantité d'eau nécessaire au refroidissement du cur. Il a également pour fonction d'assurer (figure n° 3) l'étanchéité et le refroidissement des joints des pompes primaires par injection d'eau sous haute pression. Normalement, la pompe RCV d'injection aux joints de la voie A assure cette fonction. La pompe RCV de la voie B prend le relais en cas de défaillance.
L'absence du système de commande et de surveillance de la voie A n'a pas permis le basculement automatique sur la pompe de la voie B. Puis, suite à une erreur dans l'exécution de sa séquence de démarrage en salle de commande, les opérateurs en salle de commande ont décidé de procéder à un démarrage manuel, en local. L'injection aux joints des pompes primaires n'a pu être assuré pendant 1 heure 25 minutes.
L'absence prolongée de refroidissement des joints peut provoquer un endommagement de ces joints et une fuite de l'eau du circuit de refroidissement du cur. La température maximale relevées durant l'incident est de 76,2°C pour une valeur maximale admissible de 95°C.

Turboalternateur d'ultime secours

Le turboalternateur d'ultime secours (turboalternateur LLS) a démarré, puis s'est arrêté par protection contre les survitesses.
Ce turbo alternateur alimente une pompe de secours du circuit RCV assurant l'injection aux joints en cas de défaillance des pompes de la voie A et de la voie B. Il n'est démarré qu'en cas de défaillance de toutes les alimentations électriques externes (voies A et B).
Le système LLS a été requalifié et est de nouveau disponible.
Endommagement de la pompe d'alimentation de secours en eau des générateurs de vapeur
L'alimentation électrique de la voie A a été restaurée à 12h03, soit au bout d'environ 1 heure 39 minutes. La remise en marche du système de commande et de surveillance s'est faite progressivement de 12h01 à 13h05.
La réalimentation électrique a provoqué le démarrage de la motopompe d'alimentation de secours en eau des générateurs de vapeur (motopompe ASG) de la voie A. Pour une raison indéterminée, cette pompe, qui doit pouvoir fonctionner sans graissage, a chauffé et a été profondément détériorée.
EDF a procédé au remplacement complet de cette pompe. L'appareil de remplacement a été requalifié avant le redémarrage du réacteur.

Endommagement de la pompe d'injection aux joints des pompes primaires de la voie A

Lors de la remise sous tension, la pompe d'injection aux joints des pompes primaires de la voie A (pompe RCV) en fonctionnement lors de l'arrêt, a redémarré sans graissage, celui-ci étant géré par le système de commande et de surveillance, et a été endommagée. Elle s'est arrêtée par protection lors de la restauration de ce système.
Cette pompe a été remise en état avant le redémarrage du réacteur.
Fuite au niveau de l'alternateur A la remise en service du système de commande et de surveillance, il a été constaté une baisse de la pression dans l'alternateur et une fuite d'hydrogène dans la salle des machines, due à une perte d'étanchéité.
Les personnels présents ont été évacués et le service de prévention des risques a effectué des mesures de teneur en hydrogène avant intervention sur l'alternateur
* L'Autorité de sûreté nucléaire (ASN) a procédé à une inspection le mercredi 23 janvier à la suite de l'incident du 21 janvier. Les inspecteurs ont examiné les causes de l'incident ainsi que son déroulement.
Suite à cette inspection, l'Autorité de sûreté nucléaire a soumis le redémarrage du réacteur à la transmission par EDF de éléments démontrant la remise en conformité des matériels mis en cause à l'origine et au cours de l'incident.
Par ailleurs, elle a demandé à EDF de fournir des explications sur les anomalies constatées dans sa gestion de la maintenance des onduleurs, à l'origine de l'incident, ainsi que les dispositions prises pour éviter leur renouvellement.
Elle a également demandé à EDF de lui transmettre les résultats de son analyse de l'application incorrecte des consignes de conduite en situation d'incident, ainsi que le retour d'expérience qui en sera fait.
EDF devra enfin fournir un relevé des ordres intempestifs émis suite à la réalimentation trop rapide du système de commande et de surveillance au début de l'incident, ainsi qu'une information sur l'origine de l'endommagement de la motopompe ASG.
En raison du nombre important des défaillances de matériels et d'une application incomplète des consignes de conduite incidentelle, l'incident a été classé au niveau 2 de l'échelle INES.