La Gazette vous offre l'ensemble
du dossier Tanguy avec en prime une analyse des incidents faite par EDF
aussi.
Ce dossier a fait un boum, cependant il reprenait des arguments déià développés à Montauban sur le même sujet[1]. il est vrai qu'on a parfois raison trop tôt. Enfin le fait est là: Tanguy se préoccupe beaucoup de l'accident possible et essaie de secouer le personnel d'EDF. Quant à nous, nous espérons qu'il ne s'agit pas seulement d'écrits et de cogitations à haut niveau. Il faut donner le temps et le personnel pour éviter les redémarrages hatifs. Il faut que le ruban bleu ne soit pas pour les kW mais pour la meilleure sûreté. Il y a un décalage entre ce qui est fait sur un site et les grands colloques... |
Saluons une autre initiative d'EDF, une enquête
épidémiologique enfin lancée sur le personnel compte
tenu des résultats des enquêtes anglaises: l'incidence d'une
irradiation faible mais répétée sur le père
dans l'apparition de cancers chez les enfants.
A ce sujet, la conclusion de l'article du Monde (février 1990) était très claire «comment en France avec un parc aussi étendu n'avons nous pas lancé d'études épidémiologiques. Ceci permet d'affirmer qu'il n'y a pas d'effet mais ne convainc plus personne»... Rappelons qu'à la commission de la Hague nous avons tenté d'obtenir le démarrage d'une enquête et que nous ne parvenons pas à trouver le financement. Compte tenu de problèmes autour de Sellafield, il faudrait quand même se décider à faire des études autour et dans la Hague, et ne pas se conforter avec l'argument «Sellafield rejette plus que la Hague, donc on ne peut pas avoir les mêmes problèmes». L'incantation n'a jamais protégé... p.3a
|
L'Inspecteur Général
pour la Sûreté Nucléaire a pour première mission
d'être le garant, tant vis-à-vis du Directeur général
que de l'opinion publique, d'une bonne prise en compte des préoccupations
de sûreté dans les installations nucléaires d'EDF.
C'est dans ce cadre que mon rapport annuel s'attache à présenter
une vue globale de la sûreté nucléaire dans l'Entreprise
à fin 1989.
J'avais écrit dans mon rapport de l'année dernière que 1988 avait été une bonne année pour la sûreté nucléaire à EDF, en particulier en raison de l'absence d'incident très significatif pour la sûreté. L'année 1989 en revanche a été marquée par quelques incidents importants, sur lesquels je reviendrai plus loin, mais aussi par une évolution très nette des relations entre EDF et ses Autorités de Sûreté. Je considère en fait que l'année 1989 a constitué une année-charnière pour la sûreté à EDF, car tant pour répondre à la demande des Autorités du Sûreté, que pour atteindre les objectifs que l'Entreprise s'est fixée elle-même en matière de sûreté, EDF a défini en 1989 un certain nombre d'orientations importantes qui devraient influer dansl'avenir sur toutes ses actions liées à la sûreté. Ce rapport de synthèse comprendra trois parties. Dans la première, je dresserai un panorama d'ensemble de la situation telle que je la vois en cette fin d'année; dans la deuxième, j'analyserai sous l'angle de la sûreté les principaux événements survenus à EDF au cours de l'année 1989; dans la troisième, je proposerai des orientations pour l'avenir. Dans le rapport IGSN proprement dit qui est joint en annexe, je passerai en revue les différents thème retenus pour mon programme d'inspection sûreté nucléaire 1989. |
PANORAMA DE LA SÛRETÉ NUCLÉAIRE 1-1. L'évolution de l'environnement national
p.3b
|
Ce qui me paraît néanmoins
fondamental, c'est que cette indépendance s'est toujours appuyée
sur une analyse technique contradictoire, mais approfondie des dossiers
et il me paraîtrait dangereux qu'elle puisse désormais se
fonder d'abord sur des considérations de nature sociopolitique.
Une telle dérive conduirait à un processus décisionnel
qui se situerait en terme de conflit de pouvoir, et non plus de recherche
du meilleur compromis technique.
L'évolution de nos relations avec le SCSIN me conduit donc à une mise en garde. On a tendance parfois à mettre sur le seul compte de la qualité des hommes et de l'organisation des entreprises le succès du programme nucléaire français par rapport à l'étranger. C'est trop vite oublier l'importance de l'environnement favorable sur les plans politique, juridique et réglementaire, il est généralement reconnu qu'elle a une large part de responsabilité dans l'échec du programme nucléaire américain, qui disposait au départ d'une avance technologique considérable. Il est instructif de noter que les «régulateurs» américains ont souvent cru de bonne foi qu'en marquant plus nettement leur pouvoir vis-à-vis de l'industrie nucléaire américaine, notamment par un durcissement de leurs exigences, ils rendaient service à cette industrie, et regagnaient en meme temps la confiance du public. Ils se sont doublement trompés. Or je crains que nous n'assistions aujourd'hui à une tendance similaire en France, avec plus d'une décennie de décalage. Il me paraît significatif que les derniers mois aient vu se multiplier des propositions de restructuration de l'organisation nationale de la sûreté nucléaire, alors qu'aucun responsable ne met sérieusement en cause le bien fondé technique des décisions prises dans le passé, et que la seule préoccupation réelle avancée porte sur la perception de ces questions par l'opinion publique. Plusieurs initiatives locales, telle la «contre-expertise» organisée par le Conseil Général du Raut-Rhin à l'occasion de l'épreuve décennale de Fessenheim, ressortissent à mon avis au même courant, même si souvent les préoccupations de protection vis-à-vis de la radioactivité l'emportent sur les soucis strictement de sûreté. En pratique, cette évolution se traduit pour EDF par de nouvelles contraintes auxquelles l'Entreprise doit faire face. Il est vraisemblable que ces contraintes iront en se renforçant dans les années à venir, et nous devons en tenir compte, si nous voulons que notre programme nucléaire se poursuive dans des conditions acceptables. Je pense que c'est avant tout sur les aspects techniques de sûreté que nous devons faire porter notre effort. En effet, notre préoccupation essentielle doit être de maintenir en France un consensus sur les réponses à apporter aux problèmes techniques de sûreté qui se posent aujourd'hui, comme sur ceux qui se poseront pendant toute la poursuite du programme. Nous devons nous efforcer d'éviter tout dépérissement du dialogue technique entre nos spécialistes et les experts indépendants qui apportent leur soutien aux Autorités de Sûreté. Ceci impose que nous leur ouvrions tous nos dossiers, que nous respections à la lettre les engagements pris auprès du SCSIN comme du Groupe Permanent, notamment en ce qui concerne les délais d'études, que nous réagissions rapidement sur les incidents, et que nous nous efforcions d'anticiper les problèmes plutôt que de les subir. (suite)
|
suite:
Je sais que les Directions Opérationnelles partagent ce point de vue, mais nous devons reconnaître que nous n'avons pas toujours été sans reproches sur certains points dans le passé. J'espère que notre interlocuteur technique principal, l'IPSN, sortira renforcé des débats en cours sur le CEA. Il me paraît clair en outre que nous devrions rendre plus visible auprès des milieux politiques et de l'opinion publique le fait que toutes les décisions techniques relatives à la sûreté des centrales nucléaires font l'objet, après discussions, d'un accord entre EDF et le SCSIN. L'opinion ne peut en effet que s'inquiéter lorsqu'on lui dit que les Autorités de Sûreté remettent en cause une décision d'EDF, premier responsable de la sûreté des centrales, alors qu'il ne s'agit que d'une question de présentation. 1-2. La situation technique
p.4
|
Le troisième type de
difficultés est plus «dérangeant», dans la mesure
où il résulte de qualifications insuffisantes sur des modifications
de conception, ou de fabrication, sur des systèmes dont on pouvait
considérer, au stade actuel du programme REP, qu'ils étaient
éprouvés. Des difficultés ont été ainsi
rencontrées à Nogent, tels l'erreur sur le logiciel de protection
et le gonflement des râteliers de stockage de combustible. Mais deux
problèmes génériques majeurs sur les tranches 1300
MW, touchant directement la sûreté, marqueront sans conteste
l'année 1989: ce sont les défauts de soudure inconel sur
les piquages pressuriseurs, accompagnés ou non de fuites, défauts
imputables à une erreur de conception, et surtout le nouveau type
de déformation observé sur les tubes des GV, assimilable
à un phénomène de «denting», analogue
à celui constaté aux USA il y a quelques années, suivi
de fissurations par corrosion sous contrainte, défaut dont l'origine
exacte fait encore l'objet de discussions. La réaction de l'Entreprise
a sans doute été à la hauteur de l'ampleur des problèmes
lorsqu'elle a pu être correctement évaluée, et il est
certain que des mesures compensatrices, encore en cours de discussions
avec les Autorités de Sûreté, permettront de maintenir
un niveau de sûreté acceptable sur les tranches touchées
par ces défauts. Il n'en reste pas moins qu'une situation entièrement
«normale» ne pourra être établie avant plusieurs
années.
Il me faut maintenant parler des deux erreurs de maintenance révélées au cours de l'été. La première, détectée à Dampierre en juillet, portait sur le maintien en place pendant plus d'un an de deux fonds pleins rendant indisponible un circuit de sauvegarde qui n'est nécessaire qu'en cas d'accident de faible probabilité. La seconde, détectée en août à Gravelines, mettait en cause le bon fonctionnement des sécurités de surpression de circuit primaire si elles avaient été sollicitées pendant les 15 mois où a subsisté l'anomalie, et a été considérée initialement comme potentiellement très significative pour la sûreté puisqu'elle a été classée au niveau 3 de l'échelle de gravité. En fait l'analyse effectuée depuis montre, à mon avis, qu'elle devrait aujourd'hui être «déclassée» au niveau 2, car les sécurités étaient restées opérationnelles. Quoiqu'il en soit, en dehors de leur retentissement médiatique, tout à fait normal dès lors que Gravelines constituait le premier niveau 3 enregistré dans l'échelle depuis sa mise en service en avril 1988, ces incidents ont appelé notre attention, et celle des Autorités de Sûreté, sur la possibilité de disfonctionnements graves du système d'assurance de qualité dans les opérations d'entretien des matériels importants pour la sûreté. Des décisions ont été prises sans délai, et portées à la connaissance des Autorités de Sûreté. Une réflexion plus approfondie a été en outre engagée au sein d'EDF; j'y reviendrai plus loin. Il est incontestable que tous ces incidents et difficultés ont contribué à l'évolution de l'attitude des Autorités de Sûreté dans leur contrôle de l'activité d'EDF, comme à la propre réflexion EDF sur ses objectifs en matière de niveau de sûreté d'exploitation. Ils ont plus accompagné ces évolutions qu'ils n'en ont été réellement la cause, car ils n'ont pas mis en évidence une dégradation des conditions de sûreté en exploitation. Tous les indicateurs dont nous disposons malgré leurs imperfections, confirment que le niveau de sûreté reste globalement bon. Les disfonctionnements observés qui mettent en cause des aspects très divers de la sûreté, conception, qualification des modificaions, qualité de la maintenance, ressortissement à des types connus, et des actions destinées à les éliminer, sont en cours depuis plusieurs années. (suite)
|
suite:
L'année «chaude» 1989 nous a tous sensibilisé au fait qu'il fallait progresser plus vite dans tous les domaines où nous travaillons déjà Sur le plan médiatique par ailleurs, on peut juger que la politique de communication de l'Entreprise a su faire face aux événements, et que l'image de la sûreté de nos centrales n'en a pas été trop «détériorée». Il est certain cependant qu'elle n'en a pas été améliorée non plus, et que cette amélioration reste nécessaire. Pour conclure sur ce point, je considère pour ma part qu'il n'y a aucune raison de dramatiser la situation actuelle de la sûreté à EDF. Nous serions dans une toute autre position si nous avions en sur une de nos centrales un incident analogue à celui de Vandellos, en Espagne, survenu en novembre sur la centrale jumelle de Saint Laurent A2, et dont je parle plus en détail dans le Chapitre 1 du rapport. A Vandellos en effet, bien que l'incident n'ait eu aucune conséquence radiologique, à l'intérieur comme à l'extérieur du site, une analyse de la séquence accidentelle montre que les barrières de défense avaient été sérieusement entamées. Sur le plan de l'opinion publique en outre, l'impact a été très négatif, sans commune mesure avec l'impact de l'incident Gravelines par exemple, ce qui plaide sans doute en faveur de l'échelle de gravité dans son utilisation avec les médias. Si l'expérience de 1989 ne doit pas nous conduire à remettre en cause la politique nationale de sûreté, je crois par contre qu'elle peut nous aider à prendre tous une plus claire conscience de l'enjeu de la sûreté, et à moduler nos orientations en conséquence. C'est ce que je vais examiner maintenant. 1-3. Les objectifs de sûreté d'EDF
p.5
|
C'est pourquoi, il est bon que
l'expérience d'exploitation du parc dans cette année 1989
ait permis à tous de reprendre conscience
de la spécificité du nucléaire, et de l'importance
de l'enjeu que représente sa sûreté(*).
Les financiers savent que c'est le caractère nucléaire du
parc de production EDF, et non notre valeur intrinsèque en tant
qu'Entreprise, qui nous met dans une position avantageuse sur les marchés.
Et il est très clair pour eux qu'un incident sur une centrale nucléaire
serait susceptible de remettre en cause cette position, ce qui ne sera
jamais le cas d'un incident sur une centrale à charbon (ou une "centrale"
renouvelable quelle qu'elle soit*). Dès lors, on conçoit
bien qu'une bonne gestion technique du parc, et notamment la prévention
d'incidents, doit permettre d'éviter des pertes de productivité
qui peuvent être au plan financier sans commune mesure avec les gains
de productivité que l'on pourrait rechercher par ailleurs. Dans
les «stratégies de rupture», le risque d'accident, ou
d'incident nucléaire, ne doit pas être ignoré.
Dans la lettre qu'il a adressé au Ministre le 23 août suite à l'incident Gravelines, le Directeur Général l'a informé de sa décision «d'engager une réflexion approfondie sur le niveau de sûreté de nos centrales et sur la possibilité de l'améliorer significativement par des actions visant à réduire la fréquence des incidents». Je pense que l'objectif est d'agir sur tous les incidents, car il n'est pas bon de tolérer même des incidents mineurs qui peuvent être à l'origine un jour d'erreurs plus graves. Mais l'effort doit certainement se concentrer sur trois types d'incidents: - les incidents de niveau 3 dans l'échelle de gravité, tel Gravelines. Depuis le début de l'exploitation des REP, nous n'en avons eu que 2, le premier étant survenu en 1984 sur Bugey. L'incident de Bugey était d'alleurs à mon avis, potentiellement plus sérieux que Gravelines, car il s'agissait d'une véritable séquence incidentelle, laissant l'installation dans un état de sûreté dégradé, et mettant en cause la conception comme l'exploitation. Quoiqu'il en soit, 2 incidents en 5 ans, sur une quarantaine de tranches en moyenne, donnent une fréquence moyenne de l'ordre de 1% par tranche et par an. C'est peu, mais il est certain que «secouer» l'opinion publique avec un tel «presqu'accident» tous les deux ans n'est pas la meilleure méthode pour améliorer l'image de la sûreté nucléaire en France. - les accidents, qui sans être graves d'un point de vue radiologique, impliqueraient néanmoins des contrôles dans l'environnement, et feraient certainement l'objet d'une exploitation médiatique intense. Aujourd'hui, c'est sans conteste le risque de rupture brutale d'un ou plusieurs tubes de générateurs de Vapeur (RTGV) qui est le plus préoccupant, compte tenu de l'état des GV d'un grand nombre de tranches. La probabilité de voir survenir un tel accident dans les quelques années à venir (au-delà, on peut espérer avoir amélioré significativemnt l'état des GV en service) n'est pas négligeable. C'est pourquoi il est très important que les exploitants soient bien préparés à faire face à ce type d'accident, dont l'expérience étrangère a montré que, bien conduit, il n'avait aucune conséquence radiologique sur l'environnement, et pouvait donc rester au niveau de gravité 3. (suite)
|
suite:
- enfin, les accidents graves, conduisant à un risque radiologique suffisamment important pour que les Pouvoirs Publics jugent nécessaire de déclencher sur le site le Plan d'Urgence (PPI, Plan Particulier d'Intervention). Classés au niveau de gravité 5, ces accidents ont une probabilité d'occurrence de l'ordre de 1 sur 100.000 par an et par tranche. Cette évaluation, extraite des résultats de l'EPS-1300, étude probabiliste de sûreté menée par EDF qui sera publiée au printemps 90, a tiré profit des résultats d'expérience du parc, en particulier sous l'angle «facteur humain», et peut donc être jugée à priori cohérente avec les résultats de cette expérience d'exploitation. Elle n'en reste pas moins entachée d'une notable marge d'incertitude. Il faut donc considérer que dans l'état actuel de sûreté du parc EDF, la probabilité de voir survenir un tel accident sur une des tranches du parc dans les 10 ans à venir peut être de quelques pour cent. Nous avons tous bien conscience des conséquences que pourrait entraîner un tel accident. Même si les rejets radioactifs externes restaient limités, ce qui est le cas le plus probable, et ce qui réduirait les effets hors-site à des interdictions de consommation d'eau et de produits alimentaires, il faut s'attendre à une très forte pression pour arrêter immédiatement toutes les tranches nucléaires, au moins pour une période d'examen. L'impact politique risque d'être amplifié par les réactions internationales, surtout si l'accident survient sur une centrale frontalière. Il est donc bon qu'EDF se fixe comme objectif de réduire significativement le risque de ce type d'accident, mais il ne faut pas se cacher qu'atteindre un ordre de grandeur d'une décade, ce qui paraît à priori souhaitable, constituera une tâche difficile. Le Directeur Général dans sa lettre du 23 août déjà citée indiquait que «nous devons pouvoir progresser, par une action sur les hommes, et par des moyens supplémentaires donnés aux exploitants pour mieux contrôler leurs actions et mieux anticiper les difficultés à venir». Je terminerai ce panorama d'ensemble de la sûreté àEDF par deux réflexions. La première porte sur l'attitude des responsables locaux sur les sites nucléaires au regard des questions évoquées dans ce rapport. J'ai pu constater au cours de mes visites une prise de conscience généralisée de l'importance de la sûreté comme enjeu pour l'avenir, de la nécessité d'effectuer des progrès significatifs, et de la conviction que ces progrès exigent la participation active de tons les acteurs. Cela se traduit en particulier par une plus grande ouverture et une plus grande transparence, qui sont à encourager. Je considère que cette prise de conscience constitue un fait très positif pour la politique de sûreté qu'EDF entend mener. Ma deuxième réflexion porte sur l'environnement international. Que ce soit au sein de grands organismes telle l'Agence Internationale de Vienne, ou dans des instances politiques comme le Parlement Européen, la tendance est à élever le niveau des objectifs de sûreté, à renforcer les contrôles et à exiger la transparence de l'information. Notre politique doit prendre ces évolutions en compte. p.6
|
2-1. La signification «sûreté»
des principaux événements
Dans le panorama de la première partie, je n'ai présenté que des événements négatifs pour la sûreté, et je reviendrai d'ailleurs plus loin sur la signification de certains d'entre eux, car leur analyse est riche d'enseignements. Mais il y a eu aussi heureusement, dans l'exploitation de nos centrales en 1989, des aspects très positifs pour la sûreté, qu'il ne faudrait pas ignorer sous peine d'avoir une vue déformée de la réalité. Je n'en citerai que quelques-uns pour ne pas alourdir ce rapport de synthèse. Ils me paraissent aussi représentatifs de la sûreté nucléaire à EDF en 1989 que les incidents cités plus haut. Le facteur de disponibilité des tranches 900 MW hors arrêt annuel a été excellent et me paraît représentatif des progrès effectués depuis quelques années dans la conduite en fonctionnement normal: réduction du nombre des arrêts automatiques, diminution des fausses manoeuvres en essais périodiques, etc. Bien que je ne dispose pas aujourd'hui de chiffres précis, je ne suis pas certain qu'on constate un progrès analogue dans le nombre des incidents survenus dans les périodes de redémarrage des centrales après arrêt annuel. On rencontre là un problème de qualité dans l'exécution des opérations de maintenance qui sera développé plus loin. Toujours sur les tranches 900 MW, l'opération «décennale Fessenheim» me paraît pouvoir être considérée plutôt comme un succès sous l'angle de la sûreté, malgré les quelques difficultés rencontrées et l'allongement des délais par rapport aux prévisions. EDF n'avait d'ailleurs pas droit à l'erreur dans cette affaire, suivie de très près par des Autorités de Sûreté qui se devaient d'être plus impeccables que jamais en raison de la surveillance mise en place par la Commission locale compétente. Sur les tranches 1300 MW, dont j'ai signalé les malheurs, il faut signaler la réussite de la mise en oeuvre sur Penly des premières procédures de conduite accidentelle faisant appel à «l'Approche Par Etats», APE. On sait que ces procédures représentent un progrès considérable pour la sûreté. Elles constituent l'un des aboutissement du programme d'études lancé par EDF à la lumière des enseignements de l'accident de Three Mile Island. De nombreuses difficultés ont dû être surmontées par les services responsables de la DE et du SPT. Il faut à mon avis les féliciter pour ce succès. Enfin, dans un tout autre ordre d'idées, je voudrais signaler un autre aboutissement, c'est celui de l'étude probabiliste de sûreté (EPS- 1300) effectuée par une équipe EDF inter-Directions depuis le début 86. Les résultats sont aujourd'hui acquis, même si leur mise en forme définitive, et une demande d'examen préalable par le Groupe Permanent, repoussent leur publication au printemps 90. Ils confirment que la conception de nos tranches est bonne, en référence aux standards internationaux, et que les risques liés au «facteur humain», même s'ils sont importants en valeur relative par rapport aux risques globaux, restent dans des limites acceptables. Ce dernier résultat est important dans la mesure où l'évaluation s'est appuyée très directement sur les résultats de l'exploitation de la totalité du parc nucléaire REP-EDF. (suite)
|
suite:
Il est en outre un aspect positif de la sûreté qui reste caché, c'est celui lié aux mesures prises pour améliorer la sûreté qui ont permis d'éviter des événements fâcheux, car il est en général impossible de le mettre concrètement en évidence. L'accident survenu en 1989 sur la centrale espagnole de Vandellos nous a permis cependant de confirmer a posteriori tout l'intérêt pour la sûreté des mesures prises il y a deux ans sur les tranches analogues de St-Laurent A. En effet, la décision de déplacer les circuits des échangeurs d'arrêt les aurait mis à l'abri d'une inondation comme celle de Vandellos, et nous aurait donc assuré une défense supplémentaire contre un risque de perte de refroidissement du coeur, risque qui est d'ailleûrs resté au niveau de la menace à Vandellos. Revenant maintenant aux incidents survenus en 1989, pour en commenter la signification pour la sûreté, je les regrouperai en trois catégories: conception des installations, conduite de l'exploitation et entretien des équipements importants pour la sûreté. Je pense que nous devons être particulièrement attentifs à tous les incidents qui trouvent partiellement leur origine dans des défauts indépendants de l'exploitation proprement dite, qu'il s'agisse d'erreurs de conception ou de qualifications insuffisantes. Ils peuvent en effet placer des exploitants dans des situations non prévues, où une mauvaise interprétation peut conduire à des actions aggravantes. Nous avons rencontré en 1989 plusieurs «précurseurs» de ce type d'incidents: - déterioration non prévue des grappes de commande entraînant une possibilité de blocage, c'est-à-dire le non-fonctionnement d'une sécurité essentielle, le contrôle de la réactivité, - défauts sur les piquages de pressuriseurs des tranches, avec une possibilité d'éjection du piquage, accident de brèche non isolable sur le circuit primaire, initiateur majeur potentiel d'accident grave, - fissurations circonférentielles des tubes GV, qui accroissent la probabilité de ruptures multiples, accident difficile à gérer qui aurait un impact très négatif sur l'image de la sûreté de nos centrales, - erreurs dans la modification d'un logiciel de sécurité, non décelée par l'assurance de qualité, qui ouvre la porte à des séquences non prises en compte dans la conception. Il ne faut certes pas dramatiser, et la conception des tranches REP est globalement bonne, je l'ai indiqué plus haut. Cependant nous devons rester à l'affût de tout événement qui peut indiquer un risque de perte brutale d'un équipement important pour la sûreté, ou encore de toutes les sources de cause commune, tel l'incendie ou l'inondation, qui peuvent rendre indisponibles des équipements redondants (voir l'incident Vandellos). A un autre niveau, il faut aussi attacher une grande attention au processus de modifications sur les installations, qui complique considérablement la tâche des exploitants, et dont l'expérience montre qu'il est à l'origine d'erreurs. p.7
|
Il est encourageant que Fessenheim ait su mener à
bien une mise à niveau avec un nombre limité de difficultés.
Mais sur un plan général, le retour sur la conception et
la qualité de réalisation doit rester présent à
tous les esprits si nous voulons atteindre un meilleur niveau de sûreté.
Même si aucun incident sérieux dans une de nos centrales n'a trouvé en 1989 son origine dans une erreur de conduite, c'est néanmoins toujours la conduite qui reste responsable de la plus grande partie des erreurs qui conduisent à des incidents, du simple fait que les erreurs de conduite ne sont pas facilement récupérables en temps réel. Par ailleurs, c'est une bonne préparation à la conduite en situation accidentelle qui reste notre ultime défense pour les accidents à faible probabilité, notamment à travers la mise en oeuvre des procédures ultimes. C'est pourquoi j 'ai souligné le succès de la mise en place de l'approche par états. Je considère égaiement comme très positif pour la sûreté le développement des formations par «stages de mises en situation». Le professionalisme de nos équipes de conduite doit être plus que jamais considéré comme un impératif pour la sûreté. La maintenance a été à la «une» de l'actuaiité durant l'été 89 avec les incidents Gravelines et Dampierre, qui ont mis en évidence des insuffisances dans l'assurance de qualité de certaines opérations d'entretien. La qualité reste cependant d'un bon niveau, car il y a finalement peu d'erreurs non corrigées, mais ces erreurs, même peu fréquentes, peuvent avoir des conséquences graves, en introduisant dans la centrale des modes communs, ou des défauts cachés qui ne se révèlent qu'en situation incidentelle, et peuvent alors en aggraver sérieusement le déroulement. La décision de rendre systématique l'obligation de requalification de tous les systèmes vitaux pour la sûreté répond à ce souci. Le SPT a pris conscience en outre qu'un effort important reste à faire dans le domaine de la maintenance, y compris pour la formation, comme delui qui a été fait dans les années passées sur la conduite, si on veut progresser. 2-2. Les enseignements par grands thèmes
(suite)
|
suite:
L'objectif fixé par le Directeur Général, à savoir une amélioration significative du niveau de sûreté de nos centrales, ne pourra à mon avis avoir quelques chances d'être atteint que si des progrès notables sont faits dans la qualité des hommes à tous les niveaux, leur motivation, leur «Culture de Sûreté»[2], progrès qui exigent naturellement des progrès dans les organisations et les relations de travail. Lorsque j 'essaye de résumer l'impact des organisations actuelles sur la sûreté nucléaire, c'est le mot «complexité» qui me paraît le plus approprié. Sur les sites, cette complexité est vécue comme un formalisme dont on ne saisit pas la vaieur et qui entrave la créativité et la prise de responsabilité. Entre les sites et les Services Centraux du SPT, c'est pour le moins une incompréhension certaine de ce que les uns pourraient apporter aux autres. Entre la DE et le SPT, c'est une difficulté à appréhender les responsabilités respectives et le lieu où doivent être prises les décisions. Je ne suis pas convaincu que nos structures actuelles soient à la hauteur de l'enjeu du parc nucléaire. Le métier nucléaire est très spécifique, et crée entre toutes les unités concernées un lien beaucoup plus fort que les métiers qui ont structuré l'Entreprise dans le passé. Il y a en outre à mon avis un problème de moyens, non pas global mais spécifique à certains secteurs, qui se superpose à la complexité des structures et conduit à des disfonctionnements des organisations. Plusieurs enquêtes ont mis l'accent sur la fonction «controle en temps réel». Pour ma part, je prendrai un exemple très élémentaire: l'étiquetage de matériels dans les centrales. Il est reconnu comme très défectueux, et l'expérience a démontré, s'il en était besoin, que cela ne peut qu'aggraver les risques de confusion, qui constituent une préoccupation sérieuse pour la sûreté. Qui est responsable? Les Aménagements lorsqu'ils passent la centrale à l'exploitant, ce dernier lorsqu'il remet une tranche en service après arrêt, les études qui n'ont pas prévu de supports corrects, la Direction Générale qui ne donne pas des effectifs supplémentaires...? Toute réflexion sur la sûreté ne devra pas hésiter à remettre en cause les organisations en place. Le troisième thème, celui des relations entre hommes et organisations peut lui aussi se résumer pour moi en quelques mots: il faut se libérer de la pression du temps. Les responsables opérationnels comme les exécutants veulent pouvoir réfléchir «avant» l'opération. La hiérarchie veut avoir le temps de suivre les opérations sur le terrain, et d'être à l'écoute des exécutants. Les fonctionnels veulent pouvoir réfléchir sur la doctrine, et ne pas être encombrés par les consultations en temps réel. Si on reprend la liste des incidents survenus en 1989, on verra aisément que nombre d'entre eux, sinon tous, auraient pu être évités si, à un moment, ceux qui étaient concernés s'étaient arrêtés, et avaient pris le temps de réfléchir. C'est bien sûr une question d'organisation, mais c'est plus que cela. Il faut qu'à tous les échelons chacun sache ce dont il est responsable, et que les processus décisionnels permettent de discerner entre l'important et le secondaire. Concrètement sur un site, il faut que la DE résolve les problème techniques qui peuvent l'être et qu'ainsi les exploitants puissent concentrer leurs efforts sur ce qui est de leur seule responsabilité. Il faut en outre que les Services Centraux du SPT assistent les responsables locaux grâce à leur compétence, et ne les surchargent pas de demandes dont on ne peut localement saisir l'intérêt. p.8
|
Finalement, les enseignements
généraux que je retire personnellement de l'expérience
d'exploitation 1989 sont très classiques. Ils portent sur des questions
qui doivent être bien traitées pour améliorer l'efficacité
d'une Entreprise quelle qu'elle soit. J'y ajouterai qu'il faut dans notre
cas que la sûreté soit effectivement mise au premier plan,
non seulement dans les mots, mais aussi dans les esprits.
2-3. Réflexions complémentaires
(suite)
|
suite:
Je voudrais enfin qu'on garde présent à l'esprit que le fossé qui sépare toujours la réalité de la sûreté nucléaire et la perception qu'en ont les élus et le public est potentiellement une source de sérieuses difficultés. J'ai déjà dit que l'affirmation d'indépendance du SCSIN, par des critiques dures de la manière dont EDF exploite ses centrales, a surtout conduit le public à perdre la confiance qu'il avait dans l'exploitant nucléaire. L'utilisation de l'échelle de gravité comme instrument de pression du SCSIN sur EDF me paraît un grave détournement d'un outil qui ne sera un bon vecteur médiatique que s'il s'appuie sur la vérité des faits et de la technique. TROISIEME PARTIE
3-1. La politique de sûreté EDF
p.9
|
3-2. L'évaluation du niveau de
sûreté de nos installations
Lorsqu'on se fixe des objectifs, il faut également disposer d'un instrument de mesure. Il me paraîtrait nécessaire qu'EDF se dote d'un outil performant lui permettant d'évaluer en permanence le niveau de sûreté de ses installations, en fonction de l'expérience d'exploitation, et notamment des incidents, dont on cherchera à évaluer objectivement la gravité. Cet outil comporterait une évaluation probabiliste en temps réel de la sûreté de chaque installation, construite à partir de l'acquis de l'EPS et intégrant de façon vivante le retour d'expérience. C'est une tâche importante. Il aura fallu quatre ans pour aboutir sur l'EPS, et sa transformation en outil opérationnel convivial peut demander un délai comparable, sous réserve que les Directions Opérationnelles y consacrent un effort du même ordre. Un tel outil, qui devrait être aussi disponible pour les Autorités de Sûreté et leurs soutiens techniques, permettrait de fonder le nécessaire dialogue technique sur des évaluations concrètes de l'importance relative de tel ou tel problème, et même de sa contribution au risque global en valeur absolue. Ainsi d'une part on répondrait à cette exigence fondamentale de la sûreté, qui est de discriminer l'essentiel de l'accessoire, mais aussi on pourrait débarrasser le dialogue technique de certains effets pervers actuels, tel que la prise en compte systématique du jugement d'expert le plus pessimiste. 3-3. Une culture de sûreté intégrée
dans le Projet d'Entreprise
Pierre TANGUY
1. La question des Indicateurs de Sûreté est traitée
au Chapitre 1 du Rapport.
8 janvier 1990 2. Une fiche sur le thème «Culture de Sûreté» figure dans le rapport joint. 3. IGSN 89-0611. (suite)
|
suite:
SUR LES TRANCHES REP EN FRANCE Parmi les incidents marquants survenus en 1989, aucun n'a eu de conséquences effectives, compte tenu des systèmes de sûreté existants et des lignes de défense successives. Ils mettent néanmoins en lumière des points faibles potentiels, concernant soit des anomalies de comportement de matériels, soit les pratiques d'exploitation, auxquels il faut remédier et dont tous les enseignements doivent être tirés dans le cadre du retour d'expérience. I. Evolution d'ensemble - Incidents significatifs
Les arrêts d'urgence
Les incidents liés à une défaillance humaine
Les incidents de non respect des spécifications techniques
Les incidents en arrêt de tranche
p.10
|
Une analyse par origine et par
cause révèle les aspects suivants:
· La conduite et les automatismes sont à l'origine de la grande majorité des incidents significatifs et une part plus faible est liée à la maintenance. Ceci est probablement dû au fait que les interventions de maintenance sont généralement suivies d'une requalification, et d'une remise en service, qui permettent de détecter les anomalies éventuelles avant restitution du matériel et avant qu'il ne soit requis pour la sûreté. · Les défauts de préparation des activités (conduite, automatismes ainsi que, dans une moindre mesure, maintenance) et leur planification, constituent une part importante des incidents rencontrés. II. Les thèmes forts qui émergent des
incidents marquants en 1989
(suite)
|
suite:
· Blocage en mauvaise position d'une vanne RIS à Dampierre (1988); · Le décalage de la pression d'ouverture des soupapes du circuit primaire à Gravelines (niveau 3); · L'indisponibilité partielle du circuit de ventilation de l'enceinte à Dampierre, mettant en cause l'efficacité de la recombinaison d'hydrogène en cas de brèche du circuit primaire (niveau 2). Ces deux incidents ont révélé deux caractéristiques communes aggravantes: · ils résultent chacun d'une intervention menée simultanément sur des voies redondantes et ont créé un mode commun de défaillance; · ils n'étaient suivi d'aucune requalification ou vérification complémentaire avant redémarrage. Les enseignements tirés de ces deux incidents concernent en particulier la gestion des dispositifs provisoires d'intervention, la systématisation des essais de requalifcation et de procédure de vérification avant redémarrage. Une réflexion approfondie est en cours sur l'organisation et l'adaptation de moyens, en particulier dans le domaine de la maintenance, afin d'améliorer nos pratiques pour en faire autant de lignes de défense et pallier les risques d'erreur par la prévention et l'anticipation. Des mesures concrètes seront définies pour l'année 1990. Des actions sont également nécessaires pour développer une culture de sûreté permettant d'en saisir les aspects essentiels et pour clarifier les règles de sûreté et qualité afin d'adapter le niveau des exigences de qualité des activités à leur importance pour la sûreté. III. Conclusion L'évolution du nombre des incidents
significatifs, notamment dans certains domaines spécifiques tels
que les arrêts d'urgence, associée à un contexte général
de transparence accrue, montre une tendance globale vers une amélioration
de la sûreté et de la qualité en exploitation.
p.11
|