G@zette N°181/182
LE BLAYAIS
III- dossier IPSN
AUTORITÉ DE SÛRETÉ NUCLÉAIRE
le 11/01/2000
Incident de niveau 2 sur le site du Blayais
(cliquer sur les images pour taille MAXI.)
| Le 29 décembre
1999, l'Autorité de sûreté nucléaire a décidé
de classer au niveau 2 sur l'échelle internationale des événements
nucléaires (INÈS) un incident qui s'est déroulé
le 27 décembre 1999 sur les réacteurs 1 et 2 de la centrale
du Blayais.
1 - Les faits : A la suite de la tempête qui a eu lieu le lundi 27 décembre 1999 dans la soirée, trois des quatre réacteurs du site du Blayais ont été successivement mis à l'arrêt entre 21h00 et 0h30. L'Autorité de sûreté en a été informée peu avant 23 heures et a suivi ensuite heure par heure l'évolution de la situation. Le réacteur 3 se trouvait déjà à l'arrêt pour maintenance. En raison de conditions de vent et de marée exceptionnelles, de l'eau en provenance de la Gironde est passée par dessus la digue de protection du site. Il en a résulté une entrée d'eau importante dans les sous-sols de certains bâtiments des réacteurs 1 et 2 par l'intermédiaire de galeries techniques souterraines non conçues pour interdire le passage d'eau. La situation s'est aggravée vers 8h30 le 28 décembre quand le système de refroidissement par l'eau de Gironde a été partiellement atteint. EDF a alerté les pouvoirs publics et, à la demande de l'Autorité de sûreté nucléaire, a déclenché le plan d'urgence interne à 9h00. Le 28 décembre 1999. L'Autorité de sûreté et son appui technique, l'Institut de Protection et de Sûreté Nucléaire, ont activé leur organisation de crise afin de pouvoir suivre, dans les meilleures conditions, l'évolution de la situation sur la centrale du Blayais. L'Autorité de sûreté a diffusé successivement huit communiqués de presse entre le mardi 28 décembre 10h30 et le jeudi 30 décembre 1999 et régulièrement mis à jour son site minitel "3614 MAGNUC". Tous ces communiqués ont été mis en ligne en temps réel sur le site internet de la DRIRE Aquitaine. L'inondation a entraîné la perte d'une des deux voies du système de refroidissement par le fleuve du réacteur 1 ainsi que l'indisponibilité de deux systèmes de sauvegarde des réacteurs 1 et 2, à savoir le système d'injection d'eau de sécurité dans le réacteur (circuit RIS) et le système d'aspersion de l'enceinte du réacteur (circuit EAS). L'inondation a également touché des équipements électriques en sous-sol. En raison, d'une part de la dégradation notable de la fiabilité de matériels importants pour la sûreté, et d'autre part de l'indisponibilité totale de plusieurs systèmes de sauvegarde, l'incident, d'abord classé au niveau 1 de l'échelle INÈS, a été reclassé au niveau 2 par l'Autorité de sûreté le 29 décembre au matin. Pour autant, l'Autorité de sûreté nucléaire considère qu'à aucun moment la situation n'a été menaçante, plusieurs lignes de défense étant toujours restée disponibles. Il s'agit du troisième incident de niveau 2 en France en 1999, le premier étant l'irradiation d'un agent EDF sur le site du Tricastin en mars 1999 et le deuxième étant les anomalies affectant la fiabilité des groupes électrogènes de secours de 1300 MWé déclarées en octobre 1999. 2- La situation présente : Le 11 janvier 2000, la situation sur le site du Blayais est la suivante : - Les travaux de pompage se sont terminés dans la nuit du 29 au 30 décembre 1999 et les opérations de nettoyage sont achevées ; une première expertise réalisée sur la digue, les locaux et les matériels affectés ; - La redondance du système de refroidissement du réacteur 1 par l'eau du fleuve a été rétablie le 30 décembre 1999 ; des travaux de remise en état provisoire ont été immédiatement engagés sur une voie du système d'injection de sécurité et une voie du système d'aspersion de l'enceinte de chaque réacteur : ils se sont achevés le 6 janvier 2000. - Ces premières actions ont permis à l'Autorité de sûreté d'autoriser, après analyse par son appui technique, l'IPSN, le 10 janvier 2000, le passage des réacteurs n°1 et 2 dans un état d'arrêt à froid afin de réaliser, dans une situation stable, une réparation complète des équipements affectés par l'inondation. Le passage effectif dans cet état d'arrêt à froid interviendra dans les prochains jours. - EDF s'est par ailleurs engagé à mettre en place une première série d'actions correctives vis-à-vis du risque d'inondation avant les prochaines grandes marées qui interviendront le 21 janvier 2000. Le redémarrage des deux réacteurs n°1 et 2, soumis à l'autorisation de l'Autorité de sûreté, ne pourra intervenir que lorsque tous les équipements auront été remis en l'état et que l'exploitant aura fourni des garanties suffisantes vis-à-vis de la maîtrise du risque d'inondation sur le site du Blayais. 3 - Les premiers enseignements sur la gestion de la crise L'Autorité de sûreté considère de manière générale que la gestion de la crise par EDF, par l'IPSN et par elle-même a été conformément à ce qu'exigeait l'état des installations affectées : - L'information de l'Autorité de sûreté par EDF pendant la nuit du 27/28 décembre a été rapide, complète et régulière. - Le déclenchement du PUI niveau 1 par EDF a été tardif. Ce plan aurait dû être déclenché dès 23 heures. En pratique, ceci n'aurait rien changé à la conduite des opérations. (suite)
|
suite:
- Le déclenchement anticipé du PUI niveau 2 est intervenu au bon moment, quelques minutes après la constatation d'une dégradation de la situation. - La mobilisation du personnel EDF, d'astreinte ou non, a été excellente et la conduite des opérations par EDF au niveau local est apparue efficace. - Les pompiers extérieurs, bien que largement occupés par ailleurs, sont intervenus très rapidement quand ils ont été requis. - La constitution des équipes de crise nationale s'est faite dans des délais prévus, sans difficulté majeure malgré la période de congés. - Les contacts avec les correspondants institutionnels de l'Autorité de sûreté ont été assurés de façon continus. 4 - Les premiers enseignements sur la prévention des problèmes d'alimentation électrique Les quatre réacteurs de la centrale du Blayais ont été affectés à des degrés divers par des problèmes d'alimentation électrique. Ceci ne constitue pas l'aspect majeur de l'incident dans la mesure où la défaillance de l'ensemble des alimentations externes est un événement prévu, et où tous les dispositifs de secours ont fonctionné normalement. Plusieurs dysfonctionnements ont toutefois été relevés, notamment dans les dispositifs devant permettre l'alimentation d'un réacteur par un autre. Ces anomalies devront être analysées de manière approfondie et conduire le cas échéant à des modifications des installations sur le site du Blayais, mais aussi sur les autres sites EDF. 5 - Les premiers enseignements sur la prévention des risques d'inondation Cet incident montre que la prévention du risque d'inondation sur le site du Blayais était insuffisante. Sur deux aspects, au moins, les événements ont montré que le rapport de sûreté présenté à l'Autorité de sûreté n'était pas respecté : - les digues de protection contre l'entrée d'eau sur le site étaient insuffisantes, - les galeries techniques souterraines ont permis la propagation généralisée de l'inondation dans les sous-sols des bâtiments des réacteurs 1 et 2. Sur le premier aspect, les insuffisances de la digue étaient connues puisque, après une première réévaluation et rehausse de digue réalisée au début des années 80, une révision des études avait conclu en 1998 à la nécessité de rehausser à nouveau cette digue. Une inspection réalisée le 10 novembre 1999 avait conduit à demander à EDF de s'expliquer sur les délais de réalisation de ces travaux. Il apparaît aujourd'hui que cette dernière réévaluation était elle même probablement insuffisante. Sur le deuxième aspect, les affirmations selon lesquelles les bâtiments sont isolés des galeries techniques doivent aujourd'hui être considérées comme inexactes. Sur ces deux aspects, il conviendra qu'EDF améliore significativement le niveau de sûreté. Les améliorations nécessaires devront être apportées non seulement sur le site du Blayais, mais aussi, le cas échéant, sur les autres sites qui pourraient être affectés par des inondations. 6 - Les premiers enseignements sur l'information du public L'Autorité de sûreté à émis 9 communiqués de presse concernant cet événement, le premier dès 10h30 le 28 décembre. Ces communiqués étaient en adéquation avec la communication normale en cas d'incident de niveau 2, étant entendu qu'il n'a jamais été nécessaire d'envisager la moindre action de protection des populations. Ces communiqués étaient repris, sur le champ, sur le serveur télématique de l'Autorité de sûreté (36-14 MAGNUC), sur le serveur Internet de la DRIRE Aquitaine et étaient naturellement adressés à tous les médias (50 destinataires environ). Par ailleurs, un point précis de la situation a été fait à 3 reprises lors des conférences de presse tenues par le préfet délégué à la sécurité de la Gironde dans le cadre de la crise "tempête". Une de ces conférences de presse a porté presque exclusivement sur la situation du Blayais. Enfin, tous les médias nationaux étaient présents lorsque la DRIRE a fait un point de la situation, devant le ministre de l'intérieur venu visiter le centre de crise de la préfecture de Gironde. Force est de constater que ces actions d'information n'ont rencontré que peu d'échos de la part des médias, concentrés sur les conséquences plus directement perceptibles de la tempête, et que le public n'a pas été informé suffisamment et rapidement de cet incident sérieux. L'Autorité de sûreté considère également comme anormal que l'information n'ait pas été transmise immédiatement à tous les élus locaux et membres de la Commission locale d'information du Blayais. L'Autorité de sûreté souhaite vivement que toutes les leçons de cet incident soient tirées en associant les représentants des médias, des membres de Commissions locales d'information, des associations et des élus locaux, afin de déterminer les meilleures formes et voies d'information du public dans un contexte de saturation médiatique. p.15 |
| Dans l'estuaire de la Gironde
le 27 décembre au soir, sous l'effet de la tempête avec vents
violents et pression barométrique au plus bas mais avec un coefficient
de marée relativement faible de 77, des vagues sont passées
au-dessus de la digue de protection de la centrale et ont inondé
des galeries souterraines. La conjonction de la tempête, d'erreurs
de conception minimisant le risque d'inondation dès la construction
de la centrale, aggravées par la non-réalisation par EDF
des travaux de rehausse de la digue et de remise en état demandés
par l'Autorité de Sûreté et la conséquence :
un incident très grave. Il est ainsi montré que la DSIN n'a
pas de pouvoir réel vis-à-vis d'EDF, et les autorités
de tutelle (ministère de l'industrie et ministère de l'environnement)
ne sont guère d'un grand secours. Elle doit accepter finalement
les conditions d'EDF, mais les travaux envisagés auraient de toute
façon été insuffisants. Les 90 millions de litres
d'eau de la Gironde passés par dessus bord ont inondé l'installation
rendant indisponibles des circuits vitaux pour la sécurité
des réacteurs avec mise en œuvre dans la centrale du PUI niveau
1 (plan d'urgence interne conventionnel), reclassé par l'autorité
de sûreté en PUI niveau 2 (PUI radiologique intérieur)
avec, pour la première fois, mise en place en temps réel
d'une organisation nationale de crise [1] avec collaboration entre EDF
et la Direction de la Sûreté des Installations Nucléaires
(DSIN) et de son appui technique l'Institut de Protection et de Sûreté
Nucléaire (IPSN). Cela aurait pu être pire et cela a été
souligné quelques jours plus tard.
Rappelons que c'est un article publié le 5 janvier par le journal Sud-Ouest qui a révélé la gravité de l'incident avec un titre rétrospectivement alarmiste " Très près de l'accident majeur " et dans le sous-titre " le scénario catastrophe a été évité de justesse ". Bien sûr l'habitude des rédactions est " d'accrocher " le lecteur, mais l'article n'était pas une élucubration de journaliste car il rapportait les explications d'un représentant local des autorités de sûreté, (un responsable de la division nucléaire à la DRIRE de Bordeaux -Direction régionale de l'industrie, de la recherche et de l'environnement-) et qui montraient la gravité de l'incident et comment il aurait pu dégénérer avec possibilité de fusion du cœur. Pourquoi l'information est-elle sortie 8 jours après l'événement ou, autre éclairage, n'est-elle sortie que 8 jours après ? EDF et DSIN avaient bien émis des communiqués de presse les jours précédents, (le premier communiqué de la DRIRE est du 28 décembre) mais d'une façon si laconique pour le profane parmi les nouvelles des ravages visibles de la tempête, que personne n'avait soupçonné l'importance de ce qui s'était passé et cela n'avait pas suscité la curiosité des journalistes. D'un côté il fallait quand même bien faire savoir à l'extérieur du cénacle que la gestion par EDF et la DSIN d'un événement potentiellement très grave avait été un succès d'où l'article de Sud-Ouest. D'un autre côté il ne fallait pas non plus trop affoler le public ce qui explique que par la suite, conformément à la routine, les efforts ont plutôt consisté à calmer le jeu. Alors qu'on peut se demander comment les choses auraient tourné si, pur hasard, au lieu d'un coefficient de marée de 77 il avait été de 118 avec le plus fort de la tempête au moment des plus hautes eaux, si la crainte du méchant " bug 2000 " n'avait pas conduit à réviser au préalable tous les groupes électrogènes et à mobiliser toutes les compétences tant à EDF qu'à la DSIN et à l'IPSN avec un personnel sur le qui-vive à la centrale… (suite)
|
suite:
Communiqués et dossiers de presse ont été publiées depuis par EDF [2], l'IPSN [3] [4] et des articles sont parus dans la presse [5]. Un rapport d'EDF concernant cet " incident significatif " a été remis dernièrement à la DSIN et l'IPSN analyse les données informatiques enregistrées à la centrale. Plus prosaïquement nous tentons dans ce dossier de donner quelques informations résultant d'une enquête. En recoupant les renseignements que nous avons obtenus de diverses sources, voire de leurs contradictions, nous essaierons de pointer les " trous " de l'information révélateurs de conditions qui auraient pu conduire à une situation difficilement maîtrisable. Dans d'autres circonstances cet incident aurait pu dégénérer en accident grave avec fusion du cœur et rejets radioactifs importants dans l'environnement. Apparemment ce n'était pas un scénario prévu, les vagues n'étaient pas prévues, la perte conjointe de circuits de sauvegarde non plus. Il importe donc d'essayer d'y voir un peu plus clair ne serait-ce que pour tenter d'évaluer la confiance que l'on peut avoir dans les études de sûreté et les gestionnaires du nucléaire. Quelques généralités La centrale nucléaire du Blayais comporte 4 tranches de 900 MW. Les travaux ont commencé en 1976 (réacteur-1) et 1977 (réacteurs-2,3,4) et les réacteurs ont été couplés au réseau successivement en 1981, 1982 et 1983 pour Blayais-3 et 4. Les deux décrets de création [6] mentionnent la protection contre le risque sismique mais dans le paragraphe traitant de la protection contre les agressions de l'environnement le risque d'inondation n'est pas même mentionné. Ce n'est qu'en 1984 que sera énoncée la Règle Fondamentale de Sûreté relative à la " prise en compte des inondations d'origine externe " [7]. L'estuaire de la Gironde, le plus grand d'Europe (800 km2), s'étend profondément à l'intérieur des terres. Le phare de Cordouan est à l'entrée de l'estuaire et le chenal de navigation longe depuis la Pointe de Grave la rive gauche de l'estuaire qui borde les vignobles célèbres du bordelais, jusqu'à Bordeaux (le Port Autonome de Bordeaux regroupe plusieurs sites portuaires le long de l'Estuaire Girondin -Verdun, Pouillac, Blayes, Ambes, Marquis, Bassens, Bordeaux), sur la Garonne, à 95 km de l'embouchure de l'estuaire. Pour les impératifs de navigation le Port Autonome a installé tout le long de la Gironde en rive gauche un réseau de 9 marégraphes émetteurs qui donnent toutes les 5 minutes la hauteur de marée du lieu [8]. Rappelons que la centrale nucléaire du Blayais située à 45 km de l'embouchure a été construite sur des marais de la rive droite (ayant nécessité des travaux de fouille, pieutage etc.) ce qui n'est certainement pas l'idéal pour une installation de ce genre en dehors du faible prix du terrain, à environ 25 km en aval du Bec d'Ambès, confluence de la Garonne et de la Dordogne. L'estuaire de la Gironde représente un système hydrologique très complexe et il est considéré que les marées sont déterminantes pour la prévision des niveaux d'eau en Gironde au niveau du Blayais, l'apport Dordogne et Garonne étant relativement peu important en aval du Bec d'Ambès. Il n'y a pas de marégraphe à proximité du site ni de houlographe. EDF a ses propres stations météo mais celle du Blayais est tombée en panne lors de la tempête du 27 décembre dernier. Les deux stations marégraphiques du Verdon et du Richard, les plus proches de l'embouchure, émettent vers la centrale " pour déclenchement d'alarme en cas de surcote de marée exceptionnelle " [8]. p.16
|
| Nous allons montrer qu'EDF a sous-estimé
dès le départ le risque lié à l'inondation
externe en ne tenant pas compte des données existantes, puis a mégoté
sur les remèdes à apporter mais que ces " remèdes
" auraient été dérisoires. Nous tenterons d'estimer
la hauteur de la protection qui aurait été nécessaire
si on envisage des conditions plausibles plus défavorables que celles
rencontrées le 27 décembre 1999.
L'INONDATION Nous n'avons pas réussi à obtenir le dossier de sûreté relatif à la construction de la centrale, ni à le consulter. Les spécialistes du Laboratoire National Hydraulique d'EDF et du Centre d'ingénierie générale d'EDF nous ont précisé que ce dossier comportant 2 gros tomes était destiné à l'administration de tutelle. Même manque d'empressement de la part de l'IPSN dont les experts vérifient les calculs d'EDF. Plusieurs interlocuteurs nous ont fait remarquer qu'à l'époque "ils étaient en culottes courtes" ! S'il subsiste peu de témoins oculaires espérons qu'il y a eu un meilleur archivage concernant les calculs de cette plate-forme et sa construction que dans le cas des échantillons témoins de l'alliage Inconel 600 ayant servi à fabriquer les manchons de couvercles de cuves, archivage quasiment inexistant révélé lors de l'analyse des causes de la fissuration des manchons (Gazette Nucléaire 125/126, avril 1993) ayant conduit au remplacement des couvercles de cuves…Ce problème de perte de la mémoire des installations peut devenir important lorsqu'elles vieillissent. 1) L'altitude (ou cote) de la plate-forme de l'îlot nucléaire est rapportée au niveau de référence terrestre représenté par le niveau moyen du plan d'eau à Marseille, qui est par définition à 0 mètre d'altitude de la carte du " Nivellement Général de la France " (NGF). Les repères de nivellement ont été réactualisés par l'Institut Géographique National en 1969 (système IGN69). Cependant, tout le monde (EDF, DSIN, IPSN, Port autonome de Bordeaux) raisonnant encore avec le système précédent dit " système Lallemand NGF" nous ferons de même et les cotes seront estimées en mètres NGF (mNGF). D'après EDF et la DSIN la plate-forme de la centrale du Blayais a été érigée à 4,50 mNGF. Pour savoir si elle est bien dimensionnée vis-à-vis du risque inondation il faut la comparer au niveau des plus hautes eaux déjà observées ou susceptibles d'être rencontrées dans l'estuaire. 2) Le risque d'inondation et les niveaux d'eau en Gironde pris en compte lors de la construction Quelle était la règle au moment où les travaux ont commencé en 1976 ? On remarquera que les travaux de construction de la quasi-totalité des réacteurs actuellement en service ont démarré avant la parution de la Règle Fondamentale de Sûreté sur la "Prise en compte du risque d'inondation d'origine externe" [7]. On compte 7 réacteurs, Cattenom-4, Golfech-2, Penly-2 et les 4 réacteurs du palier N4 de Chooz et Civaux dont la construction a démarré après, mais les plates-formes de Penly, Golfech et Cattenom étaient déjà faites. Reste donc uniquement le palier N4 qui devrait être aux normes de la RFS. L'édition publique de janvier 1982 des textes du Rapport de sûreté commun à toutes les tranches du palier 900 MW s'applique à la centrale du Blayais dont les 4 réacteurs ont divergé avant cette date. Au chapitre d'une demie page seulement relatif à la protection contre les inondations [9] on peut lire qu' "Afin de respecter les trois objectifs fondamentaux de sûreté tous les matériels (structures et composants) liés à la sûreté –c'est à dire ceux des systèmes de sauvegarde, des systèmes nécessaires au refroidissement du réacteur, des systèmes de confinement radioactifs- sont protégés de la " crue majorée de sécurité". Nous verrons que ces objectifs n'ont pas été tous respectés lors de l'inondation. (suite)
|
suite:
Le cas des estuaires n'est pas traité comme un cas particulier. Il n'est question que des sites fluviaux et des sites en bord de mer. Pour les sites en bord de mer la "crue majorée de sécurité " correspond à la conjonction de marée maximale (coefficient 120) avec la surcote millénaire ". Au Blayais, EDF et la DSIN indiquent une "cote majorée de sécurité" de 4 mNGF pour une hauteur de plate-forme placée finalement à 4,5 mNGF. Voyons donc si ces valeurs sont " conservatives " par rapport aux niveaux d'eau observés. 3) Les hauteurs d'eau et les surcotes observées. Attention, les marégraphes ne donnent aucune indication sur les vagues. Soulignons tout de suite que beaucoup de personnes, y compris des experts en sûreté, ignorent que les marégraphes, dont les indications doivent servir à la navigation dans le chenal, ne donnent aucune indication sur l'agitation du plan d'eau car ils sont pourvus d'un amortisseur tel qu'ils ne renseignent que sur le niveau moyen horizontal du plan d'eau. Donc, aucune indication en Gironde sur le "clapot" et les vagues. Le Service Hydrographique et océanographique de la marine (SHOM) de Brest a un répertoire des plus forts coefficients de marée rencontrés au printemps et en automne depuis 1898 qui nous a été transmis. En simplifiant, disons que les prédictions des plus hautes eaux (et des plus basses eaux) qui figurent dans l'annuaire des marées du Port Autonome de Bordeaux, sont calculées par le SHOM à partir d'un modèle spécifique à l'estuaire de la Gironde tenant compte de la topographie locale pour des conditions météorologiques normales (temps calme, pression barométrique à 760 mm de mercure). Les services du Département hydrographique du Port Autonome de Bordeaux enregistrent en continu les hauteurs d'eau dans les différentes stations de mesures marégraphiques situées sur la rive gauche dont celles du Verdon, Richard, Pauillac, et donc, pour chaque marée, les niveaux réels des plus hautes eaux qui dépendent de chaque lieu et des conditions météorologiques de vent et de pression barométrique. Ces niveaux sont ensuite comparés aux niveaux d'eau prévus par le SHOM en chacun des endroits. La différence de ces deux niveaux d'eau est la surcote (il peut y avoir décote). Les surcotes les plus importantes observées ne correspondent pas obligatoirement aux coefficients de marée les plus élevés. Si les stations du Verdon, la plus proche de l'embouchure de l'estuaire, et celle du Richard servent d'alarme en cas de " niveau haut de la Gironde ", ce sont les hauteurs d'eau enregistrées en face du Blayais à Pauillac (à 2,4 km en amont) qui fournissent la base de données pour la centrale en ce qui concerne les phénomènes hydrologiques. Ce qui importe ici pour le positionnement de la plate-forme c'est l'altitude (cote terrestre) en mètres NGF correspondant aux niveaux d'eau observés en Gironde, qui, eux, sont définis par rapport à des références hydrographiques. Dans l'estuaire la référence est le zéro d'étiage du lieu. (Voir annexe 1). Si l'on prend la définition donnée dans les documents publics de 1982, il faut évaluer la "crue majorée de sécurité" à partir de la marée de coefficient 120 et de la surcote millénaire (plus tard on dira millénale). Marée de 120 et surcote millénaire On dispose d'un échantillon historique de hauteurs prévues pour les marées. Entre 1900 et 1975 le Port autonome nous a fourni quelques données de coefficients extrêmes sur Pauillac : -2 coefficients 119 (3 mars 1900 et 14 mars 1918) hauteurs de 6 m et 5,90 m -4 coefficients 118 (automne 1935 et printemps 1949, 1967, 1975) de hauteurs toutes prévues à 5,85 m. Ces hauteurs d'eau correspondent à des altitudes comprises entre 3,30 et 3,45 mNGF (Annexe 1). Nous donnons ci-après quelques exemples des plus fortes surcotes (Table 1) et des plus hauts niveaux observés à Pauillac (Table 2). p.17
|
Table 1 : Quelques exemples des plus fortes surcotes
observées
Considérons maintenant parmi les plus hauts niveaux (Table 2) ceux observés à Pauillac avant 1975 : il y a au moins deux niveaux d'eau auxquels correspondent une altitude supérieure à 4 mètres en 1937 et 1941 laissant une marge de sécurité ridiculement faible pour la valeur choisie par EDF pour positionner la plate-forme : Table 2 : Les plus hauts niveaux observés à Pauillac
* Voir Annexe 1.
(suite)
|
suite:
Suite à l'incident du Blayais, la quasi-totalité des centrales devant être vérifiées pour le risque d'inondation [4] nous donnons succinctement l'ensemble des définitions des C.M.S. 1) Définitions de la Cote majorée de sécurité a) Cote majorée de sécurité pour les sites fluviaux : Il faut déterminer la relation entre les débits et les hauteurs d'eau. La C.M.S est le plus haut des 2 niveaux suivants : -niveau atteint par le débit d'une crue millénale majoré de 15% -niveau atteint par le débit résultant de la conjonction de la plus forte crue connue, ou de la crue centennale si elle est plus importante et de l'effacement de l'ouvrage de retenue le plus contraignant. b) Cote majorée de sécurité pour les sites en bord de mer : elle correspond à la conjonction de la marée maximale calculée (de coefficient 120) et de la surcote marine millénale. c) Cote majorée de sécurité en estuaire. Elle est le plus haut des 3 niveaux suivants : -niveau atteint par la conjonction de la surcote marine millénale et de la marée de coefficient 120 -niveau atteint par la conjonction de la crue millénale fluviale et de la marée de coefficient 120 -niveau atteint par la conjonction de la plus forte crue fluviale connue etc. (comme indiqué précédemment pour les sites fluviaux) et d'une marée moyenne de coefficient 70. Pour la centrale du Blayais on considère le 1er des 3 niveaux, surcote marine millénale et coefficient 120. (Le coefficient maximum observé en Gironde est de 119). Il est précisé qu'un système d'alerte sera prévu "pour permettre la mise à l'état sûr des réacteurs nucléaires dans des délais compatibles avec la montée des eaux". Lors de la récente tempête un signal de hautes eaux émis par la station du Verdon, la plus proche de l'embouchure de l'estuaire de la Gironde, a été transmis au réacteur-4 et il a été dit qu'il n'aurait pas été retransmis aux autres tranches. On peut se demander pourquoi c'est le réacteur le moins susceptible d'être inondé qui était chargé de recevoir cette information et pas les tranches 1 et 2 les plus concernées. Il n'y a pas eu mise en conformité du site après la parution de cette règle fondamentale de sûreté de 1984 puisqu'il n'y a pas eu obturation des voies d'accès de l'eau situées au-dessous du niveau de calage de la plate-forme. On a pu constater, lors de la tempête, que les galeries souterraines n'ont pas été protégées. 2) Les modifications apportées à l'installation a)Première réévaluation. Suite à la parution de la règle de sûreté une réévaluation a été effectuée. "Pour la centrale du Blayais, la cote majorée de sécurité a été examinée en 1980, à partir de 21 années d'enregistrement de marée à Pauillac (de 1957 à 1977) et en tenant compte du volume de stockage des marais en aval de la centrale en cas de débordement de la Gironde. La CMS révisée était comprise entre 4,83 et 4,96 m NGF EDF a alors proposé la réalisation d'une digue tout autour de la centrale, calée à 5,20 mNGF pour la partie à proximité de la Gironde et à 4,75 mNGF ailleurs" [1]. D'après les renseignements fournis par l'IPSN, la cote majorée de sécurité a été définie de la manière suivante : Marée de coefficient 120 3,22 mNGF Surcote millénaire 2,04 Écrêtement due aux marais - 0,36 D'où la C.M.S 4,90 mNGF (de 4,83 à 4,96 mNGF) La digue construite pour protéger le site est calée à 5,2 mNGF et rehausse la protection côté Gironde de 0,70 m. Ceci laisse 30 cm seulement au-dessus de la valeur moyenne de la C.M.S. Plusieurs sujets d'étonnement : -tenir compte d'un "écrêtement" dû aux marais situés en aval. Il n'a donc pas été envisagé qu'il puisse y avoir une saison des pluies telle que les marais soient gorgés d'eau au point d'être incapables d'en "stocker" davantage ? -l'intervalle de confiance de la surcote déterminée d'une manière probabiliste est de 6,5 cm seulement autour de la valeur moyenne. Ce point sera discuté ci-après. -pour la marée de 120 le niveau d'eau atteint a été considérée comme correspondant à une cote terrestre de 3,22 mNGF. Or à une hauteur d'eau de 6 m ayant été observée en 1900 pour un coefficient 119 il correspondait une cote terrestre de 3,45 mNGF ! b) Deuxième réévaluation [1]. A la demande de l'Autorité de sûreté un réexamen de la sûreté a été engagé à partir de 1990, la CMS a été établie à 5,46 mNGF et EDF a proposé de rehausser la digue de 50 centimètres dans son rapport de sûreté de 1998 soit à 5,70 mNGF. p.18 |
| Or, non seulement il y a eu en
1995 et 1996 des niveaux d'eau très élevés en Gironde
comme le montre le tableau 2, mais l'annuaire des marées du Port
Autonome indique, d'après les calculs du SHOM, qu'en 1998, pour
la marée de 118 du 29 mars au matin était prévue une
hauteur d'eau de 6,25 m soit 3,66 mNGF, plus élevée que toutes
les marées de 118 et 119 observées antérieurement
(cet écart serait compatible avec la modulation diurne de la marée,
pour un même coefficient la hauteur d'eau prévue peut varier
entre marée du matin ou du soir. Cela n'est pas dû à
l'introduction d'une méthode différente de calcul de l'amplitude
des marées). Or EDF a encore tergiversé pour n'effectuer
les travaux qu'en 2000 puis les a reportés en 2002 à la visite
décennale [5].
Nota : à propos de la méthode probabiliste et de l'estimation de la surcote millénale (le même genre d'analyse est effectué pour les débits de crues des fleuves, [10]). Très schématiquement : on dispose d'un échantillon historique de surcotes à partir des mesures effectuées dans les stations marégraphiques. On se fixe un seuil de surcote et on regarde toutes les surcotes supérieures à ce seuil. On crée un modèle probabiliste avec une loi mathématique représentant cet échantillon de surcotes avec leur fréquence : tous les ans (fréquence 1) il y a eu N événements avec une surcote de x mètres, tous les 10 ans (fréquence annuelle 0,1) il y a eu tant d'événements avec une surcote de tant de mètres, et on extrapole à la fréquence 0,001 correspondant à la surcote millénale. On doit tenir compte d'incertitudes : sur les mesures effectuées, sur le choix du modèle statistique, sur la taille de l'échantillon statistique et sur sa représentativité. Étant donné ces incertitudes on adopte un intervalle de confiance à 70% entourant la valeur moyenne de la surcote millénale calculée. On prend la borne supérieure de l'intervalle. On pense avoir été très conservateur … et on voit le résultat des courses avec ce qui s'est passé au Blayais ou, en plus, on n'a pas tenu compte des vagues ! A propos de l'incertitude : lors de la tempête il a été mesuré une surcote de 1,64 m au Verdon par le marégraphe du service d'alarme des crues du Bassin Garonne-Adour alors que celui du Port Autonome de Bordeaux a mesuré au Verdon 1,55 m (après la tempête les données ont été récupérées dans la mémoire de l'enregistrement, voir annexe 2). Il y a donc un écart de 9 cm alors que la borne supérieure de la plage à 70% du calcul de la CMS est à 6 cm seulement de la valeur moyenne. On remarquera qu'en épidémiologie il faut toujours prendre un intervalle de confiance de 95% et là, il est admis qu'EDF ne prenne que 70% ce qui diminue l'intervalle et abaisse la borne supérieure de la plage. Ceci est beaucoup moins pénalisant pour l'altitude de la plate-forme qui coûte moins cher à construire. Pourquoi l'autorité de sûreté a-t-elle accepté ce 70% ? Est-ce le fruit d'une "transaction"? Il est vrai que cela n'aurait pas suffi pour empêcher l'inondation mais cela montre de quel côté penche toujours la balance lorsqu'il s'agit de sûreté. La sûreté ne fait pas le poids vis-à-vis des impératifs de moindre coût d'EDF. On remarquera aussi que tous ces calculs probabilistes comparent les résultats obtenus à la valeur de 10-7 par an car on ne prend pas en compte les familles d'événements dont la fréquence estimée annuelle est, par tranche, nettement inférieure à 10-7. Pour les sites marins il ne semblait pas y avoir de problème:: surcote millénale de courte durée et non corrélée à la marée de 120 peu fréquente (tous les 17 ans [11]) et ne durant que 2 heures environ, étaient considérés comme des événements à probabilité très faible. On voit ce qui est résulté lors d'une marée fréquente de coefficient 77 ! Les crues millénales existent aussi pour les fleuves, la probabilité annuelle est 10-3 par définition, bien plus élevée que pour les sites marins. Il y a donc de quoi s'inquiéter et c'est la raison pour laquelle la C.M.S majore de 15% le débit correspondant à la borne supérieure de l'intervalle de confiance. Mais est-ce suffisant ? Il ne semble pas puisqu'il faut désormais refaire tous les calculs. (suite)
|
suite:
Un tel événement tel que celui du 27 décembre et qui peut se reproduire est-il modélisable ? La question se pose. Ce sont bien des vagues qui ont submergé la digue et ce n'était pas prévu. On peut paraphraser un spécialiste en sûreté nucléaire, qui, au sujet des débits de crues à probabilité très faible et en l'absence de loi crédible en ce domaine dit "Le déluge n'est pas, en effet, un événement probabilisable" [11]. III - A quelle altitude aurait dû être érigée la digue de protection ou la plate-forme ? La soirée du 27 décembre 1999. L'amplitude des vagues Il est évident que la marée (phénomène astronomique) et la tempête sont deux phénomènes indépendants dont la conjonction n'est pas probabilisable. La hauteur prévue de pleine mer à 21h48 par l'annuaire des marées à la date du 27 décembre au soir avec un coefficient de marée de 77 était de 5,05 m (cote 2,46 mNGF). Il a été enregistré 7,06 m à 21h52 soit une surcote de 2,01 mètres, record absolu et de la hauteur et de la surcote à Pauillac. 1)L'amplitude des vagues : de l'ordre de 3 mètres ! Redisons que le marégraphe n'enregistre pas l'agitation du plan d'eau. On peut cependant par recoupements, avoir un ordre de grandeur de l'amplitude des vagues. En effet : Le dossier de la Mission communication du CNPE du Blayais du 11 janvier 2000 indique " En raison de la simultanéité de la tempête et d'un fort coefficient de marée, des vagues commencent à franchir la digue vers 19h30 ". Si le coefficient de marée était loin d'être fort, le document nous renseigne par contre sur l'heure à laquelle l'eau de la Gironde est passée au-dessus de la digue soit plus de 2h avant la pleine mer. Or le Port Autonome de Bordeaux, dans son Annuaire des marées 2000 [8], indique pour chaque station marégraphique un profil moyen des hauteurs d'eau prévues au cours des 12h25 qui séparent deux basses mers pour différents coefficients de marée 40, 70 et 100. Pour un coefficient 77 interpolé entre les coefficients 70 et 100 on retrouve bien pour le maximum de la courbe correspondant à la pleine mer la hauteur d'eau prévue d'un peu plus de 5 mètres (5,05 m): Profil moyen des hauteurs d'eau prévues à Pauillac  On voit qu'à 19h30, soit 2h20 avant
la pleine mer, la hauteur d'eau prévue était voisine de 4
m mais à cette hauteur de niveau d'eau doit être rajoutée
la surcote d'environ 1,5 m ce qui amène à une hauteur d'eau
de 5,5 m correspondant à une cote terrestre d'environ 2,9 mNGF.
La digue de protection étant à une altitude de 5,2 mNGF il
a donc fallu un paquet d'eau supplémentaire d'une hauteur de plus
de 2,3 mètres pour passer au-dessus de la digue ! Les vagues ont
eu une amplitude supérieure à 2 mètres vers 19h30.
p.19
|
| 2) Cela aurait pu être pire ! Une "protection"
nécessaire à 9 mNGF…
A-t-on considéré au départ en mettant une centrale au Blayais que l'estuaire est un système hydrographique très complexe ? Selon mon interlocuteur du Port autonome " les vents provoquent une dépression océanique qui, au voisinage des côtes, induisent un gonflement des eaux. L'estuaire agit comme un entonnoir, ce gonflement va s'amplifier tout au long de sa propagation dans l'estuaire. Ainsi, la surcote a été de 2,01 m à Pauillac mais de 1,55 m au Verdon [à l'entrée de l'estuaire] et de 2,25 m à Bordeaux " La tempête aurait pu avoir lieu lors de la pleine mer d'une marée de 118 dont la hauteur d'eau correspond à une cote de 3,66 mNGF à Pauillac pour des conditions météorologiques normales. On doit ajouter la surcote de 2,01 m due au phénomène particulier qui s'est produit le 27 décembre mais qui peut se reproduire à l'avenir ce qui nous met à 5,67 mNGF. Et maintenant on doit tenir compte de vagues de 3 mètres ! On arrive à près de 9 mNGF ! Une différence de plus de 3 m par rapport à la pseudo-digue de pseudo-protection qui existe aujourd'hui à une cote de 5,2 mNGF et qu'EDF rechignait et à réparer et à rehausser. Quelles vont donc être les solutions préconisées par EDF et par l'Autorité de sûreté ? DÉGRADATION DE LA SÛRETÉ EDF a communiqué récemment aux autorités de sûreté le rapport officiel de cet incident significatif. Bien sûr nous ne l'avons pas, mais nous avons cependant eu connaissance de changements très importants par rapport aux informations initiales [2], base du dossier de presse tant de la DSIN [1] que de l'IPSN [4]. EDF a fourni aux autorités de sûreté les renseignements informatisés enregistrés durant l'incident. Une question se pose dès le départ : tout a-t-il été enregistré et tout est-il enregistrable ? Le siècle qui vient de s'écouler nous a fourni maints exemples de réécriture de l'histoire après coup, avec une version finale consensuelle généralement "aseptisée". Pour l'instant nous indiquerons les changements les plus importants entre versions successives qui donnent une image différente de la dégradation de la sûreté. Le 27 décembre au soir les tranches 1, 2, 4 sont en production. La tranche 3, en attente de rechargement, est en arrêt sur le circuit de refroidissement à l'arrêt (RRA). Au moment où débute la tempête ce RRA est en "plage de travail basse". Conséquence de la fuite d'eau et des fissurations trouvées sur le circuit RRA de Civaux en mai 1998 un contrôle doit être effectué sur tous les réacteurs du parc. Des défauts ont été trouvés après contrôle et un tronçon vient d'être changé sur le RRA du réacteur 3 du Blayais. Une chance ! Des réacteurs en état d'arrêt "sûr".
(suite)
|
suite:
"L'état d'arrêt sûr est l'état pour lequel le réacteur est sous-critique et l'évacuation de l'énergie résiduelle est assurée à condition que les systèmes de sauvegarde soient disponibles et à condition qu'il soit possible de passer à l'arrêt à froid dans un délai admissible". Nous donnons ci-après le schéma de principe d'un réacteur à eau sous pression tel qu'il figure dans le dossier IPSN du 17 janvier [4].  Le réseau auxiliaire 225 kV est perdu pour tous les réacteurs à 18h30 d'après le CNPE du BLAYAIS. les réacteurs 1, 2, 4 continuent à fonctionner normalement. Le réseau 400 kV est perdu à 20h50 pour les tranches 2 et 4 qui s'arrêtent automatiquement et passent sur diesels. A propos de l'îlotage, il a d'abord été dit que les îlotages avaient raté pour cause de tension trop faible mais que les diesels avaient démarré sans problème. Par la suite une autre version a été donnée : le 400 kV ayant été perdu par surtension (" signal Max U "), l'îlotage ne peut pas réussir et donc ce ne serait pas un îlotage raté ( ? ). Quoi qu'il en soit remercions le bogue de l'an 2000 car grâce à la préparation anti-bogue qui a rendu obligatoire la révision de tous les diesels sur tous nos réacteurs il n'y a eu aucun problème pour leur démarrage. Les réacteurs 2 et 4 sont donc momentanément sur diesels et en arrêt normal sur générateurs de vapeur, le réacteur 1 marche et notamment alimente Bordeaux, le réacteur 3 est en arrêt à froid sur RRA. D'après le CNPE Blayais le 400 kV sera remis en état : -pour la tranche 4 à 21h30 et les diesels arrêtés à 22h20 -pour la tranche 2 à 23h20 et les diesels arrêtés à 0h20 Le réseau 225 kV sera récupéré le 28 décembre à 23h30. II - L'inondation 19h30-21h. Nous avons vu que l'eau a commencé à franchir la digue vers 19h30. Cela s'est amplifié avec la marée montante. A 21h la route d'accès au site est coupée par l'eau et les débris, la relève des équipes ne peut se faire. A 22h40, appel par la centrale du responsable local de l'Autorité de sûreté (DRIRE-Aquitaine, Bordeaux) qui se rend à son bureau pour suivre la situation [1]. A partir de 22h40 la Préfecture (via la DRIRE) et la DSIN sont tenues informées régulièrement. 1) Alarme de niveau haut Gironde transmise à la centrale : là il y a des divergences sérieuses quant au fait lui-même et quant à son interprétation. Dans son dossier du 11 janvier EDF dit " vers 23h, le signal d'alerte "risque d'inondation" émis par un marégraphe du port autonome de Bordeaux situé à l'embouchure apparaît à la centrale ". Pour la DSIN [1] c'est aussi à 23h, avec un signal venant du Verdon mais surtout EDF aurait dû déclencher son plan d'urgence interne de niveau 1. p.20
|
| Pour l'IPSN [4] cette alarme a
eu lieu à 22h venant de la station du Richard et a été
transmise à la tranche 4 qui aurait dû répercuter sur
les réacteurs 1, 2 et 3 ce qui n'aurait pas été fait.
Cette alarme aurait dû conduire, d'après l'IPSN, à
l'application d'une consigne incidentelle I, la " consigne de conduite
I CRF qui est relative à la station de pompage en Gironde, les pompes
dites CFR amenant l'eau permettant de refroidir le condenseur. Point important
il est ajouté que le document décrivant le plan d'urgence
interne (PUI) " fait de cette consigne une condition de déclenchement
du PUI de niveau 2 " alors que la consigne incidentelle I CRF du site
du Blayais utilisée par les opérateurs en salle de commande
ne mentionne pas cette nécessité.
" Cette incohérence
est en cours d'investigation ".
Ceci peut apparaître comme une chicanerie administrative. Ce point a cependant son importance car l'alarme de haut niveau Gironde peut permettre de baisser préventivement la puissance des réacteurs dans de bonnes conditions ce qui diminue la puissance résiduelle à évacuer après arrêt ultérieur. Qu'il faille ou non déclencher le plan d'urgence interne, le fait est que le site était comme une forteresse assiégée et que du personnel supplémentaire ne pouvait pas parvenir à la centrale les routes étant impraticables. D'après la DRIRE contactée le 15 mars, le rapport officiel EDF sur l'incident donnerait une version complètement différente. Il ne serait plus question d'un signal de haut niveau Gironde reçu à 23h en provenance d'un marégraphe mais d'une alarme " défaut du marégraphe " apparaissant à 20h30 indiquant qu'aucune information n'était plus reçue en provenance des stations marégraphiques tant du Verdon que du Richard. D'autre part sur le site même de la centrale, dans un bassin par où transite l'eau pompée en Gironde, il y a des indicateurs de niveaux d'eau dans ce qu'on appelle les " cheminées d'équilibre " de la station de pompage du circuit CRF de refroidissement des condenseurs avec des alarmes de haut niveau et de bas niveau (quand les tambours de filtration sont encrassés). Il y a eu à 22h des indications de niveaux hauts dans ces cheminées, signe de la montée de l'eau en Gironde ce qui aurait dû déclencher la procédure incidentelle I CRF relative aux pompes CRF or cela n'a pas été fait (et d'après l'IPSN déclenchement du PUI de niveau 2 comme indiqué précédemment). Avec cette nouvelle version qui renforce le facteur tempête il devient encore plus manifeste que la puissance du réacteur-1 encore en marche aurait dû être baissée préventivement. (Il est cependant possible que la première version soit aussi valable et qu'un signal de haut niveau Gironde ait pu être reçu à 22h par le réacteur 4 si l'émetteur du marégraphe fonctionnait par intermittence. Voir Annexe 2). Entre temps avec la marée montante (pleine mer à 21h52 ce qui correspond sensiblement aux indications de la station de pompage) des paquets d'eau ont déboulé sur le site, déformant des portes coupe-feu, enfonçant des obturations autour du passage de câbles et tuyauteries, passant par les trémies et l'eau s'est infiltrée progressivement dans les galeries techniques souterraines des réacteurs 1 et 2. 2) Problèmes sur les circuits de sauvegarde Réacteur-2 23h59, selon EDF, l'équipe de conduite du réacteur-2 est " alertée par l'alarme de présence d'eau dans les 4 puisards RIS et EAS du bâtiment du combustible. La personne envoyée sur place constate alors la montée rapide de l'eau ". Le schéma ci-dessous a été publié par l'IPSN [4]. Il donne les niveaux de calage de la plate-forme et d'implantation des réacteurs et permet de comprendre l'inondation des galeries souterraines et la perte d'équipements importants pour la sûreté:
(suite)
|
suite:
Donc dès minuit le fonctionnement des circuits EAS et RIS est douteux. Il semble, aux profanes que nous sommes, que cette situation aurait dû obliger EDF à déclencher formellement le PUI car ceci est très grave du point de vue de la dégradation de la sûreté. En effet ces deux circuits RIS et EAS sont des circuits de sauvegarde très importants en situation accidentelle [9] : a) Circuit d'aspersion de l'enceinte (circuit EAS). Lors d'un accident conduisant à une augmentation de la pression et de la température dans l'enceinte de confinement, par perte de réfrigérant primaire (cas d'une brèche sur le circuit primaire) ou par rupture d'une tuyauterie vapeur, le circuit EAS, pulvérise de l'eau boriquée qui sert d'abord en première phase à faire baisser la température et la pression dans l'enceinte (limitant ainsi le volume des fuites hors de l'enceinte de confinement car si la pression devient trop élevée l'étanchéité de l'enceinte de confinement n'est plus assurée). L'aspersion sert aussi à rabattre les produits de fission et un additif chimique (soude) dans l'eau pulvérisée permet de limiter les rejets en iodes gazeux vers l'extérieur. En deuxième phase (dite de recirculation de l'eau récupérée) l'aspersion sert à évacuer la chaleur résiduelle du cœur tout en faisant baisser la température de l'enceinte. (C'est ce circuit EAS qui s'est mis en route intempestivement à Belleville-2 en juin 1998 provoquant un arrêt d'urgence et le blocage d'une grappe de contrôle). b) Circuit d'injection de sécurité (circuit RIS). Lors d'un accident de perte de réfrigérant primaire par brèche sur le circuit primaire la réfrigération de secours du cœur est assurée par le circuit RIS, circuit d'injection de sécurité, afin de limiter la température des gaines du combustible et donc d'assurer l'intégrité du cœur. Ce circuit permet aussi l'injection rapide d'acide borique concentré en cas de rupture de tuyauterie de la ligne de vapeur. Signalons aussi que le RIS intervient pour rétablir un niveau correct dans le pressuriseur s'il y a rupture d'un tube de générateur de vapeur (comme ce qui vient de se produire aux États-Unis à Indian Point, la centrale en amont de New-York). Une chance qu'on n'en ait pas eu besoin de ces circuits de sauvegarde dont la fonction est d'assurer la protection du public en cas d'accident. La centrale travaillait désormais sans filet… Réacteur-1 28 décembre. 0 h 30. Arrêt du réacteur. Avec la montée des eaux, la Gironde charrie des débris qui viennent obstruer les tambours filtrants et entraîne l'arrêt automatique de la station de pompage du réacteur-1 " la fonction de filtration d'eau brute étant perturbée " qui entraîne l'arrêt automatique du réacteur. Entre 1 h et 3 h ? Divergences DSIN-EDF [2] L'équipe de conduite du réacteur-1 est alertée par les alarmes successives de la présence d'eau dans les 4 puisards du bâtiment combustible. Les 4 alarmes sont présentes à 1 h 40. Le document EDF précise : "La personne envoyée sur place constate alors la présence effective d'eau et l'immersion partielle de matériels utilisés en cas d'accident : système d'injection de sécurité, système d'aspersion de l'enceinte. Ces matériels de secours n'ont pas été nécessaires pendant les intempéries. En outre une des 2 voies du système d'eau brute secourue a été noyée". (c'est moi qui souligne). Il s'agit du circuit du circuit SEC. Selon les différentes sources il sera question de 1,5 m d'eau dans le bâtiment combustible, noyant les alvéoles des pompes RIS et EAS, pour d'autres il y aurait 4 m. Mais, point important, selon ce document EDF du CNPE du Blayais il y aurait aussi de l'eau noyant une des 2 voies du SEC dans la station de pompage. La rédaction laisse supposer que cette découverte a lieu avant 3 h. Or, dans les documents de l'autorité de sûreté il n'est fait état d'une aggravation de la situation par perte d'une voie du SEC qu'à 8 h 23 le 28 décembre ! Il y a là une divergence qui nécessite des éclaircissements. La route d'accès au site est à nouveau praticable vers 23h avec la marée descendante et la chute des vents (EDF, 7 janvier). La relève du personnel a pu avoir lieu dès 1 h (DSIN). A partir de 3 h du matin la chronologie est sensiblement la même d'après EDF et la DSIN. p.21
|
| 3) Plans d'urgence interne. Organisation nationale de
crise
Après 2 h 55 (DSIN) - 3 h 00 (EDF). EDF, CNPE du Blayais : à 3 h la centrale mobilise ses équipes de crise pour renforcer les équipes présentes et informe les services nationaux d'EDF et la DRIRE. A 3 h 15 les équipes nationales de crise sont mobilisées, à 3 h 30 la DSIN est informée par les services nationaux d'EDF. Pour la DSIN ceci correspond au déclenchement par le site à 2 h 55 du PUI niveau 1 (Plan d'urgence conventionnel, non radiologique) qui aurait dû, d'après elle, être déclenché la veille à 23h. La préfecture est prévenue. Le pompage de l'eau commence mais le niveau ne baisse pas. Comme c'est la première fois qu'une organisation nationale de crise est déclenchée en France nous donnons la suite de la chronologie d'après la DSIN : "À 5 h 45 : EDF fait part de son intention de faire appel à l'organisation nationale de crise EDF et à l'IPSN. Le directeur de la DSIN en est informé et donne son accord. Vers 6h00 : Constitution de l'équipe de crise IPSN, opérationnelle vers 7 h 00. 7h30 : Premier communiqué de presse d'EDF informant de l'arrêt des installations. 8h23 : Brusque aggravation de la situation. Inondation des locaux pompes SEC de la tranche 1. Perte de la voie A du SEC. Incertitudes sur la possible inondation de la voie B. 8h30 : Le directeur de la DSIN est informé de la situation et demande à EDF de déclencher le PUI de niveau 2 [ou PUI radiologique intérieur]. Lancement du gréement du poste de commandement de la direction de la DSIN (PCD DSIN). Prise de contact avec EDF national et du site du Blayais, équipe de crise IPSN, COAD [Centre Opérationnel et d'Aide à la Décision de la Direction de la Défense et de la Sécurité civiles], Préfecture, Office de Protection contre les Rayonnements ionisants (OPRI), DIN locale (Division des installations nucléaires, DRIRE-Aquitaine). 9h10 : lancement du signal d'alerte par EDF (bip de l'ensemble des agents de l'Autorité de sûreté) [D'après EDF, en complément des équipes déjà mobilisées depuis 3h du matin, 80 personnes d'astreinte sont venues rejoindre les équipes de conduite]. 9h30 : première information des cabinets de la Ministre de l'Aménagement du territoire, de l'Environnement et du secrétaire d'État à l'Industrie 10h35 : premier communiqué de presse de la DSIN faisant état du déclenchement du PUI par EDF et de la mise en place d'une équipe de crise. 10h40 : le pompage fonctionne dans les alvéoles SEC, le niveau baisse. Le risque de perte de la voie B s'éloigne. Entre le 28 décembre 11 h et le 29 décembre 20 h : équipes de crise mobilisées 24h/24. Amélioration progressive de la situation technique (pompage de l'eau, fiabilisation progressive des alimentations électriques). Les réacteurs 1 et 2 restent en état d'arrêt avec refroidissement par les générateurs de vapeur jugé le plus sûr. Classement de l'incident au niveau 2 par la DSIN le 29 décembre à 7 h. Communiqués de presse n°2 à 6 émis par la DSIN. Trois conférences de presse "tempête" par le préfet de police de la Gironde où est présentée la situation du Blayais. 30 décembre : redémarrage du réacteur 4. Allégement du dispositif de crise. Fonctionnement de la voie A du SEC [du réacteur1] après changement d'un moteur. L'Autorité de sûreté soumet à autorisation le redémarrage des réacteurs 1 et 2. Communiqués de presse n°7 et 8 ". Ainsi, tout s'est finalement bien passé. Il faut voir cela de plus près car la situation, pas très brillante, aurait pu empirer. III – Les problèmes liés à la dégradation de la sûreté du réacteur 1 : perte des circuits EAS, RIS, d'une voie du circuit SEC. En fonctionnement normal la pression est de 155 bars et la température de 280°C dans le circuit primaire. (suite)
|
suite:
Après un arrêt d'urgence, pour que le réacteur soit mis dans un état sûr il faut que la puissance résiduelle du cœur du réacteur due aux désintégrations radioactives, d'environ 25 MW, puisse être évacuée, la température et la pression de l'eau du circuit primaire abaissées. Le refroidissement est assuré par les générateurs de vapeur (GV) alimentés en eau par le circuit d'alimentation de secours des GV (ASG). L'étape suivante est de passer sur le circuit RRA de refroidissement à l'arrêt lorsque la pression a été abaissée à 32 bars et la température à 177°C. Ce dernier circuit RRA est lui-même refroidi par un circuit de refroidissement intermédiaire, dit circuit RRI, lui-même refroidi par le circuit d'eau brute secourue, le circuit SEC. Le circuit SEC de chaque tranche comporte 2 voies A et B et, particularité du SEC, chaque voie comporte deux demi-échangeurs avec chacun 1 pompe pouvant assurer 100% du débit. (Il y a ainsi une double redondance). Avec ce système de refroidissement en cascade le circuit SEC a donc une importance capitale pour extraire la puissance résiduelle du cœur : sa défection impose de rester sur les générateurs de vapeur. Et ceci pose un autre problème car l'alimentation auxiliaire en secours des générateurs de vapeur, le circuit ASG, nécessite une eau de qualité très particulière, déminéralisée et dégazée, conservée sous azote or la bâche d'eau ASG a un volume de 625 m3 seulement. Finalement la voie B du SEC a fonctionné avec ses 2 pompes et les générateurs de vapeur ont été alimentés par le circuit ASG. D'après le communiqué de l'IPSN du 5 janvier [3] des conditions de pression et température adéquates permettant le cas échéant la connexion au RRA (32 bars et 177°C) ont été atteintes vers 11h le 28 décembre, alors que la puissance résiduelle était encore de 20 MW et indique que " la période la plus critique de l'incident a donc duré plusieurs heures ". Que se serait-il passé si la voie B du SEC avait été aussi perdue ? Si la bâche d'alimentation de secours ASG des générateurs de vapeur n'avait plus eu assez d'eau ? S'il y avait eu perte de l'alimentation 400 kV ? Dans le même communiqué [3] l'IPSN indique que pendant cette période on pouvait envisager 2 voies d'aggravation de la situation : -La défaillance de la voie B du SEC. La perte totale du SEC diminue le refroidissement des joints des pompes primaires (par RRI inopérant). L'IPSN souligne qu'on aurait pu utiliser le circuit de contrôle volumétrique et chimique (circuit RCV) et qu'il faut imaginer une défaillance supplémentaire du réseau 400 kV pour que les joints n'étant plus refroidis on ait une brèche sur le circuit primaire et dégradation du cœur du réacteur. Ajoutons qu'il s'agirait là d'une perte de refroidissement du cœur avec pour conclusion la fusion du cœur, sans circuits de sauvegarde pour la protection du public. Questions : ce qu'on oublie de signaler à ce propos c'est que les protections thermiques chargées de protéger les joints des pompes primaires, ont " naturellement " de fâcheuses tendances à la fissuration sur nos réacteurs 900 MW, parfois même dans des zones inaccessibles et non contrôlables sans démontage de l'enveloppe de la barrière thermique (Gazette Nucléaire 155/156, janvier 1997). Les barrières thermiques sont constituées d'un serpentin (contenu dans une enveloppe fixée par soudure à la bride de la barrière thermique) parcouru par de l'eau froide venant du RRI. Certaines enveloppes de la barrière thermique ont été remplacées, comme sur la tranche 4 du Blayais. Certaines autres devaient être contrôlées ou remplacées en fonction de leur état d'endommagement. A-t-il été tenu compte dans l'analyse de l'IPSN de la forte probabilité de présence de fissurations préexistantes dans la protection thermique sur la tranche 1 (et 2) ? Que se passerait-il si elles ne sont pas bien refroidies via un circuit RRI inopérant via un circuit SEC complètement défaillant ? Est-on sûr que, fatigue thermique aidant, une contrainte supplémentaire ne pourrait pas faire progresser une fissure préexistante jusqu'à rupture d'une partie de la protection thermique et provoquer une brèche du circuit primaire même avec un circuit RCV (et une alimentation 400 kV) en état ? -La défaillance complète du circuit ASG. Dans ce cas on aurait une dizaine d'heures avant la fusion du cœur en introduisant de l'eau par l'injection de sécurité à haute pression et grâce à l'ouverture de soupapes du circuit primaire. L'IPSN omet de préciser qu'il y aurait eu rejet de vapeur radioactive à l'extérieur par ouverture de ces soupapes. p.22
|
| Il n'a pas été indiqué
si la bâche d'eau ASG a suffi pour alimenter les générateurs
de vapeur ou s'il a fallu utiliser de l'eau venant d'une bâche de
réserve. Dans ce dernier cas cette eau n'a pas les spécifications
de l'eau habituelle d'alimentation de l'ASG. Il est indiqué [réf.
9, chapitre II-4.4-5] "(…) dans la mesure où la sécurité
de l'installation est en jeu. La propreté ou la corrosion éventuelle
des GV est alors d'une importance secondaire ".
Au cas où la bâche ASG n'ait pas suffi, il serait nécessaire de vérifier assez rapidement les tubes des Générateurs de Vapeur. (Au fait, cela fait longtemps qu'on n'a plus de renseignements sur le nombre de tubes bouchés des GV). Finalement l'incident a été bien géré et le personnel à la hauteur. Il a fallu changer les moteurs noyés, nettoyer l'eau salée source se corrosion. Il faut vérifier les installations électriques dans les sous-sols. Tout doit être requalifié pour les tranches 1 et 2. Mais cela aurait pu être pire. IV- Le pompage et les rejets en Gironde Tout le personnel de la centrale a été mobilisé, il a été fait appel à plusieurs casernes de pompiers de Mérignac et Blaye ainsi qu'à 20 personnes de sociétés extérieures pour manœuvrer le matériel (6 camions-pompes d'entreprises extérieures et 12 pompes fournies par les pompiers). Il y a eu quelques difficultés parce qu'il faut avoir les courbes caractéristiques des pompes et pendant plusieurs heures l'impression a prévalu que le niveau ne baissait pas. EDF indique que le pompage a commencé le 28 décembre vers 8h et s'est terminé le 29 à 22h45 et qu'il a été rejeté en Gironde environ 90 000 m3 d'eau provenant de tous les bâtiments. Toute l'eau pompée, y compris dans le bâtiment combustible, a été amenée dans le circuit de collecte des eaux pluviales, le circuit SEO, " qui a fait office de tampon ". La procédure de rejets a été définie avec l'Autorité de sûreté. Au sujet des analyses avant rejet en Gironde EDF précise que : "Les mesures effectuées au sortir du bâtiment combustible au refoulement des pompes ont été réalisées toutes les heures au début du pompage et toutes les demi-heures en fin de pompage". Il y a eu 11 contrôles. D'après EDF les valeurs des rejets sont toutes "restées inférieures au seuil de 90 à 120 Bq/l à l'exception d'une mesure communiquée à 300 Bq/l effectuée en fond de puisard dans le bâtiment combustible du réacteur-1 (BK1) qui n'a pas été confirmée par une mesure complémentaire". (…) "L'OPRI a également effectué une série de prélèvement dont un seul donnait une valeur de 150 Bq/l, mais cet échantillon avait été prélevé sur de l'eau du BK1 qui a été rejetée dans la bâche de stockage SEO avant rejet maîtrisé en Gironde". Nous citons ce passage car il est question de " rejets maîtrisés ". En quoi des rejets en Gironde via les caniveaux du circuit de collecte des eaux fluviales (le circuit SEO) sont-ils "maîtrisés" ? Bien sûr toutes les valeurs sont inférieures à la norme de rejet pour le tritium qui est de 1000 Bq/l. Rappelons que pour le tritium (liquide et gazeux) la norme autorisée annuelle est considérable, 1400 curies par an (5,2 1013 Bq) par tranche [9]. La Gazette a signalé il y a longtemps combien le métabolisme du tritium dans l'être humain est mal connu pour les formes liées organiquement (GazetteNucléaire 78/79 juin 1987). En fait les autorisations de rejets sont élevées parce qu'on ne sait pas stocker le tritium. Ainsi, même si le rejet en Gironde n'est "qu'une faible fraction de l'autorisation de rejet annuelle " cela ne veut pas dire que c'est inoffensif. Ce qui est plus bizarre c'est le sort de ce qui se trouvait dans la bâche de reprise du puisard RPE (" reactor purge event ") qui normalement aurait dû partir dans la station de traitement des effluents radioactifs. Là, l'eau est partie dans la Gironde via le circuit de collecte des eaux pluviales, comme le reste. Bien sûr on ne pouvait pas faire autrement ! Même si le volume était faible c'est une façon élégante de se débarrasser des effluents, pas besoin de passer par la station prévue pour leur traitement. Voilà qui est très "maîtrisé". V- Le réexamen du risque inondation pour l'ensemble du parc Voir ce que dit l'IPSN dans l'article page 9 de cette gazette (16 sites sur 19 doivent être vérifiés et remis à niveau de sûreté). Et en attendant que tous ces sites soient vérifiés ils seront autorisés à fonctionner. Est-ce une application de ce qu'on appelle en sûreté " la défense en profondeur " ? (suite)
|
suite:
Quelques réflexions en guise de conclusion Redisons que c'est un hasard, la tempête aurait pu se produire au moment des plus hautes eaux d'une marée de coefficient 118… Des réacteurs sans systèmes de sauvegarde et cet incident grave aurait pu dégénérer en accident majeur. Même avec un coefficient modeste de 77 le 27 décembre dernier avec un SEC noyé complètement, une alimentation électrique du réacteur-1 perdue, la fusion du cœur aurait pu se produire… L'inventaire Moins de 3 semaines après l'incident grave du Blayais, l'IPSN sort un inventaire des problèmes de sûreté liés au risque inondation pour les 19 sites de notre parc nucléaire avec un classement des principaux défauts ne respectant pas la règle de sûreté RFS I.2.e pouvant affecter chacun des sites. Il y a fort à parier que la plupart de ceux-ci étaient répertoriés depuis longtemps puisqu'ils ont nécessité de recalculer la cote majorée de sécurité pour tous les sites. Le problème va à nouveau se poser du pouvoir de la DSIN vis-à-vis d'EDF et de ses autorités de tutelle (le ministère de l'industrie et celui de l'environnement) à faire respecter une règle de sûreté et donc du pouvoir de la DSIN à imposer à EDF l'exécution des travaux indispensables à la sûreté. En somme, il est nécessaire d'avoir des incidents graves, qui peuvent, le cas échéant, dégénérer en accident, pour que l'IPSN ait la possibilité d'exposer publiquement les lacunes graves concernant la sécurité des réacteurs français ! Devra-t-on attendre un séisme pour que le respect des normes de sûreté puisse être imposé à EDF ? La modélisation Cet événement révèle le manque d'imagination de nos concepteurs qui n'avaient pas prévu l'existence de vagues dans l'estuaire de la Gironde. Mais ils ont fait d'autres impasses comme par exemple de minimiser le couplage du risque nucléaire au risque chimique et sismique dans la vallée du Rhône. Cet événement met clairement en évidence que tout n'est pas forcément modélisable. Comment paramétrer les vagues, la propagation du feu, les séismes ? Ce qui vaut pour cette tempête vaut également pour les séismes qu'on oublie trop souvent alors que sont détériorées bon nombre de protections anti-sismiques des réacteurs de notre parc. D'ailleurs seraient-elles efficaces même si elles étaient en bon état ? On ne connaît pas tout sur la sismicité en France. On vient seulement de découvrir les " effets de site ", par exemple Grenoble est un endroit sensible avec amplification des secousses sismiques dans la vallée et la ville même de Grenoble, le site agissant comme une caisse de résonance pour les ondes sismiques ! Alors que se passerait-il à Fessenheim ou au Tricastin construits en dessous de la ligne d'eau du canal voisin si un séisme bousillait la digue bordant le canal ? A propos de l'organisation nationale de crise En cas de crise nucléaire la centrale est connectée à 3 postes centraux : EDF national, DSIN, IPSN. Les paramètres qui sont sensés représenter l'état du réacteur sont alors automatiquement transmis aux cellules de crise. Les responsables de la centrale en difficulté grave sont ainsi mis sous contrôle. Les cellules de crise savent tout ce qui se passe et réagissent en conséquence. Est-ce si évident que cela ? Est-on sûr que tous les paramètres sont automatiquement enregistrés et transmis ? Le nombre de paramètres qui représentent l'état réel du réacteur et du reste de l'installation est considérable et il y a certainement eu une sélection pour éviter une véritable inondation des cellules de crise qui serait ingérable. Ce choix ne peut se faire qu'à partir de certains scénarios jugés possibles. Mais n'oublions pas que l'Inspecteur général de la sûreté à EDF Pierre Tanguy déclarait en 1988 à propos des accidents " L'ensemble des accidents possibles est tout de même limité, de sorte que nous pensons pouvoir couvrir avec le temps la totalité des cas possibles. Mais je reconnais que nous ne sommes pas sûrs d'être absolument exhaustifs et que s'il doit se produire un accident, ce sera celui que nous n'aurons pas prévu " [12]. p.23
|
| D'autre part il y a des paramètres
non mesurés. Par exemple, (et, qui sait, cela s'est peut-être
passé de cette façon au Blayais pour la voie A du SEC), si
un opérateur descend dans une galerie souterraine, s'aperçoit
qu'elle est inondée et donne oralement l'information à son
chef. Cette information ne sera transmise que si le supérieur hiérarchique
la transmet. Une solution " intéressante " serait la mise automatique
sur écoute de tous les locaux où du personnel travaille,
avec enregistrement bien sûr. Ceci n'aurait rien d'original car cela
a été fait aux États-Unis en mars 1979 lors de l'accident
du réacteur de Three Mile Island. Ce qui a été assez
audacieux c'est que le décryptage des enregistrements a été
assez rapidement rendu public. EDF en a d'ailleurs fait une traduction
que quasiment personne n'a signalée. Serait-on aussi audacieux en
France ? Cette " solution " efficace qui s'intègre bien à
la vision d'un monde décrit par George Orwell dans son livre 1984
n'a rien de réjouissant et ce n'est certainement pas là l'idéal
dont on rêve pour ses enfants et petits-enfants.
22 mars 2000 J'ai eu de nombreux informateurs durant cette enquête de deux mois et je les remercie collectivement ici, y compris mes interlocuteurs peu loquaces car le silence est parfois source d'information. Plus particulièrement, mes remerciements chaleureux à M. Rocco du Port Autonome de Bordeaux et à M. Jehan de l'Etablissement Principal du Service Hydrographiqueet Océanographique de la marine (EPSHOM) à Brest pour les documents fournis. Ils n'ont pas épargné leur peine pour m'initier à la complexité de l'estuaire de la Gironde. Je remercie également M. Auriac et M. Gravier du CNPE du Blayais pour les dossiers qu'ils m'ont transmis, M. Niel et M. Rebour de l'IPSN pour les informations et le rapport de J. Miquel qu'ils m'ont communiqués, sans oublier M. Quintin et M. Duval de la DRIRE-Aquitaine que j'espère ne pas trop importuner par mes questions. Références
(suite)
|
suite:
Le zéro d'étiage à Pauillac est à la cote - 2,588 m du zéro Lallemand NGF ou encore à - 2,539 m du zéro IGN 69. Nous conserverons le système Lallemand qui est celui utilisé dans les documents EDF, DSIN, IPSN et par la Port Autonome de Bordeaux. (De toutes façons la différence n'est que de 4,9 centimètres et importe peu par rapport à des hauteurs observées de plusieurs mètres). Les cotes terrestres correspondant aux niveaux d'eau atteints sont données par : cote=hauteur d'eau (par rapport au zéro d'étiage) + cote (négative) du zéro d'étiage. Ainsi à un enregistrement marégraphique correspondant à une hauteur d'eau de 5,05 mètres, valeur prévue pour le coefficient de marée 77 dans la soirée du 27 décembre 1999 à Pauillac, il correspond une cote terrestre de 5,05-2,588=2,46 mNGF (2,51 m IGN 69) alors qu'on a observé 7,06 m soit 4,47 mNGF (4,51 m IGN 69) correspondant à une surcote de 2,01 m. Signalons que le marégraphe de Pauillac a été déplacé en 1976. Avant 1976 le zéro d'étiage était à –2,547 mNGF du zéro Lallemand qui doit être appliqué aux données de 1937 et 1941. M. Jehan (SHOM) nous a donné des informations sur les repères de nivellement. Le repère A du Nivellement Général de la France est fixé sur le mur du quai de l'estacade du bac à Pauillac. Il a représenté schématiquement les différents zéros que nous reproduisons ci-dessous. Nivellement à Pauillac:  Annexe 2
p.24
|
