Voici donc une série de dossier sur Superphénix: tout d'abord l'excellent travail de personnes faisant partie de la commission d'information de Superphénix. Leurs questions sont dans leur ensemble fort pertinentes et judicieuses. Elles ont été posées au niveau des instances et en fait aucune réponse n'a été donnée. Entendons-nous, aucune réponse directe et réelle aux questions. Bien sûr, il a été affirmé péremptoirement que le réacteur pouvait fonctionner sans barillet, que s'il y avait un problème on avait des positions dans le coeur dite de «déverminage»*, etc...
     Cependant après diverses péripéties, le réacteur a été arrêté le 26 mai et pour le moment il le restera. Le dossier que le groupe permanent (groupe d'experts auprès du ministère de l'Industrie) a examiné le 5 novembre n'a pas convaincu, semble-t-il, les autorités de sûreté puisque finalement Superphénix reste à l'arrêt, au moins pour six mois.
     Cet «incident» a cependant révélé pas mal de choses:
     - Superphénix  fonctionnait  (fonctionne)  avec un système de détection de fuites de sodium défectueux.
     - Superphénix a démarré alors même que les installations destinées à l'évacuation, au lavage et au stockage du combustible, n'étaient pas terminées.
     - On a contre toute logique continué à faire fonctionner un prototype en s'acharnant à vouloir démontrer que tout ce qui se passait n'avait aucune incidence sur la sûreté.
     Répétons haut et fort la filière RNR n'est pas maîtrisée, on en est à la phase proto. Donc on ne prend aucun risque: on arrête.
     Soyons clair, il n'y a même pas dans ce cas de problème d'argent. Superphénix, de toute façon, est hors de prix (peut-être est-il moins cher quand il est arrêté!). Mais en faire un étendard du «génie» français comme Concorde ou d'autres gadgets du même type, conduit à des aberrations.
     Nous avons rassemblé plusieurs dossiers. Tout d'abord celui de la Coordination Energie Développement (C.E.D.) de l'Isère. Ils ont fait un travail de compilation des questions tout à fait remarquable. Ces questions ont été transmises à la NERSA, au SCSIN par l'intermédiaire de la Commission locale d'information. Mais jusqu'à ce jour aucun dossier de réponse n'a encore été fourni. Les seules réponses sont celles de MAGNUC (nous les publions car c'est à peu près le dossier remis aux membres du Conseil Supérieur de Sûreté Nucléaire).
     Par contre, depuis mai, et en dépit de fort nombreuses questions (vous avez un exemplaire des dernières posées), il n'y a pas eu de réponse écrite.
     Effectivement le problème n'a pas été traité en question principale, pour le moment, il s'est trouvé en question diverse. La seule information qui laisse à penser que cette fuite au barillet est certainement plus importante que ce qu'on peut sortir des brefs communiqués officiels, est le non redémarrage au réacteur. En effet, EDF et/ou la NERSA ont constitué un dossier pour prouver que le réacteur pouvait se passer de barillet. Ce dossier a été présenté au groupe permanent le 5 novembre. Manifestement, l'étude n'a pas été concluante. Car le réacteur devra attendre.

     Ces questions ne sont pas exclusives, d'autres en cours d'étude. Les premières parties des 4 premières questions suivantes ont déjà été posées en C.I. du 15 avril 1987, par lettre du 13 juin 1987, en C.I. du 19 juin, par lettre du 23 juin 1987, par lettre du 5 octobre 1987, en C.I. du 9 octobre 1987.

Question 1:
     La fuite de sodium de la cuve principale du barillet est liée à une défectuosité de cette cuve, soit de sa composition, de sa conception ou des contrôles de qualité. Une erreur et un accident du même type sont donc possibles sur la cuve principale du réacteur lui-même. Quelles sont les similitudes et les différences entre les différents éléments concernés des cuves du barillet et de celles du réacteur?
     Complément: le seul constat de la Direction de la centrale évoqué publiquement est qu'il s'agit de défauts «génériques», de conception et de résistance mécanique des liaisons soudées à la cuve principale du barillet des circuits d'évacuation de puissance résiduelle du barillet. Il nous a été interdit d'accéder aux dossiers concernant entre autres les cuves du réacteur (par exemple les liaisons du platelage, les circuits de refroidissement de la cuve principale du réacteur, les circuits d'évacuation de puissance résiduelle du réacteur...).
     En l'absence de connaissance complète des défauts (à l'heure actuelle plusieurs fissures - 6, 11, 98? - allant de 7 à 460 mm de longueur et des anomalies visualisées sur la structure de la cuve ont été repérées) et de leurs origines, peut-on vraiment assurer que des erreurs de conception, de calculs (résistance, flux, vibrations, températures, chimie...) de choix de matériaux, de réalisation et de contrôles, de tests périodiques et de procédures de détection, d'alarme et de sécurité qui peuvent être à l'origine de ces défauts, ne peuvent pas intervenir sur un autre composant de l'installation et en particulier le réacteur?

Question 3:
     Les consignes du Rapport Provisoire de Sûreté qui ont valeur réglementaire et ont été entérinées par les autorités de sûreté et le gouvernement, imposent l'arrêt d'urgence du réacteur dans le cas précis d'une fuite de sodium de la cuve principale du barillet, fuite classée en «accident hypothétique», dont la probabilité a été estimée au pire à un événement tous les 10.000 ans de fonctionnement. Pourquoi ces impératifs de sûreté n'ont-ils pas été suivis?
     L'accident a débuté le 8 mars 1987. Il n'a été déclaré comme «incident significatif» aux autorités de sûreté que le 3 avril 1987. Les autorités de sûreté n'ont fait savoir que le 24 avril que toutes les opérations engagées à partir de cette date devraient faire l'objet d'une demande d'autorisation avec examen préalable d'un dossier justificatif. Le réacteur n'a été arrêté que le 26 mai 1987. La direction de la centrale, de la NERSA, d'EDF ont déclaré leur volonté de redémarrer la centrale et d'agir dans cette seule orientation.
     Ces retards dans l'information et ces décisions (par exemple le maintien du fonctionnement de la centrale après l'accident sur le barillet) ne sont-elles pas contraires aux règles de sûreté du Rapport Provisoire de Sûreté en vigueur et aux critères scientifiques qui dictent qu'on ne peut garantir un fonctionnement sûr tant qu'on ne connaît pas précisément les origines d'un accident en cours sur un composant important?

Question 4:
     L'arrêt du réacteur est de toute manière impératif car l'origine de cet accident à très faible probabilité n'est pas connue, et tant que l'on n'en connaît pas la nature rien n'indique qu'un accident du même type ne se produise pas également dans le réacteur. Quelles dispositions sont prises pour déterminer les origines de ces défauts et vérifier les éléments similaires du réacteur?

     A ces questions n 'ont été fournies que des réponses dilatoires qu'il n 'a pas été possible de faire préciser du fait de l'absence de documents écrits et plans, et du fait de la nouvelle procédure de fonctionnement annoncée lors de la réunion de la Commission Locale d'Information du 9 octobre 1987.

Question 5:
     Les défauts sur le barillet n'obligent-ils pas à revoir les conditions de sûreté?
     Le Rapport Provisoire de Sûreté déposé pour obtenir l'autorisation de chargement du réacteur comporte des références explicites au barillet de stockage dans de nombreuses procédures de sûreté. 

Question 6 (déjà posée par lettre du 23 juin 1987):
     Nous souhaitons disposer:
     - des résultats des tests de détection de rupture de gaines;
     - des caractéristiques des matériaux des différentes cuves et éléments de base du réacteur et du barillet ainsi que du dôme, et des documents les classant en niveaux de sûreté, niveaux de qualité, en catégories de situation, en impératifs fonctionnels et en règles fonctionnelles. En effet le rapport de sûreté n'indique pas tous ces éléments ni les dossiers de déclassement éventuels déposés auprès des Autorités de sûreté. Il est en effet particulièrement regrettable qu'un responsable nous indique des niveaux de qualité ou des caractéristiques de matériaux qui ne figurent pas dans le rapport de sûreté;
     - du dossier de réarrangement du coeur étudié par l'exploitant.

Question 8:
     Des modifications de fonctionnement ne contraignent-elles pas à des modifications de l'installation-même:
     - modification des équipements, de leurs usages et des procédures de manutention?
     - modification des équipements, de leurs usages et des procédures d'évacuation et de stockage des combustibles (l'utilisation de l'APEC a ainsi été engagée avant-même la fin des travaux)? (APEC: atelier pour l'évacuation du combustible).
     La conception même de la défense en profondeur avec 4 barrières de confinement pour le combustible ne nécessite-t-elle pas une modification de l'installation, en raison des travaux effectués ou à effectuer sur le barillet et des transferts lourds entre intérieur et extérieur du bâtiment-réacteur?

Question 9:
     Quels sont les situations incidentelles et accidentelles ainsi que les risques nouveaux à prendre en compte dans la situation actuelle et dans l'éventualité d'un redémarrage de la centrale? Cette situation ne modifie-t-elle pas les bilans de rejets?

     Questions complémentaires suscitées par les premières localisations des défauts:

Question 10 (complémentaire de la question 1):
     Les efforts mécaniques, contraintes et corrosions subits par la cuve du barillet, même si l'acier est différent de celui de la cuve du réacteur, même si l'épaisseur est plus faible, même si les soudures sont différentes, même si les contrôles sont différents (on nous parle de radiographies à 10% seulement sur le barillet), ont entraîné des fissures alors que les conditions ont été beaucoup moins contraignantes que celles du réacteur. Des soudures existent sur la cuve principale du réacteur dont nous n'avons pas la description (informations inexistantes d'ailleurs également pour le barillet). Elles concernent le platelage, et peut-être d'autres éléments?

Question 11:
     Les défauts survenus sur la cuve principale du barillet ne peuvent-ils pas se produire sur d'autres composants en sodium soumis à des contraintes fortes comme les pompes primaires, les échangeurs intermédiaires, les pompes secondaires, les générateurs de vapeur...?

     Cette analyse date de juillet 1987. Nous n'avons pas le temps, ce n'est pas notre travail, d'en faire la synthèse. Elle pose de nombreuses questions sur lesquelles nous n'avons aucune réponse.

AVERTISSEMENT:
     Nous ne sommes pas des experts spécialistes des surgénérateurs.
     Nous ne faisons que poser des questions de bon sens dans le souci de la sécurité des travailleurs de la centrale et des populations.
     Nous ne disposons que de documents partiels et d'informations limitées.
     1. Dans le texte qui suit, les phrases en caractères normaux sont extraites du Rapport de Sûreté, les caractères normaux gras indiquent des phrases soulignées par le rédacteur, celles en italiques sont de notre rédaction.

Plan
1. Rapport de sûreté
2. Une conception générale et un fonctionnement basés sur l'existence d'un barillet
3. Conception de la sûreté
4. Conception des bâtiments et matériels, Résistance des matériaux
5. Qualité des réalisations
6. Analyse de sûreté, Catégories de situations
7. Manutentions et circuits associés
8. Fuite de la cuve principale du barillet
9. Fuite de la cuve principale du réacteur
10. Les détections de fuite de sodium
11. Coeur du réacteur
12. Variations possibles autour de la configuration nominale
13. Cas particulier du coeur de démarrage
14. Ruptures de gaines
15. Rejets
16. Chargements et déchargements des assemblages
17. Liens entre barillet et réacteur et travaux de réparation du barillet
18. Les essais
19. Les feux de sodium
20. Remarques rapides sur les séismes et autres
21. L'arrêt d'urgence trop lent
22. Zone d'étude des populations concernant les retombées radioactives en cas d'accident
23. Perte en plutonium, Retraitement, usage militaire

1. Rapport de sûreté
     Le rapport de sûreté présenté par la société NE RSA a été nécessaire pour obtenir l'autorisation du premier chargement du combustible nucléaire de la centrale (toujours le seul jusqu'au transfert des éléments du barillet dans le réacteur en juillet 87: ce second chargement et arrangement du coeur n'est donc pas prévu dans ce rapport).
     Il constitue à ce titre le rapport provisoire de sûreté. Ce rapport est appelé à constituer, après modifications et compléments, le rapport définitif de sûreté, dont l'approbation est nécessaire pour la mise en service de l'installation.
     Il a été rédigé en 1977 (?) et il n'existe toujours pas de rapport définitif de sûreté, donc c'est le seul rapport de sûreté existant et ayant valeur légale et réglementaire.
     Le rapport sur lequel nous avons travaillé, édition publique, regroupe l'ensemble des textes du rapport provisoire de sûreté. Cependant des descriptions ont été simplifiées et des précisions supprimées pour respecter le droit de propriété industrielle et éviter certains risques d'actes de malveillance. (p. 2 de l'avant-propos).
     Le chef de la centrale est le responsable de la sûreté de l'installation nucléaire en exploitation (p. 1-7-11).

2. Une conception générale et un fonctionnement basés sur l'existence d'un barillet
Rapport de sûreté, 1-3: Caractéristiques générales
- Principales options techniques.

3. Conception de la sûreté
Rapport de sûreté, 1-4: Principes généraux de sûreté.
Le Rapport de Sûreté indique:
     La méthode et les principes relatifs à l'approche de la sûreté sont identiques à ceux des réacteurs à eau légère sous pression et les principaux problèmes à résoudre sont de même nature. Il faut toutefois, dans la pratique, tenir compte des particularités des réacteurs rapides refroidis au sodium par rapport aux réacteurs à eau légère sous pression, notamment du fait que:
     - le coeur n'est pas dans sa configuration la plus réactive,
     - le fluide caloporteur utilisé est du sodium qui présente des inconvénients propres (inflammabilité du sodium liquide au contact de l'air, réactions chimiques vives avec l'eau et le béton) mais aussi des avantages (sodium liquide à la pression atmosphérique, piégeage efficace de certains produits de fission, dont l'iode notamment) (p. I-4.-6).
...
     Les caractéristiques propres aux réacteurs rapides refroi¬dis au sodium de type intégré, particulièrement les gran¬des dimensions, les faibles pressions et épaisseurs et les hautes températures, posent toutefois des problèmes qui nécessitent une adaptation des codes et normes existants (par rapport aux réacteurs à eau légère) (p. III-1.1-2).
...
     Un des deux principes généraux de sûreté est de prévenir les accidents et d'en limiter les conséquences. (p. I-4-3).
...
     La prévention des accidents et la limitation de leurs con¬séquences sont assurées aux trois niveaux suivants:
     - sûreté de la conception
     - sûreté de la réalisation
     - sûreté de l'exploitation (p. 1-4-6).
...

4. Conception des bâtiments et matériels, Résistance des matériaux
     La chaudière englobe (entre autres) le bloc réacteur et la chaîne de manutention du combustible... (p. II-1-3).
     Le bâtiment réacteur abrite (entre autres) le bloc pile surmonté de son dôme métallique, la manutention et le stockage des assemblages neufs et irradiés. (p. II-2-5).
     Or la description de son génie civil ne fait aucune distinction entre bloc pile et manutention stockage. Ce qui signifie que les mêmes spécifications ont été retenues pour tout le bâtiment. (p. II-2-5 et 6, 7, 8, 9).
...
     Le bloc réacteur contient le coeur et le circuit primaire de la chaudière. Il est implanté au milieu du bâtiment réacteur, dans le puits réacteur et au-dessus. (p. II-4.1-6).
     La cuve principale, supportée par la dalle, assure le supportage du coeur (assemblages) (p. II-4.1-3), normalement la rétention du sodium primaire et le confinement des produits actifs.
...
     La cuve principale assure également la fonction de supportage des structures internes (p. I-4-15).
...
     La cuve principale du coeur est conçue pour résister aux conséquences d'un accident hypothétique qui libèrerait brutalement une énergie mécanique de 800 MJ... Les aspects liés aux vibrations sont pris en compte pour la cuve principale... (p. I-4-14).
...
     Le stockage principal des assemblages irradiés est assuré dans le barillet de stockage, en dehors du bloc réacteur. Un tel stockage équipe Phénix (p. II-4.1-4).
     La cuve principale du réacteur supporte le coeur, le récupérateur et les structures internes (p. II-4.1-5). Elle assure le supportage et le positionnement du coeur et des structures internes et le confinement des fluides primaires (p. II-4.2-3). Il y a des joints soudés sur la cuve principale (p. II-4.1-7).
     La cuve principale du réacteur supporte donc des contraintes bien supérieures à celles de la cuve principale du barillet, ne serait-ce qu'en poids des structures supportées (sans parler ici des contraintes thermiques, de vibrations, de flux de sodium et de flux neutroniques). Quels sont les joints soudés cités?
     La cuve principale du barillet supporte le sommier, les assemblages et les structures internes.
     La face externe de la cuve principale du barillet a-t-elle été inspectée avant l'accident? (procédure difficile)
...
 

5. Qualité des réalisations
     Pour l'organisation de la qualité de fabrications en usine la chaudière et le barillet sont classés en catégorie I. (p. III-1.3-6).
     Pour la réalisation de la chaudière nucléaire le constructeur principal est NOVATOME-NIRA (mandataire NOVATOME) qui a mis en place un système qualité comprenant aussi bien les études que les fabrications, les montages et les essais, et répondant aux exigences de la NERSA (p. III-1.3-8).
     Tous ces documents sont archivés et conservés pendant 10 ans et les films sont remis au maître d'oeuvre.

6. Analyse de sûreté, Catégories de situations
     Compte tenu du caractère de prototype du réacteur on a utilisé la méthode probabiliste comme guide de pensée pour le classement des situations de dimensionnement. Les situations internes de fonctionnement sont rangées en différents types selon leur aspect fonctionnel; à chaque type est associée une plage de valeurs de fréquence moyenne d'apparition de la situation considérée. On définit 5 types de situations internes suivantes:
     - situations normales,
     - situations incidentelles (fréquence d'apparition > 10^-2 événement par an).
     - situations accidentelles (10^-4 événement par an < fréquence d'apparition < 10^-2 événement par an)
     - situations hypothétiques (10^-6 événement par an fréquence d'apparition < 10^-4 événement par an).
     Ce sont les situations accidentelles hautement improbables, prises toutefois en compte dans le but d'assurer la sécurité des populations.
     - situations hautement hypothétiques (fréquence d'apparition < 10^-6 événements par an) (p. III-1.2.4.-3, 4, 5, 6).

1. Classes de sûreté
     Classe 1: des matériels qui exercent directement des fonctions dont la défaillance est inacceptable pour la sûreté du réacteur vis-à-vis de la protection des populations.
     Est donc classé en classe 1 le refroidissement de l'assemblage irradié dans le barillet.

7. Manutentions et circuits associés
     La manutention comprend les constituants du coeur, des couvertures et de la protection neutronique latérale. Leur remplacement est prévu régulièrement ce qui détermine la fréquence des arrêts périodiques de la centrale. (p. 1-4-16).
...
     Les manutentions des mécanismes de barres de contrôle s'effectuent au moyen de hottes qui permettent de transporter les composants vers le puits de lavage oû le sodium et la contamination de surface sont éliminés. (p. I-4-17). Or cette installation ne sera disponible qu 'a la mi-88.
...
     Parmi les principes relatifs à l'exploitation... le réacteur sera arrêté pour le renouvellement du combustible. Ce renouvellement s'opère une fois tous les 14 mois pour un facteur de charge de 0,75 (une moitié des assemblages combustibles). Le combustible usé est provisoirement stocké en sodium dans le barillet de stockage puis dans l'APEC avant d'être transporté vers l'usine de retraitement. (p. I-4-21).

     Rapport de sûreté, volume II, chapitre 5.1:  manutentions et circuits associés.
     La manutention des assemblages se rapporte aux assemblages qui constituent le coeur du réacteur et dont le renouvellement est, pour certains, systématique. (p. 11-5.1-2).
     Il y a donc systématiquement besoin du barillet.

     La manutention des assemblages est relative aux assemblages neufs ou irradiés du coeur:
     - assemblages combustibles
     - assemblages fertiles
     - assemblages absorbants
     - assemblages de PNL et assemblages réflecteurs aciers
     - assemblages spéciaux des dispositifs d'irradiation et de mesure en pile (DIMEP)
     - assemblages guides de neutrons (GDN)
     Les installations de manutention des assemblages assurent les fonctions de transfert, chargement-déchargement, stockage, évacuation, préparation, manutention, ainsi que le changement d'orientation d'un assemblage, le traitement des assemblages DIMEP et le déverminage du coeur.
     Lors d'une campagne de manutention d'assemblages on remplace d'abord les assemblages absorbants prévus au programme de manutention puis les assemblages fertiles et enfin les assemblages combustibles.
     Il est prévu de décharger annuellement la moitié des assemblages fissiles du coeur. Les assemblages fertiles sont déchargés par couronne entière. (p. II-5.2-4)

8. Fuite de la cuve principale du barillet
     La détection fiable du sodium repose sur:
     - la surveillance par l'opérateur en salle de commande des grandeurs caractéristiques de l'état des circuits ou capacités contenant du sodium,
     - la présence de systèmes spécifiques relatifs d'une part à la détection de fuites de sodium sur les capacités ou circuits concernés... (p. I-4-11)
...
     Les cuves sont instrumentées en mesures de niveau sodium (p. II-5.2-15)
     Des bougies de détection de fuite sodium sont répartis au fond de la cuve de rétention du barillet.
     La pression du circuit azote entre cuves est contrôlée par deux pressostats donnant des alarmes; elle peut être lue sur un manomètre à lecture directe.

9. Fuite de la cuve principale du réacteur
     La détection fiable du sodium repose sur:
     - la surveillance par l'opérateur en salle de commande des grandeurs caractéristiques de l'état des circuits ou capacités contenant du sodium,
     - la présence de systèmes spécifiques relatifs d'une part à la détection de fuites de sodium sur les capacités ou circuits concernés... (p. I-4-11)
     La surveillance en service de la cuve principale est assurée par les moyens suivants:
     - une fuite de sodium primaire est détectée par trois bougies de détection implantées au voisinage immédiat du point le plus bas de la cuve principale,
     - l'activité en sortie du circuit azote régnant dans l'espace situé entre la cuve principale et la cuve de sécurité est mesurée par un dispositif de sensibilité adaptée à la détection de fuites de toute nature (sodium et argon) de la cuve principale,
     - l'espace entre la cuve principale et la cuve de sécurité est tel qu'il autorise la circulation d'un véhicule d'inspection entre les deux cuves (p. I-4-14)
     Il y a un signal d'activité de l'espace intercuve.

10. Les détections de fuite de sodium
     Outre ce qui a été noté précédemment:
     Au titre des moyens de surveillance, un ensemble de dispositifs de surveillance automatique est prévu, à l'aide de détecteurs spécifiques du sodium, capables de remplir les fonctions suivantes:
     - une détection précoce de fuite
     - une localisation du point de détection
     - le déclenchement d'une alarme en salle de commande et d'une signalisation locale.
     Ces moyens de surveillance sont conçus pour détecter des fuites de sodium de très faible ou de faible importance, ce qui permet une bonne localisation de la fuite à l'aide des moyens locaux de signalisation que comportent ces surveillances... Les moyens de surveillance ont une rapidité de détection (délai ne dépassant généralement pas quelques minutes) et présentent une localisation minimale relativement précise en salle de commande (par système élémentaire et par bâtiment)
     Le système de détection de fuites de sodium constitue une surveillance capable de localiser avec précision les éléments de circuits sodium concernés.

     Le principe de surveillance repose sur les propriétés électriques conductrices du sodium: le sodium suintant ou coulant provoque localement un court-circuit, ou plus précisément une baisse de résistance d'isolement entre un conducteur électrique actif et la masse métallique environnant ce conducteur.

11. Coeur du réacteur
     Rapport de sûreté, II-3: Coeur du réacteur
     Le coeur et le réacteur sont conçus de telle sorte qu'un programme de surveillance par déchargements et examens échelonnés d'assemblages combustibles est prévu.
     Il s'agit donc aussi d'un programme de surveillance impossible sans barillet.
     Le coeur est compact naturellement lorsque le réacteur est en puissance. Ce principe reste valable pour un coeur en fin de cycle de combustion.
     On s'impose également que, en situation de manutention, les réserves d'antiréactivité soient suffisantes vis-à-vis d'une erreur consistant à placer un élément combustible à la place d'un absorbant.
     Cette condition sera difficilement remplie avec le nouveau coeur en autarcie.
     L'arrêt d'urgence est assuré par la chute gravitaire de 24 assemblages absorbants insérés dans le réseau du coeur. (p. I-4-12)
...
     Le coeur est composé:
     - d'une région centrale constituée d'assemblages combustibles contenant de l'oxyde mixte d'uranium et de plutonium, 193 en zone 1 interne à enrichissement x1 en plutonium, et 171 en zone 2 externe à enrichissement x2 en plutonium
     - d'une région de couverture, constituée par les assemblages fertiles, contenant de l'oxyde d'uranium appauvri; ces assemblages permettent de rendre le coeur surgénérateur par transformation de noyaux d'U 238 en Pu 239
     - d'une région d'assemblages réflecteurs acier ayant trois fonctions:
· amélioration du bilan neutronique du coeur par réflexion,
· protection des structures périphériques par atténuation du flux neutronique en provenance des zones combustibles,
· cerclage mécanique du coeur

14. Ruptures de gaines
     On distingue deux types de ruptures des aiguilles des assemblages combustibles du coeur: les «ruptures gaz» et les «ruptures ouvertes». Ces ruptures de gaines conduisent à l'émission de bouffées d'activité au moment de la rupture (bouffées de ruptures de gaz rares) et au moment des transitoires (bouffées transitoires de gaz rares et de produits volatils)... Les gaz rares s'échappent des gaines rompues et passent très rapidement dans l'argon, 10% sont émis lors des transitoires (... il sort 30 à 50% de l'activité en iode et en césium) (p. I-5-7)
     On suppose de manière pessimiste un taux de rupture de gaine de:
     - 10^-3 pour les ruptures gaz (soit environ 100 aiguilles ruptées),
     - 10^-4 pour les ruptures ouvertes (soit environ 10 aiguilles ruptées). (p. I-5-8)
...
     Règle 1: (vis-à-vis du risque de fusion): pour les situations normales de fonctionnement (régime permanent et transitoires normaux), le bon comportement est garanti tant que la probabilité de fusion à coeur de la pastille la plus chargée ne dépasse pas celle de l'assemblage combustible Phénix en régime nominal, qui est de 4.10^-4 par recharge de combustible.
     Règle 2: du point de vue du risque de déplacement de matière fissile, on limite le nombre moyen de pastilles, calculé pour l'ensemble du coeur, affectées par une fusion à coeur à celui correspondant à une colonne combustible.
     Règle 3: pour les situations incidentelles de fonctionnement... la défaillance de la gaine est écartée dès lors que le volume fondu dans chaque aiguille est inférieur à 20% du volume colonne combustible (p. III-3.2-5)
     Il y a des corrosions supérieures au démarrage (corrosion de jeunesse), des gonflements et des fluages d'irradiation qui sont spécifiques à Superphénix. (p. III-3.2-5)
     Or il y a dans le coeur à l'équilibre (p. III-3-3) de Superphénix 364 assemblages combustibles de 271 aiguilles chacun, soit 98.644 aiguilles; en 234 assemblages fertiles de 91 aiguilles chacun, soit 21.294 aiguilles. Au total un chargement comprend donc 119.938 aiguilles. L'hypothèse retenue porte donc sur 120 aiguilles ruptées gaz et 12 ruptées ou vertes, soit 140 aiguilles. Comment seraient-elles réparties? Rien n'indique qu'elles seraient situées dans moins de 12 assemblages et aucune hypothèse n'est émise sur la prévision ou la probabilité de répartition des ruptures de gaines dans les assemblages.
     Le transit dans le barillet est prévu pour 4 mois.
     Prévisions des ruptures de gaines (p. I-5-8) mais sur quelle durée?
     Cycles prévus du combustible (p. I-5-8)
     Les risques de ruptures de gaines sont fortement accrus par les manutentions sur les assemblages (p. I-6-6). Or il y a eu et il y aura de nombreuses manutentions pour réarranger le coeur.

15. Rejets
     Dans le même paragraphe, servant au bilan annuel prévisionnel des rejets il est considéré 40 transitoires annuels (3 arrêts de 2 jours à 180°C, 14 arrêts de 2 jours à 250°C, 3 arrêts de 2 jours à 300°C, 8 arrêts de 6 heures à 300°C, 12 transitoires-coeur annuels (balancement de barres, etc...). La durée de fonctionnement à pleine puissance retenue est de 180.000 h pour 30 ans, soit un facteur de charge de 68,5%. (p. I-5-8)
     Soit 250 JEPN par an.
     Le nombre de transitoires retenus sera dépassé du fait des réarrangements du coeur et de l'absence de solution de déchargement imposant des règles de sécurité plus grandes. Il faudrait connaître le nombre de transitoires déjà réalisé en 1987. (9? durant la montée en charge de 3 mois fin 1986 donc 40 par an?).
     Y a-t-il eu déjà des ruptures de gaines? Combien? Dans combien d'assemblages?
...
     En tous cas le calcul des rejets est à revoir et nécessite une autre procédure d'autorisation.
     Sans barillet le bilan prévisionnel des rejets liquides est à revoir.

17. Liens entre barillet et réacteur et travaux de réparation du barillet
     Rappel La conduite des machines est effectuée depuis le PM poste de manutention. (p. II-5.2-7). Ce poste commande aussi bien les manutentions des mécanismes «réacteur» que les manutentions des mécanismes «barillet». (p. II-12-23)
     Ce poste est situé semble-t-il au-dessus du barillet (annexe 18 du document général de référence, édité en mars 1987), ne sera-t-il pas inopérant du fait des travaux sur le barillet?
...
     Avant mise en service de l'APEC, ce qui est le cas actuellement, le conditionnement d'air du couloir de manutention est assuré par les installations du bâtiment réacteur. (p.II-5.2-26)
     Il sera donc difficile de séparer les travaux de réparation, manutention sur le barillet en panne du reste du bâtiment réacteur, puisqu'il en fait partie.

19. Les feux de sodium
     (p. III-2.4.-5) il est fait état d'une possible déflagration ou détonation avec onde de choc et feu pulvérisé associé dans le cas d'une réaction sodium-béton.
...
     Quelle masse de sodium est-on capable d'éteindre actuellement?

20. Remarques annexes et rapides sur les séismes et autres
     Le séisme de référence (celui de 1822) retenu est caractérisé par une intensité épicentrale VII-VIII MSK plus proche de VII que de VII-VIII et une intensité supposée ressentie sur le site de V à VII MSK.
     Le séisme majoré retenu est d'une intensité épicentraIe de VIII sous le site, de magnitude 5,6 et 6,34, ou d'une intensité épicentrale de VII-IX à 15 km du site, de magnitude 5,91 et 6,61.
     Les valeurs extrêmes retenues pour les températures sont de -27°C et + 40°C. (p. III-1.2.12-3 du Rapport de Sûreté). Or l'hiver 1986, certains jours très froids (plus de -30°C) ont entraîné des blocages dans des centrales nucléaires existantes.

21. L'arrêt d'urgence (trop lent d'après des calculs autres que ceux du C.E.A.)
     Arrêt d'urgence
     La puissance neutronique est ramenée à une valeur quasi nulle en quelques dixièmes de seconde.
     L'arrêt d'urgence est assuré par la chute gravitaire de 24 assemblages absorbants insérés dans le réseau du coeur. (p.I-4-12)

22. Remarque annexe sur la zone d'étude des populations concernant les retombées radioactives en cas d'accident
     Dans le rapport de sûreté (p. I-2-...) «Site et environnement», il est évident que le rayon d'étude choisi de 50 km autour de la centrale est largement insuffisant et que l'étude des flux d'air l'est également. Cela est particulièrement évident lorsqu'on analyse les accidents récents de Three Mile Island et de Tchernobyl.
     A 24 km du site de Superphénix: Bourgoin, à 34: Aix-les-Bains, à 40: Chambéry, St Priest, Bron, Voiron, à 50: Villeurbanne, Vénissieux, Seynod, à 53: Lyon, Annecy, Vienne, Bourg-en-Bresse, à 60: Oyonnax, Givors, St Egrève, Villefranche, à 66: Grenoble, à 70: Albertville, Genève, à 80: Macon, Annemasse, St Chamond, à 90: St Etienne, Cluses.
     Les cartes de populations dont celles sous les vents dominants s'arrêtent à 50 km et se limitent aux secteurs 320, 360 et 120 d° alors que les secteurs 160, 120, 340 d°  sont importants.
     Il y a 1 million et demi d'habitants dans un rayon de 50 kilomètres autour de la centrale et x millions (chiffre non indiqué) dans un rayon de 100 kilomètres.

23. Perte en plutonium, Retraitement, usage militaire
     Il n'y a aucune analyse du cycle du combustible dans le rapport de sûreté.

     Rappel des informations diffusées par le Ministère de l'Industrie, service MAGNUC: «INFO HEBDOMADAIRES CREYS-MALVILLE
     «SEMAINE du 14 au 20 septembre 1987
     Fonctionnement:
     Maintien à l'arrêt de la tranche depuis le 26 mai. Poursuite des travaux d'arrêt de tranche et fin des opérations de vidange du barillet de stockage.
     Evénements marquants:
     L'incident du barillet de stockage.
     Un incident a affecté un réservoir de stockage en sodium appelé barillet.
     Ce barillet est une cuve contenant environ 700 tonnes de sodium, doublée d'une cuve de rétention maintenue en azote.
     Il est destiné à recevoir, d'une part, les assemblages combustibles neufs avant leur chargement en réacteur, d'autre part les assemblages irradiés pendant environ une année avant leur entreposage en piscine dans une installation voisine.
     Les investigations entreprises début mai avaient permis de déceler une fuite de sodium dans l'espace de récupération situé autour du barillet (une vingtaine de litres par heure) et amené l'exploitant à en suivre l'évolution et à procéder régulièrement à la vidange de cet espace.
     Ce sodium n'est pas radioactif et ne peut brûler en l'absence d'oxygène.
     Le réservoir de stockage concerné est physiquement séparé de la cuve du réacteur.
     Le réacteur est à l'arrêt depuis le 26 mai.
     Les différentes opérations de transfert d'assemblages ont été achevées le 25 juillet et, depuis cette date, le barillet de stockage est vide de tout assemblage.
     Commencée le 1er septembre, la vidange du barillet s'est achevée le 8 septembre.
     Durant cette vidange, l'exploitant a mené des investigations pour détecter la position de la fuite par injection d'hélium et de xénon 133 dans la partie supérieure du barillet et détection de ces gaz dans l'espace entre cuves. Ceci a permis, le 5 septembre, de déterminer le niveau de sodium en dessous duquel les gaz injectés ont pu transiter, et par là l'altitude de la fissure.
     Sa position angulaire avait été précédemment repérée par deux méthodes, l'une acoustique et l'autre thermographique.
     Le défaut se situe dans le bas du barillet, à 3 m environ au-dessus du fond, au niveau d'une liaison soudée entre la cuve et un support de tuyauterie du circuit d'évacuation de la puissance résiduelle.
     Selon l'exploitant, cette position «basse» devrait permettre d'engager assez facilement un examen visuel et d'obtenir ainsi les premières indications quant à la nature et à l'origine du défaut.
     Des investigations sont en cours à cet effet.
     Notamment, la cuve de rétention du barillet a été percée pour introduire des dispositifs d'inspection.
     Les opérations précitées ne préjugent pas des décisions à prendre concernant les mesures à appliquer pendant la période de réparation du barillet, et notamment du fonctionnement éventuel du réacteur.
     Ces mesures seront définies à la fin de l'année après un rééxamen de sûreté approfondi de l'installation.»

     Monsieur le Président,
     Comme suite à la demande formulée lors de la réunion du Conseil Supérieur le 27 octobre 1987, nous vous faisons parvenir en annexe jointe les questions que le groupe de travail, constitué au sein du Conseil Supérieur, pourrait aborder avant de rédiger un projet d'avis qui serait examiné en réunion plénière.
     Ces questions s'articulent autour de quatre problèmes principaux:
     1. Identification des causes de fissurations de la cuve du barillet et leçons concernant les autres parties du réacteur.
     2. Etat de la prévention contre les fuites de sodium.
     3. Réévaluation des risques d'accidents graves.
     4. Conditions de fonctionnement durant les travaux sur le barillet.
     Nous pensons que, sur un problème important qui interpelle les médias et le public, le Conseil ne pourra pas seulement se contenter d'enregistrer l'avis des experts, si pertinent soit-il.
     Il devrait formuler un avis sur le redémarrage compte tenu de la situation nouvelle créée par l'absence d'un barillet pour lequel la probabilité de défaillance a été très sous-estimée.
     Dans l'attente de votre réponse, nous vous prions de croire, Monsieur le Président, en nos sentiments respectueux.

Identification des causes des fissures de la cuve du barillet
     1. Il y a plusieurs fissures dans la cuve principale du barillet, il s'agit d'un défaut de conception. On n'en connaîtra les causes exactes qu'en janvier. Ne peut-il s'agir de causes (erreur de calcul, procédé de soudage...) pouvant concerner également la cuve du réacteur?
     2. Comment se fait-il qu'EDF envisage d'obtenir l'autorisation de redémarrer le réacteur dès la mi-novembre?
     3. Quel bénéfice y a-t-il à faire redémarrer le réacteur avant janvier 1988?

Prévention contre les fuites de sodium
     4. A quelles conditions sait-on atteindre un état sûr en cas de fuite de sodium à travers la cuve principale du réacteur?
     5. La fuite à travers la cuve principale et la cuve de sécurité du réacteur était affectée d'une probabilité d'occurrence inférieure à 10^-7 fois par an. Peut-on aujourd'hui maintenir ce chiffre après réexamen, et sous réserve de quelles précautions?
     6. N'est-il pas nécessaire, avant redémarrage du réacteur, de procéder à l'inspection complète de la cuve principale du réacteur, qui devrait être opérée en 1988? Si ce n'est pas le cas, quand aura-t-elle lieu?
     7. Des fuites de sodium sont possibles dans d'autres parties de la chaudière nucléaire? Est-on sûr qu'aucune ne concernerait la sûreté nucléaire, notamment au-delà des premières 24 heures?
     8. Tous les systèmes de détection de fuite sont-ils désormais suffisamment fiables?
     9. Les résultats complets du programme «Esmeralda» permettent-ils d'affirmer que l'on saura éteindre tous les feux de sodium envisageables?

Fonctionnement du réacteur pendant les travaux sur le barillet
     12. Le stockage de combustibles irradiés en position de déverminage ne peut-il présenter des risques aggravants vis-à-vis de certaines situations accidentelles?
     13. Le délai plus long pour l'évacuation du combustible en l'absence de barillet ne risque-t-il pas d'aggraver certaines situations accidentelles?
     14. La procédure d'évacuation de combustibles sans barillet ne présenterait-elle pas des risques supérieurs vis-à-vis de la sûreté? vis-à-vis de la protection du personnel?
     15. Des incidents concernant les interventions liées au barillet ne risquent-ils pas d'interférer avec la sûreté du réacteur?
     16. Le fonctionnement du réacteur ne risque-t-il pas d'exposer les intervenants sur le barillet à des risques d'irradiation durant certaines phases des travaux? Quelles sont les garanties?

1. Description de l'incident et des premières mesures prises
1.1.  Description du barillet
1.2.  Historique de la détection
1.3. Mesures prises quant à la sûreté
1.4. Actions vis-à-vis de la fuite
2. Les actions du service central de sûreté des installations nucléaires
2.1. L'analyse de l'incident
2.2. L'information du public
3. Eventualité du fonctionnement ultérieur du réacteur

     Le 3 avril 1987, à la suite des alarmes apparues en salle de commande et des premières investigations menées, l'exploitant de la centrale nucléaire de Creys-Malville a établi l'existence d'une fuite de sodium sur le barillet de stockage des assemblages irradiés et informé les autorités concernées. Cet incident est sans conteste l'événement le plus préoccupant parmi ceux survenus jusqu'à présent dans cette centrale.
     Du point de vue de la sûreté, cet incident, s'il n'a pas posé de problèmes sérieux, nécessite cependant que l'exploitant (EDF pour le compte de la société Nersa) réponde à un certain nombre de questions et fournisse les éléments d'appréciation qui seront analysés par le service central de sûreté des installations nucléaires et ses appuis techniques. L'incident et ses suites (maintien du niveau de sûreté, vidange du sodium contenu dans le barillet, éventuel fonctionnement ultérieur du réacteur) conduisent en effet à des situations qui doivent être examinées en détail.

1. Description de l'incident et des premières mesures prises
     La phase de détection de l'incident a duré environ trois semaines, du fait d'erreurs dans les libellés des alarmes et surtout d'une accoutumance du personnel de la centrale nucléaire de Creys-Malville à l'apparition de certaines alarmes en provenance des systèmes de détection de fuite de sodium.
     Une fois la fuite de sodium confirmée, l'exploitant a mis en place des mesures visant à faire face à une fuite de la cuve de rétention, seul risque plausible lié à l'incident constaté. Par ailleurs, des études ont été entamées et des actions réalisées quant à la localisation de la fuite et sa réparation. Enfin, une réflexion a été amorcée sur l’éventuel fonctionnement du réacteur durant les travaux sur le barillet de stockage.
     Une brève description du barillet précède ci-dessus le détail de l'historique de l'incident et de l'inventaire des actions entreprises.

Schéma n°1
Cheminement d'un assemblage combustible neuf

1.1. Description du barillet
     Le barillet de stockage du combustible irradié est un réservoir rempli de sodium (de l'ordre de 700 tonnes à environ 200°C). Il a pour fonction, d'une part, de permettre la mise en sodium et la manutention des assemblages neufs (combustibles fissiles, fertiles, absorbants) en direction du réacteur et, d'autre part, d'assurer un premier stockage des assemblages combustibles irradiés pour décroissance de leur puissance résiduelle avant leur nettoyage et mise en piscine en eau (cf. schémas n°2 et n°4).
     Le barillet de stockage (cf. schéma n°3) se compose d'une cuve principale, doublée d'une cuve de rétention, suspendue à une dalle en béton. Dans cette dalle, se trouvent notamment les orifices nécessaires au passage des assemblages ainsi que le bouchon tournant permettant une partie des manutentions. Le stockage est assuré sur un manège composé d'un axe pendu à la dalle et d'un sommier à mi-hauteur. Ce sommier soutient les «chaussettes» dans lesquelles sont stockés les assemblages ainsi que des «chandelles» dans lesquelles se positionnent les pieds des assemblages, l'ensemble permettant un stockage sur deux niveaux. Le barillet de stockage communique avec le réacteur par l'intermédiaire d'un sas à tourniquet permettant le transfert des assemblages dans une zone nommée «bec de cafetière» dans laquelle transitent les pots de chargement-déchargement des assemblages.
     Un double circuit de refroidissement assure l'évacuation de la puissance résiduelle des combustibles et le maintien à température stable du sodium. Lorsque la puissance dégagée par les combustibles est insuffisante, des résistances chauffantes assurent cette dernière fonction.
     Pour ce qui concerne les fuites de sodium la cuve principale est doublée par une cuve de rétention. L'espace entre cuves est rempli d'azote et est tel qu'en cas de fuite le niveau du sodium dans la cuve principale reste suffisamment haut pour assurer le refroidissement des assemblages irradiés stockés en position «chandelle». S'agissant de la détection des fuites de sodium, le fond de l'espace entre enceintes est équipé de quatre «bougies» de détection (cf. schéma n°4): la présence de sodium établit le contact entre les deux électrodes de ces «bougies» et ce court-circuit induit une alarme en salle de commande. De même, le fondu puits en béton dans lequel est implanté le barillet est muni de «cordons» de détection de fuite de sodium, agissant selon le même principe.

Schéma n°2
Cheminement d'un assemblage combustible irradié

1.2. Historique de la détection
     Le 8 mars 1987, à 10 heures, l'alarme «fuite de sodium dans le barillet» apparaît en salle de commande. Conformément au libellé de cette alarme, un opérateur se rend dans le bâtiment réacteur examiner le détail de l'alarme dans une armoire électrique par laquelle elle transite. Aucun défaut n'étant signalé dans cette armoire, le service conduite émet une demande de travaux qui est transmise le 9 mars au groupement matériel, ce qui est la procédure normale en cas d'apparition d'une fausse alarme.
     Le 9 mars à 1 heure, l'alarme «présence de sodium dans le puits du barillet» apparaît en salle de commande. L'opérateur se rend de même dans le bâtiment réacteur examiner le détail de l'alarme. Dans le coffret électrique arrivent neuf signaux dont un est positif. La présence de sodium dans le fond du puits du barillet n'apparaît pas crédible pour le chef de quart et l'ingénieur sûreté-radioprotection (puisque l'alarme «fuite du sodium dans le barillet» est réputée fausse et que deux cuves isolent le puits du barillet du sodium).

     Il faut noter que l'exploitant est gêné par des alarmes intempestives en provenance du système de détection de fuite de sodium, en particulier des échangeurs intermédiaires et des échangeurs des circuits de refroidissement de secours, où l'absence de sodium est régulièrement vérifiée mais desquels proviennent des alarmes lors des variations de température. De ce fait, il existait une certaine accoutumance du personnel de la centrale vis-à-vis des alarmes en provenance des systèmes de détection de fuite de sodium, trop vite qualifiées d'intempestives dans le cas présent.
     Les vérifications effectuées à partir du 18 mars et jusqu'au 31 mars conduisent à découvrir des erreurs dans les libellés des alarmes apparues. Une mesure directe confirme alors que les bougies de détection de l'espace entre cuves sont en court-circuit.

1.3. Mesures prises quant à la sûreté
     Face à une telle fuite de sodium, aucune action immédiate n'est nécessaire. En effet, d'une part, le sodium s'écoule dans la cuve de rétention maintenue en azote où il ne peut brûler, et même si les niveaux du sodium dans la cuve du barillet et dans l'espace entre cuves s'équilibrent, les assemblages irradiés stockés dans le barillet restent refroidis. D'autre part, le barillet est dans une zone séparée du réacteur notamment par le puits en béton de ce dernier et par le dôme en acier.
     Ceci étant, une quantité non négligeable de sodium n'est plus séparée de l'atmosphère du bâtiment réacteur que par une simple enveloppe, la cuve de rétention du barillet. Un risque de feu de sodium existant en cas de fuite de cette dernière, l'exploitant met rapidement en place des mesures visant à y faire place. Le 9 avril deux consignes particulières sont opérationnelles pour faire face à une éventuelle fuite de la cuve de rétention. La première a pour objet de remplir le cas échéant le puits du barillet avec de l'argon, par l'intermédiaire des conduits de ventilation, afin d'arrêter un commencement de feu de sodium. La seconde consigne permet la vidange d'urgence du sodium contenu dans le barillet de stockage (le temps nécessaire à l'opération est d'une trentaine d'heures).
     Ces consignes ont été améliorées depuis lors. Parallèlement, la température du sodium a été abaissée à environ 160°C. Par ailleurs, l'exploitant a vidangé de manière quasiment complète l'espace entre cuves les 11 et 12 mai.

2. Les actions du service central de sûreté des installations nucléaires

     Le service central de sûreté des installations nucléaires a été prévenu de la fuite du barillet de stockage le 3 avril 1987 au matin, par appel téléphonique, confirmé dans la journée par l'envoi d'un télex de déclaration d'incident significatif. Depuis lors, les actions engagées par le service central de sûreté des installations nucléaires s'articulent selon deux volets: l'analyse de l'incident et des mesures prises par l'exploitant d'une part et l'information du public d'autre part.

2.1. L'analyse de l'incident
     La première analyse a concerné le maintien en puissance du réacteur. Celui-ci n'apparaissant pas à court terme concerné par l'incident, le service central de sûreté des installations nucléaires n'a émis aucune objection quant à la poursuite de son fonctionnement dans l'immédiat mais a souhaité voir fixé un délai d'arrêt du réacteur compatible avec les hypothèses les plus pessimistes sur la tenue de la cuve de rétention. A la suite d'une analyse approfondie du département d'analyse de sûreté de l'institut de protection et de sûreté nucléaire, relative notamment au risque de fuite de la cuve de rétention sur la base de l'analyse des incidents survenus à KALKAR et BENSBERG (RFA), du dossier de fin de fabrication de cet élément et des calculs de tenue mécanique de la cuve de rétention, le service central de sûreté des installations nucléaires a demandé à la société Nersa de ne pas prolonger le fonctionnement du réacteur, barillet non vidangé, au-delà du 31 mai 1987.
     De plus, le service central de sûreté des installations nucléaires a demandé que le sodium présent dans l'espace entre cuves soit vidangé dès que possible, compte tenu des moyens particuliers à mettre en oeuvre et de leur vérification; ceci a été fait le 11 mai 1987.
     Le service central de sûreté des installations nucléaires a également fait procéder, le 8 avril 1987, à une visite de surveillance de la centrale nucléaire de Creys-Malville afin de recueillir des informations détaillées sur l'historique de la détection de la fuite et sur les mesures prises par la société Nersa. A la suite de cette visite et de l'analyse des procédures d'urgence rédigées par l'exploitant, le service central de sûreté des installations nucléaires a demandé d'une part l'amélioration des procédures proposées et d'autre part de vérifier rapidement la fiabilité des systèmes de détection de fuite de sodium notamment dans la cuve de sécurité du réacteur.

2.2. L'information du public
     Signalons tout d'abord que M. Madelin, ministre de l'industrie, des P et T et du tourisme, a visité la centrale nucléaire de Creys-Malville le 15 avril 1987 en présence de nombreux journalistes et que la commission locale d'information s'est réunie le même 'jour sous la présidence de M. Carignon, ministre de l'environnement, président du conseil général de l'Isère.
     Outre les nombreuses actions d'informations menées par l'exploitant, le service central de sûreté des installations nucléaires en liaison avec la délégation à l'information et à la communication a diffusé une information par l'intermédiaire du magazine minitel du ministère de l'industrie, des P et T et du tourisme relatif à la sûreté nucléaire.
     Le premier commentaire a été diffusé dès le 3 avril. Les informations ont ensuite été réactualisées chaque semaine en fonction des actions effectuées par l'exploitant. A partir du 17 avril, un dossier spécial se présentant sous la forme d'une dizaine de questions-réponses a été rajouté au bulletin habituel. Les points évoqués dans ce dossier étaient les suivants:
     - pourquoi n'arrête-t-on pas les centrales sur chaque incident?
     - que se passe-t-il si l'enveloppe de récupération se perce?
     - à quoi sert le barillet?
     - pourquoi y a-t-il du sodium dans le barillet?
     - faut-il arrêter aujourd'hui le réacteur?
     - quel est le temps de réparation envisagé?
     - faudra-t-il arrêter le réacteur pour réparer?
     - combien coûterait aujourd'hui l'arrêt du réacteur?
     Un article plus complet a été par ailleurs rédigé pour être édité dans le bulletin S.N. n°56 relatif aux mois de mars et avril 1987.

3. Eventualité du fonctionnement ultérieur du réacteur

3.1. Le service central de sûreté des installations nucléaires n'a autorisé le fonctionnement du réacteur que jusqu'au 31 mai 1987 tant que le barillet de stockage ne sera pas vidangé de son sodium.
     L'exploitant envisage, une fois cette opération effectuée, de faire éventuellement fonctionner le réacteur durant la réparation du barillet de stockage, exception faite naturellement des périodes de travaux qui pourraient nécessiter l'arrêt du réacteur.

Schéma n°5

     Le service central de sûreté des installations nucléaires a demandé à l'exploitant d'apporter la justification d'un tel fonctionnement du réacteur sans disponibilité du barillet de stockage. En effet si la disponibilité du barillet n'est pas requise pour le fonctionnement en puissance, il convient de s'assurer qu'il n'existe pas de situation incidentelle ou accidentelle plausible dans laquelle l'indisponibilité du barillet constituerait un facteur aggravant.

3.2. Par ailleurs, compte tenu de l'incertitude relative à la réparation et aux travaux de vidange du barillet, l'exploitant recherche les moyens de disposer dans le coeur du réacteur de la plus grande capacité possible de fonctionnement. Le coeur actuellement présent dans le réacteur peut fonctionner encore durant 150 jours à pleine puissance. Afin de disposer d'une capacité supplémentaire, l'exploitant envisage de charger dans le réacteur par l'intermédiaire du barillet et avant la vidange de celui-ci une soixantaine d'assemblages qui porteraient la capacité de fonctionnement à 380 jours.
     Cette éventualité n'a bien sûr de sens qu'en cas d'accord sur le point 3.1. ci-dessus. Au plan de la sûreté, elle devra être appréciée en regard du retard engendré pour la vidange du barillet et des risques éventuels engendrés par le barillet défectueux par une telle opération. Le service central de sûreté des installations nucléaires a demandé à l'exploitant de présenter les dossiers justificatifs correspondant à ces différentes questions.

Les réacteurs à neutrons rapides:
     Le programme de développement des réacteurs à neutrons rapides a été marqué en 1986 par:
· la montée en puissance du réacteur prototype Superphénix à Creys-Malville, et son raccordement au réseau, et la mise en place de collaborations en R & D avec les partenaires européens et en particulier les Anglais,
· la réflexion menée dans le cadre d'Ecra (Etudes pour la Conception des Réacteurs Avancés) sur la compétivité de la filière (réacteurs et cycle).
     Superphénix a atteint sa puissance nominale de 1.200 MWe le 9 décembre. Quelques incidents ont eu lieu lors de la montée en puissance, comme dans tout prototype. Après un démarrage intervenu avec quelques mois de retard, dus à une série de mises au point sur la régulation et la partie classique de la centrale, des essais ont permis de confirmer notamment la validité des solutions adoptées pour pallier les phénomènes de vibrations parasites apparus lors des essais préliminaires en sodium. Au cours de ce démarrage, comme cela avait été prévu, des informations nombreuses ont été collectées; les outils de calcul ont ainsi été qualifiés et les conditions de fonctionnement de la centrale améliorée. Un incident s'est produit au début de 1987 sur le barillet du réacteur Superphénix (fuite de sodium dans l'intercuve); ceci est gênant (et sans doute coûteux) mais il s'agit d'un élément annexe, utilisé uniquement pour le chargement ou le déchargement des assemblages combustibles et indépendant des circuits principaux et des barrières de sécurité. Le barillet est d'ailleurs un des éléments sur lesquels doit porter le progrès technique et le gain économique. Ce barillet n'existe plus dans l'actuelle conception du projet du futur réacteur 1.500 et une autre solution a été adoptée pour les mouvements de combustibles.

Commentaire G.S.I.E.N.
     Nous sommes d'accord avec la phrase «Quelques incidents ont eu lieu, comme dans tout prototype». Mais nous ne comprenons pas l'affirmation concernant le barillet «Il s'agit d'un élément annexe, utilisé uniquement pour le chargement, indépendant des circuits principaux... Ce barillet n'existe plus pour le futur réacteur 1.500»...
     Et alors? En quoi cette absence apporte-t-elle une solution pour Superphénix? Certes on étudie sa disparition, mais on la remplace par un stockage prévu en cuve principale.
     Tout ce type d'argumentaire ne concerne en rien l'actuel surgénérateur. Par contre répondre aux questions que pose cette fuite concernant la nuance d'aciers, concernant les détecteurs de fuite, devrait être le travail du CEA. A quoi sert de vivre dans l'avenir si le prototype a une panne sur un organe censé n'en avoir jamais?

     Messieurs les Conseillers d'Etat,

     1. Au nom du Bureau de l'A.P.A.G., je tiens à vous remercier de nous avoir accordé cette audience d'urgence. J'ai l'honneur de vous présenter les membres de notre délégation qui sont les professeurs Lucien Borel, Charles Enz, Hansjörg Huggel, le pasteur Alain Perrot et le professeur Jean Rossel. Je me propose de vous expliquer en 10 minutes les raisons de la démarche sans précédent qui nous a conduits à vous demander la présente audience, après quoi les membres de la délégation de l'A.P.A.G. se tiendront à votre disposition pour vous fournir des renseignements complémentaires.

     2. L'objet de la démarche de l'A.P.A.G. est double:
     D'une part, nous tenons à vous donner en primeur certaines informations sur le malfonctionnement du surgénérateur de Creys-Malville, qui confirment nos appréhensions antérieures quant à la mise en danger par le Superphénix de la sécurité nucléaire de Genève et, bien sûr, des territoires français et vaudois adjacents. D'autre part et en conséquence, nous venons vous prier de demander, en tant que Conseil d'Etat, audience au Conseil fédéral afin que ce dernier intervienne énergiquement auprès du Gouvernement français pour obtenir l'arrêt définitif du Superphénix, c'est-à-dire pour empêcher sa remise en marche à la fin du mois d'août 1987 ou, plus vraisemblablement, d'ici la fin de l'année 1987.
     I. Pour l'appréciation des informations qui suivent, il convient de rappeler que le surgénérateur Superphénix de Creys-Malville n'est pas un réacteur nucléaire ordinaire mais un prototype de taille industrielle d'une filière abandonnée par les Etats-Unis d'Amérique en raison des risques inhérents à l'utilisation massive de plutonium (l'un des éléments les plus toxiques qui soit puisqu'il est létal déjà à l'échelle du millionième de gramme) et à la métallurgie mal maîtrisée du sodium, métal qui s'enflamme spontanément à l'air libre et explose au contact de l'eau. Il convient de rappeler aussi que, contrairement aux réacteurs nucléaires dits conventionnels, un réacteur surgénérateur tel que le Superphénix peut être le siège d'une véritable explosion nucléaire, pudiquement baptisée excursion nucléaire et ravalée au rang de «risque résiduel» par les promoteurs.
     II. Les promoteurs du Superphénix ont fait accroire à l'opinion publique que ce réacteur était victime d'un incident somme toute mineur et périphérique, qui allait être réparé à la faveur d'un «arrêt de routine» de trois mois. La vérité est tout autre, même en s'en tenant au seul problème du barillet, unique moyen de charger et de décharger le réacteur. En effet, la fuite de sodium intervenue dans ce barillet fait apparaître à tout le moins trois types de problèmes mettant en cause la sécurité de l'installation:
     D'une part les installations annexes dites de lavage du sodium et l'atelier pour l'évacuation du combustible irradié ne sont toujours pas achevées, de sorte que l'on se trouve dans la situation d'une salle de spectacle ou d'une usine mise en service avant l'achèvement des sorties de secours.

III. Il y a beaucoup plus grave que cet incident technique complètement imprévu, c'est le malfonctionnement du système d'alerte qu'atteste la chronologie suivante la fuite du sodium fut détectée le 3 mars 1987. Elle aurait dû être aussitôt signalée au SCSIN, le Service Central de Sûreté des Installations Nucléaires, dont le sigle imprononçable lui a valu, dans les milieux nucléaires français, le surnom de «zinzin». Or elle ne le fut que le 9 avril. Ce retard a provoqué une vive émotion, tant au sein du SCSIN qu'au sein du Conseil de sûreté nucléaire, à telle enseigne qu'une enquête administrative a été ouverte pour découvrir les causes et les responsables de ce coupable retard. Nous tenons ce renseignement d'un membre du Conseil de sûreté nucléaire qui a accepté d'être nommé: il s'agit de M. Raymond Sené, docteur en physique nucléaire, chargé de recherche au CNRS, qui travaille au laboratoire de physique corpusculaire du Collège de France. Il convient de rappeler que s'il a fallu plus d'un mois à l'exploitant pour informer de la fuite du sodium le SCSIN, l'arrêt de la centrale, lui, est intervenu six semaines plus tard, soit le 27 mai seulement.
IV. Malheureusement, il y a plus grave encore: le calcul des marges de sécurité du surgénérateur de Creys-Malville fait désormais problème pour deux raisons complémentaires, l'une très générale, l'autre particulière à ce type de réacteur et mise en lumière par une découverte récente d'un groupe de scientifique de Brême.
     Quiconque pratique tant soit peu l'histoire des techniques sait que les coefficients de sûreté des installations industrielles sont passées au cours des décennies écoulées de 10 à 3, puis à 2, à 1,5 enfin à 1,05 pour des raisons d'économie beaucoup plus que pour des raisons de faisabilité. C'est à cette lumière qu'il convient d'apprécier la capacité de résistance de l'enceinte de confinement aux 800 MJ d'énergie mécanique de l'accident de référence visé par le décret portant autorisation de construire.
     Or, la firme d'ingénieurs conseils Kollert, Donderer & Boikat de Brême a démontré récemment dans une série d'études dont nous vous avons communiqué les références et les conclusions principales, que les calculs de l'accident de référence, tant pour le réacteur de Kalkar que pour celui de Creys-Malville, sont entachés d'incertitudes considérables. Il en résulte notamment que si même l'enceinte de confinement du Superphénix résistait à un dégagement de 800 MJ, elle ne résisterait certainement pas à un dégagement d'énergie mécanique nettement supérieur dont la possibilité ne saurait désormais être écartée au vu des études du groupe de Brême.

3. J'en arrive à notre conclusion. L'arrêt actuel du surgénérateur de Creys-Malville offre au Conseil d'Etat de Genève une chance historique unique d'intervenir auprès du Conseil fédéral pour que ce dernier presse le Gouvernement français de renoncer à la remise en marche de Superphénix. Il y va, à notre avis, de la sécurité nucléaire de notre canton et des territoires français et vaudois adjacents qui sont comme nous sous le vent de Creys-Malville. Que ce dernier ne devienne pas un Super-Tchernobyl, voilà en bref notre grande préoccupation.

     Les promoteurs du nucléaire tranquillisent les citoyens en disant que la probabilité d'occurrence d'un accident majeur au surgénérateur de Creys-Malville est extrêmement faible (de l'ordre de 1 fois en 100.000 ans), entretenant l'illusion que le risque correspondant peut être considéré comme négligeable. Afin de mieux tromper l'opinion, ils utilisent l'euphémisme «risque résiduel».
     Il est vrai que les efforts considérables de la recherche en matière de sécurité et les crédits énormes investis dans la technologie nucléaire ont diminué la probabilité d'occurrence d'un accident majeur dans une proportion remarquable. Malheureusement, le risque dépend d'un autre facteur essentiel, qui est l'ampleur de l'accident et de ses conséquences.
     Le fait d'invoquer seulement la faible valeur de la probabilité d'occurrence pour laisser croire que le risque est pratiquement nul est une imposture scientifique et éthique pour les deux raisons suivantes:
     D'une part, les calculs de probabilités s'appuient sur des modèles qui ne peuvent être que grossiers par rapport à la réalité, étant donné l'extrême complexité d'un surgénérateur. Ils sont donc forcément entachés d'incertitudes, d'omissions et d'erreurs qui rendent les résultats sujets à caution, pour ne pas dire totalement illusoires (les incidents intervenus dans les accidents graves connus, comme ceux de Three Mile Island et de Tchernobyl n'avaient pas été prévus dans les calculs de probabilités, tout comme les incidents récents ayant nécessité l'arrêt de Creys-Malville.