Gazette Nucléaire

La G@zette Nucléaire sur le Net!
N°88/89

LA SÛRETÉ NUCLÉAIRE
DES PRINCIPES À LA RÉALITÉ

     La sûreté en matière d'industrie nucléaire est un vaste domaine dont les motivations annoncées sont la protection de l'homme et de l'environnement vis-à-vis des risques potentiels de ces installations et surtout la diminution de ces risques potentiels.
     Des efforts importants de sûreté sont investis nous dit-on. Oui semble-t-il mais, avec toute ma mauvaise foi, je vais m'efforcer de vous montrer ce qui ne va pas, afin de contrebalancer le discours officiel qui dit que tout va bien.
     Souvent dans ce discours officiel revient une comparaison avec d'autres industries, avec d'autres sources d'énergie et on voit apparaître avec consternation les victimes de l'exploitation charbonnière. Tout d'abord, si on veut faire une comparaison sérieuse il faut comparer d'une part extraction de charbon et extraction d'uranium et d'autre part centrales à charbon et centrales nucléaires. Mais qu'importe, plaçons-nous sur le terrain du discours officiel, et posons-nous la question, pourquoi investit-on, semble-t-il, tant dans la sûreté en matière de nucléaire et si peu dans les charbonnages? Sûrement pas pour faire plaisir aux écologistes. Réfléchissons en faisant un retour en arrière.
     En 1957 à WINDSCALE, en Angleterre, un incendie du graphite et de l'uranium conduit à une destruction du réacteur et à son arrêt. Des rejets radioactifs provoquent un certain nombre de morts par cancers et leucémies dans la population (contestés officiellement jusqu'à la déclassification des dossiers en janvier 1988). Trente ans plus tard on estime qu'il faudra 10 ans de travail pour décontaminer et ce pour un coût énorme.
     En 1969 à SAINT LAURENT 2, en France, fusion de plusieurs éléments combustihles, un an d'arrêt du réacteur pour réparations. (En 1980, à nouveau même type d'incident: 2 ans d'arrêt)

(suite)

suite:
     En 1979 THREE MILE ISLAND; aux Etats-unis, un coeur de réacteur détruit aux trois-quarts (nous allons revenir sur cet accident), peu de rejets dans l'environnement. Aujourd'hui, en 1988 (11 ans après) on sait que ce réacteur qui avait à peine un an de fonctionnement nécessitera encore des années de travail pour son démantèlement et ce, pour un coût comparable à celui de sa construction (environ un milliard de dollars).
     En avril 1986, TCHERNOBYL en Ukraine, un réacteur détruit, pour le moment au moins une trentaine de morts, des dégâts écologiques considérables (Monsieur Tanguy vient de nous donner le montant de l'estimation des coûts, environ 10 milliards de roubles, c'est-à-dire environ 60 milliards de francs).
     Pour WINDSCALE, THREE MILE ISLAND, TCHERNOBYL il faut chiffrer l'investissement définitivement perdu, la perte de production, le coût du démantèlement. Comparez aux accidents dans les mines un coup de grisou dans une galerie, de trop nombreux morts et au bout de quelques jours l'exploitation reprend.
     Avec un peu de cynisme on comprend alors pourquoi un effort important de sûreté a été consenti dans le nucléaire. Ce n'est pas pour protéger l'homme et son environnement, mais pour protéger l'outil de production, l'investissement qu'il représente. Le représentant d'EDF vient de vous le dire: «nous ne sommes pas fous, nous protégeons nos installations».
     Mais tout compte fait, comme seul le résultat compte, il est heureux que le nucléaire soit cher, cela force les industriels à la sagesse. Seulement une sagesse basée sur la peur de l'accident conduit toujours à un relâchement dès que l'épée de Damoclès s'éloigne.
     En France, aujourd'hui, la sûreté repose sur une assise fondamentale la qualité de la conception, de la construction et de l'exploitation.

p.27

     Cette assise est réglementée par un arrêté du 10 août 1984 tellement précis qu'une circulaire explicative est nécessaire et, comme nous sommes quand même plus latins que germains, un article prévoit que des dérogations pourront être accordées. Ouf! nous sommes rassurés.
     Tout ceci serait fort beau si cette assise de la sûreté n'était pas une assise en papier, constituée de magnifiques dossiers consciencieusement archivés.
     Pour ce qui est de la qualité de la conception, prenons l'exemple de CATTENOM.
     Sur ce site situé sur la Moselle, à une dizaine de kilomètres de Thionville et à une vingtaine de kilomètres de Luxembourg ville, EDF a construit 4 tranches de 1.300 MWe. Les autorités de sûreté avaient à l'époque donné un avis défavorable au choix de ce site, avis qui ne fut suivi comme effet que de la démission du responsable et non de l'abandon du projet. L'argument essentiel développé était le chiffre de la population cumulée autour du site: 1.500.000 habitants dans un rayon de 50 km. Rappelons qu'à Tchernobyl les autorités russes ont évacué les populations dans un rayon de 30 km autour de la centrale. Cela a concerné 135.000 habitants tandis qu'à Cattenom cela impliquerait 650.000 personnes
     Les tranches construites sont du palier P'4. Ce palier est déduit du palier P4 (le palier 1.300 MWe de Westinghouse) par une francisation qui a conduit, entre autre, à «dégraisser» un peu les installations en réduisant les marges de sécurité et en modifiant pour les simplifier certaines installations.
     Le paramètre utilisé pour dimensionner l'enceinte de confinement, c'est-à-dire l'enveloppe de béton armé qui jusqu'en 1986 était censée rester toujours étanche et interdire toute sortie de radioactivité en cas d'accident, est le volume d'eau du circuit primaire. Cette eau portée à environ 300°C sous 155 bars créerait, en cas de rupture du circuit primaire, une surpression à laquelle l'enceinte doit résister.
     A CATTENOM, alors que la construction du gros oeuvre est commencée, on s'aperçoit que l'estimation du volume d'eau du primaire est plus importante que ce qui avait été calculé dans un premier temps. Une erreur cela peut arriver, mais à ce niveau de la conception on ne parle pas d'erreur humaine. Ce terme de vocabulaire est réservé aux opérateurs ou aux rondiers s'ils confondent deux vannes ayant le même numéro.
     Ce petit détail a des conséquences simples:
     - Si rupture de canalisation: volume d'eau évaporé plus important que prévu
     - pression dans l'enceinte plus élevée que prévue
     - donc enceinte non conforme...
     Le réflexe du taupin est rapide: si on augmente le volume à la même température, la pression diminue, donc c'est gagné. La hauteur du bâtiment réacteur fut augmentée de 1,60 m, et ce n'est qu'après coup qu'on a commencé à envisager l'effet de cette modification sur le comportement en cas de séisme.

(suite)

suite:
     Manque de chance pour le S.M.S. (Séisme Majoré de Sécurité), la limite élastique des aciers du ferraillage risque d'être dépassée au niveau du raccordement du fût de l'enceinte avec sa fondation. Bien sûr, le S.M.S. contient la marge de sécurité qui conduit à prendre en compte un niveau d'intensité supérieur d'un degré à celui du séisme maximal historiquement vraisemblable. On pourrait fermer les yeux. Mais si on commence, autant abandonner tout de suite les justifications de la sûreté.
     Regardons maintenant la qualité de la construction, et à titre d'exemple je vais vous narrer cette fois les problèmes rencontrés sur les coudes du circuit primaire des réacteurs à eau légère.
     Pour situer le problème, voici un schéma représentant le circuit primaire d'une tranche de 900 MWe avec ses trois boucles. (figure 1):

     Ce circuit primaire est la deuxieme barriere présentée avec emphase dans tous les discours sur la sûreté. La première barrière est constituée par les enveloppes des aiguilles de combustible et la troisième par le bâtiment réacteur: l'enceinte de confinement. La résistance et l'intégrité du circuit primaire sont essentiels. Il véhicule 65.000 tonnes/heure d'eau à environ 300°C sous une pression de 155 bars dans des canalisations de l'ordre de 80 cm de diamètre (ce chiffre est arrondi puisque c'est la transcription en centimètres d'une dimension en pouces, l'indépendance énergétique française passant par une licence Westinghouse...). Les coudes que vous pouvez voir sur la figure 2 (5 par boucle) sont fabriqués par moulage, en sous-traitance, dans les ateliers de Creusot-Loire, Henricot et Manoir-Pompey. Donc sur un réacteur 900 MWe nous avons 15 coudes et sur un réacteur des paliers P4, P'4, N4 (1.300 à 1.450 MWe) nous avons 20 coudes.
     A la suite de reprises de défauts d'états de surface consécutifs au moulage, on s'aperçut fin 1981, début 1982 sur des pièces destinées à la centrale de KOEBERG (Afrique du Sud) qu'il y avait des sous-épaisseurs. Des mesures sur les éléments non encore montés montrèrent alors que de nombreuses pièces étaient fautées. Mais comment faire pour les installations en fonctionnement?
     C'est là qu'on vit apparaître le génie administratif français. Puisqu'il est de règle de faire des dossiers, et bien, consultons les. On arriva alors au résultat suivant: environ 1 coude sur 5 comporte des sous-épaisseurs allant, pour quelques-uns, jusqu'à 15% de l'épaisseur nominale et ce pour des éléments dont certains sont en service depuis 1977 (FESSENHEIM).

p.28

     Les dossiers de mesure avec les fiches d'anomalies existaient mais depuis près de 10 ans personne n'en avait tenu compte.
     La première mesure corrective fut, d'après les textes officiels «d'affiner les calculs pour mieux dégager les marges réelles, actuellement masquées par le conservatisme des codes» «en vue de justifier les sous-épaisseurs». Ce qui en langage de pékin moyen peut se traduire par «on reprend les calculs en bricolant les paramètres jusqu'à ce que les épaisseurs fabriquées donnent une résistance théorique conforme aux exigences de la sûreté».
     Espérons que ce n'est pas à la suite de tortures intellectuelles analogues des codes de calcul que l'hiver dernier certaines structures des remonte-pentes ont eu des états d'âme.
     Depuis, pour les éléments qui étaient accessibles et dont le défaut dépassait 10 pour cent on a rechargé en métal. Pour les tranches divergées, le contrôle lui-même s'avère délicat en raison des débits de dose pour le personnel.
     S'il n'y avait que ce problème des coudes moulés... Mais en fait ce n'est qu'un des éléments d'un vaste ensemble de défectuosités de montage ou de malfaçons en fabrication.
     Souvenez-vous en 1979, les syndicats bloquent les machines de chargement de combustible sur TRICASTIN, GRAVELINES et DAMPIERRE pour forcer la direction d'EDF à faire étudier les fissurations sous revêtement des brides de raccordement à la cuve et des plaques tubulaires des générateurs de vapeur. Ces pièces en acier noir sont recouvertes par «beurrage» d'une couche d'acier inoxydable pour les protéger de l'eau du circuit primaire. Les contraintes thermiques induisent des fissures à l'intérieur dans la zone de contact de deux matériaux. Ces problèmes, en particulier sur les plaques tubulaires de générateurs de vapeur, n'étaient pas nouveaux. Ils avaient été soulevés dès 1976. Mais à cette époque, le programme nucléaire était en pleine euphorie et rien ne devait le retarder.
     Depuis on a détecté des anomalies de fabrication sur divers composants, certains de grande dimension comme le pressuriseur. Mais une fois mis en place, bloqué dans sa casemate il est quasi impossible d'aller reprendre les
soudures défectueuses. Encore une fois, ce qui primait, c'était les délais, la rapidité de construction.
     Au travers de cette analyse, on a le sentiment que le discours politique et le discours économique priment le discours technique. Politique car en France, le programme de construction nucléaire a été décidé par l'Etat qui a ainsi accepté de se placer sous la dépendance de groupes technocratiques et il n'était pas question de donner prise à la contestation. Economique, nous l'avons vu en 1979 avec la question des fissures.

suite)

suite:
     Tout d'abord ces fissures sont apparues en raison de la simplification de la procédure technique proposée par Framatome pour gagner du temps donc de l'argent, modification de procédure acceptée par EDF et par les autorités de sûreté. Puis une fois les défauts détectés, les calculs qui ont été refaits ont été effectués en tirant sur les hypothèses (modélisation des formes des fissures par exemple), afin de montrer que ces fissures ne deviendraient gênantes qu'au bout de 20 ou 30 ans. Ainsi les frais de réparation repoussés du présent à un futur lointain devenaient négligeables, grâce à des calculs avec des taux d'actualisation dont les économistes d'EDF ont le secret. Nous avons déjà eu droit au même raisonnement pour expliquer qu'il n'est pas utile de provisionner pour l'opération de démantèlement des réacteurs.
     Pour la qualité de l'exploitation, je ne citerai que deux exemples:
     1. TRICASTIN, 20 février 1987. Une fuite sur le circuit d'injection de sécurité d'acide borique. C'est un élément essentiel à la sûreté du réacteur. Une réparation par bricolage a été réalisée sans arrêter le réacteur, et même sans prévenir les autorités de sûreté. Comme on dit pudiquement à EDF, «il y avait divergence d'appréciation sur l'application des règles d'intervention sur les circuits importants pour la sûreté, entre l'Ingénieur de Sûreté et Radioprotection et le Chef de Centre». Si on se met à faire des courses entre unités de production pour le ruban bleu de la plus longue période de fonctionnement sans arrêt d'urgence, il va arriver des tchernobyleries dans nos campagnes. Il n'empêche que le SCSIN (Service Central de Sûreté des Installations Nucléaires - Ministère de l'Industrie), en apprenant la chose a piqué son coup de sang et a fait arrêter la tranche, le 13 mars. Cela ne faisait que trois semaines qu'on batifolait avec la sûreté.
     2.-CREYS-MALVILLE, dès le 8 mars 1987, les systèmes de détection de fuite de sodium dans l'espace entre la cuve du barillet et son enceinte de sûreté donnent des alarmes. Les responsables de la sûreté de SUPERPHENIX mettent en doute le fonctionnement des bougies de détection, la fiabilité du système de transmission et se décident la mort dans l'âme, à aviser les autorités de sûreté le 3 avril, près d'un mois plus tard. Ce manquement grave aux consignes nous fait nous poser des questions quant à «la qualité de l'exploitation». Quand on réalise que ce sont des dispositifs du même type qui sont censés surveiller toute fuite de sodium provenant de la cuve du réacteur, on ne peut qu'être atterré par le comportement des opérateurs. A moins qu'effectivement ces bougies soient défectueuses, mais alors en quoi peut-on faire confiance?

p.29

     Je n'avais pris que ces deux exemples, mais l'actualité vient de m'en apporter un troisième. Je me contenterai de citer un article du journal Le Monde daté du 22 janvier 1988:
     «Des essais sans autorisation à la centrale nucléaire de PALUEL. Les équipes de la tranche numéro un de la centrale nucléaire de Paluel ont failli aux règles de la sûreté dans la journée du 24 novembre 1986 en procédant sans autorisation à des essais sur le réacteur. (...) Cette information fournie, plus d'un an après l'incident, par une source anonyme, mais confirmée depuis par EDF. (...) Ce défaut de procédure administrative n'est pas du goût du Service Central de Sûreté des Installations Nucléaires, qui estime que cette opération constitue, du point de vue de la sûreté, une démarche inacceptable (...)».
     Mon seul commentaire, en l'absence d'informations détaillées: il est heureux qu'il existe des sources anonymes pour permettre aux autorités de sûreté de faire leur travail, même si c'est à retardement.
     Il y a une façon complémentaire d'aborder la sûreté, c'est le retour d'expérience. Ceci porte aussi bien sur les petits incidents courants que sur les accidents de grande ampleur. Compte tenu de l'importance du parc de réacteurs à eau légère, l'expérience tirée de Tchernobyl ne porte que très peu sur la sûreté mais surtout sur la sécurité, c'est-à-dire sur les procédures post-accidentelles. Par contre, THREE MILE ISLAND, bien que moins grave, aura été une source d'enseignement incomparable. Mais avons-nous bien retenu la leçon?

(suite)

suite:

Souvenez-vous, le 28 mars 1979, tôt le matin, survenait sur la tranche 2 de la centrale de Three Mile Island, un enchaînement d'incidents qui conduisait à l'accident considéré jusqu'en 1986 comme le plus grave. Avec Tchernobyl, les Russes ont repris la tête... En fait, sur le plan technique, T.M.I. est bien l'accident qui nous concerne le plus. Il est survenu sur un réacteur d'un modèle très voisin de ceux qui constituent l'essentiel de notre parc. (Et je vous renvoie donc à la Gazette N°26/27 à ce sujet...)
La suite vous la connaissez, il a fallu plusieurs années pour pouvoir pénétrer dans le bâtiment réacteur et lorsque les spécialistes purent enfin faire entrer une caméra dans la cuve, ils furent effarés de constater que les dégâts subis par le combustible étaient beaucoup plus graves que ce qu'ils avaient pensé. Les plus optimistes estimaient qu'une partie du coeur s'était effondrée en raison d'une destruction partielle des gaines. Ce qu'ils découvrirent c'est qu'en plus, une partie du coeur avait fondu.

p.30

     La boutade des ingénieurs de Westinghouse, le syndrome chinois, c'est-à-dire le coeur fond et la masse auto-entretenant sa température transperce cuve, béton et s'enfonce dans le sol, s'enfonce, s'enfonce jusqu'à ressortir en Chine, cette boutade, du moins dans sa première partie, avait failli devenir une réalité.
     Cet accident eut bien évidemment un effet considérable sur le moral des pays occidentaux équipés en grande majorité de réacteurs à eau légère et en particulier à eau pressurisée. Aussitôt, pour calmer l'opinion publique, on parla d'erreurs des opérateurs, ce qui était satisfaisant pour l'esprit. Mais au sein des services de sûreté, l'analyse de cet accident fut lancée afin de tirer le maximum d'enseignements pour notre propre matériel. Il était aisé d'accuser le générateur de vapeur du type BabcokWilcox d'avoir une inertie en eau plus faible que le type Westinghouse que nous utilisons, mais en fait cette différence n'est pas significative pour la genèse de l'accident.
     La première fautive identifiée est l'électrovanne du pressuriseur.
     Or sur le parc français les pressuriseurs sont équipés du même modèle d'électrovanne et on retrouve en d'autres endroits du circuit hydraulique des vannes de la même technologie. Le défaut constaté à T.M.I. n'est pas une nouveauté pour nous. Le 21 mars 1979, une semaine avant T.M.I., le même scénario s'était déroulé à BUGEY 5 pendant les essais à chaud, c'est-à-dire ouverture de la vanne de décharge du pressuriseur et rupture de la membrane du ballon de décharge. Le 3 avril 1979, une semaine après T.M.I., à GRAVELINES c'est une soupape de sûreté du circuit de refroidissement du réacteur à l'arrêt qui s'ouvre et ne se referme pas pendant les essais à chaud. On vide dans le bâtiment réacteur environ deux fois le volume du circuit primaire.
     Depuis, des incidents ont continué à avoir lieu car les soupapes ont tendance à ne pas se refermer et les vannes sont difficiles à qualifier aux conditions d'ambiance accidentelle.
     Dès 1981, EDF a étudié la possibilité de remplacer ces équipements par les soupapes pilotées SEBIM et en 1988 il n'est pas évident que tous les problèmes soient résolus ni que toutes les tranches soient entièrement équipées. On voit ici les problèmes liés à une technologie très délicate et à l'inertie d'un énorme programme. En 1986 le SCSIN réclamait à EDF l'inventaire de toutes les vannes de ce type...
     Autre préoccupation, les tableaux d'affichage des salles de commande. Ceux de T.M.I. étaient d'une conception désuète, sans hiérarchisation des alarmes, chose pourtant courante en 1979 sur les tableaux de bord des avions. Si tous les voyants s'allument en cascade, transformant la salle en arbre de Noël, il devient impossible de savoir quel est l'événement initiateur de toutes les alarmes. En France la situation était du même genre et malgré les améliorations apportées, il reste des aberrations conduisant à des situations critiques. En 1984, sur BUGEY 5, on a frisé la catastrophe par perte d'alimentation électrique du réacteur parce qu'un signal d'alarme important était regroupé dans une vérine avec d'autres fonctions qui étaient l'objet de fausses alarmes fréquentes. En 1986, sur BLAYAIS 3, au redémarrage, on a fonctionné 4 heures hors critères de sûreté (sans injection de sécurité) parce qu'en configuration de redémarrage de nombreuses vérines sont allumées, signalant des fonctions ou des paramètres non en position standard et de ce fait les alarmes réelles n'ont pas été vues.

(suite)

suite:
     Autre leçon sur T.M.I., la vanne de l'alimentation de secours des générateurs de vapeur était fermée, grave manquement aux consignes dû à un oubli après redémarrage.
     La situation n'a pas changé, il y a tellement de fonctions à consigner lors d'un arrêt de tranche, que dans la précipitation d'un redémarrage (pas de perte de production s.v.p.) il y a des déconsignations oubliées. Pour n'en citer que quelques-unes parmi les plus récentes:
     FESSENHEIM 2, septembre 1987, 2 pompes à basse pression du circuit d'injection de sécurité non reconnectées au réseau d'alimentation. L'alarme étant commune à la basse pression et à la moyenne pression, le défaut ne sera vu qu en arrivant en moyenne pression.
     TRICASTIN 3, octobre 1987, 2 pompes du circuit d'aspersion de l'enceinte non rebranchées.
     BLAYAIS 3, octobre 1986, injection de sécurité hors service: moteur non branché, vannes fermées, dispositif d'automatisme de l'injection de sécurité inhibé. L'ensemble de ces défauts ne sera vu que 4 heures après le démarrage.
     Parmi les leçons essentielles à retenir, il y aura bien évidemment la nécessité de la formation du personnel et de la rédaction de notices d'intervention permettant d'effectuer les bonnes manoeuvres même en cas d'affolement. Mais n'oublions pas qu'à T.M.I., si les opérateurs ont pataugé, c'est en raison de notices inadaptées, d'appareils de mesure dont les gammes d'échelles étaient insuffisantes, de sorties d'ordinateurs ininterprétables en raison d'overflow (nombre de bits insuffisants). Ces erreurs sont des erreurs de conception et non de conduite. Mais c'est un réflexe facile pour les ingénieurs du niveau conceptuel ou décisionnel de se décharger sur le lampiste plutôt que de prendre leurs responsabilités.
     Revenons à Bugey, en 1984, pendant la perte d'alimentation électrique. La plupart des divagations de l'alimentation étaient dues à une erreur de conception de la logique de sûreté. Tout était prévu pour que des tensions soient à leur valeur nominale ou à zéro. Mais nos spécialistes avaient en toute rigueur oublié qu'une tension pouvait ne pas se couper brutalement, mais baisser lentement, ce qui provoque des états d'âme aux relais électromécaniques.
     La dernière leçon de T.M.I. que je vais évoquer concerne la philosophie même des barrières. Pendant 10 ans toute l'information d'EDF, toute la propagande, utilisait l'image des matriochkas, ces poupées russes qui s'emboîtent, pour décrire les trois barrières consécutives qui devaient assurer le confinement absolu des produits radioactifs en cas d'accident majeur. Les trois barrières sont (pour mémoire) le gainage du combustible, le circuit primaire et le bâtiment réacteur. T.M.I. a fait voir que même avec une petite brêche, donc avec une pente lente d'eau, la montée de pression conjuguée à une explosion d'hydrogène, faisait approcher dangereusement de la limite de résistance mécanique de l'enceinte. De plus la formation d'un corium, masse en fusion comprenant entre autres le combustible fondu, peut conduire à une situation hors dimensionnement. Ce corium attaquerait le béton du sol en dégageant un fort volume de gaz carbonique. La pression totale risquerait d'ouvrir l'enceinte en ses points faibles. La notion de troisième barrière a vécu.

p.31

Aussi un palliatif a été imaginé. Il est prévu de faire chuter la pression dans le bâtiment réacteur en faisant sortir les gaz en passant à travers un filtre grossier constitué de lits de sable, sable destiné à piéger entre autres, une partie des iodes. Ce sont les fameux bacs à sable en cours d'installation. Espérons qu'aucun responsable de site n'aura à prendre la décision de les utiliser car il sera toujours possiblè de lui faire valoir ensuite que son relâchement de produits radioactifs n'était pas utile. Par contre, il est à craindre que ces filtres s'avèrent inutiles si le scénario se développe trop rapidement sans lui laisser le temps de référer à sa hiérarchie. On a vu à Tricastin que les divergences d'interprétation de l'esprit des textes peut conduire à tergiverser pendant une bonne semaine
Après cet inventaire alarmant, faut-il considérer que rien ne marche? Ce n'est évidemment pas la situation actuelle. Le parc nucléaire fonctionne avec un facteur de charge qui semble satisfaisant. Mais il ne faut pas se leurrer. Une voiture peut rouler à vive allure sur autoroute avec des pneus lisses et des freins défaillants. Tant qu'il n'y aura pas de problèmes de circulation et que la chaussée sera sèche, le chauffeur pourra se vanter des moyennes éblouissantes réalisées. Nous ne souhaitons pas qu'il rencontre des nappes de brouillard... Le pays est engagé dans un programme démesuré, construit trop vite, ne laissant pas la place à une diversification des sources d'énergie. Pour le moment, il faut bien vivre avec. Nous ne voudrions pas avoir eu raison en criant «au loup». L'importance du parc provoque une inertie considérable, donne des délais énormes à la mise en oeuvre de modifications indispensables. Il faut étaler dans le temps pour ne pas tout arrêter en même temps, production d'electricité oblige. Rappelez vous seulement le problème des portes arrière des avions DC 10. Le problèmne du mauvais verrouillage était connu. Les modifications définies. Mais il n'était pas question d'immobiliser une part importante du parc pour intervenir rapidement. Il avait été décidé d'étaler les réparations. Cet étalement fut aussi celui des passagers lorsqu'une porte s'est ouverte au-dessus d'Ermenonville... Aussi, au vu de tous les petits incidents, sans suite, de ces petites alarmes, de la chance manifeste qui dans des situations critiques a permis de «passer» comme disent les spécialistes, il faut redoubler de vigilance et de rigueur.

(suite)

suite:
     J'espère que l'attitude des autorités de sûreté, suivies en cela pour une fois par le pouvoir politique, va se maintenir. En effet, pour CREYS-MALVILLE, elles ont répondu au volumineux mémoire d'EDF (plusieurs milliers de pages) justifiant la demande d'autorisation de redémarrer Superphénix sans son barillet, qu'elles souhaitaient non pas des principes théoriques mais des dispositions pratiques détaillées.
     Espérons que l'effet de relance de la sûreté lié à Tchernobyl ne soit pas un feu de paille. Rappelons qu'au lendemain de T.M.I., les responsables de la sûreté, plein de la volonté de faire passer des mesures qu'ils préconisaient depuis longtemps, s'étaient heurtés au mur d'EDF, conforté par le mur politique. Leur dynamisme s'est émoussé au fil des années et il a fallu Tchernobyl en 1986 pour que les sommes investies par EDF en 1987 dans les mesures post T.M.I. remontent au niveau de 1985.
     Il fallut Tchernobyl pour que le SCSIN réalise pleinement la faiblesse de ses moyens en hommes pour une aussi lourde tâche malgré un programme de constructions réduit, mais avec maintenant un parc vieillissant où la fatigue du matériel prend le relais des pannes de jeunesse.
     Pour conclure, je vous montrerai une figure allégorique qui, à mon avis, symbolise assez bien l'enthousiasme d'EDF à améliorer la sûreté de son parc de centrales, entraîné dans cette voie par des autorités de sûreté dynamiques:

Document présenté par Raymond Sené
au Conseil Général du Tarn et Garonne,
Montauban,
21-23 janvier 1988.
Colloque
Nucléaire - Santé - Sécurité
p.32

Retour vers la G@zette N°88/89