La G@zette Nucléaire sur le Net! 
N°100
LE RAPPORT TANGUY

     La Gazette vous offre l'ensemble du dossier Tanguy avec en prime une analyse des incidents faite par EDF aussi.
     Ce dossier a fait un boum, cependant il reprenait des arguments déià développés à Montauban sur le même sujet[1]. il est vrai qu'on a parfois raison trop tôt.
     Enfin le fait est là: Tanguy se préoccupe beaucoup de l'accident possible et essaie de secouer le personnel d'EDF.
     Quant à nous, nous espérons qu'il ne s'agit pas seulement d'écrits et de cogitations à haut niveau. Il faut donner le temps et le personnel pour éviter les redémarrages hatifs. Il faut que le ruban bleu ne soit pas pour les kW mais pour la meilleure sûreté.
     Il y a un décalage entre ce qui est fait sur un site et les grands colloques...		      Saluons une autre initiative d'EDF, une enquête épidémiologique enfin lancée sur le personnel compte tenu des résultats des enquêtes anglaises: l'incidence d'une irradiation faible mais répétée sur le père dans l'apparition de cancers chez les enfants.
     A ce sujet, la conclusion de l'article du Monde (février 1990) était très claire «comment en France avec un parc aussi étendu n'avons nous pas lancé d'études épidémiologiques. Ceci permet d'affirmer qu'il n'y a pas d'effet mais ne convainc plus personne»...
     Rappelons qu'à la commission de la Hague nous avons tenté d'obtenir le démarrage d'une enquête et que nous ne parvenons pas à trouver le financement. Compte tenu de problèmes autour de Sellafield, il faudrait quand même se décider à faire des études autour et dans la Hague, et ne pas se conforter avec l'argument «Sellafield rejette plus que la Hague, donc on ne peut pas avoir les mêmes problèmes».
     L'incantation n'a jamais protégé...
p.3a
1. Actes du colloque «Nucléaire, Santé, Sécurité», Montauban, 21-22-23 janvier 1988.
 RAPPORT DE SYNTHÈSE
La sûreté nucléaire à EDF à fin 1989
 
     L'Inspecteur Général pour la Sûreté Nucléaire a pour première mission d'être le garant, tant vis-à-vis du Directeur général que de l'opinion publique, d'une bonne prise en compte des préoccupations de sûreté dans les installations nucléaires d'EDF. C'est dans ce cadre que mon rapport annuel s'attache à présenter une vue globale de la sûreté nucléaire dans l'Entreprise à fin 1989.
   J'avais écrit dans mon rapport de l'année dernière que 1988 avait été une bonne année pour la sûreté nucléaire à EDF, en particulier en raison de l'absence d'incident très significatif pour la sûreté. L'année 1989 en revanche a été marquée par quelques incidents importants, sur lesquels je reviendrai plus loin, mais aussi par une évolution très nette des relations entre EDF et ses Autorités de Sûreté. Je considère en fait que l'année 1989 a constitué une année-charnière pour la sûreté à EDF, car tant pour répondre à la demande des Autorités du Sûreté, que pour atteindre les objectifs que l'Entreprise s'est fixée elle-même en matière de sûreté, EDF a défini en 1989 un certain nombre d'orientations importantes qui devraient influer dansl'avenir sur toutes ses actions liées à la sûreté.
     Ce rapport de synthèse comprendra trois parties. Dans la première, je dresserai un panorama d'ensemble de la situation telle que je la vois en cette fin d'année; dans la deuxième, j'analyserai sous l'angle de la sûreté les principaux événements survenus à EDF au cours de l'année 1989; dans la troisième, je proposerai des orientations pour l'avenir. Dans le rapport IGSN proprement dit qui est joint en annexe, je passerai en revue les différents thème retenus pour mon programme d'inspection sûreté nucléaire 1989.
PREMIÈRE PARTIE
PANORAMA DE LA SÛRETÉ NUCLÉAIRE

1-1. L'évolution de l'environnement national
     Les relations avec les Autorités de Sûreté ont évolué de manière très significative au cours de l'année 1989. On ne peut pas parler à proprement parler de «rupture», car cette évolution était déjà amorcée dans les années antérieures, mais 1989 a vu une succession de prises de position de la part du Service Central de Sûreté des Installations Nucléaires (SCSIN) qui ont indiqué sa volonté de marquer son indépendance vis-à-vis de l'exploitant nucléaire EDF, premier responsable de la sûreté de ses installations, et qui reflètent plus ou moins directement l'opinion des milieux politiques vis-à-vis des questions de sûreté et de protection de l'environnement, telle qu'elle s'est notamment manifestée au cours du débat parlementaire de décembre 1989. La conférence de presse tenue à l'occasion de la publication du rapport SCSIN 1988 a rendu publique cette évolution, comme l'ont fait un certain nombre de documents émis par le SCSIN, telle la publication de la «Charte de la Sûreté Nucléaire» dans le Bulletin SN d'avril 1989.
     Il va de soi qu'EDF ne peut que suivre les directives que lui donnent les Autorités de Sûreté, et qu'en outre nous ne pouvons que nous féliciter de l'affirmation publique de l'indépendance de ces Autorités. Je considère pour ma part que l'indépendance de jugement en matière de sûreté a toujours été la règle depuis pratiquement les origines du programme nucléaire français, quoi qu'aient pu en dire certains critiques de ce programme.

p.3b
Nota: les passages en caractères gras sont soulignés par la Gazette.
     Ce qui me paraît néanmoins fondamental, c'est que cette indépendance s'est toujours appuyée sur une analyse technique contradictoire, mais approfondie des dossiers et il me paraîtrait dangereux qu'elle puisse désormais se fonder d'abord sur des considérations de nature sociopolitique. Une telle dérive conduirait à un processus décisionnel qui se situerait en terme de conflit de pouvoir, et non plus de recherche du meilleur compromis technique.
     L'évolution de nos relations avec le SCSIN me conduit donc à une mise en garde. On a tendance parfois à mettre sur le seul compte de la qualité des hommes et de l'organisation des entreprises le succès du programme nucléaire français par rapport à l'étranger. C'est trop vite oublier l'importance de l'environnement favorable sur les plans politique, juridique et réglementaire, il est généralement reconnu qu'elle a une large part de responsabilité dans l'échec du programme nucléaire américain, qui disposait au départ d'une avance technologique considérable. Il est instructif de noter que les «régulateurs» américains ont souvent cru de bonne foi qu'en marquant plus nettement leur pouvoir vis-à-vis de l'industrie nucléaire américaine, notamment par un durcissement de leurs exigences, ils rendaient service à cette industrie, et regagnaient en meme temps la confiance du public. Ils se sont doublement trompés.
     Or je crains que nous n'assistions aujourd'hui à une tendance similaire en France, avec plus d'une décennie de décalage. Il me paraît significatif que les derniers mois aient vu se multiplier des propositions de restructuration de l'organisation nationale de la sûreté nucléaire, alors qu'aucun responsable ne met sérieusement en cause le bien fondé technique des décisions prises dans le passé, et que la seule préoccupation réelle avancée porte sur la perception de ces questions par l'opinion publique. Plusieurs initiatives locales, telle la «contre-expertise» organisée par le Conseil Général du Raut-Rhin à l'occasion de l'épreuve décennale de Fessenheim, ressortissent à mon avis au même courant, même si souvent les préoccupations de protection vis-à-vis de la radioactivité l'emportent sur les soucis strictement de sûreté.
     En pratique, cette évolution se traduit pour EDF par de nouvelles contraintes auxquelles l'Entreprise doit faire face. Il est vraisemblable que ces contraintes iront en se renforçant dans les années à venir, et nous devons en tenir compte, si nous voulons que notre programme nucléaire se poursuive dans des conditions acceptables. Je pense que c'est avant tout sur les aspects techniques de sûreté que nous devons faire porter notre effort.
     En effet, notre préoccupation essentielle doit être de maintenir en France un consensus sur les réponses à apporter aux problèmes techniques de sûreté qui se posent aujourd'hui, comme sur ceux qui se poseront pendant toute la poursuite du programme. Nous devons nous efforcer d'éviter tout dépérissement du dialogue technique entre nos spécialistes et les experts indépendants qui apportent leur soutien aux Autorités de Sûreté. Ceci impose que nous leur ouvrions tous nos dossiers, que nous respections à la lettre les engagements pris auprès du SCSIN comme du Groupe Permanent, notamment en ce qui concerne les délais d'études, que nous réagissions rapidement sur les incidents, et que nous nous efforcions d'anticiper les problèmes plutôt que de les subir. 		suite:
Je sais que les Directions Opérationnelles partagent ce point de vue, mais nous devons reconnaître que nous n'avons pas toujours été sans reproches sur certains points dans le passé. J'espère que notre interlocuteur technique principal, l'IPSN, sortira renforcé des débats en cours sur le CEA.
     Il me paraît clair en outre que nous devrions rendre plus visible auprès des milieux politiques et de l'opinion publique le fait que toutes les décisions techniques relatives à la sûreté des centrales nucléaires font l'objet, après discussions, d'un accord entre EDF et le SCSIN. L'opinion ne peut en effet que s'inquiéter lorsqu'on lui dit que les Autorités de Sûreté remettent en cause une décision d'EDF, premier responsable de la sûreté des centrales, alors qu'il ne s'agit que d'une question de présentation.

1-2. La situation technique
     S'il ne m'apparaît pas que la sûreté des centrales EDF ait été réellement mise en cause en 1989, on doit constater que sont survenus au cours de ces 12 mois des incidents d'exploitation qui méritent d'être pris sérieusement en considération. Nous avons subi en 1989 la conjonction de trois «courants», dont le dernier n'avait malheureusement pas été anticipé, et à cette conjonction est venue se superposer la découverte de deux erreurs dans la conduite des opérations de maintenance, erreurs survenues en 1988 mais révélées par les contrôles de 1989. C'est cette superposition qui a fait de 1989 une année «chaude» pour la sûreté à EDF.
     Je préciserai tout d'abord ce que je qualifie de «courants» dans les difficultés rencontrées en exploitation. Le premier groupe d'incidents résulte de ce que nous n'avons pas encore mis de l'ordre dans une exploitation perturbée par le poids des modifications, alors qu'elle est déjà difficile du seul fait de la complexité de installations. Mes visites sur sites mettent ainsi régulièrement en évidence les difficultés rencontrées par l'exploitant pour tenir à jour ses procédures de conduite et d'entretien, ce qui explique, par exemple, l'anomalie dans les procédures qui auraient dû être modifiées suite au chargement de combustible MOX (oxyde mixte uranium-plutonium) à St Laurent B. Cette anomalie, découverte par les inspecteurs du SCSIN, a entraîné une lettre du Ministre au Directeur Général, et le lancement d'une enquête, qui a mis en évidence des défaillances de l'organisation, tout en confirmant que la sûreté de la centrale n'a jamais été vraiment en cause. Nul ne pourrait affirmer aujourd'hui que nous ne découvrirons pas d'autres anomalies similaires dans l'avenir.
     Le deuxième type de problèmes est lié au vieillissement des installations. L'usure des grappes de contrôle des réacteurs 900 MW, plus rapide que prévue, qui s'est manifestée par un blocage à Gravelines, en est l'exemple le plus significatif. Je pense que le SCSIN est d'accord avec EDF pour considérer que le problème, une fois découvert, a été correctement traité sur le plan technique, mais on doit se demander s'il n'aurait pas pu être légèrement anticipé, ne serait-ce que de quelques mois, par une analyse plus rapide d'un incident précurseur à Dampierre.

p.4
     Le troisième type de difficultés est plus «dérangeant», dans la mesure où il résulte de qualifications insuffisantes sur des modifications de conception, ou de fabrication, sur des systèmes dont on pouvait considérer, au stade actuel du programme REP, qu'ils étaient éprouvés. Des difficultés ont été ainsi rencontrées à Nogent, tels l'erreur sur le logiciel de protection et le gonflement des râteliers de stockage de combustible. Mais deux problèmes génériques majeurs sur les tranches 1300 MW, touchant directement la sûreté, marqueront sans conteste l'année 1989: ce sont les défauts de soudure inconel sur les piquages pressuriseurs, accompagnés ou non de fuites, défauts imputables à une erreur de conception, et surtout le nouveau type de déformation observé sur les tubes des GV, assimilable à un phénomène de «denting», analogue à celui constaté aux USA il y a quelques années, suivi de fissurations par corrosion sous contrainte, défaut dont l'origine exacte fait encore l'objet de discussions. La réaction de l'Entreprise a sans doute été à la hauteur de l'ampleur des problèmes lorsqu'elle a pu être correctement évaluée, et il est certain que des mesures compensatrices, encore en cours de discussions avec les Autorités de Sûreté, permettront de maintenir un niveau de sûreté acceptable sur les tranches touchées par ces défauts. Il n'en reste pas moins qu'une situation entièrement «normale» ne pourra être établie avant plusieurs années.
     Il me faut maintenant parler des deux erreurs de maintenance révélées au cours de l'été. La première, détectée à Dampierre en juillet, portait sur le maintien en place pendant plus d'un an de deux fonds pleins rendant indisponible un circuit de sauvegarde qui n'est nécessaire qu'en cas d'accident de faible probabilité. La seconde, détectée en août à Gravelines, mettait en cause le bon fonctionnement des sécurités de surpression de circuit primaire si elles avaient été sollicitées pendant les 15 mois où a subsisté l'anomalie, et a été considérée initialement comme potentiellement très significative pour la sûreté puisqu'elle a été classée au niveau 3 de l'échelle de gravité. En fait l'analyse effectuée depuis montre, à mon avis, qu'elle devrait aujourd'hui être «déclassée» au niveau 2, car les sécurités étaient restées opérationnelles. Quoiqu'il en soit, en dehors de leur retentissement médiatique, tout à fait normal dès lors que Gravelines constituait le premier niveau 3 enregistré dans l'échelle depuis sa mise en service en avril 1988, ces incidents ont appelé notre attention, et celle des Autorités de Sûreté, sur la possibilité de disfonctionnements graves du système d'assurance de qualité dans les opérations d'entretien des matériels importants pour la sûreté. Des décisions ont été prises sans délai, et portées à la connaissance des Autorités de Sûreté. Une réflexion plus approfondie a été en outre engagée au sein d'EDF; j'y reviendrai plus loin.
     Il est incontestable que tous ces incidents et difficultés ont contribué à l'évolution de l'attitude des Autorités de Sûreté dans leur contrôle de l'activité d'EDF, comme à la propre réflexion EDF sur ses objectifs en matière de niveau de sûreté d'exploitation. Ils ont plus accompagné ces évolutions qu'ils n'en ont été réellement la cause, car ils n'ont pas mis en évidence une dégradation des conditions de sûreté en exploitation. Tous les indicateurs dont nous disposons malgré leurs imperfections, confirment que le niveau de sûreté reste globalement bon. Les disfonctionnements observés qui mettent en cause des aspects très divers de la sûreté, conception, qualification des modificaions, qualité de la maintenance, ressortissement à des types connus, et des actions destinées à les éliminer, sont en cours depuis plusieurs années. 		suite:
L'année «chaude» 1989 nous a tous sensibilisé au fait qu'il fallait progresser plus vite dans tous les domaines où nous travaillons déjà
     Sur le plan médiatique par ailleurs, on peut juger que la politique de communication de l'Entreprise a su faire face aux événements, et que l'image de la sûreté de nos centrales n'en a pas été trop «détériorée». Il est certain cependant qu'elle n'en a pas été améliorée non plus, et que cette amélioration reste nécessaire.
     Pour conclure sur ce point, je considère pour ma part qu'il n'y a aucune raison de dramatiser la situation actuelle de la sûreté à EDF. Nous serions dans une toute autre position si nous avions en sur une de nos centrales un incident analogue à celui de Vandellos, en Espagne, survenu en novembre sur la centrale jumelle de Saint Laurent A2, et dont je parle plus en détail dans le Chapitre 1 du rapport. A Vandellos en effet, bien que l'incident n'ait eu aucune conséquence radiologique, à l'intérieur comme à l'extérieur du site, une analyse de la séquence accidentelle montre que les barrières de défense avaient été sérieusement entamées. Sur le plan de l'opinion publique en outre, l'impact a été très négatif, sans commune mesure avec l'impact de l'incident Gravelines par exemple, ce qui plaide sans doute en faveur de l'échelle de gravité dans son utilisation avec les médias.
     Si l'expérience de 1989 ne doit pas nous conduire à remettre en cause la politique nationale de sûreté, je crois par contre qu'elle peut nous aider à prendre tous une plus claire conscience de l'enjeu de la sûreté, et à moduler nos orientations en conséquence. C'est ce que je vais examiner maintenant.

1-3. Les objectifs de sûreté d'EDF
     Au début de ce rapport, j'ai parlé d'année-charnière pour 1989. En fait, la politique d'EDF en matière de sûreté est définie depuis l'origine. La bonne exploitation du parc nucléaire doit être une «grande ambition» pour l'Entreprise. Ce parc doit être mis au service de l'économie nationale, et la stratégie qui consiste à «tirer le maximum de l'outil» exige d'abord une bonne sûreté, car sinon l'image sera ruinée, immédiatement ou à terme, et l'outil sera inutilisable. Il a toujours été clair que la «maîtrise de l'exploitation» n'est pas synonyme de «progrès sur la sûreté», et qu'au contraire, il pouvait y avoir compétition entre gains de productivité et amélioration de la sûreté. Je rappelle à titre d'exemple que le Directeur Général, à l'occasion du Conseil d'Administration de 1987 où fut présentée la politique de sûreté de l'Entreprise, précisait qu'il n'avait jamais été question de «faire la course aux arrêts courts», dans un soi-disant souci de productivité, mais que l'objectif était au contraire de privilégier la qualité des opérations d'arrêt, indispensable à une bonne sûreté du parc.
     Dans la pratique cependant, il ne faut pas sous-estimer la difficulté que représente l'exploitation d'un parc nucléaire de plus de 50 unités, dans des conditions satisfaisantes de sûreté et de disponibilité, compte tenu de contraintes administratives et budgétaires. Il ne faut pas être intoxiqué par l'idée fausse que le programme nucléaire serait arrêté, fausse parce qu'elle ne s'applique qu'au programme d'engagemnt de nouvelles unités, et qu'elle oblitère le fait que l'exploitation du parc constitue un «challenge» de même ampleur, sinon même plus ambitieux, que celui de la construction du parc, où, après tout, nous venions derrière les Américains et quelques autres, alors qu'ici nous sommes en tête du peloton.

p.5
     C'est pourquoi, il est bon que l'expérience d'exploitation du parc dans cette année 1989 ait permis à tous de reprendre conscience de la spécificité du nucléaire, et de l'importance de l'enjeu que représente sa sûreté(*). Les financiers savent que c'est le caractère nucléaire du parc de production EDF, et non notre valeur intrinsèque en tant qu'Entreprise, qui nous met dans une position avantageuse sur les marchés. Et il est très clair pour eux qu'un incident sur une centrale nucléaire serait susceptible de remettre en cause cette position, ce qui ne sera jamais le cas d'un incident sur une centrale à charbon (ou une "centrale" renouvelable quelle qu'elle soit*). Dès lors, on conçoit bien qu'une bonne gestion technique du parc, et notamment la prévention d'incidents, doit permettre d'éviter des pertes de productivité qui peuvent être au plan financier sans commune mesure avec les gains de productivité que l'on pourrait rechercher par ailleurs. Dans les «stratégies de rupture», le risque d'accident, ou d'incident nucléaire, ne doit pas être ignoré.
     Dans la lettre qu'il a adressé au Ministre le 23 août suite à l'incident Gravelines, le Directeur Général l'a informé de sa décision «d'engager une réflexion approfondie sur le niveau de sûreté de nos centrales et sur la possibilité de l'améliorer significativement par des actions visant à réduire la fréquence des incidents». Je pense que l'objectif est d'agir sur tous les incidents, car il n'est pas bon de tolérer même des incidents mineurs qui peuvent être à l'origine un jour d'erreurs plus graves. Mais l'effort doit certainement se concentrer sur trois types d'incidents:
     - les incidents de niveau 3 dans l'échelle de gravité, tel Gravelines. Depuis le début de l'exploitation des REP, nous n'en avons eu que 2, le premier étant survenu en 1984 sur Bugey. L'incident de Bugey était d'alleurs à mon avis, potentiellement plus sérieux que Gravelines, car il s'agissait d'une véritable séquence incidentelle, laissant l'installation dans un état de sûreté dégradé, et mettant en cause la conception comme l'exploitation. Quoiqu'il en soit, 2 incidents en 5 ans, sur une quarantaine de tranches en moyenne, donnent une fréquence moyenne de l'ordre de 1% par tranche et par an. C'est peu, mais il est certain que «secouer» l'opinion publique avec un tel «presqu'accident» tous les deux ans n'est pas la meilleure méthode pour améliorer l'image de la sûreté nucléaire en France.
     - les accidents, qui sans être graves d'un point de vue radiologique, impliqueraient néanmoins des contrôles dans l'environnement, et feraient certainement l'objet d'une exploitation médiatique intense. Aujourd'hui, c'est sans conteste le risque de rupture brutale d'un ou plusieurs tubes de générateurs de Vapeur (RTGV) qui est le plus préoccupant, compte tenu de l'état des GV d'un grand nombre de tranches. La probabilité de voir survenir un tel accident dans les quelques années à venir (au-delà, on peut espérer avoir amélioré significativemnt l'état des GV en service) n'est pas négligeable. C'est pourquoi il est très important que les exploitants soient bien préparés à faire face à ce type d'accident, dont l'expérience étrangère a montré que, bien conduit, il n'avait aucune conséquence radiologique sur l'environnement, et pouvait donc rester au niveau de gravité 3. 		suite:
     - enfin, les accidents graves, conduisant à un risque radiologique suffisamment important pour que les Pouvoirs Publics jugent nécessaire de déclencher sur le site le Plan d'Urgence (PPI, Plan Particulier d'Intervention). Classés au niveau de gravité 5, ces accidents ont une probabilité d'occurrence de l'ordre de 1 sur 100.000 par an et par tranche. Cette évaluation, extraite des résultats de l'EPS-1300, étude probabiliste de sûreté menée par EDF qui sera publiée au printemps 90, a tiré profit des résultats d'expérience du parc, en particulier sous l'angle «facteur humain», et peut donc être jugée à priori cohérente avec les résultats de cette expérience d'exploitation. Elle n'en reste pas moins entachée d'une notable marge d'incertitude. Il faut donc considérer que dans l'état actuel de sûreté du parc EDF, la probabilité de voir survenir un tel accident sur une des tranches du parc dans les 10 ans à venir peut être de quelques pour cent.
     Nous avons tous bien conscience des conséquences que pourrait entraîner un tel accident. Même si les rejets radioactifs externes restaient limités, ce qui est le cas le plus probable, et ce qui réduirait les effets hors-site à des interdictions de consommation d'eau et de produits alimentaires, il faut s'attendre à une très forte pression pour arrêter immédiatement toutes les tranches nucléaires, au moins pour une période d'examen. L'impact politique risque d'être amplifié par les réactions internationales, surtout si l'accident survient sur une centrale frontalière.
     Il est donc bon qu'EDF se fixe comme objectif de réduire significativement le risque de ce type d'accident, mais il ne faut pas se cacher qu'atteindre un ordre de grandeur d'une décade, ce qui paraît à priori souhaitable, constituera une tâche difficile. Le Directeur Général dans sa lettre du 23 août déjà citée indiquait que «nous devons pouvoir progresser, par une action sur les hommes, et par des moyens supplémentaires donnés aux exploitants pour mieux contrôler leurs actions et mieux anticiper les difficultés à venir».
     Je terminerai ce panorama d'ensemble de la sûreté àEDF par deux réflexions. La première porte sur l'attitude des responsables locaux sur les sites nucléaires au regard des questions évoquées dans ce rapport. J'ai pu constater au cours de mes visites une prise de conscience généralisée de l'importance de la sûreté comme enjeu pour l'avenir, de la nécessité d'effectuer des progrès significatifs, et de la conviction que ces progrès exigent la participation active de tons les acteurs. Cela se traduit en particulier par une plus grande ouverture et une plus grande transparence, qui sont à encourager. Je considère que cette prise de conscience constitue un fait très positif pour la politique de sûreté qu'EDF entend mener.
     Ma deuxième réflexion porte sur l'environnement international. Que ce soit au sein de grands organismes telle l'Agence Internationale de Vienne, ou dans des instances politiques comme le Parlement Européen, la tendance est à élever le niveau des objectifs de sûreté, à renforcer les contrôles et à exiger la transparence de l'information. Notre politique doit prendre ces évolutions en compte.
p.6
(*) Souligné par le webmaistre: insistons en effet sur l'immense coût en immobilisations humaine et financière, pour la seule partie sûreté, en comparaison avec leurs quasi-inutilités dans les autres branches énergétiques et particulièrement dans les énergies renouvelables...
DEUXIÈME PARTIE
ENSEIGNEMENTS DES ÉVÉNEMENTS
SURVENUS EN 1989
 
2-1. La signification «sûreté» des principaux événements
     Dans le panorama de la première partie, je n'ai présenté que des événements négatifs pour la sûreté, et je reviendrai d'ailleurs plus loin sur la signification de certains d'entre eux, car leur analyse est riche d'enseignements. Mais il y a eu aussi heureusement, dans l'exploitation de nos centrales en 1989, des aspects très positifs pour la sûreté, qu'il ne faudrait pas ignorer sous peine d'avoir une vue déformée de la réalité. Je n'en citerai que quelques-uns pour ne pas alourdir ce rapport de synthèse. Ils me paraissent aussi représentatifs de la sûreté nucléaire à EDF en 1989 que les incidents cités plus haut.
     Le facteur de disponibilité des tranches 900 MW hors arrêt annuel a été excellent et me paraît représentatif des progrès effectués depuis quelques années dans la conduite en fonctionnement normal: réduction du nombre des arrêts automatiques, diminution des fausses manoeuvres en essais périodiques, etc. Bien que je ne dispose pas aujourd'hui de chiffres précis, je ne suis pas certain qu'on constate un progrès analogue dans le nombre des incidents survenus dans les périodes de redémarrage des centrales après arrêt annuel. On rencontre là un problème de qualité dans l'exécution des opérations de maintenance qui sera développé plus loin.
     Toujours sur les tranches 900 MW, l'opération «décennale Fessenheim» me paraît pouvoir être considérée plutôt comme un succès sous l'angle de la sûreté, malgré les quelques difficultés rencontrées et l'allongement des délais par rapport aux prévisions. EDF n'avait d'ailleurs pas droit à l'erreur dans cette affaire, suivie de très près par des Autorités de Sûreté qui se devaient d'être plus impeccables que jamais en raison de la surveillance mise en place par la Commission locale compétente.
     Sur les tranches 1300 MW, dont j'ai signalé les malheurs, il faut signaler la réussite de la mise en oeuvre sur Penly des premières procédures de conduite accidentelle faisant appel à «l'Approche Par Etats», APE. On sait que ces procédures représentent un progrès considérable pour la sûreté. Elles constituent l'un des aboutissement du programme d'études lancé par EDF à la lumière des enseignements de l'accident de Three Mile Island. De nombreuses difficultés ont dû être surmontées par les services responsables de la DE et du SPT. Il faut à mon avis les féliciter pour ce succès.
     Enfin, dans un tout autre ordre d'idées, je voudrais signaler un autre aboutissement, c'est celui de l'étude probabiliste de sûreté (EPS- 1300) effectuée par une équipe EDF inter-Directions depuis le début 86. Les résultats sont aujourd'hui acquis, même si leur mise en forme définitive, et une demande d'examen préalable par le Groupe Permanent, repoussent leur publication au printemps 90. Ils confirment que la conception de nos tranches est bonne, en référence aux standards internationaux, et que les risques liés au «facteur humain», même s'ils sont importants en valeur relative par rapport aux risques globaux, restent dans des limites acceptables. Ce dernier résultat est important dans la mesure où l'évaluation s'est appuyée très directement sur les résultats de l'exploitation de la totalité du parc nucléaire REP-EDF. 		suite:
     Il est en outre un aspect positif de la sûreté qui reste caché, c'est celui lié aux mesures prises pour améliorer la sûreté qui ont permis d'éviter des événements fâcheux, car il est en général impossible de le mettre concrètement en évidence. L'accident survenu en 1989 sur la centrale espagnole de Vandellos nous a permis cependant de confirmer a posteriori tout l'intérêt pour la sûreté des mesures prises il y a deux ans sur les tranches analogues de St-Laurent A. En effet, la décision de déplacer les circuits des échangeurs d'arrêt les aurait mis à l'abri d'une inondation comme celle de Vandellos, et nous aurait donc assuré une défense supplémentaire contre un risque de perte de refroidissement du coeur, risque qui est d'ailleûrs resté au niveau de la menace à Vandellos.
     Revenant maintenant aux incidents survenus en 1989, pour en commenter la signification pour la sûreté, je les regrouperai en trois catégories: conception des installations, conduite de l'exploitation et entretien des équipements importants pour la sûreté.
     Je pense que nous devons être particulièrement attentifs à tous les incidents qui trouvent partiellement leur origine dans des défauts indépendants de l'exploitation proprement dite, qu'il s'agisse d'erreurs de conception ou de qualifications insuffisantes. Ils peuvent en effet placer des exploitants dans des situations non prévues, où une mauvaise interprétation peut conduire à des actions aggravantes. Nous avons rencontré en 1989 plusieurs «précurseurs» de ce type d'incidents:
     - déterioration non prévue des grappes de commande entraînant une possibilité de blocage, c'est-à-dire le non-fonctionnement d'une sécurité essentielle, le contrôle de la réactivité,
     - défauts sur les piquages de pressuriseurs des tranches, avec une possibilité d'éjection du piquage, accident de brèche non isolable sur le circuit primaire, initiateur majeur potentiel d'accident grave,
     - fissurations circonférentielles des tubes GV, qui accroissent la probabilité de ruptures multiples, accident difficile à gérer qui aurait un impact très négatif sur l'image de la sûreté de nos centrales,
      - erreurs dans la modification d'un logiciel de sécurité, non décelée par l'assurance de qualité, qui ouvre la porte à des séquences non prises en compte dans la conception.
     Il ne faut certes pas dramatiser, et la conception des tranches REP est globalement bonne, je l'ai indiqué plus haut. Cependant nous devons rester à l'affût de tout événement qui peut indiquer un risque de perte brutale d'un équipement important pour la sûreté, ou encore de toutes les sources de cause commune, tel l'incendie ou l'inondation, qui peuvent rendre indisponibles des équipements redondants (voir l'incident Vandellos). A un autre niveau, il faut aussi attacher une grande attention au processus de modifications sur les installations, qui complique considérablement la tâche des exploitants, et dont l'expérience montre qu'il est à l'origine d'erreurs.
p.7
Il est encourageant que Fessenheim ait su mener à bien une mise à niveau avec un nombre limité de difficultés. Mais sur un plan général, le retour sur la conception et la qualité de réalisation doit rester présent à tous les esprits si nous voulons atteindre un meilleur niveau de sûreté.
     Même si aucun incident sérieux dans une de nos centrales n'a trouvé en 1989 son origine dans une erreur de conduite, c'est néanmoins toujours la conduite qui reste responsable de la plus grande partie des erreurs qui conduisent à des incidents, du simple fait que les erreurs de conduite ne sont pas facilement récupérables en temps réel. Par ailleurs, c'est une bonne préparation à la conduite en situation accidentelle qui reste notre ultime défense pour les accidents à faible probabilité, notamment à travers la mise en oeuvre des procédures ultimes. C'est pourquoi j 'ai souligné le succès de la mise en place de l'approche par états. Je considère égaiement comme très positif pour la sûreté le développement des formations par «stages de mises en situation». Le professionalisme de nos équipes de conduite doit être plus que jamais considéré comme un impératif pour la sûreté.
     La maintenance a été à la «une» de l'actuaiité durant l'été 89 avec les incidents Gravelines et Dampierre, qui ont mis en évidence des insuffisances dans l'assurance de qualité de certaines opérations d'entretien. La qualité reste cependant d'un bon niveau, car il y a finalement peu d'erreurs non corrigées, mais ces erreurs, même peu fréquentes, peuvent avoir des conséquences graves, en introduisant dans la centrale des modes communs, ou des défauts cachés qui ne se révèlent qu'en situation incidentelle, et peuvent alors en aggraver sérieusement le déroulement. La décision de rendre systématique l'obligation de requalification de tous les systèmes vitaux pour la sûreté répond à ce souci. Le SPT a pris conscience en outre qu'un effort important reste à faire dans le domaine de la maintenance, y compris pour la formation, comme delui qui a été fait dans les années passées sur la conduite, si on veut progresser.

2-2. Les enseignements par grands thèmes
     On trouvera dans le rapport annexe, notamment dans le chapitre consacré à la sûreté en exploitation, des commentaires sur les divers enseignements qui ont été tirés de l'expérience 1989. Dans ce rapport de synthèse, je voudrais me limiter à trois grands thèmes, qui ne sont pas neufs, mais que les événements de l'année ont mis particulièrement en lumière. Il s'agit des hommes, des organisations, et des relations entre les uns et les autres.
     Pour ce qui est des hommes, si tous s'accordent pour dire qu'ils doivent constituer la plus grande richesse de l'Entreprise, je pense qu'il nous faut reconnaître qu'ils en sont aujourd'hui le point le plus critique, au moins sous l'angle de la sûreté. Je ne veux pas ici mettre en cause les exécutants; l'enquête effectuée après l'incident de Gravelines a parfaitement montré que le problème ne se posait pas à ce niveau. Par contre la qualité des hommes, leurs comportements individuels et collectifs, leurs pratiques de travail et pins généralement leur «culture», ne paraissent pas globalement adaptés à l'enjeu, et ceci à tous les niveaux de responsabilité, et en particulier à celui de la hiérarchie et des «managers». Il serait faux de croire que le problème se limite au SPT; la manière dont la DE a réagi aux difficultés rencontrées cette année me paraît révélatrice de mêmes comportements.

suite:
L'objectif fixé par le Directeur Général, à savoir une amélioration significative du niveau de sûreté de nos centrales, ne pourra à mon avis avoir quelques chances d'être atteint que si des progrès notables sont faits dans la qualité des hommes à tous les niveaux, leur motivation, leur «Culture de Sûreté»[2], progrès qui exigent naturellement des progrès dans les organisations et les relations de travail.
     Lorsque j 'essaye de résumer l'impact des organisations actuelles sur la sûreté nucléaire, c'est le mot «complexité» qui me paraît le plus approprié. Sur les sites, cette complexité est vécue comme un formalisme dont on ne saisit pas la vaieur et qui entrave la créativité et la prise de responsabilité. Entre les sites et les Services Centraux du SPT, c'est pour le moins une incompréhension certaine de ce que les uns pourraient apporter aux autres. Entre la DE et le SPT, c'est une difficulté à appréhender les responsabilités respectives et le lieu où doivent être prises les décisions. Je ne suis pas convaincu que nos structures actuelles soient à la hauteur de l'enjeu du parc nucléaire. Le métier nucléaire est très spécifique, et crée entre toutes les unités concernées un lien beaucoup plus fort que les métiers qui ont structuré l'Entreprise dans le passé.
     Il y a en outre à mon avis un problème de moyens, non pas global mais spécifique à certains secteurs, qui se superpose à la complexité des structures et conduit à des disfonctionnements des organisations. Plusieurs enquêtes ont mis l'accent sur la fonction «controle en temps réel». Pour ma part, je prendrai un exemple très élémentaire: l'étiquetage de matériels dans les centrales. Il est reconnu comme très défectueux, et l'expérience a démontré, s'il en était besoin, que cela ne peut qu'aggraver les risques de confusion, qui constituent une préoccupation sérieuse pour la sûreté. Qui est responsable? Les Aménagements lorsqu'ils passent la centrale à l'exploitant, ce dernier lorsqu'il remet une tranche en service après arrêt, les études qui n'ont pas prévu de supports corrects, la Direction Générale  qui  ne  donne  pas  des  effectifs supplémentaires...? Toute réflexion sur la sûreté ne devra pas hésiter à remettre en cause les organisations en place.
     Le troisième thème, celui des relations entre hommes et organisations peut lui aussi se résumer pour moi en quelques mots: il faut se libérer de la pression du temps. Les responsables opérationnels comme les exécutants veulent pouvoir réfléchir «avant» l'opération. La hiérarchie veut avoir le temps de suivre les opérations sur le terrain, et d'être à l'écoute des exécutants. Les fonctionnels veulent pouvoir réfléchir sur la doctrine, et ne pas être encombrés par les consultations en temps réel. Si on reprend la liste des incidents survenus en 1989, on verra aisément que nombre d'entre eux, sinon tous, auraient pu être évités si, à un moment, ceux qui étaient concernés s'étaient arrêtés, et avaient pris le temps de réfléchir.
     C'est bien sûr une question d'organisation, mais c'est plus que cela. Il faut qu'à tous les échelons chacun sache ce dont il est responsable, et que les processus décisionnels permettent de discerner entre l'important et le secondaire. Concrètement sur un site, il faut que la DE résolve les problème techniques qui peuvent l'être et qu'ainsi les exploitants puissent concentrer leurs efforts sur ce qui est de leur seule responsabilité. Il faut en outre que les Services Centraux du SPT assistent les responsables locaux grâce à leur compétence, et ne les surchargent pas de demandes dont on ne peut localement saisir l'intérêt.
p.8
     Finalement, les enseignements généraux que je retire personnellement de l'expérience d'exploitation 1989 sont très classiques. Ils portent sur des questions qui doivent être bien traitées pour améliorer l'efficacité d'une Entreprise quelle qu'elle soit. J'y ajouterai qu'il faut dans notre cas que la sûreté soit effectivement mise au premier plan, non seulement dans les mots, mais aussi dans les esprits.

30 ANS DE RAPPORTS EDF

Le Canard enchaîné du 14/02/90

2-3. Réflexions complémentaires
     Parmi les tâches qui prennent du temps aux responsables alors qu'ils n'en saisissent pas toujours l'utilité, je crois qu'on peut inclure certaines des actions conduites en réponse à des demandes de l'Administration et de Autorités de Sûreté. Ce n'est pas nouveau, mais la charge correspondante s'accroît continuellement. Je ne me dissimule pas qu'il peut y avoir dans certains cas des effets négatifs pour la sûreté lorsque l'exploitant n'est pas capable de discerner dans les demandes de l'Administration ce qui est réellement important pour la sûreté. J'ai en mémoire les premiers moments de la séquence TMI, où l'exploitant était surtout préoccupé par une instruction NRC sur les pertes de bulle au pressuriseur, et ne pensait pas à son inventaire en eau dans le circuit primaire.
     Je crois néanmoins qu'il n'y a qu'une manière raisonnable de faire face à ce qui me paraît être une réelle difficulté sur les sites. Nous devons anticiper les demandes de l'Administration, identifier les problèmes avant elle, et nous montrer toujours les plus soucieux de la sûreté lorsque le problème est réel. Je pense par exemple aux fissurations de tubes GV. Pour les problèmes qui nous paraissent mineurs, il ne faut pas entamer une bataille, qui sera toujours coûteuse et dommageable pour nos relations avec l'Amdinîstration. Il faut obtempérer localement, et reprendre la question en temps différé sur un plan générique. Pour que les discussions techniques puissent alors se dérouler dans une atmosphère de confiance, il faut très largement ouvrir nos dossiers aux experts de l'Administration, au stade le plus précoce possible. Par ailleurs, sur le plan formel, comme je l'ai déjà demandé[3], il faudrait apporter à chaque responsable un soutien juridico-administratif qui lui permette d'être impeccable en matière de dossiers règlementaires et de délais.

suite:
     Je voudrais enfin qu'on garde présent à l'esprit que le fossé qui sépare toujours la réalité de la sûreté nucléaire et la perception qu'en ont les élus et le public est potentiellement une source de sérieuses difficultés. J'ai déjà dit que l'affirmation d'indépendance du SCSIN, par des critiques dures de la manière dont EDF exploite ses centrales, a surtout conduit le public à perdre la confiance qu'il avait dans l'exploitant nucléaire. L'utilisation de l'échelle de gravité comme instrument de pression du SCSIN sur EDF me paraît un grave détournement d'un outil qui ne sera un bon vecteur médiatique que s'il s'appuie sur la vérité des faits et de la technique.

TROISIEME PARTIE
ORIENTATIONS

3-1. La politique de sûreté EDF
     Comme indiqué plus haut, la réflexion lancée par le Directeur Général dans sa lettre du 23 août sur l'amélioration du niveau de sûreté de nos centrales, va orienter toutes les actions de l'Entreprise en 1990. Un premier document a été préparé par le SPT pour la fin 1989, et un programme d'actions détaillé doit être transmis aux Autorités de Sûreté à la fin du mois de juin 1990. Dans un entretien que j'ai eu avec le Chef du SCSIN en novembre, j 'ai compris que son intention était de faire examiner les propositions EDF par ses soutiens techniques habituels, et en particulier par le Groupe Permanent, l'objectif étant d'aboutir à une lettre-directive sur la sûreté d'exploitation qui jouerait un peu le même rôle que celui joué en son temps par la lettre ministérielle sur les options de conception du palier 1300 MW. Ceci renforce l'importance de la réflexion en cours, puisqu'elle débouchera in fine non seulement sur des actions de la seule responsabilité d'EDF, ayant pour but d'améliorer le niveau de sûreté de nos centrales, mais également sur un texte para-réglementaire, que l'évolution actuelle du contexte réglementaire évoquée en début de ce rapport nous incite à considérer comme risquant d'ête déterminant pour l'exploitation future du parc nucléaire EDF. Je suggère de créer un Comité Sûreté interne de haut niveau.
     Sa première tâche serait de suivre la progression de la réflexion entreprise conformément à la décision du Directeur Général, et de l'approuver formellement avant transmission au Directeur Général pour envoi aux Autorités de Sûreté en juin 90. Plus généralement, en me référant à ce qui a été mis en place par exemple chez les exploitants américains, je pense que ce «Comité Sûreté», ou mieux, ce «Comité de Revue de Sûreté», devrait donner systématiquement son aval à toutes les actions déterminantes pour la sûreté conduites par les Directions Opérationnelles, des désaccords éventuels étant tranchés par le Directeur Général, et initier éventuellement des revues internes de sûreté.

p.9
3-2. L'évaluation du niveau de sûreté de nos installations
     Lorsqu'on se fixe des objectifs, il faut également disposer d'un instrument de mesure. Il me paraîtrait nécessaire qu'EDF se dote d'un outil performant lui permettant d'évaluer en permanence le niveau de sûreté de ses installations, en fonction de l'expérience d'exploitation, et notamment des incidents, dont on cherchera à évaluer objectivement la gravité. Cet outil comporterait une évaluation probabiliste en temps réel de la sûreté de chaque installation, construite à partir de l'acquis de l'EPS et intégrant de façon vivante le retour d'expérience. C'est une tâche importante. Il aura fallu quatre ans pour aboutir sur l'EPS, et sa transformation en outil opérationnel convivial peut demander un délai comparable, sous réserve que les Directions Opérationnelles y consacrent un effort du même ordre. Un tel outil, qui devrait être aussi disponible pour les Autorités de Sûreté et leurs soutiens techniques, permettrait de fonder le nécessaire dialogue technique sur des évaluations concrètes de l'importance relative de tel ou tel problème, et même de sa contribution au risque global en valeur absolue. Ainsi d'une part on répondrait à cette exigence fondamentale de la sûreté, qui est de discriminer l'essentiel de l'accessoire, mais aussi on pourrait débarrasser le dialogue technique de certains effets pervers actuels, tel que la prise en compte systématique du jugement d'expert le plus pessimiste.

3-3. Une culture de sûreté intégrée dans le Projet d'Entreprise
     Vu l'importance du rôle joué par les hommes et leur motivation dans l'obtention d'un niveau de sûreté élevé, il me paraîtrait souhaitable de mettre en place des mécanismes visant à encourager l'établissement d'une Culture de Sûreté dans toute les unités d'EDF qui sont concernées, de près ou de loin, par la sûreté nucléaire, et à en surveiller les progrès. Cela implique certainement des directives venant d'en haut, mais aussi une politique de communication interne qui en assure la visibilité et la crédibilité à tous les échelons inférieurs, car tous doivent ètre convaincus que ce n'est pas un concept vide de sens. Ces directives pourraient encourager certains types d'actions, et instaurer au niveau global de l'Entreprise un système de reconnaissance des progrès accomplis.
     Mais une véritable Culture de Sûreté ne s'impose pas d'en haut, elle doit être créée à la base, et il faut que chaque responsable d'unité discute avec ses collaborateurs comment cette Culture doit s'implanter concrètement dans l'activité de l'unité. Je considère en outre que ce concept ne se limite pas aux 'exploitants des centrales, mais qu'il est valable, avec les adaptations nécessaires, aux acteurs de la sûreté d'autres Directions Opérationnelles, telles la DE et la DER, qui doivent trouver elles-mêmes les exigences qui leurs sont propres.

Pierre TANGUY
8 janvier 1990
1. La question des Indicateurs de Sûreté est traitée au Chapitre 1 du Rapport.
2. Une fiche sur le thème «Culture de Sûreté» figure dans le rapport joint.
3. IGSN 89-0611. 		suite:
BILAN DES INCIDENTS SURVENUS EN 1989
SUR LES TRANCHES REP EN FRANCE

     Parmi les incidents marquants survenus en 1989, aucun n'a eu de conséquences effectives, compte tenu des systèmes de sûreté existants et des lignes de défense successives. Ils mettent néanmoins en lumière des points faibles potentiels, concernant soit des anomalies de comportement de matériels, soit les pratiques d'exploitation, auxquels il faut remédier et dont tous les enseignements doivent être tirés dans le cadre du retour d'expérience.

I. Evolution d'ensemble - Incidents significatifs
     Après avoir connu une hausse continue de 1985 à 1987, le nombre total d'incidents significatifs du parlier REP 900 a décru de 30% en 1988.
     Sur l'ensemble de la période 1985-1988, le nombre total d'incidents significatifs par tranche-an du REP 900 a décru de 9 à 7,9.
     La mise en place des spécifications techniques en arrêt à froid en 1986, et la meilleure détection des incidents ne s'accompagnant pas de transitoire (avec la création des MSQ notamment) ont certainement contribué, pour une bonne part, à la hausse constatée de 1985 à 1987; de telle sorte que la décroissance d'ensemble sur la période 85-88 peut être considérée comme représentative d'un réel progrès en matière de qualité.
     Sur le palier REP 1300, le nombre d'incidents significatifs a connu également une forte baisse (12,7 par tranche-an en 1986 à 8,9 en 89).
     Les six premiers mois de 1989 révèlent une quasi stabilité du nombre d'incidents.
     Sur certains postes on peut noter des évolutions particulières:

Les arrêts d'urgence
     Le nombre d'arrêts d'urgence sur les deux paliers REP 900 et 1300 montre une baisse constante depuis 1985 pour atteindre respectivement 2,5 et 3,4 par an et par réacteur.

Les incidents liés à une défaillance humaine
     Leur nombre est resté stable sur la période 85-88 sur le REP 900 (4 par tranche et par an) et a fortement décru sur le REP 1300, passant de 10 par tranche et par an en 85 à 4 en 88.

Les incidents de non respect des spécifications techniques
     Après avoir connu une forte hausse en 85 et 87, le nombre d'incidents de non respect des spécifications techniques a décru en 1988.

Les incidents en arrêt de tranche
     Leur nombre est notablement plus élevé que la valeur moyenne (3 à 4 fois plus), ce qui est en rapport avec le volume des activités impliquées lors d'un arrêt de tranche.

p.10
     Une analyse par origine et par cause révèle les aspects suivants:
     · La conduite et les automatismes sont à l'origine de la grande majorité des incidents significatifs et une part plus faible est liée à la maintenance. Ceci est probablement dû au fait que les interventions de maintenance sont généralement suivies d'une requalification, et d'une remise en service, qui permettent de détecter les anomalies éventuelles avant restitution du matériel et avant qu'il ne soit requis pour la sûreté.
     · Les défauts de préparation des activités (conduite, automatismes ainsi que, dans une moindre mesure, maintenance) et leur planification, constituent une part importante des incidents rencontrés.

II. Les thèmes forts qui émergent des incidents marquants en 1989
     Les incidents considérés comme marquants et classés dans l'échelle de gravité représentent environ 1,5 incident par tranche et par an. On dénombre 80 incidents classés dont 4 en niveau 2 et 1 au niveau 3.
     Concernant les principales avaries de matériels, il faut citer (niveau 2):
     · Le blocage d'une grappe de commande lors d'une manoeuvre d'arrêt de Gravelines 4, dû à la rupture d'un crayon absorbant. Un important programme de contrôles et de remplacement des grappes a été entrepris sur les tranches 900 MW.
     · Les défauts constatés sur les piquages d'instrumentation des pressuriseurs des tranches de 1300 MW, qui nécessitent la mise en oeuvre de mesures palliatives et de procédés de réparation particuliers.
     · Les déformations constatées à la base des tubes des générateurs de vapeur des tranches 1300 MW, dues à la présence de boues et de particules métalliques.
     Des contrôles approfondis sont effectués por obturer les tubes affectés et le nettoyage des plaques tubulaires, mis en oeuvre à Nogent, sera généralisé. Ces anomalies illustrent l'importance et le cout des mesures palliatives àmettre en oeuvre face à des défauts de nature générique.
     Les incidents mettant en cause les pratiques d'exploitation représentent la majeure partie de autres incidents marquants.
     Ils portent essentiellement sur les thèmes suivants:
     · planification des interventions sur des voies redondantes et risques de modes communs; état de tranche inadapté
     · organisation des interfaces et communication entre la conduite et la maintenance, les essais
     · propreté-qualité
     · confusion de tranche
     · confusion de matériels: erreurs de bouchage de tubes de GV, erreurs de goujon
     · remise en configuration après intervention: lignage des circuits ou des matériels - étiquetage - dispositifs et moyens provisoires (bridage soupape)
     · intervention sur les automatismes: controbloc - strapp - bornes à couteau - inversion de filerie
     · incendie: présence de déchets ou de solvants
     · incidents liés aux modifications: mise à jour de documents
     · qualité des approvisionnements
     · défauts d'analyse de sûreté.
     Concernant les incidents liés à la qualité de la maintenance à proprement parler, on note qu'il en émerge relativement peu parmi les incidents marquants mais que leur impact vis-à-vis de la sûreté est important lorsqu'il n'y a pas de procédure de récupération en fin d'intervention. Les effets de ces incidents peuvent alors perdurer pendant un cycle de fontionnement. Trois incidents particulièrement significatifs doivent être cités:

suite:
     · Blocage en mauvaise position d'une vanne RIS à Dampierre (1988);
     · Le décalage de la pression d'ouverture des soupapes du circuit primaire à Gravelines (niveau 3);
     · L'indisponibilité partielle du circuit de ventilation de l'enceinte à Dampierre, mettant en cause l'efficacité de la recombinaison d'hydrogène en cas de brèche du circuit primaire (niveau 2).
     Ces deux incidents ont révélé deux caractéristiques communes aggravantes:
     · ils résultent chacun d'une intervention menée simultanément sur des voies redondantes et ont créé un mode commun de défaillance;
     · ils n'étaient suivi d'aucune requalification ou vérification complémentaire avant redémarrage.
     Les enseignements tirés de ces deux incidents concernent en particulier la gestion des dispositifs provisoires d'intervention, la systématisation des essais de requalifcation et de procédure de vérification avant redémarrage.
     Une réflexion approfondie est en cours sur l'organisation et l'adaptation de moyens, en particulier dans le domaine de la maintenance, afin d'améliorer nos pratiques pour en faire autant de lignes de défense et pallier les risques d'erreur par la prévention et l'anticipation. Des mesures concrètes seront définies pour l'année 1990.
     Des actions sont également nécessaires pour développer une culture de sûreté permettant d'en saisir les aspects essentiels et pour clarifier les règles de sûreté et qualité afin d'adapter le niveau des exigences de qualité des activités à leur importance pour la sûreté.
 
 
 

III. Conclusion

     L'évolution du nombre des incidents significatifs, notamment dans certains domaines spécifiques tels que les arrêts d'urgence, associée à un contexte général de transparence accrue, montre une tendance globale vers une amélioration de la sûreté et de la qualité en exploitation.
     Ce bilan global positif ne doit pas être occulté par les événements marquants survenus, dont il y a lieu par ailleurs de tirer tous les enseignements.
     Parmi ces événements, certains révèlent soit des problèmes matériels génériques, soit des domaines sensibles dans nos pratiques d'exploitation, notamment en matière d'organisation, de planification, d'interfaces et de communication, et de vérification qualité après intervention.
     Les enseignements à tirer portent donc d'une part sur la gestion du parc face à des problèmes génériques importants, et d'autre part, sur l'adaptation de nos organisations, méthodes et moyens, pour mieux maîtriser la sûreté et prendre en compte le facteur humain dans nos pratiques quotidiennes d'exploitation. Ils portent aussi sur la clarification de nos règles de sûreté et qualité, en les simplifiant là où c'est possible et en les renforçant là où c'est nécessaire, pour obtenir une meilleure adaptation entre le niveau des exigences et l'importance pour la sûreté.
     Cette démarche d'amélioration passe par un développement de la culture de sûreté et une adhésion de chacun, en tant qu'acteur et partie prenante dans la sûreté en exploitation.

p.11
Retour vers la G@zette N°100