|
Description de l’incident Le 5 avril 2012 à 12h12, un arrêt automatique du réacteur n°2 se produit après l’arrêt de la pompe primaire n°1 et l’apparition de plusieurs alarmes en salle de commande. A 18h00, alors que les opérateurs d’EDF suivent les consignes à appliquer en cas d’incident, une valeur anormalement élevée du débit de fuite collectée au joint n°1 de cette pompe est identifiée. Cette situation conduit EDF à appliquer les procédures de conduite en cas d’incident pour amener le réacteur dans l’état dit «d’arrêt à froid». Le réacteur n°2 de la centrale de Penly est composé de quatre pompes primaires qui assurent la circulation de l’eau dans le circuit primaire du réacteur et, donc, le refroidissement du cœur. Ces pompes primaires sont constituées d’un moteur électrique dont la lubrification est assurée par un circuit d’huile. Ce moteur entraîne un arbre et une roue, laquelle met en mouvement l’eau du circuit primaire. L’étanchéité entre, d’une part, la roue et l’arbre de la pompe et, d’autre part, le moteur est assurée par un système de trois joints successifs (joints n°1, n°2 et n°3) au niveau desquels de l’eau sous haute pression est injectée afin d'éviter toute fuite d'eau du circuit primaire. Un circuit spécifique équipe les pompes primaires pour collecter l’eau au niveau des joints. Ces joints sont conçus pour fonctionner dans des conditions de température plus basses que celles de l’eau du circuit primaire, lorsque le réacteur est en fonctionnement. La protection thermique de ces joints est assurée par deux systèmes redondants: l’injection d’eau froide à haute pression et un dispositif de refroidissement, appelé «barrière thermique», dont le rôle essentiel est de refroidir l’eau remontant vers les joints en cas de perte de l’injection d’eau froide à haute pression. Le 5 avril 2012 à 11h52, l’alarme signalant un niveau bas dans le réservoir d’huile de lubrification de la pompe n°1 apparaît en salle de commande du réacteur n°2. Deux minutes plus tard, des départs de feu sont détectés dans les locaux de la pompe. Après appel des services de secours extérieurs, les équipes d’intervention contre l’incendie sont gréées. Le plan d’urgence interne en cas d’incendie est activé à 14h10. Les équipes d’intervention d’EDF et des sapeurs pompiers effectuent plusieurs entrées dans le bâtiment réacteur pour éteindre deux flaques d’huile en feu, réduire plusieurs sources de fumées et vérifier l’absence de feu supplémentaire dans le bâtiment réacteur. En parallèle, une élévation anormale de la température de l’un des paliers de l’arbre du moteur de la motopompe est relevée. La pompe s’arrête automatiquement, ce qui provoque, à 12h12, l’arrêt automatique du réacteur n°2 en raison d’un débit de circulation d’eau dans la boucle n°1 du circuit primaire insuffisant. Les opérateurs d’EDF débutent l’application des consignes visant à maintenir le refroidissement du réacteur en cas d’incident. Vers 18h00, EDF constate un débit d’eau anormalement élevé sur le premier joint de la pompe primaire, puis l’indisponibilité de la barrière thermique. Le fonctionnement du joint n°2, conçu pour pallier si nécessaire la défaillance du joint n°1, permet d’assurer l’étanchéité de la pompe et du circuit primaire; l’eau reste collectée normalement par le circuit prévu à cet effet. Les opérateurs appliquent les consignes incidentelles pour faire baisser la pression et la température de l’eau du circuit primaire, ce qui permet de ramener rapidement le débit d’eau au niveau des joints aux valeurs prévues. Le réacteur atteint un état d’arrêt stable à 4h40 le 6 avril. (suite)
|
suite:
Le 6 avril 2012 à 05h15, le plan d’urgence interne en cas d’incendie est levé à la suite de la confirmation de l’absence de feu. L’Autorité de sûreté nucléaire (ASN) a réalisé le 6 avril 2012 une inspection réactive à la suite de cet événement. L’ASN a demandé à EDF de procéder à l’analyse technique des évènements et, en particulier, à l’expertise de la pompe concernée par l’incident. Elle examinera cette analyse et les conclusions d’EDF en relation avec l’IRSN, son appui technique, préalablement au redémarrage du réacteur. Cet événement, qui n’a pas eu de conséquence sur l’environnement, a été classé provisoirement au niveau 1 de l’échelle internationale des évènements nucléaires INES. 1-CODEP-CAE-2012-019585
J’ai l’honneur de vous communiquer, ci-dessous, la synthèse de l’inspection ainsi que les principales demandes et observations qui en résultent. Synthèse de l’inspection L’inspection réactive du 6 avril 2012 avait pour objet de rechercher, en terme de sûreté, les causes de l’arrêt automatique du réacteur n°2 intervenu le jeudi 5 avril 2012 à 12h12 et du débit de fuite élevé sur le joint n°1 de la pompe primaire n°1 constaté vers 18h ce même jour. Elle avait également pour but de dérouler la chronologie des évènements et les actions associées et, enfin, d’examiner les procédures déclinées pour conduire le réacteur vers un état sûr. Equipés d’appareils respiratoires individuels et accompagnés d’agents du site, les inspecteurs sont rentrés dans le bâtiment réacteur pour constater, de visu, les effets de la fuite d’huile de la motopompe primaire n°1 sur les installations et notamment sur la «branche en U» de la tuyauterie primaire située immédiatement en dessous de cette motopompe. Ils se sont entretenus avec l’équipe de conduite qui, en salle de commande, a géré l’arrêt automatique du réacteur. Ils se sont intéressés aux conditions d’entrée et de sortie du plan d’urgence interne conventionnel qui a été activé à la suite des fumées constatées dans les locaux de la motopompe. Ils ont rencontré des sapeurs pompiers pour faire un point sur les moyens déployés pour circonscrire les fumées dans le bâtiment réacteur. Enfin, les inspecteurs ont examiné la position d’EDF et les justifications associées en ce qui concerne la déclaration d’un événement significatif pour la sûreté (ESS) en terme de critère déclaratif retenu et de niveau sur l’échelle INES. Les aspects relatifs à l’inspection du travail notamment vis à vis des conditions d’entrée des agents dans le bâtiment réacteur feront l’objet d’investigations ultérieures. p.7
|
|
Au vu de cet examen détaillé, les inspecteurs ont pu reconstituer avec précision la chronologie des évènements et analyser les différentes actions mises en œuvre par le CNPE de Penly pour gérer la situation sur la durée. En ce qui concerne ces actions, les inspecteurs n’ont pas mis en évidence de non conformité et ont constaté que la stratégie validée avec l’appui des services nationaux de l’exploitant et les procédures appliquées en conséquence ont été respectées par les équipes de conduite pour amener le réacteur dans un état sûr. La transparence du site et la disponibilité des agents pour cette inspection compte tenu des circonstances ont été soulignées par les inspecteurs. Cette inspection n’a pas fait l’objet de constat d’écart notable. A – Demandes d’action corrective A.1. Suites de l’arrêt automatique du réacteur n°2 Les inspecteurs se sont fait détailler la chronologie des évènements selon deux phases distinctes: l’arrêt automatique vers midi et la fuite survenue sur le joint n°1, dans l’après midi. A partir de 11h52, est apparue en salle de commande une série d’alarmes sur un «niveau bas de la caisse à huile» de la motopompe primaire 2 RCP 051 PO, sur une «température max palier» de l’arbre de la pompe et pour des «départs de feu». L’échauffement du palier de la pompe a provoqué automatiquement l’arrêt du moteur électrique et, par suite d’un bas débit dans la boucle primaire n°1 consécutif à l'arrêt de la pompe, l’arrêt automatique du réacteur à 12h12. Lors de leur visite des locaux de la pompe dans le bâtiment réacteur, les inspecteurs ont constaté la présence d’huile sur différents équipements (calorifuges, tuyauteries, etc.), planchers et charpentes métalliques. Ceci conforte l’hypothèse que la cause des évènements résiderait dans une perte importante d’huile du système de lubrification du moteur électrique de la pompe primaire n°1. A 18h, dans le cadre de l’application de la consigne permanente de conduite «I RCP 2» relative au mauvais fonctionnement des pompes primaires, l’équipe de conduite a ouvert la vanne 2 RCV 111 VP pour limiter la sollicitation du joint n°2 de la pompe et retrouver un débit de «fuite contrôlée» normal sur le joint n°1. Cette action a entraîné, de manière inattendue, sa refermeture automatique ainsi que la fermeture de la vanne 2 RCP 395 VN de refroidissement de la barrière thermique de la pompe. Le joint n°2 a donc assuré le rôle de barrière aux fuites du circuit primaire et a permis d’éviter une fuite extérieure à la pompe. Le fluide primaire a ainsi été collecté au niveau de ce joint par le système RPE (purges et évents nucléaires) prévu à cet effet. L’eau collectée a ensuite été traitée dans les installations de la centrale dans les circuits TEP (traitement des effluents primaires) et REA (appoint eau et bore). En l’état actuel, le moteur est hors service, l’état du joint n°1 est dégradé et la barrière thermique doit faire l’objet d’investigations. En application de l’article 15 de l’arrêté du 10 novembre 1999 (Arrêté du 10 novembre 1999 relatif à l’exploitation des circuits primaires et secondaires des réacteurs nucléaires à eau sous pression), l’évènement survenu relève d’une situation exceptionnelle et nécessite une requalification partielle dont le programme devra être communiqué au préalable à l’ASN. Dans cette perspective, vous avez indiqué en fin d’inspection vouloir procéder rapidement à un échange standard des 3 joints de l’hydraulique la pompe primaire et du moteur qui est déjà commandé. L’expertise de la barrière thermique reste à faire. Son remplacement éventuel ne pourrait se faire qu’avec un niveau d’eau dans le circuit primaire en «génératrice inférieure», c’est à dire en pratique, lors d’un arrêt du réacteur pour rechargement. Je vous demande de me communiquer: a) les résultats de l’expertise détaillée que vous avez engagée sur l’ensemble du groupe motopompe primaire. Cette expertise devra notamment permettre d’identifier l’origine de la perte d’huile sur la partie «moteur électrique» et inclure les systèmes d’injection d’eau RCV et RRI vers la pompe ainsi que l’état des lieux des équipements éventuellement impactés par des projections d’huile; b) en application de l’article 15 de l’arrêté du 10 novembre 1999, le programme de requalification correspondant à l’évènement relevant d’une situation exceptionnelle. Ce programme devra se baser sur les résultats de l’expertise de l’hydraulique de la pompe notamment au niveau des joints, de leurs logements ainsi que de l’ensemble de la barrière thermique; (suite)
|
suite:
c) en application de l’article 16 de l’arrêté du 10 novembre 1999, l’ensemble des résultats de ce programme de requalification et des demande de remise en service des appareils; d) sur la base des éléments énoncés précédemment, votre stratégie de remise en fonctionnement du réacteur n°2; e) les résultats de l’analyse des évènements ayant conduit en appliquant la consigne «IRCP 2», à la fermeture successive des deux vannes 2 RCV 111 VP et 2 RCP 395 VN et par suite, de la perte de la barrière thermique. Vous me ferez part du retour d’expérience que vous en aurez tiré et les parades mises en place en résultant; f) les dispositions que vous mettez en place pour nettoyer complètement l’ensemble des installations souillées par l’huile de la pompe et notamment au niveau des tuyauteries primaires et des calorifuges. B – Compléments d’information B.2. Chimie du fluide primaire Ce point n’a pas été abordé lors du déplacement sur site mais il a été soulevé lors de points téléphoniques ultérieurs avec l’astreinte. Par suite de la stratégie retenue pour replier rapidement le réacteur dans un état sûr et ainsi passer de l’application des consignes évènementielles (chapitre VI des RGE2 ) à une conduite normale (chapitre III des RGE), la correction du pH du fluide primaire a nécessité dans la journée du samedi 07 avril l’injection d’une cinquantaine de litres de lithine concentrée (base forte) pour «remonter» le pH et éviter d’initier potentiellement une cinétique de dégradation des gaines des assemblages combustibles. L'appoint en lithine a été réalisé par le circuit RCV (2 RCV 051 FI) sans aucune dilution préalable. Je vous demande de me faire un point complet sur l’évolution du pH du fluide primaire depuis le jeudi 5 avril et la stratégie mise en œuvre pour contrôler son évolution et pour garantir le respect des prescriptions relatives à la chimie du fluide primaire durant les évènements. C. – Observations
Pour le directeur général de l’ASN,
Le délégué territorial signée par Christophe QUINTIN 2- Avis IRSN Incident du 5 avril 2012 sur le réacteur n° 2 de la centrale nucléaire de Penly Le réacteur n°2 de la centrale de Penly était initialement en fonctionnement à pleine puissance (circuit primaire à une pression d’environ 150 bars et eau à une température d’environ 300°C). Une température anormalement élevée au niveau de la pompe primaire concernée a provoqué son arrêt, qui a lui-même entraîné l’arrêt automatique du réacteur. La circulation d’eau permettant d’assurer le refroidissement du cœur du réacteur a été maintenue normalement au moyen des trois autres pompes primaires. En début de soirée, EDF a constaté une fuite d’eau anormalement élevée sur un des joints de la pompe primaire concernée par la fuite d’huile. Ceci a conduit l’ASN et l’IRSN à mobiliser leurs centres de crise. Le Centre technique de crise de l’IRSN a ainsi été activé peu après 20 heures. Au niveau de l’axe d’une pompe primaire (cf. schémas ci-dessous), l’étanchéité est assurée par une succession de joints à «fuite contrôlée». p.8
|
|
Ces «fuites» d’eau au niveau des joints sont collectées, par conception, au moyen de circuits dédiés. Le premier de ces joints a présenté une fuite d’eau excessive. L’eau de cette fuite était toutefois collectée normalement au niveau du joint suivant et l’étanchéité de la pompe est restée assurée. Cette fuite est donc restée interne à la pompe et il n’y a pas eu de rejets d’eau du circuit primaire à l’intérieur du bâtiment du réacteur. La cause de cette fuite excessive du premier joint n’étant pas connue et une dégradation des joints suivants pouvant conduire à une fuite externe à la pompe, EDF a entrepris les opérations de repli du réacteur, conformément aux procédures incidentelles existantes, afin de rejoindre l’état sûr final d’un réacteur à l’arrêt, dit « arrêt à froid » (circuit primaire à une pression d’un bar et eau à une température d’environ 60°C). Les débits de fuite interne à la pompe ont décru très rapidement au fur et à mesure de la baisse de la pression du circuit primaire, et ont atteint les valeurs nominales durant la nuit. Des investigations sont maintenant nécessaires pour identifier les causes de l’incident et en tirer tous les enseignements. Au terme de cet examen, les conclusions de l’IRSN seront remises à l’ASN et rendues publiques. 3- CODEP-CAE-2012-022801
L’inspection du vendredi 13 avril 2012 a été réalisée à la suite de l’événement survenu le 5 avril 2012. Elle avait pour objet d’examiner notamment les éléments suivants: - les raisons ayant conduit à la perte d’huile du système de lubrification du moteur électrique du groupe moto-pompe primaire (GMPP) «2 RCP 051 PO», - les conditions de fermeture et de ré-ouverture de la ligne de récupération de la «fuite contrôlée» située entre le joint n°1 et le joint n°2 du GMPP précité, - l’évolution des débits de l’eau injectée et collectée au niveau des trois joints du GMPP, - l’évolution des paramètres chimiques du circuit primaire principal lors du repli du réacteur. Les inspecteurs sont également entrés dans le bâtiment réacteur et se sont rendus dans la casemate du GMPP susvisé ainsi qu’au niveau de la «branche en U» de la tuyauterie du circuit primaire principal située au droit de ce GMPP. Au vu de cet examen qui fait suite à l’inspection menée le 6 avril 2012, les inspecteurs ont pu approfondir l’analyse de l’événement du 5 avril. Les inspecteurs n’ont pas mis en évidence de non-conformité dans la gestion de cet événement. A – Demandes d’action corrective
(suite)
|
suite:
A 18h09, l’équipe de conduite du réacteur a ouvert la vanne 2 RCV 111 VP pour limiter la sollicitation du joint n°2 du GMPP 2 RCP 051 PO en permettant de retrouver un débit conforme dans la ligne de récupération de «fuite contrôlée» située entre le joint n°1 et le joint n°2. Cette action a entraîné, de manière inattendue, la re-fermeture automatique de la vanne 2 RCV 111 VP ainsi que la fermeture automatique, quelques secondes plus tard, de la vanne 2 RCP 395 VN située en sortie du circuit de refroidissement de la barrière thermique de la pompe, provoquant alors l’indisponibilité de la barrière thermique. D’après la première analyse présentée aux inspecteurs par EDF, la vanne 2 RCP 395 VN aurait été refermée par un ordre automatique résultant de la vaporisation de l’eau du circuit de refroidissement générée par la remontée d’eau du circuit primaire. Je vous demande, en complément de la demande A.1.e) de la lettre de suite de l’inspection du 6 avril 2012 et au regard des éléments suscités, d’analyser précisément le comportement de la barrière thermique du GMPP 2 RCP 051 PO durant cet événement au regard de son dimensionnement et de son fonctionnement tel qu’attendus à la conception. Vous préciserez notamment les hypothèses initialement prises en compte pour son domaine de fonctionnement normal et en conditions accidentelles ou dégradées telles que celles rencontrées le 05 avril dernier (état de fonctionnement du GMPP, état des joints et des lignes de récupération de fuites, débits et températures du fluide associés, transitoires considérés, etc.). A.3. Impact de l’événement sur les trois autres GMPP Lors de l’arrêt automatique du réacteur à 12h12, une augmentation rapide, jusqu’à environ 3 000 litres/heure du débit d’injection d’eau aux joints n°1 des GMPP 2 RCP 052/053/054 PO a été relevée. Ce débit a par la suite diminué jusqu’à, environ 1400 litres/heure à partir de 12h40. Durant ces transitoires, les joints de ces trois GMPP ont exercé leur fonction. Par ailleurs, à 12h12 et pendant une minute, il a également été relevé une baisse notable du débit sur la ligne de récupération de fuite du joint n°1 de chacun des trois GMPP précités. Lors de l’inspection, vous avez indiqué que, du fait du transitoire subi, les joints n°1 de ces trois GMPP seront remplacés. Je vous demande de m’indiquer les causes précises de ces variations de débit. Je vous demande par ailleurs, de me communiquer l’analyse de l’impact en terme de sûreté, de ces variations de débit: en particulier, vous indiquerez et justifierez les conséquences éventuelles de ces transitoires sur le palier de l’arbre, dont la lubrification est assurée par l’eau injectée au joint n°1, ainsi que sur les joints n°2 et 3 de ces GMPP. B – Compléments d’information
Pour le Directeur général de l’ASN,
Le Chef de division, signée par Simon HUFFETEAU p.9
|
|
COMMENTAIRE GAZETTE A part cela il y a quelques incohérences dans le suivi de ces pompes dont voici les caractéristiques: hauteur environ 8 mètres, débit 23.000 m3/h, vitesse 1.500 t/minutes, puissance 6,5 MW. Ces fameuses pompes primaires (Groupes Motopompes primaires ou GMPP) ne sont pas du matériel Important Pour la Sûreté ou IPS!!! ou tout au moins leur moteur... On croît rêver car qui assure la circulation de l’eau et donc le refroidissement du réacteur, bien sûr ses 4 GMPP. Il est connu que les moteurs de GMPP sont assez fragiles, et que les fuites d'huile ne sont pas rares, ce qui conduit EDF à réaliser des opérations de nettoyage parfois importantes dans les casemates des pompes au début des arrêts pour rechargement. Comme il ne s'agit pas de matériel IPS, la conduite assure un suivi spécifique de la pompe en question sur apparition des alarmes «baisse pression huile dans le réservoir ou aux paliers moteurs» (tout arrêt d'un GMPP se traduit par un arrêt automatique du réacteur, ce qui est arrivé lors du grippage moteur à Penly). En conséquence les procédures de conduite ne prévoient pas l'arrêt de la pompe concernée en cas d'apparition des alarmes qui sont survenues en salle de commande telles que «baisse pression d’huile, niveau d’huile bas (11h52), puis départ de feu» (11h54). En effet, lorsque l'huile tombe sur des pièces en rotation de la pompe, elle est projetée sur les parois de la casemate GMPP et dans le cas présent cela s’est vu sur les parois et le plafond. Cette huile a de plus chauffé au point de s’enflammer tout d’abord vers midi, puis les équipes sont intervenues encore vers 14h et ce plusieurs fois. (suite)
|
suite:
Cependant une élévation anormale de la température de l’un des paliers de l’arbre du moteur de la motopompe avait été relevée. La pompe s’est alors arrêtée automatiquement, d’où, à 12h12, l’arrêt automatique du réacteur n°2 en raison d’un débit de circulation d’eau dans la boucle n°1 du circuit primaire insuffisant. Les opérateurs d’EDF ont alors débuté l’application des consignes visant à maintenir le refroidissement du réacteur en cas d’incident. Le réacteur était alors en AN/GV (Arrêt Normal/ Générateur de Vapeur), avec trois boucles primaires sur 4 en fonctionnement. C'est une situation stable, qui ne nécessite pas d'action particulière (tant qu'on ne veut pas intervenir sur la pompe primaire affectée...). Il n'y avait donc aucune raison de descendre en pression/température à ce stade, du moins semblait-il, mais la suite a prouvé le contraire. Ce n’est que, l'apparition de la fuite au joint n°1, et l’activation d’une consigne de conduite qui a conduit l’équipe à baisser la pression et la température, pour stopper la fuite au joint n°1. On ne connaît pas les doses prises par les intervenants. Comme les entrées BR (Bâtiment Réacteur) se sont fait réacteur arrêté, il y a moins de dose neutrons (?) et les doses gamma devraient correspondre à celles en arrêt avec un primaire plein d'eau. Néanmoins, ce point «dosimétrie» est à vérifier et il sera nécessaire d’obtenir une estimation des doses reçues par les futurs intervenants sur le "chantier" incendie + décalorifugeage. Pour redémarrer, il faut changer le joint n°1 et réaliser une expertise de la barrière thermique (demande ASN, en application de l'arrêté du 10 novembre 99). Ceci impose un démontage important de la pompe, du type maintenance décennale. Il va falloir par ailleurs tenter de déterminer les raisons qui ont conduit à la fermeture automatique de la vanne 2 RCP 395 VN - et donc à l'arrêt du refroidissement de la barrière thermique. p.10
|