Conformément à la demande formulée par l’Autorité de sûreté nucléaire (ASN) citée en référence, l’Institut de radioprotection et de sûreté nucléaire (IRSN) a examiné l’impact sur la sûreté de la défaillance des platines à relais de la commande électrique des soupapes de sûreté du pressuriseur.
    Le pressuriseur du circuit primaire est conçu pour maintenir la pression du circuit primaire dans un domaine compatible avec les exigences de sûreté et de disponibilité de la chaudière nucléaire. Les soupapes de sûreté du pressuriseur assurent la protection du circuit primaire principal contre les surpressions à chaud et l’isolement de la deuxième barrière de confinement.
    En situation accidentelle, ces soupapes permettent l’évacuation de la puissance résiduelle du coeur en cas de «gavé-ouvert» (1) par action manuelle de l’opérateur. Elles permettent également la dépressurisation du circuit primaire en situation d’accident grave. Dans ces situations, il est nécessaire de disposer de la commande électrique des soupapes.
    Dans le cadre de l’arrêt pour simple rechargement n°15 du réacteur n°2 de la centrale nucléaire de Chooz B en 2016, lors d’un test d’opérabilité des soupapes de sûreté du pressuriseur, la refermeture par la commande électrique (2) de deux soupapes a échoué. L’analyse par EDF des dysfonctionnements constatés a permis d’identifier que les pistes des circuits imprimés supportant les résistances de puissance alimentant les électro-aimants des soupapes étaient coupées, ceci résultant d’un échauffement excessif des circuits imprimés des platines à relais de la commande électrique des deux soupapes incriminée. La coupure de ces pistes ne permettait alors plus de refermer électriquement les soupapes.
    De plus, après vérification de l’ensemble des platines des réacteurs du palier N4, certaines platines ont été détectées défaillantes, du fait également d’un échauffement du circuit imprimé: l’aspect générique est donc avéré. Ce même type d’anomalie avait été constaté par EDF en mars 2013, sur le palier 900 MWe. EDF avait résorbé cette anomalie en modifiant la conception de ces platines pour les réacteurs des paliers 900 MWe et 1300 MWe. EDF avait alors signalé que les platines du palier N4 n’étaient pas affectées par cet écart, car les résistances électriques étaient soudées sur un circuit imprimé qui avait été jugé plus résistant aux contraintes thermiques.
    Les platines en défaut ont été installées lors du remplacement des électro-aimants qui commandaient l’ouverture et la fermeture électrique des soupapes de sûreté. En effet, dans le cadre de la réunion du Groupe permanent pour les réacteurs (GPR) du 16 décembre 2004, EDF avait pris l’engagement de mettre en oeuvre, sur les réacteurs du palier 900 MWe, un dispositif fiable pour permettre de dépressuriser le circuit primaire avec les soupapes du pressuriseur, même en cas d’accident grave généré par une situation de type H3(3). La décision a ensuite été prise d’étendre cette modification aux réacteurs des paliers 1300 MWe et N4.

    Dans le cadre de la résorption de ce nouvel écart, EDF prévoit dans un premier temps de réaliser des contrôles hebdomadaires sur toutes les cartes concernées et, en cas de défaillance constatée de l’une d’entre elles, son remplacement. En fonction de la disponibilité des pièces de rechange, le remplacement se fera soit par une pièce neuve de même type, soit par une pièce refabriquée(4). Dans un second temps, EDF prévoit de mettre en place au cours de l’année 2017 une nouvelle conception de platine qui ne présentera plus de problème d’échauffement.
    Pour EDF, le défaut n’impacte ni le fonctionnement hydraulique des soupapes de sûreté, ni l’opérabilité en ouverture en mode électrique des soupapes. EDF considère qu’il n’y a par conséquent aucune remise en cause des situations de la démonstration de sûreté pour lesquelles les soupapes de sûreté sont sollicitées de façon purement mécanique ou ouvertes sur une action de l’opérateur.
    Dans le cadre de son analyse, l’IRSN souligne que le défaut affecte l’ensemble des circuits imprimés du palier N4 supportant les résistances qui alimentent les électro-aimants des soupapes de sûreté.
L’échauffement excessif des résistances conduit à la coupure des pistes du circuit imprimé. Cette coupure entraîne la perte de l’alimentation électrique générant le courant de désexcitation de l’électro-aimant. Cette défaillance a pour conséquence de rendre impossible la refermeture des soupapes de sûreté par le circuit normal de commande. Cette situation entraîne une régression de sûreté par rapport à la conduite incidentelle et accidentelle de type Approche par états (APE) standard. Il convient de noter que la soupape peut encore être fermée manuellement en utilisant le Moyen mobile de sûreté (MMS), mettant ainsi fin à la brèche primaire, mais dans un délai beaucoup plus long.
    De plus, la note de conception indique que le maintien de courant de désexcitation permet d’éviter tout collage intempestif de l’électro-aimant en cas de choc sur celui-ci ou de transitoire électrique qui pourrait conduire à une ouverture intempestive de la soupape. Cette conséquence de la perte du courant n’est pas abordée dans les éléments techniques présentés par EDF dans le cadre de la demande de redémarrage du réacteur n°2 de Chooz B après son arrêt pour renouvellement du combustible de 2016. Ce point fait l’objet de la recommandation n°1 en annexe n°1.
    Pour ce qui concerne les risques liés à l’échauffement excessif des résistances, EDF n’indique pas la température maximale atteinte par les résistances et les températures auxquelles sont soumis les équipements et matériels proches du circuit imprimé supportant des résistances. Les risques liés à ces températures élevées ne sont pas mentionnés et ne sont pas évalués, notamment le risque de dégrader d’autres matériels, ainsi que le risque d’incendie. Ce point fait l’objet de la recommandation n°2 en annexe n°1.

    Par ailleurs, EDF ne prévoit pas de remplacer les cartes avant leur défaillance, mais propose un contrôle rapproché. À cet égard, EDF prévoit, pour tous les réacteurs du palier N4, un contrôle thermographique
hebdomadaire, complété en cas d’échec de celui-ci par une mesure de tension. Bien que la commande hydraulique des soupapes de sûreté du pressuriseur soit disponible, l’écart détecté remet en cause la maîtrise d’une brèche contrôlée qui serait générée en cas de conduite en «gavé-ouvert». Lors des contrôles réalisés sur les réacteurs de la centrale de Civaux, la défaillance d’une carte a amené l’exploitant à déclarer l’indisponibilité d’une ligne de décharge du pressuriseur vis-à-vis des Spécifications techniques d’exploitation (STE), qui demande le repli du réacteur en arrêt normal sur les générateurs de vapeur sous une heure. Toutefois, lors des échanges techniques avec les services centraux d’EDF, postérieurs à ces contrôles, EDF a indiqué que l’indisponibilité d’une ligne de décharge du pressuriseur vis-à-vis des STE était superfétatoire. Pour l’IRSN, ce n’est pas le cas.
    L’indisponibilité doit bien être considérée, toutefois la conduite à tenir de l’indisponibilité peut être adaptée. Au vu de l’ensemble de ces éléments, l’IRSN formule les recommandations n° 3, n° 4 en annexe n°1 et l’observation n°1 en annexe n°2.
    La cinétique de dégradation des circuits imprimés est rapide. En effet, les cartes dégradées sont installées depuis quatre ou cinq ans, alors que la durée de vie attendue dans le cadre d’un matériel qualifié aux conditions accidentelles est typiquement de 40 ans. Cette situation est considérée comme anormale par l’IRSN, car elle aurait dû être détectée lors des essais initiaux de la carte. À ce titre, l’IRSN considère qu’EDF doit s’assurer de l’adéquation des matériaux utilisés (notamment dans le cadre des refabrications de cartes) en regard des températures subies. À cet égard, l’IRSN formule la recommandation n°5 en annexe n°1.
    Au sujet de l’établissement d’une solution pérenne prenant en compte le retour d’expérience de l’échauffement du circuit imprimé, le délai annoncé pour déployer la modification (2017) ne semble pas cohérent avec les enjeux de sûreté associés à l’événement ni avec la simplicité du circuit considéré. Ce point fait l’objet de la recommandation n°6 en annexe n°1.
    Enfin, l’IRSN souligne un défaut de traitement de l’écart sur la centrale nucléaire de Chooz B. Lors de cet écart, l’exploitant avait initialement prévu de ne pas remplacer les cartes présentant des traces d’échauffement et de repousser cette réparation au prochain arrêt alors que les cartes installées du fait de leur âge n’auraient pas dû présenter un tel comportement. Les raisons qui ont conduit à la prise en compte inadaptée du retour d’expérience sur le palier N4 devront être précisées par EDF. À ce titre, il convient qu’EDF se positionne sur la nécessité de déclarer un événement significatif pour la sûreté générique.
    En conclusion de son analyse, l’IRSN estime qu’EDF doit, dans le cadre de la résorption de l’écart concernant les platines des soupapes de sûreté du pressuriseur du palier N4, prendre en compte les recommandations citées en annexe.

Notes
1. La conduite en «gavé-ouvert» permet l’évacuation de la puissance résiduelle par ouverture des soupapes du pressuriseur et injection d’eau froide dans le coeur via le circuit d’injection de sécurité.
2. La commande électrique est transmise par l’intermédiaire d’une platine à relais comportant notamment une carte à résistance composée d’un circuit imprimé, de deux résistances et de deux diodes.
3. Perte totale des alimentations électriques (H3).
4. Pièce refabriquée: le circuit imprimé défaillant est remplacé, mais les composants qui fonctionnent correctement sont conservés.


    Recommandation n°1:
    L’IRSN recommande qu’EDF justifie, sous un mois, l’absence de risque de
collage intempestif de l’électro-aimant des soupapes de sûreté en situation normale et accidentelle, notamment sous sollicitations sismiques.
    Recommandation n°2:
    L’IRSN recommande qu’EDF complète, sous un mois, son analyse, en prenant en compte la totalité des risques liés à l’échauffement des résistances des circuits imprimés, notamment le risque incendie.
    Recommandation n°3:
    L’IRSN recommande un contrôle quotidien des cartes des platines des soupapes de sûreté du pressuriseur, pour tous les réacteurs du palier N4, jusqu’à l’intégration de six cartes de nouvelle conception.
    Recommandation n°4:
    L’IRSN recommande que, en cas de défaillance constatée sur une carte lors de la surveillance quotidienne, l’exploitant considère alors la soupape indisponible et considère une indisponibilité de groupe 1 dont la conduite à tenir est une remise en conformité sous quatre heures. À défaut, le réacteur sera "replié".

    Recommandation n°5:
    L’IRSN recommande qu’EDF s’assure, pour les cartes de «type N4», des
points suivants:
    • Les températures subies par les matériaux organiques dans les conditions d’alimentation et de température d’exploitation limite sont bien en deçà de leur classe thermique en service continu (selon l’IEC «International Electrotechnical Commission» 60085);
    • Tous les matériaux organiques sont correctement identifiés et ont fait l’objet d’essais, par le fournisseur ou ses sous-traitants, ayant permis de valider leurs classes thermiques.
    Recommandation n°6:
    L’IRSN recommande que, au 1er janvier 2017, tous les réacteurs du palier N4 soient équipés uniquement de cartes de nouvelle conception.

    Observation n°1:
    L’IRSN estime qu’EDF devrait procéder aux contrôles quotidiens en début de quart du matin pour effectuer les éventuelles réparations en heures ouvrables.


    Si je me souviens bien, les sombres histoires de soupapes du pressuriseur qui sont à la base de l’accident de Three Mile Island, étaient des problèmes d’ordre mécanique (sans compter l’absurdité conceptuelle d’avoir un indicateur en salle de commande qui ne donnait pas l’état de la soupape - ouverte ou fermée - mais donnait comme indication si l’ordre avait été envoyé ou pas !!!)
    Lorsqu’elles étaient activées et laissaient passer un mélange eau-vapeur, il y avait des effets de détérioration du siège de ces soupapes, et du coup elles perdaient leur étanchéité, et même, refusaient de se fermer.
    Dans un mélange eau-vapeur et surtout dans de l’eau à certaines conditions de pression-température, se forment des bulles (phénomènes de cavitation bien connus qui provoquent des arrachements de métal sur certaines pales d’hélice de bateau, ou sur des pompes primaires...).
    Au moment de TMI, les ingénieurs d’EDF connaissaient ce problème rencontré sur les soupapes motorisées Fisher qui équipaient nos 900 MWe, construits à l’identique des Westinghouse.
    Je me souviens d’un tract de la CGT-EDF de Gravelines, en phase d’essais pour démarrage disant “nous, on a fait plus fort que les Américains, non seulement on a vidé le circuit primaire, mais en plus on l’a rincé !”. Leur soupape de pressu s’était bloquée en position ouverte, le primaire s’était vidé et comme l’injection de secours s’était déclenchée, cela avait “rincé” le primaire !!! Ils concluaient en proposant d’utiliser pour le graissage de cette soupape, du beurre normand !
    À la suite de cela, EDF avait monté en série une seconde soupape sur la ligne du pressuriseur ... bonne sécurité ... ce qui provoquait des battements entre les 2 soupapes !!!.
    Pendant ce temps les services techniques d’EDF à Chatou, testaient un autre modèle de soupape. Il est bien évident que le remplacement d’un élément important pour la sûreté, ne peut être fait qu’après une série de tests sévères sur le nouvel équipement, puis d’une analyse de sûreté afin de savoir si cela ne va pas induire de nouveaux problèmes.
    Résultat des courses, sur Fessenheim, le remplacement des Fischer par des Sebim n’a été opéré qu’environ 10 ans après TMI.
    Les problèmes actuels ont une autre origine: Les cartes du circuit imprimé de commande du fonctionnement. À ce que j’ai compris, ces cartes sont destinées à réunir des composants devant fournir de la puissance... d’où de fortes intensités, et échauffement, et (si mal conçues, ou utilisées à mauvais escient) risque de fusion de pistes du circuit imprimé.
    Toutes choses classiques, bien connues et bien dominées par un électronicien standard. Une hypothèse (hardie): les zèbres qui ont élaboré ces composants étaient tellement géniaux que, durant leurs études, ils avaient “sauté” les cours de première année où ces données étaient enseignées.
    Autre hypothèse, ils ont utilisé des cartes support qui avaient été conçues, calculées pour un usage différent, et cela sans qu’une étude sérieuse ait été faite... ce qui est vraisemblable ... mais inadmissible sur des installations à risque pour lesquelles on nous rebat les oreilles avec la principe de défense en profondeur (qui en l’occurrence est plutôt de la défonce...)

    PS: je rajouterai que ce problème est aussi lié à une maintenance insuffisante (généralement sous-traitée de nos jours et confiée à l’entreprise la moins disante mais pas forcément la plus compétente) et en plus à des problèmes de composants qui sont aujourd’hui obsolètes et ont disparu du marché (voir les petits relais électromécaniques du Contrôlecommande du palier 900).
    Sur ce point la note IRSN est très pertinente