Centrale nucléaire de Golfech.

Journal de l'énergie, 12 février 2020:

Comme tous les 18 mois, le réacteur n°2 de la centrale nucléaire de Golfech (Tarn-et-Garonne) doit renouveler un tiers de son combustible. Mais une cascade d'erreurs va engendrer des défaillances importantes de sûreté qui auraient pu affecter le refroidissement du combustible nucléaire. Il faudra une journée entière aux équipes d'EDF pour s'en rendre compte et réagir.

Voici dans quel contexte l'incident s'est déroulé.
 
Comment procède EDF pour décharger le combustible du réacteur ?
 
Pour protéger les travailleurs de la forte radioactivité des assemblages de combustible déchargés du réacteur et garantir leur refroidissement, l'opération est faite entièrement sous eau. Au-dessus de la cuve du réacteur, dans laquelle il y a le combustible, se trouve la « piscine réacteur » que l'on remplit d'eau. Le couvercle de la cuve est ouvert et une machine retire de la cuve un à un les assemblages de combustible, qui sont acheminés dans la « piscine réacteur ». Toujours immergé, le combustible usé est ensuite transféré dans un bâtiment voisin du réacteur (le bâtiment combustible) dans une piscine d'entreposage, où il est stocké le temps que sa radioactivité décroisse.

 Schéma du déchargement de combustible/EDF
 
L'incident se déroule pendant la préparation du renouvellement du combustible. Afin de décharger les assemblages, il faut ôter le couvercle de la cuve et, pour cela, abaisser le niveau de l'eau dans la cuve en vidant partiellement le circuit primaire, le circuit dans lequel se trouve immergé le coeur nucléaire. Cette vidange est une manoeuvre délicate : il y a moins d'eau qu'en temps normal pour évacuer la chaleur du combustible. Le niveau d'eau doit donc être surveillé très attentivement pour éviter toute perturbation du refroidissement du coeur.

 Circuit primaire d'un réacteur nucléaire à eau sous pression/ASN
 
Même à l'arrêt, un réacteur doit toujours être en mesure d'évacuer la puissance thermique du combustible nucléaire, très radioactif et très chaud. Sinon le combustible fond et se transforme en un magma capable de percer la cuve du réacteur en quelques dizaines de minutes. Tous les réacteurs en fonctionnement en France sont concernés par cette vulnérabilité structurelle, qui peut provoquer un accident nucléaire majeur. Comme celui survenu dans trois réacteurs de la centrale de Fukushima Daiichi (Japon) en 2011.

Revenons à la préparation du déchargement. Avant de démarrer la vidange, un agent EDF doit ouvrir un robinet connecté au sommet du pressuriseur, un composant qui permet de maintenir l'eau du circuit primaire sous forte pression afin d'empêcher son ébullition. Ce robinet permet de faire entrer ou sortir de l'air dans le circuit primaire. Lors d'une vidange partielle, ce robinet doit être ouvert pour que la pression dans le circuit reste toujours supérieure à la pression atmosphérique et éviter in fine de perturber le refroidissement du combustible. Le haut du pressuriseur est une zone sensible du réacteur, où la panne d'une valve avait joué un rôle déterminant dans l'accident nucléaire à la centrale de Three Mile Island (Etats-Unis) en mars 1979.
 
Distrait par des prestataires égarés dans le réacteur nucléaire, un agent EDF va oublier d'ouvrir le robinet
 
Mais alors qu'un agent EDF s'apprête à ouvrir le robinet, des prestataires égarés dans le réacteur nucléaire lui demandent leur chemin : « L'agent de terrain a été interrompu dans son activité par des prestataires qui cherchaient un local dans le bâtiment réacteur. Après les avoir accompagnés dans le local, il est revenu auprès du robinet et a coché sur son document la case « ouvert », certain d'avoir procédé à cette ouverture. Il a ensuite appelé la salle de commande pour l'informer que le robinet était ouvert », raconte Hermine Durand, cheffe de la division de Bordeaux de l'Autorité de sûreté nucléaire (ASN), qui a suivi de très près l'incident. L'agent a oublié d'ouvrir le robinet mais est persuadé de l'avoir fait.

Or l'ouverture de ce robinet est une tâche importante pour la sûreté du réacteur : « EDF spécifie bien à tout agent EDF qu'il ne faut pas interrompre un lignage[1] en cours », explique Frédéric Ménage, directeur de l'expertise de sûreté de l'Institut de radioprotection et de sûreté nucléaire (IRSN). Le lignage, c'est la série de manoeuvres pour opérer un changement d'état du réacteur. Il s'agissait ici de passer d'un circuit fermé à un circuit entrouvert.

L'agent distrait a pourtant de la bouteille. Il « travaille depuis 20 ans à la centrale et c'est un technicien très expérimenté », a expliqué à La Dépêche le directeur de la centrale nucléaire de Golfech, Nicolas Brouzeng. Ce travailleur ne va pas être le seul à gaffer. Avant de lancer la vidange partielle du circuit primaire, personne ne va vérifier si le robinet est bien ouvert, une bourde qui s'ajoute à la précédente.
 
La salle des commandes n'a plus connaissance du niveau d'eau réel du circuit primaire
 
Cet oubli en apparence anodin a rapidement des conséquences sur le réacteur nucléaire. Moins d'une heure après, la vidange partielle est lancée dans un réacteur qui n'est pas prêt pour cette opération. Résultat : la pression baisse dans le circuit primaire, l'eau se met à bouillir et une bulle de vapeur apparaît sous le couvercle de la cuve. Le circuit se dépressurise. Les opérateurs du réacteur n'ont plus une vision claire du niveau d'eau dans le circuit abritant le combustible nucléaire : « Dans cette configuration, les mesures du niveau d'eau dans le circuit primaire ne sont plus représentatives de la situation réelle », décrit l'ASN dans une note sur l'incident. L'Autorité y a illustré l'incident avec un dessin du circuit primaire :

 Vue de la vidange partielle du circuit primaire/ASN/2019

En outre, comme les conducteurs ignorent l'état réel du réacteur (ils pensent que le robinet est ouvert), ils désactivent des dispositifs de secours. Or ces garde-fous permettent de faire l'appoint d'eau automatiquement en cas de fuite du circuit d'eau, alors en service, pour refroidir le coeur nucléaire[2]. L'apport d'eau n'est donc plus possible rapidement, analyse l'IRSN, dans une note.

A la salle des commandes du réacteur n°2, personne ne s'aperçoit de ce qu'il se passe. Pourtant trois équipes vont se succéder aux manettes du réacteur ce jour-là. Comment est-ce possible ?
 
Huit heures vont passer avant que la salle des commandes ne réalise que quelque chose ne tourne pas rond
 
Au-delà du fait qu'ils étaient certains que le robinet du pressuriseur était ouvert, « les opérateurs de l'après-midi n'avait pas connaissance du volume d'eau vidangé par l'équipe du matin », explique Hermine Durand de l'ASN. Une nouvelle erreur qui a retardé la détection de l'incident.

Toujours aussi surprenant, au moment de la relève, les agents EDF n'ont pas transmis cette information capitale pour la sûreté du réacteur nucléaire. Huit heures vont passer avant que la salle des commandes ne réalise que quelque chose ne tourne pas rond : le niveau d'eau du circuit primaire ne correspond pas aux valeurs normales.

Quand l'équipe comprend qu'il y a un problème, les opérateurs arrêtent la vidange et font ouvrir le fameux robinet. Ce qui provoque une chute du niveau d'eau du circuit primaire et des « mouvements incontrôlés d'eau et d'air » à l'intérieur, décrit Hermine Durand de l'ASN. Selon le principe des vases communicants.

« Quand l'évent a été ouvert, toute l'eau est tombée, le pressuriseur s'est vidé d'un coup. », complète Frédéric Ménage de l'IRSN. Le circuit d'eau est malmené mais les pompes qui font circuler l'eau tiennent bon. Par contre la dépressurisation entraîne la panne des capteurs de niveau d'eau dans le pressuriseur. Une panne aggravée par « l'indisponibilité d'un des deux capteurs de niveau d'eau dans la cuve, isolé par erreur avant l'ouverture de l'évent », précise l'ASN.
 
EDF a pris des décisions « précipitées », sans réfléchir à leurs conséquences
 
Alors le personnel déclenche préventivement le système de secours d'injection d'eau dans le circuit primaire[3]. A ce moment les opérateurs sont dans le noir : ils n'ont pas « une appréciation correcte du niveau d'eau dans la cuve du réacteur », indique l'IRSN. Ont-ils cru que le combustible n'était plus couvert par l'eau et qu'un accident de fusion du combustible démarrait ?

En fait EDF aurait d'abord dû rétablir au plus vite le niveau d'eau du circuit primaire sans ouvrir le robinet et remettre en marche les dispositifs de secours arrêtés avant la vidange. L'exploitant n'a pas pris le temps d'analyser la situation. EDF a pris des décisions « précipitées », sans réfléchir à leurs conséquences, juge l'ASN. Un vent de panique a-t-il soufflé dans la salle de pilotage du réacteur nucléaire ?
 
Un incident qui aurait pu dégénérer
 
Si la vidange s'était poursuivie, les pompes qui font circuler l'eau pour évacuer la chaleur du combustible se seraient « dénoyées », « provoquant leur perte et, à terme, celle du refroidissement du combustible nucléaire », explique l'IRSN. L'incident aurait tourné à l'accident. Dans ce contexte, des parades existent.

«Mais EDF aurait il pu mettre en oeuvre ces parades ? », s'interroge le directeur de l'expertise de sûreté de l'IRSN. Pour le savoir, l'Institut a démarré un travail d'enquête qui devrait durer plusieurs mois.

Au final cet incident a « provoqué une dégradation significative du niveau d'eau dans le circuit primaire détectée tardivement » par EDF, analyse l'Autorité de sûreté. L'incident aurait pu dégénérer a fait savoir la directrice de la division de Bordeaux de l'ASN lors d'une réunion publique de la commission locale d'information (CLI) de la centrale de Golfech, rapporte Serge Recly, un membre de la commission qui y assistait.

Fort heureusement la série d'erreurs d'EDF n'a pas entraîné un accident nucléaire grave. Mais l'exploitant s'est fait une belle frayeur. Le refroidissement du combustible a toujours été assuré pendant le déroulé de l'incident, qui montre toutefois une profonde dégradation des compétences à la centrale EDF de Golfech.
 
« Un manque de rigueur quasi-systématique a été mis en évidence dans pratiquement tous les secteurs  » de la centrale nucléaire
 
EDF sait pourtant parfaitement que les vidanges sont des manoeuvres sensibles. L'exploitant nucléaire en avait renforcé la surveillance sur le parc nucléaire après la survenue de « défauts de maîtrise » dans plusieurs réacteurs en 2007 et 2013.

Moins d'une semaine après cet incident, une inspection poussée de l'ASN a lieu à la centrale de Golfech, qui compte deux réacteurs de 1300 MWe, sur le thème du facteur humain et de l'organisation. Le rapport d'inspection qui en résulte est accablant : « Un manque de rigueur quasi-systématique a été mis en évidence (...) dans pratiquement tous les secteurs examinés » de la centrale nucléaire.

En cause : le renouvellement massif des effectifs de la centrale, qui fragilise les compétences dans tous les domaines. « Depuis 2007, le site a connu 342 départs à la retraite et 307 embauches de nouveaux collaborateurs externes, sur un effectif global de 770 salariés », a précisé EDF au Journal de l'énergie.
 
342 départs à la retraites à Golfech depuis 2007 sur un effectif de 770 salariés
 
Le regard de l'ASN est particulièrement sévère sur les effets de la réorganisation par EDF du service de pilotage du réacteur où s'est déroulé l'incident : « certaines équipes du réacteur 2 sont en grande difficulté. » Les inspecteurs de l'ASN vont aussi découvrir que des agents EDF mangent et boivent au-dessus des pupitres de surveillance en salle de pilotage du réacteur, des comportements « inacceptables », assènent-ils.

« L'inspection a mis en exergue une défaillance dans la maîtrise des fondamentaux » de la conduite du réacteur. Exigence n°1 de l'ASN dans ce rapport de 59 pages : « prendre des mesures réactives afin de permettre aux équipes de conduite et plus particulièrement celles du réacteur 2 de retrouver la sérénité nécessaire pour mener à bien leurs activités. » En septembre 2019, l'ASN s'était déjà émue de la multiplication des incidents à la centrale de Golfech. EDF avait lancé en juillet 2019 « un plan de rigueur interne afin de renforcer l'attention des équipes. » Ses effets tardent à se faire sentir.
 
« Cet incident fait froid dans le dos »
 
Ce constat d'alarme est partagé par le président de la CLI de la centrale de Golfech, Mathieu Albugues, qui a dénoncé en réunion publique « le laxisme inadmissible » d'EDF.

« Cet incident fait froid dans le dos et illustre à lui seul les problématiques rencontrées à Golfech depuis plusieurs années, a-t-il confié au Journal de l'énergie. Ca fait deux ans que nous alertons sur les problématiques de facteur humain et organisationnel ! Le recours à la sous-traitance est plus important qu'avant et ça pose problème. »

Le Réseau « Sortir du nucléaire » blâme lui « la course à la rentabilité menée par EDF, au détriment de la sûreté et de la sécurité des populations et des travailleurs. »
 
EDF a-t-il voulu minimiser cet incident ?
 
L'exploitant nucléaire a d'abord classé l'incident au niveau 1 de l'échelle INES ­ une échelle de gravité des « événements » nucléaires destinée à la communication au grand public. EDF n'a pas mentionné la dégradation significative du niveau d'eau dans le circuit primaire du réacteur et le recours à un système de secours pour faire un appoint en eau, dans son communiqué sur l'incident publié le 11 octobre, ni dans celui du 2 décembre. Ces deux informations permettent pourtant de saisir la gravité de l'incident, qui sera reclassé niveau 2 après des échanges entre l'ASN et EDF. L'incident a eu lieu le 8 octobre mais il faudra attendre le 2 décembre pour que l'Autorité de sûreté en informe le public.

« Comment une étourderie peut-elle mener à une situation si risquée ? », s'interroge « Sortir du nucléaire ». C'est toute la question.

Martin Leers
 

[1] Le lignage d'un circuit consiste à manuvrer des vannes et à mettre des organes hors ou sous tension pour constituer un circuit en vue de réaliser une intervention de maintenance, tester un circuit afin de s'assurer de sa disponibilité ou réaliser un changement d'état du réacteur (source: IRSN).

[2] Il s'agit du circuit de refroidissement du réacteur à l'arrêt (RRA) qui refroidit le combustible nucléaire quand le réacteur est à l'arrêt, à l'aide d'un échangeur de chaleur.

[3] Recours au circuit d'injection de sécurité (RIS) qui permet d'injecter de l'eau borée dans le coeur du réacteur afin de stopper la réaction nucléaire et de maintenir le volume d'eau dans le circuit primaire en cas d'accident de perte de réfrigérant primaire.

La Dépêche du Midi, 15/06/2020:

Comme les élèves, les installations nucléaires ont reçu, en cette fin d'année scolaire, leur bulletin émis par l'Autorité de sûreté nucléaire (ASN). Cette instance administrative indépendante a dressé, ce lundi 15 juin, le bilan des actions de contrôle menées en 2019 par sa division de Bordeaux qui couvre les centrales du Blayais et Civaux, en Nouvelle-Aquitaine, et une troisième en Occitanie, Golfech.

Le Centre nucléaire de production d'électricité (CNPE) fait figure de mauvais élève. Mis en service voilà une trentaine d'années dans le Tarn-et-Garonne, il obtient des notes inquiétantes. Dans son appréciation générale, le gendarme du nucléaire estime en effet que "les performances de la centrale sont mauvaises, voire très mauvaises".

La sûreté critiquée

La centrale de Golfech compte deux réacteurs de 1 300 MW chacun. Si en matière de protection de l'environnement, elle se situe dans la moyenne du parc nucléaire français, elle se fait en revanche remonter les bretelles en matière de sûreté.

Après s'être dégradée en 2018, la qualité d'exploitation a continué de se détériorer en 2019.  "Les performances sont nettement en retrait de l'appréciation générale que l'ASN porte sur le parc nucléaire. L'ASN est très vigilante sur ce qui se passe actuellement à Golfech. Elle considère, pour résumer les choses, que les performances de cette centrale doivent faire l'objet d'une priorité absolue pour l'exploitant. L'ASN en assurera un suivi rapproché en 2020", a indiqué Simon Garnier, chef de la division de Bordeaux de l'ASN, flanqué de Jean-François Vallardeau et Bertrand Fremaux, ses adjoints.

"Manque de rigueur systémique"

À Golfech, la "détérioration" s'est traduite par la "déclaration de nombreux événements significatifs pour la sûreté en 2019. Huit événements sont survenus pendant l'arrêt du réacteur 2, dont un, le 11 octobre dernier, classé au niveau 2 sur une échelle de gravité allant jusqu'à 7".

Une inspection de revue renforcée a été aussitôt déclenchée. Treize inspecteurs de l'ASN ont débarqué à la centrale du 11 au 14 octobre. Ils pointeront ainsi du doigt plusieurs fautes, notamment, "le manque de rigueur systémique dans la traçabilité des informations, des insuffisances dans les analyses de risque et dans la maîtrise des fondamentaux de la conduite". 

Concernant la protection des salariés, le gendarme a épinglé encore "la propreté radiologique des locaux potentiellement contaminés, ainsi que des défauts dans la préparation et la réalisation des activités à fort enjeu".
L'ASN a convoqué aussi l'exploitant de la centrale pour mettre les choses au point. Visiblement, le plan rigueur sûreté mis en place à Golfech va aujourd'hui dans le bon sens. "Mais ses résultats ne seront pas visibles immédiatement. On note aujourd'hui, une fragilité persistante, sans dégradation supplémentaire", ont précisé les responsables.

Thierry Dupuy

Gazette du Nucléaire n°293, 7/02/20:

Note d'information

Le 27 janvier 2020, le directeur général de l'ASN, Olivier Gupta, a convoqué le directeur de la centrale nucléaire EDF de Golfech, Nicolas Brouzeng, à la suite des difficultés rencontrées dans cette installation depuis 2018. À cette occasion, M. Brouzeng lui a présenté le plan d'action qu'il a mis en oeuvre sur le site depuis le milieu de l'année 2019.

Dans le cadre de ses contrôles, l'ASN a constaté des déficiences dans la mise en oeuvre des opérations d'exploitation des réacteurs et un manque de rigueur systémique dans l'enregistrement et la traçabilité des activités relatives à la maintenance des installations. Ces constats ont notamment été mis en évidence lors de l'inspection de revue qu'elle a conduite sur le site du 14 au 18 octobre 2019 et dans l'analyse de l'événement significatif du 8 octobre 2019, classé au niveau 2 de l'échelle INES.

L'ASN constate que les analyses de risque préalables aux activités présentant des enjeux pour la sûreté peuvent être insuffisantes, voire inexistantes, et que les analyses des causes des événements significatifs survenant dans les installations sont souvent trop superficielles, ce qui nuit à la prise en compte du retour d'expérience. Elle considère également que les recommandations de la filière indépendante de sûreté* de la centrale nucléaire de Golfech ne sont pas suffisamment prises en compte par la direction du site.

Au cours de l'audition, l'ASN a attiré l'attention du directeur de la centrale sur la nécessité de mieux identifier, afin d'y remédier, les causes organisationnelles des dysfonctionnements, en complément des actions engagées pour prévenir les erreurs individuelles, et de s'assurer de la prise de conscience de la situation du site par l'ensemble des travailleurs, qu'ils soient salariés d'EDF ou prestataires, afin que les mesures correctives nécessaires soient partagées par tous les acteurs. Par ailleurs, l'ASN a demandé au directeur de veiller à la qualité des éléments transmis à l'ASN, notamment dans les comptes rendus d'événements significatifs et les réponses aux lettres de suite d'inspection.

* La filière indépendante de sûreté est une structure, indépendante de la ligne opérationnelle, mise en place par EDF afin de s'assurer du respect des exigences de sûreté.

Gazette du Nucléaire n°293, 2/12/19:

www.asn.fr/Informer/Actualites/Evenement-significatif-de-surete-de-niveau-2-a-la-centrale-de-Golfech

Communiqué de presse

Le 11 octobre 2019, EDF a déclaré à l'ASN un événement significatif pour la sûreté relatif au non-respect des règles générales d'exploitation lors des opérations de vidange du circuit primaire du réacteur 2 de la centrale nucléaire de Golfech.

Le 8 octobre 2019, le réacteur était en cours de mise à l'arrêt pour renouveler une partie de son combustible. Un agent de terrain s'est rendu dans le bâtiment réacteur afin d'ouvrir l'évent du pressuriseur, conformément aux procédures. Cet agent ayant été interrompu pendant son activité, l'évent n'a finalement pas été ouvert. Considérant que l'évent avait été ouvert, les opérateurs en salle de commande ont débuté les opérations de vidange du circuit primaire prévues, avec l'évent fermé, conduisant à la dépressurisation du circuit. Dans cette configuration, les mesures du niveau d'eau dans le circuit primaire ne sont plus représentatives de la situation réelle.

Huit heures plus tard, un opérateur a observé que l'évolution du niveau d'eau du circuit primaire ne correspondait pas à l'attendu. Après analyse, l'équipe de conduite a interrompu la vidange du circuit et envoyé un agent de terrain dans le bâtiment réacteur afin de contrôler la position de l'évent du pressuriseur. Constatant que celui-ci était fermé, elle a demandé son ouverture sans toutefois procéder au préalable aux actions requises par les règles générales d'exploitation.

Cette ouverture a entraîné des mouvements d'eau non maîtrisés dans le circuit primaire et une chute du niveau d'eau. L'exploitant a alors procédé à un appoint afin de restaurer le niveau d'eau dans le circuit primaire.

Les décisions prises et les actions engagées par l'exploitant ont été précipitées après la découverte de la non-ouverture de l'évent, sans évaluation préalable de leurs impacts avérés et potentiels, alors que le réacteur se trouvait dans une configuration non-conforme aux règles générales d'exploitation. L'analyse réalisée a posteriori par l'exploitant, à la demande de l'ASN, a montré que le refroidissement des assemblages de combustible situés dans la cuve du réacteur a été maintenu durant l'événement.

Cet événement est intervenu quelques jours avant la réalisation d'une inspection de revue menée par 13 inspecteurs de l'ASN et 11 experts de l'IRSN sur le site de Golfech. Cette inspection a été l'occasion pour l'ASN de contrôler notamment les mesures mises en oeuvre par EDF pour sécuriser la poursuite des opérations de mise à l'arrêt du réacteur et renforcer la surveillance des activités de conduite à la suite de cet événement.

L'ASN a par ailleurs demandé à EDF d'évaluer les conséquences de la dépressurisation sur les équipements du circuit primaire, ce qui a conduit à des contrôles complémentaires des installations. Leurs résultats ont été analysés par l'ASN dans le cadre de son instruction de la demande d'accord pour le redémarrage du réacteur 2, qui a été délivré le 21 novembre 2019.

Ce non-respect des règles générales d'exploitation lors des opérations de vidange du circuit primaire n'a pas eu de conséquence sur les personnes et l'environnement.

En raison de la dégradation des fonctions de sûreté et des conséquences potentielles pour la sûreté nucléaire, liées notamment à des défauts dans la gestion de l'événement et la surveillance des activités de conduite, ainsi qu'à la prise en compte insuffisante des enseignements du retour d'expérience, l'événement est classé au niveau 2 de l'échelle INES (échelle internationale des événements nucléaires et radiologiques, graduée de 0 à 7 par ordre croissant de gravité).