Un banal oubli lors de l’arrêt pour maintenance d’un réacteur nucléaire de la centrale de Golfech, dans le sud-ouest de la France, a rapproché dangereusement l’installation « d’une situation d’accident » en octobre dernier. Un incident qui aurait pu mal tourner dans une centrale nucléaire pointée du doigt pour son laxisme.
Comme tous les 18 mois, le réacteur n°2 de la centrale nucléaire de Golfech (Tarn-et-Garonne) doit renouveler un tiers de son combustible. Mais une cascade d’erreurs va engendrer des défaillances importantes de sûreté qui auraient pu affecter le refroidissement du combustible nucléaire. Il faudra une journée entière aux équipes d’EDF pour s’en rendre compte et réagir.
Voici dans quel contexte l’incident s’est déroulé.
Comment procède EDF pour décharger le combustible du réacteur ?
Pour protéger les travailleurs de la forte radioactivité des assemblages de combustible déchargés du réacteur et garantir leur refroidissement, l’opération est faite entièrement sous eau. Au-dessus de la cuve du réacteur, dans laquelle il y a le combustible, se trouve la « piscine réacteur » que l’on remplit d’eau. Le couvercle de la cuve est ouvert et une machine retire de la cuve un à un les assemblages de combustible, qui sont acheminés dans la « piscine réacteur ». Toujours immergé, le combustible usé est ensuite transféré dans un bâtiment voisin du réacteur (le bâtiment combustible) dans une piscine d’entreposage, où il est stocké le temps que sa radioactivité décroisse.
Schéma du déchargement de combustible/EDF
L’incident se déroule pendant la préparation du renouvellement du combustible. Afin de décharger les assemblages, il faut ôter le couvercle de la cuve et, pour cela, abaisser le niveau de l’eau dans la cuve en vidant partiellement le circuit primaire, le circuit dans lequel se trouve immergé le cœur nucléaire. Cette vidange est une manœuvre délicate : il y a moins d’eau qu’en temps normal pour évacuer la chaleur du combustible. Le niveau d’eau doit donc être surveillé très attentivement pour éviter toute perturbation du refroidissement du coeur.
Circuit primaire d’un réacteur nucléaire à eau sous pression/ASN
Même à l’arrêt, un réacteur doit toujours être en mesure d’évacuer la puissance thermique du combustible nucléaire, très radioactif et très chaud. Sinon le combustible fond et se transforme en un magma capable de percer la cuve du réacteur en quelques dizaines de minutes. Tous les réacteurs en fonctionnement en France sont concernés par cette vulnérabilité structurelle, qui peut provoquer un accident nucléaire majeur. Comme celui survenu dans trois réacteurs de la centrale de Fukushima Daiichi (Japon) en 2011.
Revenons à la préparation du déchargement. Avant de démarrer la vidange, un agent EDF doit ouvrir un robinet connecté au sommet du pressuriseur, un composant qui permet de maintenir l’eau du circuit primaire sous forte pression afin d’empêcher son ébullition. Ce robinet permet de faire entrer ou sortir de l’air dans le circuit primaire. Lors d’une vidange partielle, ce robinet doit être ouvert pour que la pression dans le circuit reste toujours supérieure à la pression atmosphérique et éviter in fine de perturber le refroidissement du combustible. Le haut du pressuriseur est une zone sensible du réacteur, où la panne d’une valve avait joué un rôle déterminant dans l’accident nucléaire à la centrale de Three Mile Island (Etats-Unis) en mars 1979.
Distrait par des prestataires égarés dans le réacteur nucléaire, un agent EDF va oublier d’ouvrir le robinet
Mais alors qu’un agent EDF s’apprête à ouvrir le robinet, des prestataires égarés dans le réacteur nucléaire lui demandent leur chemin :
« L’agent de terrain a été interrompu dans son activité par des prestataires qui cherchaient un local dans le bâtiment réacteur. Après les avoir accompagnés dans le local, il est revenu auprès du robinet et a coché sur son document la case « ouvert », certain d’avoir procédé à cette ouverture. Il a ensuite appelé la salle de commande pour l’informer que le robinet était ouvert », raconte Hermine Durand, cheffe de la division de Bordeaux de l’Autorité de sûreté nucléaire (ASN), qui a suivi de très près l’incident. L’agent a oublié d’ouvrir le robinet mais est persuadé de l’avoir fait.
Or l’ouverture de ce robinet est une tâche importante pour la sûreté du réacteur : « EDF spécifie bien à tout agent EDF qu’il ne faut pas interrompre un lignage[1] en cours », explique Frédéric Ménage, directeur de l’expertise de sûreté de l’Institut de radioprotection et de sûreté nucléaire (IRSN). Le lignage, c’est la série de manœuvres pour opérer un changement d’état du réacteur. Il s’agissait ici de passer d’un circuit fermé à un circuit entrouvert.
L’agent distrait a pourtant de la bouteille. Il « travaille depuis 20 ans à la centrale et c’est un technicien très expérimenté », a expliqué à la Dépêche le directeur de la centrale nucléaire de Golfech, Nicolas Brouzeng. Ce travailleur ne va pas être le seul à gaffer. Avant de lancer la vidange partielle du circuit primaire, personne ne va vérifier si le robinet est bien ouvert, une bourde qui s’ajoute à la précédente.
La salle des commandes n’a plus connaissance du niveau d’eau réel du circuit primaire
Cet oubli en apparence anodin a rapidement des conséquences sur le réacteur nucléaire. Moins d’une heure après, la vidange partielle est lancée dans un réacteur qui n’est pas prêt pour cette opération. Résultat : la pression baisse dans le circuit primaire, l’eau se met à bouillir et une bulle de vapeur apparaît sous le couvercle de la cuve. Le circuit se dépressurise. Les opérateurs du réacteur n’ont plus une vision claire du niveau d’eau dans le circuit abritant le combustible nucléaire : « Dans cette configuration, les mesures du niveau d’eau dans le circuit primaire ne sont plus représentatives de la situation réelle », décrit l’ASN dans une note sur l’incident. L’Autorité y a illustré l’incident avec un dessin du circuit primaire :
Vue de la vidange partielle du circuit primaire/ASN/2019
En outre, comme les conducteurs ignorent l’état réel du réacteur (ils pensent que le robinet est ouvert), ils désactivent des dispositifs de secours. Or ces garde-fous permettent de faire l’appoint d’eau automatiquement en cas de fuite du circuit d’eau, alors en service, pour refroidir le coeur nucléaire[2]. L’apport d’eau n’est donc plus possible rapidement, analyse l’IRSN, dans une note.
A la salle des commandes du réacteur n°2, personne ne s’aperçoit de ce qu’il se passe. Pourtant trois équipes vont se succéder aux manettes du réacteur ce jour-là. Comment est-ce possible ?
Huit heures vont passer avant que la salle des commandes ne réalise que quelque chose ne tourne pas rond
Au-delà du fait qu’ils étaient certains que le robinet du pressuriseur était ouvert, « les opérateurs de l’après-midi n’avait pas connaissance du volume d’eau vidangé par l’équipe du matin », explique Hermine Durand de l’ASN. Une nouvelle erreur qui a retardé la détection de l’incident.
Toujours aussi surprenant, au moment de la relève, les agents EDF n’ont pas transmis cette information capitale pour la sûreté du réacteur nucléaire.
Huit heures vont passer avant que la salle des commandes ne réalise que quelque chose ne tourne pas rond : le niveau d’eau du circuit primaire ne correspond pas aux valeurs normales.
Quand l’équipe comprend qu’il y a un problème, les opérateurs arrêtent la vidange et font ouvrir le fameux robinet. Ce qui provoque une chute du niveau d’eau du circuit primaire et des « mouvements incontrôlés d’eau et d’air » à l’intérieur, décrit Hermine Durand de l’ASN. Selon le principe des vases communicants.
« Quand l’évent a été ouvert, toute l’eau est tombée, le pressuriseur s’est vidé d’un coup. », complète Frédéric Ménage de l’IRSN. Le circuit d’eau est malmené mais les pompes qui font circuler l’eau tiennent bon. Par contre la dépressurisation entraîne la panne des capteurs de niveau d’eau dans le pressuriseur. Une panne aggravée par « l’indisponibilité d’un des deux capteurs de niveau d’eau dans la cuve, isolé par erreur avant l’ouverture de l’évent », précise l’ASN.
EDF a pris des décisions « précipitées », sans réfléchir à leurs conséquences
Alors le personnel déclenche préventivement le système de secours d’injection d’eau dans le circuit primaire[3]. A ce moment les opérateurs sont dans le noir : ils n’ont pas « une appréciation correcte du niveau d’eau dans la cuve du réacteur », indique l’IRSN. Ont-ils cru que le combustible n’était plus couvert par l’eau et qu’un accident de fusion du combustible démarrait ?
En fait EDF aurait d’abord dû rétablir au plus vite le niveau d’eau du circuit primaire sans ouvrir le robinet et remettre en marche les dispositifs de secours arrêtés avant la vidange. L’exploitant n’a pas pris le temps d’analyser la situation. EDF a pris des décisions « précipitées », sans réfléchir à leurs conséquences, juge l’ASN. Un vent de panique a-t-il soufflé dans la salle de pilotage du réacteur nucléaire ?
Un incident qui aurait pu dégénérer
Si la vidange s’était poursuivie, les pompes qui font circuler l’eau pour évacuer la chaleur du combustible se seraient « dénoyées », « provoquant leur perte et, à terme, celle du refroidissement du combustible nucléaire », explique l’IRSN. L’incident aurait tourné à l’accident. Dans ce contexte, des parades existent.
«Mais EDF aurait il pu mettre en œuvre ces parades ? », s’interroge le directeur de l’expertise de sûreté de l’IRSN. Pour le savoir, l’Institut a démarré un travail d’enquête qui devrait durer plusieurs mois.
Au final cet incident a « provoqué une dégradation significative du niveau d’eau dans le circuit primaire détectée tardivement » par EDF, analyse l’Autorité de sûreté. L’incident aurait pu dégénérer a fait savoir la directrice de la division de Bordeaux de l’ASN lors d’une réunion publique de la commission locale d’information (CLI) de la centrale de Golfech, rapporte Serge Recly, un membre de la commission qui y assistait.
Fort heureusement la série d’erreurs d’EDF n’a pas entraîné un accident nucléaire grave. Mais l’exploitant s’est fait une belle frayeur. Le refroidissement du combustible a toujours été assuré pendant le déroulé de l’incident, qui montre toutefois une profonde dégradation des compétences à la centrale EDF de Golfech.
« Un manque de rigueur quasi-systématique a été mis en évidence dans pratiquement tous les secteurs » de la centrale nucléaire
EDF sait pourtant parfaitement que les vidanges sont des manœuvres sensibles. L’exploitant nucléaire en avait renforcé la surveillance sur le parc nucléaire après la survenue de « défauts de maîtrise » dans plusieurs réacteurs en 2007 et 2013.
Moins d’une semaine après cet incident, une inspection poussée de l’ASN a lieu à la centrale de Golfech, qui compte deux réacteurs de 1300 MWe, sur le thème du facteur humain et de l’organisation. Le rapport d’inspection qui en résulte est accablant : « Un manque de rigueur quasi-systématique a été mis en évidence (…) dans pratiquement tous les secteurs examinés » de la centrale nucléaire.
En cause : le renouvellement massif des effectifs de la centrale, qui fragilise les compétences dans tous les domaines. « Depuis 2007, le site a connu 342 départs à la retraite et 307 embauches de nouveaux collaborateurs externes, sur un effectif global de 770 salariés », a précisé EDF au Journal de l’énergie.
342 départs à la retraites à Golfech depuis 2007 sur un effectif de 770 salariés
Le regard de l’ASN est particulièrement sévère sur les effets de la réorganisation par EDF du service de pilotage du réacteur où s’est déroulé l’incident : « certaines équipes du réacteur 2 sont en grande difficulté. » Les inspecteurs de l’ASN vont aussi découvrir que des agents EDF mangent et boivent au-dessus des pupitres de surveillance en salle de pilotage du réacteur, des comportements « inacceptables », assènent-ils.
« L’inspection a mis en exergue une défaillance dans la maîtrise des fondamentaux » de la conduite du réacteur. Exigence n°1 de l’ASN dans ce rapport de 59 pages : « prendre des mesures réactives afin de permettre aux équipes de conduite et plus particulièrement celles du réacteur 2 de retrouver la sérénité nécessaire pour mener à bien leurs activités. » En septembre 2019, l’ASN s’était déjà émue de la multiplication des incidents à la centrale de Golfech. EDF avait lancé en juillet 2019 « un plan de rigueur interne afin de renforcer l’attention des équipes. » Ses effets tardent à se faire sentir.
« Cet incident fait froid dans le dos »
Ce constat d’alarme est partagé par le président de la CLI de la centrale de Golfech, Mathieu Albugues, qui a dénoncé en réunion publique « le laxisme inadmissible » d’EDF.
« Cet incident fait froid dans le dos et illustre à lui seul les problématiques rencontrées à Golfech depuis plusieurs années, a-t-il confié au Journal de l’énergie. Ca fait deux ans que nous alertons sur les problématiques de facteur humain et organisationnel ! Le recours à la sous-traitance est plus important qu’avant et ça pose problème. »
Le Réseau « Sortir du nucléaire » blâme lui « la course à la rentabilité menée par EDF, au détriment de la sûreté et de la sécurité des populations et des travailleurs. »
EDF a-t-il voulu minimiser cet incident ?
L’exploitant nucléaire a d’abord classé l’incident au niveau 1 de l’échelle INES – une échelle de gravité des « événements » nucléaires destinée à la communication au grand public. EDF n’a pas mentionné la dégradation significative du niveau d’eau dans le circuit primaire du réacteur et le recours à un système de secours pour faire un appoint en eau, dans son communiqué sur l’incident publié le 11 octobre, ni dans celui du 2 décembre. Ces deux informations permettent pourtant de saisir la gravité de l’incident, qui sera reclassé niveau 2 après des échanges entre l’ASN et EDF. L’incident a eu lieu le 8 octobre mais il faudra attendre le 2 décembre pour que l’Autorité de sûreté en informe le public.
« Comment une étourderie peut-elle mener à une situation si risquée ? », s’interroge « Sortir du nucléaire ». C’est toute la question.
Article mis à jour le 12 février 2020 à 10h12 : remplacement de « lors de la maintenance » dans le premier paragraphe par « lors de l’arrêt pour maintenance » dans le premier paragraphe.
[1]Le lignage d’un circuit consiste à manœuvrer des vannes et à mettre des organes hors ou sous tension pour constituer un circuit en vue de réaliser une intervention de maintenance, tester un circuit afin de s’assurer de sa disponibilité ou réaliser un changement d’état du réacteur (source: IRSN).
[2]Il s’agit du circuit de refroidissement du réacteur à l’arrêt (RRA) qui refroidit le combustible nucléaire quand le réacteur est à l’arrêt, à l’aide d’un échangeur de chaleur.
[3]Recours au circuit d’injection de sécurité (RIS) qui permet d’injecter de l’eau borée dans le cœur du réacteur afin de stopper la réaction nucléaire et de maintenir le volume d’eau dans le circuit primaire en cas d’accident de perte de réfrigérant primaire.
