Notre histoire des évènements Sûreté

Notre histoire des évènements Sûreté REX du parc EDF et mondial

2 I REX du parc EDF et mondial À l’heure où le Parc nucléaire prolonge sa durée d’exploitation en réalisant les VD4 900, les VD3 1300, en préparant les VD5 900, les VD4 1300 et les VD3 N4 mais aussi, démarre l’EPR de Flamanville 3, je considère indispensable de garder en mémoire les évènements qui ont marqué l’histoire du nucléaire au niveau mondial et au sein de la flotte EDF. Depuis le démarrage du Parc nucléaire français il y a 60 ans, le groupe EDF a cumulé 2500 années de fonctionnement réacteur et plusieurs générations de professionnels du nucléaire se sont déjà succédées. Il est donc vital de capitaliser notre retour d’expérience et de savoir en tirer profit pour ne pas répéter les erreurs du passé. C’est une recommandation de WANO et du SOER Davis Besse et un des traits d’une bonne culture Sûreté. C’est dans cet objectif que j’ai mandaté quelques-uns de nos aînés (*) pour sélectionner les évènements les plus marquants, illustrer les enseignements tirés par la DPN et rappeler des messages clés simples, destinés à tous les métiers qui contribuent à la sûreté de nos installations. Le présent livret a pour ambition de contribuer à un passage de témoin entre générations et aussi de proposer à chacun de pouvoir aller plus loin en utilisant les outils numériques. J’ai la conviction que la connaissance de ces évènements, qui constituent un socle de notre mémoire collective, sera un levier de développement de la Culture Sûreté qui nous permettra de continuer l’amélioration de la sûreté de notre parc REP. François GOULAIN Directeur Délégué Sûreté de la Division Production Nucléaire (*) : Christian BORGNE (ex CMSQ À FESSENHEIM) & Serge BLOND (ex Directeur de l’Inspection Nucléaire) avec l’aide de Jean-Philippe BAINIER (ex Directeur Adjoint DPN et ex Directeur de Dampierre, Fessenheim et Tihange). Merci à Laurent PANISSET et à Valérie PALFNER qui ont œuvré pour que ce livret prenne vie et grandisse sous Wik’ing.

REX du parc EDF et mondial I 3 Échelle INES Échelle internationale des évènements nucléaires Le tour de France du REX des sites Gravelines (6) Penly (2) Flamanville (2+1) Chooz (2) Cattenom (4) Fessenheim (2) Belleville (2) St Laurent (2) Chinon (4) Civaux (2) Le Blayais (4) Golfech (2) Bugey (4) Cruas (4) Tricastin (4) St Alban (2) Nogent/Seine (2) Dampierre (4) Paluel (4)

4 I REX du parc EDF et mondial Développer une attitude interrogative, une démarche rigoureuse et prudente et une communication efficace Rôle des managers • Maitrise criticité • Leviers du Management de la Sûreté • Consultant FH sur site Après Tchernobyl Années 1990 Culture de Sûreté INSAG 4, 13, 15 Réduire les risques d’erreurs humaines • Automatisation/Informatisation • Ébulliomètre • Condamnation Administrative • Procédures APE • Organisation de crise • Formation sur simulateur • Ergonomie de conception • Ingénieur sûreté Après TMI Années 1980 Homme présent mais source d’erreurs 1 2 1979 - Three Mile Island 1986 - Tchernobyl Évolution de la culture sûreté : 5 périodes très distinctes • Primat de la robustesse de conception • Approche qualité • Défense en profondeur Avant TMI Sûreté basée sur la fiabilité technique 4 évènements mondiaux qui

REX du parc EDF et mondial I 5 Éviter les dérives lentes, la banalisation des écarts Réaffirmation culture de sûreté • Guide Management de la Sûreté • Projet Performance Humaine • Démarche SOH Après Davis Besse Années 2000 Signaux faibles Sûreté / compétitivité INSAG 18 Développer la capacité d’une organisation à anticiper les perturbations pour leur résister et revenir à un état acceptable • Equipe Situation Extrême Conduite • FARN • DUS • PTR bis • Source d’Eau Ultime Après Fukushima Résilience 3 4 2002 - Davis Besse 2011 - Fukushima jalonnent l’histoire du nucléaire 1979 TMI % Années 1986 Tchernobyl 2011 Fukushima 2023 2002 Daviss Besse Années 2010

6 I REX du parc EDF et mondial Sommaire Introduction......................................................................................................................................................................................P. 2 Échelle INES...................................................................................................................................................................................... P. 3 4 évènements mondiaux qui jalonnent l’histoire du nucléaire...............................................P. 8 - 25 Three Mile Island (TMI)............................................................................................................................................P. 10 - 13 Tchernobyl.......................................................................................................................................................................P. 14 - 17 Davis Besse....................................................................................................................................................................P. 18 - 21 Fukushima Daiichi.....................................................................................................................................................P. 22 - 25 Le tour de France du REX des sites.............................................................................................................. P. 26 - 78 Fiches thématiques..........................................................................................................................................P. 28 - 55 Maîtrise de la réactivité.........................................................................................................................................P. 30 - 31 Dilutions intempestives.........................................................................................................................................P. 32 - 33 Colmatage de la prise d’eau.............................................................................................................................P. 34 - 35 Brèche Primaire par ouverture soupape SEBIM PZR...........................................................................P. 36 - 37 RTGV « Rupture de Tube de Générateur de Vapeur, non compensable par le RCV »....P. 38 - 39 Incendies majeurs.....................................................................................................................................................P. 40 - 41 Risque d’explosion Hydrogène.........................................................................................................................P. 42 - 43 Corrosion des circuits...........................................................................................................................................P. 44 - 45 Condamnations administratives.....................................................................................................................P. 46 - 47 DMP / MTI / DDC - Disposition et Moyen Particulier, Modification Temporaire de l’Installation, Dispositif De Chantier......................................................................................................P. 48 - 49 FME - Corps migrants............................................................................................................................................P. 50 - 51

REX du parc EDF et mondial I 7 Défaillance de « Mode Commun »..................................................................................................................P. 52 - 53 Risque « Fraude & Irrégularité » - CFSI (Counterfeit, Fraudulent and Suspect Items)... P. 54 - 55 Sélection d’évènements à garder en mémoire ....................................................................... P. 56 - 78 Belleville 1 - Indisponibilité de la bâche PTR non détectée........................................................................P. 58 Blayais - Inondation partielle du site due à la tempête...............................................................................P. 59 Bugey 5 - Apparition d’un vortex en PTB RRA.................................................................................................P. 60 Cattenom 3 - Nombreux assemblages combustible inétanches.............................................................P.61 Chinon B0 - Gel des réchauffeurs DVN et DVK...............................................................................................P. 62 Chooz 1 - Mise à la terre de la ligne 400 kV sous tension........................................................................P. 63 Civaux 1 - Brèche primaire RRA connecté...........................................................................................................P. 64 Cruas 4 - Fuite GV supérieure à 70l/h...................................................................................................................P. 65 Dampierre 4 - Erreur de chargement du combustible en cuve............................................................P. 66 Fessenheim 1 - Divergence incontrôlée.................................................................................................................P. 67 Flamanville 2 - Injection de sécurité, primaire monophasique................................................................P. 68 Flamanville 3 - Non-conformité des soudures VVP........................................................................................P. 69 Golfech 2 - Vidange incontrôlée du CPP..............................................................................................................P. 70 Gravelines 2 - RIS 21000 ppm indisponible en RP..........................................................................................P. 71 Nogent 1 - Infiltration d’eau chaude dans les locaux SIP............................................................................P. 72 Paluel 2 - Refroidissement du primaire > 56°C/h............................................................................................P. 73 Penly 2 - Détérioration GMPP et incendie dans le BR...................................................................................P. 74 Saint-Alban 1 - Perte prolongée de la réfrigération piscine BK..............................................................P. 75 Saint-Laurent A - Fusion de combustible.............................................................................................................P. 76 Saint-Laurent B2 - Indisponibilité des 2 voies RRI...........................................................................................P. 77 Tricastin 2 - Levée partielle de 2 assemblages combustible avec les EIS.........................................P. 78 Glossaire...........................................................................................................................................................................................P. 80 Pour aller plus loin : Wik’ing et références des évènements............................................................. P. 81 - 83

4 évènements mondiaux qui jalonnent l’histoire du nucléaire

Three Mile Island (TMI) le 28 mars 1979 P. 10 - 13 Davis Besse le 6 mars 2002 P. 18 - 21 Fukushima-Daiichi, tranches 1-2-3-4 le 11 mars 2011 P. 22 - 25 Tchernobyl, tranche 4 le 26 avril 1986 P. 14 - 17

INES 5 Tranche 2, USA (Pennsylvanie), PWR 900 MW le 28 mars 1979 Three Mile Island (TMI)

REX du parc EDF et mondial I 11 Causes principales : Une erreur humaine est à l’origine du mauvais positionnement des vannes manuelles d’isolement du circuit d’alimentation de secours des GV (ASG). La non refermeture de la soupape de décharge PZR est d’origine matérielle et l’opérateur diagnostique tardivement cette anomalie. L’opérateur arrête l’IS en se basant sur le « haut niveau » PZR affiché en SDC (gonflement normal du PZR dans cette situation), ce qui accentue le déficit en eau du RCP. Les procédures et les formations ne prenaient pas encore en compte les conséquences du phénomène physique engendrées par ce type de brèche primaire. Conséquences principales : La fusion d’environ 50 % du cœur a libéré une activité totale de l’ordre de 1019 Bq dans l’enceinte de confinement. Du fait de la fusion de nombreuses gaines et de l’éclatement des disques de rupture du RDP, le confinement n’était plus assuré que par la 3ème barrière. Les rejets radioactifs dans l’environnement sont issus du BAN dans lequel des effluents des puisards BR ont été transférés. Ils auraient engendré une dose intégrée de 1 mSv en limite de site pendant toute la durée du rejet. Cet accident a entrainé l’arrêt définitif de la tranche TMI2 après seulement 3 mois de production. Il s’en est suivi 14 années d’assainissement de l’installation comprenant l’évacuation du combustible et la décontamination des locaux. INES 5 Tranche en puissance, suite à une perte de l’alimentation normale en eau des GV et à la position fermée des vannes d’isolement manuelles ASG, les GV s’assèchent en 3 mn. Le refroidissement du primaire n’étant plus assuré, il s’en suit une dilatation du fluide primaire, l’augmentation de la pression RCP puis l’ouverture de la soupape de décharge du pressuriseur. La non refermeture de celle-ci entraîne un gonflement du niveau pressuriseur lu en SdC, l’opérateur fait un arrêt manuel inadéquat de l’injection de sécurité. L’arrêt volontaire des GMPP suite à vibrations élevées (dues à la présence de vapeur dans le primaire) accélère le dénoyage du cœur au bout de 2 heures. La restauration du refroidissement par les GV n’évite pas la fusion partielle du combustible. Fusion partielle du cœur

12 I REX du parc EDF et mondial Three Mile Island (TMI) Principaux enseignements tirés au niveau international L’accident de TMI a mis en évidence des insuffisances sur les champs « matériel », « organisationnel » et « humain » : À la conception : interface salle de commande mal adaptée, indications non représentatives du phénomène que l’on veut mesurer, procédures accidentelles inadaptées pour le diagnostic de certains types d’accident (notamment pas de corrélation entre le niveau pressuriseur et la marge à la saturation dans la cuve), En exploitation : des faiblesses dans la formation des opérateurs, des défauts dans les méthodes de travail, un manque de retour d’expérience ainsi qu’une importance insuffisante accordée aux erreurs humaines potentielles. Les années 80 sont consacrées en particulier à la prise en compte de l’erreur humaine en exploitation et à son rattrapage par l’organisation. En 1988, le rapport « INSAG-3 » de l’AIEA (*) pose les bases des principes fondamentaux de sûreté relatifs à la conception et à l’exploitation des centrales nucléaires dans le monde (exigences essentielles). Elles concernent : • Les objectifs généraux de sûreté, • Le concept de défense en profondeur (développé et enrichi par l’INSAG-10 en 1996), • Le principe de responsabilité d’exploitant et de contrôle par les autorités de sûreté nationales, • L’assurance qualité, la prise en compte du facteur humain et la mise en œuvre d’un retour d’expérience intégré. (*) Le rapport INSAG-3 de 1988 a fait l’objet en 1999 d’une révision par l’AIEA au travers du rapport « INSAG-12 - Principes fondamentaux de sûreté pour les centrales nucléaires ». Réduire les risques d’erreurs humaines • Automatisation/Informatisation • Ébulliomètre • Condamnation Administrative • Procédures APE • Organisation de crise • Formation sur simulateur • Ergonomie de conception • Ingénieur sûreté Après TMI Années 1980 Homme présent mais source d’erreurs

REX du parc EDF et mondial I 13 le 28 mars 1979 Tranche 2, USA (Pennsylvanie), PWR 900 MW Principaux enseignements tirés par EDF En France, EDF articule les actions post-TMI autour de cinq axes majeurs : 1. L’amélioration de la fiabilité des soupapes du pressuriseur (technologie SEBIM), 2. L’introduction de l’approche « Accidents Graves » (dégradation du cœur), 3. La prise en compte des situations de cumuls de défaillances matérielles et humaines, 4. La structuration du retour d’expérience pour renforcer son utilisation, 5. La fiabilisation de la conduite normale et perturbée. Ce qui est important à retenir pour nous aujourd’hui : • Les nombreuses modifications matérielles (SEBIM, LLS, GUS, TAC, filtres à sable (filtres U5), recombineurs H2, panneau de sûreté), • Le processus de condamnations administratives sur certains équipements sans information de leur position en salle de commande, • La création des procédures U et H puis adoption de l’APE (avec mise en place de l’ébulliomètre KPS) et la formation sur simulateur pleine échelle, • La création de la Filière Indépendante de Sûreté (ISR puis IS sur chaque CNPE et IGSNR), • La création d’une organisation nationale de crise et dotation des centrales et des habitants de la zone PPI en pastilles d’iode, • La montée en puissance des FH pour mieux prendre en compte l’homme et son activité et la prise en compte de l’erreur humaines dans les études de Sûreté. Message clé L’organisation met en place des lignes de défense pour prévenir les erreurs humaines et en limiter les conséquences.

INES 7 Tranche 4, UKRAINE, RBMK 1000 MW, modéré au graphite le 26 avril 1986 Tchernobyl

REX du parc EDF et mondial I 15 Causes principales : Par conception, les réacteurs de la filière RBMK comportent une plage de fonctionnement à coefficient de vide positif et des embouts de barres de contrôle en graphite qui contrarie dans un 1er temps l’anti réactivité apportée par leur insertion. Le bâtiment contenant le réacteur ne constituait pas une réelle « troisième barrière » permettant de résister à un tel accident. L’essai, refusé par d’autres sites, a été accepté sans mesurer totalement le risque encouru. Les protections ont été inhibées et les demandes d’arrêt immédiat du réacteur émises par le calculateur n’ont pas été exécutée par les opérateurs (culture sûreté défaillante). Les procédures mises en œuvres lors de l’essai avaient été modifiées sans la validation technique qui aurait été nécessaire pour analyser les risques de l’essai. Conséquences principales : Les 2 explosions successives ont conduit à la destruction du cœur et du circuit primaire. L’incendie du graphite a propulsé une activité de 107 Ci (= 37. 1016 Bq) jusqu’à 1500 m d’altitude qui a été ensuite dispersée par les vents sur une grande partie de l’Europe. Au regard de l’importance des rejets radioactifs, l’accident a été classé au niveau 7 sur l’échelle INES. Les évacuations ont au total touché environ 300 000 personnes. La zone d’exclusion de plusieurs km autour de la centrale est toujours en vigueur. INES 7 Un essai exploratoire pour garantir le fonctionnement du réacteur sur une alimentation électrique de secours nécessite de mettre au préalable le réacteur dans une zone de fonctionnement non autorisée (50 %Pn, coefficient de vide positif). Les signaux de demande d’arrêt immédiat du réacteur sont inhibés par les opérateurs pour la réalisation de l’essai. L’opérateur extrait les barres de contrôle pour compenser le Xénon. L’essai de fermeture des vannes d’admission vapeur à la turbine débute conduisant à un échauffement de l’eau de refroidissement, qui par l’effet de vide positif, multiplie par 80, en 4 secondes, la puissance du réacteur. Le combustible est pulvérisé, une explosion vapeur soulève la dalle supérieure du réacteur (1000 tonnes). L’empilement en graphite prend feu, une 2ème explosion due à l’excursion de puissance expulse le combustible vers l’extérieur. Explosion du réacteur

16 I REX du parc EDF et mondial Tchernobyl Principaux enseignements tirés au niveau international En 1987, l’AIEA rédige son premier rapport d’analyse « INSAG-1 » de l’accident de Tchernobyl. Il pointe un manque de Culture Sûreté à tous les niveaux de l’organisation. En 1989, WANO, l’association mondiale des exploitants nucléaires, est créée pour qu’un tel accident ne se reproduise plus. Elle comprend 120 membres exploitant 430 réacteurs dans le monde, avec pour missions : des revues de pairs tous les 4 ans, des audits ciblés, des indicateurs permettant aux exploitants de se comparer et de s’améliorer. En 1991, l’AIEA publie le rapport « INSAG-4 » qui définit la Culture Sûreté : « La culture de sûreté est l’ensemble des caractéristiques et des attitudes qui, dans les organismes ou chez les individus, font que les questions relatives à la sûreté des centrales nucléaires bénéficient, en priorité, de l’attention qu’elles méritent en raison de leur importance ». Elle pose les principes de la primauté à la sûreté et de la recherche de l’excellence en engageant tous les niveaux, les directions (nationales et locales), le management et les individus. Les 3 piliers retenus sont : une attitude interrogative, une démarche rigoureuse et prudente, une communication efficace. Développer une attitude interrogative, une démarche rigoureuse et prudente et une communication efficace Rôle des managers • Maitrise criticité • Leviers du Management de la Sûreté • Consultant FH sur site Après Tchernobyl Années 1990 Culture de Sûreté INSAG 4, 13, 15

REX du parc EDF et mondial I 17 le 26 avril 1986 - Tranche 4, UKRAINE, RBMK 1000 MW, modéré au graphite Principaux enseignements tirés par EDF En France, EDF articule les actions post-Tchernobyl autour de 5 axes majeurs : 1. Le développement du concept de « Culture Sûreté » basé sur l’INSAG-4, 2. L’étude de l’accident de criticité prompte, 3. La mise en place de parades pour éviter la dilution involontaire du RCP (modification anti-dilution, échantillonnage RRA avant mise en service, optimisation de la procédure d’équilibrage des pressions primaire et secondaire lors de la conduite d’une RTGV), 4. La création du GIE INTRA (robots) pour intervenir dans l’environnement post-accidentel, 5. Un accroissement de la transparence vis-à-vis du public (gréement de communicants sur chaque site, publication des évènements, création de CLI, …). Ce qui est important à retenir pour nous aujourd’hui : Le RM « Leviers Management de la Sûreté » fixe les 5 demandes managériales suivantes : • Les activités ou les interventions sur l’installation industrielle font systématiquement l’objet d’une démarche d’Analyse de Risques (ADR), • La réalisation du Contrôle Technique (CT) est systématique dès qu’elle est définie comme parade de l’ADR ou que l’activité concernée est une AIP, • Les leviers de la Performance Humaine sont mis en œuvre pour les activités sur l’installation : appropriation de l’activité , « je me déclare prêt », l’adhérence aux procédures et les Pratiques de Fiabilisation des Interventions (PFI), • Les entités mettent en œuvre une feuille de route pluriannuelle qui définit les actions de développement de la Culture Sûreté (CS) à engager au niveau site et dans les services. Message clé J’incarne en permanence une attitude interrogative, une démarche rigoureuse et prudente et je communique en toute transparence (INSAG4).

INES 3 USA (Ohio), PWR 940 MW le 06 mars 2002 Davis Besse zone de dégradation de la cuve

REX du parc EDF et mondial I 19 Causes principales : Les signes précurseurs (signaux faibles) pourtant répétitifs, détectés pendant plusieurs années, n’ont pas été pris en compte (constat de dépôts de bore sur le couvercle, accélération de l’encrassement des batteries froides de ventilation et des filtres des chaînes KRT du BR). L’érosion des standards et des exigences était principalement due à : • La préoccupation du site trop centrée sur la production à court terme, • Le manque de contrôle hiérarchique et de présence terrain des managers, • Le traitement des problèmes sans rechercher et analyser les causes profondes, • Le déficit d’analyse des signaux faibles, • L’érosion de la sensibilité vis-à-vis de la sûreté nucléaire se traduisant par une suite de décisions non conservatives. Le site était engagé dans une démarche de justification des anomalies peu ouverte au REX (INPO, NRC, international). Des anomalies avaient pourtant été découvertes précédemment à Beznau (Suisse) en 1970, à Turkey-Point et à Salem (USA) en 1987 et à Bugey en 1991. Conséquences principales : En cas de rupture du revêtement inox du couvercle, la tranche aurait subi un accident de type « Accident Avec Perte de Réfrigérant Primaire – Brèche Intermédiaire » (APRP-BI), non isolable.​ Découverte d’une cavité non débouchante dans le couvercle de cuve INES 3 Une fuite de bore due à une fissure non correctement traitée sur plusieurs années a progressivement rongé l’acier noir du couvercle de cuve au niveau d’un passage de tige de commande de grappe. Le volume de la cavité découverte était équivalent à celui d’un cylindre de 11 cm de diamètre x 11 cm de haut. Seul le revêtement inox interne du couvercle (épaisseur 6 mm, partiellement déformé et fissuré, tenait la pression du fluide primaire.

20 I REX du parc EDF et mondial Davis Besse Principaux enseignements tirés au niveau international La dérive qui s’était installée à tous les niveaux de l’organisation et sur plusieurs années a fait passer le site d’un niveau d’exigences élevé à une simple justification de standards minimum. Ce constat démontre l’actualité et la pertinence des rapports INSAG (International Safety Advisory Group) produits par l’AIEA, notamment : • INSAG-13 « Management de la sûreté opérationnelle dans les centrales nucléaires » diffusé en 1999. Ce rapport aborde les aspects qui ont une importance dans la promotion de la Culture Sûreté, accompagnés de préconisations et de bonnes pratiques concernant en particulier la façon de surveiller les performances en matière de sûreté et la détection d’une baisse de performances. • INSAG-15 « Les principales difficultés rencontrées dans le renforcement de la Culture Sûreté » diffusé en 2002. Ce rapport présente les questions qui peuvent être posées dans le cadre d’un autodiagnostic. Il aborde la façon de communiquer, la culture du compte rendu (reporting), l’attention qui doit être portée aux incidents évités de justesse et aux dérives possibles (le risque toléré devient validé), ainsi que l’aptitude d’une organisation à se remettre en question à tous les niveaux (organisation apprenante). • INSAG-18 « La conduite du changement dans l’industrie nucléaire » diffusé en 2003. Ce rapport aborde les conséquences d’évolutions du contexte nucléaire sur les organisations et les hommes (recherche d’une compétitivité accrue, accroissement des exigences de sûreté…), qui peuvent affecter la sûreté si elles ne sont pas bien intégrées et gérées. De son côté, WANO a produit le SOER 2003-2 « Couvercle de cuve de Davis Besse » qui recommande à chaque exploitant de : ​ • Former tous les managers et superviseurs à cet incident,​ • Auto-évaluer le focus sûreté / production des décideurs,​ • Réexaminer toutes les anomalies à origine non élucidée. Éviter les dérives lentes, la banalisation des écarts Réaffirmation culture de sûreté • Guide Management de la Sûreté • Projet Performance Humaine • Démarche SOH Après Davis Besse Années 2000 Signaux faibles Sûreté / compétitivité INSAG 18

REX du parc EDF et mondial I 21 le 06 mars 2002 USA (Ohio), PWR 940 MW Principaux enseignements tirés par EDF Au fil des années, la DPN a mis en œuvre différentes démarches et leviers pour développer les principes de la Culture Sûreté définis par WANO : • Rédaction du Guide « Management de la sûreté » (version 2004) qui a défini les exigences en termes de Culture Sûreté de chacun des acteurs et le rôle particulier du management en intégrant les rapports INSAG-13, l’INSAG-15 et l’INSAG-18 de l’AIEA, • Amélioration de la prise en compte des signes précurseurs et de la recherche de causes profondes des évènements (cf. Guide d’Analyse des évènements, démarche SOH…), • Le renforcement de l’intégration du retour d’expérience international Ce qui est important à retenir pour nous aujourd’hui : • Les objectifs de la présence terrain des managers ont été structurés (donner du sens, partager les enjeux sûreté, comprendre les difficultés rencontrées, rappeler les exigences…). • Chaque unité met en œuvre une démarche de Prise de Décision Opérationnelle (PDO) fondée sur une organisation et une méthode, • La démarche « Programme d’Action Corrective » (PAC) a été mise en œuvre pour prendre en compte les « signaux faibles ». Message clé Je ne m’accoutume jamais aux anomalies non expliquées ou non traitées depuis longtemps.

INES 7 Tranches 1-2-3-4 JAPON, BWR 1000 MW le 11 mars 2011 Fukushima Daiichi

REX du parc EDF et mondial I 23 Causes principales : La plateforme des réacteurs n’était pas protégée contre les vagues supérieures à 6 m malgré le REX existant dans la région . La conception des tranches 1 à 4 a été peu actualisée depuis la mise en service entre 1971 et 1979 (pas de recombineur H2 dans les BR par exemple). Le site et la compagnie ne disposaient pas d’une organisation pour faire face aux conséquences d’une telle catastrophe naturelle et d’un accident sur plusieurs réacteurs d’un même site. Conséquences principales : La perte du refroidissement des réacteurs a entrainé la fusion du combustible des réacteurs 1 à 3. Le dégagement d’hydrogène consécutif à la fusion des gaines est à l’origine des explosions dans les bâtiments réacteurs. L’accident a conduit à des rejets radioactifs importants (gazeux, particules et liquides) et à des débits de dose ayant atteint 400 mSv/h en certains points du site. Les tranches 5 et 6 construites sur une plateforme surélevée du site n’ont pas subi d’accident grave suite au séisme et au tsunami. Suite à l’accident de Fukushima, le gouvernement Japonais a fait arrêter la plupart des centrales nucléaires . Certaines d’entre elles ont été redémarrées par la suite après des contrôles et des mises à niveau de sûreté. INES 7 Un séisme marin de magnitude 9 provoque l’AAR des 3 tranches en fonctionnement (tranche 4 en RCD). Le tsunami (vague de 15 m) engendré par le séisme submerge la digue de 6 m protégeant le site et balaye violemment la plateforme où sont implantés les réacteurs 1 à 4. Les diesels de secours et la distribution électrique sont noyés. Les alimentations électriques des matériels sont perdues et la station de pompage est détruite. La perte de refroidissement des 3 réacteurs en fonctionnement pendant plusieurs heures conduit au dénoyage des cœurs, à la fusion des gaines et du combustible. Le dégagement d’hydrogène généré provoque l’explosion successive des bâtiments réacteurs 1, 3 et 2. La tranche 4 en RCD subit également la perte du refroidissement de sa piscine de désactivation et un dénoyage des assemblages. Une explosion d’hydrogène suivie d’un incendie affecte ensuite cette piscine située dans le bâtiment du réacteur 4. Fusion du cœur suite à séisme et tsunami

24 I REX du parc EDF et mondial Fukushima-Daiichi Principaux enseignements tirés au niveau international L’accident de FUKUSHIMA a mis en évidence les problématiques d’agressions externes de grande ampleur pouvant causer des défaillances des systèmes de sauvegarde liées à une cause commune. Ce type d’agressions avait été pris en compte pour la plupart des tranches dès leur conception, cependant l’ampleur de la catastrophe a montré que l’ensemble du parc nucléaire mondial devait se réinterroger sur les recours matériels et humains dont celui-ci dispose pour faire face à des phénomènes de très grande ampleur. La centrale nucléaire d’ONAGAWA, située à environ 50 km de Fukushima, a été la centrale nucléaire la plus proche de l’épicentre du séisme de mars 2011. Les trois réacteurs ont résisté avec succès au tremblement de terre et au tsunami dont la hauteur a été supérieure à celle subie par Fukushima. Cela démontre la capacité d’une installation nucléaire bien conçue à résister y compris aux puissants séismes et aux tsunamis parmi les plus violents enregistrés au Japon. WANO a diffusé 3 SOER présentant des recommandations post-Fukushima aux exploitants mondiaux. Le SOER SOER WANO 2013-2 « Leçons tirées de l’accident de Fukushima » fait des recommandations qui couvrent les domaines de : • La Culture Sûreté et le leadership, • La prise en compte des agressions externes dans le design des installations, • La formation et les compétences des intervenants en situation d’urgence, • La gestion des accidents (matériels, ressources ...). 1979 TMI Développer la capacité d’une organisation à anticiper les perturbations pour leur résister et revenir à un état acceptable • Equipe Situation Extrême Conduite • FARN • DUS • PTR bis • Source d’Eau Ultime Après Fukushima Résilience Années 2010

REX du parc EDF et mondial I 25 le 11 mars 2011 tranches 1-2-3-4, JAPON, BWR 1000 MW Principaux enseignements tirés par EDF En France, EDF a réalisé des Evaluations Complémentaires de Sûreté (ECS) pour vérifier la robustesse de chaque site vis-à-vis des agressions extrêmes. Elles ont mené à des actions post-Fukushima autour de 7 axes suivants : 1. La prise en compte dans les réexamens de sûreté des risques engendrés par les agressions externes de grande ampleur impliquant plusieurs tranches d’un même site. 2. La création de la Force d’Action Rapide du Nucléaire (FARN) dotée de moyens mobiles et d’équipes en nombres suffisants pour secourir toutes les tranches d’un site. 3. L’ajout de moyens d’ultime secours : construction d’un DUS par tranche, d’une source froide de secours par puisage auxiliaire, de raccordements électriques et hydrauliques de type « Plug and Play » connectables aux moyens mobiles de la FARN. 4. Le renforcement des protections statiques contre l’inondation. 5. La création sur chaque site d’un Centre de Crise Local (CCL) résistant aux agressions extrêmes. 6. Le renforcement des Moyens Locaux de Crise (MLC) à disposition des équipes de crise. 7. Faire face à un isolement du site pendant 24h en cas de situation extrême (Equipe Situation Extrême). Ce qui est important à retenir pour nous aujourd’hui : • Le Maintien en Condition Opérationnel (MCO) des dispositifs et systèmes prévus contre les agressions naturelles (règle RASA), • L’efficacité de l’organisation de crise locale et nationale, • L’opérabilité de la FARN et des nouveaux équipements (DUS, EAS U, PTR Bis, …). Message clé Je contribue à l’efficacité de l’organisation de crise et à l’opérabilité des dispositifs de crise.

26 I REX du parc EDF et mondial Le tour de France du rex des sites Fiches thématiques ..................................................................................................... P. 28 - 55 Sélection d’évènements à garder en mémoire ...................... P. 56 - 78

REX du parc EDF et mondial I 27 1980-1989 8 évènements 1990-1999 4 évènements 2000-2009 12 évènements 2010-2023 23 évènements 0 1 1982 1984 1987 1989 1991 1995 1996 1998 2000 2001 2003 2004 2006 2007 2009 2011 2013 2015 2017 2018 2019 2020 2021 2 3 4 5 1980 1993 1994 1998 1999 2001 2004 2005 2006 2008 2011 2012 2017 2019 2020 1980-1989 1 évènement 1990-1999 5 évènements 2000-2009 6 évènements 2010-2023 9 évènements 0 1 2 Répartition/année des évènements sélectionnés dans les «Fiches thématiques» P. 28 - 55 Répartition/année d’une « Sélection évènements à garder en mémoire » P. 56 - 78 Total : 68 évènements Répartition des 68 évènements par périodes 9 18 32 9 2000 - 2009 1980 - 1989 1990 - 1999 2010 - 2023

Fiches thématiques

30 I REX du parc EDF et mondial Maîtrise de la réactivité CRUAS 2 / 2006 - Convergence et redivergence non perçues Le réacteur est à 30 % Pn après un Déclenchement Turbine. Le pilote de tranche fait la RAZ des autorisations d’ouverture du GCT condenseur, ce qui provoque la fermeture des vannes GCTc, l’augmentation de la Tmoy et l’insertion du groupe R sous sa LTBi (RGL402AA). Le pilote de tranche applique la fiche d’alarme et lance une borication directe. L’alarme s’acquitte. N’ayant pas détecté la convergence du réacteur, l’équipe lance alors une dilution et extrait les grappes en manuel, ce qui provoque la redivergence du réacteur et une prise rapide de puissance jusqu’à 7 % Pn. Causes : La RAZ inappropriée du GCTc est liée à une érosion des connaissances des modes de fonctionnement du GCTc. La convergence et la redivergence non-perçues ont trouvé leur origine dans l’insuffisance de communication et à un défaut de répartition des rôles au sein de l’équipe. Conséquences : L’insertion des grappes sous la LTBi a diminué la Marge d’Anti Réactivité en cas d’AAR. La redivergence non perçue et l’atteinte d’un Td < 18s ont créé un risque de prise de puissance incontrôlée car la réaction en chaine s’est rapprochée du seuil de criticité prompte. CIVAUX 1 / 2013 - Prise de puissance incontrôlée Un repli STE de RP (100 % Pn) vers AN/GV sous 2 heures est engagé. Vers 1% Pn, la Tmoy baisse et risque de sortir du domaine P,T. A la demande du CED, le pilote de tranche extrait les grappes d’environ 60 pas en 4 fois. L’alarme « Temps de doublement < 18s » apparait à 4 reprises sans être détectée par l’équipe. La puissance augmente très rapidement jusqu’à 10 % Pn. Le gradient maximal atteint est de 7,5% Pn/mn supérieur à la limite STE (5% Pn/mn). Causes : Un manque de coordination entre le pilote de tranche a conduit au déséquilibre de puissance P1/P2 et à la baisse de Tmoy. Le CED n’a pas assuré la pleine supervision du transitoire. Les grappes ont été extraites sans fixer un nombre de pas admissible. Conséquences : La réaction en chaine était plus proche du seuil de criticité prompte qui aurait généré, une fois franchi, une excursion de puissance non contrôlée. La proximité de la criticité prompte est mesurée par le Td qui doit rester > 18s. Un gradient de puissance élevé augmente le risque d’ébullition nuclée au contact des crayons combustible. TRICASTIN 4 / 2017 - Dépassement 102% Pn durant 6h Lors d’un mesurage dans la régulation turbine, des pompages des soupapes réglantes (SR) surviennent. La platine de régulation turbine devient inopérante et l’alarme KIT P > 100,4% Pn apparait. L’équipe de quart et l’IS n’identifient pas que cette alarme signale le franchissement de la limite STE de 102% Pn qui prend en compte les incertitudes. La puissance de la tranche est ramenée sous 100% Pn près de 6h après réparation du défaut par les automaticiens. L’écart est détecté le lendemain par le collectif IS. Causes : L’ADR n’intégrait pas le risque de pompage des SR. La fiche d’alarme « P > 100,4% Pn » ne mentionnait pas la limite STE de 102% Pn. Les acteurs méconnaissaient le lien entre le seuil de l’alarme KIT005AA (P>100,4% Pn), les incertitudes et la limite STE de 102% Pn. Conséquences : Le dépassement de la limite STE de 102% Pn remet en cause le respect des conditions initiales prises en compte dans les études d’accidents du RDS. INES 1 INES 1 INES 1

REX du parc EDF et mondial I 31 La Bande de Manœuvre du groupe R (1,6 °C), c’est environ la puissance d’un A380 ! Principaux enseignements tirés Dès les années 1990, la DPN a engagé des actions de renforcement sur les 3 fiabilités (Matériel, Organisation, Compétences) dont : • La rénovation du système RPN (passage de l’analogique au numérique), • Le déplacement au pupitre avant d’alarmes (ex: AA « Temps de doublement < 18 s »). • Le développement de logiciels d’appui au pilotage (OAP, Xénon 0d) • Divergence avec confrontation des bilans de réactivité IS / conduite et présence de l’IS, • La démarche « Réglages sensibles » (cf. Règle Particulière de Conduite dédiée), • L’amélioration ergonomique des fiches d’alarmes RGL en « Situation à faible flux », • Le renforcement des cursus initiaux de formation, recyclages et entraînements sur simulateur, • Le partage des pratiques entre sites via une animation nationale par l’UNIE/GECC. EDF s’est également appuyée sur le SOER WANO 2007-1 « Gestion de la réactivité » qui élargit le management de la réactivité à tous les métiers notamment par la rédaction et la diffusion du « Guide « Maîtrise de la réactivité » (GMR) dès 2010. Message clé Toute variation volontaire de réactivité doit être réalisée de manière prudente et maitrisée.

32 I REX du parc EDF et mondial Dilutions intempestives Gravelines 1 / 1984 - Dilution du CPP de 340 ppm en API Après rechargement, la vidange de la piscine cuve est lancée en parallèle de la décontamination des parois des piscines BR et du batardeau cuve avec de l’eau SED. Au lieu de s’écouler comme prévu vers la piscine des internes, l’eau SED s’écoule vers la piscine cuve et provoque une dilution du CPP. Le boremètre étant indisponibilisé par une activité de calibration, la baisse de CB est détectée tardivement par une mesure manuelle d’un Chimiste. Causes : Défaut de coordination des activités ; Indisponibilité programmée du boremètre et de la ligne d’échantillonnage manuel incompatibles avec une activité de décontamination en SED. Conséquences : La détection tardive d’une dilution lente du CPP peut conduire à une redivergence incontrôlée (Accident de criticité dans les états cuve ouverte). Nogent 1 / 2011 - Dilution de 14 m3 en AN/RRA Suite à un repli, la tranche est en AN/RRA, GMPP en service, refroidissement par les GV et pompes RRA hors service. En vue du redémarrage, le projet TEM demande de réaliser une « pré-dilution ». Aucun acteur (projet TEM, équipe de quart) n’identifie que les STE requièrent les 2 pompes RRA en service pour « Tout changement de Cb ». Au lancement de la dilution via la platine REA, celleci se verrouille par la protection « Arrêt dilution RRA connecté » et l’alarme REA RCV806AA « Choix dilution verrouillé » apparaît. Après concertation entre les pilotes de tranche et le CED, la dilution est lancée en mode manuel (ouverture des vannes au TPL). Le volume prévu de 14 m3 est injecté. L’écart aux STE est détecté par l’IS le lendemain matin. Causes : Appropriation insuffisante des STE AN/RRA en début de quart par le CE et l’équipe, préparation insuffisante de l’activité par le projet TEM (ADR, planification, procédure). Conséquences : En AN/RRA, toute dilution ou borication du RCP, avec les pompes RRA à l’arrêt, risque d’entraîner une variation incontrôlée de la Cb primaire à leur remise en service. Cruas 1 / 2021 - Injection de 3 m3 d’eau claire dans le CPP Des robinetiers débutent le test d’étanchéité du « Collecteur BR de test RIS ». Le volume de 100 l d’eau SED maximum fixé par la procédure est injecté sans effet sur la pressurisation du collecteur. Le Chargé d’Affaire sollicite oralement le CE qui donne son accord pour poursuivre l’injection d’eau SED sans fixer une limite. Suite aux difficultés de pressurisation, plusieurs injections d’eau SED seront réalisées les jours suivants afin de conclure le test. A la lecture du rapport de test, le Chargé d’affaire découvre que le volume total injecté est de 3 m3 d’eau SED. Il alerte le projet AT qui fait réaliser la vidange du tronçon RIS pour supprimer la poche d’eau claire. Causes : Manœuvre inappropriée de vannes en limite par le Chargé de Travaux. Dossier d’activité n’intégrant pas l’exigence fixée par le RM « Dilution » de réaliser le test en eau borée. Relaxation du seuil de 100L sans une analyse suffisante et sans mettre à jour l’ADR et la procédure. Conséquences : L’injection d’eau non borée dans le CPP peut générer une poche d’eau claire susceptible de provoquer une dilution hétérogène lors de la remise en service des GMPP. INES 1 INES avant INES 0

REX du parc EDF et mondial I 33 Zone de Cb max Zone de Cb min (passage du bouchon) Principaux enseignements tirés L’accident de « dilution homogène » a été pris en compte dès la conception du Parc. C’est suite à l’accident de Tchernobyl que des études supplémentaires ont été réalisées pour renforcer la prise en compte de l’accident de « dilution hétérogène » (envoi d’une poche d’eau claire dans le cœur suite au redémarrage d’un GMPP ou d’une pompe RRA, entrainant une hausse de réactivité instantanée très importante et pouvant endommager le combustible). Sur le parc EDF cela s’est notamment traduit par : • L’ajout des protections Anti-dilution REA (cf. automate et platine REA), • L’ajout de l’appoint automatique en eau borée dans le CPP via la modification « Protection Anti Dilution définitive » (basculement sur PTR001BA de l’aspiration des pompes RCV sur signal PAD et Haut Flux CNS), • L’augmentation de 1000 à 2000 pcm de la sous-criticité requise en arrêt (cf. Cb STE), • La création des condamnations administratives de protection contre les dilutions et l’intégration dans les STE de prescriptions particulières, • La prescription en AT de réaliser les tests des capacités primaires en eau borée, • Le lavage des parois lors des vidanges des piscines en eau borée PTR au lieu d’eau SED, • L’obligation pour les usages du SED en ZC d’utiliser un compteur et de fixer un volume maximal, • La surveillance renforcée du flux et de la Cb RCP pendant certaines phases sensibles en AT. Homogène … lente ! ou Hétérogène… rapide & brutale !!! Message clé En AN/RRA, API et APR, j’empêche tout apport d’eau au primaire dont la Cb est inférieure à la Cb requise.

34 I REX du parc EDF et mondial Colmatage de la prise d’eau Colmatages par prise en glace Saint-Laurent A (UNGG) / 1985 et 1987 : La prise en glace des grilles de la prise d’eau en amont des tambours filtrants de la station de pompage entraine une insuffisance de refroidissement des turbo-soufflantes et le déclenchement des turbo-alternateurs auxiliaires. Chinon B / 1985 et 1986 et 1987 : L’arrivée de glaces charriées par la Loire conduit au colmatage partiel des grilles de prise d’eau de la station de pompage. Intervention de l’armée pour dégager le passage avec des explosifs. Chooz B / 2009 : Les grilles anti-intrusion de la prise d’eau dans la Meuse sont partiellement obstruées par du Frasil (transformation de l’eau en une multitude de cristaux qui s’agglomèrent sur les grilles) qui conduit à la rupture d’un panneau du tambour filtrant puis au colmatage de l’échangeur SEC/RRI. Le débit du SEC a été réduit à 60% du débit nominal. Causes : Agglomération de Frasil ou de blocs de glace véhiculés par le fleuve sur la prise d’eau. Conséquences : Forte réduction du débit des circuits d’eau brute. Pas de conséquence sûreté car leur durée a été limitée par des manœuvres d’exploitation et des interventions mécaniques. Colmatages par végétaux ou animaux Blayais 0 / 2009 (INES 1) : L’arrivée massive de débris végétaux provoque le déclenchement des pompes de circulation par « delta P tambours filtrants » puis la dégradation du vide aux condenseurs entraine le déclenchement des turbines et l’AAR des 4 tranches du site. Cruas 4 / 2009 (INES 2) : Le colmatage des grilles SEF voies A et B par l’arrivée massive de plantes aquatiques non totalement évacuables par le dégrilleur conduit à la perte totale de la source froide de la tranche 4. Les opérateurs replient la tranche en AN/GV aux conditions RRA. La température du RRI est maitrisée via le secours du refroidissement par PTR. Paluel 1 et 4 / 2021 (INES 0) : L’arrivée massive de harengs juvéniles (5cm) colmate les tambours filtrants. Le déclenchement automatique des pompes de circulation T1 et 4 entraine le déclenchement des turbines puis l’AAR des T1 et 4. Blayais 3 et 4 / 2021 (INES 0) : L’arrivée massive de feuilles de chêne issues de l’automne précédent et transportées par les crues conduit au déclenchement des pompes de circulation, au déclenchement turbine (perte du vide au condenseur), à l’AAR puis au repli des 2 tranches en AN/RRA suite à la température élevée des bâches ASG. Causes : Arrivée massive de débris végétaux à la station de pompage. Non passage ou inefficacité du passage des tambours filtrants en « grande vitesse ». Conséquences : Perte totale source froide voies A et B et AAR d’un ou plusieurs réacteurs sur le même site. Nota: A Fessenheim 2 en 2009, un évènement de ce type a contraint l’équipe de quart à conduire l’installation en thermosiphon jusqu’en AN/GV aux conditions du RRA. Les conséquences potentielles sur la sûreté de ce type d’évènements sont la perte d’EAS, du RRA, de PTR et de systèmes tels que DVH, DEL, DEG, GMPP, soutirage excédentaire. INES 0 INES 1 INES 2

REX du parc EDF et mondial I 35 Principaux enseignements tirés La DPN a progressivement renforcé la robustesse des sources froides par : • Des modifications matérielles adaptées en fonction des fragilités des sites (renforcement des dégrilleurs, modification de la protection des tambours filtrants,…), • La création en 2012 du Document d’Orientation Agressions (« Veille », « Vigilance », « Alerte ») et par l’évolution des consignes I-SEF ou I-CRF de site ciblant la prévention à engager, • La création d’une Règle Particulière de Conduite unique pour tous les agresseurs de la SF, • La mise en œuvre de la Règle d’Application des Agressions (RASA) incluant l’agression de la Source Froide, • La mise en place d’une veille environnementale active sur le développement des herbiers, et études en cours avec la R&D sur les phénoménologies de ces différents types de colmatage. Les recommandations suivantes du SOER WANO 2007-2 « Obstruction de la prise d’eau de refroidissement » ont également été prises en compte : • Actualisation périodique de l’étude des évolutions environnementales, • Développement de techniques de surveillance et de méthodes prédictives, • Etablissement de bilans des matériels et la réalisation d’une maintenance adaptée, • Formation du personnel de conduite et la mise à disposition de procédures adaptées. Message clé Je suis attentif à l’opérabilité des équipements et de l’instrumentation contribuant à la robustesse de la source froide. Chenal Sens d’écoulement 102.29 NGF 100.29 NGF 99 NGF Canal Prise en glace Grille anti intrusion 98 NGF Chenal Sens d’écoulement 102.29 NGF 100.29 NGF 99 NGF Canal Prise en glace Grille anti intrusion 98 NGF

RkJQdWJsaXNoZXIy MTA5MjA=