Incident sur le réacteur n° 3 de la centrale de Dampierre-en-Burly, le 9 avril 2007
Dans la nuit du lundi 9 au mardi 10 avril 2007, l'IRSN a gréé son centre technique de crise à la demande de l'ASN pour suivre l'évolution de la situation de la tranche 3 de la centrale nucléaire de Dampierre-en-Burly, affectée par différentes défaillances d'origine électrique.
Chronologie
A 20 h 37, alors que le réacteur 3 était à 65 % de sa puissance nominale, la défaillance d'un relais de protection par surintensité a conduit à la perte d'un des deux tableaux électriques secourus (tableau électrique LHA - voie A). Ce défaut a rendu inopérant le groupe électrogène de secours de la voie A qui n'a pas pu se coupler sur ce tableau électrique. De ce fait l'alimentation électrique des auxiliaires de protection et de sauvegarde de l'installation n'était disponible que sur la voie B (tableau LHB - voir ci-joint " alimentations électriques des centrales nucléaires d'EDF ").
Au cours de la mise à l'arrêt du réacteur prévue par les procédures dans un tel cas, un deuxième défaut, sur l'interrupteur-enclencheur placé à la sortie de l'alternateur, a provoqué l'ouverture du disjoncteur de ligne, entraînant la perte de la connexion de la tranche 3 à la ligne externe principale de 400 kV. Dans cette situation, c'est donc la ligne externe auxiliaire de 225 kV qui prend normalement et de façon automatique le relais de la ligne externe principale.
Lors de l'incident de Dampierre 3, l'automatisme de basculement sur la ligne auxiliaire n'a pas fonctionné du fait de la coupure volontaire de son contrôle commande, en application des procédures de conduite au début de l'incident. Ceci a déclenché l'arrêt automatique du réacteur, l'arrêt des pompes de circulation de l'eau du circuit primaire ainsi que la perte totale des alimentations électriques externes. Le manque de tension en résultant sur le tableau secouru de la voie B (LHB) a entraîné le démarrage automatique du groupe électrogène de secours de cette voie et la reprise de l'alimentation des auxiliaires correspondants. Ainsi, vers 22 h, une seule voie électrique de sûreté (tableau LHB - voie B) restait alimentée par son groupe électrogène. L'exploitant de Dampierre a alors décidé, par précaution, de déclencher le PUI (la situation rencontrée ne relevait pas des critères de déclenchement systématique du PUI).
Par la suite, le refroidissement du réacteur a continué d'être assuré par le circuit secondaire, avec circulation de l'eau du circuit primaire en thermosiphon. En parallèle, la procédure de pré-éclissage du groupe électrogène d'ultime secours sur le tableau LHB a été engagée. Le réacteur a été conduit vers l'état d'arrêt prévu pour une telle situation. Toutefois, avant que cet état ne soit atteint, la ligne externe auxiliaire ainsi que la voie A électrique de sûreté ont été " récupérées ", ce qui a notamment permis de redémarrer une pompe primaire et de retrouver une circulation forcée de l'eau dans le circuit primaire.
Le centre de crise de l'IRSN a été maintenu opérationnel jusqu'à 4 heures du matin le 10 avril, de façon à assurer la concertation technique avec EDF dans de bonnes conditions. Après renforcement des moyens d'alimentation électrique de la voie B de sûreté et définition des modalités de réparation de la voie A, le centre technique de crise de l'IRSN a été désactivé. Toutefois, à la demande de l'ASN, l'IRSN a assuré un suivi technique de la situation dans la journée du 10 avril et l'a informée régulièrement de son évolution.
Des expertises sont toujours en cours pour déterminer les causes exactes des deux défauts électriques observés et évaluer leurs conséquences sur les matériels, en particulier sur l'alternateur.
Premiers enseignements tirés
Au stade actuel des informations disponibles, l'IRSN constate que les procédures de conduite en application sur le site n'ont pas permis de gérer de manière optimale les conséquences de l'enchaînement des deux défaillances électriques survenues à Dampierre. En effet, les procédures de conduite dédiées à la perte du tableau électrique LHA demandaient la coupure immédiate de tableaux de contrôle-commande jugés non indispensables, afin de réduire la consommation des batteries de secours et d'éviter l'émission d'ordres intempestifs. L'application de ces dispositions a empêché le basculement automatique de l'alimentation électrique externe de la source principale (400 kV) vers la source auxiliaire (225 kV). La situation a conduit à la reprise en secours du tableau LHB par le groupe électrogène de secours de la voie B.
De plus, la défaillance du relais de protection par surintensité à l'origine de l'événement a déjà été la cause d'un incident à Dampierre 1 le 16 novembre 2000. Après cet incident, EDF avait alors mis en place des mesures de surveillance de ces matériels et prévu d'approvisionner une nouvelle génération de relais de protection pour leur remplacement. Ces relais étaient disponibles sur le site mais n'étaient pas installés.
Il est à rappeler que pour faire face à une perte totale des alimentations électriques externes et internes, des modifications des réacteurs exploités par EDF ont été mises en place au cours des années 1980. Il s'agit d'une part du groupe électrogène d'ultime secours, d'autre part du turboalternateur de secours (voir ci-joint " alimentations électriques des centrales nucléaires d'EDF "). Ces équipements auraient permis de maîtriser une situation plus dégradée (perte du tableau LHB ou défaillance du groupe électrogène de la voie B).
L'IRSN souligne également que les incidents de perte de tableaux électriques survenus en France et à l'étranger ont montré la complexité des situations qui peuvent en résulter et la difficulté de les gérer avec les procédures en vigueur. EDF a proposé en 2002 d'améliorer celles-ci dans le cadre d'un projet d'évolution de la conduite accidentelle dont la mise en œuvre est prévue en 2010. Toutefois, au cours de l'incident de Dampierre 3, l'exploitant a réalisé les nombreuses actions requises par les procédures.
Dans le cadre de l'analyse approfondie de cet incident, l'IRSN s'assurera qu'EDF en tire bien tous les enseignements et met en œuvre des mesures correctives adaptées, notamment en termes de maintenance des matériels électriques et de conduite accidentelle des installations.
Alimentations électriques des centrales nucléaires d'EDF
Le fonctionnement d'un réacteur nucléaire nécessite des alimentations électriques pour assurer à la fois l'exploitation et la sûreté de l'installation. Le système de distribution électrique est conçu pour répondre aux besoins de l'exploitation normale du réacteur en production ou en période d'arrêt (auxiliaires de marche et auxiliaires permanents). Il permet également d'alimenter les équipements assurant les fonctions de sûreté en situation incidentelle ou accidentelle (auxiliaires secourus). Sur les réacteurs français, ces auxiliaires secourus sont alimentés par deux voies électriques indépendantes et redondantes (voies A et B), à partir de deux tableaux électriques principaux de 6,6 kV (tableaux LHA et LHB). Ces tableaux sont eux-mêmes alimentés, soit par une source externe (réseau national), soit par une source interne (groupes électrogènes de secours à moteur diesel), selon le schéma ci-joint. Quelle que soit la situation incidentelle ou accidentelle, un seul de ces tableaux électriques est suffisant pour mettre à l'arrêt le réacteur et évacuer sa puissance résiduelle jusqu'à un état sûr.
En situation normale, c'est la ligne électrique dite " principale " d'évacuation de l'énergie produite par la centrale vers le réseau électrique national qui alimente les auxiliaires de la centrale. Si la centrale fournit de l'énergie au réseau, c'est une partie de sa production qui est ainsi prélevée. Si la centrale est à l'arrêt, c'est le réseau électrique national qui apporte la puissance nécessaire. Enfin, en cas de défaut momentané de la ligne principale, la centrale est automatiquement découplée du réseau et peut s'auto-alimenter en adaptant sa production à sa seule consommation - on parle alors " d'îlotage ".
Par ailleurs, en cas d'avarie prolongée de la ligne " principale ", la production est stoppée et l'énergie nécessaire pour placer le réacteur dans un état sûr et le maintenir dans cet état reste fournie par le réseau national en utilisant une seconde ligne dite " auxiliaire " qui relie la tranche au réseau.
Si un événement rend indisponibles les deux sources électriques externes, le réacteur s'arrête automatiquement et les deux groupes électrogènes de secours à moteur diesel propres au réacteur permettent d'alimenter en quelques secondes chacune des deux voies de sûreté. Un seul groupe fournit une puissance suffisante pour alimenter les auxiliaires secourus d'une voie électrique.
Par ailleurs, sur chaque site, une source dite ultime (le groupe électrogène d'ultime secours) peut être connectée manuellement en quelques heures à la place d'un groupe électrogène de secours défaillant. Enfin, pour le cas d'une perte simultanée des deux sources externes et des deux groupes électrogènes de secours, les réacteurs disposent d'un turboalternateur de secours actionné par la vapeur produite par le circuit secondaire. La France est le seul pays à avoir équipé ses réacteurs de ce moyen de secours.