Communiqué de l'Autorité de Sûreté Nucléaire

.

Note technique

Incident survenu sur le réacteur n 2 de la centrale nucléaire de Flamanville le 21 janvier 2002

Le 21 janvier 2001 vers 10 heures, une erreur survenue lors d'un essai après le remplacement de composants électroniques a provoqué, sur le réacteur 2 de la centrale nucléaire de Flamanville, la défaillance d'un système de commande et de surveillance (dénommé CONTROBLOC) qui fournit aux agents de conduite en salle de commande une partie des informations relatives à l'état du réacteur, et qui transmet les commandes d'une partie des équipements importants pour la sûreté.

Cette défaillance a engendré des ordres aléatoires. Elle a provoqué notamment l'arrêt d'une des deux alimentations électriques externes. L'arrêt automatique du réacteur a alors été déclenché normalement par le système de protection du réacteur.

Origine de l'incident

A l'occasion d'une action de maintenance périodique sur les onduleurs alimentant le tableau électrique qui lui même alimente le système de commande et de surveillance de la voie A ( figure 2, tableau LNG ), le remplacement erroné de composants obsolètes a rendu inopérante la logique de secours des trois onduleurs. L'essai de requalification, qui doit suivre systématiquement toute modification d'un matériel, a révélé l'erreur et provoqué la coupure de l'alimentation du système de commande et de surveillance.

Le système d'alimentation électrique et le système de commande et de surveillance, comme l'ensemble des équipements importants pour la sûreté des réacteurs, sont doublés selon deux voies redondantes (voie A et voie B), chacune devant être capable d'assurer seule le maintien des fonctions de sûreté du réacteur (figure n1).

L'alimentation électrique de chaque voie est elle-même secourue par une deuxième source électrique externe et, en dernier recours, par un alternateur actionné par un moteur diesel. L'alimentation électrique des systèmes les plus sensibles (notamment les systèmes de protection) est en plus secourue par des batteries.

A la suite de la coupure de l'alimentation électrique du système de commande et de surveillance, une tentative trop rapide de redémarrage manuel des onduleurs a entraîné l'envoi d'ordres intempestifs dont l'un a provoqué la coupure de l'alimentation électrique externe de la voie A (figure n1).

La défaillance du système de commande et de surveillance n'a pas permis le basculement sur l'alimentation de secours, ni le démarrage du moteur diesel, provoquant la perte de toutes les alimentations électriques de la voie A non secourues par des batteries.

Déroulement de l'incident

En application des procédures, les opérateurs en salle de commande ont appliqué les consignes de conduite en situation d'incident. Plusieurs difficultés sont apparues au cours du déroulement de l'incident. Elles ont été dues à la panne initiale, à des anomalies supplémentaires sur des matériels et à certaines actions inappropriées.

En particulier, le passage en état d'arrêt à froid du réacteur, qui aurait du être lancé au cours des premières phases de la conduite incidentelle, n'a été engagée qu'environ 6 heures après le début de l'incident.

Les anomalies apparues au cours de l'incident sont les suivantes :

Refroidissement des joints des pompes primaires

Le circuit de contrôle volumétrique et chimique (circuit RCV) a notamment pour fonction de maintenir dans le circuit primaire la quantité d'eau nécessaire au refroidissement du coeur. Il a également pour fonction d'assurer (figure n 3) l'étanchéité et le refroidissement des joints des pompes primaires par injection d'eau sous haute pression. Normalement, la pompe RCV d'injection aux joints de la voie A assure cette fonction. La pompe RCV de la voie B prend le relais en cas de défaillance.

L'absence du système de commande et de surveillance de la voie A n'a pas permis le basculement automatique sur la pompe de la voie B. Puis, suite à une erreur dans l'exécution de sa séquence de démarrage en salle de commande, les opérateurs en salle de commande ont décidé de procéder à un démarrage manuel, en local. L'injection aux joints des pompes primaires n'a pu être assuré pendant 1 heure 25 minutes.

L'absence prolongée de refroidissement des joints peut provoquer un endommagement de ces joints et une fuite de l'eau du circuit de refroidissement du coeur. La température maximale relevées durant l'incident est de 76,2C pour une valeur maximale admissible de 95C.

Turboalternateur d'ultime secours

Le turboalternateur d'ultime secours (turboalternateur LLS) a démarré, puis s'est arrêté par protection contre les survitesses.

Ce turbo alternateur alimente une pompe de secours du circuit RCV assurant l'injection aux joints en cas de défaillance des pompes de la voie A et de la voie B. Il n'est démarré qu'en cas de défaillance de toutes les alimentations électriques externes (voies A et B).

Le système LLS a été requalifié et est de nouveau disponible.

Endommagement de la pompe d'alimentation de secours en eau des générateurs de vapeur

L'alimentation électrique de la voie A a été restaurée à 12h03, soit au bout d'environ 1 heure 39 minutes. La remise en marche du système de commande et de surveillance s'est faite progressivement de 12h01 à 13h05.

La réalimentation électrique a provoqué le démarrage de la motopompe d'alimentation de secours en eau des générateurs de vapeur (motopompe ASG) de la voie A. Pour une raison indéterminée, cette pompe, qui doit pouvoir fonctionner sans graissage, a chauffé et a été profondément détériorée.

EDF a procédé au remplacement complet de cette pompe. L'appareil de remplacement a été requalifié avant le redémarrage du réacteur.

Endommagement de la pompe d'injection aux joints des pompes primaires de la voie A

Lors de la remise sous tension, la pompe d'injection aux joints des pompes primaires de la voie A (pompe RCV) en fonctionnement lors de l'arrêt, a redémarré sans graissage, celui-ci étant géré par le système de commande et de surveillance, et a été endommagée. Elle s'est arrêtée par protection lors de la restauration de ce système.

Cette pompe a été remise en état avant le redémarrage du réacteur.

Fuite au niveau de l'alternateur A la remise en service du système de commande et de surveillance, il a été constaté une baisse de la pression dans l'alternateur et une fuite d'hydrogène dans la salle des machines, due à une perte d'étanchéité.

Les personnels présents ont été évacués et le service de prévention des risques a effectué des mesures de teneur en hydrogène avant intervention sur l'alternateur

*

* *

L'Autorité de sûreté nucléaire (ASN) a procédé à une inspection le mercredi 23 janvier à la suite de l'incident du 21 janvier. Les inspecteurs ont examiné les causes de l'incident ainsi que son déroulement.

Suite à cette inspection, l'Autorité de sûreté nucléaire a soumis le redémarrage du réacteur à la transmission par EDF de éléments démontrant la remise en conformité des matériels mis en cause à l'origine et au cours de l'incident.

Par ailleurs, elle a demandé à EDF de fournir des explications sur les anomalies constatées dans sa gestion de la maintenance des onduleurs, à l'origine de l'incident, ainsi que les dispositions prises pour éviter leur renouvellement.

Elle a également demandé à EDF de lui transmettre les résultats de son analyse de l'application incorrecte des consignes de conduite en situation d'incident, ainsi que le retour d'expérience qui en sera fait.

EDF devra enfin fournir un relevé des ordres intempestifs émis suite à la réalimentation trop rapide du système de commande et de surveillance au début de l'incident, ainsi qu'une information sur l'origine de l'endommagement de la motopompe ASG.

*

* *

En raison du nombre important des défaillances de matériels et d'une application incomplète des consignes de conduite incidentelle, l'incident a été classé au niveau 2 de l'échelle INES.

retour retour retour

---