Défaillance électrique sur le réacteur n°3 de la centrale nucléaire de Dampierre

I. Le déroulement de l'incident

Lightbox

L'incident est survenu dans la soirée du lundi 9 avril 2007 alors que le réacteur Dampierre 3 fonctionnait à 65% de sa puissance nominale.

L'origine de l'incident est la défaillance à 20h37 d'un relais de protection contre les surintensités dans un tableau de distribution électrique, appelé « tableau secouru LHA », provoquant l'ouverture du disjoncteur d'alimentation normale du tableau. Le tableau LHA alimente notamment les systèmes de sauvegarde de la voie A, qui peuvent être nécessaires en cas d'accident.

Les systèmes de sauvegarde de la voie B, alimentés par le tableau LHB, se substituent alors à ceux de la voie A.

Des procédures de conduite sont prévues dans l'éventualité d'une telle défaillance. Elles consistent à diminuer la puissance du réacteur, à découpler l'alternateur du réseau électrique à haute tension externe à la centrale et à mettre le réacteur à l'arrêt, celui-ci restant alimenté par la ligne principale du réseau électrique externe.

Ces procédures ont été appliquées par les opérateurs en salle de commande.

Lors du découplage du turboalternateur à 21h26, le coupleur ne s'est pas ouvert suffisamment vite, entraînant l'ouverture automatique par protection du disjoncteur de la ligne principale.

 Le tableau LHB peut être alimenté par une seconde ligne électrique indépendante raccordée au réseau électrique externe, la ligne auxiliaire. Le basculement automatique vers cette ligne ne s'est pas opéré. En effet, l'automatisme permettant le basculement est alimenté par un tableau de la voie A appelé LBJ, lui-même alimenté par des batteries. La déconnexion du tableau LBJ est prévue par les procédures de conduite pour économiser ces batteries. En cas de nécessité, le basculement vers la ligne auxiliaire aurait pu être réalisé manuellement, en une trentaine de minutes selon EDF.

La perte de l'alimentation par le réseau électrique externe a alors entraîné l'arrêt automatique du réacteur et la mise en route automatique du générateur diesel appelé LHQ qui alimente le tableau LHB quand l'alimentation par le réseau électrique externe n'est plus disponible. De plus, dans l'éventualité d'une défaillance du générateur diesel LHQ, un turboalternateur de secours (LLS) alimenté par la vapeur du circuit secondaire peut assurer temporairement l'intégrité du circuit primaire.

Le groupe électrogène de secours (GUS) commun aux quatre réacteurs du site a été pré-connecté vers 1h30, pour assurer une alimentation électrique de secours indépendante en cas de défaillance éventuelle du générateur diesel LHQ alimentant le tableau LHB.

 Le remplacement du relais de protection contre les sur-intensités défectueux et la vérification de son bon fonctionnement ont été achevés vers 4h. Le tableau LHA a été remis sous tension par la ligne auxiliaire à 8h03. La vérification du fonctionnement du générateur diesel LHP de la voie A a été terminée vers 10h30, pour assurer une source électrique de secours supplémentaire. L'alimentation du tableau LHB par la source auxiliaire externe a permis l'arrêt du générateur LHQ à 11h30.

II. L'organisation mise en place pendant l'incident

EDF a déclenché à titre préventif son plan d'urgence interne (PUI) vers 22h à la suite de la perte de l'alimentation par le réseau électrique externe, bien qu'à aucun moment de l'incident les critères de déclenchement du PUI n'aient été atteints. Cela a permis à EDF de mettre en place une organisation et des équipes pour appuyer les services de conduite et de maintenance du site.

L'ASN a également décidé d'activer préventivement son centre d'urgence afin de surveiller durant la nuit le déroulement de la situation. L'ASN a émis trois communiqués de presse à 2h40, 7h20 et 9h05 et a classé l'incident au niveau 1 de l'échelle internationale de classement des événements nucléaires (échelle INES).

EDF et l'ASN ont levé leurs organisations d'urgence vers 8h mardi 10 avril matin.

III. Comparaison avec l'incident survenu à Forsmark en 2006

 L'ASN a notamment examiné l'incident de Dampierre 3 à la lumière de l'incident d'origine électrique survenu le 25 juillet 2006 sur le réacteur n° 1 de la centrale nucléaire suédoise de Forsmark.

Le réacteur Dampierre 3 (réacteur à eau sous pression) et Forsmark 1 (réacteur à eau bouillante) sont d'une conception notablement différente ; en particulier les alimentations électriques et les systèmes de sauvegarde sont différents. Par ailleurs, les causes et le déroulement des deux incidents sont différents. L'analyse fait apparaître les éléments suivants.

1. État des systèmes de contrôle-commande

Il n'y a pas eu, sur le réacteur Dampierre 3, de perturbation des systèmes de contrôle-commande (capteurs, automatismes, actionneurs, informations en salle de commande).

Lors de l'incident sur le réacteur Forsmark 1, certaines informations affichées en salle de commande ont été perturbées pendant une vingtaine de minutes.

2. Défaillances indépendantes ou de mode commun

Les deux défaillances ayant affecté le réacteur Dampierre 3 (défaillance du relais de protection contre les surintensités du tableau LHA et mauvais fonctionnement du coupleur de l'alternateur) sont indépendantes l'une de l'autre, et n'auraient pas pu à elles seules entraîner des défaillances supplémentaires.

Les défaillances survenues sur le réacteur Forsmark 1 présentaient des modes communs, c'est-à-dire qu'elles ont été générées par une même perturbation électrique ; cette perturbation aurait pu entraîner, dans des conditions différentes, des défaillances sur d'autres équipements.

IV. Les mesures prises

L'ASN a conduit une inspection réactive sur le site de Dampierre le 13 avril 2007 afin d'examiner la gestion de l'incident par l'exploitant et la maintenance des matériels défaillants. L'inspection a révélé que les procédures ont globalement été respectées par les opérateurs et n'a pas fait apparaître d'anomalie dans la maintenance réalisée.

L'ASN a noté que deux incidents impliquant le même type de relais avaient déjà eu lieu sur les réacteurs Dampierre 1 et Tricastin 1 en 2000, sans toutefois entraîner la perte des alimentations électriques externes. À la suite de ces incidents, EDF avait engagé une action pour renforcer les contrôles périodiques de ces relais. Par contre, aucune défaillance sur des coupleurs n'est connue à ce jour.

L'ASN a demandé à EDF de réaliser une expertise approfondie des matériels défectueux, d'en tirer des enseignements et de présenter des mesures à mettre en oeuvre.