A la fin de l'année 1982, l'IPSN est en mesure de tirer un premier bilan des incidents survenus sur les centrales PWR françaises 824 . L'analyse des incidents montre que les enseignements peuvent être regroupés en plusieurs grandes catégories.
La première concerne ce que les responsables de l'IPSN appellent «l'effet palier», illustrant le «revers de la médaille» des grandes séries d'installations standardisées qui sont à la base du programme électronucléaire français. L'effet de la standardisation est sans nul doute bénéfique sur le plan économique et du point de vue de la sûreté puisque l'expérience acquise sur une tranche est facilement transposable à l'ensemble du parc. Mais à contrario, des défauts de conception ou de construction peuvent avoir un caractère générique et rendre l'ensemble du programme plus vulnérable. C'est ainsi que l'analyse montre que sur 286 incidents analysés, la moitié environ est due à des problèmes génériques.
Le deuxième enseignement concerne les problèmes d'exploitation liés au facteur humain. Environ la moitié des incidents liés au facteur humain concernent la qualité des procédures d'exploitation, qui, relativise-t-on, n'étaient pas encore totalement formalisées ou appliquées à tous les réacteurs. Mais des incidents survenus dans les laboratoires ou les usines du cycle du combustible montrent l'importance à attacher à ces questions. Outre la rédaction de procédures adaptées, on note les dangers liés à l'accoutumance des équipes d'exploitation : dans des réacteurs dont les équipes en place depuis de nombreuses années ont acquis une grande expérience, on constate dans certains cas une baisse de vigilance, et une accoutumance qui presque toujours conduit à ignorer les procédures écrites.
Le troisième grand thème de réflexion concerne les défaillances de systèmes et au premier chef les problèmes posés par la robinetterie des PWR, question qui illustre à quel point des matériels considérés comme «sans problème» dans l'industrie classique se sont révélés inaptes dans leur conception initiale à assurer le fonctionnement des grandes chaudières nucléaires pressurisées. Les fuites dans les soupapes sont en effet une cause majeure des défaillances de systèmes. Le manque de confiance dans le comportement correct des soupapes de sûreté ou de décharge du pressuriseur ont conduit à redéfinir complètement le système de protection du circuit primaire contre les surpressions. 825 L'autre contribution importante aux incidents matériels provient des réservoirs d'injection de bore et de leur système de pompage à cause de la forte concentration en bore (21 000 ppm). Ce système n'est pas redondant et, en des circonstances mineures, il peut être rendu indisponible ce qui oblige à arrêter le réacteur suivant les spécifications techniques. Lors de l'analyse de la sûreté du palier 1300, EDF a démontré aux autorités que ce système n'était pas nécessaire et il a été abandonné. Des études en cours en 1983 doivent montrer s'il est possible de diminuer sensiblement les concentrations en acide borique pour le palier 900. Au-delà du circuit primaire, l'un des enseignements tirés des incidents est l'importance des systèmes auxiliaires dans l'initiation des incidents. C'est un aspect qui avait été négligé par les constructeurs des installations alors que c'est une réalité bien connue des exploitants. De façon générale, une des leçons est qu'il n'est pas sage de faire une trop grande distinction entre systèmes de «qualité sûreté» et les autres, en particulier au vu de l'importance de ces systèmes auxiliaires dans l'initiation des incidents.
Mis à part ces grands enseignements, les premières années d'exploitation du parc PWR montrent également que les tests périodiques effectués sur les 21 réacteurs en service ont eu une contribution non négligeable sur les incidents (10% des incidents ont eu lieu lors de tests périodiques), ce qui conduit à améliorer la périodicité des tests et la façon de procéder. L'analyse a également mis en évidence le fait que les risques pendant l'arrêt du réacteur sont loin d'être négligeables, même s'ils apparaissent moins importants qu'en pleine puissance : on reconnaît que les analyses pour l'évaluation de la sûreté effectuées jusque-là ne portaient sans doute pas assez d'attention à cette question.
L'accident de Three Mile Island marque la grande rupture dans l'histoire de l'énergie nucléaire civile, et donc dans l'histoire de la sûreté nucléaire. Selon une expression attribuée à Pierre Tanguy, on passe d'un nucléaire «triomphant», très technique, où parmi les dirigeants on estime que rien ne peut se passer de grave, à un nucléaire «honteux» : contrairement à ce qui était répété, tout n'était pas prévu, l'accident n'est pas impossible. L'accident, considéré jusqu'ici comme hypothétique, s'est produit, déjouant tous les scénarios imaginés. Même si les conséquences pour l'environnement sont relativement faibles, ce qui prouve la validité de la philosophie globale de la sûreté, beaucoup de certitudes quant au fonctionnement des installations sont tombées. Des sujets tabous jusqu'ici, la fusion du cœur, l'intégrité du confinement en cas d'accident, deviennent sujet d'étude, des mesures sont prises non seulement pour prévenir ces situations, mais pour en limiter les conséquences. Autre conséquence majeure de l'accident de Three Mile Island, les ingénieurs-concepteurs du nucléaire ont découvert avec fracas ce «facteur humain» qu'ils avaient négligé jusque-là. Un incident, banal au départ, dégénère en accident grave, car celui qui en assurait la conduite, n'a pas été en mesure de comprendre ce qui se passait. Après Three Mile Island, l'homme qui pilote un système technique complexe ne peut plus être considéré comme un simple transistor supplémentaire dans la machine, un mécanisme qu'il s'agit d'adapter, de plier à la machine. Plus même, en se mettant à la place de l'homme chargé de la conduite, c'est une nouvelle vision de la machine et de son fonctionnement que l'on perçoit. En cela, les enseignements tirés de Three Mile Island marquent un net approfondissement de la démarche de sûreté.
D'après : Tanguy Pierre, «The French Approach to Nuclear Power Safety», Nuclear Safety, Vol. 24, No. 5, September-October 1983, pp. 589-606, et Cogné François, «Enseignements tirés des incidents survenus sur les installations nucléaires», 19e comité des programmes de l'IPSN, 9 juin 1982.
Le rôle des soupapes de sûreté du pressuriseur est de garantir la protection du circuit primaire principal contre les surpressions dues à un accroissement de la masse ou de la pression de l'eau contenue dans la chaudière au cas où la régulation effectuée par le système d'aspersion d'eau au pressuriseur et les trois vannes de décharge du pressuriseur s'avérerait insuffisante. Ces soupapes de sûreté représentent donc un des éléments essentiels de la défense du circuit primaire principal contre les surpressions. Jusque-là, la protection était assurée par trois soupapes à ressort de marque CRISS de conception américaine. Quelques incidents relevés en 1980 et 1981 ont incité EDF, sur demande du SCSIN, à améliorer ce système de protection. La solution proposée en octobre 1981 par EDF et approuvée par le SCSIN consiste à protéger le circuit primaire principal contre les surpressions par trois lignes de soupapes de protection de marque SEBIM, isolées à l'aval par d'autres soupapes SEBIM identiques. Ces soupapes sont des soupapes pilotées dont la fermeture est assurée par la pression même du fluide de l'enceinte qu'elles protègent. L'absence de ressort permet des ouvertures franches sans aucun des phénomènes d'oscillation autour d'un point d'équilibre qui caractérisent les soupapes à ressort. Rappelons que les appareils à pression sont soumis à la réglementation en suivant l'arrêté du 26 février 1974 qui fait obligation de pouvoir isoler de façon sûre le circuit primaire principal des REP, et stipule que chaque soupape doit «être chargée soit par un poids unique, soit par un ressort (…), soit par un dispositif équivalent». Les soupapes SEBIM doivent donc obtenir l'équivalence auprès du Ministère de l'industrie après avis de la commission centrale des appareils à pression. Il est à noter que le nouveau système diminue le nombre de lignes de protection par rapport à l'ancienne, justifiée par la plus grande capacité d'évacuation de débit des nouvelles soupapes. D'après : Bulletin sur la sûreté des installations nucléaires, «Protection du circuit primaire principal des chaudières nucléaires à eau pressurisée du type 900 MWe contre les surpressions», SN, N°24, Novembre-décembre 1981, p. 9.