Dans une lettre datée du 15 mars 2000 Jérôme GOELLNER, Adjoint au Directeur de la Sûreté des Installations Nucléaires, adresse une série de demandes au Directeur de la Division Production Nucléaire ELECTRICITE DE FRANCE afin que soit pris en compte le risque d'inondation sur les centrales nucléaires en exploitation...

La tempête du 27 décembre 1999 et les inondations à la centrale du Blayais: la sécurité absolue ne peut pas exister. Où l’on perçoit comment une situation peut dégénérer en accident majeur.

Dans l’estuaire de la Gironde le 27 décembre au soir, sous l’effet de la tempête avec vents violents et pression barométrique au plus bas mais avec un coefficient de marée relativement faible de 77, des vagues sont passées au-dessus de la digue de protection de la centrale et ont inondé des galeries souterraines. La conjonction de la tempête, d’erreurs de conception minimisant le risque d’inondation dès la construction de la centrale, aggravées par la non-réalisation par EDF des travaux de rehausse de la digue et de remise en état demandés par l’Autorité de Sûreté et la conséquence : un incident très grave. Il est ainsi montré que la DSIN n’a pas de pouvoir réel vis-à-vis d’EDF, et les autorités de tutelle (ministère de l’industrie et ministère de l’environnement) ne sont guère d’un grand secours. Elle doit accepter finalement les conditions d’EDF, mais les travaux envisagés auraient de toute façon été insuffisants. Les 90 millions de litres d’eau de la Gironde passés par dessus bord ont inondé l’installation rendant indisponibles des circuits vitaux pour la sécurité des réacteurs avec mise en œuvre dans la centrale du PUI niveau 1 (plan d’urgence interne conventionnel), reclassé par l’autorité de sûreté en PUI niveau 2 (PUI radiologique intérieur) avec, pour la première fois, mise en place en temps réel d’une organisation nationale de crise [1] avec collaboration entre EDF et la Direction de la Sûreté des Installations Nucléaires (DSIN) et de son appui technique l’Institut de Protection et de Sûreté Nucléaire (IPSN). Cela aurait pu être pire et cela a été souligné quelques jours plus tard.
Rappelons que c’est un article publié le 5 janvier par le journal Sud-Ouest qui a révélé la gravité de l’incident avec un titre rétrospectivement alarmiste " Très près de l’accident majeur " et dans le sous-titre " le scénario catastrophe a été évité de justesse ". Bien sûr l’habitude des rédactions est " d’accrocher " le lecteur, mais l’article n’était pas une élucubration de journaliste car il rapportait les explications d’un représentant local des autorités de sûreté, (un responsable de la division nucléaire à la DRIRE de Bordeaux -Direction régionale de l’industrie, de la recherche et de l’environnement-) et qui montraient la gravité de l’incident et comment il aurait pu dégénérer avec possibilité de fusion du cœur.
Pourquoi l’information est-elle sortie 8 jours après l’événement ou, autre éclairage, n’est-elle sortie que 8 jours après ? EDF et DSIN avaient bien émis des communiqués de presse les jours précédents, (le premier communiqué de la DRIRE est du 28 décembre) mais d’une façon si laconique pour le profane parmi les nouvelles des ravages visibles de la tempête, que personne n’avait soupçonné l’importance de ce qui s’était passé et cela n’avait pas suscité la curiosité des journalistes. D’un côté il fallait quand même bien faire savoir à l’extérieur du cénacle que la gestion par EDF et la DSIN d’un événement potentiellement très grave avait été un succès, d’où l’article de Sud-Ouest. D’un autre côté il ne fallait pas non plus trop affoler le public ce qui explique que par la suite, conformément à la routine, les efforts ont plutôt consisté à calmer le jeu. Alors qu’on peut se demander comment les choses auraient tourné si, pur hasard, au lieu d’un coefficient de marée de 77 il avait été de 118 avec le plus fort de la tempête au moment des plus hautes eaux, si la crainte du méchant " bug 2000 " n’avait pas conduit à réviser au préalable tous les groupes électrogènes et à mobiliser toutes les compétences tant à EDF qu’à la DSIN et à l’IPSN avec un personnel sur le qui-vive à la centrale…
Communiqués et dossiers de presse ont été publiées depuis par EDF [2], l’IPSN [3] [4] et des articles sont parus dans la presse [5]. Un rapport d’EDF concernant cet " incident significatif " a été remis dernièrement à la DSIN et l’IPSN analyse les données informatiques enregistrées à la centrale.
Plus prosaïquement nous tentons dans ce dossier de donner quelques informations résultant d’une enquête. En recoupant les renseignements que nous avons obtenus de diverses sources, voire de leurs contradictions, nous essaierons de pointer les " trous " de l’information révélateurs de conditions qui auraient pu conduire à une situation difficilement maîtrisable. Dans d’autres circonstances cet incident aurait pu dégénérer en accident grave avec fusion du cœur et rejets radioactifs importants dans l’environnement. Apparemment ce n’était pas un scénario prévu, les vagues n’étaient pas prévues, la perte conjointe de circuits de sauvegarde non plus. Il importe donc d’essayer d’y voir un peu plus clair ne serait-ce que pour tenter d’évaluer la confiance que l’on peut avoir dans les études de sûreté et les gestionnaires du nucléaire.

Quelques généralités
La centrale nucléaire du Blayais comporte 4 tranches de 900 MW. Les travaux ont commencé en 1976 (réacteur-1) et 1977 (réacteurs-2,3,4). Les réacteurs-1 et 2 ont été couplés au réseau en 1981, et Blayais-3 et 4 en 1982 et 1983. Les deux décrets de création [6] mentionnent la protection contre le risque sismique mais dans le paragraphe traitant de la protection contre les agressions de l’environnement le risque d’inondation n’est pas même mentionné. Ce n’est qu’en 1984 que sera énoncée la Règle Fondamentale de Sûreté relative à la " prise en compte des inondations d’origine externe " [7].
L’estuaire de la Gironde, le plus grand d’Europe (800 km²), s’étend profondément à l’intérieur des terres. Le phare de Cordouan est à l’entrée de l’estuaire et le chenal de navigation longe depuis la Pointe de Grave la rive gauche de l’estuaire qui borde les vignobles célèbres du bordelais, jusqu’au Port Autonome de Bordeaux, sur la Garonne, à 95 km de l’embouchure de l’estuaire. Pour les impératifs de navigation le Port Autonome a installé tout le long de la Gironde en rive gauche un réseau de 9 marégraphes émetteurs qui donnent toutes les 5 minutes la hauteur de marée du lieu [8].
Rappelons que la centrale nucléaire du Blayais située à 45 km de l’embouchure a été construite sur des marais de la rive droite (ayant nécessité des travaux de fouille, pieutage etc.) ce qui n’est certainement pas l’idéal pour une installation de ce genre en dehors du faible prix du terrain, à environ 25 km en aval du Bec d’Ambès, confluence de la Garonne et de la Dordogne.
L’estuaire de la Gironde représente un système hydrologique très complexe et il est considéré que les marées sont déterminantes pour la prévision des niveaux d’eau en Gironde au niveau du Blayais, l’apport Dordogne et Garonne étant relativement peu important en aval du Bec d’Ambès. Il n’y a pas de marégraphe à proximité du site ni de houlographe. EDF a ses propres stations météo mais celle du Blayais est tombée en panne lors de la tempête du 27 décembre dernier. Les deux stations marégraphiques du Verdon et du Richard, les plus proches de l’embouchure, émettent vers la centrale " pour déclenchement d’alarme en cas de surcote de marée exceptionnelle " [8].

Nous allons montrer qu’EDF a sous-estimé dès le départ le risque lié à l’inondation externe en ne tenant pas compte des données existantes, puis a mégoté sur les remèdes à apporter mais que ces " remèdes " auraient été dérisoires. Nous tenterons d’estimer la hauteur de la protection qui aurait été nécessaire si on envisage des conditions plausibles plus défavorables que celles rencontrées le 27 décembre 1999.

I-Le positionnement de la plate-forme de la centrale lors de la construction (1976)

Nous n’avons pas réussi à obtenir le dossier de sûreté relatif à la construction de la centrale, ni à le consulter. Les spécialistes du Laboratoire National Hydraulique d’EDF et du Centre d’ingénierie générale d’EDF nous ont précisé que ce dossier comportant 2 gros tomes était destiné à l’administration de tutelle. Même manque d’empressement de la part de l’IPSN dont les experts vérifient les calculs d’EDF.
Plusieurs interlocuteurs nous ont fait remarquer qu’à l’époque " ils étaient en culottes courtes " ! S’il subsiste peu de témoins oculaires espérons qu’il y a eu un meilleur archivage concernant les calculs de cette plate-forme et sa construction que dans le cas des échantillons témoins de l’alliage inconel 600 ayant servi à fabriquer les manchons de couvercles de cuves, archivage quasiment inexistant révélé lors de l’analyse des causes de la fissuration des manchons (Gazette Nucléaire 125/126, avril 1993) ayant conduit au remplacement des couvercles de cuves…Ce problème de perte de la mémoire des installations peut devenir important lorsqu’elles vieillissent.  

1) L’altitude (ou cote) de la plate-forme de l’îlot nucléaire est rapportée au niveau de référence terrestre représenté par le niveau moyen du plan d’eau à Marseille, qui est par définition à 0 mètre d’altitude de la carte du " Nivellement Général de la France " (NGF). Les repères de nivellement ont été réactualisés par l’Institut Géographique National en 1969 (système IGN69). Cependant, tout le monde (EDF, DSIN, IPSN, Port autonome de Bordeaux) raisonnant encore avec le système précédent dit " système Lallemand NGF" nous ferons de même et les cotes seront estimées en mètres NGF (mNGF).
D’après EDF et la DSIN la plate-forme de la centrale du Blayais a été érigée à 4,50 mNGF. Pour savoir si elle est bien dimensionnée vis-à-vis du risque inondation il faut la comparer au niveau des plus hautes eaux déjà observées ou susceptibles d’être rencontrées dans l’estuaire.

2) Le risque d’inondation et les niveaux d’eau en Gironde pris en compte lors de la construction
Quelle était la règle au moment où les travaux ont commencé en 1976 ?
On remarquera que les travaux de construction de la quasi-totalité des réacteurs actuellement en service ont démarré avant la parution de la Règle Fondamentale de Sûreté sur la " Prise en compte du risque d’inondation d’origine externe " [7]. On compte 7 réacteurs, Cattenom-4, Golfech-2, Penly-2 et les 4 réacteurs du palier N4 de Chooz et Civaux dont la construction a démarré après, mais les plates-formes de Penly, Golfech et Cattenom étaient déjà faites. Reste donc uniquement le palier N4 qui devrait être aux normes de la RFS.
L’édition publique de janvier 1982 des textes du Rapport de sûreté commun à toutes les tranches du palier 900 MW s’applique à la centrale du Blayais dont les 4 réacteurs ont divergé avant cette date. Au chapitre d’une demie page seulement relatif à la protection contre les inondations [9] on peut lire qu’ " Afin de respecter les trois objectifs fondamentaux de sûreté tous les matériels (structures et composants) liés à la sûreté —c’est à dire ceux des systèmes de sauvegarde, des systèmes nécessaires au refroidissement du réacteur, des systèmes de confinement radioactifs- sont protégés de la " crue majorée de sécurité ". Nous verrons que ces objectifs n’ont pas été tous respectés lors de l’inondation.
Le cas des estuaires n’est pas traité comme un cas particulier. Il n’est question que des sites fluviaux et des sites en bord de mer. Pour les sites en bord de mer la " crue majorée de sécurité " correspond à la conjonction de marée maximale (coefficient 120) avec la surcote millénaire ".
Au Blayais, EDF et la DSIN indiquent une " cote majorée de sécurité " de 4 mNGF pour une hauteur de plate-forme placée finalement à 4,5 mNGF. Voyons donc si ces valeurs sont " conservatives " par rapport aux niveaux d’eau observés.

3) Les hauteurs d’eau et les surcotes observées. Attention, les marégraphes ne donnent aucune indication sur les vagues.
Soulignons tout de suite que beaucoup de personnes, y compris des experts en sûreté, ignorent que les marégraphes, dont les indications doivent servir à la navigation dans le chenal, ne donnent aucune indication sur l’agitation du plan d’eau car ils sont pourvus d’un amortisseur tel qu’ils ne renseignent que sur le niveau moyen horizontal du plan d’eau. Donc, aucune indication en Gironde sur le  " clapot " et les vagues.
Le Service Hydrographique et océanographique de la marine (SHOM) de Brest a un répertoire des plus forts coefficients de marée rencontrés au printemps et en automne depuis 1868 qui nous a été transmis. En simplifiant, disons que les prédictions des plus hautes eaux (et des plus basses eaux) qui figurent dans l’annuaire des marées du Port Autonome de Bordeaux, sont calculées par le SHOM à partir d’un modèle spécifique à l’estuaire de la Gironde tenant compte de la topographie locale pour des conditions météorologiques normales (temps calme, pression barométrique à 760 mm de mercure).
Les services du Département hydrographique du Port Autonome de Bordeaux enregistrent en continu les hauteurs d’eau dans les différentes stations de mesures marégraphiques situées sur la rive gauche dont celles du Verdon, Richard, Pauillac, et donc, pour chaque marée, les niveaux réels des plus hautes eaux qui dépendent de chaque lieu et des conditions météorologiques de vent et de pression barométrique. Ces niveaux sont ensuite comparés aux niveaux d’eau prévus par le SHOM en chacun des endroits. La différence de ces deux niveaux d’eau est la surcote (il peut y avoir décote). Les surcotes les plus importantes observées ne correspondent pas obligatoirement aux coefficients de marée les plus élevés.
Si les stations du Verdon, la plus proche de l’embouchure de l’estuaire, et celle du Richard servent d’alarme en cas de " niveau haut de la Gironde ", ce sont les hauteurs d’eau enregistrées en face du Blayais à Pauillac (à 2,4 km en amont) qui fournissent la base de données pour la centrale en ce qui concerne les phénomènes hydrologiques.
Ce qui importe ici pour le positionnement de la plate-forme c’est l’altitude (cote terrestre) en mètres NGF correspondant aux niveaux d’eau observés en Gironde, qui, eux, sont définis par rapport à des références hydrographiques. Dans l’estuaire la référence est le zéro d’étiage du lieu. (Voir annexe 1).
Si l’on prend la définition donnée dans les documents publics de 1982, il faut évaluer la " crue majorée de sécurité " à partir de la marée de coefficient 120 et de la surcote millénaire (plus tard on dira millénale) .

Marée de 120 et surcote millénaire :
On dispose d’un échantillon historique de hauteurs prévues pour les marées. Entre 1900 et 1975 le Port autonome nous a fourni quelques données de coefficients extrêmes sur Pauillac :
-2 coefficients 119 (3 mars 1900 et 14 mars 1918) hauteurs de 6 m et 5,90 m
-4 coefficients 118 (automne 1935 et printemps 1949, 1967, 1975) de hauteurs toutes prévues à 5,85 m.
Ces hauteurs d’eau correspondent à des altitudes comprises entre 3,30 et 3,45 mNGF (Annexe 1).
Nous donnons ci-après quelques exemples des plus fortes surcotes (Table 1) et des plus hauts niveaux observés à Pauillac (Table 2).

Considérons maintenant parmi les plus hauts niveaux (Table 2) ceux observés à Pauillac avant 1975 : il y a au moins deux niveaux d’eau auxquels correspondent une altitude supérieure à 4 mètres en 1937 et 1941 laissant une marge de sécurité ridiculement faible pour la valeur choisie par EDF pour positionner la plate-forme :

Ainsi, avec plusieurs surcotes observées dépassant 1,20 m et atteignant 1,43 m lors d’une marée de coefficient 55 en février 1955 on voit que la cote majorée de sécurité à 4 mNGF était sous-estimée et la mise en place de plate-forme à 4,5 mNGF déjà trop basse alors qu’il n’était pas tenu compte d’une marée millénaire exceptionnelle.

Après 1975 un coefficient 119 le 9 mars 1993 à 6 m. Parmi quelques coefficients 118 le 18 mars 1980 une hauteur prévue de 5,85 m et surtout de 6,25 m pour le 29 mars 1998.

II- La modification de l’installation : mise en place d’une digue suite à la règle fondamentale de sûreté RFS I.2.e du 12 avril 1984 sur la prise en compte du risque d’inondation d’origine externe.

L’objet de la RFS [7] : " La pratique réglementaire française prévoit notamment que l’arrêt sûr des réacteurs d’une centrale nucléaire, le refroidissement du combustible et le confinement des produits radioactifs pourront être assurés en cas d’inondations plausibles d’origine externe (…) ".
Depuis 1984 la protection de chaque site est obtenue par un calage des plates-formes supportant les bâtiments abritant les matériels et équipements associés importants pour la sûreté à une cote dite " cote majorée de sécurité "  (C.M.S) s’appuyant partiellement sur une méthode probabiliste et par l’obturation des voies d’accès d’eau situées au-dessous du niveau de calage des plates-formes.
Suite à l’incident du Blayais, la quasi-totalité des centrales devant être vérifiées pour le risque d’inondation [4] nous donnons succinctement l’ensemble des définitions des C.M.S.

1) Définitions de la Cote majorée de sécurité
a) Cote majorée de sécurité pour les sites fluviaux :
Il faut déterminer la relation entre les débits et les hauteurs d’eau.
La C.M.S est le plus haut des 2 niveaux suivants :
-niveau atteint par le débit d’une crue millénale majoré de 15%
-niveau atteint par le débit résultant de la conjonction de la plus forte crue connue, ou de la crue centennale si elle est plus importante et de l’effacement de l’ouvrage de retenue le plus contraignant.
b) Cote majorée de sécurité pour les sites en bord de mer : elle correspond à la conjonction de la marée maximale calculée (de coefficient 120) et de la surcote marine millénale.
c) Cote majorée de sécurité en estuaire. Elle est le plus haut des 3 niveaux suivants :
-niveau atteint par la conjonction de la surcote marine millénale et de la marée de coefficient 120
-niveau atteint par la conjonction de la crue millénale fluviale et de la marée de coefficient 120
-niveau atteint par la conjonction de la plus forte crue fluviale connue etc. (comme indiqué précédemment pour les sites fluviaux) et d’une marée moyenne de coefficient 70.

Pour la centrale du Blayais on considère le 1^er des 3 niveaux, surcote marine millénale et coefficient 120. (Le coefficient maximum observé en Gironde est de 119).
Il est précisé qu’un système d’alerte sera prévu " pour permettre la mise à l’état sûr des réacteurs nucléaires dans des délais compatibles avec la montée des eaux ". Lors de la récente tempête un signal de hautes eaux émis par la station du Verdon, la plus proche de l’embouchure de l’estuaire de la Gironde, a été transmis au réacteur-4 et il a été dit qu’il n’aurait pas été retransmis aux autres tranches. On peut se demander pourquoi c’est le réacteur le moins susceptible d’être inondé qui était chargé de recevoir cette information et pas les tranches 1 et 2 les plus concernées.
Il n’y a pas eu mise en conformité du site après la parution de cette règle fondamentale de sûreté de 1984 puisqu’il n’y a pas eu obturation des voies d’accès de l’eau situées au-dessous du niveau de calage de la plate-forme. On a pu constater, lors de la tempête, que les galeries souterraines n’ont pas été protégées.

2) Les modifications apportées à l’installation
a) Première réévaluation.
Suite à la parution de la règle de sûreté une réévaluation a été effectuée. " Pour la centrale du Blayais, la cote majorée de sécurité a été examinée en 1980, à partir de 21 années d’enregistrement de marée à Pauillac (de 1957 à 1977) et en tenant compte du volume de stockage des marais en aval de la centrale en cas de débordement de la Gironde. La CMS révisée était comprise entre 4,83 et 4,96 m NGF EDF a alors proposé la réalisation d’une digue tout autour de la centrale, calée à 5,20 mNGF pour la partie à proximité de la Gironde et à 4,75 mNGF ailleurs " [1].

D’après les renseignements fournis par l’IPSN, la cote majorée de sécurité a été définie de la manière suivante :
Marée de coefficient 120 : 3,22 mNGF
Surcote millénaire 2,04
Écrêtement due aux marais - 0,36

D’où la C.M.S 4,90 mNGF (de 4,83 à 4,96 mNGF)

La digue construite pour protéger le site est calée à 5,2 mNGF et rehausse la protection côté Gironde de 0,70 m. Ceci laisse 30 cm seulement au-dessus de la valeur moyenne de la C.M.S.
Plusieurs sujets d’étonnement :
-tenir compte d’un " écrêtement " dû aux marais situés en aval. Il n’a donc pas été envisagé qu’il puisse y avoir une saison des pluies telle que les marais soient gorgés d’eau au point d’être incapables d’en " stocker " davantage ?
-l’intervalle de confiance de la surcote déterminée d’une manière probabiliste est de 6,5 cm seulement autour de la valeur moyenne. Ce point sera discuté ci-après.
-pour la marée de 120 le niveau d’eau atteint a été considérée comme correspondant à une cote terrestre de 3,22 mNGF. Or à une hauteur d’eau de 6 m ayant été observée en 1900 pour un coefficient 119 il correspondait une cote terrestre de 3,45 mNGF !

b) Deuxième réévaluation [1].
A la demande de l’Autorité de sûreté un réexamen de la sûreté a été engagé à partir de 1990, la CMS a été établie à 5,46 mNGF et EDF a proposé de rehausser la digue de 50 centimètres dans son rapport de sûreté de 1998 soit à 5,70 mNGF.
Or, non seulement il y a eu en 1995 et 1996 des niveaux d’eau très élevés en Gironde comme le montre le tableau 2, mais l’annuaire des marées du Port Autonome indique, d’après les calculs du SHOM, qu’en 1998, pour la marée de 118 du 29 mars au matin était prévue une hauteur d’eau de 6,25 m soit 3,66 mNGF, plus élevée que toutes les marées de 118 et 119 observées antérieurement (cet écart serait compatible avec la modulation diurne de la marée, pour un même coefficient la hauteur d’eau prévue peut varier entre marée du matin ou du soir. Cela n’est pas dû à l’introduction d’une méthode différente de calcul de l’amplitude des marées). Or EDF a encore tergiversé pour n’effectuer les travaux qu’en 2000 puis les a reportés en 2002 à la visite décennale [5].

Nota : à propos de la méthode probabiliste et de l’estimation de la surcote millénale (le même genre d’analyse est effectué pour les débits de crues des fleuves, [10]).
Très schématiquement : on dispose d’un échantillon historique de surcotes à partir des mesures effectuées dans les stations marégraphiques. On se fixe un seuil de surcote et on regarde toutes les surcotes supérieures à ce seuil. On crée un modèle probabiliste avec une loi mathématique représentant cet échantillon de surcotes avec leur fréquence : tous les ans (fréquence 1) il y a eu N événements avec une surcote de x mètres, tous les 10 ans (fréquence annuelle 0,1) il y a eu tant d’événements avec une surcote de tant de mètres, et on extrapole à la fréquence 0,001 correspondant à la surcote millénale.
On doit tenir compte d’incertitudes : sur les mesures effectuées, sur le choix du modèle statistique, sur la taille de l’échantillon statistique et sur sa représentativité. Étant donné ces incertitudes on adopte un intervalle de confiance à 70% entourant la valeur moyenne de la surcote millénale calculée. On prend la borne supérieure de l’intervalle. On pense avoir été très conservateur … et on voit le résultat des courses avec ce qui s’est passé au Blayais ou, en plus, on n’a pas tenu compte des vagues !
A propos de l’incertitude : lors de la tempête il a été mesuré une surcote de 1,64 m au Verdon par le marégraphe du service d’alarme des crues du Bassin Garonne-Adour alors que celui du Port Autonome de Bordeaux a mesuré au Verdon 1,55 m (après la tempête les données ont été récupérées dans la mémoire de l’enregistrement, voir annexe 2). Il y a donc un écart de 9 cm alors que la borne supérieure de la plage à 70% du calcul de la CMS est à 6 cm seulement de la valeur moyenne.
On remarquera qu’en épidémiologie il faut toujours prendre un intervalle de confiance de 95% et là, il est admis qu’EDF ne prenne que 70% ce qui diminue l’intervalle et abaisse la borne supérieure de la plage. Ceci est beaucoup moins pénalisant pour l’altitude de la plate-forme qui coûte moins cher à construire. Pourquoi l’autorité de sûreté a-t-elle accepté ce 70% ? Est-ce le fruit d’une  " transaction " ? Il est vrai que cela n’aurait pas suffi pour empêcher l’inondation mais cela montre de quel côté penche toujours la balance lorsqu’il s’agit de sûreté. La sûreté ne fait pas le poids vis-à-vis des impératifs de moindre coût d’EDF.
On remarquera aussi que tous ces calculs probabilistes comparent les résultats obtenus à la valeur de 10^-7 par an car on ne prend pas en compte les familles d’événements dont la fréquence estimée annuelle est, par tranche, nettement inférieure à 10^-7.
Pour les sites marins il ne semblait pas y avoir de problème : surcote millénale de courte durée et non corrélée à la marée de 120 peu fréquente (tous les 17 ans [11]) et ne durant que 2 heures environ, étaient considérés comme des événements à probabilité très faible. On voit ce qui est résulté lors d’une marée fréquente de coefficient 77 !
Les crues millénales existent aussi pour les fleuves, la probabilité annuelle est 10^-3 par définition, bien plus élevée que pour les sites marins. Il y a donc de quoi s’inquiéter et c’est la raison pour laquelle la C.M.S majore de 15% le débit correspondant à la borne supérieure de l’intervalle de confiance. Mais est-ce suffisant ? Il ne semble pas puisqu’il faut désormais refaire tous les calculs.

Un tel événement tel que celui du 27 décembre et qui peut se reproduire est-il modélisable ? La question se pose. Ce sont bien des vagues qui ont submergé la digue et ce n’était pas prévu.
On peut paraphraser un spécialiste en sûreté nucléaire, qui, au sujet des débits de crues à probabilité très faible et en l’absence de loi crédible en ce domaine dit "Le déluge n’est pas, en effet, un événement probabilisable " [11].

III - A quelle altitude aurait dû être érigée la digue de protection ou la plate-forme ?

La soirée du 27 décembre 1999. L’amplitude des vagues 
Il est évident que la marée (phénomène astronomique) et la tempête sont deux phénomènes indépendants dont la conjonction n’est pas probabilisable.
La hauteur prévue de pleine mer à 21h48 par l’annuaire des marées à la date du 27 décembre au soir avec un coefficient de marée de 77 était de 5,05 m (cote 2,46 mNGF). Il a été enregistré 7,06 m à 21h52 soit une surcote de 2,01 mètres, record absolu et de la hauteur et de la surcote à Pauillac.

1) L’amplitude des vagues : de l’ordre de 3 mètres ? !
Redisons que le marégraphe n’enregistre pas l’agitation du plan d’eau. On peut cependant par recoupements, avoir un ordre de grandeur de l’amplitude des vagues. En effet :
Le dossier de la Mission communication du CNPE du Blayais du 11 janvier 2000 indique " En raison de la simultanéité de la tempête et d’un fort coefficient de marée, des vagues commencent à franchir la digue vers 19h30 ". Si le coefficient de marée était loin d’être fort, le document nous renseigne par contre sur l’heure à laquelle l’eau de la Gironde est passée au-dessus de la digue soit plus de 2h avant la pleine mer.
Or le Port Autonome de Bordeaux, dans son Annuaire des marées 2000 [8], indique pour chaque station marégraphique un profil moyen des hauteurs d’eau prévues au cours des 12h25 qui séparent deux basses mers pour différents coefficients de marée 40, 70 et 100. Pour un coefficient 77 interpolé entre les coefficients 70 et 100 on retrouve bien pour le maximum de la courbe correspondant à la pleine mer la hauteur d’eau prévue d’un peu plus de 5 mètres (5,05 m).

Profil moyen des hauteurs d’eau prévues à Pauillac

On voit qu’à 19h30, soit 2h20 avant la pleine mer, la hauteur d’eau prévue était voisine de 4 m mais à cette hauteur de niveau d’eau doit être rajoutée la surcote d’environ 1,5 m ce qui amène à une hauteur d’eau de 5,5 m correspondant à une cote terrestre d’environ 2,9 mNGF. La digue de protection étant à une altitude de 5,2 mNGF il a donc fallu un paquet d’eau supplémentaire d’une hauteur de plus de 2,3 mètres pour passer au-dessus de la digue ! Les vagues ont eu une amplitude supérieure à 2 mètres vers 19h30.
Quelle a été leur amplitude au plus fort de la tempête ?
On a des indications sur la pression barométrique au phare de Cordouan qui était de 758 mm de mercure à 6 h du matin et est descendue, entre 18 h et 20 h, à son niveau le plus bas avec un plateau à 736 mm de mercure. Quant au vent il a soufflé en rafales sur Royan entre 20h et 20h30 avec des pointes à 194 km/h, plus tardivement et moins violent sur Bordeaux mais à la centrale du Blayais située entre les deux, la station météo étant tombée en panne on n’a pas de précisions sur ce qui s’est passé réellement à part que le vent soufflait si fort qu’il semble que l’anémomètre ait explosé. Il est vraisemblable de penser que vers 21h, peu avant les plus hautes eaux (21h52) et vu la force du vent, les vagues ont pu dépasser les 3 m.

2) Cela aurait pu être pire ! Une " protection " nécessaire à 9 mNGF…
A-t-on considéré au départ en mettant une centrale au Blayais que l’estuaire est un système hydrographique très complexe ? Selon mon interlocuteur du Port autonome " les vents provoquent une dépression océanique qui, au voisinage des côtes, induisent un gonflement des eaux. L’estuaire agit comme un entonnoir, ce gonflement va s’amplifier tout au long de sa propagation dans l’estuaire. Ainsi, la surcote a été de 2,01 m à Pauillac mais de 1,55 m au Verdon [à l’entrée de l’estuaire] et de 2,25 m à Bordeaux "
La tempête aurait pu avoir lieu lors de la pleine mer d’une marée de 118 dont la hauteur d’eau correspond à une cote de 3,66 mNGF à Pauillac pour des conditions météorologiques normales. On doit ajouter la surcote de 2,01 m due au phénomène particulier qui s’est produit le 27 décembre mais qui peut se reproduire à l’avenir ce qui nous met à 5,67 mNGF. Et maintenant on doit tenir compte de vagues de 3 mètres !
On arrive à près de 9 mNGF ! Une différence de plus de 3 m par rapport à la pseudo-digue de pseudo-protection qui existe aujourd’hui à une cote de 5,2 mNGF et qu’EDF rechignait et à réparer et à rehausser.
Quelles vont donc être les solutions préconisées par EDF et par l’Autorité de sûreté ?

Il est indispensable d’établir une rapide chronologie des faits. Une première difficulté vient de ce que les pertes des réseaux électriques et leur récupération se chevauchent avec les dégradations dues à l’inondation et les mesures palliatives prises. Mais surtout, des divergences existent, non seulement entre les diverses sources, EDF (CNPE du Blayais), DRIRE, DSIN, IPSN, mais parfois aussi entre versions successives de la même source conduisant à un maquis d’informations contradictoires.
EDF a communiqué récemment aux autorités de sûreté le rapport officiel de cet incident significatif. Bien sûr nous ne l’avons pas, mais nous avons cependant eu connaissance de changements très importants par rapport aux informations initiales [2], base du dossier de presse tant de la DSIN [1] que de l’IPSN [4]. EDF a fourni aux autorités de sûreté les renseignements informatisés enregistrés durant l’incident. Une question se pose dès le départ : tout a-t-il été enregistré et tout est-il enregistrable ? Le siècle qui vient de s’écouler nous a fourni maints exemples de réécriture de l’histoire après coup, avec une version finale consensuelle généralement " aseptisée ". Pour l’instant nous indiquerons les changements les plus importants entre versions successives qui donnent une image différente de la dégradation de la sûreté.
Le 27 décembre au soir les tranches 1, 2, 4 sont en production. La tranche 3, en attente de rechargement, est en arrêt sur le circuit de refroidissement à l’arrêt (RRA). Au moment où débute la tempête ce RRA est en " plage de travail basse ". Conséquence de la fuite d’eau et des fissurations trouvées sur le circuit RRA de Civaux en mai 1998 un contrôle doit être effectué sur tous les réacteurs du parc. Des défauts ont été trouvés après contrôle et un tronçon vient d’être changé sur le RRA du réacteur 3 du Blayais. Une chance !

Des réacteurs en état d’arrêt " sûr ".
Qu’est-ce qu’un état d’arrêt sûr pour un réacteur ? Cette notion mérite d’être précisée avant d’aborder la chronologie car elle ne sera pas respectée au cours de l’incident et devra rester présente à l’esprit. Citons donc les Textes du Rapport de sûreté communs à toutes les tranches 900 MW [9] :
" L’état d’arrêt sûr est l’état pour lequel le réacteur est sous-critique et l’évacuation de l’énergie résiduelle est assurée à condition que les systèmes de sauvegarde soient disponibles et à condition qu’il soit possible de passer à l’arrêt à froid dans un délai admissible ".
Nous donnons ci-après le schéma de principe d’un réacteur à eau sous pression tel qu’il figure dans le dossier IPSN du 17 janvier [4].

I - Perte de l’alimentation électrique
Le réseau auxiliaire 225 kV est perdu pour tous les réacteurs à 18h30 d’après le CNPE du Blayais. Les réacteurs 1, 2, 4 continuent à fonctionner normalement.
Le réseau 400 kV est perdu à 20h50 pour les tranches 2 et 4 qui s’arrêtent automatiquement et passent sur diesels.
A propos de l’îlotage, il a d’abord été dit que les îlotages avaient raté pour cause de tension trop faible mais que les diesels avaient démarré sans problème. Par la suite une autre version a été donnée : le 400 kV ayant été perdu par surtension (" signal Max U "), l’îlotage ne peut pas réussir et donc ce ne serait pas un îlotage raté ( ? ).
Quoi qu’il en soit remercions le bogue de l’an 2000 car grâce à la préparation anti-bogue qui a rendu obligatoire la révision de tous les diesels sur tous nos réacteurs il n’y a eu aucun problème pour leur démarrage.

Les réacteurs 2 et 4 sont donc momentanément sur diesels et en arrêt normal sur générateurs de vapeur, le réacteur 1 marche et notamment alimente Bordeaux, le réacteur 3 est en arrêt à froid sur RRA.
D’après le CNPE Blayais le 400 kV sera remis en état :
pour la tranche 4 à 21h30 et les diesels arrêtés à 22h20
pour la tranche 2 à 23h20 et les diesels arrêtés à 0h20
Le réseau 225 kV sera récupéré le 28 décembre à 23h30.

II - L’inondation
19h30-21h. Nous avons vu que l’eau a commencé à franchir la digue vers 19h30. Cela s’est amplifié avec la marée montante. A 21h la route d’accès au site est coupée par l’eau et les débris, la relève des équipes ne peut se faire.
A 22h40, appel par la centrale du responsable local de l’Autorité de sûreté (DRIRE-Aquitaine, Bordeaux) qui se rend à son bureau pour suivre la situation [1].
A partir de 22h40 la Préfecture (via la DRIRE) et la DSIN sont tenues informées régulièrement.

1) Alarme de niveau haut Gironde transmise à la centrale : là il y a des divergences sérieuses quant au fait lui-même et quant à son interprétation.
Dans son dossier du 11 janvier EDF dit " vers 23h, le signal d’alerte "risque d’inondation" émis par un marégraphe du port autonome de Bordeaux situé à l’embouchure apparaît à la centrale ". Pour la DSIN [1] c’est aussi à 23h, avec un signal venant du Verdon mais surtout EDF aurait dû déclencher son plan d’urgence interne de niveau 1.
Pour l’IPSN [4] cette alarme a eu lieu à 22h venant de la station du Richard et a été transmise à la tranche 4 qui aurait dû répercuter sur les réacteurs 1, 2 et 3 ce qui n’aurait pas été fait. Cette alarme aurait dû conduire, d’après l’IPSN, à l’application d’une consigne incidentelle I, la " consigne de conduite I CRF qui est relative à la station de pompage en Gironde, les pompes dites CRF amenant l’eau permettant de refroidir le condenseur. Point important il est ajouté que le document décrivant le plan d’urgence interne (PUI) " fait de cette consigne une condition de déclenchement du PUI de niveau 2 " alors que la consigne incidentelle I CRF du site du Blayais utilisée par les opérateurs en salle de commande ne mentionne pas cette nécessité. " Cette incohérence est en cours d’investigation ".
Ceci peut apparaître comme une chicanerie administrative. Ce point a cependant son importance car l’alarme de haut niveau Gironde peut permettre de baisser préventivement la puissance des réacteurs dans de bonnes conditions ce qui diminue la puissance résiduelle à évacuer après arrêt ultérieur. Qu’il faille ou non déclencher le plan d’urgence interne, le fait est que le site était comme une forteresse assiégée et que du personnel supplémentaire ne pouvait pas parvenir à la centrale les routes étant impraticables.
D’après la DRIRE contactée le 15 mars, le rapport officiel EDF sur l’incident donnerait une version complètement différente. Il ne serait plus question d’un signal de haut niveau Gironde reçu à 23h en provenance d’un marégraphe mais d’une alarme " défaut du marégraphe " apparaissant à 20h30 indiquant qu’aucune information n’était plus reçue en provenance des stations marégraphiques tant du Verdon que du Richard.
D’autre part sur le site même de la centrale, dans un bassin par où transite l’eau pompée en Gironde, il y a des indicateurs de niveaux d’eau dans ce qu’on appelle les " cheminées d’équilibre " de la station de pompage du circuit CRF de refroidissement des condenseurs avec des alarmes de haut niveau et de bas niveau (quand les tambours de filtration sont encrassés). Il y a eu à 22h des indications de niveaux hauts dans ces cheminées, signe de la montée de l’eau en Gironde ce qui aurait dû déclencher la procédure incidentelle I CRF relative aux pompes CRF or cela n’a pas été fait (et d’après l’IPSN déclenchement du PUI de niveau 2 comme indiqué précédemment).
Avec cette nouvelle version qui renforce le facteur tempête il devient encore plus manifeste que la puissance du réacteur-1 encore en marche aurait dû être baissée préventivement. (Il est cependant possible que la première version soit aussi valable et qu’un signal de haut niveau Gironde ait pu être reçu à 22h par le réacteur 4 si l’émetteur du marégraphe fonctionnait par intermittence. Voir Annexe 2).

Entre temps avec la marée montante (pleine mer à 21h52 ce qui correspond sensiblement aux indications de la station de pompage) des paquets d’eau ont déboulé sur le site, déformant des portes coupe-feu, enfonçant des obturations autour du passage de câbles et tuyauteries, passant par les trémies et l’eau s’est infiltrée progressivement dans les galeries techniques souterraines des réacteurs 1 et 2.

2) Problèmes sur les circuits de sauvegarde 
Réacteur-2
23h59, selon EDF, l’équipe de conduite du réacteur-2 est " alertée par l’alarme de présence d’eau dans les 4 puisards RIS et EAS du bâtiment du combustible. La personne envoyée sur place constate alors la montée rapide de l’eau ".
Le schéma ci-dessous a été publié par l’IPSN [4]. Il donne les niveaux de calage de la plate-forme et d’implantation des réacteurs et permet de comprendre l’inondation des galeries souterraines et la perte d’équipements importants pour la sûreté.

Donc dès minuit le fonctionnement des circuits EAS et RIS est douteux. Il semble, aux profanes que nous sommes, que cette situation aurait dû obliger EDF à déclencher formellement le PUI car ceci est très grave du point de vue de la dégradation de la sûreté. En effet ces deux circuits RIS et EAS sont des circuits de sauvegarde très importants en situation accidentelle [9] :

a) Circuit d’aspersion de l’enceinte (circuit EAS). Lors d’un accident conduisant à une augmentation de la pression et de la température dans l’enceinte de confinement, par perte de réfrigérant primaire (cas d’une brèche sur le circuit primaire) ou par rupture d’une tuyauterie vapeur, le circuit EAS, pulvérise de l’eau boriquée qui sert d’abord en première phase à faire baisser la température et la pression dans l’enceinte (limitant ainsi le volume des fuites hors de l’enceinte de confinement car si la pression devient trop élevée l’étanchéité de l’enceinte de confinement n’est plus assurée). L’aspersion sert aussi à rabattre les produits de fission et un additif chimique (soude) dans l’eau pulvérisée permet de limiter les rejets en iodes gazeux vers l’extérieur. En deuxième phase (dite de recirculation de l’eau récupérée) l’aspersion sert à évacuer la chaleur résiduelle du cœur tout en faisant baisser la température de l’enceinte.
(C’est ce circuit EAS qui s’est mis en route intempestivement à Belleville-2 en juin 1998 provoquant un arrêt d’urgence et le blocage d’une grappe de contrôle).

b) Circuit d’injection de sécurité (circuit RIS). Lors d’un accident de perte de réfrigérant primaire par brèche sur le circuit primaire la réfrigération de secours du cœur est assurée par le circuit RIS, circuit d’injection de sécurité, afin de limiter la température des gaines du combustible et donc d’assurer l’intégrité du cœur. Ce circuit permet aussi l’injection rapide d’acide borique concentré en cas de rupture de tuyauterie de la ligne de vapeur.
Signalons aussi que le RIS intervient pour rétablir un niveau correct dans le pressuriseur s’il y a rupture d’un tube de générateur de vapeur (comme ce qui vient de se produire aux Etats-Unis à Indian Point, la centrale en amont de New-York).

Une chance qu’on n’en ait pas eu besoin de ces circuits de sauvegarde dont la fonction est d’assurer la protection du public en cas d’accident. La centrale travaillait désormais sans filet…

Réacteur-1
28 décembre. 0 h 30. Arrêt du réacteur.
Avec la montée des eaux, la Gironde charrie des débris qui viennent obstruer les tambours filtrants et entraîne l’arrêt automatique de la station de pompage du réacteur-1 " la fonction de filtration d’eau brute étant perturbée " qui entraîne l’arrêt automatique du réacteur.
Entre 1 h et 3 h ? Divergences DSIN-EDF [2]
L’équipe de conduite du réacteur-1 est alertée par les alarmes successives de la présence d’eau dans les 4 puisards du bâtiment combustible. Les 4 alarmes sont présentes à 1 h 40.
Le document EDF précise : " La personne envoyée sur place constate alors la présence effective d’eau et l’immersion partielle de matériels utilisés en cas d’accident : système d’injection de sécurité, système d’aspersion de l’enceinte. Ces matériels de secours n’ont pas été nécessaires pendant les intempéries. En outre une des 2 voies du système d’eau brute secourue a été noyée ". Il s’agit du circuit du circuit SEC (c’est moi qui souligne).
Selon les différentes sources il sera question de 1,5 m d’eau dans le bâtiment combustible, noyant les alvéoles des pompes RIS et EAS, pour d’autres il y aurait 4 m. Mais, point important, selon ce document EDF du CNPE du Blayais il y aurait aussi de l’eau noyant une des 2 voies du SEC dans la station de pompage. La rédaction laisse supposer que cette découverte a lieu avant 3 h. Or, dans les documents de l’autorité de sûreté il n’est fait état d’une aggravation de la situation par perte d’une voie du SEC qu’à 8 h 23 le 28 décembre ! Il y a là une divergence qui nécessite des éclaircissements.

La route d’accès au site est à nouveau praticable vers 23h avec la marée descendante et la chute des vents (EDF, 7 janvier). La relève du personnel a pu avoir lieu dès 1 h (DSIN). A partir de 3 h du matin la chronologie est sensiblement la même d’après EDF et la DSIN.

3) Plans d’urgence interne. Organisation nationale de crise
Après 2 h 55 (DSIN) - 3 h 00 (EDF).
EDF, CNPE du Blayais : à 3 h la centrale mobilise ses équipes de crise pour renforcer les équipes présentes et informe les services nationaux d’EDF et la DRIRE. A 3 h 15 les équipes nationales de crise sont mobilisées, à 3 h 30 la DSIN est informée par les services nationaux d’EDF.
Pour la DSIN ceci correspond au déclenchement par le site à 2 h 55 du PUI niveau 1 (Plan d’urgence conventionnel, non radiologique) qui aurait dû, d’après elle, être déclenché la veille à 23h. La préfecture est prévenue. Le pompage de l’eau commence mais le niveau ne baisse pas.
Comme c’est la première fois qu’une organisation nationale de crise est déclenchée en France nous donnons la suite de la chronologie d’après la DSIN :
" À 5 h 45 : EDF fait part de son intention de faire appel à l’organisation nationale de crise EDF et à l’IPSN. Le directeur de la DSIN en est informé et donne son accord.
Vers 6 h 00 : Constitution de l’équipe de crise IPSN, opérationnelle vers 7 h 00.
7 h 30 : Premier communiqué de presse d’EDF informant de l’arrêt des installations.
8 h 23 : Brusque aggravation de la situation. Inondation des locaux pompes SEC de la tranche 1. Perte de la voie A du SEC. Incertitudes sur la possible inondation de la voie B.
8 h 30 : Le directeur de la DSIN est informé de la situation et demande à EDF de déclencher le PUI de niveau 2 [ou PUI radiologique intérieur]. Lancement du gréement du poste de commandement de la direction de la DSIN (PCD DSIN). Prise de contact avec EDF national et du site du Blayais, équipe de crise IPSN, COAD [Centre Opérationnel et d’Aide à la Décision de la Direction de la Défense et de la Sécurité civiles], Préfecture, Office de Protection contre les Rayonnements ionisants (OPRI), DIN locale (Division des installations nucléaires, DRIRE-Aquitaine).
9 h 10 : lancement du signal d’alerte par EDF (bip de l’ensemble des agents de l’Autorité de sûreté) [D’après EDF, en complément des équipes déjà mobilisées depuis 3h du matin, 80 personnes d’astreinte sont venues rejoindre les équipes de conduite].
9 h 30 : première information des cabinets de la Ministre de l’Aménagement du territoire, de l’Environnement et du secrétaire d’État à l’Industrie
10 h 35 : premier communiqué de presse de la DSIN faisant état du déclenchement du PUI par EDF et de la mise en place d’une équipe de crise.
10 h 40 : le pompage fonctionne dans les alvéoles SEC, le niveau baisse. Le risque de perte de la voie B s’éloigne.
Entre le 28 décembre 11 h et le 29 décembre 20 h : équipes de crise mobilisées 24 h/24. Amélioration progressive de la situation technique (pompage de l’eau, fiabilisation progressive des alimentations électriques). Les réacteurs 1 et 2 restent en état d’arrêt avec refroidissement par les générateurs de vapeur jugé le plus sûr.
Classement de l’incident au niveau 2 par la DSIN le 29 décembre à 7 h.
Communiqués de presse n°2 à 6 émis par la DSIN. Trois conférences de presse " tempête " par le préfet de police de la Gironde où est présentée la situation du Blayais.
30 décembre : redémarrage du réacteur 4. Allégement du dispositif de crise. Fonctionnement de la voie A du SEC [du réacteur1] après changement d’un moteur. L’Autorité de sûreté soumet à autorisation le redémarrage des réacteurs 1 et 2. Communiqués de presse n°7 et 8 ".

Ainsi, tout s’est finalement bien passé. Il faut voir cela de plus près car la situation, pas très brillante, aurait pu empirer.

III — Les problèmes liés à la dégradation de la sûreté du réacteur 1 : perte des circuits EAS, RIS, d’une voie du circuit SEC.

En fonctionnement normal la pression est de 155 bars et la température de 280°C dans le circuit primaire. Après un arrêt d’urgence, pour que le réacteur soit mis dans un état sûr il faut que la puissance résiduelle du cœur du réacteur due aux désintégrations radioactives, d’environ 25 MW, puisse être évacuée, la température et la pression de l’eau du circuit primaire abaissées. Le refroidissement est assuré par les générateurs de vapeur (GV) alimentés en eau par le circuit d’alimentation de secours des GV (ASG). L’étape suivante est de passer sur le circuit  RRA de refroidissement à l’arrêt lorsque la pression a été abaissée à 32 bars et la température à 177°C.
Ce dernier circuit RRA est lui-même refroidi par un circuit de refroidissement intermédiaire, dit circuit RRI, lui-même refroidi par le circuit d’eau brute secourue, le circuit SEC. Le circuit SEC de chaque tranche comporte 2 voies A et B et, particularité du SEC, chaque voie comporte deux demi-échangeurs avec chacun 1 pompe pouvant assurer 100% du débit. (Il y a ainsi une double redondance). Avec ce système de refroidissement en cascade le circuit SEC a donc une importance capitale pour extraire la puissance résiduelle du cœur  : sa défection impose de rester sur les générateurs de vapeur. Et ceci pose un autre problème car l’alimentation auxiliaire en secours des générateurs de vapeur, le circuit ASG, nécessite une eau de qualité très particulière, déminéralisée et dégazée, conservée sous azote or la bâche d’eau ASG a un volume de 625 m³ seulement.
Finalement la voie B du SEC a fonctionné avec ses 2 pompes et les générateurs de vapeur ont été alimentés par le circuit ASG.
D’après le communiqué de l’IPSN du 5 janvier [3] des conditions de pression et température adéquates permettant le cas échéant la connexion au RRA (32 bars et 177°C) ont été atteintes vers 11h le 28 décembre, alors que la puissance résiduelle était encore de 20 MW et indique que " la période la plus critique de l’incident a donc duré plusieurs heures ".
Que se serait-il passé si la voie B du SEC avait été aussi perdue ? Si la bâche d’alimentation de secours ASG des générateurs de vapeur n’avait plus eu assez d’eau ? S’il y avait eu perte de l’alimentation 400 kV ?
Dans le même communiqué [3] l’IPSN indique que pendant cette période on pouvait envisager 2 voies d’aggravation de la situation : 
-La défaillance de la voie B du SEC. La perte totale du SEC diminue le refroidissement des joints des pompes primaires (par RRI inopérant). L’IPSN souligne qu’on aurait pu utiliser le circuit de contrôle volumétrique et chimique (circuit RCV) et qu’il faut imaginer une défaillance supplémentaire du réseau 400 kV pour que les joints n’étant plus refroidis on ait une brèche sur le circuit primaire et dégradation du cœur du réacteur.
Ajoutons qu’il s’agirait là d’une perte de refroidissement du cœur avec pour conclusion la fusion du cœur, sans circuits de sauvegarde pour la protection du public.

Questions : ce qu’on oublie de signaler à ce propos c’est que les protections thermiques chargées de protéger les joints des pompes primaires, ont " naturellement " de fâcheuses tendances à la fissuration sur nos réacteurs 900 MW, parfois même dans des zones inaccessibles et non contrôlables sans démontage de l’enveloppe de la barrière thermique (Gazette Nucléaire 155/156, janvier 1997). Les barrières thermiques sont constituées d’un serpentin (contenu dans une enveloppe fixée par soudure à la bride de la barrière thermique) parcouru par de l’eau froide venant du RRI. Certaines enveloppes de la barrière thermique ont été remplacées, comme sur la tranche 4 du Blayais. Certaines autres devaient être contrôlées ou remplacées en fonction de leur état d’endommagement. A-t-il été tenu compte dans l’analyse de l’IPSN de la forte probabilité de présence de fissurations préexistantes dans la protection thermique sur la tranche 1 (et 2) ? Que se passerait-il si elles ne sont pas bien refroidies via un circuit RRI inopérant via un circuit SEC complètement défaillant ? Est-on sûr que, fatigue thermique aidant, une contrainte supplémentaire ne pourrait pas faire progresser une fissure préexistante jusqu’à rupture d’une partie de la protection thermique et provoquer une brèche du circuit primaire même avec un circuit RCV  (et une alimentation 400 kV) en état ?
-La défaillance complète du circuit ASG. Dans ce cas on aurait une dizaine d’heures avant la fusion du cœur en introduisant de l’eau par l’injection de sécurité à haute pression et grâce à l’ouverture de soupapes du circuit primaire.
L’IPSN omet de préciser qu’il y aurait eu rejet de vapeur radioactive à l’extérieur par ouverture de ces soupapes.
Il n’a pas été indiqué si la bâche d’eau ASG a suffi pour alimenter les générateurs de vapeur ou s’il a fallu utiliser de l’eau venant d’une bâche de réserve. Dans ce dernier cas cette eau n’a pas les spécifications de l’eau habituelle d’alimentation de l’ASG. Il est indiqué [réf. 9, chapitre II-4.4-5] "(…) dans la mesure où la sécurité de l’installation est en jeu. La propreté ou la corrosion éventuelle des G.V est alors d’une importance secondaire ".
Au cas où la bâche ASG n’ait pas suffi, il serait nécessaire de vérifier assez rapidement les tubes des Générateurs de Vapeur. (Au fait, cela fait longtemps qu'on n’a plus de renseignements sur le nombre de tubes bouchés des G.V).

Finalement l’incident a été bien géré et le personnel à la hauteur. Il a fallu changer les moteurs noyés, nettoyer l’eau salée source de corrosion. Il faut vérifier les installations électriques dans les sous-sols. Tout doit être requalifié pour les tranches 1 et 2. Mais cela aurait pu être pire.

IV- Le pompage et les rejets en Gironde
Tout le personnel de la centrale a été mobilisé, il a été fait appel à plusieurs casernes de pompiers de Mérignac et Blaye ainsi qu’à 20 personnes de sociétés extérieures pour manœuvrer le matériel (6 camions-pompes d’entreprises extérieures et 12 pompes fournies par les pompiers). Il y a eu quelques difficultés parce qu’il faut avoir les courbes caractéristiques des pompes et pendant plusieurs heures l’impression a prévalu que le niveau ne baissait pas.
EDF indique que le pompage a commencé le 28 décembre vers 8h et s’est terminé le 29 à 22h45 et qu’il a été rejeté en Gironde environ 90 000 m³ d’eau provenant de tous les bâtiments. Toute l’eau pompée, y compris dans le bâtiment combustible, a été amenée dans le circuit de collecte des eaux pluviales, le circuit SEO, " qui a fait office de tampon ". La procédure de rejets a été définie avec l’Autorité de sûreté.
Au sujet des analyses avant rejet en Gironde EDF précise que " les mesures effectuées au sortir du bâtiment combustible au refoulement des pompes ont été réalisées toutes les heures au début du pompage et toutes les demi-heures en fin de pompage ". Il y a eu 11 contrôles. D’après EDF les valeurs des rejets sont toutes " restées inférieures au seuil de 90 à 120 Bq/l à l’exception d’une mesure communiquée à 300 Bq/l effectuée en fond de puisard dans le bâtiment combustible du réacteur-1 (BK1) qui n’a pas été confirmée par une mesure complémentaire ". (…) " L’OPRI a également effectué une série de prélèvement dont un seul donnait une valeur de 150 Bq/l, mais cet échantillon avait été prélevé sur de l’eau du BK1 qui a été rejetée dans la bâche de stockage SEO avant rejet maîtrisé en Gironde ".
Nous citons ce passage car il est question de " rejets maîtrisés ". En quoi des rejets en Gironde via les caniveaux du circuit de collecte des eaux fluviales (le circuit SEO) sont-ils " maîtrisés " ? Bien sûr toutes les valeurs sont inférieures à la norme de rejet pour le tritium qui est de 1000 Bq/l. Rappelons que pour le tritium (liquide et gazeux) la norme autorisée annuelle est considérable, 1400 curies par an (5,2 10¹³ Bq) par tranche [9]. La Gazette a signalé il y a longtemps combien le métabolisme du tritium dans l’être humain est mal connu pour les formes liées organiquement (Gazette Nucléaire 78/79 juin 1987). En fait les autorisations de rejets sont élevées parce qu’on ne sait pas stocker le tritium. Ainsi, même si le rejet en Gironde n’est "qu’une faible fraction de l’autorisation de rejet annuelle " cela ne veut pas dire que c’est inoffensif.
Ce qui est plus bizarre c’est le sort de ce qui se trouvait dans la bâche de reprise du puisard RPE (" reactor purge event ") qui normalement aurait dû partir dans la station de traitement des effluents radioactifs. Là, l’eau est partie dans la Gironde via le circuit de collecte des eaux pluviales, comme le reste. Bien sûr on ne pouvait pas faire autrement ! Même si le volume était faible c’est une façon élégante de se débarrasser des effluents, pas besoin de passer par la station prévue pour leur traitement. Voilà qui est très " maîtrisé ".

V- Le réexamen du risque inondation pour l’ensemble du parc

Voici ce qu’en dit l’IPSN [4] :
" Il conviendra de réexaminer pour l’ensemble des sites du parc nucléaire français les données utilisées pour le calage de leur plate-forme (ces données concernent notamment les niveaux des marées, l’influence des phénomènes naturels pris en compte et les niveaux atteints lors des crues) " (…) Selon la règle de sûreté RFS I.2.e " la protection des sites est assurée notamment par :
1. le calage de la plate-forme supportant les bâtiments abritant les matériels importants pour la sûreté à un niveau au moins égal au niveau des plus hautes eaux, avec une marge de sécurité (le niveau correspondant est appelé cote majorée de sécurité — CMS) ;
2. l’obturation des voies possibles d’accès de l’eau dans les locaux abritant les matériels participant au maintien de l’installation dans un état sûr, situées au-dessous du niveau de calage de la plate-forme.
En terme de rétroactivité, pour les sites aménagés avant la mise en application de la RFS I.2.e du 12 avril 1984, celle-ci prévoit que les sites ne répondant pas au premier critère doivent en tout état de cause respecter le deuxième critère et que des dispositions complémentaires doivent être proposées pour assurer un niveau de protection équivalent à celui exigé par la RFS I.2.e. De plus, certains sites présentent des conditions spécifiques nécessitant d’examiner le risque d’inondation résultant de la proximité d’un canal dont la ligne d’eau est supérieure à la plate-forme.
Les 19 sites français peuvent être regroupés en quatre catégories d’après les critères identifiés ci-dessus :
-les critères 1 et 2 rappelés ci-dessus sont respectés avec des marges importantes pour les sites de Chooz, Civaux et Cattenom ;
-la plate-forme de l’îlot nucléaire est calée au-dessus de la CMS mais le respect du second critère mérite des vérifications plus approfondies pour les sites de Bugey, Cruas, Flamanville, Golfech, Nogent, Paluel, Penly et Saint-Alban ;
-la plate-forme de l’îlot nucléaire est calée au-dessous de la CMS pour les sites de Belleville, Chinon, Dampierre, Gravelines, Le Blayais et Saint-Laurent ;il conviendra, pour ces sites, de réexaminer l’ensemble des dispositions mises en place ;
-les sites de Fessenheim et de Tricastin sont implantés à proximité d’un canal dont la ligne d’eau est supérieure à la cote de leur plate-forme. Pour ces sites également, il conviendra de réexaminer les dispositions particulières mises en œuvre " .

Et en attendant que tous ces sites soient vérifiés ils seront autorisés à fonctionner. Est-ce une application de ce qu’on appelle en sûreté " la défense en profondeur " ?

Redisons que c’est un hasard, la tempête aurait pu se produire au moment des plus hautes eaux d’une marée de coefficient 118… Des réacteurs sans systèmes de sauvegarde et cet incident grave aurait pu dégénérer en accident majeur.
Même avec un coefficient modeste de 77 le 27 décembre dernier avec un SEC noyé complètement, une alimentation électrique du réacteur-1 perdue, la fusion du cœur aurait pu se produire…Avec des routes impraticables s’il avait fallu évacuer…

L’inventaire
Moins de 3 semaines après l’incident grave du Blayais, l’IPSN sort un inventaire des problèmes de sûreté liés au risque inondation pour les 19 sites de notre parc nucléaire avec un classement des principaux défauts ne respectant pas la règle de sûreté RFS I.2.e pouvant affecter chacun des sites. Il y a fort à parier que la plupart de ceux-ci étaient répertoriés depuis longtemps puisqu’ils ont nécessité de recalculer la cote majorée de sécurité pour tous les sites. Le problème va à nouveau se poser du pouvoir de la DSIN vis-à-vis d’EDF et de ses autorités de tutelle (le ministère de l’industrie et celui de l’environnement) à faire respecter une règle de sûreté et donc du pouvoir de la DSIN à imposer à EDF l’exécution des travaux indispensables à la sûreté.
En somme, il est nécessaire d’avoir des incidents graves, qui peuvent, le cas échéant, dégénérer en accident, pour que l’IPSN ait la possibilité d’exposer publiquement les lacunes graves concernant la sécurité des réacteurs français ! Devra-t-on attendre un séisme pour que le respect des normes de sûreté puisse être imposé à EDF ?

La modélisation
Cet événement révèle le manque d’imagination de nos concepteurs qui n’avaient pas prévu l’existence de vagues dans l’estuaire de la Gironde. Et ailleurs, sur les autres sites ? Mais ils ont fait d’autres impasses comme par exemple de minimiser le couplage du risque nucléaire au risque chimique et sismique dans la vallée du Rhône.
Cet événement met clairement en évidence que tout n’est pas forcément modélisable. Comment paramétrer les vagues, la propagation du feu, les séismes ? Ce qui vaut pour cette tempête vaut également pour les séismes qu’on oublie trop souvent alors que sont détériorées bon nombre de protections anti-sismiques des réacteurs de notre parc.
D’ailleurs seraient-elles efficaces même si elles étaient en bon état ? On ne connaît pas tout sur la sismicité en France. On vient seulement de découvrir les " effets de site ", par exemple Grenoble est un endroit sensible avec amplification des secousses sismiques dans la vallée et la ville même de Grenoble, le site agissant comme une caisse de résonance pour les ondes sismiques !
Alors que se passerait-il à Fessenheim ou au Tricastin construits en dessous de la ligne d’eau du canal voisin si un séisme bousillait la digue bordant le canal ?

A propos de l’organisation nationale de crise
En cas de crise nucléaire la centrale est connectée à 3 postes centraux : EDF national, DSIN, IPSN. Les paramètres qui sont sensés représenter l’état du réacteur sont alors automatiquement transmis aux cellules de crise. Les responsables de la centrale en difficulté grave sont ainsi mis sous contrôle. Les cellules de crise savent tout ce qui se passe et réagissent en conséquence.
Est-ce si évident que cela ? Est-on sûr que tous les paramètres sont automatiquement enregistrés et transmis ? Le nombre de paramètres qui représentent l’état réel du réacteur et du reste de l’installation est considérable et il y a certainement eu une sélection pour éviter une véritable inondation des cellules de crise qui serait ingérable. Ce choix ne peut se faire qu’à partir de certains scénarios jugés possibles. Mais n’oublions pas que l’Inspecteur général de la sûreté à EDF Pierre Tanguy déclarait en 1988 à propos des accidents " L’ensemble des accidents possibles est tout de même limité, de sorte que nous pensons pouvoir couvrir avec le temps la totalité des cas possibles. Mais je reconnais que nous ne sommes pas sûrs d’être absolument exhaustifs et que s’il doit se produire un accident, ce sera celui que nous n’aurons pas prévu " [12].
D’autre part il y a des paramètres non mesurés. Par exemple, (et, qui sait, cela s’est peut-être passé de cette façon au Blayais pour la voie A du SEC), si un opérateur descend dans une galerie souterraine, s’aperçoit qu’elle est inondée et donne oralement l’information à son chef. Cette information ne sera transmise que si le supérieur hiérarchique la transmet. Une solution " intéressante " serait la mise automatique sur écoute de tous les locaux où du personnel travaille, avec enregistrement bien sûr. Ceci n’aurait rien d’original car cela a été fait aux Etats-Unis en mars 1979 lors de l’accident du réacteur de Three Mile Island. Ce qui a été assez audacieux c’est que le décryptage des enregistrements a été assez rapidement rendu public. EDF en a d’ailleurs fait une traduction que quasiment personne n’a signalée. Serait-on aussi audacieux en France ? Cette " solution " efficace qui s’intègre bien à la vision d’un monde décrit par George Orwell dans son livre 1984 n’a rien de réjouissant et ce n’est certainement pas là l’idéal dont on rêve pour ses enfants et petits-enfants.

Bella Belbéoch
22 mars 2000

J’ai eu de nombreux informateurs durant cette enquête de deux mois. Merci à tous.
Plus particulièrement, mes remerciements chaleureux à M. Rocco du Port Autonome de Bordeaux et à M. Jehan de l’Etablissement Principal du Service Hydrographique et Océanographique de la Marine (EPSHOM) pour les documents fournis et qui n’ont pas épargné leur peine pour m’initier à la complexité de l’estuaire de la Gironde. Je remercie également M. Auriac et M. Gravier du CNPE du Blayais pour les dossiers qu’ils m’ont transmis, M. Niel et M. Rebour de l’IPSN pour les informations et le rapport de J. Miquel qu’ils m’ont communiqués, sans oublier M. Quintin et M. Duval de la DRIRE-Aquitaine que j’espère ne pas trop importuner par mes questions.

Références
[1] Conférence de presse de la Direction de la sûreté des installations nucléaires, DSIN, Paris, 14 janvier 2000
[2] CNPE du Blayais, Mission Communication, Dossier d’informations Suite aux intempéries du 27 décembre 1999. Dossier du 7 janvier et du 11 janvier 2000.
[3] Communiqué IPSN, 5 janvier 2000, Gazette Nucléaire 179/180, janvier 2000
[4] Institut de Protection et Sûreté Nucléaire (IPSN) Rapport sur l’inondation du site du Blayais survenue le 27 décembre 1999, 17 janvier 2000.
[5] Le Point, 14 janvier 2000, numéro 1426, Christophe Labbé et Olivia Recasens, Centrale nucléaire du Blayais, La lettre qui accuse. L’article fait état de la lettre du 19 novembre 1999 de la DRIRE-Aquitaine sommant EDF de produire un échéancier des travaux de mise en conformité de la centrale vis-à-vis des risques liés à l’inondation.
[6] Décret de création des tranches 1 et 2, 14 juin 1976 (J. O 19 juin 1976). Tranches 3 et 4 décret du 5 février 1980, J. O du 14 février 1980.
[7] Journal Officiel de la République française, Sûreté des installations nucléaires en France. Législation et réglementation (3^ème édition janvier 1995) Règle n° I.2.e, Prise en compte du risque d’inondation d’origine externe, p.242-245.
[8] Annuaire des marées 2000 Estuaire de la Gironde, Port Autonome de Bordeaux.
[9] Centrales nucléaires du palier 900 MW. Textes du RAPPORT DE SURETÉ commun à toutes les tranches du palier, Edition publique, Tomes I et II, janvier 1982. 
[10] J. Miquel, Guide d’estimation des probabilités des débits de crue, EDF, Laboratoire National d’Hydraulique, novembre 1981, E43/G25 et /81.45
[11] Jacques Libmann, Approche et analyse de la sûreté des réacteurs à eau sous pression, Ed. Institut national des sciences et techniques nucléaires, CEA,collection enseignement, (1987).
[12] Pierre Tanguy, Actes du Colloque nucléaire-santé-sécurité, Montauban, 21-22-23 janvier 1988, p. 496.

Le nivellement à Pauillac. Hauteurs d’eau observées, zéro d’étiage et cote terrestre.
Le SHOM fait les calculs de hauteurs d’eau pour toutes les marées dans des conditions normales de pression barométrique, sans vent. On suppose en plus que sur la Garonne, à la Réole, le niveau d’eau est normal sans crue. Le Port Autonome de Bordeaux enregistre le niveau moyen réel atteint par le plan d'eau.
Plusieurs niveaux de référence sont utilisés en hydrographie : zéro d’étiage, zéro marin, zéro hydrographique … tout cela est complexe.
Dans l’estuaire de la Gironde on se réfère au zéro d’étiage qui est le niveau moyen des plus grandes basses eaux observées en un lieu de l’estuaire. Chaque échelle d’une station marégraphique de l’estuaire est calée au zéro de l’étiage qui est référencé par rapport au zéro terrestre. Mais les références terrestres ont été affinées, on est passé du système dit Lallemand NGFau système dit IGN 69 depuis 1969. Le zéro d’étiage à Pauillac est à la cote - 2,588 m du zéro Lallemand NGF ou encore à - 2,539 m du zéro IGN 69. Nous conserverons le système Lallemand qui est celui utilisé dans les documents EDF, DSIN, IPSN et par la Port Autonome de Bordeaux. (De toutes façons la différence n’est que de 4,9 centimètres et importe peu par rapport à des hauteurs observées de plusieurs mètres).
Les cotes terrestres correspondant aux niveaux d’eau atteints sont données par :
cote=hauteur d’eau (par rapport au zéro d’étiage) + cote (négative) du zéro d’étiage.
Ainsi à un enregistrement marégraphique correspondant à une hauteur d’eau de 5,05 mètres, valeur prévue pour le coefficient de marée 77 dans la soirée du 27 décembre 1999 à Pauillac, il correspond une cote terrestre de 5,05-2,588=2,46 mNGF (2,51 m IGN 69) alors qu’on a observé 7,06 m soit 4,47 mNGF (4,51 m IGN 69) correspondant à une surcote de 2,01 m.
Signalons que le marégraphe de Pauillac a été déplacé en 1976. Avant 1976 le zéro d’étiage était à —2,547 mNGF du zéro Lallemand qui doit être appliqué aux données de 1937 et 1941.

M. Jehan (SHOM) nous a donné des informations sur les repères de nivellement. Le repère A du Nivellement Général de la France est fixé sur le mur du quai de l’estacade du bac à Pauillac. Il a représenté schématiquement les différents zéros que nous reproduisons ci-dessous.

Nivellement à Pauillac

A propos du signal d’alarme de haut niveau Gironde : nécessité de la redondance
Si l’on se fie aux premières informations du CNPE du Blayais un point curieux à signaler est l’heure du signal alarme de haut niveau Gironde reçu par la centrale. D’après EDF à 23 h signal d’alerte " risque d’inondation " émis par un marégraphe du port autonome de Bordeaux apparaît à la centrale. En provenance du Verdon et à 23 h d’après le dossier de la DSIN (conférence de presse du 14 janvier) mais rectifié par la suite : en provenance de la station marégraphique émettrice du Richard et à 22h d’après le dossier IPSN du 17 janvier 2000. On a considéré que les marégraphes du Port autonome avaient été perdus dès 19h30.
Ainsi cette heure de l’unique signal d’alarme reçu du Richard est bizarre qu’elle soit à 23h ou à 22h et ce signal correspond à une marée descendante bien après la pleine mer qui était prévue à 21h19.
D’après les explications fournies par M. Rocco (Port autonome de Bordeaux), cette station du Richard a été complètement détruite par la tempête et était considérée comme perdue depuis 19h30, heure à laquelle avaient cessé les réceptions à Bordeaux. On s’est aperçu par la suite que l’antenne de réception, située à 100 m de haut sur une pile du Pont d’Aquitaine de Bordeaux, avait tourné au cours de la tempête et n’avait plus la bonne orientation pour recevoir les émissions des marégraphes. Bordeaux n’a donc rien reçu mais la station, elle, a pu continuer à émettre, être détruite bien plus tard dans la soirée et la centrale du Blayais recevoir un signal entre temps (remarquons que Le Blayais est situé beaucoup plus près du Richard que Bordeaux). Si on fait un parallèle avec Pauillac et Le Verdon dont les données ont pu être récupérées de la mémoire de l’enregistrement, la station du Richard a connu elle aussi son record absolu de niveau atteint à la pleine mer, prévue à 21h19, dépassant largement la cote d’alarme de niveau haut (qui doit être de l’ordre de 6 m). Si on a eu 7,06 m à Pauillac on a dû avoir de l’ordre de 6,8 m à Richard et il est donc plausible de penser qu’à 22h, à marée descendante on était encore au-dessus de la cote d’alerte des 6m ce que la station a pu transmettre vers la centrale.
Tout cela paraît très vraisemblable mais n’explique pas cette bizarrerie : pourquoi un seul signal reçu, et à 22h, à marée descendante. Mais avant, à marée montante, la cote d’alerte a été dépassée aussi et ce, dès les environs de 19h30. Donc cote d’alerte dépassée entre 19h30 et 22h30 environ. Y a-t-il eu là aussi des problèmes d’antennes mais avec émissions ou réceptions intermittentes ?
Si cette alarme de haut niveau Gironde est importante pour pouvoir arrêter les réacteurs dans de bonnes conditions afin de réduire la puissance résiduelle à évacuer alors il faut envisager sérieusement la redondance des émetteurs aux stations marégraphiques et celle des récepteurs sur le site du Blayais.

(A paraître dans la Gazette Nucléaire 181/182, avril 2000)