Dans une usine transformant de l’uranium naturel, du tétra-fluorure d’uranium (UF4, sel radioactif vert) doit être transféré des fours de production du site vers les silos de stockage via un dispositif pneumatique.
L’opération débute par une séquence automatisée de transfert à vide, procédure normale de redémarrage du procédé sans produit, quand une vanne automatique reste bloquée vers 23h40 en sortie d’un silo qui monte alors en pression. Quand la surpression atteint 50 mbar, une soupape de sécurité doit normalement se déclencher avec envoi de la matière en excès vers un caisson, mais le disque de rupture du silo bien que taré à 100 mbar éclate préalablement à 40 mbar. Dans la salle de contrôle, une alarme de pression haute s’active à 40 mbar en générant un défaut sur l’écran de conduite.
Le disque de rupture n’étant pas visible directement en observant le sommet du dôme du silo, les employés ne constatent ni anomalie, ni présence d’UF4. L’opérateur de conduite acquitte le défaut généré par l’alarme et force manuellement l’ouverture de la vanne dont le blocage vient d’être découvert. A partir d’1 h le lendemain, 2 transferts successifs d’UF4 sont réalisés avant qu’une nouvelle alarme relative à l’absence d’évolution de pression dans le silo ne se déclenche. Un contrôle approfondi permet alors de constater la présence d’UF4 en sortie du disque de rupture. Le silo est consigné et le personnel de maintenance appelé en urgence remplace le disque de rupture. L’UF4 répandu est évacué et la zone est décontaminée. Les mesures de radioactivité ne signalent aucune menace.
L’inspection des installations classées remarque la présence d’UF4 sur le dôme et au pied du silo à la suite du remplacement du disque, les absences de confinement primaire à l’exutoire du disque de rupture, d’étiquetage sur les silos et de dispositif de surveillance permanente de niveau des silos. Une erreur de programmation est également découverte sur l’automate pilotant le transfert automatique : la position de la vanne automatique incriminée est pilotée par 2 programmes différents (1 pour chaque silo de stockage), l’un provoquant sa fermeture alors que le second l’avait placé préalablement en position ouverte. La procédure d’empotage prévoyait le pilotage manuel de la position des vannes automatiques, mais l’opérateur a décidé de passer le transfert à vide en mode automatisé. Le disque est expertisé ; un mauvais montage a provoqué son éclatement prématuré.
L’exploitant sensibilise les opérateurs à l’application de la procédure d’empotage, met en place une procédure formalisée de réception et de montage des disques de rupture des silos et améliore la programmation de l’automate de transfert de l’UF4 vers les silos (1 seul programme pilote la vanne incriminée, suivi du niveau et de la pression dans les silos, détection de l’actionnement des organes de sécurité ultime comme les disques de ruptures).
