Auteur moral

France. Bureau d'enquêtes sur les accidents de transport terrestre

Auteur secondaire

Résumé

Le 18 février 2020 le PAMPERO, bateau citerne transportant matiÚres dangereuses, amarré dans le sas de l’écluse de Sablons, est entraîné par le courant suite à la rupture de la porte aval de l’écluse. Le bateau voit sa timonerie arrachée avant que l’équipage ne parvienne à le stabiliser et à l’amarrer. Choqué, il évacuera aussitÃŽt le bateau-citerne en raison de fuites de gaz toxiques (chlorure de vinyle) et trÚs inflammables. A l’issue de son enquête le BEA-TT émettra 4 recommandations à la Compagnie nationale du RhÃŽne (CNR), ainsi qu’à la DGPR sur des mesures techniques, de politique de sécurité des ouvrages hydrauliques, sur la qualité de la maintenance, et plusieurs propositions à la CNR et à la DGITM.

Editeur

MTE

Descripteur Urbamet

voie navigable ;infrastructure de transport ;pollution ;toxicité

Descripteur écoplanete

ThÚme

Transports

Texte intégral

RAPPORT D'ENQUÊTE TECHNIQUE sur le naufrage du PAMPERO bateau de transport de matiÚres dangereuses survenu sur le RhÃŽne lors de la rupture d'une porte de l'écluse de Sablons (IsÚre) le 18 février 2020 Décembre 2021 Avertissement L'enquête technique faisant l'objet du présent rapport est réalisée dans le cadre des articles L. 1621-1 à 1622-2 et R. 1621-1 à 1621-26 du Code des transports relatifs, notamment, aux enquêtes techniques aprÚs accident ou incident de transport terrestre. Cette enquête a pour seul objet de prévenir de futurs accidents. Sans préjudice, le cas échéant, de l'enquête judiciaire qui peut être ouverte, elle consiste à collecter et analyser les informations utiles, à déterminer les circonstances et les causes certaines ou possibles de l'évÚnement, de l'accident ou de l'incident et, s'il y a lieu, à établir des recommandations de sécurité. Elle ne vise pas à déterminer des responsabilités. En conséquence, l'utilisation de ce rapport à d'autres fins que la prévention pourrait conduire à des interprétations erronées. Glossaire ADN : Accord européen relatif au transport international des marchandises dangereuses par voies de navigation intérieures et son rÚglement annexé AICPN : Association internationale pour les infrastructures de transport maritimes et fluviales (le nom original est : Association internationale permanente des congrÚs de navigation, PIANC en anglais) BARPI : Bureau d'analyse des risques et pollutions industriels Cerema : Centre d'études et d'expertise sur les risques, l'environnement, la mobilité et l'aménagement CFT : Compagnie fluviale de transport CGN : Centre de gestion de la navigation (de la CNR) CNR : Compagnie nationale du RhÃŽne DDT : Direction départementale des territoires DGITM : Direction générale des infrastructures, des transports et de la mer DGPR : Direction générale de la prévention des risques DREAL : Direction régionale de l'environnement, de l'aménagement et du logement FOH : Facteurs organisationnels et humains (étude des FOH) RGPNI : RÚglement général de police de la navigation intérieure RPP : RÚglement particulier de police SDIS : Service départemental d'incendie et de secours TTLE : Temps trop long d'exécution VHF : SystÚme et appareil de radiocommunication (very high frequency) VNF : Voies navigables de France VTA : Visite technique approfondie (d'un ouvrage hydraulique) Bordereau documentaire Organisme auteur : Bureau d'Enquêtes sur les Accidents de Transport Terrestre (BEA-TT) Titre du document : Rapport d'enquête technique sur le naufrage du PAMPERO bateau de transport de matiÚres dangereuses survenu sur le RhÃŽne, lors de la rupture d'une porte de l'écluse de Sablons (IsÚre), le 18 février 2020 N° ISRN : EQ-BEAT--21-10--FR Affaire n° BEATT-2020-02 Proposition de mots-clés : rupture porte écluse, éclusage, téléconduite, ouvrage hydraulique, dépotage bateau chlorure de vinyle, protection surcharge mécanique SynthÚse La Compagnie nationale du RhÃŽne (CNR) est concessionnaire, concepteur et exploitant des ouvrages hydroélectriques du RhÃŽne. Pour chaque aménagement, le principe consiste à édifier sur le fleuve un barrage de retenue afin de générer une chute et à aménager un canal de dérivation qui permet la navigation et sur lequel sont installées une usine et une écluse. Cela forme ainsi une succession de paliers, chacun étant séparé du suivant par une écluse. L'itinéraire de Lyon à la mer comprend ainsi 14 écluses à grand gabarit, automatisées et téléconduites. Les écluses sont téléconduites par les opérateurs du Centre de Gestion de la Navigation (CGN), rattaché à l'une des directions du siÚge de la CNR. L'écluse située sur la commune de Sablons, en IsÚre, fait partie de l'aménagement hydroélectrique du Péage-de-Roussillon, qui est géré par l'une des directions territoriales de la CNR, cette direction territoriale est l'exploitant de l'écluse. La porte aval de l'écluse de Sablons, pesant 90 tonnes, est à déplacement latéral. Elle est constituée de 4 caissons assemblés entre eux par un systÚme de bretelles et d'indexages et est suspendue à un chariot, situé 6 m plus haut et relié à un treuil. L'actionnement du treuil permet d'activer le mouvement du chariot, qui translate sur des rails et entraîne le déplacement de la porte. Le 18 février 2020 vers 0 h 30, le bateau-citerne PAMPERO, appartenant à la société CFT Gaz, mesurant 120 m de long et transportant 2 200 tonnes de chlorure de vinyle dans ses cuves, est amarré dans le sas de l'écluse. Parmi les cinq membres d'équipage, trois dorment. Alors que le remplissage du sas est réalisé aux deux tiers, un, voire deux, des caissons intermédiaires de la porte aval de l'écluse cÚdent. Le sas se vide alors précipitamment. Le bateau est entraîné vers l'arriÚre par le courant créé, les amarres cÚdent, le capitaine déclenche l'alarme et embraye à fond les moteurs vers l'avant afin de compenser le courant. Il parvient, avec le matelot, à évacuer la timonerie avant qu'elle ne soit arrachée en heurtant les poutres en béton qui constituent en partie supérieure la tête de l'écluse. Le PAMPERO heurte l'élément supérieur de la porte qui reste encastré au bateau lors de son expulsion du sas. Le bateau part à la dérive vers l'aval puis revient en marche avant. Il heurte l'entrée de l'écluse, bien que l'équipage soit parvenu entre-temps à stopper les moteurs en salle des machines, puis finit par se stabiliser. L'équipage parvient à l'arrimer puis, compte tenu de la perception de fuites de gaz, évacue le bateau et rejoint la rive, en sautant à l'eau. Excepté quelques douleurs, aucun dommage corporel n'est à déplorer, l'équipage a par contre été trÚs choqué. Les opérateurs du CGN ont été choqués par l'accident. Le dispositif de gestion de crises a été piloté par le préfet de l'IsÚre, avec l'appui du SDIS et de la DREAL, qui ont chacun sollicité une expertise externe, et la contribution de la DDT du RhÃŽne pour les aspects propres à la stabilité du bateau. Il a été activé durant trois semaines, le temps de traiter, non sans difficultés, les fuites de gaz, de sécuriser le bateau et de réaliser les opérations délicates de dépotage de sa cargaison. La gestion de l'évÚnement a fait l'objet d'une forte coordination entre les acteurs concernés et d'une mobilisation de moyens opérationnels importants de la part du SDIS et de CFT Gaz. Le fait que l'accident implique un bateau de matiÚres dangereuses a rendu cette gestion complexe du fait des risques liés au produit, le chlorure de vinyle étant un gaz toxique et trÚs inflammable. Le transport de matiÚres dangereuses est bien développé sur le RhÃŽne. A contrario, il peut être souligné la bonne résistance de ce type de bateau, comme un double coque. Les cuves de gaz, isolées, sont restées intactes, les fuites ont concerné 1 les tuyauteries sur le pont. Les bonnes réactions dont a fait preuve l'équipage, dont le capitaine en particulier, sont aussi à mettre en lien avec ce type de bateau en général, et à la forte culture de la sécurité de CFT Gaz en particulier. TrÚs endommagé, le bateau a fini par être remorqué neuf mois aprÚs l'accident, moyennant une lourde préparation de la part de son propriétaire. L'évÚnement a généré un arrêt du trafic fluvial durant prÚs de six semaines sur cette portion du fleuve RhÃŽne qui constitue un axe majeur de la circulation des marchandises. La CNR a fait preuve d'une grande réactivité pour effectuer les réparations nécessaires et remplacer la porte aval de l'écluse, répondre aux exigences du service de la DREAL chargé du contrÃŽle de la sécurité des ouvrages hydrauliques et établir son rapport d'analyse des causes de l'accident. Le comportement des automates de l'écluse lors de l'éclusage accidentel a été conforme à leurs attendus. Les constats sur les éléments de la porte et l'analyse des vidéos de l'éclusage montrent que la porte n'était pas dans la position nominale d'une porte fermée lorsque l'automate a considéré qu'elle était fermée. Les causes directes de l'accident sont une perte du couplage entre les positions du chariot et de la porte, en raison d'un blocage survenu au niveau de la porte en fin de manoeuvre de fermeture et rendue possible par le non-fonctionnement de la protection de la surcharge mécanique du treuil. Le chariot a ainsi pu atteindre sa position nominale, sans que cela ne soit le cas de la porte, et activer les capteurs rentrant dans les automatismes. Le blocage pourrait être lié à un bois flottant. Les autres éléments qui auraient pu contribuer à assurer une protection vis-à-vis d'une telle configuration, tels que le contrÃŽle du temps de manoeuvre de la porte et la limitation de courant au niveau du variateur de vitesse, n'étaient pas paramétrés dans une optique de sécurité. Suite à l'accident, la CNR a procédé aux réglages nécessaires et a actualisé l'étude de danger en intégrant le scénario d'une rupture d'une porte de l'écluse, lié à un défaut de fermeture qui conduirait au mauvais engagement de la porte dans sa rainure et donc à un mauvais alignement avec ses piÚces fixes d'appui. Pour le cas présent de l'écluse de Sablons, l'analyse du BEA-TT et celle faite par la CNR mettent en évidence des fragilités dans le domaine de la maintenance ­ surveillance de l'ouvrage. Celles-ci, ainsi que des lacunes en termes d'identification des risques, ont contribué à la manifestation des causes directes de l'accident. Il apparaît également que, si l'écluse est couverte par la réglementation sur la sécurité des ouvrages hydrauliques, elle semble être prise en compte dans ce cadre d'une maniÚre plus sommaire, par comparaison aux autres ouvrages de l'aménagement, tels que le barrage et l'usine hydroélectrique. Cela paraît concerner, tant les modalités nationales de mise en oeuvre de cette politique, que la maniÚre dont la CNR, à son niveau, transcrit ses obligations réglementaires. Cet état de fait a pu directement contribuer à ce que l'analyse de risques liés aux défaillances de la porte ne soit pas réalisée de maniÚre assez approfondie dans le cadre de l'étude de danger. Néanmoins, la CNR a mis en place des opérations de surveillance et de contrÃŽle des écluses au-delà du champ réglementaire de la sécurité des ouvrages hydrauliques. Les écluses rentrent également dans le champ d'application de la directive européenne relative aux machines, mais celle-ci ne s'applique pas, réglementairement parlant, aux ouvrages pré-existants au moment de sa publication, du moins tant qu'ils ne font pas l'objet de modifications significatives. Son application aux écluses ne fait pas l'objet d'un suivi ou de contrÃŽles. 2 Les écluses constituent aussi, et logiquement en premier lieu, des ouvrages d'infrastructure de navigation intérieure. Cette catégorie d'ouvrage est la seule pour laquelle les dispositions de la loi SIST1 n'ont pas été déclinées réglementairement. Un projet de décret d'application avait été préparé à cette fin. Les dispositions qui avaient été envisagées sont assez proches, dans l'esprit, de celles introduites par la directive sur les machines. Elles permettraient d'étudier plus finement les risques associés aux écluses vis-à-vis des navigants qui l'empruntent et de couvrir le vide juridique concernant certains autres ouvrages d'infrastructure de navigation. L'analyse a conduit par ailleurs le BEA-TT à rechercher des orientations préventives en lien avec la gestion des bois flottants aux abords des écluses et les process des opérateurs de téléconduite. Il est possible que les conséquences aient été plus dramatiques si l'accident avait impliqué, par exemple, un bateau avec 200 passagers étrangers plutÃŽt âgés à bord, qui est l'une des clientÚles majoritaires des paquebots fluviaux, qui connaissent un fort essor sur le bassin RhÃŽne-SaÃŽne ces derniÚres années. En conclusion, le BEA-TT adresse les recommandations suivantes : Recommandation R1 à la Compagnie nationale du RhÃŽne (CNR) : Renforcer la qualité de la maintenance et le niveau de surveillance des portes d'écluse, en déclinant le plan de maintenance type à chaque ouvrage et en veillant à sa bonne mise en oeuvre, en améliorant la prise en compte des suites à donner aux interventions et rapports de travaux, et de maniÚre à mieux considérer les portes comme un ensemble fonctionnel, avec tous les équipements associés, le contrÃŽle-commande et les éléments de protection des installations. Recommandation R2 à la Compagnie nationale du RhÃŽne (CNR) : Dans le cadre des études de danger, étudier de maniÚre approfondie les scénarios de rupture et de défaut de fermeture des portes d'écluse, et pour celles manoeuvrables en charge, d'ouverture accidentelle de portes. Recommandation R3 à la Direction générale de la prévention des risques (DGPR) : Renforcer la prise en compte des écluses dans le cadre de la mise en oeuvre de la politique de sécurité des ouvrages hydrauliques, lors des inspections des services de contrÃŽle et à partir des attendus des visites techniques approfondies et des études de danger. Dans le cadre des études de danger, développer une attention particuliÚre sur la gravité et la diversité possible des scénarios liés aux défaillances de portes d'écluse. Recommandation R4 à la Companie nationale du RhÃŽne (CNR): Mettre en place un systÚme de capteurs permettant des mesures directes de la position de la porte aval de l'écluse de Sablons en fin de manoeuvre. Étudier l'opportunité et installer le cas échéant un tel systÚme sur les autres portes d'écluses à déplacement latéral. 1 Loi du 3 janvier 2002 relative à la sécurité des infrastructures et systÚmes de transport, aux enquêtes techniques aprÚs évÚnements de mer, accident ou incident de transport terrestre ou aérien et au stockage souterrain de gaz naturel, d'hydrocarbures et de produits chimiques 3 Le BEA-TT invite également : 1) La Direction générale des infrastructures, des transports et de la mer (DGITM) à décliner réglementairement les dispositions législatives relatives à la sécurité des ouvrages de navigation dans le Code des transports, en assurant leur compatibilité avec celles de la directive relative aux machines et en précisant, en lien avec la DGPR, son articulation avec la réglementation sur les ouvrages hydrauliques. 2) La CNR à : formaliser, avec le niveau de précision qu'il est raisonnable d'envisager, les consignes aux opérateurs de téléconduite sur la surveillance de la présence d'embâcles et de divers corps flottants aux abords des écluses et la maniÚre de gérer ces situations ; équiper l'écluse de Sablons de caméras de meilleure qualité et, s'agissant de la caméra visionnant l'aval de porte aval, permettant de visionner sans angle mort l'espace de fermeture de la porte ; plus généralement, préciser les principes d'utilisation des caméras dans le contrÃŽle du bon déroulement des opérations, de façon cohérente avec les autres outils. Ceci peut impliquer une révision des plans et de la qualité des caméras, voire l'ajout éventuel de témoins visuels sur certains éléments mobiles. 4 SOMMAIRE SYNTHÈSE....................................................................................................................................1 1 - CONSTATS IMMÉDIATS ET ENGAGEMENT DE L'ENQUÊTE.............................................7 1.1 - Les circonstances de l'accident........................................................................................7 1.2 - Le bilan humain et matériel...............................................................................................7 1.3 - Les mesures prises aprÚs l'évÚnement............................................................................8 1.4 - L'engagement et l'organisation de l'enquête....................................................................9 2 - ÉLÉMENTS DE CONTEXTE RELATIFS AUX ÉCLUSES SUR LE RHÔNE.......................10 2.1 - Les écluses et le trafic sur le RhÃŽne...............................................................................10 2.2 - Les conditions d'exploitation le jour de l'accident...........................................................11 2.3 - Présentation générale de l'écluse de Sablons...............................................................11 2.4 - Présentation générale de la porte aval de l'écluse........................................................14 2.5 - Contexte réglementaire...................................................................................................19 2.5.1 - La concession du RhÃŽne à la CNR et la sécurité des ouvrages hydrauliques.....................................19 2.5.2 - Les missions de contrÃŽle des services de l'État...................................................................................20 2.5.3 - Les rÚglements de police de la navigation........................................................................................... 21 2.6 - L'organisation de la CNR et les missions d'exploitation.................................................22 2.6.1 - L'organisation générale........................................................................................................................ 22 2.6.2 - Les directions territoriales et l'articulation avec les centres de téléconduite.........................................22 2.6.3 - Le centre de gestion de la navigation (CGN) de la CNR......................................................................23 3 - DÉROULEMENT DE L'ACCIDENT ET DES SECOURS......................................................26 3.1 - Présentation du bateau PAMPERO, de l'équipage et du voyage..................................26 3.2 - Résumé des témoignages et des échanges audio entre l'équipage du bateau et les opérateurs de téléconduite des écluses..................................................................................28 3.2.1 - Le témoignage du capitaine et du matelot en poste au moment de l'accident......................................29 3.2.2 - Le témoignage du second capitaine..................................................................................................... 30 3.2.3 - Le témoignage de l'opérateur du CGN en charge de l'éclusage du bateau.........................................31 3.2.4 - Le témoignage des autres agents du CGN en poste lors de l'accident................................................31 3.2.5 - Les échanges par radiocommunication entre l'équipage et les opérateurs..........................................32 3.3 - Les enregistrements vidéos de l'éclusage.....................................................................32 3.3.1 - Positions du bateau PAMPERO et de l'équipage avant l'accident........................................................33 3.3.2 - La fermeture de la porte de l'écluse puis le remplissage du sas..........................................................34 3.3.3 - Le vidage précipité du sas et l'éjection du bateau................................................................................36 3.3.4 - Le bateau à la dérive............................................................................................................................ 39 3.4 - Intervention des secours et gestion de l'accident..........................................................40 4 - CONSTATS ET EXPERTISES...............................................................................................46 4.1 - Présentation de la porte aval de l'écluse et de son déplacement..................................46 4.2 - Les éléments concourant au déplacement de la porte..................................................50 4.2.1 - Le chariot de manoeuvre et les brimbales............................................................................................ 50 5 4.2.2 - Le treuil, les capteurs associés et le variateur.....................................................................................51 4.2.3 - Les capteurs de position de la porte.................................................................................................... 52 4.3 - Présentation du systÚme de contrÃŽle-commande..........................................................56 4.3.1 - Les principales caractéristiques........................................................................................................... 56 4.3.2 - L'interface avec l'opérateur et le rÃŽle de celui-ci...................................................................................57 4.4 - Les données enregistrées par les systÚmes lors de l'accident......................................58 4.5 - Les constats sur les piÚces de la porte et de l'écluse....................................................62 4.5.1 - Les constats immédiats aprÚs l'accident et le chariot de manoeuvre...................................................62 4.5.2 - Les quatre caissons de la porte........................................................................................................... 65 4.5.3 - Le génie civil de l'écluse...................................................................................................................... 71 4.5.4 - Premiers éléments de conclusion........................................................................................................ 71 4.6 4.7 4.8 4.9 - Les expertises de la CNR et les causes directes de l'accident......................................73 Le panier, son câble et le bois coincé dans la rainure rive droite..................................76 La remise en exploitation de l'écluse..............................................................................78 La surveillance et la maintenance..................................................................................79 4.9.1 - Principes généraux de la surveillance.................................................................................................. 79 4.9.2 - La surveillance réglementaire.............................................................................................................. 79 4.9.3 - Les visites périodiques réalisées par l'exploitant..................................................................................80 4.9.4 - Principes généraux de la maintenance................................................................................................ 80 4.9.5 - La maintenance annuelle lors des périodes de chÃŽmage des écluses.................................................81 4.9.6 - Le systÚme de panier de dévasage..................................................................................................... 82 4.9.7 - Le contrÃŽle des réglages des protections du contrÃŽle-commande.......................................................82 5 - CAUSES ET FACTEURS ASSOCIÉS, ORIENTATIONS PRÉVENTIVES...........................84 5.1 - Le schéma des causes et des facteurs associés...........................................................84 5.2 - Des fragilités au niveau de la maintenance et de la surveillance..................................86 5.3 - L'écluse et la réglementation relative aux ouvrages hydrauliques.................................87 5.3.1 - La surveillance réglementaire.............................................................................................................. 87 5.3.2 - L'étude de danger................................................................................................................................ 88 5.3.3 - Conclusions des sous-parties 5.2 et 5.3.............................................................................................. 90 5.4 - Les dispositions réglementaires relatives à la sécurité des machines et à la sécurité des infrastructures de transport...............................................................................................92 5.4.1 - La directive européenne 2006/42/CE du 17 mai 2006 relative aux machines......................................92 5.4.2 - Les dispositions relatives à la sécurité des infrastructures de transport...............................................93 5.5 - Une connaissance indirecte de la position de la porte...................................................95 5.6 - La gestion des bois flottants et l'utilisation des caméras...............................................97 5.6.1 - Les pratiques des opérateurs de téléconduite, les équipements de l'écluse........................................97 5.6.2 - La pratique de l'opérateur de téléconduite lors de l'éclusage accidentel..............................................98 5.6.3 - L'utilisation des caméras...................................................................................................................... 99 5.7 - Les modalités d'amarrage du bateau...........................................................................101 ANNEXES..................................................................................................................................102 6 1 - Constats immédiats et engagement de l'enquête 1.1 Les circonstances de l'accident Durant la nuit du 17 au 18 février 2020, le bateau-citerne « PAMPERO », propriété de la société CFT Gaz, remonte le RhÃŽne en transportant 2 200 tonnes de chlorure de vinyle, gaz inflammable et toxique de code ONU2 1086. Peu aprÚs minuit, il s'engage dans l'écluse de Sablons située en IsÚre au sud de Vienne. La porte aval de l'écluse est constituée de quatre caissons superposés, identifiés de A à D dans le sens de bas en haut. Alors que le remplissage du sas est réalisé aux deux tiers, le caisson C, voire également le caisson B, cédent. Le sas se vide alors précipitamment. Le bateau est entraîné vers l'arriÚre par le courant créé puis est évacué du sas en marche arriÚre, en heurtant le restant de la porte en place et le haut de la structure, tandis que la timonerie du bateau est arrachée. L'élément supérieur de la porte est emporté avec le bateau et reste encastré sur sa partie arriÚre, celui-ci finit par s'immobiliser au travers du garage aval de l'écluse. Plan de localisation Vue d'ensemble de l'écluse et du bateau aprÚs l'accident (source : SDIS) 1.2 - Le bilan humain et matériel Sur les 5 membres d'équipage, 2 étaient à la manoeuvre et 3 dormaient. Ils ont pu quitter la timonerie à temps, puis stabiliser le bateau et l'évacuer en urgence. Ils ont été trÚs choqués par l'accident et quelques-uns ont été blessés légÚrement. Le bateau a été lourdement endommagé et s'avÚre difficilement réparable. Parmi les principaux dégâts, on peut noter : timonerie arrachée, partie arriÚre surélevée écrasée par l'élément de la porte de l'écluse, bateau plié aux deux tiers de sa longueur, fissures de la coque au niveau de la pliure et à l'avant, déformations importantes du pont. 2 numéro à 4 chiffres d'identification des matiÚres dans le cadre du transport de matiÚres dangereuses 7 Les chocs ont entraîné des fuites de gaz qui, aprÚs analyse, se sont avérées être localisées au niveau des tuyauteries extérieures associées aux cuves de gaz du bateau et placées sur le pont. Le service départemental d'incendie et de secours (SDIS) de l'IsÚre est intervenu rapidement sur les lieux avec des moyens importants compte tenu de la cargaison. Il a été procédé à la mise en place d'un périmÚtre de sécurité et les habitations situées à proximité ont été évacuées pour être réintégrées dans la nuit. Le dispositif de gestion de crises a été complexe et particuliÚrement exigeant pour les différents acteurs et notamment le SDIS, les services de l'État concernés ainsi que la société CFT Gaz. Il a duré jusqu'au 10 mars 2020, le temps de sécuriser le bateau, d'analyser les risques liés aux fuites de gaz, de colmater les fuites, puis d'étudier et de réaliser les opérations de dépotage de la cargaison du bateau. La navigation fluviale a été interrompue jusqu'au 28 mars 2020. AprÚs une mobilisation importante de ses équipes, la Compagnie nationale du RhÃŽne (CNR), qui exploite l'écluse, a pu remettre en place, avec le contrÃŽle des services de l'État, une nouvelle porte d'écluse dans des délais réduits et en utilisant une porte de secours. 1.3 - Les mesures prises aprÚs l'évÚnement La CNR a établi une fiche de déclaration d'un évÚnement important pour la sûreté hydraulique (dite déclaration EISH) et a réalisé des actions immédiates de contrÃŽle au 8 niveau des portes d'écluse de conception similaire à celle de Sablons. La DREAL (direction régionale de l'environnement, de l'aménagement et du logement) s'est mobilisée rapidement, d'une part en tant que service chargé de la prévention des risques industriels, et à ce titre, a été l'une des chevilles ouvriÚres, aux cÃŽtés des services de secours et du préfet, de la gestion de crise. D'autre part, en tant que service en charge du contrÃŽle de la sécurité des ouvrages hydrauliques, la DREAL a effectué une visite le lendemain de l'accident en vue de s'assurer de la mise en sécurité de l'écluse et de recueillir les premiers éléments sur les causes de l'accident. Elle a demandé à la CNR un descriptif de toutes les opérations prévues dans le cadre de la réparation provisoire de l'écluse ainsi qu'un rapport d'analyse détaillée des causes de l'accident et exposant les mesures d'amélioration envisagées et les actions qui pourraient être à engager sur d'autres écluses. Les mesures prises pour la gestion de l'accident sont présentées en fin de partie 3. 1.4 - L'engagement et l'organisation de l'enquête Au vu des circonstances de l'accident, le directeur du bureau d'enquêtes sur les accidents de transport terrestre (BEA-TT) a ouvert le 18 février 2020 une enquête technique en application des articles L. 1621-1 à L. 1622-2 du Code des transports. L'acteur principal est la CNR, concessionnaire, concepteur et exploitant des ouvrages hydrauliques sur le RhÃŽne. Les enquêteurs du BEA-TT se sont rendus sur place à deux reprises, pour y rencontrer ses représentants ainsi que ses opérateurs de conduite des écluses qui étaient en poste au moment de l'accident. Ils ont échangé avec le directeur de CFT GAZ et ont effectué une visite du bateau. Ils ont rencontré les services de la brigade fluviale de la gendarmerie nationale de Valence et ont obtenu communication de leur part des éléments recueillis dans le cadre de l'enquête judiciaire diligentée par le procureur de la République de Vienne (38). Ils ont échangé avec les services de Voies navigables de France (VNF) et, à plusieurs reprises, avec le service de la DREAL en charge du contrÃŽle de la sécurité des ouvrages hydrauliques. Plus particuliÚrement, le BEA-TT a eu plusieurs échanges avec les services de la direction technique risques, eau, mer du Cerema pour bénéficier de leur éclairage sur certains aspects. Un travail en collaboration avec le Bureau d'analyse des risques et pollutions industriels (BARPI) de la Direction générale de la prévention des risques (DGPR) du ministÚre de la transition écologique, a également été réalisé afin d'exploiter l'outil de modélisation graphique d'analyse des accidents développé par ce dernier. Le BEA-TT a eu communication de l'ensemble des piÚces nécessaires à son analyse, dont les nombreux documents qui lui ont été fournis par la CNR, ainsi que les éléments d'information recueillis au cours des échanges qui ont eu lieu avec elle à plusieurs reprises. Il a également pu disposer du rapport d'analyse des causes de l'accident établi par la CNR en décembre 2020, puis complété en juin 2021 par une étude des facteurs organisationnels et humains (FOH) et des expertises spécifiques réalisées dans ce cadre, ainsi que des constats de l'état des piÚces qui ont été dressés par l'huissier de justice mandaté par la CNR. 9 2 - Éléments de contexte relatifs aux écluses sur le RhÃŽne 2.1 Les écluses et le trafic sur le RhÃŽne De Lyon à la mer, la voie navigable est à grand gabarit 3. La CNR y exploite et entretient un ensemble de 14 écluses, qui sont automatisées et téléconduites depuis le centre de gestion de la navigation (CGN) de la CNR, situé à Châteauneuf-du-RhÃŽne (26). CGN L'écluse située sur la commune de Sablons est implantée aux environs du PK 61,6. Elle se situe sur le canal de dérivation du RhÃŽne, qui a été aménagé par la CNR en rive gauche du RhÃŽne. Le trafic fluvial sur le bassin RhÃŽne-SaÃŽne à grand gabarit s'est développé ces 20 derniÚres années. Ce bassin, qui va du sud de Dijon aux ports de Fos-sur-Mer et de SÚte sur la méditerranée, contribue pour 20 % au trafic fluvial national exprimé en tonnes kilomÚtres. Le transport fluvial de matiÚres dangereuses est souligné parmi les enjeux dans le cadre de l'étude de dangers associée aux aménagements hydroélectriques de la CNR. Les paquebots fluviaux4 connaissent depuis quelques années un fort développement sur le 3 Voies d'eau dont les caractéristiques sont adaptées aux dimensions des bateaux ou des convois de plus de 1 000 tonnes de port en lourd. 4 Bateau à passagers avec hébergement, dont la capacité varie entre 50 et 200 personnes. 10 bassin, une vingtaine d'unités dotées d'une capacité comprise entre 100 et 200 passagers y circulaient avant la crise sanitaire. En 2019, le CGN de la CNR a procédé à environ 36 000 éclusages pour des bateaux de marchandises, 15 000 pour des bateaux de croisiÚres et 12 000 pour des bateaux de plaisance. Pour la seule écluse de Sablons, ces chiffres sont respectivement de l'ordre de 3 000, 1000 et 900. Le précédent accident grave, avec un bateau en cours d'éclusage sur le RhÃŽne, remonte à 1998. Il était lié à une ouverture accidentelle de la porte amont de l'écluse de BollÚne et a fait l'objet d'une enquête technique du Conseil général des ponts et chaussées qui oeuvrait dans ce domaine avant que le BEA-TT ne soit créé. 2.2 - Les conditions d'exploitation le jour de l'accident La nuit de l'accident, le bateau PAMPERO remonte le RhÃŽne en transportant 2 200 tonnes de chlorure de vinyle avec 5 membres d'équipage à bord. Les éléments de contexte relatif à ce transport sont présentés en partie 3.1. Les conditions météorologiques étaient correctes et classiques pour la saison. Le RhÃŽne était navigable sans restriction particuliÚre. Le débit au niveau de l'aménagement du Péage-de-Roussillon était de 1 400 m³/s. Il y avait un peu de brume et trÚs peu de vent. L'écluse de Sablons était en condition normale, téléconduite depuis le CGN, et ne faisait l'objet d'aucune instruction spécifique ou temporaire d'exploitation. 2.3 - Présentation générale de l'écluse de Sablons Adjacente à l'usine hydroélectrique, l'écluse de Sablons se situe en rive gauche du canal d'amenée à l'usine, lui-même étant situé en rive gauche du RhÃŽne. Elle fait partie intégrante de l'aménagement CNR du Péage-de-Roussillon (voir 2.5.1). Vue aérienne de juin 2020 (Géoportail). Un bateau à l'entrée de l'écluse et le Pampero stationné au niveau du duc d'Albe dans le garage aval et en attente de remorquage (comme explicité en 3.4). Le mur-guide, placé dans le prolongement d'un des bajoyers de l'écluse, est destiné à faciliter l'entrée dans l'écluse. Le garage sert au stationnement des bateaux en attente d'éclusage. 11 Au niveau de chaque garage, le long de la rive, sont implantés un appontement de plaisance et des ducs d'Albe5 auxquels peuvent s'amarrer les bateaux. Certains de ces ouvrages sont complétés par une passerelle qui les relie à la terre ferme. Vue depuis le haut de l'écluse sur le garage aval Le sas de l'écluse est isolé des sections amont et aval du canal par deux portes. La chute maximale de l'écluse, c'est-à-dire la différence de niveau d'eau entre l'amont et l'aval, est de 15,10 m. Le sas de l'écluse fait 195 m de long et 12,10 m de large entre bajoyers6. Les deux portes de l'écluse sont des portes à déplacement latéral. Chaque porte : - se déplace sur un plan horizontal et perpendiculairement au sas - et s'efface latéralement dans un logement construit dans le bajoyer et appelé logement ou garage de la porte. En position ouverte, la porte est positionnée dans son garage en rive gauche. Lors de sa fermeture, elle est mue du garage vers le sas et réciproquement lors de l'ouverture. En position fermée, son extrémité s'insÚre dans la rainure aménagée dans le bajoyer en rive droite. La porte amont est roulante et de type brouette. La porte aval est de type coulissante et suspendue. Ci-contre : vue aérienne. 5 Pilotis (poteaux de bois, tubes d'acier, blocs de ciment) ancrés dans le fond des chenaux et permettant l'amarrage des bateaux 6 Un bajoyer est une des deux parois latérales d'une écluse. La largeur utile du sas est de 12 m. 12 Le fonctionnement lors de l'éclusage d'un bateau montant peut être résumé comme suit : la porte aval est ouverte, la porte amont est fermée, le niveau d'eau dans le sas est le même que celui à l'aval de l'écluse ; le bateau se présente à l'aval du sas, se dirige vers l'intérieur et s'y amarre ; l'opérateur du CGN lance la commande de fermeture de la porte aval, celle-ci se déplace en « eau morte » de son garage vers la rainure située en rive droite ; une fois la porte aval fermée, l'opérateur lance la commande de remplissage du sas ; lorsque le niveau d'eau dans le sas atteint le même niveau que celui à l'amont, l'opérateur du CGN lance la commande d'ouverture de la porte amont ; une fois la porte amont ouverte, le bateau peut se désamarrer puis quitter le sas. Le sas comporte, dans chacune de ses parois latérales, six rainures verticales pour bollards flottants, servant à l'amarrage des bateaux. Ces bollards sont fixés sur un cylindre métallique qui coulisse à l'intérieur des rainures en suivant le niveau de l'eau dans le sas. 13 2.4 - Présentation générale de la porte aval de l'écluse La structure de la porte est constituée de 4 éléments ou caissons, identifiés de A à D dans le sens de bas en haut, reliés entre eux par un systÚme de bretelles et d'indexage. Ses caractéristiques sont : 90 tonnes, 15 m de haut, 13,10 m de large et 1,50 m d'épaisseur. La porte est équipée de 8 galets de guidage, situés en haut et en bas et à l'amont et à l'aval de sa structure. Elle est suspendue à un chariot de manoeuvre par l'intermédiaire de 4 brimbales qui sont comme des grandes lames métalliques de 6 m de long. Le chariot est relié à un treuil par des câbles et translate sur des rails horizontaux fixés en partie supérieure. L'actionnement du treuil permet de tirer le câble, activant le mouvement des chariots qui translatent sur les rails supérieurs et entraînent le déplacement de la porte, qui, elle, est guidée en haut et en bas par des voies de type rails fixés dans le génie civil, et contre lesquelles coulissent les galets. 14 Caisson D en cours de démontage Liaisons inter-caissons : systÚme de bretelles et d'indexage (source CNR) Suspension de la porte aux chariots par les brimbales (source CNR) Chariot de manoeuvre, constitué de deux chariots assemblés entre eux, vu depuis la rive droite aval (source CNR) Du cÃŽté sas et en amont de la porte aval, la tête de l'écluse est équipée d'un pare-choc, constitué d'une charpente métallique adossée à des vérins permettant d'amortir un éventuel choc avec un bateau. Les caractéristiques techniques de la porte et des éléments concourant à son déplacement sont présentées plus en détail en partie 4. 15 Sas de l'écluse Photos issues du constat d'huissier Ci-contre : vue de dos (vue depuis l'aval) du pare-choc Vue depuis la rive gauche du treuil de manoeuvre, situé en rive gauche du garage de la porte. Le treuil est équipé d'un moteur électrique et d'un frein à mâchoires. 16 Lors de sa fermeture, la porte se déplace du garage vers le sas et jusqu'à ce que son extrémité s'insÚre dans la rainure en rive droite, de sorte que la porte, avec la pression de l'eau, se plaque contre la rainure lorsque le sas se remplit. Vue aérienne Vue depuis la rive gauche (source CNR) : - des rails de guidage supérieurs de la porte - de la rainure située en rive droite. Vue depuis le garage de la porte en direction de la rive droite : vue du garage, des rails de guidage inférieurs de la porte et de la rainure aménagée dans le bajoyer en rive droite. 17 Vue depuis l'amont, donc depuis l'intérieur du sas, sur le pare-choc (photo DREAL) La tête de l'écluse est constituée de plusieurs poutres en béton : une premiÚre sur laquelle est adossée le pare-choc, puis deux autres qui descendent plus bas et entre lesquelles coulisse la partie supérieure de la porte. SAS Rive gauche AVAL Vue depuis l'aval sur l'entrée de l'écluse : - Le fronton de l'écluse avec le feu de signalisation d'entrée. - La porte en train de se fermer (extrait vidéo d'un éclusage) - La porte fermée où l'on voit les deux éléments supérieurs de la porte (photo DREAL) 18 2.5 - Contexte réglementaire 2.5.1 - La concession du RhÃŽne à la CNR et la sécurité des ouvrages hydrauliques Créée en 1933, la CNR a reçu de l'État la concession du fleuve RhÃŽne pour l'aménagement et l'exploitation d'ouvrages hydroélectriques sur le RhÃŽne selon un triple objectif : la production d'électricité, la navigation, l'irrigation. Les conditions de cette concession sont déterminées par un cahier des charges général ainsi qu'un cahier des charges spécial pour chaque aménagement. Le premier document a été modifié à plusieurs reprises depuis 1933 et est en cours de révision au moment de la rédaction de ce rapport. En matiÚre d'exploitation de la voie navigable, il énonce le principe général selon lequel le concessionnaire s'engage à améliorer la sécurité et la fiabilité de ladite voie. Pour chaque aménagement, le principe consiste à édifier sur le cours naturel du fleuve un barrage de retenue afin de relever le niveau d'eau, de générer une chute, et à aménager un canal de dérivation qui permet la navigation et sur lequel sont installées une usine hydroélectrique et une écluse. Cela forme ainsi une succession de paliers, chacun étant séparé du suivant par une écluse. Concepteur et exploitant des aménagements du RhÃŽne, la CNR a ainsi réalisé sur le fleuve un important patrimoine fluvial et industriel7 et a, à cette occasion, développé une importante activité d'ingénierie qui est reconnue au moins à l'échelle nationale. Depuis 2001, elle assure la commercialisation de l'électricité produite par les ouvrages. L'aménagement hydroélectrique du Péage-de-Roussillon s'inscrit dans ce cadre. Mis en service en 1977, il s'étend sur une trentaine de kilomÚtres et comprend un bloc usine ­ écluse implanté sur la commune de Sablons, un barrage de retenue situé une dizaine de kilomÚtres en amont sur la commune de Saint-Pierre-de-Boeuf et un endiguement du RhÃŽne sur environ 12 kilomÚtres. Les ouvrages de l'aménagement du Péage-de-Roussillon, dont l'écluse de Sablons, sont de classe A au titre de la réglementation sur la sécurité des ouvrages hydrauliques, hormis les endiguements, qui sont de classe B. Cette réglementation a pour origine la réglementation des barrages et les enjeux de sécurité et/ou de sûreté correspondants. La politique de sécurité des ouvrages hydrauliques relÚve de la DGPR du ministÚre de la transition écologique. Son objectif vise à éviter la ruine des ouvrages et à prévenir les risques pour les tiers, en termes d'inondation et de lâcher d'eau, en cas de rupture ou de dysfonctionnement des ouvrages. Les dispositions réglementaires correspondantes sont codifiées dans le Code de l'environnement, notamment les articles R.214-112 à R.214-128, complétés par des arrêtés. Ces dispositions et celles du Code de l'énergie ont par ailleurs été harmonisées. Elles portent notamment sur le classement des ouvrages, la réalisation d'étude de dangers, la surveillance des ouvrages. Le principe est de classer les ouvrages qui créent une retenue d'eau ou qui leur sont assimilés, qu'il s'agisse d'un barrage ou d'un canal, en fonction de leur hauteur et du volume retenu. L'article R. 214-112 du Code de l'environnement définit, en fonction de leurs caractéristiques géométriques, « les classes des barrages de retenue et des ouvrages assimilés, ci-aprÚs désignés "barrage" ». 7 Dont 19 barrages, 19 usines hydroélectriques, 14 écluses à grand gabarit, 400 km d'endiguements 19 Les obligations résultant du classement se traduisent pour l'exploitant par des actions à réaliser selon des périodicités variables et la classe d'appartenance de l'ouvrage, complétées par la production ou la tenue à jour de divers documents, tels que le dossier technique et le registre de l'ouvrage, les consignes de surveillance et de crues. Pour les ouvrages de classe A, dont fait partie l'écluse de Sablons, les livrables réglementaires périodiques sont : l'étude de danger et l'examen technique complet, à établir tous les 10 ans ; le rapport de surveillance, les visites techniques approfondies, électromécanique et génie civil, à réaliser annuellement, et le rapport d'auscultation, à établir tous les 2 ans. Pour chaque aménagement hydroélectrique de la CNR, l'ensemble usine ­ écluse ­ barrage (et selon les périodicités) ­ canal constitue un même et unique dossier, avec donc les différents livrables énoncés ci-avant. Du dossier et de ses livrables que le BEA-TT a pu étudier, il apparaît globalement que l'écluse semble y être traitée plus sommairement que les autres ouvrages, excepté en ce qui concerne les aspects de génie civil. Ce sujet est ré-abordé ultérieurement dans ce rapport. Les écluses rentrent également dans le champ d'application de la directive européenne du 17 mai 2006 relative aux machines, qui vise à prévenir les risques pour les personnes exposées par, ou, lors de l'utilisation des machines. Ses dispositions ont été codifiées dans le Code du travail. Elle ne s'applique pas, réglementairement parlant, aux ouvrages pré-existants, du moins tant qu'ils ne font pas l'objet de modifications significatives. Les écluses ne font pas l'objet d'un corpus technique et réglementaire spécifique. Elles sont concernées par un ensemble de guides et de recommandations techniques, établis notamment par l'association internationale pour les infrastructures de transport maritimes et fluviales (AIPCN8). Peuvent également être évoqués, au niveau français, des guides techniques, plus anciens et toujours d'actualité, édités par le Cerema (ex CETMEF). Les maîtres d'ouvrage s'appuient également sur les documents de référence d'autres pays, tels que les guides néerlandais ou la norme allemande DIN. 2.5.2 - Les missions de contrÃŽle des services de l'État La sécurité des ouvrages hydrauliques est de la responsabilité des propriétaires ou, le cas échéant, des concessionnaires des ouvrages. Elle repose notamment sur les moyens que le responsable de l'ouvrage met en oeuvre pour s'assurer de son bon état, entretien et fonctionnement. Le contrÃŽle de cette sécurité relÚve de l'État et vise à s'assurer que les responsables des ouvrages respectent les obligations réglementaires. Cette mission est réalisée, pour le compte des préfets de département, par des équipes spécialisées au sein des DREAL. Celles-si sont appuyées par le pÃŽle national de la sécurité des ouvrages hydrauliques (PONSOH), entité au sein de la DGPR, qui a d'ailleurs participé au contrÃŽle de la gestion de l'accident par la CNR. Cette mission s'appuie notamment sur l'examen des livrables réglementaires remis par l'exploitant et la réalisation d'inspections périodiques sur site qui se déroulent sur une journée et incluent une visite de l'ouvrage. Les ouvrages de classe A font l'objet d'une inspection annuelle et d'une inspection décennale plus approfondie, qui ont eu lieu respectivement en octobre 2019 et en octobre 2013 pour ce qui concerne l'aménagement du Péage-de-Roussillon. 8 AIPCN (PIANC en anglais) est l'acronyme du nom original de l'organisation : association internationale permanente des congrÚs de navigation 20 Les tâches de contrÃŽle de la sécurité comprennent la vérification et l'analyse de certains documents remis par l'exploitant, l'instruction des études de danger et la préparation d'actes administratifs réglementant les ouvrages. Elles s'articulent avec la mission de contrÃŽle des concessions, exercée également par les DREAL, ainsi qu'avec l'action des services de police de l'eau, généralement exercée par les DDT (Direction départementale des territoires) et exercée dans le cas du fleuve RhÃŽne par les DREAL. Les incidents survenant sur les ouvrages doivent, selon leur gravité, être déclarés par l'exploitant au service de contrÃŽle. S'agissant du RhÃŽne concédé à la CNR, la DREAL a la possibilité de solliciter l'appui des services de VNF pour le contrÃŽle de la concession sur les aspects liés à la navigation. Les relations entre la CNR et les services de la DREAL chargés du contrÃŽle des ouvrages et de la concession paraissent être reconnues comme étant de bonne qualité. Elles sont fréquentes et sous différentes formes, indépendamment des inspections réglementaires. 2.5.3 - Les rÚglements de police de la navigation La police de la navigation sur les cours d'eau est régie par le rÚglement général de police de la navigation intérieure (RGPNI), qui est intégré au Code des transports. Il peut être complété par des rÚglements particuliers de police (RPP), pris sous la forme d'arrêtés préfectoraux ou inter-préfectoraux. Le RGPNI fixe des rÚgles de circulation pour le passage aux écluses, énonce une obligation générale d'amarrage des bateaux dans les écluses et l'interdiction, une fois amarrés et jusqu'au moment où la sortie est autorisée, de faire usage des moyens mécaniques de propulsion. Les bateaux transportant des matiÚres dangereuses doivent être éclusés séparément des bateaux de transport de passagers ou de plaisance, voire dans le cas de certaines marchandises dangereuses, séparément de tout autre bateau. Le RPP sur l'itinéraire RhÃŽne-SaÃŽne à grand gabarit rappelle ces rÚgles générales, énonce certaines prescriptions complémentaires pour les bateaux de plaisance et les deux écluses situées les plus au sud à la jonction avec la zone maritime. Il édicte quelques rÚgles de stationnement applicables dans les garages d'écluse. Pour la SaÃŽne, l'exploitant et le gestionnaire de la voie navigable sont l'établissement public Voies navigables de France (VNF). S'agissant du fleuve RhÃŽne, l'exploitant est la Compagnie nationale du RhÃŽne (CNR) et VNF a la compétence de gestionnaire de la voie d'eau. Les missions entrant dans ce cadre concernent principalement le domaine de la police de la navigation. Sur les cours d'eau pour lesquels il est le gestionnaire, VNF est chargé de l'appui technique aux préfets de département en matiÚre de police de la navigation et a la compétence pour prendre certaines mesures temporaires d'interruption ou de restriction de la navigation. 21 2.6 - L'organisation de la CNR et les missions d'exploitation 2.6.1 - L'organisation générale La CNR a son siÚge social situé à Lyon et comprend, pour couvrir le RhÃŽne, de Lyon à la mer, trois directions territoriales, basées à Ampuis (69), Valence (26) et Avignon (84). Celle qui a son siÚge à Ampuis couvre un secteur qui s'étend environ de Lyon à Valence, comprenant 4 aménagements hydroélectriques, dont celui du Péage-de-Roussillon. Les directions territoriales sont responsables de l'exploitation, l'entretien et la surveillance des aménagements et ont, pour partie, en charge la maintenance des installations. En matiÚre de navigation notamment, elles assurent le maintien en condition opérationnelle et ont en charge la maintenance courante de l'ensemble des infrastructures liées au domaine et dont elles sont exploitantes : écluses, pontons, chenal, signalisation. Les directions du siÚge définissent le cadre général, élaborent les directives permanentes d'exploitation et les doctrines. Elles assurent le pilotage global, la coordination, la cohérence et l'homogénéité des procédures et des pratiques. Elles interviennent en appui des directions territoriales, notamment en termes de maintenance et d'ingénierie spécialisées et pour réaliser les visites réglementaires des ouvrages. Les aménagements de la CNR sont automatisés et, la plupart du temps, téléconduits, depuis deux centres, composés d'une équipe d'opérateurs qui assure un service continu 24 h/24, et rattachés à l'une des directions du siÚge, la direction Coordination des Opérations et Sûreté (DCOS) : le centre de gestion de la navigation (CGN), basé à Châteauneuf-du-RhÃŽne (26) au niveau de l'aménagement de Montélimar, pour ce qui concerne les écluses ; le centre de téléconduite du RhÃŽne (CTR), basé à Lyon, pour ce qui concerne les ouvrages hydroélectriques, tels que les centrales et les barrages. La CNR dispose d'une politique de sécurité intégrée qui s'appuie sur un systÚme de management de la qualité et qui repose également sur la prise en compte du retour d'expérience à travers l'analyse des incidents. 2.6.2 - Les directions territoriales et l'articulation avec les centres de téléconduite L'organisation des directions territoriales repose sur : différents pÃŽles d'activités, dont l'exploitation, le génie civil, l'électromécanique ; des équipes opérationnelles d'exploitation (EOE) basées au niveau des aménagements. Celle du Péage-de-Roussillon comprend 19 personnes, dont 8 techniciens d'exploitation spécialisés dans les domaines production ou navigation. Ces équipes locales assurent l'astreinte dite d'action immédiate, qui est le premier des trois niveaux d'astreinte assurés au sein de chaque direction territoriale, et ont pour principales missions : la conduite des installations en mode local dans certains cas particuliers d'exploitation ; le contrÃŽle du bon fonctionnement des installations en réalisant à différentes fréquences des visites sur le terrain, appelées rondes ; la mise en sécurité des installations, l'intervention d'urgence, le dépannage ; la maintenance de 1er niveau. 22 L'exploitant local a mission de détecter toute situation nécessitant de restreindre les conditions normales d'exploitation. Il peut s'agir par exemple d'un dysfonctionnement, d'une contrainte liée à un chantier. La direction territoriale émet des directives temporaires d'exploitation à caractÚre restrictif dans le cas de situations ne permettant plus une exploitation selon le cadre habituel. À tout moment, l'exploitation d'un ouvrage est placée sous la responsabilité d'un des techniciens de l'équipe locale de l'aménagement. L'exploitation proprement dite des ouvrages est effectuée généralement sous le mode de la conduite à distance. En cas de nécessité, la conduite de l'ouvrage peut être reprise en mode local, sur l'initiative du chargé d'exploitation ou sur demande du CGN. S'agissant des ouvrages hydroélectriques, les missions du CTR sont la surveillance des aménagements ainsi que la gestion de la production énergétique pour le compte de la direction territoriale. En période normale d'exploitation, la conduite est entiÚrement assurée par des calculateurs. Le CTR élabore des consignes de débits, de puissance mais n'agit pas directement sur les organes des aménagements. En redondance de l'exploitation locale, le CTR assure une surveillance grâce à un certain nombre d'alarmes définies dans le systÚme dont il est le destinataire. S'agissant du domaine de la navigation, les missions du CGN sont la gestion globale du trafic et la conduite des écluses. En période normale, le chargé d'exploitation transfÚre au CGN la fonction de chargé de conduite de l'écluse en mode distant et le CGN prend alors la responsabilité des manoeuvres qu'il effectue sur cette écluse. Le systÚme de conduite des écluses repose sur un automate assurant le contrÃŽle-commande des organes, tels que les portes, les vannes, complété par un automate de sécurité. En cas de nécessité, l'exploitant est sollicité par le dispositif de renvoi d'alarmes du systÚme ou sur appel du CGN. Les directions territoriales assurent la traçabilité et l'analyse des incidents. Le CGN doit notamment : prévenir l'exploitant local s'il a connaissance d'une situation qui lui semble anormale, l'informer des dysfonctionnements constatés et lui fournir des éléments d'analyse ; alerter et gérer avec celui-ci les situations d'incidents de la navigation, au niveau des écluses ou sur les canaux. Le CGN a en particulier en charge d'assurer la gestion de l'engorgement du trafic suite à une interruption de la navigation due à un accident. 2.6.3 - Le centre de gestion de la navigation (CGN) de la CNR Les 14 écluses à grand gabarit situées sur le Bas-RhÃŽne, entre Lyon et la mer, soit un linéaire de 330 km, sont raccordées au CGN depuis 2012. En haute saison, d'avril à septembre, il y a environ 10 000 éclusages par mois, soit 23 par jour et par écluse. Les missions principales du CGN sont : assurer le suivi de la navigation et centraliser en temps réel l'ensemble des informations la concernant notamment en communiquant avec les navigants ; effectuer la surveillance visuelle des sas d'écluses et de leurs garages amont et aval ; effectuer les opérations d'éclusages et les missions associées, telles que les dévasages ou les chasses : il s'agit de dispositifs basés sur un envoi d'air ou d'eau ou la création d'un courant afin d'évacuer la boue ou d'autres obstacles qui peuvent être présents dans le sas ou les rails et les rainures dans lesquelles se logent les portes. Il comprend 39 personnes, dont 26 opérateurs et 10 techniciens de navigation, ces derniers pouvant exercer la fonction de chef de salle ou la fonction d'opérateur. Huit opérateurs sont postés la journée (7 en hiver) et 4 de nuit en haute saison. 23 Le chef de salle est un ancien opérateur, il exerce le management de proximité et affecte les écluses entre opérateurs. En journée, la répartition des écluses par opérateur ne change pas ou trÚs peu. Chaque opérateur dispose d'un poste de travail double, pouvant donc être assimilé à deux demi-postes, permettant la conduite de deux écluses en simultané. Le demi-poste placé en mode conduite est alors connecté à une seule écluse lorsqu'il s'agit de procéder à un éclusage. Sinon, le demi-poste est placé dans une configuration de surveillance, permettant de voir les informations relatives à une ou plusieurs écluses, mais sans qu'il ne soit possible de lancer une action sur celles-ci. Pour réaliser ses tâches, l'opérateur s'appuie sur les caméras qui équipent l'écluse et sur l'automate assurant le contrÃŽle-commande de l'ouvrage. L'interface homme-machine, appelé SCADA, comprend des ordinateurs qui communiquent avec l'automate et à partir desquels l'opérateur, d'une part dispose des informations concernant l'écluse, et d'autre part peut envoyer ses commandes de manoeuvre d'éclusage à l'automate. Poste de travail avec deux demi-postes, l'un à droite et l'autre à gauche ­ source CNR Écrans du systÚme de contrÃŽle (SCADA) en haut. * 1 écran permettant de sélectionner les écluses en mode conduite ou surveillance * Chaque demi-poste comprend : - 1 écran permettant de voir les défauts consignés par l'automate ; - 1 écran permettant de lancer les commandes et de visualiser l'avancée du processus (taux de remplissage du sas, de la fermeture de la porte, etc.) Écrans vidéo, placés en bas, 3 pour chaque demi-poste 3 écrans bureautiques d'affichage des applications informatiques utilisées en support 1 écran tactile pour les communications audios via VHF et téléphonie avec les bateaux Joystick permettant de passer d'une caméra à l'autre, 1 pour chaque demi-poste Bouton poussoir d'arrêt de processus, 1 pour chaque demi-poste 24 L'écluse de Sablons est équipée de 18 caméras : 8 caméras fixes et 10 caméras semi-sphériques, manipulables par l'opérateur avec une giration sur 360° et la possibilité de zoomer. Exemple de caméra ­ mirador de l'écluse de Sablons Exemples de caméra ­ sas de l'écluse de Sablons Sur chaque demi-poste d'opérateur, les 3 écrans vidéos sont disposés de la même façon pour toutes les écluses, sachant que l'opérateur peut afficher les vues des caméras comme il le souhaite : les vues amont sur l'écran de gauche, les vues sas sur celui du milieu, les vues aval sur celui de droite. Plusieurs applications informatiques sont utilisées par l'opérateur en support. L'outil de gestion des trafics permet de consigner les différentes informations des bateaux lors du premier éclusage de son trajet (dont, le cas échéant, sa caractéristique de transport de matiÚres dangereuses et le code produit correspondant), de suivre en temps réel le trafic, de prévoir les éclusages à venir et de saisir chaque éclusage. Le cahier de bord permet à l'opérateur de consigner tout évÚnement particulier porté à sa connaissance ou qui se produit sur l'écluse lors de la conduite : appel téléphonique d'un navigant sur un point particulier, appel téléphonique avec l'exploitant, dysfonctionnement bloquant ou récurrent constaté sur un équipement. Une autre application permet de mettre à disposition des opérateurs les mesures particuliÚres et temporaires applicables sur un chenal ou au niveau d'une écluse. L'application « gestion des infractions et des incidents » permet aux opérateurs de saisir les incidents de navigation dont ils sont témoins ou portés à leur connaissance. La formation des opérateurs est progressive : l'opérateur commence en mono-conduite puis évolue vers la double-conduite, au fur et à mesure de son aisance (maîtrise des outils informatiques, faculté à gérer les ordres de manoeuvre sur l'écluse, les communications audios avec les navigants, la vigilance lors de l'éclusage, la gestion des caméras). 25 3 - Déroulement de l'accident et des secours 3.1 Présentation du bateau PAMPERO, de l'équipage et du voyage Le bateau PAMPERO appartient à la société CFT Gaz qui est une filiale du groupe CFT implantée à Loire-sur-RhÃŽne (69). La société CFT RhÃŽne effectue du transport de matiÚres dangereuses ainsi que de marchandises plus traditionnelles du transport fluvial. La société CFT gaz transporte exclusivement du gaz. Ces deux sociétés ont une forte culture du transport de matiÚres dangereuses. Le bateau citerne PAMPERO Type du bateau Numéro européen d'identification Numéro, date d'immatriculation Pavillon, port d'attache Longueur Largeur Tirant d'eau maximal Port en lourd Puissance de la propulsion principale Année de construction Automoteur citerne 1823031 P016721F, décembre 1999 France, Lyon 120 m 11,4 m 3,1 m 2300 tonnes 1 796 kW 1980 et rallongement de 20 m en 2000 (ajout d'un tronçon en partie médiane) Ce bateau dispose de 8 cuves de gaz cylindriques d'un volume moyen de 330 m³ chacune. Il s'agit de citernes à cargaison9 fermées10, intégrées au bateau mais indépendantes de sa structure. La cargaison est ainsi protégée de l'extérieur par deux parois, celle de la coque du bateau et celle de la cuve. Il s'agit d'un simple coque avec cuves indépendantes, aussi appelées cuves rapportées. La construction de l'ensemble en fait un bateau trÚs rigide, comme un double coque. 9 Citerne fixée de façon permanente au bateau destinée au transport des marchandises dangereuses. 10 Elle est dite fermée dans le cas d'une citerne reliée à l'atmosphÚre par un dispositif empêchant les surpressions ou dépressions internes inadmissibles. 26 Les cuves et équipements associés visibles sur le pont du bateau ­ source CFT Gaz Le bateau est classé11 par la société de classification agréée Bureau VERITAS, qui intervient également en tant qu'organisme de contrÃŽle dans le processus de renouvellement périodique de ses titres de navigation. Pour être admis à naviguer, tout bateau de marchandises doit disposer d'un titre de navigation attestant sa conformité aux prescriptions techniques qui lui sont applicables. Lorsqu'il s'agit d'un transport de matiÚres dangereuses, le bateau doit en outre disposer d'un agrément spécifique, approprié au type de bateau et de matiÚres dangereuses transportées, appelé certificat d'agrément ADN, en référence à l'accord européen relatif au transport international des marchandises dangereuses par voies de navigation intérieures (ADN) et son rÚglement annexé. Lors de l'accident, le PAMPERO disposait des titres requis pour sa navigation. 11 Créée à l'origine pour répondre aux besoins des assureurs maritimes, une société de classification est un organisme privé qui établit des rÚgles techniques concernant les navires et bateaux. À la demande de l'armateur qui le souhaite, elle octroie sur la base de ses normes, une cote ou classe au navire. 27 La nuit de l'accident, le PAMPERO remonte le RhÃŽne avec 2 200 tonnes de chlorure de vinyle chargées dans ses cuves de gaz, pour le compte de la société Kem One. Le bateau comporte 5 membres d'équipage, qui sont tous expérimentés : un capitaine, un capitaine en second, 2 matelots, 1 mécanicien. Les deux capitaines disposent du titre (certificat de capacité pour la conduite des bateaux de commerce) requis pour la conduite de ce bateau sur le RhÃŽne ainsi que l'attestation spéciale radar, nécessaire pour conduire un bateau au radar. Le premier capitaine est également titulaire d'un certificat restreint de radiotéléphoniste nécessaire pour assurer les radiocommunications (VHF), ainsi que d'une licence de patron-pilote, nécessaire pour la conduite dans certaines zones fluvio-maritimes, tels que les abords des estuaires. Le représentant de la société CFT Gaz a précisé à la gendarmerie que des exercices de sécurité sont effectués tous les mois et que les 5 membres d'équipage disposent de la qualification ADN et ADN gaz correspondant à des formations spécifiques relatives au transport de matiÚres dangereuses, qui doivent être mises en place par l'employeur. Ils ont embarqué sur le bateau le jeudi 13 février 2020 à l'appontement de Kem One à Saint-Fons (69) et sont partis, bateau à vide, en direction du site pétrochimique Lavéra situé à Martigues (13) pour y effectuer le chargement du chlorure de vinyle. Ils en sont repartis dimanche 16 février 2020 en fin d'aprÚs-midi pour faire route jusqu'à Saint-Fons. Le PAMPERO effectue ce trajet réguliÚrement, à une cadence moyenne de 1,5 allers et retours par semaine. 3.2 - Résumé des témoignages et des échanges audio entre l'équipage du bateau et les opérateurs de téléconduite des écluses Les résumés des témoignages présentés sont établis par les enquêteurs du BEA-TT sur la base des déclarations orales ou écrites dont ils ont eu connaissance. Ils ne retiennent que les éléments qui paraissent utiles pour éclairer la compréhension et l'analyse des événements. Il peut exister des divergences entre les différentes déclarations recueillies ou entre celles-ci et des constats ou analyses présentés par ailleurs. Les témoignages se rapportent aux personnes directement impliquées dans l'accident, à savoir l'équipage du bateau et les opérateurs de téléconduite des écluses. Ils concernent le déroulé de l'accident et sa gestion. D'autres éléments sur des sujets spécifiques ont pu être recueillis par le BEA-TT auprÚs de ces personnes et sont alors exposés dans les parties correspondantes du rapport. La nuit de l'accident : le capitaine du bateau est à la barre et un matelot est en poste avec lui, tandis que les 3 autres membres d'équipage étaient en repos et dormaient ; 4 personnels de téléconduite des écluses étaient en poste, soit 3 opérateurs et 1 chef de salle. Il est rappelé qu'un opérateur peut soit être en train de piloter l'écluse, qui est alors en mode conduite sur son poste, soit, en l'absence de navigation, en train de surveiller l'écluse, qui est alors en mode surveillance. l'un d'entre eux avait ses 2 écluses en mode conduite ; les 2 autres dont celui qui éclusait le PAMPERO, avaient une écluse en mode conduite et l'autre en mode surveillance. Lors de l'éclusage du PAMPERO, 2 écluses étaient affectées à chacun des opérateurs : Les 8 autres écluses étaient affectées au chef de salle en mode surveillance. 28 3.2.1 - Le témoignage du capitaine et du matelot en poste au moment de l'accident Le matelot est employé de la société CFT Gaz depuis 2006. Pour ce voyage, les membres d'équipage constituent l'équipe avec laquelle il travaille habituellement. Employé de la société CFT Gaz depuis 1999, le capitaine exerce les fonctions de premier capitaine depuis prÚs de 5 ans, dont prÚs de 3 ans sur le PAMPERO. Il navigue 7 jours d'affilée puis dispose d'un repos de 7 jours. À bord, il travaille de 8 h à 13 h, puis de 18 h à 19 h, puis de 20 h à 2 h et son second travaille en quart opposé. La nuit de l'accident, les conditions de navigation étaient normales : la visibilité était bonne, il n'y avait pas de vent ni de brouillard et le courant était habituel pour la saison. À l'approche de l'écluse de Sablons, le feu est au vert, il n'y a pas d'attente. Le matelot s'équipe d'un gilet de sauvetage et de la VHF et part à l'avant du bateau pour guider le capitaine. Il l'avise qu'il y a une grosse accumulation de bois flottant dans le garage aval de l'écluse Le capitaine demande ensuite par VHF au CGN de lancer l'éclusage pendant que le matelot termine l'amarrage du bateau, effectué à l'aide d'une retraite et d'une garde en double, sur le troisiÚme pieu flottant en partant de l'amont en rive gauche. Les moteurs du bateau sont mis au ralenti et débrayés. Puis le matelot fait un tour sur le pont pour vérifier que tout est en ordre, ne constate rien de particulier et rejoint le capitaine en timonerie. La porte de l'écluse se ferme puis le sas se remplit. Alors que l'eau a atteint la moitié de la hauteur de remplissage, le matelot fait remarquer que le bateau commence à reculer, puis le bateau recule brutalement d'un coup et les amarres cÚdent. Le matelot se retourne et constate que l'eau s'évacue par la porte aval de l'écluse, faisant une chute d'eau. Le capitaine embraye les deux moteurs à fond vers l'avant, puis déclenche l'alarme générale. Le matelot évacue la timonerie et court vers l'avant avec le capitaine en tombant deux fois à cause des secousses. 29 Le bateau est éjecté du sas par l'arriÚre. Les deux membres d'équipage se trouvent sur le pont à l'avant, ils se tiennent et attendent que la chasse se fasse. Voyant que le bateau est à la dérive, encore en train de reculer, ils larguent les deux ancres avant, bâbord et tribord. Le bateau se stabilise puis commence à repartir vers l'avant du fait de l'embrayage des moteurs. Le capitaine repart vers l'arriÚre et demande aux membres de l'équipage qui se sont réveillés suite à l'alarme de stopper les moteurs à partir de la salle des machines, ce qui est fait par le second capitaine et le mécanicien. Ils se retrouvent ensuite tous les 5 sur le pont prÚs de la timonerie arrachée. Le bateau vient s'appuyer contre le duc d'Albe à l'aval de l'écluse, sur la rive gauche. Ils prennent une corde pour y amarrer l'arriÚre du bateau. Le capitaine demande à tous de débarquer, au plus haut, sur le duc d'Albe afin d'éviter les émanations de gaz qui sont perçues par les membres d'équipage, aprÚs avoir récupéré les masques de gaz placés dans chaque chambre. Il contacte le CGN et sa hiérarchie. Il n'y a pas de passerelle pour rejoindre la berge. Constatant que l'odeur du produit revient et voyant qu'il n'y a pas d'autre solution, la décision est prise de rejoindre le bateau et de récupérer les deux engins flottants de sauvetage positionnés à l'avant et à l'arriÚre. Avec ces deux radeaux et à l'aide d'une corde, ils rejoignent chacun à leur tour le ponton de plaisance qui est relié à la rive par une passerelle. Ils voient alors les gyrophares des véhicules des pompiers qui les ont pris en charge immédiatement. Le capitaine indique qu'il est trÚs inquiet de l'état psychologique de son équipage. « Ils ont tous eu trÚs peur et ont beaucoup de chance d'être en vie ». Le matelot a quelques hématomes et fait l'objet d'un arrêt de travail pour choc émotionnel. 3.2.2 - Le témoignage du second capitaine Employé par la société CFT Gaz depuis 2007, il navigue sur le PAMPERO depuis 2009 et exerce la fonction de capitaine en second depuis 2018. Il indique que les conditions de navigation étaient ordinaires et qu'il y avait néanmoins pas mal de bois aux écluses. Il est réveillé par la secousse qui suit la rupture des amarres, puis le démarrage des moteurs et l'alarme. Il quitte sa chambre aprÚs être tombé, croise ses collÚgues de repos et monte sur le pont, le bateau étant déjà alors sorti du sas de l'écluse. Il voit 20 cm d'eau sur les plats-bords12, la timonerie arrachée et une grosse masse sombre s'appuyant sur l'arriÚre du logement. Il sent une odeur de gaz, redescend chercher un masque, remonte sur le pont et entend le capitaine crier qu'il faut couper les moteurs. Le bateau étant alors reparti en marche avant, ils savent qu'une prochaine collision avec un élément de l'écluse est à venir. Ils se sont tous retrouvés en salle des machines. En ce qui le concerne, il a stoppé le moteur bâbord tout en se tenant pour se protéger de l'impact. Le moteur s'est stoppé à peu prÚs au moment de l'impact. Le bateau finit par se stabiliser en travers et contre le duc d'Albe. Ils montent tous en haut du duc d'Albe. Comme il n'y a pas de passerelle et que l'odeur du gaz se faisait sentir, il est décidé d'évacuer par l'eau. Il va récupérer à l'avant du bateau le radeau de sauvetage et la ligne de jet puis retourne à l'arriÚre au point le plus proche entre le bateau et l'appontement de plaisance. Il lance la ligne de jet par-dessus l'appontement, saute le premier à l'eau et parcourt 5 m à la nage en s'aidant d'un des deux radeaux. Il se hisse sur l'appontement et aide à la manoeuvre pour évacuer ses autres collÚgues un par un. Le second capitaine précise qu'il a quelques douleurs au dos et aux chevilles. Il indique qu'il est trÚs atteint psychologiquement, qu'il est trÚs choqué et que c'est un miracle qu'ils soient toujours tous en vie. Il fait l'objet d'un arrêt de travail de 20 jours. 12 Large bordage sur les cÃŽtés du bateau au-dessus de la ligne de flottaison. 30 3.2.3 - Le témoignage de l'opérateur du CGN en charge de l'éclusage du bateau Il exerce cette fonction depuis fin 2017 aprÚs avoir occupé pendant prÚs de 25 ans un poste d'agent technique d'exploitation au sein de CNR. La nuit de l'accident, ses horaires de travail sont 21 h 15 ­ 6 h. AprÚs que le PAMPERO s'est annoncé, le chef de salle lui affecte l'écluse. L'opérateur prépare alors le poste de supervision, cale les caméras, puis lance le cycle d'éclusage tout en balayant du regard les écrans. Il n'a pas souvenir d'avoir visionné le déplacement de la porte lors de sa fermeture mais indique s'être focalisé sur les écrans du contrÃŽle-commande (SCADA), qui jusqu'à l'accident ne mentionnait aucune anomalie de fonctionnement. Il indique avoir constaté que le PAMPERO est amarré à son avant droit. Avant de préparer la sortie, il revient sur la vue de l'avant du bateau et de la porte amont de l'écluse. Il voit soudain l'avant du bateau reculer, puis change de vue et constate que l'arriÚre s'affaisse et que le bateau descend. Il regarde son écran de commande, qui indique bien que la porte aval est fermée. Il s'inquiÚte, pensant qu'il y a un dysfonctionnement qu'il ne comprend pas et que la porte est en train de s'ouvrir. Il contacte le bateau par VHF et ne reçoit pas de réponse, puis appelle ses collÚgues du CGN. Il revient sur l'écran du contrÃŽle-commande qui indique que l'écluse est alors en défaut, le processus d'éclusage s'est donc arrêté. Il sait alors qu'il ne peut plus rien faire ou décider, car il n'a plus les commandes, le systÚme s'est mis en sécurité. Il revient sur la vue du bateau, constate sa forte inclinaison et un épais nuage de fumée. Il voit alors la lumiÚre derriÚre la porte et en conclut qu'elle s'est bien ouverte. Il assiste à l'arrachement de la timonerie. Le bateau disparaît du sas, s'en va en reculant trÚs vite vers le canal usinier puis revient vers l'écluse. L'opérateur est stupéfait par la situation. Il tente de contacter, sans succÚs, le bateau par VHF puis alerte les services de secours (SDIS). Il reçoit ensuite par VHF l'appel du capitaine du bateau. L'opérateur est sous le choc, mais soulagé d'apprendre que l'équipage est sain et sauf. 3.2.4 - Le témoignage des autres agents du CGN en poste lors de l'accident Le chef de salle exerce cette fonction depuis 2 ans. Il indique que l'équipe de nuit reste la même, les opérateurs se connaissent donc bien. La relÚve de l'équipe précédente a été réalisée à 20 h 15, aprÚs un temps d'échange et un point de situation habituels entre les 2 équipes. La nuit de l'accident, l'écluse de Sablons était en condition normale, elle ne faisait l'objet d'aucune instruction spécifique ou temporaire d'exploitation. Une quinzaine d'éclusages étaient prévus, toutes écluses confondues. Il explique que l'opérateur était au moment de l'accident en téléconduite d'une seule écluse. Tout se passait normalement jusqu'à ce qu'on l'entende dire assez fort « Mais qu'est-ce qu'il fait lui ? ». Ses trois collÚgues s'approchent de son poste, voient à l'écran de la fumée noire, le sas rempli à peu prÚs aux trois quarts, puis voient le niveau de l'eau baisser et l'amarre du bateau casser d'un coup. Le chef de salle recherche les défauts consignés par l'automate et alerte les astreintes internes à CNR, qui sont l'astreinte du CGN et celle de l'exploitant. Le deuxiÚme opérateur vient épauler son collÚgue dÚs que l'incident est survenu et sur proposition du chef de salle. Il conduit les échanges avec les services de secours, puis engage avec son collÚgue la recherche des bateaux avoisinants lorsque les pompiers évoquent un périmÚtre de sécurité du fait de la nature du produit transporté par le bateau. 31 Le troisiÚme opérateur reprend l'ensemble des écluses en supervision. Le chef de salle assure la coordination de l'équipe et prend en charge les échanges internes à CNR. Les services de secours et l'astreinte de l'exploitant sont arrivés rapidement sur site. Lorsque le deuxiÚme opérateur est venu au secours de son collÚgue, ils ont effectué un zoom au niveau du sas, pensant sur le coup que la porte avait dû s'ouvrir. Lorsque les agents d'astreinte sont arrivés sur site, ils ont essayé avec le CGN, mais sans y parvenir, de comprendre ce qui s'est passé, en analysant les défauts consignés par l'automate. Nota : Le BEA-TT a constaté qu'il est mentionné sur le carnet de bord du CGN, peu aprÚs 3 h, qu'aprÚs visionnage des vidéos, il s'avÚre que l'un des caissons de la porte a cédé et a vidangé le sas précipitamment, entraînant le bateau vers l'arriÚre. Un debriefing avec l'équipe a été fait par la hiérarchie du CGN, pendant la nuit aprÚs l'accident ainsi que le lendemain où la même équipe était en poste pour la nuit. Toute l'équipe a été affectée par l'accident et tout particuliÚrement l'opérateur concerné, à qui il a été nécessaire d'apporter beaucoup de soutien et en lui montrant, moyennant le visionnage des vidéos d'enregistrement des caméras et l'analyse des données de l'automate, qu'il n'avait engagé aucune manoeuvre ayant conduit à l'accident. 3.2.5 - Les échanges par radiocommunication entre l'équipage et les opérateurs L'enregistrement des échanges peut être résumé comme suit, selon le repérage temporel du CGN. Vers 0 h 03 ­ Le capitaine s'annonce et sollicite l'opérateur pour avoir le feu vert. Vers 0 h 09 ­ Le capitaine signale la présence de nombreux bois flottants. « Pour info, c'est vraiment une catastrophe tous ces bois qu'il y a là en face et à l'entrée ». L'opérateur répond qu'il ne l'avait pas remarqué avec le brouillard et qu'il fera une chasse dÚs que le bateau sera sorti. Le capitaine évoque ensuite un bout de bois qui est passé proche de la coque. L'opérateur répond en le remerciant pour sa vigilance. 0 h 16 min 23 s ­ Le capitaine informe l'opérateur qu'il peut lancer l'éclusage. 0 h 24 min 31 s ­ L'opérateur lance un appel pressant auprÚs du capitaine. Il n'obtient pas de réponse, il renouvelle l'appel 4 fois pendant les 5 minutes qui suivent. 0 h 31 min 55 s ­ Le capitaine appelle, choqué, l'opérateur. « 4 personnes à bord, pas de blessés, il faut qu'on évacue, le bateau est plié en deux, pas de fuite majeure apparente ». Il s'ensuit un court échange auquel participent deux autres opérateurs, le capitaine précise qu'ils ne sont pas en position pour l'instant pour rejoindre le bord, l'opérateur l'informe que les secours ont été prévenus. L'enregistrement permet également d'entendre les opérateurs et les services de secours qui échangent des informations sur la situation et les opérateurs qui essaient de les renseigner au mieux de l'évolution en suivant l'équipage à l'aide des caméras. 3.3 - Les enregistrements vidéos de l'éclusage Les enregistrements vidéos des caméras équipant l'écluse permettent de bien reconstituer le déroulement de l'accident et d'illustrer les témoignages. Ils fournissent aussi quelques éléments de comparaison entre l'éclusage concerné et celui qui a précédé, 4 heures auparavant, avec un autre bateau remontant le RhÃŽne. 32 3.3.1 - Positions du bateau PAMPERO et de l'équipage avant l'accident Lorsque le bateau s'apprête à rentrer dans le sas, des bois flottants sont visibles à l'entrée. Il commence à y rentrer vers 0 h 08 min, l'arriÚre du bateau y pénÚtre prÚs de 4 minutes plus tard. Le matelot est à l'avant sur le pont pour guider le capitaine. Le bateau s'immobilise dans le sas vers 0 h 16 min, tandis que le matelot finit de procéder à l'amarrage. Peu avant 0 h 20 min, il remonte le pont pour rejoindre la timonerie. Bois flottants PAMPERO Le matelot termine de procéder à l'amarrage Le bateau à 0 h 24 min, sas en cours de remplissage 33 3.3.2 - La fermeture de la porte de l'écluse puis le remplissage du sas La fermeture de la porte commence vers 0 h 16 min et se termine vers 0 h 18 min. Illustration schématique des quatre caissons, A, B, C, D de la porte. Des bois flottants sont visibles au niveau de la porte. Au cours du remplissage du sas, des fuites commencent à être détectables à 0 h 21 min en rive gauche et peu aprÚs 0 h 22 min en rive droite, puis deviennent plus visibles. Les vidéos de l'éclusage précédent, qui a eu lieu 4 heures auparavant, permettent également d'observer des fuites, mais elles sont plus ténues et semblent survenir plus tardivement durant le processus de remplissage du sas, à moins qu'elles ne commencent à être visibles plus tardivement. Ces fuites sont en partie normales. Elles vont se produire successivement au niveau haut de chaque élément immergé de la porte, au fur et à mesure du remplissage du sas. Ceci est également observable dans une certaine mesure lors de l'éclusage précédent. La propriété d'étanchéité de la porte n'est pas absolue. Par exemple et tel que cela sera présenté au 4.1, les lisses et les étanchéités sont fixées tout au long de la hauteur de chacun des quatre éléments de la porte et présentent donc une discontinuité à chaque jonction inter-éléments et sur chaque rive. 34 Les fuites en rive droite augmentent puis, à 0 h 24 min 12 s, des fuites se produisent plus haut, de part et d'autre de l'élément D de la porte, puis un filet d'eau se met en place sur toute la largeur du sas entre les éléments B et C. Les fuites augmentent jusqu'à ce que l'élément C cÚde à 0 h 24 min 13 s puis soit emporté dans la seconde qui suit. Juste avant la rupture de l'élément C, on décÚle sur la vidéo un phénomÚne de bombement de la porte ou de recul de celle-ci, de la rive droite vers la rive gauche. 35 3.3.3 - Le vidage précipité du sas et l'éjection du bateau Juste aprÚs la rupture d'une partie de la porte, le sas se vidange précipitamment, le niveau de l'eau dans le sas s'incline et baisse soudainement. Le bateau s'incline et s'affaisse puis est entraîné vers l'arriÚre par le courant créé. La vague se propage à l'aval et soulÚve le ponton de plaisance. L'une des cordes d'amarrage du bateau cÚde à 0 h 24 min 26 s, il s'agirait de l'amarre amont, la corde d'amarrage aval ayant cédé avant. Les 2 membres d'équipage sortent de la timonerie à 0 h 24 min 29 s, ils courent sur le pont vers l'avant du bateau. 36 À 0 h 24 min 32 s, soit 20 secondes aprÚs la rupture de la porte, le bateau, entraîné en marche arriÚre par le courant créé, commence à passer sous le pare-choc, plein gaz. Le bateau percute l'élément D de la porte puis commence à sortir du sas 3 secondes plus tard en emportant l'élément. 37 À 0 h 24 min 38 s, la timonerie percute la structure en haut de la porte, puis bascule vers l'avant et est arrachée. Le bateau semble se plier ensuite lorsque le reste de sa structure passe sur la chute d'eau. Pendant ce temps, les 2 membres d'équipage sont sur le pont en train de courir vers l'avant, l'un d'eux chute puis continue sa course. Le bateau finit de quitter le sas à 0 h 25 min, les 2 membres d'équipage s'accrochant au niveau de l'extrémité avant du pont. 38 3.3.4 - Le bateau à la dérive Le bateau, à la dérive, file emporté par le courant vers l'aval, en longeant le ponton de plaisance, les deux membres d'équipage sont à l'avant du bateau. Il recule en pivotant vers la droite puis dérive vers la rive gauche jusqu'aux ducs d'Albe. Peu aprÚs 0 h 26 min, le bateau revient en marche avant à assez vive allure, atteint l'entrée de l'écluse et percute le mur guide en rive gauche, le choc le fait pivoter, il percute le mur en rive droite et pénÚtre dans l'entrée de l'écluse. Les chocs entraînent des secousses au niveau du bateau et le font tanguer. 39 Le bateau finit par s'immobiliser lentement. Il recule et pivote légÚrement vers la rive gauche, sa partie arriÚre se rapproche du duc d'Albe, sa partie avant se retrouve tout au bord de l'entrée de l'écluse. À 0 h 38 min, l'équipage amarre le bateau au duc d'Albe. À 0 h 45 min, les 5 membres sont tous montés dessus, puis en redescendent. On aperçoit, vers 0 h 50 min, un membre d'équipage ramener le radeau de sauvetage de l'arriÚre du bateau. Peu aprÚs 1 h 00, le dernier membre d'équipage se met à l'eau, nage quelques mÚtres, le haut du corps positionné sur l'engin flottant de sauvetage, son collÚgue l'aide en tirant la corde à laquelle est amarré le radeau et le hisse sur le ponton de plaisance. Le déroulé des évÚnements montre que la situation a dû être effrayante pour l'équipage et que celui-ci, dont le capitaine en particulier, a fait preuve de trÚs bonnes réactions. 3.4 - Intervention des secours et gestion de l'accident Photo du SDIS 40 Comme évoqué en 3.2.5, aprÚs que le bateau a été éjecté du sas de l'écluse, la CNR s'est rapidement mise en relation avec les services de secours et a essayé de les renseigner au mieux de l'évolution de la situation à partir des caméras équipant l'écluse. À l'arrivée des secours, l'équipage a évacué le bateau et rejoint la rive par ses propres moyens. Le bateau est, moteurs arrêtés, au travers du garage aval de l'écluse, en diagonale entre le mur guide et le duc d'Albe et appuyé contre ce dernier. L'élément supérieur de la porte de l'écluse est encastré sur l'arriÚre du bateau et va y être attaché par les secours afin d'éviter qu'il ne tombe à l'eau. Plusieurs fuites de gaz sont détectées. La timonerie est arrachée et est retournée vers l'avant du bateau, elle est tombée sur les tuyauteries associées aux cuves de gaz situées à l'arriÚre en les endommageant. Le bateau est plié sur le tiers arriÚre, ce qui donne à la structure une légÚre forme en V. La coque présente une voie d'eau à l'avant et certains compartiments sont noyés. Photo de la gendarmerie Photo du SDIS 41 La cellule de crise et le dispositif ORSEC (Organisation de la Réponse de Sécurité Civile) ont été rapidement activés par le préfet de l'IsÚre. Le chlorure de vinyle monomÚre (CVM) est un gaz toxique et trÚs inflammable. Un périmÚtre de sécurité de 400 m a été immédiatement mis en place, une vingtaine d'habitations situées à proximité ont été évacuées puis réintégrées au cours de la nuit. La CNR a effectué une recherche des bateaux avoisinants. Dans le cadre de la gestion du trafic, elle a organisé le stockage des bateaux sur le RhÃŽne tout en procédant à un arrêt de la navigation, formalisé par un avis à la batellerie, validé par les services de Voies navigables de France (VNF), qui exerce la mission de gestionnaire de la voie d'eau. La gestion de l'événement a été techniquement complexe. Elle a consisté à sécuriser le bateau, en termes de structure et à l'égard du produit transporté, à analyser les risques liés aux fuites de gaz et à procéder à leur colmatage de maniÚre pérenne, ainsi qu'à définir les conditions de dépotage de la cargaison du bateau. Elle a fortement mobilisé les services du SDIS de l'IsÚre. Le service de la DREAL, chargé de la prévention des risques industriels, a été l'autre cheville ouvriÚre, aux cÃŽtés du préfet, de la gestion de crises. Il a établi en interne un retour d'expérience, sur lequel le BEA-TT s'est en partie appuyé pour rédiger la présente partie de ce rapport. Le jour de l'accident, 4 fuites sont détectées. Les mesures effectuées au droit des fuites révÚlent des concentrations à 30 % de la limite inférieure d'explosivité (LIE), puis redeviennent négatives quelques heures plus tard. Des barrages flottants préventifs sont mis en place en raison des 35 000 l de fioul présents dans la péniche. Un bouchon de glace permet de stopper 2 fuites sans totalement les maîtriser et une autre est colmatée. Le lendemain de l'accident, les dispositifs de colmatage installés ne sont plus totalement efficaces et certaines sources de fuites sont inaccessibles ou inconnues. Cinq jours aprÚs l'accident, une entreprise spécialisée finalise le colmatage. La surveillance atmosphérique montre des fortes variabilités des résultats durant les opérations de colmatage mais sont inférieures aux valeurs toxicologiques de référence. Au final, il s'avérera que ces fuites de gaz se sont produites au niveau des tuyauteries et manomÚtres des 2 cuves situées à l'arriÚre du bateau et sur lesquelles est tombée la timonerie, tandis que les cuves de gaz proprement dites sont restées intactes. 42 Le préfet s'est appuyé sur la DREAL pour mettre en place un dispositif de surveillance des concentrations de gaz dans l'air à proximité immédiate du bateau et au droit des habitations les plus proches. ParallÚlement aux moyens d'expertise relevant des services de secours, la DREAL a sollicité l'aide de la cellule d'appui aux situations d'urgences (CASU) de l'Ineris 13, pour évaluer les risques en cas de rupture des cuves et d'explosion. Ensuite et préalablement au dépotage, il a été nécessaire de procéder au démontage des tuyauteries sur le pont du bateau, puis au relevage et à l'évacuation de la timonerie couchée sur le pont, ce qui a été réalisé le 26 février, tout en poursuivant le traitement de certaines fuites résiduelles ou de fuites apparues suite à ces opérations. En parallÚle, plusieurs reconnaissances ont été effectuées sur l'état de la superstructure du bateau, des opérations de stabilisation ont été réalisées. CFT Gaz s'est fait aider pour cela par SMIT Salvage, société spécialisée dans le renflouement des navires en difficultés. Les études préalables à l'opération de dépotage et à son séquencement (détermination des différentes séquences de déchargement et de ballastage) ont été conduites par ces deux sociétés. Les services de l'État ont imposé à la société CFT Gaz de faire valider ses résultats de modélisation et sa proposition de modes opératoires de dépotage par le Bureau Veritas, société de classification qui est en charge du suivi du classement du PAMPERO et qui, dans le cadre des démarches relatives à son titre de navigation, a déjà effectué des calculs visant à vérifier le respect de critÚres de stabilité et de la flottabilité aprÚs avarie. Une expertise complémentaire a été réalisée par la société CERES, à la demande du préfet et de maniÚre à assister le SDIS, et a permis de décliner plus opérationnellement le processus et les différentes séquences de transfert du produit entre le PAMPERO et l'autre bateau. La démarche a fait l'objet de la prise de deux arrêtés préfectoraux, le 21 février puis le 2 mars, de prescriptions de mesures à la société CFT Gaz, pour encadrer la surveillance des milieux, la mise en sécurité du bateau, ainsi que la préparation puis la réalisation de son dépotage. Ces arrêtés ont été préparés par la DREAL au vu de ses compétences dans le domaine des risques technologiques et de pollution, avec la contribution notamment de la DDT du RhÃŽne, service instructeur des titres de navigation des bateaux, pour le volet de la stabilité du bateau. Ils ont été rédigés comme s'il s'agissait d'une installation classée pour la protection de l'environnement, du fait du produit transporté et de ses impacts possibles (explosion, pollution de l'air et de l'eau). Les 2 cuves de fioul sont vidangées le 28 février. Un coffrage béton est construit sur le dÃŽme des deux cuves de gaz arriÚre, abîmé par la chute de la timonerie. L'opération de dépotage débute le 4 mars, soit deux semaines aprÚs l'accident, pour se terminer le 9 mars, moyennant une interruption au cours de la journée du 5 mars en raison de la découverte d'une poche de gaz en intercale. Un périmÚtre de sécurité de 550 m autour de l'écluse, avec évacuation des populations, a été instauré le 8 mars pour procéder au dépotage des deux cuves arriÚre. Le plan ORSEC est levé le 10 mars 2020, soit trois semaines aprÚs l'accident. S'ensuivent des opérations de dégazage et d'inertage des cuves ainsi que le retrait de l'élément de la porte de l'écluse resté sur la poupe du bateau. 13 L'Institut national de l'environnement industriel et des risques est un établissement public à caractÚre industriel et commercial, placé sous la tutelle du ministÚre chargé de l'environnement. 43 Accouplement entre le PAMPERO et un autre automoteur citerne de CFT gaz pour procéder au transbordement, de bord à bord, de la cargaison du bateau Au final, on peut voir que la gestion de l'évÚnement a impliqué une trÚs forte et bonne coordination entre les acteurs concernés. Le fait que l'accident ait impliqué un bateau de matiÚres dangereuses a rendu cette gestion trÚs complexe et délicate, du fait des risques associés. A contrario, il peut être souligné la bonne résistance de ce type de bateau, comme un double coque et avec isolation des cuves de gaz. Les capacités de réaction de l'équipage sont aussi à mettre en lien avec ce type de bateau. Enfin, le fait que celui-ci appartienne à CFT Gaz a pu aussi constituer un atout, compte tenu des moyens et de l'expérience de la sécurité de cette société. La navigation fluviale a été interrompue jusqu'au 28 mars 2020, soit durant un mois et demi. La porte aval de l'écluse a été détruite au moment de l'accident. DÚs le début de la gestion de l'incident, la CNR a mobilisé ses différents services, pour évaluer et commencer à réaliser les travaux de réparation et de remplacement de la porte. Ces actions ont été réalisées en parallÚle des opérations délicates de sécurisation et de dépotage de la cargaison du bateau, menées par le SDIS et CFT Gaz. Les éléments relatifs à l'état de la porte et à la démarche conduite par la CNR pour remettre au plus vite l'écluse en exploitation sont présentés en partie 4. La société CFT Gaz a poursuivi ses investigations pour évaluer les dégâts du bateau puis étudier la faisabilité et les conditions de son remorquage. Des plongées d'inspection de la coque ont été réalisées ainsi que des travaux de réparation de la zone arriÚre du bateau. Le bateau a été lourdement endommagé et s'avÚre difficilement réparable du point de vue technico-économique. Une présentation synthétique figure à ce sujet en annexe 2. Le PAMPERO est resté stationné au niveau du garage aval de l'écluse de Sablons jusqu'au 25 novembre 2020, date à laquelle il a fini par être convoyé jusqu'à la base de la société située 38 km en amont à Loire sur RhÃŽne (69). Pendant les 9 mois de stationnement, le bateau a été mis par la société CFT Gaz sous la garde d'une société de gardiennage 24 h/24 pour éviter tout risque. 44 Le bateau stationné au garage aval de l'écluse Vue aérienne juin 2020, source Géoportail Le convoyage du bateau s'est effectué sur deux jours, à une vitesse réduite d'environ 5 km/h, au moyen d'un pousseur brêlé à l'arriÚre du PAMPERO, accompagné d'un second pousseur se tenant à proximité. Une coordination des services concernés, VNF, CNR, brigade fluviale de la gendarmerie et SDIS, a été, à cette occasion, mise en place par le sous-préfet de Vienne et avec les conseils de la DDT du RhÃŽne. Il a impliqué de la part de CFT Gaz une lourde et complexe préparation, qui a été rendue par ailleurs plus difficile du fait de la situation sanitaire et notamment du confinement. Le Bureau Veritas, en tant qu'organisme de contrÃŽle, a procédé à l'inspection des travaux réalisés, à la vérification des calculs de résistance structurelle et de stabilité et au calage de la procédure de navigation. La DDT du RhÃŽne s'est fortement impliquée dans la démarche, par le cadrage puis l'instruction et la délivrance du titre de navigation provisoire qui a autorisé ce déplacement. Le PAMPERO convoyé à l'aide d'un pousseur positionné à l'arriÚre, passage du pont de Condrieu (69) ­ source CFT Gaz 45 4 - Constats et expertises 4.1 Présentation de la porte aval de l'écluse et de son déplacement Comme présenté en 2.4, la porte est constituée de 4 caissons (A, B, C et D) assemblés entre eux et est suspendue à un systÚme de chariot, situé 6 m plus haut et relié à un treuil. L'actionnement du treuil permet de tirer le câble, activant le mouvement du chariot qui translate sur les rails supérieurs et entraîne le déplacement de la porte, qui, elle, est guidée en haut et en bas par des rails et contre lesquels elle coulisse. L Plan d'ensemble de la porte en position fermée et vue de l'aval La porte mesure 15 m de haut. Les quatre caissons sont de hauteur différente : 2,90 m pour l'élément A, 3,62 m pour le B, 4,02 m pour le C et 4,43 m pour le D. Elle a été restaurée en 2012 via une rénovation des caissons B et C et un remplacement des caissons A et D. Le caisson inférieur (A) translate dans une rainure au fond du sas mais sans reposer sur le fond. Il est fermé des deux cÃŽtés, amont et aval. Chacun des trois autres caissons comprend un bordé aval et est obturé face amont par des panneaux grillagés boulonnés destinés à empêcher la dépose de bois. Deux boucliers sont fixés, cÃŽtés rive droite et rive gauche, à chaque extrémité inférieure de l'élément A. Ils sont équipés chacun de chasse-boues. 46 Les boucliers intÚgrent les 4 galets qui, en partie inférieure, guident la porte lors de ses translations. Les 4 galets de guidage supérieurs sont fixés sur le haut du caisson D. Ils sont lisses, intégrés dans des « boîtes à galet » et équipés de ressorts les rendant en partie rétractables. Élément A en cours de démontage ­ bouclier rive gauche et (huissier) bouclier rive droite En rive droite, un systÚme appelé « panier » est présent en bas à l'extrémité de la rainure de la porte. Il est destiné à récupérer les bois et objets dont ceux poussés par le bouclier - chasse-boue lors de la fermeture de la porte. Il est équipé d'un câble métallique qui remonte jusqu'au niveau supérieur du bajoyer et peut être hissé à l'aide d'une grue, afin d'être vidé des déchets accumulés. Schéma de l'emplacement du panier et prise de vue lors d'une action de maintenance (CNR) Le garage de la porte est équipé d'un dispositif d'émulsion / dévasage, permettant par une ouverture manuelle de vannes et un systÚme de tuyauteries, d'effectuer un nettoyage au niveau du logement et des rails. Les 4 caissons sont reliés entre eux par un systÚme de bretelles et d'indexages, positionnés sur les cÃŽtés rive droite et rive gauche de chaque élément, appelés têtiers, ainsi que, pour certains indexages, au niveau de la face amont de l'élément. La porte étant suspendue, les bretelles reprennent le poids des éléments inférieurs et, d'aprÚs le document descriptif de la CNR, les indexages reprennent les efforts dans le sens rive-rive lors des manoeuvres de la porte. 47 4 bretelles par liaison inter-éléments, 2 cÃŽté rive droite et 2 coté rive gauche, soit 12 au total. 2 indexages boulonnés par liaison inter-élément, 1 cÃŽté rive droite et 1 cÃŽté rive gauche, soit 6 au total. Les bretelles peuvent effectuer une légÚre rotation, permettant un déplacement de quelques mm dans le sens amont/aval d'un caisson sans déplacement du caisson qui lui est lié. Cela permet le plaquage successif des éléments lors du remplissage du sas ou, à la vidange du sas, le déplaquage successif des éléments, sans solliciter l'élément inférieur. Schéma illustratif de la rotation des bretelles source CNR 48 Disposées aux deux extrémités des faces de chaque élément de la porte, les lisses et les étanchéités14 (photo ci-avant) sont des piÚces verticales boulonnées sur l'élément et d'une longueur identique à sa hauteur. Lorsque le sas de l'écluse se remplit, avec la pression de l'eau, les quatre éléments de la porte viennent se plaquer les uns aprÚs les autres contre les rainures. Une marque d'oxydation formant une bande illustre l'emplacement des lisses lorsqu'elles sont en appui sur les rainures. Le document descriptif de la CNR relatif à la porte indique que les bretelles et indexeurs ne sont pas prévus pour reprendre la poussée hydrostatique et que ce sont les lisses d'appui qui reprennent cette poussée et la transfÚrent au génie civil. Ce document indique que, en fonctionnement normal, lorsque la porte est fermée, elle est centrée par rapport au sas, selon le plan suivant, correspondant au plan d'ensemble de l'élément A dans le génie civil. Rive droite AVAL Rive gauche SAS La largeur de la porte est de 13,10 m, élément A nu sans ses équipements. La largeur du caisson A, avec ses 2 boucliers-chasse-boue de chaque cÃŽté, est de 14,85 m. La largeur du sas est de 12,10 m. Donc, lorsqu'elle est centrée par rapport au sas, la porte rentre de 50 cm dans la rainure en rive droite et dans la rainure de son garage. Les éléments équipant en bas le caisson A rentrent alors, en moyenne, de 87,50 cm dans chacune de ces rainures. Les lisses de la porte sont alors à l'intérieur des rainures à 40 cm du bord du sas. Il est à noter que les quatre caissons de la porte se remplissent d'eau au fur et à mesure du remplissage du sas et que lorsque celui-ci est rempli, la porte est immergée. Le document descriptif de la CNR indique par ailleurs que chaque inter-caisson est rendu étanche par des joints de section rectangulaire. 14 en néoprÚne ­ caoutchouc rigide et résistant utilisé notamment pour la confection de joints étanches 49 4.2 - Les éléments concourant au déplacement de la porte 4.2.1 - Le chariot de manoeuvre et les brimbales Le systÚme de chariot est constitué d'un « grand » chariot à deux traverses et d'un « petit » chariot à une seule, qui sont accouplés de façon rigide, reliés entre eux par un attelage, et comprenant chacun 4 galets de roulage munis de joues. Il fait un peu plus de 10 m de longueur et circule sur des rails espacés de 2,70 m. Le grand chariot, situé en rive gauche, est le chariot moteur. Il dispose à l'arriÚre de deux poulies dans lesquelles viennent passer les câbles permettant d'entraîner le systÚme. Deux brimbales amont et aval relient chaque chariot à la porte. Elles sont fixées en 4 points sur l'élément supérieur (D) de la porte. Elles ont une forme de lame droite, d'un peu plus de 6 m de long, pour le petit chariot et une forme de Y pour le grand chariot. Les liaisons brimbales / chariots et brimbales / porte sont du type chape et axe rotulé. La porte est suspendue aux chariots et ne repose pas sur le sol. Les galets de translation des chariots ainsi que les brimbales reprennent le poids de la porte, soit 90 tonnes. Suspension de la porte au chariot, ci-dessus Vue du chariot depuis la rive droite aval, ci-dessus, Attache des brimbales sur la porte, ci-dessous et depuis la rive gauche amont, ci-dessous (photos CNR) 50 4.2.2 - Le treuil, les capteurs associés et le variateur Le chariot est relié à un treuil par deux câbles, l'un qui agit dans le sens de l'ouverture de la porte et l'autre qui agit dans le sens de sa fermeture. Schéma de principe du câble ouverture et du câble fermeture source CNR Vue depuis l'aval du treuil de manoeuvre en rive gauche du garage de la porte. Photo CNR. Le câble s'enroule sur le tambour. L'axe du tambour est relié à un frein à mâchoires et à un moteur électrique, alimenté par un variateur de vitesse. Le treuil est équipé : ­ d'une protection mécanique de surcharge ; ­ et, via le variateur, d'une protection électrique de surcharge correspondant à une protection thermique du moteur. La protection de surcharge mécanique du treuil. Photo CNR et photo de l'huissier de justice. Le treuil est équipé de deux capteurs de surcharge, un pour chaque câble et donc chaque sens de manoeuvre de la porte, qui délivrent une information « tout ou rien ». Ces capteurs sont activés par un bras de levier et un ressort fixés au niveau du tambour du câble : les efforts de couple sur le treuil se transmettent sur ce bras qui est équilibré par la compression du ressort. Le frein à mâchoires est commandé électriquement. Sans énergie électrique, le frein est serré. Il est équipé d'un capteur de fin de course de position, activé lorsque le frein est fermé, et illustré sur la photo ci-contre (source CNR). Les deux informations, frein ouvert ou frein fermé, sont fournies à l'automate par ce même capteur, cela revient à dire que le capteur est en position 0 (frein non activé) ou 1 (frein activé). 51 Sous le contrÃŽle de l'automate, le frein à mâchoire et le moteur du treuil sont commandés par un variateur de fréquence. Frein et moteur sont tous deux alimentés depuis un tableau général basse tension dit « armoire force motrice ». L'écluse de Sablons est équipée de deux variateurs, modÚle Altivar 71 de la marque Schneider electric, installés dans l'usine attenante. Un seul variateur est actif et est utilisé pour piloter les deux portes de l'écluse, une rotation entre les deux est effectuée en cours d'année ou chaque année. Le variateur permet notamment de faire varier la vitesse du moteur et donc la vitesse de déplacement de la porte. Il génÚre principalement deux vitesses de consigne : une petite vitesse (10,2 Hz) servant au début et à la fin de manoeuvre de la porte ; une vitesse normale (50,2 Hz) utilisée en dehors des zones de petite vitesse, c'est-à-dire en dehors des temps de démarrage et de ralentissement ; ua rampe d'accélération est de 0 à 50,2 Hz en 3,2 s ; ua rampe de décélération de 50,2 à 10,2 Hz se fait en 3,2 s. 4.2.3 - Les capteurs de position de la porte La porte aval de l'écluse de Sablons fait l'objet de 12 capteurs de fin de course de position de la porte, soit 6 dédiés à la manoeuvre d'ouverture de la porte et 6 autres dédiés à la manoeuvre de fermeture, ce qui donne pour ce sens : 1 capteur de « ralentissement de la porte », à partir duquel se déclenche le passage de la vitesse normale à la petite vitesse de déplacement de la porte ; 3 capteurs de contrÃŽle de la position « porte fermée », dont 2 sont rattachés à l'automate de pilotage (APN) et l'autre est rattaché à l'automate de sécurité (CSU) ; 2 capteurs « surcourse », soit un pour chacun des automates susmentionnés, destinés à apporter une sécurité supplémentaire, dans le cas où, aprÚs avoir atteint sa position « porte fermée », la porte ne s'arrêterait pas. Si l'un de ces capteurs est activé, cela constitue un défaut et arrête le processus. Ces capteurs de fin de course sont fixés sur des glissiÚres, positionnées de part et d'autre des rails du chariot de manoeuvre et situées à l'extrémité : du sas de l'écluse, en rive droite, pour ce qui concerne la fermeture de la porte ; du garage de la porte, en rive gauche, pour ce qui concerne l'ouverture de la porte. Il s'agit de capteurs à croix, à basculement mécanique, dont l'axe de rotation est vertical, qui délivrent une information « tout ou rien », soit activé ou non activé. Ils sont actionnés mécaniquement par le chariot de translation de la porte, à partir de tiges métalliques verticales dénommées « doigts » fixées sur le dessus du chariot. Ces capteurs permettent donc de détecter la position extrême du chariot de manoeuvre auquel la porte est suspendue, ce qui revient à détecter, de maniÚre indirecte, la position de la porte, compte tenu du principe selon lequel le mouvement de la porte suit celui du chariot. 52 Les capteurs de fin de course, en rive droite, qui étaient en service au moment de l'accident Capteurs fermeture Brimbales « Doigt » amont du petit chariot 53 Chariot de manoeuvre qui est en position extrême en rive droite, correspondant à une position de porte fermée : le petit chariot se situe au droit des capteurs de fin de course. Rive droite amont - 3 capteurs neufs installés suite à l'accident : 1 capteur ralentissement (APN) 1 capteur porte fermé (CSU) 1 capteur surcourse (CSU) Rive droite aval 3 capteurs neufs, installés suite à l'accident : 2 capteurs porte fermée (APN) 1 capteur surcourse (APN) Vue sur le petit chariot, remis à neuf, qui active les 2 capteurs porte fermée avec son « doigt » aval Un capteur de position analogique fournit une information complémentaire sur la position du chariot de manoeuvre. Installé sur le cÃŽté rive gauche, il consiste en la lecture d'une cible fixée sur le chariot. Ce capteur n'est pas utilisé en tant que contrÃŽle de position et ne 54 participe pas au processus de manoeuvre de la porte. Il est principalement utilisé pour animer l'écran de supervision et permettre de visualiser l'avancée du processus. Récapitulatif du mécanisme de fermeture de la porte La porte se déplace en petite vitesse quand elle commence à se mettre en mouvement dans la rainure rive gauche du garage puis quand elle s'insÚre dans la rainure en rive droite. Elle se déplace à la vitesse nominale entre ces deux phases. Le processus commence par la mise en service du systÚme d'entraînement. Le moteur est mis sous tension, le variateur commence à appliquer une intensité qui crée un couple sur le moteur. Puis, sur commande du variateur, le frein se desserre tout en désactivant le capteur de fin de course correspondant. Le moteur accélÚre et met en mouvement le chariot tracteur ; La porte démarre en petite vitesse puis atteint sa vitesse nominale de déplacement aprÚs 3,2 secondes et aprÚs la désactivation des capteurs de fin de course (porte ouverte et ralentissement) associés à l'ouverture de la porte. La porte se déplace à la vitesse nominale jusqu'au début de la décélération. Lorsque le chariot franchit le capteur « ralentissement », l'entraînement décélÚre le mouvement de la porte en 3,2 secondes. Puis le chariot se déplace en petite vitesse, puis finit par atteindre le capteur « porte fermée » de l'automate de sécurité, puis les deux capteurs « porte fermée » de l'automate de pilotage. DÚs que ces derniers sont actionnés, le variateur arrête le moteur, le chariot s'arrête et le frein se referme tout en activant le capteur de fin de course correspondant. La porte est alors fermée, c'est-à-dire centrée par rapport à l'axe du sas, elle est alors insérée de 50 cm dans chacune de ses rainures, en rive droite et en rive gauche. Schéma récapitulatif 55 4.3 - Présentation du systÚme de contrÃŽle-commande 4.3.1 - Les principales caractéristiques Le systÚme de contrÃŽle-commande de l'écluse de Sablons a été mis en service en mars 2011, suite à une rénovation de l'installation électrique et des automatismes. Il est composé : d'un automate dit APN (automate programmable normal), qui gÚre l'ensemble de la conduite des processus de l'écluse ; d'un automate dit CSU (chaîne de sécurité ultime) qui joue un rÃŽle de contrÃŽle encadrant et dispose de ses propres capteurs. l'enchaînement des séquences de manoeuvre des organes et le pilotage de l'ensemble des actionneurs, tels que les freins et les moteurs ; les contrÃŽles de sécurité et les contrÃŽles de cohérence de la position des organes entre eux, via un certain nombre d'équations de défaut paramétrées dans l'automate. L'automate APN assure notamment : Une présentation plus détaillée figure en annexe 3. L'automate surveille et peut donc générer différents types de défaut, en lien avec une anomalie de fonctionnement d'un organe ou du processus d'éclusage. Plus d'une trentaine sont paramétrés en lien avec la porte aval de l'écluse, tels que : des défauts généraux : défauts électriques, mesures de niveaux d'eau ; des défauts d'interverrouillage : l'automate surveille que la position des autres organes est cohérente avec le mouvement ou avec la position de l'organe piloté ; des défauts « propres » à l'organe. Dans cette derniÚre catégorie figurent des défauts surveillés à partir des capteurs de fin de course associés à la porte. Par exemple, l'automate surveille en permanence la cohérence des informations données par ces capteurs les uns par rapport aux autres et effectue des contrÃŽles de temporisation à partir de variables calculées, tels que : « fins de course non atteints ensemble » : pour la position « porte fermée » ou « porte ouverte », qui est détectée à partir de deux capteurs distincts, l'automate lance une temporisation lorsque le premier capteur est atteint et génÚre un défaut si le second capteur n'est pas atteint au bout de la temporisation ; « temps trop long d'exécution » (TTLE) : surveillance du temps de manoeuvre de la porte et génération d'un défaut si ce temps est trop long. les défauts associés aux capteurs équipant le treuil : en cas de détection d'une surcharge mécanique ou d'une incohérence de position du frein ; les défauts ayant pour origine le variateur. Fonctionnant comme un mini programme, plusieurs types de défauts peuvent être paramétrés à son niveau, dont celui associé à la protection thermique du moteur. Cette protection consiste à limiter l'intensité du courant pour protéger le moteur de la surchauffe. En cas de défaut détecté au niveau du variateur, celui-ci transmet de maniÚre générique un « défaut variateur » à l'automate, défaut qui regroupe un ensemble de défauts paramétrés dans le variateur. Les défauts qualifiés de bloquants arrêtent automatiquement le processus avec mise en sécurité de l'écluse, sans énergie électrique. C'est le cas des exemples ci-avant. 56 Figurent également : 4.3.2 - L'interface avec l'opérateur et le rÃŽle de celui-ci Comme indiqué en 2.6.3, l'interface homme machine (IHM) comprend un écran relatif aux défauts consignés par l'automate et un écran de commande et de suivi de processus. Ce deuxiÚme écran permet à l'opérateur de lancer des commandes de manoeuvres d'éclusage grâce à un ensemble de touches de fonctions : Cycle montant / Cycle avalant / Commande / Arrêt. L'éclusage d'un bateau montant comprend 3 étapes de cycle : fermeture de la porte aval, remplissage du sas, ouverture de la porte amont. La conduite de l'écluse est réalisée dans un mode dit « pas à pas », impliquant pour chaque étape, une commande par l'opérateur ainsi que des vérifications et une validation par l'automate. La touche Arrêt est l'une des possibilités d'arrêter un processus en cours, les autres étant le bouton poussoir évoqué en 2.6.3 et un bouton d'arrêt d'urgence, encore davantage sécurisé, présent dans la salle du CGN. Cet écran permet également de visualiser sous la forme de synoptique la position des portes et des vannes et l'avancée du processus. Les variables de synthÚse animant ces vues sont créées par l'automate à partir des capteurs de position. La CNR a établi une note à destination du BEA-TT qui présente les consignes aux chargés de conduite en cas de défaut détecté par l'automatisme. Les défauts non bloquants n'appellent pas d'action immédiate de la part des opérateurs. Ils sont pour la plupart acquittables par les opérateurs et ceux-ci procÚdent en pratique à un acquittement, afin de « nettoyer » la page « défauts » de l'IHM. Les défauts bloquants provoquent l'arrêt du processus d'éclusage en cours et font retomber tous les ordres de manoeuvre. Certains de ces défauts ne peuvent être acquittés que par le personnel d'exploitation du site et nécessitent alors son intervention avant tout autre commande sur les organes. D'autres peuvent être acquittés par le chargé de conduite de l'écluse qui peut dÚs lors relancer une manoeuvre aprÚs l'analyse du défaut. Conformément à la note CNR, et si ce dernier se répÚte aprÚs un deuxiÚme acquittement, l'opérateur, en lien avec le chef de salle du CGN, sollicite l'exploitant pour analyse et/ou intervention. 57 4.4 - Les données enregistrées par les systÚmes lors de l'accident D'aprÚs les données des capteurs de niveau d'eau, le remplissage du sas lors de l'éclusage du PAMPERO paraît s'être effectué normalement jusqu'à la rupture de la porte. Lors de l'éclusage précédent, l'eau dans le sas est montée d'environ 12 m, étant rappelé que le sas est au niveau aval quand le bateau montant pénÚtre à l'intérieur. Le rythme de remplissage lors de l'éclusage du PAMPERO est similaire à celui de l'éclusage précédent jusqu'au moment où la porte cÚde. L'eau dans le sas était alors montée d'environ 8 m et devait donc atteindre au moins les 2/3 de la hauteur du caisson D de la porte. AprÚs la rupture de la porte, le niveau d'eau a ensuite baissé brutalement. La CNR a adressé au BEA-TT la consignation d'état, c'est-à-dire le séquençage des messages et des défauts de l'automate relatifs à l'éclusage précédent et à l'éclusage du PAMPERO. Pour ce dernier, un extrait figure ci-aprÚs et comporte, en derniÚre colonne, quelques décryptages ou précisions supplémentaires apportés par la CNR. L'analyse des données correspondantes peut être effectuée notamment en faisant le lien avec les séquences vidéos. En complément à celles présentées en partie 3.3. il est possible également de s'appuyer sur une autre caméra, celle qui fournit une vue sur la derniÚre partie du déplacement du chariot de manoeuvre de la porte. Elle fournit une vue sur l'extrémité de l'assemblage et le petit chariot, ce dernier ayant notamment pour fonction d'actionner les capteurs de fins de course associés à la fermeture de la porte. Correspondance entre la position du vantail de la porte et la position du chariot Lors de la fin de la manoeuvre de fermeture de la porte, le déplacement du chariot paraît se passer normalement, aucune différence ne paraît perceptible avec ce qui peut être visionné lors de l'éclusage précédent. Voir photo ci-aprÚs. L'enregistrement vidéo permet également d'observer que le chariot enregistre : un léger recul en direction de la rive gauche puis une secousse et un léger soulÚvement, au moment où l'élément C de la porte cÚde ou juste avant ; puis, des secousses plus importantes, qui le font décoller des rails puis y retomber, lors de la séquence où le bateau percute et emporte l'élément D de la porte. Un extrait de la consignation d'état relative à l'éclusage du PAMPERO figure ci-aprÚs (pour mémoire, Fdc est l'abrégé de fin de course). Le BEA-TT a également analysé les états se rapportant à l'éclusage précédent, ceux-ci n'indiquaient rien d'anormal. 58 HEURES 00:24:54.000 00:24:53.600 00:24:53.500 00:24:53.500 00:24:53.400 00:24:53.000 00:24:52.600 00:24:52.500 00:24:52.500 00:24:52.200 00:24:51.500 00:24:51.500 00:24:50.500 00:24:50.500 00:24:45.500 00:24:45.500 00:24:44.500 00:24:44.500 00:24:44.500 00:24:44.500 00:24:43.500 00:24:43.500 00:24:40.400 00:24:35.800 00:24:35.600 00:24:35.600 00:24:35.500 00:24:34.600 00:24:34.600 SRCE APN CSU APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN CSU CSU APN APN CSU DOM Détecteur Sas Niveaux Ecluse Détecteur Détecteur Détecteur Niveaux Ecluse Détecteur Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Détecteur Détecteur Sas Niveaux Sas PV Niveaux LIBELLE Bouch. Av - Détection passage bateau à l'amont Sas - Déf. sens de variation niveau chaine CSU remplissage Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Sas - Déf. sens de variation niveau chaine CSU remplissage Aval - Défaut gradient niveau Chaine CSU Sas - Déf. sens de variation niveau chaine 2 remplissage PV - Incohérence sur les FdC Aval - Défaut gradient niveau Chaine CSU ETAT DIS DIS DIS DIS APP DIS APP APP APP DIS DIS DIS APP APP DIS DIS DIS DIS APP APP APP APP APP DIS APP DIS APP DIS APP Commentaires CNR Detection de la sortie complÚte du bateau de la bouchure aval Detection de la vidange du SAS via la CSU Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau 00:24:34.500 00:24:34.500 00:24:33.800 00:24:27.500 00:24:27.500 00:24:27.500 00:24:27.500 00:24:26.500 00:24:26.500 00:24:26.500 00:24:26.500 00:24:23.400 00:24:22.600 00:24:22.500 00:24:22.400 00:24:21.500 00:24:21.500 00:24:21.500 00:24:21.500 00:24:20.800 00:24:20.800 00:24:20.800 00:24:20.600 00:24:20.600 00:24:20.500 00:24:20.500 00:24:20.500 00:24:20.500 00:24:14.300 APN APN APN APN APN APN APN APN APN APN APN CSU CSU CSU CSU APN APN APN APN APN APN APN APN APN APN APN APN APN APN PV Sas Détecteur Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux DGE DGE Niveaux Niveaux Ecluse Niveaux Ecluse DGE CGS CGE Ecluse Sas Niveaux Ecluse Niveaux Ecluse Sas PV - Incohérence sur les FdC Sas - Déf. sens de variation niveau chaine 1 remplissage Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine CSU DGE - Déclenchement par CSU DGE - Déclenchement par CSU Aval - Défaut gradient niveau Chaine CSU Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée DGE - Ouvert CGS - Ouvert CGE - Ouvert Cycle montant sélectionné Sas - Remplissage Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Sas - Remplissage 00:24:13.800 00:18:26.500 00:18:26.500 APN Sas APN Sas APN Ecluse Sas - Remplissage Sas - Remplissage Commande cycle 00:18:16.100 APN PV PV - En manoeuvre fermeture Detection de la vidange du SAS de la CSU Défauts des niveaux aval Detection de la vidange du SAS de l'APN Défauts d'incoherence sur les fdc Défauts des niveaux aval Détection de l'incohérence des FdC. Suspicion de perte fugitive d'un ou de plusieurs capteurs APN "FdC fermé", "FdC ouvert", "FdC ralentissement fermeture", "FdC ralentissement ouverture". Etant fugitif le changement d'état des APP capteurs n'a pas été enregistré. APP Detection de la vidange du SAS de l'APN APP Detection de la sortie de la bouchure aval du bateau DIS DIS DIS DIS APP Défauts des niveaux aval APP APP APP DIS DIS Déclenchement du DGE par la CSU APP APP DIS DIS Défauts des niveaux aval DIS DIS DEB Ouverture DGE CGS et CGE par l'APN (actions sur les équipements DEB électriques - contacteurs de sécurité - pour mise en sécurité) DEB FIN Fin du cycle FIN Fin du remplissage du SAS APP APP Défauts des niveaux aval APP APP DEB Reprise du remplissage du SAS Fin du remplissage du SAS Suspicion perte fugitive de un ou deux capteurs APN "FdC fermé" conditionnant la position fermée de la porte aval (vibration suite au détachement du 1er caisson). Etant fugitif le changement d'état des FIN capteurs n'a pas été enregistré. DEB Demarrage du remplissage du SAS Enclenchement de la commande du pas "remplissage SAS" depuis le DEB poste opérateur du CGN Porte Aval detectée fermée: 00:18:04 le capteur CSU "FdC fermé" bascule de 0 à 1 FIN 00:18:17 les 2 capteurs (APN) "fdc PV fermé" basculent de 0 à 1. Demarrage de la sequénce de fermeture de la porte aval. 00:16:28 les 2 capteurs "FdC ouvert" basculent de 1 à 0 00:16:28 le capteur CSU "FdC ouvert" bascule de 1 à 0 00:17:56 le capteur APN "ralentissement fermeture" bascule de 0 à 1 Enclenchement de la commande du pas "fermeture porte aval" depuis le poste opérateur du CGN Cycle montant selectionné depuis le poste opérateur du CGN Cycle montant proposé Mode de conduite PAS A PAS depuis le CGN 00:16:09.300 00:16:09.000 00:16:02.300 00:16:02.300 00:15:55.000 APN PV APN APN APN APN Ecluse Ecluse Ecluse Feux PV - En manoeuvre fermeture Commande cycle Cycle montant sélectionné Début de cycle montant LVE - Feu au rouge DEB DEB DEB DEB DEB 59 La consignation d'état montre que les premiers défauts détectés par l'automate interviennent quelques secondes aprÚs la rupture de la porte, qui s'est produite à 0 h 24 min 13 s d'aprÚs les séquences vidéos. Ils se rapportent à un problÚme de niveau d'eau à l'aval, probablement en lien avec la vidange du sas consécutive à la rupture de la porte. Une grande partie des défauts détectés ensuite par l'automate sont relatifs à ces mêmes phénomÚnes. Quelques autres défauts sont en lien avec la détection du bateau en train de sortir du sas. L'écluse est équipée en amont de la porte aval d'un dispositif radar de détection de bateaux, qui est destiné à éviter une manoeuvre de fermeture de la porte alors qu'un bateau se trouverait au droit de celle-ci. Le libellé « Bouch. Av - Détection passage bateau à l'amont » correspond aux détections par le radar du passage du PAMPERO lorsqu'il sort de l'écluse. Les séquences vidéos ont montré que le bateau a commencé à sortir du sas à 0 h 24 min 35 s pour finir de le quitter prÚs de 20 secondes plus tard. Le défaut d'incohérence sur les capteurs de fin de course détecté par l'automate à 0 h 24 min 34 s paraît être en lien avec les secousses subies par le chariot de manoeuvre lors de la séquence où le bateau heurte et emporte le caisson D de la porte. Au moment où la porte cÚde, on peut voir que l'automate consigne une « fin du remplissage du sas », puis une reprise du remplissage, avant de se mettre en défaut quelques secondes plus tard. Il s'agit en fait d'une fin d'action de remplissage et non pas la signification que le sas a fini d'être rempli. La CNR explique que cette fin d'action a certainement été déclenchée par la désactivation fugitive de l'un ou des deux capteurs de position fermée de la porte, en raison par exemple des vibrations induites par la rupture de la porte, ou encore de la secousse subie par le chariot lors de cette séquence. Mais il ne paraît pas tout à fait normal en termes de sécurité qu'une reprise de l'action de remplissage s'en soit alors suivie et donc que cette désactivation, même fugitive, n'ait pas entraîné un arrêt du processus. La CNR a, depuis, apporté une modification au niveau de la programmation de l'automate afin que le défaut d'interverrouillage « porte aval non fermée » agisse également en dehors de la phase de manoeuvre des vannes de remplissage. Le défaut était conditionné par la commande des vannes, il n'a donc pas agi au moment de l'accident pour arrêter le cycle, car les vannes, alors grandes ouvertes, n'étaient pas en train d'être manoeuvrées. Les équations correspondant aux autres défauts d'interverrouillage ont également été modifiées sur le même principe. L'action de remplissage du sas s'est donc interrompue au bout de prÚs de 6 minutes aprÚs son commencement. Elle a duré presque 9 minutes lors de l'éclusage précédent. La porte a été détectée fermée par l'automate à 0 h 18 min 17 s, c'est-à-dire lorsque les deux capteurs de position fermée de la porte de l'automate de pilotage ont été activés. Leur activation est intervenue 13 secondes aprÚs celle du capteur similaire de l'automate de sécurité, ce qui paraît long, et 21 secondes aprÚs celle du capteur déclenchant le ralentissement de la porte. Ci-contre, l'enregistrement de la caméra donnant la vue sur le chariot au moment de la fin de la manoeuvre de fermeture de la porte. 60 La durée de l'étape de fermeture de la porte, consignée par l'automate, est de 2 minutes et 7 secondes. Elle a été de 1 minute et 54 secondes lors de l'éclusage précédent. Pour information, la durée totale du cycle lors de l'éclusage précédent a été de 15 minutes environ. La CNR a établi, rapidement aprÚs l'accident, une revue des programmes des automates de l'écluse, où chaque équation de défaut et le séquentiel du processus sont analysés, ainsi que le listing chronologique des évÚnements consignés par l'automate lors de l'éclusage du PAMPERO. Elle souligne la piste de progrÚs évoquée ci-avant concernant certains défauts d'interverrouillage et conclut que le comportement des automates a été conforme aux attendus. Le BEA-TT a analysé l'ensemble des documents relatifs aux automates qui lui ont été adressés par la CNR et n'a pas de remarque complémentaire à formuler. Il a disposé également du constat des relevés d'informations des variateurs équipant l'écluse, qui a été établi aprÚs l'accident par l'huissier de justice mandaté par la CNR. L'huissier consigne que les variateurs de cette génération, modÚle Altivar 71 fabriqués en 2011, ne contiennent pas de fonction d'horodatage. Ils permettent de recenser les 8 derniers défauts qui sont apparus et de connaître à quelle heure de fonctionnement du variateur est apparu le défaut. S'agissant du variateur qui était en activité au moment de l'accident, la durée de fonctionnement est de 2123 heures et le dernier défaut enregistré s'est produit à la 1884e heure de fonctionnement, soit 239 heures avant la fin du fonctionnement enregistré du variateur. Le même type de relevé a été effectué pour le second variateur. Aucun défaut n'est donc apparu au niveau du variateur lors de l'éclusage du PAMPERO, ce qui est cohérent avec l'absence de défauts « variateur » consignés par l'automate. On peut noter par ailleurs que parmi les 8 derniers défauts apparus, 3 de ces défauts pour un variateur et 4 pour l'autre, concernent une « surcharge moteur », en lien avec la protection thermique du moteur. 61 4.5 - Les constats sur les piÚces de la porte et de l'écluse 4.5.1 - Les constats immédiats aprÚs l'accident et le chariot de manoeuvre Les photos ci-aprÚs ont été réalisées par la DREAL le lendemain de l'accident, soit avant le démontage de certaines piÚces et la mise hors d'eau du sas de l'écluse. Rappelons que le dispositif est composé d'un petit chariot et d'un grand chariot reliés par un treillis de liaison. Aux chariots sont reliés par l'intermédiaire de chapes des brimbales, qui sont de grandes piÚces métalliques en forme de lame, auxquelles la porte est suspendue. Ci-dessous - Vue de l'emplacement de la porte depuis la rive gauche : la porte est absente, elle a été détruite lors de l'accident. En fait et comme illustré en 4.5.2, le caisson A de la porte est resté en place, il est immergé donc non visible. Ci-contre ­ zoom sur le grand chariot : celui-ci est déraillé. 62 On constate une cassure au niveau du support de roulement amont rive droite du petit chariot. La DREAL indique que l'assemblage constitué des deux chariot de manoeuvre de la porte est déformé. Les deux brimbales assurant la liaison entre la porte et le petit chariot sont restées suspendues à ce dernier. Il en est de même des deux brimbales reliées au grand chariot (photo ci-avant). La DREAL indique qu'elles sont déformées. Pour rappel, les deux premiÚres sont en forme de I et les deux autres sont en forme de Y. Le petit chariot paraît positionné au droit des capteurs de fin de course, il semble être dans une position correspondant à un état de porte fermée, ce que la CNR a confirmé (voir ci-aprÚs). Reste de corde d'amarrage du bateau sur le bollard n° 3 (le 3e en partant de l'amont) de l'écluse situé en rive gauche 63 AprÚs l'accident, les brimbales et les chariots ont été démontés et évacués. L'huissier a constaté que le petit chariot a subi des déformations et des dégâts visibles, tels que la cassure d'un support de roulement illustrée ci-avant, et que les phénomÚnes sont moins visibles pour le grand chariot. Les poulies guides câbles spécifiques à ce dernier et utiles pour le déplacement de l'ensemble, ne sont pas visuellement abîmées. La CNR a indiqué que, aprÚs l'accident, le chariot de manoeuvre a été retrouvé dans une position correspondant à un état de porte fermée, le câble de traction était en place. Elle a effectué le repérage au sol de la position des roues de chacun des deux chariots avant leur dépose et a effectué un relevé des cotes correspondantes. Les photos ci-aprÚs, relevées par l'huissier, situent l'emplacement des roues du petit chariot. Les autres constats établis par l'huissier peuvent être résumés comme suit. Le treillis de liaison entre les deux chariots comporte Les chapes ne comportent pas de dégâts apparents. des piÚces de liaison qui ont subi des déformations. Vue d'une des chapes située sur le dessus du chariot Les deux brimbales du petit chariot sont tordues en partie centrale. Une des deux brimbales du grand chariot est déformée cÃŽté rive gauche. 64 4.5.2 - Les quatre caissons de la porte La porte est détruite au moment de l'accident. Comme illustré en partie 3 à partir des enregistrements vidéos, au moment de l'accident, le caisson C se désolidarise des caissons B et D et est éjecté de la porte et emmené par la vague créée par le vidage du sas. Le caisson B était alors pratiquement immergé en totalité, il a vraisemblablement été éjecté à peu prÚs au même moment que le caisson C. Le filet d'eau qui apparaît entre les caissons B et C juste avant la rupture de la porte laisse à penser que les liaisons entre ces deux caissons ont rompu avant que ce ne soit le cas des liaisons entre les caissons C et D. Puis le caisson D a été heurté par le PAMPERO et emmené avec lui lors de son éjection du sas. Il est resté encastré sur la partie arriÚre du bateau. Les caissons B et C seront retrouvés au fond de l'eau à proximité du bateau échoué. AprÚs mise à sec de l'écluse, le caisson A est retrouvé comme étant resté en place au fond du sas. Caisson D Ci-dessus, photo de localisation des caissons B et C au fond de l'eau. source CNR. Ci-contre, caisson D et caisson A. source gendarmerie. Caisson A Compte tenu de leur taille et de leur masse, d'autant que deux d'entre eux sont pleins d'eau, des moyens exceptionnels de relevage ont été mis en oeuvre pour procéder à l'évacuation de ces quatre éléments. Lors de sa premiÚre visite sur site, le BEA-TT a pu photographier le caisson A évacué et le caisson D encastré sur le bateau. Les opérations de repêchage des caissons B et C ont été filmées par la CNR, le BEA-TT a pu visionner 65 les enregistrements correspondants puis, lors de sa deuxiÚme visite, photographier les caissons, étant précisé que les piÚces métalliques de fixation des éléments de liaison inter-caissons avaient alors été prélevés par la CNR en vue d'une expertise métallurgique. Boîtes à galet Face aval du caisson CÃŽté rive droite CÃŽté rive gauche Face amont du caisson Photo CFT prise lors du levage du caisson D à la grue CÃŽté supports des bretelles de liaison Rive ont rompu. droite Caisson D encastré sur le bateau CÃŽté rive droite du caisson, les Le caisson D est trÚs endommagé. Son cÃŽté rive gauche présente des déformations plus prononcées. Au moment de l'accident, ses liaisons avec le caisson C se sont rompues. Les piÚces métalliques qui permettent la liaison avec le caisson C ne sont plus présentes, il en est de même pour les brimbales. Le fait que ces brimbales relient le caisson D aux chariots a pu contribuer à ce que ce caisson ne soit pas éjecté au moment de la rupture de la porte. Amont Rive droite Sortie du caisson C de l'eau à l'aide d'une grue ­ vidéo CNR. Ci-contre, caisson C sorti ­ photo BEA-TT Élément prélevé pour expertise Lors de la sortie de l'eau des éléments : aucune bretelle de liaison n'était encore présente au niveau du caisson C ; les deux bretelles et l'indexage situés en haut sur le cÃŽté rive gauche du caisson B étaient encore en place, ces éléments sont visibles sur les deux photos suivantes. 66 Caisson B suspendu par sa partie basse (donc vu à l'envers) à la grue et en train d'être posé Vidéo repêchage des caissons Photo prise sur caisson C vu de dessus Rive gauche aval Photo prise sur caisson B Un enfoncement est visible à environ un mÚtre de l'extrémité rive gauche du caisson, cÃŽté aval. Ci-contre ­ Les profilés métalliques sur l'amont du caisson sont tordus. Globalement, les dégâts des caissons B et C paraissent comparables. Seules quelques photos ont été choisies ici. Il apparaît en particulier que la face aval de chaque caisson présente un enfoncement à environ un mÚtre de son extrémité rive gauche et sur toute sa hauteur. Des traces de couleur orange, qui semblent espacées d'une valeur constante, sont visibles le long d'une trace verticale de déformation. Aucun dégât n'apparaît cÃŽté rive droite. Cette déformation verticale est constatée sur les deux piÚces et uniquement du cÃŽté rive gauche. 67 Lors de la fermeture de la porte, le caisson A a été tout le temps immergé. Enfoncé en partie dans la rainure permettant le déplacement de la porte et d'une structure plus robuste que celle des autres éléments, le caisson A est resté en place malgré l'accident. Le caisson A a été retrouvé (vue du dessus, photo gendarmerie, habillage BEA-TT) : comme étant inséré d'environ 1 m dans la rainure du garage en rive gauche Rive gauche et comme étant dégagé de la rainure en rive droite, d'une distance de 10 cm environ Aval Rive droite Déformation Amont Rive droite 10 cm Caisson A vu de l'amont CÃŽté rive gauche du caisson A, vu depuis le garage Photos de l'huissier Une seule bretelle de liaison sur les quatre est encore en place, celle cÃŽté rive gauche amont. Les dégâts sur le caisson A sont principalement présents au niveau des éléments de liaison avec l'élément B ainsi que sur la partie supérieure du caisson A. La déformation sur le dessus du caisson pourrait être lié à un choc avec le bateau lorsque celui-ci est passé par-dessus alors qu'il était en train de finir de sortir du sas. 68 Aval Anse et câble du panier Amont Bouclier chasse-boue CÃŽté rive droite du caisson A Vue du dessus sur le bas et le fond de la rainure rive droite et le bouclier du caisson A. Ci-contre : Rainure rive droite de la porte, vue du dessous (photo de l'huissier) Le câble vertical qui équipe le panier et remonte jusqu'en haut de la rainure en rive droite a été retrouvé sectionné. La partie supérieure du câble est pendante dans la rainure. Une autre partie de câble, reliée au panier, est retrouvée au bas. Elle se trouve au-dessus du bouclier et positionnée entre la rainure et le bas du caisson A de la porte, elle apparaît comme tendue contre la rainure. Ce câble a subi un pincement. L'huissier de justice note qu'un autre morceau de câble est retrouvé dans l'eau, à l'aval cÃŽté rive droite. Cela correspond a priori à l'autre partie du câble retrouvé pendant, dans la rainure (derniÚre photo ci-dessous). Certaines sections paraissent fortement rouillées. Un morceau de bois, d'environ 15 cm de diamÚtre, a été retrouvé coincé dans la rainure en rive droite, à environ la moitié de la hauteur de la rainure et à peu prÚs au niveau du sectionnement du câble du panier. Dans la position dans laquelle il se trouve, ce bois n'a pas pu avoir d'incidence vis-à-vis de la porte, il se situe en dehors de sa zone d'atteinte lorsque celle-ci se ferme, à plus de 50 cm du bord du bajoyer. En revanche, il peut avoir un lien avec le fait que le câble du panier ait été sectionné. HAUT Rive droite Vue d'en haut 69 AVAL Caisson A Rive droite Haut Indexeur retrouvé dans le panier Câble endommagé 10 cm Support de bretelle cassé Rouille Pincement Câble relié au panier aprÚs sortie du caisson A Morceau de câble retrouvé dans l'eau 70 4.5.3 - Le génie civil de l'écluse Plusieurs griffures sont observées sur le métal ou le béton présent au niveau de la porte. La tête de l'écluse est constituée de plusieurs poutres en béton armé : une premiÚre sur laquelle est adossée le pare-choc, puis deux autres qui descendent plus bas. Haut Rive gauche Pare-choc Rive droite Partie intérieure et aval de la rainure située en rive gauche Des traces importantes de frottement sont observées au niveau de la rainure en rive gauche, en partie haute. Sont observés des traces jaunes horizontales sur la poutre en béton située en aval du parechoc, des griffures du béton ainsi que des tuyaux de protection incendie détruits. Ces dégâts ont été probablement occasionnés quand la timonerie du PAMPERO, qui comporte des éléments de couleur jaune, est venue percuter la poutre, comme présenté en 3.3.3. 4.5.4 - Premiers éléments de conclusion Seules trois bretelles ont été retrouvées sur les caissons et sur leur cÃŽté rive gauche : l'une cÃŽté amont sur le caisson A et les deux situées en partie supérieure du caisson B. Concernant les supports de bretelle, ceux-ci avaient déjà été prélevés pour expertise lors de la visite sur site du BEA-TT, la CNR lui a fait savoir qu'un seul support de bretelle a rompu en rive gauche et que huit supports de bretelle ont rompu en rive droite. Le caisson inférieur a été retrouvé en place au fond du sas, inséré d'environ 1 m dans la rainure en rive gauche. Les deux caissons intermédiaires présentent une déformation verticale à environ 1 m de leur extrémité rive gauche et sur toute leur hauteur. Il est vraisemblable que cette déformation soit liée au pliage des caissons sur l'angle de la 71 rainure rive gauche, intervenue au moment de la rupture de la porte et avant que les caissons ne soient éjectés. Lorsqu'elle a rompu, la porte devait donc sûrement être insérée d'environ 1 m dans la rainure rive gauche et donc être dégagée de la rainure rive droite ou à peine engagée dans celle-ci, la porte étant plus large d'un mÚtre que le sas de l'écluse. On peut schématiquement illustrer cette position en reprenant le plan présenté en 4.1 et relatif à la position de la porte fermée en fonctionnement normal, qui rappelons-le, est d'être centrée par rapport au sas et de rentrer de 50 cm dans chacune des rainures. SAS Rive droite Rive gauche Tout laisse à penser donc que, lorsqu'elle a rompu, la porte n'était pas dans la position nominale d'une porte fermée, en étant engagée d'environ 1 m, au lieu de 50 cm, dans la rainure en rive gauche. Tout laisse à penser également que cette position pourrait être à peu prÚs celle que la porte a atteinte lorsque l'automate a considéré qu'elle était fermée. Autrement dit, elle se serait arrêtée sans sortir suffisamment de la rainure en rive gauche et donc sans s'insérer suffisamment dans la rainure en rive droite. Sinon cela impliquerait, aprÚs que la porte s'est fermée, qu'elle ait ensuite, au cours du remplissage du sas, reculé d'environ 50 cm en direction de la rive gauche. Au vu des forces en jeu, cela ne paraît guÚre possible même si l'on peut déceler, à partir de la vidéo de l'éclusage, un phénomÚne de bombement ou de mouvement latéral faible de la porte en direction de la rive gauche, se produisant juste avant qu'elle ne rompe. Logiquement, lorsque la porte est correctement fermée et qu'ensuite le sas se remplit, avec la pression de l'eau dans le sens amont-aval, les éléments de la porte viennent se plaquer contre la rainure, il n'y a alors pas de force significative exercée dans le sens rive-rive. Cela ne paraît pas possible non plus d'un point de vue mécanique. D'aprÚs le document descriptif de la CNR, la porte n'est pas manoeuvrable en charge et l'automate n'a enregistré aucun changement d'état de la position de la porte avant qu'elle ne rompe ni d'ailleurs aucune commande d'ouverture de porte. À ce stade, ces éléments amÚnent le BEA-TT à considérer que le scénario possible de l'accident consiste en la rupture d'une porte n'ayant pas atteint correctement sa position fermée, bien qu'elle ait été détectée fermée par le systÚme de contrÃŽle-commande. Cela impliquerait alors que le chariot de manoeuvre ait bien effectué la trajectoire attendue, mais sans pour autant que ce soit le cas de la porte, située entre 6 et 21 m au-dessous, et suspendue au chariot. 72 4.6 - Les expertises de la CNR et les causes directes de l'accident Dans le cadre de sa démarche d'analyse de l'accident, la CNR a mené des études approfondies et fait réaliser certaines expertises complémentaires. Une présentation en est faite en annexe 4 et, ci-aprÚs, de maniÚre synthétique. L'analyse des vidéos de plusieurs éclusages par photogrammétrie montre que : La porte s'est mal fermée lors de l'éclusage du PAMPERO, avec un décalage de 40 cm environ en direction de la rive gauche. Elle n'était donc pas pleinement dans sa rainure en rive droite. Le décalage observable sur le plan vertical laisse supposer que la porte était plus élevée cÃŽté rive gauche que rive droite. Juste avant la rupture, la porte s'est décalée d'une quinzaine de centimÚtres supplémentaires vers la rive gauche, comme pour un mouvement d'ouverture, pour se retrouver in fine décalée de presque 60 cm sur le plan horizontal. Le temps de manoeuvre de la porte, entre l'étape de démarrage du moteur et l'activation des deux derniers capteurs de position fermée de la porte, a été plus longue de 12,5 secondes que la moyenne, qui est de 101,6 secondes. L'analyse détaillée montre que le temps de manoeuvre jusqu'à l'atteinte du capteur de ralentissement est dans la moyenne et que l'écart apparaît se situer au moment de l'atteinte des trois capteurs de position fermée de la porte et plus particuliÚrement des deux capteurs de l'automate de pilotage. L'étude mécanique et cinématique montre que, en cas de blocage de la porte en partie inférieure, au cours de sa fermeture, en cas de non-fonctionnement du systÚme de contrÃŽle de la charge du treuil, le moteur de celui-ci délivre un effort important qui fait que les brimbales extérieures du grand chariot moteur ne sont plus tendues et peuvent flamber sous l'effet de la compression. Ce phénomÚne, contrairement au principe de sa conception, conduit à une perte du couplage entre la position de la porte et celle du chariot de manoeuvre dans le sens rive-rive. Le chariot peut alors continuer sa course et actionner les capteurs à partir desquels l'automatisme considÚre que la porte est fermée, tandis que la porte, bloquée, ne s'insÚre pas suffisamment dans sa rainure en rive droite. L'étude montre que le déplacement du chariot implique alors une légÚre rotation de la porte, comme la photogrammétrie tendait à l'illustrer, et que la capacité du treuil est suffisamment importante pour permettre au global cette configuration. La porte s'est donc mal fermée, avec un défaut de fermeture de 40 cm par rapport à la situation nominale, et avec une possible différence entre le haut et le bas : l'élément du haut pouvait être presque engagé correctement dans la rainure, tandis que l'élément du bas l'était trÚs peu, voire pas du tout. Au cours du remplissage du sas et juste avant la rupture de la porte, un effort rive-rive, dont la génération a été rendue possible du fait du mauvais positionnement de la porte, a conduit à faire reculer la porte d'une dizaine de cm supplémentaires en direction de la rive gauche et donc à la faire sortir pratiquement complÚtement de sa réservation en rive droite. Les éléments de liaison inter-caissons subissent alors des efforts liés à la poussée hydrostatique, pour lesquels ils ne sont pas conçus, ce qui conduit à ce qu'ils se déforment et rompent. La CNR a identifié que le filet d'eau, qui se met en place entre les caissons B et C de la porte, illustré au point 3.3.2, s'initie à 0 h 24 min 12 s et 384 milliÚmes et que l'élément C cÚde à 0 h 24 min 13 s et 184 milliÚmes, sachant que le caisson B n'est pratiquement pas visible lors de cette séquence. Le filet d'eau paraît donc s'être mis en place au moment où la porte s'est retrouvée complÚtement en dehors de la rainure, vu le décalage de 55 cm (d'aprÚs l'annexe 4) qui est alors mesuré. 73 Le blocage de la porte pourrait être lié à la présence d'un bois ou d'un objet flottant qui l'aurait donc empêchée de rentrer correctement dans sa rainure en rive droite. Le BEA-TT a regardé quel avait pu être, géométriquement, le comportement de la porte en cas de survenance d'un tel blocage. Les schémas illustratifs correspondants sont présentés en annexe 5. La CNR conclut que le scénario ayant causé l'accident est celui correspondant à ce phénomÚne de blocage et « concomitamment à une défaillance du dispositif qui contrÃŽle l'effort délivré par le treuil, de la limitation de courant dans le variateur de vitesse et du Temps Trop Long D'Exécution (TTLE) ». Autrement dit, malgré le blocage de la translation de la porte, les efforts générés par le blocage n'ont pas conduit : à actionner la protection mécanique ; à créer une surcharge électrique qui excéderait les limitations internes du variateur ; à ralentir suffisamment la manoeuvre pour déclencher le défaut relatif au TTLE qui est paramétré dans l'automate. Dans les faits, il s'avÚre que le dispositif de protection mécanique peut être considéré comme n'étant pas fonctionnel au moment de l'accident, alors que son dimensionnement avait bien été prévu dans la note de calcul d'origine. Il apparaît que cela a constitué une condition nécessaire et suffisante pour rendre possible le scénario de l'accident. D'aprÚs les notes de calcul se rapportant à la résistance de la porte que la CNR a adressées au BEA-TT, et plus particuliÚrement les notes de calcul du treuil de manoeuvre et des indexages latéraux, l'effort de manoeuvre nécessaire pour déplacer la porte est de 3,6 t, et au niveau du câble de 1,8 t, selon le schéma de fonctionnement suivant : L'effort au treuil correspond à celui au niveau du câble. Un effort de 1,8 t au treuil permet de décupler au niveau du chariot, via les deux poulies, l'effort de 3,6 t nécessaire pour déplacer la porte. La note de calcul du treuil est celle d'origine, établie en 1977 par le constructeur ARKOS. Elle prévoit un coefficient de sécurité consistant à surdimensionner le câble d'un facteur 8 par rapport à l'effort nominal de 1,8 t, soit 17,65 kN. La note comprend également le calcul de la protection de surcharge mécanique présenté en 4.2.2. Le calcul comprend deux propositions, l'une consistant à ajuster le systÚme à l'effort strictement nécessaire et l'autre consistant à permettre une marge avec un facteur de 1,2. La CNR mentionne un réglage inconnu de cette protection au moment de l'accident et formule l'hypothÚse selon laquelle le systÚme de contrÃŽle de la charge du treuil n'était 74 donc pas alors fonctionnel. Le test effectué avec les réglages existants lors de la survenue de l'accident n'a pas permis d'enclencher la surcharge mécanique malgré un effort de 34 kN appliqué, soit prÚs de 2 fois l'effort nominal déterminé dans la note de calcul du constructeur. La CNR a également confirmé au BEA-TT que le problÚme avait bien porté sur le tarage et non pas sur les capteurs proprement dits. Suite à l'accident, elle a procédé à un réglage de la protection de la surcharge mécanique existante, sur la base d'un paramétrage de 20 kN sur le brin de câble, ce qui permettrait donc une marge d'effort de : 20 / 17,65 = 1,13. S'agissant du TTLE, la CNR a écrit qu'il était inadapté à la présente situation. Le réglage du TTLE était de 215 s, soit 3 min 35 s alors que le temps de manoeuvre de la porte est en moyenne de 101,6 s, soit 1 min 42 s. Lors des échanges, la CNR a expliqué au BEA-TT que ce réglage était effectué en prenant en compte une certaine notion de dépassement de temps, par exemple le double du temps moyen. Le TTLE n'était donc aucunement réglé dans une optique quelconque de sécurité et le défaut associé au niveau de l'automate pouvait donc difficilement être considéré comme une protection. Suite à l'analyse de l'accident, la CNR a ajusté le réglage de ce paramÚtre en le calant sur le temps moyen de manoeuvre de la porte + 5 secondes. S'agissant du variateur, bien qu'il intégrait une limitation de courant visant à protéger le moteur de la surchauffe, il a été constaté qu'un effort important délivré par le treuil ne s'accompagne pas nécessairement d'une atteinte de cette limitation de courant. D'aprÚs les entretiens effectués par le BEA-TT auprÚs des opérateurs du CGN, ceux-ci considÚrent que les défauts liés à la fermeture et à l'ouverture des portes d'écluse, avec l'apparition d'un défaut au niveau de l'automate, sont courants. La CNR a indiqué que les défauts de l'automate déclenchant le plus souvent l'arrêt du processus, sont : la surcharge mécanique, le TTLE, la non-atteinte synchronisée des capteurs de fin de course, et parfois le variateur, notamment lorsque la porte se coince à mi-parcours. Dans le cas de l'accident, l'important effort délivré par le treuil a plutÃŽt eu lieu en fin de processus de fermeture de la porte, cela n'a visiblement pas eu pour effet de générer une surintensité au niveau du variateur. La CNR a précisé que, depuis 2012, 9 cas de défauts, en lien avec cette protection thermique du moteur, ont été enregistrés au niveau du variateur pour l'écluse de Sablons. Elle a adressé au BEA-TT une extraction, pour l'année 2019, des données des automates relatives à l'apparition de défauts associés à la porte aval de l'écluse de Sablons et aux autres portes aval de conception similaire, à partir desquelles on peut noter ce qui suit : Au niveau de l'écluse de Sablons, des défauts bloquants sont apparus 13 fois, la plupart sont liés au défaut de capteurs de fin de course ouvert ou fermé non atteints ensemble. L'un de ces défauts a fait l'objet d'une intervention de l'exploitant et de l'annotation d'un problÚme de capteur. Des défauts d'interverrouillage sont apparus 3 fois, dont 1 fois ayant donné lieu à une sollicitation de l'exploitant par le CGN. Concernant la porte aval de l'écluse d'Avignon, des défauts bloquants sont apparus 15 fois, 6 fois pour un défaut de surcharge mécanique, 7 fois pour un défaut de capteurs de fin de course fermé non atteints ensemble, 2 fois pour un autre défaut lié aux capteurs de fin de course fermé. Le défaut lié au TTLE a par ailleurs été activé 1 fois. S'agissant de la porte aval de l'écluse de Caderousse, des défauts bloquants sont apparus 4 fois, dont 3 fois en raison d'un défaut de surcharge mécanique. S'agissant de la porte aval de l'écluse de Vaugris, des défauts bloquants sont apparus 30 fois, la plupart sont liés au moins à un défaut de surcharge mécanique. 75 Sauf erreur, aucun défaut propre au variateur n'est apparu en 2019 au niveau de ces portes. Suite à l'analyse de l'accident, la CNR a procédé à de nouveaux réglages des limitations de courant traités en interne par le variateur, de maniÚre à également limiter le couple maximal généré par l'ensemble moteur-variateur. Le paramétrage correspondant a été effectué sur la base d'un calcul de couple maximal de 20 kN pendant plus d'une seconde. Si le courant dans le moteur franchit le seuil paramétré pendant une durée supérieure au seuil de temporisation, le variateur va alors générer un contact de défaut qui va activer un défaut bloquant au niveau de l'automate. La différence avec le premier paramétrage se joue sur la temporisation. En complément, le BEA-TT s'est interrogé sur l'intérêt d'utiliser certaines des fonctions applicatives dont est doté le variateur de vitesse, telles que celles dénommées « fins de course », « mesure de charge », « contrÃŽle de couple » et « limitation de couple » dans la documentation du constructeur. La CNR a indiqué que ces fonctions n'étaient pas implémentées jusqu'alors pour ce qui concerne son parc d'écluses et qu'elle n'envisageait pas d'évolution à ce sujet. 4.7 - Le panier, son câble et le bois coincé dans la rainure rive droite Comme illustré en 4.5.2, le câble vertical qui est relié au panier, positionné au bas à l'extrémité de la rainure en rive droite, a été retrouvé sectionné et un morceau de bois a été retrouvé coincé dans cette même rainure à une hauteur d'environ 9 m, à peu prÚs au niveau du sectionnement du câble. Dans son rapport, la CNR relate ces constats. Le BEA-TT a cherché à savoir quels liens éventuels pouvaient être faits, entre ces éléments entre eux, et entre ces éléments et l'accident. Le morceau de bois peut avoir un lien avec le fait que le câble du panier ait été sectionné. En tout état de cause, dans la position dans laquelle il a été retrouvé, il empêcherait le bon fonctionnement de la remontée du panier. Lors d'un échange avec le BEA-TT, la CNR a indiqué n'avoir aucune idée sur ce qui a pu causer la cassure du câble et ne pas pouvoir dire quand le câble s'est cassé, entre mars 2019 et le jour de l'accident. Lors de la derniÚre intervention de maintenance en mars 2019, le panier a été manoeuvré par une équipe interne de la CNR et aucun problÚme de câble ne s'est produit à cette occasion. La CNR ne dispose pas de rapport en lien avec cette intervention. D'aprÚs le rapport de la CNR, le câble est constitué de quatre éléments reliés entre eux, d'une longueur de 4 m pour le câble le plus bas, appelé câble n° 1, qui est relié au panier, et de 5,5 m pour les trois autres, le dernier ayant un point d'attache en haut au génie civil. C'est donc le câble n° 2 qui a été sectionné et dont la partie haute a été retrouvée pendante dans la rainure, tandis le câble 1 a été retrouvé en bas au fond du sas. D'aprÚs les constats effectués par la CNR, le câble n° 1 apparaît en mauvais état, rouillé et avec de nombreux brins cassés. Cela donne l'impression que le câble cassé traînait dans l'eau, au fond du sas, depuis un certain temps et que ce dispositif est peu entretenu. L'expertise des deux câbles qui a été réalisée par la société TRANSCABLE-HALEC souligne également la forte corrosion des fils ainsi qu'une « dégradation anormale de l'âme textile, certainement due à l'absence de lubrification du câble ». La présence de ce câble sectionné a fait partie des diverses hypothÚses de mode de défaillance que la CNR avait recensées lors de ses premiÚres analyses. Si elle n'a pas été retenue in fine comme pouvant avoir un lien avec les causes de l'accident, elle a donné lieu à la mise en place d'une mesure préventive qui reste à ce jour en vigueur et consistant à intégrer un contrÃŽle visuel du bon état du panier aux rondes hebdomadaires. 76 Si le câble a été cassé antérieurement à l'accident et traînait au fond de l'écluse, il paraît être de diamÚtre trop petit pour pouvoir coincer la porte lors de sa fermeture, mais cela aurait pu arriver avec le galet de guidage de la porte si celui-ci roulait sur son guide. Cette hypothÚse paraît pouvoir être écartée compte tenu de la position dans laquelle le câble a été retrouvé aprÚs l'accident, comme évoqué ci-aprÚs. Comme illustré en 4.5.2 et sur les photos ci-aprÚs de la CNR, le câble a été retrouvé, positionné au-dessus du bouclier et comme s'il était tendu et coincé entre la rainure et le bas du caisson A de la porte, ce qui a d'ailleurs pu être la cause du pincement constaté. On aperçoit une sorte de tige, entre la rainure et le caisson de la porte, perpendiculaire à ce dernier. La CNR a précisé au BEA-TT qu'il s'agit en fait d'un morceau de bois. Celui-ci semble aussi bizarrement placé qu'il paraît misérablement petit. Il paraît peu vraisemblable qu'il ait pu contribuer au blocage de la porte lorsqu'elle s'est fermée. Si le câble avait cassé antérieurement à l'accident et traînait au fond de l'écluse, comme illustré par exemple sur la photo ci-dessus, prise aprÚs évacuation du caisson, le bouclier avec le galet de guidage aurait dû alors logiquement rouler par-dessus lorsque la porte s'est fermée, même incorrectement. La position dans laquelle le câble a été retrouvé ne paraît pas cohérente avec l'hypothÚse d'un câble qui aurait cassé avant l'accident. En conclusion, ces éléments ne permettent pas de formuler des hypothÚses bien évidentes, si ce n'est le fait qu'il est peu plausible que le câble du panier ait joué un rÃŽle dans la genÚse de l'accident. 77 4.8 - La remise en exploitation de l'écluse AprÚs une mobilisation importante de ses équipes, la CNR a pu remettre en service l'écluse un peu plus d'un mois aprÚs l'accident, donc dans des délais relativement réduits. Elle a pour cela utilisé un tablier de rechange qu'elle avait commandé en 2008 dans le cadre de son plan de secours. La CNR a engagé en parallÚle l'étude - conception d'une porte neuve, dont la mise en place est prévue dans le courant de l'année 2022. La nouvelle porte aval mise en place comprend 8 caissons boulonnés, au lieu de 4 éléments auparavant et qui étaient reliés entre eux par des bretelles et des indexages. Sa conception est différente, car le constructeur n'est pas le même que celui de la porte d'origine. Le grand chariot a été réparé, le petit chariot est neuf. Les capteurs de fins de course du chariot, le câble du panier, les brimbales et le câble du treuil ont été remplacés. La remise en exploitation de l'écluse a fait l'objet de la formalisation, par la CNR, d'un protocole, pour faire suite en particulier à la demande de la DREAL de disposer de toutes les justifications permettant de garantir une reprise de la navigation en toute sécurité. Sa mise au point a fait l'objet d'échanges avec le service de contrÃŽle et VNF y a été associé. Le document correspondant rend compte des travaux et essais préalables effectués avant remise en service : structure de la porte - contrÃŽle de fabrication et pour le montage de la porte ; essais et contrÃŽles fonctionnels, hors automatisme puis avec l'automate pour requalifier le fonctionnement de la porte intégré à l'automatisme avec ses capteurs. Il présente les mesures préventives ou compensatoires mises en place en accompagnement au retour en exploitation, en lien avec les différentes hypothÚses de facteurs causaux de l'accident qui étaient alors en cours d'investigation, dont : Présence de bois : cette mesure concerne la conduite à tenir par l'opérateur et l'intervention de l'exploitant et a été rendue pérenne par la CNR (voir 5.6.1). Câble du panier sectionné : comme présentée précédemment, cette mesure consiste en une vérification visuelle à intégrer lors des rondes hebdomadaires. Structure et assemblage de la porte : cette mesure a consisté en la réalisation de contrÃŽles mensuels, par une visite à sec permettant une inspection visuelle complÚte de la porte, dont l'objectif est d'évaluer son comportement aprÚs plusieurs éclusages. Cinématique de la porte : des mesures de surveillance ont été mises en place, impliquant la mobilisation de deux agents durant l'éclusage, soit un agent du CGN en conduite exclusive de l'écluse de Sablons et un exploitant sur site effectuant des contrÃŽles au plus proche des équipements. Ce dispositif a été mis en place dans les premiers temps, jusqu'à ce que la CNR définisse puis mette en oeuvre des nouvelles mesures de sécurité tenant compte des enseignements de l'accident. A l'occasion d'une inspection effectuée en août 2020, il a été constaté qu'une lisse de la porte a bougé et que les boulons de fixation ont été cisaillés. L'arrêt de navigation a été prolongée la journée de maniÚre à effectuer les réparations : remplacement des vis et changement de certaines visseries. Par ailleurs, la poursuite par la CNR de certaines études de structure a mis en évidence un risque de voilement (une forme d'aplatissement des plafonds et des planchers des caissons) et des contrÃŽles complémentaires effectués lors d'une visite d'inspection, ont permis de constater de légers voilements au niveau de certains caissons. Un arrêt de navigation a alors été programmé du 9 au 12 octobre 2020 pour des investigations complémentaires puis prolongé jusqu'au 22 octobre pour réaliser des travaux de confortement de type pose de poutrelles IPN. 78 L'ensemble des mesures préventives et compensatoires définies dans le protocole de remise en exploitation ont été réalisées, ce qui a permis de mettre fin au protocole et de considérer que l'écluse est en exploitation normale depuis juillet 2021. 4.9 - La surveillance et la maintenance 4.9.1 - Principes généraux de la surveillance Le document intitulé « Consigne de surveillance de l'aménagement » a pour objet de fixer les modalités de surveillance et d'en définir l'organisation. Il est élaboré notamment en application du R. 214-122 du Code de l'environnement et fait l'objet d'une approbation formelle de la DREAL, en charge du contrÃŽle de la sécurité des ouvrages hydrauliques. D'aprÚs la version projet 2019, qui constitue une mise à jour de la précédente, les différentes modalités de surveillance reposent sur : des dispositifs et mesures d'auscultation des ouvrages principaux de génie civil ; la réalisation des livrables réglementaires que sont les rapports de surveillance et d'auscultation et les visites techniques approfondies, génie civil et électro-mécanique ; les essais sur les matériels stratégiques ; la réalisation par l'exploitant de visites périodiques sur le terrain ou rondes. On peut donc faire la distinction entre le dispositif de surveillance réglementaire, qui paraît comprendre les trois premiers points ci-dessus, et celui constitué des visites réguliÚres de l'exploitant, qui sera présenté dans un second temps. 4.9.2 - La surveillance réglementaire Le BEA-TT a été destinataire des derniÚres versions des livrables réglementaires établies en 2019 pour l'aménagement (au sens des installations) du Péage-de-Roussillon. Ces documents font état, globalement, d'un bon état et d'un bon niveau de fonctionnement des ouvrages. Ils ne font pas apparaître d'éléments négatifs significatifs. Concernant le volet relatif aux équipements des ouvrages, il apparaît toutefois, d'aprÚs les différents documents de la CNR, que le dispositif de surveillance réglementaire porte plus particuliÚrement, voire seulement, sur « les équipements électromécaniques qui concourent à la maîtrise de la sûreté des aménagements, par exemple lorsqu'ils constituent une barriÚre de sécurité mentionnée dans l'étude de dangers ». Selon les documents, la CNR mentionne également la notion de matériels stratégiques pour la sûreté hydraulique ou la notion d'organes de sécurité. Ils font l'objet d'une surveillance particuliÚre, par la réalisation d'essais et de vérification de fonctionnement, qui est retranscrite dans les livrables réglementaires. Le document relatif à la consigne de surveillance de l'aménagement comprend un tableau présentant les principaux organes de sécurité et essais associés. Le rapport de surveillance établi par CNR pour l'année 2018 présente les manoeuvres effectuées sur les organes de sécurité et évoque les essais effectués sur d'autres barriÚres de sécurité. Aucun des éléments ainsi mentionnés ne concerne directement l'écluse. Le compte rendu de la visite technique approfondie électromécanique retranscrit la vérification de bon fonctionnement de certains matériels stratégiques pour la sûreté de l'aménagement. Les éléments relatifs à l'écluse paraissent plus succincts et moins détaillés, comparés à ceux relatifs à l'usine et au barrage. Par ailleurs, pour ces derniers, 79 le document aborde le systÚme de contrÃŽle-commande ainsi que le dispositif de téléconduite, ce qui n'est pas le cas pour l'écluse. Le document retranscrit également la vérification du bon fonctionnement des barriÚres de sécurité techniques recensées dans l'étude de dangers de l'aménagement. Aucun de ces éléments ne concerne directement l'écluse. Cela s'explique par le fait que l'étude de danger en vigueur à la date de l'accident ne comprend pratiquement aucune barriÚre de sécurité associée à l'écluse. 4.9.3 - Les visites périodiques réalisées par l'exploitant Ces visites sont présentées dans la consigne de surveillance de l'aménagement. Concernant le génie civil, les rondes de l'exploitant sont réalisées au pas bimensuel ou trimestriel selon les ouvrages, complétées par une visite annuelle qui se passe éventuellement en même temps que la visite réglementaire, qui, elle, est réalisée à période réguliÚre dépendant de la classe des ouvrages. Concernant l'électromécanique, les rondes de l'exploitant, appelées aussi tournées d'exploitation sont réalisées au pas hebdomadaire. En fait, l'organisation des équipes locales est calée sur une semaine, au même rythme que l'astreinte. En une semaine, l'exploitant inspecte visuellement l'ensemble des points devant être vus. Ces rondes consistent en des observations visuelles et des relevés de paramÚtres. Elles font également l'objet de petites actions de maintenance et incluent la réalisation d'un diagnostic de l'installation, portant notamment sur le contrÃŽle de cohérence des niveaux de débit et le relevé des données consignées par les automates. Au pas mensuel, la ronde est complétée par un relevé des différents indicateurs de fonctionnement des organes ou une surveillance spécifique de certains. Un tableau présente les différents organes contrÃŽlés lors de ces rondes. Pour l'écluse, figurent notamment le systÚme de contrÃŽle-commande, les treuils, les portes. Lors des échanges avec le BEA-TT, la CNR a indiqué que les rondes permettent notamment de vérifier visuellement le bon état des capteurs associés à la position des portes des écluses et que le suivi régulier et l'analyse des défauts consignés par les automates relÚvent des missions de suivi d'exploitation. 4.9.4 - Principes généraux de la maintenance La périodicité de maintenance des ouvrages ne fait pas l'objet d'un cadrage réglementaire. La DREAL explique que l'exploitant fixe ses périodicités en fonction des enjeux de sécurité et d'exploitation, en s'appuyant sur : le retour d'expérience de l'exploitation des matériels ; les préconisations des constructeurs ; les recommandations de l'ingénierie agréée de la CNR ; ainsi que sur le niveau de confiance attendu, associé à la notion de probabilité de défaillance, sur lequel l'exploitant s'engage au travers de l'étude de dangers. L'activité de maintenance de la CNR s'appuie sur l'élaboration de plans de maintenance type du matériel et fait l'objet de planifications annuelles et pluriannuelles. Elle comprend la maintenance courante et la maintenance spécifique, cette derniÚre étant notamment calée en fonction des résultats des différentes visites des ouvrages. Les opérations à réaliser sont classées en 3 niveaux d'intervention : 80  Le 1er niveau (N1) correspond à des actions de surveillance ou de contrÃŽle simples, généralement récurrentes, qui sont réalisées par les équipes locales d'exploitation de la direction territoriale de la CNR et avec appui si nécessaire de prestataires externes. Les deux autres niveaux (N2 et N3) correspondent à des opérations complexes ou à forte technicité de contrÃŽles et de réglages d'équipements sensibles, qui sont prises en charge par des entités de maintenance spécialisées de la direction territoriale ou du siÚge de la CNR. Le référentiel technique de la CNR « RT EM 37 - Plan de maintenance type, portes d'écluses et vannes d'aqueduc d'écluses » daté de 2009 constitue le cadre général de la maintenance des portes d'écluses sur le RhÃŽne. Le document liste les opérations à réaliser, en termes de maintenance et de surveillance, pour chacun des organes et équipements des portes d'écluse, en précisant la fréquence et le niveau duquel relÚve l'intervention (N1, N2 ou N3). La fréquence des opérations varie de la semaine à des opérations pluriannuelles, s'agissant par exemple des contrÃŽles détaillés. Les périodes de chÃŽmage annuel des écluses rentrent dans ce cadre. Chaque année aux alentours du mois de mars, il est programmé sur une dizaine de jours un arrêt de la navigation sur l'ensemble des écluses du bassin, permettant la mise à sec des écluses et le contrÃŽle des portes, et en particulier des éléments qui sont habituellement immergés ou difficilement accessibles. 4.9.5 - La maintenance annuelle lors des périodes de chÃŽmage des écluses Dans le cadre de la période de chÃŽmage programmée en mars 2020, certaines interventions étaient prévues au niveau de la porte aval de l'écluse de Sablons, telles que le remplacement des étanchéités, la réparation de fissures au niveau du caisson B, le réglage de la porte. Ces interventions ne paraissent pas sortir de l'ordinaire, elles étaient peut-être un peu plus nombreuses pour cette porte par comparaison à celles programmées sur les autres portes. Le BEA-TT a demandé à la CNR l'historique et le rendu compte des derniÚres interventions de maintenance réalisées au niveau de la porte et de ses équipements. La CNR a adressé en retour les rapports de visite de la porte effectués lors des périodes de chÃŽmage de 2018 et 2019 ainsi que les rapports d'intervention effectués en 2019. Les rapports de visite comprennent : Un rapport établi par une entreprise spécialisée dans les interventions en milieu difficile en hauteur, l'objectif de cette intervention étant de vérifier le bon état des dispositifs de fixation au niveau des liaisons inter-caissons et des lisses d'appuis de la porte. Un rapport d'expertise de la porte établi par la CNR, qui fait état de la réalisation de certaines interventions et liste en conclusion celles à prévoir, lors d'un prochain arrêt de navigation pour certaines ou lors du chÃŽmage de l'année suivante pour la plupart. Pour l'année 2019, ces éléments sont complétés par un rapport d'expertise de la CNR portant sur les piÚces fixes c'est-à-dire les zones d'appui de la porte dans la rainure. Cette démarche ne paraît donc pas avoir été réalisée en 2018, alors que le référentiel de maintenance de la CNR prévoit un contrÃŽle annuel15 de ces éléments. Les rapports d'interventions effectués en 2019 présentent les actions réalisées lors du chÃŽmage et lors de deux arrêts de navigation d'une nuit, en juin et octobre. Ces derniÚres 15 Le référentiel prévoit le contrÃŽle des piÚces fixes tous les ans pour les portes à dégagement latéral et tous les 3 ans pour celles à dégagement vertical, la version de juin 2019 prévoit un an dans les deux cas. 81 interventions visaient à suivre les réparations effectuées précédemment et notamment à assurer une surveillance d'une fissure réparée dans le caisson B de la porte. Un réglage de la porte était prévu lors du chÃŽmage de mars 2020. D'aprÚs les mentions figurant dans les rapports de 2019, il s'agit apparemment de procéder à un réglage des boîtes à galet, porte fermée, réglage qui n'a pas pu être effectué en mars 2019 en raison de l'intervention des cordistes en lien avec le remplacement des tuyauteries d'incendie. Le rapport de mars 2019 mentionne également une difficulté à réaliser les tâches dans le délai imparti en raison de la non-disponibilité de la grue durant la totalité du chantier. Enfin, ces documents rendent compte d'une anomalie intervenue au niveau du chasse-boue et du systÚme de panier. 4.9.6 - Le systÚme de panier de dévasage CNR a précisé que ce panier est hissé, nettoyé et remis en place systématiquement lors du chÃŽmage annuel et que, par ailleurs, il n'est alors jamais plein. Il s'avÚre que cette intervention annuelle n'est pas mentionnée dans le référentiel de maintenance et ne fait pas l'objet d'une traçabilité, étant précisé que toutes les écluses ne sont pas équipées d'un tel systÚme de panier. Le rapport de la visite de février 2018 mentionne que le chasse-boue en rive droite est absent et indique en conclusion qu'il convient de prévoir son remplacement. Les rapports de visite et d'intervention de mars 2019 mentionnent que ce chasse-boue a été retrouvé dans le panier, ce qui laisse à penser, d'une part que le panier n'a pas été hissé lors du chÃŽmage de 2018 et d'autre part que la porte est restée au moins pendant un an sans chasse-boue en rive droite. Il est indiqué : Il a été constaté, lors des essais de manoeuvre de la porte, que « la porte ne ferme pas complÚtement, car le chasse boue venait en contact avec le panier, qui n'était pas dans sa bonne position (présence de bois dessous) ; le chasse-boue venait heurter le panier en bout de course ce qui explique pourquoi il a été endommagé en 2017 et probablement les dégradations sur les boîtes à galet. Lors de cette intervention, la rainure a été nettoyée et le panier redressé. Une fois le panier remis en place et aprÚs essais, il n'y a plus d'interférence avec le chasse-boue. Il faut prévoir un nettoyage régulier du panier et de sa rainure pour éviter des dégradations sur le chasse-boue, la structure de la porte et les boîtes à galet ». Par ailleurs, les constats réalisés aprÚs l'accident sur le mauvais état du câble du panier laissent à penser que ce dispositif est peu entretenu. Lors des échanges avec le BEA-TT, la CNR a convenu que le panier est plutÃŽt traité comme un sujet accessoire et donc avec un suivi qui n'est pas forcément régulier. Pour mémoire, suite à l'accident, la CNR a par ailleurs intégré aux rondes hebdomadaires un contrÃŽle visuel du bon état du panier et l'analyse développée en 4.7 a conclu qu'il est peu plausible que le panier et son câble aient joué un rÃŽle dans la genÚse de l'accident. 4.9.7 - Le contrÃŽle des réglages des protections du contrÃŽle-commande Il a été indiqué précédemment que la CNR fait état d'un réglage inconnu, au moment de l'accident, de la protection de la surcharge mécanique, destinée à limiter l'effort de traction au niveau treuil de manoeuvre de la porte. La CNR ne semble par ailleurs disposer d'aucune traçabilité sur le sujet, si bien qu'il ne lui a pas été possible de préciser 82 quel était le dernier réglage connu, ni quand une intervention ou vérification correspondante avait pu être faite. Le rapport de visite de la porte établi lors du chÃŽmage de 2019 rappelle de façon synthétique les principales opérations de maintenance réalisées les 10 derniÚres années et mentionne un incident survenu en août 2012. Cet incident, lié apparemment à un blocage au niveau de la porte, avait déclenché une surintensité au niveau du variateur et une intervention de l'astreinte de l'exploitant, suite à laquelle avait été diligentée une expertise puis une intervention de maintenance. Le rapport d'intervention mentionne que « le positionnement des capteurs de surcharge n'est pas optimum et qu'il est nécessaire de reprendre leur position afin d'assurer une bonne protection de la porte ». La CNR a indiqué ne pas disposer de traçabilité sur les éventuelles actions entreprises suite à ce constat. Le référentiel de maintenance prévoit annuellement « le contrÃŽle des réglages et efficacité des protections électriques et mécaniques, fins de course, etc., agissant sur le contrÃŽle-commande », selon une liste de vérifications à adapter à chaque site. La fiche type utilisée par la direction territoriale concernée de la CNR pour la réalisation, lors des chÃŽmages, de ces opérations de maintenance, intitulée « MAE porte amont et aval » prévoit certains de ces contrÃŽles mais sans avoir prévu d'en consigner la traçabilité correspondante. Elle récapitule en préambule les contrÃŽles et opérations à effectuer sur le treuil de chacune des portes et également en ce qui concerne la sécurité des portes, avec des essais concernant la surcharge et la protection thermique des moteurs. On constate un décalage entre ce listing mentionné en préambule de la fiche et la partie à renseigner par l'agent de maintenance pour rendre compte de l'intervention. La CNR a par ailleurs mis en évidence que l'un des problÚmes réside dans le fait que les contrÃŽles de la protection mécanique étaient réalisés de maniÚre partielle, consistant à effectuer un test de l'action de la protection au niveau de la chaîne électrique par la simulation de défauts de surcharge, et non pas un test sur la détection de la surcharge. La fiche type évoquée ci-avant paraît effectivement ne porter que sur ce contrÃŽle partiel. Dans le plan d'actions adossé à son rapport d'analyse de l'accident, la CNR a retenu d'ajuster en terme documentaire le mode opératoire pour tester la surcharge mécanique et les limitations électriques pour la porte en exploitation. Enfin, l'étude des facteurs organisationnels et humains (FOH) établie par la CNR souligne que l'équipe locale n'est pas forcément en capacité de réaliser le contrÃŽle adéquat de cette protection mécanique et que ce contrÃŽle pourrait valablement relever d'un niveau de maintenance supérieur (N2), « compte tenu de son caractÚre sensible vis-à-vis de la sécurité et de la nécessité de disposer d'une procédure et de matériel particulier ». Ce même type de remarques semble également devoir s'appliquer pour ce qui concerne le contrÃŽle des protections électriques. Il paraît relever d'un niveau d'intervention N1, réalisée donc par l'exploitant local, d'aprÚs le référentiel de maintenance des portes d'écluses, tandis qu'il relÚve d'un niveau de maintenance spécialisée (N2) pour ce qui concerne les autres blocs de l'aménagement, tels que l'usine et le barrage. Il peut effectivement être souligné que cette protection de surcharge mécanique, telle qu'elle est conçue, avec le systÚme de capteurs sur ressort, ne paraît pas simple à régler. Le systÚme est différent sur d'autres portes de conception similaire. La CNR a retenu d'engager une étude sur l'amélioration de cette protection puis d'éventuels travaux correspondants, cela pourrait être par exemple des capteurs d'effort analogique positionnés directement sur le câble et qui permettraient d'avoir une donnée en continu sur les efforts. 83 5 - Causes et facteurs associés, orientations préventives 5.1 Le schéma des causes et des facteurs associés Le scénario ayant causé l'accident est celui d'une porte d'écluse qui ne s'est pas fermée correctement, en raison d'un blocage possiblement lié à un bois flottant, mais qui a été détectée fermée par les automatismes. Dans le cas présent, cela a été rendu possible par le fait que la position de la porte est connue de maniÚre indirecte, à partir de la position du chariot de manoeuvre auquel elle est suspendue. Cela implique qu'il y ait eu une perte du couplage entre la position de ces deux éléments dans le sens rive-rive. Pour que cette configuration se produise, il a été nécessaire que le dispositif d'entraînement de la porte développe un effort bien supérieur à l'effort normalement nécessaire pour déplacer celle-ci. La surcharge mécanique au niveau du treuil aurait dû logiquement être détectée si la protection correspondante avait été fonctionnelle. Les autres éléments qui auraient pu contribuer à assurer une protection vis-à-vis d'une telle configuration, tels que le contrÃŽle du temps de manoeuvre de la porte et la limitation de courant au niveau du variateur de vitesse, n'étaient pas paramétrés dans une optique de sécurité. Comme précisé en 4.6, la CNR a procédé aux améliorations nécessaires relativement aux trois dispositifs qui n'ont pas joué leur rÃŽle de protection lors de l'accident. Ceux-ci ont par ailleurs été explicités, de maniÚre à constituer formellement des barriÚres de sécurité. Ils n'étaient pas jusqu'à présent considérés comme tels, notamment au niveau de l'étude de danger, avec donc l'analyse de risque et le niveau de fiabilité associé. La CNR a produit en 2021 une version actualisée de l'étude de danger, dans laquelle elle intÚgre, avec l'identification des barriÚres de prévention associées, le scénario d'une rupture d'une porte de l'écluse de Sablons, liée à un défaut de fermeture qui conduirait au mauvais engagement de la porte dans sa rainure et donc à un mauvais alignement avec ses piÚces fixes d'appui. L'étude souligne que la résistance de la porte est beaucoup plus faible dans cette position et que les portes de l'écluse de Sablons, qui sont à dégagement latéral et constituées de caissons assemblés, sont sensibles à ce type de risque. La CNR a établi un rapport d'analyse des causes de l'accident intégrant les engagements sur un plan d'actions et complété par une étude des FOH, dont on peut souligner la profondeur des investigations réalisées. Dans le cadre de ce plan, elle mentionne qu'elle a réalisé une analyse des similitudes entre les portes de l'écluse de Sablons et les portes latérales d'autres de ses écluses et qu'elle analysera au cas par cas la duplication, de tout ou partie des mesures identifiées pour Sablons, aux portes ayant une conception similaire, ce qui a d'ores et déjà été réalisé pour ce qui concerne les réglages des trois dispositifs de protection. Les investigations conduites, dont celles développées dans les parties qui suivent, permettent d'établir le schéma ci-aprÚs sur le déroulement de l'accident, les causes et les facteurs associés. En concertation avec le BARPI, une autre représentation des causes premiÚres et profondes, selon la méthodologie qu'il a développée, est présentée en annexe 6. Les causes profondes concernent l'identification des risques ainsi que la maintenance ­ surveillance de l'ouvrage et le BEA-TT considÚre que l'état actuel des réglementations a pu y contribuer. L'analyse a conduit par ailleurs le BEA-TT à rechercher des orientations préventives en lien avec la gestion des bois flottants aux abords des écluses et les process des opérateurs de téléconduite. 84 85 5.2 - Des fragilités au niveau de la maintenance et de la surveillance L'absence de réglage de la protection de surcharge mécanique est liée en premier lieu à un manque de précision au niveau des processus de maintenance et de surveillance. Les vérifications effectuées annuellement par les équipes locales vis-à-vis des protections mécaniques et électriques étaient partielles et n'incluaient donc pas un contrÃŽle des réglages proprement dits, en raison notamment de l'absence d'un mode opératoire détaillé. Tout laisse à penser également que le contrÃŽle périodique du réglage de ces protections, qui était qualifié comme relevant d'un niveau intervention N1 (contrÃŽles simples par les équipes locales) alors qu'il se rapprocherait plutÃŽt d'un niveau N2 (contrÃŽles à forte technicité ou d'équipements sensibles par des entités spécialisées), n'avait pas été véritablement intégré par la CNR. La protection mécanique ne semblait pas être vue comme un élément de sécurité, sachant par ailleurs qu'il y avait peu de risque d'endommager un élément du systÚme de manoeuvre, vu le dimensionnement assez important du treuil, du câble, etc. Cela peut expliquer la faible attention qui semblait être portée sur ce sujet, la CNR ayant été en particulier dans l'incapacité de préciser quel était le dernier réglage connu de cette protection, comme évoqué également en 4.9.7. Il est aussi possible de considérer que, avec le temps, la CNR a pu perdre de vue la note d'origine du constructeur sur le calcul du limitateur de surcharge. Dans son plan d'actions, elle prévoit de conduire une action documentaire consistant à décrire dans un référentiel technique la méthodologie de calcul des seuils encadrants pour les protections et limitations. Les modifications du référentiel de maintenance qui ont été apportées par la CNR en 2019 et qui concernent les interventions effectuées à partir de 2020 paraissent traduire une évolution défavorable : le contrÃŽle du fonctionnement des protections électriques et mécaniques agissant sur le contrÃŽle-commande relÚve dorénavant d'une périodicité quinquennale, et non plus annuelle comme cela semblait être le cas dans la version initiale du référentiel. Sans arguments relatifs au choix effectué, le BEA-TT juge préférable que le contrÃŽle de fonctionnement des protections, ainsi que le contrÃŽle de leur réglage, soient réalisés au moins annuellement. Ainsi, le fait que certains enjeux de sécurité n'aient pas été identifiés peut contribuer à expliquer, en partie, les défauts observés en termes de maintenance et de surveillance. Le rapport du Conseil général des ponts et chaussées sur l'accident mortel survenu en 1998 à l'écluse de BollÚne soulignait que les évolutions d'organisation ont pu être la cause d'une perte de mémoire sur la conception des équipements, les conditions de leur bon entretien et la vérification de leur fonctionnement. Si ce rapport a été établi en faisant référence à un contexte d'organisation qui était alors complÚtement différent pour la CNR (organisation mixte CNR-EDF), le BEA-TT considÚre que ces aspects méritent qu'une attention y soit apportée. Par ailleurs, l'étude des FOH commanditée par la CNR met en évidence plusieurs types de fragilités organisationnelles dans ce domaine, tout en rappelant que l'équipe locale de l'exploitant réalise ces missions lors des rondes et des interventions sur site, tandis que le CGN centralise la conduite et la surveillance des écluses en mode distant. Elle souligne par exemple un manque de prise en compte des constats issus des rapports de travaux établis par l'exploitant et d'exploitation des fiches réalisées lors d'une intervention d'astreinte. À la lecture des comptes rendus établis lors des chÃŽmages ou lors des interventions plus ponctuelles, le BEA-TT a effectivement constaté que toutes les remarques consignées par l'exploitant lors d'une intervention n'étaient pas forcément suivies d'effet et que certaines interventions manquaient par ailleurs de traçabilité. 86 En outre, si le référentiel de maintenance des portes d'écluses de la CNR paraît bien construit, sa mise en application semble présenter certaines failles. Celui-ci mentionne que les actions de maintenance doivent être adaptées à chaque ouvrage en fonction des matériels existants et des particularités du site. La CNR a indiqué que l'adaptation, à l'écluse de Sablons, de ce plan type n'avait pas encore été finalisée et a précisé que ce référentiel correspond également à un objectif cible d'amélioration par rapport à une situation pouvant encore laisser la place à des disparités de mise en oeuvre. L'étude des FOH évoque à ce sujet un manque de supervision par la direction territoriale vis-à-vis des opérations réalisées par ses équipes locales, ainsi qu'un manque de suivi et de contrÃŽle par la direction du siÚge vis-à-vis de la bonne mise en oeuvre des référentiels et la bonne réalisation des plans de maintenance au sein des directions territoriales. L'étude des FOH souligne que certaines de ces lacunes rendent plus complexe l'exploitation de la récurrence de signaux faibles ou dysfonctionnements, liés notamment aux problématiques de blocage de porte. D'aprÚs les entretiens effectués par le BEA-TT auprÚs des opérateurs du CGN, ceux-ci ont l'impression que les manoeuvres infructueuses de portes d'écluse ne sont pas exceptionnelles : la porte ne va pas jusqu'au bout et l'automate génÚre alors un défaut. Ils doivent consigner sur le carnet de bord tout évÚnement particulier lié à un dysfonctionnement bloquant ou récurrent constaté sur un équipement. Un autre opérateur suggÚre davantage de liens entre le CGN et l'exploitant, s'agissant par exemple des échanges concernant l'état de l'écluse, les interventions effectuées ou le retour d'expérience. L'étude de la CNR relative aux FOH souligne d'ailleurs le peu d'échanges entre ces services, en dehors des sollicitations habituelles du CGN auprÚs de l'exploitant, en cas de difficultés particuliÚres, et de la consultation journaliÚre par l'exploitant du carnet de bord de l'écluse tenu conjointement par le CGN et l'exploitant. L'analyse réguliÚre par l'exploitant des défauts consignés par l'automate devrait normalement contribuer à la détection de ces signaux faibles. Le BEA-TT s'interroge sur la nature et l'étendue de l'analyse qui est en pratique réalisée, notamment compte tenu du fait qu'un grand nombre de défauts sont acquittés par le CGN et que cela a pour effet de les rendre moins facilement visibles pour l'exploitant. 5.3 - L'écluse et la réglementation relative aux ouvrages hydrauliques 5.3.1 - La surveillance réglementaire Compte tenu des éléments présentés en 4.9.1 et 4.9.2, il apparaît que l'écluse et ses équipements associés semblent être peu pris en compte dans le cadre de la surveillance réglementaire, ou du moins, des livrables correspondants que la CNR adresse au service de contrÃŽle. S'agissant du volet électromécanique et contrÃŽle-commande, les éléments concernant l'écluse paraissent en effet être abordés dans ces livrables plus sommairement que pour les autres ouvrages de l'aménagement hydroélectrique. La surveillance réglementaire doit notamment comprendre des vérifications de fonctionnement des organes de sécurité. La procédure interne de la CNR relative aux essais et vérifications sur les matériels stratégiques comprend une liste d'organes en rapport avec les écluses. Or, trÚs peu de ces éléments sont retranscrits dans les livrables réglementaires. Ces principes paraissent discutables ou il y a lieu du moins de considérer que la liste des organes entrant dans le cadre de cette surveillance réglementaire et des livrables 87 correspondants pourrait valablement inclure certains des dispositifs de sécurité propres à l'écluse et certains équipements associés à la manoeuvre des portes, indépendamment de leur identification éventuelle en tant que barriÚre de sécurité dans l'étude de danger. D'aprÚs l'article R. 214-123 du Code de l'environnement, les visites techniques approfondies (VTA) constituent des modalités pratiques de cette surveillance réglementaire. L'article mentionne que l'exploitant surveille et entretient l'ouvrage. Il procÚde notamment à des vérifications du bon fonctionnement des organes de sécurité et à des visites techniques approfondies de l'ouvrage. La consistance de ces vérifications et visites est précisée par l'arrêté prévu par l'article R. 214-128 du Code de l'environnement. La DREAL a précisé que cet arrêté reste à rédiger par la DGPR. Avant son abrogation, l'arrêté du 29 février 2008, qui définissait ce qui était attendu lors d'une VTA, mentionnait que ces visites détaillées de l'ouvrage sont menées par un personnel compétent, en hydraulique, en électromécanique, en géotechnique. Le compte rendu précise, pour chaque partie de l'ouvrage, les constatations, les éventuels désordres observés, et les suites à donner en matiÚre de surveillance, d'exploitation, d'entretien, etc. S'agissant des écluses, les interventions effectuées lors du chÃŽmage annuel paraissent autant relever de la maintenance que de la surveillance. Elles pourraient donc utilement contribuer à rendre compte de la surveillance auprÚs du service de contrÃŽle, en complément des visites techniques approfondies (VTA). Les aménagements hydroélectriques de la CNR étant en général de classe A, ils font l'objet d'une inspection annuelle de la part de la DREAL. Dans son rapport d'inspection, la DREAL mentionne que : « L'inspection a pour objectif de vérifier que l'exploitant met tout en oeuvre pour satisfaire à ses obligations réglementaires ; La visite de l'ouvrage permet à la fois une meilleure connaissance de l'ouvrage par le service de contrÃŽle, et un examen visuel, non exhaustif, de son état. L'état de l'ouvrage est avant tout considéré ici comme un indicateur de l'efficacité des actions de surveillance et d'entretien mises en oeuvre par l'exploitant et n'est en aucun cas une visite technique de celui-ci ». La partie sur site de l'inspection se déroule sur une journée, comprenant une réunion de bilan et une visite des ouvrages de l'aménagement. La DREAL a indiqué au BEA-TT que la visite s'effectue par sondage et que l'écluse n'est pas forcément regardée. Le rapport d'inspection 2019 mentionne que la visite a permis d'observer les éléments mis en évidence dans le rapport des VTA et liste les principales zones visitées (pour l'écluse, il est indiqué : galerie de l'écluse). 5.3.2 - L'étude de danger D'aprÚs le L. 211-3 du Code de l'environnement, l'étude de dangers a pour objectif d'évaluer les risques que présente l'ouvrage pour la sécurité publique, directement ou indirectement en cas d'accident, que la cause soit interne ou externe à l'ouvrage. Elle définit les mesures propres à réduire la probabilité et les effets de ces accidents. L'étude de danger de l'aménagement hydroélectrique du Péage-de-Roussillon, en vigueur à la date de l'accident, a été réalisée en octobre 2013. Elle porte sur la totalité des ouvrages de l'aménagement, soit le bloc usine-écluse de Sablons, le barrage de Saint-Pierre-de-Boeuf et les endiguements. Dans le cadre de sa réédition décennale, la CNR a fourni en 2021 une nouvelle étude et aprÚs y avoir intégré les enseignements issus de l'accident du PAMPERO. 88 Elle repose sur une démarche d'analyse des risques qui identifie les scénarios d'accident qui pourraient survenir sur l'ouvrage et amener à une situation dangereuse, qui est définie comme une situation pouvant conduire à la libération de tout ou partie de l'eau de la retenue ou à la surélévation anormale du plan d'eau de la retenue. Elle est réalisée à partir de l'analyse fonctionnelle de l'ouvrage et de l'identification des modes de défaillance possible des organes clés et en prenant en considération les aléas naturels, tels que les crues. Elle identifie les mesures, d'ordre technique ou organisationnel, de traitement du risque, appelées « barriÚres de sécurité ou de prévention ». Le niveau de confiance accordé à celles-ci, apprécié en fonction de leur efficacité et de leur fiabilité, permet de diminuer la probabilité d'occurrence de certains scénarios accidentels. La criticité des différentes situations dangereuses est ensuite évaluée en fonction de leur probabilité d'occurrence et de la gravité des conséquences. Globalement, les deux études de danger sont peu centrées sur l'écluse et sont plus focalisées sur les autres ouvrages de l'aménagement, qui peuvent davantage être impliqués dans une situation dangereuse, telle qu'elle est définie. L'écluse y est traitée dans sa fonction « barrage », sachant que cette fonction n'a pratiquement aucune incidence sur la sécurité des tiers ni sur la sécurité de l'aménagement hydroélectrique proprement dit. L'étude de 2021 va même jusqu'à mentionner, dans sa présentation générale, que l'aménagement a pour fonction de produire de l'électricité. Le BEA-TT considÚre que la fonction relative à la navigation devrait également être citée, même à titre secondaire, dÚs lors que l'écluse est comprise dans l'aménagement et prise en compte dans l'étude. Les études identifient les sources potentielles d'agression externes pouvant impacter les ouvrages ainsi que les enjeux exposés aux dangers potentiellement générés par ceux-ci, tels que les zones habitées, les sites industriels. Le trafic fluvial, dont le transport fluvial de marchandises dangereuses, qui circule sur le fleuve est mentionné parmi les enjeux, en cas d'onde de submersion provenant de l'aménagement. Conformément à la doctrine nationale qui a d'ailleurs été renforcée16 sur ce point, ce trafic fluvial est surtout traité comme une source potentielle d'agression externe, notamment en cas de dérive d'un bateau qui viendrait bloquer des vannes du barrage. L'étude de 2021 intÚgre, en plus, le scénario relatif à l'incendie d'une barge d'hydrocarbures dans le sas de l'écluse. Hormis les sujets de génie civil et de stabilité de l'ouvrage, l'écluse paraît traitée trÚs sommairement dans l'étude de 2013. Par exemple, l'analyse fonctionnelle interne est peu détaillée, par comparaison au barrage et à l'usine. Les items relatifs au treuil et au câble, qui permettent de déplacer la porte, ne sont pas mentionnés, alors que le treuil et les chaînes, qui assurent le déplacement des vannes, sont mentionnés pour le barrage. La nouvelle étude intÚgre désormais une présentation des portes et du systÚme de contrÃŽle-commande de l'écluse, ainsi qu'un volet relatif au bilan de conception et d'état des ouvrages, dans lequel les sujets relatifs à l'écluse sont abordés, à l'exception toutefois du contrÃŽle-commande. Il y est précisé que le dimensionnement pour la tenue en statique des portes, qui a été calé à partir de la norme allemande DIN 19704, édition 1976, est conforme à l'édition actuellement en vigueur de cette norme, mais que la tenue à la fatigue des portes n'a pas été prise en compte en conception initiale. L'étude de 2013 intÚgre le scénario d'une rupture d'une porte, amont ou aval, de l'écluse en identifiant trois causes potentielles, que sont le vieillissement, la collision d'un bateau, un séisme. La nouvelle étude prend en compte également, désormais, la cause relative à un défaut de fermeture de la porte, comme explicité en 5.1, ainsi que, en plus du 16 L'arrêté du 6 août 2018 fixant des prescriptions techniques relatives à la sécurité des barrages demande une prise en compte spécifique des situations accidentelles de choc de bateau sur les ouvrages. 89 vieillissement, la sensibilité intrinsÚque de la porte à la fatigue, pour laquelle il est précisé qu'une maintenance spécifique permet de reprendre les fissures qui apparaissent et les soudures afin d'éviter que ces défauts n'affaiblissent la structure. La nouvelle analyse de risque mentionne aussi le scénario d'une ouverture intempestive de porte, comme ce fut le cas lors de l'accident de 1998 à l'écluse de BollÚne, tout en indiquant que l'écluse de Sablons n'est pas concernée, car les portes ne sont pas manoeuvrables en charge. La gravité correspondant à ce scénario d'accident est évaluée de niveau 2, c'est-à-dire impactant moins de 100 personnes, l'étude de 2021 précisant que les navigants présents dans le sas au moment de l'accident sont concernés et que le nombre moyen de personnes par éclusage est de 60 environ. Il peut être fait remarquer que cette gravité pourrait être reconsidérée à la hausse si le choix méthodologique était fait de tenir compte du nombre maximum potentiel de personnes par éclusage, qui pourrait atteindre le nombre de 200 dans le cas d'un paquebot fluvial, ou encore de la gravité des lésions potentielles aux personnes ou des dommages dans le cas d'un bateau de matiÚres dangereuses. 5.3.3 - Conclusions des sous-parties 5.2 et 5.3 D'aprÚs les documents relatifs à l'aménagement hydroélectrique du Péage-de-Roussillon qui étaient en vigueur au moment de l'accident, les livrables que la CNR établit au titre de la réglementation sur la sécurité des ouvrages hydrauliques abordent l'écluse de maniÚre plus sommaire comparé aux autres ouvrages de l'aménagement, hors domaine relatif au génie civil. Cela peut en partie s'expliquer par le fait que, vu sous l'angle de cette réglementation, l'écluse ne constitue pas un ouvrage à enjeu. La mise en oeuvre actuelle de cette réglementation donne l'impression en effet que le niveau d'exigence en termes de livrables est porté de façon prioritaire sur les ouvrages hydrauliques proprement dits. Cela a pu contribuer à ce que l'analyse de risques concernant les portes de l'écluse n'ait pas été réalisée de maniÚre assez approfondie dans le cadre de l'étude de danger. Dans ce cadre réglementaire et pour le cas présent de l'écluse de Sablons, l'attention portée par la CNR sur les portes d'écluse ne paraît pas suffisamment considérer celles-ci comme un ensemble fonctionnel avec les équipements associés à leur manoeuvre. Les processus propres à l'exploitant qui sont déployés parallÚlement à ce cadre, en termes de maintenance et de contrÃŽle, font aussi apparaître, pour l'écluse de Sablons, un certain manque d'attention en la matiÚre et, plus généralement, le fait que la maintenance est perfectible. La politique de sécurité des ouvrages hydrauliques porte sur les risques aux ouvrages et aux tiers situés à leur aval. Si de ce fait, l'étude de danger réalisée par la CNR ne traite pas des risques que représente l'écluse pour ses usagers, on voit qu'elle peut toutefois contribuer à leur prise en compte, en intégrant des scénarios de rupture ou d'ouverture accidentelle des portes, comme cela a été le cas dans le cadre de la mise à jour de l'étude aprÚs l'accident. Cette intégration paraît pouvoir rentrer pleinement dans le champ d'application de cette réglementation, où les portes d'écluses sont considérées dans leur fonction de « barrage ». Le rapport établi par le CGEDD17 en 2018 sur l'évaluation de cette politique pour les ouvrages de VNF souligne que, si les obligations réglementaires de cette derniÚre sont à apprécier au regard du risque d'inondation pour les riverains, les écluses de hauteur de chute importante méritent une attention particuliÚre, compte tenu des masses d'eau en jeu et du précédent de l'écluse de BollÚne sur le RhÃŽne de 1998, même si en l'occurrence la sécurité concerne moins les riverains que les usagers. 17 Conseil général de l'environnement et du développement durable 90 Pour des ouvrages de cette dimension, il serait souhaitable d'avoir une analyse des risques (arbre de défaillance) examinant la manoeuvre et sa cinématique, les organes critiques, les défaillances qui peuvent intervenir et les conséquences. Il est par ailleurs possible de considérer que des questions se posent quant au champ d'application de la politique de sécurité des ouvrages hydrauliques et à la nature des risques aux tiers pouvant être pris en compte dans ce cadre. Selon la DREAL, une clarification de la DGPR concernant la prise en compte des risques liés à la défaillance des écluses, notamment des effets dominos associés, s'avÚre souhaitable. Dans les principes actuels, la notion de tiers englobe les personnes situées en aval des ouvrages. Logiquement, les risques vis-à-vis des navigants dans l'écluse devraient également pouvoir être pris en considération, car il s'agit de tiers et ils font partie de l'environnement anthropique de l'ouvrage hydraulique, tel qu'évoqué par le cadre réglementaire sur le contenu des études de danger. Les autres questions pourraient alors être les suivantes et à relier à la partie 5.4 ci-aprÚs : Quels types de risques pour les navigants peuvent être pris en compte ? Par exemple : le risque de coincement d'un bateau entre des portes d'écluses, le risque de chute à l'eau ou de perte d'équilibre d'un bateau pendant un éclusage pourraient-ils être considérés comme entrant dans le champ de la sécurité des ouvrages hydrauliques ? D'aprÚs le R. 214-116 du Code de l'environnement, les études de danger prennent également en compte des évÚnements de gravité moindre mais de probabilité plus importante tels que les accidents et les incidents liés à l'exploitation de l'aménagement. Selon l'interprétation que l'on en fait, cet énoncé pourrait recouvrir beaucoup de choses. Ces éléments demanderaient une interprétation de la part de la DGPR, en lien avec la DGITM. À cadre constant, il est en tout cas souhaitable que la politique de sécurité des ouvrages hydrauliques renforce la prise en compte des écluses dans les différents livrables réglementaires et en réaffirmant que les risques pour les navigants empruntant l'écluse font partie des risques à prendre en compte. Suite à l'accident, la DREAL Auvergne-RhÃŽne-Alpes a établi un plan d'actions, dans lequel elle prévoit de procéder à un réajustement des points d'attention sur les portes d'écluse, voire sur d'autres organes hydrauliques, lors des inspections. Cette démarche gagnerait à être adoptée par les deux autres DREAL (Occitanie et Provence-Alpes-CÃŽte d'Azur) concernées par des aménagements de la CNR et pourrait également s'appuyer sur les rapports d'interventions effectuées par l'exploitant lors du chÃŽmage des écluses. En conclusion, le BEA-TT émet les recommandations suivantes : Recommandation R1 adressée à la Compagnie nationale du RhÃŽne (CNR) : Renforcer la qualité de la maintenance et le niveau de surveillance des portes d'écluse, en déclinant le plan de maintenance type à chaque ouvrage et en veillant à sa bonne mise en oeuvre, en améliorant la prise en compte des suites à donner aux interventions et rapports de travaux, et de maniÚre à mieux considérer les portes comme un ensemble fonctionnel, avec tous les équipements associés, le contrÃŽle-commande et les éléments de protection des installations. Recommandation R2 adressée à la Compagnie nationale du RhÃŽne (CNR) : Dans le cadre des études de danger, étudier de maniÚre approfondie les scénarios de rupture et de défaut de fermeture des portes d'écluse, et pour celles manoeuvrables en charge, d'ouverture accidentelle de portes. 91 Recommandation R3 adressée à la DGPR du ministÚre de la transition écologique : Renforcer la prise en compte des écluses dans le cadre de la mise en oeuvre de la politique de sécurité des ouvrages hydrauliques, lors des inspections des services de contrÃŽle et à partir des attendus des visites techniques approfondies et des études de danger Dans le cadre des études de danger, développer une attention particuliÚre sur la gravité et la diversité possible des scénarios liés aux défaillances de portes d'écluse. 5.4 - Les dispositions réglementaires relatives à la sécurité des machines et à la sécurité des infrastructures de transport Cette partie consiste en un approfondissement au sujet des modalités réglementaires qui permettraient de mieux prendre en compte les risques associés aux écluses au regard de ses usagers et donc en tant qu'ouvrage d'une infrastructure de transport fluvial. 5.4.1 - La directive européenne 2006/42/CE du 17 mai 2006 relative aux machines Une écluse est une machine au sens de la directive européenne 2006/42/CE du 17 mai 2006 relative aux machines, qui vise à prévenir les risques pour les personnes exposées par, ou, lors de l'utilisation des machines. La directive est devenue applicable fin 2009 et a été transposée en France dans le Code du travail. Les écluses qui ont été conçues antérieurement n'ont pas obligation de satisfaire à ses exigences, mais il est recommandé d'analyser leur fonctionnement au regard de cette directive. Celle-ci, réglementairement parlant, s'applique aux écluses neuves ainsi qu'en cas de modification significative apportée vis-à-vis d'un ouvrage existant. Elle implique de réaliser une démarche d'évaluation et de réduction des risques et de préciser les paramÚtres dont dépend l'utilisation sûre de la machine et leurs limites. La prise en compte du risque doit se faire en priorité au niveau de la conception, par des solutions améliorant la sécurité intrinsÚque et avec l'objectif de suppression du risque. Lorsque ce n'est pas possible ou s'il subsiste des risques résiduels, des protections techniques doivent être mis en oeuvre. Cette démarche d'évaluation des risques est différente d'une étude de danger au sens de la réglementation sur les ouvrages hydrauliques, même si les méthodologies peuvent être comparables. Elles n'ont pas le même objectif ni, sans doute en l'état actuel, la même échelle de caractérisation de la gravité des risques. L'étude de danger paraît plus globale et est ciblée sur les risques aux ouvrages et d'inondation, tandis que la directive machine implique une étude de sécurité de l'ouvrage qui est plus détaillée et dans laquelle le risque pour les navigants qui empruntent l'écluse pourrait être au coeur de la réflexion. Une présentation plus détaillée de ces éléments figure en annexe 7. Dans le cas de l'écluse de Sablons, on peut considérer que l'application de la directive était requise, lors du changement du systÚme de contrÃŽle-commande et de la mise en place de la téléconduite, réalisés en 2011, et que cela sera à nouveau le cas à l'occasion de la mise en place d'une nouvelle porte aval prévue en 2023. Le BEA-TT n'a pas eu l'occasion d'interroger formellement la CNR au sujet de ses modalités d'application de la directive. Le Cerema a précisé que, lors de la mise en oeuvre de la téléconduite, une étude de sécurité comprenant une analyse de la non-dégradation du niveau de sécurité par rapport au niveau en conduite locale, a été effectuée par la CNR et à laquelle Cerema a participé. 92 La DREAL a indiqué ne pas avoir eu l'occasion d'analyser cette étude, au motif qu'il avait été considéré qu'elle se rapportait à des aspects de navigation. Le BEA-TT considÚre que cette étude de sécurité aurait pu légitimement intéresser les aspects de sécurité des ouvrages hydrauliques. D'aprÚs les échanges intervenus avec le Cerema, les principaux exploitants d'écluses réalisent, d'ores et déjà et à certaines occasions, des analyses de risques d'un niveau qui pourrait être comparable à celui attendu dans le cadre de la directive machines ou qui s'inspirent en partie de la directive, parallÚlement le cas échéant, aux démarches relevant de la réglementation sur la sécurité des ouvrages hydrauliques. C'est le cas par exemple pour la conception des écluses neuves du projet de canal Seine-Nord Europe. Le BEA-TT a également pu prendre connaissance d'un document relatif aux études de conception d'un systÚme d'automatisation des écluses à petit gabarit de VNF, qui intÚgre les principes de la directive machine. Toutefois, une application plus directe et plus systématique de la directive machines permettrait de donner un cadre plus formel. D'aprÚs le Cerema, l'une des difficultés à cela est l'absence de cadre de référence en ouvrages hydrauliques. L'élaboration d'un tel cadre, avec des livrables de la directive machines, pourrait donc être de nature à guider son applicabilité aux écluses et à davantage harmoniser les pratiques existantes. Par ailleurs, les études de sécurité qui sont réalisées au niveau des écluses, en parallÚle des livrables réglementaires relatifs à la sécurité des ouvrages hydrauliques, ne sont pas soumises en l'état actuel à un contrÃŽle par un service de l'État, à la différence des études de danger réalisées pour les ouvrages hydrauliques. 5.4.2 - Les dispositions relatives à la sécurité des infrastructures de transport La loi n° 2002-3, dite loi « SIST »18 a introduit des dispositions, qui ont été codifiées dans le Code de la voirie routiÚre et le Code des transports et qui concernent : les systÚmes de transport public guidé ou ferroviaire ; les ouvrages du réseau routier et d'infrastructure de navigation intérieure ou portuaire, « dont l'exploitation présente des risques particuliers pour la sécurité des personnes ». Elles impliquent la réalisation d'un dossier préliminaire de sécurité pour la construction ou en cas de modification significative d'un tel ouvrage, accompagné d'une évaluation par un organisme extérieur agréé, et la réalisation d'un dossier de sécurité pour la mise en exploitation d'un tel ouvrage, comprenant un examen périodique par l'organisme agréé. La catégorie relative aux ouvrages d'infrastructure de navigation intérieure est la seule pour laquelle ces dispositions n'ont pas été déclinées réglementairement. Un projet de décret d'application avait été élaboré à cette fin et prévoyait leur applicabilité aux écluses, aux ascenseurs à bateau, aux ponts mobiles et aux tunnels de navigation. Le BEA-TT a pu prendre connaissance de deux versions de ce projet, dont l'une qui est plus détaillée. Celle-ci, comme la directive machine, énonce, pour la conception d'un nouvel ouvrage ou d'une modification substantielle apportée vis-à-vis d'un ouvrage existant, des principes d'exigences de sécurité et de réduction, autant que possible, des risques pour les usagers, les personnels et les tiers. Son apport, par rapport à la directive machines, concerne notamment les modalités de prise en compte des conditions d'exploitation et de maintenance de l'ouvrage au regard de l'objectif de sécurité, l'intervention d'un organisme extérieur agréé qui apporte un double regard et une 18 Loi du 3 janvier 2002 relative à la sécurité des infrastructures et systÚmes de transport, aux enquêtes techniques aprÚs évÚnements de mer, accident ou incident de transport terrestre ou aérien et au stockage souterrain de gaz naturel, d'hydrocarbures et de produits chimiques 93 évaluation vis-à-vis de la démarche du maître d'ouvrage, ainsi que l'applicabilité des dispositions aux ouvrages existants. Une présentation plus détaillée de ces éléments figure en annexe 7. L'élaboration de ce projet de décret avait fait l'objet de discussions, en particulier entre VNF et la direction en charge des infrastructures de transport (DGTIM) au sein du ministÚre de la transition écologique, mais n'a pas abouti, notamment du fait d'interrogations portant sur son utilité au vu du corpus réglementaire relatif à la sécurité des ouvrages hydrauliques. Il paraît difficile de considérer en l'état actuel que ce corpus pourrait constituer une déclinaison réglementaire des dispositions législatives énoncées par le Code des transports pour les ouvrages de navigation, y compris pour ce qui concerne les écluses les plus importantes. Certaines écluses, en raison de leurs dimensions et/ou parce qu'elles sont associées à un barrage ou un canal et font alors partie de l'ouvrage hydraulique considéré dans son ensemble, rentrent dans le champ d'application de la réglementation sur les ouvrages hydrauliques. Elles sont alors classées en tant qu'ouvrage hydraulique, les plus petites d'entre elles, de classe C, ne sont toutefois pas soumises à étude de danger. Les écluses qui sont couvertes par cette réglementation, le sont pour leur fonction « barrage » et moins, voire pas, en tant qu'ouvrage de navigation. Elles sont alors considérées d'une maniÚre, qui n'est ni détaillée, ni complÚte, comparativement aux dispositions qui avaient été envisagées pour compléter le Code de transport et qui sont assez proches, dans l'esprit, de celles introduites par la directive sur les machines. Il manque un volet sur l'exploitation et les risques, au regard des navigants utilisant l'écluse. En l'état actuel de ses modalités d'application, la réglementation sur les ouvrages hydrauliques ne traite pas de cet aspect, même si elle peut contribuer à sa prise en compte. Pour pallier ces lacunes, il pourrait être envisagé de compléter ces modalités d'application, de maniÚre à décliner celles-ci par type d'ouvrage et à traiter l'ouvrage de navigation et les usagers qui l'empruntent dans le cadre d'une étude de danger détaillée et spécifique. Le palier paraît toutefois important et certains aspects nécessitent une interprétation de la part de la DGPR, comme évoqué au point 5.3.3. Par ailleurs, d'autres ouvrages de navigation, tels que les ponts mobiles ou ponts canaux et les tunnels, ne sont pas couverts par la réglementation sur la sécurité des ouvrages hydrauliques. Dans le rapport de 2018 évoqué ci-avant, le CGEDD mentionne que les premiers ne rentrent pas aujourd'hui clairement dans le champ d'application de cette réglementation et note, pour les seconds, l'absence de texte réglementaire adapté, contrairement à ce qui existe pour les tunnels routiers et ferroviaires. Le BEA-TT considÚre donc qu'il serait adéquat de décliner dans le Code des transports les dispositions législatives relatives à la sécurité des ouvrages de navigation, en reprenant l'élaboration du projet de décret qui avait été commencée. Il conviendrait d'assurer sa compatibilité avec les dispositions de la directive relative aux machines, qui sont déclinées dans l'annexe citée à l'article R. 4311 du Code du travail, et de maniÚre à pouvoir considérer qu'un dossier qui est conforme au Code des transports l'est aussi au vu de la directive sur les machines. Un lien entre les deux codes pourrait être effectué. L'adoption de ces dispositions réglementaires permettrait en particulier que l'exploitant rende compte de la mise en oeuvre d'une étude de risques adaptée aux enjeux de sécurité de la navigation. Il serait utile de prévoir les conditions de leur applicabilité aux ouvrages existants, comme cela avait été envisagé dans le cadre du projet de décret et 94 comme le sous-entend l'article L. 1613-1 du Code des transports relatif à l'autorisation de mise en exploitation des ouvrages, dans un délai compatible avec les échéances d'actualisation des études de danger pour les ouvrages qui y sont soumis. Elle permettrait en outre de donner une visibilité à la directive sur les machines et pourrait contribuer à harmoniser davantage les pratiques existantes d'étude de sécurité, qui sont conduites, en dehors du champ réglementaire des ouvrages hydrauliques, sur certains de ces ouvrages de navigation. Elle pourrait utilement être accompagnée par l'élaboration d'un cadre de référence pour guider leur applicabilité. Le contrÃŽle de leur application paraît pouvoir entrer pleinement dans le champ de compétences des DREAL, tel que défini au 1 er de l'article 2 du décret 2009-235 relatif à l'organisation et aux missions de celles-ci. La périodicité des dossiers à établir par les exploitants pourrait d'ailleurs être calée sur celle de la réglementation relative aux ouvrages hydrauliques, pour les ouvrages de navigation rentrant dans ce cadre. En conclusion, le BEA-TT invite la DGITM à décliner réglementairement les dispositions législatives relatives à la sécurité des ouvrages de navigation dans le Code des transports, en assurant leur compatibilité avec celles de la directive relative aux machines et en précisant, en lien avec la DGPR, son articulation avec la réglementation sur les ouvrages hydrauliques. 5.5 - Une connaissance indirecte de la position de la porte Les capteurs associés aux positions « porte fermée » et « porte ouverte » de la porte aval de l'écluse de Sablons sont doublés par sécurité. Il s'agit de capteurs à croix, à basculement mécanique. Cette technologie, dont le choix d'origine paraît être celui de la robustesse, répond à une certaine rusticité et équipe également les capteurs des autres portes d'écluse de conception similaire de la CNR. Ils ne nécessitent pas d'étalonnage à proprement parler, mais un réglage et un contrÃŽle de fonctionnement lors de leur basculement (activation et désactivation). Le réglage est effectué d'abord au moyen de simulations, puis par des essais, impliquant une phase de synchronisation, puis un réglage visuel avec des mouvements de la porte au moment de la mise en service. La CNR a indiqué au BEA-TT qu'il n'y a pas de dérive dans le temps de la position de ces capteurs et que ceux-ci font l'objet d'une maintenance curative, par exemple suite à un constat de mauvais état effectué lors des rondes de l'exploitant ou encore en cas de dysfonctionnement bloquant le processus d'éclusage. Un capteur défaillant peut être remplacé sans délai et la défaillance est bloquante dans le processus. L'inconvénient de la situation présente est que la position de la porte est connue de maniÚre indirecte à partir de ces capteurs, ceux-ci étant actionnés par le chariot de manoeuvre auquel la porte est suspendue. Le BEA-TT a remarqué que : les 4 capteurs d'usage relatifs à la fermeture de la porte sont activés par le petit chariot, à partir de deux doigts, un amont et un aval, fixés sur celui-ci ; s'agissant de l'ouverture de la porte, 2 capteurs (ralentissement et fin de course « porte ouverte » de l'automate de sécurité) sont activés par le petit chariot à partir de son doigt amont et les 2 autres capteurs (fin de course « porte ouverte » de l'automate de pilotage) sont activés par le grand chariot à partir d'un doigt fixé à l'aval sur celui-ci. La CNR a précisé que la différence de modalité entre ouverture et fermeture est liée à des considérations pratiques, telles que l'accessibilité aux capteurs, et que le choix de positionnement des capteurs n'a pas été fait en distinguant petit et grand chariot, mais en considérant l'ensemble comme un tout. 95 Il n'apparaît pas néanmoins, qu'un systÚme prenant en compte la position relative des chariots, aurait pu permettre de déceler le problÚme de fermeture survenu lors de l'accident. Des mesures directes de l'atteinte de la position de la porte semblent la maniÚre la plus robuste pour s'assurer de son bon positionnement. D'aprÚs le Cerema, l'installation de capteurs de détection directe de la position de la porte peut, certes, ne pas être évidente, car cela pourrait impliquer l'intégration, dans le génie civil, de capteurs de type inductif ou radar. Se posent également les enjeux de leur résistance aux agressions de l'eau. D'aprÚs cet organisme, il est courant que la position des portes soit connue de façon indirecte, en détectant la position des organes de manoeuvre mais la grande majorité des portes sont des portes busquées, qui en rÚgle générale, ne posent pas de problÚme de mauvaise fermeture. Dans le rapport n° 192 établi en 2019 par l'AICPN, portant sur les développements de l'automatisation et de la téléconduite des écluses et des ponts mobiles, les capteurs de fin de course actionnés mécaniquement étaient utilisés à l'origine, mais le maintien de maniÚre fiable de leur opérationnalité nécessite un entretien important pour garder les piÚces mobiles à l'abri de l'obstruction. D'aprÚs ce rapport, l'utilisation de capteurs sans contact, de type à lecture magnétique ou de type inductif, est de plus en plus courante. Selon la technologie utilisée, ils peuvent permettre d'assurer une mesure en continu de la position de la porte pendant son déplacement et donc, par exemple et in fine, d'évaluer la vitesse de fonctionnement, ce qui peut être utilisé pour déterminer une défaillance, lié par exemple à une obstruction ou un équipement fonctionnant moins bien, endommagé ou déréglé (on peut penser dans le cas présent par exemple aux boîtes à galet de la porte aval de l'écluse de Sablons). Cette méthode peut être utilisée dans un systÚme de maintenance prédictive. Toutefois, comme l'indique le Cerema, leur réparation et remplacement peuvent s'avérer difficiles suivant leur positionnement. La CNR convient que son axe de recherche pour l'avenir vise à une connaissance directe de la position de la porte et prévoit dans son plan d'actions d'engager des études et travaux pour, respectivement, disposer directement de la position du vantail de la porte, et de la position du chariot dans les deux axes (rive à rive et vertical). Par ailleurs, elle a apporté au niveau de l'automate des modifications de paramétrage en lien avec le capteur de position analogique qui est utilisé, tel qu'évoqué en 4.2.3, pour l'animation du synoptique de l'opérateur, sachant qu'il ne peut pas, en l'état actuel, être utilisé pour gérer le process de l'écluse. Il n'est pas assez précis et fiable, ni adapté pour déterminer la position de la porte, mais génÚre un défaut lorsque sa mesure de position, lorsque les fins de course sont atteints, se situe en dehors d'une plage fixée depuis l'accident à plus ou moins 5 cm. Sur un plan opérationnel, les défauts issus du capteur analogique ne sont acquittables que par le personnel d'exploitation du site, et non plus également par l'opérateur du CGN. La CNR précise que l'exploitant pourra alors analyser réguliÚrement la survenance de ces défauts et en assurer un suivi régulier. Il est à noter que le même type de modification a été opéré pour ce qui concerne le défaut associé au temps trop long d'exécution (TTLE). En conclusion, le BEA-TT émet la recommandation ci-aprÚs : Recommandation R4 adressée de la Compagnie nationale du RhÃŽne (CNR) : Mettre en place un systÚme de capteurs permettant des mesures directes de la position de la porte aval de l'écluse de Sablons en fin de manoeuvre. Étudier l'opportunité et installer le cas échéant un tel systÚme sur les autres portes d'écluses à déplacement latéral. 96 5.6 - La gestion des bois flottants et l'utilisation des caméras 5.6.1 - Les pratiques des opérateurs de téléconduite, les équipements de l'écluse Les opérateurs du CGN estiment que les manoeuvres infructueuses de portes d'écluse ne sont pas exceptionnelles. Elles peuvent être consécutives à un blocage au cours de la manoeuvre, lié à une souche de bois, comme nous l'ont indiqué les opérateurs, ou encore par exemple à une piÚce métallique coincée dans la rainure, comme lors de l'incident survenu au niveau de la porte amont de l'écluse de Caderousse en juillet 2020 : aprÚs plusieurs tentatives, l'ouverture de la porte se bloquait à 98 %, une intervention de plongeurs a permis de déterminer l'origine du dysfonctionnement. Les opérateurs du CGN font parfois appel à l'exploitant pour procéder à l'évacuation d'un bois gênant. Une situation de ce type est consignée pour l'écluse de Sablons dans le carnet de bord de l'écluse tenu conjointement par le CGN et l'exploitant, et sur les deux premiers mois de 2020 : un bateau signale une grosse branche bloquée en rive gauche du pare-choc de la porte, l'opérateur ne la voit pas à la caméra et fait intervenir l'exploitant, qui programme une intervention pour l'enlever. Les opérateurs indiquent qu'ils font aussi parfois appel aux navigants pour qu'ils contribuent à évacuer certains bois, par exemple en actionnant le propulseur du bateau. La CNR a confirmé au BEA-TT que les problématiques liées à la présence de bois gênant ne sont pas rares et peuvent varier d'une écluse à l'autre. Dans l'un des documents qu'elle a adressés, elle mentionne des exemples de situations nécessitant une interruption en urgence de l'éclusage par l'opérateur, tels que : cas d'un bollard bloqué par un bois, présence de bois sur un organe en manoeuvre. Un bois de grosse taille peut endommager le bateau au niveau de son hélice par exemple, ou encore le coincer dans le sas. Dans ce cas, l'opérateur va plutÃŽt imposer au batelier d'attendre avant de passer l'écluse, le temps d'y remédier. Des bois plus petits peuvent gêner une fermeture de porte et la bloquer. Dans ce cas, l'opérateur va plutÃŽt recourir aux processus de dévasage / émulsion ou « de chasse ». Lors de sa visite au CGN, le BEA-TT a pu assister à plusieurs éclusages, lors desquels l'émulsion semblait être déclenchée de maniÚre systématique et intégrée au processus, l'opérateur pouvant aussi la prolonger de lui-même. À Sablons, le dispositif d'émulsion / dévasage dans le garage de la porte aval de l'écluse ne peut être activé que manuellement, sur site, l'écluse est la seule à être non équipée de dispositif d'émulsion dans la rainure dans laquelle vient se loger la porte aval en fermeture. La note d'instruction interne de la CNR sur le fonctionnement opérationnel de l'activité d'éclusage depuis le CGN indique que la manoeuvre de chasse est utilisée en cas de présence importante de bois dans les garages d'écluse ou le sas et qu'elle ne doit pas être réalisée avec un bateau dans le sas ou en approche. Les questions qui peuvent se poser sont alors : comment apprécier l'importance de ces bois et que faire si elle est détectée alors qu'un bateau est déjà en approche ? La CNR a établi en septembre 2020 un document à destination du BEA-TT, qui présente les consignes aux opérateurs du CGN pour solliciter l'intervention de l'exploitant et récapitule la conduite à tenir pour les anomalies non couvertes par les automatismes. D'aprÚs ce document, l'opérateur doit contacter l'exploitant et préparer un avis à la batellerie, en cas de bois planté dans le chenal ou de « bois flottants en grand nombre ». Pour l'écluse de Sablons, la CNR a établi aprÚs l'accident une instruction temporaire d'exploitation : « En cas de détection de la présence anormale de bois flottants par le 97 CGN ou sur information du navigant, l'opérateur stoppe le cycle d'éclusage et appelle l'exploitant qui se rend sur site pour contrÃŽle, mise en oeuvre d'un cycle de dévasage et / ou dégagement avec une perche des bois présents à proximité des rainures ». D'aprÚs d'autres informations recueillies auprÚs de la CNR, un rappel a été fait au niveau des consignes associées à toutes les écluses équipées de portes latérales coulissantes : en cas de présence importante de bois, lancer une chasse et si cela est impossible, faire appel à l'exploitant avant tout éclusage. L'étude des FOH souligne qu'il y a une réelle difficulté pour les opérateurs pour apprécier la quantité de bois à partir de laquelle il peut y avoir une situation dangereuse pour le bateau ou les organes de l'écluse. Elle indique qu'il n'est pas aisé de définir des critÚres et retient l'intérêt d'une évaluation au cas par cas avec l'appui du chef de salle si besoin. Dans son plan d'actions, la CNR a retenu d'engager les études et travaux pour la mise en place d'un dispositif d'injection d'air dans la rainure dans laquelle vient se loger la porte aval de l'écluse de Sablons en fermeture, ainsi que d'une nouvelle vanne de remplissage pour effectuer des chasses aval. Le BEA-TT en prend note et se demande s'il serait possible d'associer ces dispositifs avec un systÚme de repérage d'objets flottants. En cas de bois flottants, cela pourrait contribuer à mieux apprécier leur importance et à les détecter à un pas temporel qui soit déconnecté et, en particulier anticipé, de celui lors duquel l'opérateur s'apprête à procéder à un éclusage. Par ailleurs, il pourrait aussi être envisagé de faire procéder, au moyen de ce systÚme ou des caméras existantes, à une vérification de la présence éventuelle d'embâcles par le chef de salle et avant que celui-ci n'affecte l'écluse concernée à l'un des opérateurs. En outre, la vérification de la présence de bois flottants semble devoir aussi faire partie des tâches de maintenance courante. 5.6.2 - La pratique de l'opérateur de téléconduite lors de l'éclusage accidentel Vu la teneur des échanges radio intervenus entre l'opérateur et le capitaine du bateau, on peut se demander si l'opérateur s'est posé la question de savoir s'il procédait, ou pas, à l'éclusage, alors que le capitaine venait de lui signaler la présence importante de bois. Mais, à ce moment-là, le bateau avait déjà commencé à s'engager dans le sas. Normalement, les caméras peuvent être utilisées pour détecter ou mieux analyser les situations à risque. Bateau PAMPERO dans le sas Lorsque le bateau s'apprête à rentrer dans le sas, des bois flottants sont visibles à l'entrée. Ils sont également visibles au niveau de la porte aval, avant et lors du lancement de la commande de fermeture ainsi que pendant sa fermeture. Compte tenu du signalement effectué à deux reprises par le capitaine, l'opérateur aurait vraisemblablement pu visualiser avec la caméra la présence de ces bois, même si la qualité des images rend cette visualisation plus difficile de nuit. 98 Bois flottants La Directive permanente d'exploitation de la CNR, relative à la téléconduite de l'écluse de Sablons, identifie formellement le risque de coincement d'un bois sur un organe de manoeuvre : « la vigilance est recommandée en présence de bois dans le sas, cette écluse ne comporte pas de moyen de faire des chasses de bois en surface. En cas d'observation de ce genre, avertir les bateaux de la situation. Surveiller la manoeuvre de la porte aval ou de la porte amont qui peuvent embarquer des bois sur la partie latérale en fermeture, ces bois risquent de bloquer la porte ». Lors de son témoignage auprÚs du BEA-TT, l'opérateur a indiqué ne pas avoir souvenir d'avoir visionné le déplacement de la porte lors de sa fermeture. S'il l'avait fait, il n'aurait de toute façon rien pu détecter d'anormal concernant le déplacement proprement dit. Si la séquence s'était produite de jour, il est d'ailleurs tout à fait possible que l'opérateur ait agi de la même façon, c'est-à-dire procéder à l'éclusage, puis remédier aprÚs au problÚme de bois s'il subsiste. Il aurait eu un meilleur visu caméras sur cette présence de bois mais l'appréciation de leur importance aurait pu toujours poser question. Quoi qu'il en soit, la présence de bois ne constitue pas normalement un problÚme pouvant entraîner une rupture de porte. Si c'est réellement un bois qui a bloqué la porte lors de la séquence accidentelle, il aurait dû logiquement entraîner une manoeuvre infructueuse de fermeture, comme les opérateurs peuvent l'observer dans des situations similaires. 5.6.3 - L'utilisation des caméras La mise en place de la téléconduite s'est accompagnée d'une augmentation du nombre de caméras. Elles servent à la visualisation du bateau, à l'approche de l'écluse puis lors de son éclusage, ainsi que de l'écluse et de son environnement. Comme présenté en 2.6.3, les vues des caméras équipant une écluse sont affichées sur trois écrans vidéos au niveau du poste de l'opérateur. Rive gauche Rive droite Plan (CNR) d'implantation des 18 caméras de l'écluse de Sablons Les opérateurs du CGN soulignent que si des évolutions ont progressivement été apportées, certaines caméras sont parfois sales ou, de nuit, les images renvoyées peuvent être de mauvaise qualité, notamment si l'éclairage est faible. La qualité visuelle est d'autant plus importante que l'opérateur n'a pas les bruits. S'agissant de Sablons, ils ont indiqué aux enquêteurs du BEA-TT qu'il faudrait améliorer l'éclairage, et CNR a indiqué l'envisager, ou disposer d'une meilleure caméra de visualisation de la porte aval. La caméra « fixe porte aval » (code : D6) a pour utilisation principale de visionner l'aval de la porte aval. C'est cette caméra qui a permis de visualiser a posteriori la séquence d'apparition des fuites au niveau de la porte puis de rupture de la porte. Il s'agit d'une caméra fixe et celle-ci ne permet pas d'avoir une vue sur l'angle rive droite de la porte. 99 Une fois le bateau rentré dans le sas, cette caméra n'est en général pas regardée par l'opérateur, celui-ci concentrant sa visualisation sur le bateau. La caméra « aval écluse » (code : Aval) est une caméra dÃŽme dont l'utilisation principale, d'aprÚs le descriptif des caméras établi par CNR, est de visionner le bateau lors de son entrée ou de sa sortie du garage ainsi que le ponton de plaisance. Celle-ci pourrait permettre de mieux voir la porte, cela suppose pour cela de la faire pivoter complÚtement de maniÚre à la retourner. Dans la période qui a suivi l'accident, cette caméra a été préréglée de maniÚre à ce qu'elle reste en visu sur la porte et l'un des opérateurs a par ailleurs indiqué avoir changé sa façon de faire, de maniÚre à garder un visu sur les portes, et non pas seulement sur le bateau, lors du remplissage du sas. Les caméras permettent de visionner la porte lors de sa manoeuvre mais ne peuvent pas et n'ont pas à avoir pour fonction de permettre à l'opérateur de contrÃŽler la position fermée de la porte. Cette fonction doit reposer sur un systÚme de contrÃŽle-commande performant et fiable. Toutefois, les caméras peuvent constituer le cas échéant une aide à la détection d'incident, ou comme avec le PAMPERO, une aide à la prise de conscience et à la compréhension en temps réel de l'accident. La note d'instruction interne de la CNR évoquée ci-avant indique que le systÚme vidéo fait partie intégrante du processus de conduite des écluses et qu'il permet, outre l'observation de la manoeuvre des bateaux, « de détecter un incident lors du cycle d'éclusage ainsi que des anomalies et dysfonctionnements des organes manoeuvrant ». Si la configuration d'affichage des images des caméras permet d'avoir une vue générale de l'écluse et que toutes les zones sont observables, la question est de savoir quelles zones sont observées et à quel moment. En pratique, il apparaît que la note met l'accent sur l'attention forte et continue à apporter à la surveillance du bateau et au suivi de ses manoeuvres, compte tenu des enjeux de sécurité liés aux navigants et des risques de dommages aux ouvrages. Sans sous-estimer les enjeux que revêt la surveillance en continu du bateau, le BEA-TT estime que les caméras gagneraient à être utilisées de maniÚre à pouvoir contribuer davantage à la détection d'incident de toute nature et à constituer un outil complémentaire, à visée informative, dans le cadre de la fonction de téléconduite. S'agissant des postes de travail conçus pour la double conduite, le rapport de l'AICPN évoqué ci-avant précise qu'un opérateur peut en principe exécuter en toute sécurité deux processus simultanés ou se chevauchant, à condition qu'une attention particuliÚre soit portée à un seul (sous) processus au cours des étapes critiques (par exemple : ouvrir ou fermer une porte d'écluse) et que l'opérateur ait le contrÃŽle de la vitesse de l'opération (l'opérateur décide si un deuxiÚme processus peut être exécuté). Rappelons qu'au moment de l'accident, l'opérateur du CGN n'avait que l'écluse de Sablons en conduite. En conclusion, le BEA-TT retient que la présence de bois aux abords des écluses peut constituer une situation à risque et invite la CNR à : Formaliser, avec le niveau de précision qu'il est raisonnable d'envisager, les consignes aux opérateurs de téléconduite sur la surveillance de la présence d'embâcles et de divers corps flottants aux abords des écluses et la maniÚre de gérer ces situations. Équiper l'écluse de Sablons de caméras de meilleure qualité et, s'agissant de la caméra visionnant l'aval de la porte aval, permettant de visionner sans angle mort l'espace de fermeture de la porte. Plus généralement, préciser les principes d'utilisation des caméras dans le contrÃŽle du bon déroulement des opérations, de façon cohérente avec les autres outils. Ceci peut impliquer une révision des plans et de la qualité des caméras, voire l'ajout éventuel de témoins visuels sur certains éléments mobiles. 100 5.7 - Les modalités d'amarrage du bateau L'amarrage du bateau lors d'un éclusage vise à maintenir sa stabilité et la sécurité de sa position et à éviter les chocs contre le génie civil ou les équipements de l'écluse. Les textes réglementaires rendent cet amarrage obligatoire et renvoient plutÃŽt aux bonnes pratiques quant à la maniÚre de procéder. En rÚgle générale, le bateau doit être amarré avec deux cordes, une retraite et une garde, l'une empêche le bateau d'avancer et l'autre l'empêche de reculer. Quant aux lieux d'attache des cordes, au niveau du bateau et de l'écluse, plusieurs techniques sont possibles en fonction notamment de la configuration du bateau, du nombre et de la disposition des bollards d'écluse disponibles. D'aprÚs les informations recueillies auprÚs des opérateurs du CGN, les pratiques d'amarrage sont assez diverses, selon les types de bateaux et les sociétés concernées, certains automoteurs utilisent parfois une seule corde d'amarrage. Au titre des bonnes pratiques, les opérateurs doivent avoir la confirmation par le navigant qu'il est amarré et le vérifier à l'aide des caméras. Lors de l'éclusage du PAMPERO, l'opérateur paraît avoir effectué cette vérification tardivement. AprÚs l'accident, la CNR a établi l'instruction suivante : « Le CGN ne lance pas l'éclusage tant qu'il n'a pas confirmation de la part du pilote de son bon amarrage et de l'arrêt de ses propulseurs ». Lors de l'accident, le PAMPERO était amarré avec deux amarres, placées à l'avant du bateau et rattachées à un bollard de l'écluse, le troisiÚme en partant de l'amont et situé en rive gauche. Les amarres étaient placées au niveau des bollards latéraux du bateau qui sont plus petits que les bollards situés à l'avant et à l'arriÚre. Cela peut s'expliquer par une plus grande facilité d'atteindre, à partir des bollards latéraux du bateau, le bollard d'écluse auquel s'arrimer. La société CFT Gaz a précisé que la manoeuvre avec les bollards de devant est plus risquée pour les matelots, car elle implique que ceux-ci doivent se pencher beaucoup plus pour atteindre le bollard de l'écluse. Représentation des deux amarres du bateau, telle qu'identifiée à partir des vidéos de l'éclusage Lors de l'accident et comme évoqué en 3.3.3, les amarres ont cassé rapidement, une fois que le sas a commencé à se vider précipitamment et aprÚs le brusque mouvement de recul et d'inclinaison du bateau que cela a induit. Elles ne sont pas conçues pour pouvoir résister à un telle situation. À titre de comparaison, le standard européen établissant les prescriptions techniques des bateaux de navigation intérieure (ES-TRIN) prévoit une charge de rupture minimale pour les câbles ou les cordes d'amarrage, qui est calculée en fonction des dimensions du bateau. Pour le PAMPERO, le calcul donne une valeur de 191 kN, soit 19 tonnes environ, ce qui fait peu pour pouvoir retenir un bateau aspiré par la vidange brutale du sas et comparé par exemple à son port en lourd (2 300 t). En conclusion, le BEA-TT ne formule pas de recommandation à ce sujet. 101 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Les principaux dégâts sur le bateau Annexe 3 : Le systÚme de contrÃŽle-commande de l'écluse de Sablons Annexe 4 : Le rapport d'analyse et les expertises de la CNR · L'analyse des temps de manoeuvre en fermeture de la porte · L'analyse des vidéos par méthode photogrammétrique · L'étude mécanique et cinématique de la porte en cas de blocage et le scénario de l'accident retenu par la CNR · L'expertise métallurgique des piÚces de fixation Annexe 5 : Schéma illustrant le positionnement de la position de la porte en cas de blocage Annexe 6 : Modélisation graphique d'analyse de l'accident établie avec le BARPI Annexe 7 : La directive sur les machines, les dispositions du Code des transports sur la sécurité des ouvrages de navigation · La directive européenne relative aux machines · Les dispositions relatives à la sécurité des infrastructures de transport 102 Annexe 1 : Décision d'ouverture d'enquête 103 Annexe 2 : Les principaux dégâts sur le bateau (extraits du document « scénario de réparation » établi par la société ECO pour CFT GAZ) Le navire est endommagé sur quatre zones 104 105 Annexe 3 : Le systÚme de contrÃŽle-commande de l'écluse de Sablons Le systÚme de contrÃŽle-commande de l'écluse de Sablons a été mis en service en mars 2011, suite à une rénovation de l'installation électrique et des automatismes. Il est composé : d'un automate dit APN (automate programmable normal), qui gÚre l'ensemble de la conduite des processus de l'écluse ; d'un automate dit CSU (chaîne de sécurité ultime) qui joue un rÃŽle de contrÃŽle encadrant et assure l'encadrement supplémentaire de la sécurité de fonctionnement. Les automates sont reliés à une interface opérateur (IHM), permettant à l'opérateur de disposer des données remontées par l'automate et d'envoyer à celui-ci des commandes. L'automate APN assure les fonctions suivantes : L'acquisition des données des capteurs. En plus des capteurs associés au treuil et à la position de la porte aval, tels que présentés ci-avant, figurent les capteurs dédiés à la porte amont, les capteurs de position des vannes du sas, qui sont, par sécurité, doublés pour chacune des quatre vannes, ainsi que les capteurs de mesure du niveau d'eau, à l'amont, à l'aval et à l'intérieur du sas, qui sont également doublés. Le contrÃŽle de cohérence des demandes de l'opérateur avec l'état de l'écluse . L'enchaînement des séquences de manoeuvre des organes et le pilotage de l'ensemble des actionneurs, tels que les freins et les moteurs. Les contrÃŽles de sécurité et les contrÃŽles de cohérence de la position des organes entre eux, via un certain nombre d'équations de défaut paramétrées dans l'automate et, en cas d'anomalie détectée, la génération de défauts qui arrêtent le processus. Les séquences sont traitées par l'automate sous forme de « grafcet19 », c'est-à-dire de graphique logique décrivant des étapes et où le passage d'une étape à la suivante est conditionné par des variables internes calculées dans l'automate. Celui-ci dispose ainsi de plusieurs graphes : cycle montant, cycle avalant, fermeture de la porte aval, remplissage, ouverture d'une vanne de remplissage, etc. L'automate surveille et peut donc générer différents types de défaut, en lien avec une anomalie de fonctionnement d'un organe ou du processus d'éclusage. Chaque défaut généré par l'automate est mémorisé et n'est acquittable que si ses conditions d'apparition ont disparu. Ils sont principalement de deux types : Les défauts non bloquants constituent des anomalies qui n'ont pas d'impact sur la sécurité du processus et qui sont à analyser par l'exploitant dans le cadre de ses missions de suivi d'exploitation. Les défauts bloquants arrêtent automatiquement le processus avec mise en sécurité de l'écluse, sans énergie électrique. L'automate de sécurité dispose de ses propres capteurs associés à la position des portes et des vannes ainsi qu'à la mesure des niveaux d'eau. Il réalise, avec ses capteurs, des contrÃŽles de sécurité et de cohérence relatifs aux organes, en nombre plus limité et donc indépendamment de ceux réalisés par l'automate de pilotage. Les deux automates assurent également une fonctionnalité d'actions sur les équipements électriques, et donc des motorisations des portes ou des vannes pour la mise en sécurité de l'écluse. 19 Graphe Fonctionnel de Commande des Étapes et Transitions 106 Annexe 4 : Le rapport d'analyse et les expertises de la CNR Dans le cadre de sa démarche d'analyse de l'accident, la CNR a mené des études approfondies et fait réaliser certaines expertises complémentaires. L'analyse des temps de manoeuvre en fermeture de la porte Une analyse détaillée des temps de manoeuvre de la porte a été conduite, à partir d'une décomposition basée sur le séquentiel de fermeture, illustré ci-aprÚs, et d'une comparaison avec les moyennes correspondantes, calculées sur les 3 616 fermetures réalisées durant la période comprise entre le 1.01.2019 et le 17.02.2020. Séquentiel du processus de fermeture de la porte (source CNR). La durée du séquentiel de fermeture a été de 127,6 secondes le jour de l'accident, soit 2 minutes et 7 secondes. La moyenne est de 116 secondes. Le temps de manoeuvre de la porte, compté entre l'étape de démarrage du moteur et l'activation des deux derniers capteurs de position fermée de la porte, soit, grosso modo, la durée du séquentiel sans compter l'étape initiale dénommée « étape -3 », a été de 114,1 secondes le jour de l'accident. La moyenne est de 101,6 secondes. Le temps de manoeuvre jusqu'à l'atteinte du capteur de ralentissement est dans la moyenne. L'écart entre le temps de fermeture lors de l'accident et la moyenne apparaît se situer au moment de l'atteinte des trois capteurs de position fermée de la porte, donc dans les derniers centimÚtres du déplacement : le capteur de l'automate de sécurité a été atteint 8 secondes aprÚs l'activation du capteur de ralentissement, contre 5 secondes en moyenne ; les deux capteurs de l'automate de pilotage ont été atteints 13 secondes aprÚs celui de l'automate de sécurité, contre 2,6 secondes en moyenne. 107 L'analyse des vidéos par méthode photogrammétrique L'analyse a été réalisée par la société SITES à partir des vidéos donnant une vue sur l'aval de la porte accidentée et sur le chariot, soit les deux caméras à partir desquelles sont extraites les illustrations figurant aux points 3.3.2 et 4.4 du présent rapport. Elle porte sur le déplacement et la position de la porte lors de l'éclusage du PAMPERO et par comparaison avec les 10 éclusages précédents et aboutit aux résultats ci-aprÚs. L'incertitude horizontale de la mesure est de l'ordre de 10 mm et en vertical de 20 mm. Éclusage précédent (sens de fermeture de la porte) Les résultats montrent que la porte était mal fermée lors de l'éclusage du PAMPERO. Ainsi, à la fin de sa fermeture et avant le remplissage du sas, le décalage, et donc le défaut de fermeture, était de 40 cm (+/-1cm) environ en direction de la rive gauche. Lors des 10 éclusages précédents, les décalages horizontaux sont de 1 cm maximum. Sur le plan vertical, le décalage de la porte sur son cÃŽté rive gauche était de 9 cm (± 2 cm) environ vers le haut. Sur son cÃŽté rive droite, le décalage vertical, et donc le soulÚvement de la porte, est inférieur à ce qui est observé en rive gauche, sans pouvoir le quantifier précisément. On peut supposer que la porte était plus élevée cÃŽté rive gauche que rive droite. Juste avant la rupture, la porte s'est décalée d'une quinzaine de cm supplémentaires vers la rive gauche, comme pour un mouvement d'ouverture, pour se retrouver in fine décalée de presque 60 cm sur le plan horizontal. Il apparaît donc que la porte devait être à peine insérée dans sa rainure en rive droite lorsqu'elle s'est fermée et ce d'autant moins au niveau de sa partie inférieure et que, juste avant sa rupture, elle a dû enregistrer un recul en direction de la rive gauche, ce qui la fait sortir complÚtement de sa rainure en rive droite. La CNR a identifié que le filet d'eau, qui se met en place entre les caissons B et C de la porte, illustré au point 3.3.2 du présent rapport, s'initie à 00h24min12sec et 384 milliÚmes et que l'élément C cÚde à 0 h 24 min 13 s et 184 milliÚmes, sachant que le caisson B n'est pratiquement pas visible lors de cette séquence. Le filet d'eau paraît donc s'être mis en place au moment où la porte s'est retrouvée complÚtement en dehors de la rainure, vu le décalage de 55 cm qui est alors mesuré. Les éléments se rapportant au chariot paraissent moins significatifs. 108 L'étude mécanique et cinématique de la porte en cas de blocage et le scénario de l'accident retenu par la CNR En termes de conception, il était considéré que l'ensemble formé par la porte, les brimbales et le chariot de manoeuvre était indéformable dans l'axe du mouvement de translation, autrement dit que les déplacements du chariot et de la porte sont identiques. Or, l'analyse de l'accident montre que le chariot a atteint une position correspondant à celle d'une porte fermée, sans que ce ne fut le cas pour ladite porte. « Afin d'expliquer ce phénomÚne qui contredit l'objectif de rigidité voulu par le concepteur », la CNR a étudié, avec l'appui d'une modélisation, comment se répartissent les efforts dans le systÚme de suspension de la porte, dans une configuration où : la porte est bloquée dans son avancement par un obstacle en partie inférieure, comme le serait un obstacle flottant ; ce dernier a été positionné au niveau haut du caisson B de la porte (ce qui correspond au niveau de l'eau au moment de la fermeture de la porte) ; « le systÚme de contrÃŽle de la charge du treuil n'est pas fonctionnel, le treuil étant alors capable de délivrer un effort supérieur à ce qui est nécessaire pour l'installation ». Si un obstacle s'oppose au mouvement de la porte, l'effort de blocage va être équilibré par le treuil qui applique alors un effort strictement opposé en partie haute de la porte. Les résultats indiquent qu'une valeur d'environ 58 kN au niveau du chariot représente la limite au-delà de laquelle les brimbales en Y, sur leur cÃŽté rive gauche, ne sont plus tendues et deviennent soumises à un effort de compression. Les brimbales étant trÚs élancées, elles sont sensibles au flambement 20 lorsqu'elles sont comprimées, rendant ainsi la position de la porte découplée de celle du chariot de manoeuvre. « Dans de tels cas, le contrÃŽle de la bonne position du chariot en fin de course ne permettrait a priori pas de garantir que la porte est fermée correctement ». L'analyse cinématique montre que dans une telle configuration, et pour que le chariot se retrouve in fine en position nominale de fermeture et avec une porte en retrait de 40 cm, cela implique que la porte effectue une légÚre rotation par rapport à la position verticale d'origine et donc que les différents caissons de la porte ne sont pas tous engagés de la même maniÚre dans la rainure en rive droite, l'écart entre le haut et le bas pouvant dépasser 10 cm. Des modÚles de calcul ont ensuite permis de déterminer que l'effort qu'il est nécessaire de délivrer au niveau du treuil pour placer la porte dans cette configuration pourrait s'élever à prÚs de 51 kN, et même un peu moins dans le cas où la porte serait bloquée par un obstacle situé au niveau de ses galets de guidage inférieurs. Il est donc compatible avec la capacité maximale du treuil, qui a été calculée à 52,1 kN à partir des caractéristiques du tambour, du moteur et du variateur, étant précisé que l'effort au treuil normalement nécessaire pour déplacer la porte est de 17,65 kN et que le câble de traction est surdimensionné d'un facteur 8. En synthÚse, la CNR indique que : « Les analyses précédentes montrent qu'un blocage de la porte, soit au niveau du plan d'eau aval, soit plus bas, associé à une défaillance du dispositif qui contrÃŽle l'effort délivré par le treuil, conduit à la perte du couplage rigide entre le chariot de manoeuvre et la porte, dans la direction de l'axe de translation rive gauche/ rive droite : le déplacement de la porte ne correspond plus au déplacement du chariot. 20 Cette notion s'applique généralement à des poutres élancées qui, lorsqu'elles sont soumises à un effort normal de compression, ont tendance à fléchir et se déformer. 109  Avec un chariot en position de fin de course nominale rive droite, la porte peut alors être trÚs faiblement engagée en partie supérieure, tout en n'étant pas engagée du tout en partie basse. Dans ces conditions d'appui dégradées pour laquelle la porte n'est pas dimensionnée, la porte ne peut pas supporter la poussée de l'eau et sa rupture en charge est alors inévitable ». La CNR retient ce scénario comme étant celui ayant causé l'accident et explique dans son rapport d'analyse l'enchaînement des phénomÚnes : « Le mauvais positionnement de la porte dans sa rainure, conduit à un mauvais alignement des lisses de la porte avec les piÚces fixes. Lors du remplissage du sas, ce mauvais alignement conduit à : une mauvaise reprise des efforts hydrostatique de la porte par les piÚces fixes situées en rive droite et en rive gauche ; un matage des boulons des lisses de l'élément C qui sont en face des piÚces fixes ; un matage par la lisse de l'élément A des piÚces fixes situées en rive droite ; une mauvaise étanchéité en rive droite et en rive gauche de la porte. Lors du remplissage, basé sur le principe de la genouillÚre, un effort rive-rive conduit à déplacer la porte vers le garage, ce qui conduit à la dégager des piÚces fixes. Sous l'effet de la charge hydrostatique non reprise par les piÚces fixes, les fixations des éléments de la porte (indexage & bretelles) rompent en rive droite. Puis, les éléments B et C s'articulent autour des piÚces fixes rive gauche du sas, ce qui conduit à les marquer à environ 1 m du bord. Ci-dessous, la position probable lors de la rupture de la porte ». Le rapport d'analyse de l'accident établi par la CNR présente de maniÚre détaillée les constats réalisés sur les éléments de la porte et sur le génie civil de l'écluse. La derniÚre étape du processus d'investigation a consisté pour la CNR à comparer les éléments du scénario issus de la modélisation et les désordres effectivement constatés. L'expertise métallurgique des piÚces de fixation Une expertise métallurgique des piÚces de fixation des éléments de liaison des quatre caissons de la porte a été réalisée par la société CETIM. Elle a permis d'approfondir les constats réalisés par la CNR et conclut : Sur l'ensemble des éléments examinés, aucun défaut de réalisation, sur les soudures notamment, et aucune anomalie sur les matériaux ayant pu avoir une influence sur l'occurrence et la manifestation de la défaillance n'a été décelé. Aucun signe de dégradation préliminaire à l'évÚnement pendant lequel la défaillance s'est manifestée et qui aurait pu concourir à celle-ci n'a été observé. En particulier, aucun caractÚre de rupture progressive par fatigue n'a été décelé. 110 Annexe 5 : Schéma sur le positionnement de la porte en cas de blocage Le BEA-TT a regardé, sur le plan géométrique, quel avait pu être le comportement de la porte, si celle-ci avait été bloquée dans son avancement par un obstacle positionné au niveau haut du caisson B de la porte, comme le serait un obstacle flottant. Le schéma illustratif correspondant est présenté ci-aprÚs, le schéma en premiÚre position illustrant la position d'une porte correctement fermée. Le positionnement réel de la porte au moment de l'accident n'est pas connu, ce schéma ne représente qu'une hypothÚse de blocage où l'obstacle est positionné en travers de la rainure en rive droite 111 Annexe 6 : Modélisation graphique d'analyse de l'accident du BARPI L'objectif poursuivi par le BARPI (Bureau d'analyse des risques et pollutions industrielles) est de capitaliser, analyser, partager l'ensemble du retour d'expérience tiré des événements industriels. Sa base de données ARIA (analyse, recherche et informations sur les accidents) couvre un large éventail d'événements survenus dans des secteurs d'activités aux spécificités trÚs différentes : www.aria.developpement-durable.gouv.fr. Le BARPI a développé une méthodologie d'analyse afin d'identifier les causes profondes d'un événement. L'investigation peut ainsi faire apparaître des perturbations (ou causes premiÚres) et des causes profondes. Les perturbations désignent les défaillances directes qui ont contribué à l'événement. Elles sont accessibles à l'observation. Les causes profondes, situées en amont des causes apparentes, sont des dysfonctionnements du systÚme socio-technique où s'est déroulé l'accident. Elles renvoient généralement à des dimensions relevant des facteurs humains et des dimensions organisationnelles et managériales pour lesquelles des actions pérennes doivent être engagées afin d'éviter la survenue d'un événement similaire. Conçue comme une boîte à outils simple, la méthodologie du BARPI a été développée pour apporter une vision synthétique de l'enchaînement causal : 112 113 Annexe 7 :La directive sur les machines, les dispositions du Code des transports sur la sécurité des ouvrages de navigation La directive européenne relative aux machines La directive 2006/42/CE du 17 mai 2006, dite « directive Machines », dont la premiÚre version date de 1989, constitue l'une des principales législations relatives à la sécurité des machines. Elle est devenue applicable fin 2009 et fait l'objet d'un guide d'application dont la derniÚre édition date de juin 2010. Elle vise à harmoniser les exigences de santé et de sécurité relatives aux machines au sein de l'union européenne. Elle a été transposée en droit français dans le Code du travail, à partir du décret n° 2008-1156 du 7 novembre 2008. D'aprÚs les articles R. 4311-1 et R. 4312-1 dudit code, les dispositions correspondantes s'appliquent aux machines neuves ou considérées comme neuves, c'est-à-dire n'ayant pas été effectivement utilisées dans un État membre. Elle définit une machine comme un ensemble équipé d'un systÚme d'entraînement et composé de piÚces ou d'organes liés entre eux, dont au moins un est mobile, et qui sont réunis de façon solidaire en vue d'une application définie. Elle implique de réaliser une démarche d'évaluation et de réduction des risques et de la documenter dans un dossier technique, qui doit démontrer que la machine est conforme aux exigences de la directive qui lui sont applicables et qui doit couvrir la conception, la fabrication et le fonctionnement de la machine. Au titre des mesures de contrÃŽle, le Code du travail indique que les ministres concernés, dont celui chargé de l'industrie, peuvent chacun en ce le concerne, demander communication de ce dossier technique. L'évaluation des risques repose sur l'identification des dangers potentiels générés par la machine ou par son utilisation et des situations dangereuses associées, pouvant porter atteinte à la sécurité des opérateurs et des autres personnes exposées. Elle prend en compte la gravité des dommages et la probabilité de survenue, étant précisé que, selon la directive, une faible probabilité d'occurrence peut cependant toujours engendrer un risque grave si des atteintes à la santé, graves ou mortelles, peuvent en résulter. La prise en compte du risque doit se faire en priorité au niveau de la conception, par des solutions améliorant la sécurité intrinsÚque et avec l'objectif de suppression du risque. Lorsque ce n'est pas possible ou s'il subsiste des risques résiduels, des protections techniques doivent être mis en oeuvre, par exemple : barriÚre matérielle, dispositifs de verrouillage, dispositifs permettant de compenser un manque de visibilité directe. Une information doit être réalisée à l'attention des personnes concernées vis-à-vis du danger et des risques résiduels, par exemple : signaux, indications, consignes d'utilisation. La directive précise que la premiÚre étape du processus d'évaluation des risques consiste à déterminer les limites de la machine en envisageant son usage normal et également tout mauvais usage raisonnablement prévisible. Les paramÚtres dont dépend l'utilisation sûre de la machine et leurs limites doivent être précisés. Des mesures doivent être prises pour empêcher l'usage anormal prévisible qui engendrerait un risque. La notice d'instruction de la machine doit préciser les limites aux conditions d'utilisation prises en compte dans l'évaluation des risques et dans la conception de la machine. Elle doit comprendre une description des opérations de réglage et d'entretien devant être effectuées avec leur fréquence, ainsi que la liste des éléments devant être réguliÚrement contrÃŽlés, avec la précision sur la nature des inspections ou essais nécessaires. Si la directive vise en premier lieu la sécurité des utilisateurs de machine et en particulier celle des travailleurs, du fait des risques de l'emploi de la machine sur le lieu de travail, il 114 est à noter qu'elle couvre également la sécurité des tiers, en visant, plus largement, à prévenir les risques pour toutes les personnes exposées. La définition du terme « personne exposée » lui donne un sens trÚs large. Le guide d'application précise par ailleurs que la directive s'applique aux machines utilisées par des travailleurs ainsi qu'à celles qui sont destinées à être utilisées par des consommateurs ou à fournir un service aux consommateurs. Dans le cas d'une écluse, il s'agit d'une situation encore plus évidente, puisque l'emploi de la machine est, dans sa zone d'usage, avec un tiers, qui est un naviguant. Le Cerema confirme qu'il est connu qu'une écluse est une machine au sens de la directive machine et plusieurs rapports de l'AIPCN abordent le sujet de la réalisation, pour les écluses, d'une évaluation des risques au sens de la directive. Celle-ci est différente d'une étude de danger au sens de la réglementation sur les ouvrages hydrauliques, même si les méthodologies peuvent être comparables. Elles n'ont pas le même objectif ni, sans doute, la même échelle de caractérisation de la gravité des risques. L'étude de danger paraît plus globale et est ciblée sur les risques aux ouvrages et d'inondation, tandis que la directive machine implique une étude de sécurité de l'ouvrage qui est plus détaillée et dans laquelle le risque pour les navigants qui empruntent l'écluse est au coeur de la réflexion. Les écluses qui ont été conçues antérieurement à la directive n'ont pas obligation de satisfaire à ses exigences, mais il est recommandé d'analyser leur fonctionnement au regard de cette directive. L'AICPN souligne que les propriétaires d'écluses doivent garder à l'esprit que l'objectif de la directive est de rendre les machines sécuritaires vis-à-vis des personnes concernées et que la réalisation d'une évaluation des risques sur les ouvrages pré-existants peut constituer une base pour des améliorations de sécurité. Réglementairement, la directive s'applique à la construction d'une nouvelle écluse, et également, d'aprÚs le guide d'application et les publications de l'AICPN, dans le cas de la reconstruction d'un équipement structurant et de modifications significatives apportées vis-à-vis d'un ouvrage existant ou ayant un impact substantiel sur le fonctionnement ou la sécurité de l'ensemble. Les dispositions relatives à la sécurité des infrastructures de transport La loi n° 2002-3, dite loi « SIST »21 a introduit des dispositions relatives à la sécurité des infrastructures et systÚmes de transport, qui ont été codifiées dans le Code de la voirie routiÚre, pour ce qui concerne la route et les tunnels, et dans le Code des transports, via les articles L. 1611-1 à L. 1614-3, qui concernent notamment les systÚmes de transport public guidé, ainsi que les ouvrages d'infrastructure de navigation intérieure ou portuaire « dont l'exploitation présente des risques particuliers pour la sécurité des personnes ». Les dispositions du Code des transports peuvent se résumer comme suit : Avant l'engagement des travaux de construction ou de modification substantielle d'un systÚme de transport ou d'un ouvrage d'infrastructure, le maître d'ouvrage doit adresser au représentant de l'État un dossier préliminaire accompagné d'un rapport sur la sécurité établi par un expert ou un organisme qualifié, agrée ; La mise en service de ces systÚmes ou ouvrages est subordonnée à une autorisation délivrée par le représentant de l'État, en fonction des garanties de sécurité offertes par leurs caractéristiques et leurs modalités d'exploitation. Cette autorisation vaut approbation des prescriptions d'exploitation qui sont établies par le maître d'ouvrage et 21 Loi du 3 janvier 2002 relative à la sécurité des infrastructures et systÚmes de transport, aux enquêtes techniques aprÚs évÚnements de mer, accident ou incident de transport terrestre ou aérien et au stockage souterrain de gaz naturel, d'hydrocarbures et de produits chimiques 115 qui comportent, au moins, un examen périodique de sécurité par un expert ou par un organisme qualifié, agréé. Ces principes généraux ont été déclinés dans la partie réglementaire du code, par les articles R. 1612-1 à R. 1614-1 et R. 5311-3 à R. 5311-9, pour ce qui concerne les systÚmes de transport guidé et les ouvrages d'infrastructure portuaire maritime. S'agissant des ouvrages d'infrastructure de navigation intérieure, un projet de décret avait été préparé, comme le prévoit le Code des transports, pour préciser les conditions d'application de ces dispositions générales et les catégories d'ouvrages concernés. Le BEA-TT a pu prendre connaissance de deux versions de ce projet, l'une établie en 2002 et l'autre en 2010, dont les éléments les plus saillants sont présentés ci-aprÚs. Il était ainsi prévu que soient concernés les écluses, du moins, selon les versions, celles à grand gabarit, les ascenseurs à bateau, les ponts mobiles et les tunnels de navigation, du moins ceux de 1000 m de long et plus, selon les versions. La premiÚre version apporte des précisions de fond, qui, pour certaines, relÚveraient sans doute davantage d'un arrêté plutÃŽt que d'un décret. Elle précise que l'ouvrage est à considérer avec tous les éléments concourant à son fonctionnement et présente les bases d'un dispositif d'agrément pour des experts ou organismes qualifiés. Comme la directive machine, elle énonce, pour la conception d'un nouvel ouvrage ou d'une modification substantielle apportée vis-à-vis d'un ouvrage existant, des principes d'exigences de sécurité et de réduction, autant que possible, des risques pour les usagers, les personnels et les tiers. La notion de modification substantielle, présentée dans la seconde version du projet de décret, paraît plus adaptée et proche de celle évoquée dans le cadre de la directive machine, mais mériterait d'être précisée. Elle précise que le dossier préliminaire de la sécurité correspondant, qui est à constituer par le maître d'ouvrage, doit montrer que le projet permet d'atteindre cet objectif de sécurité, à partir notamment des caractéristiques techniques et fonctionnelles de celui-ci et dans des conditions envisagées d'exploitation et de maintenance, et de prendre en compte les risques naturels et technologiques susceptibles d'affecter l'ouvrage. L'organisme extérieur agréé est chargé, sur la base de ce dossier préliminaire, d'assurer l'évaluation de la sécurité de l'ouvrage, ainsi que la vérification de ses capacités initiales et de leur maintien dans le temps au regard de l'objectif de sécurité. Il vérifie en particulier que la conception est conforme aux rÚglements existants et aux rÚgles de l'art. L'autorisation de mise en exploitation d'un nouvel ouvrage ou, aprÚs réalisation d'une modification substantielle, d'un ouvrage existant, est délivrée au vu d'un dossier de sécurité, établi par le maître d'ouvrage, comprenant par ailleurs un rÚglement de sécurité et de police de l'exploitation et un plan d'intervention de sécurité. Le projet de décret prévoyait que cette obligation d'autorisation s'applique également aux ouvrages existants, avec un délai pour une mise en conformité sur ce point. La durée de validité de celle-ci et l'intervention éventuelle de l'organisme extérieur agréé ne sont pas précisées. L'apport du projet de décret d'application de la loi SIST, par rapport à la directive machine, concerne les modalités de prise en compte des conditions d'exploitation et de maintenance de l'ouvrage au regard de l'objectif de sécurité, l'intervention d'un organisme extérieur agréé qui apporte un double regard et une évaluation vis-à-vis de la démarche du maître d'ouvrage, ainsi que l'applicabilité des dispositions aux ouvrages existants. 116 Bureau d'E nquêtes sur les Ac cidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  (ATTENTION: OPTION © rive droite et 1 cÃŽté rive gauche, soit 6 au total. Les bretelles peuvent effectuer une légÚre rotation, permettant un déplacement de quelques mm dans le sens amont/aval d'un caisson sans déplacement du caisson qui lui est lié. Cela permet le plaquage successif des éléments lors du remplissage du sas ou, à la vidange du sas, le déplaquage successif des éléments, sans solliciter l'élément inférieur. Schéma illustratif de la rotation des bretelles source CNR 48 Disposées aux deux extrémités des faces de chaque élément de la porte, les lisses et les étanchéités14 (photo ci-avant) sont des piÚces verticales boulonnées sur l'élément et d'une longueur identique à sa hauteur. Lorsque le sas de l'écluse se remplit, avec la pression de l'eau, les quatre éléments de la porte viennent se plaquer les uns aprÚs les autres contre les rainures. Une marque d'oxydation formant une bande illustre l'emplacement des lisses lorsqu'elles sont en appui sur les rainures. Le document descriptif de la CNR relatif à la porte indique que les bretelles et indexeurs ne sont pas prévus pour reprendre la poussée hydrostatique et que ce sont les lisses d'appui qui reprennent cette poussée et la transfÚrent au génie civil. Ce document indique que, en fonctionnement normal, lorsque la porte est fermée, elle est centrée par rapport au sas, selon le plan suivant, correspondant au plan d'ensemble de l'élément A dans le génie civil. Rive droite AVAL Rive gauche SAS La largeur de la porte est de 13,10 m, élément A nu sans ses équipements. La largeur du caisson A, avec ses 2 boucliers-chasse-boue de chaque cÃŽté, est de 14,85 m. La largeur du sas est de 12,10 m. Donc, lorsqu'elle est centrée par rapport au sas, la porte rentre de 50 cm dans la rainure en rive droite et dans la rainure de son garage. Les éléments équipant en bas le caisson A rentrent alors, en moyenne, de 87,50 cm dans chacune de ces rainures. Les lisses de la porte sont alors à l'intérieur des rainures à 40 cm du bord du sas. Il est à noter que les quatre caissons de la porte se remplissent d'eau au fur et à mesure du remplissage du sas et que lorsque celui-ci est rempli, la porte est immergée. Le document descriptif de la CNR indique par ailleurs que chaque inter-caisson est rendu étanche par des joints de section rectangulaire. 14 en néoprÚne ­ caoutchouc rigide et résistant utilisé notamment pour la confection de joints étanches 49 4.2 - Les éléments concourant au déplacement de la porte 4.2.1 - Le chariot de manoeuvre et les brimbales Le systÚme de chariot est constitué d'un « grand » chariot à deux traverses et d'un « petit » chariot à une seule, qui sont accouplés de façon rigide, reliés entre eux par un attelage, et comprenant chacun 4 galets de roulage munis de joues. Il fait un peu plus de 10 m de longueur et circule sur des rails espacés de 2,70 m. Le grand chariot, situé en rive gauche, est le chariot moteur. Il dispose à l'arriÚre de deux poulies dans lesquelles viennent passer les câbles permettant d'entraîner le systÚme. Deux brimbales amont et aval relient chaque chariot à la porte. Elles sont fixées en 4 points sur l'élément supérieur (D) de la porte. Elles ont une forme de lame droite, d'un peu plus de 6 m de long, pour le petit chariot et une forme de Y pour le grand chariot. Les liaisons brimbales / chariots et brimbales / porte sont du type chape et axe rotulé. La porte est suspendue aux chariots et ne repose pas sur le sol. Les galets de translation des chariots ainsi que les brimbales reprennent le poids de la porte, soit 90 tonnes. Suspension de la porte au chariot, ci-dessus Vue du chariot depuis la rive droite aval, ci-dessus, Attache des brimbales sur la porte, ci-dessous et depuis la rive gauche amont, ci-dessous (photos CNR) 50 4.2.2 - Le treuil, les capteurs associés et le variateur Le chariot est relié à un treuil par deux câbles, l'un qui agit dans le sens de l'ouverture de la porte et l'autre qui agit dans le sens de sa fermeture. Schéma de principe du câble ouverture et du câble fermeture source CNR Vue depuis l'aval du treuil de manoeuvre en rive gauche du garage de la porte. Photo CNR. Le câble s'enroule sur le tambour. L'axe du tambour est relié à un frein à mâchoires et à un moteur électrique, alimenté par un variateur de vitesse. Le treuil est équipé : ­ d'une protection mécanique de surcharge ; ­ et, via le variateur, d'une protection électrique de surcharge correspondant à une protection thermique du moteur. La protection de surcharge mécanique du treuil. Photo CNR et photo de l'huissier de justice. Le treuil est équipé de deux capteurs de surcharge, un pour chaque câble et donc chaque sens de manoeuvre de la porte, qui délivrent une information « tout ou rien ». Ces capteurs sont activés par un bras de levier et un ressort fixés au niveau du tambour du câble : les efforts de couple sur le treuil se transmettent sur ce bras qui est équilibré par la compression du ressort. Le frein à mâchoires est commandé électriquement. Sans énergie électrique, le frein est serré. Il est équipé d'un capteur de fin de course de position, activé lorsque le frein est fermé, et illustré sur la photo ci-contre (source CNR). Les deux informations, frein ouvert ou frein fermé, sont fournies à l'automate par ce même capteur, cela revient à dire que le capteur est en position 0 (frein non activé) ou 1 (frein activé). 51 Sous le contrÃŽle de l'automate, le frein à mâchoire et le moteur du treuil sont commandés par un variateur de fréquence. Frein et moteur sont tous deux alimentés depuis un tableau général basse tension dit « armoire force motrice ». L'écluse de Sablons est équipée de deux variateurs, modÚle Altivar 71 de la marque Schneider electric, installés dans l'usine attenante. Un seul variateur est actif et est utilisé pour piloter les deux portes de l'écluse, une rotation entre les deux est effectuée en cours d'année ou chaque année. Le variateur permet notamment de faire varier la vitesse du moteur et donc la vitesse de déplacement de la porte. Il génÚre principalement deux vitesses de consigne : une petite vitesse (10,2 Hz) servant au début et à la fin de manoeuvre de la porte ; une vitesse normale (50,2 Hz) utilisée en dehors des zones de petite vitesse, c'est-à-dire en dehors des temps de démarrage et de ralentissement ; ua rampe d'accélération est de 0 à 50,2 Hz en 3,2 s ; ua rampe de décélération de 50,2 à 10,2 Hz se fait en 3,2 s. 4.2.3 - Les capteurs de position de la porte La porte aval de l'écluse de Sablons fait l'objet de 12 capteurs de fin de course de position de la porte, soit 6 dédiés à la manoeuvre d'ouverture de la porte et 6 autres dédiés à la manoeuvre de fermeture, ce qui donne pour ce sens : 1 capteur de « ralentissement de la porte », à partir duquel se déclenche le passage de la vitesse normale à la petite vitesse de déplacement de la porte ; 3 capteurs de contrÃŽle de la position « porte fermée », dont 2 sont rattachés à l'automate de pilotage (APN) et l'autre est rattaché à l'automate de sécurité (CSU) ; 2 capteurs « surcourse », soit un pour chacun des automates susmentionnés, destinés à apporter une sécurité supplémentaire, dans le cas où, aprÚs avoir atteint sa position « porte fermée », la porte ne s'arrêterait pas. Si l'un de ces capteurs est activé, cela constitue un défaut et arrête le processus. Ces capteurs de fin de course sont fixés sur des glissiÚres, positionnées de part et d'autre des rails du chariot de manoeuvre et situées à l'extrémité : du sas de l'écluse, en rive droite, pour ce qui concerne la fermeture de la porte ; du garage de la porte, en rive gauche, pour ce qui concerne l'ouverture de la porte. Il s'agit de capteurs à croix, à basculement mécanique, dont l'axe de rotation est vertical, qui délivrent une information « tout ou rien », soit activé ou non activé. Ils sont actionnés mécaniquement par le chariot de translation de la porte, à partir de tiges métalliques verticales dénommées « doigts » fixées sur le dessus du chariot. Ces capteurs permettent donc de détecter la position extrême du chariot de manoeuvre auquel la porte est suspendue, ce qui revient à détecter, de maniÚre indirecte, la position de la porte, compte tenu du principe selon lequel le mouvement de la porte suit celui du chariot. 52 Les capteurs de fin de course, en rive droite, qui étaient en service au moment de l'accident Capteurs fermeture Brimbales « Doigt » amont du petit chariot 53 Chariot de manoeuvre qui est en position extrême en rive droite, correspondant à une position de porte fermée : le petit chariot se situe au droit des capteurs de fin de course. Rive droite amont - 3 capteurs neufs installés suite à l'accident : 1 capteur ralentissement (APN) 1 capteur porte fermé (CSU) 1 capteur surcourse (CSU) Rive droite aval 3 capteurs neufs, installés suite à l'accident : 2 capteurs porte fermée (APN) 1 capteur surcourse (APN) Vue sur le petit chariot, remis à neuf, qui active les 2 capteurs porte fermée avec son « doigt » aval Un capteur de position analogique fournit une information complémentaire sur la position du chariot de manoeuvre. Installé sur le cÃŽté rive gauche, il consiste en la lecture d'une cible fixée sur le chariot. Ce capteur n'est pas utilisé en tant que contrÃŽle de position et ne 54 participe pas au processus de manoeuvre de la porte. Il est principalement utilisé pour animer l'écran de supervision et permettre de visualiser l'avancée du processus. Récapitulatif du mécanisme de fermeture de la porte La porte se déplace en petite vitesse quand elle commence à se mettre en mouvement dans la rainure rive gauche du garage puis quand elle s'insÚre dans la rainure en rive droite. Elle se déplace à la vitesse nominale entre ces deux phases. Le processus commence par la mise en service du systÚme d'entraînement. Le moteur est mis sous tension, le variateur commence à appliquer une intensité qui crée un couple sur le moteur. Puis, sur commande du variateur, le frein se desserre tout en désactivant le capteur de fin de course correspondant. Le moteur accélÚre et met en mouvement le chariot tracteur ; La porte démarre en petite vitesse puis atteint sa vitesse nominale de déplacement aprÚs 3,2 secondes et aprÚs la désactivation des capteurs de fin de course (porte ouverte et ralentissement) associés à l'ouverture de la porte. La porte se déplace à la vitesse nominale jusqu'au début de la décélération. Lorsque le chariot franchit le capteur « ralentissement », l'entraînement décélÚre le mouvement de la porte en 3,2 secondes. Puis le chariot se déplace en petite vitesse, puis finit par atteindre le capteur « porte fermée » de l'automate de sécurité, puis les deux capteurs « porte fermée » de l'automate de pilotage. DÚs que ces derniers sont actionnés, le variateur arrête le moteur, le chariot s'arrête et le frein se referme tout en activant le capteur de fin de course correspondant. La porte est alors fermée, c'est-à-dire centrée par rapport à l'axe du sas, elle est alors insérée de 50 cm dans chacune de ses rainures, en rive droite et en rive gauche. Schéma récapitulatif 55 4.3 - Présentation du systÚme de contrÃŽle-commande 4.3.1 - Les principales caractéristiques Le systÚme de contrÃŽle-commande de l'écluse de Sablons a été mis en service en mars 2011, suite à une rénovation de l'installation électrique et des automatismes. Il est composé : d'un automate dit APN (automate programmable normal), qui gÚre l'ensemble de la conduite des processus de l'écluse ; d'un automate dit CSU (chaîne de sécurité ultime) qui joue un rÃŽle de contrÃŽle encadrant et dispose de ses propres capteurs. l'enchaînement des séquences de manoeuvre des organes et le pilotage de l'ensemble des actionneurs, tels que les freins et les moteurs ; les contrÃŽles de sécurité et les contrÃŽles de cohérence de la position des organes entre eux, via un certain nombre d'équations de défaut paramétrées dans l'automate. L'automate APN assure notamment : Une présentation plus détaillée figure en annexe 3. L'automate surveille et peut donc générer différents types de défaut, en lien avec une anomalie de fonctionnement d'un organe ou du processus d'éclusage. Plus d'une trentaine sont paramétrés en lien avec la porte aval de l'écluse, tels que : des défauts généraux : défauts électriques, mesures de niveaux d'eau ; des défauts d'interverrouillage : l'automate surveille que la position des autres organes est cohérente avec le mouvement ou avec la position de l'organe piloté ; des défauts « propres » à l'organe. Dans cette derniÚre catégorie figurent des défauts surveillés à partir des capteurs de fin de course associés à la porte. Par exemple, l'automate surveille en permanence la cohérence des informations données par ces capteurs les uns par rapport aux autres et effectue des contrÃŽles de temporisation à partir de variables calculées, tels que : « fins de course non atteints ensemble » : pour la position « porte fermée » ou « porte ouverte », qui est détectée à partir de deux capteurs distincts, l'automate lance une temporisation lorsque le premier capteur est atteint et génÚre un défaut si le second capteur n'est pas atteint au bout de la temporisation ; « temps trop long d'exécution » (TTLE) : surveillance du temps de manoeuvre de la porte et génération d'un défaut si ce temps est trop long. les défauts associés aux capteurs équipant le treuil : en cas de détection d'une surcharge mécanique ou d'une incohérence de position du frein ; les défauts ayant pour origine le variateur. Fonctionnant comme un mini programme, plusieurs types de défauts peuvent être paramétrés à son niveau, dont celui associé à la protection thermique du moteur. Cette protection consiste à limiter l'intensité du courant pour protéger le moteur de la surchauffe. En cas de défaut détecté au niveau du variateur, celui-ci transmet de maniÚre générique un « défaut variateur » à l'automate, défaut qui regroupe un ensemble de défauts paramétrés dans le variateur. Les défauts qualifiés de bloquants arrêtent automatiquement le processus avec mise en sécurité de l'écluse, sans énergie électrique. C'est le cas des exemples ci-avant. 56 Figurent également : 4.3.2 - L'interface avec l'opérateur et le rÃŽle de celui-ci Comme indiqué en 2.6.3, l'interface homme machine (IHM) comprend un écran relatif aux défauts consignés par l'automate et un écran de commande et de suivi de processus. Ce deuxiÚme écran permet à l'opérateur de lancer des commandes de manoeuvres d'éclusage grâce à un ensemble de touches de fonctions : Cycle montant / Cycle avalant / Commande / Arrêt. L'éclusage d'un bateau montant comprend 3 étapes de cycle : fermeture de la porte aval, remplissage du sas, ouverture de la porte amont. La conduite de l'écluse est réalisée dans un mode dit « pas à pas », impliquant pour chaque étape, une commande par l'opérateur ainsi que des vérifications et une validation par l'automate. La touche Arrêt est l'une des possibilités d'arrêter un processus en cours, les autres étant le bouton poussoir évoqué en 2.6.3 et un bouton d'arrêt d'urgence, encore davantage sécurisé, présent dans la salle du CGN. Cet écran permet également de visualiser sous la forme de synoptique la position des portes et des vannes et l'avancée du processus. Les variables de synthÚse animant ces vues sont créées par l'automate à partir des capteurs de position. La CNR a établi une note à destination du BEA-TT qui présente les consignes aux chargés de conduite en cas de défaut détecté par l'automatisme. Les défauts non bloquants n'appellent pas d'action immédiate de la part des opérateurs. Ils sont pour la plupart acquittables par les opérateurs et ceux-ci procÚdent en pratique à un acquittement, afin de « nettoyer » la page « défauts » de l'IHM. Les défauts bloquants provoquent l'arrêt du processus d'éclusage en cours et font retomber tous les ordres de manoeuvre. Certains de ces défauts ne peuvent être acquittés que par le personnel d'exploitation du site et nécessitent alors son intervention avant tout autre commande sur les organes. D'autres peuvent être acquittés par le chargé de conduite de l'écluse qui peut dÚs lors relancer une manoeuvre aprÚs l'analyse du défaut. Conformément à la note CNR, et si ce dernier se répÚte aprÚs un deuxiÚme acquittement, l'opérateur, en lien avec le chef de salle du CGN, sollicite l'exploitant pour analyse et/ou intervention. 57 4.4 - Les données enregistrées par les systÚmes lors de l'accident D'aprÚs les données des capteurs de niveau d'eau, le remplissage du sas lors de l'éclusage du PAMPERO paraît s'être effectué normalement jusqu'à la rupture de la porte. Lors de l'éclusage précédent, l'eau dans le sas est montée d'environ 12 m, étant rappelé que le sas est au niveau aval quand le bateau montant pénÚtre à l'intérieur. Le rythme de remplissage lors de l'éclusage du PAMPERO est similaire à celui de l'éclusage précédent jusqu'au moment où la porte cÚde. L'eau dans le sas était alors montée d'environ 8 m et devait donc atteindre au moins les 2/3 de la hauteur du caisson D de la porte. AprÚs la rupture de la porte, le niveau d'eau a ensuite baissé brutalement. La CNR a adressé au BEA-TT la consignation d'état, c'est-à-dire le séquençage des messages et des défauts de l'automate relatifs à l'éclusage précédent et à l'éclusage du PAMPERO. Pour ce dernier, un extrait figure ci-aprÚs et comporte, en derniÚre colonne, quelques décryptages ou précisions supplémentaires apportés par la CNR. L'analyse des données correspondantes peut être effectuée notamment en faisant le lien avec les séquences vidéos. En complément à celles présentées en partie 3.3. il est possible également de s'appuyer sur une autre caméra, celle qui fournit une vue sur la derniÚre partie du déplacement du chariot de manoeuvre de la porte. Elle fournit une vue sur l'extrémité de l'assemblage et le petit chariot, ce dernier ayant notamment pour fonction d'actionner les capteurs de fins de course associés à la fermeture de la porte. Correspondance entre la position du vantail de la porte et la position du chariot Lors de la fin de la manoeuvre de fermeture de la porte, le déplacement du chariot paraît se passer normalement, aucune différence ne paraît perceptible avec ce qui peut être visionné lors de l'éclusage précédent. Voir photo ci-aprÚs. L'enregistrement vidéo permet également d'observer que le chariot enregistre : un léger recul en direction de la rive gauche puis une secousse et un léger soulÚvement, au moment où l'élément C de la porte cÚde ou juste avant ; puis, des secousses plus importantes, qui le font décoller des rails puis y retomber, lors de la séquence où le bateau percute et emporte l'élément D de la porte. Un extrait de la consignation d'état relative à l'éclusage du PAMPERO figure ci-aprÚs (pour mémoire, Fdc est l'abrégé de fin de course). Le BEA-TT a également analysé les états se rapportant à l'éclusage précédent, ceux-ci n'indiquaient rien d'anormal. 58 HEURES 00:24:54.000 00:24:53.600 00:24:53.500 00:24:53.500 00:24:53.400 00:24:53.000 00:24:52.600 00:24:52.500 00:24:52.500 00:24:52.200 00:24:51.500 00:24:51.500 00:24:50.500 00:24:50.500 00:24:45.500 00:24:45.500 00:24:44.500 00:24:44.500 00:24:44.500 00:24:44.500 00:24:43.500 00:24:43.500 00:24:40.400 00:24:35.800 00:24:35.600 00:24:35.600 00:24:35.500 00:24:34.600 00:24:34.600 SRCE APN CSU APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN CSU CSU APN APN CSU DOM Détecteur Sas Niveaux Ecluse Détecteur Détecteur Détecteur Niveaux Ecluse Détecteur Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Détecteur Détecteur Sas Niveaux Sas PV Niveaux LIBELLE Bouch. Av - Détection passage bateau à l'amont Sas - Déf. sens de variation niveau chaine CSU remplissage Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Sas - Déf. sens de variation niveau chaine CSU remplissage Aval - Défaut gradient niveau Chaine CSU Sas - Déf. sens de variation niveau chaine 2 remplissage PV - Incohérence sur les FdC Aval - Défaut gradient niveau Chaine CSU ETAT DIS DIS DIS DIS APP DIS APP APP APP DIS DIS DIS APP APP DIS DIS DIS DIS APP APP APP APP APP DIS APP DIS APP DIS APP Commentaires CNR Detection de la sortie complÚte du bateau de la bouchure aval Detection de la vidange du SAS via la CSU Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau 00:24:34.500 00:24:34.500 00:24:33.800 00:24:27.500 00:24:27.500 00:24:27.500 00:24:27.500 00:24:26.500 00:24:26.500 00:24:26.500 00:24:26.500 00:24:23.400 00:24:22.600 00:24:22.500 00:24:22.400 00:24:21.500 00:24:21.500 00:24:21.500 00:24:21.500 00:24:20.800 00:24:20.800 00:24:20.800 00:24:20.600 00:24:20.600 00:24:20.500 00:24:20.500 00:24:20.500 00:24:20.500 00:24:14.300 APN APN APN APN APN APN APN APN APN APN APN CSU CSU CSU CSU APN APN APN APN APN APN APN APN APN APN APN APN APN APN PV Sas Détecteur Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux DGE DGE Niveaux Niveaux Ecluse Niveaux Ecluse DGE CGS CGE Ecluse Sas Niveaux Ecluse Niveaux Ecluse Sas PV - Incohérence sur les FdC Sas - Déf. sens de variation niveau chaine 1 remplissage Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine CSU DGE - Déclenchement par CSU DGE - Déclenchement par CSU Aval - Défaut gradient niveau Chaine CSU Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée DGE - Ouvert CGS - Ouvert CGE - Ouvert Cycle montant sélectionné Sas - Remplissage Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Sas - Remplissage 00:24:13.800 00:18:26.500 00:18:26.500 APN Sas APN Sas APN Ecluse Sas - Remplissage Sas - Remplissage Commande cycle 00:18:16.100 APN PV PV - En manoeuvre fermeture Detection de la vidange du SAS de la CSU Défauts des niveaux aval Detection de la vidange du SAS de l'APN Défauts d'incoherence sur les fdc Défauts des niveaux aval Détection de l'incohérence des FdC. Suspicion de perte fugitive d'un ou de plusieurs capteurs APN "FdC fermé", "FdC ouvert", "FdC ralentissement fermeture", "FdC ralentissement ouverture". Etant fugitif le changement d'état des APP capteurs n'a pas été enregistré. APP Detection de la vidange du SAS de l'APN APP Detection de la sortie de la bouchure aval du bateau DIS DIS DIS DIS APP Défauts des niveaux aval APP APP APP DIS DIS Déclenchement du DGE par la CSU APP APP DIS DIS Défauts des niveaux aval DIS DIS DEB Ouverture DGE CGS et CGE par l'APN (actions sur les équipements DEB électriques - contacteurs de sécurité - pour mise en sécurité) DEB FIN Fin du cycle FIN Fin du remplissage du SAS APP APP Défauts des niveaux aval APP APP DEB Reprise du remplissage du SAS Fin du remplissage du SAS Suspicion perte fugitive de un ou deux capteurs APN "FdC fermé" conditionnant la position fermée de la porte aval (vibration suite au détachement du 1er caisson). Etant fugitif le changement d'état des FIN capteurs n'a pas été enregistré. DEB Demarrage du remplissage du SAS Enclenchement de la commande du pas "remplissage SAS" depuis le DEB poste opérateur du CGN Porte Aval detectée fermée: 00:18:04 le capteur CSU "FdC fermé" bascule de 0 à 1 FIN 00:18:17 les 2 capteurs (APN) "fdc PV fermé" basculent de 0 à 1. Demarrage de la sequénce de fermeture de la porte aval. 00:16:28 les 2 capteurs "FdC ouvert" basculent de 1 à 0 00:16:28 le capteur CSU "FdC ouvert" bascule de 1 à 0 00:17:56 le capteur APN "ralentissement fermeture" bascule de 0 à 1 Enclenchement de la commande du pas "fermeture porte aval" depuis le poste opérateur du CGN Cycle montant selectionné depuis le poste opérateur du CGN Cycle montant proposé Mode de conduite PAS A PAS depuis le CGN 00:16:09.300 00:16:09.000 00:16:02.300 00:16:02.300 00:15:55.000 APN PV APN APN APN APN Ecluse Ecluse Ecluse Feux PV - En manoeuvre fermeture Commande cycle Cycle montant sélectionné Début de cycle montant LVE - Feu au rouge DEB DEB DEB DEB DEB 59 La consignation d'état montre que les premiers défauts détectés par l'automate interviennent quelques secondes aprÚs la rupture de la porte, qui s'est produite à 0 h 24 min 13 s d'aprÚs les séquences vidéos. Ils se rapportent à un problÚme de niveau d'eau à l'aval, probablement en lien avec la vidange du sas consécutive à la rupture de la porte. Une grande partie des défauts détectés ensuite par l'automate sont relatifs à ces mêmes phénomÚnes. Quelques autres défauts sont en lien avec la détection du bateau en train de sortir du sas. L'écluse est équipée en amont de la porte aval d'un dispositif radar de détection de bateaux, qui est destiné à éviter une manoeuvre de fermeture de la porte alors qu'un bateau se trouverait au droit de celle-ci. Le libellé « Bouch. Av - Détection passage bateau à l'amont » correspond aux détections par le radar du passage du PAMPERO lorsqu'il sort de l'écluse. Les séquences vidéos ont montré que le bateau a commencé à sortir du sas à 0 h 24 min 35 s pour finir de le quitter prÚs de 20 secondes plus tard. Le défaut d'incohérence sur les capteurs de fin de course détecté par l'automate à 0 h 24 min 34 s paraît être en lien avec les secousses subies par le chariot de manoeuvre lors de la séquence où le bateau heurte et emporte le caisson D de la porte. Au moment où la porte cÚde, on peut voir que l'automate consigne une « fin du remplissage du sas », puis une reprise du remplissage, avant de se mettre en défaut quelques secondes plus tard. Il s'agit en fait d'une fin d'action de remplissage et non pas la signification que le sas a fini d'être rempli. La CNR explique que cette fin d'action a certainement été déclenchée par la désactivation fugitive de l'un ou des deux capteurs de position fermée de la porte, en raison par exemple des vibrations induites par la rupture de la porte, ou encore de la secousse subie par le chariot lors de cette séquence. Mais il ne paraît pas tout à fait normal en termes de sécurité qu'une reprise de l'action de remplissage s'en soit alors suivie et donc que cette désactivation, même fugitive, n'ait pas entraîné un arrêt du processus. La CNR a, depuis, apporté une modification au niveau de la programmation de l'automate afin que le défaut d'interverrouillage « porte aval non fermée » agisse également en dehors de la phase de manoeuvre des vannes de remplissage. Le défaut était conditionné par la commande des vannes, il n'a donc pas agi au moment de l'accident pour arrêter le cycle, car les vannes, alors grandes ouvertes, n'étaient pas en train d'être manoeuvrées. Les équations correspondant aux autres défauts d'interverrouillage ont également été modifiées sur le même principe. L'action de remplissage du sas s'est donc interrompue au bout de prÚs de 6 minutes aprÚs son commencement. Elle a duré presque 9 minutes lors de l'éclusage précédent. La porte a été détectée fermée par l'automate à 0 h 18 min 17 s, c'est-à-dire lorsque les deux capteurs de position fermée de la porte de l'automate de pilotage ont été activés. Leur activation est intervenue 13 secondes aprÚs celle du capteur similaire de l'automate de sécurité, ce qui paraît long, et 21 secondes aprÚs celle du capteur déclenchant le ralentissement de la porte. Ci-contre, l'enregistrement de la caméra donnant la vue sur le chariot au moment de la fin de la manoeuvre de fermeture de la porte. 60 La durée de l'étape de fermeture de la porte, consignée par l'automate, est de 2 minutes et 7 secondes. Elle a été de 1 minute et 54 secondes lors de l'éclusage précédent. Pour information, la durée totale du cycle lors de l'éclusage précédent a été de 15 minutes environ. La CNR a établi, rapidement aprÚs l'accident, une revue des programmes des automates de l'écluse, où chaque équation de défaut et le séquentiel du processus sont analysés, ainsi que le listing chronologique des évÚnements consignés par l'automate lors de l'éclusage du PAMPERO. Elle souligne la piste de progrÚs évoquée ci-avant concernant certains défauts d'interverrouillage et conclut que le comportement des automates a été conforme aux attendus. Le BEA-TT a analysé l'ensemble des documents relatifs aux automates qui lui ont été adressés par la CNR et n'a pas de remarque complémentaire à formuler. Il a disposé également du constat des relevés d'informations des variateurs équipant l'écluse, qui a été établi aprÚs l'accident par l'huissier de justice mandaté par la CNR. L'huissier consigne que les variateurs de cette génération, modÚle Altivar 71 fabriqués en 2011, ne contiennent pas de fonction d'horodatage. Ils permettent de recenser les 8 derniers défauts qui sont apparus et de connaître à quelle heure de fonctionnement du variateur est apparu le défaut. S'agissant du variateur qui était en activité au moment de l'accident, la durée de fonctionnement est de 2123 heures et le dernier défaut enregistré s'est produit à la 1884e heure de fonctionnement, soit 239 heures avant la fin du fonctionnement enregistré du variateur. Le même type de relevé a été effectué pour le second variateur. Aucun défaut n'est donc apparu au niveau du variateur lors de l'éclusage du PAMPERO, ce qui est cohérent avec l'absence de défauts « variateur » consignés par l'automate. On peut noter par ailleurs que parmi les 8 derniers défauts apparus, 3 de ces défauts pour un variateur et 4 pour l'autre, concernent une « surcharge moteur », en lien avec la protection thermique du moteur. 61 4.5 - Les constats sur les piÚces de la porte et de l'écluse 4.5.1 - Les constats immédiats aprÚs l'accident et le chariot de manoeuvre Les photos ci-aprÚs ont été réalisées par la DREAL le lendemain de l'accident, soit avant le démontage de certaines piÚces et la mise hors d'eau du sas de l'écluse. Rappelons que le dispositif est composé d'un petit chariot et d'un grand chariot reliés par un treillis de liaison. Aux chariots sont reliés par l'intermédiaire de chapes des brimbales, qui sont de grandes piÚces métalliques en forme de lame, auxquelles la porte est suspendue. Ci-dessous - Vue de l'emplacement de la porte depuis la rive gauche : la porte est absente, elle a été détruite lors de l'accident. En fait et comme illustré en 4.5.2, le caisson A de la porte est resté en place, il est immergé donc non visible. Ci-contre ­ zoom sur le grand chariot : celui-ci est déraillé. 62 On constate une cassure au niveau du support de roulement amont rive droite du petit chariot. La DREAL indique que l'assemblage constitué des deux chariot de manoeuvre de la porte est déformé. Les deux brimbales assurant la liaison entre la porte et le petit chariot sont restées suspendues à ce dernier. Il en est de même des deux brimbales reliées au grand chariot (photo ci-avant). La DREAL indique qu'elles sont déformées. Pour rappel, les deux premiÚres sont en forme de I et les deux autres sont en forme de Y. Le petit chariot paraît positionné au droit des capteurs de fin de course, il semble être dans une position correspondant à un état de porte fermée, ce que la CNR a confirmé (voir ci-aprÚs). Reste de corde d'amarrage du bateau sur le bollard n° 3 (le 3e en partant de l'amont) de l'écluse situé en rive gauche 63 AprÚs l'accident, les brimbales et les chariots ont été démontés et évacués. L'huissier a constaté que le petit chariot a subi des déformations et des dégâts visibles, tels que la cassure d'un support de roulement illustrée ci-avant, et que les phénomÚnes sont moins visibles pour le grand chariot. Les poulies guides câbles spécifiques à ce dernier et utiles pour le déplacement de l'ensemble, ne sont pas visuellement abîmées. La CNR a indiqué que, aprÚs l'accident, le chariot de manoeuvre a été retrouvé dans une position correspondant à un état de porte fermée, le câble de traction était en place. Elle a effectué le repérage au sol de la position des roues de chacun des deux chariots avant leur dépose et a effectué un relevé des cotes correspondantes. Les photos ci-aprÚs, relevées par l'huissier, situent l'emplacement des roues du petit chariot. Les autres constats établis par l'huissier peuvent être résumés comme suit. Le treillis de liaison entre les deux chariots comporte Les chapes ne comportent pas de dégâts apparents. des piÚces de liaison qui ont subi des déformations. Vue d'une des chapes située sur le dessus du chariot Les deux brimbales du petit chariot sont tordues en partie centrale. Une des deux brimbales du grand chariot est déformée cÃŽté rive gauche. 64 4.5.2 - Les quatre caissons de la porte La porte est détruite au moment de l'accident. Comme illustré en partie 3 à partir des enregistrements vidéos, au moment de l'accident, le caisson C se désolidarise des caissons B et D et est éjecté de la porte et emmené par la vague créée par le vidage du sas. Le caisson B était alors pratiquement immergé en totalité, il a vraisemblablement été éjecté à peu prÚs au même moment que le caisson C. Le filet d'eau qui apparaît entre les caissons B et C juste avant la rupture de la porte laisse à penser que les liaisons entre ces deux caissons ont rompu avant que ce ne soit le cas des liaisons entre les caissons C et D. Puis le caisson D a été heurté par le PAMPERO et emmené avec lui lors de son éjection du sas. Il est resté encastré sur la partie arriÚre du bateau. Les caissons B et C seront retrouvés au fond de l'eau à proximité du bateau échoué. AprÚs mise à sec de l'écluse, le caisson A est retrouvé comme étant resté en place au fond du sas. Caisson D Ci-dessus, photo de localisation des caissons B et C au fond de l'eau. source CNR. Ci-contre, caisson D et caisson A. source gendarmerie. Caisson A Compte tenu de leur taille et de leur masse, d'autant que deux d'entre eux sont pleins d'eau, des moyens exceptionnels de relevage ont été mis en oeuvre pour procéder à l'évacuation de ces quatre éléments. Lors de sa premiÚre visite sur site, le BEA-TT a pu photographier le caisson A évacué et le caisson D encastré sur le bateau. Les opérations de repêchage des caissons B et C ont été filmées par la CNR, le BEA-TT a pu visionner 65 les enregistrements correspondants puis, lors de sa deuxiÚme visite, photographier les caissons, étant précisé que les piÚces métalliques de fixation des éléments de liaison inter-caissons avaient alors été prélevés par la CNR en vue d'une expertise métallurgique. Boîtes à galet Face aval du caisson CÃŽté rive droite CÃŽté rive gauche Face amont du caisson Photo CFT prise lors du levage du caisson D à la grue CÃŽté supports des bretelles de liaison Rive ont rompu. droite Caisson D encastré sur le bateau CÃŽté rive droite du caisson, les Le caisson D est trÚs endommagé. Son cÃŽté rive gauche présente des déformations plus prononcées. Au moment de l'accident, ses liaisons avec le caisson C se sont rompues. Les piÚces métalliques qui permettent la liaison avec le caisson C ne sont plus présentes, il en est de même pour les brimbales. Le fait que ces brimbales relient le caisson D aux chariots a pu contribuer à ce que ce caisson ne soit pas éjecté au moment de la rupture de la porte. Amont Rive droite Sortie du caisson C de l'eau à l'aide d'une grue ­ vidéo CNR. Ci-contre, caisson C sorti ­ photo BEA-TT Élément prélevé pour expertise Lors de la sortie de l'eau des éléments : aucune bretelle de liaison n'était encore présente au niveau du caisson C ; les deux bretelles et l'indexage situés en haut sur le cÃŽté rive gauche du caisson B étaient encore en place, ces éléments sont visibles sur les deux photos suivantes. 66 Caisson B suspendu par sa partie basse (donc vu à l'envers) à la grue et en train d'être posé Vidéo repêchage des caissons Photo prise sur caisson C vu de dessus Rive gauche aval Photo prise sur caisson B Un enfoncement est visible à environ un mÚtre de l'extrémité rive gauche du caisson, cÃŽté aval. Ci-contre ­ Les profilés métalliques sur l'amont du caisson sont tordus. Globalement, les dégâts des caissons B et C paraissent comparables. Seules quelques photos ont été choisies ici. Il apparaît en particulier que la face aval de chaque caisson présente un enfoncement à environ un mÚtre de son extrémité rive gauche et sur toute sa hauteur. Des traces de couleur orange, qui semblent espacées d'une valeur constante, sont visibles le long d'une trace verticale de déformation. Aucun dégât n'apparaît cÃŽté rive droite. Cette déformation verticale est constatée sur les deux piÚces et uniquement du cÃŽté rive gauche. 67 Lors de la fermeture de la porte, le caisson A a été tout le temps immergé. Enfoncé en partie dans la rainure permettant le déplacement de la porte et d'une structure plus robuste que celle des autres éléments, le caisson A est resté en place malgré l'accident. Le caisson A a été retrouvé (vue du dessus, photo gendarmerie, habillage BEA-TT) : comme étant inséré d'environ 1 m dans la rainure du garage en rive gauche Rive gauche et comme étant dégagé de la rainure en rive droite, d'une distance de 10 cm environ Aval Rive droite Déformation Amont Rive droite 10 cm Caisson A vu de l'amont CÃŽté rive gauche du caisson A, vu depuis le garage Photos de l'huissier Une seule bretelle de liaison sur les quatre est encore en place, celle cÃŽté rive gauche amont. Les dégâts sur le caisson A sont principalement présents au niveau des éléments de liaison avec l'élément B ainsi que sur la partie supérieure du caisson A. La déformation sur le dessus du caisson pourrait être lié à un choc avec le bateau lorsque celui-ci est passé par-dessus alors qu'il était en train de finir de sortir du sas. 68 Aval Anse et câble du panier Amont Bouclier chasse-boue CÃŽté rive droite du caisson A Vue du dessus sur le bas et le fond de la rainure rive droite et le bouclier du caisson A. Ci-contre : Rainure rive droite de la porte, vue du dessous (photo de l'huissier) Le câble vertical qui équipe le panier et remonte jusqu'en haut de la rainure en rive droite a été retrouvé sectionné. La partie supérieure du câble est pendante dans la rainure. Une autre partie de câble, reliée au panier, est retrouvée au bas. Elle se trouve au-dessus du bouclier et positionnée entre la rainure et le bas du caisson A de la porte, elle apparaît comme tendue contre la rainure. Ce câble a subi un pincement. L'huissier de justice note qu'un autre morceau de câble est retrouvé dans l'eau, à l'aval cÃŽté rive droite. Cela correspond a priori à l'autre partie du câble retrouvé pendant, dans la rainure (derniÚre photo ci-dessous). Certaines sections paraissent fortement rouillées. Un morceau de bois, d'environ 15 cm de diamÚtre, a été retrouvé coincé dans la rainure en rive droite, à environ la moitié de la hauteur de la rainure et à peu prÚs au niveau du sectionnement du câble du panier. Dans la position dans laquelle il se trouve, ce bois n'a pas pu avoir d'incidence vis-à-vis de la porte, il se situe en dehors de sa zone d'atteinte lorsque celle-ci se ferme, à plus de 50 cm du bord du bajoyer. En revanche, il peut avoir un lien avec le fait que le câble du panier ait été sectionné. HAUT Rive droite Vue d'en haut 69 AVAL Caisson A Rive droite Haut Indexeur retrouvé dans le panier Câble endommagé 10 cm Support de bretelle cassé Rouille Pincement Câble relié au panier aprÚs sortie du caisson A Morceau de câble retrouvé dans l'eau 70 4.5.3 - Le génie civil de l'écluse Plusieurs griffures sont observées sur le métal ou le béton présent au niveau de la porte. La tête de l'écluse est constituée de plusieurs poutres en béton armé : une premiÚre sur laquelle est adossée le pare-choc, puis deux autres qui descendent plus bas. Haut Rive gauche Pare-choc Rive droite Partie intérieure et aval de la rainure située en rive gauche Des traces importantes de frottement sont observées au niveau de la rainure en rive gauche, en partie haute. Sont observés des traces jaunes horizontales sur la poutre en béton située en aval du parechoc, des griffures du béton ainsi que des tuyaux de protection incendie détruits. Ces dégâts ont été probablement occasionnés quand la timonerie du PAMPERO, qui comporte des éléments de couleur jaune, est venue percuter la poutre, comme présenté en 3.3.3. 4.5.4 - Premiers éléments de conclusion Seules trois bretelles ont été retrouvées sur les caissons et sur leur cÃŽté rive gauche : l'une cÃŽté amont sur le caisson A et les deux situées en partie supérieure du caisson B. Concernant les supports de bretelle, ceux-ci avaient déjà été prélevés pour expertise lors de la visite sur site du BEA-TT, la CNR lui a fait savoir qu'un seul support de bretelle a rompu en rive gauche et que huit supports de bretelle ont rompu en rive droite. Le caisson inférieur a été retrouvé en place au fond du sas, inséré d'environ 1 m dans la rainure en rive gauche. Les deux caissons intermédiaires présentent une déformation verticale à environ 1 m de leur extrémité rive gauche et sur toute leur hauteur. Il est vraisemblable que cette déformation soit liée au pliage des caissons sur l'angle de la 71 rainure rive gauche, intervenue au moment de la rupture de la porte et avant que les caissons ne soient éjectés. Lorsqu'elle a rompu, la porte devait donc sûrement être insérée d'environ 1 m dans la rainure rive gauche et donc être dégagée de la rainure rive droite ou à peine engagée dans celle-ci, la porte étant plus large d'un mÚtre que le sas de l'écluse. On peut schématiquement illustrer cette position en reprenant le plan présenté en 4.1 et relatif à la position de la porte fermée en fonctionnement normal, qui rappelons-le, est d'être centrée par rapport au sas et de rentrer de 50 cm dans chacune des rainures. SAS Rive droite Rive gauche Tout laisse à penser donc que, lorsqu'elle a rompu, la porte n'était pas dans la position nominale d'une porte fermée, en étant engagée d'environ 1 m, au lieu de 50 cm, dans la rainure en rive gauche. Tout laisse à penser également que cette position pourrait être à peu prÚs celle que la porte a atteinte lorsque l'automate a considéré qu'elle était fermée. Autrement dit, elle se serait arrêtée sans sortir suffisamment de la rainure en rive gauche et donc sans s'insérer suffisamment dans la rainure en rive droite. Sinon cela impliquerait, aprÚs que la porte s'est fermée, qu'elle ait ensuite, au cours du remplissage du sas, reculé d'environ 50 cm en direction de la rive gauche. Au vu des forces en jeu, cela ne paraît guÚre possible même si l'on peut déceler, à partir de la vidéo de l'éclusage, un phénomÚne de bombement ou de mouvement latéral faible de la porte en direction de la rive gauche, se produisant juste avant qu'elle ne rompe. Logiquement, lorsque la porte est correctement fermée et qu'ensuite le sas se remplit, avec la pression de l'eau dans le sens amont-aval, les éléments de la porte viennent se plaquer contre la rainure, il n'y a alors pas de force significative exercée dans le sens rive-rive. Cela ne paraît pas possible non plus d'un point de vue mécanique. D'aprÚs le document descriptif de la CNR, la porte n'est pas manoeuvrable en charge et l'automate n'a enregistré aucun changement d'état de la position de la porte avant qu'elle ne rompe ni d'ailleurs aucune commande d'ouverture de porte. À ce stade, ces éléments amÚnent le BEA-TT à considérer que le scénario possible de l'accident consiste en la rupture d'une porte n'ayant pas atteint correctement sa position fermée, bien qu'elle ait été détectée fermée par le systÚme de contrÃŽle-commande. Cela impliquerait alors que le chariot de manoeuvre ait bien effectué la trajectoire attendue, mais sans pour autant que ce soit le cas de la porte, située entre 6 et 21 m au-dessous, et suspendue au chariot. 72 4.6 - Les expertises de la CNR et les causes directes de l'accident Dans le cadre de sa démarche d'analyse de l'accident, la CNR a mené des études approfondies et fait réaliser certaines expertises complémentaires. Une présentation en est faite en annexe 4 et, ci-aprÚs, de maniÚre synthétique. L'analyse des vidéos de plusieurs éclusages par photogrammétrie montre que : La porte s'est mal fermée lors de l'éclusage du PAMPERO, avec un décalage de 40 cm environ en direction de la rive gauche. Elle n'était donc pas pleinement dans sa rainure en rive droite. Le décalage observable sur le plan vertical laisse supposer que la porte était plus élevée cÃŽté rive gauche que rive droite. Juste avant la rupture, la porte s'est décalée d'une quinzaine de centimÚtres supplémentaires vers la rive gauche, comme pour un mouvement d'ouverture, pour se retrouver in fine décalée de presque 60 cm sur le plan horizontal. Le temps de manoeuvre de la porte, entre l'étape de démarrage du moteur et l'activation des deux derniers capteurs de position fermée de la porte, a été plus longue de 12,5 secondes que la moyenne, qui est de 101,6 secondes. L'analyse détaillée montre que le temps de manoeuvre jusqu'à l'atteinte du capteur de ralentissement est dans la moyenne et que l'écart apparaît se situer au moment de l'atteinte des trois capteurs de position fermée de la porte et plus particuliÚrement des deux capteurs de l'automate de pilotage. L'étude mécanique et cinématique montre que, en cas de blocage de la porte en partie inférieure, au cours de sa fermeture, en cas de non-fonctionnement du systÚme de contrÃŽle de la charge du treuil, le moteur de celui-ci délivre un effort important qui fait que les brimbales extérieures du grand chariot moteur ne sont plus tendues et peuvent flamber sous l'effet de la compression. Ce phénomÚne, contrairement au principe de sa conception, conduit à une perte du couplage entre la position de la porte et celle du chariot de manoeuvre dans le sens rive-rive. Le chariot peut alors continuer sa course et actionner les capteurs à partir desquels l'automatisme considÚre que la porte est fermée, tandis que la porte, bloquée, ne s'insÚre pas suffisamment dans sa rainure en rive droite. L'étude montre que le déplacement du chariot implique alors une légÚre rotation de la porte, comme la photogrammétrie tendait à l'illustrer, et que la capacité du treuil est suffisamment importante pour permettre au global cette configuration. La porte s'est donc mal fermée, avec un défaut de fermeture de 40 cm par rapport à la situation nominale, et avec une possible différence entre le haut et le bas : l'élément du haut pouvait être presque engagé correctement dans la rainure, tandis que l'élément du bas l'était trÚs peu, voire pas du tout. Au cours du remplissage du sas et juste avant la rupture de la porte, un effort rive-rive, dont la génération a été rendue possible du fait du mauvais positionnement de la porte, a conduit à faire reculer la porte d'une dizaine de cm supplémentaires en direction de la rive gauche et donc à la faire sortir pratiquement complÚtement de sa réservation en rive droite. Les éléments de liaison inter-caissons subissent alors des efforts liés à la poussée hydrostatique, pour lesquels ils ne sont pas conçus, ce qui conduit à ce qu'ils se déforment et rompent. La CNR a identifié que le filet d'eau, qui se met en place entre les caissons B et C de la porte, illustré au point 3.3.2, s'initie à 0 h 24 min 12 s et 384 milliÚmes et que l'élément C cÚde à 0 h 24 min 13 s et 184 milliÚmes, sachant que le caisson B n'est pratiquement pas visible lors de cette séquence. Le filet d'eau paraît donc s'être mis en place au moment où la porte s'est retrouvée complÚtement en dehors de la rainure, vu le décalage de 55 cm (d'aprÚs l'annexe 4) qui est alors mesuré. 73 Le blocage de la porte pourrait être lié à la présence d'un bois ou d'un objet flottant qui l'aurait donc empêchée de rentrer correctement dans sa rainure en rive droite. Le BEA-TT a regardé quel avait pu être, géométriquement, le comportement de la porte en cas de survenance d'un tel blocage. Les schémas illustratifs correspondants sont présentés en annexe 5. La CNR conclut que le scénario ayant causé l'accident est celui correspondant à ce phénomÚne de blocage et « concomitamment à une défaillance du dispositif qui contrÃŽle l'effort délivré par le treuil, de la limitation de courant dans le variateur de vitesse et du Temps Trop Long D'Exécution (TTLE) ». Autrement dit, malgré le blocage de la translation de la porte, les efforts générés par le blocage n'ont pas conduit : à actionner la protection mécanique ; à créer une surcharge électrique qui excéderait les limitations internes du variateur ; à ralentir suffisamment la manoeuvre pour déclencher le défaut relatif au TTLE qui est paramétré dans l'automate. Dans les faits, il s'avÚre que le dispositif de protection mécanique peut être considéré comme n'étant pas fonctionnel au moment de l'accident, alors que son dimensionnement avait bien été prévu dans la note de calcul d'origine. Il apparaît que cela a constitué une condition nécessaire et suffisante pour rendre possible le scénario de l'accident. D'aprÚs les notes de calcul se rapportant à la résistance de la porte que la CNR a adressées au BEA-TT, et plus particuliÚrement les notes de calcul du treuil de manoeuvre et des indexages latéraux, l'effort de manoeuvre nécessaire pour déplacer la porte est de 3,6 t, et au niveau du câble de 1,8 t, selon le schéma de fonctionnement suivant : L'effort au treuil correspond à celui au niveau du câble. Un effort de 1,8 t au treuil permet de décupler au niveau du chariot, via les deux poulies, l'effort de 3,6 t nécessaire pour déplacer la porte. La note de calcul du treuil est celle d'origine, établie en 1977 par le constructeur ARKOS. Elle prévoit un coefficient de sécurité consistant à surdimensionner le câble d'un facteur 8 par rapport à l'effort nominal de 1,8 t, soit 17,65 kN. La note comprend également le calcul de la protection de surcharge mécanique présenté en 4.2.2. Le calcul comprend deux propositions, l'une consistant à ajuster le systÚme à l'effort strictement nécessaire et l'autre consistant à permettre une marge avec un facteur de 1,2. La CNR mentionne un réglage inconnu de cette protection au moment de l'accident et formule l'hypothÚse selon laquelle le systÚme de contrÃŽle de la charge du treuil n'était 74 donc pas alors fonctionnel. Le test effectué avec les réglages existants lors de la survenue de l'accident n'a pas permis d'enclencher la surcharge mécanique malgré un effort de 34 kN appliqué, soit prÚs de 2 fois l'effort nominal déterminé dans la note de calcul du constructeur. La CNR a également confirmé au BEA-TT que le problÚme avait bien porté sur le tarage et non pas sur les capteurs proprement dits. Suite à l'accident, elle a procédé à un réglage de la protection de la surcharge mécanique existante, sur la base d'un paramétrage de 20 kN sur le brin de câble, ce qui permettrait donc une marge d'effort de : 20 / 17,65 = 1,13. S'agissant du TTLE, la CNR a écrit qu'il était inadapté à la présente situation. Le réglage du TTLE était de 215 s, soit 3 min 35 s alors que le temps de manoeuvre de la porte est en moyenne de 101,6 s, soit 1 min 42 s. Lors des échanges, la CNR a expliqué au BEA-TT que ce réglage était effectué en prenant en compte une certaine notion de dépassement de temps, par exemple le double du temps moyen. Le TTLE n'était donc aucunement réglé dans une optique quelconque de sécurité et le défaut associé au niveau de l'automate pouvait donc difficilement être considéré comme une protection. Suite à l'analyse de l'accident, la CNR a ajusté le réglage de ce paramÚtre en le calant sur le temps moyen de manoeuvre de la porte + 5 secondes. S'agissant du variateur, bien qu'il intégrait une limitation de courant visant à protéger le moteur de la surchauffe, il a été constaté qu'un effort important délivré par le treuil ne s'accompagne pas nécessairement d'une atteinte de cette limitation de courant. D'aprÚs les entretiens effectués par le BEA-TT auprÚs des opérateurs du CGN, ceux-ci considÚrent que les défauts liés à la fermeture et à l'ouverture des portes d'écluse, avec l'apparition d'un défaut au niveau de l'automate, sont courants. La CNR a indiqué que les défauts de l'automate déclenchant le plus souvent l'arrêt du processus, sont : la surcharge mécanique, le TTLE, la non-atteinte synchronisée des capteurs de fin de course, et parfois le variateur, notamment lorsque la porte se coince à mi-parcours. Dans le cas de l'accident, l'important effort délivré par le treuil a plutÃŽt eu lieu en fin de processus de fermeture de la porte, cela n'a visiblement pas eu pour effet de générer une surintensité au niveau du variateur. La CNR a précisé que, depuis 2012, 9 cas de défauts, en lien avec cette protection thermique du moteur, ont été enregistrés au niveau du variateur pour l'écluse de Sablons. Elle a adressé au BEA-TT une extraction, pour l'année 2019, des données des automates relatives à l'apparition de défauts associés à la porte aval de l'écluse de Sablons et aux autres portes aval de conception similaire, à partir desquelles on peut noter ce qui suit : Au niveau de l'écluse de Sablons, des défauts bloquants sont apparus 13 fois, la plupart sont liés au défaut de capteurs de fin de course ouvert ou fermé non atteints ensemble. L'un de ces défauts a fait l'objet d'une intervention de l'exploitant et de l'annotation d'un problÚme de capteur. Des défauts d'interverrouillage sont apparus 3 fois, dont 1 fois ayant donné lieu à une sollicitation de l'exploitant par le CGN. Concernant la porte aval de l'écluse d'Avignon, des défauts bloquants sont apparus 15 fois, 6 fois pour un défaut de surcharge mécanique, 7 fois pour un défaut de capteurs de fin de course fermé non atteints ensemble, 2 fois pour un autre défaut lié aux capteurs de fin de course fermé. Le défaut lié au TTLE a par ailleurs été activé 1 fois. S'agissant de la porte aval de l'écluse de Caderousse, des défauts bloquants sont apparus 4 fois, dont 3 fois en raison d'un défaut de surcharge mécanique. S'agissant de la porte aval de l'écluse de Vaugris, des défauts bloquants sont apparus 30 fois, la plupart sont liés au moins à un défaut de surcharge mécanique. 75 Sauf erreur, aucun défaut propre au variateur n'est apparu en 2019 au niveau de ces portes. Suite à l'analyse de l'accident, la CNR a procédé à de nouveaux réglages des limitations de courant traités en interne par le variateur, de maniÚre à également limiter le couple maximal généré par l'ensemble moteur-variateur. Le paramétrage correspondant a été effectué sur la base d'un calcul de couple maximal de 20 kN pendant plus d'une seconde. Si le courant dans le moteur franchit le seuil paramétré pendant une durée supérieure au seuil de temporisation, le variateur va alors générer un contact de défaut qui va activer un défaut bloquant au niveau de l'automate. La différence avec le premier paramétrage se joue sur la temporisation. En complément, le BEA-TT s'est interrogé sur l'intérêt d'utiliser certaines des fonctions applicatives dont est doté le variateur de vitesse, telles que celles dénommées « fins de course », « mesure de charge », « contrÃŽle de couple » et « limitation de couple » dans la documentation du constructeur. La CNR a indiqué que ces fonctions n'étaient pas implémentées jusqu'alors pour ce qui concerne son parc d'écluses et qu'elle n'envisageait pas d'évolution à ce sujet. 4.7 - Le panier, son câble et le bois coincé dans la rainure rive droite Comme illustré en 4.5.2, le câble vertical qui est relié au panier, positionné au bas à l'extrémité de la rainure en rive droite, a été retrouvé sectionné et un morceau de bois a été retrouvé coincé dans cette même rainure à une hauteur d'environ 9 m, à peu prÚs au niveau du sectionnement du câble. Dans son rapport, la CNR relate ces constats. Le BEA-TT a cherché à savoir quels liens éventuels pouvaient être faits, entre ces éléments entre eux, et entre ces éléments et l'accident. Le morceau de bois peut avoir un lien avec le fait que le câble du panier ait été sectionné. En tout état de cause, dans la position dans laquelle il a été retrouvé, il empêcherait le bon fonctionnement de la remontée du panier. Lors d'un échange avec le BEA-TT, la CNR a indiqué n'avoir aucune idée sur ce qui a pu causer la cassure du câble et ne pas pouvoir dire quand le câble s'est cassé, entre mars 2019 et le jour de l'accident. Lors de la derniÚre intervention de maintenance en mars 2019, le panier a été manoeuvré par une équipe interne de la CNR et aucun problÚme de câble ne s'est produit à cette occasion. La CNR ne dispose pas de rapport en lien avec cette intervention. D'aprÚs le rapport de la CNR, le câble est constitué de quatre éléments reliés entre eux, d'une longueur de 4 m pour le câble le plus bas, appelé câble n° 1, qui est relié au panier, et de 5,5 m pour les trois autres, le dernier ayant un point d'attache en haut au génie civil. C'est donc le câble n° 2 qui a été sectionné et dont la partie haute a été retrouvée pendante dans la rainure, tandis le câble 1 a été retrouvé en bas au fond du sas. D'aprÚs les constats effectués par la CNR, le câble n° 1 apparaît en mauvais état, rouillé et avec de nombreux brins cassés. Cela donne l'impression que le câble cassé traînait dans l'eau, au fond du sas, depuis un certain temps et que ce dispositif est peu entretenu. L'expertise des deux câbles qui a été réalisée par la société TRANSCABLE-HALEC souligne également la forte corrosion des fils ainsi qu'une « dégradation anormale de l'âme textile, certainement due à l'absence de lubrification du câble ». La présence de ce câble sectionné a fait partie des diverses hypothÚses de mode de défaillance que la CNR avait recensées lors de ses premiÚres analyses. Si elle n'a pas été retenue in fine comme pouvant avoir un lien avec les causes de l'accident, elle a donné lieu à la mise en place d'une mesure préventive qui reste à ce jour en vigueur et consistant à intégrer un contrÃŽle visuel du bon état du panier aux rondes hebdomadaires. 76 Si le câble a été cassé antérieurement à l'accident et traînait au fond de l'écluse, il paraît être de diamÚtre trop petit pour pouvoir coincer la porte lors de sa fermeture, mais cela aurait pu arriver avec le galet de guidage de la porte si celui-ci roulait sur son guide. Cette hypothÚse paraît pouvoir être écartée compte tenu de la position dans laquelle le câble a été retrouvé aprÚs l'accident, comme évoqué ci-aprÚs. Comme illustré en 4.5.2 et sur les photos ci-aprÚs de la CNR, le câble a été retrouvé, positionné au-dessus du bouclier et comme s'il était tendu et coincé entre la rainure et le bas du caisson A de la porte, ce qui a d'ailleurs pu être la cause du pincement constaté. On aperçoit une sorte de tige, entre la rainure et le caisson de la porte, perpendiculaire à ce dernier. La CNR a précisé au BEA-TT qu'il s'agit en fait d'un morceau de bois. Celui-ci semble aussi bizarrement placé qu'il paraît misérablement petit. Il paraît peu vraisemblable qu'il ait pu contribuer au blocage de la porte lorsqu'elle s'est fermée. Si le câble avait cassé antérieurement à l'accident et traînait au fond de l'écluse, comme illustré par exemple sur la photo ci-dessus, prise aprÚs évacuation du caisson, le bouclier avec le galet de guidage aurait dû alors logiquement rouler par-dessus lorsque la porte s'est fermée, même incorrectement. La position dans laquelle le câble a été retrouvé ne paraît pas cohérente avec l'hypothÚse d'un câble qui aurait cassé avant l'accident. En conclusion, ces éléments ne permettent pas de formuler des hypothÚses bien évidentes, si ce n'est le fait qu'il est peu plausible que le câble du panier ait joué un rÃŽle dans la genÚse de l'accident. 77 4.8 - La remise en exploitation de l'écluse AprÚs une mobilisation importante de ses équipes, la CNR a pu remettre en service l'écluse un peu plus d'un mois aprÚs l'accident, donc dans des délais relativement réduits. Elle a pour cela utilisé un tablier de rechange qu'elle avait commandé en 2008 dans le cadre de son plan de secours. La CNR a engagé en parallÚle l'étude - conception d'une porte neuve, dont la mise en place est prévue dans le courant de l'année 2022. La nouvelle porte aval mise en place comprend 8 caissons boulonnés, au lieu de 4 éléments auparavant et qui étaient reliés entre eux par des bretelles et des indexages. Sa conception est différente, car le constructeur n'est pas le même que celui de la porte d'origine. Le grand chariot a été réparé, le petit chariot est neuf. Les capteurs de fins de course du chariot, le câble du panier, les brimbales et le câble du treuil ont été remplacés. La remise en exploitation de l'écluse a fait l'objet de la formalisation, par la CNR, d'un protocole, pour faire suite en particulier à la demande de la DREAL de disposer de toutes les justifications permettant de garantir une reprise de la navigation en toute sécurité. Sa mise au point a fait l'objet d'échanges avec le service de contrÃŽle et VNF y a été associé. Le document correspondant rend compte des travaux et essais préalables effectués avant remise en service : structure de la porte - contrÃŽle de fabrication et pour le montage de la porte ; essais et contrÃŽles fonctionnels, hors automatisme puis avec l'automate pour requalifier le fonctionnement de la porte intégré à l'automatisme avec ses capteurs. Il présente les mesures préventives ou compensatoires mises en place en accompagnement au retour en exploitation, en lien avec les différentes hypothÚses de facteurs causaux de l'accident qui étaient alors en cours d'investigation, dont : Présence de bois : cette mesure concerne la conduite à tenir par l'opérateur et l'intervention de l'exploitant et a été rendue pérenne par la CNR (voir 5.6.1). Câble du panier sectionné : comme présentée précédemment, cette mesure consiste en une vérification visuelle à intégrer lors des rondes hebdomadaires. Structure et assemblage de la porte : cette mesure a consisté en la réalisation de contrÃŽles mensuels, par une visite à sec permettant une inspection visuelle complÚte de la porte, dont l'objectif est d'évaluer son comportement aprÚs plusieurs éclusages. Cinématique de la porte : des mesures de surveillance ont été mises en place, impliquant la mobilisation de deux agents durant l'éclusage, soit un agent du CGN en conduite exclusive de l'écluse de Sablons et un exploitant sur site effectuant des contrÃŽles au plus proche des équipements. Ce dispositif a été mis en place dans les premiers temps, jusqu'à ce que la CNR définisse puis mette en oeuvre des nouvelles mesures de sécurité tenant compte des enseignements de l'accident. A l'occasion d'une inspection effectuée en août 2020, il a été constaté qu'une lisse de la porte a bougé et que les boulons de fixation ont été cisaillés. L'arrêt de navigation a été prolongée la journée de maniÚre à effectuer les réparations : remplacement des vis et changement de certaines visseries. Par ailleurs, la poursuite par la CNR de certaines études de structure a mis en évidence un risque de voilement (une forme d'aplatissement des plafonds et des planchers des caissons) et des contrÃŽles complémentaires effectués lors d'une visite d'inspection, ont permis de constater de légers voilements au niveau de certains caissons. Un arrêt de navigation a alors été programmé du 9 au 12 octobre 2020 pour des investigations complémentaires puis prolongé jusqu'au 22 octobre pour réaliser des travaux de confortement de type pose de poutrelles IPN. 78 L'ensemble des mesures préventives et compensatoires définies dans le protocole de remise en exploitation ont été réalisées, ce qui a permis de mettre fin au protocole et de considérer que l'écluse est en exploitation normale depuis juillet 2021. 4.9 - La surveillance et la maintenance 4.9.1 - Principes généraux de la surveillance Le document intitulé « Consigne de surveillance de l'aménagement » a pour objet de fixer les modalités de surveillance et d'en définir l'organisation. Il est élaboré notamment en application du R. 214-122 du Code de l'environnement et fait l'objet d'une approbation formelle de la DREAL, en charge du contrÃŽle de la sécurité des ouvrages hydrauliques. D'aprÚs la version projet 2019, qui constitue une mise à jour de la précédente, les différentes modalités de surveillance reposent sur : des dispositifs et mesures d'auscultation des ouvrages principaux de génie civil ; la réalisation des livrables réglementaires que sont les rapports de surveillance et d'auscultation et les visites techniques approfondies, génie civil et électro-mécanique ; les essais sur les matériels stratégiques ; la réalisation par l'exploitant de visites périodiques sur le terrain ou rondes. On peut donc faire la distinction entre le dispositif de surveillance réglementaire, qui paraît comprendre les trois premiers points ci-dessus, et celui constitué des visites réguliÚres de l'exploitant, qui sera présenté dans un second temps. 4.9.2 - La surveillance réglementaire Le BEA-TT a été destinataire des derniÚres versions des livrables réglementaires établies en 2019 pour l'aménagement (au sens des installations) du Péage-de-Roussillon. Ces documents font état, globalement, d'un bon état et d'un bon niveau de fonctionnement des ouvrages. Ils ne font pas apparaître d'éléments négatifs significatifs. Concernant le volet relatif aux équipements des ouvrages, il apparaît toutefois, d'aprÚs les différents documents de la CNR, que le dispositif de surveillance réglementaire porte plus particuliÚrement, voire seulement, sur « les équipements électromécaniques qui concourent à la maîtrise de la sûreté des aménagements, par exemple lorsqu'ils constituent une barriÚre de sécurité mentionnée dans l'étude de dangers ». Selon les documents, la CNR mentionne également la notion de matériels stratégiques pour la sûreté hydraulique ou la notion d'organes de sécurité. Ils font l'objet d'une surveillance particuliÚre, par la réalisation d'essais et de vérification de fonctionnement, qui est retranscrite dans les livrables réglementaires. Le document relatif à la consigne de surveillance de l'aménagement comprend un tableau présentant les principaux organes de sécurité et essais associés. Le rapport de surveillance établi par CNR pour l'année 2018 présente les manoeuvres effectuées sur les organes de sécurité et évoque les essais effectués sur d'autres barriÚres de sécurité. Aucun des éléments ainsi mentionnés ne concerne directement l'écluse. Le compte rendu de la visite technique approfondie électromécanique retranscrit la vérification de bon fonctionnement de certains matériels stratégiques pour la sûreté de l'aménagement. Les éléments relatifs à l'écluse paraissent plus succincts et moins détaillés, comparés à ceux relatifs à l'usine et au barrage. Par ailleurs, pour ces derniers, 79 le document aborde le systÚme de contrÃŽle-commande ainsi que le dispositif de téléconduite, ce qui n'est pas le cas pour l'écluse. Le document retranscrit également la vérification du bon fonctionnement des barriÚres de sécurité techniques recensées dans l'étude de dangers de l'aménagement. Aucun de ces éléments ne concerne directement l'écluse. Cela s'explique par le fait que l'étude de danger en vigueur à la date de l'accident ne comprend pratiquement aucune barriÚre de sécurité associée à l'écluse. 4.9.3 - Les visites périodiques réalisées par l'exploitant Ces visites sont présentées dans la consigne de surveillance de l'aménagement. Concernant le génie civil, les rondes de l'exploitant sont réalisées au pas bimensuel ou trimestriel selon les ouvrages, complétées par une visite annuelle qui se passe éventuellement en même temps que la visite réglementaire, qui, elle, est réalisée à période réguliÚre dépendant de la classe des ouvrages. Concernant l'électromécanique, les rondes de l'exploitant, appelées aussi tournées d'exploitation sont réalisées au pas hebdomadaire. En fait, l'organisation des équipes locales est calée sur une semaine, au même rythme que l'astreinte. En une semaine, l'exploitant inspecte visuellement l'ensemble des points devant être vus. Ces rondes consistent en des observations visuelles et des relevés de paramÚtres. Elles font également l'objet de petites actions de maintenance et incluent la réalisation d'un diagnostic de l'installation, portant notamment sur le contrÃŽle de cohérence des niveaux de débit et le relevé des données consignées par les automates. Au pas mensuel, la ronde est complétée par un relevé des différents indicateurs de fonctionnement des organes ou une surveillance spécifique de certains. Un tableau présente les différents organes contrÃŽlés lors de ces rondes. Pour l'écluse, figurent notamment le systÚme de contrÃŽle-commande, les treuils, les portes. Lors des échanges avec le BEA-TT, la CNR a indiqué que les rondes permettent notamment de vérifier visuellement le bon état des capteurs associés à la position des portes des écluses et que le suivi régulier et l'analyse des défauts consignés par les automates relÚvent des missions de suivi d'exploitation. 4.9.4 - Principes généraux de la maintenance La périodicité de maintenance des ouvrages ne fait pas l'objet d'un cadrage réglementaire. La DREAL explique que l'exploitant fixe ses périodicités en fonction des enjeux de sécurité et d'exploitation, en s'appuyant sur : le retour d'expérience de l'exploitation des matériels ; les préconisations des constructeurs ; les recommandations de l'ingénierie agréée de la CNR ; ainsi que sur le niveau de confiance attendu, associé à la notion de probabilité de défaillance, sur lequel l'exploitant s'engage au travers de l'étude de dangers. L'activité de maintenance de la CNR s'appuie sur l'élaboration de plans de maintenance type du matériel et fait l'objet de planifications annuelles et pluriannuelles. Elle comprend la maintenance courante et la maintenance spécifique, cette derniÚre étant notamment calée en fonction des résultats des différentes visites des ouvrages. Les opérations à réaliser sont classées en 3 niveaux d'intervention : 80  Le 1er niveau (N1) correspond à des actions de surveillance ou de contrÃŽle simples, généralement récurrentes, qui sont réalisées par les équipes locales d'exploitation de la direction territoriale de la CNR et avec appui si nécessaire de prestataires externes. Les deux autres niveaux (N2 et N3) correspondent à des opérations complexes ou à forte technicité de contrÃŽles et de réglages d'équipements sensibles, qui sont prises en charge par des entités de maintenance spécialisées de la direction territoriale ou du siÚge de la CNR. Le référentiel technique de la CNR « RT EM 37 - Plan de maintenance type, portes d'écluses et vannes d'aqueduc d'écluses » daté de 2009 constitue le cadre général de la maintenance des portes d'écluses sur le RhÃŽne. Le document liste les opérations à réaliser, en termes de maintenance et de surveillance, pour chacun des organes et équipements des portes d'écluse, en précisant la fréquence et le niveau duquel relÚve l'intervention (N1, N2 ou N3). La fréquence des opérations varie de la semaine à des opérations pluriannuelles, s'agissant par exemple des contrÃŽles détaillés. Les périodes de chÃŽmage annuel des écluses rentrent dans ce cadre. Chaque année aux alentours du mois de mars, il est programmé sur une dizaine de jours un arrêt de la navigation sur l'ensemble des écluses du bassin, permettant la mise à sec des écluses et le contrÃŽle des portes, et en particulier des éléments qui sont habituellement immergés ou difficilement accessibles. 4.9.5 - La maintenance annuelle lors des périodes de chÃŽmage des écluses Dans le cadre de la période de chÃŽmage programmée en mars 2020, certaines interventions étaient prévues au niveau de la porte aval de l'écluse de Sablons, telles que le remplacement des étanchéités, la réparation de fissures au niveau du caisson B, le réglage de la porte. Ces interventions ne paraissent pas sortir de l'ordinaire, elles étaient peut-être un peu plus nombreuses pour cette porte par comparaison à celles programmées sur les autres portes. Le BEA-TT a demandé à la CNR l'historique et le rendu compte des derniÚres interventions de maintenance réalisées au niveau de la porte et de ses équipements. La CNR a adressé en retour les rapports de visite de la porte effectués lors des périodes de chÃŽmage de 2018 et 2019 ainsi que les rapports d'intervention effectués en 2019. Les rapports de visite comprennent : Un rapport établi par une entreprise spécialisée dans les interventions en milieu difficile en hauteur, l'objectif de cette intervention étant de vérifier le bon état des dispositifs de fixation au niveau des liaisons inter-caissons et des lisses d'appuis de la porte. Un rapport d'expertise de la porte établi par la CNR, qui fait état de la réalisation de certaines interventions et liste en conclusion celles à prévoir, lors d'un prochain arrêt de navigation pour certaines ou lors du chÃŽmage de l'année suivante pour la plupart. Pour l'année 2019, ces éléments sont complétés par un rapport d'expertise de la CNR portant sur les piÚces fixes c'est-à-dire les zones d'appui de la porte dans la rainure. Cette démarche ne paraît donc pas avoir été réalisée en 2018, alors que le référentiel de maintenance de la CNR prévoit un contrÃŽle annuel15 de ces éléments. Les rapports d'interventions effectués en 2019 présentent les actions réalisées lors du chÃŽmage et lors de deux arrêts de navigation d'une nuit, en juin et octobre. Ces derniÚres 15 Le référentiel prévoit le contrÃŽle des piÚces fixes tous les ans pour les portes à dégagement latéral et tous les 3 ans pour celles à dégagement vertical, la version de juin 2019 prévoit un an dans les deux cas. 81 interventions visaient à suivre les réparations effectuées précédemment et notamment à assurer une surveillance d'une fissure réparée dans le caisson B de la porte. Un réglage de la porte était prévu lors du chÃŽmage de mars 2020. D'aprÚs les mentions figurant dans les rapports de 2019, il s'agit apparemment de procéder à un réglage des boîtes à galet, porte fermée, réglage qui n'a pas pu être effectué en mars 2019 en raison de l'intervention des cordistes en lien avec le remplacement des tuyauteries d'incendie. Le rapport de mars 2019 mentionne également une difficulté à réaliser les tâches dans le délai imparti en raison de la non-disponibilité de la grue durant la totalité du chantier. Enfin, ces documents rendent compte d'une anomalie intervenue au niveau du chasse-boue et du systÚme de panier. 4.9.6 - Le systÚme de panier de dévasage CNR a précisé que ce panier est hissé, nettoyé et remis en place systématiquement lors du chÃŽmage annuel et que, par ailleurs, il n'est alors jamais plein. Il s'avÚre que cette intervention annuelle n'est pas mentionnée dans le référentiel de maintenance et ne fait pas l'objet d'une traçabilité, étant précisé que toutes les écluses ne sont pas équipées d'un tel systÚme de panier. Le rapport de la visite de février 2018 mentionne que le chasse-boue en rive droite est absent et indique en conclusion qu'il convient de prévoir son remplacement. Les rapports de visite et d'intervention de mars 2019 mentionnent que ce chasse-boue a été retrouvé dans le panier, ce qui laisse à penser, d'une part que le panier n'a pas été hissé lors du chÃŽmage de 2018 et d'autre part que la porte est restée au moins pendant un an sans chasse-boue en rive droite. Il est indiqué : Il a été constaté, lors des essais de manoeuvre de la porte, que « la porte ne ferme pas complÚtement, car le chasse boue venait en contact avec le panier, qui n'était pas dans sa bonne position (présence de bois dessous) ; le chasse-boue venait heurter le panier en bout de course ce qui explique pourquoi il a été endommagé en 2017 et probablement les dégradations sur les boîtes à galet. Lors de cette intervention, la rainure a été nettoyée et le panier redressé. Une fois le panier remis en place et aprÚs essais, il n'y a plus d'interférence avec le chasse-boue. Il faut prévoir un nettoyage régulier du panier et de sa rainure pour éviter des dégradations sur le chasse-boue, la structure de la porte et les boîtes à galet ». Par ailleurs, les constats réalisés aprÚs l'accident sur le mauvais état du câble du panier laissent à penser que ce dispositif est peu entretenu. Lors des échanges avec le BEA-TT, la CNR a convenu que le panier est plutÃŽt traité comme un sujet accessoire et donc avec un suivi qui n'est pas forcément régulier. Pour mémoire, suite à l'accident, la CNR a par ailleurs intégré aux rondes hebdomadaires un contrÃŽle visuel du bon état du panier et l'analyse développée en 4.7 a conclu qu'il est peu plausible que le panier et son câble aient joué un rÃŽle dans la genÚse de l'accident. 4.9.7 - Le contrÃŽle des réglages des protections du contrÃŽle-commande Il a été indiqué précédemment que la CNR fait état d'un réglage inconnu, au moment de l'accident, de la protection de la surcharge mécanique, destinée à limiter l'effort de traction au niveau treuil de manoeuvre de la porte. La CNR ne semble par ailleurs disposer d'aucune traçabilité sur le sujet, si bien qu'il ne lui a pas été possible de préciser 82 quel était le dernier réglage connu, ni quand une intervention ou vérification correspondante avait pu être faite. Le rapport de visite de la porte établi lors du chÃŽmage de 2019 rappelle de façon synthétique les principales opérations de maintenance réalisées les 10 derniÚres années et mentionne un incident survenu en août 2012. Cet incident, lié apparemment à un blocage au niveau de la porte, avait déclenché une surintensité au niveau du variateur et une intervention de l'astreinte de l'exploitant, suite à laquelle avait été diligentée une expertise puis une intervention de maintenance. Le rapport d'intervention mentionne que « le positionnement des capteurs de surcharge n'est pas optimum et qu'il est nécessaire de reprendre leur position afin d'assurer une bonne protection de la porte ». La CNR a indiqué ne pas disposer de traçabilité sur les éventuelles actions entreprises suite à ce constat. Le référentiel de maintenance prévoit annuellement « le contrÃŽle des réglages et efficacité des protections électriques et mécaniques, fins de course, etc., agissant sur le contrÃŽle-commande », selon une liste de vérifications à adapter à chaque site. La fiche type utilisée par la direction territoriale concernée de la CNR pour la réalisation, lors des chÃŽmages, de ces opérations de maintenance, intitulée « MAE porte amont et aval » prévoit certains de ces contrÃŽles mais sans avoir prévu d'en consigner la traçabilité correspondante. Elle récapitule en préambule les contrÃŽles et opérations à effectuer sur le treuil de chacune des portes et également en ce qui concerne la sécurité des portes, avec des essais concernant la surcharge et la protection thermique des moteurs. On constate un décalage entre ce listing mentionné en préambule de la fiche et la partie à renseigner par l'agent de maintenance pour rendre compte de l'intervention. La CNR a par ailleurs mis en évidence que l'un des problÚmes réside dans le fait que les contrÃŽles de la protection mécanique étaient réalisés de maniÚre partielle, consistant à effectuer un test de l'action de la protection au niveau de la chaîne électrique par la simulation de défauts de surcharge, et non pas un test sur la détection de la surcharge. La fiche type évoquée ci-avant paraît effectivement ne porter que sur ce contrÃŽle partiel. Dans le plan d'actions adossé à son rapport d'analyse de l'accident, la CNR a retenu d'ajuster en terme documentaire le mode opératoire pour tester la surcharge mécanique et les limitations électriques pour la porte en exploitation. Enfin, l'étude des facteurs organisationnels et humains (FOH) établie par la CNR souligne que l'équipe locale n'est pas forcément en capacité de réaliser le contrÃŽle adéquat de cette protection mécanique et que ce contrÃŽle pourrait valablement relever d'un niveau de maintenance supérieur (N2), « compte tenu de son caractÚre sensible vis-à-vis de la sécurité et de la nécessité de disposer d'une procédure et de matériel particulier ». Ce même type de remarques semble également devoir s'appliquer pour ce qui concerne le contrÃŽle des protections électriques. Il paraît relever d'un niveau d'intervention N1, réalisée donc par l'exploitant local, d'aprÚs le référentiel de maintenance des portes d'écluses, tandis qu'il relÚve d'un niveau de maintenance spécialisée (N2) pour ce qui concerne les autres blocs de l'aménagement, tels que l'usine et le barrage. Il peut effectivement être souligné que cette protection de surcharge mécanique, telle qu'elle est conçue, avec le systÚme de capteurs sur ressort, ne paraît pas simple à régler. Le systÚme est différent sur d'autres portes de conception similaire. La CNR a retenu d'engager une étude sur l'amélioration de cette protection puis d'éventuels travaux correspondants, cela pourrait être par exemple des capteurs d'effort analogique positionnés directement sur le câble et qui permettraient d'avoir une donnée en continu sur les efforts. 83 5 - Causes et facteurs associés, orientations préventives 5.1 Le schéma des causes et des facteurs associés Le scénario ayant causé l'accident est celui d'une porte d'écluse qui ne s'est pas fermée correctement, en raison d'un blocage possiblement lié à un bois flottant, mais qui a été détectée fermée par les automatismes. Dans le cas présent, cela a été rendu possible par le fait que la position de la porte est connue de maniÚre indirecte, à partir de la position du chariot de manoeuvre auquel elle est suspendue. Cela implique qu'il y ait eu une perte du couplage entre la position de ces deux éléments dans le sens rive-rive. Pour que cette configuration se produise, il a été nécessaire que le dispositif d'entraînement de la porte développe un effort bien supérieur à l'effort normalement nécessaire pour déplacer celle-ci. La surcharge mécanique au niveau du treuil aurait dû logiquement être détectée si la protection correspondante avait été fonctionnelle. Les autres éléments qui auraient pu contribuer à assurer une protection vis-à-vis d'une telle configuration, tels que le contrÃŽle du temps de manoeuvre de la porte et la limitation de courant au niveau du variateur de vitesse, n'étaient pas paramétrés dans une optique de sécurité. Comme précisé en 4.6, la CNR a procédé aux améliorations nécessaires relativement aux trois dispositifs qui n'ont pas joué leur rÃŽle de protection lors de l'accident. Ceux-ci ont par ailleurs été explicités, de maniÚre à constituer formellement des barriÚres de sécurité. Ils n'étaient pas jusqu'à présent considérés comme tels, notamment au niveau de l'étude de danger, avec donc l'analyse de risque et le niveau de fiabilité associé. La CNR a produit en 2021 une version actualisée de l'étude de danger, dans laquelle elle intÚgre, avec l'identification des barriÚres de prévention associées, le scénario d'une rupture d'une porte de l'écluse de Sablons, liée à un défaut de fermeture qui conduirait au mauvais engagement de la porte dans sa rainure et donc à un mauvais alignement avec ses piÚces fixes d'appui. L'étude souligne que la résistance de la porte est beaucoup plus faible dans cette position et que les portes de l'écluse de Sablons, qui sont à dégagement latéral et constituées de caissons assemblés, sont sensibles à ce type de risque. La CNR a établi un rapport d'analyse des causes de l'accident intégrant les engagements sur un plan d'actions et complété par une étude des FOH, dont on peut souligner la profondeur des investigations réalisées. Dans le cadre de ce plan, elle mentionne qu'elle a réalisé une analyse des similitudes entre les portes de l'écluse de Sablons et les portes latérales d'autres de ses écluses et qu'elle analysera au cas par cas la duplication, de tout ou partie des mesures identifiées pour Sablons, aux portes ayant une conception similaire, ce qui a d'ores et déjà été réalisé pour ce qui concerne les réglages des trois dispositifs de protection. Les investigations conduites, dont celles développées dans les parties qui suivent, permettent d'établir le schéma ci-aprÚs sur le déroulement de l'accident, les causes et les facteurs associés. En concertation avec le BARPI, une autre représentation des causes premiÚres et profondes, selon la méthodologie qu'il a développée, est présentée en annexe 6. Les causes profondes concernent l'identification des risques ainsi que la maintenance ­ surveillance de l'ouvrage et le BEA-TT considÚre que l'état actuel des réglementations a pu y contribuer. L'analyse a conduit par ailleurs le BEA-TT à rechercher des orientations préventives en lien avec la gestion des bois flottants aux abords des écluses et les process des opérateurs de téléconduite. 84 85 5.2 - Des fragilités au niveau de la maintenance et de la surveillance L'absence de réglage de la protection de surcharge mécanique est liée en premier lieu à un manque de précision au niveau des processus de maintenance et de surveillance. Les vérifications effectuées annuellement par les équipes locales vis-à-vis des protections mécaniques et électriques étaient partielles et n'incluaient donc pas un contrÃŽle des réglages proprement dits, en raison notamment de l'absence d'un mode opératoire détaillé. Tout laisse à penser également que le contrÃŽle périodique du réglage de ces protections, qui était qualifié comme relevant d'un niveau intervention N1 (contrÃŽles simples par les équipes locales) alors qu'il se rapprocherait plutÃŽt d'un niveau N2 (contrÃŽles à forte technicité ou d'équipements sensibles par des entités spécialisées), n'avait pas été véritablement intégré par la CNR. La protection mécanique ne semblait pas être vue comme un élément de sécurité, sachant par ailleurs qu'il y avait peu de risque d'endommager un élément du systÚme de manoeuvre, vu le dimensionnement assez important du treuil, du câble, etc. Cela peut expliquer la faible attention qui semblait être portée sur ce sujet, la CNR ayant été en particulier dans l'incapacité de préciser quel était le dernier réglage connu de cette protection, comme évoqué également en 4.9.7. Il est aussi possible de considérer que, avec le temps, la CNR a pu perdre de vue la note d'origine du constructeur sur le calcul du limitateur de surcharge. Dans son plan d'actions, elle prévoit de conduire une action documentaire consistant à décrire dans un référentiel technique la méthodologie de calcul des seuils encadrants pour les protections et limitations. Les modifications du référentiel de maintenance qui ont été apportées par la CNR en 2019 et qui concernent les interventions effectuées à partir de 2020 paraissent traduire une évolution défavorable : le contrÃŽle du fonctionnement des protections électriques et mécaniques agissant sur le contrÃŽle-commande relÚve dorénavant d'une périodicité quinquennale, et non plus annuelle comme cela semblait être le cas dans la version initiale du référentiel. Sans arguments relatifs au choix effectué, le BEA-TT juge préférable que le contrÃŽle de fonctionnement des protections, ainsi que le contrÃŽle de leur réglage, soient réalisés au moins annuellement. Ainsi, le fait que certains enjeux de sécurité n'aient pas été identifiés peut contribuer à expliquer, en partie, les défauts observés en termes de maintenance et de surveillance. Le rapport du Conseil général des ponts et chaussées sur l'accident mortel survenu en 1998 à l'écluse de BollÚne soulignait que les évolutions d'organisation ont pu être la cause d'une perte de mémoire sur la conception des équipements, les conditions de leur bon entretien et la vérification de leur fonctionnement. Si ce rapport a été établi en faisant référence à un contexte d'organisation qui était alors complÚtement différent pour la CNR (organisation mixte CNR-EDF), le BEA-TT considÚre que ces aspects méritent qu'une attention y soit apportée. Par ailleurs, l'étude des FOH commanditée par la CNR met en évidence plusieurs types de fragilités organisationnelles dans ce domaine, tout en rappelant que l'équipe locale de l'exploitant réalise ces missions lors des rondes et des interventions sur site, tandis que le CGN centralise la conduite et la surveillance des écluses en mode distant. Elle souligne par exemple un manque de prise en compte des constats issus des rapports de travaux établis par l'exploitant et d'exploitation des fiches réalisées lors d'une intervention d'astreinte. À la lecture des comptes rendus établis lors des chÃŽmages ou lors des interventions plus ponctuelles, le BEA-TT a effectivement constaté que toutes les remarques consignées par l'exploitant lors d'une intervention n'étaient pas forcément suivies d'effet et que certaines interventions manquaient par ailleurs de traçabilité. 86 En outre, si le référentiel de maintenance des portes d'écluses de la CNR paraît bien construit, sa mise en application semble présenter certaines failles. Celui-ci mentionne que les actions de maintenance doivent être adaptées à chaque ouvrage en fonction des matériels existants et des particularités du site. La CNR a indiqué que l'adaptation, à l'écluse de Sablons, de ce plan type n'avait pas encore été finalisée et a précisé que ce référentiel correspond également à un objectif cible d'amélioration par rapport à une situation pouvant encore laisser la place à des disparités de mise en oeuvre. L'étude des FOH évoque à ce sujet un manque de supervision par la direction territoriale vis-à-vis des opérations réalisées par ses équipes locales, ainsi qu'un manque de suivi et de contrÃŽle par la direction du siÚge vis-à-vis de la bonne mise en oeuvre des référentiels et la bonne réalisation des plans de maintenance au sein des directions territoriales. L'étude des FOH souligne que certaines de ces lacunes rendent plus complexe l'exploitation de la récurrence de signaux faibles ou dysfonctionnements, liés notamment aux problématiques de blocage de porte. D'aprÚs les entretiens effectués par le BEA-TT auprÚs des opérateurs du CGN, ceux-ci ont l'impression que les manoeuvres infructueuses de portes d'écluse ne sont pas exceptionnelles : la porte ne va pas jusqu'au bout et l'automate génÚre alors un défaut. Ils doivent consigner sur le carnet de bord tout évÚnement particulier lié à un dysfonctionnement bloquant ou récurrent constaté sur un équipement. Un autre opérateur suggÚre davantage de liens entre le CGN et l'exploitant, s'agissant par exemple des échanges concernant l'état de l'écluse, les interventions effectuées ou le retour d'expérience. L'étude de la CNR relative aux FOH souligne d'ailleurs le peu d'échanges entre ces services, en dehors des sollicitations habituelles du CGN auprÚs de l'exploitant, en cas de difficultés particuliÚres, et de la consultation journaliÚre par l'exploitant du carnet de bord de l'écluse tenu conjointement par le CGN et l'exploitant. L'analyse réguliÚre par l'exploitant des défauts consignés par l'automate devrait normalement contribuer à la détection de ces signaux faibles. Le BEA-TT s'interroge sur la nature et l'étendue de l'analyse qui est en pratique réalisée, notamment compte tenu du fait qu'un grand nombre de défauts sont acquittés par le CGN et que cela a pour effet de les rendre moins facilement visibles pour l'exploitant. 5.3 - L'écluse et la réglementation relative aux ouvrages hydrauliques 5.3.1 - La surveillance réglementaire Compte tenu des éléments présentés en 4.9.1 et 4.9.2, il apparaît que l'écluse et ses équipements associés semblent être peu pris en compte dans le cadre de la surveillance réglementaire, ou du moins, des livrables correspondants que la CNR adresse au service de contrÃŽle. S'agissant du volet électromécanique et contrÃŽle-commande, les éléments concernant l'écluse paraissent en effet être abordés dans ces livrables plus sommairement que pour les autres ouvrages de l'aménagement hydroélectrique. La surveillance réglementaire doit notamment comprendre des vérifications de fonctionnement des organes de sécurité. La procédure interne de la CNR relative aux essais et vérifications sur les matériels stratégiques comprend une liste d'organes en rapport avec les écluses. Or, trÚs peu de ces éléments sont retranscrits dans les livrables réglementaires. Ces principes paraissent discutables ou il y a lieu du moins de considérer que la liste des organes entrant dans le cadre de cette surveillance réglementaire et des livrables 87 correspondants pourrait valablement inclure certains des dispositifs de sécurité propres à l'écluse et certains équipements associés à la manoeuvre des portes, indépendamment de leur identification éventuelle en tant que barriÚre de sécurité dans l'étude de danger. D'aprÚs l'article R. 214-123 du Code de l'environnement, les visites techniques approfondies (VTA) constituent des modalités pratiques de cette surveillance réglementaire. L'article mentionne que l'exploitant surveille et entretient l'ouvrage. Il procÚde notamment à des vérifications du bon fonctionnement des organes de sécurité et à des visites techniques approfondies de l'ouvrage. La consistance de ces vérifications et visites est précisée par l'arrêté prévu par l'article R. 214-128 du Code de l'environnement. La DREAL a précisé que cet arrêté reste à rédiger par la DGPR. Avant son abrogation, l'arrêté du 29 février 2008, qui définissait ce qui était attendu lors d'une VTA, mentionnait que ces visites détaillées de l'ouvrage sont menées par un personnel compétent, en hydraulique, en électromécanique, en géotechnique. Le compte rendu précise, pour chaque partie de l'ouvrage, les constatations, les éventuels désordres observés, et les suites à donner en matiÚre de surveillance, d'exploitation, d'entretien, etc. S'agissant des écluses, les interventions effectuées lors du chÃŽmage annuel paraissent autant relever de la maintenance que de la surveillance. Elles pourraient donc utilement contribuer à rendre compte de la surveillance auprÚs du service de contrÃŽle, en complément des visites techniques approfondies (VTA). Les aménagements hydroélectriques de la CNR étant en général de classe A, ils font l'objet d'une inspection annuelle de la part de la DREAL. Dans son rapport d'inspection, la DREAL mentionne que : « L'inspection a pour objectif de vérifier que l'exploitant met tout en oeuvre pour satisfaire à ses obligations réglementaires ; La visite de l'ouvrage permet à la fois une meilleure connaissance de l'ouvrage par le service de contrÃŽle, et un examen visuel, non exhaustif, de son état. L'état de l'ouvrage est avant tout considéré ici comme un indicateur de l'efficacité des actions de surveillance et d'entretien mises en oeuvre par l'exploitant et n'est en aucun cas une visite technique de celui-ci ». La partie sur site de l'inspection se déroule sur une journée, comprenant une réunion de bilan et une visite des ouvrages de l'aménagement. La DREAL a indiqué au BEA-TT que la visite s'effectue par sondage et que l'écluse n'est pas forcément regardée. Le rapport d'inspection 2019 mentionne que la visite a permis d'observer les éléments mis en évidence dans le rapport des VTA et liste les principales zones visitées (pour l'écluse, il est indiqué : galerie de l'écluse). 5.3.2 - L'étude de danger D'aprÚs le L. 211-3 du Code de l'environnement, l'étude de dangers a pour objectif d'évaluer les risques que présente l'ouvrage pour la sécurité publique, directement ou indirectement en cas d'accident, que la cause soit interne ou externe à l'ouvrage. Elle définit les mesures propres à réduire la probabilité et les effets de ces accidents. L'étude de danger de l'aménagement hydroélectrique du Péage-de-Roussillon, en vigueur à la date de l'accident, a été réalisée en octobre 2013. Elle porte sur la totalité des ouvrages de l'aménagement, soit le bloc usine-écluse de Sablons, le barrage de Saint-Pierre-de-Boeuf et les endiguements. Dans le cadre de sa réédition décennale, la CNR a fourni en 2021 une nouvelle étude et aprÚs y avoir intégré les enseignements issus de l'accident du PAMPERO. 88 Elle repose sur une démarche d'analyse des risques qui identifie les scénarios d'accident qui pourraient survenir sur l'ouvrage et amener à une situation dangereuse, qui est définie comme une situation pouvant conduire à la libération de tout ou partie de l'eau de la retenue ou à la surélévation anormale du plan d'eau de la retenue. Elle est réalisée à partir de l'analyse fonctionnelle de l'ouvrage et de l'identification des modes de défaillance possible des organes clés et en prenant en considération les aléas naturels, tels que les crues. Elle identifie les mesures, d'ordre technique ou organisationnel, de traitement du risque, appelées « barriÚres de sécurité ou de prévention ». Le niveau de confiance accordé à celles-ci, apprécié en fonction de leur efficacité et de leur fiabilité, permet de diminuer la probabilité d'occurrence de certains scénarios accidentels. La criticité des différentes situations dangereuses est ensuite évaluée en fonction de leur probabilité d'occurrence et de la gravité des conséquences. Globalement, les deux études de danger sont peu centrées sur l'écluse et sont plus focalisées sur les autres ouvrages de l'aménagement, qui peuvent davantage être impliqués dans une situation dangereuse, telle qu'elle est définie. L'écluse y est traitée dans sa fonction « barrage », sachant que cette fonction n'a pratiquement aucune incidence sur la sécurité des tiers ni sur la sécurité de l'aménagement hydroélectrique proprement dit. L'étude de 2021 va même jusqu'à mentionner, dans sa présentation générale, que l'aménagement a pour fonction de produire de l'électricité. Le BEA-TT considÚre que la fonction relative à la navigation devrait également être citée, même à titre secondaire, dÚs lors que l'écluse est comprise dans l'aménagement et prise en compte dans l'étude. Les études identifient les sources potentielles d'agression externes pouvant impacter les ouvrages ainsi que les enjeux exposés aux dangers potentiellement générés par ceux-ci, tels que les zones habitées, les sites industriels. Le trafic fluvial, dont le transport fluvial de marchandises dangereuses, qui circule sur le fleuve est mentionné parmi les enjeux, en cas d'onde de submersion provenant de l'aménagement. Conformément à la doctrine nationale qui a d'ailleurs été renforcée16 sur ce point, ce trafic fluvial est surtout traité comme une source potentielle d'agression externe, notamment en cas de dérive d'un bateau qui viendrait bloquer des vannes du barrage. L'étude de 2021 intÚgre, en plus, le scénario relatif à l'incendie d'une barge d'hydrocarbures dans le sas de l'écluse. Hormis les sujets de génie civil et de stabilité de l'ouvrage, l'écluse paraît traitée trÚs sommairement dans l'étude de 2013. Par exemple, l'analyse fonctionnelle interne est peu détaillée, par comparaison au barrage et à l'usine. Les items relatifs au treuil et au câble, qui permettent de déplacer la porte, ne sont pas mentionnés, alors que le treuil et les chaînes, qui assurent le déplacement des vannes, sont mentionnés pour le barrage. La nouvelle étude intÚgre désormais une présentation des portes et du systÚme de contrÃŽle-commande de l'écluse, ainsi qu'un volet relatif au bilan de conception et d'état des ouvrages, dans lequel les sujets relatifs à l'écluse sont abordés, à l'exception toutefois du contrÃŽle-commande. Il y est précisé que le dimensionnement pour la tenue en statique des portes, qui a été calé à partir de la norme allemande DIN 19704, édition 1976, est conforme à l'édition actuellement en vigueur de cette norme, mais que la tenue à la fatigue des portes n'a pas été prise en compte en conception initiale. L'étude de 2013 intÚgre le scénario d'une rupture d'une porte, amont ou aval, de l'écluse en identifiant trois causes potentielles, que sont le vieillissement, la collision d'un bateau, un séisme. La nouvelle étude prend en compte également, désormais, la cause relative à un défaut de fermeture de la porte, comme explicité en 5.1, ainsi que, en plus du 16 L'arrêté du 6 août 2018 fixant des prescriptions techniques relatives à la sécurité des barrages demande une prise en compte spécifique des situations accidentelles de choc de bateau sur les ouvrages. 89 vieillissement, la sensibilité intrinsÚque de la porte à la fatigue, pour laquelle il est précisé qu'une maintenance spécifique permet de reprendre les fissures qui apparaissent et les soudures afin d'éviter que ces défauts n'affaiblissent la structure. La nouvelle analyse de risque mentionne aussi le scénario d'une ouverture intempestive de porte, comme ce fut le cas lors de l'accident de 1998 à l'écluse de BollÚne, tout en indiquant que l'écluse de Sablons n'est pas concernée, car les portes ne sont pas manoeuvrables en charge. La gravité correspondant à ce scénario d'accident est évaluée de niveau 2, c'est-à-dire impactant moins de 100 personnes, l'étude de 2021 précisant que les navigants présents dans le sas au moment de l'accident sont concernés et que le nombre moyen de personnes par éclusage est de 60 environ. Il peut être fait remarquer que cette gravité pourrait être reconsidérée à la hausse si le choix méthodologique était fait de tenir compte du nombre maximum potentiel de personnes par éclusage, qui pourrait atteindre le nombre de 200 dans le cas d'un paquebot fluvial, ou encore de la gravité des lésions potentielles aux personnes ou des dommages dans le cas d'un bateau de matiÚres dangereuses. 5.3.3 - Conclusions des sous-parties 5.2 et 5.3 D'aprÚs les documents relatifs à l'aménagement hydroélectrique du Péage-de-Roussillon qui étaient en vigueur au moment de l'accident, les livrables que la CNR établit au titre de la réglementation sur la sécurité des ouvrages hydrauliques abordent l'écluse de maniÚre plus sommaire comparé aux autres ouvrages de l'aménagement, hors domaine relatif au génie civil. Cela peut en partie s'expliquer par le fait que, vu sous l'angle de cette réglementation, l'écluse ne constitue pas un ouvrage à enjeu. La mise en oeuvre actuelle de cette réglementation donne l'impression en effet que le niveau d'exigence en termes de livrables est porté de façon prioritaire sur les ouvrages hydrauliques proprement dits. Cela a pu contribuer à ce que l'analyse de risques concernant les portes de l'écluse n'ait pas été réalisée de maniÚre assez approfondie dans le cadre de l'étude de danger. Dans ce cadre réglementaire et pour le cas présent de l'écluse de Sablons, l'attention portée par la CNR sur les portes d'écluse ne paraît pas suffisamment considérer celles-ci comme un ensemble fonctionnel avec les équipements associés à leur manoeuvre. Les processus propres à l'exploitant qui sont déployés parallÚlement à ce cadre, en termes de maintenance et de contrÃŽle, font aussi apparaître, pour l'écluse de Sablons, un certain manque d'attention en la matiÚre et, plus généralement, le fait que la maintenance est perfectible. La politique de sécurité des ouvrages hydrauliques porte sur les risques aux ouvrages et aux tiers situés à leur aval. Si de ce fait, l'étude de danger réalisée par la CNR ne traite pas des risques que représente l'écluse pour ses usagers, on voit qu'elle peut toutefois contribuer à leur prise en compte, en intégrant des scénarios de rupture ou d'ouverture accidentelle des portes, comme cela a été le cas dans le cadre de la mise à jour de l'étude aprÚs l'accident. Cette intégration paraît pouvoir rentrer pleinement dans le champ d'application de cette réglementation, où les portes d'écluses sont considérées dans leur fonction de « barrage ». Le rapport établi par le CGEDD17 en 2018 sur l'évaluation de cette politique pour les ouvrages de VNF souligne que, si les obligations réglementaires de cette derniÚre sont à apprécier au regard du risque d'inondation pour les riverains, les écluses de hauteur de chute importante méritent une attention particuliÚre, compte tenu des masses d'eau en jeu et du précédent de l'écluse de BollÚne sur le RhÃŽne de 1998, même si en l'occurrence la sécurité concerne moins les riverains que les usagers. 17 Conseil général de l'environnement et du développement durable 90 Pour des ouvrages de cette dimension, il serait souhaitable d'avoir une analyse des risques (arbre de défaillance) examinant la manoeuvre et sa cinématique, les organes critiques, les défaillances qui peuvent intervenir et les conséquences. Il est par ailleurs possible de considérer que des questions se posent quant au champ d'application de la politique de sécurité des ouvrages hydrauliques et à la nature des risques aux tiers pouvant être pris en compte dans ce cadre. Selon la DREAL, une clarification de la DGPR concernant la prise en compte des risques liés à la défaillance des écluses, notamment des effets dominos associés, s'avÚre souhaitable. Dans les principes actuels, la notion de tiers englobe les personnes situées en aval des ouvrages. Logiquement, les risques vis-à-vis des navigants dans l'écluse devraient également pouvoir être pris en considération, car il s'agit de tiers et ils font partie de l'environnement anthropique de l'ouvrage hydraulique, tel qu'évoqué par le cadre réglementaire sur le contenu des études de danger. Les autres questions pourraient alors être les suivantes et à relier à la partie 5.4 ci-aprÚs : Quels types de risques pour les navigants peuvent être pris en compte ? Par exemple : le risque de coincement d'un bateau entre des portes d'écluses, le risque de chute à l'eau ou de perte d'équilibre d'un bateau pendant un éclusage pourraient-ils être considérés comme entrant dans le champ de la sécurité des ouvrages hydrauliques ? D'aprÚs le R. 214-116 du Code de l'environnement, les études de danger prennent également en compte des évÚnements de gravité moindre mais de probabilité plus importante tels que les accidents et les incidents liés à l'exploitation de l'aménagement. Selon l'interprétation que l'on en fait, cet énoncé pourrait recouvrir beaucoup de choses. Ces éléments demanderaient une interprétation de la part de la DGPR, en lien avec la DGITM. À cadre constant, il est en tout cas souhaitable que la politique de sécurité des ouvrages hydrauliques renforce la prise en compte des écluses dans les différents livrables réglementaires et en réaffirmant que les risques pour les navigants empruntant l'écluse font partie des risques à prendre en compte. Suite à l'accident, la DREAL Auvergne-RhÃŽne-Alpes a établi un plan d'actions, dans lequel elle prévoit de procéder à un réajustement des points d'attention sur les portes d'écluse, voire sur d'autres organes hydrauliques, lors des inspections. Cette démarche gagnerait à être adoptée par les deux autres DREAL (Occitanie et Provence-Alpes-CÃŽte d'Azur) concernées par des aménagements de la CNR et pourrait également s'appuyer sur les rapports d'interventions effectuées par l'exploitant lors du chÃŽmage des écluses. En conclusion, le BEA-TT émet les recommandations suivantes : Recommandation R1 adressée à la Compagnie nationale du RhÃŽne (CNR) : Renforcer la qualité de la maintenance et le niveau de surveillance des portes d'écluse, en déclinant le plan de maintenance type à chaque ouvrage et en veillant à sa bonne mise en oeuvre, en améliorant la prise en compte des suites à donner aux interventions et rapports de travaux, et de maniÚre à mieux considérer les portes comme un ensemble fonctionnel, avec tous les équipements associés, le contrÃŽle-commande et les éléments de protection des installations. Recommandation R2 adressée à la Compagnie nationale du RhÃŽne (CNR) : Dans le cadre des études de danger, étudier de maniÚre approfondie les scénarios de rupture et de défaut de fermeture des portes d'écluse, et pour celles manoeuvrables en charge, d'ouverture accidentelle de portes. 91 Recommandation R3 adressée à la DGPR du ministÚre de la transition écologique : Renforcer la prise en compte des écluses dans le cadre de la mise en oeuvre de la politique de sécurité des ouvrages hydrauliques, lors des inspections des services de contrÃŽle et à partir des attendus des visites techniques approfondies et des études de danger Dans le cadre des études de danger, développer une attention particuliÚre sur la gravité et la diversité possible des scénarios liés aux défaillances de portes d'écluse. 5.4 - Les dispositions réglementaires relatives à la sécurité des machines et à la sécurité des infrastructures de transport Cette partie consiste en un approfondissement au sujet des modalités réglementaires qui permettraient de mieux prendre en compte les risques associés aux écluses au regard de ses usagers et donc en tant qu'ouvrage d'une infrastructure de transport fluvial. 5.4.1 - La directive européenne 2006/42/CE du 17 mai 2006 relative aux machines Une écluse est une machine au sens de la directive européenne 2006/42/CE du 17 mai 2006 relative aux machines, qui vise à prévenir les risques pour les personnes exposées par, ou, lors de l'utilisation des machines. La directive est devenue applicable fin 2009 et a été transposée en France dans le Code du travail. Les écluses qui ont été conçues antérieurement n'ont pas obligation de satisfaire à ses exigences, mais il est recommandé d'analyser leur fonctionnement au regard de cette directive. Celle-ci, réglementairement parlant, s'applique aux écluses neuves ainsi qu'en cas de modification significative apportée vis-à-vis d'un ouvrage existant. Elle implique de réaliser une démarche d'évaluation et de réduction des risques et de préciser les paramÚtres dont dépend l'utilisation sûre de la machine et leurs limites. La prise en compte du risque doit se faire en priorité au niveau de la conception, par des solutions améliorant la sécurité intrinsÚque et avec l'objectif de suppression du risque. Lorsque ce n'est pas possible ou s'il subsiste des risques résiduels, des protections techniques doivent être mis en oeuvre. Cette démarche d'évaluation des risques est différente d'une étude de danger au sens de la réglementation sur les ouvrages hydrauliques, même si les méthodologies peuvent être comparables. Elles n'ont pas le même objectif ni, sans doute en l'état actuel, la même échelle de caractérisation de la gravité des risques. L'étude de danger paraît plus globale et est ciblée sur les risques aux ouvrages et d'inondation, tandis que la directive machine implique une étude de sécurité de l'ouvrage qui est plus détaillée et dans laquelle le risque pour les navigants qui empruntent l'écluse pourrait être au coeur de la réflexion. Une présentation plus détaillée de ces éléments figure en annexe 7. Dans le cas de l'écluse de Sablons, on peut considérer que l'application de la directive était requise, lors du changement du systÚme de contrÃŽle-commande et de la mise en place de la téléconduite, réalisés en 2011, et que cela sera à nouveau le cas à l'occasion de la mise en place d'une nouvelle porte aval prévue en 2023. Le BEA-TT n'a pas eu l'occasion d'interroger formellement la CNR au sujet de ses modalités d'application de la directive. Le Cerema a précisé que, lors de la mise en oeuvre de la téléconduite, une étude de sécurité comprenant une analyse de la non-dégradation du niveau de sécurité par rapport au niveau en conduite locale, a été effectuée par la CNR et à laquelle Cerema a participé. 92 La DREAL a indiqué ne pas avoir eu l'occasion d'analyser cette étude, au motif qu'il avait été considéré qu'elle se rapportait à des aspects de navigation. Le BEA-TT considÚre que cette étude de sécurité aurait pu légitimement intéresser les aspects de sécurité des ouvrages hydrauliques. D'aprÚs les échanges intervenus avec le Cerema, les principaux exploitants d'écluses réalisent, d'ores et déjà et à certaines occasions, des analyses de risques d'un niveau qui pourrait être comparable à celui attendu dans le cadre de la directive machines ou qui s'inspirent en partie de la directive, parallÚlement le cas échéant, aux démarches relevant de la réglementation sur la sécurité des ouvrages hydrauliques. C'est le cas par exemple pour la conception des écluses neuves du projet de canal Seine-Nord Europe. Le BEA-TT a également pu prendre connaissance d'un document relatif aux études de conception d'un systÚme d'automatisation des écluses à petit gabarit de VNF, qui intÚgre les principes de la directive machine. Toutefois, une application plus directe et plus systématique de la directive machines permettrait de donner un cadre plus formel. D'aprÚs le Cerema, l'une des difficultés à cela est l'absence de cadre de référence en ouvrages hydrauliques. L'élaboration d'un tel cadre, avec des livrables de la directive machines, pourrait donc être de nature à guider son applicabilité aux écluses et à davantage harmoniser les pratiques existantes. Par ailleurs, les études de sécurité qui sont réalisées au niveau des écluses, en parallÚle des livrables réglementaires relatifs à la sécurité des ouvrages hydrauliques, ne sont pas soumises en l'état actuel à un contrÃŽle par un service de l'État, à la différence des études de danger réalisées pour les ouvrages hydrauliques. 5.4.2 - Les dispositions relatives à la sécurité des infrastructures de transport La loi n° 2002-3, dite loi « SIST »18 a introduit des dispositions, qui ont été codifiées dans le Code de la voirie routiÚre et le Code des transports et qui concernent : les systÚmes de transport public guidé ou ferroviaire ; les ouvrages du réseau routier et d'infrastructure de navigation intérieure ou portuaire, « dont l'exploitation présente des risques particuliers pour la sécurité des personnes ». Elles impliquent la réalisation d'un dossier préliminaire de sécurité pour la construction ou en cas de modification significative d'un tel ouvrage, accompagné d'une évaluation par un organisme extérieur agréé, et la réalisation d'un dossier de sécurité pour la mise en exploitation d'un tel ouvrage, comprenant un examen périodique par l'organisme agréé. La catégorie relative aux ouvrages d'infrastructure de navigation intérieure est la seule pour laquelle ces dispositions n'ont pas été déclinées réglementairement. Un projet de décret d'application avait été élaboré à cette fin et prévoyait leur applicabilité aux écluses, aux ascenseurs à bateau, aux ponts mobiles et aux tunnels de navigation. Le BEA-TT a pu prendre connaissance de deux versions de ce projet, dont l'une qui est plus détaillée. Celle-ci, comme la directive machine, énonce, pour la conception d'un nouvel ouvrage ou d'une modification substantielle apportée vis-à-vis d'un ouvrage existant, des principes d'exigences de sécurité et de réduction, autant que possible, des risques pour les usagers, les personnels et les tiers. Son apport, par rapport à la directive machines, concerne notamment les modalités de prise en compte des conditions d'exploitation et de maintenance de l'ouvrage au regard de l'objectif de sécurité, l'intervention d'un organisme extérieur agréé qui apporte un double regard et une 18 Loi du 3 janvier 2002 relative à la sécurité des infrastructures et systÚmes de transport, aux enquêtes techniques aprÚs évÚnements de mer, accident ou incident de transport terrestre ou aérien et au stockage souterrain de gaz naturel, d'hydrocarbures et de produits chimiques 93 évaluation vis-à-vis de la démarche du maître d'ouvrage, ainsi que l'applicabilité des dispositions aux ouvrages existants. Une présentation plus détaillée de ces éléments figure en annexe 7. L'élaboration de ce projet de décret avait fait l'objet de discussions, en particulier entre VNF et la direction en charge des infrastructures de transport (DGTIM) au sein du ministÚre de la transition écologique, mais n'a pas abouti, notamment du fait d'interrogations portant sur son utilité au vu du corpus réglementaire relatif à la sécurité des ouvrages hydrauliques. Il paraît difficile de considérer en l'état actuel que ce corpus pourrait constituer une déclinaison réglementaire des dispositions législatives énoncées par le Code des transports pour les ouvrages de navigation, y compris pour ce qui concerne les écluses les plus importantes. Certaines écluses, en raison de leurs dimensions et/ou parce qu'elles sont associées à un barrage ou un canal et font alors partie de l'ouvrage hydraulique considéré dans son ensemble, rentrent dans le champ d'application de la réglementation sur les ouvrages hydrauliques. Elles sont alors classées en tant qu'ouvrage hydraulique, les plus petites d'entre elles, de classe C, ne sont toutefois pas soumises à étude de danger. Les écluses qui sont couvertes par cette réglementation, le sont pour leur fonction « barrage » et moins, voire pas, en tant qu'ouvrage de navigation. Elles sont alors considérées d'une maniÚre, qui n'est ni détaillée, ni complÚte, comparativement aux dispositions qui avaient été envisagées pour compléter le Code de transport et qui sont assez proches, dans l'esprit, de celles introduites par la directive sur les machines. Il manque un volet sur l'exploitation et les risques, au regard des navigants utilisant l'écluse. En l'état actuel de ses modalités d'application, la réglementation sur les ouvrages hydrauliques ne traite pas de cet aspect, même si elle peut contribuer à sa prise en compte. Pour pallier ces lacunes, il pourrait être envisagé de compléter ces modalités d'application, de maniÚre à décliner celles-ci par type d'ouvrage et à traiter l'ouvrage de navigation et les usagers qui l'empruntent dans le cadre d'une étude de danger détaillée et spécifique. Le palier paraît toutefois important et certains aspects nécessitent une interprétation de la part de la DGPR, comme évoqué au point 5.3.3. Par ailleurs, d'autres ouvrages de navigation, tels que les ponts mobiles ou ponts canaux et les tunnels, ne sont pas couverts par la réglementation sur la sécurité des ouvrages hydrauliques. Dans le rapport de 2018 évoqué ci-avant, le CGEDD mentionne que les premiers ne rentrent pas aujourd'hui clairement dans le champ d'application de cette réglementation et note, pour les seconds, l'absence de texte réglementaire adapté, contrairement à ce qui existe pour les tunnels routiers et ferroviaires. Le BEA-TT considÚre donc qu'il serait adéquat de décliner dans le Code des transports les dispositions législatives relatives à la sécurité des ouvrages de navigation, en reprenant l'élaboration du projet de décret qui avait été commencée. Il conviendrait d'assurer sa compatibilité avec les dispositions de la directive relative aux machines, qui sont déclinées dans l'annexe citée à l'article R. 4311 du Code du travail, et de maniÚre à pouvoir considérer qu'un dossier qui est conforme au Code des transports l'est aussi au vu de la directive sur les machines. Un lien entre les deux codes pourrait être effectué. L'adoption de ces dispositions réglementaires permettrait en particulier que l'exploitant rende compte de la mise en oeuvre d'une étude de risques adaptée aux enjeux de sécurité de la navigation. Il serait utile de prévoir les conditions de leur applicabilité aux ouvrages existants, comme cela avait été envisagé dans le cadre du projet de décret et 94 comme le sous-entend l'article L. 1613-1 du Code des transports relatif à l'autorisation de mise en exploitation des ouvrages, dans un délai compatible avec les échéances d'actualisation des études de danger pour les ouvrages qui y sont soumis. Elle permettrait en outre de donner une visibilité à la directive sur les machines et pourrait contribuer à harmoniser davantage les pratiques existantes d'étude de sécurité, qui sont conduites, en dehors du champ réglementaire des ouvrages hydrauliques, sur certains de ces ouvrages de navigation. Elle pourrait utilement être accompagnée par l'élaboration d'un cadre de référence pour guider leur applicabilité. Le contrÃŽle de leur application paraît pouvoir entrer pleinement dans le champ de compétences des DREAL, tel que défini au 1 er de l'article 2 du décret 2009-235 relatif à l'organisation et aux missions de celles-ci. La périodicité des dossiers à établir par les exploitants pourrait d'ailleurs être calée sur celle de la réglementation relative aux ouvrages hydrauliques, pour les ouvrages de navigation rentrant dans ce cadre. En conclusion, le BEA-TT invite la DGITM à décliner réglementairement les dispositions législatives relatives à la sécurité des ouvrages de navigation dans le Code des transports, en assurant leur compatibilité avec celles de la directive relative aux machines et en précisant, en lien avec la DGPR, son articulation avec la réglementation sur les ouvrages hydrauliques. 5.5 - Une connaissance indirecte de la position de la porte Les capteurs associés aux positions « porte fermée » et « porte ouverte » de la porte aval de l'écluse de Sablons sont doublés par sécurité. Il s'agit de capteurs à croix, à basculement mécanique. Cette technologie, dont le choix d'origine paraît être celui de la robustesse, répond à une certaine rusticité et équipe également les capteurs des autres portes d'écluse de conception similaire de la CNR. Ils ne nécessitent pas d'étalonnage à proprement parler, mais un réglage et un contrÃŽle de fonctionnement lors de leur basculement (activation et désactivation). Le réglage est effectué d'abord au moyen de simulations, puis par des essais, impliquant une phase de synchronisation, puis un réglage visuel avec des mouvements de la porte au moment de la mise en service. La CNR a indiqué au BEA-TT qu'il n'y a pas de dérive dans le temps de la position de ces capteurs et que ceux-ci font l'objet d'une maintenance curative, par exemple suite à un constat de mauvais état effectué lors des rondes de l'exploitant ou encore en cas de dysfonctionnement bloquant le processus d'éclusage. Un capteur défaillant peut être remplacé sans délai et la défaillance est bloquante dans le processus. L'inconvénient de la situation présente est que la position de la porte est connue de maniÚre indirecte à partir de ces capteurs, ceux-ci étant actionnés par le chariot de manoeuvre auquel la porte est suspendue. Le BEA-TT a remarqué que : les 4 capteurs d'usage relatifs à la fermeture de la porte sont activés par le petit chariot, à partir de deux doigts, un amont et un aval, fixés sur celui-ci ; s'agissant de l'ouverture de la porte, 2 capteurs (ralentissement et fin de course « porte ouverte » de l'automate de sécurité) sont activés par le petit chariot à partir de son doigt amont et les 2 autres capteurs (fin de course « porte ouverte » de l'automate de pilotage) sont activés par le grand chariot à partir d'un doigt fixé à l'aval sur celui-ci. La CNR a précisé que la différence de modalité entre ouverture et fermeture est liée à des considérations pratiques, telles que l'accessibilité aux capteurs, et que le choix de positionnement des capteurs n'a pas été fait en distinguant petit et grand chariot, mais en considérant l'ensemble comme un tout. 95 Il n'apparaît pas néanmoins, qu'un systÚme prenant en compte la position relative des chariots, aurait pu permettre de déceler le problÚme de fermeture survenu lors de l'accident. Des mesures directes de l'atteinte de la position de la porte semblent la maniÚre la plus robuste pour s'assurer de son bon positionnement. D'aprÚs le Cerema, l'installation de capteurs de détection directe de la position de la porte peut, certes, ne pas être évidente, car cela pourrait impliquer l'intégration, dans le génie civil, de capteurs de type inductif ou radar. Se posent également les enjeux de leur résistance aux agressions de l'eau. D'aprÚs cet organisme, il est courant que la position des portes soit connue de façon indirecte, en détectant la position des organes de manoeuvre mais la grande majorité des portes sont des portes busquées, qui en rÚgle générale, ne posent pas de problÚme de mauvaise fermeture. Dans le rapport n° 192 établi en 2019 par l'AICPN, portant sur les développements de l'automatisation et de la téléconduite des écluses et des ponts mobiles, les capteurs de fin de course actionnés mécaniquement étaient utilisés à l'origine, mais le maintien de maniÚre fiable de leur opérationnalité nécessite un entretien important pour garder les piÚces mobiles à l'abri de l'obstruction. D'aprÚs ce rapport, l'utilisation de capteurs sans contact, de type à lecture magnétique ou de type inductif, est de plus en plus courante. Selon la technologie utilisée, ils peuvent permettre d'assurer une mesure en continu de la position de la porte pendant son déplacement et donc, par exemple et in fine, d'évaluer la vitesse de fonctionnement, ce qui peut être utilisé pour déterminer une défaillance, lié par exemple à une obstruction ou un équipement fonctionnant moins bien, endommagé ou déréglé (on peut penser dans le cas présent par exemple aux boîtes à galet de la porte aval de l'écluse de Sablons). Cette méthode peut être utilisée dans un systÚme de maintenance prédictive. Toutefois, comme l'indique le Cerema, leur réparation et remplacement peuvent s'avérer difficiles suivant leur positionnement. La CNR convient que son axe de recherche pour l'avenir vise à une connaissance directe de la position de la porte et prévoit dans son plan d'actions d'engager des études et travaux pour, respectivement, disposer directement de la position du vantail de la porte, et de la position du chariot dans les deux axes (rive à rive et vertical). Par ailleurs, elle a apporté au niveau de l'automate des modifications de paramétrage en lien avec le capteur de position analogique qui est utilisé, tel qu'évoqué en 4.2.3, pour l'animation du synoptique de l'opérateur, sachant qu'il ne peut pas, en l'état actuel, être utilisé pour gérer le process de l'écluse. Il n'est pas assez précis et fiable, ni adapté pour déterminer la position de la porte, mais génÚre un défaut lorsque sa mesure de position, lorsque les fins de course sont atteints, se situe en dehors d'une plage fixée depuis l'accident à plus ou moins 5 cm. Sur un plan opérationnel, les défauts issus du capteur analogique ne sont acquittables que par le personnel d'exploitation du site, et non plus également par l'opérateur du CGN. La CNR précise que l'exploitant pourra alors analyser réguliÚrement la survenance de ces défauts et en assurer un suivi régulier. Il est à noter que le même type de modification a été opéré pour ce qui concerne le défaut associé au temps trop long d'exécution (TTLE). En conclusion, le BEA-TT émet la recommandation ci-aprÚs : Recommandation R4 adressée de la Compagnie nationale du RhÃŽne (CNR) : Mettre en place un systÚme de capteurs permettant des mesures directes de la position de la porte aval de l'écluse de Sablons en fin de manoeuvre. Étudier l'opportunité et installer le cas échéant un tel systÚme sur les autres portes d'écluses à déplacement latéral. 96 5.6 - La gestion des bois flottants et l'utilisation des caméras 5.6.1 - Les pratiques des opérateurs de téléconduite, les équipements de l'écluse Les opérateurs du CGN estiment que les manoeuvres infructueuses de portes d'écluse ne sont pas exceptionnelles. Elles peuvent être consécutives à un blocage au cours de la manoeuvre, lié à une souche de bois, comme nous l'ont indiqué les opérateurs, ou encore par exemple à une piÚce métallique coincée dans la rainure, comme lors de l'incident survenu au niveau de la porte amont de l'écluse de Caderousse en juillet 2020 : aprÚs plusieurs tentatives, l'ouverture de la porte se bloquait à 98 %, une intervention de plongeurs a permis de déterminer l'origine du dysfonctionnement. Les opérateurs du CGN font parfois appel à l'exploitant pour procéder à l'évacuation d'un bois gênant. Une situation de ce type est consignée pour l'écluse de Sablons dans le carnet de bord de l'écluse tenu conjointement par le CGN et l'exploitant, et sur les deux premiers mois de 2020 : un bateau signale une grosse branche bloquée en rive gauche du pare-choc de la porte, l'opérateur ne la voit pas à la caméra et fait intervenir l'exploitant, qui programme une intervention pour l'enlever. Les opérateurs indiquent qu'ils font aussi parfois appel aux navigants pour qu'ils contribuent à évacuer certains bois, par exemple en actionnant le propulseur du bateau. La CNR a confirmé au BEA-TT que les problématiques liées à la présence de bois gênant ne sont pas rares et peuvent varier d'une écluse à l'autre. Dans l'un des documents qu'elle a adressés, elle mentionne des exemples de situations nécessitant une interruption en urgence de l'éclusage par l'opérateur, tels que : cas d'un bollard bloqué par un bois, présence de bois sur un organe en manoeuvre. Un bois de grosse taille peut endommager le bateau au niveau de son hélice par exemple, ou encore le coincer dans le sas. Dans ce cas, l'opérateur va plutÃŽt imposer au batelier d'attendre avant de passer l'écluse, le temps d'y remédier. Des bois plus petits peuvent gêner une fermeture de porte et la bloquer. Dans ce cas, l'opérateur va plutÃŽt recourir aux processus de dévasage / émulsion ou « de chasse ». Lors de sa visite au CGN, le BEA-TT a pu assister à plusieurs éclusages, lors desquels l'émulsion semblait être déclenchée de maniÚre systématique et intégrée au processus, l'opérateur pouvant aussi la prolonger de lui-même. À Sablons, le dispositif d'émulsion / dévasage dans le garage de la porte aval de l'écluse ne peut être activé que manuellement, sur site, l'écluse est la seule à être non équipée de dispositif d'émulsion dans la rainure dans laquelle vient se loger la porte aval en fermeture. La note d'instruction interne de la CNR sur le fonctionnement opérationnel de l'activité d'éclusage depuis le CGN indique que la manoeuvre de chasse est utilisée en cas de présence importante de bois dans les garages d'écluse ou le sas et qu'elle ne doit pas être réalisée avec un bateau dans le sas ou en approche. Les questions qui peuvent se poser sont alors : comment apprécier l'importance de ces bois et que faire si elle est détectée alors qu'un bateau est déjà en approche ? La CNR a établi en septembre 2020 un document à destination du BEA-TT, qui présente les consignes aux opérateurs du CGN pour solliciter l'intervention de l'exploitant et récapitule la conduite à tenir pour les anomalies non couvertes par les automatismes. D'aprÚs ce document, l'opérateur doit contacter l'exploitant et préparer un avis à la batellerie, en cas de bois planté dans le chenal ou de « bois flottants en grand nombre ». Pour l'écluse de Sablons, la CNR a établi aprÚs l'accident une instruction temporaire d'exploitation : « En cas de détection de la présence anormale de bois flottants par le 97 CGN ou sur information du navigant, l'opérateur stoppe le cycle d'éclusage et appelle l'exploitant qui se rend sur site pour contrÃŽle, mise en oeuvre d'un cycle de dévasage et / ou dégagement avec une perche des bois présents à proximité des rainures ». D'aprÚs d'autres informations recueillies auprÚs de la CNR, un rappel a été fait au niveau des consignes associées à toutes les écluses équipées de portes latérales coulissantes : en cas de présence importante de bois, lancer une chasse et si cela est impossible, faire appel à l'exploitant avant tout éclusage. L'étude des FOH souligne qu'il y a une réelle difficulté pour les opérateurs pour apprécier la quantité de bois à partir de laquelle il peut y avoir une situation dangereuse pour le bateau ou les organes de l'écluse. Elle indique qu'il n'est pas aisé de définir des critÚres et retient l'intérêt d'une évaluation au cas par cas avec l'appui du chef de salle si besoin. Dans son plan d'actions, la CNR a retenu d'engager les études et travaux pour la mise en place d'un dispositif d'injection d'air dans la rainure dans laquelle vient se loger la porte aval de l'écluse de Sablons en fermeture, ainsi que d'une nouvelle vanne de remplissage pour effectuer des chasses aval. Le BEA-TT en prend note et se demande s'il serait possible d'associer ces dispositifs avec un systÚme de repérage d'objets flottants. En cas de bois flottants, cela pourrait contribuer à mieux apprécier leur importance et à les détecter à un pas temporel qui soit déconnecté et, en particulier anticipé, de celui lors duquel l'opérateur s'apprête à procéder à un éclusage. Par ailleurs, il pourrait aussi être envisagé de faire procéder, au moyen de ce systÚme ou des caméras existantes, à une vérification de la présence éventuelle d'embâcles par le chef de salle et avant que celui-ci n'affecte l'écluse concernée à l'un des opérateurs. En outre, la vérification de la présence de bois flottants semble devoir aussi faire partie des tâches de maintenance courante. 5.6.2 - La pratique de l'opérateur de téléconduite lors de l'éclusage accidentel Vu la teneur des échanges radio intervenus entre l'opérateur et le capitaine du bateau, on peut se demander si l'opérateur s'est posé la question de savoir s'il procédait, ou pas, à l'éclusage, alors que le capitaine venait de lui signaler la présence importante de bois. Mais, à ce moment-là, le bateau avait déjà commencé à s'engager dans le sas. Normalement, les caméras peuvent être utilisées pour détecter ou mieux analyser les situations à risque. Bateau PAMPERO dans le sas Lorsque le bateau s'apprête à rentrer dans le sas, des bois flottants sont visibles à l'entrée. Ils sont également visibles au niveau de la porte aval, avant et lors du lancement de la commande de fermeture ainsi que pendant sa fermeture. Compte tenu du signalement effectué à deux reprises par le capitaine, l'opérateur aurait vraisemblablement pu visualiser avec la caméra la présence de ces bois, même si la qualité des images rend cette visualisation plus difficile de nuit. 98 Bois flottants La Directive permanente d'exploitation de la CNR, relative à la téléconduite de l'écluse de Sablons, identifie formellement le risque de coincement d'un bois sur un organe de manoeuvre : « la vigilance est recommandée en présence de bois dans le sas, cette écluse ne comporte pas de moyen de faire des chasses de bois en surface. En cas d'observation de ce genre, avertir les bateaux de la situation. Surveiller la manoeuvre de la porte aval ou de la porte amont qui peuvent embarquer des bois sur la partie latérale en fermeture, ces bois risquent de bloquer la porte ». Lors de son témoignage auprÚs du BEA-TT, l'opérateur a indiqué ne pas avoir souvenir d'avoir visionné le déplacement de la porte lors de sa fermeture. S'il l'avait fait, il n'aurait de toute façon rien pu détecter d'anormal concernant le déplacement proprement dit. Si la séquence s'était produite de jour, il est d'ailleurs tout à fait possible que l'opérateur ait agi de la même façon, c'est-à-dire procéder à l'éclusage, puis remédier aprÚs au problÚme de bois s'il subsiste. Il aurait eu un meilleur visu caméras sur cette présence de bois mais l'appréciation de leur importance aurait pu toujours poser question. Quoi qu'il en soit, la présence de bois ne constitue pas normalement un problÚme pouvant entraîner une rupture de porte. Si c'est réellement un bois qui a bloqué la porte lors de la séquence accidentelle, il aurait dû logiquement entraîner une manoeuvre infructueuse de fermeture, comme les opérateurs peuvent l'observer dans des situations similaires. 5.6.3 - L'utilisation des caméras La mise en place de la téléconduite s'est accompagnée d'une augmentation du nombre de caméras. Elles servent à la visualisation du bateau, à l'approche de l'écluse puis lors de son éclusage, ainsi que de l'écluse et de son environnement. Comme présenté en 2.6.3, les vues des caméras équipant une écluse sont affichées sur trois écrans vidéos au niveau du poste de l'opérateur. Rive gauche Rive droite Plan (CNR) d'implantation des 18 caméras de l'écluse de Sablons Les opérateurs du CGN soulignent que si des évolutions ont progressivement été apportées, certaines caméras sont parfois sales ou, de nuit, les images renvoyées peuvent être de mauvaise qualité, notamment si l'éclairage est faible. La qualité visuelle est d'autant plus importante que l'opérateur n'a pas les bruits. S'agissant de Sablons, ils ont indiqué aux enquêteurs du BEA-TT qu'il faudrait améliorer l'éclairage, et CNR a indiqué l'envisager, ou disposer d'une meilleure caméra de visualisation de la porte aval. La caméra « fixe porte aval » (code : D6) a pour utilisation principale de visionner l'aval de la porte aval. C'est cette caméra qui a permis de visualiser a posteriori la séquence d'apparition des fuites au niveau de la porte puis de rupture de la porte. Il s'agit d'une caméra fixe et celle-ci ne permet pas d'avoir une vue sur l'angle rive droite de la porte. 99 Une fois le bateau rentré dans le sas, cette caméra n'est en général pas regardée par l'opérateur, celui-ci concentrant sa visualisation sur le bateau. La caméra « aval écluse » (code : Aval) est une caméra dÃŽme dont l'utilisation principale, d'aprÚs le descriptif des caméras établi par CNR, est de visionner le bateau lors de son entrée ou de sa sortie du garage ainsi que le ponton de plaisance. Celle-ci pourrait permettre de mieux voir la porte, cela suppose pour cela de la faire pivoter complÚtement de maniÚre à la retourner. Dans la période qui a suivi l'accident, cette caméra a été préréglée de maniÚre à ce qu'elle reste en visu sur la porte et l'un des opérateurs a par ailleurs indiqué avoir changé sa façon de faire, de maniÚre à garder un visu sur les portes, et non pas seulement sur le bateau, lors du remplissage du sas. Les caméras permettent de visionner la porte lors de sa manoeuvre mais ne peuvent pas et n'ont pas à avoir pour fonction de permettre à l'opérateur de contrÃŽler la position fermée de la porte. Cette fonction doit reposer sur un systÚme de contrÃŽle-commande performant et fiable. Toutefois, les caméras peuvent constituer le cas échéant une aide à la détection d'incident, ou comme avec le PAMPERO, une aide à la prise de conscience et à la compréhension en temps réel de l'accident. La note d'instruction interne de la CNR évoquée ci-avant indique que le systÚme vidéo fait partie intégrante du processus de conduite des écluses et qu'il permet, outre l'observation de la manoeuvre des bateaux, « de détecter un incident lors du cycle d'éclusage ainsi que des anomalies et dysfonctionnements des organes manoeuvrant ». Si la configuration d'affichage des images des caméras permet d'avoir une vue générale de l'écluse et que toutes les zones sont observables, la question est de savoir quelles zones sont observées et à quel moment. En pratique, il apparaît que la note met l'accent sur l'attention forte et continue à apporter à la surveillance du bateau et au suivi de ses manoeuvres, compte tenu des enjeux de sécurité liés aux navigants et des risques de dommages aux ouvrages. Sans sous-estimer les enjeux que revêt la surveillance en continu du bateau, le BEA-TT estime que les caméras gagneraient à être utilisées de maniÚre à pouvoir contribuer davantage à la détection d'incident de toute nature et à constituer un outil complémentaire, à visée informative, dans le cadre de la fonction de téléconduite. S'agissant des postes de travail conçus pour la double conduite, le rapport de l'AICPN évoqué ci-avant précise qu'un opérateur peut en principe exécuter en toute sécurité deux processus simultanés ou se chevauchant, à condition qu'une attention particuliÚre soit portée à un seul (sous) processus au cours des étapes critiques (par exemple : ouvrir ou fermer une porte d'écluse) et que l'opérateur ait le contrÃŽle de la vitesse de l'opération (l'opérateur décide si un deuxiÚme processus peut être exécuté). Rappelons qu'au moment de l'accident, l'opérateur du CGN n'avait que l'écluse de Sablons en conduite. En conclusion, le BEA-TT retient que la présence de bois aux abords des écluses peut constituer une situation à risque et invite la CNR à : Formaliser, avec le niveau de précision qu'il est raisonnable d'envisager, les consignes aux opérateurs de téléconduite sur la surveillance de la présence d'embâcles et de divers corps flottants aux abords des écluses et la maniÚre de gérer ces situations. Équiper l'écluse de Sablons de caméras de meilleure qualité et, s'agissant de la caméra visionnant l'aval de la porte aval, permettant de visionner sans angle mort l'espace de fermeture de la porte. Plus généralement, préciser les principes d'utilisation des caméras dans le contrÃŽle du bon déroulement des opérations, de façon cohérente avec les autres outils. Ceci peut impliquer une révision des plans et de la qualité des caméras, voire l'ajout éventuel de témoins visuels sur certains éléments mobiles. 100 5.7 - Les modalités d'amarrage du bateau L'amarrage du bateau lors d'un éclusage vise à maintenir sa stabilité et la sécurité de sa position et à éviter les chocs contre le génie civil ou les équipements de l'écluse. Les textes réglementaires rendent cet amarrage obligatoire et renvoient plutÃŽt aux bonnes pratiques quant à la maniÚre de procéder. En rÚgle générale, le bateau doit être amarré avec deux cordes, une retraite et une garde, l'une empêche le bateau d'avancer et l'autre l'empêche de reculer. Quant aux lieux d'attache des cordes, au niveau du bateau et de l'écluse, plusieurs techniques sont possibles en fonction notamment de la configuration du bateau, du nombre et de la disposition des bollards d'écluse disponibles. D'aprÚs les informations recueillies auprÚs des opérateurs du CGN, les pratiques d'amarrage sont assez diverses, selon les types de bateaux et les sociétés concernées, certains automoteurs utilisent parfois une seule corde d'amarrage. Au titre des bonnes pratiques, les opérateurs doivent avoir la confirmation par le navigant qu'il est amarré et le vérifier à l'aide des caméras. Lors de l'éclusage du PAMPERO, l'opérateur paraît avoir effectué cette vérification tardivement. AprÚs l'accident, la CNR a établi l'instruction suivante : « Le CGN ne lance pas l'éclusage tant qu'il n'a pas confirmation de la part du pilote de son bon amarrage et de l'arrêt de ses propulseurs ». Lors de l'accident, le PAMPERO était amarré avec deux amarres, placées à l'avant du bateau et rattachées à un bollard de l'écluse, le troisiÚme en partant de l'amont et situé en rive gauche. Les amarres étaient placées au niveau des bollards latéraux du bateau qui sont plus petits que les bollards situés à l'avant et à l'arriÚre. Cela peut s'expliquer par une plus grande facilité d'atteindre, à partir des bollards latéraux du bateau, le bollard d'écluse auquel s'arrimer. La société CFT Gaz a précisé que la manoeuvre avec les bollards de devant est plus risquée pour les matelots, car elle implique que ceux-ci doivent se pencher beaucoup plus pour atteindre le bollard de l'écluse. Représentation des deux amarres du bateau, telle qu'identifiée à partir des vidéos de l'éclusage Lors de l'accident et comme évoqué en 3.3.3, les amarres ont cassé rapidement, une fois que le sas a commencé à se vider précipitamment et aprÚs le brusque mouvement de recul et d'inclinaison du bateau que cela a induit. Elles ne sont pas conçues pour pouvoir résister à un telle situation. À titre de comparaison, le standard européen établissant les prescriptions techniques des bateaux de navigation intérieure (ES-TRIN) prévoit une charge de rupture minimale pour les câbles ou les cordes d'amarrage, qui est calculée en fonction des dimensions du bateau. Pour le PAMPERO, le calcul donne une valeur de 191 kN, soit 19 tonnes environ, ce qui fait peu pour pouvoir retenir un bateau aspiré par la vidange brutale du sas et comparé par exemple à son port en lourd (2 300 t). En conclusion, le BEA-TT ne formule pas de recommandation à ce sujet. 101 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Les principaux dégâts sur le bateau Annexe 3 : Le systÚme de contrÃŽle-commande de l'écluse de Sablons Annexe 4 : Le rapport d'analyse et les expertises de la CNR · L'analyse des temps de manoeuvre en fermeture de la porte · L'analyse des vidéos par méthode photogrammétrique · L'étude mécanique et cinématique de la porte en cas de blocage et le scénario de l'accident retenu par la CNR · L'expertise métallurgique des piÚces de fixation Annexe 5 : Schéma illustrant le positionnement de la position de la porte en cas de blocage Annexe 6 : Modélisation graphique d'analyse de l'accident établie avec le BARPI Annexe 7 : La directive sur les machines, les dispositions du Code des transports sur la sécurité des ouvrages de navigation · La directive européenne relative aux machines · Les dispositions relatives à la sécurité des infrastructures de transport 102 Annexe 1 : Décision d'ouverture d'enquête 103 Annexe 2 : Les principaux dégâts sur le bateau (extraits du document « scénario de réparation » établi par la société ECO pour CFT GAZ) Le navire est endommagé sur quatre zones 104 105 Annexe 3 : Le systÚme de contrÃŽle-commande de l'écluse de Sablons Le systÚme de contrÃŽle-commande de l'écluse de Sablons a été mis en service en mars 2011, suite à une rénovation de l'installation électrique et des automatismes. Il est composé : d'un automate dit APN (automate programmable normal), qui gÚre l'ensemble de la conduite des processus de l'écluse ; d'un automate dit CSU (chaîne de sécurité ultime) qui joue un rÃŽle de contrÃŽle encadrant et assure l'encadrement supplémentaire de la sécurité de fonctionnement. Les automates sont reliés à une interface opérateur (IHM), permettant à l'opérateur de disposer des données remontées par l'automate et d'envoyer à celui-ci des commandes. L'automate APN assure les fonctions suivantes : L'acquisition des données des capteurs. En plus des capteurs associés au treuil et à la position de la porte aval, tels que présentés ci-avant, figurent les capteurs dédiés à la porte amont, les capteurs de position des vannes du sas, qui sont, par sécurité, doublés pour chacune des quatre vannes, ainsi que les capteurs de mesure du niveau d'eau, à l'amont, à l'aval et à l'intérieur du sas, qui sont également doublés. Le contrÃŽle de cohérence des demandes de l'opérateur avec l'état de l'écluse . L'enchaînement des séquences de manoeuvre des organes et le pilotage de l'ensemble des actionneurs, tels que les freins et les moteurs. Les contrÃŽles de sécurité et les contrÃŽles de cohérence de la position des organes entre eux, via un certain nombre d'équations de défaut paramétrées dans l'automate et, en cas d'anomalie détectée, la génération de défauts qui arrêtent le processus. Les séquences sont traitées par l'automate sous forme de « grafcet19 », c'est-à-dire de graphique logique décrivant des étapes et où le passage d'une étape à la suivante est conditionné par des variables internes calculées dans l'automate. Celui-ci dispose ainsi de plusieurs graphes : cycle montant, cycle avalant, fermeture de la porte aval, remplissage, ouverture d'une vanne de remplissage, etc. L'automate surveille et peut donc générer différents types de défaut, en lien avec une anomalie de fonctionnement d'un organe ou du processus d'éclusage. Chaque défaut généré par l'automate est mémorisé et n'est acquittable que si ses conditions d'apparition ont disparu. Ils sont principalement de deux types : Les défauts non bloquants constituent des anomalies qui n'ont pas d'impact sur la sécurité du processus et qui sont à analyser par l'exploitant dans le cadre de ses missions de suivi d'exploitation. Les défauts bloquants arrêtent automatiquement le processus avec mise en sécurité de l'écluse, sans énergie électrique. L'automate de sécurité dispose de ses propres capteurs associés à la position des portes et des vannes ainsi qu'à la mesure des niveaux d'eau. Il réalise, avec ses capteurs, des contrÃŽles de sécurité et de cohérence relatifs aux organes, en nombre plus limité et donc indépendamment de ceux réalisés par l'automate de pilotage. Les deux automates assurent également une fonctionnalité d'actions sur les équipements électriques, et donc des motorisations des portes ou des vannes pour la mise en sécurité de l'écluse. 19 Graphe Fonctionnel de Commande des Étapes et Transitions 106 Annexe 4 : Le rapport d'analyse et les expertises de la CNR Dans le cadre de sa démarche d'analyse de l'accident, la CNR a mené des études approfondies et fait réaliser certaines expertises complémentaires. L'analyse des temps de manoeuvre en fermeture de la porte Une analyse détaillée des temps de manoeuvre de la porte a été conduite, à partir d'une décomposition basée sur le séquentiel de fermeture, illustré ci-aprÚs, et d'une comparaison avec les moyennes correspondantes, calculées sur les 3 616 fermetures réalisées durant la période comprise entre le 1.01.2019 et le 17.02.2020. Séquentiel du processus de fermeture de la porte (source CNR). La durée du séquentiel de fermeture a été de 127,6 secondes le jour de l'accident, soit 2 minutes et 7 secondes. La moyenne est de 116 secondes. Le temps de manoeuvre de la porte, compté entre l'étape de démarrage du moteur et l'activation des deux derniers capteurs de position fermée de la porte, soit, grosso modo, la durée du séquentiel sans compter l'étape initiale dénommée « étape -3 », a été de 114,1 secondes le jour de l'accident. La moyenne est de 101,6 secondes. Le temps de manoeuvre jusqu'à l'atteinte du capteur de ralentissement est dans la moyenne. L'écart entre le temps de fermeture lors de l'accident et la moyenne apparaît se situer au moment de l'atteinte des trois capteurs de position fermée de la porte, donc dans les derniers centimÚtres du déplacement : le capteur de l'automate de sécurité a été atteint 8 secondes aprÚs l'activation du capteur de ralentissement, contre 5 secondes en moyenne ; les deux capteurs de l'automate de pilotage ont été atteints 13 secondes aprÚs celui de l'automate de sécurité, contre 2,6 secondes en moyenne. 107 L'analyse des vidéos par méthode photogrammétrique L'analyse a été réalisée par la société SITES à partir des vidéos donnant une vue sur l'aval de la porte accidentée et sur le chariot, soit les deux caméras à partir desquelles sont extraites les illustrations figurant aux points 3.3.2 et 4.4 du présent rapport. Elle porte sur le déplacement et la position de la porte lors de l'éclusage du PAMPERO et par comparaison avec les 10 éclusages précédents et aboutit aux résultats ci-aprÚs. L'incertitude horizontale de la mesure est de l'ordre de 10 mm et en vertical de 20 mm. Éclusage précédent (sens de fermeture de la porte) Les résultats montrent que la porte était mal fermée lors de l'éclusage du PAMPERO. Ainsi, à la fin de sa fermeture et avant le remplissage du sas, le décalage, et donc le défaut de fermeture, était de 40 cm (+/-1cm) environ en direction de la rive gauche. Lors des 10 éclusages précédents, les décalages horizontaux sont de 1 cm maximum. Sur le plan vertical, le décalage de la porte sur son cÃŽté rive gauche était de 9 cm (± 2 cm) environ vers le haut. Sur son cÃŽté rive droite, le décalage vertical, et donc le soulÚvement de la porte, est inférieur à ce qui est observé en rive gauche, sans pouvoir le quantifier précisément. On peut supposer que la porte était plus élevée cÃŽté rive gauche que rive droite. Juste avant la rupture, la porte s'est décalée d'une quinzaine de cm supplémentaires vers la rive gauche, comme pour un mouvement d'ouverture, pour se retrouver in fine décalée de presque 60 cm sur le plan horizontal. Il apparaît donc que la porte devait être à peine insérée dans sa rainure en rive droite lorsqu'elle s'est fermée et ce d'autant moins au niveau de sa partie inférieure et que, juste avant sa rupture, elle a dû enregistrer un recul en direction de la rive gauche, ce qui la fait sortir complÚtement de sa rainure en rive droite. La CNR a identifié que le filet d'eau, qui se met en place entre les caissons B et C de la porte, illustré au point 3.3.2 du présent rapport, s'initie à 00h24min12sec et 384 milliÚmes et que l'élément C cÚde à 0 h 24 min 13 s et 184 milliÚmes, sachant que le caisson B n'est pratiquement pas visible lors de cette séquence. Le filet d'eau paraît donc s'être mis en place au moment où la porte s'est retrouvée complÚtement en dehors de la rainure, vu le décalage de 55 cm qui est alors mesuré. Les éléments se rapportant au chariot paraissent moins significatifs. 108 L'étude mécanique et cinématique de la porte en cas de blocage et le scénario de l'accident retenu par la CNR En termes de conception, il était considéré que l'ensemble formé par la porte, les brimbales et le chariot de manoeuvre était indéformable dans l'axe du mouvement de translation, autrement dit que les déplacements du chariot et de la porte sont identiques. Or, l'analyse de l'accident montre que le chariot a atteint une position correspondant à celle d'une porte fermée, sans que ce ne fut le cas pour ladite porte. « Afin d'expliquer ce phénomÚne qui contredit l'objectif de rigidité voulu par le concepteur », la CNR a étudié, avec l'appui d'une modélisation, comment se répartissent les efforts dans le systÚme de suspension de la porte, dans une configuration où : la porte est bloquée dans son avancement par un obstacle en partie inférieure, comme le serait un obstacle flottant ; ce dernier a été positionné au niveau haut du caisson B de la porte (ce qui correspond au niveau de l'eau au moment de la fermeture de la porte) ; « le systÚme de contrÃŽle de la charge du treuil n'est pas fonctionnel, le treuil étant alors capable de délivrer un effort supérieur à ce qui est nécessaire pour l'installation ». Si un obstacle s'oppose au mouvement de la porte, l'effort de blocage va être équilibré par le treuil qui applique alors un effort strictement opposé en partie haute de la porte. Les résultats indiquent qu'une valeur d'environ 58 kN au niveau du chariot représente la limite au-delà de laquelle les brimbales en Y, sur leur cÃŽté rive gauche, ne sont plus tendues et deviennent soumises à un effort de compression. Les brimbales étant trÚs élancées, elles sont sensibles au flambement 20 lorsqu'elles sont comprimées, rendant ainsi la position de la porte découplée de celle du chariot de manoeuvre. « Dans de tels cas, le contrÃŽle de la bonne position du chariot en fin de course ne permettrait a priori pas de garantir que la porte est fermée correctement ». L'analyse cinématique montre que dans une telle configuration, et pour que le chariot se retrouve in fine en position nominale de fermeture et avec une porte en retrait de 40 cm, cela implique que la porte effectue une légÚre rotation par rapport à la position verticale d'origine et donc que les différents caissons de la porte ne sont pas tous engagés de la même maniÚre dans la rainure en rive droite, l'écart entre le haut et le bas pouvant dépasser 10 cm. Des modÚles de calcul ont ensuite permis de déterminer que l'effort qu'il est nécessaire de délivrer au niveau du treuil pour placer la porte dans cette configuration pourrait s'élever à prÚs de 51 kN, et même un peu moins dans le cas où la porte serait bloquée par un obstacle situé au niveau de ses galets de guidage inférieurs. Il est donc compatible avec la capacité maximale du treuil, qui a été calculée à 52,1 kN à partir des caractéristiques du tambour, du moteur et du variateur, étant précisé que l'effort au treuil normalement nécessaire pour déplacer la porte est de 17,65 kN et que le câble de traction est surdimensionné d'un facteur 8. En synthÚse, la CNR indique que : « Les analyses précédentes montrent qu'un blocage de la porte, soit au niveau du plan d'eau aval, soit plus bas, associé à une défaillance du dispositif qui contrÃŽle l'effort délivré par le treuil, conduit à la perte du couplage rigide entre le chariot de manoeuvre et la porte, dans la direction de l'axe de translation rive gauche/ rive droite : le déplacement de la porte ne correspond plus au déplacement du chariot. 20 Cette notion s'applique généralement à des poutres élancées qui, lorsqu'elles sont soumises à un effort normal de compression, ont tendance à fléchir et se déformer. 109  Avec un chariot en position de fin de course nominale rive droite, la porte peut alors être trÚs faiblement engagée en partie supérieure, tout en n'étant pas engagée du tout en partie basse. Dans ces conditions d'appui dégradées pour laquelle la porte n'est pas dimensionnée, la porte ne peut pas supporter la poussée de l'eau et sa rupture en charge est alors inévitable ». La CNR retient ce scénario comme étant celui ayant causé l'accident et explique dans son rapport d'analyse l'enchaînement des phénomÚnes : « Le mauvais positionnement de la porte dans sa rainure, conduit à un mauvais alignement des lisses de la porte avec les piÚces fixes. Lors du remplissage du sas, ce mauvais alignement conduit à : une mauvaise reprise des efforts hydrostatique de la porte par les piÚces fixes situées en rive droite et en rive gauche ; un matage des boulons des lisses de l'élément C qui sont en face des piÚces fixes ; un matage par la lisse de l'élément A des piÚces fixes situées en rive droite ; une mauvaise étanchéité en rive droite et en rive gauche de la porte. Lors du remplissage, basé sur le principe de la genouillÚre, un effort rive-rive conduit à déplacer la porte vers le garage, ce qui conduit à la dégager des piÚces fixes. Sous l'effet de la charge hydrostatique non reprise par les piÚces fixes, les fixations des éléments de la porte (indexage & bretelles) rompent en rive droite. Puis, les éléments B et C s'articulent autour des piÚces fixes rive gauche du sas, ce qui conduit à les marquer à environ 1 m du bord. Ci-dessous, la position probable lors de la rupture de la porte ». Le rapport d'analyse de l'accident établi par la CNR présente de maniÚre détaillée les constats réalisés sur les éléments de la porte et sur le génie civil de l'écluse. La derniÚre étape du processus d'investigation a consisté pour la CNR à comparer les éléments du scénario issus de la modélisation et les désordres effectivement constatés. L'expertise métallurgique des piÚces de fixation Une expertise métallurgique des piÚces de fixation des éléments de liaison des quatre caissons de la porte a été réalisée par la société CETIM. Elle a permis d'approfondir les constats réalisés par la CNR et conclut : Sur l'ensemble des éléments examinés, aucun défaut de réalisation, sur les soudures notamment, et aucune anomalie sur les matériaux ayant pu avoir une influence sur l'occurrence et la manifestation de la défaillance n'a été décelé. Aucun signe de dégradation préliminaire à l'évÚnement pendant lequel la défaillance s'est manifestée et qui aurait pu concourir à celle-ci n'a été observé. En particulier, aucun caractÚre de rupture progressive par fatigue n'a été décelé. 110 Annexe 5 : Schéma sur le positionnement de la porte en cas de blocage Le BEA-TT a regardé, sur le plan géométrique, quel avait pu être le comportement de la porte, si celle-ci avait été bloquée dans son avancement par un obstacle positionné au niveau haut du caisson B de la porte, comme le serait un obstacle flottant. Le schéma illustratif correspondant est présenté ci-aprÚs, le schéma en premiÚre position illustrant la position d'une porte correctement fermée. Le positionnement réel de la porte au moment de l'accident n'est pas connu, ce schéma ne représente qu'une hypothÚse de blocage où l'obstacle est positionné en travers de la rainure en rive droite 111 Annexe 6 : Modélisation graphique d'analyse de l'accident du BARPI L'objectif poursuivi par le BARPI (Bureau d'analyse des risques et pollutions industrielles) est de capitaliser, analyser, partager l'ensemble du retour d'expérience tiré des événements industriels. Sa base de données ARIA (analyse, recherche et informations sur les accidents) couvre un large éventail d'événements survenus dans des secteurs d'activités aux spécificités trÚs différentes : www.aria.developpement-durable.gouv.fr. Le BARPI a développé une méthodologie d'analyse afin d'identifier les causes profondes d'un événement. L'investigation peut ainsi faire apparaître des perturbations (ou causes premiÚres) et des causes profondes. Les perturbations désignent les défaillances directes qui ont contribué à l'événement. Elles sont accessibles à l'observation. Les causes profondes, situées en amont des causes apparentes, sont des dysfonctionnements du systÚme socio-technique où s'est déroulé l'accident. Elles renvoient généralement à des dimensions relevant des facteurs humains et des dimensions organisationnelles et managériales pour lesquelles des actions pérennes doivent être engagées afin d'éviter la survenue d'un événement similaire. Conçue comme une boîte à outils simple, la méthodologie du BARPI a été développée pour apporter une vision synthétique de l'enchaînement causal : 112 113 Annexe 7 :La directive sur les machines, les dispositions du Code des transports sur la sécurité des ouvrages de navigation La directive européenne relative aux machines La directive 2006/42/CE du 17 mai 2006, dite « directive Machines », dont la premiÚre version date de 1989, constitue l'une des principales législations relatives à la sécurité des machines. Elle est devenue applicable fin 2009 et fait l'objet d'un guide d'application dont la derniÚre édition date de juin 2010. Elle vise à harmoniser les exigences de santé et de sécurité relatives aux machines au sein de l'union européenne. Elle a été transposée en droit français dans le Code du travail, à partir du décret n° 2008-1156 du 7 novembre 2008. D'aprÚs les articles R. 4311-1 et R. 4312-1 dudit code, les dispositions correspondantes s'appliquent aux machines neuves ou considérées comme neuves, c'est-à-dire n'ayant pas été effectivement utilisées dans un État membre. Elle définit une machine comme un ensemble équipé d'un systÚme d'entraînement et composé de piÚces ou d'organes liés entre eux, dont au moins un est mobile, et qui sont réunis de façon solidaire en vue d'une application définie. Elle implique de réaliser une démarche d'évaluation et de réduction des risques et de la documenter dans un dossier technique, qui doit démontrer que la machine est conforme aux exigences de la directive qui lui sont applicables et qui doit couvrir la conception, la fabrication et le fonctionnement de la machine. Au titre des mesures de contrÃŽle, le Code du travail indique que les ministres concernés, dont celui chargé de l'industrie, peuvent chacun en ce le concerne, demander communication de ce dossier technique. L'évaluation des risques repose sur l'identification des dangers potentiels générés par la machine ou par son utilisation et des situations dangereuses associées, pouvant porter atteinte à la sécurité des opérateurs et des autres personnes exposées. Elle prend en compte la gravité des dommages et la probabilité de survenue, étant précisé que, selon la directive, une faible probabilité d'occurrence peut cependant toujours engendrer un risque grave si des atteintes à la santé, graves ou mortelles, peuvent en résulter. La prise en compte du risque doit se faire en priorité au niveau de la conception, par des solutions améliorant la sécurité intrinsÚque et avec l'objectif de suppression du risque. Lorsque ce n'est pas possible ou s'il subsiste des risques résiduels, des protections techniques doivent être mis en oeuvre, par exemple : barriÚre matérielle, dispositifs de verrouillage, dispositifs permettant de compenser un manque de visibilité directe. Une information doit être réalisée à l'attention des personnes concernées vis-à-vis du danger et des risques résiduels, par exemple : signaux, indications, consignes d'utilisation. La directive précise que la premiÚre étape du processus d'évaluation des risques consiste à déterminer les limites de la machine en envisageant son usage normal et également tout mauvais usage raisonnablement prévisible. Les paramÚtres dont dépend l'utilisation sûre de la machine et leurs limites doivent être précisés. Des mesures doivent être prises pour empêcher l'usage anormal prévisible qui engendrerait un risque. La notice d'instruction de la machine doit préciser les limites aux conditions d'utilisation prises en compte dans l'évaluation des risques et dans la conception de la machine. Elle doit comprendre une description des opérations de réglage et d'entretien devant être effectuées avec leur fréquence, ainsi que la liste des éléments devant être réguliÚrement contrÃŽlés, avec la précision sur la nature des inspections ou essais nécessaires. Si la directive vise en premier lieu la sécurité des utilisateurs de machine et en particulier celle des travailleurs, du fait des risques de l'emploi de la machine sur le lieu de travail, il 114 est à noter qu'elle couvre également la sécurité des tiers, en visant, plus largement, à prévenir les risques pour toutes les personnes exposées. La définition du terme « personne exposée » lui donne un sens trÚs large. Le guide d'application précise par ailleurs que la directive s'applique aux machines utilisées par des travailleurs ainsi qu'à celles qui sont destinées à être utilisées par des consommateurs ou à fournir un service aux consommateurs. Dans le cas d'une écluse, il s'agit d'une situation encore plus évidente, puisque l'emploi de la machine est, dans sa zone d'usage, avec un tiers, qui est un naviguant. Le Cerema confirme qu'il est connu qu'une écluse est une machine au sens de la directive machine et plusieurs rapports de l'AIPCN abordent le sujet de la réalisation, pour les écluses, d'une évaluation des risques au sens de la directive. Celle-ci est différente d'une étude de danger au sens de la réglementation sur les ouvrages hydrauliques, même si les méthodologies peuvent être comparables. Elles n'ont pas le même objectif ni, sans doute, la même échelle de caractérisation de la gravité des risques. L'étude de danger paraît plus globale et est ciblée sur les risques aux ouvrages et d'inondation, tandis que la directive machine implique une étude de sécurité de l'ouvrage qui est plus détaillée et dans laquelle le risque pour les navigants qui empruntent l'écluse est au coeur de la réflexion. Les écluses qui ont été conçues antérieurement à la directive n'ont pas obligation de satisfaire à ses exigences, mais il est recommandé d'analyser leur fonctionnement au regard de cette directive. L'AICPN souligne que les propriétaires d'écluses doivent garder à l'esprit que l'objectif de la directive est de rendre les machines sécuritaires vis-à-vis des personnes concernées et que la réalisation d'une évaluation des risques sur les ouvrages pré-existants peut constituer une base pour des améliorations de sécurité. Réglementairement, la directive s'applique à la construction d'une nouvelle écluse, et également, d'aprÚs le guide d'application et les publications de l'AICPN, dans le cas de la reconstruction d'un équipement structurant et de modifications significatives apportées vis-à-vis d'un ouvrage existant ou ayant un impact substantiel sur le fonctionnement ou la sécurité de l'ensemble. Les dispositions relatives à la sécurité des infrastructures de transport La loi n° 2002-3, dite loi « SIST »21 a introduit des dispositions relatives à la sécurité des infrastructures et systÚmes de transport, qui ont été codifiées dans le Code de la voirie routiÚre, pour ce qui concerne la route et les tunnels, et dans le Code des transports, via les articles L. 1611-1 à L. 1614-3, qui concernent notamment les systÚmes de transport public guidé, ainsi que les ouvrages d'infrastructure de navigation intérieure ou portuaire « dont l'exploitation présente des risques particuliers pour la sécurité des personnes ». Les dispositions du Code des transports peuvent se résumer comme suit : Avant l'engagement des travaux de construction ou de modification substantielle d'un systÚme de transport ou d'un ouvrage d'infrastructure, le maître d'ouvrage doit adresser au représentant de l'État un dossier préliminaire accompagné d'un rapport sur la sécurité établi par un expert ou un organisme qualifié, agrée ; La mise en service de ces systÚmes ou ouvrages est subordonnée à une autorisation délivrée par le représentant de l'État, en fonction des garanties de sécurité offertes par leurs caractéristiques et leurs modalités d'exploitation. Cette autorisation vaut approbation des prescriptions d'exploitation qui sont établies par le maître d'ouvrage et 21 Loi du 3 janvier 2002 relative à la sécurité des infrastructures et systÚmes de transport, aux enquêtes techniques aprÚs évÚnements de mer, accident ou incident de transport terrestre ou aérien et au stockage souterrain de gaz naturel, d'hydrocarbures et de produits chimiques 115 qui comportent, au moins, un examen périodique de sécurité par un expert ou par un organisme qualifié, agréé. Ces principes généraux ont été déclinés dans la partie réglementaire du code, par les articles R. 1612-1 à R. 1614-1 et R. 5311-3 à R. 5311-9, pour ce qui concerne les systÚmes de transport guidé et les ouvrages d'infrastructure portuaire maritime. S'agissant des ouvrages d'infrastructure de navigation intérieure, un projet de décret avait été préparé, comme le prévoit le Code des transports, pour préciser les conditions d'application de ces dispositions générales et les catégories d'ouvrages concernés. Le BEA-TT a pu prendre connaissance de deux versions de ce projet, l'une établie en 2002 et l'autre en 2010, dont les éléments les plus saillants sont présentés ci-aprÚs. Il était ainsi prévu que soient concernés les écluses, du moins, selon les versions, celles à grand gabarit, les ascenseurs à bateau, les ponts mobiles et les tunnels de navigation, du moins ceux de 1000 m de long et plus, selon les versions. La premiÚre version apporte des précisions de fond, qui, pour certaines, relÚveraient sans doute davantage d'un arrêté plutÃŽt que d'un décret. Elle précise que l'ouvrage est à considérer avec tous les éléments concourant à son fonctionnement et présente les bases d'un dispositif d'agrément pour des experts ou organismes qualifiés. Comme la directive machine, elle énonce, pour la conception d'un nouvel ouvrage ou d'une modification substantielle apportée vis-à-vis d'un ouvrage existant, des principes d'exigences de sécurité et de réduction, autant que possible, des risques pour les usagers, les personnels et les tiers. La notion de modification substantielle, présentée dans la seconde version du projet de décret, paraît plus adaptée et proche de celle évoquée dans le cadre de la directive machine, mais mériterait d'être précisée. Elle précise que le dossier préliminaire de la sécurité correspondant, qui est à constituer par le maître d'ouvrage, doit montrer que le projet permet d'atteindre cet objectif de sécurité, à partir notamment des caractéristiques techniques et fonctionnelles de celui-ci et dans des conditions envisagées d'exploitation et de maintenance, et de prendre en compte les risques naturels et technologiques susceptibles d'affecter l'ouvrage. L'organisme extérieur agréé est chargé, sur la base de ce dossier préliminaire, d'assurer l'évaluation de la sécurité de l'ouvrage, ainsi que la vérification de ses capacités initiales et de leur maintien dans le temps au regard de l'objectif de sécurité. Il vérifie en particulier que la conception est conforme aux rÚglements existants et aux rÚgles de l'art. L'autorisation de mise en exploitation d'un nouvel ouvrage ou, aprÚs réalisation d'une modification substantielle, d'un ouvrage existant, est délivrée au vu d'un dossier de sécurité, établi par le maître d'ouvrage, comprenant par ailleurs un rÚglement de sécurité et de police de l'exploitation et un plan d'intervention de sécurité. Le projet de décret prévoyait que cette obligation d'autorisation s'applique également aux ouvrages existants, avec un délai pour une mise en conformité sur ce point. La durée de validité de celle-ci et l'intervention éventuelle de l'organisme extérieur agréé ne sont pas précisées. L'apport du projet de décret d'application de la loi SIST, par rapport à la directive machine, concerne les modalités de prise en compte des conditions d'exploitation et de maintenance de l'ouvrage au regard de l'objectif de sécurité, l'intervention d'un organisme extérieur agréé qui apporte un double regard et une évaluation vis-à-vis de la démarche du maître d'ouvrage, ainsi que l'applicabilité des dispositions aux ouvrages existants. 116 Bureau d'E nquêtes sur les Ac cidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  INVALIDE) (ATTENTION: OPTION acement du caisson qui lui est lié. Cela permet le plaquage successif des éléments lors du remplissage du sas ou, à la vidange du sas, le déplaquage successif des éléments, sans solliciter l'élément inférieur. Schéma illustratif de la rotation des bretelles source CNR 48 Disposées aux deux extrémités des faces de chaque élément de la porte, les lisses et les étanchéités14 (photo ci-avant) sont des piÚces verticales boulonnées sur l'élément et d'une longueur identique à sa hauteur. Lorsque le sas de l'écluse se remplit, avec la pression de l'eau, les quatre éléments de la porte viennent se plaquer les uns aprÚs les autres contre les rainures. Une marque d'oxydation formant une bande illustre l'emplacement des lisses lorsqu'elles sont en appui sur les rainures. Le document descriptif de la CNR relatif à la porte indique que les bretelles et indexeurs ne sont pas prévus pour reprendre la poussée hydrostatique et que ce sont les lisses d'appui qui reprennent cette poussée et la transfÚrent au génie civil. Ce document indique que, en fonctionnement normal, lorsque la porte est fermée, elle est centrée par rapport au sas, selon le plan suivant, correspondant au plan d'ensemble de l'élément A dans le génie civil. Rive droite AVAL Rive gauche SAS La largeur de la porte est de 13,10 m, élément A nu sans ses équipements. La largeur du caisson A, avec ses 2 boucliers-chasse-boue de chaque cÃŽté, est de 14,85 m. La largeur du sas est de 12,10 m. Donc, lorsqu'elle est centrée par rapport au sas, la porte rentre de 50 cm dans la rainure en rive droite et dans la rainure de son garage. Les éléments équipant en bas le caisson A rentrent alors, en moyenne, de 87,50 cm dans chacune de ces rainures. Les lisses de la porte sont alors à l'intérieur des rainures à 40 cm du bord du sas. Il est à noter que les quatre caissons de la porte se remplissent d'eau au fur et à mesure du remplissage du sas et que lorsque celui-ci est rempli, la porte est immergée. Le document descriptif de la CNR indique par ailleurs que chaque inter-caisson est rendu étanche par des joints de section rectangulaire. 14 en néoprÚne ­ caoutchouc rigide et résistant utilisé notamment pour la confection de joints étanches 49 4.2 - Les éléments concourant au déplacement de la porte 4.2.1 - Le chariot de manoeuvre et les brimbales Le systÚme de chariot est constitué d'un « grand » chariot à deux traverses et d'un « petit » chariot à une seule, qui sont accouplés de façon rigide, reliés entre eux par un attelage, et comprenant chacun 4 galets de roulage munis de joues. Il fait un peu plus de 10 m de longueur et circule sur des rails espacés de 2,70 m. Le grand chariot, situé en rive gauche, est le chariot moteur. Il dispose à l'arriÚre de deux poulies dans lesquelles viennent passer les câbles permettant d'entraîner le systÚme. Deux brimbales amont et aval relient chaque chariot à la porte. Elles sont fixées en 4 points sur l'élément supérieur (D) de la porte. Elles ont une forme de lame droite, d'un peu plus de 6 m de long, pour le petit chariot et une forme de Y pour le grand chariot. Les liaisons brimbales / chariots et brimbales / porte sont du type chape et axe rotulé. La porte est suspendue aux chariots et ne repose pas sur le sol. Les galets de translation des chariots ainsi que les brimbales reprennent le poids de la porte, soit 90 tonnes. Suspension de la porte au chariot, ci-dessus Vue du chariot depuis la rive droite aval, ci-dessus, Attache des brimbales sur la porte, ci-dessous et depuis la rive gauche amont, ci-dessous (photos CNR) 50 4.2.2 - Le treuil, les capteurs associés et le variateur Le chariot est relié à un treuil par deux câbles, l'un qui agit dans le sens de l'ouverture de la porte et l'autre qui agit dans le sens de sa fermeture. Schéma de principe du câble ouverture et du câble fermeture source CNR Vue depuis l'aval du treuil de manoeuvre en rive gauche du garage de la porte. Photo CNR. Le câble s'enroule sur le tambour. L'axe du tambour est relié à un frein à mâchoires et à un moteur électrique, alimenté par un variateur de vitesse. Le treuil est équipé : ­ d'une protection mécanique de surcharge ; ­ et, via le variateur, d'une protection électrique de surcharge correspondant à une protection thermique du moteur. La protection de surcharge mécanique du treuil. Photo CNR et photo de l'huissier de justice. Le treuil est équipé de deux capteurs de surcharge, un pour chaque câble et donc chaque sens de manoeuvre de la porte, qui délivrent une information « tout ou rien ». Ces capteurs sont activés par un bras de levier et un ressort fixés au niveau du tambour du câble : les efforts de couple sur le treuil se transmettent sur ce bras qui est équilibré par la compression du ressort. Le frein à mâchoires est commandé électriquement. Sans énergie électrique, le frein est serré. Il est équipé d'un capteur de fin de course de position, activé lorsque le frein est fermé, et illustré sur la photo ci-contre (source CNR). Les deux informations, frein ouvert ou frein fermé, sont fournies à l'automate par ce même capteur, cela revient à dire que le capteur est en position 0 (frein non activé) ou 1 (frein activé). 51 Sous le contrÃŽle de l'automate, le frein à mâchoire et le moteur du treuil sont commandés par un variateur de fréquence. Frein et moteur sont tous deux alimentés depuis un tableau général basse tension dit « armoire force motrice ». L'écluse de Sablons est équipée de deux variateurs, modÚle Altivar 71 de la marque Schneider electric, installés dans l'usine attenante. Un seul variateur est actif et est utilisé pour piloter les deux portes de l'écluse, une rotation entre les deux est effectuée en cours d'année ou chaque année. Le variateur permet notamment de faire varier la vitesse du moteur et donc la vitesse de déplacement de la porte. Il génÚre principalement deux vitesses de consigne : une petite vitesse (10,2 Hz) servant au début et à la fin de manoeuvre de la porte ; une vitesse normale (50,2 Hz) utilisée en dehors des zones de petite vitesse, c'est-à-dire en dehors des temps de démarrage et de ralentissement ; ua rampe d'accélération est de 0 à 50,2 Hz en 3,2 s ; ua rampe de décélération de 50,2 à 10,2 Hz se fait en 3,2 s. 4.2.3 - Les capteurs de position de la porte La porte aval de l'écluse de Sablons fait l'objet de 12 capteurs de fin de course de position de la porte, soit 6 dédiés à la manoeuvre d'ouverture de la porte et 6 autres dédiés à la manoeuvre de fermeture, ce qui donne pour ce sens : 1 capteur de « ralentissement de la porte », à partir duquel se déclenche le passage de la vitesse normale à la petite vitesse de déplacement de la porte ; 3 capteurs de contrÃŽle de la position « porte fermée », dont 2 sont rattachés à l'automate de pilotage (APN) et l'autre est rattaché à l'automate de sécurité (CSU) ; 2 capteurs « surcourse », soit un pour chacun des automates susmentionnés, destinés à apporter une sécurité supplémentaire, dans le cas où, aprÚs avoir atteint sa position « porte fermée », la porte ne s'arrêterait pas. Si l'un de ces capteurs est activé, cela constitue un défaut et arrête le processus. Ces capteurs de fin de course sont fixés sur des glissiÚres, positionnées de part et d'autre des rails du chariot de manoeuvre et situées à l'extrémité : du sas de l'écluse, en rive droite, pour ce qui concerne la fermeture de la porte ; du garage de la porte, en rive gauche, pour ce qui concerne l'ouverture de la porte. Il s'agit de capteurs à croix, à basculement mécanique, dont l'axe de rotation est vertical, qui délivrent une information « tout ou rien », soit activé ou non activé. Ils sont actionnés mécaniquement par le chariot de translation de la porte, à partir de tiges métalliques verticales dénommées « doigts » fixées sur le dessus du chariot. Ces capteurs permettent donc de détecter la position extrême du chariot de manoeuvre auquel la porte est suspendue, ce qui revient à détecter, de maniÚre indirecte, la position de la porte, compte tenu du principe selon lequel le mouvement de la porte suit celui du chariot. 52 Les capteurs de fin de course, en rive droite, qui étaient en service au moment de l'accident Capteurs fermeture Brimbales « Doigt » amont du petit chariot 53 Chariot de manoeuvre qui est en position extrême en rive droite, correspondant à une position de porte fermée : le petit chariot se situe au droit des capteurs de fin de course. Rive droite amont - 3 capteurs neufs installés suite à l'accident : 1 capteur ralentissement (APN) 1 capteur porte fermé (CSU) 1 capteur surcourse (CSU) Rive droite aval 3 capteurs neufs, installés suite à l'accident : 2 capteurs porte fermée (APN) 1 capteur surcourse (APN) Vue sur le petit chariot, remis à neuf, qui active les 2 capteurs porte fermée avec son « doigt » aval Un capteur de position analogique fournit une information complémentaire sur la position du chariot de manoeuvre. Installé sur le cÃŽté rive gauche, il consiste en la lecture d'une cible fixée sur le chariot. Ce capteur n'est pas utilisé en tant que contrÃŽle de position et ne 54 participe pas au processus de manoeuvre de la porte. Il est principalement utilisé pour animer l'écran de supervision et permettre de visualiser l'avancée du processus. Récapitulatif du mécanisme de fermeture de la porte La porte se déplace en petite vitesse quand elle commence à se mettre en mouvement dans la rainure rive gauche du garage puis quand elle s'insÚre dans la rainure en rive droite. Elle se déplace à la vitesse nominale entre ces deux phases. Le processus commence par la mise en service du systÚme d'entraînement. Le moteur est mis sous tension, le variateur commence à appliquer une intensité qui crée un couple sur le moteur. Puis, sur commande du variateur, le frein se desserre tout en désactivant le capteur de fin de course correspondant. Le moteur accélÚre et met en mouvement le chariot tracteur ; La porte démarre en petite vitesse puis atteint sa vitesse nominale de déplacement aprÚs 3,2 secondes et aprÚs la désactivation des capteurs de fin de course (porte ouverte et ralentissement) associés à l'ouverture de la porte. La porte se déplace à la vitesse nominale jusqu'au début de la décélération. Lorsque le chariot franchit le capteur « ralentissement », l'entraînement décélÚre le mouvement de la porte en 3,2 secondes. Puis le chariot se déplace en petite vitesse, puis finit par atteindre le capteur « porte fermée » de l'automate de sécurité, puis les deux capteurs « porte fermée » de l'automate de pilotage. DÚs que ces derniers sont actionnés, le variateur arrête le moteur, le chariot s'arrête et le frein se referme tout en activant le capteur de fin de course correspondant. La porte est alors fermée, c'est-à-dire centrée par rapport à l'axe du sas, elle est alors insérée de 50 cm dans chacune de ses rainures, en rive droite et en rive gauche. Schéma récapitulatif 55 4.3 - Présentation du systÚme de contrÃŽle-commande 4.3.1 - Les principales caractéristiques Le systÚme de contrÃŽle-commande de l'écluse de Sablons a été mis en service en mars 2011, suite à une rénovation de l'installation électrique et des automatismes. Il est composé : d'un automate dit APN (automate programmable normal), qui gÚre l'ensemble de la conduite des processus de l'écluse ; d'un automate dit CSU (chaîne de sécurité ultime) qui joue un rÃŽle de contrÃŽle encadrant et dispose de ses propres capteurs. l'enchaînement des séquences de manoeuvre des organes et le pilotage de l'ensemble des actionneurs, tels que les freins et les moteurs ; les contrÃŽles de sécurité et les contrÃŽles de cohérence de la position des organes entre eux, via un certain nombre d'équations de défaut paramétrées dans l'automate. L'automate APN assure notamment : Une présentation plus détaillée figure en annexe 3. L'automate surveille et peut donc générer différents types de défaut, en lien avec une anomalie de fonctionnement d'un organe ou du processus d'éclusage. Plus d'une trentaine sont paramétrés en lien avec la porte aval de l'écluse, tels que : des défauts généraux : défauts électriques, mesures de niveaux d'eau ; des défauts d'interverrouillage : l'automate surveille que la position des autres organes est cohérente avec le mouvement ou avec la position de l'organe piloté ; des défauts « propres » à l'organe. Dans cette derniÚre catégorie figurent des défauts surveillés à partir des capteurs de fin de course associés à la porte. Par exemple, l'automate surveille en permanence la cohérence des informations données par ces capteurs les uns par rapport aux autres et effectue des contrÃŽles de temporisation à partir de variables calculées, tels que : « fins de course non atteints ensemble » : pour la position « porte fermée » ou « porte ouverte », qui est détectée à partir de deux capteurs distincts, l'automate lance une temporisation lorsque le premier capteur est atteint et génÚre un défaut si le second capteur n'est pas atteint au bout de la temporisation ; « temps trop long d'exécution » (TTLE) : surveillance du temps de manoeuvre de la porte et génération d'un défaut si ce temps est trop long. les défauts associés aux capteurs équipant le treuil : en cas de détection d'une surcharge mécanique ou d'une incohérence de position du frein ; les défauts ayant pour origine le variateur. Fonctionnant comme un mini programme, plusieurs types de défauts peuvent être paramétrés à son niveau, dont celui associé à la protection thermique du moteur. Cette protection consiste à limiter l'intensité du courant pour protéger le moteur de la surchauffe. En cas de défaut détecté au niveau du variateur, celui-ci transmet de maniÚre générique un « défaut variateur » à l'automate, défaut qui regroupe un ensemble de défauts paramétrés dans le variateur. Les défauts qualifiés de bloquants arrêtent automatiquement le processus avec mise en sécurité de l'écluse, sans énergie électrique. C'est le cas des exemples ci-avant. 56 Figurent également : 4.3.2 - L'interface avec l'opérateur et le rÃŽle de celui-ci Comme indiqué en 2.6.3, l'interface homme machine (IHM) comprend un écran relatif aux défauts consignés par l'automate et un écran de commande et de suivi de processus. Ce deuxiÚme écran permet à l'opérateur de lancer des commandes de manoeuvres d'éclusage grâce à un ensemble de touches de fonctions : Cycle montant / Cycle avalant / Commande / Arrêt. L'éclusage d'un bateau montant comprend 3 étapes de cycle : fermeture de la porte aval, remplissage du sas, ouverture de la porte amont. La conduite de l'écluse est réalisée dans un mode dit « pas à pas », impliquant pour chaque étape, une commande par l'opérateur ainsi que des vérifications et une validation par l'automate. La touche Arrêt est l'une des possibilités d'arrêter un processus en cours, les autres étant le bouton poussoir évoqué en 2.6.3 et un bouton d'arrêt d'urgence, encore davantage sécurisé, présent dans la salle du CGN. Cet écran permet également de visualiser sous la forme de synoptique la position des portes et des vannes et l'avancée du processus. Les variables de synthÚse animant ces vues sont créées par l'automate à partir des capteurs de position. La CNR a établi une note à destination du BEA-TT qui présente les consignes aux chargés de conduite en cas de défaut détecté par l'automatisme. Les défauts non bloquants n'appellent pas d'action immédiate de la part des opérateurs. Ils sont pour la plupart acquittables par les opérateurs et ceux-ci procÚdent en pratique à un acquittement, afin de « nettoyer » la page « défauts » de l'IHM. Les défauts bloquants provoquent l'arrêt du processus d'éclusage en cours et font retomber tous les ordres de manoeuvre. Certains de ces défauts ne peuvent être acquittés que par le personnel d'exploitation du site et nécessitent alors son intervention avant tout autre commande sur les organes. D'autres peuvent être acquittés par le chargé de conduite de l'écluse qui peut dÚs lors relancer une manoeuvre aprÚs l'analyse du défaut. Conformément à la note CNR, et si ce dernier se répÚte aprÚs un deuxiÚme acquittement, l'opérateur, en lien avec le chef de salle du CGN, sollicite l'exploitant pour analyse et/ou intervention. 57 4.4 - Les données enregistrées par les systÚmes lors de l'accident D'aprÚs les données des capteurs de niveau d'eau, le remplissage du sas lors de l'éclusage du PAMPERO paraît s'être effectué normalement jusqu'à la rupture de la porte. Lors de l'éclusage précédent, l'eau dans le sas est montée d'environ 12 m, étant rappelé que le sas est au niveau aval quand le bateau montant pénÚtre à l'intérieur. Le rythme de remplissage lors de l'éclusage du PAMPERO est similaire à celui de l'éclusage précédent jusqu'au moment où la porte cÚde. L'eau dans le sas était alors montée d'environ 8 m et devait donc atteindre au moins les 2/3 de la hauteur du caisson D de la porte. AprÚs la rupture de la porte, le niveau d'eau a ensuite baissé brutalement. La CNR a adressé au BEA-TT la consignation d'état, c'est-à-dire le séquençage des messages et des défauts de l'automate relatifs à l'éclusage précédent et à l'éclusage du PAMPERO. Pour ce dernier, un extrait figure ci-aprÚs et comporte, en derniÚre colonne, quelques décryptages ou précisions supplémentaires apportés par la CNR. L'analyse des données correspondantes peut être effectuée notamment en faisant le lien avec les séquences vidéos. En complément à celles présentées en partie 3.3. il est possible également de s'appuyer sur une autre caméra, celle qui fournit une vue sur la derniÚre partie du déplacement du chariot de manoeuvre de la porte. Elle fournit une vue sur l'extrémité de l'assemblage et le petit chariot, ce dernier ayant notamment pour fonction d'actionner les capteurs de fins de course associés à la fermeture de la porte. Correspondance entre la position du vantail de la porte et la position du chariot Lors de la fin de la manoeuvre de fermeture de la porte, le déplacement du chariot paraît se passer normalement, aucune différence ne paraît perceptible avec ce qui peut être visionné lors de l'éclusage précédent. Voir photo ci-aprÚs. L'enregistrement vidéo permet également d'observer que le chariot enregistre : un léger recul en direction de la rive gauche puis une secousse et un léger soulÚvement, au moment où l'élément C de la porte cÚde ou juste avant ; puis, des secousses plus importantes, qui le font décoller des rails puis y retomber, lors de la séquence où le bateau percute et emporte l'élément D de la porte. Un extrait de la consignation d'état relative à l'éclusage du PAMPERO figure ci-aprÚs (pour mémoire, Fdc est l'abrégé de fin de course). Le BEA-TT a également analysé les états se rapportant à l'éclusage précédent, ceux-ci n'indiquaient rien d'anormal. 58 HEURES 00:24:54.000 00:24:53.600 00:24:53.500 00:24:53.500 00:24:53.400 00:24:53.000 00:24:52.600 00:24:52.500 00:24:52.500 00:24:52.200 00:24:51.500 00:24:51.500 00:24:50.500 00:24:50.500 00:24:45.500 00:24:45.500 00:24:44.500 00:24:44.500 00:24:44.500 00:24:44.500 00:24:43.500 00:24:43.500 00:24:40.400 00:24:35.800 00:24:35.600 00:24:35.600 00:24:35.500 00:24:34.600 00:24:34.600 SRCE APN CSU APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN APN CSU CSU APN APN CSU DOM Détecteur Sas Niveaux Ecluse Détecteur Détecteur Détecteur Niveaux Ecluse Détecteur Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Détecteur Détecteur Sas Niveaux Sas PV Niveaux LIBELLE Bouch. Av - Détection passage bateau à l'amont Sas - Déf. sens de variation niveau chaine CSU remplissage Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Bouch. Av - Détection passage bateau à l'amont Bouch. Av - Détection passage bateau à l'amont Sas - Déf. sens de variation niveau chaine CSU remplissage Aval - Défaut gradient niveau Chaine CSU Sas - Déf. sens de variation niveau chaine 2 remplissage PV - Incohérence sur les FdC Aval - Défaut gradient niveau Chaine CSU ETAT DIS DIS DIS DIS APP DIS APP APP APP DIS DIS DIS APP APP DIS DIS DIS DIS APP APP APP APP APP DIS APP DIS APP DIS APP Commentaires CNR Detection de la sortie complÚte du bateau de la bouchure aval Detection de la vidange du SAS via la CSU Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau Défauts des niveaux aval Detection de la sortie de la bouchure aval du bateau 00:24:34.500 00:24:34.500 00:24:33.800 00:24:27.500 00:24:27.500 00:24:27.500 00:24:27.500 00:24:26.500 00:24:26.500 00:24:26.500 00:24:26.500 00:24:23.400 00:24:22.600 00:24:22.500 00:24:22.400 00:24:21.500 00:24:21.500 00:24:21.500 00:24:21.500 00:24:20.800 00:24:20.800 00:24:20.800 00:24:20.600 00:24:20.600 00:24:20.500 00:24:20.500 00:24:20.500 00:24:20.500 00:24:14.300 APN APN APN APN APN APN APN APN APN APN APN CSU CSU CSU CSU APN APN APN APN APN APN APN APN APN APN APN APN APN APN PV Sas Détecteur Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux Ecluse Niveaux DGE DGE Niveaux Niveaux Ecluse Niveaux Ecluse DGE CGS CGE Ecluse Sas Niveaux Ecluse Niveaux Ecluse Sas PV - Incohérence sur les FdC Sas - Déf. sens de variation niveau chaine 1 remplissage Bouch. Av - Détection passage bateau à l'amont Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine CSU DGE - Déclenchement par CSU DGE - Déclenchement par CSU Aval - Défaut gradient niveau Chaine CSU Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée DGE - Ouvert CGS - Ouvert CGE - Ouvert Cycle montant sélectionné Sas - Remplissage Aval - Défaut gradient niveau Chaine 1 Chaine 1 niveau non OK et sélectionnée Aval - Défaut gradient niveau Chaine 2 Chaine 2 niveau non OK et sélectionnée Sas - Remplissage 00:24:13.800 00:18:26.500 00:18:26.500 APN Sas APN Sas APN Ecluse Sas - Remplissage Sas - Remplissage Commande cycle 00:18:16.100 APN PV PV - En manoeuvre fermeture Detection de la vidange du SAS de la CSU Défauts des niveaux aval Detection de la vidange du SAS de l'APN Défauts d'incoherence sur les fdc Défauts des niveaux aval Détection de l'incohérence des FdC. Suspicion de perte fugitive d'un ou de plusieurs capteurs APN "FdC fermé", "FdC ouvert", "FdC ralentissement fermeture", "FdC ralentissement ouverture". Etant fugitif le changement d'état des APP capteurs n'a pas été enregistré. APP Detection de la vidange du SAS de l'APN APP Detection de la sortie de la bouchure aval du bateau DIS DIS DIS DIS APP Défauts des niveaux aval APP APP APP DIS DIS Déclenchement du DGE par la CSU APP APP DIS DIS Défauts des niveaux aval DIS DIS DEB Ouverture DGE CGS et CGE par l'APN (actions sur les équipements DEB électriques - contacteurs de sécurité - pour mise en sécurité) DEB FIN Fin du cycle FIN Fin du remplissage du SAS APP APP Défauts des niveaux aval APP APP DEB Reprise du remplissage du SAS Fin du remplissage du SAS Suspicion perte fugitive de un ou deux capteurs APN "FdC fermé" conditionnant la position fermée de la porte aval (vibration suite au détachement du 1er caisson). Etant fugitif le changement d'état des FIN capteurs n'a pas été enregistré. DEB Demarrage du remplissage du SAS Enclenchement de la commande du pas "remplissage SAS" depuis le DEB poste opérateur du CGN Porte Aval detectée fermée: 00:18:04 le capteur CSU "FdC fermé" bascule de 0 à 1 FIN 00:18:17 les 2 capteurs (APN) "fdc PV fermé" basculent de 0 à 1. Demarrage de la sequénce de fermeture de la porte aval. 00:16:28 les 2 capteurs "FdC ouvert" basculent de 1 à 0 00:16:28 le capteur CSU "FdC ouvert" bascule de 1 à 0 00:17:56 le capteur APN "ralentissement fermeture" bascule de 0 à 1 Enclenchement de la commande du pas "fermeture porte aval" depuis le poste opérateur du CGN Cycle montant selectionné depuis le poste opérateur du CGN Cycle montant proposé Mode de conduite PAS A PAS depuis le CGN 00:16:09.300 00:16:09.000 00:16:02.300 00:16:02.300 00:15:55.000 APN PV APN APN APN APN Ecluse Ecluse Ecluse Feux PV - En manoeuvre fermeture Commande cycle Cycle montant sélectionné Début de cycle montant LVE - Feu au rouge DEB DEB DEB DEB DEB 59 La consignation d'état montre que les premiers défauts détectés par l'automate interviennent quelques secondes aprÚs la rupture de la porte, qui s'est produite à 0 h 24 min 13 s d'aprÚs les séquences vidéos. Ils se rapportent à un problÚme de niveau d'eau à l'aval, probablement en lien avec la vidange du sas consécutive à la rupture de la porte. Une grande partie des défauts détectés ensuite par l'automate sont relatifs à ces mêmes phénomÚnes. Quelques autres défauts sont en lien avec la détection du bateau en train de sortir du sas. L'écluse est équipée en amont de la porte aval d'un dispositif radar de détection de bateaux, qui est destiné à éviter une manoeuvre de fermeture de la porte alors qu'un bateau se trouverait au droit de celle-ci. Le libellé « Bouch. Av - Détection passage bateau à l'amont » correspond aux détections par le radar du passage du PAMPERO lorsqu'il sort de l'écluse. Les séquences vidéos ont montré que le bateau a commencé à sortir du sas à 0 h 24 min 35 s pour finir de le quitter prÚs de 20 secondes plus tard. Le défaut d'incohérence sur les capteurs de fin de course détecté par l'automate à 0 h 24 min 34 s paraît être en lien avec les secousses subies par le chariot de manoeuvre lors de la séquence où le bateau heurte et emporte le caisson D de la porte. Au moment où la porte cÚde, on peut voir que l'automate consigne une « fin du remplissage du sas », puis une reprise du remplissage, avant de se mettre en défaut quelques secondes plus tard. Il s'agit en fait d'une fin d'action de remplissage et non pas la signification que le sas a fini d'être rempli. La CNR explique que cette fin d'action a certainement été déclenchée par la désactivation fugitive de l'un ou des deux capteurs de position fermée de la porte, en raison par exemple des vibrations induites par la rupture de la porte, ou encore de la secousse subie par le chariot lors de cette séquence. Mais il ne paraît pas tout à fait normal en termes de sécurité qu'une reprise de l'action de remplissage s'en soit alors suivie et donc que cette désactivation, même fugitive, n'ait pas entraîné un arrêt du processus. La CNR a, depuis, apporté une modification au niveau de la programmation de l'automate afin que le défaut d'interverrouillage « porte aval non fermée » agisse également en dehors de la phase de manoeuvre des vannes de remplissage. Le défaut était conditionné par la commande des vannes, il n'a donc pas agi au moment de l'accident pour arrêter le cycle, car les vannes, alors grandes ouvertes, n'étaient pas en train d'être manoeuvrées. Les équations correspondant aux autres défauts d'interverrouillage ont également été modifiées sur le même principe. L'action de remplissage du sas s'est donc interrompue au bout de prÚs de 6 minutes aprÚs son commencement. Elle a duré presque 9 minutes lors de l'éclusage précédent. La porte a été détectée fermée par l'automate à 0 h 18 min 17 s, c'est-à-dire lorsque les deux capteurs de position fermée de la porte de l'automate de pilotage ont été activés. Leur activation est intervenue 13 secondes aprÚs celle du capteur similaire de l'automate de sécurité, ce qui paraît long, et 21 secondes aprÚs celle du capteur déclenchant le ralentissement de la porte. Ci-contre, l'enregistrement de la caméra donnant la vue sur le chariot au moment de la fin de la manoeuvre de fermeture de la porte. 60 La durée de l'étape de fermeture de la porte, consignée par l'automate, est de 2 minutes et 7 secondes. Elle a été de 1 minute et 54 secondes lors de l'éclusage précédent. Pour information, la durée totale du cycle lors de l'éclusage précédent a été de 15 minutes environ. La CNR a établi, rapidement aprÚs l'accident, une revue des programmes des automates de l'écluse, où chaque équation de défaut et le séquentiel du processus sont analysés, ainsi que le listing chronologique des évÚnements consignés par l'automate lors de l'éclusage du PAMPERO. Elle souligne la piste de progrÚs évoquée ci-avant concernant certains défauts d'interverrouillage et conclut que le comportement des automates a été conforme aux attendus. Le BEA-TT a analysé l'ensemble des documents relatifs aux automates qui lui ont été adressés par la CNR et n'a pas de remarque complémentaire à formuler. Il a disposé également du constat des relevés d'informations des variateurs équipant l'écluse, qui a été établi aprÚs l'accident par l'huissier de justice mandaté par la CNR. L'huissier consigne que les variateurs de cette génération, modÚle Altivar 71 fabriqués en 2011, ne contiennent pas de fonction d'horodatage. Ils permettent de recenser les 8 derniers défauts qui sont apparus et de connaître à quelle heure de fonctionnement du variateur est apparu le défaut. S'agissant du variateur qui était en activité au moment de l'accident, la durée de fonctionnement est de 2123 heures et le dernier défaut enregistré s'est produit à la 1884e heure de fonctionnement, soit 239 heures avant la fin du fonctionnement enregistré du variateur. Le même type de relevé a été effectué pour le second variateur. Aucun défaut n'est donc apparu au niveau du variateur lors de l'éclusage du PAMPERO, ce qui est cohérent avec l'absence de défauts « variateur » consignés par l'automate. On peut noter par ailleurs que parmi les 8 derniers défauts apparus, 3 de ces défauts pour un variateur et 4 pour l'autre, concernent une « surcharge moteur », en lien avec la protection thermique du moteur. 61 4.5 - Les constats sur les piÚces de la porte et de l'écluse 4.5.1 - Les constats immédiats aprÚs l'accident et le chariot de manoeuvre Les photos ci-aprÚs ont été réalisées par la DREAL le lendemain de l'accident, soit avant le démontage de certaines piÚces et la mise hors d'eau du sas de l'écluse. Rappelons que le dispositif est composé d'un petit chariot et d'un grand chariot reliés par un treillis de liaison. Aux chariots sont reliés par l'intermédiaire de chapes des brimbales, qui sont de grandes piÚces métalliques en forme de lame, auxquelles la porte est suspendue. Ci-dessous - Vue de l'emplacement de la porte depuis la rive gauche : la porte est absente, elle a été détruite lors de l'accident. En fait et comme illustré en 4.5.2, le caisson A de la porte est resté en place, il est immergé donc non visible. Ci-contre ­ zoom sur le grand chariot : celui-ci est déraillé. 62 On constate une cassure au niveau du support de roulement amont rive droite du petit chariot. La DREAL indique que l'assemblage constitué des deux chariot de manoeuvre de la porte est déformé. Les deux brimbales assurant la liaison entre la porte et le petit chariot sont restées suspendues à ce dernier. Il en est de même des deux brimbales reliées au grand chariot (photo ci-avant). La DREAL indique qu'elles sont déformées. Pour rappel, les deux premiÚres sont en forme de I et les deux autres sont en forme de Y. Le petit chariot paraît positionné au droit des capteurs de fin de course, il semble être dans une position correspondant à un état de porte fermée, ce que la CNR a confirmé (voir ci-aprÚs). Reste de corde d'amarrage du bateau sur le bollard n° 3 (le 3e en partant de l'amont) de l'écluse situé en rive gauche 63 AprÚs l'accident, les brimbales et les chariots ont été démontés et évacués. L'huissier a constaté que le petit chariot a subi des déformations et des dégâts visibles, tels que la cassure d'un support de roulement illustrée ci-avant, et que les phénomÚnes sont moins visibles pour le grand chariot. Les poulies guides câbles spécifiques à ce dernier et utiles pour le déplacement de l'ensemble, ne sont pas visuellement abîmées. La CNR a indiqué que, aprÚs l'accident, le chariot de manoeuvre a été retrouvé dans une position correspondant à un état de porte fermée, le câble de traction était en place. Elle a effectué le repérage au sol de la position des roues de chacun des deux chariots avant leur dépose et a effectué un relevé des cotes correspondantes. Les photos ci-aprÚs, relevées par l'huissier, situent l'emplacement des roues du petit chariot. Les autres constats établis par l'huissier peuvent être résumés comme suit. Le treillis de liaison entre les deux chariots comporte Les chapes ne comportent pas de dégâts apparents. des piÚces de liaison qui ont subi des déformations. Vue d'une des chapes située sur le dessus du chariot Les deux brimbales du petit chariot sont tordues en partie centrale. Une des deux brimbales du grand chariot est déformée cÃŽté rive gauche. 64 4.5.2 - Les quatre caissons de la porte La porte est détruite au moment de l'accident. Comme illustré en partie 3 à partir des enregistrements vidéos, au moment de l'accident, le caisson C se désolidarise des caissons B et D et est éjecté de la porte et emmené par la vague créée par le vidage du sas. Le caisson B était alors pratiquement immergé en totalité, il a vraisemblablement été éjecté à peu prÚs au même moment que le caisson C. Le filet d'eau qui apparaît entre les caissons B et C juste avant la rupture de la porte laisse à penser que les liaisons entre ces deux caissons ont rompu avant que ce ne soit le cas des liaisons entre les caissons C et D. Puis le caisson D a été heurté par le PAMPERO et emmené avec lui lors de son éjection du sas. Il est resté encastré sur la partie arriÚre du bateau. Les caissons B et C seront retrouvés au fond de l'eau à proximité du bateau échoué. AprÚs mise à sec de l'écluse, le caisson A est retrouvé comme étant resté en place au fond du sas. Caisson D Ci-dessus, photo de localisation des caissons B et C au fond de l'eau. source CNR. Ci-contre, caisson D et caisson A. source gendarmerie. Caisson A Compte tenu de leur taille et de leur masse, d'autant que deux d'entre eux sont pleins d'eau, des moyens exceptionnels de relevage ont été mis en oeuvre pour procéder à l'évacuation de ces quatre éléments. Lors de sa premiÚre visite sur site, le BEA-TT a pu photographier le caisson A évacué et le caisson D encastré sur le bateau. Les opérations de repêchage des caissons B et C ont été filmées par la CNR, le BEA-TT a pu visionner 65 les enregistrements correspondants puis, lors de sa deuxiÚme visite, photographier les caissons, étant précisé que les piÚces métalliques de fixation des éléments de liaison inter-caissons avaient alors été prélevés par la CNR en vue d'une expertise métallurgique. Boîtes à galet Face aval du caisson CÃŽté rive droite CÃŽté rive gauche Face amont du caisson Photo CFT prise lors du levage du caisson D à la grue CÃŽté supports des bretelles de liaison Rive ont rompu. droite Caisson D encastré sur le bateau CÃŽté rive droite du caisson, les Le caisson D est trÚs endommagé. Son cÃŽté rive gauche présente des déformations plus prononcées. Au moment de l'accident, ses liaisons avec le caisson C se sont rompues. Les piÚces métalliques qui permettent la liaison avec le caisson C ne sont plus présentes, il en est de même pour les brimbales. Le fait que ces brimbales relient le caisson D aux chariots a pu contribuer à ce que ce caisson ne soit pas éjecté au moment de la rupture de la porte. Amont Rive droite Sortie du caisson C de l'eau à l'aide d'une grue ­ vidéo CNR. Ci-contre, caisson C sorti ­ photo BEA-TT Élément prélevé pour expertise Lors de la sortie de l'eau des éléments : aucune bretelle de liaison n'était encore présente au niveau du caisson C ; les deux bretelles et l'indexage situés en haut sur le cÃŽté rive gauche du caisson B étaient encore en place, ces éléments sont visibles sur les deux photos suivantes. 66 Caisson B suspendu par sa partie basse (donc vu à l'envers) à la grue et en train d'être posé Vidéo repêchage des caissons Photo prise sur caisson C vu de dessus Rive gauche aval Photo prise sur caisson B Un enfoncement est visible à environ un mÚtre de l'extrémité rive gauche du caisson, cÃŽté aval. Ci-contre ­ Les profilés métalliques sur l'amont du caisson sont tordus. Globalement, les dégâts des caissons B et C paraissent comparables. Seules quelques photos ont été choisies ici. Il apparaît en particulier que la face aval de chaque caisson présente un enfoncement à environ un mÚtre de son extrémité rive gauche et sur toute sa hauteur. Des traces de couleur orange, qui semblent espacées d'une valeur constante, sont visibles le long d'une trace verticale de déformation. Aucun dégât n'apparaît cÃŽté rive droite. Cette déformation verticale est constatée sur les deux piÚces et uniquement du cÃŽté rive gauche. 67 Lors de la fermeture de la porte, le caisson A a été tout le temps immergé. Enfoncé en partie dans la rainure permettant le déplacement de la porte et d'une structure plus robuste que celle des autres éléments, le caisson A est resté en place malgré l'accident. Le caisson A a été retrouvé (vue du dessus, photo gendarmerie, habillage BEA-TT) : comme étant inséré d'environ 1 m dans la rainure du garage en rive gauche Rive gauche et comme étant dégagé de la rainure en rive droite, d'une distance de 10 cm environ Aval Rive droite Déformation Amont Rive droite 10 cm Caisson A vu de l'amont CÃŽté rive gauche du caisson A, vu depuis le garage Photos de l'huissier Une seule bretelle de liaison sur les quatre est encore en place, celle cÃŽté rive gauche amont. Les dégâts sur le caisson A sont principalement présents au niveau des éléments de liaison avec l'élément B ainsi que sur la partie supérieure du caisson A. La déformation sur le dessus du caisson pourrait être lié à un choc avec le bateau lorsque celui-ci est passé par-dessus alors qu'il était en train de finir de sortir du sas. 68 Aval Anse et câble du panier Amont Bouclier chasse-boue CÃŽté rive droite du caisson A Vue du dessus sur le bas et le fond de la rainure rive droite et le bouclier du caisson A. Ci-contre : Rainure rive droite de la porte, vue du dessous (photo de l'huissier) Le câble vertical qui équipe le panier et remonte jusqu'en haut de la rainure en rive droite a été retrouvé sectionné. La partie supérieure du câble est pendante dans la rainure. Une autre partie de câble, reliée au panier, est retrouvée au bas. Elle se trouve au-dessus du bouclier et positionnée entre la rainure et le bas du caisson A de la porte, elle apparaît comme tendue contre la rainure. Ce câble a subi un pincement. L'huissier de justice note qu'un autre morceau de câble est retrouvé dans l'eau, à l'aval cÃŽté rive droite. Cela correspond a priori à l'autre partie du câble retrouvé pendant, dans la rainure (derniÚre photo ci-dessous). Certaines sections paraissent fortement rouillées. Un morceau de bois, d'environ 15 cm de diamÚtre, a été retrouvé coincé dans la rainure en rive droite, à environ la moitié de la hauteur de la rainure et à peu prÚs au niveau du sectionnement du câble du panier. Dans la position dans laquelle il se trouve, ce bois n'a pas pu avoir d'incidence vis-à-vis de la porte, il se situe en dehors de sa zone d'atteinte lorsque celle-ci se ferme, à plus de 50 cm du bord du bajoyer. En revanche, il peut avoir un lien avec le fait que le câble du panier ait été sectionné. HAUT Rive droite Vue d'en haut 69 AVAL Caisson A Rive droite Haut Indexeur retrouvé dans le panier Câble endommagé 10 cm Support de bretelle cassé Rouille Pincement Câble relié au panier aprÚs sortie du caisson A Morceau de câble retrouvé dans l'eau 70 4.5.3 - Le génie civil de l'écluse Plusieurs griffures sont observées sur le métal ou le béton présent au niveau de la porte. La tête de l'écluse est constituée de plusieurs poutres en béton armé : une premiÚre sur laquelle est adossée le pare-choc, puis deux autres qui descendent plus bas. Haut Rive gauche Pare-choc Rive droite Partie intérieure et aval de la rainure située en rive gauche Des traces importantes de frottement sont observées au niveau de la rainure en rive gauche, en partie haute. Sont observés des traces jaunes horizontales sur la poutre en béton située en aval du parechoc, des griffures du béton ainsi que des tuyaux de protection incendie détruits. Ces dégâts ont été probablement occasionnés quand la timonerie du PAMPERO, qui comporte des éléments de couleur jaune, est venue percuter la poutre, comme présenté en 3.3.3. 4.5.4 - Premiers éléments de conclusion Seules trois bretelles ont été retrouvées sur les caissons et sur leur cÃŽté rive gauche : l'une cÃŽté amont sur le caisson A et les deux situées en partie supérieure du caisson B. Concernant les supports de bretelle, ceux-ci avaient déjà été prélevés pour expertise lors de la visite sur site du BEA-TT, la CNR lui a fait savoir qu'un seul support de bretelle a rompu en rive gauche et que huit supports de bretelle ont rompu en rive droite. Le caisson inférieur a été retrouvé en place au fond du sas, inséré d'environ 1 m dans la rainure en rive gauche. Les deux caissons intermédiaires présentent une déformation verticale à environ 1 m de leur extrémité rive gauche et sur toute leur hauteur. Il est vraisemblable que cette déformation soit liée au pliage des caissons sur l'angle de la 71 rainure rive gauche, intervenue au moment de la rupture de la porte et avant que les caissons ne soient éjectés. Lorsqu'elle a rompu, la porte devait donc sûrement être insérée d'environ 1 m dans la rainure rive gauche et donc être dégagée de la rainure rive droite ou à peine engagée dans celle-ci, la porte étant plus large d'un mÚtre que le sas de l'écluse. On peut schématiquement illustrer cette position en reprenant le plan présenté en 4.1 et relatif à la position de la porte fermée en fonctionnement normal, qui rappelons-le, est d'être centrée par rapport au sas et de rentrer de 50 cm dans chacune des rainures. SAS Rive droite Rive gauche Tout laisse à penser donc que, lorsqu'elle a rompu, la porte n'était pas dans la position nominale d'une porte fermée, en étant engagée d'environ 1 m, au lieu de 50 cm, dans la rainure en rive gauche. Tout laisse à penser également que cette position pourrait être à peu prÚs celle que la porte a atteinte lorsque l'automate a considéré qu'elle était fermée. Autrement dit, elle se serait arrêtée sans sortir suffisamment de la rainure en rive gauche et donc sans s'insérer suffisamment dans la rainure en rive droite. Sinon cela impliquerait, aprÚs que la porte s'est fermée, qu'elle ait ensuite, au cours du remplissage du sas, reculé d'environ 50 cm en direction de la rive gauche. Au vu des forces en jeu, cela ne paraît guÚre possible même si l'on peut déceler, à partir de la vidéo de l'éclusage, un phénomÚne de bombement ou de mouvement latéral faible de la porte en direction de la rive gauche, se produisant juste avant qu'elle ne rompe. Logiquement, lorsque la porte est correctement fermée et qu'ensuite le sas se remplit, avec la pression de l'eau dans le sens amont-aval, les éléments de la porte viennent se plaquer contre la rainure, il n'y a alors pas de force significative exercée dans le sens rive-rive. Cela ne paraît pas possible non plus d'un point de vue mécanique. D'aprÚs le document descriptif de la CNR, la porte n'est pas manoeuvrable en charge et l'automate n'a enregistré aucun changement d'état de la position de la porte avant qu'elle ne rompe ni d'ailleurs aucune commande d'ouverture de porte. À ce stade, ces éléments amÚnent le BEA-TT à considérer que le scénario possible de l'accident consiste en la rupture d'une porte n'ayant pas atteint correctement sa position fermée, bien qu'elle ait été détectée fermée par le systÚme de contrÃŽle-commande. Cela impliquerait alors que le chariot de manoeuvre ait bien effectué la trajectoire attendue, mais sans pour autant que ce soit le cas de la porte, située entre 6 et 21 m au-dessous, et suspendue au chariot. 72 4.6 - Les expertises de la CNR et les causes directes de l'accident Dans le cadre de sa démarche d'analyse de l'accident, la CNR a mené des études approfondies et fait réaliser certaines expertises complémentaires. Une présentation en est faite en annexe 4 et, ci-aprÚs, de maniÚre synthétique. L'analyse des vidéos de plusieurs éclusages par photogrammétrie montre que : La porte s'est mal fermée lors de l'éclusage du PAMPERO, avec un décalage de 40 cm environ en direction de la rive gauche. Elle n'était donc pas pleinement dans sa rainure en rive droite. Le décalage observable sur le plan vertical laisse supposer que la porte était plus élevée cÃŽté rive gauche que rive droite. Juste avant la rupture, la porte s'est décalée d'une quinzaine de centimÚtres supplémentaires vers la rive gauche, comme pour un mouvement d'ouverture, pour se retrouver in fine décalée de presque 60 cm sur le plan horizontal. Le temps de manoeuvre de la porte, entre l'étape de démarrage du moteur et l'activation des deux derniers capteurs de position fermée de la porte, a été plus longue de 12,5 secondes que la moyenne, qui est de 101,6 secondes. L'analyse détaillée montre que le temps de manoeuvre jusqu'à l'atteinte du capteur de ralentissement est dans la moyenne et que l'écart apparaît se situer au moment de l'atteinte des trois capteurs de position fermée de la porte et plus particuliÚrement des deux capteurs de l'automate de pilotage. L'étude mécanique et cinématique montre que, en cas de blocage de la porte en partie inférieure, au cours de sa fermeture, en cas de non-fonctionnement du systÚme de contrÃŽle de la charge du treuil, le moteur de celui-ci délivre un effort important qui fait que les brimbales extérieures du grand chariot moteur ne sont plus tendues et peuvent flamber sous l'effet de la compression. Ce phénomÚne, contrairement au principe de sa conception, conduit à une perte du couplage entre la position de la porte et celle du chariot de manoeuvre dans le sens rive-rive. Le chariot peut alors continuer sa course et actionner les capteurs à partir desquels l'automatisme considÚre que la porte est fermée, tandis que la porte, bloquée, ne s'insÚre pas suffisamment dans sa rainure en rive droite. L'étude montre que le déplacement du chariot implique alors une légÚre rotation de la porte, comme la photogrammétrie tendait à l'illustrer, et que la capacité du treuil est suffisamment importante pour permettre au global cette configuration. La porte s'est donc mal fermée, avec un défaut de fermeture de 40 cm par rapport à la situation nominale, et avec une possible différence entre le haut et le bas : l'élément du haut pouvait être presque engagé correctement dans la rainure, tandis que l'élément du bas l'était trÚs peu, voire pas du tout. Au cours du remplissage du sas et juste avant la rupture de la porte, un effort rive-rive, dont la génération a été rendue possible du fait du mauvais positionnement de la porte, a conduit à faire reculer la porte d'une dizaine de cm supplémentaires en direction de la rive gauche et donc à la faire sortir pratiquement complÚtement de sa réservation en rive droite. Les éléments de liaison inter-caissons subissent alors des efforts liés à la poussée hydrostatique, pour lesquels ils ne sont pas conçus, ce qui conduit à ce qu'ils se déforment et rompent. La CNR a identifié que le filet d'eau, qui se met en place entre les caissons B et C de la porte, illustré au point 3.3.2, s'initie à 0 h 24 min 12 s et 384 milliÚmes et que l'élément C cÚde à 0 h 24 min 13 s et 184 milliÚmes, sachant que le caisson B n'est pratiquement pas visible lors de cette séquence. Le filet d'eau paraît donc s'être mis en place au moment où la porte s'est retrouvée complÚtement en dehors de la rainure, vu le décalage de 55 cm (d'aprÚs l'annexe 4) qui est alors mesuré. 73 Le blocage de la porte pourrait être lié à la présence d'un bois ou d'un objet flottant qui l'aurait donc empêchée de rentrer correctement dans sa rainure en rive droite. Le BEA-TT a regardé quel avait pu être, géométriquement, le comportement de la porte en cas de survenance d'un tel blocage. Les schémas illustratifs correspondants sont présentés en annexe 5. La CNR conclut que le scénario ayant causé l'accident est celui correspondant à ce phénomÚne de blocage et « concomitamment à une défaillance du dispositif qui contrÃŽle l'effort délivré par le treuil, de la limitation de courant dans le variateur de vitesse et du Temps Trop Long D'Exécution (TTLE) ». Autrement dit, malgré le blocage de la translation de la porte, les efforts générés par le blocage n'ont pas conduit : à actionner la protection mécanique ; à créer une surcharge électrique qui excéderait les limitations internes du variateur ; à ralentir suffisamment la manoeuvre pour déclencher le défaut relatif au TTLE qui est paramétré dans l'automate. Dans les faits, il s'avÚre que le dispositif de protection mécanique peut être considéré comme n'étant pas fonctionnel au moment de l'accident, alors que son dimensionnement avait bien été prévu dans la note de calcul d'origine. Il apparaît que cela a constitué une condition nécessaire et suffisante pour rendre possible le scénario de l'accident. D'aprÚs les notes de calcul se rapportant à la résistance de la porte que la CNR a adressées au BEA-TT, et plus particuliÚrement les notes de calcul du treuil de manoeuvre et des indexages latéraux, l'effort de manoeuvre nécessaire pour déplacer la porte est de 3,6 t, et au niveau du câble de 1,8 t, selon le schéma de fonctionnement suivant : L'effort au treuil correspond à celui au niveau du câble. Un effort de 1,8 t au treuil permet de décupler au niveau du chariot, via les deux poulies, l'effort de 3,6 t nécessaire pour déplacer la porte. La note de calcul du treuil est celle d'origine, établie en 1977 par le constructeur ARKOS. Elle prévoit un coefficient de sécurité consistant à surdimensionner le câble d'un facteur 8 par rapport à l'effort nominal de 1,8 t, soit 17,65 kN. La note comprend également le calcul de la protection de surcharge mécanique présenté en 4.2.2. Le calcul comprend deux propositions, l'une consistant à ajuster le systÚme à l'effort strictement nécessaire et l'autre consistant à permettre une marge avec un facteur de 1,2. La CNR mentionne un réglage inconnu de cette protection au moment de l'accident et formule l'hypothÚse selon laquelle le systÚme de contrÃŽle de la charge du treuil n'était 74 donc pas alors fonctionnel. Le test effectué avec les réglages existants lors de la survenue de l'accident n'a pas permis d'enclencher la surcharge mécanique malgré un effort de 34 kN appliqué, soit prÚs de 2 fois l'effort nominal déterminé dans la note de calcul du constructeur. La CNR a également confirmé au BEA-TT que le problÚme avait bien porté sur le tarage et non pas sur les capteurs proprement dits. Suite à l'accident, elle a procédé à un réglage de la protection de la surcharge mécanique existante, sur la base d'un paramétrage de 20 kN sur le brin de câble, ce qui permettrait donc une marge d'effort de : 20 / 17,65 = 1,13. S'agissant du TTLE, la CNR a écrit qu'il était inadapté à la présente situation. Le réglage du TTLE était de 215 s, soit 3 min 35 s alors que le temps de manoeuvre de la porte est en moyenne de 101,6 s, soit 1 min 42 s. Lors des échanges, la CNR a expliqué au BEA-TT que ce réglage était effectué en prenant en compte une certaine notion de dépassement de temps, par exemple le double du temps moyen. Le TTLE n'était donc aucunement réglé dans une optique quelconque de sécurité et le défaut associé au niveau de l'automate pouvait donc difficilement être considéré comme une protection. Suite à l'analyse de l'accident, la CNR a ajusté le réglage de ce paramÚtre en le calant sur le temps moyen de manoeuvre de la porte + 5 secondes. S'agissant du variateur, bien qu'il intégrait une limitation de courant visant à protéger le moteur de la surchauffe, il a été constaté qu'un effort important délivré par le treuil ne s'accompagne pas nécessairement d'une atteinte de cette limitation de courant. D'aprÚs les entretiens effectués par le BEA-TT auprÚs des opérateurs du CGN, ceux-ci considÚrent que les défauts liés à la fermeture et à l'ouverture des portes d'écluse, avec l'apparition d'un défaut au niveau de l'automate, sont courants. La CNR a indiqué que les défauts de l'automate déclenchant le plus souvent l'arrêt du processus, sont : la surcharge mécanique, le TTLE, la non-atteinte synchronisée des capteurs de fin de course, et parfois le variateur, notamment lorsque la porte se coince à mi-parcours. Dans le cas de l'accident, l'important effort délivré par le treuil a plutÃŽt eu lieu en fin de processus de fermeture de la porte, cela n'a visiblement pas eu pour effet de générer une surintensité au niveau du variateur. La CNR a précisé que, depuis 2012, 9 cas de défauts, en lien avec cette protection thermique du moteur, ont été enregistrés au niveau du variateur pour l'écluse de Sablons. Elle a adressé au BEA-TT une extraction, pour l'année 2019, des données des automates relatives à l'apparition de défauts associés à la porte aval de l'écluse de Sablons et aux autres portes aval de conception similaire, à partir desquelles on peut noter ce qui suit : Au niveau de l'écluse de Sablons, des défauts bloquants sont apparus 13 fois, la plupart sont liés au défaut de capteurs de fin de course ouvert ou fermé non atteints ensemble. L'un de ces défauts a fait l'objet d'une intervention de l'exploitant et de l'annotation d'un problÚme de capteur. Des défauts d'interverrouillage sont apparus 3 fois, dont 1 fois ayant donné lieu à une sollicitation de l'exploitant par le CGN. Concernant la porte aval de l'écluse d'Avignon, des défauts bloquants sont apparus 15 fois, 6 fois pour un défaut de surcharge mécanique, 7 fois pour un défaut de capteurs de fin de course fermé non atteints ensemble, 2 fois pour un autre défaut lié aux capteurs de fin de course fermé. Le défaut lié au TTLE a par ailleurs été activé 1 fois. S'agissant de la porte aval de l'écluse de Caderousse, des défauts bloquants sont apparus 4 fois, dont 3 fois en raison d'un défaut de surcharge mécanique. S'agissant de la porte aval de l'écluse de Vaugris, des défauts bloquants sont apparus 30 fois, la plupart sont liés au moins à un défaut de surcharge mécanique. 75 Sauf erreur, aucun défaut propre au variateur n'est apparu en 2019 au niveau de ces portes. Suite à l'analyse de l'accident, la CNR a procédé à de nouveaux réglages des limitations de courant traités en interne par le variateur, de maniÚre à également limiter le couple maximal généré par l'ensemble moteur-variateur. Le paramétrage correspondant a été effectué sur la base d'un calcul de couple maximal de 20 kN pendant plus d'une seconde. Si le courant dans le moteur franchit le seuil paramétré pendant une durée supérieure au seuil de temporisation, le variateur va alors générer un contact de défaut qui va activer un défaut bloquant au niveau de l'automate. La différence avec le premier paramétrage se joue sur la temporisation. En complément, le BEA-TT s'est interrogé sur l'intérêt d'utiliser certaines des fonctions applicatives dont est doté le variateur de vitesse, telles que celles dénommées « fins de course », « mesure de charge », « contrÃŽle de couple » et « limitation de couple » dans la documentation du constructeur. La CNR a indiqué que ces fonctions n'étaient pas implémentées jusqu'alors pour ce qui concerne son parc d'écluses et qu'elle n'envisageait pas d'évolution à ce sujet. 4.7 - Le panier, son câble et le bois coincé dans la rainure rive droite Comme illustré en 4.5.2, le câble vertical qui est relié au panier, positionné au bas à l'extrémité de la rainure en rive droite, a été retrouvé sectionné et un morceau de bois a été retrouvé coincé dans cette même rainure à une hauteur d'environ 9 m, à peu prÚs au niveau du sectionnement du câble. Dans son rapport, la CNR relate ces constats. Le BEA-TT a cherché à savoir quels liens éventuels pouvaient être faits, entre ces éléments entre eux, et entre ces éléments et l'accident. Le morceau de bois peut avoir un lien avec le fait que le câble du panier ait été sectionné. En tout état de cause, dans la position dans laquelle il a été retrouvé, il empêcherait le bon fonctionnement de la remontée du panier. Lors d'un échange avec le BEA-TT, la CNR a indiqué n'avoir aucune idée sur ce qui a pu causer la cassure du câble et ne pas pouvoir dire quand le câble s'est cassé, entre mars 2019 et le jour de l'accident. Lors de la derniÚre intervention de maintenance en mars 2019, le panier a été manoeuvré par une équipe interne de la CNR et aucun problÚme de câble ne s'est produit à cette occasion. La CNR ne dispose pas de rapport en lien avec cette intervention. D'aprÚs le rapport de la CNR, le câble est constitué de quatre éléments reliés entre eux, d'une longueur de 4 m pour le câble le plus bas, appelé câble n° 1, qui est relié au panier, et de 5,5 m pour les trois autres, le dernier ayant un point d'attache en haut au génie civil. C'est donc le câble n° 2 qui a été sectionné et dont la partie haute a été retrouvée pendante dans la rainure, tandis le câble 1 a été retrouvé en bas au fond du sas. D'aprÚs les constats effectués par la CNR, le câble n° 1 apparaît en mauvais état, rouillé et avec de nombreux brins cassés. Cela donne l'impression que le câble cassé traînait dans l'eau, au fond du sas, depuis un certain temps et que ce dispositif est peu entretenu. L'expertise des deux câbles qui a été réalisée par la société TRANSCABLE-HALEC souligne également la forte corrosion des fils ainsi qu'une « dégradation anormale de l'âme textile, certainement due à l'absence de lubrification du câble ». La présence de ce câble sectionné a fait partie des diverses hypothÚses de mode de défaillance que la CNR avait recensées lors de ses premiÚres analyses. Si elle n'a pas été retenue in fine comme pouvant avoir un lien avec les causes de l'accident, elle a donné lieu à la mise en place d'une mesure préventive qui reste à ce jour en vigueur et consistant à intégrer un contrÃŽle visuel du bon état du panier aux rondes hebdomadaires. 76 Si le câble a été cassé antérieurement à l'accident et traînait au fond de l'écluse, il paraît être de diamÚtre trop petit pour pouvoir coincer la porte lors de sa fermeture, mais cela aurait pu arriver avec le galet de guidage de la porte si celui-ci roulait sur son guide. Cette hypothÚse paraît pouvoir être écartée compte tenu de la position dans laquelle le câble a été retrouvé aprÚs l'accident, comme évoqué ci-aprÚs. Comme illustré en 4.5.2 et sur les photos ci-aprÚs de la CNR, le câble a été retrouvé, positionné au-dessus du bouclier et comme s'il était tendu et coincé entre la rainure et le bas du caisson A de la porte, ce qui a d'ailleurs pu être la cause du pincement constaté. On aperçoit une sorte de tige, entre la rainure et le caisson de la porte, perpendiculaire à ce dernier. La CNR a précisé au BEA-TT qu'il s'agit en fait d'un morceau de bois. Celui-ci semble aussi bizarrement placé qu'il paraît misérablement petit. Il paraît peu vraisemblable qu'il ait pu contribuer au blocage de la porte lorsqu'elle s'est fermée. Si le câble avait cassé antérieurement à l'accident et traînait au fond de l'écluse, comme illustré par exemple sur la photo ci-dessus, prise aprÚs évacuation du caisson, le bouclier avec le galet de guidage aurait dû alors logiquement rouler par-dessus lorsque la porte s'est fermée, même incorrectement. La position dans laquelle le câble a été retrouvé ne paraît pas cohérente avec l'hypothÚse d'un câble qui aurait cassé avant l'accident. En conclusion, ces éléments ne permettent pas de formuler des hypothÚses bien évidentes, si ce n'est le fait qu'il est peu plausible que le câble du panier ait joué un rÃŽle dans la genÚse de l'accident. 77 4.8 - La remise en exploitation de l'écluse AprÚs une mobilisation importante de ses équipes, la CNR a pu remettre en service l'écluse un peu plus d'un mois aprÚs l'accident, donc dans des délais relativement réduits. Elle a pour cela utilisé un tablier de rechange qu'elle avait commandé en 2008 dans le cadre de son plan de secours. La CNR a engagé en parallÚle l'étude - conception d'une porte neuve, dont la mise en place est prévue dans le courant de l'année 2022. La nouvelle porte aval mise en place comprend 8 caissons boulonnés, au lieu de 4 éléments auparavant et qui étaient reliés entre eux par des bretelles et des indexages. Sa conception est différente, car le constructeur n'est pas le même que celui de la porte d'origine. Le grand chariot a été réparé, le petit chariot est neuf. Les capteurs de fins de course du chariot, le câble du panier, les brimbales et le câble du treuil ont été remplacés. La remise en exploitation de l'écluse a fait l'objet de la formalisation, par la CNR, d'un protocole, pour faire suite en particulier à la demande de la DREAL de disposer de toutes les justifications permettant de garantir une reprise de la navigation en toute sécurité. Sa mise au point a fait l'objet d'échanges avec le service de contrÃŽle et VNF y a été associé. Le document correspondant rend compte des travaux et essais préalables effectués avant remise en service : structure de la porte - contrÃŽle de fabrication et pour le montage de la porte ; essais et contrÃŽles fonctionnels, hors automatisme puis avec l'automate pour requalifier le fonctionnement de la porte intégré à l'automatisme avec ses capteurs. Il présente les mesures préventives ou compensatoires mises en place en accompagnement au retour en exploitation, en lien avec les différentes hypothÚses de facteurs causaux de l'accident qui étaient alors en cours d'investigation, dont : Présence de bois : cette mesure concerne la conduite à tenir par l'opérateur et l'intervention de l'exploitant et a été rendue pérenne par la CNR (voir 5.6.1). Câble du panier sectionné : comme présentée précédemment, cette mesure consiste en une vérification visuelle à intégrer lors des rondes hebdomadaires. Structure et assemblage de la porte : cette mesure a consisté en la réalisation de contrÃŽles mensuels, par une visite à sec permettant une inspection visuelle complÚte de la porte, dont l'objectif est d'évaluer son comportement aprÚs plusieurs éclusages. Cinématique de la porte : des mesures de surveillance ont été mises en place, impliquant la mobilisation de deux agents durant l'éclusage, soit un agent du CGN en conduite exclusive de l'écluse de Sablons et un exploitant sur site effectuant des contrÃŽles au plus proche des équipements. Ce dispositif a été mis en place dans les premiers temps, jusqu'à ce que la CNR définisse puis mette en oeuvre des nouvelles mesures de sécurité tenant compte des enseignements de l'accident. A l'occasion d'une inspection effectuée en août 2020, il a été constaté qu'une lisse de la porte a bougé et que les boulons de fixation ont été cisaillés. L'arrêt de navigation a été prolongée la journée de maniÚre à effectuer les réparations : remplacement des vis et changement de certaines visseries. Par ailleurs, la poursuite par la CNR de certaines études de structure a mis en évidence un risque de voilement (une forme d'aplatissement des plafonds et des planchers des caissons) et des contrÃŽles complémentaires effectués lors d'une visite d'inspection, ont permis de constater de légers voilements au niveau de certains caissons. Un arrêt de navigation a alors été programmé du 9 au 12 octobre 2020 pour des investigations complémentaires puis prolongé jusqu'au 22 octobre pour réaliser des travaux de confortement de type pose de poutrelles IPN. 78 L'ensemble des mesures préventives et compensatoires définies dans le protocole de remise en exploitation ont été réalisées, ce qui a permis de mettre fin au protocole et de considérer que l'écluse est en exploitation normale depuis juillet 2021. 4.9 - La surveillance et la maintenance 4.9.1 - Principes généraux de la surveillance Le document intitulé « Consigne de surveillance de l'aménagement » a pour objet de fixer les modalités de surveillance et d'en définir l'organisation. Il est élaboré notamment en application du R. 214-122 du Code de l'environnement et fait l'objet d'une approbation formelle de la DREAL, en charge du contrÃŽle de la sécurité des ouvrages hydrauliques. D'aprÚs la version projet 2019, qui constitue une mise à jour de la précédente, les différentes modalités de surveillance reposent sur : des dispositifs et mesures d'auscultation des ouvrages principaux de génie civil ; la réalisation des livrables réglementaires que sont les rapports de surveillance et d'auscultation et les visites techniques approfondies, génie civil et électro-mécanique ; les essais sur les matériels stratégiques ; la réalisation par l'exploitant de visites périodiques sur le terrain ou rondes. On peut donc faire la distinction entre le dispositif de surveillance réglementaire, qui paraît comprendre les trois premiers points ci-dessus, et celui constitué des visites réguliÚres de l'exploitant, qui sera présenté dans un second temps. 4.9.2 - La surveillance réglementaire Le BEA-TT a été destinataire des derniÚres versions des livrables réglementaires établies en 2019 pour l'aménagement (au sens des installations) du Péage-de-Roussillon. Ces documents font état, globalement, d'un bon état et d'un bon niveau de fonctionnement des ouvrages. Ils ne font pas apparaître d'éléments négatifs significatifs. Concernant le volet relatif aux équipements des ouvrages, il apparaît toutefois, d'aprÚs les différents documents de la CNR, que le dispositif de surveillance réglementaire porte plus particuliÚrement, voire seulement, sur « les équipements électromécaniques qui concourent à la maîtrise de la sûreté des aménagements, par exemple lorsqu'ils constituent une barriÚre de sécurité mentionnée dans l'étude de dangers ». Selon les documents, la CNR mentionne également la notion de matériels stratégiques pour la sûreté hydraulique ou la notion d'organes de sécurité. Ils font l'objet d'une surveillance particuliÚre, par la réalisation d'essais et de vérification de fonctionnement, qui est retranscrite dans les livrables réglementaires. Le document relatif à la consigne de surveillance de l'aménagement comprend un tableau présentant les principaux organes de sécurité et essais associés. Le rapport de surveillance établi par CNR pour l'année 2018 présente les manoeuvres effectuées sur les organes de sécurité et évoque les essais effectués sur d'autres barriÚres de sécurité. Aucun des éléments ainsi mentionnés ne concerne directement l'écluse. Le compte rendu de la visite technique approfondie électromécanique retranscrit la vérification de bon fonctionnement de certains matériels stratégiques pour la sûreté de l'aménagement. Les éléments relatifs à l'écluse paraissent plus succincts et moins détaillés, comparés à ceux relatifs à l'usine et au barrage. Par ailleurs, pour ces derniers, 79 le document aborde le systÚme de contrÃŽle-commande ainsi que le dispositif de téléconduite, ce qui n'est pas le cas pour l'écluse. Le document retranscrit également la vérification du bon fonctionnement des barriÚres de sécurité techniques recensées dans l'étude de dangers de l'aménagement. Aucun de ces éléments ne concerne directement l'écluse. Cela s'explique par le fait que l'étude de danger en vigueur à la date de l'accident ne comprend pratiquement aucune barriÚre de sécurité associée à l'écluse. 4.9.3 - Les visites périodiques réalisées par l'exploitant Ces visites sont présentées dans la consigne de surveillance de l'aménagement. Concernant le génie civil, les rondes de l'exploitant sont réalisées au pas bimensuel ou trimestriel selon les ouvrages, complétées par une visite annuelle qui se passe éventuellement en même temps que la visite réglementaire, qui, elle, est réalisée à période réguliÚre dépendant de la classe des ouvrages. Concernant l'électromécanique, les rondes de l'exploitant, appelées aussi tournées d'exploitation sont réalisées au pas hebdomadaire. En fait, l'organisation des équipes locales est calée sur une semaine, au même rythme que l'astreinte. En une semaine, l'exploitant inspecte visuellement l'ensemble des points devant être vus. Ces rondes consistent en des observations visuelles et des relevés de paramÚtres. Elles font également l'objet de petites actions de maintenance et incluent la réalisation d'un diagnostic de l'installation, portant notamment sur le contrÃŽle de cohérence des niveaux de débit et le relevé des données consignées par les automates. Au pas mensuel, la ronde est complétée par un relevé des différents indicateurs de fonctionnement des organes ou une surveillance spécifique de certains. Un tableau présente les différents organes contrÃŽlés lors de ces rondes. Pour l'écluse, figurent notamment le systÚme de contrÃŽle-commande, les treuils, les portes. Lors des échanges avec le BEA-TT, la CNR a indiqué que les rondes permettent notamment de vérifier visuellement le bon état des capteurs associés à la position des portes des écluses et que le suivi régulier et l'analyse des défauts consignés par les automates relÚvent des missions de suivi d'exploitation. 4.9.4 - Principes généraux de la maintenance La périodicité de maintenance des ouvrages ne fait pas l'objet d'un cadrage réglementaire. La DREAL explique que l'exploitant fixe ses périodicités en fonction des enjeux de sécurité et d'exploitation, en s'appuyant sur : le retour d'expérience de l'exploitation des matériels ; les préconisations des constructeurs ; les recommandations de l'ingénierie agréée de la CNR ; ainsi que sur le niveau de confiance attendu, associé à la notion de probabilité de défaillance, sur lequel l'exploitant s'engage au travers de l'étude de dangers. L'activité de maintenance de la CNR s'appuie sur l'élaboration de plans de maintenance type du matériel et fait l'objet de planifications annuelles et pluriannuelles. Elle comprend la maintenance courante et la maintenance spécifique, cette derniÚre étant notamment calée en fonction des résultats des différentes visites des ouvrages. Les opérations à réaliser sont classées en 3 niveaux d'intervention : 80  Le 1er niveau (N1) correspond à des actions de surveillance ou de contrÃŽle simples, généralement récurrentes, qui sont réalisées par les équipes locales d'exploitation de la direction territoriale de la CNR et avec appui si nécessaire de prestataires externes. Les deux autres niveaux (N2 et N3) correspondent à des opérations complexes ou à forte technicité de contrÃŽles et de réglages d'équipements sensibles, qui sont prises en charge par des entités de maintenance spécialisées de la direction territoriale ou du siÚge de la CNR. Le référentiel technique de la CNR « RT EM 37 - Plan de maintenance type, portes d'écluses et vannes d'aqueduc d'écluses » daté de 2009 constitue le cadre général de la maintenance des portes d'écluses sur le RhÃŽne. Le document liste les opérations à réaliser, en termes de maintenance et de surveillance, pour chacun des organes et équipements des portes d'écluse, en précisant la fréquence et le niveau duquel relÚve l'intervention (N1, N2 ou N3). La fréquence des opérations varie de la semaine à des opérations pluriannuelles, s'agissant par exemple des contrÃŽles détaillés. Les périodes de chÃŽmage annuel des écluses rentrent dans ce cadre. Chaque année aux alentours du mois de mars, il est programmé sur une dizaine de jours un arrêt de la navigation sur l'ensemble des écluses du bassin, permettant la mise à sec des écluses et le contrÃŽle des portes, et en particulier des éléments qui sont habituellement immergés ou difficilement accessibles. 4.9.5 - La maintenance annuelle lors des périodes de chÃŽmage des écluses Dans le cadre de la période de chÃŽmage programmée en mars 2020, certaines interventions étaient prévues au niveau de la porte aval de l'écluse de Sablons, telles que le remplacement des étanchéités, la réparation de fissures au niveau du caisson B, le réglage de la porte. Ces interventions ne paraissent pas sortir de l'ordinaire, elles étaient peut-être un peu plus nombreuses pour cette porte par comparaison à celles programmées sur les autres portes. Le BEA-TT a demandé à la CNR l'historique et le rendu compte des derniÚres interventions de maintenance réalisées au niveau de la porte et de ses équipements. La CNR a adressé en retour les rapports de visite de la porte effectués lors des périodes de chÃŽmage de 2018 et 2019 ainsi que les rapports d'intervention effectués en 2019. Les rapports de visite comprennent : Un rapport établi par une entreprise spécialisée dans les interventions en milieu difficile en hauteur, l'objectif de cette intervention étant de vérifier le bon état des dispositifs de fixation au niveau des liaisons inter-caissons et des lisses d'appuis de la porte. Un rapport d'expertise de la porte établi par la CNR, qui fait état de la réalisation de certaines interventions et liste en conclusion celles à prévoir, lors d'un prochain arrêt de navigation pour certaines ou lors du chÃŽmage de l'année suivante pour la plupart. Pour l'année 2019, ces éléments sont complétés par un rapport d'expertise de la CNR portant sur les piÚces fixes c'est-à-dire les zones d'appui de la porte dans la rainure. Cette démarche ne paraît donc pas avoir été réalisée en 2018, alors que le référentiel de maintenance de la CNR prévoit un contrÃŽle annuel15 de ces éléments. Les rapports d'interventions effectués en 2019 présentent les actions réalisées lors du chÃŽmage et lors de deux arrêts de navigation d'une nuit, en juin et octobre. Ces derniÚres 15 Le référentiel prévoit le contrÃŽle des piÚces fixes tous les ans pour les portes à dégagement latéral et tous les 3 ans pour celles à dégagement vertical, la version de juin 2019 prévoit un an dans les deux cas. 81 interventions visaient à suivre les réparations effectuées précédemment et notamment à assurer une surveillance d'une fissure réparée dans le caisson B de la porte. Un réglage de la porte était prévu lors du chÃŽmage de mars 2020. D'aprÚs les mentions figurant dans les rapports de 2019, il s'agit apparemment de procéder à un réglage des boîtes à galet, porte fermée, réglage qui n'a pas pu être effectué en mars 2019 en raison de l'intervention des cordistes en lien avec le remplacement des tuyauteries d'incendie. Le rapport de mars 2019 mentionne également une difficulté à réaliser les tâches dans le délai imparti en raison de la non-disponibilité de la grue durant la totalité du chantier. Enfin, ces documents rendent compte d'une anomalie intervenue au niveau du chasse-boue et du systÚme de panier. 4.9.6 - Le systÚme de panier de dévasage CNR a précisé que ce panier est hissé, nettoyé et remis en place systématiquement lors du chÃŽmage annuel et que, par ailleurs, il n'est alors jamais plein. Il s'avÚre que cette intervention annuelle n'est pas mentionnée dans le référentiel de maintenance et ne fait pas l'objet d'une traçabilité, étant précisé que toutes les écluses ne sont pas équipées d'un tel systÚme de panier. Le rapport de la visite de février 2018 mentionne que le chasse-boue en rive droite est absent et indique en conclusion qu'il convient de prévoir son remplacement. Les rapports de visite et d'intervention de mars 2019 mentionnent que ce chasse-boue a été retrouvé dans le panier, ce qui laisse à penser, d'une part que le panier n'a pas été hissé lors du chÃŽmage de 2018 et d'autre part que la porte est restée au moins pendant un an sans chasse-boue en rive droite. Il est indiqué : Il a été constaté, lors des essais de manoeuvre de la porte, que « la porte ne ferme pas complÚtement, car le chasse boue venait en contact avec le panier, qui n'était pas dans sa bonne position (présence de bois dessous) ; le chasse-boue venait heurter le panier en bout de course ce qui explique pourquoi il a été endommagé en 2017 et probablement les dégradations sur les boîtes à galet. Lors de cette intervention, la rainure a été nettoyée et le panier redressé. Une fois le panier remis en place et aprÚs essais, il n'y a plus d'interférence avec le chasse-boue. Il faut prévoir un nettoyage régulier du panier et de sa rainure pour éviter des dégradations sur le chasse-boue, la structure de la porte et les boîtes à galet ». Par ailleurs, les constats réalisés aprÚs l'accident sur le mauvais état du câble du panier laissent à penser que ce dispositif est peu entretenu. Lors des échanges avec le BEA-TT, la CNR a convenu que le panier est plutÃŽt traité comme un sujet accessoire et donc avec un suivi qui n'est pas forcément régulier. Pour mémoire, suite à l'accident, la CNR a par ailleurs intégré aux rondes hebdomadaires un contrÃŽle visuel du bon état du panier et l'analyse développée en 4.7 a conclu qu'il est peu plausible que le panier et son câble aient joué un rÃŽle dans la genÚse de l'accident. 4.9.7 - Le contrÃŽle des réglages des protections du contrÃŽle-commande Il a été indiqué précédemment que la CNR fait état d'un réglage inconnu, au moment de l'accident, de la protection de la surcharge mécanique, destinée à limiter l'effort de traction au niveau treuil de manoeuvre de la porte. La CNR ne semble par ailleurs disposer d'aucune traçabilité sur le sujet, si bien qu'il ne lui a pas été possible de préciser 82 quel était le dernier réglage connu, ni quand une intervention ou vérification correspondante avait pu être faite. Le rapport de visite de la porte établi lors du chÃŽmage de 2019 rappelle de façon synthétique les principales opérations de maintenance réalisées les 10 derniÚres années et mentionne un incident survenu en août 2012. Cet incident, lié apparemment à un blocage au niveau de la porte, avait déclenché une surintensité au niveau du variateur et une intervention de l'astreinte de l'exploitant, suite à laquelle avait été diligentée une expertise puis une intervention de maintenance. Le rapport d'intervention mentionne que « le positionnement des capteurs de surcharge n'est pas optimum et qu'il est nécessaire de reprendre leur position afin d'assurer une bonne protection de la porte ». La CNR a indiqué ne pas disposer de traçabilité sur les éventuelles actions entreprises suite à ce constat. Le référentiel de maintenance prévoit annuellement « le contrÃŽle des réglages et efficacité des protections électriques et mécaniques, fins de course, etc., agissant sur le contrÃŽle-commande », selon une liste de vérifications à adapter à chaque site. La fiche type utilisée par la direction territoriale concernée de la CNR pour la réalisation, lors des chÃŽmages, de ces opérations de maintenance, intitulée « MAE porte amont et aval » prévoit certains de ces contrÃŽles mais sans avoir prévu d'en consigner la traçabilité correspondante. Elle récapitule en préambule les contrÃŽles et opérations à effectuer sur le treuil de chacune des portes et également en ce qui concerne la sécurité des portes, avec des essais concernant la surcharge et la protection thermique des moteurs. On constate un décalage entre ce listing mentionné en préambule de la fiche et la partie à renseigner par l'agent de maintenance pour rendre compte de l'intervention. La CNR a par ailleurs mis en évidence que l'un des problÚmes réside dans le fait que les contrÃŽles de la protection mécanique étaient réalisés de maniÚre partielle, consistant à effectuer un test de l'action de la protection au niveau de la chaîne électrique par la simulation de défauts de surcharge, et non pas un test sur la détection de la surcharge. La fiche type évoquée ci-avant paraît effectivement ne porter que sur ce contrÃŽle partiel. Dans le plan d'actions adossé à son rapport d'analyse de l'accident, la CNR a retenu d'ajuster en terme documentaire le mode opératoire pour tester la surcharge mécanique et les limitations électriques pour la porte en exploitation. Enfin, l'étude des facteurs organisationnels et humains (FOH) établie par la CNR souligne que l'équipe locale n'est pas forcément en capacité de réaliser le contrÃŽle adéquat de cette protection mécanique et que ce contrÃŽle pourrait valablement relever d'un niveau de maintenance supérieur (N2), « compte tenu de son caractÚre sensible vis-à-vis de la sécurité et de la nécessité de disposer d'une procédure et de matériel particulier ». Ce même type de remarques semble également devoir s'appliquer pour ce qui concerne le contrÃŽle des protections électriques. Il paraît relever d'un niveau d'intervention N1, réalisée donc par l'exploitant local, d'aprÚs le référentiel de maintenance des portes d'écluses, tandis qu'il relÚve d'un niveau de maintenance spécialisée (N2) pour ce qui concerne les autres blocs de l'aménagement, tels que l'usine et le barrage. Il peut effectivement être souligné que cette protection de surcharge mécanique, telle qu'elle est conçue, avec le systÚme de capteurs sur ressort, ne paraît pas simple à régler. Le systÚme est différent sur d'autres portes de conception similaire. La CNR a retenu d'engager une étude sur l'amélioration de cette protection puis d'éventuels travaux correspondants, cela pourrait être par exemple des capteurs d'effort analogique positionnés directement sur le câble et qui permettraient d'avoir une donnée en continu sur les efforts. 83 5 - Causes et facteurs associés, orientations préventives 5.1 Le schéma des causes et des facteurs associés Le scénario ayant causé l'accident est celui d'une porte d'écluse qui ne s'est pas fermée correctement, en raison d'un blocage possiblement lié à un bois flottant, mais qui a été détectée fermée par les automatismes. Dans le cas présent, cela a été rendu possible par le fait que la position de la porte est connue de maniÚre indirecte, à partir de la position du chariot de manoeuvre auquel elle est suspendue. Cela implique qu'il y ait eu une perte du couplage entre la position de ces deux éléments dans le sens rive-rive. Pour que cette configuration se produise, il a été nécessaire que le dispositif d'entraînement de la porte développe un effort bien supérieur à l'effort normalement nécessaire pour déplacer celle-ci. La surcharge mécanique au niveau du treuil aurait dû logiquement être détectée si la protection correspondante avait été fonctionnelle. Les autres éléments qui auraient pu contribuer à assurer une protection vis-à-vis d'une telle configuration, tels que le contrÃŽle du temps de manoeuvre de la porte et la limitation de courant au niveau du variateur de vitesse, n'étaient pas paramétrés dans une optique de sécurité. Comme précisé en 4.6, la CNR a procédé aux améliorations nécessaires relativement aux trois dispositifs qui n'ont pas joué leur rÃŽle de protection lors de l'accident. Ceux-ci ont par ailleurs été explicités, de maniÚre à constituer formellement des barriÚres de sécurité. Ils n'étaient pas jusqu'à présent considérés comme tels, notamment au niveau de l'étude de danger, avec donc l'analyse de risque et le niveau de fiabilité associé. La CNR a produit en 2021 une version actualisée de l'étude de danger, dans laquelle elle intÚgre, avec l'identification des barriÚres de prévention associées, le scénario d'une rupture d'une porte de l'écluse de Sablons, liée à un défaut de fermeture qui conduirait au mauvais engagement de la porte dans sa rainure et donc à un mauvais alignement avec ses piÚces fixes d'appui. L'étude souligne que la résistance de la porte est beaucoup plus faible dans cette position et que les portes de l'écluse de Sablons, qui sont à dégagement latéral et constituées de caissons assemblés, sont sensibles à ce type de risque. La CNR a établi un rapport d'analyse des causes de l'accident intégrant les engagements sur un plan d'actions et complété par une étude des FOH, dont on peut souligner la profondeur des investigations réalisées. Dans le cadre de ce plan, elle mentionne qu'elle a réalisé une analyse des similitudes entre les portes de l'écluse de Sablons et les portes latérales d'autres de ses écluses et qu'elle analysera au cas par cas la duplication, de tout ou partie des mesures identifiées pour Sablons, aux portes ayant une conception similaire, ce qui a d'ores et déjà été réalisé pour ce qui concerne les réglages des trois dispositifs de protection. Les investigations conduites, dont celles développées dans les parties qui suivent, permettent d'établir le schéma ci-aprÚs sur le déroulement de l'accident, les causes et les facteurs associés. En concertation avec le BARPI, une autre représentation des causes premiÚres et profondes, selon la méthodologie qu'il a développée, est présentée en annexe 6. Les causes profondes concernent l'identification des risques ainsi que la maintenance ­ surveillance de l'ouvrage et le BEA-TT considÚre que l'état actuel des réglementations a pu y contribuer. L'analyse a conduit par ailleurs le BEA-TT à rechercher des orientations préventives en lien avec la gestion des bois flottants aux abords des écluses et les process des opérateurs de téléconduite. 84 85 5.2 - Des fragilités au niveau de la maintenance et de la surveillance L'absence de réglage de la protection de surcharge mécanique est liée en premier lieu à un manque de précision au niveau des processus de maintenance et de surveillance. Les vérifications effectuées annuellement par les équipes locales vis-à-vis des protections mécaniques et électriques étaient partielles et n'incluaient donc pas un contrÃŽle des réglages proprement dits, en raison notamment de l'absence d'un mode opératoire détaillé. Tout laisse à penser également que le contrÃŽle périodique du réglage de ces protections, qui était qualifié comme relevant d'un niveau intervention N1 (contrÃŽles simples par les équipes locales) alors qu'il se rapprocherait plutÃŽt d'un niveau N2 (contrÃŽles à forte technicité ou d'équipements sensibles par des entités spécialisées), n'avait pas été véritablement intégré par la CNR. La protection mécanique ne semblait pas être vue comme un élément de sécurité, sachant par ailleurs qu'il y avait peu de risque d'endommager un élément du systÚme de manoeuvre, vu le dimensionnement assez important du treuil, du câble, etc. Cela peut expliquer la faible attention qui semblait être portée sur ce sujet, la CNR ayant été en particulier dans l'incapacité de préciser quel était le dernier réglage connu de cette protection, comme évoqué également en 4.9.7. Il est aussi possible de considérer que, avec le temps, la CNR a pu perdre de vue la note d'origine du constructeur sur le calcul du limitateur de surcharge. Dans son plan d'actions, elle prévoit de conduire une action documentaire consistant à décrire dans un référentiel technique la méthodologie de calcul des seuils encadrants pour les protections et limitations. Les modifications du référentiel de maintenance qui ont été apportées par la CNR en 2019 et qui concernent les interventions effectuées à partir de 2020 paraissent traduire une évolution défavorable : le contrÃŽle du fonctionnement des protections électriques et mécaniques agissant sur le contrÃŽle-commande relÚve dorénavant d'une périodicité quinquennale, et non plus annuelle comme cela semblait être le cas dans la version initiale du référentiel. Sans arguments relatifs au choix effectué, le BEA-TT juge préférable que le contrÃŽle de fonctionnement des protections, ainsi que le contrÃŽle de leur réglage, soient réalisés au moins annuellement. Ainsi, le fait que certains enjeux de sécurité n'aient pas été identifiés peut contribuer à expliquer, en partie, les défauts observés en termes de maintenance et de surveillance. Le rapport du Conseil général des ponts et chaussées sur l'accident mortel survenu en 1998 à l'écluse de BollÚne soulignait que les évolutions d'organisation ont pu être la cause d'une perte de mémoire sur la conception des équipements, les conditions de leur bon entretien et la vérification de leur fonctionnement. Si ce rapport a été établi en faisant référence à un contexte d'organisation qui était alors complÚtement différent pour la CNR (organisation mixte CNR-EDF), le BEA-TT considÚre que ces aspects méritent qu'une attention y soit apportée. Par ailleurs, l'étude des FOH commanditée par la CNR met en évidence plusieurs types de fragilités organisationnelles dans ce domaine, tout en rappelant que l'équipe locale de l'exploitant réalise ces missions lors des rondes et des interventions sur site, tandis que le CGN centralise la conduite et la surveillance des écluses en mode distant. Elle souligne par exemple un manque de prise en compte des constats issus des rapports de travaux établis par l'exploitant et d'exploitation des fiches réalisées lors d'une intervention d'astreinte. À la lecture des comptes rendus établis lors des chÃŽmages ou lors des interventions plus ponctuelles, le BEA-TT a effectivement constaté que toutes les remarques consignées par l'exploitant lors d'une intervention n'étaient pas forcément suivies d'effet et que certaines interventions manquaient par ailleurs de traçabilité. 86 En outre, si le référentiel de maintenance des portes d'écluses de la CNR paraît bien construit, sa mise en application semble présenter certaines failles. Celui-ci mentionne que les actions de maintenance doivent être adaptées à chaque ouvrage en fonction des matériels existants et des particularités du site. La CNR a indiqué que l'adaptation, à l'écluse de Sablons, de ce plan type n'avait pas encore été finalisée et a précisé que ce référentiel correspond également à un objectif cible d'amélioration par rapport à une situation pouvant encore laisser la place à des disparités de mise en oeuvre. L'étude des FOH évoque à ce sujet un manque de supervision par la direction territoriale vis-à-vis des opérations réalisées par ses équipes locales, ainsi qu'un manque de suivi et de contrÃŽle par la direction du siÚge vis-à-vis de la bonne mise en oeuvre des référentiels et la bonne réalisation des plans de maintenance au sein des directions territoriales. L'étude des FOH souligne que certaines de ces lacunes rendent plus complexe l'exploitation de la récurrence de signaux faibles ou dysfonctionnements, liés notamment aux problématiques de blocage de porte. D'aprÚs les entretiens effectués par le BEA-TT auprÚs des opérateurs du CGN, ceux-ci ont l'impression que les manoeuvres infructueuses de portes d'écluse ne sont pas exceptionnelles : la porte ne va pas jusqu'au bout et l'automate génÚre alors un défaut. Ils doivent consigner sur le carnet de bord tout évÚnement particulier lié à un dysfonctionnement bloquant ou récurrent constaté sur un équipement. Un autre opérateur suggÚre davantage de liens entre le CGN et l'exploitant, s'agissant par exemple des échanges concernant l'état de l'écluse, les interventions effectuées ou le retour d'expérience. L'étude de la CNR relative aux FOH souligne d'ailleurs le peu d'échanges entre ces services, en dehors des sollicitations habituelles du CGN auprÚs de l'exploitant, en cas de difficultés particuliÚres, et de la consultation journaliÚre par l'exploitant du carnet de bord de l'écluse tenu conjointement par le CGN et l'exploitant. L'analyse réguliÚre par l'exploitant des défauts consignés par l'automate devrait normalement contribuer à la détection de ces signaux faibles. Le BEA-TT s'interroge sur la nature et l'étendue de l'analyse qui est en pratique réalisée, notamment compte tenu du fait qu'un grand nombre de défauts sont acquittés par le CGN et que cela a pour effet de les rendre moins facilement visibles pour l'exploitant. 5.3 - L'écluse et la réglementation relative aux ouvrages hydrauliques 5.3.1 - La surveillance réglementaire Compte tenu des éléments présentés en 4.9.1 et 4.9.2, il apparaît que l'écluse et ses équipements associés semblent être peu pris en compte dans le cadre de la surveillance réglementaire, ou du moins, des livrables correspondants que la CNR adresse au service de contrÃŽle. S'agissant du volet électromécanique et contrÃŽle-commande, les éléments concernant l'écluse paraissent en effet être abordés dans ces livrables plus sommairement que pour les autres ouvrages de l'aménagement hydroélectrique. La surveillance réglementaire doit notamment comprendre des vérifications de fonctionnement des organes de sécurité. La procédure interne de la CNR relative aux essais et vérifications sur les matériels stratégiques comprend une liste d'organes en rapport avec les écluses. Or, trÚs peu de ces éléments sont retranscrits dans les livrables réglementaires. Ces principes paraissent discutables ou il y a lieu du moins de considérer que la liste des organes entrant dans le cadre de cette surveillance réglementaire et des livrables 87 correspondants pourrait valablement inclure certains des dispositifs de sécurité propres à l'écluse et certains équipements associés à la manoeuvre des portes, indépendamment de leur identification éventuelle en tant que barriÚre de sécurité dans l'étude de danger. D'aprÚs l'article R. 214-123 du Code de l'environnement, les visites techniques approfondies (VTA) constituent des modalités pratiques de cette surveillance réglementaire. L'article mentionne que l'exploitant surveille et entretient l'ouvrage. Il procÚde notamment à des vérifications du bon fonctionnement des organes de sécurité et à des visites techniques approfondies de l'ouvrage. La consistance de ces vérifications et visites est précisée par l'arrêté prévu par l'article R. 214-128 du Code de l'environnement. La DREAL a précisé que cet arrêté reste à rédiger par la DGPR. Avant son abrogation, l'arrêté du 29 février 2008, qui définissait ce qui était attendu lors d'une VTA, mentionnait que ces visites détaillées de l'ouvrage sont menées par un personnel compétent, en hydraulique, en électromécanique, en géotechnique. Le compte rendu précise, pour chaque partie de l'ouvrage, les constatations, les éventuels désordres observés, et les suites à donner en matiÚre de surveillance, d'exploitation, d'entretien, etc. S'agissant des écluses, les interventions effectuées lors du chÃŽmage annuel paraissent autant relever de la maintenance que de la surveillance. Elles pourraient donc utilement contribuer à rendre compte de la surveillance auprÚs du service de contrÃŽle, en complément des visites techniques approfondies (VTA). Les aménagements hydroélectriques de la CNR étant en général de classe A, ils font l'objet d'une inspection annuelle de la part de la DREAL. Dans son rapport d'inspection, la DREAL mentionne que : « L'inspection a pour objectif de vérifier que l'exploitant met tout en oeuvre pour satisfaire à ses obligations réglementaires ; La visite de l'ouvrage permet à la fois une meilleure connaissance de l'ouvrage par le service de contrÃŽle, et un examen visuel, non exhaustif, de son état. L'état de l'ouvrage est avant tout considéré ici comme un indicateur de l'efficacité des actions de surveillance et d'entretien mises en oeuvre par l'exploitant et n'est en aucun cas une visite technique de celui-ci ». La partie sur site de l'inspection se déroule sur une journée, comprenant une réunion de bilan et une visite des ouvrages de l'aménagement. La DREAL a indiqué au BEA-TT que la visite s'effectue par sondage et que l'écluse n'est pas forcément regardée. Le rapport d'inspection 2019 mentionne que la visite a permis d'observer les éléments mis en évidence dans le rapport des VTA et liste les principales zones visitées (pour l'écluse, il est indiqué : galerie de l'écluse). 5.3.2 - L'étude de danger D'aprÚs le L. 211-3 du Code de l'environnement, l'étude de dangers a pour objectif d'évaluer les risques que présente l'ouvrage pour la sécurité publique, directement ou indirectement en cas d'accident, que la cause soit interne ou externe à l'ouvrage. Elle définit les mesures propres à réduire la probabilité et les effets de ces accidents. L'étude de danger de l'aménagement hydroélectrique du Péage-de-Roussillon, en vigueur à la date de l'accident, a été réalisée en octobre 2013. Elle porte sur la totalité des ouvrages de l'aménagement, soit le bloc usine-écluse de Sablons, le barrage de Saint-Pierre-de-Boeuf et les endiguements. Dans le cadre de sa réédition décennale, la CNR a fourni en 2021 une nouvelle étude et aprÚs y avoir intégré les enseignements issus de l'accident du PAMPERO. 88 Elle repose sur une démarche d'analyse des risques qui identifie les scénarios d'accident qui pourraient survenir sur l'ouvrage et amener à une situation dangereuse, qui est définie comme une situation pouvant conduire à la libération de tout ou partie de l'eau de la retenue ou à la surélévation anormale du plan d'eau de la retenue. Elle est réalisée à partir de l'analyse fonctionnelle de l'ouvrage et de l'identification des modes de défaillance possible des organes clés et en prenant en considération les aléas naturels, tels que les crues. Elle identifie les mesures, d'ordre technique ou organisationnel, de traitement du risque, appelées « barriÚres de sécurité ou de prévention ». Le niveau de confiance accordé à celles-ci, apprécié en fonction de leur efficacité et de leur fiabilité, permet de diminuer la probabilité d'occurrence de certains scénarios accidentels. La criticité des différentes situations dangereuses est ensuite évaluée en fonction de leur probabilité d'occurrence et de la gravité des conséquences. Globalement, les deux études de danger sont peu centrées sur l'écluse et sont plus focalisées sur les autres ouvrages de l'aménagement, qui peuvent davantage être impliqués dans une situation dangereuse, telle qu'elle est définie. L'écluse y est traitée dans sa fonction « barrage », sachant que cette fonction n'a pratiquement aucune incidence sur la sécurité des tiers ni sur la sécurité de l'aménagement hydroélectrique proprement dit. L'étude de 2021 va même jusqu'à mentionner, dans sa présentation générale, que l'aménagement a pour fonction de produire de l'électricité. Le BEA-TT considÚre que la fonction relative à la navigation devrait également être citée, même à titre secondaire, dÚs lors que l'écluse est comprise dans l'aménagement et prise en compte dans l'étude. Les études identifient les sources potentielles d'agression externes pouvant impacter les ouvrages ainsi que les enjeux exposés aux dangers potentiellement générés par ceux-ci, tels que les zones habitées, les sites industriels. Le trafic fluvial, dont le transport fluvial de marchandises dangereuses, qui circule sur le fleuve est mentionné parmi les enjeux, en cas d'onde de submersion provenant de l'aménagement. Conformément à la doctrine nationale qui a d'ailleurs été renforcée16 sur ce point, ce trafic fluvial est surtout traité comme une source potentielle d'agression externe, notamment en cas de dérive d'un bateau qui viendrait bloquer des vannes du barrage. L'étude de 2021 intÚgre, en plus, le scénario relatif à l'incendie d'une barge d'hydrocarbures dans le sas de l'écluse. Hormis les sujets de génie civil et de stabilité de l'ouvrage, l'écluse paraît traitée trÚs sommairement dans l'étude de 2013. Par exemple, l'analyse fonctionnelle interne est peu détaillée, par comparaison au barrage et à l'usine. Les items relatifs au treuil et au câble, qui permettent de déplacer la porte, ne sont pas mentionnés, alors que le treuil et les chaînes, qui assurent le déplacement des vannes, sont mentionnés pour le barrage. La nouvelle étude intÚgre désormais une présentation des portes et du systÚme de contrÃŽle-commande de l'écluse, ainsi qu'un volet relatif au bilan de conception et d'état des ouvrages, dans lequel les sujets relatifs à l'écluse sont abordés, à l'exception toutefois du contrÃŽle-commande. Il y est précisé que le dimensionnement pour la tenue en statique des portes, qui a été calé à partir de la norme allemande DIN 19704, édition 1976, est conforme à l'édition actuellement en vigueur de cette norme, mais que la tenue à la fatigue des portes n'a pas été prise en compte en conception initiale. L'étude de 2013 intÚgre le scénario d'une rupture d'une porte, amont ou aval, de l'écluse en identifiant trois causes potentielles, que sont le vieillissement, la collision d'un bateau, un séisme. La nouvelle étude prend en compte également, désormais, la cause relative à un défaut de fermeture de la porte, comme explicité en 5.1, ainsi que, en plus du 16 L'arrêté du 6 août 2018 fixant des prescriptions techniques relatives à la sécurité des barrages demande une prise en compte spécifique des situations accidentelles de choc de bateau sur les ouvrages. 89 vieillissement, la sensibilité intrinsÚque de la porte à la fatigue, pour laquelle il est précisé qu'une maintenance spécifique permet de reprendre les fissures qui apparaissent et les soudures afin d'éviter que ces défauts n'affaiblissent la structure. La nouvelle analyse de risque mentionne aussi le scénario d'une ouverture intempestive de porte, comme ce fut le cas lors de l'accident de 1998 à l'écluse de BollÚne, tout en indiquant que l'écluse de Sablons n'est pas concernée, car les portes ne sont pas manoeuvrables en charge. La gravité correspondant à ce scénario d'accident est évaluée de niveau 2, c'est-à-dire impactant moins de 100 personnes, l'étude de 2021 précisant que les navigants présents dans le sas au moment de l'accident sont concernés et que le nombre moyen de personnes par éclusage est de 60 environ. Il peut être fait remarquer que cette gravité pourrait être reconsidérée à la hausse si le choix méthodologique était fait de tenir compte du nombre maximum potentiel de personnes par éclusage, qui pourrait atteindre le nombre de 200 dans le cas d'un paquebot fluvial, ou encore de la gravité des lésions potentielles aux personnes ou des dommages dans le cas d'un bateau de matiÚres dangereuses. 5.3.3 - Conclusions des sous-parties 5.2 et 5.3 D'aprÚs les documents relatifs à l'aménagement hydroélectrique du Péage-de-Roussillon qui étaient en vigueur au moment de l'accident, les livrables que la CNR établit au titre de la réglementation sur la sécurité des ouvrages hydrauliques abordent l'écluse de maniÚre plus sommaire comparé aux autres ouvrages de l'aménagement, hors domaine relatif au génie civil. Cela peut en partie s'expliquer par le fait que, vu sous l'angle de cette réglementation, l'écluse ne constitue pas un ouvrage à enjeu. La mise en oeuvre actuelle de cette réglementation donne l'impression en effet que le niveau d'exigence en termes de livrables est porté de façon prioritaire sur les ouvrages hydrauliques proprement dits. Cela a pu contribuer à ce que l'analyse de risques concernant les portes de l'écluse n'ait pas été réalisée de maniÚre assez approfondie dans le cadre de l'étude de danger. Dans ce cadre réglementaire et pour le cas présent de l'écluse de Sablons, l'attention portée par la CNR sur les portes d'écluse ne paraît pas suffisamment considérer celles-ci comme un ensemble fonctionnel avec les équipements associés à leur manoeuvre. Les processus propres à l'exploitant qui sont déployés parallÚlement à ce cadre, en termes de maintenance et de contrÃŽle, font aussi apparaître, pour l'écluse de Sablons, un certain manque d'attention en la matiÚre et, plus généralement, le fait que la maintenance est perfectible. La politique de sécurité des ouvrages hydrauliques porte sur les risques aux ouvrages et aux tiers situés à leur aval. Si de ce fait, l'étude de danger réalisée par la CNR ne traite pas des risques que représente l'écluse pour ses usagers, on voit qu'elle peut toutefois contribuer à leur prise en compte, en intégrant des scénarios de rupture ou d'ouverture accidentelle des portes, comme cela a été le cas dans le cadre de la mise à jour de l'étude aprÚs l'accident. Cette intégration paraît pouvoir rentrer pleinement dans le champ d'application de cette réglementation, où les portes d'écluses sont considérées dans leur fonction de « barrage ». Le rapport établi par le CGEDD17 en 2018 sur l'évaluation de cette politique pour les ouvrages de VNF souligne que, si les obligations réglementaires de cette derniÚre sont à apprécier au regard du risque d'inondation pour les riverains, les écluses de hauteur de chute importante méritent une attention particuliÚre, compte tenu des masses d'eau en jeu et du précédent de l'écluse de BollÚne sur le RhÃŽne de 1998, même si en l'occurrence la sécurité concerne moins les riverains que les usagers. 17 Conseil général de l'environnement et du développement durable 90 Pour des ouvrages de cette dimension, il serait souhaitable d'avoir une analyse des risques (arbre de défaillance) examinant la manoeuvre et sa cinématique, les organes critiques, les défaillances qui peuvent intervenir et les conséquences. Il est par ailleurs possible de considérer que des questions se posent quant au champ d'application de la politique de sécurité des ouvrages hydrauliques et à la nature des risques aux tiers pouvant être pris en compte dans ce cadre. Selon la DREAL, une clarification de la DGPR concernant la prise en compte des risques liés à la défaillance des écluses, notamment des effets dominos associés, s'avÚre souhaitable. Dans les principes actuels, la notion de tiers englobe les personnes situées en aval des ouvrages. Logiquement, les risques vis-à-vis des navigants dans l'écluse devraient également pouvoir être pris en considération, car il s'agit de tiers et ils font partie de l'environnement anthropique de l'ouvrage hydraulique, tel qu'évoqué par le cadre réglementaire sur le contenu des études de danger. Les autres questions pourraient alors être les suivantes et à relier à la partie 5.4 ci-aprÚs : Quels types de risques pour les navigants peuvent être pris en compte ? Par exemple : le risque de coincement d'un bateau entre des portes d'écluses, le risque de chute à l'eau ou de perte d'équilibre d'un bateau pendant un éclusage pourraient-ils être considérés comme entrant dans le champ de la sécurité des ouvrages hydrauliques ? D'aprÚs le R. 214-116 du Code de l'environnement, les études de danger prennent également en compte des évÚnements de gravité moindre mais de probabilité plus importante tels que les accidents et les incidents liés à l'exploitation de l'aménagement. Selon l'interprétation que l'on en fait, cet énoncé pourrait recouvrir beaucoup de choses. Ces éléments demanderaient une interprétation de la part de la DGPR, en lien avec la DGITM. À cadre constant, il est en tout cas souhaitable que la politique de sécurité des ouvrages hydrauliques renforce la prise en compte des écluses dans les différents livrables réglementaires et en réaffirmant que les risques pour les navigants empruntant l'écluse font partie des risques à prendre en compte. Suite à l'accident, la DREAL Auvergne-RhÃŽne-Alpes a établi un plan d'actions, dans lequel elle prévoit de procéder à un réajustement des points d'attention sur les portes d'écluse, voire sur d'autres organes hydrauliques, lors des inspections. Cette démarche gagnerait à être adoptée par les deux autres DREAL (Occitanie et Provence-Alpes-CÃŽte d'Azur) concernées par des aménagements de la CNR et pourrait également s'appuyer sur les rapports d'interventions effectuées par l'exploitant lors du chÃŽmage des écluses. En conclusion, le BEA-TT émet les recommandations suivantes : Recommandation R1 adressée à la Compagnie nationale du RhÃŽne (CNR) : Renforcer la qualité de la maintenance et le niveau de surveillance des portes d'écluse, en déclinant le plan de maintenance type à chaque ouvrage et en veillant à sa bonne mise en oeuvre, en améliorant la prise en compte des suites à donner aux interventions et rapports de travaux, et de maniÚre à mieux considérer les portes comme un ensemble fonctionnel, avec tous les équipements associés, le contrÃŽle-commande et les éléments de protection des installations. Recommandation R2 adressée à la Compagnie nationale du RhÃŽne (CNR) : Dans le cadre des études de danger, étudier de maniÚre approfondie les scénarios de rupture et de défaut de fermeture des portes d'écluse, et pour celles manoeuvrables en charge, d'ouverture accidentelle de portes. 91 Recommandation R3 adressée à la DGPR du ministÚre de la transition écologique : Renforcer la prise en compte des écluses dans le cadre de la mise en oeuvre de la politique de sécurité des ouvrages hydrauliques, lors des inspections des services de contrÃŽle et à partir des attendus des visites techniques approfondies et des études de danger Dans le cadre des études de danger, développer une attention particuliÚre sur la gravité et la diversité possible des scénarios liés aux défaillances de portes d'écluse. 5.4 - Les dispositions réglementaires relatives à la sécurité des machines et à la sécurité des infrastructures de transport Cette partie consiste en un approfondissement au sujet des modalités réglementaires qui permettraient de mieux prendre en compte les risques associés aux écluses au regard de ses usagers et donc en tant qu'ouvrage d'une infrastructure de transport fluvial. 5.4.1 - La directive européenne 2006/42/CE du 17 mai 2006 relative aux machines Une écluse est une machine au sens de la directive européenne 2006/42/CE du 17 mai 2006 relative aux machines, qui vise à prévenir les risques pour les personnes exposées par, ou, lors de l'utilisation des machines. La directive est devenue applicable fin 2009 et a été transposée en France dans le Code du travail. Les écluses qui ont été conçues antérieurement n'ont pas obligation de satisfaire à ses exigences, mais il est recommandé d'analyser leur fonctionnement au regard de cette directive. Celle-ci, réglementairement parlant, s'applique aux écluses neuves ainsi qu'en cas de modification significative apportée vis-à-vis d'un ouvrage existant. Elle implique de réaliser une démarche d'évaluation et de réduction des risques et de préciser les paramÚtres dont dépend l'utilisation sûre de la machine et leurs limites. La prise en compte du risque doit se faire en priorité au niveau de la conception, par des solutions améliorant la sécurité intrinsÚque et avec l'objectif de suppression du risque. Lorsque ce n'est pas possible ou s'il subsiste des risques résiduels, des protections techniques doivent être mis en oeuvre. Cette démarche d'évaluation des risques est différente d'une étude de danger au sens de la réglementation sur les ouvrages hydrauliques, même si les méthodologies peuvent être comparables. Elles n'ont pas le même objectif ni, sans doute en l'état actuel, la même échelle de caractérisation de la gravité des risques. L'étude de danger paraît plus globale et est ciblée sur les risques aux ouvrages et d'inondation, tandis que la directive machine implique une étude de sécurité de l'ouvrage qui est plus détaillée et dans laquelle le risque pour les navigants qui empruntent l'écluse pourrait être au coeur de la réflexion. Une présentation plus détaillée de ces éléments figure en annexe 7. Dans le cas de l'écluse de Sablons, on peut considérer que l'application de la directive était requise, lors du changement du systÚme de contrÃŽle-commande et de la mise en place de la téléconduite, réalisés en 2011, et que cela sera à nouveau le cas à l'occasion de la mise en place d'une nouvelle porte aval prévue en 2023. Le BEA-TT n'a pas eu l'occasion d'interroger formellement la CNR au sujet de ses modalités d'application de la directive. Le Cerema a précisé que, lors de la mise en oeuvre de la téléconduite, une étude de sécurité comprenant une analyse de la non-dégradation du niveau de sécurité par rapport au niveau en conduite locale, a été effectuée par la CNR et à laquelle Cerema a participé. 92 La DREAL a indiqué ne pas avoir eu l'occasion d'analyser cette étude, au motif qu'il avait été considéré qu'elle se rapportait à des aspects de navigation. Le BEA-TT considÚre que cette étude de sécurité aurait pu légitimement intéresser les aspects de sécurité des ouvrages hydrauliques. D'aprÚs les échanges intervenus avec le Cerema, les principaux exploitants d'écluses réalisent, d'ores et déjà et à certaines occasions, des analyses de risques d'un niveau qui pourrait être comparable à celui attendu dans le cadre de la directive machines ou qui s'inspirent en partie de la directive, parallÚlement le cas échéant, aux démarches relevant de la réglementation sur la sécurité des ouvrages hydrauliques. C'est le cas par exemple pour la conception des écluses neuves du projet de canal Seine-Nord Europe. Le BEA-TT a également pu prendre connaissance d'un document relatif aux études de conception d'un systÚme d'automatisation des écluses à petit gabarit de VNF, qui intÚgre les principes de la directive machine. Toutefois, une application plus directe et plus systématique de la directive machines permettrait de donner un cadre plus formel. D'aprÚs le Cerema, l'une des difficultés à cela est l'absence de cadre de référence en ouvrages hydrauliques. L'élaboration d'un tel cadre, avec des livrables de la directive machines, pourrait donc être de nature à guider son applicabilité aux écluses et à davantage harmoniser les pratiques existantes. Par ailleurs, les études de sécurité qui sont réalisées au niveau des écluses, en parallÚle des livrables réglementaires relatifs à la sécurité des ouvrages hydrauliques, ne sont pas soumises en l'état actuel à un contrÃŽle par un service de l'État, à la différence des études de danger réalisées pour les ouvrages hydrauliques. 5.4.2 - Les dispositions relatives à la sécurité des infrastructures de transport La loi n° 2002-3, dite loi « SIST »18 a introduit des dispositions, qui ont été codifiées dans le Code de la voirie routiÚre et le Code des transports et qui concernent : les systÚmes de transport public guidé ou ferroviaire ; les ouvrages du réseau routier et d'infrastructure de navigation intérieure ou portuaire, « dont l'exploitation présente des risques particuliers pour la sécurité des personnes ». Elles impliquent la réalisation d'un dossier préliminaire de sécurité pour la construction ou en cas de modification significative d'un tel ouvrage, accompagné d'une évaluation par un organisme extérieur agréé, et la réalisation d'un dossier de sécurité pour la mise en exploitation d'un tel ouvrage, comprenant un examen périodique par l'organisme agréé. La catégorie relative aux ouvrages d'infrastructure de navigation intérieure est la seule pour laquelle ces dispositions n'ont pas été déclinées réglementairement. Un projet de décret d'application avait été élaboré à cette fin et prévoyait leur applicabilité aux écluses, aux ascenseurs à bateau, aux ponts mobiles et aux tunnels de navigation. Le BEA-TT a pu prendre connaissance de deux versions de ce projet, dont l'une qui est plus détaillée. Celle-ci, comme la directive machine, énonce, pour la conception d'un nouvel ouvrage ou d'une modification substantielle apportée vis-à-vis d'un ouvrage existant, des principes d'exigences de sécurité et de réduction, autant que possible, des risques pour les usagers, les personnels et les tiers. Son apport, par rapport à la directive machines, concerne notamment les modalités de prise en compte des conditions d'exploitation et de maintenance de l'ouvrage au regard de l'objectif de sécurité, l'intervention d'un organisme extérieur agréé qui apporte un double regard et une 18 Loi du 3 janvier 2002 relative à la sécurité des infrastructures et systÚmes de transport, aux enquêtes techniques aprÚs évÚnements de mer, accident ou incident de transport terrestre ou aérien et au stockage souterrain de gaz naturel, d'hydrocarbures et de produits chimiques 93 évaluation vis-à-vis de la démarche du maître d'ouvrage, ainsi que l'applicabilité des dispositions aux ouvrages existants. Une présentation plus détaillée de ces éléments figure en annexe 7. L'élaboration de ce projet de décret avait fait l'objet de discussions, en particulier entre VNF et la direction en charge des infrastructures de transport (DGTIM) au sein du ministÚre de la transition écologique, mais n'a pas abouti, notamment du fait d'interrogations portant sur son utilité au vu du corpus réglementaire relatif à la sécurité des ouvrages hydrauliques. Il paraît difficile de considérer en l'état actuel que ce corpus pourrait constituer une déclinaison réglementaire des dispositions législatives énoncées par le Code des transports pour les ouvrages de navigation, y compris pour ce qui concerne les écluses les plus importantes. Certaines écluses, en raison de leurs dimensions et/ou parce qu'elles sont associées à un barrage ou un canal et font alors partie de l'ouvrage hydraulique considéré dans son ensemble, rentrent dans le champ d'application de la réglementation sur les ouvrages hydrauliques. Elles sont alors classées en tant qu'ouvrage hydraulique, les plus petites d'entre elles, de classe C, ne sont toutefois pas soumises à étude de danger. Les écluses qui sont couvertes par cette réglementation, le sont pour leur fonction « barrage » et moins, voire pas, en tant qu'ouvrage de navigation. Elles sont alors considérées d'une maniÚre, qui n'est ni détaillée, ni complÚte, comparativement aux dispositions qui avaient été envisagées pour compléter le Code de transport et qui sont assez proches, dans l'esprit, de celles introduites par la directive sur les machines. Il manque un volet sur l'exploitation et les risques, au regard des navigants utilisant l'écluse. En l'état actuel de ses modalités d'application, la réglementation sur les ouvrages hydrauliques ne traite pas de cet aspect, même si elle peut contribuer à sa prise en compte. Pour pallier ces lacunes, il pourrait être envisagé de compléter ces modalités d'application, de maniÚre à décliner celles-ci par type d'ouvrage et à traiter l'ouvrage de navigation et les usagers qui l'empruntent dans le cadre d'une étude de danger détaillée et spécifique. Le palier paraît toutefois important et certains aspects nécessitent une interprétation de la part de la DGPR, comme évoqué au point 5.3.3. Par ailleurs, d'autres ouvrages de navigation, tels que les ponts mobiles ou ponts canaux et les tunnels, ne sont pas couverts par la réglementation sur la sécurité des ouvrages hydrauliques. Dans le rapport de 2018 évoqué ci-avant, le CGEDD mentionne que les premiers ne rentrent pas aujourd'hui clairement dans le champ d'application de cette réglementation et note, pour les seconds, l'absence de texte réglementaire adapté, contrairement à ce qui existe pour les tunnels routiers et ferroviaires. Le BEA-TT considÚre donc qu'il serait adéquat de décliner dans le Code des transports les dispositions législatives relatives à la sécurité des ouvrages de navigation, en reprenant l'élaboration du projet de décret qui avait été commencée. Il conviendrait d'assurer sa compatibilité avec les dispositions de la directive relative aux machines, qui sont déclinées dans l'annexe citée à l'article R. 4311 du Code du travail, et de maniÚre à pouvoir considérer qu'un dossier qui est conforme au Code des transports l'est aussi au vu de la directive sur les machines. Un lien entre les deux codes pourrait être effectué. L'adoption de ces dispositions réglementaires permettrait en particulier que l'exploitant rende compte de la mise en oeuvre d'une étude de risques adaptée aux enjeux de sécurité de la navigation. Il serait utile de prévoir les conditions de leur applicabilité aux ouvrages existants, comme cela avait été envisagé dans le cadre du projet de décret et 94 comme le sous-entend l'article L. 1613-1 du Code des transports relatif à l'autorisation de mise en exploitation des ouvrages, dans un délai compatible avec les échéances d'actualisation des études de danger pour les ouvrages qui y sont soumis. Elle permettrait en outre de donner une visibilité à la directive sur les machines et pourrait contribuer à harmoniser davantage les pratiques existantes d'étude de sécurité, qui sont conduites, en dehors du champ réglementaire des ouvrages hydrauliques, sur certains de ces ouvrages de navigation. Elle pourrait utilement être accompagnée par l'élaboration d'un cadre de référence pour guider leur applicabilité. Le contrÃŽle de leur application paraît pouvoir entrer pleinement dans le champ de compétences des DREAL, tel que défini au 1 er de l'article 2 du décret 2009-235 relatif à l'organisation et aux missions de celles-ci. La périodicité des dossiers à établir par les exploitants pourrait d'ailleurs être calée sur celle de la réglementation relative aux ouvrages hydrauliques, pour les ouvrages de navigation rentrant dans ce cadre. En conclusion, le BEA-TT invite la DGITM à décliner réglementairement les dispositions législatives relatives à la sécurité des ouvrages de navigation dans le Code des transports, en assurant leur compatibilité avec celles de la directive relative aux machines et en précisant, en lien avec la DGPR, son articulation avec la réglementation sur les ouvrages hydrauliques. 5.5 - Une connaissance indirecte de la position de la porte Les capteurs associés aux positions « porte fermée » et « porte ouverte » de la porte aval de l'écluse de Sablons sont doublés par sécurité. Il s'agit de capteurs à croix, à basculement mécanique. Cette technologie, dont le choix d'origine paraît être celui de la robustesse, répond à une certaine rusticité et équipe également les capteurs des autres portes d'écluse de conception similaire de la CNR. Ils ne nécessitent pas d'étalonnage à proprement parler, mais un réglage et un contrÃŽle de fonctionnement lors de leur basculement (activation et désactivation). Le réglage est effectué d'abord au moyen de simulations, puis par des essais, impliquant une phase de synchronisation, puis un réglage visuel avec des mouvements de la porte au moment de la mise en service. La CNR a indiqué au BEA-TT qu'il n'y a pas de dérive dans le temps de la position de ces capteurs et que ceux-ci font l'objet d'une maintenance curative, par exemple suite à un constat de mauvais état effectué lors des rondes de l'exploitant ou encore en cas de dysfonctionnement bloquant le processus d'éclusage. Un capteur défaillant peut être remplacé sans délai et la défaillance est bloquante dans le processus. L'inconvénient de la situation présente est que la position de la porte est connue de maniÚre indirecte à partir de ces capteurs, ceux-ci étant actionnés par le chariot de manoeuvre auquel la porte est suspendue. Le BEA-TT a remarqué que : les 4 capteurs d'usage relatifs à la fermeture de la porte sont activés par le petit chariot, à partir de deux doigts, un amont et un aval, fixés sur celui-ci ; s'agissant de l'ouverture de la porte, 2 capteurs (ralentissement et fin de course « porte ouverte » de l'automate de sécurité) sont activés par le petit chariot à partir de son doigt amont et les 2 autres capteurs (fin de course « porte ouverte » de l'automate de pilotage) sont activés par le grand chariot à partir d'un doigt fixé à l'aval sur celui-ci. La CNR a précisé que la différence de modalité entre ouverture et fermeture est liée à des considérations pratiques, telles que l'accessibilité aux capteurs, et que le choix de positionnement des capteurs n'a pas été fait en distinguant petit et grand chariot, mais en considérant l'ensemble comme un tout. 95 Il n'apparaît pas néanmoins, qu'un systÚme prenant en compte la position relative des chariots, aurait pu permettre de déceler le problÚme de fermeture survenu lors de l'accident. Des mesures directes de l'atteinte de la position de la porte semblent la maniÚre la plus robuste pour s'assurer de son bon positionnement. D'aprÚs le Cerema, l'installation de capteurs de détection directe de la position de la porte peut, certes, ne pas être évidente, car cela pourrait impliquer l'intégration, dans le génie civil, de capteurs de type inductif ou radar. Se posent également les enjeux de leur résistance aux agressions de l'eau. D'aprÚs cet organisme, il est courant que la position des portes soit connue de façon indirecte, en détectant la position des organes de manoeuvre mais la grande majorité des portes sont des portes busquées, qui en rÚgle générale, ne posent pas de problÚme de mauvaise fermeture. Dans le rapport n° 192 établi en 2019 par l'AICPN, portant sur les développements de l'automatisation et de la téléconduite des écluses et des ponts mobiles, les capteurs de fin de course actionnés mécaniquement étaient utilisés à l'origine, mais le maintien de maniÚre fiable de leur opérationnalité nécessite un entretien important pour garder les piÚces mobiles à l'abri de l'obstruction. D'aprÚs ce rapport, l'utilisation de capteurs sans contact, de type à lecture magnétique ou de type inductif, est de plus en plus courante. Selon la technologie utilisée, ils peuvent permettre d'assurer une mesure en continu de la position de la porte pendant son déplacement et donc, par exemple et in fine, d'évaluer la vitesse de fonctionnement, ce qui peut être utilisé pour déterminer une défaillance, lié par exemple à une obstruction ou un équipement fonctionnant moins bien, endommagé ou déréglé (on peut penser dans le cas présent par exemple aux boîtes à galet de la porte aval de l'écluse de Sablons). Cette méthode peut être utilisée dans un systÚme de maintenance prédictive. Toutefois, comme l'indique le Cerema, leur réparation et remplacement peuvent s'avérer difficiles suivant leur positionnement. La CNR convient que son axe de recherche pour l'avenir vise à une connaissance directe de la position de la porte et prévoit dans son plan d'actions d'engager des études et travaux pour, respectivement, disposer directement de la position du vantail de la porte, et de la position du chariot dans les deux axes (rive à rive et vertical). Par ailleurs, elle a apporté au niveau de l'automate des modifications de paramétrage en lien avec le capteur de position analogique qui est utilisé, tel qu'évoqué en 4.2.3, pour l'animation du synoptique de l'opérateur, sachant qu'il ne peut pas, en l'état actuel, être utilisé pour gérer le process de l'écluse. Il n'est pas assez précis et fiable, ni adapté pour déterminer la position de la porte, mais génÚre un défaut lorsque sa mesure de position, lorsque les fins de course sont atteints, se situe en dehors d'une plage fixée depuis l'accident à plus ou moins 5 cm. Sur un plan opérationnel, les défauts issus du capteur analogique ne sont acquittables que par le personnel d'exploitation du site, et non plus également par l'opérateur du CGN. La CNR précise que l'exploitant pourra alors analyser réguliÚrement la survenance de ces défauts et en assurer un suivi régulier. Il est à noter que le même type de modification a été opéré pour ce qui concerne le défaut associé au temps trop long d'exécution (TTLE). En conclusion, le BEA-TT émet la recommandation ci-aprÚs : Recommandation R4 adressée de la Compagnie nationale du RhÃŽne (CNR) : Mettre en place un systÚme de capteurs permettant des mesures directes de la position de la porte aval de l'écluse de Sablons en fin de manoeuvre. Étudier l'opportunité et installer le cas échéant un tel systÚme sur les autres portes d'écluses à déplacement latéral. 96 5.6 - La gestion des bois flottants et l'utilisation des caméras 5.6.1 - Les pratiques des opérateurs de téléconduite, les équipements de l'écluse Les opérateurs du CGN estiment que les manoeuvres infructueuses de portes d'écluse ne sont pas exceptionnelles. Elles peuvent être consécutives à un blocage au cours de la manoeuvre, lié à une souche de bois, comme nous l'ont indiqué les opérateurs, ou encore par exemple à une piÚce métallique coincée dans la rainure, comme lors de l'incident survenu au niveau de la porte amont de l'écluse de Caderousse en juillet 2020 : aprÚs plusieurs tentatives, l'ouverture de la porte se bloquait à 98 %, une intervention de plongeurs a permis de déterminer l'origine du dysfonctionnement. Les opérateurs du CGN font parfois appel à l'exploitant pour procéder à l'évacuation d'un bois gênant. Une situation de ce type est consignée pour l'écluse de Sablons dans le carnet de bord de l'écluse tenu conjointement par le CGN et l'exploitant, et sur les deux premiers mois de 2020 : un bateau signale une grosse branche bloquée en rive gauche du pare-choc de la porte, l'opérateur ne la voit pas à la caméra et fait intervenir l'exploitant, qui programme une intervention pour l'enlever. Les opérateurs indiquent qu'ils font aussi parfois appel aux navigants pour qu'ils contribuent à évacuer certains bois, par exemple en actionnant le propulseur du bateau. La CNR a confirmé au BEA-TT que les problématiques liées à la présence de bois gênant ne sont pas rares et peuvent varier d'une écluse à l'autre. Dans l'un des documents qu'elle a adressés, elle mentionne des exemples de situations nécessitant une interruption en urgence de l'éclusage par l'opérateur, tels que : cas d'un bollard bloqué par un bois, présence de bois sur un organe en manoeuvre. Un bois de grosse taille peut endommager le bateau au niveau de son hélice par exemple, ou encore le coincer dans le sas. Dans ce cas, l'opérateur va plutÃŽt imposer au batelier d'attendre avant de passer l'écluse, le temps d'y remédier. Des bois plus petits peuvent gêner une fermeture de porte et la bloquer. Dans ce cas, l'opérateur va plutÃŽt recourir aux processus de dévasage / émulsion ou « de chasse ». Lors de sa visite au CGN, le BEA-TT a pu assister à plusieurs éclusages, lors desquels l'émulsion semblait être déclenchée de maniÚre systématique et intégrée au processus, l'opérateur pouvant aussi la prolonger de lui-même. À Sablons, le dispositif d'émulsion / dévasage dans le garage de la porte aval de l'écluse ne peut être activé que manuellement, sur site, l'écluse est la seule à être non équipée de dispositif d'émulsion dans la rainure dans laquelle vient se loger la porte aval en fermeture. La note d'instruction interne de la CNR sur le fonctionnement opérationnel de l'activité d'éclusage depuis le CGN indique que la manoeuvre de chasse est utilisée en cas de présence importante de bois dans les garages d'écluse ou le sas et qu'elle ne doit pas être réalisée avec un bateau dans le sas ou en approche. Les questions qui peuvent se poser sont alors : comment apprécier l'importance de ces bois et que faire si elle est détectée alors qu'un bateau est déjà en approche ? La CNR a établi en septembre 2020 un document à destination du BEA-TT, qui présente les consignes aux opérateurs du CGN pour solliciter l'intervention de l'exploitant et récapitule la conduite à tenir pour les anomalies non couvertes par les automatismes. D'aprÚs ce document, l'opérateur doit contacter l'exploitant et préparer un avis à la batellerie, en cas de bois planté dans le chenal ou de « bois flottants en grand nombre ». Pour l'écluse de Sablons, la CNR a établi aprÚs l'accident une instruction temporaire d'exploitation : « En cas de détection de la présence anormale de bois flottants par le 97 CGN ou sur information du navigant, l'opérateur stoppe le cycle d'éclusage et appelle l'exploitant qui se rend sur site pour contrÃŽle, mise en oeuvre d'un cycle de dévasage et / ou dégagement avec une perche des bois présents à proximité des rainures ». D'aprÚs d'autres informations recueillies auprÚs de la CNR, un rappel a été fait au niveau des consignes associées à toutes les écluses équipées de portes latérales coulissantes : en cas de présence importante de bois, lancer une chasse et si cela est impossible, faire appel à l'exploitant avant tout éclusage. L'étude des FOH souligne qu'il y a une réelle difficulté pour les opérateurs pour apprécier la quantité de bois à partir de laquelle il peut y avoir une situation dangereuse pour le bateau ou les organes de l'écluse. Elle indique qu'il n'est pas aisé de définir des critÚres et retient l'intérêt d'une évaluation au cas par cas avec l'appui du chef de salle si besoin. Dans son plan d'actions, la CNR a retenu d'engager les études et travaux pour la mise en place d'un dispositif d'injection d'air dans la rainure dans laquelle vient se loger la porte aval de l'écluse de Sablons en fermeture, ainsi que d'une nouvelle vanne de remplissage pour effectuer des chasses aval. Le BEA-TT en prend note et se demande s'il serait possible d'associer ces dispositifs avec un systÚme de repérage d'objets flottants. En cas de bois flottants, cela pourrait contribuer à mieux apprécier leur importance et à les détecter à un pas temporel qui soit déconnecté et, en particulier anticipé, de celui lors duquel l'opérateur s'apprête à procéder à un éclusage. Par ailleurs, il pourrait aussi être envisagé de faire procéder, au moyen de ce systÚme ou des caméras existantes, à une vérification de la présence éventuelle d'embâcles par le chef de salle et avant que celui-ci n'affecte l'écluse concernée à l'un des opérateurs. En outre, la vérification de la présence de bois flottants semble devoir aussi faire partie des tâches de maintenance courante. 5.6.2 - La pratique de l'opérateur de téléconduite lors de l'éclusage accidentel Vu la teneur des échanges radio intervenus entre l'opérateur et le capitaine du bateau, on peut se demander si l'opérateur s'est posé la question de savoir s'il procédait, ou pas, à l'éclusage, alors que le capitaine venait de lui signaler la présence importante de bois. Mais, à ce moment-là, le bateau avait déjà commencé à s'engager dans le sas. Normalement, les caméras peuvent être utilisées pour détecter ou mieux analyser les situations à risque. Bateau PAMPERO dans le sas Lorsque le bateau s'apprête à rentrer dans le sas, des bois flottants sont visibles à l'entrée. Ils sont également visibles au niveau de la porte aval, avant et lors du lancement de la commande de fermeture ainsi que pendant sa fermeture. Compte tenu du signalement effectué à deux reprises par le capitaine, l'opérateur aurait vraisemblablement pu visualiser avec la caméra la présence de ces bois, même si la qualité des images rend cette visualisation plus difficile de nuit. 98 Bois flottants La Directive permanente d'exploitation de la CNR, relative à la téléconduite de l'écluse de Sablons, identifie formellement le risque de coincement d'un bois sur un organe de manoeuvre : « la vigilance est recommandée en présence de bois dans le sas, cette écluse ne comporte pas de moyen de faire des chasses de bois en surface. En cas d'observation de ce genre, avertir les bateaux de la situation. Surveiller la manoeuvre de la porte aval ou de la porte amont qui peuvent embarquer des bois sur la partie latérale en fermeture, ces bois risquent de bloquer la porte ». Lors de son témoignage auprÚs du BEA-TT, l'opérateur a indiqué ne pas avoir souvenir d'avoir visionné le déplacement de la porte lors de sa fermeture. S'il l'avait fait, il n'aurait de toute façon rien pu détecter d'anormal concernant le déplacement proprement dit. Si la séquence s'était produite de jour, il est d'ailleurs tout à fait possible que l'opérateur ait agi de la même façon, c'est-à-dire procéder à l'éclusage, puis remédier aprÚs au problÚme de bois s'il subsiste. Il aurait eu un meilleur visu caméras sur cette présence de bois mais l'appréciation de leur importance aurait pu toujours poser question. Quoi qu'il en soit, la présence de bois ne constitue pas normalement un problÚme pouvant entraîner une rupture de porte. Si c'est réellement un bois qui a bloqué la porte lors de la séquence accidentelle, il aurait dû logiquement entraîner une manoeuvre infructueuse de fermeture, comme les opérateurs peuvent l'observer dans des situations similaires. 5.6.3 - L'utilisation des caméras La mise en place de la téléconduite s'est accompagnée d'une augmentation du nombre de caméras. Elles servent à la visualisation du bateau, à l'approche de l'écluse puis lors de son éclusage, ainsi que de l'écluse et de son environnement. Comme présenté en 2.6.3, les vues des caméras équipant une écluse sont affichées sur trois écrans vidéos au niveau du poste de l'opérateur. Rive gauche Rive droite Plan (CNR) d'implantation des 18 caméras de l'écluse de Sablons Les opérateurs du CGN soulignent que si des évolutions ont progressivement été apportées, certaines caméras sont parfois sales ou, de nuit, les images renvoyées peuvent être de mauvaise qualité, notamment si l'éclairage est faible. La qualité visuelle est d'autant plus importante que l'opérateur n'a pas les bruits. S'agissant de Sablons, ils ont indiqué aux enquêteurs du BEA-TT qu'il faudrait améliorer l'éclairage, et CNR a indiqué l'envisager, ou disposer d'une meilleure caméra de visualisation de la porte aval. La caméra « fixe porte aval » (code : D6) a pour utilisation principale de visionner l'aval de la porte aval. C'est cette caméra qui a permis de visualiser a posteriori la séquence d'apparition des fuites au niveau de la porte puis de rupture de la porte. Il s'agit d'une caméra fixe et celle-ci ne permet pas d'avoir une vue sur l'angle rive droite de la porte. 99 Une fois le bateau rentré dans le sas, cette caméra n'est en général pas regardée par l'opérateur, celui-ci concentrant sa visualisation sur le bateau. La caméra « aval écluse » (code : Aval) est une caméra dÃŽme dont l'utilisation principale, d'aprÚs le descriptif des caméras établi par CNR, est de visionner le bateau lors de son entrée ou de sa sortie du garage ainsi que le ponton de plaisance. Celle-ci pourrait permettre de mieux voir la porte, cela suppose pour cela de la faire pivoter complÚtement de maniÚre à la retourner. Dans la période qui a suivi l'accident, cette caméra a été préréglée de maniÚre à ce qu'elle reste en visu sur la porte et l'un des opérateurs a par ailleurs indiqué avoir changé sa façon de faire, de maniÚre à garder un visu sur les portes, et non pas seulement sur le bateau, lors du remplissage du sas. Les caméras permettent de visionner la porte lors de sa manoeuvre mais ne peuvent pas et n'ont pas à avoir pour fonction de permettre à l'opérateur de contrÃŽler la position fermée de la porte. Cette fonction doit reposer sur un systÚme de contrÃŽle-commande performant et fiable. Toutefois, les caméras peuvent constituer le cas échéant une aide à la détection d'incident, ou comme avec le PAMPERO, une aide à la prise de conscience et à la compréhension en temps réel de l'accident. La note d'instruction interne de la CNR évoquée ci-avant indique que le systÚme vidéo fait partie intégrante du processus de conduite des écluses et qu'il permet, outre l'observation de la manoeuvre des bateaux, « de détecter un incident lors du cycle d'éclusage ainsi que des anomalies et dysfonctionnements des organes manoeuvrant ». Si la configuration d'affichage des images des caméras permet d'avoir une vue générale de l'écluse et que toutes les zones sont observables, la question est de savoir quelles zones sont observées et à quel moment. En pratique, il apparaît que la note met l'accent sur l'attention forte et continue à apporter à la surveillance du bateau et au suivi de ses manoeuvres, compte tenu des enjeux de sécurité liés aux navigants et des risques de dommages aux ouvrages. Sans sous-estimer les enjeux que revêt la surveillance en continu du bateau, le BEA-TT estime que les caméras gagneraient à être utilisées de maniÚre à pouvoir contribuer davantage à la détection d'incident de toute nature et à constituer un outil complémentaire, à visée informative, dans le cadre de la fonction de téléconduite. S'agissant des postes de travail conçus pour la double conduite, le rapport de l'AICPN évoqué ci-avant précise qu'un opérateur peut en principe exécuter en toute sécurité deux processus simultanés ou se chevauchant, à condition qu'une attention particuliÚre soit portée à un seul (sous) processus au cours des étapes critiques (par exemple : ouvrir ou fermer une porte d'écluse) et que l'opérateur ait le contrÃŽle de la vitesse de l'opération (l'opérateur décide si un deuxiÚme processus peut être exécuté). Rappelons qu'au moment de l'accident, l'opérateur du CGN n'avait que l'écluse de Sablons en conduite. En conclusion, le BEA-TT retient que la présence de bois aux abords des écluses peut constituer une situation à risque et invite la CNR à : Formaliser, avec le niveau de précision qu'il est raisonnable d'envisager, les consignes aux opérateurs de téléconduite sur la surveillance de la présence d'embâcles et de divers corps flottants aux abords des écluses et la maniÚre de gérer ces situations. Équiper l'écluse de Sablons de caméras de meilleure qualité et, s'agissant de la caméra visionnant l'aval de la porte aval, permettant de visionner sans angle mort l'espace de fermeture de la porte. Plus généralement, préciser les principes d'utilisation des caméras dans le contrÃŽle du bon déroulement des opérations, de façon cohérente avec les autres outils. Ceci peut impliquer une révision des plans et de la qualité des caméras, voire l'ajout éventuel de témoins visuels sur certains éléments mobiles. 100 5.7 - Les modalités d'amarrage du bateau L'amarrage du bateau lors d'un éclusage vise à maintenir sa stabilité et la sécurité de sa position et à éviter les chocs contre le génie civil ou les équipements de l'écluse. Les textes réglementaires rendent cet amarrage obligatoire et renvoient plutÃŽt aux bonnes pratiques quant à la maniÚre de procéder. En rÚgle générale, le bateau doit être amarré avec deux cordes, une retraite et une garde, l'une empêche le bateau d'avancer et l'autre l'empêche de reculer. Quant aux lieux d'attache des cordes, au niveau du bateau et de l'écluse, plusieurs techniques sont possibles en fonction notamment de la configuration du bateau, du nombre et de la disposition des bollards d'écluse disponibles. D'aprÚs les informations recueillies auprÚs des opérateurs du CGN, les pratiques d'amarrage sont assez diverses, selon les types de bateaux et les sociétés concernées, certains automoteurs utilisent parfois une seule corde d'amarrage. Au titre des bonnes pratiques, les opérateurs doivent avoir la confirmation par le navigant qu'il est amarré et le vérifier à l'aide des caméras. Lors de l'éclusage du PAMPERO, l'opérateur paraît avoir effectué cette vérification tardivement. AprÚs l'accident, la CNR a établi l'instruction suivante : « Le CGN ne lance pas l'éclusage tant qu'il n'a pas confirmation de la part du pilote de son bon amarrage et de l'arrêt de ses propulseurs ». Lors de l'accident, le PAMPERO était amarré avec deux amarres, placées à l'avant du bateau et rattachées à un bollard de l'écluse, le troisiÚme en partant de l'amont et situé en rive gauche. Les amarres étaient placées au niveau des bollards latéraux du bateau qui sont plus petits que les bollards situés à l'avant et à l'arriÚre. Cela peut s'expliquer par une plus grande facilité d'atteindre, à partir des bollards latéraux du bateau, le bollard d'écluse auquel s'arrimer. La société CFT Gaz a précisé que la manoeuvre avec les bollards de devant est plus risquée pour les matelots, car elle implique que ceux-ci doivent se pencher beaucoup plus pour atteindre le bollard de l'écluse. Représentation des deux amarres du bateau, telle qu'identifiée à partir des vidéos de l'éclusage Lors de l'accident et comme évoqué en 3.3.3, les amarres ont cassé rapidement, une fois que le sas a commencé à se vider précipitamment et aprÚs le brusque mouvement de recul et d'inclinaison du bateau que cela a induit. Elles ne sont pas conçues pour pouvoir résister à un telle situation. À titre de comparaison, le standard européen établissant les prescriptions techniques des bateaux de navigation intérieure (ES-TRIN) prévoit une charge de rupture minimale pour les câbles ou les cordes d'amarrage, qui est calculée en fonction des dimensions du bateau. Pour le PAMPERO, le calcul donne une valeur de 191 kN, soit 19 tonnes environ, ce qui fait peu pour pouvoir retenir un bateau aspiré par la vidange brutale du sas et comparé par exemple à son port en lourd (2 300 t). En conclusion, le BEA-TT ne formule pas de recommandation à ce sujet. 101 ANNEXES Annexe 1 : Décision d'ouverture d'enquête Annexe 2 : Les principaux dégâts sur le bateau Annexe 3 : Le systÚme de contrÃŽle-commande de l'écluse de Sablons Annexe 4 : Le rapport d'analyse et les expertises de la CNR · L'analyse des temps de manoeuvre en fermeture de la porte · L'analyse des vidéos par méthode photogrammétrique · L'étude mécanique et cinématique de la porte en cas de blocage et le scénario de l'accident retenu par la CNR · L'expertise métallurgique des piÚces de fixation Annexe 5 : Schéma illustrant le positionnement de la position de la porte en cas de blocage Annexe 6 : Modélisation graphique d'analyse de l'accident établie avec le BARPI Annexe 7 : La directive sur les machines, les dispositions du Code des transports sur la sécurité des ouvrages de navigation · La directive européenne relative aux machines · Les dispositions relatives à la sécurité des infrastructures de transport 102 Annexe 1 : Décision d'ouverture d'enquête 103 Annexe 2 : Les principaux dégâts sur le bateau (extraits du document « scénario de réparation » établi par la société ECO pour CFT GAZ) Le navire est endommagé sur quatre zones 104 105 Annexe 3 : Le systÚme de contrÃŽle-commande de l'écluse de Sablons Le systÚme de contrÃŽle-commande de l'écluse de Sablons a été mis en service en mars 2011, suite à une rénovation de l'installation électrique et des automatismes. Il est composé : d'un automate dit APN (automate programmable normal), qui gÚre l'ensemble de la conduite des processus de l'écluse ; d'un automate dit CSU (chaîne de sécurité ultime) qui joue un rÃŽle de contrÃŽle encadrant et assure l'encadrement supplémentaire de la sécurité de fonctionnement. Les automates sont reliés à une interface opérateur (IHM), permettant à l'opérateur de disposer des données remontées par l'automate et d'envoyer à celui-ci des commandes. L'automate APN assure les fonctions suivantes : L'acquisition des données des capteurs. En plus des capteurs associés au treuil et à la position de la porte aval, tels que présentés ci-avant, figurent les capteurs dédiés à la porte amont, les capteurs de position des vannes du sas, qui sont, par sécurité, doublés pour chacune des quatre vannes, ainsi que les capteurs de mesure du niveau d'eau, à l'amont, à l'aval et à l'intérieur du sas, qui sont également doublés. Le contrÃŽle de cohérence des demandes de l'opérateur avec l'état de l'écluse . L'enchaînement des séquences de manoeuvre des organes et le pilotage de l'ensemble des actionneurs, tels que les freins et les moteurs. Les contrÃŽles de sécurité et les contrÃŽles de cohérence de la position des organes entre eux, via un certain nombre d'équations de défaut paramétrées dans l'automate et, en cas d'anomalie détectée, la génération de défauts qui arrêtent le processus. Les séquences sont traitées par l'automate sous forme de « grafcet19 », c'est-à-dire de graphique logique décrivant des étapes et où le passage d'une étape à la suivante est conditionné par des variables internes calculées dans l'automate. Celui-ci dispose ainsi de plusieurs graphes : cycle montant, cycle avalant, fermeture de la porte aval, remplissage, ouverture d'une vanne de remplissage, etc. L'automate surveille et peut donc générer différents types de défaut, en lien avec une anomalie de fonctionnement d'un organe ou du processus d'éclusage. Chaque défaut généré par l'automate est mémorisé et n'est acquittable que si ses conditions d'apparition ont disparu. Ils sont principalement de deux types : Les défauts non bloquants constituent des anomalies qui n'ont pas d'impact sur la sécurité du processus et qui sont à analyser par l'exploitant dans le cadre de ses missions de suivi d'exploitation. Les défauts bloquants arrêtent automatiquement le processus avec mise en sécurité de l'écluse, sans énergie électrique. L'automate de sécurité dispose de ses propres capteurs associés à la position des portes et des vannes ainsi qu'à la mesure des niveaux d'eau. Il réalise, avec ses capteurs, des contrÃŽles de sécurité et de cohérence relatifs aux organes, en nombre plus limité et donc indépendamment de ceux réalisés par l'automate de pilotage. Les deux automates assurent également une fonctionnalité d'actions sur les équipements électriques, et donc des motorisations des portes ou des vannes pour la mise en sécurité de l'écluse. 19 Graphe Fonctionnel de Commande des Étapes et Transitions 106 Annexe 4 : Le rapport d'analyse et les expertises de la CNR Dans le cadre de sa démarche d'analyse de l'accident, la CNR a mené des études approfondies et fait réaliser certaines expertises complémentaires. L'analyse des temps de manoeuvre en fermeture de la porte Une analyse détaillée des temps de manoeuvre de la porte a été conduite, à partir d'une décomposition basée sur le séquentiel de fermeture, illustré ci-aprÚs, et d'une comparaison avec les moyennes correspondantes, calculées sur les 3 616 fermetures réalisées durant la période comprise entre le 1.01.2019 et le 17.02.2020. Séquentiel du processus de fermeture de la porte (source CNR). La durée du séquentiel de fermeture a été de 127,6 secondes le jour de l'accident, soit 2 minutes et 7 secondes. La moyenne est de 116 secondes. Le temps de manoeuvre de la porte, compté entre l'étape de démarrage du moteur et l'activation des deux derniers capteurs de position fermée de la porte, soit, grosso modo, la durée du séquentiel sans compter l'étape initiale dénommée « étape -3 », a été de 114,1 secondes le jour de l'accident. La moyenne est de 101,6 secondes. Le temps de manoeuvre jusqu'à l'atteinte du capteur de ralentissement est dans la moyenne. L'écart entre le temps de fermeture lors de l'accident et la moyenne apparaît se situer au moment de l'atteinte des trois capteurs de position fermée de la porte, donc dans les derniers centimÚtres du déplacement : le capteur de l'automate de sécurité a été atteint 8 secondes aprÚs l'activation du capteur de ralentissement, contre 5 secondes en moyenne ; les deux capteurs de l'automate de pilotage ont été atteints 13 secondes aprÚs celui de l'automate de sécurité, contre 2,6 secondes en moyenne. 107 L'analyse des vidéos par méthode photogrammétrique L'analyse a été réalisée par la société SITES à partir des vidéos donnant une vue sur l'aval de la porte accidentée et sur le chariot, soit les deux caméras à partir desquelles sont extraites les illustrations figurant aux points 3.3.2 et 4.4 du présent rapport. Elle porte sur le déplacement et la position de la porte lors de l'éclusage du PAMPERO et par comparaison avec les 10 éclusages précédents et aboutit aux résultats ci-aprÚs. L'incertitude horizontale de la mesure est de l'ordre de 10 mm et en vertical de 20 mm. Éclusage précédent (sens de fermeture de la porte) Les résultats montrent que la porte était mal fermée lors de l'éclusage du PAMPERO. Ainsi, à la fin de sa fermeture et avant le remplissage du sas, le décalage, et donc le défaut de fermeture, était de 40 cm (+/-1cm) environ en direction de la rive gauche. Lors des 10 éclusages précédents, les décalages horizontaux sont de 1 cm maximum. Sur le plan vertical, le décalage de la porte sur son cÃŽté rive gauche était de 9 cm (± 2 cm) environ vers le haut. Sur son cÃŽté rive droite, le décalage vertical, et donc le soulÚvement de la porte, est inférieur à ce qui est observé en rive gauche, sans pouvoir le quantifier précisément. On peut supposer que la porte était plus élevée cÃŽté rive gauche que rive droite. Juste avant la rupture, la porte s'est décalée d'une quinzaine de cm supplémentaires vers la rive gauche, comme pour un mouvement d'ouverture, pour se retrouver in fine décalée de presque 60 cm sur le plan horizontal. Il apparaît donc que la porte devait être à peine insérée dans sa rainure en rive droite lorsqu'elle s'est fermée et ce d'autant moins au niveau de sa partie inférieure et que, juste avant sa rupture, elle a dû enregistrer un recul en direction de la rive gauche, ce qui la fait sortir complÚtement de sa rainure en rive droite. La CNR a identifié que le filet d'eau, qui se met en place entre les caissons B et C de la porte, illustré au point 3.3.2 du présent rapport, s'initie à 00h24min12sec et 384 milliÚmes et que l'élément C cÚde à 0 h 24 min 13 s et 184 milliÚmes, sachant que le caisson B n'est pratiquement pas visible lors de cette séquence. Le filet d'eau paraît donc s'être mis en place au moment où la porte s'est retrouvée complÚtement en dehors de la rainure, vu le décalage de 55 cm qui est alors mesuré. Les éléments se rapportant au chariot paraissent moins significatifs. 108 L'étude mécanique et cinématique de la porte en cas de blocage et le scénario de l'accident retenu par la CNR En termes de conception, il était considéré que l'ensemble formé par la porte, les brimbales et le chariot de manoeuvre était indéformable dans l'axe du mouvement de translation, autrement dit que les déplacements du chariot et de la porte sont identiques. Or, l'analyse de l'accident montre que le chariot a atteint une position correspondant à celle d'une porte fermée, sans que ce ne fut le cas pour ladite porte. « Afin d'expliquer ce phénomÚne qui contredit l'objectif de rigidité voulu par le concepteur », la CNR a étudié, avec l'appui d'une modélisation, comment se répartissent les efforts dans le systÚme de suspension de la porte, dans une configuration où : la porte est bloquée dans son avancement par un obstacle en partie inférieure, comme le serait un obstacle flottant ; ce dernier a été positionné au niveau haut du caisson B de la porte (ce qui correspond au niveau de l'eau au moment de la fermeture de la porte) ; « le systÚme de contrÃŽle de la charge du treuil n'est pas fonctionnel, le treuil étant alors capable de délivrer un effort supérieur à ce qui est nécessaire pour l'installation ». Si un obstacle s'oppose au mouvement de la porte, l'effort de blocage va être équilibré par le treuil qui applique alors un effort strictement opposé en partie haute de la porte. Les résultats indiquent qu'une valeur d'environ 58 kN au niveau du chariot représente la limite au-delà de laquelle les brimbales en Y, sur leur cÃŽté rive gauche, ne sont plus tendues et deviennent soumises à un effort de compression. Les brimbales étant trÚs élancées, elles sont sensibles au flambement 20 lorsqu'elles sont comprimées, rendant ainsi la position de la porte découplée de celle du chariot de manoeuvre. « Dans de tels cas, le contrÃŽle de la bonne position du chariot en fin de course ne permettrait a priori pas de garantir que la porte est fermée correctement ». L'analyse cinématique montre que dans une telle configuration, et pour que le chariot se retrouve in fine en position nominale de fermeture et avec une porte en retrait de 40 cm, cela implique que la porte effectue une légÚre rotation par rapport à la position verticale d'origine et donc que les différents caissons de la porte ne sont pas tous engagés de la même maniÚre dans la rainure en rive droite, l'écart entre le haut et le bas pouvant dépasser 10 cm. Des modÚles de calcul ont ensuite permis de déterminer que l'effort qu'il est nécessaire de délivrer au niveau du treuil pour placer la porte dans cette configuration pourrait s'élever à prÚs de 51 kN, et même un peu moins dans le cas où la porte serait bloquée par un obstacle situé au niveau de ses galets de guidage inférieurs. Il est donc compatible avec la capacité maximale du treuil, qui a été calculée à 52,1 kN à partir des caractéristiques du tambour, du moteur et du variateur, étant précisé que l'effort au treuil normalement nécessaire pour déplacer la porte est de 17,65 kN et que le câble de traction est surdimensionné d'un facteur 8. En synthÚse, la CNR indique que : « Les analyses précédentes montrent qu'un blocage de la porte, soit au niveau du plan d'eau aval, soit plus bas, associé à une défaillance du dispositif qui contrÃŽle l'effort délivré par le treuil, conduit à la perte du couplage rigide entre le chariot de manoeuvre et la porte, dans la direction de l'axe de translation rive gauche/ rive droite : le déplacement de la porte ne correspond plus au déplacement du chariot. 20 Cette notion s'applique généralement à des poutres élancées qui, lorsqu'elles sont soumises à un effort normal de compression, ont tendance à fléchir et se déformer. 109  Avec un chariot en position de fin de course nominale rive droite, la porte peut alors être trÚs faiblement engagée en partie supérieure, tout en n'étant pas engagée du tout en partie basse. Dans ces conditions d'appui dégradées pour laquelle la porte n'est pas dimensionnée, la porte ne peut pas supporter la poussée de l'eau et sa rupture en charge est alors inévitable ». La CNR retient ce scénario comme étant celui ayant causé l'accident et explique dans son rapport d'analyse l'enchaînement des phénomÚnes : « Le mauvais positionnement de la porte dans sa rainure, conduit à un mauvais alignement des lisses de la porte avec les piÚces fixes. Lors du remplissage du sas, ce mauvais alignement conduit à : une mauvaise reprise des efforts hydrostatique de la porte par les piÚces fixes situées en rive droite et en rive gauche ; un matage des boulons des lisses de l'élément C qui sont en face des piÚces fixes ; un matage par la lisse de l'élément A des piÚces fixes situées en rive droite ; une mauvaise étanchéité en rive droite et en rive gauche de la porte. Lors du remplissage, basé sur le principe de la genouillÚre, un effort rive-rive conduit à déplacer la porte vers le garage, ce qui conduit à la dégager des piÚces fixes. Sous l'effet de la charge hydrostatique non reprise par les piÚces fixes, les fixations des éléments de la porte (indexage & bretelles) rompent en rive droite. Puis, les éléments B et C s'articulent autour des piÚces fixes rive gauche du sas, ce qui conduit à les marquer à environ 1 m du bord. Ci-dessous, la position probable lors de la rupture de la porte ». Le rapport d'analyse de l'accident établi par la CNR présente de maniÚre détaillée les constats réalisés sur les éléments de la porte et sur le génie civil de l'écluse. La derniÚre étape du processus d'investigation a consisté pour la CNR à comparer les éléments du scénario issus de la modélisation et les désordres effectivement constatés. L'expertise métallurgique des piÚces de fixation Une expertise métallurgique des piÚces de fixation des éléments de liaison des quatre caissons de la porte a été réalisée par la société CETIM. Elle a permis d'approfondir les constats réalisés par la CNR et conclut : Sur l'ensemble des éléments examinés, aucun défaut de réalisation, sur les soudures notamment, et aucune anomalie sur les matériaux ayant pu avoir une influence sur l'occurrence et la manifestation de la défaillance n'a été décelé. Aucun signe de dégradation préliminaire à l'évÚnement pendant lequel la défaillance s'est manifestée et qui aurait pu concourir à celle-ci n'a été observé. En particulier, aucun caractÚre de rupture progressive par fatigue n'a été décelé. 110 Annexe 5 : Schéma sur le positionnement de la porte en cas de blocage Le BEA-TT a regardé, sur le plan géométrique, quel avait pu être le comportement de la porte, si celle-ci avait été bloquée dans son avancement par un obstacle positionné au niveau haut du caisson B de la porte, comme le serait un obstacle flottant. Le schéma illustratif correspondant est présenté ci-aprÚs, le schéma en premiÚre position illustrant la position d'une porte correctement fermée. Le positionnement réel de la porte au moment de l'accident n'est pas connu, ce schéma ne représente qu'une hypothÚse de blocage où l'obstacle est positionné en travers de la rainure en rive droite 111 Annexe 6 : Modélisation graphique d'analyse de l'accident du BARPI L'objectif poursuivi par le BARPI (Bureau d'analyse des risques et pollutions industrielles) est de capitaliser, analyser, partager l'ensemble du retour d'expérience tiré des événements industriels. Sa base de données ARIA (analyse, recherche et informations sur les accidents) couvre un large éventail d'événements survenus dans des secteurs d'activités aux spécificités trÚs différentes : www.aria.developpement-durable.gouv.fr. Le BARPI a développé une méthodologie d'analyse afin d'identifier les causes profondes d'un événement. L'investigation peut ainsi faire apparaître des perturbations (ou causes premiÚres) et des causes profondes. Les perturbations désignent les défaillances directes qui ont contribué à l'événement. Elles sont accessibles à l'observation. Les causes profondes, situées en amont des causes apparentes, sont des dysfonctionnements du systÚme socio-technique où s'est déroulé l'accident. Elles renvoient généralement à des dimensions relevant des facteurs humains et des dimensions organisationnelles et managériales pour lesquelles des actions pérennes doivent être engagées afin d'éviter la survenue d'un événement similaire. Conçue comme une boîte à outils simple, la méthodologie du BARPI a été développée pour apporter une vision synthétique de l'enchaînement causal : 112 113 Annexe 7 :La directive sur les machines, les dispositions du Code des transports sur la sécurité des ouvrages de navigation La directive européenne relative aux machines La directive 2006/42/CE du 17 mai 2006, dite « directive Machines », dont la premiÚre version date de 1989, constitue l'une des principales législations relatives à la sécurité des machines. Elle est devenue applicable fin 2009 et fait l'objet d'un guide d'application dont la derniÚre édition date de juin 2010. Elle vise à harmoniser les exigences de santé et de sécurité relatives aux machines au sein de l'union européenne. Elle a été transposée en droit français dans le Code du travail, à partir du décret n° 2008-1156 du 7 novembre 2008. D'aprÚs les articles R. 4311-1 et R. 4312-1 dudit code, les dispositions correspondantes s'appliquent aux machines neuves ou considérées comme neuves, c'est-à-dire n'ayant pas été effectivement utilisées dans un État membre. Elle définit une machine comme un ensemble équipé d'un systÚme d'entraînement et composé de piÚces ou d'organes liés entre eux, dont au moins un est mobile, et qui sont réunis de façon solidaire en vue d'une application définie. Elle implique de réaliser une démarche d'évaluation et de réduction des risques et de la documenter dans un dossier technique, qui doit démontrer que la machine est conforme aux exigences de la directive qui lui sont applicables et qui doit couvrir la conception, la fabrication et le fonctionnement de la machine. Au titre des mesures de contrÃŽle, le Code du travail indique que les ministres concernés, dont celui chargé de l'industrie, peuvent chacun en ce le concerne, demander communication de ce dossier technique. L'évaluation des risques repose sur l'identification des dangers potentiels générés par la machine ou par son utilisation et des situations dangereuses associées, pouvant porter atteinte à la sécurité des opérateurs et des autres personnes exposées. Elle prend en compte la gravité des dommages et la probabilité de survenue, étant précisé que, selon la directive, une faible probabilité d'occurrence peut cependant toujours engendrer un risque grave si des atteintes à la santé, graves ou mortelles, peuvent en résulter. La prise en compte du risque doit se faire en priorité au niveau de la conception, par des solutions améliorant la sécurité intrinsÚque et avec l'objectif de suppression du risque. Lorsque ce n'est pas possible ou s'il subsiste des risques résiduels, des protections techniques doivent être mis en oeuvre, par exemple : barriÚre matérielle, dispositifs de verrouillage, dispositifs permettant de compenser un manque de visibilité directe. Une information doit être réalisée à l'attention des personnes concernées vis-à-vis du danger et des risques résiduels, par exemple : signaux, indications, consignes d'utilisation. La directive précise que la premiÚre étape du processus d'évaluation des risques consiste à déterminer les limites de la machine en envisageant son usage normal et également tout mauvais usage raisonnablement prévisible. Les paramÚtres dont dépend l'utilisation sûre de la machine et leurs limites doivent être précisés. Des mesures doivent être prises pour empêcher l'usage anormal prévisible qui engendrerait un risque. La notice d'instruction de la machine doit préciser les limites aux conditions d'utilisation prises en compte dans l'évaluation des risques et dans la conception de la machine. Elle doit comprendre une description des opérations de réglage et d'entretien devant être effectuées avec leur fréquence, ainsi que la liste des éléments devant être réguliÚrement contrÃŽlés, avec la précision sur la nature des inspections ou essais nécessaires. Si la directive vise en premier lieu la sécurité des utilisateurs de machine et en particulier celle des travailleurs, du fait des risques de l'emploi de la machine sur le lieu de travail, il 114 est à noter qu'elle couvre également la sécurité des tiers, en visant, plus largement, à prévenir les risques pour toutes les personnes exposées. La définition du terme « personne exposée » lui donne un sens trÚs large. Le guide d'application précise par ailleurs que la directive s'applique aux machines utilisées par des travailleurs ainsi qu'à celles qui sont destinées à être utilisées par des consommateurs ou à fournir un service aux consommateurs. Dans le cas d'une écluse, il s'agit d'une situation encore plus évidente, puisque l'emploi de la machine est, dans sa zone d'usage, avec un tiers, qui est un naviguant. Le Cerema confirme qu'il est connu qu'une écluse est une machine au sens de la directive machine et plusieurs rapports de l'AIPCN abordent le sujet de la réalisation, pour les écluses, d'une évaluation des risques au sens de la directive. Celle-ci est différente d'une étude de danger au sens de la réglementation sur les ouvrages hydrauliques, même si les méthodologies peuvent être comparables. Elles n'ont pas le même objectif ni, sans doute, la même échelle de caractérisation de la gravité des risques. L'étude de danger paraît plus globale et est ciblée sur les risques aux ouvrages et d'inondation, tandis que la directive machine implique une étude de sécurité de l'ouvrage qui est plus détaillée et dans laquelle le risque pour les navigants qui empruntent l'écluse est au coeur de la réflexion. Les écluses qui ont été conçues antérieurement à la directive n'ont pas obligation de satisfaire à ses exigences, mais il est recommandé d'analyser leur fonctionnement au regard de cette directive. L'AICPN souligne que les propriétaires d'écluses doivent garder à l'esprit que l'objectif de la directive est de rendre les machines sécuritaires vis-à-vis des personnes concernées et que la réalisation d'une évaluation des risques sur les ouvrages pré-existants peut constituer une base pour des améliorations de sécurité. Réglementairement, la directive s'applique à la construction d'une nouvelle écluse, et également, d'aprÚs le guide d'application et les publications de l'AICPN, dans le cas de la reconstruction d'un équipement structurant et de modifications significatives apportées vis-à-vis d'un ouvrage existant ou ayant un impact substantiel sur le fonctionnement ou la sécurité de l'ensemble. Les dispositions relatives à la sécurité des infrastructures de transport La loi n° 2002-3, dite loi « SIST »21 a introduit des dispositions relatives à la sécurité des infrastructures et systÚmes de transport, qui ont été codifiées dans le Code de la voirie routiÚre, pour ce qui concerne la route et les tunnels, et dans le Code des transports, via les articles L. 1611-1 à L. 1614-3, qui concernent notamment les systÚmes de transport public guidé, ainsi que les ouvrages d'infrastructure de navigation intérieure ou portuaire « dont l'exploitation présente des risques particuliers pour la sécurité des personnes ». Les dispositions du Code des transports peuvent se résumer comme suit : Avant l'engagement des travaux de construction ou de modification substantielle d'un systÚme de transport ou d'un ouvrage d'infrastructure, le maître d'ouvrage doit adresser au représentant de l'État un dossier préliminaire accompagné d'un rapport sur la sécurité établi par un expert ou un organisme qualifié, agrée ; La mise en service de ces systÚmes ou ouvrages est subordonnée à une autorisation délivrée par le représentant de l'État, en fonction des garanties de sécurité offertes par leurs caractéristiques et leurs modalités d'exploitation. Cette autorisation vaut approbation des prescriptions d'exploitation qui sont établies par le maître d'ouvrage et 21 Loi du 3 janvier 2002 relative à la sécurité des infrastructures et systÚmes de transport, aux enquêtes techniques aprÚs évÚnements de mer, accident ou incident de transport terrestre ou aérien et au stockage souterrain de gaz naturel, d'hydrocarbures et de produits chimiques 115 qui comportent, au moins, un examen périodique de sécurité par un expert ou par un organisme qualifié, agréé. Ces principes généraux ont été déclinés dans la partie réglementaire du code, par les articles R. 1612-1 à R. 1614-1 et R. 5311-3 à R. 5311-9, pour ce qui concerne les systÚmes de transport guidé et les ouvrages d'infrastructure portuaire maritime. S'agissant des ouvrages d'infrastructure de navigation intérieure, un projet de décret avait été préparé, comme le prévoit le Code des transports, pour préciser les conditions d'application de ces dispositions générales et les catégories d'ouvrages concernés. Le BEA-TT a pu prendre connaissance de deux versions de ce projet, l'une établie en 2002 et l'autre en 2010, dont les éléments les plus saillants sont présentés ci-aprÚs. Il était ainsi prévu que soient concernés les écluses, du moins, selon les versions, celles à grand gabarit, les ascenseurs à bateau, les ponts mobiles et les tunnels de navigation, du moins ceux de 1000 m de long et plus, selon les versions. La premiÚre version apporte des précisions de fond, qui, pour certaines, relÚveraient sans doute davantage d'un arrêté plutÃŽt que d'un décret. Elle précise que l'ouvrage est à considérer avec tous les éléments concourant à son fonctionnement et présente les bases d'un dispositif d'agrément pour des experts ou organismes qualifiés. Comme la directive machine, elle énonce, pour la conception d'un nouvel ouvrage ou d'une modification substantielle apportée vis-à-vis d'un ouvrage existant, des principes d'exigences de sécurité et de réduction, autant que possible, des risques pour les usagers, les personnels et les tiers. La notion de modification substantielle, présentée dans la seconde version du projet de décret, paraît plus adaptée et proche de celle évoquée dans le cadre de la directive machine, mais mériterait d'être précisée. Elle précise que le dossier préliminaire de la sécurité correspondant, qui est à constituer par le maître d'ouvrage, doit montrer que le projet permet d'atteindre cet objectif de sécurité, à partir notamment des caractéristiques techniques et fonctionnelles de celui-ci et dans des conditions envisagées d'exploitation et de maintenance, et de prendre en compte les risques naturels et technologiques susceptibles d'affecter l'ouvrage. L'organisme extérieur agréé est chargé, sur la base de ce dossier préliminaire, d'assurer l'évaluation de la sécurité de l'ouvrage, ainsi que la vérification de ses capacités initiales et de leur maintien dans le temps au regard de l'objectif de sécurité. Il vérifie en particulier que la conception est conforme aux rÚglements existants et aux rÚgles de l'art. L'autorisation de mise en exploitation d'un nouvel ouvrage ou, aprÚs réalisation d'une modification substantielle, d'un ouvrage existant, est délivrée au vu d'un dossier de sécurité, établi par le maître d'ouvrage, comprenant par ailleurs un rÚglement de sécurité et de police de l'exploitation et un plan d'intervention de sécurité. Le projet de décret prévoyait que cette obligation d'autorisation s'applique également aux ouvrages existants, avec un délai pour une mise en conformité sur ce point. La durée de validité de celle-ci et l'intervention éventuelle de l'organisme extérieur agréé ne sont pas précisées. L'apport du projet de décret d'application de la loi SIST, par rapport à la directive machine, concerne les modalités de prise en compte des conditions d'exploitation et de maintenance de l'ouvrage au regard de l'objectif de sécurité, l'intervention d'un organisme extérieur agréé qui apporte un double regard et une évaluation vis-à-vis de la démarche du maître d'ouvrage, ainsi que l'applicabilité des dispositions aux ouvrages existants. 116 Bureau d'E nquêtes sur les Ac cidents de T ransport T errestre · Grande Arche - Paroi Sud 92055 La Défense cedex Téléphone : 01 40 81 21 83 Télécopie : 01 40 81 21 50 bea-tt@developpement-durable.gouv.fr www.bea-tt.developpement-durable.gouv.fr  INVALIDE)