Barrage de Puylaurent 250 ©RTE 2004 Annexe 44 AA 4 Annexe Les grands grands incidents incidents Les travers le le monde monde àà travers A.4.1 A.4.2 A.4.3 A.4.4 A.4.5 A.4.6 A.4.7 Introduction France : incident du 19 décembre 1978 France : incident du 12 janvier 1987 Québec : incident du 18 avril 1988 Italie : incident du 24 août 1994 États-Unis : les grandes pannes de l’été 1996 Les grandes pannes de l'année 2003 251 ©RTE 2004 EDF - CPT de Cordemais 252 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde A.4.1 INTRODUCTION La sûreté de fonctionnement des systèmes électriques constitue un enjeu permanent. En dépit des lignes de défense existant au niveau des différents systèmes électriques, ceux-ci ne sont pas à l’abri d’incidents généralisés, conduisant à des délestages de clientèle de grande ampleur. L’incident ayant affecté le système français le 19 décembre 1978, où 75 % de la consommation nationale furent perdus, est encore dans les mémoires. Cet incident, certes ancien, est le plus grave qu’ait connu EDF depuis la fin de la période de pénurie de l’après-guerre. Moins d’une décennie plus tard, l’incident du 12 janvier 1987, initié par les déclenchements successifs des groupes de production de Cordemais, près de Nantes, où l’alimentation de l’Ouest de la France fut interrompue, est venu rappeler les exploitants des systèmes électriques à la vigilance. Depuis, plusieurs autres incidents généralisés se sont produits de par le monde et ont privé d’électricité des millions de clients. On peut notamment citer les grandes pannes ayant touché le Québec en 1998, la moitié sud de l’Italie en 1994, l’ouest des États-Unis en 1996 et, plus récemment, les incidents qui ont affecté en 2003 l’est des États-Unis et du Canada d’une part, le sud de la Suisse et toute l’Italie d’autre part. Ces événements nous rappellent comment des anomalies plus ou moins importantes du système de défense peuvent se conjuguer pour compromettre gravement la sûreté du Système, en raison des quatre phénomènes décrits au § 2.3 et souvent de leur combinaison : - cascade de surcharges, - écroulement de tension, - écroulement de fréquence, - rupture de synchronisme. L’analyse du déroulement de quelques-uns de ces grands incidents permet d’illustrer ces phénomènes et de mieux comprendre leur origine. Bien que les systèmes de défense et les dispositions prises par les diverses compagnies différent, l’examen détaillé de ces incidents et de la succession des événements ayant conduit à l’écroulement total ou partiel du réseau, est généralement riche d’enseignements sur les dysfonctionnements qui ont pu s’opérer sur les lignes de défense mises en place, ainsi que sur les améliorations qu’il convient d’apporter. 253 ©RTE 2004 Partie du réseau français encore sous tension le 19 décembre 1978 à 8 h 26 immédiatement après le premier effondrement Évolution de la tension sur le réseau 400 kV de l’ouest de la France lors de l’incident du 12 janvier 1987 254 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde A.4.2 FRANCE : 1978 (CASCADE ÉCROULEMENT DE LA MAJEURE PARTIE DU RÉSEAU) INCIDENT DU 19 DÉCEMBRE DE SURCHARGES ET Par temps froid et couvert, la montée de charge s’avère ce jour-là plus rapide et plus importante que prévue (38 500 MW appelés). Le parc de production disponible est utilisé au maximum de ses possibilités (active et réactive) et plus de 3 500 MW sont importés des pays voisins, principalement d’Allemagne. L’accroissement de la charge augmente les transits, déjà élevés, de l’Est vers la région parisienne et les tensions s’avèrent, de ce fait, très basses dans une grande partie du réseau (région parisienne, Ouest). À partir de 8 heures, des surcharges sont constatées sur le réseau et, à 8h06, une alarme "surcharge 20 minutes" apparaît sur la ligne 400 kV Bézaumont-Creney dans l’est de la France. Malgré diverses manœuvres sur la topologie du réseau, cette surcharge ne peut être réduite et la ligne déclenche sous l’action de sa protection à 8h26. Sur le report de charge, trois lignes 225 kV déclenchent par surcharge. Puis les quatre groupes de Revin s'effacent (du fait de leur protection de surintensité). Une interconnexion 400 kV avec la Belgique déclenche alors et la tension baisse encore. Le déclenchement (mal expliqué) d'une nouvelle interconnexion 400 kV avec la Belgique s'accompagne d'une chute de tension supplémentaire et de la perte de stabilité d'une grande partie du réseau. Dans la phase suivante, s'enchevêtrent ouvertures de lignes et déclenchements de groupes (du fait notamment de leurs protections à minimum de tension et à minimum de fréquence). Des sous-réseaux isolés se forment, où le bilan production-consommation ne peut être rétabli (délestages insuffisants, pertes de groupes). 75 % de la consommation sont perdus, même si le Sud-Est de la France et des bandes voisines des frontières Nord et Est restent sous tension. De nombreux groupes n'ont pas réussi leur îlotage. Une première reprise trop rapide conduit à un nouvel écroulement du réseau à 9h08. Une reprise plus prudente, s'appuyant sur les groupes hydrauliques et l'étranger, permet une reconstitution quasi totale du réseau vers 12 heures. Pour la clientèle, les coupures auront duré entre 30 minutes et 10 heures. Cet incident, résultant d'une gestion tendue du réseau (transits élevés et tensions basses dans certaines zones) et d'une cascade de surcharges, a clairement montré que le plan de défense de l’époque a été débordé : les délestages ont été insuffisants, les déclenchements de groupes sont apparus trop tôt sur des critères de minimum de tension et le découpage du réseau a été mal réussi. La reprise de service également n'a pas été satisfaisante. De nombreuses actions ont été entreprises, suite à cet incident, afin d'améliorer ces divers éléments. 255 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde A.4.3 FRANCE : INCIDENT DU 12 JANVIER 1987 (EFFONDREMENT DE TENSION ET COUPURES DANS L’OUEST) Même si la journée du 12 janvier est particulièrement froide (l’"alerte grand froid" a été déclenchée depuis le vendredi précédent), les groupes de production disponibles sont tous démarrés et permettent d'assurer une marge de production satisfaisante (5 900 MW) et une tension normale dans l'Ouest (405 kV à Cordemais). C'est alors qu'en moins d'une heure, de 10h55 à 11h42, les groupes 1, 2 et 3 de Cordemais tombent en panne pour des causes indépendantes (défaillance d'un capteur, explosion d'un pôle du coupleur électrique, arrêt à la suite d'un incendie). Le dernier groupe disponible, qui est suffisant pour maintenir la tension de la zone, déclenche par suite d’un réglage inadapté de la protection de courant rotor maximum et de la perturbation créée par la perte du groupe n° 3. La perte de la production de Cordemais entraîne, dans la zone, une baisse brusque de la tension, qui atteint 380 kV. Celle-ci se stabilise environ 30 secondes, mais les régleurs des transformateurs 225 kV/HT et HTB/HTA, en tentant de rétablir une tension normale, provoquent une remontée de la consommation et la tension recommence à baisser rapidement. En quelques minutes, neuf groupes thermiques proches de la zone déclenchent successivement, engendrant une perte de puissance de 9 000 MW et entretenant le mouvement de baisse de la tension. Des ordres de délestage sont alors envoyés et, à 11h50, la tension se stabilise, mais à un niveau très bas dans l'Ouest, inférieur à 300 kV (cf. page 158 le plan de tension sur le réseau 400 kV au moment le plus critique). Devant cette situation très précaire, qui met en danger le réseau national, le dispatching décide de délester 1 500 MW sur la Bretagne et la région d'Angers, ramenant la tension du réseau à son niveau normal. À partir de 12 heures, la situation étant bien maîtrisée, la remise sous tension du réseau délesté peut être entreprise. Elle sera longue, du fait de la difficulté à recoupler un nombre suffisant de groupes proches de la Bretagne et de la Normandie, qui ne se sont pas îlotés lors de l'incident. La réalimentation complète de ces régions ne s'opérera que dans la nuit, lorsque deux, puis trois groupes, fonctionneront à Cordemais. Au moment le plus grave, les coupures auront atteint une puissance de l'ordre de 8 000 MW. La principale cause de cet incident peut être attribuée à un manque de qualité du réglage de certains composants du Système, en particulier des régulateurs de tension et protections associées des groupes de production. Les fonctions correspondantes sont désormais traitées sous assurance qualité. L'automatisation de certaines actions (blocage des régleurs), la réduction du temps d'exécution des délestages (par le biais du télédélestage) sont également apparues indispensables suite à cet incident. 256 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde A.4.4 QUÉBEC : INCIDENT DU 18 AVRIL 1988 - INDISPONIBILITÉ DU TÉLÉDÉLESTAGE ET ÉCROULEMENT COMPLET DU RÉSEAU Toute la journée du 18 avril 1988, une forte tempête s'abat sur la côte nord du Québec. Le soir, vers 20h10, une série de courts-circuits, dus à la neige et au verglas recouvrant les isolateurs, se produit au poste 735 kV d'Arnaud, occasionnant la séparation de la centrale de Churchill-Falls du réseau d'HydroQuébec. La puissance appelée par le réseau est à ce moment de 18 500 MW (auxquels il faut ajouter 2 600 MW d’exportation vers les réseaux voisins) et la puissance produite par Churchill-Falls de 3 800 MW. Les automatismes de sécurité destinés à provoquer des délestages de charge ne fonctionnent pas. Dans les secondes qui suivent le début de l'incident, la ligne Chamouchuane-Saguenay déclenche. D'autres groupes déclenchent à leur tour et l'ensemble du réseau s'effondre comme un château de cartes. La reprise de charge durera au total plus de 8 heures. QUÉBEC : 18/4/1988 257 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde Le lendemain matin, à 8h30, un défaut similaire se produit, privant une nouvelle fois le réseau de la production de Churchill-Falls. Heureusement, l'automatisme de télédélestage a été réparé pendant la nuit et fonctionne cette fois correctement, évitant un nouvel écroulement du réseau. S'il a fallu pratiquer un délestage cyclique de la clientèle de 600 MW pendant cinq heures, celui-ci a permis de circonscrire l'événement. Le système électrique québécois est certes très différent du système français. Cet incident met néanmoins en évidence le rôle déterminant joué par les actions de délestage de la clientèle pour limiter l'étendue des incidents majeurs. Ces actions permettent de compléter l'action fondamentale du réglage primaire de fréquence installé sur les groupes de production, dont l'objet est de réduire le déséquilibre entre consommation et production, et d'éviter l'écroulement de la fréquence (et du réseau). Dans de pareils cas, couper très rapidement quelques clients peut éviter de les perdre tous et faciliter la réalimentation de ceux que l'incident initial avait mis hors tension. Un incident relativement similaire s'est produit en Égypte le 24 avril 1994 où l'action beaucoup plus faible que prévu du délestage fréquencemétrique a entraîné l'écroulement complet du réseau. A.4.5 ITALIE : INCIDENT DE 24 AOÛT 1994 SÉPARATION DU RÉSEAU ET ÉCROULEMENT AU SUD L'incident du 24 août 1994, à 11h28, en Italie du Sud s'est produit dans une situation d'exploitation dégradée au cours de laquelle les exploitants avaient décidé de ne pas respecter le "N-1" du fait de conditions externes considérées comme propices : période estivale, météorologie favorable. Les liaisons reliant l'Italie du Sud à l'Italie du Nord (sud de Rome) étaient constituées (cf. carte) : - d'une ligne 400 kV Latina - Garigliano, - d'une ligne 400 kV Valmontone - Presenzano, - d'une ligne 400 kV Villanova - Foggia, - et d'une ligne 225 kV Popoli - Capriati. Côté production : - Ies trois groupes de la centrale de Brindisi Nord (d’une puissance unitaire de 300 MW) étaient limités à 220 MW chacun pour des problèmes de température d'eau de refroidissement. La centrale de Brindisi Sud (quatre groupes de 600 MW) n'était pas autorisée à fonctionner ; 258 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde - pour les mêmes raisons, la centrale de Rossano (quatre groupes de 300 MW) était limitée à 170 MW par groupe. Dans la nuit du 23 au 24 août 1994, un transformateur de courant de la ligne à 400 kV Latina - Garigliano a explosé à Latina, endommageant les disjoncteurs d'autres lignes 400 kV, notamment ceux des départs vers Valmontone et Rome Ouest. La ligne Rome Sud - Latina était consignée pour travaux. Dans la journée du 24 août, à 11h28, un incendie sous la ligne Valmontone Presenzano a entraîné le déclenchement de cet ouvrage. De fortes oscillations entre le Nord et le Sud de l'Italie ont été constatées. Les lignes 400 kV Villanova Foggia et 225 kV Popoli - Capriati ont alors déclenché, vraisemblablement par surcharge ou par perte de synchronisme, entraînant la constitution d'un réseau séparé déficitaire de l'Italie du Sud. La variation de fréquence à l'intérieur de ce réseau a été de l'ordre de 2 Hz par seconde, voire plus importante, ce qui a vraisemblablement rendu inopérante une partie des relais de délestage par dérivée de fréquence et conduit à la perte de toute la production sur ce réseau. Cet incident a provoqué la coupure de près de 4 500 MW de clientèle pendant une durée de 2h à 2h30. ITALIE : 24/08/94 ITALIE Villanova Popoli Roma/O Roma/S Latina Valmontone Capriati Foggia Brindisi/S Brindisi/N Garigliano Presenzano Rossano 259 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde Même si le réseau italien est moins maillé que le réseau français, les conditions d'exploitation auxquelles étaient confrontés nos collègues transalpins ne sont pas très différentes de celles rencontrées à certaines périodes sur le réseau français à proximité de la Méditerranée. Elles mettent notamment en évidence l'importance de la règle du "N-1". A.4.6 ÉTATS-UNIS : LES GRANDES PANNES DE L’ÉTÉ 1996 Trois incidents majeurs ont affecté le réseau ouest américain à l'été 1996, provoquant sa dislocation partielle et la coupure de millions de clients. Tout commence le 2 juillet, en début d'après-midi, par un défaut monophasé -amorçage avec un arbre- sur l'une des trois lignes 345 kV qui évacuent la centrale de Jim Bridger dans le Wyoming (2 000 MW répartis sur quatre groupes) vers l'État de l'ldaho (cf. carte). Cet incident se produit alors que les températures sont très élevées dans l'Ouest des États-Unis et que les charges et les transits entre différents États sont, de ce fait, très importants. Lors de la séquence d'élimination du défaut, une deuxième ligne d'évacuation de la centrale déclenche du fait d'un mauvais fonctionnement de protection. Pour éviter la surcharge de la dernière ligne restante, un automate efface 1 000 MW de production de la centrale. Ceci provoque instantanément une forte chute de tension dans l'Idaho et amorce une chute de tension plus lente avec des oscillations sur la Pacific Inertie, constituée par l'ensemble des lignes d'interconnexion 500 kV à courant alternatif et continu, qui relient le Nord-Ouest (Washington-Oregon) au Sud-Ouest (Californie). Vingt-quatre secondes plus tard, la ligne longue Mill Creek-Antelope déclenche par surcharge à cause d'un mauvais réglage de sa protection de distance, et provoque, en quelques secondes, une chute de tension au niveau de l'Orégon. Dès lors, l'incident se généralise et une suite de déclenchements en cascade conduit à la formation de cinq réseaux séparés. Trente-cinq secondes après le défaut initial, deux millions de clients, représentant 12 GW de puissance, se trouvent privés d'électricité. Le 3 juillet, cet incident se répète de la même façon, mais reste confiné à la région de Boise, grâce à du délestage commandé par le dispatching. Le 10 août, un incident de type similaire se reproduit, coupant 7,5 millions de clients pour une puissance de l'ordre de 30 GW. Plusieurs facteurs sont à l'origine de ces incidents : - une exploitation du Système aux limites, - une maintenance défaillante (élagage, protections), 260 - un mauvais comportement des groupes sur les régimes transitoires, ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde - un échange d'informations insuffisant entre les partenaires au niveau prévisionnel, - une mauvaise qualité des réglages de certaines protections. Un rapport a été remis au président des États-Unis, définissant cinq axes de progrès assortis de plans d'action : - assurer la responsabilité de tous les secteurs ; - mettre l’accent sur la sûreté Système ; - améliorer l’information sur la fiabilité du système électrique ; - étendre la portée des analyses ; - renforcer le professionnalisme des acteurs. Ces incidents ont en revanche montré que le découpage des réseaux était une mesure efficace pour éviter un effondrement complet du système et faciliter la reprise de service. ÉTATS-UNIS : été 1996 261 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde A.4.7 LES GRANDES PANNES DE L’ANNÉE 2003 Plusieurs incidents survenus en 2003 ont mis au premier plan les enjeux de sécurité d'approvisionnement et de sûreté des systèmes électriques. Concernant le premier enjeu, les délestages tournants touchant l'Italie le 26 juin 2003, confirmant la crise californienne survenue en 2000-2001, montrent comment des défaillances émergent inéluctablement lorsque les capacités de production et de transport ne sont plus en adéquation avec les consommations à alimenter. Pour sa part, l'enjeu de maîtrise de la sûreté de fonctionnement est illustré par les deux pannes spectaculaires présentées ci-après. A.4.7.1 L'INCIDENT AMÉRICAIN (ÉTATS-UNIS ET CANADA) DU 14 AOÛT 2003 Cette panne a affecté l'Eastern Interconnection (une des quatre zones synchrones des Etats-Unis) et une partie du Canada. Le réseau concerné s'étend du Dakota à la côte Est. Son organisation est complexe. Supervisé par Midwest ISO, il est entrecoupé de réseaux couverts par PJM ; un rapport évoque un "réseau en gruyère". La situation avant l'incident est réputée saine bien que les tensions soient basses sur le réseau de First Energy, tout en restant supérieures aux valeurs minimales admises (0,92 pu). La consommation est élevée (climatisation), mais les exploitants ont maîtrisé des situations plus contraignantes les jours précédents. Cependant, plusieurs centres de conduite connaissent des défaillances de systèmes d'information, qui entraveront l'appréciation des risques encourus et la réaction des exploitants. A 14h02 la ligne 345 kV Stuart - Atlanta déclenche (feu de broussailles sous les conducteurs). Ce fait, peu important en lui-même, va perturber un estimateur d'état en cours de réactivation. De 15h05 à 15h41, trois lignes 345 kV reliant le nord et l'est de l'Ohio déclenchent après amorçages avec la végétation. Les forts reports de charges et l'affaiblissement du plan de tension provoquent des déclenchements de lignes et de groupes de production qui, à partir de 16h10, se succèdent à intervalles de quelques secondes. Une boucle de transit se crée depuis la Pennsylvanie vers l'État de New York, puis l'Ontario et le Michigan, pour contourner les liaisons manquantes. Le réseau de l'Eastern Interconnexion se coupe selon une ligne est-ouest. Le sud va rester indemne, mais le nord, isolé, subit de nouvelles séparations et s’effondre totalement à 16h13, à l'exception de quelques îlots où le comportement des groupes de production et les délestages ont sauvé la situation. 262 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde La reprise de service est difficile ; 19 heures après l'incident, 20 % de la consommation reste à réalimenter. Il faudra deux jours pour réalimenter certaines parties des États-Unis, suite en particulier à des problèmes de redémarrage de groupes de production. Au total, l'incident a affecté 50 millions de personnes et conduit à la perte d'environ 62 000 MW de consommation dans sept états américains et l'Ontario. La commission d'investigation a attribué l'effondrement à la conjonction : - d’une appréciation insuffisante de l'état de dégradation du réseau à First Energy ; - d’une application de critères inadaptés aux risques d’écroulement du système de First Energy ; - d’un manque de maîtrise des besoins d'élagage à First Energy ; - de la défaillance des organismes chargés de la sûreté du réseau interconnecté à établir un diagnostic en temps réel. A.4.7.2 L'INCIDENT SUISSE - ITALIE DU 28 SEPTEMBRE 2003 Vers 3h du matin, l'Italie est fortement importatrice, les capacités d'échange avec la Suisse et le reste de l'Europe sont saturées. La ligne suisse 380 kV Mettlen - Lavorgo est chargée à 86 %. Selon les études de sûreté effectuées par l'opérateur ETRANS, la perte de cette ligne demanderait des actions curatives sous 15 minutes, certaines à mener par le gestionnaire de réseau italien GRTN. A 3h01, la ligne amorce avec la végétation et déclenche ; le réenclenchement s'avère impossible, du fait d'un angle de transport (42°) trop important. Par report de charge, une autre ligne suisse passe en surcharge et au bout de 24 minutes entre en contact avec un arbre et déclenche. L'incident s'emballe alors, avec, en quelques secondes, le déclenchement d'une nouvelle ligne suisse par surcharge et la déconnexion automatique de la liaison Lienz - Soverzene reliant Suisse et Autriche. L'Italie perd le synchronisme et se sépare du reste du réseau européen par action des protections de distance équipant les lignes transfrontalières : au vu des tensions basses et des courants élevés, les impédances mesurées correspondent aux critères de déclenchement. En Italie, la fréquence chute instantanément à 49,1 Hz et la tension s'effondre. Des installations de production raccordées aux réseaux de distribution, puis 21 des 50 groupes principaux raccordés au réseau de transport déclenchent. Le délestage fréquencemétrique ne sauve pas la situation ; 2mn30s après la séparation, l'Italie est totalement hors tension. 263 ©RTE 2004 Europe vue du ciel pendant le black-out italien du 28 septembre 2003 264 ©RTE 2004 A Annexe 4 - Les grands incidents à travers le monde Sur le reste du réseau UCTE, la fréquence augmente, mais se stabilise à 50,2 Hz par action des réglages automatiques primaire et secondaire de fréquence. Malgré quelques déclenchements de groupes, l'incident est circonscrit grâce à la réaction majoritairement correcte des différents composants et acteurs du système électrique. La reconnexion progressive de l’Italie avec ses voisins de 4h05 à 12h45 permet la reprise progressive des importations et la reconstitution du réseau, de 6h à 16h. La réalimentation de certaines zones du Sud demandera une vingtaine d'heures. Globalement, l'effondrement a affecté 57 millions de personnes, avec coupure de 28 000 MW pendant plusieurs heures. A.4.7.3 LES ENSEIGNEMENTS DE CES INCIDENTS 2003 Le retour d’expérience sur ces nouveaux incidents conduit à dégager les points sensibles suivants : - la façon dont la maîtrise de la sûreté peut différer selon que le GRT est en charge des infrastructures de transport (cas de la France) ou non (cas de l’Italie actuellement et des États-Unis) ; - la nécessité d'affirmer le rôle de chef d'orchestre du GRT, en particulier dans les situations les plus extrêmes où ses ordres doivent être exécutés sans discussion ni retard ; - le caractère indispensable de l’indépendance des GRT par rapport aux autres acteurs du marché ; - l'exigence d'un référentiel de sûreté adapté, dans ses différentes dimensions : directives, lois, dispositions réglementaires, référentiel technique s'appliquant au GRT comme aux autres acteurs (producteurs, distributeurs, consommateurs, traders, …) ; - l'importance des relations contractuelles entre le GRT et les producteurs, distributeurs et consommateurs, qui imposent le respect de dispositions de sûreté depuis le stade du raccordement au réseau jusqu'à celui de la conduite, en précisant clairement les engagements de chaque partie et les modalités de contrôle de ces engagements ; - enfin, l'exigence impérieuse d'une forte coordination entre GRT, aux différentes échelles de temps concernées. 265 ©RTE 2004