Titre

Éléments de sûreté nucléaire –
Les réacteurs à eau sous pression

Jean Couturier

Coordinateur et rédacteur principal

Copyright

L’Institut de radioprotection et de sûreté nucléaire (IRSN) est un organisme public d’expertise et de recherche pour la sûreté nucléaire et la radioprotection. Il intervient comme expert en appui aux autorités publiques. Il exerce également des missions de service public qui lui sont confiées par la réglementation. Il contribue notamment à la surveillance radiologique du territoire national et des travailleurs, à la gestion des situations d’urgence et à l’information du public. Il met son expertise à la disposition de partenaires et de clients français ou étrangers.

Imprimé en France

ISBN : 978-2-7598-2458-8

DOI : 10.1051/978-2-7598-2458-8

Tous droits de traduction, d’adaptation et de reproduction par tous procédés, réservés pour tous pays. La loi du 11 mars 1957 n’autorisant, aux termes des alinéas 2 et 3 de l’article 41, d’une part, que les « copies ou reproductions strictement réservées à l’usage privé du copiste et non destinées à une utilisation collective », et d’autre part, que les analyses et les courtes citations dans un but d’exemple et d’illustration, « toute représentation intégrale, ou partielle, faite sans le consentement de l’auteur ou de ses ayants droit ou ayants cause est illicite » (alinéa 1er de l’article 40). Cette représentation ou reproduction, par quelque procédé que ce soit, constituerait donc une contrefaçon sanctionnée par les articles 425 et suivants du code pénal.

© IRSN 2020

Préface

Dans la Collection sciences et techniques de l’IRSN, la nouvelle série « Éléments de sûreté nucléaire, de radioprotection et de sécurité » a pour objectif, comme l’ouvrage de 1996 intitulé « Éléments de sûreté nucléaire » de Jacques Libmann, de contribuer à apporter à celles et ceux qui mènent des activités en rapport avec les rayonnements ionisants, notamment dans l’industrie nucléaire, des éléments de culture technique relatifs à la prévention et à la maîtrise des risques associés. Cette nouvelle série est née de la volonté non seulement d’actualiser l’ouvrage de 1996, mais aussi d’étendre son champ à des domaines qui n’y étaient pas ou que peu traités.

L’IRSN capitalise dans sa collection d’ouvrages scientifiques les meilleures connaissances acquises, en son sein ou dans le cadre de collaborations nationales ou internationales, en portant une attention toute particulière à la qualité pédagogique de leur présentation. À cet égard, l’éclairage par l’histoire de l’évolution des techniques, des idées, des démarches, des organisations et des règlementations, ou encore par les questionnements et les enseignements tirés d’accidents et du retour d’expérience en général, fait partie du « cahier des charges » de la nouvelle série.

Cette série vise aussi à rendre accessibles à tous ceux qui s’intéressent aux sujets qu’elle aborde des informations et des connaissances techniques bien établies et vérifiables dans les domaines correspondants, mettant ainsi en application les trois valeurs de l’Institut que sont la connaissance, l’indépendance et la proximité, inscrites dans sa charte d’éthique et de déontologie.

Puisse la série « Éléments de sûreté nucléaire, de radioprotection et de sécurité », initiée par Jean Couturier, contribuer à la diffusion des connaissances, à l’heure du renouvellement des générations dans de nombreux domaines scientifiques et techniques du secteur nucléaire.

*
*     *

Après les deux premiers ouvrages de cette série, intitulés « Éléments de sécurité et de non-prolifération » (Jean Jalouneix, 2015), et « Éléments de sûreté nucléaire – Les réacteurs de recherche » (Jean Couturier et al., 2019), le présent ouvrage constitue une actualisation, ainsi qu’un développement pour certains sujets, des « Éléments de sûreté nucléaire » de Jacques Libmann (1996), dédiés pour l’essentiel à la sûreté des réacteurs à eau sous pression et particulièrement de ceux qui équipent le parc électronucléaire français.

Les premiers réacteurs à eau sous pression du parc électronucléaire français ont été conçus sur la base d’installations américaines en construction à la fin des années 1960 ou au début des années 1970. L’expérience mondiale relative à ce genre de réalisations était alors très limitée. Bien entendu, les approches, les méthodes d’analyse et les critères de sûreté ont ensuite évolué. Les connaissances acquises par les travaux de recherche et développement ainsi que les enseignements tirés des trois accidents les plus marquants de réacteurs électronucléaires dans le monde, Three Mile Island en 1979, Tchernobyl en 1986 et Fukushima Daiichi en 2011, ont pris toute leur place dans ces évolutions. À cela s’ajoute le retour d’expérience de certains événements qui, bien qu’ils aient été maîtrisés et n’aient pas eu de conséquences sérieuses pour l’homme et l’environnement, ont été considérés suffisamment importants au plan de la sûreté pour que la mise en place de dispositions visant à renforcer la prévention d’accidents et la limitation de leurs conséquences ait été jugée nécessaire : on peut citer à cet égard l’inondation partielle du site de la centrale nucléaire du Blayais en Gironde, lors de la tempête qui a touché la France à la fin du mois de décembre 1999.

En France, ces évolutions sont appliquées aux réacteurs, soit directement à la suite d’événements jugés suffisamment importants au plan de la sûreté survenus aussi bien en France qu’à l’étranger, soit à l’occasion des réexamens périodiques (tous les dix ans), pratique adoptée en France dès les années 1980.

Plutôt que de décrire comme un « instantané » l’état actuel des approches et des méthodes d’analyse pour ces installations en matière de sûreté nucléaire, après les diverses évolutions dont elles ont bénéficié, il a été choisi une présentation partiellement historique, qui fait mieux ressortir ces évolutions. La volonté d’une approche historique a également dicté, en partie, l’agencement de certains chapitres.

Dans une première partie de cet ouvrage, certaines informations et notions fondamentales relativement génériques sont présentées, qui ne visent pas spécifiquement les réacteurs à eau sous pression : les effets des rayonnements ionisants et le système de radioprotection, les organismes impliqués dans la sûreté nucléaire en France et leurs rôles, l’évolution de la règlementation, le rôle croissant de la société civile et le contexte international – deux domaines qui ont connus un développement particulièrement significatif depuis les années 1990 –, l’importance des facteurs organisationnels et humains pour l’atteinte d’un haut niveau de fiabilité de systèmes sociotechniques complexes que constituent certaines installations nucléaires et leur exploitation, tout particulièrement les réacteurs électronucléaires.

Les parties suivantes, dédiées successivement à la conception, à l’exploitation, aux enseignements tirés des trois grands accidents évoqués plus haut, à la préparation et à la réponse en cas de situation d’urgence, sont beaucoup plus ciblées sur les réacteurs à eau sous pression, principalement ceux du parc électronucléaire français, mais aussi ceux du même type à l’étranger lorsque notamment ils ont fait l’objet d’anomalies ou d’événements dont les enseignements ont pu bénéficier au parc électronucléaire français.

Enfin, quelques éléments concernant les apports des études et des travaux de recherche et développement en matière de sûreté nucléaire, ainsi que les logiciels de simulation, sont regroupés dans la dernière partie de l’ouvrage.

Cet ouvrage témoigne de la volonté de recherche permanente d’améliorations dans le domaine de la sûreté nucléaire. L’approche historique adoptée permet de montrer comment des améliorations naissent de remises en question et de pragmatisme. Les évolutions dépassent les cadres purement nationaux vers une harmonisation européenne, voire mondiale, des pratiques en matière de sûreté pour obtenir des améliorations significatives des niveaux de sûreté. C’est en particulier l’enjeu du réacteur à eau sous pression de « nouvelle génération » EPR (European Pressurized water Reactor) développé par les électriciens français et allemands avec les constructeurs des deux pays, et du démarrage de celui de la centrale nucléaire de Flamanville en France, ou de nouveaux concepts proposant des réponses, associées à des solutions techniques plus innovantes, à certaines questions de sûreté. La nécessité de prendre en compte pour la conception même de nouveaux réacteurs la possibilité de situations avec fusion du cœur a été l’un des jalons majeurs d’amélioration globale de la sûreté des réacteurs électronucléaires – adoptée dès les années 1990 dans les orientations retenues par la France et l’Allemagne pour le réacteur EPR.

C’est à la suite de l’accident de la centrale nucléaire de Tchernobyl en 1986 que la notion de « culture de sûreté » a été introduite par une instance internationale (l’International Nuclear Safety Advisory Group) ; puisse le présent ouvrage y contribuer.

Je tiens tout particulièrement à remercier Jean Couturier, coordinateur et rédacteur principal, ainsi que tous les nombreux contributeurs qui ont apporté leur précieux concours à ce travail de synthèse important, qui a nécessité environ sept années pour son élaboration et sa mise au point.

Jean-Christophe NIEL
Directeur général de l’IRSN

Avant-propos

Le présent ouvrage, consacré principalement aux réacteurs électronucléaires à eau sous pression, tout particulièrement à leurs caractéristiques et spécificités en termes de sûreté nucléaire et de radioprotection, a été rédigé, pour l’essentiel, par des personnes de l’Institut de radioprotection et de sûreté nucléaire (IRSN).

Jean Couturier a assuré la conception d’ensemble du projet d’ouvrage et la coordination générale de ce projet, le travail principal de rédaction et notamment celle de certains chapitres, le travail d’harmonisation et de cohérence générale. Pour de nombreux sujets, des éléments de l’ouvrage de Jacques Libmann diffusé en 1996 ont été conservés pour leur intérêt historique et pédagogique.

Daniel Quéniart a effectué une relecture approfondie des projets de chapitres à différentes étapes de l’avancement de l’ouvrage, à l’égard desquels il a apporté de judicieux éclairages et conseils – notamment sur des questions d’histoire de la sûreté nucléaire.

Emmanuel Wattelle a apporté un appui à la coordination du projet d’ouvrage pour le Pôle sûreté nucléaire de l’IRSN et il a contribué à la rédaction et à la mise au point de certains chapitres. Stéphanie Graff a apporté un appui tout particulier à la mise au point des parties de l’ouvrage relatives au combustible et aux études d’accidents.

Les contributeurs sont cités in extenso en pages XXXIX à XLIV, chapitre par chapitre.

Mark Vincke et Pieter de Gelder, de l’organisme belge Bel V, ont rédigé la partie relative aux enseignements tirés en Belgique de l’accident survenu à la centrale nucléaire de Fukushima Daiichi.

Les éléments relativement succincts consacrés à la règlementation relative aux équipements sous pression utilisés dans le domaine nucléaire ont bénéficié de conseils judicieux et d’éclairages de la part de l’Autorité de sûreté nucléaire, notamment de Simon Liu de la Direction des équipements sous pression (ASN/DEP) et de Rémy Catteau de la Direction de la production nucléaire (ASN/DPN).

Bertrand de Buchère de l’Épinois et Michel Nédélec, membres du Groupe permanent d’experts pour les réacteurs nucléaires (GPR), ont apporté leur contribution respectivement sur l’association internationale WANO (World Association of Nuclear Operators) des exploitants de réacteurs électronucléaires de puissance, et sur les notions de conservatismes et de marges.

Le présent ouvrage suppose la connaissance préalable d’éléments de base sur le fonctionnement des réacteurs électronucléaires à eau sous pression1 ; quelques « rappels » sont néanmoins fournis, notamment en matière de physique des cœurs de ces réacteurs.

Concernant les informations utilisées, il a été veillé à ce que les sources externes soient citées, y compris pour l’iconographie. À cet égard, peuvent être particulièrement mentionnés le « Mémento sûreté nucléaire en exploitation » (édition 2016) ou encore « La maintenance des centrales nucléaires » de Jean-Pierre Hutin (2016) pour ce qui concerne des ouvrages d’Électricité de France (EDF), des « monographies » de la Direction de l’énergie nucléaire du Commissariat à l’énergie atomique et aux énergies alternatives (CEA), des textes officiels français (règlementation notamment), des éléments diffusés sur les sites internet de Framatome ou d’Orano, des publications de l’Agence internationale de l’énergie atomique (AIEA) et de l’Agence pour l’énergie nucléaire de l’Organisation de coopération et de développement économiques (OCDE/AEN), ou encore des communications faites dans le cadre de congrès…

Odile Lefèvre et Georges Goué ont assuré les travaux préparatoires à l’édition de l’ouvrage.

1.Le lecteur pourra consulter par exemple l’ouvrage « La chaudière des réacteurs à eau sous pression », P. Coppolani, N. Hassenboehler, J. Joseph, J.-F. Petetrot, J.-P. Py, J.-S. Zampa, INSTN/EDP Sciences, 2004 ; l’ouvrage « Physique, fonctionnement et sûreté des REP – Maîtrise des situations accidentelles du système réacteur », B. Tarride, INSTN/EDP Sciences, Collection Génie atomique, 2013 ; ou encore le chapitre 2 « Conception et fonctionnement d’un réacteur à eau sous pression » de l’ouvrage « Les accidents de fusion du cœur des réacteurs nucléaires de puissance », D. Jacquemain et al., Collection sciences et techniques, IRSN/EDP Sciences, 2013.

Sommaire

Préface

Avant-propos

Rédacteurs, contributeurs et relecteurs

Introduction

Partie 1
Éléments généraux de contexte

Chapitre 1
Effets biologiques et sanitaires des rayonnements ionisants –
Le système de radioprotection

1.1.Effets biologiques et sanitaires des rayonnements ionisants

1.1.1.Processus biologiques

1.1.2.Rappels sur quelques unités

1.1.3.La radioactivité naturelle

1.1.4.Effets sur la santé

1.1.4.1.Effets déterministes, réactions tissulaires

1.1.4.2.Effets stochastiques ou aléatoires

1.1.4.3.Induction de maladies autres que le cancer

1.1.5.Un exemple de limitations de l’épidémiologie

1.2.Le système de radioprotection

1.2.1.Types de situations d’exposition

1.2.2.Catégories d’exposition

1.2.3.Principe de justification

1.2.4.Principe d’optimisation

1.2.5.Principe d’application des limites de dose

Chapitre 2
Organisation du contrôle et règlementation des installations
et des activités nucléaires en France

2.1.De la création du CEA à la loi TSN

2.2.Quelques définitions

2.3.Les différents contributeurs à la sûreté nucléaire et leurs missions

2.4.Quelques principes et éléments fondamentaux en matière de sûreté nucléaire

2.5.Les cadres règlementaire et pararèglementaire applicables aux INB

Chapitre 3
La dimension internationale – La dimension sociétale

3.1.La dimension internationale

3.1.1.Introduction

3.1.2.Normes de l’AIEA

3.1.3.L’International Reporting System for Operating Experience (IRS)

3.1.4.Les services développés par l’AIEA

3.1.4.1.Les revues OSART

3.1.4.2.Les revues IRRS

3.1.4.3.Autres services et cadres d’études mis en place par l’AIEA

3.1.5.L’association WANO

3.1.6.L’AEN

3.1.7.Organisations en matière de radioprotection et de santé

3.1.8.De la collaboration bilatérale franco-allemande à des structures européennes d’échanges, de capitalisation de connaissances et de pratiques, de formation et de prestations en matière d’expertise

3.1.9.Les associations d’autorités de sûreté

3.2.La dimension sociétale

3.2.1.Introduction – Contexte français

3.2.2.Exemples d’initiatives et de questions soulevées concernant la sûreté des réacteurs du parc électronucléaire français

Chapitre 4
Les réacteurs nucléaires : des systèmes sociotechniques complexes – L’importance des facteurs organisationnels et humains

4.1.Les débuts des FOH dans le domaine des réacteurs électronucléaires, les enseignements tirés de l’accident de la centrale nucléaire de Three Mile Island

4.2.L’accident de la centrale nucléaire de Tchernobyl, la notion de « culture de sûreté »

4.3.L’accident de la centrale nucléaire de Fukushima Daiichi, la dimension sociétale, la notion de « résilience » des organisations

4.4.Évolution de la perception du rôle des hommes dans l’atteinte d’un haut niveau de fiabilité de systèmes sociotechniques complexes

4.5.Le développement de moyens et de compétences concernant les FOH, les principaux sujets étudiés

4.5.1.Moyens et compétences

4.5.2.Principaux sujets étudiés

4.6.Les FOH dans la règlementation française

*
*       *

Partie 2
La sûreté à la conception

Chapitre 5
Le développement de l’énergie nucléaire utilisant la fission de l’uranium 235 – Quelques notions de physique des réacteurs à eau sous pression

5.1.Quelques jalons importants du développement de l’énergie nucléaire utilisant la fission de l’isotope 235 de l’uranium

5.2.La fission et quelques notions importantes de « cinétique » des réacteurs 132

5.3.L’évacuation de la puissance du cœur en fonctionnement

5.4.La puissance résiduelle

5.5.Quelques éléments descriptifs des cœurs des réacteurs à eau sous pression

5.6.Le pilotage et le contrôle des cœurs des réacteurs à eau sous pression

5.7.Utilisation de combustible à base d’oxyde mixte d’uranium et de plutonium (MOX)

Chapitre 6
Objectifs généraux, principes et concepts fondamentaux de l’approche de sûreté

6.1.Approche générale des risques – Objectifs généraux

6.2.Les fonctions fondamentales de sûreté

6.3.Les barrières de confinement

6.4.La défense en profondeur

6.4.1.Les niveaux de défense en profondeur

6.4.2.Éléments communs aux différents niveaux de défense en profondeur

6.5.Événements pris en compte : terminologie adoptée pour les réacteurs électronucléaires

6.6.Les « niveaux de référence » de l’association WENRA

6.7.L’analyse déterministe de la sûreté et les études probabilistes de sûreté

6.8.Enseignements apportés par l’accident de la centrale nucléaire de Fukushima Daiichi sur le concept de défense en profondeur et sur l’analyse déterministe

6.9.La « culture de sûreté » – La maîtrise de la qualité

Chapitre 7
Options et considérations de sûreté au stade de la conception

7.1.Différents types de dispositions de conception associées à des considérations de sûreté

7.2.Le critère de défaillance unique

7.3.La spécificité des systèmes programmés (à base de logiciels de contrôle-commande)

7.4.Classement de sûreté des équipements

7.4.1.Importance des équipements pour la sûreté et classement de sûreté

7.4.2.Exigences génériques associées aux différentes classes de sûreté

7.4.3.Qualification des équipements aux conditions accidentelles

7.5.Quelques éléments relatifs à la conception des équipements sous pression nucléaires

7.6.Quelques considérations générales sur la prise en compte des agressions dans la conception des installations

7.7.L’anticipation du démantèlement au stade de la conception

Chapitre 8
L’étude des conditions de fonctionnement dans l’analyse déterministe de la sûreté

8.1.Classement des conditions de fonctionnement

8.2.Choix des conditions de fonctionnement

8.2.1.La notion d’incident ou d’accident enveloppe

8.2.2.Exclusion d’accidents

8.3.Liste et répartition des conditions de fonctionnement

8.4.Modalités d’étude des conditions de fonctionnement

8.4.1.Choix des conditions initiales, conservatismes

8.4.2.Prise en compte d’un aggravant dans l’étude des conditions de fonctionnement – Défaillances « passives »

8.4.3.Cumuls conventionnels

8.4.4.Prévention de l’aggravation des accidents

8.4.5.Délais d’intervention des opérateurs

8.4.6.Utilisation de logiciels de simulation qualifiés

8.4.7.Principaux critères à respecter pour le combustible dans le cœur du réacteur

8.5.La notion de « situations de dimensionnement » pour les matériels

8.6.« Situations » à prendre en compte en application de la règlementation des appareils à pression

8.7.L’évaluation des conséquences radiologiques des incidents, des accidents et des agressions

8.7.1.Évaluation des rejets à partir de l’installation

8.7.2.Évaluation des conséquences radiologiques des rejets hors de l’installation

8.7.3.Appréciation des conséquences radiologiques

Chapitre 9
L’accident de perte de réfrigérant primaire

9.1.Aspects à court et moyen terme d’un APRP

9.1.1.Effets mécaniques sur les structures internes de la cuve et sur les structures des assemblages combustibles

9.1.2.Aspects thermohydrauliques et comportement des crayons combustibles

9.1.2.1.APRP de type « grosse brèche »

9.1.2.2.APRP de type « brèche intermédiaire »

9.1.3.Effets sur l’enceinte de confinement du réacteur et sur ses structures internes

9.1.4.Aspect à long terme

9.2.Démonstration de sûreté

9.2.1.Généralités et historique

9.2.2.Assemblages et crayons combustibles, structures internes de la cuve, composants du circuit primaire

9.2.2.1.Tenue mécanique des structures internes de la cuve, des structures des assemblages combustibles et des composants du circuit primaire

9.2.2.2.Comportement du combustible

9.2.3.Enceinte de confinement et équipements situés dans cette enceinte

Chapitre 10
Un point particulier : les tubes de générateurs de vapeur

10.1.Rupture d’un tube de générateur de vapeur étudiée en tant que condition de fonctionnement de troisième catégorie

10.2.Prévention d’un accident de RTGV, risques de ruptures multiples

10.3.Rupture de tube(s) d’un générateur de vapeur étudiée en tant que condition de fonctionnement de quatrième catégorie

10.3.1.Réacteurs de 900 MWe et de 1 300 MWe

10.3.2.Réacteurs de 1 450 MWe et EPR (Flamanville 3)

10.4.Dispositions visant à limiter les conséquences radiologiques des accidents de RTGV

Chapitre 11
Prise en compte des agressions : considérations générales,
agressions d’origine interne

11.1.Considérations générales sur la prise en compte des agressions

11.2.Projectiles susceptibles d’être émis à l’intérieur de l’enceinte de confinement

11.3.Effets des ruptures de tuyauteries

11.4.Éclatement d’un groupe turboalternateur

11.5.Protection contre les chutes de charges

11.5.1.Risques liés aux emballages de transport des combustibles usés

11.5.2.Autres risques liés aux manutentions

11.6.Protection contre l’incendie

11.7.Protection contre l’explosion

11.8.Inondations internes

Chapitre 12
Prise en compte des agressions d’origine externe

12.1.Considérations générales sur la prise en compte des agressions d’origine externe

12.2.« Veille climatique » mise en œuvre par Électricité de France

12.3.Séismes

12.4.Inondations externes

12.5.Températures extrêmes

12.5.1.« Grands froids »

12.5.2.« Grands chauds »

12.6.Agresseurs possibles de la source froide

12.7.Quelques autres agressions externes d’origine naturelle

12.8.Chutes accidentelles d’aéronefs (hors malveillance)

12.9.Risques liés à l’environnement industriel (hors malveillance)

Chapitre 13
Domaine complémentaire d’événements

13.1.Origine des études du « domaine complémentaire »

13.2.Historique du « domaine complémentaire »

13.3.Analyse des événements du « domaine complémentaire »

13.4.« Nouveau domaine complémentaire »

13.5.Cas du réacteur EPR Flamanville 3

Chapitre 14
Développement et utilisation des études probabilistes de sûreté

14.1.Historique et contexte règlementaire

14.1.1.Situation internationale

14.1.2.Situation en France

14.2.EPS de niveau 1

14.2.1.Domaine de couverture

14.2.2.Méthode de réalisation d’une EPS de niveau 1

14.2.2.1.Généralités

14.2.2.2.Un point particulier : l’étude probabiliste de la fiabilité humaine

14.2.3.Résultats des EPS de niveau 1 et enseignements tirés

14.3.EPS de niveau 2

14.3.1.Domaine de couverture

14.3.2.Méthode de réalisation d’une EPS de niveau 2

14.3.2.1.Généralités

14.3.2.2.L’étude probabiliste de la fiabilité humaine pour les EPS de niveau 2

14.3.3.Exemples d’enseignements tirés des EPS de niveau 2

14.3.3.1.Évaluation des risques d’explosion de vapeur

14.3.3.2.Tenue mécanique des enceintes de confinement des réacteurs de 900 MWe

14.3.3.3.Isolement des traversées de l’enceinte de confinement

14.3.3.4.Modifications du système de dépressurisation du circuit primaire

14.3.3.5.Amélioration des procédures de conduite pour réduire le risque de fusion du cœur en pression

14.3.3.6.Apport des EPS de niveau 2 pour la gestion de crise

14.4.Élargissement du domaine de couverture des EPS

14.5.Utilisations des études probabilistes de sûreté

14.5.1.Utilisation des EPS à la conception

14.5.1.1.Intérêt et particularités des EPS à la conception

14.5.1.2.EPS menées en support à la conception du réacteur EPR Flamanville 3

14.5.2.Utilisation des EPS lors des réexamens périodiques

14.5.2.1.EPS de niveau 1

14.5.2.2.EPS de niveau 2

14.5.3.Utilisation des EPS pour l’exploitation des réacteurs

14.5.3.1.Utilisation des EPS pour l’analyse de la gravité des événements

14.5.3.2.Utilisation des EPS pour l’analyse des spécifications techniques d’exploitation et des modifications temporaires

14.5.3.3.Utilisation des EPS pour l’analyse des procédures de conduite

Chapitre 15
Aspects spécifiques aux piscines d’entreposage du combustible
des réacteurs à eau sous pression

15.1.Conception des piscines d’entreposage du combustible

15.1.1.Barrières de confinement

15.1.2.Événements initiateurs retenus à la conception

15.2.Retour d’expérience

15.2.1.Pertes de refroidissement

15.2.1.1.Perte de la source froide

15.2.1.2.Risques liés à la maintenance lors des arrêts de tranche

15.2.1.3.Aspiration de corps étrangers dans le circuit de refroidissement

15.2.1.4.Dépassement de la puissance résiduelle retenue à la conception

15.2.2.Pertes d’eau

15.2.2.1.Défaillances de portes ou de batardeaux

15.2.2.2.Erreurs de lignage

15.2.2.3.Défaillance d’une tape d’obturation d’une tuyauterie du circuit primaire

15.2.2.4.Rupture d’une tuyauterie connectée à la piscine d’entreposage du combustible

15.3.Réexamens

15.4.Retour d’expérience de l’accident qui a affecté la piscine du réacteur n° 4 de la centrale nucléaire de Fukushima Daiichi

15.4.1.Événements survenus

15.4.2.Évaluations complémentaires de sûreté menées en France

15.5.Dispositions retenues pour le réacteur EPR

15.6.Recommandations pour la conception de nouveaux réacteurs

15.7.Nouvelles modalités d’entreposage des combustibles usés

Chapitre 16
Prise en compte des facteurs organisationnels et humains
lors de la conception des installations

16.1.La prise en compte des facteurs organisationnels et humains à la conception des réacteurs électronucléaires

16.1.1.Importance de la prise en compte des facteurs organisationnels et humains dès le stade de la conception

16.1.2.Démarche à la conception

16.1.2.1.Phase amont de la conception : analyse de l’« existant »

16.1.2.2.Objectifs de conception

16.1.2.3.Définition des dispositions détaillées de conception

16.1.2.4.Validation des dispositions de conception

16.1.2.5.Évaluations menées au démarrage et après la mise en service des réacteurs

16.1.3.Organisation de projet et programme d’ingénierie des FOH

16.2.La prise en compte des aspects organisationnels et humains pour la conception des modifications effectuées dans les centrales électronucléaires

16.2.1.Importance des facteurs organisationnels et humains pour la conception des modifications

16.2.2.« Démarche SOH » mise en œuvre par Électricité de France

16.2.3.Les modifications, un sujet qui mérite toujours une attention particulière sous l’angle des FOH

16.3.Les FOH pour les futurs projets de réacteurs électronucléaires

Chapitre 17
Étude et prise en compte des accidents de fusion du cœur

17.1.Dégradation du cœur et défaillance de la cuve

17.1.1.Dénoyage du cœur

17.1.2.Dégradation du combustible

17.1.3.Défaillance du circuit primaire

17.1.4.Phénomènes pouvant conduire à une défaillance précoce du confinement

17.1.5.Phénomènes pouvant conduire à une défaillance différée du confinement

17.2.Les modes de défaillance du confinement

17.3.Classification des rejets associés aux accidents de fusion du cœur – Les « termes sources »

17.4.Amélioration des connaissances

17.5.Les études françaises des modes de défaillance de l’étanchéité de l’enceinte de confinement

17.5.1.Introduction

17.5.2.Défaut d’étanchéité initial de l’enceinte de confinement

17.5.3.Échauffement direct des gaz dans l’enceinte de confinement

17.5.4.Explosion d’hydrogène dans l’enceinte de confinement

17.5.5.Explosion de vapeur dans la cuve ou dans le puits de cuve

17.5.6.Augmentation progressive de la pression dans l’enceinte de confinement

17.5.7.Traversée du radier en béton de l’enceinte de confinement par le corium

17.5.8.Dispositions « U4 »

17.5.9.Bipasse du confinement par des tuyauteries sortant de l’enceinte de confinement (mode V)

17.5.10.Accidents d’insertion rapide de réactivité

17.6.Le guide d’intervention en accident grave (GIAG)

17.7.Conséquences radiologiques associées au « terme source » S3 et plans d’intervention des pouvoirs publics

17.8.Procédures de conduite ultimes

17.9.Le plan d’urgence interne

17.10.L’approche retenue pour le réacteur EPR

17.10.1.Objectifs généraux de sûreté

17.10.2.« Élimination pratique » des situations avec fusion du cœur qui pourraient conduire à des rejets précoces importants

17.10.3.Dispositions relatives à la fusion du cœur à basse pression

Chapitre 18
Les réacteurs de nouvelle génération

18.1.Organisation et cadre des réflexions franco-allemandes

18.2.Évolution des objectifs de sûreté et options de conception du projet EPR

18.2.1.Objectifs généraux de sûreté

18.2.2.Événements à prendre en compte au stade de la conception, analyses déterministes et probabilistes

18.2.3.Dispositions principales de prévention des incidents et des accidents

18.2.4.Redondances fonctionnelles, indépendances entre systèmes, fiabilité des systèmes

18.2.5.Préservation du confinement

18.2.6.Radioprotection

18.2.7.Prise en compte des enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi

18.3.Contexte international : objectifs généraux de sûreté des réacteurs de nouvelle génération

18.4.Concepts mis en valeur dans les réacteurs de nouvelle conception

18.4.1.AP1000 : systèmes gravitaires

18.4.2.VVER : système SPOT

18.4.3.EPR NM : technologie « multi-groupe », source froide diversifiée

18.4.4.ATMEA 1 : accumulateurs d’injection de sécurité dans le circuit primaire

18.4.5.NuScale : piscine commune pour réacteurs modulaires

*
*       *

Partie 3
La sûreté en exploitation

Chapitre 19
Les essais de démarrage des réacteurs à eau sous pression

19.1.Introduction

19.2.La mise en service

19.2.1.Définition des essais de démarrage

19.2.2.Phasage des essais de démarrage

19.2.2.1.Les essais préliminaires et les essais préopérationnels

19.2.2.2.Les essais opérationnels

19.2.2.3.Principes généraux d’enchaînement et de réalisation des essais

19.2.3.La documentation relative aux essais de démarrage

19.2.3.1.Procédures d’ensemble (ENS) et procédures de démarrage (DEM)

19.2.3.2.Les programmes de principes d’essais, les procédures d’exécution d’essais, les guides-types

19.2.3.3.Analyse d’exhaustivité, analyse de suffisance

19.2.3.4.Les critères d’acceptation

19.3.Objectifs et règles générales à prendre en compte pour les essais de démarrage

19.4.Les enseignements marquants des essais de démarrage des réacteurs électronucléaires français

19.4.1.Essais de qualification et essais sur site

19.4.2.Essais de longue durée sur site

19.4.3.Configurations et exhaustivité des essais, transpositions

19.4.4.Dispositions de sûreté non vérifiables par des essais

19.4.5.Critères

19.4.6.Propreté, nettoyage des circuits, corps étrangers

19.4.7.Supportages et déplacements de tuyauteries

19.4.8.Vibrations des pompes et des tuyauteries

19.4.9.Validation des procédures de conduite et d’essais périodiques

19.4.10.Incertitudes et « points de consigne »

19.4.11.État des installations lors des essais de démarrage

19.4.12.Autres aspects

19.5.Exemples de constats impliquant des essais de démarrage

Chapitre 20
Les règles générales d’exploitation

20.1.Les règles générales d’exploitation

20.1.1.Contenu global des règles générales d’exploitation

20.1.2.Limites des règles générales d’exploitation

20.2.Les spécifications techniques d’exploitation

20.2.1.Contenu des spécifications techniques d’exploitation

20.2.1.1.Domaines d’exploitation et états standards

20.2.1.2.Prescriptions et indisponibilités

20.2.1.3.États et délais de repli

20.2.1.4.Notions d’événements et de groupes d’événements

20.2.1.5.Cumuls d’indisponibilités

20.2.1.6.Notions de condition limite et de prescription particulière

20.2.2.Domaine de pression et de température moyenne du circuit primaire

20.2.3.Évolution des spécifications techniques d’exploitation

20.3.Essais initiaux et essais périodiques

20.4.Les procédures de conduite incidentelle et accidentelle

Chapitre 21
Le retour d’expérience des événements : règles et pratiques

21.1.Historique

21.2.Les objectifs d’un dispositif de retour d’expérience

21.3.Éléments constitutifs d’un dispositif de retour d’expérience, règlementation

21.4.Les pratiques adoptées pour le parc électronucléaire français en matière de retour d’expérience

Chapitre 22
Retour d’expérience d’événements imputables à une faiblesse de la conception initiale des réacteurs ou de la qualité de la maintenance

22.1.Événements imputables à une faiblesse de conception : défauts de refroidissement du cœur lorsque le réacteur est à l’arrêt avec le niveau d’eau à la « plage de travail basse » du circuit RRA

22.2.Événements répétitifs de perte de fonctions de sûreté liés aux opérations de maintenance – Enseignements tirés

22.2.1.Les événements

22.2.2.Réflexion générale engagée par Électricité de France à la fin des années 1980 sur la qualité des opérations de maintenance

22.2.3.Utilisation du concept de défense en profondeur pour les interventions dans un réacteur en exploitation

22.2.4.Des difficultés qui peuvent se reproduire

Chapitre 23
Retour d’expérience d’événements liés aux interventions,
aux sources et distributions électriques, aux agressions internes ou externes

23.1.Risques de défaillances liés aux équipements ou à la maintenance

23.1.1.Risques de défaillances de mode commun

23.1.1.1.Risques de défaillances de mode commun liés aux réglages

23.1.1.2.Risques de défaillances de mode commun de tableaux électriques

23.1.1.3.Indisponibilité de deux lignes sur trois d’injection de sécurité à haute pression dans les branches froides du circuit primaire

23.1.1.4.Pertes de sources électriques

23.1.2.Introduction d’eau non borée dans le circuit primaire

23.1.3.Refroidissement du circuit primaire après inhibition d’actions automatiques

23.1.4.Maintien d’un moyen particulier (provisoire) empêchant le passage en mode de recirculation d’eau de l’injection de sécurité

23.2.Événements liés aux agressions internes

23.2.1.Risques de défaillances de mode commun par inondation interne

23.2.2.Risques de défaillances du fait d’incendies

23.2.3.Risques liés à l’utilisation d’hydrogène dans les réacteurs de 900 MWe

23.3.Agressions externes : événements liés aux périodes de « grands froids »

Chapitre 24
Renforcement de la protection des sites en bordure d’estuaire ou de rivière :
inondation de la centrale nucléaire du Blayais et obstruction d’une prise d’eau à la centrale nucléaire de Cruas-Meysse

24.1.Perte partielle des systèmes de sauvegarde à la suite de l’inondation de la centrale nucléaire du Blayais

24.2.Perte totale de la source froide consécutive au colmatage des tambours filtrants par une arrivée massive de matières végétales à la centrale nucléaire de Cruas-Meysse

Chapitre 25
Prise en compte des facteurs organisationnels
et humains pour l’exploitation des installations

25.1.Management des compétences

25.1.1.Contexte historique

25.1.2.Organisation de la formation

25.1.3.La gestion prévisionnelle des emplois et des compétences

25.1.4.Les habilitations du personnel

25.2.Sûreté et management des risques

25.2.1.Contexte historique

25.2.2.Prises de décision et sûreté

25.2.3.Les analyses de risques des interventions

25.2.4.Le retour d’expérience

25.2.5.La conduite de changements organisationnels

25.3.Organisation des activités de conduite

25.3.1.Caractéristiques des activités de conduite

25.3.2.La surveillance par l’équipe de conduite en salle de commande

25.3.3.La conformité aux règles générales d’exploitation

25.3.4.Les lignages

25.3.5.La conduite lors des situations extrêmes

25.4.Organisation et activités de maintenance

25.4.1.L’organisation d’un arrêt programmé de réacteur pour rechargement du combustible et maintenance

25.4.2.Les risques lors des arrêts des réacteurs

25.4.3.La préparation des arrêts programmés des réacteurs

25.4.4.Le pilotage des arrêts programmés des réacteurs

25.5.La maîtrise des activités sous-traitées

25.5.1.Qualification des entreprises et contractualisation

25.5.2.Adéquation entre charge de travail et ressources

25.5.3.La réalisation des interventions

25.5.4.La surveillance des prestations

25.5.5.Retour d’expérience et évaluation des prestations

Chapitre 26
La maintenance des installations

26.1.Les objectifs de la maintenance

26.2.La maintenance

26.2.1.Définition

26.2.2.Les stratégies de maintenance

26.3.L’optimisation de la maintenance

26.3.1.Optimisation de la maintenance par la fiabilité

26.3.2.Maintenance conditionnelle

26.3.3.Maintenance conditionnelle par échantillonnage – Maintenance par matériels témoins

26.3.4.La méthode « AP913 »

26.4.Les référentiels de maintenance

26.5.La maintenance sur site

26.5.1.Les différentes étapes d’une intervention de maintenance

26.5.2.Les principales conditions de réussite de la maintenance

26.5.3.Exemples d’anomalies ou d’écarts découverts lors d’opérations de maintenance courante, liés à un référentiel de maintenance insuffisant à l’égard de mécanismes de dégradation

26.5.4.Exemples d’événements liés à des non-qualités de maintenance

26.5.4.1.Exemple d’événement lié à un réglage erroné de matériels redondants

26.5.4.2.Exemple d’événement lié à un réglage erroné de seuils de protections électriques

26.5.4.3.Exemples d’événements liés à une non-remise en conformité d’un matériel après intervention ou à un mode opératoire incorrectement appliqué

Chapitre 27
La surveillance et le contrôle en service des équipements

27.1.Les principaux équipements internes à la cuve d’un réacteur à eau sous pression

27.1.1.« Cloisonnements » autour du cœur

27.1.2.Tubes-guides des grappes absorbantes

27.2.La cuve du réacteur, ses tubulures et son couvercle

27.2.1.« Défauts sous revêtement » de cuves

27.2.2.Fissuration d’adaptateurs de couvercles de cuve

27.2.2.1.Situation des autres réacteurs

27.2.2.2.Impact sur la sûreté

27.2.2.3.Prévention, surveillance et limitation des conséquences

27.2.2.4.Développement de moyens de contrôle

27.2.2.5.Réparations

27.2.2.6.Détection des fuites

27.2.2.7.Dispositifs anti-éjection

27.2.2.8.Situation actuelle

27.2.2.9.Fissurations observées dans des couvercles de cuves à l’étranger

27.2.2.10.Mise en œuvre d’une surveillance particulière des « zones en Inconel » à partir de 1992

27.2.3.Fissuration de pénétrations de fond de cuve détectée en 2011

27.2.4.Surveillance de la « zone de cœur » de la cuve

27.2.5.Défauts observés dans des cuves de réacteurs en Belgique

27.3.Les générateurs de vapeur

27.3.1.Les différents types de défauts

27.3.2.Risques associés

27.3.3.Surveillance en fonctionnement et contrôles à l’arrêt

27.3.3.1.Surveillance en fonctionnement

27.3.3.2.Contrôles à l’arrêt

27.3.4.Démarche suivie en cas de détection d’un défaut

27.3.4.1.Usure de tube par un corps étranger

27.3.4.2.Usure au contact des barres antivibratoires

27.3.4.3.Fissurations dans les petits cintres

27.3.4.4.Déformation et fissuration de tubes

27.3.5.Remplacement de générateurs de vapeur

27.3.6.Colmatages observés dans les années 2000

27.3.7.Bilan

27.4.Les lignes de vapeur

27.5.Les circuits auxiliaires : fissurations liées à des phénomènes thermohydrauliques locaux

27.5.1.Fissurations survenues dans des tronçons non isolables raccordés aux boucles du circuit primaire

27.5.2.Fatigue thermique du circuit RRA du réacteur n° 1 de la centrale nucléaire de Civaux

27.6.Ouvrages de génie civil : les enceintes de confinement

27.6.1.Phénomènes de dégradation redoutés

27.6.2.Dispositifs de surveillance directe des parois en béton des enceintes de confinement

27.6.3.Épreuves et mesures d’étanchéité

27.6.4.Principales anomalies observées

Chapitre 28
Le combustible : gestions, surveillance et évolutions

28.1.Modalités de surveillance de l’intégrité des crayons combustibles

28.1.1.Les spécifications radiochimiques du fluide primaire

28.1.2.Contrôles et mesures effectués directement sur les assemblages combustibles

28.1.2.1.Ressuage dans le mât de la machine de chargement

28.1.2.2.Ressuage dans la « cellule BK »

28.1.2.3.Contrôles effectués sur les crayons combustibles

28.2.Retour d’expérience et évolutions du matériau de gainage

28.3.Anomalies ou événements significatifs ayant concerné des assemblages combustibles

28.3.1.Phénomène de « jets de baffles »

28.3.2.Phénomène de fretting

28.3.3.Événements survenus lors d’opérations de manutention

28.3.4.Déformations latérales d’assemblages combustibles affectant la chute des grappes absorbantes

Chapitre 29
La conformité des installations

29.1.Introduction

29.2.Détection et traitement des écarts de conformité pour les réacteurs à eau sous pression du parc électronucléaire

29.2.1.Le processus de traitement des écarts de conformité

29.2.2.Exemples d’écarts de conformité

29.2.2.1.Écart de conformité de coffrets de raccordements électriques qualifiés aux conditions accidentelles

29.2.2.2.Défaut de tenue au séisme de planchers métalliques des bâtiments électriques et auxiliaires des réacteurs de 900 MWe (CPY)

29.2.2.3.Risque de colmatage des filtres des puisards de l’enceinte de confinement

29.2.2.4.Anomalie des moteurs diesels des groupes électrogènes de secours et d’ultime secours des réacteurs de 900 MWe

29.2.2.5.Défaut de tenue en température des pompes d’injection de sécurité à haute pression

29.2.2.6.Mélanges de graisses dans des équipements appelés à fonctionner en situations accidentelles

29.2.2.7.Déséquilibre de débit entre lignes d’injection de sécurité des réacteurs de 900 MWe

29.2.2.8.Anomalie de modélisation dans le logiciel CATHARE de la circulation naturelle dans la partie supérieure de la cuve

29.2.2.9.Vibrations des groupes motopompes de sauvegarde et soulèvements de rotors

Chapitre 30
Les réexamens périodiques

30.1.Introduction

30.2.Historique des réexamens de sûreté en France pour les réacteurs électronucléaires

30.2.1.Réacteurs autres que les réacteurs à eau sous pression du parc électronucléaire

30.2.2.Réacteurs à eau sous pression du parc électronucléaire français (900 MWe, 1 300 MWe et 1 450 MWe)

30.3.Démarche de réexamen périodique des réacteurs à eau sous pression du parc électronucléaire français

30.3.1.Règlementation

30.3.2.Contour d’un réexamen périodique des réacteurs à eau sous pression

30.4.Cas du réexamen associé aux troisièmes visites décennales des réacteurs de 900 MWe

30.4.1.Examens de conformité des tranches (ECOT) – Programme d’investigations complémentaires (PIC) – Maîtrise du vieillissement

30.4.1.1.Examens de conformité des tranches (ECOT)

30.4.1.2.Programme d’investigations complémentaires (PIC)

30.4.1.3.Maîtrise du vieillissement

30.4.2.Études de conformité relatives à la conception et au dimensionnement de systèmes et des structures de génie civil

30.4.3.Études de réévaluation de la conception et du dimensionnement de systèmes

30.4.4.Réévaluation de la tenue des réacteurs aux agressions d’origines interne et externe

30.4.5.Études d’accidents

30.4.6.Prise en compte des enseignements du réexamen associé aux VD3 900 pour les réexamens suivants

30.5.Les VD4 900 – Lien avec l’extension de la durée de fonctionnement des réacteurs électronucléaires français

30.5.1.Éléments de contexte

30.5.2.Objectifs, dossier d’orientation du réexamen

30.5.3.Quelques points notables à l’issue des instructions menées par les organismes de sûreté

30.6.Aperçu sur les pratiques à l’international – Guides de l’AIEA

30.6.1.Pratiques à l’international

30.6.2.Guides de l’AIEA

30.7.Échanges multilatéraux

Chapitre 31
Optimisation de la radioprotection et limitation des doses reçues
par les travailleurs lors des interventions dans une centrale électronucléaire

31.1.Les sources de rayonnements ionisants dans un réacteur électronucléaire

31.2.Exemples d’optimisation de la radioprotection des travailleurs

31.3.Dispositions prises pour les opérations dites de « grand carénage »

31.4.Démarche et objectifs adoptés pour le réacteur EPR

*
*       *

Partie 4
Les accidents des centrales nucléaires de Three Mile Island, Tchernobyl
et Fukushima Daiichi, leurs enseignements, la gestion de situations d’urgence

Chapitre 32
L’accident de la centrale nucléaire de Three Mile Island

32.1.Déroulement de l’accident – Reconstitution par le calcul

32.2.Les conséquences de l’accident

32.3.Analyse des causes de l’accident

32.3.1.Erreur de diagnostic de la position de la vanne de décharge

32.3.2.Compréhension du comportement du pressuriseur

32.3.3.Arrêt de l’injection de sécurité

32.3.4.Interface homme-machine

32.3.5.Isolement de l’enceinte de confinement

32.3.6.Confinement dans le bâtiment auxiliaire

32.3.7.L’alimentation de secours des générateurs de vapeur

32.4.Les enseignements tirés de l’accident de Three Mile Island

32.4.1.La place de l’homme dans la conduite des installations

32.4.2.L’importance des événements précurseurs

32.4.3.L’étude des situations complexes et de fusion du cœur, le traitement des situations d’urgence

32.5.Conclusions

Chapitre 33
La conduite incidentelle et accidentelle :
de l’approche événementielle à l’approche par états

33.1.Les limites de l’approche événementielle

33.2.Le concept de l’approche par états

33.3.Première application de l’approche par états

33.4.Généralisation de l’approche par états

33.5.L’approche par états « stabilisée »

33.6.L’approche par états pour le réacteur EPR

Chapitre 34
L’accident de la centrale nucléaire de Tchernobyl

34.1.La centrale nucléaire de Tchernobyl et la filière RBMK

34.2.Le déroulement de l’accident

34.3.Analyse des causes de l’accident et modifications rapidement mises en place pour les RBMK

34.4.Devenir des autres tranches du site

34.5.Rejets et protection des populations

34.5.1.Cinétique des rejets

34.5.2.Protection des populations

34.6.Conséquences sanitaires et environnementales

34.6.1.Effets directs des rayonnements

34.6.2.Les cancers de la thyroïde chez l’enfant

34.6.3.Contamination à long terme du bassin du Dniepr

34.7.Les retombées radioactives en France et leurs conséquences

34.7.1.Doses dues au panache

34.7.2.Doses externes dues aux dépôts au sol

34.7.3.Doses dues à l’ingestion de produits contaminés

34.7.4.Bilan global

34.7.5.Les cancers de la thyroïde

34.7.5.1.Suivi des cancers de la thyroïde en France

34.7.5.2.Évaluation du nombre de cancers induits en France par l’accident de Tchernobyl

34.8.Les enseignements généraux tirés à l’international et pour la filière des RBMK

34.9.Les enseignements tirés en France

34.10.Information du public et communication

34.11.Après l’accident de Tchernobyl

Chapitre 35
Possibilités et maîtrise d’insertions de réactivitédans les réacteurs à eau sous pression

35.1.La recherche et l’étude de séquences d’événements

35.1.1.Les accidents de refroidissement

35.1.2.Les incidents et accidents liés aux grappes de contrôle

35.1.3.Les accidents de dilution de bore

35.1.4.Introduction dans le cœur d’un « bouchon » d’eau froide

35.2.Des critères en évolution

35.3.Le cas des états d’arrêt

35.4.Règlementation

Chapitre 36
L’accident des réacteurs de la centrale nucléaire de Fukushima Daiichi
et les enseignements tirés en France

36.1.Les réacteurs de la centrale nucléaire de Fukushima Daiichi

36.1.1.Fonctionnement général d’un réacteur à eau bouillante

36.1.2.L’enceinte de confinement

36.1.3.Les systèmes de refroidissement de secours

36.2.Déroulement de l’accident

36.3.Les rejets

36.3.1.Les rejets radioactifs dans l’air, les dépôts rémanents de césium et la contamination des denrées alimentaires

36.3.1.1.Rejets radioactifs

36.3.1.2.Dépôts rémanents de césium

36.3.1.3.Contamination des denrées alimentaires

36.3.2.Les rejets radioactifs dans l’océan Pacifique

36.3.3.Dispersion atmosphérique du panache radioactif à grande distance

36.4.Actions de maîtrise des installations et des rejets d’eau contaminée

36.5.Les conséquences socio-économiques et sanitaires en quelques chiffres

36.5.1.Conséquences socio-économiques

36.5.2.Conséquences sanitaires

36.6.Les enseignements tirés de l’accident

36.6.1.Les réévaluations de sûreté menées en Europe et en France à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi

36.6.2.Les évaluations complémentaires de sûreté menées en France

36.6.3.Déroulement des évaluations complémentaires de sûreté menées en France

36.6.4.Conclusions des évaluations complémentaires de sûreté menées en France

36.6.5.Le « noyau dur »

36.6.5.1.Objectif

36.6.5.2.Principes

36.6.5.3.Illustrations

36.6.6.La Force d’action rapide nucléaire (FARN)

36.6.7.Déploiement des dispositions post-Fukushima dans les centrales nucléaires françaises

36.7.Autres enseignements tirés en France de l’accident de la centrale nucléaire de Fukushima Daiichi

Chapitre 37
Enseignements tirés de l’accident de la centrale nucléaire
de Fukushima Daiichi : travaux de l’AIEA et de l’association WENRA,
actions prises dans d’autres pays que la France

37.1.Travaux de l’AIEA

37.2.Travaux de l’association WENRA

37.3.Japon

37.4.Belgique

37.4.1.Les centrales nucléaires en Belgique

37.4.2.Éléments généraux concernant la conception des centrales électronucléaires belges

37.4.3.Tests de résistance et principaux enseignements

37.4.3.1.Amélioration de la protection des installations contre les agressions externes

37.4.3.2.Amélioration de la protection des installations contre les pertes d’alimentations électriques ou de sources froides

37.4.3.3.Amélioration des plans d’urgence internes

37.4.3.4.Amélioration de la gestion des accidents de fusion du cœur

37.5.États-Unis

Chapitre 38
Préparation et réponse à une situation d’urgence

38.1.Définition d’une situation d’urgence radiologique et objectifs de « réponse »

38.2.Organisation générale de la gestion d’une situation d’urgence radiologique

38.2.1.Organisation et entités concernées

38.2.2.Le plan national de réponse à un accident nucléaire ou radiologique majeur et les plans d’urgence

38.2.2.1.Le plan national de réponse à un accident nucléaire ou radiologique majeur

38.2.2.2.Les plans d’urgence

38.2.2.3.Les dispositions de protection des personnes du public en cas de rejet accidentel de radioactivité

38.3.Organisation de l’exploitant

38.4.Les autorités préfectorales, les maires

38.5.L’Autorité de sûreté nucléaire

38.6.L’IRSN

38.7.La démarche d’expertise en cas d’accident affectant un réacteur du parc électronucléaire

38.7.1.Méthode « 3D/3P »

38.7.2.Démarche du « pronostic aggravé »

38.7.3.Extension de la méthode « 3D/3P » aux accidents graves (méthode « D/P AG »)

38.8.La préparation à la gestion de situations d’urgence

38.8.1.Les exercices de crise

38.8.2.Le retour d’expérience

*
*       *

Partie 5
Études, recherches et développements pour la sûreté des réacteurs à eau
sous pression, logiciels de simulation

Chapitre 39
Études, recherches et développements pour la sûreté des réacteurs
à eau sous pression

39.1.Apport des études pour l’amélioration de la sûreté des réacteurs à eau sous pression

39.2.Objectifs et panorama des travaux de recherche et développement, cadres dédiés et organismes impliqués, installations de recherche françaises

39.2.1.Objectifs et panorama des travaux de recherche et développement

39.2.2.Cadres dédiés et organismes impliqués

39.2.3.Installations françaises utilisées pour des travaux de recherche et développement

Chapitre 40
Quelques-uns des logiciels de simulation développés et utilisés pour l’analyse de sûreté des réacteurs à eau sous pression

40.1.Logiciels de simulation en matière de neutronique

40.2.Logiciels de simulation en matière de thermohydraulique (et mécanique)

40.3.Logiciels de simulation en matière de thermomécanique

40.4.Logiciels de simulation de situations avec fusion du cœur

40.5.Logiciels de simulation en matière de mécanique

40.6.Logiciels de simulation d’incendies

*
*       *

Liste des sigles

Acronymes des institutions, instances et groupes

Acronymes techniques

Glossaire technique

Rédacteurs, contributeurs et relecteurs

Introduction

J. Couturier

Chapitre 1. Effets biologiques et sanitaires des rayonnements ionisants – Le système de radioprotection

Rédacteurs : Jean-François Lecomte, Jacques Libmann,

Contributeurs, relecteurs spécifiques : Éric Blanchardon, Jean Couturier

Chapitre 2. Organisation du contrôle et règlementation des installations et des activités nucléaires en France

Rédacteurs : Stanislas Massieux, Jean Couturier, David Boirel, Véronique Leroyer

Contributeurs, relecteurs spécifiques : Daniel Quéniart, Simon Liu et Remy Catteau de l’ASN, Thierry Payen

Chapitre 3. La dimension internationale – La dimension sociétale

Rédacteurs : Jean Couturier, Bertrand de Buchère de l’Épinois, Didier Wattrelos, Emmanuel Wattelle, Philippe Volant, Véronique Leroyer

Contributeurs, relecteurs spécifiques : Joel Bardelay (†), Jean-Luc Chambon, Guy Damette, Jean-Michel Évrard

Chapitre 4. Les réacteurs nucléaires : des systèmes sociotechniques complexes – L’importance des facteurs organisationnels et humains

Rédacteurs : Jean Couturier, Daniel Tasset

Contributeurs, relecteurs spécifiques : Nicolas Dechy, Brigitte Le Guilcher

Chapitre 5. Le développement de l’énergie électronucléaire utilisant la fission de l’uranium 235 – Quelques notions de physique des réacteurs à eau sous pression

Rédacteur : Jean Couturier

Contributeurs, relecteurs spécifiques : Benoît Normand, Antoine Sanchez, Cédric Laville, Stéphanie Graff, Franck Boreicha, Olivier Marchand, Antonio Sargeni, Gianni Bruna, Aude Taisne, Yves Abou Rjeily

Chapitre 6. Principes et concepts fondamentaux de l’approche de sûreté

Rédacteurs : Jean Couturier, Emmanuel Wattelle, Michel Nédélec

Contributeur, relecteur spécifique : Sébastien Israel

Chapitre 7. Options et considérations de sûreté au stade de la conception

Rédacteurs : Jean Couturier, Céline Picot, Érik Leclerc, Marc Bouscasse, Jean Gassino

Contributeurs, relecteurs spécifiques : Caroline Lavarenne, Emmanuel Wattelle, Sébastien Israel

Chapitre 8. L’étude des conditions de fonctionnement dans l’analyse déterministe de la sûreté

Rédacteur : Jean Couturier

Contributeurs, relecteurs spécifiques : Emmanuel Wattelle, Olivier Dubois

Chapitre 9. L’accident de perte de réfrigérant primaire

Rédacteurs : Sandrine Boutin, Stéphanie Graff, Audrey Bordier

Contributeurs, relecteurs spécifiques : Christophe Rabe, Jean Couturier, Daniel Monhardt, Caroline Heib, Frank Dubois

Chapitre 10. Un point particulier : les tubes des générateurs de vapeur

Rédacteurs : Fabien Fiardet, Gérard Génot, Jean-Pierre Ducasse

Contributeurs, relecteurs spécifiques : Frédéric Fouquet, Jean Couturier, Stéphanie Graff, Frank Dubois, Cécile Deust d’Haultefoeuille

Chapitre 11. Prise en compte des agressions : considérations générales, agressions d’origine interne

Rédacteurs : Jean Couturier, Marc Bouscasse, Jocelyne Lacoue, Marc Henrio, Pauline Trill-Basillais

Contributeurs, relecteurs spécifiques : Caroline Lavarenne, Céline Picot, Laurent Gilloteau, Thierry Vinot, Jean Battiston

Chapitre 12. Prise en compte des agressions d’origine externe

Rédacteurs : Jean Couturier, Céline Picot, Érik Leclerc, Jocelyne Lacoue, Julien Espargillière

Contributeurs, relecteurs spécifiques : Caroline Lavarenne, Christophe Clément, Claire-Marie Duluc, Vincent Rebour, Jacques Ducau, Thierry Vinot, Jean Battiston

Chapitre 13. Domaine complémentaire d’événements

Rédacteurs : Emmanuel Wattelle, François Corenwinder

Contributeurs, relecteurs spécifiques : Jean Couturier, Sylvie Lombard

Chapitre 14. Développement et utilisation des études probabilistes de sûreté

Rédacteurs : Frédérique Pichereau, François Corenwinder, Emmanuel Raimond

Chapitre 15. Aspects spécifiques aux piscines d’entreposage du combustible des réacteurs à eau sous pression

Rédacteur : Laurent Gilloteau

Contributeur spécifique : Jean Couturier

Chapitre 16. Prise en compte des facteurs organisationnels et humains lors de la conception des installations

Rédacteurs : Daniel Tasset, Brigitte Le Guilcher

Contributeurs, relecteurs spécifiques : Nicolas Dechy, Karine Herviou

Chapitre 17. Étude et prise en compte des accidents de fusion du cœur

Rédacteurs : Didier Jacquemain, Jean Couturier

Contributeurs, relecteurs spécifiques : Jean-Yves Maguer, Ahmed Bentaib

Chapitre 18. Les réacteurs de nouvelle génération

Rédacteurs : Yann Flauw, Jean Couturier

Contributeurs, relecteurs spécifiques : Sébastien Israel, Jean-Marie Mattei

Chapitre 19. Les essais de démarrage des réacteurs à eau sous pression

Rédacteurs : Martial Jorel, Jean Couturier

Contributeurs, relecteurs spécifiques : Nadia Maaroufi, Pierre Marbach, Jean-Charles Valéro, Patrice Négri

Chapitre 20. Les règles générales d’exploitation

Rédacteurs : Fabienne Rousseaux, Jean-Yves Maguer, Yves Le Reste, Jean Couturier

Contributeurs, relecteurs spécifiques : Laurent Gilloteau, Mioara Georgescu, Olivier Dubois, Sébastien Israel, Marie Zamarreno

Chapitre 21. Le retour d’expérience : règles et pratiques

Rédacteurs : Jean-Marie Rousseau, Jean Couturier

Contributeurs, relecteurs spécifiques : Martial Jorel, Emmanuel Wattelle, Hervé Bodineau, Vincent Crutel, Naoelle Matahri

Chapitre 22. Retour d’expérience d’événements imputables à une faiblesse de la conception initiale des réacteurs ou de la qualité de la maintenance

Rédacteurs : Jacques Libmann, Jean Couturier

Contributeurs spécifiques : François Corenwinder, Martial Jorel

Chapitre 23. Retour d’expérience d’événements liés aux interventions, aux sources et distributions électriques, aux agressions d’origine interne ou externe

Rédacteur : Vincent Crutel

Contributeurs, relecteurs spécifiques : Jean Couturier, Martial Jorel

Chapitre 24. Renforcement de la protection des sites en bordure d’estuaire ou de rivière : inondation de la centrale du Blayais et obstruction d’une prise d’eau à la centrale de Cruas-Meysse

Rédacteurs : Vincent Crutel, Jean Couturier

Relecteur spécifique : Martial Jorel

Chapitre 25. Prise en compte des facteurs organisationnels et humains pour l’exploitation des installations

Rédacteur : Nicolas Dechy

Contributeurs, relecteurs spécifiques : Valérie Vassent, Olivier Chanton, Joël Garron, Daniel Tasset

Chapitre 26. La maintenance des installations

Rédactrice : Naoelle Matahri

Contributeurs, relecteurs spécifiques : Jean Couturier, Olivier Elsensohn, Mikael Achour, Martial Jorel, Emmanuel Wattelle

Chapitre 27. La surveillance et le contrôle en service des équipements

Rédacteur : Jean Couturier

Relecteurs : Thierry Payen, Bernard Monnot, Thierry Sollier, Olivier Loiseau, François Tarallo, Lili Ducousso Ganjehi, Christine Delaval

Chapitre 28. Le combustible : gestions, surveillance et évolutions

Rédacteurs : Jean Couturier, Stéphanie Graff, Nicolas Sendecki

Contributeurs, relecteurs spécifiques : Sandrine Boutin, Olivier Marchand, Cécile Debaudringhien, Aude Taisne

Chapitre 29. La conformité des installations

Rédactrice : Anne Tenaud

Contributeurs, relecteurs spécifiques : Laurent Gilloteau, Olivier Elsensohn

Chapitre 30. Les réexamens périodiques

Rédacteurs : Christian Pignolet, Jean Couturier

Contributeurs, relecteurs spécifiques : Laurent Gilloteau, Marie Zamarreno, François Corenwinder, Pierre Faillard, Naoelle Matahri

Chapitre 31. Optimisation de la radioprotection et limitation des doses reçues par les travailleurs lors des interventions dans une centrale électronucléaire

Rédacteur : Jean Couturier

Contributeurs, relecteurs spécifiques : Olivier Couasnon, Patrick Jolivet, Philippe Dubiau

Chapitre 32. L’accident de la centrale nucléaire de Three Mile Island

Rédacteurs : Didier Jacquemain, Jean Couturier

Contributeurs, relecteurs spécifiques : Karine Herviou, Jean-Luc Stephan, Jean-Pierre Ducasse, Nicolas Dechy

Chapitre 33. La conduite incidentelle-accidentelle : de l’approche événementielle à l’approche par états

Rédacteurs : Yves Le Reste, Jean Couturier

Chapitre 34. L’accident de la centrale nucléaire de Tchernobyl

Rédacteurs : Jacques Libmann, Jean Couturier

Contributeurs, relecteurs spécifiques : Philippe Renaud, Dominique Laurier

Chapitre 35. Possibilités et maîtrise d’insertions de réactivité dans les réacteurs à eau sous pression

Rédacteurs : Delphine Plassard, Jean Couturier, Antoine Sanchez, Caroline Heib, Caroline Lavarenne

Contributeurs, relecteurs spécifiques : Olivier Marchand, Yves Abou Rjeily, Aude Taisne, Franck Dubois

Chapitre 36. L’accident des réacteurs de la centrale nucléaire de Fukushima Daiichi et les enseignements tirés en France

Rédacteurs : Jean Couturier, Emmanuel Wattelle, Philippe Renaud

Contributeur spécifique : Hervé Bodineau

Chapitre 37. Enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi : travaux de l’AIEA et de l’association WENRA, actions prises dans d’autres pays que la France

Rédacteurs : Jean Couturier, ainsi que Marc Vincke et Pieter De Gelder de Bel V

Chapitre 38. Préparation et réponse à une situation d’urgence

Rédacteurs : Joel Bardelay (†), Éric Vial, Jean Couturier

Contributeurs, relecteurs spécifiques : Alain Rannou, Philippe Dubiau, Sylvie Supervil, Jean-Michel Deligne, Cyril Huet, Éric Cogez

Chapitre 39. Études, recherches et développements pour la sûreté des réacteurs à eau sous pression

Rédacteurs : Jean Couturier, Michel Schwarz

Contributeurs, relecteurs spécifiques : Jean-Michel Évrard, Didier Jacquemain, Thierry Albiol

Chapitre 40. Quelques-uns des logiciels de simulation développés et utilisés pour l’analyse de sûreté des réacteurs à eau sous pression

Rédacteurs : Jean Couturier, Antonio Sargeni, Caroline Heib, Jocelyne Lacoue, Laurent Audoin

Contributeurs, relecteurs spécifiques : Gianni Bruna, Ludovic Maas, Didier Jacquemain

Introduction

Les installations nucléaires présentent des risques spécifiques car elles contiennent toutes, par définition, des quantités plus ou moins importantes de substances radioactives. Or ces substances peuvent provoquer l’exposition de travailleurs ou de personnes du public aux rayonnements ionisants et à leurs effets et avoir un impact radiologique sur l’environnement. Les installations nucléaires destinées à la production d’électricité sont, bien évidemment, dans ce cas.

Les autres sources d’énergie présentent également des risques mais l’objet du présent ouvrage n’est pas d’effectuer des comparaisons. Le propos se limitera à la présentation des objectifs, des concepts et des principes utilisés visant à obtenir un niveau de sûreté satisfaisant des réacteurs électronucléaires, ainsi que leurs déclinaisons pour la conception et l’exploitation de ces réacteurs.

La sûreté est le résultat d’un ensemble de dispositions techniques et d’organisation prises à tous les stades de la « vie » d’une installation pour que son fonctionnement et son existence même présentent des risques assez faibles pour être jugés acceptables, pour les travailleurs ou le personnel directement concernés, les personnes du public et pour l’environnement. La notion de risque acceptable ne se réfère pas à des critères définis et absolus. Elle résulte de choix à caractère sociopolitique qui évoluent dans le temps et qui peuvent être différents d’un pays à l’autre en fonction de la situation économique locale. Si les techniciens ont, dans ce domaine, un rôle de proposition, la décision finale relève d’une appréciation politique qui intègre d’autres aspects.

Il s’agit donc à la fois :

–d’assurer des conditions de fonctionnement normal de l’installation qui ne provoquent ni radio-exposition excessive des travailleurs, ni rejet d’activités radiologiques importantes par les effluents ;

–de prévenir les incidents et les accidents ;

–de limiter les effets sur les travailleurs, les populations et l’environnement d’incidents ou d’accidents qui surviendraient néanmoins.

Cela se traduit par des dispositions touchant aussi bien la conception, la construction que l’exploitation et le démantèlement des installations.

Pour un type d’installation donné, la démarche commence par l’identification de la nature des risques potentiels associés et de leur importance. Les moyens d’assurer la sûreté ne peuvent être définis puis analysés qu’après ce préalable.

La France est engagée dans la construction et l’exploitation d’installations nucléaires depuis le milieu du siècle dernier, avec, dès les années 1950, de petits réacteurs prototypes ou de recherche, dans les années 1960 de plus gros réacteurs à vocation électrogène de la filière dite uranium naturel graphite gaz ou « UNGG » (réacteurs utilisant de l’uranium naturel comme combustible, refroidis et modérés neutroniquement par du graphite), enfin, à partir des années 1970, 58 réacteurs électronucléaires à eau sous pression, d’abord sous licence Westinghouse puis de conception Framatome. Les réacteurs « UNGG » ont tous été arrêtés avant l’année 2000. Mais nombre des réacteurs à eau sous pression en service sont déjà anciens ; les réacteurs de 900 MWe atteignent leurs 40 années de fonctionnement, durée initialement prévue pour la conception de certains de leurs équipements.

Pour bien situer l’objectif de la sûreté nucléaire, sont présentés brièvement, dans un premier chapitre, les effets biologiques des rayonnements ionisants ainsi que les principes fondamentaux du « système » de radioprotection. Cela devrait permettre au lecteur de mieux apprécier les ordres de grandeur des conséquences des phénomènes envisagés et des accidents sérieux qui sont survenus dans les centrales nucléaires de Three Mile Island en 1979, de Tchernobyl en 1986 et de Fukushima Daiichi en 2011.

De même, la pratique et la recherche de la sûreté se font selon un partage de responsabilités défini par des textes règlementaires. Pour rester dans l’esprit d’un exposé plus technique qu’administratif, sont présentés dans le deuxième chapitre les principes d’organisation et de relation entre les organismes contribuant in fine à la sûreté : les exploitants, responsables au premier chef de la sûreté de leurs installations nucléaires, les autorités de sûreté, les organismes techniques de sûreté et les groupes d’experts, sans oublier la société civile dont l’implication s’est considérablement accrue depuis les années 1970.

La seconde partie, consacrée à la « sûreté à la conception » des réacteurs, présente tout d’abord quelques rappels sur le développement des réacteurs dont le fonctionnement est fondé sur la fission de l’uranium 235 et des notions fondamentales de physique des réacteurs à eau sous pression. Puis sont présentés les objectifs généraux, les principes et concepts applicables pour leur conception, comme les « fonctions fondamentales de sûreté », les « barrières de confinement », le concept de « défense en profondeur », les approches « déterministe » et « probabiliste ». Sur tous ces sujets, des objectifs et des exigences plus drastiques ont été retenus au fil du temps, issus de discussions approfondies (parfois dans un cadre européen) entre les exploitants, les concepteurs et les organismes de sûreté, pour tenir compte notamment des enseignements tirés d’incidents ou d’accidents sérieux (accident des centrales nucléaires de Three Mile Island, de Tchernobyl et de Fukushima Daiichi, sans oublier l’inondation de la centrale nucléaire du Blayais à la fin du mois de décembre 1999). La prise en compte pour la conception même des réacteurs électronucléaires de la possibilité de situations avec fusion du cœur a ainsi été, dans les années 1990, l’un des sujets majeurs pour l’amélioration globale de la sûreté des réacteurs électronucléaires de la « prochaine génération » tels que l’European Pressurized water Reactor (EPR). Parallèlement, les méthodes et règles d’étude des événements postulés qui sont étudiés dans le cadre de l’approche dite déterministe (accidents de perte2 de réfrigérant primaire, d’insertion de réactivité dans le cœur, agressions externes…) se sont affinées, à la lumière notamment des enseignements tirés des travaux de recherche menés au plan international.

La troisième partie aborde quelques-uns des aspects les plus importants de la « sûreté en exploitation » des réacteurs électronucléaires : les essais de démarrage réalisés avant la mise en service proprement dite des réacteurs, le retour d’expérience des événements qui surviennent en exploitation – illustré par un certain nombre d’entre eux qui ont été riches d’enseignements –, la maintenance des équipements, les contrôles en service avec quelques-unes des anomalies les plus significatives découvertes et la façon dont elles ont été traitées. À cet égard, des anomalies ou événements anciens, qui ont affecté des réacteurs électronucléaires français lors de leurs premières années d’exploitation (et d’autres réacteurs à l’étranger), n’ont pas été omis, du fait de leur valeur pédagogique, la survenue d’événements similaires, sous une forme ou une autre, ne pouvant pas être catégoriquement écartée. À l’inverse, des événements récents ou faisant encore l’objet de discussions entre l’exploitant, l’Autorité de sûreté nucléaire (ASN) et l’IRSN, ne sont volontairement pas évoqués dans le présent ouvrage.

En matière de contrôles en exploitation (ou « en service »), sujet auquel un chapitre est spécifiquement dédié, les différents programmes mis en œuvre sont au cœur des débats entre Électricité de France (EDF) et les organismes de sûreté dans le cadre du projet d’extension de la durée de fonctionnement des réacteurs au-delà des 40 années retenues au stade de la conception. Ces programmes doivent apporter les assurances suffisantes sur la maîtrise adéquate du « vieillissement »3 des composants, notamment de ceux qui ne sont pas, ou sont difficilement, remplaçables (les cuves des réacteurs notamment).

La quatrième partie de l’ouvrage présente les accidents survenus dans les centrales nucléaires de Three Mile Island, de Tchernobyl et de Fukushima Daiichi, leurs conséquences (y compris sanitaires) et les enseignements qui en ont été tirés. De façon schématique, ces accidents ont notamment conduit à un certain nombre de dispositions concrètes (matérielles ou organisationnelles) visant à renforcer la prévention de différentes situations : situations avec fusion du cœur (par exemple par un apport excessif de réactivité dans le cœur, sujet dont l’accident de Tchernobyl a motivé un approfondissement tout particulier), situations de perte du confinement, de rejets précoces ou importants de substances radioactives dans l’environnement, cela y compris en tenant compte de la possibilité d’événements externes (séisme, inondation…) plus sévères que ceux qui ont été retenus pour la conception des installations (ou lors de leurs réévaluations de sûreté). Le concept de « noyau dur » d’équipements pouvant résister à de telles « agressions », adopté en France à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi, y est explicité et sa mise en œuvre illustrée pour les réacteurs du parc électronucléaire français ; des dispositions prises dans d’autres pays (Belgique, États-Unis) sont aussi décrites.

Les dispositions prises tant au niveau des pouvoirs publics que par l’exploitant, Électricité de France, en termes de préparation et de réponse à des situations d’urgence (radiologique) sont enfin présentées.

La cinquième et dernière partie de l’ouvrage permet de rappeler quelques-uns des apports les plus marquants des études et des travaux de recherche et développement à la sûreté des réacteurs du parc électronucléaire français. Sont aussi présentés dans le dernier chapitre quelques-uns des très nombreux logiciels de simulation utilisés pour les analyses de sûreté, la préparation d’expériences ou l’exploitation des résultats qui en sont issus ; sa lecture peut bien évidemment être complétée par celles d’ouvrages ou de communications scientifiques d’Areva-NP ou de Framatome, du Commissariat à l’énergie atomique et aux énergies alternatives (CEA) et d’Électricité de France.

Trois chapitres sont consacrés aux facteurs organisationnels et humains, sujet qui avait été succinctement évoqué dans différents domaines abordés dans l’ouvrage « Éléments de sûreté nucléaire » diffusé en 1996. Le retour d’expérience, les nombreuses études menées et le développement d’approches en la matière ont justifié que ce sujet soit développé dans le présent ouvrage.

Enfin, il convient de noter que, sauf indication contraire, les éléments présentés dans cet ouvrage correspondent à un état des connaissances à fin 2019.

2.Dans le domaine de la sûreté nucléaire, le terme « perte » est largement utilisé (y compris au niveau international avec le mot loss). Il correspond à une indisponibilité ou à une défaillance, telles la perte de réfrigérant primaire dans le cas d’une brèche d’une tuyauterie du circuit primaire, la perte des alimentations électriques externes dans le cas d’une défaillance ou d’une indisponibilité du réseau de distribution et d’alimentation électrique d’une centrale…

3.Ce terme désigne les différents processus d’altération des équipements au cours du temps ; un certain nombre d’entre-eux seront présentés notamment au chapitre 27.

Partie 1

Éléments généraux de contexte

Chapitre 1

Effets biologiques et sanitaires
des rayonnements ionisants –
Le système de radioprotection

Puisque, comme cela a été indiqué dès l’introduction, les installations nucléaires et, en particulier, les réacteurs, contiennent des quantités importantes de substances radioactives, il est apparu opportun de rappeler quelques notions sur la radioactivité et de faire un point synthétique sur les connaissances disponibles relatives aux effets biologiques et sanitaires de la radioactivité. Ce sont elles, en effet, qui permettent d’évaluer, au moins globalement, les éventuelles conséquences radiologiques de situations courantes ou anormales et d’établir les principes de base de la radioprotection.

Ce chapitre, volontairement synthétique, s’appuie notamment sur les recommandations de la Commission internationale de protection radiologique, la CIPR, et en particulier sa publication 1034, ainsi que sur la présentation de ces effets dans le livre « Les retombées radioactives de l’accident de Tchernobyl sur le territoire français »5.

1.1.Effets biologiques et sanitaires
des rayonnements ionisants

1.1.1.Processus biologiques

Le processus d’ionisation d’un atome, arrachement d’un électron périphérique par une particule ou un rayonnement, le modifie, au moins transitoirement, ce qui peut quelquefois endommager la cellule qui le contient. Ce dommage cellulaire peut, s’il n’est pas correctement réparé, empêcher la cellule de survivre ou de se reproduire ou, plus rarement, donner une cellule viable mais modifiée.

Une cellule dont l’ADN6 a été lésé (mutation) et qui n’a pas été éliminée peut conduire, après un délai assez long, à un cancer. Les études épidémiologiques montrent que la probabilité de survenue d’un cancer est fonction de la dose reçue. En revanche, la gravité de ce cancer est indépendante de cette dose. On parle alors d’effet « stochastique », aléatoire, pour lequel le lien de cause à effet est de nature probabiliste.

Si les mutations affectent des cellules germinales, il y a risque d’effets héréditaires ou génétiques qui sont, eux aussi, de nature probabiliste. Ces effets, observés sur des animaux, n’ont jamais été mis en évidence sur l’homme.

Si le nombre de cellules détruites est suffisant, il y aura un dégât observable traduisant la perte d’une fonction tissulaire. Au-delà d’un certain niveau d’exposition, appelé seuil, l’atteinte sera évidente et sa gravité augmentera avec la dose. Ce type d’effet est qualifié de déterministe ou certain ou, plus simplement, réaction tissulaire.

Comme on le voit, les conséquences d’une exposition aux rayonnements ne sont pas simples à apprécier. Elles peuvent s’exprimer en probabilité d’un décès, qui peut ne se produire qu’après plusieurs dizaines d’années, ou en certitude d’un effet fonctionnel ou de la mort, si la dose est suffisamment élevée.

#FOCUS

Les différents types de rayonnements ionisants

Il existe de nombreux types de rayonnements (couramment appelés rayons), visibles ou invisibles, mais la plupart (radio, téléphonie mobile, micro-ondes) ne sont pas ionisants.

Un rayonnement est une émission d’énergie ou un faisceau de particules. Certains rayonnements (neutrons, X, α, β et γ) sont dits ionisants car ils transportent une énergie suffisante pour transformer les atomes qu’ils traversent en ions (un atome qui a perdu ou gagné un ou plusieurs électrons). Les neutrons peuvent aussi être absorbés par des noyaux atomiques. Cela peut rendre la matière instable. Un atome – instable de nature ou après un contact avec un rayonnement – va chercher à se stabiliser en émettant différents rayonnements :

–en perdant des protons et des neutrons : deux protons et deux neutrons (noyau d’hélium) vont constituer le rayonnement α ;

–en transformant un neutron en proton ou vice versa : rayonnement bêta moins β– ou bêta plus β+ ;

–en émettant des photons (particules composant la lumière) : rayonnements X et γ ;

–en émettant des électrons mono-énergétiques (conversion interne7),

ou subir une réaction de fission nucléaire, conduisant à la formation d’atomes plus légers et à l’émission de neutrons.

Les rayonnements provoquent des effets différents sur l’organisme selon leur type et la dose reçue. L’énergie n’est en effet pas identique pour tous les rayonnements ; les moyens de s’en protéger sont donc différents. Par exemple, une feuille de papier est suffisante pour arrêter les rayonnements α, mais il faut un mètre de béton ou de plomb pour arrêter des rayonnements gamma (figure 1.1.).

Figure 1.1. Efficacité de quelques protections à l’égard des différents types de rayonnements ionisants. Georges Goué/IRSN.

Dans les centrales électronucléaires, les émetteurs de rayonnement α, qui présentent une efficacité accrue à créer des dommages cellulaires et moléculaires, posent des problèmes spécifiques en termes de radioprotection des travailleurs (risque de contamination interne) et de rejets (les concentrations des émetteurs α dans les effluents liquides et gazeux doivent rester inférieures aux limites de détection dont les valeurs sont fixées, pour chaque centrale, dans une « décision » de l’Autorité de sûreté nucléaire). En effet, si un émetteur α se retrouve dans un organe ou un tissu contaminé, les dégâts sont importants car le dépôt d’énergie est très élevé localement.

1.1.2.Rappels sur quelques unités

L’unité de radioactivité actuelle est le becquerel (Bq) qui vaut 1 désintégration par seconde. C’est une unité très petite et on utilise très souvent des préfixes multiplicateurs : méga (M) = 106, giga (G) = 109, téra (T) = 1012, péta (P) = 1015 ou exa (E) = 1018.

Une ancienne unité était le curie (Ci) qui valait 37.109 désintégrations par seconde ou becquerels. Elle a été historiquement définie comme l’activité d’un gramme de radium 226. Cette unité étant relativement grande, on utilisait des préfixes réducteurs : micro (µ) = 10−6, nano (n) = 10−9 et pico (p) = 10−12.

1 Ci = 37.109 Bq ou 37 GBq ;                    1 Bq = 27.10−12 Ci soit 27 pCi.

Deux unités expriment l’interaction des rayonnements avec le corps humain.

Le gray (Gy) exprime l’énergie déposée par une particule ou un rayonnement dans de la matière ; 1 gray = 1 joule (J)/kilogramme (kg) de matière. C’est l’unité de dose absorbée. L’ancienne unité était le rad (1 Gy = 100 rad).

La nocivité potentielle d’une dose absorbée est d’autant plus grande que le dépôt d’énergie de la particule se fait sur une distance plus petite. On parle ici de transfert d’énergie linéique (TEL) qui s’exprime en Joule.m−1 (ou en keV.µm−1). On introduit un « facteur de pondération pour les rayonnements » qui permet de déterminer, pour chaque type de rayonnement, une « dose équivalente » dans ses effets à ceux des rayonnements de référence, X ou γ. Le facteur de pondération est, par convention, de 1 pour les électrons et les rayonnements X et γ ; il est de 20 pour les particules α et les noyaux lourds, et varie de 2,5 à 20 pour les neutrons avec un maximum pour les neutrons d’énergie de l’ordre du MeV.

L’unité de dose équivalente est le sievert (Sv). 1 Sv est égal à 1 J.kg−1. Une ancienne unité était le rem (1 Sv = 100 rem).

Concernant les différents effets possibles, chaque tissu et chaque organe ont une sensibilité particulière à l’égard du risque de cancer. Pour 100 cancers mortels observés après une irradiation externe du corps entier, il y a environ 12 cancers du poumon, quatre cancers de la thyroïde et un cancer de la peau par exemple, l’un n’empêchant pas l’autre. On introduit donc un « facteur de pondération pour les tissus » qui permet de passer de la dose équivalente à une « dose efficace » (en Sv également) moyennée sur le corps entier. Le facteur de pondération des gonades (ovaires et testicules) permet de prendre en compte le risque d’effets héréditaires.

En cas de contamination interne, l’irradiation continue tant que le radionucléide n’est pas éliminé. Il peut l’être par sa propre décroissance radioactive ou par excrétion. En dix jours, la moitié du tritium ingéré est éliminé alors qu’il faut de l’ordre de 100 jours pour le césium. Dans un tel cas, on calcule la « dose engagée » qui résulte de la contamination durant les 50 années qui la suivent pour les travailleurs et jusqu’à 70 ans pour les personnes du public. Règlementairement, cette dose est « créditée » au moment de la contamination.

Doses efficaces et doses engagées s’expriment toutes deux en sieverts.

Dans la suite de ce chapitre, le terme « dose » signifie le plus souvent « dose efficace ».

La relation entre un becquerel et le nombre de grays ou de sieverts qui en résulte dépend donc de l’énergie de la particule ou du rayonnement et du mode d’interaction avec les tissus considérés et, pour la contamination interne, du temps de séjour du radionucléide dans l’organisme.

1.1.3.La radioactivité naturelle

L’humanité est, depuis son origine, exposée à un large spectre de rayonnements ionisants d’origine naturelle. Les expositions sont dues aux rayonnements cosmiques, aux rayonnements telluriques (principalement les rayonnements γ du potassium 40 et des radiums 228 et 226), aux produits radioactifs présents naturellement dans le corps humain, provenant de l’alimentation et de l’eau (principalement le plomb 210, le carbone 14 et le potassium 40), et de l’inhalation (principalement le radon 222).

La dose annuelle due à ces sources naturelles, moyennée sur l’ensemble des populations du globe, se situe entre 2 et 3 millisieverts (mSv). Dans les conditions moyennes d’exposition, les rayons cosmiques, les rayons γ du sol et les produits ingérés ont chacun une contribution voisine, de 0,3 à 0,4 mSv. La part due à l’inhalation de radon est assez nettement supérieure, allant jusqu’à 1,3 mSv en moyenne. Elle est très variable selon les lieux et dépend, en particulier, de la composition du sol, des habitations, des conditions de vie.

Ces valeurs recouvrent de larges variations et des doses locales plus importantes peuvent être observées en divers endroits. Les doses dues aux rayons cosmiques peuvent être jusqu’à cinq fois plus importantes dans des zones habitées de haute altitude. On note localement des doses annuelles dues aux rayonnements γ terrestres qui atteignent 100 mSv. Les doses annuelles les plus élevées sont dues au radon ; elles peuvent approcher 1 Sv dans des cas extrêmes correspondant à des concentrations de plusieurs dizaines de milliers de Bq.m-3.

En France, la dose moyenne reçue par un individu se situe dans la moyenne mondiale, de l’ordre de 3 mSv.an−1, du fait du radon, des rayonnements cosmiques et terrestres et de l’alimentation, mais peut varier de 1 à 15 mSv.an−1 environ. Dans le monde, l’écart peut être encore plus grand.

Des risques pour la santé dus à l’exposition à la radioactivité naturelle ont été mis en évidence pour l’exposition au radon, à des concentrations de l’ordre de 200 Bq.m-3 dans l’habitat, ce qui ne signifie pas qu’il n’y ait pas de risques pour des expositions plus faibles.

S’ajoutant à la radioactivité naturelle, l’usage médical des rayonnements à des fins de diagnostic dans les pays développés ajoute une dose individuelle moyenne de l’ordre de 1 mSv par an (3 mSv aux États-Unis, 0,6 mSv en moyenne mondiale). L’exposition volontaire à des fins thérapeutiques qui est, en général, beaucoup plus élevée, n’entre pas dans ce décompte.

1.1.4.Effets sur la santé

Les meilleures sources d’information sur les effets des rayonnements ionisants sont des observations directes des effets sur l’homme. L’étude épidémiologique japonaise sur la vie entière des survivants des bombardements d’Hiroshima et de Nagasaki, dite étude LSS (Life Span Study), a une importance particulière, mais n’est pas la seule. Les études épidémiologiques relatives aux patients exposés à des rayonnements pour traitement médical ou pour diagnostic, à certains groupes de travailleurs exposés professionnellement aux rayonnements ou lors d’accidents graves, qu’ils aient eu lieu dans des installations nucléaires ou avec des sources à usages médical ou industriel, sont également utilisées.

Les recherches biologiques sur des micro-organismes, sur des cellules cultivées in vitro et sur des animaux donnent, en complément, beaucoup d’informations sur les mécanismes de dommage et sur les relations doses-effets.

L’UNSCEAR (United Nations Scientific Committee on the Effects of Atomic Radiation8) effectue le suivi des connaissances sur les effets des rayonnements ionisants à partir des publications scientifiquement reconnues qui contribuent à la compréhension des phénomènes et permettent, autant que faire se peut, d’établir une relation entre doses et effets.

La CIPR se base sur ces connaissances pour recommander un « système » général de radioprotection et actualiser de manière détaillée les facteurs de pondération évoqués plus haut, nécessaires à ce système.

La publication CIPR 103 de 2007 est la publication la plus récente à caractère général. Elle propose une nouvelle approche de la radioprotection, présentée à la fin de ce chapitre, et fait une revue générale des facteurs de pondération. Ces facteurs sont révisés régulièrement pour prendre en compte l’évolution des connaissances scientifiques.

1.1.4.1.Effets déterministes, réactions tissulaires

Les effets déterministes sont dus à la destruction d’une proportion significative de cellules d’un tissu ou d’un organe. Pour qu’ils se manifestent, il faut que le taux de cellules détruites soit suffisant pour excéder les capacités de réparation du tissu ou de l’organe. La publication 118 de la CIPR9 (2012) introduit l’expression « réaction tissulaire » pour décrire ces phénomènes.

L’importance de ces effets augmente avec la dose absorbée.

Pour la plupart des organes humains, le seuil d’apparition d’effets déterministes importants est supérieur ou égal à 1 Gy, mais certains effets peuvent apparaître à partir de 100 mGy. Des sensibilités individuelles peuvent également modifier le niveau du seuil.

Notons qu’à ces niveaux, c’est directement l’énergie absorbée qui compte, donc le nombre de grays, sans influence des facteurs de pondération.

L’expérience permet de préciser les ordres de grandeur suivants pour une exposition du corps entier :

–à partir de 0,1 Gy, stérilité masculine temporaire, dégradation temporaire de la formule sanguine ;

–à partir de 1 Gy, malaises, nausées, grande fatigue, effet immunodépresseur avec risque d’infection ;

–à partir de 2 Gy, érythèmes cutanés, perte des poils et des cheveux, dégradation importante de la formule sanguine, décès d’environ 5 % des personnes concernées en quelques mois ;

–pour 3,3 à 4,5 Gy, le taux de mortalité atteint 50 % ;

–à partir de 5 Gy, brûlures radiologiques de gravité croissante ;

–vers 6 Gy, atteinte gastro-intestinale avec risque d’hémorragie interne ;

–pour 8 Gy, atteinte pulmonaire avec un taux de mortalité de l’ordre de 95 % en quelques semaines ;

–de 15 à 20 Gy, coma, mort cérébrale, décès rapide.

Erythèmes et brûlures de la peau peuvent apparaître même pour une exposition locale comme cela a été observé chez les premiers radiologues.

Pour ce qui concerne le risque de cataracte, le seuil d’apparition a été récemment réestimé. La publication CIPR 118, parue en 2012, retient maintenant la valeur de 0,5 Gy, soit dix fois moins que la valeur retenue jusqu’alors, que l’exposition soit unique ou fractionnée.

1.1.4.2.Effets stochastiques ou aléatoires

Les effets stochastiques (probabilistes, aléatoires) sont associés aux cellules dont l’ADN, endommagé lors d’une interaction avec un rayonnement ionisant, s’est mal réparé, conduisant à une mutation génique.

Il s’agit le plus souvent de cancers dont la gravité est sans relation avec le niveau d’exposition.

La fréquence de ces cancers est plus élevée dans un groupe qui a été exposé que dans un groupe qui ne l’a pas été. La différence des fréquences est d’autant plus importante que la différence des doses est importante. Néanmoins, il n’est pas possible aujourd’hui de différencier un cancer radio-induit d’un cancer lié à un autre facteur de risque ou de prédire qui, dans le groupe exposé, déclarera la maladie.

Les études épidémiologiques et expérimentales prouvent l’existence d’un risque de cancer pour des doses de 100 mSv, voire moins. Comme cela sera vu au paragraphe 1.1.5, le nombre de décès par cancers spontanés et la relative variabilité de ce nombre d’une année à l’autre ne permettent pas de conclure par l’épidémiologie sur l’existence ou l’absence de ce risque pour des doses significativement plus faibles.

Les connaissances sur les processus cellulaires fondamentaux, couplées aux données concernant les relations doses-effets, confortent l’opinion selon laquelle, dans la plage des faibles doses, en dessous d’environ 100 mSv, il est scientifiquement plausible que l’incidence d’effets cancérigènes puisse croître de manière linéaire avec la dose reçue.

La CIPR retient que, en l’état actuel des connaissances et dans une optique de protection et de règlementation, donc de manière prudente, il convient de retenir à titre prédictif une relation linéaire sans seuil entre doses et effets stochastiques. Le modèle de relation doses-effets adopté est connu sous le nom de « modèle linéaire sans seuil », en anglais Linear No-Threshold model (LNT) ; il s’applique aux cancers et aux maladies héréditaires.

Les « coefficients de risque nominal » expriment l’excès de risque absolu10 sur la vie entière pour un groupe de 100 personnes recevant une dose de 1 Sv. Ils ont été réévalués depuis la précédente publication de la CIPR, de 1990 (CIPR 60) ; la diminution est légère pour les cancers, importante pour les effets héréditaires (tableau 1.1). En effet, il n’existe pas d’effets héréditaires clairement mis en évidence sur l’homme ; les estimations sont donc fondées sur l’expérimentation animale. Le très large spectre de gravité des désordres génétiques rend difficile la définition d’un coefficient de proportionnalité ; pour des déficiences considérées comme « graves », la CIPR 103 considère un coefficient de 0,2 % par sievert pour l’ensemble de la population.

Tableau 1.1. Coefficients de risque nominal en 10−2.Sv−1 aux faibles débits de dose.

Population exposée

Cancer

Effets héréditaires

Total

CIPR 60

(1990)

CIPR 103

(2007)

CIPR 60

(1990)

CIPR 103

(2007)

CIPR 60

(1990)

CIPR 103

(2007)

Ensemble

6,0

5,5

1,3

0,2

7,3

5,7

Adulte

4,8

4,1

0,8

0,1

5,6

4,2

Ce modèle fournit une base prudente pour les besoins pratiques de la protection radiologique préventive. Il ne faut pas s’attacher à la présence de décimales et la commission suggère d’utiliser un facteur global de 5 %.Sv−1. En revanche, elle estime qu’il serait inapproprié de calculer, avec ce facteur, un nombre hypothétique de cas de cancers ou de maladies héréditaires qui pourraient être associés à de très faibles doses reçues par un grand nombre de personnes sur de très longues périodes, par exemple du fait d’un accident.

Les cancers radio-induits surviennent après un temps de latence assez long et les décès se manifestent à partir d’environ 5 ans après l’exposition et, ensuite, sur plusieurs décennies, en particulier pour les cancers « solides ». Les études menées sur les survivants japonais des bombardements atomiques d’Hiroshima et de Nagasaki ont montré que, au début des études systématiques, 5 ans après les explosions, le pic de mortalité par leucémie (cancer de la catégorie « liquide ») était déjà passé.

L’« épidémie » de cancers de la thyroïde d’enfants vivant dans les zones proches de Tchernobyl les plus affectées par les panaches et les dépôts résultant de l’accident a montré que des délais du même ordre s’appliquaient également à l’occurrence de ce type de cancers. Il sera vu au chapitre 34 relatif à l’accident de Tchernobyl que, si ces cancers sont certes nombreux, le nombre de décès associés peut néanmoins être considéré comme faible.

1.1.4.3.Induction de maladies autres que le cancer

Une exposition in utero peut affecter le fœtus. Au-delà des premières semaines de grossesse et particulièrement au cours des trois derniers mois, une dose supérieure à 0,1 Gy reçue par le fœtus peut entraver son développement et le quotient intellectuel de l’enfant peut être affecté.

La publication 118 de la CIPR fait le point sur les effets des rayonnements sur les différents tissus et organes du corps humain à court, moyen ou long terme. Sont traités les systèmes immunitaire, hématopoïétique (système de renouvellement des cellules sanguines), digestif, reproductif, respiratoire, urinaire, musculaire, squelettique, nerveux et cardiovasculaire, ainsi que la peau et les yeux.

L’introduction dans cette liste du système cardiovasculaire est une nouveauté significative, qui reconnaît que des désordres graves de ce système peuvent se produire à moyen ou à long terme après une exposition aux rayonnements. Il s’agit d’une réaction tissulaire et le seuil retenu est de 0,5 Gy, que l’exposition soit unique ou fractionnée. La question était posée depuis les années 1990 mais les dernières études de synthèse (dont celles de Mark P. Little et al., 2008 et 2010 et celle d’Ozasa et al.11, 2012) ont contribué à cette conclusion largement argumentée dans les documents.

Une autre évolution significative concerne la diminution d’un facteur 10 du seuil estimé d’exposition de l’œil susceptible de provoquer une cataracte. C’est maintenant la valeur de 0,5 Gy qui est retenue.

Mark P. Little et 37 autres spécialistes12 suggèrent, après une revue systématique et une méta-analyse des données disponibles, que les pathologies non cancéreuses provoquées par l’exposition aux rayonnements ionisants pourraient induire autant de décès prématurés que les cancers.

Ces dernières estimations ne sont pas reprises dans la CIPR 118.

1.1.5.Un exemple de limitations de l’épidémiologie

Il est possible d’illustrer les limites de l’épidémiologie à partir des données françaises sur les populations et leur mortalité et, en particulier, leur mortalité par cancers.

De 1979 à 2010, la population française métropolitaine a augmenté assez régulièrement de 53 482 000 à 62 765 00013 (voir la figure 1.2). Dans le même temps, le nombre de décès par an diminuait de 540 000 à 530 00014 mais avec de fortes variations annuelles, marquant ainsi l’augmentation de l’espérance de vie.

Figure 1.2. Population française métropolitaine et mortalité annuelle. IRSN.

L’Institut national de la santé et de la recherche médicale (INSERM) indique sur son site internet les nombres de décès par cause, par âge et par sexe, ce qui permet de suivre les nombres et taux de décès dus aux cancers (classification internationale des maladies, CIM 10, codes C00 à C97).

Les cancers sont la cause d’un tiers des décès, plus pour les hommes que pour les femmes, avec un nombre relativement stable pour les hommes depuis 1995 (voir la figure 1.3). Malgré ces chiffres élevés, les fluctuations annuelles sont supérieures à +/- 1 %.

Figure 1.3. Nombre annuel de décès par cancer en France métropolitaine. IRSN.

L’exposition de 600 000 personnes, soit 1 % de la population, à une dose de 10 mSv pourrait provoquer un surcroît de décès par cancer allant jusqu’à 300, qui se manifesteraient, pour certains après quelques années, pour la plupart 20 à 50 ans plus tard, alors que les cancers « spontanés » entraîneraient de l’ordre de 16 000 décès. Le surcroît de cancers lié à l’exposition serait indiscernable.

Pour des cancers spontanés rares comme ceux de la thyroïde des enfants, le seuil de détection peut être plus faible, sans qu’il soit possible de distinguer les cancers radio-induits des autres.

1.2.Le système de radioprotection

Les nombreux cas de leucémies observés chez les radiologues dès la fin des années 1920 – et qui perdurera jusque dans les années 1950 – firent naître une prise de conscience collective des effets des rayonnements ionisants. C’est alors qu’en 1928, au deuxième Congrès international de radiologie à Stockholm, il fut décidé de créer la « Commission de protection contre les rayons X et le radium », qui deviendra en 1950 la Commission internationale de protection radiologique (CIPR).

C’est la CIPR qui est à l’origine du « système » de radioprotection (voir la figure 1.4). L’objectif principal de ce système est de contribuer à un niveau de protection approprié pour les personnes et pour l’environnement contre les effets délétères de l’exposition aux rayonnements ionisants, sans limiter de façon excessive les activités humaines utiles qui peuvent conduire à une telle exposition. S’agissant de la santé humaine, le but est de maîtriser les expositions aux rayonnements ionisants afin d’empêcher la survenue d’effets déterministes et de réduire les effets stochastiques dans la limite du raisonnable.

Pour y parvenir, la CIPR recommande dans sa publication 103 (2007) une approche réalisable et structurée avec trois types de situations d’exposition, trois catégories d’exposition et une application appropriée de trois principes de radioprotection.

Figure 1.4. Comment s’élaborent les règles de radioprotection.

1.2.1.Types de situations d’exposition

Les situations d’exposition sont très diverses. Dans chacune d’elles, le point de départ est une source de rayonnements ; celle-ci entraîne des expositions, reçues par des individus, par différentes voies d’exposition. Le système de radioprotection s’applique aux sources de rayonnements maîtrisables, naturelles ou artificielles. L’état de la source est structurant pour le système ; il conduit à distinguer trois types de situations d’exposition.

Les situations d’exposition existante : la source préexiste à la décision de la maîtriser. C’est le cas de la plupart des sources naturelles de rayonnements : radon, rayonnements cosmiques, rayonnements provenant du sol. C’est aussi le cas de l’héritage d’un passé industriel (sites contaminés), ou des suites d’une situation d’urgence radiologique, c’est-à-dire une situation accidentelle ayant entraîné des rejets de substances radioactives.

Les situations d’exposition existante sont des situations d’exposition chronique dont la gestion repose sur la maîtrise des voies d’exposition plus que de la source elle-même, ce qui n’est pas toujours aisé.

Un autre type de situations correspond aux situations d’exposition planifiée : l’introduction et l’utilisation délibérées d’une source de rayonnements, par exemple pour produire de l’électricité, soigner des patients, contrôler l’état d’une soudure… La source est généralement d’origine artificielle mais elle peut être naturelle. Dans ces situations d’exposition planifiée, la source est introduite délibérément. Elle est donc censée être maîtrisée depuis sa conception jusqu’à son élimination. Cela correspond aux différents aspects de l’exploitation normale des installations comportant des sources radioactives de toute nature et dûment autorisées.

Le dernier type de situations correspond aux situations d’exposition d’urgence : de telles situations peuvent survenir en cas de perte de contrôle d’une source exploitée dans une situation d’exposition planifiée, ou à la suite d’une action de malveillance ou de toute autre situation imprévue. Elle nécessite une action urgente afin d’éviter ou, à tout le moins, de réduire les conséquences indésirables.

1.2.2.Catégories d’exposition

La CIPR fait la distinction entre trois catégories d’exposition.

L’exposition médicale : il s’agit de l’exposition de patients à des fins de diagnostic, d’intervention ou de thérapie. L’exposition est intentionnelle et bénéficie directement au patient. Les caractéristiques des pratiques radiologiques médicales, notamment la relation médecin-patient, requièrent une approche différente de celles qui sont mises en œuvre dans les autres situations d’exposition planifiée.

L’exposition professionnelle : il s’agit de l’exposition à l’ensemble des rayonnements que subissent les travailleurs dans le cadre de leurs activités professionnelles. Toutefois, en raison de l’omniprésence des rayonnements, et pour éviter que tout travailleur ne soit soumis à un régime de protection radiologique, la définition des expositions professionnelles est limitée à celles qui sont encourues dans le cadre du travail et qui peuvent être raisonnablement considérées comme étant de la responsabilité du management des activités correspondantes.

L’exposition des personnes du public : il s’agit de l’ensemble des expositions qui ne sont ni médicales, ni professionnelles.

Les types de situations d’exposition et les catégories d’exposition peuvent être présentés sous la forme d’une matrice qui structure le système de radioprotection. Bien qu’homogène, celui-ci s’applique en effet de manière adaptée à chacun des cas. Ainsi, les expositions d’un même individu en tant que personne du public, en tant que patient et éventuellement en tant que travailleur exposé aux rayonnements sont gérées de manière distincte, en tenant compte également du type de situation d’exposition.

La gestion des expositions repose sur l’application de trois principes : justification, optimisation, limitation.

1.2.3.Principe de justification

Toute décision qui modifie une situation d’exposition aux rayonnements doit faire plus de bien que de mal. Le principe de justification, relié à la valeur éthique de bienfaisance/non-malfaisance15, n’est pas propre aux installations ou aux activités qui créent ou utilisent des rayonnements ionisants. Le risque d’exposition aux rayonnements ionisants peut se combiner à d’autres risques. Toute activité comportant des nuisances potentielles pour l’homme – notamment les travailleurs impliqués – et son environnement doit faire l’objet d’une évaluation de ses avantages et de ses inconvénients.

Le principe de justification en radioprotection s’applique dans les trois types de situations d’exposition.

Une liste des activités utilisant des sources de rayonnements considérées comme justifiées est établie et mise à jour au niveau national16. Il appartient au responsable d’une activité ne figurant pas sur cette liste de démontrer que son activité respecte bien le principe de justification. Les éléments correspondants sont appréhendés dans le cadre de la procédure d’autorisation diligentée par la puissance publique sur la base du dossier présenté par le soumissionnaire et consultation, le cas échéant, des populations.

Une fois son activité justifiée et autorisée, c’est l’exploitant qui est responsable du respect des engagements pris lors de sa demande et de l’application des prescriptions qui lui ont été imposées.

L’exposition médicale de patients fait l’objet d’une approche particulière, en trois temps. Dans un premier temps, l’utilisation médicale de rayonnements est globalement considérée comme justifiée, en l’état actuel des techniques de soins à disposition. Le second temps concerne la justification d’une pratique radiologique médicale particulière ; ce point est d’autant plus important que les techniques et les équipements évoluent très rapidement. Cet aspect de la justification des expositions médicales est traité en concertation avec les organisations professionnelles concernées. Enfin, la justification de l’application d’une pratique radiologique médicale sur un patient particulier est essentiellement de la responsabilité du médecin traitant.

Dans le cas d’une situation d’exposition d’urgence ou existante, c’est la mise en œuvre d’une stratégie de protection qui doit être justifiée.

Certaines expositions sont considérées comme injustifiées. C’est le cas notamment de l’ajout délibéré de substances radioactives dans des produits de consommation tels que la nourriture, les boissons, les produits cosmétiques, les jouets, les bijoux ou les ornements personnels. Les expositions injustifiées sont interdites.

1.2.4.Principe d’optimisation

Le principe d’optimisation de la protection radiologique est au centre du système de radioprotection. Il vise à atteindre le meilleur niveau de protection possible dans les circonstances en présence. Il s’applique à l’ensemble des situations d’exposition – situations d’exposition existante, situations d’exposition planifiée et situations d’exposition d’urgence – dès lors que le principe de justification a été appliqué. Il s’appuie sur l’hypothèse d’une relation doses-effets linéaire sans seuil aux faibles doses et traduit ainsi la volonté de rester prudent en l’absence d’évidence scientifique (valeur éthique de prudence).

L’optimisation de la protection est définie comme le processus lié à une source permettant de maintenir les doses individuelles, le nombre de personnes exposées et la probabilité d’occurrence d’expositions fortuites aussi faibles que raisonnablement possible17, compte tenu des facteurs économiques et sociétaux. Toute opération conduisant à des expositions doit être préparée à l’avance (autant que faire se peut dans les situations d’urgence), en intégrant des considérations de nature prospective à l’égard d’éventuels aléas, et l’optimisation se poursuit durant et après l’opération considérée (retour d’expérience).

Les principales étapes sont les suivantes :

–évaluation de la situation d’exposition, y compris les expositions potentielles (celles qui pourraient survenir si l’opération ne se passait pas comme prévu) ;

–sélection d’une borne supérieure appropriée pour restreindre les doses ;

–identification des options de protection possibles ;

–sélection de la meilleure option dans les circonstances en présence ;

–mise en œuvre de l’option choisie ;

–évaluation des résultats ;

–prise en compte de l’expérience acquise pour des opérations ultérieures de même nature.

Le processus d’optimisation est appliqué de façon systématique, structurée, continue et itérative, en s’efforçant de prendre en compte tous les aspects pertinents. Il repose sur des méthodes alliant des aspects quantitatifs et des aspects qualitatifs, et nécessite des jugements.

L’optimisation est un état d’esprit qui conduit à se demander systématiquement si tout ce qui est raisonnable a été mis en œuvre pour réduire les doses. Dans un cadre professionnel, elle nécessite un engagement de tous les acteurs concernés, à tous les niveaux. Pour les cas d’exposition de personnes du public, elle suppose l’implication de l’ensemble des parties prenantes. L’optimisation de la protection nécessite également des procédures et des ressources adéquates.

La meilleure option est toujours spécifique à une situation d’exposition. Par conséquent, il n’est pas pertinent de fixer a priori un niveau de dose en dessous duquel le processus d’optimisation devrait s’arrêter.

L’optimisation de la protection n’est pas une minimisation des doses. La protection optimisée est le résultat d’une évaluation et d’un dialogue, qui comparent soigneusement les risques liés à l’exposition envisagée et les ressources disponibles pour la protection des individus. Ainsi, la meilleure option n’est pas nécessairement celle qui correspond aux doses les plus faibles.

De surcroît, la protection radiologique ne se limite pas aux expositions individuelles, le nombre d’individus exposés doit également être pris en compte. La dose efficace collective est un paramètre clé de l’optimisation de la protection des travailleurs. La comparaison des options de protection dans un objectif d’optimisation doit entraîner la considération attentive des caractéristiques de la distribution des expositions individuelles au sein de la population exposée.

Dans un souci d’équité entre les personnes exposées, le système de radioprotection prévoit de restreindre les doses individuelles par la fixation d’une borne supérieure dans le processus d’optimisation, qui sera déterminée au cas par cas. Une démarche analogue peut aussi être appliquée aux doses collectives.

Dans le processus d’optimisation, la borne supérieure pour une dose individuelle relative à une source donnée est appelée contrainte de dose dans les situations d’exposition planifiée et niveau de référence dans les autres situations d’exposition (situations d’exposition existante ou d’urgence).

Contrainte de dose

Une contrainte de dose est relative à une source. Elle s’utilise lorsque la source est sous contrôle dès l’origine, les voies d’exposition maîtrisées et les expositions largement prévisibles. C’est le cas des situations d’exposition planifiée.

La contrainte de dose est supposée ne pas être dépassée. Toutefois, malgré son nom (transposition directe du mot anglais constraint au sens moins fort que le terme français contrainte), une contrainte de dose n’a pas vocation à devenir un seuil règlementaire ; un dépassement conduira à s’interroger, au moins au sein de l’organisme responsable de la source.

Le concept de contrainte de dose a été introduit dans la publication CIPR 60 dans le but d’éviter des disparités dans la distribution des doses individuelles.

Niveau de référence

Un niveau de référence concerne les situations d’exposition d’urgence et les situations d’exposition existante.

Dans ces situations, les expositions sont moins maîtrisables, l’état de la source s’impose aux acteurs de la radioprotection au début du processus d’optimisation. Un niveau de référence sert à cadrer l’intervention, mais il constitue, avant tout, un indicateur. Dans ces conditions et compte tenu des aléas, les doses ne seront pas nécessairement toutes inférieures au niveau de référence fixé préalablement, même à la fin du processus d’optimisation, en fonction de la réussite de la stratégie.

Sur le plan prospectif, la contrainte de dose et le niveau de référence sont utilisés de la même manière. Ils représentent le niveau de dose individuelle due à une source au-dessus duquel il est jugé inapproprié d’aller ou de rester. Il s’agit donc d’un niveau de dose au-dessus duquel il est peu probable que la protection soit optimisée. La valeur choisie dépend des circonstances de la situation d’exposition considérée. En pratique, les options de protection qui ne permettent pas de réduire les doses au-dessous de cette valeur sont jugées a priori insuffisantes.

Une différence d’utilisation apparaît sur le plan rétrospectif, c’est-à-dire lorsque le processus d’optimisation a été mis en œuvre. Dans le cas d’une situation d’exposition planifiée, la source et les voies d’exposition sont sous contrôle et les expositions sont largement prévisibles de sorte que la contrainte de dose fixée préalablement n’est pas supposée être dépassée même si elle ne constitue pas une limite ; un dépassement conduira à s’interroger sur les causes et à en tirer des leçons.

En situation d’exposition d’urgence ou existante, en revanche, la maîtrise de la situation est plus difficile. En particulier, comme cela a été indiqué plus haut, l’état de la source s’impose aux acteurs de la radioprotection au début du processus d’optimisation. Dans ces conditions et compte tenu des aléas, même à la fin du processus d’optimisation, les doses ne seront pas toutes nécessairement inférieures au niveau de référence fixé préalablement. La queue de distribution des doses individuelles pourra même faire apparaître des doses élevées, en fonction des circonstances et des comportements individuels. Le niveau de référence servira donc de repère pour estimer les performances sur le plan rétrospectif et le processus d’optimisation sera poursuivi autant que possible pour réduire le nombre d’individus dont les doses demeurent supérieures au niveau de référence.

Ni les contraintes de dose, ni les niveaux de référence ne représentent une démarcation entre « sûr » et « dangereux ». Il est important de noter que l’optimisation de la protection a pour objectif de réduire les expositions à un niveau aussi bas que raisonnablement possible indépendamment du niveau initial de ces expositions. Ainsi, le processus d’optimisation doit être mené même si les doses sont inférieures à la contrainte de dose ou au niveau de référence, dès lors que sa mise en œuvre apparaît raisonnable.

Contraintes de dose et niveaux de référence sont donc avant tout des outils d’optimisation. Pour les procédures d’imagerie médicale, l’outil correspondant est le « niveau de référence diagnostique », qui permet d’indiquer comment se situent, dans les conditions habituelles, les niveaux des doses reçues par les patients par rapport à un niveau médian pour la procédure considérée.

Choix des contraintes de doses et des niveaux de référence

La CIPR donne des indications pour le choix de la valeur d’une contrainte de dose ou d’un niveau de référence en fonction des caractéristiques de la situation et des actions de protection que celle-ci requiert (voir le tableau 1.2).

Elle considère tout d’abord qu’une dose supérieure à une valeur de l’ordre de 100 mSv, subie de façon aiguë ou sur une année, justifie presque toujours la mise en œuvre d’actions de protection. En corollaire, il n’est pas approprié de choisir une contrainte de dose ou un niveau de référence qui serait supérieur à cette valeur, quelle que soit la situation.

Cette dose de 100 mSv correspond à une augmentation nominale de la probabilité de cancer de 5 pour 1 000, en application de la relation linéaire sans seuil entre exposition et effets stochastiques. Elle correspond au seuil d’apparition des premières réactions tissulaires chez les personnes les plus sensibles, réactions toutes transitoires à ce niveau. Il ne s’agit donc pas d’un niveau marquant la limite entre une situation sûre et une situation dangereuse.

En dessous de 100 mSv, trois intervalles de doses sont distingués par la CIPR, auxquels correspondent des situations d’exposition de mêmes caractéristiques : moins de 1 mSv, de 1 à 20 mSv et de 20 à 100 mSv. La durée prise en compte est fonction de la situation. Il s’agit en général de l’année. Pour les travailleurs, la contrainte de dose peut être fixée pour la durée d’une intervention particulière. Les principales caractéristiques permettant de positionner une situation d’exposition sur l’échelle de doses ainsi définie sont la plus ou moins grande difficulté à maîtriser la source, les actions de protection que la situation requiert pour des personnes exposées (formation, équipements de protection, suivi dosimétrique…) et le bénéfice tiré de la situation d’exposition (individuel ou sociétal).

La notion de bénéfice tiré d’une situation d’exposition s’apprécie selon la situation. Le seul cas où la personne exposée tire clairement un bénéfice de l’exposition elle-même est celui du patient traité par radiothérapie. Dans tous les autres cas, le bénéfice est tiré de la situation d’exposition, par la personne exposée ou par la société dans son ensemble. Le bénéfice tiré de la situation est individuel dans le cas du patient qui fait l’objet d’un radiodiagnostic ou dans le cas du travailleur exposé professionnellement, par exemple. Il est sociétal dans le cas d’installations industrielles ou médicales qui rejettent des effluents et conduisent à une exposition maîtrisée d’une partie de la population. Lors d’une exposition à la radioactivité naturelle, le bénéfice pour les individus exposés est généralement lié à leur mode de vie (usage de l’avion même s’il soumet les individus aux rayonnements cosmiques, attachement à sa région ou à sa maison même en présence de radon, goût pour les crustacés même s’ils concentrent plus de radioactivité que d’autres aliments). Dans le cas d’une pollution radioactive, personne ne tire bénéfice de la situation, d’où la mise en place de contreparties pour les personnes exposées, en termes de prévention (servitudes d’usage), de protection (éloignement, actions de protection, remédiation, soutien technique ou psychologique…) voire de compensation (indemnisation).

Tableau 1.2. Tableau issu de la CIPR 103 dans sa traduction française.

Pour le personnel assurant l’exploitation et la maintenance de sources radioactives en conditions normales, une contrainte de dose dans la gamme de 1 à 20 mSv doit être choisie pour chaque opération. Mais les limites de dose (voir plus loin au paragraphe 1.2.5) règlementaires doivent être respectées pour chaque individu et pour l’ensemble de ses activités. Ces personnes bénéficient de protections et de formations appropriées et d’un suivi dosimétrique et sanitaire individuel.

Dans les situations d’urgence radiologique, c’est-à-dire en situation accidentelle plus ou moins grave, la source n’est plus maîtrisée et il n’est plus possible de rechercher le même niveau de protection. Il n’est possible d’agir que sur les voies et la durée d’exposition. Les niveaux de référence correspondants pourront se situer dans la gamme la plus élevée (20 à 100 mSv).

Toutefois, afin de rester dans des valeurs d’exposition proches de 20 mSv pour les personnes du public, ces dernières pourront être évacuées ou être soumises à des restrictions alimentaires (légumes à feuilles, lait et ses dérivés, champignons, gibiers, poissons locaux) ou d’activité.

Pour les personnels intervenant dans l’installation accidentée, ce sont les équipements et les temps d’intervention qui permettront de limiter l’exposition.

Vu l’urgence des prises de décision dans une telle situation, des équipements et des moyens de mesure aux gammes adaptées doivent être immédiatement disponibles. Cela signifie que des réflexions préalables doivent être menées en considérant la possibilité de situations très dégradées, suivies de l’approvisionnement des équipements correspondants pour chaque installation.

Ce ne sont pas les personnes intervenant dans l’installation ou en dehors qui tireront bénéfice de l’intervention mais la société dans le cas où l’intervention permet de réduire les rejets dans l’environnement. Ces intervenants doivent donc être pleinement informés des risques et exprimer librement et explicitement leur volontariat. Cela concerne en particulier les professionnels extérieurs à l’installation, comme par exemple les pompiers qui seraient amenés à intervenir.

1.2.5.Principe d’application des limites de dose

L’application de limites de dose vise aussi à garantir une certaine équité entre les personnes exposées, dans un contexte où les sources sont maîtrisées et les expositions peuvent être anticipées. Cependant, alors que la contrainte de dose est relative à une source donnée, la limite de dose est relative à un individu susceptible d’être exposé à plusieurs sources. Le respect des limites de dose garantit l’absence d’effet tissulaire et évite la prise d’un risque inacceptable d’effets stochastiques pour un individu. La dose totale reçue par un individu, due à l’ensemble des sources autorisées dans le cadre d’un processus règlementaire, dans les situations d’exposition planifiée (prévues lors des processus d’autorisation comme faisant partie des conditions normales d’exploitation) autres que l’exposition médicale en tant que patient, ne doit pas dépasser les limites appropriées. La limitation s’applique en effet uniquement aux doses qui sont reçues avec certitude dans le cadre des situations d’exposition planifiée.

Du fait que ces situations doivent être pleinement maîtrisées, les limites de dose ont vocation à être reprises dans les règlementations nationales en tant que niveaux dont le dépassement constitue une infraction. Les valeurs sont restées inchangées depuis la publication CIPR 60 de 1991, sauf la limite de dose équivalente pour le cristallin ; la nouvelle valeur recommandée par la CIPR en 2011 pour les travailleurs (20 mSv/an au lieu de 150 mSv/an) a été introduite dans la nouvelle directive EURATOM sur les normes de base en radioprotection (2013/59/EURATOM) (tableau 1.3).

Tableau 1.3. Limites de dose recommandées par la CIPR pour les situations d’exposition planifiée.

Type de limite

Travailleur

Public

Dose efficace

20 mSv par an,
moyennée sur 5 ans

1 mSv par an

Dose équivalente pour :

− le cristallin

− la peau

− les mains et les pieds

20 mSv par an

500 mSv par an

500 mSv par an

15 mSv par an

50 mSv par an

−

Les valeurs recommandées ci-dessus ont été introduites dans la règlementation française en 2018 (dans le code de la santé publique, dans le code du travail et dans le code de l’environnement), avec une flexibilité moindre pour la limite de dose professionnelle qui est de 20 mSv sur 12 mois consécutifs.

L’expérience montre que les limites de dose sont, comme il se doit, rarement dépassées dans les situations d’exposition planifiée et que, en moyenne, les expositions réelles sont inférieures d’environ un ordre de grandeur à la limite de dose correspondante. De ce fait, la radioprotection consiste en pratique essentiellement en la mise en œuvre du principe d’optimisation, quelle que soit la situation d’exposition.

Vidéos pouvant être consultées pour compléter le chapitre

L’échelle des doses
de rayonnement

Les effets des rayonnements
sur la santé

Prudence : histoire
de la radioprotection

La radioactivité artificielle
et la fission

4.« Recommandations 2007 de la CIPR » (103), édition en langue française par J.-C. Nénot, Collection lignes directrices, IRSN, édition TEC & DOC, Lavoisier, 2009.

5.P. Renaud, D. Champion, J. Brenot, Collection sciences et techniques, IRSN, édition TEC & DOC, Lavoisier, 2007.

6.Acide désoxyribonucléique : macromolécule biologique présente dans toutes les cellules ainsi que dans de nombreux virus. L’ADN contient toute l’information génétique, appelée génome, permettant le développement, le fonctionnement et la reproduction des organismes vivants.

7.Voir les travaux de Auger, Coster et Kronig.

8.Comité scientifique des Nations Unies sur les effets des radiations atomiques.

9.« Statement on Tissue Reactions and Early and Late Effects of Radiation in Normal Tissues and Organs – Threshold Doses for Tissue Reactions in a Radiation Protection Context », ICRP Publication 118, Ann. ICRP 41(1/2), 2012.

10.En épidémiologie, le risque absolu est un indicateur de la fréquence d’une pathologie ou d’un événement de santé dans une population donnée. Un risque absolu est souvent exprimé en nombre de cas pour 10 000 personnes. On parle généralement de prévalence (nombre total de cas) ou de taux d’incidence (nombre de nouveaux cas).

11.Ozasa et al., « Studies of the Mortality of Atomic Bomb Survivors, Report 14, 1950-2003: An Overview of Cancer and Noncancer Diseases », Radiation Research, Vol. 177, 229-243, 2012.

12.Mark P. Little et al., « Systematic Review and Meta-analysis of Circulatory Disease from Exposure to Low-Level Ionizing Radiation and Estimates of Potential Population Mortality Risks », Environmental Health Perspectives, Vol. 120, No. 11, November, 2012.

13.Données INSEE arrondies au millier.

14.INSERM, Causes médicales des décès, http://www.cepidc.inserm.fr.

15.Voir à ce sujet la récente publication 138 de la CIPR « Fondements éthiques du système de protection radiologique », 2018.

16.Conformément à l’article L.1333-9 du code de la santé publique.

17.Principe As Low As Reasonably Achievable (ALARA) en anglais. Ce principe, issu de la cyndinique (science du risque), sera formulé pour la première fois en 1977 par la CIPR dans sa publication 26.

Chapitre 2

Organisation du contrôle
et règlementation des installations
et des activités nucléaires en France

2.1.De la création du CEA à la loi TSN

L’organisation du contrôle des installations et des activités du domaine nucléaire en France, exercé par l’État dans le cadre de ses missions de protection des individus et des biens, a évolué au cours du temps18. Elle a pris appui, dans les années 1950, sur le Commissariat à l’énergie atomique (CEA) qui avait été chargé, lors de sa création en 1945, de développer tous les aspects nécessaires à l’utilisation de l’énergie nucléaire.

Le premier domaine d’attention fut la radioprotection. C’est ainsi qu’en 1951 fut créé, au sein du CEA, le Service de protection contre les radiations (SPR), confié au docteur Henri Jammet, chargé d’établir des dispositions de protection radiologique. Puis, face au développement de l’utilisation de sources radioactives en dehors du CEA, notamment dans le domaine médical, la Commission interministérielle des radioéléments artificiels (CIREA) fut créée en mai 1954 ; par la suite, le Service central de protection contre les rayonnements ionisants (SCPRI), dépendant du ministère en charge de la santé, fut créé par arrêté du 13 novembre 1956, et sa direction fut alors confiée au professeur Pierre Pellerin.

En 1958, l’administrateur général du CEA créa le Groupe de sécurité des piles, avec à sa tête Jean Bourgeois qui proposa la création d’un Comité de la sécurité des installations atomiques (CSIA), qui deviendra la Commission de la sécurité des installations atomiques (CSIA) créée au 1er janvier 1960, présidée par le Haut-commissaire à l’énergie atomique, Francis Perrin19. Deux sous-commissions seront créées, l’une pour les piles (SCSP), l’autre pour les « masses critiques ».

Deux semaines après la création de la sous-commission des piles, une note du cabinet du Haut-commissaire à l’énergie atomique énonça les documents concernant la sûreté des piles atomiques qui doivent être établis par les exploitants pour être examinés par un groupe de travail auprès de la SCSP, le groupe technique de sûreté des piles. L’examen de la sûreté conditionnait donc désormais la construction et la mise en exploitation de tout réacteur nucléaire. Un « rapport préliminaire de sûreté »20 devait être établi en vue de la délivrance d’un « certificat de sûreté », dont dépendait la construction de toute nouvelle pile. En fin de construction, le responsable d’une pile devait désormais établir, au moment des essais de réception, un rapport sur la sûreté de la pile ainsi qu’un projet de consignes d’exploitation, documents nécessaires à la délivrance d’une « licence d’exploitation ». À titre de régularisation, les responsables des piles déjà en exploitation devaient fournir les deux documents précités auxquels devait s’ajouter une copie des rapports concernant les principaux incidents survenus depuis le début de l’exploitation des piles concernées. Le contenu attendu des rapports de sûreté était déjà largement défini, avec notamment la déclinaison du concept de « barrières » multiples interposées entre les matières radioactives et l’environnement et l’utilisation de la notion d’accidents maximaux possibles issue des pratiques américaines. La CSIA et la SCSP examinèrent les rapports de sûreté des différentes piles du CEA ; elles seront également sollicitées pour les projets des premiers réacteurs électronucléaires de la filière UNGG (réacteurs à uranium naturel, refroidis au gaz carbonique et utilisant du graphite comme modérateur) – et même du premier réacteur à eau sous pression de la centrale nucléaire des Ardennes (Chooz A).

Toutefois, ce n’est qu’en août 1961 qu’une loi sur « la lutte contre la pollution atmosphérique et les odeurs » (et portant modification de la loi du 15 décembre 1917 relative aux établissements dangereux, insalubres ou incommodes) va introduire la notion d’installation nucléaire ; la signature du traité Euratom de 1957 puis celle de la Convention de Paris21 en 1960 avaient rendu nécessaire de dresser au minimum une liste de ce type d’installations.

Le décret n° 63-1228 du 11 décembre 1963, pris en application de cette loi, posa la première pierre de la règlementation des installations nucléaires de base (INB) en définissant ces installations et en soumettant la création d’une telle installation à une autorisation donnée par décret (donc un acte du gouvernement)22 ; la procédure correspondante prévoyait la consultation d’une nouvelle commission au niveau national, dénommée Commission interministérielle des installations nucléaires de base (CIINB), ainsi qu’un avis conforme du ministre chargé de la santé. Le contrôle du respect des prescriptions était confié à des inspecteurs « des installations dangereuses, insalubres et incommodes ». La situation des installations existantes fut régularisée en les soumettant à une simple déclaration au ministre chargé de l’énergie atomique.

Le décret ci-dessus fut modifié à de multiples reprises, jusqu’à son abrogation par le décret n° 2007-1557 du 2 novembre 2007.

Par décret n° 73-278 du 13 mars 1973 fut créée, au sein des pouvoirs publics, une entité spécifiquement chargée de la sûreté nucléaire. Il s’agit du Service central de sûreté des installations nucléaires (SCSIN), placé alors au sein du ministère en charge de l’industrie ; la création de cette entité marqua plus fortement le rôle de contrôleur de l’État, en relation avec le développement du programme électronucléaire français. C’est d’ailleurs à la même époque qu’a été créée aux États-Unis la Nuclear Regulatory Commission (U.S.NRC) pour distinguer le rôle de développement de l’énergie nucléaire et celui de contrôle des installations correspondantes. En 1991, l’entité précitée est devenue une direction ministérielle (répondant à deux ministres), la Direction de la sûreté des installations nucléaires (DSIN), avec les mêmes attributions. Puis en 2002 fut créée, par le décret n° 2002-255 du 22 février 2002, une direction générale, la Direction générale de la sûreté nucléaire et de la radioprotection (DGSNR), répondant à trois ministres, dont les attributions couvraient, outre la sûreté des installations nucléaires, les activités règlementaires de la Direction générale de la santé et de l’Office de protection contre les rayonnements ionisants (OPRI) – précédemment créé en 1994 à partir du SCPRI – et de la CIREA (Commission Interministérielle des radioéléments artificiels, qui avait été créée – comme il a été mentionné plus haut – en 1954 pour satisfaire aux termes de la loi du 19 juillet 1952 du code de la pharmacie règlementant la production, l’importation, l’utilisation de radioéléments artificiels). Les missions de la DGSNR, précisées dans le décret mentionné ci-dessus, sont notamment :

–« de préparer et de mettre en œuvre toutes mesures relatives à la sûreté des installations nucléaires de base, notamment en élaborant la règlementation technique correspondante et en contrôlant son application ;

–de préparer et de mettre en œuvre, en liaison avec les autres administrations compétentes, toutes mesures destinées à prévenir ou limiter les risques sanitaires liés à l’exposition aux rayonnements ionisants, notamment en élaborant la règlementation technique concernant la radioprotection, à l’exception de celle relative à la protection des travailleurs contre les rayonnements ionisants, et en contrôlant son application ;

–d’organiser les inspections en matière de sûreté et de radioprotection » (concernant les INB ainsi que les domaines industriels et médicaux) ;

–« d’organiser la veille permanente en matière de radioprotection, notamment la surveillance radiologique de l’environnement sur l’ensemble du territoire ;

–de contrôler les rejets d’effluents gazeux et liquides et les déchets en provenance des installations nucléaires de base ;

–de participer, en liaison avec les autres administrations compétentes, notamment les services chargés de la sécurité civile, à la définition et à la mise en œuvre d’une organisation technique de crise en cas d’accident sur une installation nucléaire […], ou plus généralement de tout accident de nature à porter atteinte à la santé des personnes par exposition aux rayonnements ionisants, survenant en France ou susceptible d’affecter le territoire français ;

–de contribuer à l’information du public sur les sujets se rapportant à la sûreté nucléaire et à la radioprotection ».

En 1976, les unités du CEA particulièrement affectées aux études et recherches dans les domaines de la sûreté et de la protection radiologique (ainsi que de la sécurité) avaient été regroupées dans un institut, l’Institut de protection et de sûreté nucléaire (IPSN), dont le premier directeur fut Jean Bourgeois, ancien président de la SCSP (devenue Commission de sûreté des piles [CSP]). Cet Institut de recherche et d’expertise était notamment chargé d’apporter un appui technique aux pouvoirs publics, en particulier au SCSIN puis à la DSIN (voir ci-après).

L’autonomie de l’IPSN à l’intérieur du CEA a été renforcée à plusieurs reprises, afin de mieux marquer l’indépendance de ses missions d’expertise par rapport au développement de l’énergie nucléaire, le CEA étant à la fois exploitant nucléaire et organisme de recherche dans ce domaine. En 2002, en parallèle de la création de la DGSNR, fut créé l’Institut de radioprotection et de sûreté nucléaire (IRSN) en regroupant dans un établissement public distinct les équipes techniques de l’IPSN (sorties du CEA), de l’OPRI et du secrétariat permanent de la CIREA.

Les missions de l’IRSN ont été définies par le décret n° 2002-254 du 22 février 2002, remplacé par le décret n° 2016-283 du 10 mars 2016 qui apporte quelques compléments et clarifications sur ces missions. Ces textes définissent six grandes missions, à l’exclusion de toute activité d’exploitant nucléaire :

–la réalisation d’expertises, de recherches et d’analyses, mesures ou dosages pour des organismes publics ou privés, français ou étrangers ;

–la définition de programmes de recherches, menées en son sein ou confiées à d’autres organismes de recherche français ou étrangers, en vue de maintenir et développer les compétences nécessaires à l’expertise dans ses domaines d’activité ; on reviendra plus loin sur cette mission très importante pour le maintien de la capacité d’expertise de l’IRSN et elle sera illustrée au chapitre 39 ;

–une contribution à la formation en radioprotection des professionnels de santé et des personnes professionnellement exposées ;

–l’appui technique aux pouvoirs publics et aux autorités de sûreté, y compris en cas d’incident ou d’accident impliquant des sources de rayonnements ionisants, en proposant des mesures d’ordre technique, sanitaire et médical propres à assurer la protection de la population, des travailleurs et de l’environnement, et à rétablir la sécurité des installations ;

–une veille permanente en matière de radioprotection, notamment en concourant à la surveillance radiologique de l’environnement et en assurant la gestion et l’exploitation des données dosimétriques concernant les travailleurs exposés aux rayonnements ionisants et la gestion de l’inventaire des sources de rayonnements ionisants ;

–une contribution à l’information du public.

L’année 2006, avec la loi du 13 juin 2006 relative à la transparence et à la sécurité en matière nucléaire (dite loi TSN), marque une étape importante dans le développement du contrôle règlementaire des installations nucléaires avec la création d’une autorité administrative indépendante chargée d’assurer, au nom de l’État, la règlementation et le contrôle de la sûreté nucléaire et de la radioprotection pour protéger le public, les patients, les travailleurs et l’environnement. Elle est également chargée d’informer les citoyens. Ce sera l’Autorité de sûreté nucléaire (ASN), dont les missions et l’organisation sont développées au paragraphe 2.3.

La loi TSN précise par ailleurs le rôle, les missions et les modalités de fonctionnement des Commissions locales d’information (CLI) placées auprès des sites comprenant une ou plusieurs INB – créées à partir de 1981. Ces Commissions peuvent se regrouper en association – il s’agit en l’occurrence de l’Association nationale des comités et commissions locales d’information (ANCCLI). Il existe une trentaine de Commissions locales d’information pour les sites d’installations nucléaires de base civiles23.

La loi TSN crée de plus un Haut comité pour la transparence et l’information sur la sécurité nucléaire (HCTISN24), qui est une instance pluraliste d’information, de concertation et de débat sur les risques liés aux activités nucléaires et l’impact de ces activités sur les personnes, sur l’environnement et sur la sécurité nucléaire. Composé de membres25 nommés pour six ans par décret, il peut émettre un avis sur toute question dans ces domaines, y compris sur les contrôles et l’information qui s’y rapportent. Il rend publics ses avis.

Enfin, au niveau parlementaire, l’Office parlementaire d’évaluation des choix scientifiques et technologiques (OPECST), décrit plus loin, joue un rôle dans la sûreté nucléaire en organisant des auditions et en établissant des rapports généraux ou spécifiques sur les questions de sûreté nucléaire et de radioprotection.

Le domaine des installations et des activités intéressant la défense nationale dispose d’une organisation et d’une autorité de sûreté qui lui sont propres ; ce sujet n’est pas développé dans le cadre du présent ouvrage.

Par ailleurs, dans la suite du présent chapitre, il sera pour l’essentiel fait référence aux notions, aux principes et à la règlementation applicables aux réacteurs à eau sous pression du parc électronucléaire français.

2.2.Quelques définitions

Avant d’aller plus loin, il est utile de poser ici quelques définitions, telles qu’elles sont fixées par la règlementation.

a.La sécurité nucléaire

L’article L.591-1 du code de l’environnement (qui reprend les dispositions de la loi TSN) définit la sécurité nucléaire comme suit : « La sécurité nucléaire comprend la sûreté nucléaire, la radioprotection, la prévention et la lutte contre les actes de malveillance ainsi que les actions de sécurité civile en cas d’accident ».

De fait, la règlementation française est fondée sur une définition de la sécurité nucléaire plus large que celle qui est communément retenue au niveau international, notamment dans le glossaire de l’AIEA. Selon l’AIEA, la sécurité nucléaire vise les mesures de prévention, de détection et de réaction au vol, au sabotage, à l’accès non autorisé, au déplacement illégal de matières nucléaires ou à tout autre acte malveillant concernant des matières nucléaires, toutes autres substances radioactives ou les installations qui les contiennent. Dans cette acception, la sécurité nucléaire internationale vise donc à se protéger des actions d’origine malveillante, notion qui couvre à la fois le vol ou le détournement de matières nucléaires ainsi que les actions de sabotage pouvant conduire à des conséquences radiologiques sur l’homme ou dans l’environnement.

b.La sûreté nucléaire

La sûreté nucléaire, sous-ensemble de la sécurité nucléaire – au sens de la règlementation française – est définie comme « l’ensemble des dispositions techniques et des mesures d’organisation relatives à la conception, à la construction, au fonctionnement, à l’arrêt et au démantèlement des installations nucléaires de base ainsi qu’au transport des substances radioactives, prises en vue de prévenir les accidents ou d’en limiter les effets ».

La sûreté nucléaire porte donc sur la prévention des risques d’accident liés à l’exploitation des INB, qu’ils soient de nature radiologique ou non, ainsi que sur la limitation des conséquences des accidents qui se produiraient malgré les dispositions de prévention mises en place.

c.La radioprotection

La radioprotection est un autre sous-ensemble de la sécurité nucléaire, défini comme « l’ensemble des règles, des procédures et des moyens de prévention et de surveillance visant à empêcher ou à réduire les effets nocifs des rayonnements ionisants produits sur les personnes, directement ou indirectement, y compris par les atteintes portées à l’environnement ». Les règles de radioprotection s’appliquant aux personnes du public figurent dans le code de la santé publique alors que celles qui sont spécifiques aux travailleurs figurent dans le code du travail.

d.Les « intérêts protégés »

La loi TSN a visé à rapprocher autant que possible le régime règlementaire applicable aux INB de celui, plus général, qui s’applique aux installations dangereuses, appelées Installations classées pour la protection de l’environnement (ICPE), tout en conservant un certain nombre de spécificités pour les INB.

En particulier, le code de l’environnement, où a été codifiée la loi TSN, prévoit, en son article L.593-7, que l’autorisation de création d’une INB ne peut être délivrée que si, « compte tenu des connaissances scientifiques et techniques du moment, l’exploitant démontre que les dispositions techniques ou d’organisation prises ou envisagées […] sont de nature à prévenir ou à limiter de manière suffisante les risques ou inconvénients que l’installation présente pour [la sécurité, la santé, la salubrité publiques et la protection de la nature et de l’environnement – regroupés sous l’appellation d’« intérêts protégés »] » (cette autorisation est délivrée par décret, sur rapport des ministres en charge de la sûreté nucléaire).

La loi TSN implique dès lors de traiter dans le cadre de l’autorisation de création et des autorisations subséquentes les inconvénients liés au fonctionnement normal tels que les nuisances sonores et l’impact sur la faune ou la flore. Elle a conduit à généraliser la notion historique d’élément important pour la sûreté26 (EIS), en vigueur depuis l’« arrêté qualité » du 10 août 1984, à celle d’élément important pour la protection (EIP) dans le cadre de l’élaboration de l’arrêté du 7 février 2012 fixant les règles générales applicables aux INB (« arrêté INB »), cet arrêté abrogeant l’arrêté du 10 août 1984.

2.3.Les différents contributeurs à la sûreté nucléaire et leurs missions

Depuis la création, au début des années 2000, de l’Institut de radioprotection et de sûreté nucléaire en tant qu’organisme public de l’État et la promulgation de la loi TSN en 2006, les questions de sûreté nucléaire des INB impliquent désormais :

–les pouvoirs publics, tout particulièrement l’ASN,

–les exploitants des installations,

–les organismes d’expertise27,

–la « société civile ».

Les travaux de recherche sont menés aussi bien par les exploitants, les organismes en appui aux concepteurs et aux exploitants (par exemple le CEA) et par les organismes d’expertise.

a.Les pouvoirs publics

Le Parlement intervient dans les questions de sûreté nucléaire et de radioprotection par le vote de lois, comme ce fut le cas le 13 juin 2006 pour la loi n° 2006-686 du 13 juin 2006, dite loi TSN, ainsi que pour la loi n° 2006-739 du 28 juin 2006 relative à la gestion durable des matières et déchets radioactifs.

Les interventions du Parlement peuvent s’appuyer sur l’Office parlementaire des choix scientifiques et technologiques (OPECST) créé par la loi n° 83-609 du 8 juillet 1983, qui regroupe 18 députés et sénateurs, désignés de façon à assurer une représentation proportionnelle des groupes politiques, et constitue un organe d’information commun à l’Assemblée nationale et au Sénat. L’OPECST a pour mission « d’informer le Parlement des conséquences des choix de caractère scientifique et technologique afin, notamment, d’éclairer ses décisions ». À cet effet, l’OPECST « recueille des informations, met en œuvre des programmes d’études et procède à des évaluations. ». L’OPECST a notamment réalisé des rapports dans le domaine des activités nucléaires, par exemple sur l’exercice du contrôle par l’État de la sûreté des installations nucléaires et de la radioprotection, sur la gestion à long terme des déchets radioactifs, sur la durée de fonctionnement des centrales nucléaires et sur le développement de nouveaux types de réacteurs. L’OPECST auditionne régulièrement l’ASN, l’IRSN et les exploitants sur les sujets qu’il instruit ; certaines auditions impliquent des instances associatives (Greenpeace…).

Dans le domaine de la sûreté nucléaire, le gouvernement élabore la règlementation générale prise en application de la loi TSN, sous forme de décrets et d’arrêtés, ainsi que les décrets d’autorisation de création et les décrets de mise à l’arrêt définitif et les décrets « prescrivant » le démantèlement des INB. La Mission de la sûreté nucléaire et de la radioprotection (MSNR) a été mise en place à cet effet au sein de la Direction générale de la prévention des risques (DGPR) du ministère en charge de la transition écologique et solidaire.

En application de la loi TSN, les « décisions » règlementaires à caractère technique ainsi que certaines « décisions » individuelles de l’ASN28 n’entrent en vigueur qu’après leur homologation par les ministres chargés de la sûreté nucléaire. Cet accord prend la forme d’un arrêté ministériel.

L’ASN, créée par la loi TSN, est une autorité administrative indépendante (AAI) qui assure, au nom de l’État, des missions de contrôle de la sûreté nucléaire et de la radioprotection (travailleurs, environnement, populations), ainsi que d’information du public dans ces domaines. Dans le cadre de ses missions :

1.l’ASN contribue à l’élaboration de la règlementation, en donnant son avis sur les projets de décrets et d’arrêtés ministériels touchant à ses domaines de compétences et en prenant des décisions règlementaires à caractère technique pour compléter les modalités d’application de ces décrets et arrêtés ;

2.l’ASN autorise la mise en service des INB et vérifie, notamment par des inspections sur les sites, le respect des règles et des prescriptions auxquelles les INB sont soumises ;

3.l’ASN est associée à la gestion des situations d’urgence radiologique : en particulier, elle adresse aux autorités compétentes (gouvernement, préfets…) ses recommandations sur les mesures à prendre sur le plan médical et sanitaire ou au titre de la sécurité civile ;

4.l’ASN participe à l’information du public, y compris en cas de situation d’urgence.

L’ASN est constituée par un collège de cinq commissaires, nommés pour un mandat de six ans non renouvelable, qui sont désignés, trois (dont le président du collège) par le Président de la République, le quatrième par le président de l’Assemblée nationale, le cinquième par le président du Sénat. L’ASN dispose de services placés sous l’autorité de son président.

Le directeur général de l’ASN est nommé par son président. Il organise les services de l’ASN, qui comprennent différentes directions. Ces directions gèrent au niveau national les différents domaines d’activité de l’ASN, en particulier les créations et les mises en service d’installations, les réexamens périodiques, les demandes d’agréments pour les colis de transport… et participent à l’établissement de la règlementation générale et des décisions de l’ASN. C’est à l’échelon national des directions que sont coordonnées les divisions territoriales29, qui assurent l’essentiel des inspections sur les sites et instruisent les demandes « courantes » (par exemple des dérogations temporaires à des spécifications techniques d’exploitation) concernant les activités nucléaires sur leur territoire.

Une des directions de l’ASN mérite une attention particulière, il s’agit de la Direction des équipements sous pression nucléaires (DEP). Autrefois connue sous le nom de Bureau de contrôle des chaudières nucléaires (BCCN), puis de Bureau de contrôle de la construction nucléaire, cette direction, implantée à Dijon, est chargée30 du contrôle des équipements sous pression des installations nucléaires de base, tout particulièrement des réacteurs du parc électronucléaire ; elle participe à l’élaboration de la règlementation dans ce domaine. Le focus à la fin du présent chapitre fournit quelques éléments historiques sur la règlementation des appareils à pression appliquée au domaine nucléaire, ainsi que sur la genèse et les rôles du BCCN puis de la DEP.

Conformément à la loi TSN, l’Autorité de sûreté nucléaire établit un rapport annuel d’activité qu’elle transmet au Parlement – qui en saisit l’OPECST –, au gouvernement et au Président de la République. À la demande des commissions compétentes de l’Assemblée nationale et du Sénat ou de l’OPECST, le président de l’Autorité de sûreté nucléaire leur rend compte des activités de celle-ci.

Concernant l’information du public, il peut être noté que c’est au lendemain de l’accident de Tchernobyl que le SCSIN créa le Bulletin sur la sûreté nucléaire (BSN, ou Bulletin SN), qui deviendra en 1994 la revue Contrôle31.

Dans une démarche de développement de la transparence et de l’information du public, l’Autorité de sûreté nucléaire procède dorénavant à des consultations des parties prenantes sur ses projets de décisions règlementaires et individuelles ayant une incidence sur l’environnement, sur ses projets de guides et sur certains autres projets de textes. Ainsi, depuis sa création en 2006, l’Autorité de sûreté nucléaire recueille les observations du public sur ses projets de décisions règlementaires de portée générale en matière de sûreté nucléaire et de radioprotection.

Selon cette même démarche, l’Autorité de sûreté nucléaire a décidé d’ouvrir la composition des groupes permanents d’experts (voir plus loin au point d) à des représentants de la société civile.

Sur son site internet, l’Autorité de sûreté nucléaire rend publics les événements significatifs déclarés par les exploitants et un certain nombre de décisions, d’avis, de rapports, de « dossiers pédagogiques » et de « fiches d’information », y compris les avis émis par les groupes permanents d’experts (voir plus loin) ; on y trouve également les annonces des différentes consultations du public et les textes en projet soumis à ces consultations.

Enfin, sans être exhaustif, il peut être utile de citer ici trois autres entités intervenant dans les questions de sécurité nucléaire :

–l’Autorité environnementale qui rend des avis publics sur les aspects environnementaux, dans le cadre de l’instruction des demandes d’autorisation de création d’INB civiles ;

–le Haut fonctionnaire de défense et de sécurité (HFDS) du ministère en charge de la transition écologique et solidaire, qui est chargé, au nom du ministre de l’énergie, de mettre en œuvre les dispositions nécessaires à la protection et au contrôle des matières nucléaires32 contre les actes de malveillance ;

–le Secrétariat général de la défense et de la sécurité nationale (SGDSN) qui relève du Premier ministre ; le SGDSN est notamment en charge de la « réponse » à une crise au niveau national ; il a diffusé, au mois de février 2014, le « plan national de réponse à un accident nucléaire ou radiologique majeur »33, qui décrit notamment l’organisation de crise au niveau national, la stratégie à appliquer ainsi que les différents domaines dans lesquels des dispositions seraient à prendre en cas d’accident nucléaire ou radiologique majeur. Ce « plan national de réponse à un accident nucléaire ou radiologique majeur » est présenté plus en détail au chapitre 38 consacré à la gestion de situations d’urgence.

b.Les exploitants

Au 31 décembre 2017, 187 INB civiles étaient répertoriées dans la décision de l’ASN n° 2018-DC-0624 en date du 30 janvier 2018, dont huit déclassées depuis le 13 juin 200634 (voir la figure 2.1).

C’est l’exploitant d’une INB qui est responsable au premier chef de la sûreté de son installation (ce principe figure explicitement dans le code de l’environnement) car lui seul est à même de faire, à tout moment, les gestes concrets nécessaires.

En France, il existe quatre principaux exploitants d’INB :

–Électricité de France (EDF) qui exploite les réacteurs à eau sous pression du parc électronucléaire (au nombre de 5635 en service, auxquels il convient d’ajouter le réacteur Flamanville 3 de type EPR en phase de démarrage) ;

–Areva-NC – devenu Orano Cycle en 2018 – qui exploite les principales installations du cycle du combustible (fabrication des combustibles, traitement des combustibles usés, retraitement) ;

–le Commissariat à l’énergie atomique et aux énergies alternatives (CEA) qui exploite principalement des réacteurs d’expérimentation et des laboratoires liés à la recherche ;

–l’Agence nationale pour la gestion des déchets radioactifs (ANDRA) qui exploite des installations de stockage de déchets radioactifs.

L’histoire et la taille de ces exploitants font qu’ils participent également, de façon plus ou moins importante, à la conception de leurs installations, ce qui leur confère une expérience très importante en matière de sûreté. Ils sont bien évidemment sollicités lors des consultations publiques menées par l’ASN dans le cadre de l’élaboration de textes règlementaires qui leur seront applicables ou de guides de bonnes pratiques.

À ces principaux exploitants, s’ajoutent des exploitants de tailles plus modestes, par exemple d’accélérateurs de particules (GANIL), d’irradiateurs (Ionisos, Synergy Health), d’usines de production d’éléments radiopharmaceutiques (CIS Bio International), d’installations expérimentales ou dédiées à des expérimentations (ITER Organization pour l’installation ITER à Cadarache, Institut Laue-Langevin pour le réacteur à haut flux [RHF] de Grenoble, etc.). Ces installations présentent souvent des spécificités en termes de risques qui doivent être prises en compte dans les justifications de sûreté et dans l’évaluation de celles-ci par les organismes de sûreté.

Figure 2.1. Implantation des INB en France. IRSN.

La loi TSN formule aussi des exigences en matière de communication de la part des exploitants d’installations nucléaires sur les événements pouvant y survenir : ainsi, « tout exploitant d’une installation nucléaire de base doit établir chaque année un rapport qui expose :

–les dispositions prises en matière de sûreté nucléaire et de radioprotection ;

–les incidents et accidents en matière de sûreté nucléaire et de radioprotection, soumis à obligation de déclaration […] survenus dans le périmètre de l’installation, ainsi que les mesures prises pour en limiter le développement et les conséquences sur la santé des personnes et l’environnement ;

–la nature et les résultats des mesures des rejets radioactifs et non radioactifs de l’installation dans l’environnement ;

–la nature et la quantité de déchets radioactifs entreposés sur le site de l’installation, ainsi que les mesures prises pour en limiter le volume et les effets sur la santé et sur l’environnement, en particulier sur les sols et les eaux. »

Ce rapport est rendu public et il est transmis à la Commission locale d’information concernée et au Haut Comité pour la transparence et l’information sur la sécurité nucléaire.

À ce sujet, il peut être cité ici l’engagement suivant d’Électricité de France dans son document intitulé « Politique sûreté nucléaire du groupe EDF » du 20 janvier 2012 : « Le dialogue et la transparence s’imposent pour gagner la confiance de tous par une information et une communication claire et loyale sur les événements et leurs impacts éventuels ; ce dialogue de qualité est recherché et entretenu avec le personnel salarié et ses représentants, les sous-traitants, les instances de contrôle, les communautés locales et toutes les autres parties prenantes de la sûreté nucléaire ».

c.L’organisme d’expertise et de recherche IRSN

Au sein du système français de contrôle des installations nucléaires, l’IRSN a un statut reconnu d’établissement public à caractère industriel et commercial (EPIC), précisé par le décret n° 2002-254 du 22 février 2002, actualisé par le décret n° 2016-283 du 10 mars 2016. L’IRSN relève de cinq ministères de tutelle (environnement, industrie, recherche, défense, santé). Il est l’expert institutionnel privilégié dans le domaine des risques nucléaires et radiologiques agissant en tant qu’appui des pouvoirs publics, notamment pour ce qui concerne les installations nucléaires de base. Il évalue les expositions de l’homme et de l’environnement aux rayonnements ionisants et propose des mesures pour protéger la population, les travailleurs et l’environnement en cas de survenue d’un accident. Il concourt aux politiques publiques dans ses domaines d’activité, comme ce fut le cas par exemple à l’occasion de la préparation, en 2014-2015, de la loi sur la transition énergétique pour la croissance verte (loi n° 2015-992 du 17 août 2015, dite TECV).

L’IRSN mène des expertises, des études et des recherches ; il regroupe environ 1 700 personnes réparties sur une dizaine de sites, dont 1 200 chercheurs et experts, généralistes et spécialistes (criticité et neutronique, mécanique, thermohydraulique, statistiques et probabilités, protection contre l’incendie, sciences de la terre, médecine, biologie, agronomie, métrologie…).

L’expertise en matière de sûreté nucléaire étant fondée sur des connaissances scientifiques et techniques, l’IRSN vise à assurer en permanence une expertise de haut niveau en consacrant notamment des moyens significatifs :

–à la veille et à l’analyse du retour d’expérience des incidents et accidents qui surviennent non seulement en France mais aussi à l’étranger,

–à des études et des recherches.

À la demande de l’Autorité de sûreté nucléaire, l’IRSN examine les dossiers concernant la sûreté transmis par les exploitants d’INB (en vue d’une autorisation de création, d’une mise en service, de modifications, d’un réexamen périodique, d’un démantèlement…), qui doivent comporter les justifications appropriées, couramment englobées dans l’expression « démonstration de sûreté », et lui adresse ses avis et recommandations. L’expertise de l’IRSN est une aide à la décision sur la base du meilleur état des connaissances scientifiques ou techniques.

La « démonstration »36 de sûreté présentée par un exploitant l’engage, car c’est lui qui doit justifier la sûreté de l’installation dont il est responsable ; elle fait l’objet de documents écrits. L’examen mené par l’IRSN des justifications présentées dans ces documents conduit l’Institut à transmettre un avis écrit, accompagné des explicitations nécessaires quant à l’analyse réalisée, à l’attention de l’ASN, qui lui donne les suites qu’elle juge appropriées.

Il convient de souligner ici que l’expertise ne se résume pas à un contrôle de conformité à une règlementation. Si le rôle de l’IRSN s’inscrit dans un contexte règlementaire dont il doit être tenu compte, il vise à donner un éclairage technique, fondé sur l’état des connaissances et une analyse approfondie. Cela nécessite d’une part la disponibilité de connaissances étendues et à jour dans les divers domaines scientifiques et techniques concernés et la capacité de faire la synthèse de différentes approches, d’autre part un dialogue technique continu, d’égal à égal, avec les exploitants.

Un dialogue technique de qualité avec les exploitants, dans le respect des responsabilités des uns et des autres, est en effet indispensable pour bien apprécier les propositions contenues dans les dossiers examinés et les possibilités réalistes d’amélioration de la sûreté. Il permet de partager avec les exploitants les préoccupations de sûreté.

Les études et recherches dans lesquelles s’implique l’IRSN nécessitant des moyens importants, elles sont le plus souvent menées en collaboration avec d’autres partenaires (dont généralement le CEA), dans des cadres variés (national, européen, international), en y associant éventuellement des universités ou encore le Centre national de la recherche scientifique (CNRS). Ainsi, pour ne citer que quelques sujets privilégiés d’études et recherches pour la sûreté des réacteurs électronucléaires à eau sous pression, on peut mentionner ceux qui concernent :

–le comportement du combustible dans des situations dégradées et les transferts de substances radioactives qui peuvent en résulter ; cela vise les incidents et les accidents, y compris en cas de fusion de combustible ou du cœur dans son ensemble ;

–les phénomènes pouvant survenir en cas d’accident de fusion du cœur (explosion de vapeur, explosion d’hydrogène, interaction corium-béton…) ;

–les divers phénomènes intervenant en cas d’incendie…

Les connaissances (données, modèles…) issues de ces études et recherches sont le plus souvent intégrées dans des logiciels de simulation permettant de mener des études, par exemple le logiciel ASTEC de simulation des accidents de fusion du cœur.

Il est aussi à noter que, en termes d’études, l’IRSN développe, depuis les années 1980, ses propres modèles d’études probabilistes de sûreté (EPS – ces études font l’objet du chapitre 14) pour les réacteurs du parc électronucléaire français, ce qui lui permet d’une part de développer une connaissance précise du fonctionnement de ces réacteurs, d’autre part d’échanger avec l’exploitant Électricité de France sur les enseignements tirés de ses propres EPS et de celles de l’IRSN.

Il existe trois instances de conseil et d’évaluation des recherches de l’IRSN, incluant notamment des personnalités scientifiques françaises ou étrangères :

–un Comité d’orientation des recherches en sûreté nucléaire et en radioprotection37, qui est présidé par le président du Conseil d’administration de l’IRSN et composé de représentants des pouvoirs publics, d’entreprises et d’associations professionnelles, des salariés du secteur nucléaire, d’élus, d’associations, d’organismes de recherche ainsi que de personnalités qualifiées françaises ou étrangères ;

–un Conseil scientifique, dont les membres (largement issus du monde académique) sont désignés par les tutelles ; il est présidé par une personnalité du monde scientifique ;

–un Comité de visite38, dont les membres, experts issus environ pour moitié d’organismes étrangers39, sont nommés par le directeur général de l’IRSN.

Le Comité d’orientation des recherches et le Conseil scientifique traitent des travaux de recherche de l’Institut en distinguant d’une part leurs objectifs et priorités (Comité d’orientation), d’autre part leur réalisation dans le cadre des programmes de l’Institut (Conseil scientifique).

Le Comité de visite évalue a posteriori les activités scientifiques et techniques de l’Institut, notamment la qualité scientifique des recherches qui ont été conduites et leurs résultats. À ce titre, l’activité du Comité de visite s’intègre dans l’instance d’évaluation externe de l’IRSN40, agréée par l’HCERES41.

La dimension internationale de l’IRSN dans le domaine de la sûreté nucléaire se traduit notamment par l’existence d’accords de coopération avec plus d’une quarantaine de pays et par sa contribution à la création et à l’animation du réseau européen des TSO (Technical Safety Organizations) dénommé European Technical Safety Organisations Network (ETSON), présenté au chapitre 342.

Pour ce qui concerne l’information (scientifique et technique) du public, l’IPSN a dans un premier temps apporté une contribution avec notamment la publication d’ouvrages pédagogiques à l’usage non seulement de professionnels mais aussi d’un public relativement averti.

Mais le décret n° 2016-283 du 10 mars 2016, pris en application de la loi relative à la transition énergétique du 17 août 2015 (loi TECV), va inscrire fortement l’information du public dans l’exercice des missions de l’IRSN ; ce décret stipule que « l’Institut de radioprotection et de sûreté nucléaire contribue à la transparence et à l’information du public en matière de sûreté nucléaire et de radioprotection, notamment en élaborant et en rendant public un rapport annuel d’activité. Ce rapport est transmis aux ministres de tutelle et fait l’objet d’une présentation au Haut Comité pour la transparence et l’information sur la sécurité nucléaire, au Haut Conseil de la santé publique et au Conseil d’orientation des conditions de travail ». Conformément aux dispositions de l’article L.592-47 du code de l’environnement, l’IRSN « publie, lorsqu’ils ne relèvent pas de la défense nationale, les avis rendus sur saisine d’une autorité publique ou de l’Autorité de sûreté nucléaire (ASN), en concertation avec l’autorité concernée ».

L’IRSN met en œuvre, depuis sa création en 2002, une démarche d’« ouverture à la société civile » sur des questions de sûreté nucléaire et de radioprotection (de l’homme ou de l’environnement) en répondant par exemple aux sollicitations des Commissions locales d’information (CLI) ou en participant à des groupes d’expertise pluraliste43 ou à des actions multipartenaires44. L’IRSN et l’ANCCLI (entité présentée plus loin au point e) ont signé en 2003 un accord de coopération, engageant l’IRSN à fournir un appui scientifique et technique aux CLI dans les domaines de la sûreté nucléaire et de la radioprotection. Par ailleurs l’IRSN publie régulièrement sur son site internet divers rapports d’expertise en sûreté nucléaire : dans ce cadre, on peut indiquer que, de 2008 à 2017, l’IRSN a publié son « point de vue » sur l’état du parc électronucléaire pour chaque année d’exploitation écoulée, en faisant ressortir quelques points marquants au plan de la sûreté et de la radioprotection.

Il est à noter que, depuis 2014, des échanges45 avec la « société civile » sont poursuivis sur un certain nombre de sujets du réexamen périodique des réacteurs de 900 MWe associé à leurs quatrièmes visites décennales (le vieillissement des cuves et des enceintes de confinement par exemple), qui intervient dans le cadre de la demande d’Électricité de France de poursuivre le fonctionnement de ces réacteurs au-delà de 40 ans (projet « DDF »46) – voir le paragraphe 3.2 du présent ouvrage.

d.Les groupes permanents d’experts

Pour certaines questions techniques de sûreté ou de radioprotection importantes – telles que, dans le domaine de la sûreté, la création, la mise en service ou le réexamen périodique d’une INB, ou encore certains projets de textes règlementaires ou pararèglementaires –, l’ASN peut être amenée à consulter des groupes permanents d’experts47, dont les premiers existent depuis 1972. Sept groupes permanents d’experts (GPE) ont été constitués par l’ASN, chacun ayant son domaine de compétences (réacteurs [GPR], transports de matières radioactives et fissiles [GPT], laboratoires et usines [GPU], radioprotection (industrie, recherche) et en environnement [GPRAD], radioprotection des professionnels de santé, des patients et du public pour les applications médicales ou médico-légales des rayonnements ionisants [GPMED], déchets [GPD], équipements sous pression nucléaires [GPESPN]). Un groupe permanent d’experts dédié au démantèlement a été constitué en 2018 (GPDEM).

Les groupes permanents d’experts sont composés de membres nommés par l’ASN à titre personnel en raison de leurs compétences, selon une procédure qui vise à la fois à obtenir une diversité appropriée des compétences et à limiter les risques de conflits d’intérêts sur les sujets à traiter. Ils sont issus des milieux universitaires et associatifs ainsi que d’organismes de recherche et d’expertise français ou étrangers, en particulier l’IRSN, mais aussi d’exploitants ; il peut s’agir de personnes en activité ou de retraités. Depuis juin 2014, le pluralisme de ces instances a été renforcé par la nomination de membres de la « société civile » (tels que des membres de CLI ou d’organisations non gouvernementales [ONG]). Pour un sujet donné, chaque groupe permanent peut également faire appel à des personnes (en France comme à l’étranger) reconnues pour leurs compétences particulières sur le sujet.

Les groupes permanents d’experts traitant des questions de sûreté nucléaire débattent généralement sur la base d’un dossier transmis par un exploitant et de son évaluation par l’IRSN ou par l’ASN/DEP sur les questions touchant aux équipements sous pression nucléaires. Ils formalisent leurs conclusions par des avis et des recommandations adressés à l’ASN. Les avis et recommandations des groupes permanents d’experts sont rendus publics.

Pour les réacteurs à eau sous pression du parc électronucléaire, les deux groupes permanents d’experts les plus sollicités sont, à l’évidence :

–le groupe permanent pour les réacteurs (GPR),

–le groupe permanent pour les équipements sous pression nucléaires (GPESPN).

e.Le public et la « société civile » : de l’information à l’implication

Pour compléter le paragraphe 2.1, l’histoire de l’implication progressive de la « société civile » mérite d’être rappelée ici, de façon relativement succincte48.

Le décret n° 73-278 du 13 mars 1973 créa, outre le Service central de sûreté des installations nucléaires (SCSIN), un Conseil supérieur de la sûreté nucléaire (CSSN). La mission du CSSN portait sur l’ensemble des questions de nature technique relevant du ministre chargé de l’industrie concernant la sûreté des installations nucléaires, et il devait apprécier les résultats d’ensemble de l’activité poursuivie dans ce domaine, notamment par le SCSIN. Si sa composition incluait une part importante de représentants institutionnels, elle comprenait aussi cinq personnalités qualifiées49.

En 1977, a été créé, par un décret du 10 novembre 1977, le Conseil de l’information sur l’énergie électronucléaire (CIEE), placé auprès du Premier ministre, le CSSN conservant son rôle technique. La mission du CIEE était de veiller à ce que le public ait accès à l’information sur l’électronucléaire aux plans technique, sanitaire, écologique, économique et financier. Il comprenait notamment50, outre des personnalités qualifiées dans différents domaines (énergie, économie, techniques de communication…), six représentants d’associations écologistes. Le CIEE a émis des rapports annuels sur différents sujets (effets de la radioactivité sur la santé, devenir des installations et des déchets…) et il a œuvré pour que les rapports du SCPRI soient rendus publics.

Mais en 1979 survient l’accident de la centrale nucléaire de Three Mile Island, qui fera l’objet d’un large retour d’expérience en France. C’est dans cette période qu’un décret en date du 29 octobre 1981 modifie la composition du CSSN, pour y inclure notamment trois représentants d’associations de défense de l’environnement ; corrélativement, le CIEE est supprimé.

L’accident survenu en 1986 à la centrale nucléaire de Tchernobyl a été marqué, en France, par une communication difficile auprès du public ; elle a entraîné notamment une nouvelle réorganisation du CSSN par un décret du 2 mars 1987 : le CSSN devient le Conseil supérieur de la sûreté et de l’information nucléaires (CSSIN), qui comprend six personnalités en matière d’information et de communication ; le journaliste Pierre Desgraupes y assure une fonction de vice-président, aux côtés du Haut-Commissaire à l’énergie atomique, autre vice-président statutaire. C’est sous l’impulsion de Pierre Desgraupes que fut créée et mise en application en 1988 une échelle de gravité des incidents nucléaires, qui visait à faire mieux ressortir, pour le public, l’importance relative des différents incidents. Cette échelle préfigure l’échelle INES, qui sera adoptée par l’AIEA et mise en œuvre dès le début des années 1990 ; elle est présentée au paragraphe 34.10.

Par ailleurs, la façon dont l’accident de Tchernobyl a été géré en France en 1986 a généré une suspicion et une défiance durables de la part de la société à l’égard des autorités et des organismes publics et a conduit à la création d’organismes d’expertise associatifs comme l’Association pour le contrôle de la radioactivité dans l’ouest (ACRO) et la Commission de recherche et d’information indépendantes sur la radioactivité (CRIIRAD).

Dans le cadre de la loi TSN de 2006, déjà évoquée, le CSSIN a été remplacé par le Haut comité pour la transparence et l’information sur la sécurité nucléaire (HCTISN).

En termes d’implication proprement dite, si la « société civile » n’a été que récemment reconnue comme une composante du système de contrôle de la sûreté nucléaire et de la radioprotection, quand bien même elle agissait auparavant51, elle y prend désormais une place significative.

Avant même les accidents de Three Mile Island (1979) et de Tchernobyl (1986), les années 1970 marquèrent un tournant. Jusque-là, la construction et l’exploitation des centrales électronucléaires n’avaient suscité que peu de questionnements de la population. Mais, en 1974, le Premier ministre, Pierre Messmer, décide le lancement d’un grand programme électronucléaire qui prévoyait la construction de 13 tranches52 de 900 MWe en deux ans. Dans ce cadre, à la fin de 1974, le ministre chargé de l’industrie envoya aux préfets un dossier sur la localisation des sites nucléaires envisagés, qui fut diffusé aux autorités locales (conseils régionaux…). En 1975, il fut demandé à Électricité de France de fournir, pour ces sites, des « dossiers d’impact sur l’environnement »53.

Comme suite au démarrage de ce programme, un groupe de scientifiques du CNRS lançait au mois de février 1975 une pétition intitulée « appel de scientifiques à propos du programme nucléaire français », qui entendait alerter sur les dangers liés à l’industrie nucléaire, en soulignant qu’un accident nucléaire et que des fuites radioactives étaient possibles et qu’il serait par ailleurs nécessaire de gérer les déchets produits par les centrales. Il contestait le fait que l’indépendance énergétique puisse être assurée par l’énergie nucléaire compte tenu des ressources limitées en uranium de la France. Il mettait également en cause le système de contrôle de la sûreté nucléaire en France et appelait à un « vrai débat » sur l’énergie nucléaire. Cet appel fut signé par plus de 400 scientifiques en une semaine et plus de 4 000 en trois mois.

Cette action a conduit à une première structuration de groupements associatifs, comme le Groupement des scientifiques pour l’information sur l’énergie nucléaire (GSIEN) créé à la fin de 1975 par quelques scientifiques à l’origine de l’appel de février 1975.

À la même époque, en novembre 1975, le syndicat CFDT (de l’énergie atomique) édite un premier ouvrage intitulé « L’électronucléaire en France », qui sera actualisé et complété en 1980 sous le titre « Le dossier électronucléaire »54.

Au mois de juillet 1977, la manifestation d’opposants, aux abords du site de Creys-Malville sur lequel un réacteur à neutrons rapides était en construction (SUPERPHENIX), constitua un moment important de la contestation55, avec, trois ans plus tard, celle du projet de centrale sur le site de Plogoff en Bretagne − qui fut abandonné.

Le rôle de la « société civile » s’est progressivement développé. Dans le but de répondre à l’inquiétude de la population proche de la centrale nucléaire de Fessenheim et compte tenu du développement d’actions anti-nucléaires, notamment en Allemagne et en Suisse, le Conseil général du Haut-Rhin a créé en 1977 une Commission de surveillance, incluant notamment des élus et des représentants d’associations pour faire le point régulièrement sur le fonctionnement et les incidents survenant dans cette centrale. D’autres commissions de ce type vont se créer comme, en 1981, la Commission spéciale permanente d’information près de l’établissement56 de La Hague (CSPI) (remplacée, en 2004, par la Commission locale d’information près de l’établissement Orano de La Hague).

La reconnaissance par les pouvoirs publics du développement de ces actions s’est concrétisée dans une circulaire signée du Premier ministre Pierre Mauroy le 15 décembre 1981. Cette circulaire invite les Conseils généraux à mettre en place une Commission locale d’information (CLI) auprès de chaque grand équipement énergétique du territoire57. Une trentaine de CLI ont ainsi été créées.

De la même manière, un Comité local d’information et de suivi du laboratoire souterrain de Bure (CLIS de Bure) est également créé, en application de la loi du 30 décembre 1991 relative aux recherches sur la gestion des déchets radioactifs58. Des Commissions d’information auprès des installations nucléaires de base secrètes ont également été créées par le décret du 5 juillet 2001 relatif à la sûreté et à la radioprotection des installations et activités nucléaires intéressant la défense.

À l’initiative de quelques présidents de CLI, l’Association nationale des commissions locales d’information (ANCLI) est créée le 5 septembre 2000 – devenue ensuite l’Association nationale des comités et commissions locales d’information (ANCCLI) en 2006, selon les dispositions prévues dans la loi TSN59 – avec pour objectif de constituer un réseau d’échanges et d’information pour les CLI, d’être un centre de ressources et d’être l’interlocuteur des pouvoirs publics ainsi que des organismes nationaux et internationaux dans le domaine du nucléaire.

Les CLI rassemblent aujourd’hui, selon les termes d’un décret de 201960, des élus (députés et sénateurs des départements concernés, conseillers régionaux et départementaux, conseillers municipaux), des représentants d’associations de protection de l’environnement, de représentants des organisations syndicales de salariés représentatives, des personnes désignées au titre de leurs compétences dans le domaine nucléaire (entités d’intérêts économiques et d’ordres professionnels), ainsi que – dans le cas où l’installation concernée est située dans un département frontalier – un représentant des territoires, un représentant d’association et une personne qualifiée pour chaque État étranger. Une CLI doit être créée dès lors qu’une installation nucléaire de base a fait l’objet d’une demande d’autorisation de création, par décision du président du conseil départemental concerné61. Elle assure une mission générale de suivi, d’information et de concertation sur l’ensemble des activités liées à l’installation concernée.

Il convient d’ajouter que des représentants de l’ASN et des autres services de l’État concernés et de l’agence régionale de santé, ainsi que des représentants de l’exploitant, peuvent assister, avec voix consultative, aux séances des CLI et ont accès à leurs travaux.

Concernant l’information du public en matière de sûreté nucléaire, la loi TSN a fixé un certain nombre de principes. Si l’État est responsable de l’information du public sur les modalités et les résultats du contrôle de la sûreté nucléaire et de la radioprotection, toute personne « a le droit d’obtenir, auprès de l’exploitant d’une installation nucléaire de base […] les informations détenues, qu’elles aient été reçues ou établies par eux, sur les risques liés à l’exposition aux rayonnements ionisants pouvant résulter de cette activité et sur les mesures de sûreté et de radioprotection prises pour prévenir ou réduire ces risques ou expositions, dans les conditions définies [dans le code de l’environnement] ».

Les obligations des exploitants d’INB en matière d’information du public sont précisées par la loi TSN ; elles ont été indiquées au paragraphe 2.3 b).

Le Haut comité pour la transparence et l’information sur la sécurité nucléaire (HCTISN) a été présenté plus haut. Il convient d’ajouter que, depuis 2010, le Conseil supérieur de la prévention des risques technologiques (CSPRT), qui a succédé au Conseil supérieur des installations classées, historiquement consulté sur les projets de textes relatifs aux ICPE62, est également consulté sur les projets d’arrêtés relatifs aux INB, voire sur certains projets de décisions de l’ASN, à la demande de celle-ci. Le CSPRT regroupe des représentants de diverses administrations, des industriels, des associations environnementales, des syndicats et des élus.

Les projets de décisions de l’ASN font par ailleurs l’objet d’une consultation publique.

La « société civile » participe à des groupes de travail tels que le Comité directeur pour la gestion de la phase post-accidentelle d’un accident nucléaire ou d’une situation d’urgence radiologique (CODIRPA, voir le chapitre 38). De même, des associations et des élus sont impliqués dans le processus d’élaboration du Plan national de gestion des matières et des déchets radioactifs (PNGMDR63).

Enfin, il peut être mentionné que la France a signé en 1998 la convention d’Aarhus sur l’accès à l’information, la participation du public au processus décisionnel et l’accès à la justice en matière d’environnement. Une réflexion a d’ailleurs été engagée en 2008, sous l’impulsion de l’ANCCLI et de la Commission européenne, afin de réaliser un état des lieux en Europe de la mise en œuvre pratique de cette convention dans le domaine du nucléaire64.

Pour aller plus loin, quelques exemples d’implication de la société civile sont donnés au paragraphe 3.2, avec un certain nombre de questions de sûreté soulevées à l’égard des réacteurs du parc électronucléaire français.

2.4.Quelques principes et éléments fondamentaux en matière de sûreté nucléaire

Les activités nucléaires s’exercent en France dans le respect des textes officiels français (charte de l’environnement, adossée à la Constitution, et différents codes [codes de l’environnement, de la santé publique, du travail, de la défense]), qui doivent eux-mêmes respecter les engagements pris par la France à l’échelle internationale ou adopter les dispositions des directives du Conseil européen en droit français.

Ces diverses dispositions d’origines différentes se recoupent largement.

La sûreté des installations et activités nucléaires repose sur un certain nombre de grands principes qui sont précisés ci-après65.

a.Le principe de responsabilité première de l’exploitant

Comme cela a été indiqué précédemment, l’un des principes fondamentaux de la sûreté des installations nucléaires est la responsabilité première des exploitants en matière de sûreté pendant toute la durée de « vie » de leurs installations. Ils doivent prendre toutes les dispositions nécessaires en termes de conception, de construction et d’exploitation de leurs installations pour la prévention des risques associés et la limitation des conséquences d’éventuels incidents ou accidents ; cela couvre la qualification du personnel, la maîtrise des modifications des installations ou de leurs modalités d’exploitation, la maîtrise des activités sous-traitées ou encore la gestion sûre des déchets.

Bien évidemment, cette responsabilité première des exploitants est assortie d’un principe de contrôle par l’État, responsable de la protection des personnes et des biens66, qui le conduit à la mise en place d’une règlementation, de procédures d’autorisation, d’inspections…

b.Les principes de justification, d’optimisation et de limitation

Ces principes, issus des recommandations de la CIPR présentées au chapitre 1 du présent ouvrage, sont notamment repris comme suit dans le code de la santé publique (article L.1333-1) :

–« Une activité nucléaire ou une intervention ne peut être entreprise ou exercée que si elle est justifiée par les avantages qu’elle procure, notamment en matière sanitaire, sociale, économique ou scientifique, rapportés aux risques inhérents à l’exposition aux rayonnements ionisants auxquels elle est susceptible de soumettre les personnes ».

L’application de ce principe peut conduire à interdire certaines activités mettant en œuvre des substances radioactives si le bénéfice (voir le chapitre 1) correspondant apparaît insuffisant en regard des risques sanitaires. C’est, par exemple, sur la base de ce principe que fut décidé en 2011 en France le retrait progressif67 des détecteurs d’incendie contenant des radionucléides, à partir du moment où il fut possible de mettre en œuvre d’autres technologies présentant une efficacité suffisante.

–« L’exposition des personnes aux rayonnements ionisants résultant d’une [activité ou intervention] doit être maintenue au niveau le plus faible qu’il est raisonnablement possible d’atteindre, compte tenu de l’état des techniques, des facteurs économiques et sociaux […] ».

–« L’exposition d’une personne aux rayonnements ionisants résultant d’une [activité] ne peut porter la somme des doses reçues au-delà des limites fixées par voie règlementaire, sauf lorsque cette personne est l’objet d’une exposition à des fins médicales ou de recherche biomédicale. »

c.Le principe de prévention

Le code de l’environnement définit un principe d’action de prévention et de correction des atteintes à l’environnement, par priorité à la source, en utilisant les « meilleures techniques disponibles à un coût économiquement acceptable ».

d.Le principe de précaution

Le principe de précaution est défini dans la loi constitutionnelle du 1er mars 2005 en ces termes : l’absence de certitudes, compte tenu des connaissances scientifiques et techniques du moment, ne doit pas retarder l’adoption de dispositions de protection de l’environnement. Ce principe est défini dans la charte de l’environnement en ces termes : « Lorsque la réalisation d’un dommage, bien qu’incertaine en l’état des connaissances scientifiques, pourrait affecter de manière grave et irréversible l’environnement, les autorités publiques veillent, par application du principe de précaution et dans leurs domaines d’attribution, à la mise en œuvre de procédures d’évaluation des risques et à l’adoption de mesures provisoires et proportionnées afin de parer à la réalisation du dommage ». Selon ce principe, l’absence de certitudes, compte tenu des connaissances scientifiques et techniques du moment, ne doit pas retarder l’adoption de mesures effectives et proportionnées visant à prévenir un risque de dommages graves et irréversibles à l’environnement à un coût économiquement acceptable (article L.110-1 du code de l’environnement).

2.5.Les cadres règlementaire et pararèglementaire applicables aux INB

a.La pyramide règlementaire

Avant d’aller plus loin, pour mieux comprendre le processus d’élaboration du cadre68 règlementaire ou pararèglementaire applicable en France aux installations nucléaires de base, il convient de préciser ce que l’on désigne généralement sous l’appellation de pyramide règlementaire, représentée par la figure 2.2.

Figure 2.2. La pyramide règlementaire française. IRSN.

Les textes de cette pyramide règlementaire doivent bien entendu respecter les engagements internationaux pris par la France, par exemple ceux qui ont été pris dans le cadre du traité Euratom de 1957, de la Convention de Paris de 1960 sur la responsabilité civile dans le domaine nucléaire, de la Convention sur la sûreté nucléaire de 1994 évoquée plus haut, ou encore dans le cadre des directives européennes sur lesquelles on reviendra plus loin. Cela suppose un travail de transposition de ces textes internationaux en droit français, si nécessaire.

La pyramide distingue un domaine contraignant (lois, décrets, arrêtés, décisions règlementaires) et un domaine non contraignant, constitué de guides (y compris les règles fondamentales de sûreté établies avant 2006, auxquelles ont fait suite des « guides ASN »), de normes, ou encore de codes de conception ou de construction établis par les industriels et formalisant des pratiques éprouvées, qui constituent des références utiles mais auxquelles il est possible de déroger sous réserve de justifications.

La directive 2009/71/EURATOM du 25 juin 2009 mérite d’être évoquée ici. Elle a eu pour objectifs :

–« d’établir un cadre communautaire pour assurer le maintien et la promotion de l’amélioration continue de la sûreté nucléaire et de sa règlementation ;

–de veiller à ce que les États membres prennent des dispositions nationales appropriées afin d’assurer un niveau élevé de sûreté nucléaire pour protéger les populations et les travailleurs contre les dangers résultant des rayonnements ionisants émis par les installations nucléaires ».

Cette directive édicte un certain nombre de grands principes en matière de contrôle de la sûreté nucléaire :

–l’existence d’une autorité de règlementation ;

–la séparation fonctionnelle de l’autorité de règlementation par rapport à tout autre organisme ou organisation s’occupant de la promotion ou de l’utilisation de l’énergie nucléaire ; cette autorité ne doit rechercher ou prendre, aux fins de l’exécution de ses missions règlementaires, aucune instruction de la part de tels organismes ou organisations ;

–la capacité de l’autorité de règlementation d’exercer ses missions, en employant un personnel en nombre approprié possédant les qualifications, l’expérience et l’expertise nécessaires ; elle peut faire usage de ressources scientifiques et techniques externes à l’appui de ses fonctions de règlementation ;

–sa capacité de vérifier que les titulaires d’une autorisation, premiers responsables de leurs installations en matière de sûreté nucléaire, mettent bien en place des dispositions pour prévenir les accidents et en atténuer leurs conséquences ; que ces titulaires disposent des ressources financières et humaines nécessaires et possèdent des qualifications et des compétences appropriées ;

–l’existence d’un dispositif coercitif en cas de manquement de la part d’un titulaire d’autorisation ;

–la mise à disposition du public des informations nécessaires en relation avec la sûreté des installations nucléaires.

La directive 2014/87/UE du 8 juillet 2014 est venue modifier celle de 2009 à la suite de l’accident survenu à la centrale nucléaire de Fukushima Daiichi ; elle développe, par rapport au texte de 2009, ce qui concerne les réexamens périodiques, les autoévaluations des cadres nationaux et des autorités de règlementation ainsi que les examens internationaux par des pairs.

En outre, la directive de 2014 explicite la possibilité pour une autorité de règlementation de faire usage de ressources scientifiques et techniques externes à l’appui de ses fonctions de règlementation ; l’IRSN en France ou encore Bel V en Belgique, qui constituent des TSO (Technical Safety Organizations), apportent un tel concours.

En juillet 2014, chaque État membre a remis à la Commission européenne un rapport sur la mise en œuvre de la directive dans sa version de 2009 ; la version révisée appelle un deuxième rapport pour juillet 2020.

Enfin, la directive de 2014 fixe un objectif de sûreté pour les installations nucléaires visant à limiter les rejets de substances radioactives dans l’environnement en cas d’accident : ce point est développé au chapitre 18.

b.Constitution de la pyramide règlementaire

À partir de 1963 (année du premier décret relatif aux installations nucléaires), la règlementation française applicable aux installations nucléaires de base s’est progressivement développée. On peut citer ici :

–le décret n° 73-405 du 27 mars 1973, modifiant le décret n° 63-1228 du 11 décembre 1963, qui précise notamment les procédures applicables aux INB,

–l’arrêté du 26 février 1974 relatif au circuit primaire principal des chaudières nucléaires à eau,

–le décret n° 74-945 du 6 novembre 1974 relatif aux rejets d’effluents radioactifs gazeux provenant des installations nucléaires de base et des installations nucléaires implantées sur le même site,

–le décret n° 74-1181 du 31 décembre 1974 relatif aux rejets d’effluents radioactifs liquides provenant d’installations nucléaires,

–le décret n° 75-306 du 28 avril 1975 relatif à la protection des travailleurs contre les dangers des rayonnements ionisants dans les installations nucléaires de base,

–l’arrêté du 10 août 1984 relatif à la qualité de la conception, de la construction et de l’exploitation des installations nucléaires de base (souvent appelé « arrêté qualité »),

–l’arrêté du 26 novembre 1999 fixant les prescriptions techniques générales relatives aux limites et aux modalités des prélèvements et des rejets soumis à autorisation, effectués par les installations nucléaires de base,

–l’arrêté du 31 décembre 1999 fixant la règlementation technique générale destinée à prévenir et limiter les nuisances et les risques externes résultant de l’exploitation des INB.

Ces textes en nombre limité concernaient le plus souvent des procédures, sans formuler des prescriptions techniques détaillées. Cette façon de faire était largement guidée par le souci de privilégier un dialogue technique continu avec les exploitants, cela étant favorisé par le fait que la plupart des exploitants d’INB en France étaient, et sont encore, de « grands exploitants ». L’inconvénient était un certain manque de lisibilité des pratiques françaises, notamment à l’exportation.

Aussi, à partir des années 1980, un certain nombre de règles techniques ont été élaborées par le SCSIN puis la DSIN avec le concours de l’IPSN – certaines ont été soumises au GPR ou au GPU – et publiées sous la forme de règles fondamentales de sûreté (RFS). Ces textes, à caractère non contraignant, étaient destinés à expliciter les conditions dont le respect était considéré comme conforme à la pratique technique française. Elles tenaient compte de l’expérience acquise sur les sujets correspondants, notamment à l’occasion des examens de rapports de sûreté ou de réexamens périodiques… Exploitants et concepteurs pouvaient toutefois proposer des dispositions différentes s’ils montraient que les objectifs de sûreté indiqués étaient satisfaits de manière au moins équivalente. La liste des RFS concernant les réacteurs à eau sous pression est jointe en annexe 1.

Parallèlement, l’industrie nucléaire française commença à élaborer des documents dénommés règles de conception et de construction (RCC), qui sont une formalisation de principes et de règles techniques propres à différents domaines, en particulier pour les réacteurs à eau sous pression, sur la base des meilleures pratiques éprouvées (« procédé » [RCCP], structures et composants métalliques [RCC-M, -MRx pour les réacteurs à neutrons rapides, les réacteurs de recherche et les installations de fusion nucléaire], ouvrages de génie civil [RCC-G], combustible [RCC-C], équipements électriques [RCC-E], protection contre l’incendie [RCC-I]). La préparation et la diffusion de ces documents détaillés ne relevaient pas de la compétence des organismes de sûreté. Dans les années 1980, le SCSIN a pu faire connaître officiellement son accord pour l’utilisation de certaines règles de conception et de construction par l’intermédiaire de règles fondamentales de sûreté particulières69 (voir en annexe 1).

c.Le développement de la règlementation depuis 2006

La loi TSN nécessitait, pour être pleinement applicable, que soient pris un certain nombre de textes d’application. Les textes mentionnés ci-après ont par ailleurs permis de renforcer les dispositions précédemment en vigueur, par exemple en termes de sanctions.

Le décret du 2 novembre 2007 modifié70, ou « décret procédures », a ainsi précisé les procédures applicables (niveau d’autorisation requis, consultations obligatoires, délais d’instruction…) à la création, à la mise en service et à l’exploitation, aux modifications71 et au démantèlement des INB civiles. Il précise également les documents qui doivent être transmis par l’exploitant à chaque étape de la « vie » d’une installation (conception, création, mise en service, modifications, démantèlement…) ainsi que les principaux éléments attendus dans ces documents (capacités techniques et financières, éléments de justification sur la maîtrise des risques et des inconvénients présentés par l’installation, dispositions techniques et organisationnelles associés à leur exploitation…).

L’arrêté du 7 février 2012, ou « arrêté INB », a fixé les règles générales applicables aux INB, en particulier en termes d’organisation et de responsabilité des exploitants, d’éléments de démonstration de la maîtrise des risques et des inconvénients, de gestion des déchets et de gestion des situations d’urgence. À l’exception de quelques articles, il présente un aspect générique, c’est-à-dire que ses prescriptions sont applicables à toutes les INB, de la conception jusqu’au déclassement. Toutefois, « leur application repose sur une approche proportionnée aux risques et inconvénients présentés par l’installation. Elle prend en compte l’ensemble des aspects techniques et des facteurs organisationnels et humains pertinents ». Cela laisse donc une large place au dialogue technique et à l’évaluation au cas par cas de la sûreté des installations.

L’ASN a par ailleurs entrepris de développer la règlementation technique, incitée en cela par les travaux d’harmonisation européenne de l’association WENRA, créée en 1999, qui ont notamment mis en évidence le caractère très limité des textes règlementaires techniques français par rapport à ceux de la plupart des autres pays européens, même si les pratiques des différents pays apparaissaient sensiblement homogènes.

À cet égard, une vingtaine de décisions règlementaires de l’ASN déclinent ou déclineront l’« arrêté INB » ; elles concernent par exemple le contenu d’un rapport de sûreté, les réexamens périodiques, la maîtrise des risques d’incendie, d’inondation ou de criticité, les modifications des INB… L’établissement de guides non contraignants, complétant ou non de telles décisions, a également été engagé ; leur nature est proche de celle des RFS qu’ils peuvent ou pourront, dans certains cas, remplacer.

Il est à noter que l’« arrêté INB » abroge :

–l’« arrêté qualité » du 10 août 1984, cité précédemment,

–l’arrêté du 26 novembre 1999 fixant les prescriptions techniques générales relatives aux limites et aux modalités des prélèvements et des rejets soumis à autorisation, effectués par les installations nucléaires de base,

–l’arrêté du 31 décembre 1999 fixant la règlementation technique générale destinée à prévenir et limiter les nuisances et les risques externes résultant de l’exploitation des installations nucléaires de base.

La liste des textes règlementaires ou pararèglementaires existants72 est jointe en annexe 2. Le guide ASN n° 22 (du 18 juillet 2017), établi conjointement avec l’IRSN, mérite d’être mentionné tout particulièrement. Ce guide présente un certain nombre de recommandations pour la conception des réacteurs électronucléaires à eau sous pression, visant notamment à prévenir l’occurrence d’incidents ou d’accidents de nature radiologique et à en limiter leurs conséquences s’ils devaient néanmoins survenir73. Il est destiné aux futurs concepteurs et exploitants de tels réacteurs en France, mais il peut aussi être utilisé, à titre de référence, pour la recherche d’améliorations à apporter aux réacteurs existants, par exemple à l’occasion de leurs réexamens périodiques. Il y sera fait largement référence dans la partie 2 du présent ouvrage, consacrée à la sûreté « à la conception » des réacteurs à eau sous pression.

Le développement de la règlementation technique nationale s’appuie sur un processus d’élaboration, puis de consultation, impliquant toutes les entités concernées avec in fine une consultation publique par internet sur le site de l’ASN (voir la figure 2.3).

Figure 2.3. Schéma simplifié montrant les grandes étapes de l’élaboration, en France, des textes règlementaires et l’implication des parties prenantes. Georges Goué/IRSN.

d.Les principales procédures concernant l’exploitation d’une INB :
de la création au déclassement

Le décret n° 2007-1557 du 2 novembre 2007 modifié (en dernier lieu par le décret n° 2016-846 du 28 juin 201674), pris en application de la loi TSN et de la loi TECV, est relatif aux procédures administratives du régime des INB. Il indique en particulier les autorisations nécessaires à la création, à la mise en service, aux modifications et à la mise à l’arrêt et au démantèlement d’une INB ainsi que les documents que l’exploitant doit transmettre pour obtenir ces autorisations.

Le schéma joint en annexe 3 présente les différentes procédures applicables aux INB, telles qu’un réacteur électronucléaire à eau sous pression, et les articles correspondants du décret du 2 novembre 2007. Quelques points sont à souligner :

–la création ou le démantèlement d’une INB de ce type font l’objet d’une enquête publique et d’un décret ;

–la mise en service de l’installation est soumise à une autorisation de l’ASN ;

–les modifications de l’INB qui remettent en cause le décret d’autorisation de création font l’objet d’une nouvelle demande d’autorisation auprès des ministres chargés de la sûreté nucléaire (changement d’exploitant ou de périmètre de l’INB, modifications « substantielles ») ;

–les modifications de l’INB qui ne nécessitent pas une nouvelle demande d’autorisation auprès des ministres chargés de la sûreté nucléaire mais qui sont « notables » (voir la décision 2017-DC-0616 du 30 novembre 2017) sont soumises soit à autorisation de l’ASN, soit à déclaration75. Le délai d’instruction des demandes d’autorisation est fixé à six mois. L’ASN peut proroger ce délai si elle estime nécessaire de procéder à de nouvelles mesures d’instruction ou d’édicter des prescriptions complémentaires. Le silence gardé par l’ASN à l’expiration de ce délai vaut décision de rejet de la demande ;

–un réexamen décennal doit être réalisé par l’exploitant, y compris pour les INB qui ont été mises à l’arrêt définitif ou sont en phase de démantèlement.

e.Les principaux documents associés aux procédures
en matière de sûreté nucléaire

Le contenu attendu de certains des documents évoqués ci-après est, ou sera, précisé par des décisions règlementaires de l’ASN (par exemple la décision 2015-DC-0532 relative aux rapports de sûreté des INB).

Comme cela a été indiqué plus haut, les conditions générales de délivrance d’une autorisation de création d’une INB visent les « intérêts protégés » (sécurité au sens de la règlementation française, santé et salubrité publiques, protection de la nature et de l’environnement). Ainsi, les éléments que l’exploitant doit transmettre pour obtenir une autorisation de création ne se limitent pas à la maîtrise des risques d’accident mais concernent aussi la limitation des inconvénients inhérents à l’exploitation (rejets, prélèvements d’eau, production de déchets, impact sur la faune ou sur la flore…). De plus, la capacité d’un exploitant à exploiter une installation ne s’apprécie pas uniquement sur ses compétences techniques mais aussi sur des aspects organisationnels, structurels et financiers. En outre, l’exploitant d’un réacteur à eau sous pression ne doit pas uniquement traiter la phase de fonctionnement de son installation, mais également son futur démantèlement, y compris en réalisant les provisions financières nécessaires.

Les justifications demandées à l’exploitant sont exposées dans un ensemble de documents dont l’objet et le contenu sont précisés par le décret n° 2007-1557 du 2 novembre 2007 modifié76. La plupart de ces documents sont analysés par l’IRSN à la demande de l’ASN.

Les différentes procédures à appliquer des premières étapes de conception jusqu’au déclassement d’une INB telle qu’un réacteur à eau sous pression sont explicitées sur la planche en annexe 3.

Le dossier d’options de sûreté

La possibilité est offerte à toute personne qui prévoit d’exploiter une INB de demander à l’ASN, préalablement à l’engagement de la procédure d’autorisation de création, un avis sur tout ou partie des options qu’elle a retenues pour assurer la sûreté de cette installation. Électricité de France a ainsi demandé un avis à l’ASN pour le projet de réacteur à eau sous pression EPR dit nouveau modèle (EPR NM)77 ; le dossier transmis, complété au cours de l’instruction de l’IRSN, a fait l’objet d’une réunion du GPR en janvier 2018 et d’un avis de l’ASN en 2019.

Le rapport de sûreté

Un rapport de sûreté, dans sa version préliminaire, doit accompagner toute demande d’autorisation de création d’une INB. L’exploitant doit y justifier que le projet permet d’atteindre, compte tenu de l’état des connaissances, des pratiques et de la vulnérabilité de l’environnement de l’installation, un niveau de risque aussi bas que possible dans des conditions économiquement acceptables. Cela implique que ce rapport comporte notamment l’inventaire des risques de toutes origines que présente l’installation projetée ainsi que l’analyse des dispositions prises pour prévenir ces risques et la description des mesures propres à limiter la probabilité des accidents et leurs effets.

Une « étude de dimensionnement » du plan d’urgence interne (PUI) doit être présentée dès la version préliminaire du rapport de sûreté. Il est indiqué dans la décision de l’ASN n° 2015-DC-0532 du 17 novembre 2015 (« décision rapport de sûreté ») que cette étude :

–vise à identifier, « parmi les accidents postulés dans la démonstration de sûreté »78, ceux qui, « malgré les mesures de prévention et de limitation des conséquences, pourraient conduire à des situations d’urgence et nécessiter des mesures de protection sur le site ou à l’extérieur du site […] » et « qui doivent être portés à la connaissance des pouvoirs publics pour la mise en œuvre des politiques de maîtrise des risques qui relèvent de leur compétence […] ;

–explicite les principes de déclenchement du PUI ;

–identifie les zones où pourraient être dépassés les niveaux d’intervention en situation d’urgence radiologique mentionnés à l’article R.1333-80 du code de la santé publique ou les seuils d’effets de phénomènes dangereux figurant à l’annexe II de l’arrêté du 29 septembre 2005 […] ;

–comporte […] les informations nécessaires à l’élaboration du PPI (plan particulier d’intervention) […] ; à ce titre, il précise, pour les scénarios nécessitant la mise en œuvre immédiate d’actions de protection des populations par les pouvoirs publics, l’évolution au cours du temps des conséquences dans les six heures qui suivent le début de l’accident ».

Mais, dans les faits, d’autres éléments interviennent dans la définition des moyens humains et matériels associés au PUI, éléments qui sont généralement regroupés dans un dossier justificatif du PUI.

Le rapport de sûreté est mis à jour en vue de l’autorisation de mise en service79 (c’est-à-dire la première mise en œuvre de substances radioactives dans l’installation) et devient le rapport de sûreté permettant d’apprécier la conformité de l’installation aux dispositions du décret d’autorisation de création et des éventuelles prescriptions de l’ASN pour l’application de ce décret, visant la conception et la construction. Cela suppose en particulier que ce rapport de sûreté tienne compte de l’état de l’installation « telle que construite ».

Le rapport de sûreté est également mis à jour à l’occasion de la remise du dossier de fin de démarrage. Il « décrit les éventuels incidents et accidents déclarés […] depuis la demande d’autorisation de mise en service de l’INB, les actions curatives, préventives et correctrices effectuées et résume les événements significatifs survenus depuis la mise en service jusqu’à la remise du dossier de fin de démarrage de l’INB et, pour chacun d’eux, le traitement effectué. » Cette mise à jour doit bien évidemment tenir compte des résultats des « essais de démarrage » (pour les réacteurs du parc électronucléaire français, ces essais seront abordés au chapitre 19).

En vertu du point VII de l’article 20 du « décret procédures », le rapport de sûreté doit être tenu à jour ; il doit l’être bien évidemment :

–en cas de changement d’exploitant de l’INB ou de son périmètre, ou encore de modifications « substantielles » (comme cela est indiqué plus haut, il s’agit des modifications qui remettent en cause les décrets en vigueur) ;

–à l’occasion des réexamens périodiques, qui donnent généralement lieu à des modifications importantes (cf. alinéa ci-dessus), ainsi qu’à des mises à jour des études présentées dans le rapport de sûreté.

L’étude de maîtrise des risques

L’étude de maîtrise des risques présente les éléments figurant dans la version préliminaire du rapport de sûreté, sous une forme appropriée pour les consultations locales et l’enquête publique prévues par la procédure d’autorisation de création.

L’étude d’impact

L’étude d’impact, qui fait partie du dossier accompagnant toute demande d’autorisation de création, présente l’impact de la construction et du fonctionnement normal de l’installation sur l’homme et l’environnement. Elle est définie à l’article 9 du décret n° 2007-1557 précité ; elle comporte notamment :

–un état radiologique de l’environnement du site et de son voisinage ;

–une analyse des effets directs et indirects, temporaires (y compris pendant la phase des travaux) et permanents de l’installation sur l’environnement ;

–une évaluation de l’exposition des personnes du public aux rayonnements ionisants du fait de l’installation, en prenant en compte notamment les irradiations provoquées directement par l’installation et les transferts de radionucléides par les différentes voies, y compris par les chaînes alimentaires ; les prélèvements d’eau ainsi que les rejets d’effluents liquides ou les rejets d’effluents dans l’atmosphère qui sont envisagés sont présentés ;

–une présentation des volumes, de la nature, de la nocivité et des modes d’élimination des déchets, radioactifs ou non radioactifs.

Cette étude est aussi mise à jour au moment de la demande d’autorisation de mise en service.

Le plan de démantèlement

Les installations nucléaires sont, à l’issue de leur période de fonctionnement, mises à l’arrêt définitif et font l’objet d’opérations préparatoires au démantèlement et d’opérations de démantèlement, préalablement à une réutilisation éventuelle de leur site d’implantation pour une autre activité. Le terme de démantèlement couvre l’ensemble des activités réalisées après l’arrêt définitif d’une installation, afin d’atteindre un état final prédéfini ; celles-ci comprennent notamment le démontage des équipements, l’assainissement des locaux, la destruction éventuelle d’ouvrages de génie civil, l’assainissement des sols, le tri, la caractérisation, le conditionnement, l’évacuation et l’élimination des déchets produits (radioactifs ou non). À l’issue de son démantèlement, et sous certaines conditions, une installation nucléaire de base est « déclassée » – c’est-à-dire supprimée de la liste des INB.

L’article L.593-25 du code de l’environnement prévoit que « Lorsque le fonctionnement d’une installation nucléaire de base ou d’une partie d’une telle installation est arrêté définitivement, son exploitant procède à son démantèlement dans un délai aussi court que possible, dans des conditions économiquement acceptables et dans le respect des principes énoncés à l’article L.1333-1 du code de la santé publique et au II de l’article L.110-1 du présent code ». Cette stratégie permet notamment de ne pas faire porter le poids des démantèlements sur les générations futures, sur les plans tant techniques que financiers. Elle permet également de bénéficier des connaissances et compétences des équipes présentes pendant le fonctionnement de l’installation, indispensables lors des premières opérations de démantèlement

Le plan de démantèlement, qui fait partie du dossier accompagnant toute demande d’autorisation de création d’une installation nucléaire de base, présente les principes d’ordre méthodologique et les étapes envisagées pour le démantèlement de l’installation, la remise en état et la surveillance ultérieure du site. À cette fin (voir le guide ASN n° 6), le plan de démantèlement :

–« présente les modalités envisagées pour le démantèlement de l’INB considérée et précise, le cas échéant, les modalités envisagées pour la réhabilitation et la surveillance du site sur lequel l’INB est implantée ;

–mentionne et justifie la stratégie de démantèlement retenue par l’exploitant […], et par conséquent précise le délai envisagé, aussi court que possible, entre l’arrêt définitif de fonctionnement de l’installation et la fin du démantèlement de celle-ci. Ce délai couvre donc le délai entre l’arrêt définitif et le début des opérations de démantèlement ainsi que la durée des opérations elles-mêmes ;

–définit et justifie l’état de l’installation au moment de son arrêt définitif et l’état visé avant le début des opérations de démantèlement (état initial). Il définit et justifie l’état visé du site après le démantèlement de l’installation […] ;

–décrit les dispositions prises par l’exploitant afin de garantir la conservation de l’historique de l’installation, et notamment les éléments pertinents en vue de son démantèlement ultérieur (substances radioactives et dangereuses mises en œuvre, cartographies radiologiques, événements, etc.) […] ».

Après la demande d’autorisation de création d’une installation nucléaire de base, le plan de démantèlement est mis à jour, conformément aux dispositions de l’« arrêté INB » :

–lors de la mise en service de l’installation,

–lors de toute modification du décret d’autorisation de création,

–si nécessaire, lors de modifications de l’installation,

–à chaque remise d’un rapport de réexamen périodique (y compris lors de la phase de démantèlement).

Les questions spécifiques de sûreté relatives aux opérations de démantèlement ne seront pas abordées dans le présent ouvrage80.

La notice sur les capacités techniques et financières

En vue de l’obtention d’une autorisation de création, l’exploitant doit fournir une « notice » présentant ses capacités techniques et financières. Cette notice, qui n’est pas mise à la disposition du public lors de l’enquête publique, a notamment pour objet de justifier la capacité du demandeur à exercer durablement ses responsabilités d’exploitant nucléaire.

Les règles générales d’exploitation (RGE)

Les règles générales d’exploitation (RGE) ont pour objet de présenter les dispositions techniques et organisationnelles retenues par l’exploitant en lien avec le rapport de sûreté. Les RGE font partie, avec le rapport de sûreté, le plan d’urgence interne et l’étude sur la gestion des déchets, des éléments qui doivent figurer dans le dossier de demande de mise en service de l’installation. Elles sont mises à jour en tant que de besoin lors de modifications ou lors d’évolutions des pratiques d’exploitation, ainsi que pour les opérations allant du début des opérations de démantèlement jusqu’au déclassement.

Le plan d’urgence interne (PUI)

Un plan d’urgence interne doit également être transmis en vue de la mise en service d’une INB. Ce plan définit les mesures d’organisation, les méthodes d’intervention et les moyens que l’exploitant81 mettrait en œuvre en cas de situation d’urgence pour protéger des rayonnements ionisants le personnel, le public et l’environnement, et préserver ou rétablir la sûreté de l’installation.

La décision ASN n° 2017-DC-592 du 13 juin 2017 fixe des obligations en matière de préparation et de gestion des situations d’urgence et de contenu du plan d’urgence interne. On y reviendra au paragraphe 17.9.

L’étude sur la gestion des déchets

Une étude sur la gestion des déchets fait partie du dossier à transmettre par l’exploitant en vue de la mise en service de son installation. Elle fait état de ses objectifs pour limiter le volume et la toxicité radiologique, chimique et biologique des déchets produits dans l’INB et pour réduire, par la valorisation et le traitement des déchets ainsi produits, le volume et l’activité des déchets ultimes à stocker. Cette étude traite de l’ensemble des filières de gestion des déchets de l’installation jusqu’à l’élimination de ceux-ci.

f.Conclusion

Le cadre (ou « référentiel »82 ) règlementaire d’une installation comporte ainsi des textes juridiquement contraignants. Le non-respect de l’une de ses dispositions constitue un écart qui peut éventuellement conduire à une sanction administrative ou pénale83. Cela peut être schématisé ainsi (voir la figure 2.4) :

Figure 2.4. Le cadre règlementaire d’une installation nucléaire de base. Georges Goué/IRSN.

Un décret est, comme on l’a vu, nécessaire pour autoriser la création ou pour prescrire le démantèlement d’une INB ; il autorise également les rejets (sous réserve du respect de l’étude d’impact). Il mentionne un certain nombre d’éléments tels que la capacité maximale de l’installation, le délai maximal de mise en service ainsi que des « éléments essentiels pour la protection des intérêts » : il s’agit d’éléments qui, du fait de leur importance, vont conditionner la validité de l’autorisation ; leur remise en cause nécessite une nouvelle demande d’autorisation. L’identification de ces éléments tient compte des spécificités de l’installation, de ses risques et inconvénients.

L’ASN peut compléter le cadre règlementaire applicable à une INB par des prescriptions individuelles à caractère technique ; elles peuvent porter sur :

–la prévention des incidents et des accidents,

–la gestion des déchets,

–la nécessité pour l’exploitant d’obtenir un accord spécifique avant la réalisation de certaines opérations, compte tenu de leur importance,

–les modalités de prélèvement et de consommation d’eau, de rejet dans l’environnement des effluents liquides et gazeux ainsi que de surveillance de l’environnement.

Le respect de la règlementation ne suffisant pas à justifier de la sûreté d’une installation et, de surcroît, les exigences règlementaires étant formulées en termes d’objectifs à atteindre, l’évaluation de la maîtrise des risques et inconvénients repose sur un dialogue technique continu entre l’exploitant et les organismes de sûreté, avec une analyse au cas par cas des dispositions organisationnelles et techniques qu’il a retenues.

#FOCUS

Des décrets de 1926 et 1943 à l’« arrêté ESPN » :
la règlementation des appareils à pression pour le domaine
nucléaire et le contrôle de sa bonne application par l’État84

Les réacteurs à eau sous pression, comme d’autres réacteurs nucléaires, comportent des équipements (capacités ou récipients, tuyauteries…) contenant notamment des fluides caloporteurs (eau, vapeur d’eau) à hautes pressions ou températures. Des équipements comme la cuve, les circuits primaire et secondaire principaux, le pressuriseur, les générateurs de vapeur en font partie : dans le circuit primaire principal, la pression atteint par exemple 155 bars et la température environ 300 °C. De telles conditions de service nécessitent à l’évidence des dispositions particulières visant à minimiser le risque de perte d’intégrité en tenant compte des altérations des matériaux envisageables.

Avant la construction des premiers réacteurs électronucléaires en France, de type UNGG, les « appareils » contenant des fluides sous pression étaient règlementés par deux textes : un décret du 2 avril 1926 pour les « appareils à pression de vapeur »85, un décret du 18 janvier 1943 pour les « appareils à pression de gaz »86. Le décret de 1926 s’appliquait notamment aux « générateurs » (ou « chaudières ») et « récipients » de vapeur d’eau dont la pression pouvait dépasser 0,5 bar et ayant une contenance de plus de 25 litres (« générateurs ») ou 100 litres (« récipients »). La sûreté de ces appareils reposait notamment87 sur la soumission de ceux-ci à une « épreuve » hydraulique à une pression supérieure à celle qu’ils subissent en service (généralement 1,5 fois la pression de service).

L’application de ces décrets aux réacteurs électronucléaires souleva des difficultés d’abord pour les réacteurs UNGG, puis pour les premières tranches de réacteurs à eau sous pression sous licence Westinghouse : pour ces derniers88, les capacités sous pression (notamment celles du circuit primaire principal) respectaient la règlementation américaine, fondée sur l’application des règles de conception et de construction du code ASME, alors que les décrets français étaient fondés sur une autre approche – qui est toujours celle qui est en vigueur –, non prescriptive techniquement, mais demandant au constructeur ou fabricant des équipements sous pression, responsable de leur conception et de leur fabrication, de montrer que les risques auxquels ces équipements pouvaient être sujets pouvaient être écartés (par exemple celui de rupture brutale), sans prescrire l’application d’un quelconque code de conception et de construction89.

La difficulté rencontrée pour les réacteurs à eau sous pression90 a conduit à l’arrêté du 26 février 1974 du ministre en charge du développement industriel et scientifique, portant application de la règlementation des appareils à pression aux chaudières nucléaires à eau – spécifiquement à leur circuit primaire principal (complété par une circulaire du même jour commentant les dispositions de l’arrêté). Cet arrêté apporta certains aménagements au décret de 1926 en termes de pression d’épreuve ; des précautions à prendre à l’égard de certains mécanismes d’endommagement y furent aussi introduites, sous la forme de coefficients de sécurité par lesquels les chargements calculés subis par les équipements concernés devaient être majorés. L’arrêté de 1974 fut préparé dans le cadre d’un groupe de travail réunissant des spécialistes de l’industrie (conception, fabrication et contrôles de fabrication d’équipements sous pression – Framatome, EDF, CEA…) et du Service technique des mines, devenu en 1970 la Direction de la technologie, de l’environnement industriel et des mines [DITEIM]).

En complément de l’arrêté de 1974, il a été jugé ultérieurement nécessaire de compléter le cadre règlementaire avec la règle fondamentale de sûreté II.3.8 relative « à la construction et à l’exploitation du circuit secondaire principal » des réacteurs à eau sous pression, en date du 8 juin 1990, qui traite un certain nombre d’aspects liés à la conception proprement dite (choix des matériaux, règles et critères du RCC-M à appliquer à l’égard des différentes situations de chargement…) ; cette RFS sera appliquée dès la conception des réacteurs du palier N4.

De plus, dans les années 1990, le retour d’expérience de l’exploitation des réacteurs ainsi que les avancées techniques au plan international, notamment dans le domaine des contrôles non destructifs, ont permis de réviser les exigences relatives à l’exploitation des circuits de ces réacteurs. Comme il était apparu que le circuit secondaire principal jouait un rôle aussi important dans la sûreté nucléaire que le circuit primaire principal, des exigences spécifiques, communes aux circuits primaire et secondaire principaux, ont alors été définies dans un arrêté pris le 10 novembre 1999, « relatif à la surveillance de l’exploitation du circuit primaire principal et des circuits secondaires principaux des réacteurs nucléaires à eau sous pression » (« arrêté exploitation »).

Par ailleurs, au plan européen, la directive 97/23/CE, « relative au rapprochement des législations des États membres concernant les équipements sous pression », a prescrit en 1997 une nouvelle approche européenne en matière de règlementation pour les équipements sous pression « conventionnels », en excluant de son champ d’application ceux qui sont spécialement conçus pour des applications nucléaires. Les trois piliers de cette directive européenne sont la notion d’« exigences essentielles de sécurité » pour les équipements sous pression, l’évaluation de la conformité à ces exigences et l’existence d’un organisme qui mène cette évaluation. Cette directive sera d’abord transcrite en droit français par un nouveau décret, le décret n° 99-1046 du 13 décembre 1999 (« décret ESP »), relatif aux équipements sous pression – hormis ceux qui sont conçus pour des applications nucléaires –, qui reprend notamment la notion d’exigences essentielles de sécurité introduite par la directive européenne.

Mais l’État français a alors décidé d’utiliser la directive européenne de 1997 comme socle pour refonder l’ensemble de sa règlementation relative aux équipements sous pression utilisés dans les installations nucléaires de base. C’est ainsi qu’est né l’arrêté du 12 décembre 2005 relatif aux « équipements sous pression nucléaires », ou « arrêté ESPN ». Cet arrêté replace ces équipements, d’une part dans le contexte des équipements sous pression « conventionnels », d’autre part dans celui de la sûreté nucléaire et de la radioprotection, compte tenu des risques liés à la radioactivité que ces équipements contiennent.

Avec l’« arrêté ESPN », les exigences essentielles de sécurité relatives aux équipements sous pression « conventionnels » issues du « décret ESP » de 1999 sont complétées, pour les équipements sous pression nucléaires, par des dispositions renforçant les analyses de risques, les démarches de qualification, les contrôles et les vérifications. L’« arrêté ESPN » permet la mise en œuvre d’une approche unifiée et proportionnée aux risques pour tous les équipements sous pression nucléaires, en tenant compte, pour chaque équipement :

–de la pression du ou des fluides qui y sont contenus, ainsi que de son volume,

–de la nature du ou des fluides contenus,

–de l’inventaire radiologique contenu ou susceptible d’être contenu dans l’équipement en exploitation,

–de la prise en compte ou non de sa défaillance dans la démonstration de sûreté de l’installation concernée.

L’« arrêté ESPN » définit ainsi un certain nombre d’exigences essentielles de sécurité pour les équipements, proportionnées aux risques, les équipements de moindres risques étant simplement soumis aux règles de l’art ou aux guides professionnels.

L’« arrêté ESPN » apporte certains compléments ou modifications à l’« arrêté exploitation » du 10 novembre 1999 et au décret du 13 décembre 1999 mentionnés plus haut. Il remplace l’arrêté du 26 février 1974 et sa circulaire d’application.

La directive européenne susmentionnée a ensuite fait l’objet d’une refonte, par la directive 2014/68/EU du 15 mai 2014 « relative à l’harmonisation des législations des États membres concernant la mise à disposition sur le marché des équipements sous pression ». Cette nouvelle directive a conduit à une codification, dans le code de l’environnement, du « décret ESP » et à une mise à jour de l’« arrêté ESPN » par l’arrêté du 30 décembre 2015 (principalement pour ce qui concerne la conception et la fabrication), complété par un arrêté lui apportant des modifications (pour ce qui concerne principalement la surveillance en service91) en date du 3 septembre 2018. Pour l’essentiel, ces nouveaux arrêtés se veulent à droit constant, hormis l’introduction dans celui de 2015 – en application du code de l’environnement – d’une possibilité de dérogation (article 9) et d’une nouvelle disposition transitoire d’application de l’arrêté (article 12) et, dans celui de 2018, de deux exigences supplémentaires issues du retour d’expérience récent de fabrication de composants92.

Par ailleurs, il convient de mentionner le décret n° 2015-799 relatif aux produits et équipements à risques, qui a été pris le 1er juillet 2015 pour assurer la transposition de plusieurs directives de l’Union européenne dont celle de 2014 évoquée ci-dessus, en vue de renforcer la règlementation relative aux produits et équipements à risques, tels que les produits explosifs, les appareils et systèmes de protection destinés à être utilisés en atmosphère explosible, les appareils à pression ou encore les appareils et matériels concourant à l’utilisation de gaz combustibles. Ce décret fixe les conditions de fabrication et de mise sur le marché de ces produits et équipements, les règles de surveillance du marché ainsi que les opérations de suivi en service. Il définit notamment les responsabilités des différents opérateurs économiques : fabricant, mandataire, distributeur, importateur. Le décret n° 2015-799 du 1er juillet 2015 abroge les décrets de 1926 et de 1943.

Dans la situation actuelle, avec notamment, en 2016, la codification dans le code de l’environnement des dispositions d’exploitation et de suivi en service des ESP et des ESPN93, les exigences s’appliquant à la conception, à la fabrication, à l’exploitation et au suivi en service des équipements sous pression sont inscrites (voir la figure 2.5) :

–dans le code de l’environnement, au chapitre VII du titre V du livre V relatif aux « produits et équipements à risques », dans les sections 9 (ESP neufs), 12 (ESPN neufs) et 14 (exploitation et suivi en service des ESP et ESPN) ;

–dans l’« arrêté exploitation » de 1999 et dans l’« arrêté ESPN » (2015), modifiés en 2018, ainsi que dans un arrêté du 20 novembre 2017 « relatif au suivi en service des équipements sous pression et des récipients à pression simples » (ESP/RPS).

Figure 2.5. Cadre règlementaire pour les ESP/RPS et les ESPN. ASN/DEP.

La décision ASN n° 2016-DC-0571 du 11 octobre 2016, appelée par l’« arrêté ESPN » de 2015, porte des aménagements par rapport à certains points de la directive européenne de 2014 et des précisions par rapport au code de l’environnement.

Deux guides de l’ASN ont été diffusés :

–le guide ASN n° 8 du 4 septembre 2012, qui explicite les principes et les modalités d’intervention des organismes et organes d’inspection agréés94 par l’ASN pour l’évaluation de la conformité des équipements sous pression nucléaires et des ensembles en contenant. Il indique des actions du ressort des fabricants et exploitants d’équipements sous pression nucléaires pour la bonne application des dispositions concernant les organismes et organes d’inspection ;

–le guide ASN n° 19 du 21 février 2013, qui, après les premières années d’application de l’« arrêté ESPN » du 12 décembre 2005, présente des modalités d’application permettant d’atteindre les objectifs fixés par cet arrêté, en réponse aux besoins exprimés par les fabricants, les exploitants et les organismes de contrôle.

Par ailleurs, il convient de mentionner que l’Association française pour les règles de conception, de construction et de surveillance en exploitation des matériels des chaudières électronucléaires (AFCEN) a diffusé plusieurs guides professionnels95 pour les équipements sous pression de ces chaudières.

Des précisions complémentaires relatives aux équipements sous pression nucléaires seront présentées au paragraphe 8.6 pour ce qui concerne la conception de tels équipements et en introduction du chapitre 26 pour ce qui concerne leur suivi en service.

L’application des décrets de 1926 et 1943 fut historiquement confiée au Service des mines, représenté sur le territoire par les arrondissements minéralogiques qui pouvaient soit procéder eux-mêmes aux épreuves règlementaires, soit les déléguer à des experts indépendants comme les associations de propriétaires d’appareils à vapeur et électriques (APAVE). En 1974, le directeur de la DITEIM décida de confier l’ensemble des contrôles découlant de l’arrêté de 1974 au chef d’arrondissement minéralogique de Dijon – les composants les plus importants des réacteurs nucléaires étant construits dans la région Bourgogne –, et de créer pour cela un organe dédié, le Bureau de contrôle des chaudières nucléaires (BCCN). Le BCCN deviendra ensuite, avec la création en 2006 de l’ASN, la Direction des équipements sous pression nucléaires (DEP) au sein de l’ASN.

Le champ du contrôle par les entités précitées s’est élargi au cours du temps. À l’origine limité au contrôle de la conception et de la construction du circuit primaire principal des réacteurs à eau sous pression, il s’est ensuite étendu en 1990 au circuit secondaire principal, puis en 1994 au suivi en service de ces deux circuits. L’« arrêté ESPN » a conduit à étendre encore le champ du contrôle, non seulement aux enveloppes des équipements sous pression nucléaires, mais aussi à toutes les parties de ces équipements.

La DEP est notamment chargée :

–d’élaborer la règlementation applicable et sa doctrine d’application par l’ASN,

–de contrôler l’application (par les fabricants, concepteurs, exploitants…) de la règlementation relative à la construction d’équipements sous pression nucléaires, notamment grâce à des inspections chez les fabricants d’équipements (et leurs sous-traitants) et à la vérification de la conformité règlementaire des dossiers de conception et de fabrication des équipements,

–de vérifier la conformité règlementaire des dossiers génériques de maintenance des équipements en exploitation,

–d’appuyer l’action des divisions territoriales de l’ASN lors des arrêts de réacteurs, notamment en ce qui concerne les interventions sur les circuits principaux importants pour la sûreté des centrales nucléaires.

La DEP prononce la conformité des équipements sous pression nucléaires les plus importants (niveau N1 selon l’« arrêté ESPN »). Pour les autres équipements sous pression nucléaires, cette mission relève des organismes habilités ; à ce titre, la DEP examine les demandes d’organismes qui souhaitent effectuer des contrôles règlementaires sur les équipements sous pression nucléaires et se prononce sur leur habilitation, notamment par des audits.

18.De façon générale, pour compléter ce chapitre, le lecteur pourra consulter l’ouvrage « Une longue marche vers l’indépendance et la transparence. L’histoire de l’Autorité de sûreté nucléaire française », P. Saint Raymond, La Documentation française, 2012 ; « Atomes sous surveillance », C. Foasso, P.I.E. Peter Lang, 2012 ; « Comment contrôler la sûreté nucléaire en l’absence de règlementation ? », A.-C. Lacoste, revue Contrôle n° 197, 2014 ; ou encore « La règlementation des INB, une longue marche », P. Saint Raymond, revue Contrôle n° 197, 2014. Certaines informations données dans ce chapitre en sont d’ailleurs directement issues. Peuvent également être cités « Histoire de la sûreté de l’énergie nucléaire civile en France (1945-2000) », thèse de doctorat de C. Foasso, 28 octobre 2003, ainsi que « Les physiciens dans le mouvement antinucléaire : entre science, expertise et politique », S. Topçu, Cahiers d’histoire. Revue d’histoire critique, 102|2007.

19.Qui avait succédé à Frédéric Joliot-Curie.

20.Ces trois termes ou expressions sont ceux qui sont utilisés par C. Foasso dans son ouvrage « Atomes sous surveillance », mentionné au nota 18.

21.Convention sur la responsabilité civile dans le domaine de l’énergie nucléaire (Convention de Paris) du 29 juillet 1960, amendée le 28 janvier 1964 et le 16 novembre 1982.

22.Il est à noter que les installations industrielles classées pour la protection de l’environnement n’étaient soumises qu’à une autorisation du préfet ou à une déclaration auprès de celui-ci.

23.Les comités visent les INB intéressant la défense nationale.

24.Voir le site www.hctisn.fr.

25.Ces membres sont :

1.Deux députés désignés par l’Assemblée nationale et deux sénateurs désignés par le Sénat ;

2.Des représentants des Commissions locales d’information ;

3.Des représentants d’associations de protection de l’environnement et d’associations mentionnées à l’article L.1114-1 du code de la santé publique ;

4.Des représentants des personnes responsables d’activités nucléaires ;

5.Des représentants d’organisations syndicales de salariés représentatives ;

6.Des personnalités choisies en raison de leur compétence scientifique, technique, économique ou sociale, ou en matière d’information et de communication, dont trois désignées par l’Office parlementaire d’évaluation des choix scientifiques et technologiques, une par l’Académie des sciences et une par l’Académie des sciences morales et politiques ;

7.Des représentants de l’Autorité de sûreté nucléaire, des services de l’État concernés et de l’Institut de radioprotection et de sûreté nucléaire.

26.L’exploitant d’une installation nucléaire de base veille à ce qu’une qualité en rapport avec l’importance de leurs fonctions pour la sûreté soit définie, obtenue et maintenue pour les éléments suivants : les structures, équipements et matériels, les ensembles les associant ainsi que les conditions d’exploitation de l’installation. À cette fin, l’exploitant s’assure qu’un système est mis en place pour définir la qualité des éléments précités, pour obtenir et maintenir cette qualité, pour en vérifier l’obtention et le maintien, et pour analyser et corriger les écarts éventuels. Ce système est mis en place dès la phase de conception et s’étend durant toutes les phases ultérieures de l’existence de l’installation nucléaire de base. On reviendra sur ce sujet au paragraphe 7.4.

27.Il s’agit en premier lieu de l’IRSN, sachant que l’ASN a occasionnellement, sur des sujets particuliers, demandé l’avis d’autres organismes, comme l’INERIS.

28.Il s’agit notamment des décisions encadrant les limites de rejets des INB.

29.Les onze divisions territoriales de l’ASN (en 2019) compétentes sur une ou plusieurs régions administratives, exercent leurs activités sous l’autorité de délégués territoriaux désignés par le président de l’ASN. Ces divisions sont associées à onze villes de la France métropolitaine : Bordeaux, Caen, Châlons-en-Champagne, Dijon, Lille, Lyon, Marseille, Nantes, Orléans, Paris et Strasbourg.

30.Il est à noter que, jusqu’en 2006, les Directions régionales de l’industrie, de la recherche et de l’environnement (DRIRE) exerçaient un certain nombre de missions dans le domaine de la sûreté nucléaire et de la radioprotection ; depuis, ces missions relèvent de l’ASN avec ses divisions territoriales. Les DRIRE ont été remplacées par les Directions régionales de l’environnement et du logement (DREAL, DRIEE pour l’Île de France), qui restent en charge notamment du contrôle et de la sécurité des activités industrielles, de l’énergie et de sa maîtrise (hors domaine nucléaire), en particulier des équipements sous pression non nucléaires.

31.La revue Contrôle propose, dans les deux à trois numéros publiés chaque année, trois rubriques : « Analyse », qui traite d’un sujet technique ou d’un point règlementaire, « Retour d’expérience », qui traite d’un sujet technique et « En question », qui aborde un sujet technique ou sociétal.

32.Plutonium, uranium, thorium, deuterium, tritium, lithium 6.

33.Référence 200/SGDSN/PSE/PSN – édition de février 2014.

34.N’y sont pas inscrites les installations ne constituant plus des INB ou déclassées avant le 13 juin 2006.

35.Compte tenu des arrêts, en 2020, des réacteurs n° 1 et n° 2 de la centrale nucléaire de Fessenheim.

36.Dans l’article des Techniques de l’ingénieur BN3810 V1 « Analyse de sûreté des installations nucléaires – Principes et pratiques », du 10 juillet 2017, Daniel Quéniart note qu’il s’agit d’une « expression quelque peu trompeuse dans la mesure où elle évoque une forme d’infaillibilité que l’expérience ne manque pas de démentir régulièrement. »

37.Ce Comité a été mis en place en 2008. Le décret n° 2016-283 du 10 mars 2016 relatif à l’Institut de radioprotection et de sûreté nucléaire l’a officialisé, en précisant sa composition et les modalités de nomination de ses membres.

38.Instauré par l’IRSN, non prévu dans le décret du 10 septembre 2016.

39.Dans le but d’éviter des conflits d’intérêts.

40.Cette instance se compose des membres du Comité de visite et d’experts (externes) retenus en fonction des sujets d’évaluation.

41.Créé par la loi n° 2013-660 du 22 juillet 2013 relative à l’enseignement supérieur et à la recherche, le Haut conseil de l’évaluation de la recherche et de l’enseignement supérieur (HCERES) a remplacé l’Agence d’évaluation de la recherche et de l’enseignement supérieur (AERES).

42.Le lecteur pourra aussi prendre la mesure des coopérations internationales de l’IRSN dans l’ouvrage, « États des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et techniques, IRSN/EDP Sciences, 2017.

43.On peut citer le « Groupe radioécologie Nord-Cotentin » (GRNC), créé en 1997 dans un contexte de controverses à la suite de la publication d’une étude épidémiologique du Professeur Viel sur l’incidence des leucémies dans le canton de Beaumont-La Hague, donc dans l’environnement proche des usines de traitement de combustibles irradiés.

44.Parmi d’autres sujets de sûreté ou de radioprotection impliquant l’IRSN, peuvent être cités :

–l’« Action pilote environnement Loire » (APEL) engagée en 2005 avec les CLI du bassin de la Loire (CLI de Dampierre-en-Burly et de Saint-Laurent-des-Eaux principalement) ayant conduit pour la première fois à l’édition fin 2008 d’un rapport commun à l’IRSN et ces CLI,

–la « Démarche pluraliste qualité de l’air et radon en Bourgogne-Franche-Comté », engagée en 2011 et qui vise à accompagner les habitants de cette région dans la prise en charge de la gestion du risque associé au radon et d’intégrer la gestion de ce risque dans les projets de rénovation énergétique de l’habitat.

45.Impliquant l’ASN, l’IRSN et l’ANCCLI.

46.Ce projet est décrit au paragraphe 30.5.

47.Il convient de mentionner l’existence de groupes similaires aux États-Unis, avec l’Advisory Committee on Reactor Safeguards (ACRS) auprès de la NRC, ainsi qu’en Allemagne avec la Reaktor Sicherheitskommission (RSK).

48.Ces éléments sont en grande partie issus de l’ouvrage de Philippe Saint Raymond cité auparavant, notamment des chapitres 9 et 11 de cet ouvrage.

49.Son premier président a été Louis Néel, prix Nobel de physique.

50.Sa présidente fut Simone Veil, alors ministre en charge de la santé et de la sécurité sociale.

51.La population était déjà associée dans le cadre des enquêtes publiques réalisées à l’occasion de l’instruction des diverses demandes de création ou de démantèlement des installations nucléaires de base.

52.La construction des réacteurs a en effet été mise en œuvre par « tranches » dans le cadre de « contrats programmes » successifs (hormis les premiers réacteurs de Fessenheim et Bugey auxquels ce n’est qu’a posteriori qu’un « contrat programme » désigné par CP0 leur a été attribué). L’expression tranche est ainsi couramment utilisée à la place de réacteur dans l’ingénierie et la sûreté nucléaire.

53.En anticipation de la loi n° 76-629 du 10 juillet 1976 qui a rendu obligatoire une étude d’impact pour ce type de projet.

54.CFDT, « Le dossier électronucléaire », Paris, Le Seuil, 1980.

55.Avec hélas un mort.

56.Établissement de la société Cogéma, intégré ensuite dans Areva-NC, puis récemment Orano Cycle.

57.Cette circulaire précise que « les équipements concernés sont les centrales électriques thermiques, classiques ou nucléaires, d’une puissance supérieure à 1 000 MW, les usines de retraitement des combustibles irradiés, les grands ouvrages hydroélectriques, les stockages souterrains de gaz. »

58.Loi n° 91-1381 du 30 décembre 1991 relative aux recherches sur la gestion des déchets radioactifs.

59.Loi TSN, titre III, chapitre II, article 22, alinéa VII (« Les commissions locales d’information peuvent constituer une fédération, sous la forme d’une association, chargée de les représenter auprès des autorités nationales et européennes et d’apporter une assistance aux commissions pour les questions d’intérêt commun. Les ressources de cette fédération proviennent notamment de subventions versées par l’État et de cotisations des commissions qui en sont membres ». L’ANCCLI est une association, régie par la loi du 1er juillet 1901, qui regroupe 35 CLI et structures équivalentes (33 CLI autour d’INB, le CLIS de Bure et la structure d’échange et d’information pour le centre sur Valduc [SEIVA]).

60.Décret n° 2019-190 du 14 mars 2019 codifiant les dispositions applicables aux installations nucléaires de base, au transport de substances radioactives et à la transparence en matière nucléaire.

61.L’article L.125-17 du code de l’environnement, dans lequel a ensuite été codifiée la loi TSN, stipule qu’« une commission locale d’information est instituée auprès de tout site comprenant une ou plusieurs installations nucléaires de base définies à l’article L.593-2 » et que « cette commission est chargée d’une mission générale de suivi, d’information et de concertation en matière de sûreté nucléaire, de radioprotection et d’impact des activités nucléaires sur les personnes et sur l’environnement pour ce qui concerne les installations du site. Elle assure une large diffusion des résultats de ses travaux sous une forme accessible au plus grand nombre ».

62.Installation classée pour la protection de l’environnement.

63.Le PNGMDR s’inscrit dans le cadre fixé par la loi de programme du 28 juin 2006 relative à la gestion durable des matières et des déchets radioactifs. Il vise principalement à dresser un bilan régulier des modes de gestion des matières et des déchets radioactifs, à recenser les besoins prévisibles d’installations d’entreposage ou de stockage, à préciser les capacités nécessaires pour ces installations et les durées d’entreposage, et à définir les besoins en termes d’études et de recherches.

64.Démarche « Aarhus Convention & Nuclear » (ACN) qui a donné lieu à plusieurs tables rondes au niveau européen et dans plusieurs pays. En France, elle a fait l’objet de trois groupes de travail qui ont abouti à la rédaction d’un rapport avec 13 recommandations. Voir le rapport final français sur le site de l’ANCCLI (https://www.anccli.org/wp-content/uploads/2014/07/Rapport-final-ACN-France-1.pdf).

65.Il peut être noté ici qu’un certain nombre d’entre eux figurent dans le document diffusé par l’AIEA en 2006, intitulé « Principes fondamentaux de sûreté » (Safety Fundamentals No. SF-1). Au plan international, des principes et des recommandations de portée générale en matière de sûreté nucléaire, de radioprotection, de sécurité et de non-prolifération sont formulés dans des documents (appelés normes ou standards) établis par l’Agence internationale de l’énergie atomique (AIEA), créée en 1957. On peut également citer les principes et les recommandations de la Commission internationale de protection contre les rayonnements ionisants (CIPR), créée en 1928 et dont il a été fait état au chapitre 1, ou encore les objectifs de sûreté et les « niveaux de référence » rédigés par l’association des chefs d’autorités de sûreté européennes WENRA créée plus récemment (1999). Ces différentes organisations et leurs missions sont présentées au chapitre 3.

66.Principe affiché notamment dans la Convention sur la sûreté nucléaire. Adoptée en 1994 par les pays membres de l’AIEA, la convention a été approuvée par la France le 13 septembre 1995. Elle est entrée en vigueur le 24 octobre 1996.

67.Dans un délai de dix ans, compte tenu du nombre important de détecteurs concernés.

68.Aussi parfois désigné par référentiel règlementaire.

69.À ces RFS peut être ajoutée la note SIN 3130/84 du 13 juin 1984 relative aux conclusions de l’examen du document intitulé « Règle de conception et de construction des centrales nucléaires PWR (recueil de règles relatives aux procédés – tranches de 900 MWe, RCC-P 900) ».

70.Le décret n° 2016-846 du 28 juin 2016 apporte des amendements notables à celui de 2007 sur les questions de modification des INB, d’arrêt définitif, de démantèlement et de sous-traitance (recours aux prestataires).

71.Modifications matérielles ou modifications des modalités autorisées d’exploitation de l’INB.

72.Le programme d’élaboration des textes règlementaires est disponible sur le site internet de l’ASN à l’adresse suivante : https://www.asn.fr/Reglementer/Tableaux-de-suivi-INB.

73.Ce guide « a été établi sur la base de connaissances établies à la suite des instructions techniques menées pour les réacteurs électronucléaires en exploitation, en construction ou en projet en France. Il tient compte des enseignements tirés de l’examen de dossiers techniques soumis par les industriels à l’ASN, ayant mis en lumière la pertinence de certaines pratiques. Il sera mis à jour régulièrement afin de tenir compte de l’évolution des connaissances, du retour d’expérience […], de recommandations émises par des organismes internationaux ou de nouvelles pratiques ».

74.Relatif à la modification, à l’arrêt définitif et au démantèlement des INB ainsi qu’à la sous-traitance.

75.Sont soumises à (simple) déclaration les modifications qui ne remettent pas en cause de manière significative le rapport de sûreté ou l’étude d’impact de l’installation.

76.Par le décret n° 2016-846 du 28 juin 2016 ; les modifications introduites par ce décret concernent ou prennent en compte :

–l’encadrement du recours à la sous-traitance dans l’exploitation des INB,

–la réforme du cadre applicable au démantèlement des INB,

–la mise en place d’un contrôle plus proportionné aux enjeux des modifications notables des INB.

Ces modifications apportent les précisions règlementaires nécessaires pour prendre en compte la loi TECV.

77.Il peut être mentionné que des dossiers d’options de sûreté ont aussi été soumis à l’autorité de sûreté pour le projet de réacteur Jules Horowitz, pour le projet d’installation de fusion nucléaire ITER, deux installations en cours de construction à Cadarache, ainsi que pour la piscine d’entreposage centralisé qu’EDF prévoit de construire d’ici 2030 pour accueillir les combustibles usés.

78.Hormis ceux qui sont « exclus » (voir les chapitres 6 et 17).

79.Il est à noter que l’ASN peut autoriser l’arrivée du combustible dans le périmètre de l’INB, à l’exclusion du chargement du combustible dans le réacteur, par une décision autorisant une mise en service dite partielle.

80.Le lecteur pourra consulter la monographie du CEA intitulée « L’assainissement-démantèlement des installations nucléaires », Éditions du Moniteur, 2018.

81.Les mesures mises en œuvre à l’extérieur du site de l’INB accidentée pour la protection des personnes du public et de l’environnement sont de la responsabilité du préfet du département concerné et font l’objet du plan particulier d’intervention (PPI) cohérent avec le PUI de l’exploitant (voir le chapitre 38 consacré à la gestion des situations d’urgence).

82.Le terme « référentiel » est largement utilisé dans le domaine de la sûreté nucléaire. Il désigne des textes ou des documents considérés, notamment par les exploitants et les organismes de sûreté, comme des références en matière de sûreté, auxquels l’exploitant est tenu de se soumettre (référentiel règlementaire) ou qu’il propose et qui, après accord des organismes de sûreté, l’engagent.

83.À titre d’exemple, Areva a été condamnée, en octobre 2010, à une amende pour non-respect de l’obligation règlementaire de déclaration d’incident sans délai ; cet incident était une fuite d’uranium, survenue le 8 juillet 2008 dans l’usine Socatri, sur le site Areva du Tricastin. De même, pour un incident survenu en octobre 2009 à l’atelier de technologie du plutonium (ATPu) du centre de Cadarache (sous-évaluation de la rétention de plutonium), le CEA a été condamné à une amende en mars 2012.

84.Le n° 186 (février 2010) de la revue Contrôle de l’ASN (article de Sébastien Limousin notamment) ainsi que le chapitre 6 de l’ouvrage « Une longue marche vers l’indépendance et la transparence. L’histoire de l’Autorité de sûreté nucléaire française » de P. Saint Raymond, La Documentation française, 2012, ont servi de principales sources d’informations pour ce focus.

85.Modifié ensuite par des décrets parus en 1928, 1929, 1961 et 1967.

86.Modifié ensuite par des décrets parus en 1948, 1961, 1967, 1977.

87.Outre quelques limitations dans le choix des matériaux et la nécessité d’équiper les « chaudières » d’au moins deux soupapes de sûreté.

88.Pour les UNGG, les deux décrets de 1926 et 1943 sont apparus inadaptés aux caissons de confinement en béton précontraint, car établis pour des capacités métalliques.

89.Ces différences peuvent notamment être illustrées par la pratique, aux États-Unis, de l’apposition d’un « poinçon ASME » (N-Stamp) sur les équipements – qui n’est pas du ressort de l’U.S.NRC –, alors qu’en France, c’est le poinçon dit « tête de cheval » qui a longtemps marqué l’acceptation, par les services de l’État, de la « conformité » des équipements à la règlementation. En 2019, l’« arrêté ESPN » ne prévoit plus de poinçon à tête de cheval comme par le passé (voir l’évolution du point II de l’article 6).

90.La difficulté rencontrée pour les UNGG a conduit à la parution de l’arrêté du 15 juin 1970 concernant les caissons de réacteurs électronucléaires en béton précontraint.

91.L’arrêté de 2018 modifie ainsi l’« arrêté ESPN » et l’arrêté du 10 novembre 1999.

92.L’arrêté du 3 septembre 2018 a introduit de nouvelles exigences en lien avec le retour d’expérience de dossiers récents. On pourra surtout noter les deux nouvelles exigences suivantes : la réalisation d’essais dans des laboratoires accrédités et la conservation de la matière. La première vient à la suite d’essais mal réalisés dans certains laboratoires de fabricants et de la reconnaissance d’un risque de fraude ; la deuxième vient en réponse à la difficulté rencontrée pour certains dossiers de justifications qui ont dû être fondés sur des pièces « représentatives » plutôt que par de la matière conservée issue de la fabrication de la pièce en service.

93.Codification qui a fait l’objet du décret n° 2016-1925 du 28 décembre 2016 relatif au suivi en service des appareils à pression.

94.Dans le décret n° 2015-799 du 1er juillet 2015, l’appellation retenue est celle d’organismes habilités.

95.Diffusés sous l’appellation PTAN. C’est aussi l’AFCEN qui diffuse les codes de type RCC, dont le RCC-M (conception, fabrication) et le RSE-M (suivi en exploitation) pour les matériels mécaniques.

Annexe 1. Règles fondamentales de sûreté

(Les RFS formellement abrogées ou remplacées par de nouveaux textes
au 18 juillet 2018 sont en italiques ; elles sont indiquées pour mémoire)

Règles fondamentales de sûreté relatives
aux réacteurs à eau sous pression

I-2-aPrise en compte des risques liés aux chutes d’avion (5 août 1980)

I-2-bPrise en compte des risques d’émission de projectiles par suite de l’éclatement des groupes turboalternateurs (5 août 1980)

I-2-cDétermination des mouvements sismiques à prendre en compte pour la sûreté des installations (1 octobre 1981) remplacée par la RFS-2001-01

I-2-dPrise en compte des risques liés à l’environnement industriel et aux voies de communication (7 mai 1982)

I-2-ePrise en compte du risque d’inondation d’origine externe (12 avril 1984) remplacée par le guide ASN n° 13

I-3-aUtilisation du critère de défaillance unique dans les analyses de sûreté (5 août 1980)

I-3-bInstrumentation sismique (8 juin 1984)

I-3-cÉtudes géologiques et géotechniques du site ; détermination des caractéristiques des sols et études du comportement des terrains (1er août 1985)

II-2-2-aConception du système d’aspersion de l’enceinte, révision 1 (31 décembre 1985)

II.4.1.aLogiciels des systèmes électriques classés de sûreté (15 mai 2000)

IV-1-aClassement des matériels mécaniques, systèmes électriques, structures et ouvrages de génie civil (21 décembre 1984)

IV-2-aExigences à prendre en compte dans la conception des matériels mécaniques classés de sûreté, véhiculant ou contenant un fluide sous pression et classés de niveau 2 et 3 (21 décembre 1984)

IV-2-bExigences à prendre en compte dans la conception, la qualification, la mise en œuvre et l’exploitation des matériels électriques appartenant aux systèmes électriques classés de sûreté (31 juillet 1985)

V-1-aDétermination de l’activité relâchée hors du combustible à prendre en compte dans les études de sûreté relatives aux accidents (18 janvier 1982)

V-1-bMoyens de mesures météorologiques (10 juin 1982)

V-2-bRègles générales applicables à la réalisation des ouvrages de génie civil (conditions d’utilisation du RCC-G, édition de janvier 1981) (30 juillet 1981)

V-2-cRègles générales applicables à la réalisation des matériels mécaniques (conditions d’utilisation du RCC-M, révision de juillet 1984), révision 1 (12 septembre 1986).

V-2-dRègles générales applicables à la réalisation des matériels électriques (conditions d’utilisation du RCC-E, révision de juin 1984), révision 1 (23 septembre 1986)

V-2-eRègles générales applicables à la réalisation des assemblages combustibles (conditions d’utilisation du RCC-C, édition de septembre 1989), révision 2 (14 décembre 1990)

V-2-fRègles générales relatives à la protection contre l’incendie (conditions d’utilisation du RCC-I, révision de mai 1982) (28 décembre 1982)

V-2-gCalculs sismiques des ouvrages de génie civil (31 décembre 1985) remplacée par le guide ASN/2/01 [2006]

V-2-hRègles générales applicables à la réalisation des ouvrages de génie civil (conditions d’utilisation du RCC-G, édition d’octobre 1985) (4 juin 1986).

V-2-jRègles générales relatives à la protection contre l’incendie (conditions d’utilisation du RCC-I, révision d’octobre 1987) (21 novembre 1988)

2001-01Détermination du risque sismique pour la sûreté des INB de surface (31 mai 2001)

2002-1Développement et utilisation des études probabilistes de sûreté (26 décembre 2002)

Annexe 2. Principaux textes règlementaires et pararèglementaires applicables aux réacteurs à eau sous pression
(hors équipements sous pression)

(situation en décembre 2019)

–loi TSN du 13 juin 2006 (codifiée dans le code de l’environnement)

–Loi de programme du 28 juin 2006 relative à la gestion durable des matières et déchets radioactifs (codifiée dans le code de l’environnement)

–Décret n° 2007-830 du 11 mai 2007 (« nomenclature INB »)

–Décret n° 2007-1557 du 2 novembre 2007 modifié (« procédures INB »)

–Arrêté du 7 février 2012 modifié (« règles générales relatives aux INB »)

–Décision ASN n° 2008-DC-0106 du 11 juillet 2008 (« systèmes d’autorisations internes »)

–Décision ASN n° 2012-DC-0236 du 3 mai 2012 (« pièces de rechange des CPP et CSP »)

–Décision ASN n° 2013-DC-0360 du 16 juillet 2013 relative à la maîtrise des nuisances et de l’impact sur la santé et l’environnement des installations nucléaires de base (modifiée par la décision n° 2016-DC-0569 mentionnée plus loin)

–Décision ASN n° 2014-DC-0417 du 28 janvier 2014 (« maîtrise du risque d’incendie »)

–Décision ASN n° 2014-DC-0420 du 13 février 2014 (« modifications matérielles des INB »)

–Décision ASN n° 2014-DC-0444 du 15 juillet 2014 (« arrêts et redémarrages des REP »)

–Décision ASN n° 2014-DC-0462 du 7 octobre 2014 (« criticité »)

–Décision ASN n° 2015-DC-0508 du 21 avril 2015 (relative à l’étude sur la gestion des déchets et au bilan des déchets produits dans les INB)

–Décision ASN n° 2015-DC-0523 du 29 septembre 2015 (classification des INB au regard des risques et inconvénients qu’elles présentent pour les intérêts mentionnés à l’article L.593-1 du code de l’environnement)

–Décision ASN n °2015-DC-0532 du 17 novembre 2015 (« rapport de sûreté »)

–Décision ASN n° 2016-DC-0569 du 29 septembre 2016 (relative à la maîtrise des nuisances et de l’impact sur la santé et l’environnement des INB)

–Décision ASN n° 2017-DC-588 du 6 avril 2017 (modalités de prélèvement et de consommation d’eau, de rejet d’effluents et de surveillance de l’environnement des réacteurs électronucléaires à eau sous pression)

–Décision ASN n° 2017-DC-592 du 13 juin 2017 (obligations des exploitants d’INB en matière de préparation et de gestion des situations d’urgence et de contenu du plan d’urgence interne)

–Décision ASN n° 2017-DC-0616 du 30 novembre 2017 (relative aux modifications notables des INB)

–Guide ASN 2/01 du 26 mai 2006 (« risque sismique à la conception des ouvrages de génie civil d’installations nucléaires de base »)

–Guide ASN n° 3 (« rédaction des rapports annuels d’information du public »)

–Guide ASN n° 6 (« mise à l’arrêt et démantèlement des INB »)

–Guide ASN n° 9 (« détermination du périmètre d’une INB »)

–Guide ASN n° 11 (« déclaration et codification des critères des événements significatifs »)

–Guide ASN n° 13 (« risques d’inondation »)

–Guide ASN n° 14 (« méthodes d’assainissement acceptables dans les INB »)

–Guide ASN n° 15 (« maîtrise des activités au voisinage des INB »)

–Guide ASN n° 21 (« traitement des écarts de conformité à une exigence définie pour un élément important pour la protection [EIP] des REP »)

–Guide ASN n° 22 (« conception des réacteurs à eau sous pression »)

–Guide ASN n° 23 (« établissement et modification du plan de zonage déchets »)

–Guide ASN n° 24 (« gestion des sols pollués par les activités d’une INB »)

–Guide ASN n° 34 (« exigences règlementaires applicables aux opérations de transport interne »)

Annexe 3. Procédures applicables aux INB.

Chapitre 3

La dimension internationale –
La dimension sociétale

3.1.La dimension internationale

3.1.1.Introduction

Il ne saurait être question ici de développer tous les volets de la sûreté nucléaire (et de la radioprotection) au plan international. Ce chapitre ne présente que quelques aspects marquants, préférentiellement en rapport avec la sûreté des réacteurs de puissance. Pour ce qui concerne les aspects internationaux en matière de sécurité – au sens de la protection contre les actes de malveillance – et de non-prolifération, le lecteur pourra se reporter à l’ouvrage de l’IRSN consacré à ces sujets96.

Toutefois, avant de développer ces quelques aspects marquants, un rappel historique apparaît nécessaire.

Les premiers programmes de recherche et de développement nucléaires ont été menés dans différents pays de manière autarcique, couplant éventuellement la recherche d’une production d’électricité d’origine nucléaire à des développements tournés vers des applications militaires. La confidentialité était alors de règle pour des raisons stratégiques, politiques et commerciales.

L’Agence internationale de l’énergie atomique (AIEA) a été créée en 1957 par l’Organisation des nations unies, avec pour objectif premier de promouvoir l’utilisation de l’énergie nucléaire à des fins pacifiques et d’assister les « États membres » dans ce domaine en veillant à ce que cette assistance ne soit pas détournée à des fins militaires. C’est dans le contexte d’une pression des États-Unis qui poussaient à imposer ses règlements et ses pratiques, et donc son industrie électronucléaire, que de longues discussions présidèrent à la définition de la structure organisationnelle de l’AIEA pour apporter des garanties de développements équilibrés. Cela ne réduisit en rien l’apport majeur des États-Unis, pour les pays qui prenaient la décision de construire des réacteurs électronucléaires, dans le traitement technique d’un certain nombre de questions de sûreté nucléaire, comme il sera vu à plusieurs reprises dans la suite du présent ouvrage.

Pour ce qui concerne la sûreté, l’AIEA a commencé en 1974 à développer un ensemble de documents appelés normes – désignés aussi par le terme anglais standards – en matière de conception et d’exploitation de centrales nucléaires à neutrons thermiques. Elle a progressivement mis en place pour cela toute une structure organisationnelle à laquelle vont participer des représentants des concepteurs, des exploitants et des organismes de sûreté.

Début 2019, l’AIEA comptait 171 États membres.

En 1958 a par ailleurs été créée l’Agence pour l’énergie nucléaire (AEN), au sein de l’Organisation de coopération et de développement économiques (OCDE)97, dans le but d’aider les « pays membres » de l’OCDE à maintenir et à approfondir les bases scientifiques, technologiques et juridiques indispensables à une utilisation sûre, pacifique et respectueuse de l’environnement de l’énergie nucléaire. Au sein de l’AEN, a notamment été constitué un Committee on the Safety of Nuclear Installations (CSNI) pour traiter d’aspects relatifs à l’expertise et à la recherche en matière de sûreté.

Comme cela sera vu au chapitre 32, l’accident qui a affecté en 1979 le réacteur n° 2 de la centrale de Three Mile Island a, entre autres, entraîné un élargissement considérable de la réflexion sur l’analyse des incidents et montré tout l’intérêt de rechercher, parmi ces incidents, des précurseurs d’accidents plus graves. À la suite de cet accident, l’AEN a décidé de mettre en place un système de collecte, d’analyse et de diffusion d’informations entre ses membres sur les incidents particulièrement significatifs affectant leurs installations nucléaires. Ce système a, depuis, été étendu dans le cadre de l’AIEA à l’ensemble des pays nucléarisés du monde qui souhaitent y participer.

Par ailleurs, des échanges plus détaillés en matière de sûreté se sont développés progressivement entre les pays, soit dans le cadre de relations bilatérales, soit dans un cadre plus large.

C’est ainsi que, dès 1972, la France a établi des relations avec les organismes de sûreté allemands, certaines centrales nucléaires de chacun des deux pays se trouvant à une faible distance de la frontière avec l’autre pays.

Des relations bilatérales ou multilatérales se sont aussi développées pour mener des études et des recherches dans le domaine de la sûreté ; celles qui concernent plus particulièrement les réacteurs à eau sous pression sont notamment présentées dans un ouvrage dédié de l’IRSN98.

À partir du milieu des années 1980, l’AIEA a commencé à élargir ses activités en matière de sûreté nucléaire en proposant, notamment aux pays en voie de développement nucléaire, des services plus proches des installations, avec la constitution, « à la demande », d’équipes internationales allant, à l’invitation d’un État membre, examiner directement comment la sûreté est effectivement assurée en exploitation sur le site retenu par cet État. Il s’est agi d’abord des services OSART (Operational Safety Review Team99) qui s’intéressent à l’ensemble des composantes de la sûreté en exploitation d’une installation, puis des services ASSET (Assessment of Safety Significant Event Team100), tournés vers l’analyse d’incidents. D’autres services ont été développés ensuite, qui seront évoqués plus loin. Ces services ne constituent pas des inspections ; ils sont l’occasion de discussions avec des pairs qui permettent de mettre en exergue des pratiques satisfaisantes et des recommandations d’améliorations. Les rapports sont envoyés aux pays concernés, qui peuvent rendre publics ces rapports.

La catastrophe de Tchernobyl en 1986 a conduit à de vives interrogations sur la sûreté des installations nucléaires des pays de l’ancienne Union soviétique. Les évolutions politiques de ces pays ont permis, dans les années 1990, des visites d’installations qui ont conduit à mieux cerner les forces et les faiblesses de ces installations, puis à la mise en place de programmes d’aide et de transfert de méthodes ou de technologies venant des pays occidentaux.

À la suite de la conférence internationale « Sûreté de l’énergie nucléaire – Stratégie pour le futur » tenue en 1991 à l’AIEA à Vienne (Autriche), une Convention internationale a été mise au point et adoptée au mois de juin 1994. Cette Convention ne pouvait entrer en vigueur qu’après avoir été ratifiée par un nombre fixé d’États membres. Près de 80 États ont signé cette Convention ; elle est d’application effective en France depuis sa ratification par le Parlement, le 26 juin 1995. Le mécanisme de cette Convention vise à faire en sorte que les différents États membres de l’AIEA assument bien leurs responsabilités en matière de sûreté. La surveillance est assurée par une Conférence des Parties (à la Convention) qui se réunit régulièrement pour examiner les rapports fournis par les différents États dans le cadre de cette Convention ; la disposition contraignante de la Convention est que chaque pays explicite comment il applique les articles de cette Convention.

À partir de la fin des années 1990, la collaboration entre pays a connu un nouvel essor dans un cadre européen (parfois élargi), entre autorités de sûreté (ENSREG101, WENRA), et entre organismes techniques de sûreté (Technical Safety Organizations – TSO) avec le forum EUROSAFE et le réseau ETSON (ces différentes entités seront développées plus loin).

Bien sûr, ces développements internationaux ne réduisent en rien, au contraire, les responsabilités des exploitants et des organismes de sûreté nationaux.

Les activités de l’association d’exploitants WANO, créée après l’accident de Tchernobyl et qui rassemble les exploitants de réacteurs de puissance du monde, seront succinctement présentées plus loin. En revanche, ne seront pas abordées les activités de l’INPO (Institute of Nuclear Power Operations102) et de groupements plus larges de producteurs et distributeurs d’électricité tels que UNIPEDE103 ou EURELECTRIC. Ces organisations se préoccupent, bien sûr, de la disponibilité des installations et de production mais aussi, très largement, de sûreté, et assurent des fonctions d’assistance mutuelle entre exploitants.

3.1.2.Normes de l’AIEA

Pour promouvoir l’utilisation dans de bonnes conditions de sûreté de l’énergie nucléaire à des fins pacifiques, l’AIEA a entrepris à partir de 1974 la rédaction de toute une série de documents de sûreté pour ses besoins de coopération technique et pour servir de référence à l’échelle mondiale.

Le statut juridique de l’AIEA ne lui permet pas d’imposer l’application de ces textes (sauf en contrepartie de son assistance). Ce serait d’ailleurs contraire à la responsabilité première des États, principe fondamental en matière de sûreté.

Les documents publiés par l’AIEA s’articulent selon une structure qui a évolué au cours du temps. La structure actuelle, présentée ci-après (voir la figure 3.1), est pyramidale.

Figure 3.1. Architecture des normes de sûreté de l’AIEA (Safety Standards Series). IRSN (source AIEA).

Le texte « chapeau »104 présente les fondements de la sûreté (Safety Fundamentals) sous la forme d’un objectif général et de principes de protection et de sûreté qui constituent la base des prescriptions de sûreté (Safety Requirements). Celles-ci, au second niveau de la pyramide, visent la protection des personnes et de l’environnement. Les Safety Fundamentals et les Safety Requirements traduisent un consensus international. Au bas de la pyramide, les guides de sûreté formulent des recommandations, ou préconisations, et des orientations. Prescriptions et guides (voir la figure 3.2) peuvent être de portée générale – série des General Safety Requirements/Guides –, ou spécifiques à certaines installations – série des Specific Safety Requirements/Guides.

Figure 3.2. Présentation synthétique des fondements, des prescriptions et des guides de l’AIEA. AIEA.

Les différences de conception des installations développées par les divers constructeurs mondiaux n’ont pas simplifié la rédaction de ces documents. Il était en effet important que les textes publiés sous les auspices d’une organisation internationale ne soient pas, de fait, la simple description de solutions adoptées pour un type spécifique d’installation ou dans un pays particulier. Une telle déviation aurait à l’évidence faussé le jeu industriel et commercial. Les textes visent à traduire un consensus international et non à établir un catalogue de pratiques possibles105.

La France s’est, comme d’autres pays, largement impliquée pour que les démarches de sûreté qu’elle avait adoptées et développées soient pleinement reconnues.

Les modalités d’élaboration et d’approbation ont évolué au cours du temps, pour aboutir au processus actuel suivant : les projets de textes, élaborés par des groupes de travail restreints, font l’objet d’un contrôle interne de qualité et d’un examen par les Comités des normes de sûreté de l’AIEA avant leur transmission pour une consultation officielle des États membres (uniquement pour les Safety Fundamentals et les Safety Requirements) et leur approbation par le Conseil des gouverneurs de l’AIEA106. Ainsi, quatre Comités passent en revue les différents projets de textes de l’AIEA et les remarques faites par les États membres ; il s’agit :

–du Nuclear Safety Standards Committee (NUSSC) pour la sûreté des installations,

–du Radiation Safety Standards Committee (RASSC) pour la radioprotection,

–du Transport Safety Standards Committee (TRANSSC) pour les transports,

–du Waste Safety Standards Committee (WASSC) pour les déchets.

Ces Comités sont notamment composés de représentants de haut niveau des autorités règlementaires, mais aussi d’autres organisations à titre d’observateurs.

Les projets de textes sont ensuite transmis à la commission sur les normes de sûreté (Commission on Safety Standards [CSS]) avant approbation par le Conseil des gouverneurs.

Le corpus des normes de l’AIEA s’enrichit progressivement tandis que les anciens textes font l’objet de mises à jour.

Il faut signaler par ailleurs une série de textes également publiés par l’AIEA mais rédigés dans un cadre différent. À la suite de l’accident de Tchernobyl, le directeur général de l’Agence a mis en place, auprès de lui, un groupe d’experts consultatif de haut niveau, l’INSAG (International Nuclear Safety Group), groupe consultatif international en matière de sûreté nucléaire) qui comporte environ 15 membres provenant d’entités variées (industriels – constructeurs ou exploitants –, autorités, organismes techniques) et publie des documents de préconisations qu’il élabore sur des sujets pouvant être suggérés par l’AIEA, sous sa seule responsabilité (les experts de l’INSAG ne représentent pas les pays dont ils sont originaires).

À la fin de janvier 2019, l’INSAG a publié 27 rapports ; les plus largement connus sont les rapports INSAG-12 « Principes fondamentaux de sûreté pour les centrales nucléaires » (qui constitue une évolution de l’INSAG-3), l’INSAG-10 « Défense en profondeur » et l’INSAG-4 « Culture de sûreté » complété par l’INSAG-13 qui en développe la partie concernant les organisations et par l’INSAG-15 qui va plus loin sur les dispositions pratiques de nature à renforcer la culture de sûreté.

L’INSAG, qui ne traitait au début que de sûreté, a vu son domaine d’activités étendu à la radioprotection et à d’autres sujets (INSAG 9 : « Expositions potentielles en sûreté nucléaire », INSAG 11 : « Management sûr des sources de radiations : principes et stratégies », INSAG 25 : « Un cadre pour un processus intégré de décision tenant compte des risques », etc.).

Nous nous appuierons largement sur l’INSAG-10 au chapitre 6 pour présenter la défense en profondeur, ainsi que sur l’INSAG-7 au chapitre 34 pour l’analyse de l’accident de Tchernobyl.

3.1.3.L’International Reporting System for Operating Experience (IRS)

Comme cela a été indiqué plus haut, dès 1980, à la suite de l’accident de Three Mile Island, l’AEN a mis en place un système de collecte et de diffusion d’informations sur les incidents survenant dans les réacteurs nucléaires de puissance de ses pays membres et susceptibles d’intéresser différents pays membres, l’Incident Reporting System (IRS). Les 33 pays de l’OCDE/AEN (situation en 2019) couvrent en effet environ 85 % de la puissance installée d’origine nucléaire dans le monde. En 1995, la responsabilité de la gestion du système a été transférée à l’AIEA et le système a été ouvert à tous les pays signataires de la Convention sur la sûreté nucléaire. Plus tard, en 2009, afin de refléter l’évolution du système vers une utilisation élargie, l’IRS est devenu l’International Reporting System for Operating Experience.

Il ne saurait être question pour la France de transmettre à l’AIEA et à l’OCDE/AEN les informations relatives à l’ensemble des événements déclarés à l’Autorité de sûreté nucléaire, ni de recevoir et examiner l’équivalent pouvant provenir des autres pays. Ce serait noyer tout le monde sous une masse d’informations dont beaucoup sont de faible importance du point de vue de la sûreté. Chaque pays désigne un coordonnateur national pour le système IRS, qui sélectionne les incidents qu’il juge suffisamment intéressants pour que les enseignements à en tirer puissent être profitables à d’autres pays. En France, cette mission est confiée à l’IRSN.

Fin janvier 2019, la base de données de l’IRS comportait 4 332 rapports ; 421 d’entre eux ont été transmis par la France, 1 433 par les États-Unis, 363 par le Japon, 216 par le Canada, 133 par l’Allemagne. La base contenait de plus 171 documents émis par l’ex-Union soviétique ainsi que 200 documents de la Fédération de Russie.

Des réunions périodiques des coordonnateurs nationaux supervisent l’évolution du système, la qualité des informations transmises et les améliorations techniques des systèmes informatiques utilisés en support. Elles permettent également de mettre en lumière les enseignements tirés par chaque pays des difficultés rencontrées par d’autres pays.

À titre d’exemples, un traitement des problèmes suivants a été développé pour les réacteurs du parc électronucléaire français grâce aux informations acquises via l’IRS :

–insuffisance de capacité fonctionnelle de vannes motorisées,

–risques de bouchage des filtres des puisards,

–risques de corrosion et de fuite des tuyauteries d’injection de sécurité,

–risques de fissuration des « barrières thermiques »107 des pompes primaires.

L’AEN peut de son côté mettre en place des groupes de travail réunissant des spécialistes des pays membres pour effectuer des études sur des problèmes d’intérêt général, sur la base de séries de rapports d’incidents associés à la base IRS commune AIEA-AEN, tant sous les aspects techniques qu’organisationnels et humains. Plusieurs études ont ainsi été effectuées, par exemple sur les incidents survenant lors des arrêts de tranche pour rechargement de combustible et maintenance. Plus récemment, à la suite de l’accident survenu à la centrale de Fukushima Daiichi, l’AEN a effectué une revue d’un certain nombre d’incidents ou d’accidents considérés comme des « précurseurs » de possibles accidents de fusion du cœur108.

Il est à noter qu’il existe deux autres bases de données internationales gérées par l’AIEA, respectivement pour les incidents affectant les réacteurs de recherche (IRSRR – Incident Reporting System for Research Reactors) et les installations du cycle du combustible (FINAS – Fuel Incident Notification and Analysis System).

Les bases de données IRS, IRSRR et FINAS ne sont accessibles qu’aux États membres qui les alimentent. L’alimentation de ces bases n’est pas nécessairement faite de façon homogène par les différents États membres.

Un rapport commun de l’AIEA et de l’AEN de 2006109 souligne que le partage du retour d’expérience nécessite des efforts et une vigilance permanente : « Presque la totalité des événements déclarés pendant cette période [2002-2005] étaient déjà survenus sous une forme ou une autre. Ceci montre que malgré les mécanismes d’échange existants, mis en place aussi bien sur le plan national qu’international, les mesures correctives, qui sont généralement bien connues, peuvent ne pas atteindre tous les utilisateurs finaux, ou ne sont pas toujours appliquées de façon rigoureuse ou à temps. »

3.1.4.Les services développés par l’AIEA

Parmi les nombreux services développés par l’AIEA, deux types de revues de sûreté menées sur la base des normes de l’AIEA sont développées ci-après ; il s’agit :

–des revues dites Operational Safety Review Teams (OSART), qui constituent des audits sur la sûreté en exploitation d’installations ou d’activités nucléaires,

–des revues dites Integrated Regulatory Review Service (IRRS), qui concernent les systèmes règlementaires de contrôle des activités nucléaires (sûreté et radioprotection).

Ces revues de sûreté sont réalisées spécifiquement à la demande de l’État membre concerné et menées par des équipes internationales constituées à chaque fois pour les besoins de la mission correspondante.

3.1.4.1.Les revues OSART

Le principe des revues OSART a été retenu en 1982.

Une équipe de revue OSART comprend habituellement 10 à 15 personnes expérimentées. Les deux tiers d’entre elles sont des consultants extérieurs, cadres de centrales nucléaires ou d’organismes de sûreté, certains pouvant avoir déjà participé à une mission de ce type ; les autres sont des agents permanents de l’AIEA. Quelques observateurs de pays en développement nucléaire sont associés à ces missions. Par principe, il n’y a pas, dans l’équipe, d’expert du pays visité.

Les consultants extérieurs retenus, qui varient d’une mission à l’autre, sont choisis en fonction de leurs connaissances (type de réacteur ou spécialité technique) et de leur expérience. Les personnels de l’agence qui participent à ces missions ont une expérience professionnelle similaire. Ils assurent la cohérence des objectifs, des critères et des résultats des missions.

Le chef de l’équipe est un agent de l’AIEA. Il est responsable de la coordination générale, de la formation initiale des membres de l’équipe à la méthode utilisée et de l’orientation d’ensemble ainsi que des liaisons extérieures avec les médias.

Une équipe de revue OSART passe, en général, trois semaines dans une installation.

Le programme d’investigations est généralement subdivisé en plusieurs domaines, explorés en parallèle :

–gestion, organisation, administration de l’installation,

–formation, qualification et habilitation des personnels,

–conduite et exploitation de l’installation,

–entretien des matériels,

–retour d’expérience, essais périodiques, gestion et manutention du combustible,

–radioprotection,

–chimie,

–préparation aux situations d’urgence,

–gestion des accidents avec fusion du combustible.

Les échanges techniques entre les membres de l’équipe d’une revue OSART et leurs homologues de la centrale visitée permettent, non seulement de mettre en évidence, le cas échéant, certaines difficultés, mais aussi de faire des comparaisons avec les pratiques de sûreté d’autres pays. Cette approche contribue à la diffusion de l’expérience et à la réflexion en matière de sûreté. De bonnes pratiques peuvent aussi être soulignées.

Le rapport écrit par l’équipe de revue en conclusion d’une mission OSART est transmis au pays concerné, dont l’organisation permettra d’en tirer les enseignements appropriés (exploitant, autorité de contrôle). Il est généralement rendu public par celui-ci.

Une visite de suivi peut être organisée un ou deux ans plus tard pour apprécier la manière dont les recommandations de la mission ont été prises en compte.

Les revues OSART ont démarré en 1983. À la fin 2018, 204 missions ont été réalisées (concernant 36 pays et 116 centrales nucléaires), auxquelles il convient d’ajouter 141 visites de suivi.

La France a accueilli en 1985 la première mission de revue OSART réalisée pour une centrale d’un pays nucléairement développé (il s’agissait du réacteur n° 1 de la centrale du Tricastin). Six experts français faisaient partie de l’équipe (cela avait été exigé par la France pour cette expérience prototype). Une autre revue OSART a eu lieu en 1988 à la centrale nucléaire de Saint-Alban – Saint-Maurice.

Électricité de France a rapidement réalisé l’impact très positif de ces revues, du fait non seulement des résultats des revues proprement dites et de l’apport d’un regard extérieur sur les pratiques françaises mais aussi du considérable effet de mobilisation de l’ensemble des personnels pendant toute la phase de préparation, période particulièrement propice à un approfondissement des questions de sûreté au sein de l’exploitant.

L’autorité de sûreté nucléaire française a dès l’origine fortement œuvré au développement de ces revues, marquant ainsi sa volonté d’ouverture du système national de contrôle de la sûreté nucléaire.

La France a alors décidé d’accueillir de l’ordre d’une mission de revue OSART chaque année, dans l’une des centrales du parc électronucléaire. Ainsi, de 1985 à fin 2017, 30 revues OSART (et 24 visites de suivi) ont été réalisées sur le parc électronucléaire (à fin 2014, 26 revues OSART avaient été réalisées en France, 8 aux États-Unis et 5 au Japon). Les principales conclusions des revues OSART sont généralement accessibles sur le site internet de l’AIEA110.

Les conclusions globales des missions réalisées sur le parc électronucléaire français ont toujours été favorables, mais le plus souvent assorties de quelques interrogations, remarques ou suggestions.

Dans les premiers temps (années 1980), l’une des interrogations fréquentes des équipes de revue était liée à la structure relativement centralisée d’Électricité de France et au partage des responsabilités et des moyens entre les centres nucléaires de production d’électricité (CNPE) et les services centraux. Cette interrogation s’explique en partie par le fait qu’il n’existe pas, au monde, d’autre exploitant disposant d’un parc électronucléaire de même ampleur. Les experts des revues OSART ont donc souvent été surpris par le fonctionnement d’Électricité de France dès lors qu’ils ne visitaient qu’un seul réacteur.

Des suggestions d’améliorations ont concerné, par exemple :

–la communication entre l’encadrement et les agents de conduite et de maintenance, ainsi que la présence de la hiérarchie sur le terrain,

–les programmes de maintien des connaissances et les procédures d’évaluation des formations,

–l’implication des sites dans le retour d’expérience,

–l’analyse des causes profondes des événements significatifs (cela apparaît encore dans les conclusions de revues OSART réalisées après 2011),

–le suivi des activités de maintenance et de leurs résultats,

–le suivi des modifications temporaires.

Des ingénieurs français, le plus souvent d’Électricité de France ou de l’IRSN, ont par ailleurs participé comme experts à des revues OSART dans d’autres pays, ce qui, là encore, accroît la diffusion de l’expérience et la réflexion sur les problèmes de sûreté.

Des revues dites Pre-Operational Safety Review Team (Pre-OSART) peuvent aussi être menées dans les phases de construction et d’autorisation d’une installation nucléaire.

3.1.4.2.Les revues IRRS

Une revue IRRS (correspondant à ce qui s’appelait précédemment International Regulatory Review Team – IRRT) vise à évaluer, à la demande d’un État membre, son système de contrôle du nucléaire à l’aune des normes de l’AIEA. Ces revues visent à accroître l’efficacité des systèmes de contrôle en favorisant le partage d’expérience entre autorités et la promotion de bonnes pratiques.

À la demande de la France, une équipe d’auditeurs internationaux composée de 24 experts coordonnée par l’AIEA s’est rendue en 2006 à l’ASN, notamment, afin de mener la première revue complète IRRS en France. Le but de cette mission était :

–d’une part d’examiner, selon le principe d’une revue par les pairs, les dispositifs nationaux de contrôle de la sûreté nucléaire et de la radioprotection au regard des normes diffusées par l’AIEA ;

–d’autre part de partager des connaissances et de confronter les expériences entre les auditeurs et l’ensemble des acteurs français impliqués dans la gouvernance des risques nucléaires et radiologiques et les auditeurs.

Les auditeurs ont, entre autres, examiné les pratiques en matière de règlementation, de contrôle et d’information du public. Ils ont rencontré les équipes de l’ASN, y compris de ses divisions territoriales, et les équipes de l’IRSN, et évalué, en suivant notamment une dizaine d’inspections, les contrôles réalisés par l’ASN sur le terrain.

En 2014, une seconde mission IRRS s’est déroulée en France111, avec les mêmes objectifs, selon les nouvelles modalités mises en œuvre par l’AIEA (auto-évaluation fondée sur un questionnaire élaboré par l’Agence) et sur un champ technique plus large que celui qui a été examiné en 2006 (expositions médicales, radioprotection des travailleurs, protection de l’environnement, interfaces sûreté-sécurité).

Chacune de ces revues IRRS a fait l’objet d’une mission de suivi, respectivement en 2006 et 2017112.

3.1.4.3.Autres services et cadres d’études mis en place par l’AIEA

L’AIEA a mis en place d’autres services et cadres d’études que ceux qui ont été développés ci-dessus.

Parmi ceux-ci, un service associé aux revues OSART concerne la culture de sûreté et son évaluation : il est dénommé ISCA (Independent Safety Culture Assessment)113. Le rapport INSAG-4 relatif à la culture de sûreté a servi de base à l’élaboration d’un guide détaillé (IAEA-TECDOC114-743), diffusé en 1994, destiné à l’évaluation de l’imprégnation de la culture de sûreté et des attitudes correspondantes dans les différentes organisations concernées. Compte tenu du caractère délicat du sujet, ce service s’est d’abord orienté vers la mise en place de formations par l’Agence sur l’utilisation du guide présenté et sur l’auto-évaluation de la culture de sûreté.

Un autre service dénommé SALTO (Safety Aspects of Long Term Operation) a été développé à partir de 2005. L’objectif de ce service est une assistance aux États membres pour le traitement de questions soulevées par une exploitation de « longue durée » d’une installation nucléaire, par exemple dans le cas d’une extension de la durée de fonctionnement d’un réacteur. Un certain nombre d’aspects sont abordés lors des missions correspondantes :

–les aspects managériaux,

–les documents de sûreté de référence,

–la maîtrise du vieillissement (ageing management) des structures, systèmes et composants (structures de génie civil, structures métalliques, composants mécaniques, équipements de contrôle-commande…),

–le management des connaissances et des ressources humaines.

Dans le cadre de la prolongation de la durée de fonctionnement jusqu’en 2025 du réacteur à eau sous pression n° 1 de la centrale nucléaire de Tihange en Belgique (réacteur mis en service en 1975), une mission SALTO a été effectuée au mois de décembre 2015. Une telle mission a également été réalisée, depuis, pour les réacteurs Doel 1 et 2 en février 2017115.

Enfin, l’AIEA a proposé dans le passé116 un service dénommé ASSET (Assessment of Safety Significant Event Team) d’évaluation d’un événement significatif pour la sûreté ; il s’agissait de fournir une aide à l’analyse approfondie d’événements et incidents significatifs pour la sûreté survenant dans les centrales électronucléaires. L’accent était tout particulièrement mis sur la recherche des causes profondes des incidents, qu’ils relèvent de défaillances d’équipements, de procédures ou du personnel. Ainsi ont pu être mises en évidence des questions concernant l’exhaustivité et la représentativité des essais périodiques, la validation et la mise à jour des documents de conduite et de maintenance, la formation des personnels de conduite ou de maintenance ou encore le management. L’accent était également mis sur l’adéquation et la célérité des mesures correctives prises et sur la diffusion des enseignements correspondants.

La première mission ASSET a eu lieu en 1986 et de nombreuses missions ont eu lieu dans les pays d’Europe de l’Est.

En France, une équipe de ce type a été accueillie à Gravelines 1 en 1990 à la suite d’une anomalie de maintenance survenue en 1989 dans ce réacteur117 ; une autre a été accueillie en 1992 à la centrale nucléaire de Fessenheim pour examiner l’efficacité du retour d’expérience après une dizaine d’années d’exploitation ; une troisième a été accueillie à la centrale nucléaire de Paluel en 1993 à la suite d’un incident ayant conduit à des difficultés de diagnostic puis de déclaration118.

Les experts des équipes ASSET étaient moins nombreux que pour les revues OSART et la visite ne durait que deux semaines ; leur composition était établie d’une manière semblable à celle des équipes de revue OSART.

Les conclusions globales des missions ASSET qui ont été menées en France étaient globalement favorables, avec néanmoins quelques remarques et suggestions qui rejoignaient, en général, celles qui étaient faites lors des revues OSART. En particulier, on peut noter les suggestions suivantes :

–la définition d’une politique pour maintenir à long terme les efforts de promotion d’une attitude interrogative des équipes et des individus,

–une plus grande implication de l’encadrement des sites dans la définition des priorités des modifications,

–un réexamen des programmes de formation visant à développer les connaissances des personnels sur la conception des installations et le lien avec la conduite,

–une plus grande assistance aux personnels peu expérimentés, avec un meilleur suivi des compétences de chacun,

–un besoin de traitement accru des causes profondes des incidents,

–le développement de moyens sur les sites de façon à traiter plus rapidement certaines difficultés récurrentes.

À partir de 2000, un nouveau service, PROSPER (Peer Review of Operational Safety Performance Experience Review119), a été mis en place, élargissant la portée des ASSET – ce type de revue est désormais mené dans le cadre des missions OSART.

En matière d’études et de recherches, l’AIEA a également mis en place différents cadres, parmi lesquels on peut citer les projets de recherche coordonnés (Coordinated Research Projects [CRP]) ou encore les travaux menés sur des problèmes standards faisant l’objet d’une collaboration internationale (International Collaborative Standard Problems [ICSP], en anglais). Ces travaux conduisent à l’élaboration de documents techniques dénommés Safety Reports, Technical Documents (TECDOCs). Des TECDOCs ont ainsi été établis sur l’évaluation des systèmes dits passifs120, les approches pour la maîtrise du vieillissement des équipements, la comparaison d’évaluations par le calcul du comportement sismique de réacteurs de puissance, l’évaluation de codes dits avancés de thermohydraulique…

3.1.5.L’association WANO121

Créée en 1989 à la suite à l’accident de la centrale nucléaire de Tchernobyl, WANO (World Association of Nuclear Operators) est l’association industrielle internationale exclusivement dédiée à la sûreté nucléaire. WANO rassemble les exploitants de réacteurs de puissance du monde ; elle est aussi ouverte aux exploitants d’usines de retraitement de combustibles usés.

Son objectif est de faire progresser la sûreté par les échanges et l’appui mutuel entre exploitants : revues effectuées par des pairs (peer reviews), partage du retour d’expérience, dissémination des bonnes pratiques, formation, missions de soutien.

Les revues par des pairs forment la colonne vertébrale de l’action de WANO : chaque centrale doit s’y prêter tous les quatre ans. Pour chaque revue, environ 25 professionnels de l’exploitation passent près de trois semaines sur le site afin d’y apprécier la qualité et la rigueur d’exploitation, la tenue des installations, la culture de sûreté, le management opérationnel, dans les domaines fondamentaux de la sûreté. Les équipes de revue sont internationales.

À partir d’observations de terrain, du recueil de faits et d’interviews, la revue identifie les écarts aux standards et aux meilleures pratiques ainsi que les forces et faiblesses du site ; elle formule des recommandations (areas for improvement). Une évaluation d’ensemble du site est enfin prononcée et communiquée à la direction générale de la compagnie. À la suite d’une revue, l’exploitant établit un plan d’actions et le transmet à WANO ; ses effets concrets sont vérifiés deux ans après par une revue de suivi. Le plan d’actions est appuyé par des missions d’assistance technique de WANO. Les centrales qui présentent des faiblesses en matière de sûreté font l’objet d’un soutien et d’un suivi particuliers, avec un rapport régulier au conseil des gouverneurs de l’association WANO.

Chaque exploitant déclare à WANO les incidents qui peuvent intéresser la communauté. Ils sont accessibles à tous les membres, grâce à une base de données et un site intranet sécurisés. Les plus importants d’entre eux ou des sujets qui s’en dégagent font l’objet de rapports et de recommandations spécifiques de l’association, dont la mise en œuvre est appréciée lors des revues de pairs.

Le personnel de WANO compte environ 450 permanents, pour l’essentiel détachés par les exploitants pendant quelques années. Les revues de pairs, les missions techniques et les séminaires sont réalisés par les personnes détachées avec le renfort de personnes non détachées des membres de l’association, qui interviennent pour l’occasion. À côté d’un siège à Londres, WANO est organisée en quatre régions opérationnelles : Atlanta, Paris, Moscou, Tokyo.

WANO s’est significativement renforcée après l’accident de la centrale nucléaire de Fukushima Daiichi : triplement des effectifs, accélération de la fréquence des revues de pairs, élargissement de leur périmètre (préparation à la maîtrise d’accidents graves, gestion de crise, certains éléments touchant la conception des installations), observation d’équipes de conduite en situation accidentelle sur simulateur, mise en place de revues des directions générales (corporate peer reviews), accroissement de la coordination générale et de l’homogénéité entre régions, création d’un nouveau centre à Shanghai qui deviendra la deuxième région opérationnelle de WANO en Asie.

WANO est une organisation internationale assez unique par son niveau de transparence entre compagnies d’électricité pouvant être concurrentes, et par la capacité à se dire les choses sans complaisance. Cette ouverture s’est développée grâce à une garantie de confidentialité et à la conviction des membres qu’une responsabilité collective de se stimuler et de progresser ensemble s’ajoute à la responsabilité individuelle de chaque exploitant. Par sa présence sur le terrain, son influence morale et l’engagement des compagnies exploitantes au plus haut niveau, WANO est en quelque sorte devenue une forme de « régulateur interne » ou de « conseil de l’ordre » des exploitants nucléaires.

3.1.6.L’AEN

Comme cela a été indiqué plus haut, l’AEN a pour mission d’aider les pays membres de l’OCDE qui adhèrent à l’AEN à maintenir et à approfondir les bases scientifiques, technologiques et juridiques indispensables à une utilisation sûre, respectueuse de l’environnement et économique, de l’énergie nucléaire à des fins pacifiques. Elle fournit des documents de référence et dégage des convergences de vues sur des questions importantes, qui peuvent servir aux gouvernements à définir leurs politiques nucléaires, et contribue aux études plus générales réalisées par l’OCDE concernant des aspects tels que l’énergie et le développement durable.

Les domaines d’action de l’AEN comprennent la sûreté nucléaire, la gestion des déchets radioactifs, la radioprotection, les sciences nucléaires, les aspects économiques et technologiques du cycle du combustible, le droit et la responsabilité nucléaires ainsi que l’information du public.

L’AEN a mis en place des comités techniques permanents, principalement composés de spécialistes et de techniciens des pays membres. Ces comités font l’originalité et la force de l’AEN, car ils lui apportent la souplesse nécessaire pour traiter de nouvelles questions et parvenir à des consensus. Ces comités techniques permanents sont au nombre de sept :

–le Committee on the Safety of Nuclear Installations (CSNI) : sa mission est d’aider les pays membres à maintenir et à développer les connaissances scientifiques et techniques nécessaires pour évaluer la sûreté des réacteurs nucléaires et des installations du cycle du combustible ; il est composé de scientifiques et d’ingénieurs ayant des responsabilités importantes dans les domaines des technologies et des recherches en matière de sûreté (notamment des experts de l’IRSN), ainsi que des représentants d’autorités de sûreté ;

–le Committee on Nuclear Regulatory Activities (CNRA) : il est composé de représentants des autorités de sûreté nucléaire ; sa mission est d’animer le programme de l’AEN concernant la règlementation, les processus d’autorisation (licensing) et les inspections des installations nucléaires pour ce qui concerne la sûreté, le retour d’expérience – l’implication de l’AEN dans l’analyse d’incidents, activité dévolue au Working Group on Operating Experience (WGOE), a été évoquée plus haut ;

–le Radioactive Waste Management Committee (RWMC) : sa mission est d’aider à la coopération internationale dans les domaines de la gestion des matières et déchets radioactifs provenant des installations, incluant le démantèlement des installations et la gestion des déchets à long terme ;

–le Committee on Radiological Protection and Public Health (CRPPH) : le CRPPH est composé de représentants des autorités de radioprotection et d’experts en radioprotection ; sa mission est de recenser les questions nouvelles soulevées dans ce domaine, d’analyser leurs possibles implications et de recommander ou d’entreprendre des actions pour traiter ces questions et faire progresser la règlementation et la mise en œuvre de la radioprotection ;

–le Nuclear Science Committee (NSC) : sa mission est d’aider les pays membres à identifier, recueillir, développer et diffuser les connaissances scientifiques et techniques nécessaires pour assurer une exploitation sûre, fiable et économique des installations nucléaires existantes et développer des systèmes nucléaires dits de nouvelle génération ;

–le Committee for Technical and Economic Studies on Nuclear Energy Development and the Fuel Cycle (ou Nuclear Development Committee – NDC) : sa mission est de fournir aux gouvernements des pays membres des informations fiables sur les technologies, les aspects économiques, les stratégies (par exemple les différentes stratégies en matière de « cycle du combustible »122) et les ressources dans le domaine de l’énergie nucléaire, contribuant ainsi aux analyses et aux décisions politiques, ainsi que sur le rôle futur de l’énergie nucléaire dans une perspective de développement durable et dans les contextes nationaux et internationaux des politiques énergétiques ;

–le Nuclear Law Committee (NLC) : sa mission est d’aider à développer les régimes légaux nationaux et internationaux nécessaires aux applications pacifiques de l’énergie nucléaire, en y incluant le commerce international des matières et des équipements nucléaires, de traiter les questions de responsabilité et de dommages d’origine nucléaire et de constituer un centre pour l’information et l’éducation sur les lois dans le domaine nucléaire.

La sûreté nucléaire constitue l’essentiel des activités du CSNI et une partie de celles du NSC ; elles couvrent les domaines techniques suivants : neutronique, criticité, thermohydraulique, comportement du combustible en réacteur, physique des accidents (y compris avec fusion du cœur), comportement des produits issus de la fission de l’uranium 235 contenu dans le combustible, « agressions »123 externes, facteurs organisationnels et humains, analyses de risque. Elles consistent en l’échange de connaissances techniques et permettent la production de rapports d’états de l’art (State-Of-the-Art Reports), de comparaisons entre méthodes d’analyse ou entre logiciels de simulation (benchmarks), ainsi que de positions consensuelles ou d’identifications partagées de besoins de recherche et de développement.

Par ailleurs, l’AEN gère une base de données, qui constitue un centre international de référence pour les pays membres, pour ce qui concerne les outils de base dans le domaine de l’énergie nucléaire, tels que les logiciels de simulation et les données nucléaires ; ce centre fournit des services directs à ses utilisateurs en développant, améliorant et validant ces outils et en les rendant disponibles sur demande.

Enfin, l’AEN offre à ses pays membres un cadre pour le financement et la réalisation de grands programmes de recherche internationaux. Il faut rappeler que l’AEN a été créée en 1958 pour faciliter la mise en œuvre de tels programmes et ses premières réalisations furent des projets de grande ampleur : Halden (à partir de 1958124), Dragon (1959-1976) et Eurochemic (1959-1975). Depuis 1980, plus de 50 projets communs ont été organisés par l’AEN (près d’une vingtaine sont en cours125) dans le domaine de la sûreté nucléaire, concernant notamment la thermohydraulique diphasique, le comportement du combustible en situation accidentelle, les accidents avec fusion du cœur ou les incendies.

3.1.7.Organisations en matière de radioprotection et de santé

Il a été vu plus haut que la radioprotection et les effets sur la santé des rayonnements ionisants font partie des préoccupations et des domaines d’activité aussi bien de l’AIEA que de l’AEN. Mais deux autres organisations internationales de premier plan doivent être citées : la CIPR (International Commission on Radiological Protection – ICRP) et l’UNSCEAR (United Nations Scientific Committee on the Effects of Atomic Radiation).

La CIPR a été présentée au chapitre 1 ; il a été vu, d’une part que son origine (1928126) est bien antérieure à la création de l’AIEA et de l’AEN, d’autre part qu’elle exerce un rôle central dans l’établissement des grands principes de la radioprotection (depuis les années 2000, la CIPR a étendu le domaine de ses recommandations à la radioprotection de l’environnement [plantes et animaux]). Des français, parmi lesquels figurent des experts de l’IRSN, sont présents dans chacun des cinq comités de la CIPR qui traitent respectivement des effets des rayonnements ionisants, de la dosimétrie, du domaine médical, des applications des principes de radioprotection et de la protection de l’environnement, ainsi que dans sa commission principale, l’organe de décision. Le directeur du Centre d’étude sur l’évaluation de la protection dans le domaine nucléaire (CEPN)127 est membre de la commission principale.

L’UNSCEAR a été créé en 1955 par l’Assemblée générale des Nations Unies. Ce comité est mandaté pour rassembler, analyser et synthétiser les données recueillies de par le monde concernant les niveaux d’exposition et les effets des rayonnements ionisants. Ses synthèses constituent une base scientifique permettant d’évaluer les risques liés aux rayonnements ionisants et de définir des mesures de protection. L’UNSCEAR a en particulier travaillé sur les conséquences de l’accident survenu en 1986 à la centrale de Tchernobyl ; il sera fait référence à un certain nombre de ses publications au chapitre 34 relatif à cet accident. Dans le même esprit, l’UNSCEAR a publié en 2013 un rapport sur l’accident survenu en 2011 à la centrale de Fukushima Daiichi128.

Les activités importantes de ces deux organismes ne seront pas plus développées compte tenu du sujet du présent ouvrage qui est orienté sur la sûreté nucléaire.

3.1.8.De la collaboration bilatérale franco-allemande
à des structures européennes d’échanges,
de capitalisation de connaissances et de pratiques,
de formation et de prestations en matière d’expertise

La collaboration franco-allemande a constitué, dès les années 1970, la base du développement progressif, au niveau européen, de structures de partage d’expérience, de travaux communs et d’harmonisation de pratiques en matière d’expertise de sûreté.

Les relations entre les organismes de sûreté allemands et français ont débuté en 1972, c’est-à-dire peu après la décision de construction de la centrale nucléaire de Fessenheim sur la rive française du Rhin. Elles se sont ensuite intensifiées129.

En 1976, un groupe de travail mixte a mené une comparaison entre Fessenheim 1 et Neckarwestheim 1 dont les conclusions ont été publiées en 1977, avant la mise en exploitation de Neckarwestheim 1 et peu après le démarrage de Fessenheim 1. Ces conclusions expriment bien la nouveauté, et pour l’époque la difficulté de ce type d’exercice : « Les travaux ont montré qu’il est difficile de réaliser une comparaison de sûreté détaillée, point par point, dans tous les domaines, quand les systèmes eux-mêmes ou leurs bases de conception sont différents. Dans les deux pays, les objectifs pour garantir un haut degré de sûreté des centrales nucléaires sont généralement semblables. La sûreté d’une centrale nucléaire est assurée par une multitude de mesures dans le domaine de la technique et dans le domaine de l’organisation sans oublier la garantie de la qualité de la réalisation et le contrôle. En conclusion, on peut dire que les exigences techniques de sûreté pour les deux installations sont comparables, mais que les méthodes établies pour aborder les problèmes sont parfois différentes. Les moyens mis en œuvre pour atteindre des objectifs semblables peuvent légitimement varier tout en étant également valables. »

Un rapport aux conclusions semblables, relatif aux tranches des centrales nucléaires de Cattenom et de Philippsburg, de puissances plus élevées, a été diffusé en 1982.

Dans le cadre de telles comparaisons ont été examinées, par exemple, la manière d’assurer la meilleure fiabilité des fonctions de sûreté par des niveaux de redondance élevés ou des diversifications fonctionnelles, ou les hypothèses détaillées utilisées en France et en Allemagne pour le calcul des conséquences radiologiques des accidents étudiés dans les rapports de sûreté.

Cette coopération franco-allemande s’est pérennisée avec la création de la DFK (Deutsche-Französische Kommission)130 pour les questions de sûreté des installations nucléaires et, en 1990, de la DFD (Deutsche-Französischer Direktionausschuss)131, dotant cette coopération d’un cadre institutionnel national.

Puis les pays nucléaires occidentaux se sont progressivement mobilisés pour améliorer la sûreté des centrales des pays d’Europe de l’Est (voir la figure 3.3), individuellement et au travers d’actions et de financements internationaux.

Figure 3.3. Les centrales nucléaires dans l’ex-URSS et les pays de l’Est au milieu des années 1990. Georges Goué/IRSN.

Les premières expertises communes ont été menées sur des projets de réacteurs en Allemagne de l’Est (centrale nucléaire de Greifswald, déjà équipée de quatre réacteurs de type VVER de 440 MWe de la série 230, avec quatre réacteurs supplémentaires en projet de la série plus récente 213, et centrale nucléaire de Stendal qui devait comporter quatre réacteurs de type VVER de 1 000 MWe), projets que l’Allemagne réunifiée a, en définitive, décidé d’arrêter.

Il s’est agi, ensuite, d’aider la Bulgarie, à la suite d’une mission de l’AIEA qui avait mis en évidence l’état peu satisfaisant de l’exploitation de la centrale nucléaire de Kozlodouy – constituée notamment de quatre réacteurs de type VVER de 440 MWe de première génération (série 230) –, pour examiner les questions de sûreté soulevées par cette centrale, le gouvernement bulgare estimant que la poursuite du fonctionnement des réacteurs était indispensable à la survie économique et sociale du pays et le concepteur russe que cette poursuite du fonctionnement était possible.

L’IPSN s’est largement investi dans cette aide avec la GRS132, dans le cadre du groupement européen d’intérêt économique RISKAUDIT IRSN/GRS International133, groupement à but non lucratif créé en 1992, tandis qu’Électricité de France aidait l’exploitant dans le cadre de l’association WANO avec, de plus, un jumelage entre les centrales nucléaires de Kozloduy (Bulgarie) et du Bugey (France). S’il a été reconnu que les réacteurs VVER de 440 MWe bénéficiaient d’aspects de sûreté favorables (grande inertie thermique due aux importantes quantités d’eau primaire et secondaire, faible puissance linéique du combustible et possibilité d’isoler manuellement les boucles primaires en cas de rupture de tubes de générateur de vapeur…), les experts ont identifiés plusieurs sujets de préoccupation, parmi lesquels :

–un risque de rupture brutale des cuves par fragilisation du matériau des soudures sous irradiation, particulièrement pour certains réacteurs VVER 440 de la série 230. Cela était dû à des taux d’impuretés (cuivre et phosphore en particulier) dans ce matériau nettement plus élevés que dans le cas des réacteurs à eau sous pression occidentaux. Des recuits, déjà réalisés, étaient encore nécessaires pour « effacer » les défauts créés par l’irradiation dans les matériaux des soudures ;

–une conception des tranches VVER 440 de la série 230 marquée par une défense en profondeur « limitée » dès lors que les brèches postulées à la conception étaient de faible ampleur, que le confinement était de capacité réduite… ;

–l’absence de prise en compte du risque sismique à la conception ;

–l’absence de qualification d’équipements aux conditions accidentelles.

L’assistance exercée par RISKAUDIT s’est ensuite fortement accrue et élargie. RISKAUDIT propose aujourd’hui des services dans le cadre de projets internationaux financés par la Commission européenne, la BERD134 ou la BEI135, ainsi que dans le cadre de contrats bilatéraux allant bien au-delà des seuls pays d’Europe de l’Est. Ces services, qui concernent aussi bien les réacteurs nucléaires que les installations du cycle du combustible, le démantèlement et les déchets nucléaires, sont principalement fournis par les maisons mères, l’IRSN136 et la GRS, avec le concours d’autorités de sûreté ou de TSO européens. Les types d’activités de RISKAUDIT peuvent être résumés ainsi :

–une assistance technique dans les processus d’instruction et d’autorisation de mise en œuvre de dispositions visant à améliorer la sûreté de réacteurs de puissance ou d’autres installations nucléaires ; cette assistance fonctionne (dans le cadre des programmes européens TACIS et INSC) en mode dit 2 + 2 : d’un côté l’autorité de sûreté locale et ses appuis techniques, de l’autre une autorité de sûreté européenne et l’appui technique de RISKAUDIT ;

–une assistance en matière de règlementation, d’organisation d’une autorité de sûreté, de préparation à la gestion de situations de crise ;

–des transferts de connaissances et de savoir-faire (par exemple l’utilisation de logiciels de simulation pour l’analyse de sûreté), ou le partage de méthodes, avec pour objectif le renforcement des capacités des organismes de sûreté locaux et le développement de leur culture de sûreté ;

–la réalisation d’évaluations de sûreté conformes aux pratiques internationales reconnues, par des équipes multinationales ;

–une contribution à l’harmonisation des pratiques et des approches ;

–la constitution et la pérennisation d’un centre indépendant d’expertise qualifié.

Parmi les nombreux programmes de travail menés par RISKAUDIT depuis 1992, peuvent être notamment cités :

–pour ceux qui sont financés par la Commission européenne :

•TACIS (Technical Assistance to the Commonwealth of Independent States and Georgia137 – 1992-2006),

•PHARE138 (1989-2006),

•INSC (Instrument for Nuclear Safety Cooperation139 – 2007-2013 puis 2013-2020).

Dans le cadre de ces programmes, hormis les travaux destinés à améliorer la sûreté des réacteurs de puissance, une part importante des activités de RISKAUDIT est consacrée à l’évaluation de la sûreté des entreposages de déchets dits historiques, notamment sur le site de la centrale de Tchernobyl et dans la zone d’exclusion environnante, à l’évaluation de la sûreté des installations nouvelles destinées à la reprise, au traitement, au conditionnement, à l’entreposage et au stockage final des déchets ainsi qu’au support à la rédaction de documents règlementaires ;

–pour ceux qui sont financés par la BERD :

•l’assistance au démantèlement des quatre réacteurs VVER de 440 MWe de la série 230 de la centrale nucléaire de Kozloduy en Bulgarie, définitivement arrêtés entre 2002 et 2006,

•l’assistance à l’évaluation de la sûreté du nouvel atelier d’entreposage à sec des combustibles irradiés de la centrale de Tchernobyl en Ukraine,

•l’assistance au démantèlement du réacteur endommagé de Tchernobyl (sarcophage, unités de traitement des déchets).

Les principaux bénéficiaires de l’assistance de RISKAUDIT ont été la Russie et l’Ukraine et, dans une moindre mesure, la Bulgarie, la Lituanie et l’Arménie.

Progressivement, dans le cadre des programmes européens INSC, l’assistance de RISKAUDIT s’est transformée en coopération avec les autorités de sûreté et les organismes d’expertise de différents pays, notamment ceux auxquels il avait antérieurement apporté une assistance (l’Ukraine par exemple). En outre, l’INSC a élargi son champ d’activités aux pays du bassin méditerranéen, aux pays d’extrême orient et d’Amérique…

RISKAUDIT a mené et mène également des travaux dans le cadre d’accords bilatéraux :

–avec l’autorité de sûreté lithuanienne VATESI : démantèlement des réacteurs RBMK de 1 500 MWe d’Ignalina (ces réacteurs ont été arrêtés respectivement en 2004 et 2009), associé à la réalisation d’un certain nombre d’ateliers destinés au traitement et à l’entreposage des déchets et à l’entreposage à sec des combustibles usés ;

–avec l’autorité de sûreté bulgare BNRA : il s’est agi de l’analyse, en 2006, du rapport préliminaire de sûreté de deux réacteurs russes VVER de 1 000 MWe, dont la construction était prévue sur le site de Béléné situé au nord de la Bulgarie – ce projet de réacteurs a été abandonné en 2013 ;

–avec le Centre commun de recherche (JRC) à Petten pour des analyses de retour d’expérience.

Les années 1990 ont aussi été largement marquées par le travail conjoint140 franco-allemand qui a conduit, après sept années de discussions, aux « directives techniques pour la prochaine génération de réacteurs nucléaires à eau sous pression » et qui ont servi de base à la conception du réacteur EPR. Cela sera plus amplement développé au chapitre 18.

Depuis 1999, trois organismes techniques de sûreté – apportant notamment chacun son appui à l’autorité de sûreté nationale –, l’IRSN pour la France, la GRS pour l’Allemagne et Bel V (anciennement AVN) pour la Belgique se sont impliqués dans l’initiative EUROSAFE, concrétisée notamment par des forums d’échanges, visant le partage et la convergence des pratiques en matière de sûreté, de radioprotection et plus largement de sécurité.

Toutefois, la volonté de travailler de manière plus engageante a conduit en 2006 à la création du réseau européen ETSON (European Technical Safety Organisations Network), qui regroupe des membres européens (en 2019 : IRSN, GRS, Bel V, ainsi que VTT [Finlande], MTA EK [Hongrie], ENEA [Italie], LEI [Lituanie], CVŘež [UJV] [République tchèque], VUJE [Slovaquie], JSI [Slovénie], PSI [Suisse], RATEN ICN [Roumanie], Wood [UK]), auxquels s’ajoutent trois membres associés ne faisant pas partie de l’Union européenne : SSTC NRS (Ukraine), SEC NRS (Russie), NRA (Japon).

L’adhésion à ETSON se fait sur invitation des membres ; elle est limitée à des organisations qui effectuent des évaluations de sûreté en appui à leurs autorités de sûreté ou jouent ce rôle, avec une vision règlementaire globale, une activité régulière et de large portée. L’adhésion est ouverte aux organisations de l’Union européenne et de l’Association européenne de libre-échange (par exemple, la Suisse et la Norvège) à condition qu’ils remplissent les conditions requises ; la composition est définie par les partenaires d’ETSON et précisée dans ses statuts. D’autres organisations ne faisant pas partie de la zone géographique mentionnée ci-dessus peuvent demander à agir en tant que membres associés.

L’objectif d’ETSON est de promouvoir des échanges en matière d’évaluation de sûreté, de méthodes et de recherches dans le domaine de la sûreté nucléaire et de la sécurité. Dans une perspective d’harmonisation, les membres d’ETSON établissent des guides d’expertise, disponibles sur le site internet www.etson.eu ; ils comportent :

–un document général, le Safety Assessment Guide (SAG), qui définit dans les grandes lignes la méthode employée en Europe pour les évaluations de sûreté ; il présente les différentes conditions nécessaires141 pour l’évaluation de la sûreté nucléaire par rapport aux objectifs et aux exigences applicables ainsi que les éléments techniques indispensables pour mener une évaluation ;

–une série de guides techniques, les Technical Safety Assessment Guides (TSAG), concernant différents sujets d’intérêt en matière d’expertise. Ont notamment été publiés des guides concernant :

•l’analyse des événements et des précurseurs d’un accident grave,

•l’analyse déterministe des accidents avec fusion du cœur,

•les facteurs organisationnels et humains dans la conception et les modifications des installations nucléaires,

•les études des transitoires thermohydrauliques associés aux conditions de fonctionnement de dimensionnement142.

La préparation de ces guides techniques se fait dans le cadre de groupes de travail dont les participants doivent avoir une bonne connaissance des méthodes d’évaluation de la sûreté nucléaire mises en œuvre dans leurs pays. Il s’agit, au travers de ces guides, de promouvoir et de diffuser les meilleures pratiques pour l’évaluation de la sûreté nucléaire au niveau européen. Chaque membre d’ETSON pourra ainsi utiliser des méthodes harmonisées au niveau européen, les décliner dans ses analyses de sûreté, puis partager le retour d’expérience.

Le réseau ETSON a en outre établi en 2011 un document qui présente sa position143 sur les sujets de sûreté à prendre en compte dans les programmes de recherche futurs pour les réacteurs de puissance actuels et de nouvelle génération144, avec les priorités associées. Ces sujets ont été pris en considération dans les agendas européens de recherche définis par l’association NUGENIA145 créée en 2011, à la suite des réflexions et des travaux menés dans le cadre de la plateforme SNETP146.

Enfin, les TSO européens ont mis en place des formations dans le cadre d’un institut dédié, l’ENSTTI (European Nuclear Safety Training and Tutoring Institute147), créé en 2010. Ces formations ont vocation à promouvoir le savoir-faire européen en matière de sûreté et de son évaluation.

3.1.9.Les associations d’autorités de sûreté

En 1999, une association regroupant les chefs des autorités de sûreté européennes de l’Ouest a été créée : la Western European Nuclear Regulators Association (WENRA) ; André-Claude Lacoste, alors Directeur de la sûreté des installations nucléaires, en fut l’initiateur et en assura la première présidence. Cette association a eu pour buts initiaux de :

–fournir une capacité d’examen du niveau de sûreté nucléaire atteint dans les pays candidats à l’entrée dans l’Union européenne. Les premiers travaux de WENRA ont ainsi abouti dès 2000 à une évaluation de l’organisation du contrôle de la sûreté nucléaire dans ces pays (Bulgarie, République Tchèque, Hongrie, Lituanie, Roumanie, Slovaquie et Slovénie), complétée par une évaluation de la sûreté de leurs réacteurs électrogènes ;

–développer une approche commune de la sûreté nucléaire.

Composée de dix membres à sa création, WENRA en compte désormais148 18, ainsi que 13 observateurs (malgré le maintien du nom, nombre de ces pays ne sont pas d’Europe de l’Ouest). Au-delà du développement d’approches harmonisées, WENRA peut faire valoir son opinion sur des aspects règlementaires ou autres relevant de la sûreté.

Plusieurs groupes de travail, auxquels participent généralement des représentants d’organismes ayant des missions d’appui technique, dont l’IRSN, ont permis l’établissement de documents de référence, tenant compte des normes de l’AIEA et des meilleures pratiques dans les pays concernés.

Pour ce qui concerne les réacteurs de puissance, WENRA a notamment établi des « niveaux de référence » pour les réacteurs en fonctionnement149, ainsi que des objectifs de sûreté pour les réacteurs du futur. Les « niveaux de référence » comportent des aspects règlementaires et des aspects techniques. L’engagement des membres de WENRA était d’introduire les éléments des « niveaux de référence » dans leurs règlementations, avec comme cible 2017, et de veiller à leur application. Cela a entraîné le développement de textes en France (on peut notamment citer le guide ASN n° 22 évoqué au chapitre 2).

Au mois de juillet 2007, un groupe européen a été créé par une décision de la Commission européenne : c’est l’European Nuclear Safety Regulators Group – ENSREG). Il comporte notamment des représentants des autorités de sûreté de l’ensemble de l’Union européenne150, ainsi que des représentants de la Commission européenne. La Suisse, la Norvège et l’AIEA y ont également un poste d’observateur. Ce groupe, dont la mission est de conseiller la Commission européenne, vise de façon très générale à parvenir à une compréhension commune des sujets de sûreté et à établir les conditions d’amélioration continue de cette sûreté, d’autre part à améliorer la transparence.

L’ENSREG conseille et assiste la Commission européenne soit à la demande de celle-ci soit de sa propre initiative. Il est tenu de consulter les parties prenantes et le public intéressé, de manière ouverte et transparente. Il doit soumettre à la Commission européenne des rapports d’activité réguliers, comprenant au besoin des recommandations, à transmettre au Parlement européen et au Conseil.

Sur la base d’orientations définies par le Conseil de l’Union européenne, l’ENSREG a engagé une réflexion sur la sûreté, la gestion des déchets radioactifs et du combustible usé et la transparence dans le secteur nucléaire au plan européen. Ces travaux ont contribué à l’adoption de la directive sur la sûreté nucléaire 2009/71/EURATOM du 25 juin 2009, établissant un cadre communautaire pour la sûreté nucléaire des installations nucléaires, modifiée par la directive 2014/87/UE du 8 juillet 2014 – directives qui ont été évoquées au chapitre 2.

Ce qui précède montre le rôle croissant de la Commission européenne, qui n’avait initialement que peu de pouvoir en matière d’expertise mais des moyens financiers pour des travaux de recherche et développement (au travers des PCRD).

3.2.La dimension sociétale

3.2.1.Introduction – Contexte français

L’implication croissante de la société civile en France sur les questions touchant notamment la sûreté des activités et des installations nucléaires est développée dans le paragraphe 2.3 du présent ouvrage ; différentes étapes marquantes y sont indiquées, de la structuration de groupements associatifs à la reconnaissance par les pouvoirs publics de l’importance de la société civile, jusqu’à l’implication de celle-ci et ses initiatives concrètes notamment dans le cadre des Commissions locale d’information (CLI) ou de l’Association nationale des comités et commissions locales d’information (ANCCLI) – il est rappelé ici que des CLI existent auprès de l’ensemble des centrales nucléaires françaises.

Pour illustrer cette implication de la société civile, quelques exemples d’initiatives et de questions soulevées par celle-ci, touchant la sûreté des réacteurs du parc électronucléaire français, sont développés ci-après, en suivant l’ordre chronologique. Les parties du présent ouvrage traitant des sujets en rapport avec ces questions seront mentionnées et permettront d’éclairer le lecteur.

3.2.2.Exemples d’initiatives et de questions soulevées
concernant la sûreté des réacteurs
du parc électronucléaire français

Au cours de l’année 1989, le Conseil général du département du Haut-Rhin a mis en place un groupe d’experts pour évaluer les résultats de la première visite décennale du réacteur n° 1 de la centrale nucléaire de Fessenheim, démarré151 en 1977. La composition de ce groupe visait à assurer une large diversité des experts. Il était composé de scientifiques et de membres d’associations de nationalités allemande, française et belge. En outre, ce groupe devait bénéficier de l’expertise de scientifiques strasbourgeois ayant suivi le fonctionnement du réacteur depuis son démarrage, ainsi que de l’étude engagée sur l’environnement autour de la centrale nucléaire de Fessenheim.

Si, en conclusion de leur mission, les experts ont regretté un manque de temps et de moyens, ainsi que le caractère parcellaire des informations mises à leur disposition, trois sujets, notamment, leur ont paru mériter une attention particulière : les contrôles avant redémarrage du réacteur, les accidents du domaine dit du hors dimensionnement (il s’agit d’accidents étudiés sans toutefois faire partie des bases de conception du réacteur – voir les chapitres 8 et 13 du présent ouvrage), la protection des travailleurs. Ils ont regretté le report de certaines améliorations de sûreté et émis des critiques en matière de radioécologie autour du site, tout en regrettant l’absence de transmission de données concernant les produits rejetés. Leur rapport témoigne des débats internes au groupe. Ils ont estimé qu’une attention particulière devait être portée à la protection de la centrale à l’égard des chutes d’avion et des scénarios d’accidents avec fusion du cœur. Sur ce dernier sujet, les risques liés à l’hydrogène ont fait l’objet de débats152.

Ultérieurement, dans le contexte de l’analyse des aspects génériques de la réévaluation de sûreté associée aux troisièmes visites décennales (VD3) des réacteurs de 900 MWe, des experts de l’ANCCLI et des représentants des CLI des centrales nucléaires de Fessenheim, de Gravelines, du Blayais et de Dampierre-en-Burly ont souhaité échanger avec les organismes de sûreté. Ces experts se sont ainsi réunis cinq fois entre décembre 2009 et novembre 2010. Les sujets abordés ont concerné à la fois les « agressions » internes et externes (types d’événements précisés aux chapitres 11 et 12, tels que les incendies, les inondations, les séismes, les chutes d’avion…), les accidents avec fusion du cœur (sujet développé au chapitre 17) et le vieillissement des équipements (voir le chapitre 27). En particulier, les CLI souhaitaient savoir comment étaient prises en compte les modifications de l’environnement industriel d’une INB en général, comme ce fut le cas du projet de construction d’un terminal méthanier à proximité de la centrale nucléaire de Gravelines (ce sujet est abordé au paragraphe 12.9). D’autres sujets non spécifiques des réexamens périodiques ont été présentés par les CLI comme méritant d’être discutés : les aspects organisationnels et humains – tels que la gestion des compétences et la maîtrise des activités sous-traitées (voir le chapitre 25) –, l’analyse des « événements significatifs » (notion précisée au chapitre 21). L’intérêt pour une CLI de pouvoir suivre les réponses de l’exploitant aux demandes de l’Autorité de sûreté nucléaire a également été souligné.

En parallèle, la CLIS153 de Fessenheim a confié au Groupement des scientifiques pour l’information sur l’énergie nucléaire (GSIEN) une expertise sur la troisième visite décennale des réacteurs de la centrale nucléaire de Fessenheim154. Cette étude a suggéré des points à améliorer concernant la maintenance, la réalisation des chantiers et la formation des intervenants. Elle a soulevé également des interrogations concernant la tenue du radier en cas d’accident avec fusion du cœur (ces radiers ont été épaissis – voir les paragraphes 17.1.5 et 30.4.5), les déchets sans filière de gestion, l’augmentation des rejets de tritium dans l’environnement corrélée au passage à la gestion des cœurs dite CYCLADES (les gestions des cœurs sont présentées dans le focus de l’introduction du chapitre 28), qui conduit à une augmentation de l’utilisation de bore comme absorbant neutronique, ainsi que la juxtaposition d’équipements conçus dans les années 1960-1970 avec d’autres équipements plus récents.

Après l’accident survenu en 2011 à la centrale nucléaire de Fukushima Daiichi et comme cela est développé au paragraphe 36.6 du présent ouvrage, des évaluations complémentaires de sûreté (ECS) ont été demandées aux exploitants par les pouvoirs publics, en suivant un cahier des charges qui a été enrichi, à la suite d’une consultation du HCTISN, d’un volet relatif aux questions liées à la sous-traitance d’activités. Dans ce contexte, l’ANCCLI et les CLI ont souhaité s’investir plus fortement dans l’analyse de la sûreté des installations, notamment des réacteurs nucléaires.

Un dialogue s’est engagé dès septembre 2011 avec l’ensemble des parties intéressées, en amont des réunions des groupes permanents d’expert chargés de donner un avis sur les évaluations complémentaires de sûreté réalisées par les exploitants. L’ensemble des documents produits – rapports des exploitants, de l’IRSN, avis des groupes permanents d’experts, rapport et décisions de l’Autorité de sûreté nucléaire – ont été, pour la première fois sur un tel sujet, rendus publics rapidement après leur réalisation (sur les sites internet de l’ASN et de l’IRSN). Ces documents et les échanges associés ont permis aux CLI, aux associations et aux experts non institutionnels de mener et de présenter en réunions leur propre analyse du sujet (la figure 3.4 illustre une présentation). Ainsi, plusieurs experts non institutionnels ont effectué des analyses critiques des évaluations effectuées par les exploitants : peuvent être citées ici l’analyse effectuée par l’Institute for Energy and Environmental Research (IEER) et WISE-Paris pour Greenpeace155 et celle réalisée par le GSIEN pour l’ANCCLI156. Le premier souligne par exemple que la démarche proposée de vérification de la conformité des installations aux exigences qui leur sont applicables paraît insuffisante pour rendre compte de l’état réel des installations, en citant notamment un certain nombre d’« écarts » de nature générique157 (voir sur ce sujet le chapitre 29). Le second indique que le traitement du sujet relatif à la sous-traitance d’activités n’est pas adapté à la gestion de crise et pose la question de ce qui serait prévu pour inclure dans les équipes les prestataires présents sur un site au moment d’un accident, ainsi que pour les former afin qu’ils puissent être efficaces et informés des divers dangers.

Figure 3.4. Photo prise lors d’un séminaire entre l’ANCCLI et l’IRSN tenu au mois de juin 2013, au cours duquel deux représentants de l’association Greenpeace présentaient une analyse des évaluations complémentaires de sûreté menées à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi (sujet développé au paragraphe 36.6 du présent ouvrage). Grégoire Maisonneuve/Médiathèque IRSN.

Les CLI de la Manche se sont tout particulièrement impliquées sur un tel sujet en mettant en place un groupe de travail « inter-CLI ». Après avoir analysé les documents disponibles, ce groupe a élaboré, courant 2012, un questionnaire de près de 200 questions relatives tant à la sûreté des installations qu’à la gestion de crise, à la surveillance des populations et de l’environnement. Ils ont ensuite auditionné différentes entités concernées, parmi lesquelles Électricité de France, les CHSCT158, l’Autorité de sûreté nucléaire, l’IRSN… À la fin de 2013, elles ont diffusé un « livre blanc »159 qui a compilé l’ensemble des réponses obtenues, ainsi qu’une synthèse de ce travail. Concernant les réacteurs, ce « livre blanc » pose par exemple la question de la possibilité de remplacer l’utilisation d’alliage en zirconium des gaines de combustible par un autre matériau, son oxydation étant la cause première de la formation d’hydrogène – les actions de recherche initiées par des fabricants d’assemblages combustibles, citées à la fin du paragraphe 28.2, recoupent ces préoccupations.

Forts de l’intérêt porté par les membres des CLI sur les sujets de sûreté depuis 2011 et dans la perspective d’une prolongation du fonctionnement des réacteurs au-delà de 40 ans, une série de dialogues techniques160 successifs et progressifs est menée depuis 2014 sur le réexamen périodique associé aux quatrièmes visites décennales des réacteurs de 900 MWe. Ce dialogue permet d’approfondir des sujets de préoccupation des CLI, comme la maîtrise du vieillissement de la cuve et de l’enceinte de confinement de ces réacteurs, la « conformité » des équipements, les risques (« agressions ») d’origine naturelle, les risques liés à l’entreposage des combustibles usés en piscine ou encore les accidents avec fusion du cœur… Par ailleurs, une concertation nationale161 est menée sous l’égide du HCTISN visant à associer plus largement le public dans le contexte de ce réexamen aux enjeux tout particuliers.

De l’ensemble des échanges et débats déjà menés, il ressort beaucoup d’interrogations des membres des CLI, par exemple sur le confinement et la protection des piscines d’entreposage des combustibles usés (un certain nombre de risques liés aux piscines et aux situations accidentelles prises en compte sont développées dans le chapitre 15). L’impact du changement climatique sur la sûreté soulève également de nombreuses questions, notamment les mesures qui seraient prise pour anticiper ou gérer des situations telles qu’une diminution du débit d’une rivière utilisée comme source froide, ou au contraire une élévation du niveau marin pour les centrales situées en bord de mer (la prise en compte de ces risques fait l’objet des paragraphes 12.4 et 12.6). Enfin, la capacité industrielle à réaliser les modifications envisagées pour se rapprocher du niveau de sûreté d’un réacteur de type EPR est fréquemment questionnée.

Enfin, eu égard aux interrogations de la société civile, le traitement des anomalies découvertes dans les calottes du fond et du couvercle de la cuve du réacteur EPR Flamanville 3 a aussi conduit à la mise en place de dialogues techniques. Plusieurs réunions se sont tenues entre Électricité de France, Areva-NP, l’ANCCLI, la CLI de Flamanville, l’Autorité de sûreté nucléaire et l’IRSN dès décembre 2015. Au-delà de la compréhension des dossiers techniques en cours d’instruction, ils ont notamment questionné l’application des principes fondamentaux de la défense en profondeur (compte tenu du fait que la cuve est un composant pour lequel la rupture est exclue par un haut niveau de prévention – cette notion est précisée au paragraphe 8.2.2), ainsi que plus généralement la gouvernance de la sûreté.

Ces dialogues avec la société civile et le public permettent de nourrir les réflexions des organismes de sûreté162 avec les questions soulevées par ces publics.

96.« Éléments de sécurité et de non-prolifération », J. Jalouneix, Collection sciences et techniques, IRSN/EDP Sciences, 2015.

97.L’OCDE regroupe maintenant l’ensemble des pays de l’Europe occidentale, et, notamment, les États-Unis, le Canada, l’Australie, la Corée du sud et le Japon.

98.« État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et techniques, IRSN/EDP Sciences, 2017.

99.Équipe opérationnelle de revue de sûreté.

100.Équipe d’évaluation d’un événement significatif de sûreté.

101.European Nuclear Safety Regulators Group (Groupe consultatif d’experts indépendants).

102.Institut pour l’exploitation de l’énergie nucléaire.

103.International Union of Producers and Distributors of Electrical Energy (Union internationale des producteurs et distributeurs d’énergie électrique).

104.Trois textes de la série Safety Fundamentals furent initialement établis par l’AIEA, entre 1993 et 1995 : le premier sur la sûreté des installations nucléaires, le second sur la gestion des déchets, le troisième sur la radioprotection et la sûreté des sources radioactives. Un nouveau texte commun a ensuite été établi en 2006, ayant pour titre « Fundamental Safety Principles » (« Principes fondamentaux de sûreté »).

105.Même si des pratiques reconnues comme acceptables eu égard aux objectifs visés peuvent être mentionnées voire décrites dans certains documents, comme par exemple dans le guide SSG-25 relatif aux réexamens périodiques de sûreté (periodic safety reviews).

106.Ce qui veut dire que les États membres s’engagent à les appliquer (vérifications dans le cadre de la convention).

107.L’étanchéité entre l’arbre d’une pompe primaire et son moteur est assurée par un dispositif constitué de plusieurs joints, dans lequel est injectée de l’eau à haute pression (en provenance du circuit RCV) afin d’éviter une fuite d’eau du circuit primaire. Une partie de l’eau injectée aux joints entre dans le circuit primaire ; l’autre partie est collectée et renvoyée dans des circuits spécifiques (dont le circuit RCV). Les joints sont conçus pour assurer leur rôle pour des températures plus faibles que celle de l’eau du circuit primaire lorsque le réacteur est en fonctionnement. La protection thermique de ces joints est assurée en premier lieu par l’eau en provenance du circuit RCV qui est injectée à basse température (grâce à des échangeurs RCV/RRI) et, en cas de défaillance de l’injection d’eau froide, par un dispositif dénommé barrière thermique ; cette barrière thermique refroidit le débit primaire qui la traverse jusqu’à une température compatible avec la température maximale admissible pour les joints (90 °C).

108.Rapport « Working Group on Operating Experience » (WGOE) – « Report on Fukushima Daiichi NPP Precursor Events » – NEA/CNRA/R(2014)1, January 2014.

109.Rapport OECD 2006/NEA No. 6150 « Nuclear Power Plant Operating Experiences from the IAEA/NEA Incident Reporting System » – 2002-2005.

110.Elles sont aussi accessibles sur le site internet de l’ASN pour ce qui concerne les centrales françaises.

111.Après la réorganisation qui a vu la création de l’ASN.

112.Les rapports des missions IRRS sont accessibles sur le site internet de l’ASN.

113.Ce service d’évaluation indépendante de la culture de sûreté s’est substitué à ASCOT (Assessment of Safety Culture in Organizations Team).

114.Les TECDOC sont des documents techniques, approuvés que par leurs rédacteurs.

115.Les rapports de mission sont accessibles sur le site https://afcn.fgov.be.

116.Ce service n’est plus proposé.

117.Voir le paragraphe 22.2.

118.Voir le paragraphe 23.1.3.

119.Revue par des pairs des performances en matière de sûreté d’exploitation.

120.Voir les chapitres 7 et 18.

121.Contribution de Bertrand de Buchère de l’Épinois, EDF, membre du Groupe permanent d’experts pour les réacteurs nucléaires.

122.Est désigné par cycle du combustible l’ensemble des opérations de fourniture de combustible aux réacteurs nucléaires, puis de gestion des combustibles irradiés (usés), depuis l’extraction du minerai jusqu’à la gestion des déchets radioactifs.

123.Comme cela sera vu et développé dans la suite du présent ouvrage, l’expression « agressions » recouvre les événements internes ou externes à une installation qui ne sont pas des dysfonctionnements envisageables des systèmes liés au « procédé » de cette installation, mais correspondent, soit à des événements externes naturels (séisme, inondation…) ou liés à l’activité humaine (explosion externe…), soit à des événements internes comme un incendie, une chute de charge, une inondation occasionnée par une rupture de tuyauterie…

124.L’arrêt définitif du réacteur d’Halden a été décidé en juin 2018. Des examens post-irradiation et des expériences en cellules « chaudes » de matériaux irradiés se poursuivront néanmoins.

125.Fin janvier 2019.

126.La CIPR, officiellement créée en 1950 sous cette appellation, est issue du Comité international de protection contre les rayons X et le radium, créé en 1928.

127.Association française créée en 1976 dont les partenaires sont le CEA, EDF et l’IRSN. Cette association constitue un pôle de recherche et d’études dans le domaine nucléaire de l’évaluation de la protection de l’homme contre les dangers des rayonnements ionisants, sous ses aspects techniques, sanitaires, économiques et sociaux.

128.UNSCEAR 2013 Report – Scientific Annex A : « Levels and Effects of Radiation Exposure due to the Nuclear Accident after the 2011 Great East-Japan Earthquake and Tsunami ».

129.Il peut aussi être noté que, à partir de 1993, un représentant des organismes de sûreté allemands a été invité de manière permanente aux réunions du groupe permanent français d’experts pour la sûreté des réacteurs (GPR) et, à partir de 1994, un expert français a été nommé à son équivalent allemand, la RSK (Reactor-Sicherheitskommission).

130.Une commission franco-luxembourgeoise et une commission franco-suisse ont aussi été créées.

131.La DFK étant une structure régionale (au moins du côté allemand), il a semblé nécessaire de créer une structure pour traiter des problèmes généraux de sûreté aux niveaux nationaux, ce que sera la DFD à partir de 1990. La DFD était une formation restreinte (excluant les Länder du côté allemand) pour des questions de politique, compte tenu des rapprochements voulu par les gouvernements, le rapprochement industriel Framatome-Siemens, le rapprochement des experts IPSN-GRS. Les sujets seront la sûreté nucléaire dans les pays d’Europe de l’Est, le réacteur EPR…

132.Avec des financements européens.

133.Appelé RISKAUDIT dans la suite du texte.

134.Banque européenne pour la reconstruction et le développement.

135.Banque européenne d’investissement.

136.Le siège de RISKAUDIT est en France, à Fontenay-aux-Roses. Une représentation a aussi été installée à Kiev, en Ukraine.

137.Assistance technique en faveur de la Communauté des États indépendants et de la Géorgie.

138.Cette abréviation est celle de Poland and Hungary Assistance for Restructuring their Economies, assistance engagée dès 1989 mais qui s’est ensuite élargie à d’autres pays souhaitant devenir membres de l’Union européenne : la République Tchèque, l’Estonie, la Lituanie, la Lettonie, la Slovaquie, la Slovénie, puis la Bulgarie et la Roumanie.

139.Instrument de coopération en matière de sûreté nucléaire.

140.Le but initial n’ayant pas été d’établir des directives techniques mais de préparer des positions de la DFD sur des questions soulevées par les concepteurs d’EPR.

141.Indépendance, compétence, traçabilité et transparence.

142.Notion précisée au chapitre 8.

143.« Position Paper of the Technical Safety Organisations : Research Needs in Nuclear Safety for GEN 2 and GEN 3 NPPs » — ETSON/2011-001, October 2011.

144.Voir le chapitre 18.

145.NUclear GENeration II & III Association (Association internationale dédiée à la sûreté des réacteurs de générations II et III).

146.Sustainable Nuclear Energy Technology Platform (plateforme technologique européenne pour l’énergie nucléaire).

147.Organisme de formation et de tutorat dans le domaine de la sûreté nucléaire.

148.En janvier 2019.

149.Ces « niveaux de référence » sont abordés au chapitre 6.

150.La France y a deux représentants : le Président de l’Autorité de sûreté nucléaire et un représentant de la DGEC.

151.Il s’agit de son raccordement au réseau électrique, la mise en service ayant été déclarée en 1978.

152.Ils s’appuyaient notamment sur des expérimentations menées dans le réacteur de recherche PHEBUS.

153Commission locale d’information et de surveillance du centre national de production d’électricité (CNPE) de Fessenheim.

154.Les experts du GSIEN ont eu accès aux documents d’EDF, de l’IRSN et de l’ASN, dans le cadre d’une convention entre les différentes parties. Ils ont produit le « Rapport sur la visite décennale 3 du réacteur 1 du CNPE de Fessenheim », GSIEN, juin 2010, https://www.anccli.org/wp-content/uploads/2014/06/Rapport-final-1-VD3-FSH-1.pdf.

155.Rapport « Sûreté nucléaire en France post-Fukushima : Analyse critique des évaluations complémentaires de sûreté (ECS) menées sur les installations nucléaires françaises après Fukushima », A. Makhijani, Institute for Energy and Environmental Research (IEER) et Y. Marignac, WISE-Paris (World Information Service on Energy-Paris), février 2012.

156.Rapport « Analyse et commentaire des rapports d’évaluation complémentaire de la sûreté des installations nucléaires au regard de l’accident de Fukushima », M. et R. Sené, GSIEN, novembre 2011.

157.C’est-à-dire affectant ou susceptibles d’affecter plusieurs réacteurs du parc électronucléaire.

158.Comités d’hygiène, de sécurité et des conditions de travail (CHSCT) d’Areva (élargi aux représentants des entreprises prestataires) et d’Électricité de France.

159.« Livre blanc sur la sûreté des installations nucléaires civiles de la Manche post-Fukushima », Inter-CLI, Commissions locales d’information de la Manche, décembre 2013.

160.Cinq réunions à Paris entre 2014 et 2016, un séminaire à Valence en octobre 2016, et trois nouvelles réunions à Paris entre 2017 et 2018.

161.Concertation sur les améliorations de sûreté des réacteurs 900 MWe à l’occasion de leur quatrième réexamen de sûreté, de septembre 2018 à mars 2019 ; voir le site https://concertation.suretenucleaire.fr.

162.À titre d’exemple, l’IRSN a traité un certain nombre de questions issues des dialogues techniques avec la société dans ses avis concernant le quatrième réexamen périodique des réacteurs de 900 MWe (par exemple, dans ceux sur les études d’accident, les agressions internes et externes, la conformité des équipements, l’organisation d’EDF ou les EPS), a synthétisé ses réponses sur les thématiques abordées dans une « foire aux questions » mise à jour en fonction des nouveaux avis émis et réalisé plusieurs vidéos explicatives, dont certaines sous la forme d’un dialogue avec l’ANCCLI. Voir les bases de connaissances IRSN consacrées au quatrième réexamen périodique des réacteurs de 900 MWe consultables à l’adresse : https://www.irsn.fr/FR/connaissances/Installations_nucleaires/Les-centrales-nucleaires/visites-decennales/Reexamen-900/Pages/0-Sommaire-quatrieme-reexamen-reacteurs-900-MWe.aspx#.

Chapitre 4

Les réacteurs nucléaires :
des systèmes sociotechniques complexes –
L’importance des facteurs
organisationnels et humains

Avant de développer dans le présent ouvrage de manière plus approfondie les sujets de sûreté, plus spécifiquement pour les réacteurs à eau sous pression du parc électronucléaire français, il apparaît nécessaire dès à présent de souligner l’importance particulière que revêtent non seulement les aspects techniques mais aussi les facteurs organisationnels et humains (FOH) dans la maîtrise des risques liés à de telles installations.

L’analyse des incidents et des accidents (dans tous les domaines d’activité, pas seulement celui de l’industrie nucléaire) montre qu’ils sont le plus souvent le résultat de combinaisons de défaillances ou d’insuffisances concernant les matériels, les organisations et les hommes.

La considération des seuls aspects techniques de la conception et de l’exploitation des installations nucléaires n’est pas suffisante ; l’homme peut en effet contribuer à l’initiation ou au développement d’incidents (du fait même que c’est lui qui conçoit, construit et exploite les installations nucléaires), mais il a aussi une contribution positive (par exemple en « récupérant » correctement des situations anormales survenant au cours de l’exploitation des installations) – cela suppose que les organisations et les modalités encadrant cette exploitation soient favorables.

La notion de « facteurs organisationnels et humains » se réfère aux facteurs exerçant une influence sur l’activité des hommes et leur contribution au fonctionnement de systèmes sociotechniques163, tels que l’organisation, les compétences, les moyens techniques, les procédures, le fonctionnement des collectifs de travail ou l’environnement physique de travail. L’étude de ces facteurs constitue une discipline relativement récente, qui s’est développée avec l’évolution technologique durant le XXe siècle ; elle a pris une importance plus particulière dans les organisations chargées d’installations à risques, étant donné leur rôle déterminant dans la prévention et l’occurrence de nombreux accidents industriels. Une hypothèse forte qui sous-tend l’attention et les moyens accordés à l’analyse des facteurs organisationnels et humains, confortée par le retour d’expérience, est qu’il est possible d’identifier des conditions préalables ou des dérives d’un système sociotechnique pouvant conduire à l’occurrence d’un événement indésirable et de les prévenir au moyen de démarches d’ingénierie FOH adaptées. Il s’agit donc, par une meilleure compréhension de l’activité humaine, de déterminer et de mettre en place des conditions favorables à une contribution positive des hommes et des organisations au fonctionnement des installations164 : cela commence dès le stade du choix des options de conception des installations et se poursuit, bien entendu, lors des études de conception puis de définition des règles et procédures d’exploitation, enfin tout au long de l’exploitation des installations et lors de leur démantèlement.

4.1.Les débuts des FOH dans le domaine des réacteurs
électronucléaires, les enseignements tirés
de l’accident de la centrale nucléaire
de Three Mile Island

À l’époque du démarrage des premières tranches du parc électronucléaire français165, dans les années 1970, l’accent était mis sur la fiabilité technique des installations, principalement liée à la qualité de leur conception, au maintien en exploitation de la conformité des équipements, aux exigences qui leur étaient applicables et à l’existence de procédures d’exploitation préétablies, aussi bien à l’égard des situations normales d’exploitation qu’à l’égard d’un certain nombre de situations anormales considérées comme plausibles ; en outre, des actions de conduite étaient automatisées, notamment pour réduire les possibilités d’erreurs humaines. Cependant, les cumuls de défaillances matérielles et humaines n’étaient pas, par exemple, examinés de façon systématique.

L’importance attachée aux facteurs organisationnels et humains s’est progressivement accrue, d’abord par l’analyse d’événements impliquant de tels facteurs et dont il fallait tirer les enseignements pour qu’ils ne se reproduisent pas, puis principalement après la survenue, au mois de mars 1979, de l’accident du réacteur n° 2 de la centrale nucléaire de Three Mile Island (TMI) aux États-Unis. L’analyse de cet accident sous l’angle des FOH a principalement conduit à des évolutions et à des améliorations portant sur les interfaces homme-machine, les organisations (notamment celle de l’équipe de conduite en salle de commande, avec une redondance de la surveillance de l’installation par un ingénieur de sûreté [IS]), le partage du retour d’expérience et la conduite en situations incidentelles et accidentelles (passage de l’approche « événementielle » à l’approche « par états »), sujets qui sont développés dans les chapitres 32 et 33.

4.2.L’accident de la centrale nucléaire de Tchernobyl,
la notion de « culture de sûreté »

Si l’accident de TMI a soulevé des questions concernant les aspects ergonomiques (défauts d’interface homme-machine) et cognitifs (représentation erronée de l’état de l’installation) des postes de travail, celui de la centrale nucléaire de Tchernobyl, qui fait l’objet du chapitre 34, a soulevé des questions d’une autre nature, concernant les aspects collectifs et organisationnels, le déroulement de l’accident ayant comporté des actions intentionnelles de non-respect de consignes et d’inhibition de protections pour faire « coûte que coûte » un essai particulier programmé (essai de sûreté à faible puissance). L’analyse de l’accident a notamment mis en évidence des insuffisances concernant le management, le contrôle des activités, l’application des règles et des procédures, la priorité qui doit être accordée à la sûreté et la formation des opérateurs. Ainsi, cet accident a amené à considérer le rôle de l’homme dans la maîtrise des risques, non plus seulement sous un angle comportementaliste centré sur la réduction des erreurs individuelles, mais dans une perspective plus large tenant compte des caractéristiques et des dynamiques d’un système sociotechnique complexe dans sa globalité.

Concernant les facteurs organisationnels, les travaux166 relatifs aux High Reliability Organizations167 (HRO), menés depuis les années 1980, ont fourni des éclairages utiles au plan méthodologique pour l’analyse de tels facteurs dans la conception et l’exploitation des centrales nucléaires. Partant de constats faits sur des organisations chargées d’installations « à risques » qui fonctionnaient de manière sûre et fiable, ces travaux ont en particulier fait ressortir des clefs de succès telles que :

–un accord de l’ensemble des acteurs de l’organisation sur les buts recherchés, notamment lors des arbitrages,

–la mise en place de redondances (des contrôles, des circuits de décision, des canaux de communication),

–un équilibre entre centralisation et décentralisation,

–des activités permanentes de recyclage et d’entraînement,

–une attention portée au risque d’échec dans les activités, et pas seulement au succès,

–une attention des managers aux activités quotidiennes, aux aléas,

–une délégation des prises de décision aux personnes les plus compétentes ou proches du terrain,

–une méfiance envers la simplification des interprétations dans des systèmes complexes,

–la mise en place de ressources et de processus de nature à favoriser l’adaptation (« engagement dans la résilience »), en complément des démarches d’anticipation des risques.

Parallèlement, des études portant sur les causes profondes d’accidents, menées par des chercheurs anglo-saxons et français (notamment d’Électricité de France et de l’IRSN), ont permis de recenser168 des facteurs organisationnels d’échec, génériques et récurrents, tels que :

–les pressions de production,

–la complexité organisationnelle,

–les échecs des analyses de risques et du retour d’expérience,

–les défauts de gestion des effectifs et des compétences,

–un défaut d’exigences d’autorités de contrôle…

Les leçons tirées de l’accident de Tchernobyl ont notamment conduit au développement de la notion de « culture de sûreté », qui a été très largement mise en avant comme une réponse à cet accident. C’est du reste en 1991, cinq années après l’accident de Tchernobyl, que fut publié (sous l’égide de l’AIEA) le rapport INSAG-4 qui explicite cette notion (voir le focus ci-après) – dont il faut souligner qu’elle ne concerne pas que les exploitants d’installations nucléaires, mais aussi les concepteurs et les fabricants, sans oublier les organismes de sûreté (voire le gouvernement).

#FOCUS

La notion de culture de sûreté

Ainsi que cela a été indiqué plus haut, la notion de culture de sûreté est née des réflexions qui ont été engagées après l’accident survenu le 26 avril 1986 à la centrale nucléaire de Tchernobyl. Les réflexions « post-Tchernobyl » militèrent pour une vision plus internationale de la sûreté nucléaire et se concrétisèrent notamment par différents rapports de l’INSAG, groupe alors récemment créé auprès de l’AIEA, parmi lesquels on peut citer celui de septembre 1986 intitulé « Summary Report on the Post-Accident Review Meeting on the Chernobyl Accident » (INSAG-1169) et dans lequel apparaît la notion de culture de sûreté, qui sera approfondie en 1991 dans le rapport intitulé « Safety Culture » (INSAG-4). La culture de sûreté est définie dans ce dernier rapport comme « l’ensemble des caractéristiques et des attitudes des organisations et des personnes qui font que […] les aspects de sûreté bénéficient de l’attention en rapport avec leur importance ». La culture de sûreté suppose notamment, dans une organisation, que soient favorisées les attitudes interrogatives, prudentes et rigoureuses et la communication entre les personnes. Elle suppose un engagement fort des responsables hiérarchiques et des dirigeants des installations.

Trois autres rapports de l’INSAG sont à citer :

–le rapport intitulé « Management of Operational Safety in Nuclear Power Plants » (INSAG-13), diffusé en 1999. Ce rapport aborde les aspects du « management de la sûreté » qui ont une importance dans la promotion de la culture de sûreté, accompagnés de préconisations et de bonnes pratiques. Des préconisations sont en particulier faites pour ce qui concerne le maintien d’un management approprié de la sûreté lors de changements d’organisation, la façon de surveiller les performances en matière de sûreté et la détection d’une baisse de performances avant qu’elle n’ait un impact significatif sur la sûreté ;

–le rapport intitulé « Key Practical Issues in Strengthening Safety Culture » (INSAG-15), diffusé en 2002. Ce rapport, qui présente en particulier un certain nombre de questions qui peuvent être posées dans le cadre d’un autodiagnostic de la culture de sûreté au sein d’une organisation, aborde des sujets-clés tels que l’importance de la façon de communiquer et de se faire comprendre en matière de sûreté, notamment pour une bonne compréhension des procédures par les utilisateurs eux-mêmes, la culture du compte rendu (reporting) et l’attention qui doit être portée aux incidents évités de justesse ainsi qu’aux dérives possibles (« le risque toléré devient validé »170), l’aptitude d’une organisation à se remettre en question à tous les niveaux (« organisation apprenante ») ;

–le rapport intitulé « Managing Change in the Nuclear Industry : the Effects on Safety » (INSAG-18), diffusé en 2003. Ce rapport aborde un certain nombre de sujets concernant les conséquences d’évolutions du contexte nucléaire sur les organisations et les hommes (recherche d’une compétitivité accrue, accroissement des exigences de sûreté…), qui peuvent affecter la sûreté si elles ne sont pas suffisamment bien intégrées et gérées.

Dans un rapport plus récent171, l’AIEA définit un cadre et des exigences en termes de management de la sûreté et de système intégré de management, dans une approche systémique qui prend en compte les interactions entre les facteurs techniques, organisationnels et humains, dans l’objectif de favoriser une « culture de sûreté solide ».

La notion de culture de sûreté a également été largement utilisée dans d’autres domaines d’activités à risques tels que l’aéronautique, les industries chimiques et pétrolières, la santé. Mais si cette notion paraît simple à comprendre, elle ne saurait constituer une réponse suffisante à l’ensemble des questions concernant la contribution des hommes et des organisations à la sûreté. Des questions restent posées, par exemple sur les conditions, les modalités et les limites d’une « ingénierie » de la culture de sûreté. Si la mise en œuvre de dispositions d’organisation et de management peut contribuer au développement d’une culture favorable à la sûreté, la manière dont ces dispositions combinent leurs effets pour exercer une influence positive ou négative sur la culture de sûreté reste encore très largement méconnue.

Au mois de mars 2002, un incident (classé au niveau 3 de l’échelle INES), parfois qualifié de presqu’accident, est survenu à la centrale nucléaire de Davis-Besse située dans l’État de l’Ohio aux États-Unis. Cette centrale est équipée d’un réacteur à eau sous pression172 de 900 MWe. L’incident a eu une influence dans les réflexions et les préoccupations en matière de FOH au sein des industriels de l’énergie nucléaire, notamment Électricité de France173. Cet événement, qui s’est traduit par une perte d’étanchéité du circuit primaire au niveau du couvercle de la cuve du réacteur, est décrit dans la suite du présent ouvrage (paragraphe 27.2.2.9). Les analyses ont conduit à considérer que cet incident était révélateur d’une dérive profonde dans la culture de sûreté de l’exploitant et un défaut de contrôle de la part des autorités. En particulier, ont été mis en avant :

–l’absence de prise en compte de signes précurseurs, pourtant détectés dès 1996, notamment des traces de bore sur certains matériels,

–des analyses d’événements insuffisamment développées, prenant peu en compte le retour d’expérience international,

–un désengagement de la Direction de la centrale dans le management de la sûreté avec des enjeux de production prédominants,

–un contrôle insuffisant des autorités.

Sur certains aspects, ce presqu’accident a pu être rapproché des accidents des navettes américaines Challenger et Columbia, dont les analyses avaient aussi mis en évidence un défaut de prise en compte de signes précurseurs174.

Chez Électricité de France, l’événement survenu à la centrale nucléaire de Davis-Besse a conduit à différentes dispositions175 parmi lesquelles :

–l’élaboration de guides à la prise de décision afin de prendre en compte de façon adéquate les exigences de sûreté dans les objectifs de production électrique,

–la mise en œuvre d’un « management de la sûreté » cohérent avec les pratiques internationales, à la lumière notamment des rapports INSAG-13, l’INSAG-15 et l’INSAG-18 présentés dans le focus précédent,

–la mise en œuvre d’une démarche de retour d’expérience renforçant la prise en compte de signes précurseurs, du retour d’expérience international et la recherche de causes profondes des événements qui surviennent.

Comme l’a rappelé le presqu’accident de la centrale nucléaire de Davis-Besse, la culture de sûreté doit régulièrement se concrétiser lors de décisions à enjeux pour lesquelles une priorité doit être accordée à la sûreté. Confronté au renouvellement important de son personnel, Électricité de France déploie depuis quelques années une démarche visant à renforcer la culture de sûreté dans ce contexte. Un guide a été diffusé aux CNPE en vue de partager une représentation commune de la culture de sûreté au sein du personnel. Électricité de France déploie en ce sens des actions de formation, de communication quotidienne à travers divers médias et d’auto-positionnement dans les unités opérationnelles, afin que chacun prenne du recul sur ses propres pratiques.

De plus, il convient que l’exploitant prenne des dispositions pour que la culture de sûreté s’intègre aux pratiques des entreprises sous-traitantes, étant donné le volume important des opérations de maintenance sous-traitées (sujet qui est abordé au chapitre 25).

4.3.L’accident de la centrale nucléaire
de Fukushima Daiichi, la dimension sociétale,
la notion de « résilience » des organisations

Plus récemment, l’accident survenu en 2011 à la centrale nucléaire de Fukushima Daiichi a mis en lumière l’importance de la dimension sociétale dans la gouvernance des risques en général, aspect mis en avant par la commission d’enquête commanditée par la Diète japonaise après l’accident.

À la suite de cet accident, des études et des recherches ont été engagées176 sur la gouvernance des risques nucléaires et la gestion de crise, abordées sous l’angle non seulement des facteurs organisationnels mais aussi des facteurs culturels et socio-historiques.

Certains enseignements de l’accident de la centrale nucléaire de Fukushima Daiichi et de sa gestion confortent aussi une évolution de la perception du rôle des hommes et des organisations dans la maîtrise des risques, qui en fait a progressivement émergé depuis les années 1990. Cette évolution est développée ci-après.

4.4.Évolution de la perception du rôle des hommes
dans l’atteinte d’un haut niveau de fiabilité
de systèmes sociotechniques complexes

Après plus de trente années d’expérience dans la prise en compte des FOH dans la sûreté nucléaire, les connaissances acquises montrent que la réalité de l’exploitation est loin d’être simple et que les hommes jouent un rôle déterminant dans le bon fonctionnement des installations. Par leurs capacités et leurs compétences, ils sont à même de faire face et de s’adapter à la variété des situations qu’ils rencontrent au quotidien dans leur travail : matériel indisponible, pièces non conformes, description incomplète de ce qui doit être réalisé et du comment le faire, tels qu’indiqués dans les procédures, les consignes ou les modes opératoires, variabilité des conditions de réalisation, variété des niveaux d’expertise des acteurs…

Ces adaptations concernent des actions que les hommes peuvent opérer hors de ce qui a pu être prévu, pour assurer un fonctionnement sûr d’une installation ; encore faut-il créer les conditions leur permettant de faire face et d’effectuer les ajustements nécessaires. L’accident survenu à la centrale nucléaire de Fukushima Daiichi a mis en évidence les capacités d’adaptation et d’invention que les exploitants de la centrale ont pu mettre en œuvre dans des conditions d’intervention très difficiles pour faire face à une situation extrême à laquelle ils n’étaient pas préparés.

Se posent donc les questions suivantes : est-ce que les conditions sont réunies pour que les acteurs puissent mener leurs activités le mieux possible et mettre en œuvre leurs compétences et capacités, y compris détecter des dérives du système et récupérer des situations dégradées, voire critiques ? Les individus et les « collectifs de travail » sont-ils à même de pouvoir faire face à des situations non prévues avec les moyens qui sont à leur disposition ? Le management prend-il des arbitrages suffisamment favorables à la maîtrise des risques dans des situations non prévues ?

La prise en compte des FOH doit ainsi avoir un double objectif pour l’exploitant :

–favoriser la capacité des personnels à détecter les anomalies techniques, à gérer les aléas et à réduire autant que possible les possibilités d’actions humaines inappropriées ;

–favoriser la capacité des hommes à s’adapter à de nouveaux problèmes et à faire face à des situations non prévues177, pour que le collectif soit en mesure de maîtriser la situation.

La prise en compte des FOH doit donc conduire178 à déterminer et évaluer les conditions permettant l’atteinte des deux objectifs précités, au travers des dimensions techniques, humaines et organisationnelles du système sociotechnique dans son ensemble, ainsi que l’interdépendance entre ces trois dimensions.

Au début des années 1980, pour la conception des réacteurs du palier N4, Électricité de France fait le choix de mettre en place des consignes informatisées de conduite en situations normales, incidentelles et accidentelles (ce qui a guidé la conception de la salle de commande de ces réacteurs). Cela a conduit Électricité de France et l’IRSN à s’interroger sur le juste guidage (« pas à pas ») des opérateurs par de telles consignes, et à mener des études en la matière179. Différentes études, y compris dans d’autres domaines que l’électronucléaire, avaient en effet montré que, pour que le guidage soit efficace, il faut un engagement actif de l’opérateur dans la conduite. Le guidage ne doit donc pas empêcher l’opérateur de prendre une certaine « distance » par rapport aux prescriptions de la consigne. Cette condition permet de favoriser le rôle positif de l’opérateur dans le cas, par exemple, où se présente une difficulté à respecter l’ordre de réalisation des actions prescrit par la consigne alors qu’une action est perçue comme urgente. Ainsi, les études ont conduit les concepteurs à apporter des améliorations :

–de nature technique, en prévoyant dans le système de conduite la possibilité que les opérateurs puissent, dans le parcours des consignes informatisées, s’écarter à tout moment du chemin prescrit par le guidage, dès lors que les actions préconisées ne sont pas en phase avec la cinétique du « procédé »,

–de nature organisationnelle, en prévoyant qu’un opérateur ne puisse prendre une telle décision qu’après concertation au sein de l’équipe de conduite et accord du chef d’exploitation.

Par ailleurs, l’accident de la centrale nucléaire de Fukushima Daiichi a conduit à s’interroger sur la robustesse des organisations de crise pour faire face à une situation « extrême » du même type que celle qui a conduit à cet accident. Les études des situations de crise liées à des événements majeurs ou à des catastrophes font ressortir l’état de « rupture » lié à la soudaineté et à l’ampleur des déstabilisations engendrées qui débordent les capacités organisationnelles et humaines prévues ; ces situations de crise se déroulent dans un contexte d’urgence et de coordination d’un grand nombre d’intervenants exposés aux aléas et aux dysfonctionnements induits par l’accident et en difficulté pour accomplir les missions et assumer les responsabilités formellement prévues pour traiter l’accident et gérer la crise. Le questionnement concerne des sujets tels que le dimensionnement des effectifs nécessaires, la formation et la préparation des personnels à de telles situations, la capacité à mobiliser du personnel de la centrale ou du personnel prestataire, la faisabilité d’interventions en local dans des conditions difficiles, voire hostiles. Ce sont des questions qui ont été abordées dans le cadre des évaluations complémentaires de sûreté menées à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi, dont les réponses apportées – en France par la mise en œuvre d’un « noyau dur » d’équipements robustes et par la mise en place d’une Force d’action rapide nucléaire (FARN) – sont développées au chapitre 36.

4.5.Le développement de moyens et de compétences concernant les FOH, les principaux sujets étudiés

4.5.1.Moyens et compétences

Au plan international, les premières réflexions et études, dans les années 1970, ont visé à mieux comprendre le « fonctionnement » humain et son influence sur les performances des personnels d’exploitation des centrales nucléaires, non seulement lors de la conduite en salle de commande mais aussi lors de toutes les tâches et activités (essais, maintenance, contrôles en service…) exécutées hors de la salle de commande et pouvant avoir une importance en termes de sûreté nucléaire. Ces efforts se sont ensuite élargis à la compréhension et à l’évaluation des facteurs organisationnels, culturels et sociétaux. L’Agence pour l’énergie nucléaire de l’Organisation de coopération et de développement économiques (OCDE/AEN) a diffusé de nombreux rapports qui témoignent de l’intérêt porté par la communauté internationale aux facteurs humains puis organisationnels180, cela dès après l’accident de la centrale nucléaire de Three Mile Island.

Au cours du temps, les FOH ont pris une importance grandissante dans les travaux menés au niveau international et des instances telles que l’AIEA et l’AEN constituent des lieux d’échanges précieux. Toutefois, si les organismes de sûreté ont acquis dans un certain nombre de pays une expérience solide, la situation mondiale reste hétérogène. Le domaine des FOH constitue un axe de développement important pour les pays qui ne disposent pas encore de l’expérience et de compétences suffisantes pour mener des études et des recherches, des expertises ou encore des programmes d’inspection dans le domaine des FOH.

Aussi, l’AIEA a lancé en 2014, avec la collaboration d’experts de différents pays, un programme d’une durée de quatre années pour aider les organismes de sûreté à mettre en place et renforcer leurs actions en matière de FOH. Ce programme s’est achevé en 2018 avec la publication d’un rapport entièrement consacré à ce sujet pour favoriser le développement et la mise en œuvre de programmes d’inspection et d’évaluation dans le domaine des FOH181.

En France, dès la fin des années 1970, aussi bien Électricité de France que l’IPSN se sont dotés de compétences spécifiques en matière de FOH, qui ont été renforcées dans les années 1980. Des unités de recherche ont ensuite été mises en place pour faire évoluer les connaissances nécessaires à l’analyse de sûreté, pour faire face à des questions nouvelles (nouvelles technologies, domaines nouveaux), explorer des sujets de nature sociétale autour de la gouvernance des risques nucléaires abordée sous l’angle non seulement des facteurs organisationnels mais aussi des facteurs culturels182.

L’étude des dimensions organisationnelles et humaines repose sur des approches pluridisciplinaires qui mobilisent les connaissances, modèles et techniques issues des sciences humaines et sociales183 pour appréhender les systèmes sociotechniques dans leur « fonctionnement réel »184. Ces approches s’appliquent notamment pour les phases de conception et d’exploitation normale des installations, ainsi que dans le cadre du retour d’expérience événementiel et dans la phase de démantèlement de ces installations.

L’étude des facteurs organisationnels et humains nécessite généralement des observations « sur le terrain » (entretiens avec le personnel, observations de chantiers ou de situations de travail par exemple lors d’activités « sensibles » au plan de la sûreté…) ; lorsque de telles analyses sont menées dans le cadre d’expertises de sûreté, elles supposent la mise en place de protocoles entre l’IRSN et l’exploitant concerné185. L’étude peut aussi s’appuyer sur des simulations, comme celles qui sont menées au Halden Man-Machine Laboratory186 (HAMMLAB)187 du réacteur de recherche situé à Halden en Norvège, dans le cadre du projet international dénommé HALDEN Reactor Project.

La nature et la qualité des données recueillies par les observations sur le terrain ou lors des simulations constituent des points-clefs pour la validité des résultats. Ainsi, les entretiens avec des acteurs permettent de recueillir non seulement des faits mais aussi des données subjectives (opinions, ressentis, perceptions). Ces données sont croisées entre elles, les entretiens étant menés auprès de plusieurs acteurs et croisées avec des données objectives (notes d’organisation, évolutions des paramètres physiques d’un système ou notes ou photographies d’observations, par exemple). La « somme » des subjectivités recueillies et le travail d’objectivation188 qu’elles subissent permettent d’obtenir une image assez fidèle du réel.

Au début des années 1990, Électricité de France a considéré que, pour progresser dans l’analyse des événements, la présence de spécialistes FOH devenait nécessaire dans les centrales nucléaires en exploitation, au plus près des unités opérationnelles sur le terrain. Ainsi, depuis 1995, chaque centrale dispose d’un spécialiste portant le titre de Consultant FH (CFH). Le réseau de ces consultants est animé au niveau national d’Électricité de France dans un objectif de capitalisation des actions et d’échanges sur les pratiques.

À partir de 2005, c’est dans ses centres d’ingénierie qu’Électricité de France a mis en place un réseau de « référents » de la démarche d’analyse des impacts sociaux, organisationnels et humains (SOH) – démarche explicitée au paragraphe 16.2.2 – pour développer la prise en compte des aspects humains et organisationnels dans les modifications techniques et documentaires.

Électricité de France a également engagé des actions visant à réduire le nombre d’événements survenant dans les réacteurs du parc électronucléaire comportant des défaillances humaines, en s’appuyant sur les compétences FOH disponibles tant dans les services centraux qu’au niveau des sites (CNPE). Il a déployé à partir de 2006, sur tous les sites, des dispositions visant à renforcer la fiabilité des actions humaines afin d’aider chaque professionnel à « faire bien du premier coup » en s’appuyant sur des pratiques standards de fiabilisation des interventions reconnues au plan international : pré-job briefing, « minute d’arrêt », recours à des contrôles spécifiques (autocontrôle ou contrôles croisés), communication « sécurisée »189, débriefing.

4.5.2.Principaux sujets étudiés

Dès le début des années 1980, à la suite de l’accident de la centrale nucléaire de Three Mile Island, des experts et des chercheurs à Électricité de France et à l’IPSN, notamment en ergonomie, ont contribué à la réalisation d’études sur les activités de conduite en salle de commande et ont été impliqués dans le projet de conception de la salle de commande informatisée pour les réacteurs du palier N4. L’étude de la prise en compte des FOH au stade de la conception a été poursuivie avec la conception du réacteur EPR190 : les sujets traités ont concerné l’intégration des FOH dans la méthodologie de conception, les interfaces homme-machine, les moyens de conduite prévus pour les opérateurs en salle de commande (ce sujet a été évoqué plus haut), l’organisation des équipes de conduite, les interventions des opérateurs en local. À partir des années 2000, les FOH ont également été pris en compte de manière approfondie pour la conception et la réalisation de modifications de nature matérielle ou organisationnelle dans les centrales nucléaires en exploitation. La prise en compte des FOH pour la conception de nouvelles installations ou la conception de modifications en exploitation fait l’objet du chapitre 16.

Les compétences spécifiques en matière de FOH sont désormais sollicitées – aussi bien chez l’exploitant Électricité de France qu’à l’IRSN – pour analyser les événements significatifs et en rechercher les causes organisationnelles ou humaines ; cette analyse met en œuvre des méthodes qui se sont affinées au cours du temps. L’analyse de tels événements conduit à en rechercher non seulement les causes directes mais aussi les causes profondes, sachant que :

–les défaillances techniques sont conditionnées par des défaillances humaines et organisationnelles ;

–les erreurs humaines ne sont que les symptômes de défaillances plus profondes de l’organisation ; il convient donc d’éviter une focalisation excessive sur les seules activités ou comportements des opérateurs.

Les règles et pratiques mises en œuvre en matière d’analyse des événements sont présentées au chapitre 21.

Plusieurs événements sont survenus en 1989-1990 dans les réacteurs du parc électronucléaire français, en période d’arrêt de tranche ; il s’agissait notamment d’erreurs opératoires sur des matériels, pérennes (erreurs de positionnement de vannes de mise en configuration de capteurs de mesure, dites erreurs de « lignage ») ou installés à titre provisoire (dispositions et moyens particuliers [DMP], laissés en place par erreur après une intervention) ; ces événements ont conduit Électricité de France à analyser leurs causes et à mettre en place des dispositions correctives notamment pour les interventions de maintenance ; ce sujet est développé au paragraphe 22.2.

Mais, dans les centrales en exploitation, le champ d’activités en matière de FOH est large et de nombreux sujets font l’objet d’analyses ; outre l’analyse du retour d’expérience et l’organisation des activités de conduite en salle de commande évoquées ci-dessus, les sujets suivants ont été étudiés :

–la gestion des compétences, la formation du personnel d’exploitation,

–l’organisation des activités de maintenance, leurs évolutions, notamment la maîtrise de la sous-traitance,

–la gestion des situations d’urgence et de crise,

et doivent à l’évidence faire l’objet d’une attention permanente tant de la part d’Électricité de France que des organismes de sûreté.

La prise en compte des FOH dans les centrales nucléaires en exploitation fait l’objet du chapitre 25.

4.6.Les FOH dans la règlementation française

En 1984, l’« arrêté qualité »191 a formalisé en France un certain nombre d’exigences relatives à la qualité de la conception, de la construction et de l’exploitation des installations nucléaires de base (avec notamment, pour les équipements importants pour la sûreté, les notions d’exigences définies [ED] et d’activités concernées par la qualité [ACQ]). Ces exigences concernent entre autres des sujets relevant des FOH tels que l’organisation, les moyens humains et techniques, les compétences (formation, qualification, habilitation des personnels), le contrôle des activités concernées par la qualité, la surveillance des prestataires, la gestion des documents, le traitement des anomalies et incidents…

Jusqu’en 2012, le texte de cet arrêté a été la base règlementaire qui a permis aux inspecteurs de l’autorité de sûreté, avec l’appui des spécialistes FOH de l’IPSN puis de l’IRSN, d’effectuer des inspections sur ces différents sujets. Ces dispositions règlementaires sont reprises et élargies par l’« arrêté INB » du 7 février 2012 dont il a été question au chapitre 2 ; le texte de cet arrêté prescrit la mise en place d’un « système de management intégré »192, fixe des exigences applicables aux activités importantes pour la « protection des intérêts » et des exigences sur la surveillance des intervenants extérieurs, ainsi que des exigences quant à la prise en compte des FOH dans l’analyse des événements significatifs. Des compléments ont été apportés aux exigences relatives à la sous-traitance par le décret n° 2016-846 du 28 juin 2016.

À partir de 2004, l’autorité de sûreté française, consciente de l’importance croissante des sujets FOH pour la sûreté, a renforcé leur prise en compte dans ses activités de contrôle et s’est dotée pour cela de spécialistes FOH, a mis en place des formations systématiques des inspecteurs aux FOH et a élaboré des guides d’inspection en matière de FOH.

À la suite de l’accident de la centrale nucléaire de Fukushima Daiichi qui a mis en lumière l’importance des aspects sociétaux, elle a de plus décidé d’ouvrir le champ de ses réflexions sur les FOH aux différentes composantes de la société, avec la création en 2012 d’une instance pluridisciplinaire et pluraliste, le Comité sur les facteurs sociaux, organisationnels et humains (COFSOH). Au sein de ce comité, cinq groupes de travail concernent la sous-traitance, les questions juridiques, la gestion des situations de crise, l’articulation entre la sûreté « réglée » et la sûreté « gérée », enfin les activités de démantèlement des installations ; les rapports sont rendus publics193.

163.Il s’agit de systèmes qui comportent de nombreuses composantes techniques, humaines, organisationnelles, sociales qui sont en interaction.

164.Pour en savoir plus, le lecteur pourra consulter l’ouvrage de F. Daniellou, M. Simard et I. Boissières intitulé « Facteurs humains et organisationnels de la sécurité industrielle : un état de l’art », n° 2010-02 des Cahiers de la sécurité industrielle, Institut pour une culture de sécurité industrielle, Toulouse, France (ISSN 2100-3874). Disponible à l’URL https://www.foncsi.org/fr/publications/cahiers-securite-industrielle/facteurs-humains-et-organisationnels/CSI-FHOS-etat-art.pdf

165.Divers éléments du présent chapitre sont issus du « Mémento Sûreté nucléaire en exploitation » – EDF, édition 2016.

166.Ces travaux ont été menés à l’université de Berkeley. Le lecteur pourra aussi consulter l’ouvrage intitulé « Organiser la fiabilité », de M. Bourrier, Éditions L’Harmattan, 2001, ainsi que celui intitulé « Managing the Unexpected, Resilient Performance in an Age of Uncertainty », de K. Weick et K. M. Sutcliffe, Jossey Bass editions, 2007.

167.Organisation de haute fiabilité.

168.Voir à ce sujet les articles des Techniques de l’ingénieur intitulés « Industries à risques : conduire un diagnostic organisationnel par la recherche de facteurs pathogènes », J-M. Rousseau et A. Largier, AG 1 576-1, 2008, et « Systèmes complexes à risques – Analyse organisationnelle de la sécurité », M. Llory et Y. Dien, AG 1 577-1, 2010. On peut citer aussi l’article « Pour une culture des accidents au service de la sécurité industrielle », de N. Dechy, Y. Dien et M. Llory, 17e congrès « λμ », de Maîtrise des risques et de sûreté de fonctionnement, octobre 2010, La Rochelle.

169.Mis à jour en 1992 par le rapport INSAG-7.

170.Voir l’ouvrage de la sociologue américaine Diane Vaughan concernant l’accident de la navette Challenger, publié en 1996 : « The Challenger Launch Decision, Risky Technology, Culture and Deviance at NASA ». Il y est montré comment ce qui peut apparaître rétrospectivement comme une série d’erreurs clairement identifiables a été en réalité une succession de décisions et d’interprétations parfaitement compréhensibles dans le contexte dans lequel elles ont été élaborées, mais qui constituaient des micro-écarts aux limites de conception et conduisaient insensiblement à une accoutumance aux écarts (normalization of deviance).

171.« Leadership and Management for Safety », Safety Standard Series No. GSR Part 2, publié par l’AIEA en 2016.

172.Réacteur du constructeur Babcock & Wilcox.

173.Voir le « Mémento sûreté nucléaire en exploitation », EDF, édition 2016.

174.Voir l’ouvrage de Diane Vaughan cité plus haut, ainsi que le rapport du département de l’énergie américain intitulé « Action-Plan on Lessons Learned from the Columbia Space Shuttle Accident and Davis-Besse Reactor Pressure-Vessel Head Corrosion Event », U.S.DOE, 2005.

175.Mémento EDF cité plus haut.

176.Voir l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et techniques, IRSN/EDP Sciences, 2017, chapitre 11. C’est dans ce domaine, qui relève des sciences humaines et sociales, qu’en 2012 l’IRSN et d’autres partenaires ont décidé d’entreprendre de nouvelles études, dans le cadre notamment du projet AGORAS financé par l’ANR.

177.Sur ce sujet, le lecteur pourra consulter l’ouvrage « Comprendre les facteurs humains et organisationnels – Sûreté nucléaire et organisations à risques », Benoît Bernard, EDP Sciences, 2014, ainsi que le rapport du Comité d’orientation sur les facteurs sociaux, organisationnels et humains (COFSOH) intitulé « Développer la sécurité – Synthèse des travaux du groupe de travail D », septembre 2019 (disponible sur le site internet de l’ASN). On y retrouve cette même dualité entre anticipation et « résilience » dans la distinction entre sûreté « réglée » et sûreté « gérée » :

–sûreté « réglée » : elle consiste à éviter les défaillances prévisibles en s’appuyant sur des formalismes, des règles, des automatismes, des mesures et des équipements de protection et sur un management assurant le respect des règles ;

–sûreté « gérée » : elle concerne la capacité de l’organisation et de ses acteurs à percevoir les situations inattendues et à y répondre de façon adaptée. Elle repose sur l’expertise humaine, la qualité des initiatives, le fonctionnement des collectifs et des organisations et sur un management et des processus de conception attentifs à la réalité des situations.

178.Approche qualifiée d’« intégrée et systémique ».

179.Voir l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et techniques, IRSN/EDP Sciences, 2017, paragraphe 11.2.2-B.

180.« International Collaboration in Nuclear Safety – Contribution of the NEA/CSNI Working Group on Human Organisational Factors », D. Tasset, A. Frischknecht, G. Lamarre, B. Gil-Montes, ANS 8th International Conference on Nuclear Power Plant Instrumentation, Control and Human Machine Interface Technology, San Diego, États-Unis, 22−27 July 2012.

181.À la lumière du document technique intitulé « Regulatory Oversight of Human and Organizational Factors for Safety of Nuclear Installations », IAEA-TECDOC-1846.

182.« État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et techniques, IRSN/EDP Sciences, 2017, chapitre 11.

183.Sciences qui visent l’explication de la réalité et de ses phénomènes par la connaissance des causes, des « lois » ou des « modèles » qui s’y rattachent : existence de régularités y compris pour des comportements en apparence très individuels, manifestation de ces régularités dans les organisations (des individus ayant le même profil, placés dans la même situation, auront des comportements semblables, des stratégies d’actions similaires).

184.La notion de fonctionnement réel renvoie aux pratiques mises en œuvre sur le terrain et se différentie de ce qui est prévu par les procédures et formalisé dans la documentation d’exploitation.

185.Les protocoles visent à préciser les conditions d’entretiens et d’observations, notamment pour préserver la confidentialité des propos et l’anonymat des personnes interrogées.

186.Laboratoire de recherche en matière d’interface homme-machine.

187.Voire l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et techniques, IRSN/EDP Sciences, 2017, chapitre 11.

188.Voir le rapport DSR n° 438 de l’IRSN intitulé « Les facteurs organisationnels et humains de la gestion des risques : idées reçues, idées déçues », établi en 2011 et accessible sur le site internet de l’IRSN.

189.La communication orale dite sécurisée est une pratique qui permet aux intervenants de transmettre des informations claires et complètes et à l’émetteur de l’information de s’assurer qu’elles ont été bien comprises par le destinataire.

190.Les années 2000 sont aussi mises à profit, notamment par l’IRSN, pour analyser comment sont pris en compte les facteurs organisationnels et humains dans les processus de conception et d’exploitation de projets d’installations nucléaires telles que le réacteur de recherche Jules Horowitz ou le Centre industriel de stockage géologique profond (CIGEO).

191.Arrêté du 10 août 1984, évoqué au chapitre 2.

192.« L’exploitant définit et met en œuvre un système de management intégré qui permet d’assurer que les exigences relatives à la protection des intérêts [au sens de la règlementation] sont systématiquement prises en compte dans toute décision concernant l’installation. »

193.Ils sont accessibles sur le site internet de l’ASN à l’adresse https://www.asn.fr/L-ASN/Comite-
sur-les-facteurs-sociaux-organisationnels-et-humains.

Partie 2

La sûreté à la conception

Chapitre 5

Le développement de l’énergie
nucléaire utilisant la fission
de l’uranium 235 –
Quelques notions de physique
des réacteurs à eau sous pression

5.1.Quelques jalons importants du développement
de l’énergie nucléaire utilisant la fission
de l’isotope 235 de l’uranium

Avant d’aborder les aspects relatifs à la sûreté des réacteurs à eau sous pression du parc électronucléaire français, il est apparu nécessaire de présenter au lecteur, ou de lui rappeler, quelques notions fondamentales du fonctionnement des cœurs de ces réacteurs, pour ce qui concerne la maîtrise des réactions en chaîne et quelques aspects (thermodynamiques et thermohydrauliques) liés au dégagement de puissance, d’une importance toute particulière pour la tenue de la première barrière de confinement que constituent les gaines des crayons contenant le combustible (les barrières de confinement sont présentées au chapitre 6). Ce sont pour l’essentiel des notions de base mentionnées ici pour faciliter la compréhension des chapitres suivants ; le lecteur souhaitant approfondir le sujet pourra se reporter à de nombreux ouvrages194.

Ainsi, le présent chapitre aborde certains aspects de ce qui est appelé la neutronique, c’est-à-dire l’étude du cheminement des neutrons dans la matière et des conditions d’une réaction nucléaire en chaîne, les études de neutronique constituant la base de la conception des réacteurs nucléaires. Quelques-uns des outils et méthodes de calcul de neutronique seront présentés au chapitre 40195.

Le chemin qui a mené à la réalisation des premiers réacteurs nucléaires a été jalonné de dates importantes qui sont rappelées ci-après :

–1932 : l’existence du neutron est mise en évidence par James Chadwick, 40 ans après la découverte de la radioactivité − et dix ans après l’hypothèse de Rutherford sur l’existence d’une particule neutre qui aurait approximativement la même masse que le proton ; c’est aussi l’année de la première réaction nucléaire provoquée par des protons sur une cible de lithium (John Cockcroft et Ernest Walton) ;

–1933 : Léó Slizárd dépose un brevet sur le concept de réaction en chaîne ;

–1934 : Enrico Fermi identifie le phénomène de ralentissement des neutrons (modération) par chocs sur des noyaux légers (l’hydrogène, le carbone)196, qui augmentent la probabilité de réaction nucléaire ; cette découverte contribua à sa renommée et lui valut le prix Nobel de physique en 1938 ;

–1938 : Otto Hahn et Fritz Strassmann apportent la preuve de la fission de l’uranium par bombardement de neutrons ;

–1939 : l’équipe du Collège de France, Frédéric Joliot, Hans von Halban et Lew Kowarski, réussit à démontrer expérimentalement la possibilité d’une réaction en chaîne et dépose un brevet de réacteur (début 1940, cette équipe fait acheter en Norvège le stock mondial d’eau lourde, identifiée comme modérateur, alors disponible [180 litres]). C’est aussi en 1939 que, à la suite d’une lettre d’Albert Einstein au président Roosevelt, Enrico Fermi obtient des subventions pour acquérir une tonne et demie de graphite comme matériau modérateur pour poursuivre ses travaux. C’est aussi dans ces années que l’isotope 235 de l’uranium est identifié par Niels Bohr comme un élément fissile dans l’uranium naturel ;

–1942 : premières mesures de neutrons retardés (la définition en est donnée plus loin) issus de la fission de l’uranium 235, effectuées à Chicago par Arthur H. Snell. C’est aussi en 1942 qu’après toute une série « d’expériences exponentielles » menées à New York (université de Columbia) puis à l’université de Chicago, Enrico Fermi procède à la « divergence » (c’est-à-dire à l’obtention des conditions d’entretien de la réaction nucléaire en chaîne) de la première « pile atomique » utilisant de l’uranium naturel et du graphite (Chicago pile-1, installée sous les tribunes d’un stade du campus universitaire − voir figure 5.1) ; des expériences seront menées jusqu’en 1943 avec cette installation, année où il fut décidé de la démonter ;

–1948 : première divergence d’une pile atomique en France, dénommée ZOÉ, implantée à Fontenay-aux-Roses (voir la figure 5.1) ;

–1956 : divergence du premier réacteur nucléaire français produisant de l’électricité : il s’agit du réacteur G1 implanté à Marcoule (réacteur à uranium naturel, refroidi à l’air et utilisant du graphite comme modérateur, préfigurant la future filière française dite UNGG – uranium naturel, graphite gaz) ;

–1957 : mise en service du premier réacteur nucléaire électrogène à eau sous pression, à Shippingport en Pennsylvanie, aux États-Unis.

Figure 5.1. À gauche, Chicago pile-1 à l’université de Chicago. Courtesy National Archives ; à droite la pile ZOÉ à Fontenay-aux-Roses. CEA/Service de documentation.

La suite du présent chapitre rappelle un certain nombre de notions, en particulier celles de fission nucléaire, de neutrons prompts et de neutrons retardés (ou différés), de spectre neutronique, de puissance et de réactivité, d’empoisonnement neutronique et de coefficients de contre-réaction. Par ailleurs, l’un des aspects importants des réacteurs nucléaires est que, lorsque la réaction en chaîne est arrêtée, les réacteurs dégagent encore, pendant un temps très long, une puissance dite résiduelle : cet aspect est aussi abordé dans le présent chapitre.

La maîtrise de la réaction en chaîne fait partie du « procédé » même des réacteurs nucléaires, qu’ils soient de puissance ou d’expérimentation, puisque l’on y recherche l’état « critique » (ou la « criticité ») pour le fonctionnement normal, c’est-à-dire une réaction en chaîne auto-entretenue, en procédant à des divergences contrôlées, par « approches sous-critiques ». Il sera vu au chapitre 6 que la maîtrise de cette réaction en chaîne (ou de la réactivité, pour reprendre le terme usuel qui sera précisé plus loin) est l’une des trois fonctions fondamentales de sûreté. Cela n’a pourtant pas empêché un certain nombre d’accidents de survenir dans les réacteurs d’expérimentation, au cours desquels la réaction en chaîne n’a pas été maîtrisée, sans parler de l’accident de Tchernobyl. Il convient aussi de rappeler qu’une réaction en chaîne naturelle, auto-entretenue (sans intervention humaine) s’est produite, dans la mine d’uranium d’Oklo exploitée par la Cogema au Gabon ; c’est le seul cas connu, découvert en 1972.

Cependant, dans un réacteur nucléaire, la criticité doit être évitée dans tous les états pour lesquels elle n’est pas recherchée, par exemple dans les états d’arrêt, lors du rechargement du cœur en assemblages combustibles.

De façon générale, les conditions qui permettent une réaction en chaîne résultent d’un optimum entre :

–une quantité suffisante de matières dites fissiles (masse « critique »),

–une quantité suffisamment faible de matériaux absorbant les neutrons,

–une géométrie favorable, limitant les fuites de neutrons hors du milieu fissile,

–éventuellement, la présence d’un matériau « modérateur » diminuant l’énergie des neutrons issus des fissions, dans le but d’augmenter leur chance de provoquer d’autres fissions.

Les principaux isotopes fissiles sont l’uranium 235 et le plutonium 239. D’autres isotopes, moins courants, sont également fissiles : l’uranium 233, le plutonium 241, le plutonium 238197, le neptunium 237 et le californium 251. Dans un réacteur à eau sous pression, seuls sont utilisés :

–l’uranium 235 dans une proportion (enrichissement) de 3 à 4,5 %, le reste étant de l’uranium 238 ;

–le plutonium 239 dans le cas des assemblages combustibles utilisant du combustible MOX, avec une teneur moyenne en plutonium198 de 8 à 9 % − l’utilisation de MOX sera présentée plus loin, au paragraphe 5.7).

Au moment de leur production, c’est-à-dire à l’issue des fissions, les neutrons ont une énergie cinétique moyenne de 2 MeV. Dans le cas des réacteurs à eau sous pression, qui fonctionnent avec des neutrons dits thermiques (énergie moyenne de 1/40 eV199), l’eau sert à la fois de caloporteur et de modérateur, ce qui permet de réduire la proportion de neutrons de haute énergie et, ainsi, d’augmenter les chances de fission des noyaux d’uranium 235.

Concernant la capture neutronique, des noyaux comme le béryllium, le zirconium, le plomb sont relativement transparents aux neutrons ; c’est l’une des raisons du choix d’alliages de zirconium pour le gainage des crayons combustibles dans les réacteurs à eau sous pression200. Toutefois, pour maîtriser la réaction en chaîne, il faut aussi pouvoir disposer de matériaux absorbant les neutrons, pouvant se comporter comme des « poisons » neutroniques. Il s’agit souvent de bore, de cadmium, de gadolinium ou de hafnium. D’autres noyaux usuellement rencontrés ont aussi une capacité d’absorbant neutronique : il en est ainsi du fer, du nickel, du chrome, du cuivre mais aussi de l’azote, de l’hydrogène, de l’uranium 238, du plutonium 240.

La présence de matériaux réflecteurs autour des cœurs des réacteurs nucléaires peut limiter les fuites de neutrons en les renvoyant par réflexion vers le milieu fissile. L’eau et les matériaux hydrogénés sont d’excellents réflecteurs mais le béryllium, le plomb et le graphite sont encore plus efficaces. Un réflecteur « lourd » a été adopté pour le réacteur EPR Flamanville 3 ; il s’agit d’une structure métallique (comportant 95 % d’acier) de 20 cm d’épaisseur et disposant de canaux verticaux qui permettent son refroidissement. Ce réflecteur permet aussi de réduire la fluence201 d’irradiation reçue par le matériau de la cuve du réacteur, qui le rend progressivement moins ductile.

Il convient aussi de noter que les fuites neutroniques sont d’autant plus réduites que la surface du cœur est faible par rapport à son volume202.

Assurer la maîtrise de la réactivité d’un réacteur, c’est agir sur un ou plusieurs termes du bilan neutronique : ceux qui limitent la production des neutrons, ceux qui assurent leur capture et ceux qui favorisent les fuites.

5.2.La fission et quelques notions importantes
de « cinétique » des réacteurs

La fission

La figure 5.2 ci-après décrit schématiquement la réaction de fission.

Figure 5.2. La réaction de fission de l’uranium 235. Georges Goué/IRSN.

Dans un réacteur à eau sous pression, la fission d’un noyau d’uranium 235 génère en moyenne 2,48 neutrons dits secondaires (seuls deux sont représentés sur la figure 5.2), capables à leur tour de produire des fissions d’autres noyaux d’uranium 235. Les produits de fission sont, principalement, des isotopes du brome, du krypton et du zirconium (nombre de masse voisin de 95), ainsi que des isotopes de l’iode, du xénon et du baryum (nombre de masse voisin de 139). Des isotopes du césium et du ruthénium comptent aussi parmi les produits de fission et ont un poids important, avec l’iode 131, sur les conséquences radiologiques en cas d’accident d’un réacteur à eau sous pression.

La fission d’un noyau de plutonium 239 génère en moyenne 2,90 neutrons secondaires.

Le spectre neutronique de la fission de l’uranium 235, c’est-à-dire la répartition des neutrons selon leur énergie cinétique, est représenté sur la figure 5.3 ; l’énergie présente un pic vers 1 MeV, et vaut en moyenne 2 MeV (correspondant à une vitesse des neutrons de 20 000 km/s).

Comme cela a été indiqué plus haut, l’eau utilisée comme modérateur permet de réduire l’énergie des neutrons pour la « déplacer » vers le domaine dit thermique, favorisant ainsi la fission des noyaux d’uranium 235 – bien qu’il demeure une proportion majoritaire de neutrons de forte énergie dans le milieu203.

Figure 5.3. Profil du spectre de neutrons issus de la fission de l’uranium 235 (distribution du nombre de neutrons dont l’énergie est comprise entre E et E + dE). Georges Goué/IRSN.

La réaction de fission d’un noyau d’uranium 235 libère une énergie correspondant à la différence entre l’énergie à l’état final et l’énergie à l’état initial, soit environ 200 MeV ; ainsi, la fission d’un gramme d’uranium 235 libère une énergie d’environ 8,2.1010 joules, soit environ un mégawatt.jour (MW.j). La fission de tous les noyaux d’uranium 235 d’une tonne d’uranium naturel, contenant 0,7 % d’uranium 235, donne une énergie 10 000 fois plus importante qu’une tonne d’équivalent pétrole.

Quelques notions importantes de cinétique des réacteurs

Le terme de cinétique des réacteurs (reactor kinetics en anglais) se réfère à l’étude du comportement temporel d’un réacteur nucléaire (évolution de la population de neutrons) et des paramètres qui le déterminent ; le présent paragraphe en donne quelques notions.

Pour exprimer commodément les conditions d’entretien de la réaction en chaîne, il est d’usage de considérer une grandeur appelée coefficient effectif de multiplication, keff, correspondant au rapport suivant :

La réactivité, ρ, correspond au rapport suivant :

La réactivité représente donc la fraction de neutrons manquante ou en excès pour entretenir la réaction en chaîne. Elle s’exprime en pcm (pour cent mille : 10-5).

L’effet sur la puissance est ainsi résumé dans le tableau suivant :

keff

< 1

1

> 1

ρ

< 0

0

> 0

État du réacteur

sous-critique

critique

sur-critique

Puissance

diminue

stable

augmente

L’évolution de la population neutronique suit la loi suivante (sans tenir compte des neutrons retardés [voir plus loin] et sans source neutronique additionnelle) :

où ℓ désigne la durée de vie moyenne des neutrons n.

La période du réacteur, T, temps au bout duquel la population neutronique est multipliée ou divisée par le facteur e (2,718) vaut ainsi :

En fait, il s’agit à ce stade de formulations très simplifiées, du fait d’un aspect fondamental du fonctionnement des réacteurs qui est l’existence, dans la population neutronique, d’une petite proportion de neutrons émis avec un certain retard par rapport à ceux qui sont issus directement des fissions, et sans lesquels aucun réacteur ne serait contrôlable : il s’agit des neutrons retardés, ou différés, qu’il convient donc de distinguer des neutrons issus directement des fissions, appelés neutrons prompts. La proportion des neutrons différés est désignée par le terme « β effectif », ou βeff. En effet, l’essentiel des neutrons intervenant dans la réaction en chaîne est directement libéré quasiment au moment de la fission (dans un délai de l’ordre de 10-14 s) ; leur temps de vie est court, 25 µs pour les réacteurs à eau. Toutefois, quelques neutrons, dits neutrons différés, sont libérés par décroissance radioactive de certains produits de fission, donc avec un certain retard204. Leur contribution globale dépend des noyaux fissiles : environ 1 450 pcm pour l’uranium 238, 650 pcm pour l’uranium 235, 210 pcm pour le plutonium 239205. Le βeff dépend des proportions de ces éléments. Pour les réacteurs à eau sous pression français chargés en uranium, le βeff varie entre 500 et 700 pcm.

Quand la réactivité est supérieure au βeff, le temps séparant deux générations de neutrons devient très court. Le réacteur devient alors critique ou sur-critique avec les seuls neutrons prompts ; les variations de puissance peuvent alors être extrêmement rapides.

Une autre grandeur utilisée est le flux neutronique, qui représente la quantité de neutrons passant par unité de temps à travers une surface ; il est désigné par le symbole φ. Dans un réacteur à eau sous pression, avec une population de 50 à 150 millions de neutrons par cm3, le flux neutronique vaut de 1 à 3.1013 neutrons.cm-2.s-1, 100 fois inférieur aux flux obtenus dans des réacteurs à spectre plus énergétique, comme le réacteur à haut flux (RHF) implanté à Grenoble (1015 neutrons.cm-2.s-1) ou encore le réacteur à neutrons rapides PHENIX (environ 7.1015 neutrons.cm-2.s-1 au centre du cœur206) qui a été arrêté définitivement en 2009.

Les phénomènes de contre-réaction neutronique

Outre l’existence de neutrons différés dans la population neutronique, deux autres effets bénéfiques pour le pilotage des réacteurs à eau sous pression doivent être mentionnée : l’effet Doppler et l’effet modérateur. Ces deux effets constituent ce que l’on appelle des contre-réactions neutroniques.

L’effet Doppler traduit la baisse de puissance (réduction du nombre de fissions) lorsque la température du combustible augmente ; dans un réacteur à eau sous pression, cet effet est de l’ordre de - 3 pcm/°C. Il est lié à l’augmentation de la capture des neutrons207 par l’uranium 238 lorsque la température du combustible augmente (voir la figure 5.4) ; physiquement, cela est dû à une augmentation de la probabilité de capture d’un neutron par l’uranium 238 avec l’augmentation de la température du noyau d’uranium 238 – ce phénomène est connu dans la littérature scientifique sous le nom d’« élargissement Doppler des résonances ». Il intervient quasi instantanément et il est intrinsèquement stabilisant. Il joue un rôle très important dans la maîtrise des transitoires d’augmentation de puissance, indépendamment des actions automatiques ou manuelles pouvant être mises en œuvre. Il convient de noter que, lors de la « montée » en puissance d’un réacteur, la réactivité à dégager (par la diminution de la concentration de bore dans l’eau du circuit primaire et le retrait progressif des grappes absorbantes) doit s’opposer à l’antiréactivité correspondant à l’intégrale de l’effet Doppler de l’état d’arrêt jusqu’à la température visée pour le fonctionnement.

Figure 5.4. Représentation schématique de l’élargissement de la courbe des sections efficaces d’absorption de l’uranium 238 en fonction de l’énergie de la particule impactante, pour trois niveaux de températures T, T/3 et 3T de l’uranium 238. IRSN.

Le second effet bénéfique dans un réacteur à eau sous pression est lié au modérateur, à savoir l’eau du circuit primaire utilisée comme fluide caloporteur. Dans un réacteur à eau sous pression, l’eau permet de ralentir les neutrons (la « thermalisation ») et de favoriser ainsi la fission des noyaux d’uranium 235 ; il est clair que, s’il se produit une dilatation de l’eau (par exemple par une augmentation de sa température ou en cas de dépressurisation…), voire sa disparition (ébullition, vidange), la réaction en chaîne va s’étouffer. C’est un phénomène important dans la maîtrise de certains transitoires, qui intervient toutefois selon la cinétique de variation de la température ou de la proportion de l’eau. Entre le début d’un cycle208 et la fin d’un cycle de fonctionnement d’un cœur de réacteur (et en considérant le xénon « à l’équilibre » – voir plus loin), l’effet du modérateur (appelé aussi coefficient de température du modérateur) passe d’environ - 10 pcm/°C à - 60 pcm/°C ; cette variation de l’effet du modérateur en fonction de l’avancée dans le cycle est due à l’effet du bore, élément absorbant ajouté à l’eau du circuit primaire, dont la concentration est réduite au fur et à mesure de l’épuisement du combustible du cœur (voir plus loin au paragraphe 5.6).

Le rapport entre la concentration volumique des atomes modérateurs et la concentration volumique des atomes fissiles, appelé rapport de modération, fait partie des choix de conception du cœur. Dans le cas des réacteurs à eau sous pression, le choix est fait d’avoir un réseau « sous-modéré » de crayons combustibles, par un choix judicieux de l’espacement entre les crayons, de telle sorte que toute augmentation de la température de l’eau, a fortiori son ébullition, se traduise par une diminution du coefficient de multiplication effectif des neutrons.

La figure 5.5 montre l’évolution du coefficient de multiplication keff en fonction du rapport de modération, ainsi que le choix de conception adopté :

–plus les crayons combustible sont rapprochés les uns des autres, moins la quantité de modérateur pouvant ralentir les neutrons est suffisante (faible rapport de modération, partie gauche de la courbe) : le coefficient de multiplication diminue ;

–plus les crayons sont éloignés les uns des autres, plus la probabilité qu’un neutron émis dans le combustible et thermalisé dans le modérateur rencontre un autre atome fissile diminue (rapport de modération élevé, partie droite de la courbe) : le coefficient de multiplication diminue ;

–il existe une situation intermédiaire pour laquelle le rapport de modération conduit au maximum du coefficient de multiplication (optimum de modération).

Figure 5.5. Variation du keff en fonction du rapport de modération. Auteur : internovice CC BY-SA 3.0.

L’effet Doppler et l’effet modérateur jouent donc dans le même sens à l’égard de variations de température :

–une augmentation de la température du caloporteur introduit une antiréactivité ;

–à l’inverse, un refroidissement introduit de la réactivité (en cas par exemple d’ouverture d’une soupape de générateur de vapeur…).

Un aspect de la neutronique des cœurs
des réacteurs à eau sous pression : l’effet xénon

Un phénomène important à considérer dans les cœurs des réacteurs à neutrons thermiques comme les réacteurs à eau sous pression est lié au xénon. Les fissions produisent de l’iode 135, qui se transforme avec un retard de quelques heures en xénon 135 ; ce dernier se transforme également en quelques heures, en absorbant des neutrons issus des fissions209. Lors d’une baisse de puissance ou d’un arrêt du réacteur, il n’y a plus assez de neutrons pour assurer la dégradation du xénon 135 et celui-ci s’accumule, créant un « empoisonnement » du réacteur. Un « pic xénon » est atteint environ une dizaine d’heures après un arrêt du réacteur (voir la figure 5.6) ; si la réserve en réactivité du cœur est insuffisante, le réacteur ne peut pas être redémarré à ce moment-là. À plus long terme, la disparition progressive du xénon 135 apporte un surcroît de réactivité par rapport à l’état initial du réacteur en puissance, qu’il est nécessaire de compenser en augmentant la concentration de bore dans l’eau du circuit primaire. En fonctionnement normal stable à pleine puissance, la production et la disparition du xénon 135 s’équilibrent au bout d’une cinquantaine d’heures (l’absorption de neutrons par le xénon représentant quelque 3 000 pcm).

Figure 5.6. Profil d’évolution de la concentration en xénon 135 au cours du fonctionnement d’un réacteur à eau sous pression. IRSN.

L’antiréactivité liée à la concentration en xénon peut être à l’origine d’instabilités ou d’oscillations de puissance radiales ou axiales dans le cœur. Une augmentation locale de la puissance peut faire diminuer la concentration en xénon par accroissement de l’absorption neutronique du xénon, ce qui accentue l’augmentation de puissance, cela jusqu’à ce que l’empoisonnement soit à l’équilibre avec la nouvelle distribution de puissance. La durée des instabilités ou oscillations liées au xénon est de l’ordre de 24 heures, mais elles peuvent être maîtrisées par un pilotage des grappes absorbantes, grâce à la surveillance permanente de l’« axial offset » décrit ci-après.

Paramètres décrivant l’hétérogénéité du flux neutronique
au sein du cœur

La distorsion axiale du flux dans le cœur est représentée par l’« axial offset » (AO), qui correspond au rapport suivant (P désigne la puissance nucléaire) :

Deux autres grandeurs représentatives de la distribution de puissance dans un cœur de réacteur sont utilisées, notamment dans les algorithmes du système de protection du réacteur (voir le paragraphe 5.6) :

–le facteur de point chaud FQ :

FQ = Max [P(x,y,z)]x,y,z

–le facteur radial de canal chaud F∆H :

F∆H = Maxx,y ∫z P(x,y,z)

Une autre notion concernant la distribution de puissance dans le cœur mérite aussi d’être évoquée, il s’agit du tilt (power tilt en anglais). Par construction, le combustible est chargé de façon symétrique dans un cœur de réacteur, dans le but d’avoir une distribution de puissance symétrique (et la plus uniforme possible). Il se trouve que, pour des raisons mal connues [liées probablement à une possible courbure de quelques assemblages combustibles dans le cœur – induisant des variations de l’épaisseur des lames d’eau entre assemblages combustibles, donc du rapport de modération –], la distribution de puissance peut ne pas être symétrique, induisant un écart entre la puissance moyenne de l’un des quadrants du cœur et celles des trois autres quadrants. Un tilt a été identifié dans les réacteurs de 900 MWe, mais il est apparu plus important en 1984 lors des essais de démarrage du réacteur n° 1 de la centrale nucléaire de Paluel, tête de série du palier de réacteurs de 1 300 MWe, avec des valeurs ayant pu atteindre 5 à 10 %. Du fait de la présence possible de cet écart, les facteurs de point chaud définis ci-dessus sont, dans les études de sûreté, majorés d’un coefficient pour prendre en compte l’existence d’un tilt. La validité des pénalités associées est apportée en vérifiant des limites de tilt dans le cadre des essais physique de redémarrage d’un réacteur après rechargement du combustible.

5.3.L’évacuation de la puissance du cœur
en fonctionnement

Comme cela a été indiqué plus haut, la fission d’un gramme d’uranium 235 libère une énergie d’environ 8,2.1010 Joules, soit environ 1 MW.j.

Cette énergie est libérée pour l’essentiel (à 82 %210) sous la forme d’énergie cinétique des produits de fission excités et radioactifs, qui libèrent à leur tour de l’énergie sous la forme notamment de rayonnements bêta et gamma, emportant eux aussi une petite partie de l’énergie de la réaction. En outre, les produits de fission ayant un très faible parcours dans la matière, leur énergie cinétique est dissipée localement sous forme de chaleur dans le combustible.

Dans un réacteur à eau sous pression, l’évacuation de cette chaleur dégagée par le combustible est assurée par le transfert de chaleur au travers des gaines en alliage de zirconium et par la circulation du fluide réfrigérant, l’eau du circuit primaire, autour des crayons.

Les paramètres typiques de fonctionnement sont les suivants (les valeurs indiquées correspondent au cas des réacteurs de 1 450 MWe du palier N4) :

Puissance thermique extraite du cœur (palier N4)

4 250 MW

Pression du circuit primaire

155 bars

Température de l’eau à l’entrée de la cuve du réacteur

292 °C

Température de l’eau à la sortie de la cuve du réacteur

329 °C

Échauffement de l’eau dans le réacteur

37 °C

Température moyenne de l’eau dans le cœur

310 °C

Débit primaire à l’entrée de la cuve du réacteur

95 580 m3/h

À ces paramètres de fonctionnement, correspondent :

–une température maximale du combustible au centre des pastilles d’environ 1 000 °C, valeur à comparer à la température de fusion de l’oxyde UO2 dont la valeur est de 2 810 °C pour du combustible neuf et qui décroît211 de 7,6 °C tous les 10 000 MWj/t (la température de fusion de l’oxyde mixte UO2-PUO2 est de 2 757 °C avec une décroissance de 4 °C tous les 10 000 MWj/t) ;

–une température maximale de gaine d’environ 350 °C, à comparer à la température de fusion du zirconium qui est de 1 855 °C212.

À une pression de 155 bars, l’ébullition de l’eau se produit aux environs de 340 °C, soit environ 11 °C au-dessus de la température de l’eau à la sortie du cœur.

5.4.La puissance résiduelle

L’énergie dégagée dans un combustible qui a participé à une réaction en chaîne ne s’annule pas avec l’arrêt de cette réaction (tableau 5.1). En effet, les produits issus de la fission doivent eux-mêmes libérer par radioactivité une certaine énergie avant d’atteindre un état stable. Ils le font selon une période de décroissance propre à chaque corps radioactif ; cette période peut être très courte (inférieure à la seconde), moyenne (des mois ou des années) ou très longue (des centaines ou des milliers d’années). Bien que décroissante, la puissance produite est longtemps supérieure au millième de la puissance nominale, exigeant la poursuite d’un certain refroidissement.

Tableau 5.1. Évolution de la puissance résiduelle d’un cœur de réacteur dans le temps − Cas d’un réacteur de 3 000 MWth, soit 1 000 MWe environ, en fin de cycle, chargé en oxyde d’uranium, pour un taux de combustion maximal dans le cœur (taux moyenné dans chaque assemblage) de 33 GWj/tU.

Délai depuis l’arrêt

Part de la puissance
thermique initiale

Puissance thermique
produite en MW

30 secondes

7 à 8 %

210 à 250 MW

1 minute

5 %

150

1 heure

1,5 %

45

1 jour

0,5 %

15

1 semaine

0,3 %

9

1 mois

0,15 %

4,5

1 an

0,03 %

1

10 ans

0,003 %

0,1

100 ans

0,001 %

0,03

1 000 ans

0,0002 %

0,006

5.5.Quelques éléments descriptifs des cœurs
des réacteurs à eau sous pression

Le tableau 5.2 donne les principales caractéristiques des cœurs des différents paliers de réacteurs à eau sous pression français et la figure 5.7 représente un assemblage combustible.

Tableau 5.2. Principales caractéristiques des cœurs des différents paliers de réacteurs à eau sous pression français.

Type de réacteur

900 MWe

1 300 MWe

N4

EPR

Nombre d’assemblages combustibles

157

193

205

241

Nombre de crayons combustibles par assemblage

264
(selon un pas de 17 x 17
avec 24 tubes-guides
et un tube d’instrumentation)

265
(le tube d’instrumentation est remplacé par
un crayon combustible)

Diamètre extérieur des crayons (gaines)/épaisseur des gaines
(en alliages de zirconium)

9,50 mm/0,57 mm

Hauteur de l’empilement
des pastilles de combustible (partie « active » du cœur)

3,66 m (UO2) ou 3,59 m (MOX)

(12 pieds)

4,27 m

(14 pieds)

4,20 m

(∼ 14 pieds)

Longueur des assemblages combustibles

4,06 m

4,80 m

4,80 m

Largeur des assemblages combustibles

21,4 cm

Nombre de tubes guides
de grappes absorbantes

24

Figure 5.7. Vue générale d’un crayon combustible et d’un assemblage combustible. Georges Goué/Médiathèque IRSN.

Les différentes modalités d’utilisation des assemblages combustibles dans les cœurs des réacteurs (comme le taux de combustion au moment de leur déchargement), couvertes par l’appellation « gestion », sont présentées au chapitre 28.

5.6.Le pilotage et le contrôle des cœurs
des réacteurs à eau sous pression

Le contrôle de la puissance produite dans le cœur du réacteur suppose, on l’a vu, la maîtrise de la réactivité de ce cœur, qui est assurée par deux moyens différents et complémentaires : la concentration de bore dans l’eau du circuit primaire et des absorbants neutroniques mobiles insérés dans le cœur. Il a aussi été indiqué que le choix d’un réseau « sous-modéré » d’assemblages combustibles participe à la stabilité du cœur à l’égard d’augmentations de température (le volume d’eau entre les crayons est légèrement inférieur à celui qui assurerait le ralentissement optimum des neutrons) ; l’effet Doppler constitue l’autre phénomène stabilisant.

Deux types d’éléments absorbants mobiles sont utilisés :

–les grappes de contrôle : lorsque le réacteur est en fonctionnement, elles sont insérées dans la partie « active » du cœur (zone fissile) et permettent de réguler la température de l’eau du circuit primaire et la puissance en fonction de la demande externe de consommation électrique ; certaines grappes peuvent être totalement insérées dans le cœur dans les états d’arrêt du réacteur ;

–les grappes d’arrêt : elles sont maintenues, lorsque le réacteur est en fonctionnement, au-dessus de la partie « active » du cœur ; par leur chute gravitaire, associée à celle des grappes de contrôle, elles permettent d’arrêter le réacteur en cas d’anomalie ; dans les états d’arrêt, les grappes d’arrêt sont insérées dans le cœur hormis quelques-unes qui restent en position extraite, afin de disposer d’une antiréactivité disponible en cas de dilution intempestive du bore par exemple213.

Les nombres des grappes absorbantes dans les différents réacteurs sont présentés dans le tableau 5.3.

Tableau 5.3. Nombres de grappes absorbantes dans les différents réacteurs.

Type de réacteur

900 MWe

1 300 MWe

N4

EPR

Nombre de grappes absorbantes (grappes de contrôle et grappes d’arrêt)

Entre 48 et 57 selon la gestion de combustible

65

73

89

La quantité de matières fissiles introduite dans le cœur lors d’un arrêt pour rechargement normal permet le fonctionnement du réacteur pendant au moins un an. La maîtrise de la réactivité disponible est assurée par les grappes de contrôle et par du bore dissous dans l’eau du circuit primaire. Toutefois, l’insertion des grappes de contrôle très absorbantes de neutrons perturbe fortement le flux neutronique donc la puissance produite localement et induit des contraintes mécaniques sur les gaines. Des grappes « noires », très absorbantes, sont utilisées pour l’arrêt ou pour certaines régulations de puissance et de température. Des grappes « grises », moins absorbantes, ont été introduites pour les paliers de réacteurs conçus après ceux du groupe dit CP0 car elles limitent la perturbation du flux neutronique local provoquée par leur insertion. Les compositions sont présentées dans le tableau 5.4.

Tableau 5.4. Composition des assemblages avec grappes absorbantes (« grappés »)214.

Types de réacteurs →

Types d’assemblages
avec grappes absorbantes

↓

900 MWe

1 300 MWe, N4 et EPR

Assemblages avec des grappes « noires »

24 crayons AIC (80 % d’argent, 15 % d’indium, 5 % de cadmium)

24 crayons AIC/B4C
(carbure de bore)

Assemblages avec des grappes « grises »

8 crayons AIC et 16 crayons
en acier inoxydable

(pas de barres grises
pour les réacteurs
du premier groupe dit CP0)

8 crayons AIC et 16 crayons
en acier inoxydable

Pour les besoins du pilotage du réacteur et de la maîtrise de la réactivité dans les états d’arrêt, les commandes des grappes de contrôle et d’arrêt sont regroupées pour former respectivement des groupes de pilotage et des groupes d’arrêt. La conception de ce « schéma de grappes » dépend du « mode de pilotage » retenu et résulte de nombreux compromis pour favoriser la manœuvrabilité du réacteur tout en préservant les marges de sûreté nécessaires, liées notamment aux perturbations de la distribution de puissance, à l’efficacité de l’arrêt automatique du réacteur et aux incidents ou accidents d’insertion de réactivité par extraction de grappes qui sont postulés (voir le chapitre 35). Par exemple, les profondeurs d’insertion des groupes de grappes dans le cœur en fonction du niveau de puissance du réacteur doivent être suffisantes pour permettre les variations de puissance nécessaires aux besoins du réseau électrique, tout en restant limitées, afin que la chute de l’ensemble des grappes assure l’arrêt rapide du réacteur avec une marge d’antiréactivité suffisante (par exemple - 1 800 pcm pour les réacteurs de 1 300 MWe en gestion dite GEMMES) et que le retrait incontrôlé d’un ou plusieurs groupes de grappes ou l’éjection rapide hors du cœur de la grappe la plus efficace215 n’aient pas de conséquences inacceptables.

L’usage du bore dissous dans l’eau sous forme d’acide borique H3BO3 ne présente pas les mêmes inconvénients puisque sa répartition est homogène. Son efficacité est de l’ordre de - 10 pcm par ppm216. En revanche, les variations de concentration ne peuvent pas se faire très rapidement et il existe une limitation importante pour la sûreté concernant la concentration maximale de bore. Il faut en effet éviter qu’un échauffement du modérateur chargé en poison neutronique ne puisse provoquer, par diminution de la densité de ce poison, un accroissement de la réactivité du cœur, donc une augmentation de puissance éventuellement incontrôlée. Le coefficient de température du modérateur serait alors positif, ce que l’on s’interdit dans ces réacteurs.

Les grappes absorbantes assurent la régulation de la puissance et l’arrêt d’urgence en fonctionnement (ou « arrêt automatique du réacteur » – voir plus loin). Le bore permet de compenser l’usure des matières fissiles du cœur et les différents effets sur la réactivité liés notamment aux variations des températures du combustible et du modérateur ou à l’accumulation de xénon 135. À froid, il faut donc plus de bore que pendant le fonctionnement en puissance, les grappes absorbantes n’étant pas suffisantes pour assurer, à elles seules, la sous-criticité du cœur dans ces conditions.

La réactivité qui doit être contrôlée par le bore dépend de la puissance produite, de la température du cœur en fonctionnement, à chaud ou à l’arrêt, du taux de combustion des assemblages combustibles. À froid, après rechargement, toutes grappes insérées, la concentration de bore qui rend l’ensemble sous-critique est de l’ordre de 1 000 ppm (parties par million) de bore. Cela permet de contrôler les 12 000 pcm de réactivité disponibles. Avec certains groupes de grappes extraits du cœur du réacteur en accord avec les configurations de grappes prévues dans les différents états d’arrêt, il faut 1 450 ppm de bore pour contrôler les 15 000 pcm de réactivité disponibles. En arrêt à chaud, soit avec de l’eau à 286 °C dans le circuit primaire, toutes grappes d’arrêt extraites, il faut 900 ppm de bore environ pour contrôler les 7 000 pcm de réactivité disponibles, l’efficacité du bore diminuant avec la température du fait de la diminution de la densité de l’eau (voir la figure 5.8).

Figure 5.8. Réactivité potentielle du cœur sans bore. IRSN.

Les spécifications techniques d’exploitation des réacteurs (présentées au paragraphe 20.2) ont, dans un premier temps, requis un écart minimal à la criticité variant de 5 000 pcm (arrêt à froid pour rechargement de combustible dans le cœur – cuve ouverte) à 1 000 pcm (arrêt à froid ou à chaud en début de cycle) – ce qui conduisait à requérir des concentrations de bore comprises entre 2 000 et 1 000 ppm en début de cycle. Toutefois, les études relatives aux risques d’accident de criticité par transfert d’eau non borée dans le cœur, menées à la suite de l’accident de la centrale nucléaire de Tchernobyl (voir le chapitre 35), ont conduit Électricité de France à retenir ultérieurement la valeur de 2 000 pcm comme écart minimal à la criticité pour les états d’arrêt normal du réacteur, à froid ou à chaud217 ; cela permet à l’opérateur de disposer d’un délai d’intervention suffisant aussi bien en cas de dilution lente et homogène du fluide primaire qu’en cas de dilution hétérogène. Par ailleurs, pour les gestions du combustible les plus récemment mises en œuvre par Électricité de France dans ses réacteurs, l’écart minimal à la criticité a été augmenté au-delà de 2 000 pcm pour prévenir le risque de retour en puissance du cœur dans ces états d’arrêt normal en cas d’apport incontrôlé de réactivité correspondant au retrait de grappes absorbantes ou à un refroidissement incontrôlé du fluide primaire (voir le chapitre 35).

Enfin, la concentration minimale de bore requise dans les états d’arrêt pour rechargement du combustible dans le cœur ou pour intervention est désormais définie de manière à garantir un écart à la criticité d’un peu plus de 2 000 pcm sans aucune grappe absorbante dans le cœur (en postulant une situation accidentelle enveloppe de retrait de toutes les grappes lors de la levée du couvercle de la cuve218).

Par ailleurs, l’allongement de la durée des cycles d’irradiation des cœurs des réacteurs du parc électronucléaire (de 12 mois à 18 mois) a conduit à augmenter l’enrichissement du combustible en isotope 235 de l’uranium. Le contrôle du surcroît de réactivité en début de cycle a alors nécessité de recourir à un autre absorbant neutronique, le gadolinium, afin de limiter la concentration du bore, pour garantir un coefficient de température du modérateur négatif. Le gadolinium s’épuise au fur et à mesure de l’irradiation, d’où le terme de « poison consommable ». Il est utilisé sous forme solide d’oxyde Gd2O3 dans les pastilles de combustible.

De nombreuses contraintes de conception et de conduite de l’installation ainsi que la conception des systèmes de protection et de sauvegarde sont déterminées par les considérations qui précèdent.

Les études de physique et de thermohydraulique doivent bien sûr couvrir tous les types de chargement, tous les épuisements du combustible et tous les états du réacteur allant de la puissance nominale à l’arrêt à froid. Tout changement des caractéristiques du combustible comme, par exemple, l’introduction d’une proportion significative d’oxyde de plutonium mélangé à l’oxyde d’uranium, demande de réaliser une analyse des conséquences en termes de sûreté.

Paramètres surveillés dans un réacteur à eau sous pression

L’objectif général de la protection du cœur est de limiter les conséquences d’une situation anormale de manière à respecter un certain nombre de critères visant à éviter l’endommagement des barrières de confinement, parmi lesquelles, en tout premier lieu, les gaines du combustible ; si des dommages peuvent néanmoins survenir, ils doivent rester limités à un niveau acceptable et ne pas affecter la capacité à refroidir le cœur pour en évacuer la puissance résiduelle (ce sujet est développé au paragraphe 8.4.7). Le système de protection actionne en fait deux ensembles de moyens :

–le système d’arrêt du réacteur, qui provoque le lâché et la chute des grappes de contrôle et d’arrêt, de manière automatique ou par une action manuelle de l’opérateur ;

–les systèmes de sauvegarde (présentés au paragraphe 6.4.1) qui sont mis en service soit automatiquement, soit manuellement par l’opérateur : il s’agit notamment du système d’injection de sécurité d’eau dans le circuit primaire, du système d’alimentation de secours en eau des générateurs de vapeur, du système d’aspersion d’eau dans l’enceinte de confinement (bâtiment du réacteur), du système d’isolement de cette enceinte.

Dans le présent chapitre, nous nous intéresserons essentiellement à la partie du système de protection qui a pour fonction de déclencher l’arrêt automatique du réacteur219 (AAR), en quelques secondes, par la chute dans le cœur de toutes les grappes de crayons absorbants, et l’arrêt de la turbine par la fermeture des vannes réglant l’admission de la vapeur dans celle-ci.

L’ordre de déclenchement de l’AAR peut être donné par différentes chaînes de protection, chaque chaîne étant constituée de dispositifs de mesure d’une ou de plusieurs grandeurs caractérisant l’état du réacteur, d’une chaîne de traitement des informations, d’un dispositif de comparaison de l’information ainsi produite à une valeur prédéterminée. Le dépassement de seuils conduit à l’AAR par désactivation des électroaimants des mécanismes de commande des grappes. Les mesures utilisées sont redondantes, le signal d’AAR étant émis à l’issue d’un traitement selon une « logique de vote » (par exemple 2/4).

Il convient de souligner que l’architecture et les caractéristiques du système de protection – les signaux d’arrêt automatique du réacteur en particulier –, sont le résultat d’un processus complexe et itératif entre choix de conception, études de transitoires de fonctionnement et impératifs de sûreté, qui ne peut pas être expliqué en quelques lignes. À titre illustratif, si la protection des barrières de confinement est l’objectif général visé, d’autres exigences entrent en jeu, par exemple éviter la sollicitation des soupapes de sûreté du pressuriseur dans les transitoires fréquents220, éviter le relâchement d’eau par les vannes de décharge et les soupapes de sûreté du pressuriseur, ou encore assurer la « manœuvrabilité » du réacteur.

Les grandeurs retenues pour caractériser l’état du réacteur sont représentées sur la figure 5.9 ci-après.

Figure 5.9. Paramètres surveillés dans un réacteur à eau sous pression. Georges Goué/IRSN.

Les grandeurs de base qui sont mesurées et les dispositifs de mesure associés sont les suivants :

–Le flux neutronique (φ) : il est mesuré à l’aide d’un ensemble de chambres de mesure situées à l’extérieur de la cuve (dans des porte-chambres pouvant être rapprochées jusqu’à 30 cm de la cuve), pour chacun des quadrants du cœur − dans le cas du réacteur EPR, les chambres sont situées dans des tubes-guides qui traversent le bouclier en béton de protection biologique situé autour de la cuve. Ces ensembles comportent des chambres de « niveau source » (CNS), des chambres de « niveau intermédiaire » (CNI) et des chambres « de puissance » (CNP)221 ; ils constituent le système ex-core.

Pour les réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe, le système ex-core est complété par un système in-core (système RIC), qui permet de réaliser des cartes de flux neutronique au moyen de mesures périodiques par des détecteurs internes mobiles (microchambres à fission) ; ces détecteurs sont déployés au travers de plusieurs dizaines de pénétrations par le fond de la cuve (PFC). Ces mesures in-core n’interviennent pas directement dans le système de protection ; elles servent à vérifier la conformité des cœurs aux plans de chargement définis préalablement ainsi que le caractère acceptable d’un éventuel tilt, ou encore à établir des facteurs de forme du flux neutronique à introduire dans les algorithmes du système de protection (voir plus loin).

Le réacteur EPR222 est équipé d’un dispositif in-core différent − dérivé de celui des réacteurs de conception allemande de type KONVOI ; il est composé (voir la figure 5.10) :

•de collectrons fixes (système SPND223), qui sont des détecteurs en cobalt émettant un signal proportionnel au flux neutronique, implantés au sein de « cannes » comportant six collectrons répartis axialement, insérées dans 12 assemblages combustibles (par l’un de leurs tubes-guides) ; les collectrons fournissent les données d’entrée de plusieurs chaînes de surveillance et de limitation224 ainsi que de protection du cœur ;

•d’aeroballs mobiles (système AMS225), qui sont des trains de billes dopées au vanadium 51, transférés de façon pneumatique dans la zone « active » du cœur, dans 40 assemblages combustibles (par l’un de leurs tubes-guides) ; ces billes font l’objet d’une analyse d’activation en différé, sur une « table de mesure ».

Le système AMS (à l’instar des microchambres à fission des réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe) est utilisé périodiquement pour établir les cartes de flux nécessaires à la vérification de la conformité du cœur et pour calibrer les collectrons et les chaînes ex-core.

Cette instrumentation du réacteur EPR, dont les dispositifs sont insérés par le haut du cœur, a permis de supprimer les pénétrations de fond de cuve, ce qui constitue une amélioration en termes de sûreté226, en particulier pour les accidents avec fusion du cœur.

Figure 5.10. L’instrumentation neutronique du cœur du réacteur EPR (3 CNS représentées sur 4) (source voir nota 222).

–La température du réfrigérant primaire (c’est-à-dire l’eau du circuit primaire) : elle est mesurée à l’aide de sondes situées soit dans des lignes en dérivation des boucles du circuit primaire, soit directement par prélèvements dans les tuyauteries principales de ce circuit.

–La pression dans les circuits primaire et secondaire : elles sont mesurées à l’aide de capteurs dans le pressuriseur et dans les tuyauteries de vapeur.

–Les débits d’eau dans les circuits primaire et secondaire : ils sont mesurés à l’aide de capteurs de pression différentielle situés dans les boucles du circuit primaire (à la sortie des générateurs de vapeur) et dans les tuyauteries de vapeur ; ces mesures sont complétées par la mesure de la vitesse de rotation des pompes primaires.

–Les niveaux de l’eau du circuit primaire dans différents composants (pressuriseur, générateurs de vapeur, cuve).

L’ensemble des grandeurs mentionnées ci-dessus est aussi utilisé pour générer, outre des alarmes en salle de commande et l’AAR, des « permissifs » (c’est-à-dire des validations) et des verrouillages (blocage de grappes de contrôle). Ces « permissifs » adaptent la logique du système de protection à l’état de la tranche.

D’autres grandeurs plus ou moins complexes sont élaborées par différents algorithmes à partir des précédentes, et participent notamment à la protection de la première barrière de confinement :

–la variation temporelle du flux neutronique (d/dt) : elle est déduite des mesures neutroniques effectuées avec les chambres ex-core ;

–la puissance thermique (Pth) : elle est déduite des mesures de température et de débit du réfrigérant primaire ; elle est étalonnée par une mesure périodique de la puissance effectuée par un bilan thermique côté secondaire ;

–la puissance linéique (PLIN) maximale dans le cœur : le suivi de cette grandeur participe à la protection contre les risques de fusion de combustible et d’interaction pastille-gaine (IPG). L’élaboration de cette grandeur, ainsi que de la suivante (le DNBR), nécessite notamment la « reconstitution » de la nappe de flux dans le cœur à partir des signaux émis par le système in-core pour le réacteur EPR et ex-core pour les réacteurs de 1 300 MWe et 1 450 MWe (le cas des réacteurs de 900 MWe est abordé plus loin) ;

–le rapport de flux thermique critique (RFTC) ou DNBR (Departure from Nucleate Boiling Ratio) minimal dans le cœur : le suivi de cette grandeur participe à la protection du cœur contre le risque d’échauffement excessif des gaines en cas de « crise d’ébullition ». Le RFTC est défini par le rapport suivant :

où φc désigne le flux thermique critique, c’est-à-dire celui à partir duquel apparaît la « crise d’ébullition » (Departure from Nucleate Boiling) et φl le flux thermique local ;

–l’« axial offset » (AO) défini au paragraphe 5.2 : il est surveillé en ligne pendant le pilotage du réacteur ; les spécifications techniques d’exploitation imposent des limitations de l’axial offset pour garantir le respect des hypothèses retenues sur la distribution axiale de puissance dans les études d’accidents.

L’élaboration des grandeurs PLIN et RFTC en ligne dans le système de protection a été introduite au milieu des années 1980 pour les réacteurs de 1 300 MWe, avec l’installation du système de protection intégrée numérique, le SPIN. Ce type de système de suivi en ligne de ces grandeurs équipe aujourd’hui tous les réacteurs de 1 300 MWe et de 1 450 MWe, ainsi que le réacteur EPR. Il n’a pas été introduit dans le système de protection des réacteurs de 900 MWe, pour lesquels la protection à l’égard des risques de fusion de combustible et de « crise d’ébullition » repose sur la mesure des températures de l’eau du circuit primaire à l’entrée et à la sortie de la cuve (chaînes « ∆T ») et sur les autres grandeurs ci-dessus (φ, dφ/dt, pressions, niveaux d’eau…) – Électricité de France estimant que le bénéfice d’une modification en termes de sûreté serait limité.

Pour l’élaboration des grandeurs PLIN et RFTC dans les réacteurs de 1 300 MWe et dans ceux de 1 450 MWe, outre la prise en compte de la puissance thermique du réacteur (Pth) et de facteurs de forme radiale Fxy(z) issus, soit des cartes de flux neutronique réalisées avec le système RIC dans la configuration où toutes les grappes d’absorbants sont en position haute, soit de calculs réalisés pour chaque recharge de combustible dans diverses configurations symétriques d’insertion des grappes, une distribution axiale de puissance P(z) est établie à partir des mesures issues de quatre chambres multi-étagées situées dans des puits positionnés autour de la cuve. Chacune de ces chambres, qui comporte six sections de 10 cm de partie active, est entourée de cadmium et de polyéthylène, ce qui permet de ne mesurer que les neutrons qui arrivent directement du cœur, sans avoir subi de réflexions. En 1984, lors des essais de démarrage du réacteur n° 1 de la centrale nucléaire de Paluel, tête de série du palier de réacteurs de 1 300 MWe (type P4), 160 cartes de flux furent établies en utilisant le système in-core RIC, avec différentes configurations d’insertion des grappes de contrôle, en relevant à chaque fois les courants électriques délivrés à la sortie des chambres externes multi-étagées ; ces mesures ont permis de vérifier qu’il était possible de reconstituer avec une précision suffisante la distribution axiale de puissance dans le cœur à partir des mesures délivrées par les chambres multi-étagées situées à l’extérieur de la cuve, et de quantifier les incertitudes de mesure par ces chambres, notamment pour la définition des seuils de surveillance et de protection des réacteurs.

Pour le réacteur EPR, le calibrage des collectrons et la méthode d’élaboration des grandeurs PLIN, RFTC et AO permettent d’accéder aux variations de puissance locales et de s’abstenir d’utiliser les grandeurs mesurées par les chambres ex-core, sous réserve de tenir compte de la perte de représentativité de ces mesures dans certaines configurations.

Enfin, la pression dans l’enceinte de confinement fait aussi partie des grandeurs surveillées pouvant déclencher un AAR.

Le tableau 5.5 à la fin du présent chapitre indique, parmi les grandeurs mentionnées ci-dessus, celles pour lesquelles un non-respect du critère associé conduit directement ou indirectement227 au déclenchement de l’AAR, pour les différentes familles d’incidents et d’accidents (notions précisées dans les chapitres 6 et 8) étudiées dans l’analyse de sûreté d’un réacteur à eau sous pression. Ce tableau fait apparaître, pour chaque type d’incident ou d’accident, la redondance des paramètres de surveillance assurant la protection du cœur du réacteur.

Ce sont les études des transitoires de fonctionnement, c’est-à-dire les études des évolutions temporelles des paramètres de fonctionnement du réacteur (température de l’eau à l’entrée et à la sortie du cœur, pression dans le circuit primaire…) associées aux conditions de fonctionnement retenues pour la conception du réacteur (présentées plus loin au chapitre 8) qui permettent de déterminer les valeurs des seuils de déclenchement du système de protection, ou de vérifier leur adéquation.

5.7.Utilisation de combustible à base d’oxyde mixte d’uranium et de plutonium (MOX)

L’utilisation de combustible MOX dans les réacteurs à eau sous pression résulte de la décision française d’adopter un cycle du combustible partiellement fermé avec ces réacteurs, afin de limiter l’accumulation de plutonium (l’uranium 238 produit du plutonium 239 sous l’effet des neutrons rapides) et de valoriser une partie des grandes quantités d’uranium appauvri résultant de l’enrichissement de l’uranium réalisé par la fabrication du combustible UO2.

L’utilisation de combustible MOX a été autorisée pour les réacteurs de 900 MWe228. Cela a impliqué une reprise complète des études de neutronique, de thermohydraulique et de sûreté.

Le combustible MOX contient en moyenne entre 8 et 9 % de plutonium en masse (le terme « teneur » est utilisé), dont 4 à 5 % fissile, c’est-à-dire pour l’essentiel229 du plutonium 239. Le nombre d’assemblages de combustible MOX correspond à 1/3 du cœur ; ils sont répartis dans le cœur de façon à obtenir une répartition de puissance homogène dans celui-ci. En outre, pour limiter les surpuissances locales dans les crayons périphériques des assemblages à base d’UO2 voisins des assemblages à base de combustible MOX, les crayons de ces derniers n’ont pas tous la même teneur en plutonium : on distingue les crayons des quatre coins, qui ont la plus faible teneur, puis ceux des quatre faces, enfin tous les autres, qui ont la teneur la plus élevée (on parle d’assemblages « trizonés »).

Par rapport à un cœur chargé en combustible UO2, l’utilisation d’assemblages utilisant du combustible MOX (avec les caractéristiques indiquées ci-dessus) se traduit par :

–un flux neutronique sensiblement plus « dur » (plus de neutrons rapides) ;

–une plus faible proportion de neutrons différés (de 450 à 510 pcm environ, au lieu de 500 à 700 pcm pour un cœur chargé uniquement en assemblages à base de combustible UO2) ;

–un amoindrissement de l’effet xénon ;

–un effet Doppler sensiblement identique230 ;

–un effet du modérateur un peu supérieur ;

–une diminution de l’efficacité des absorbants de neutrons thermiques (grappes et bore soluble) ;

–une puissance résiduelle supérieure au-delà d’une dizaine d’heures après un arrêt (plus élevée d’une quinzaine de pour cent une journée après l’arrêt du réacteur, une quarantaine de pour cent au bout d’une semaine). Cependant, dans les dix premières heures après un arrêt, la puissance résiduelle d’un assemblage à base de combustible MOX est plus faible d’environ 5 % que celle d’un assemblage à base de combustible UO2.

Par ailleurs, l’énergie libérée par une fission du plutonium 239 est d’environ 210 MeV, au lieu d’environ 200 MeV dans le cas d’une fission d’uranium 235.

Le combustible MOX est beaucoup plus radioactif et radiotoxique231 que le combustible à base d’uranium enrichi. De ce fait, sa fabrication, son transport et son utilisation dans un réacteur nucléaire nécessitent des précautions accrues de radioprotection.

L’introduction de MOX a commencé en 1987 dans le réacteur B1 de 900 MWe de la centrale nucléaire de Saint-Laurent-des-Eaux. Les essais de démarrage du réacteur avec sa première recharge contenant 16 assemblages à base de combustible MOX ont comporté des essais physiques « à puissance nulle », des cartes de flux à 5 % de la puissance nominale, des mesures de l’efficacité des grappes absorbantes des assemblages à base de combustible MOX. Ces essais visaient à permettre de conforter les prévisions des calculs de neutronique, donc les méthodes de calcul, les incertitudes et leur prise en compte. Des cartes de flux faites à la puissance nominale ont ensuite été analysées. Des écarts entre mesures et calculs sont apparus, plus élevés à puissance réduite ; les incertitudes de calcul ont donc été revues à la hausse par rapport à celles qui avaient été retenues pour les cœurs à base d’UO2. À l’occasion de ces essais de démarrage, un tilt fut détecté (d’environ 9 % à puissance réduite, 2 % en fonctionnement), pris en compte dans les études de sûreté.

Tableau 5.5. Grandeurs pour lesquelles le non-respect du critère associé conduit directement ou indirectement au déclenchement de l’AAR, pour quelques familles d’incidents et d’accidents des études de sûreté des réacteurs à eau sous pression (cas des réacteurs de 1 300 MWe) – (*) désigne le signal d’injection de sécurité.

Vidéos pouvant être consultées pour compléter le chapitre

La radioactivité artificielle
et la fission

Trois générations de réacteurs
nucléaires français

194.Les ouvrages suivants peuvent aussi être cités : « Nuclear reactor engineering », S. Glasstone & A. Sesonske, Van Nostrand Reinhold Company, 1967, « Traité de neutronique », J. Bussac et P. Reuss, éditions Hermann, « Physique des réacteurs nucléaires », R. Barjon (ouvrage qui fournit un certain nombre d’éléments historiques brièvement rappelés dans le présent chapitre) ou encore les ouvrages de la collection « Génie Atomique » de l’éditeur EDP Sciences, dont celui qui est intitulé « Physique, fonctionnement et sûreté des REP » de B. Tarride.

195.Le lecteur pourra aussi se reporter à l’ouvrage « La neutronique », CEA/Éditions Le Moniteur (monographies de la DEN).

196.Il s’agit notamment de sa célèbre expérience réalisée avec de la paraffine (formule chimique CnH2n+2).

197.En neutrons rapides (voir plus loin).

198.Il s’agit des isotopes 239 et 241 du plutonium.

199.Les neutrons d’énergie plus élevée sont dits rapides.

200.Pour les réacteurs à eau sous pression, c’est la nuance Zircaloy-4 (ou Zy-4) qui a été d’abord utilisée, mais ce matériau a évolué au cours du temps pour tenir compte du retour d’expérience : ce sujet est abordé au paragraphe 28.2.

201.Intégrale par rapport au temps du flux neutronique reçu par le matériau de la cuve.

202.Plus précisément, la surface d’un réacteur détermine les fuites de neutrons, tandis que le volume donne la production de neutrons. Le rapport entre la surface et le volume est le plus petit pour une sphère : en d’autres termes, le rapport entre les fuites et la production de neutrons est le plus petit.

203.Les domaines des neutrons thermiques et des neutrons rapides sont délimités par la valeur d’énergie de 0,625 eV. Dans les réacteurs à eau sous pression, le rapport du flux de neutrons d’énergie supérieure à 0,625 eV sur le flux de neutrons d’énergie inférieure à cette valeur est compris entre 5 et 6.

204.La décroissance des émetteurs de neutrons différés se fait selon une période comprise entre quelques dixièmes et quelques dizaines de secondes.

205.Ces valeurs sont données pour le cas des fissions d’un spectre de neutrons rapides, mais diffèrent assez peu pour un spectre de neutrons thermiques. Certains pays utilisent le βeff comme unité de réactivité, le plus souvent sous l’appellation dollar, avec le symbole $ ; cette symbolisation est généralement adoptée pour les réacteurs à neutrons rapides.

206.« Phénix, le retour d’expérience », J. Guidez, éditions CEA.

207.Voir les ouvrages cités plus haut dans ce chapitre pour plus de détails sur les notions de sections efficaces de fission, de capture…

208.Période de fonctionnement d’un cœur de réacteur entre deux arrêts pour rechargement du combustible (et maintenance).

209.L’absorption de neutrons par le xénon est la plus importante dans le domaine des neutrons thermiques.

210.D’après M. F. James, « Energy released in fission », Journal of Nuclear Energy, Vol. 23, 517-536, 1969. L’énergie cinétique des neutrons secondaires ne représente que 2,4 % de l’énergie totale de la fission.

211.Du fait de l’évolution de la composition chimique du combustible.

212.Mais la perte d’intégrité de la gaine peut être atteinte bien en dessous de cette valeur en fonction des chargements thermomécaniques qu’elle subit.

213.Hormis le cas du réacteur EPR, pour lequel toutes les grappes sont insérées dans les états d’arrêt du réacteur, ce qui a été permis par le fait que ce réacteur dispose de moyens spécifiques pour prévenir le risque de divergence incontrôlée du réacteur en cas d’insertion de réactivité dans ces états. Il s’agit notamment d’un arrêt automatique de l’alimentation électrique des mécanismes de commande des grappes absorbantes dans ces états permettant d’éliminer le risque de retrait incontrôlé et d’une protection automatique contre les incidents de dilution incontrôlée du bore dans le circuit primaire (voir le chapitre 35).

214.Le hafnium est aussi utilisé comme absorbant neutronique dans des grappes d’assemblages de périphérie du cœur, dans le but de réduire l’irradiation des cuves (voir le chapitre 27).

215.Il sera vu aux chapitres 8 et 35 qu’il s’agit d’un incident et d’un accident pris en compte pour la conception des réacteurs à eau sous pression ; ils sont respectivement classés en 2e catégorie et en 4e catégorie des conditions de fonctionnement.

216.Cette proportion est exprimée en bore naturel. La concentration de l’isotope 10 du bore, qui est l’absorbant neutronique, s’obtient en considérant la proportion de bore 10 dans le bore naturel, d’environ 20 %.

217.La valeur de concentration de bore dépend de l’avancement dans le cycle et de la température de l’eau du circuit primaire. Par exemple, en début de cycle, pour la gestion dite GEMMES (voir le chapitre 28), la concentration de bore requise à froid varie entre 1 700 et 2 000 ppm environ et la concentration de bore requise à chaud varie de 1 250 à 1 700 ppm environ. En fin de cycle, les concentrations de bore sont de l’ordre de quelques ppm à chaud et en moyenne de 960 ppm à froid.

218.C’est le critère le plus contraignant, l’écart à la criticité de 5 000 pcm évoqué plus haut restant néanmoins en vigueur.

219.L’expression « arrêt d’urgence » est aussi couramment utilisée.

220.Transitoires classés en 2e catégorie des conditions de fonctionnement (voir le chapitre 8).

221.Les plages de mesures de ces différentes chambres se recouvrent et dépendent des types de réacteurs ; par exemple, dans le cas du réacteur EPR, les CNS couvrent la plage 2.10-9 à 2.10-3 % PN (puissance nominale), les CNI couvrent la plage 5.10-6 à 60 % PN, les CNP couvrent la plage 0,5 à 200 % PN.

222.Pour de plus amples précisions, le lecteur pourra consulter l’article BN3453 V1 des Techniques de l’ingénieur, intitulé « Instrumentation neutronique du réacteur EPR – Excore – SPND – AMS », établi par Maxime Pfeiffer et publié le 10 juillet 2014.

223.Self Powered Neutron Detectors.

224.Il s’agit pour le réacteur EPR du système RCLS (Reactor Core Limitation System) dont l’objectif est d’éviter la sollicitation des fonctions de protection, en initiant suffisamment tôt des actions sur les grappes de contrôle en vue de maintenir les paramètres du réacteur sous les seuils d’activation de ces protections.

225.Aeroball Measurement System.

226.Cette instrumentation permet de réaliser des cartes de flux neutronique à partir d’un niveau de puissance de 10 % de la puissance nominale.

227.Par le signal de déclenchement de l’injection de sécurité.

228.L’utilisation de combustible MOX dans les réacteurs de 1 300 MWe est envisagée par EDF dans le cadre du réexamen associé à leurs quatrièmes visites décennales.

229.Il s’agit plus précisément des isotopes 239 et 241 du plutonium.

230.Légèrement plus négatif du fait des plus grandes résonances d’absorption du plutonium 240.

231.En termes d’émission de rayonnements α et β.

Chapitre 6

Objectifs généraux, principes
et concepts fondamentaux
de l’approche de sûreté

Ce chapitre, comme la majorité de ceux qui suivent, concerne directement le type de réacteurs à eau sous pression (REP) exploités en France ; toutefois, les principes et concepts adoptés en matière de sûreté sont de portée plus générale. Les réacteurs an question sont issus de la licence américaine de la compagnie Westinghouse, licence dont le constructeur Framatome s’est progressivement affranchi, d’abord avec les réacteurs du palier N4, puis avec l’European Pressurized Reactor (EPR) de conception franco-allemande ; ces réacteurs présentent des évolutions notables par rapport aux réacteurs précédents. L’annexe au présent chapitre donne quelques indications techniques et précise la localisation ainsi que la date de première divergence des réacteurs électronucléaires français.

En France, la sûreté est définie à l’article L.591-1 du code de l’environnement comme « l’ensemble des dispositions techniques et des mesures d’organisation relatives à la conception, à la construction, au fonctionnement, à l’arrêt et au démantèlement des installations nucléaires de base, ainsi qu’au transport des substances radioactives, prises en vue de prévenir les accidents ou d’en limiter les effets ». Dans une acception élargie232, peuvent y être associées les dispositions techniques et organisationnelles visant à assurer le fonctionnement normal des installations sans rejets excessifs d’effluents radioactifs et sans exposition excessive de travailleurs aux rayonnements ionisants.

Les principes et concepts fondamentaux correspondants, inséparables du développement des installations nucléaires par les concepteurs et les exploitants, ont été améliorés au fil du temps du fait de l’amélioration des connaissances, non seulement par les travaux de recherche menés dans le domaine de la sûreté des réacteurs à eau sous pression mais aussi par le retour d’expérience d’incidents ou d’accident survenus.

6.1.Approche générale des risques – Objectifs généraux

L’appréciation des risques liés à l’exploitation d’une installation nucléaire amène à distinguer, comme pour tout dispositif industriel, les risques potentiels, correspondant aux effets néfastes qui pourraient survenir du fait des substances radioactives233 présentes dans l’installation ainsi que des énergies capables de les disperser en son sein ou dans l’environnement, et les risques que l’on qualifie de résiduels, c’est-à-dire ceux qui subsistent compte tenu des dispositions techniques et des mesures d’organisation prises au titre de la sûreté nucléaire (dans son acception élargie).

Les risques potentiels radiologiques sont donc à identifier sur la base de la nature et des quantités de substances radioactives présentes dans l’installation et de leurs caractères de dangerosité respectifs.

L’approche générale de la sûreté va consister à « traiter » les risques potentiels avec pour objectif de rendre acceptables les risques résiduels, qui ne sauraient généralement être nuls.

La notion de probabilité s’introduit naturellement dans cette approche générale de la sûreté, qui vise à permettre de porter, sur les situations pouvant résulter de l’exploitation d’une installation, une double appréciation, en termes de probabilité et en termes de gravité des effets. Il est généralement reconnu qu’un accident doit être d’autant plus improbable que ses conséquences peuvent être graves pour l’homme ou l’environnement ; cela est rappelé dans le guide ASN n° 22 établi par l’Autorité de sûreté nucléaire conjointement avec l’IRSN et diffusé en juillet 2017, relatif à la conception des réacteurs à eau sous pression : « Un objectif doit être de prévenir les incidents et accidents de nature radiologique et de limiter les conséquences de ceux qui pourraient survenir malgré les dispositions de prévention retenues : ces conséquences doivent être d’autant plus faibles que la fréquence estimée de l’incident ou accident est importante ».

Cet objectif général a largement guidé les travaux dans le domaine de la sûreté au cours des dernières décennies. Dès le début des années 1970, il a été suggéré de distinguer, sur la base d’un diagramme probabilités-conséquences, un domaine acceptable (autorisé) et un domaine inacceptable (interdit), les conséquences étant alors exprimées en termes de rejets d’iode radioactif par exemple. La figure 6.1 correspond à l’une des représentations schématiques d’une telle approche (courbe dite de Farmer234). Comme cela a été indiqué dans l’introduction du présent ouvrage, la notion d’acceptabilité, à caractère politique, évolue dans le temps et ce qui était jugé acceptable au démarrage des premières tranches du programme électronucléaire français ne l’a plus été pour la conception du réacteur EPR – sachant que, entre ces deux extrêmes, il y a eu des améliorations successives et que, par ailleurs, les réexamens périodiques des réacteurs en exploitation permettent de renforcer leur sûreté à la lumière des plus récentes références en matière de sûreté nucléaire ; cela s’applique en particulier aux améliorations jugées nécessaires pour la prolongation du fonctionnement des réacteurs de 900 MWe au-delà de leurs quatrièmes visites décennales.

Les concepteurs de centrales nucléaires ont traduit l’approche générale évoquée ci-dessus de façon quantitative en retenant des couples de plages de fréquences estimées et de conséquences radiologiques maximales à respecter afin de disposer de valeurs de « découplage » leur permettant de concevoir les différents éléments des centrales nucléaires – sans que cela puisse pour autant prétendre à être suffisant dans le cadre d’une démonstration de sûreté : ce point sera explicité au paragraphe 8.7.3.

Figure 6.1. Une représentation théorique schématique (courbe de Farmer) de la relation conceptuelle entre fréquences estimées et gravités des situations. IRSN.

Il convient de souligner ici que cette référence en matière de sûreté nucléaire n’est pas en contradiction avec le fait qu’elle repose d’abord sur une approche déterministe, à savoir qu’une situation doit être traitée dès l’instant où elle est considérée comme plausible ; les choix de conception doivent permettre d’en limiter suffisamment les conséquences. L’approche déterministe est en tout état de cause complétée par une approche probabiliste qui permet notamment d’appréhender les risques associés à des situations plus complexes et de définir, le cas échéant, des dispositions complémentaires. On reviendra sur ces sujets au paragraphe 6.7.

La directive européenne 2014/87/EURATOM du Conseil européen du 8 juillet 2014 – déjà évoquée au paragraphe 2.5.a) –, modifiant la directive 2009/71/Euratom235, a inscrit au niveau politique l’objectif général de sûreté qui doit désormais être visé pour les installations nucléaires ; cet objectif est « que les installations nucléaires soient conçues, situées, construites, mises en service, exploitées et déclassées avec l’objectif de prévenir les accidents et, en cas de survenue d’un accident, d’en atténuer les conséquences et d’éviter :

–les rejets radioactifs précoces qui imposeraient des mesures d’urgence hors site mais sans qu’il y ait assez de temps pour les mettre en œuvre,

–les rejets radioactifs de grande ampleur qui imposeraient des mesures de protection qui ne pourraient pas être limitées dans l’espace ou le temps »236.

Cet objectif – qui est dans le droit fil de ceux qui avaient été retenus dans les directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression237, adoptées par le Groupe permanent d’experts pour les réacteurs nucléaires et des experts allemands en 2000, après sept années de discussions techniques, et notifiées à Électricité de France par les chargés de la sûreté nucléaire en 2004, puis dans les textes établis par l’association WENRA238 – a été décliné dans le guide ASN n° 22 évoqué plus haut. Ce guide traite à la fois d’aspects relatifs à la conception proprement dite des installations, qui doit être fondée sur une application adéquate du principe de défense en profondeur (ce principe est exposé plus loin au paragraphe 6.4), et d’aspects relatifs à la démonstration de la sûreté nucléaire, qui suppose qu’une conception ait été choisie (dans la pratique, les études de conception et les études de la démonstration de sûreté sont réalisées selon un processus itératif). Le guide ASN n° 22 rappelle un certain nombre d’exigences règlementaires et formule des recommandations. Il y est notamment indiqué que la conception d’un réacteur à eau sous pression doit viser à :

–« minimiser le nombre d’incidents et limiter les possibilités d’apparition d’accidents »,

–« limiter, lors des incidents ou des accidents, les rejets de substances radioactives ou dangereuses ou les effets dangereux, ainsi que leurs impacts sur l’homme et l’environnement, à des niveaux aussi faibles que possible »,

– « prévenir ou, à défaut, limiter les rejets radioactifs pouvant résulter des incidents ou accidents, y compris des accidents avec fusion de combustible » ;

et que :

–« les accidents avec fusion de combustible susceptibles de conduire à des rejets radioactifs importants avec une cinétique qui ne permettrait pas la mise en œuvre à temps des mesures nécessaires de protection des populations doivent être rendus physiquement impossibles ou à défaut extrêmement improbables avec un haut degré de confiance ;

–les mesures de protection des populations qui seraient nécessaires dans le cas des autres accidents avec fusion de combustible doivent être très limitées en termes d’étendue et de durée (pas de relogement permanent, pas d’évacuation en dehors du voisinage immédiat du site, pas de mise à l’abri en dehors du voisinage du site, pas de restriction de consommation des denrées alimentaires sur le long terme en dehors du voisinage du site). Dans ce but, ces accidents ne doivent pas conduire à une contamination de larges étendues et à une pollution des milieux sur le long terme. »

Au-delà de l’approche générale des risques, les réflexions sur la sûreté ont conduit à mettre en œuvre progressivement tout un ensemble de principes, de concepts, de méthodes, applicables tant au stade de la conception qu’à celui de la construction ou de l’exploitation, qui sont exposés dans la suite du présent chapitre.

En effet, dans l’objectif fondamental d’éviter les expositions des travailleurs et des personnes du public ainsi que les rejets de substances radioactives dans l’environnement, les industriels239 impliqués adoptèrent, en relation avec les organismes et les instances de sûreté qui se mettaient progressivement en place, un certain nombre de principes, de concepts et de méthodes : il s’agit notamment des « fonctions fondamentales de sûreté » ou encore de l’interposition de « barrières » physiques de confinement entre les matières radioactives et l’environnement, des méthodes d’analyse déterministe d’événements postulés, des études probabilistes…

Si, pour les premières tranches du parc électronucléaire français et dans le cadre de la licence Westinghouse, Électricité de France et Framatome se sont largement appuyé sur des règles et pratiques américaines – comme le code de conception et de construction ASME240 –, les industriels français ont ensuite développé des règles pour la conception (incluant le dimensionnement241) et la construction d’équipements, avec différents niveaux d’exigences, dont le choix pour chaque équipement était à faire en fonction, notamment, de son rôle en termes de sûreté.

Les organismes – industriels, organismes techniques de sûreté, autorités de sûreté… – des pays engagés dans le développement de réacteurs électronucléaires ont par ailleurs apporté leur expérience et leur savoir-faire dans l’établissement de différents textes de niveau international (notamment les normes de l’AIEA à partir des années 1970), ou européen (textes de l’association WENRA depuis 2000, visant à promouvoir un niveau de sûreté européen atteignable compte tenu de la diversité des situations des différents pays), traduisant un consensus sur des exigences ou des bonnes pratiques ; il y sera fait quelques références dans la suite du texte.

6.2.Les fonctions fondamentales de sûreté

La spécificité des réacteurs électronucléaires, par rapport à d’autres installations de production d’énergie, tient tout d’abord à la présence dans ces réacteurs d’une très grande quantité de substances radioactives (voir le tableau 6.1) dont il est nécessaire de protéger le personnel et dont la dispersion242, même en quantités relativement faibles, dans l’environnement pourrait entraîner des conséquences graves pour les personnes du public et l’environnement.

La sûreté de telles installations suppose donc une bonne protection à l’égard des sources de rayonnement et leur confinement.

Si ces sources sont bien là où il est prévu qu’elles soient, la protection peut être obtenue par la mise en place d’écrans absorbants, de matériaux et d’épaisseurs adaptés, comme cela a été vu au paragraphe 1.1.

Les difficultés viennent donc surtout des possibilités de dispersion de substances radioactives hors des localisations prévues. Il faut donc rechercher les causes possibles de telles dispersions pour concevoir le confinement approprié.

Dans un réacteur électronucléaire, les substances radioactives (voir le tableau 6.1 ci-après) sont, pour la plupart, produites à l’intérieur même du matériau fissile (c’est-à-dire dans les pastilles de combustible, placées dans des gaines métalliques) ; il est recherché qu’elles y restent tant que le combustible n’est pas traité dans une usine adaptée.

Tableau 6.1. Activité radiologique maximale de certains des principaux produits de fission pour un réacteur de 900 MWe et un taux de combustion maximum (en moyenne par assemblage) du combustible de 33 000 MWj/tU.

Produits de fission

Cœur, 2 heures
après l’arrêt

Circuit primaire

Effluents gazeux

Gaz rares

107 TBq243

3.102 TBq

2.102 TBq

Iodes

2.107 TBq

20 TBq

–

Césiums

107 TBq

–

–

Or, dans les conditions normales d’utilisation, pour permettre un fonctionnement sans renouvellement de combustible pendant un an ou plus et compenser divers phénomènes, il est nécessaire de disposer dans le cœur d’une quantité de matière fissile bien supérieure à la « masse critique »244 à froid. Dès lors, le niveau de puissance d’un réacteur résulte du réglage de nombreux paramètres qui doivent être maîtrisés en permanence.

Dans des conditions accidentelles, l’énergie libérée dans un réacteur nucléaire peut croître extrêmement vite, de façon incontrôlable, et n’être limitée que par les contre-réactions245 liées à l’augmentation des températures ou à la dispersion du combustible. La maîtrise de la réaction nucléaire en chaîne revêt donc une importance toute particulière ; on l’appelle aussi « maîtrise de la réactivité ».

Par ailleurs, comme cela a déjà été dit, un dégagement d’énergie significatif se poursuit pendant très longtemps après l’arrêt de la réaction en chaîne ; ce dégagement d’énergie résulte de la radioactivité des produits issus des fissions nucléaires (appelés communément produits de fission – PF) dans le cœur du réacteur.

Chaque produit de fission radioactif libère cette énergie avec une période de décroissance qui lui est propre ; cette période peut être très courte (inférieure à la seconde), moyenne (en mois ou en années), ou très longue (centaines ou milliers d’années, voire plus). Il en résulte une puissance résiduelle qui décroît en fonction du temps (un exemple d’évolution temporelle de la puissance résiduelle d’un réacteur de puissance a été présenté au paragraphe 5.3) ; loin d’être négligeable, elle nécessite la poursuite d’un refroidissement pendant des durées importantes. L’évacuation de la puissance thermique est donc un souci permanent pour un réacteur nucléaire, qu’il soit en fonctionnement ou à l’arrêt.

Ces spécificités brièvement présentées mettent en évidence trois fonctions fondamentales de sûreté246 pour la protection de l’homme et de l’environnement :

–la maîtrise de la réaction nucléaire en chaîne,

–l’évacuation de la puissance thermique issue des substances radioactives et des réactions nucléaires,

–le confinement des substances radioactives qui se trouvent pour l’essentiel dans le combustible mais que l’on trouve aussi dans le fluide de refroidissement du circuit primaire ou dans l’eau de la piscine d’entreposage des combustibles usés, dans le bâtiment du réacteur ou dans celui du combustible, voire dans d’autres locaux de l’installation.

La règlementation française247 mentionne une autre fonction fondamentale de sûreté, à savoir la protection des personnes et de l’environnement contre les rayonnements ionisants, qui couvre la radioprotection des travailleurs.

6.3.Les barrières de confinement

Au moment de la décision d’abandon en France de la filière UNGG au-delà du réacteur Bugey 1 et de construction de réacteurs à eau sous pression sous licence américaine, différentes installations nucléaires importantes, de conception purement nationale, avaient déjà été construites ou étaient en cours de réalisation (réacteurs de la filière UNGG, réacteurs de recherche, réacteurs à neutrons rapides RAPSODIE, PHENIX…). L’approche de sûreté développée en France s’intéressait alors à l’interposition de « barrières » physiques entre les produits radioactifs, l’homme et l’environnement. C’est cette approche qui a été tout d’abord utilisée pour les réacteurs à eau, le concept de défense en profondeur, américain à l’origine, étant ensuite adopté par les exploitants et les organismes de sûreté français et adapté en tenant compte de leur expérience.

Jean Bourgeois, qui fut le premier directeur de l’Institut de protection et de sûreté nucléaire créé au CEA en 1976, décrivait en ces termes l’approche de la sûreté par les « barrières » (au congrès de Vittel, en 1973) :

« La protection du public contre les conséquences d’un relâchement accidentel de produits de fission d’un réacteur nucléaire repose sur l’interposition en série de « barrières » étanches. L’analyse de sûreté consiste donc en premier lieu à s’assurer de la validité de chacune de ces barrières, et de leur fonctionnement correct dans les conditions normales et accidentelles d’opération du réacteur.

Ce type d’analyse permet de faire ressortir le caractère progressif de la sûreté, en distinguant trois étapes successives mais non indépendantes :

–la prévention : la validité de chaque barrière doit être démontrée par le choix des matériaux, leur adaptation aux conditions de fonctionnement248 et le maintien dans le temps des caractéristiques imposées. Il est essentiel de mettre en évidence les limites technologiques de manière à définir en toute connaissance de cause les marges réelles entre les conditions de fonctionnement et ces limites ;

–la surveillance : elle est destinée à détecter toute entrée à l’intérieur des marges précédemment définies afin d’être en mesure, dans ce cas, de déclencher à temps une action correctrice, automatique ou manuelle, pour revenir aux conditions normales ;

–l’action de sécurité : elle a pour but, en cas de dépassement accidentel des limites technologiques, de prévenir l’émission de produits radioactifs ou d’en limiter l’importance.

Pour chaque type de réacteur, les barrières réputées à la fois étanches et résistantes sont généralement au nombre de trois ou quatre : la gaine, l’enveloppe du circuit primaire, le confinement primaire et éventuellement le confinement secondaire. Chacune d’elles est examinée en détail dans les trois cas de fonctionnement ci-dessous :

–fonctionnement normal, le cas le plus simple et le mieux défini, pour lequel la fixation des marges par rapport aux limites technologiques doit prendre en compte les incertitudes qui peuvent subsister ;

–transitoires normaux (démarrages, montées en puissance, variations de charge249) ; par principe, les marges de sécurité définies [pour le] fonctionnement normal doivent permettre d’absorber ces transitoires sans déclenchements d’actions correctrices irréversibles ;

–transitoires accidentels, consécutifs à des défaillances de matériels ou à des erreurs humaines. L’établissement des diverses séquences possibles permet de mettre en évidence les points critiques pour en améliorer la fiabilité ou la surveillance.

Pour synthétiser l’examen des barrières ainsi effectué et pour évaluer en particulier leur indépendance les unes par rapport aux autres, ce qui est essentiel pour le bilan de sûreté, il est nécessaire d’étudier le déroulement d’accidents types de grande ampleur. Cette démarche finale garde dans certains cas un caractère conventionnel, car elle oblige parfois à postuler des événements non précisément identifiables. Elle a le mérite de permettre une estimation du comportement dynamique des produits radioactifs au cours de leur transfert possible du cœur jusqu’à l’enceinte extérieure, et de fournir un ordre de grandeur des conséquences radiologiques pour le site, si l’intégrité de toutes les barrières devait être atteinte ».

Cette approche est par nature déterministe en ce sens qu’elle conduit à examiner les conséquences possibles d’un certain nombre de situations « anormales » définies a priori (postulées) à partir des défaillances envisageables des fonctions fondamentales de sûreté, sans s’interroger sur les enchaînements d’événements pouvant conduire à ces situations.

La définition des barrières de confinement est très dépendante de la technologie du réacteur étudié et des parties associées de l’installation. Les figures 6.2 et 6.3 permettent de repérer les barrières de confinement des substances radioactives présentes dans le cœur du réacteur pour le cas des réacteurs à eau sous pression. De plus, même pour un réacteur donné, si la définition de la première barrière est simple250 (toutes les gaines des crayons combustibles), la définition précise des autres n’est pas sans difficultés251.

Figure 6.2. Les barrières de confinement d’un réacteur à eau sous pression. Georges Goué/IRSN.

La deuxième barrière de confinement est constituée par l’enveloppe du circuit primaire dans lequel circule le fluide caloporteur qui refroidit le cœur du réacteur, à l’intérieur du bâtiment du réacteur. Il existe toutefois des circuits annexes où ce fluide caloporteur circule dans des bâtiments autres que le bâtiment du réacteur, y compris en cas d’accident. Il est nécessaire de tenir compte de ces particularités.

La troisième barrière de confinement est associée au bâtiment du réacteur, y compris ses traversées et leurs systèmes d’isolement. L’enveloppe du circuit secondaire à l’intérieur du bâtiment du réacteur et les enveloppes des générateurs de vapeur font également partie des limites de la troisième barrière ; il en est de même des tubes des générateurs de vapeur pour la raison explicitée dans l’alinéa suivant. Mais la troisième barrière de confinement est surtout complexe du fait de la particularité évoquée plus haut : il est nécessaire de tenir compte du fait que, lors d’un incident ou d’un accident, le fonctionnement de certains circuits nécessaires pour maîtriser l’incident ou l’accident véhiculent du fluide radioactif (fluide primaire ou atmosphère de l’enceinte) hors de l’enceinte de confinement. L’enveloppe de ces circuits fait alors partie de la troisième barrière de confinement (on parle généralement d’« extension de la troisième barrière de confinement »).

Figure 6.3. Coupe partielle d’un réacteur de 1300 MWe de type P’4, à double enceinte de confinement. IRSN.

Pour un réacteur à eau sous pression, il existe un point singulier d’importance : les tubes des générateurs de vapeur dont la surface totale est considérable, plus d’un hectare, et l’épaisseur très faible, de l’ordre du millimètre. Compte tenu de la présence de soupapes et organes de décharge des circuits secondaires à l’extérieur de l’enceinte de confinement, les tubes des générateurs de vapeur relèvent à la fois des deuxième et troisième barrières de confinement. La pression de dimensionnement du circuit secondaire étant inférieure à celle du circuit primaire, en cas de rupture d’un tube de générateur de vapeur, une augmentation de la pression dans la partie du circuit secondaire concernée peut conduire à l’ouverture de soupapes du circuit secondaire, situées à l’extérieur du bâtiment du réacteur, en amont de vannes d’isolement, et à un relâchement de substances radioactives dans l’atmosphère. On reviendra sur ce sujet au chapitre 10.

Ces quelques remarques furent prises en compte dans le développement du concept de défense en profondeur qui s’appuie, notamment, sur les barrières de confinement.

6.4.La défense en profondeur

La défense en profondeur est un concept252 qui constitue un cadre général permettant une approche de la sûreté d’une installation aux stades de la conception ou de l’exploitation, ainsi que pour les analyses de sûreté associées253. S’il s’est développé dès les années 1960 aux États-Unis, il a été plus précisément structuré dans les années 1990 sur la base de pratiques et de dispositions déjà mises en place dans différents pays en matière de sûreté nucléaire, jusques et y compris les plans visant à faire face à des situations d’urgence.

L’approche des « barrières » en termes de prévention, de surveillance et d’action de sécurité s’y retrouve, mais elle est englobée dans une démarche qui considère tous les systèmes, structures et composants254 ayant une influence sur la sûreté, ainsi que les dispositions organisationnelles et humaines ayant une influence sur la sûreté.

Le concept de défense en profondeur repose255 sur l’idée générale selon laquelle, si des mesures doivent être prises pour éviter autant que possible des incidents ou des accidents, il convient néanmoins de postuler que certains puissent se produire ; les moyens d’y faire face, pour maîtriser leurs conséquences, doivent être étudiés et des dispositions appropriées mises en place.

La mise en œuvre « d’un concept de défense en profondeur centré sur plusieurs niveaux de protection, comprenant des barrières successives pour éviter le rejet de matières radioactives dans l’environnement », a été préconisée dès le document INSAG-3256 de 1988, intitulé « Basic Safety Principles for Nuclear Power Plants », établi par l’International Nuclear Safety Advisory Group (INSAG) de l’AIEA, avec les objectifs suivants :

–« compenser les défaillances humaines et techniques éventuelles,

–maintenir l’efficacité des barrières en empêchant tout dommage à la centrale et aux barrières elles-mêmes,

–protéger contre des dommages la population et l’environnement dans le cas où ces barrières ne seraient pas pleinement efficaces ».

Cela conduit à étudier, selon une démarche de nature déterministe, différentes situations postulées de sévérité croissante, dans le but d’être prêt à y faire face dans les meilleures conditions possibles.

Le concept de défense en profondeur se décline sous la forme de dispositions techniques, organisationnelles et humaines, regroupées en niveaux dont chacun a pour objectif d’éviter les dégradations susceptibles de conduire à l’intervention du niveau suivant et de limiter les conséquences de la défaillance du niveau précédent. Cela requiert que ces niveaux soient suffisamment indépendants.

Le concept de défense en profondeur s’est enrichi au cours du temps et il a conduit à retenir cinq niveaux, précisés dans le rapport INSAG-10 diffusé en 1996, intitulé « Defence in Depth in Nuclear Safety ». On partira ci-après de ce rapport pour décrire la défense en profondeur. Certains éléments relatifs aux niveaux 3 et 4 ont évolué depuis la publication de ce rapport ; ils seront mentionnés au paragraphe 6.4.1 compte tenu de leur importance pour l’analyse de sûreté.

Bien entendu, il est indispensable que les dispositions de défense en profondeur prévues au stade des études de conception d’un réacteur soient effectives après sa construction et tout au long de son exploitation.

6.4.1.Les niveaux de défense en profondeur

La structuration de la défense en profondeur en cinq niveaux257 préconisée par le rapport INSAG-10 a été reconnue et adoptée au plan international. La notion de niveau correspond à un ensemble de dispositions qui recouvrent aussi bien des caractéristiques intrinsèques de l’installation considérée, des équipements (systèmes, structures et composants), des procédures de conduite ou encore des dispositions organisationnelles (par exemple pour la gestion de situations d’urgence).

La manière d’articuler ces niveaux peut toutefois varier d’un pays à l’autre ou être influencée par la conception de l’installation, mais les principes essentiels sont toujours les mêmes.

Le niveau 1 étant le premier niveau, il a une fonction prédominante de prévention. Le niveau 5 étant le dernier, il a principalement pour fonction la limitation des conséquences radiologiques pour les personnes du public et l’environnement.

L’application du concept général de défense en profondeur tel qu’exposé plus haut présente certaines limitations, à l’égard desquelles le rapport INSAG-10 précise (alinéa 28) : « Si l’obtention de niveaux de défense indépendants à l’égard d’événements (tels qu’une rupture brutale de la cuve) n’est pas « faisable », plusieurs niveaux de précautions sont introduits dans la conception et l’exploitation. De telles précautions peuvent être prises, par exemple, dans le choix des matériaux, dans les inspections périodiques […] ou dans la conception en incorporant des marges additionnelles de sûreté ». Ce sujet est plus amplement développé au paragraphe 8.2.2.

Ces niveaux sont présentés ci-après.

Premier niveau : prévention des anomalies d’exploitation
et des défaillances

Il s’agit de doter l’installation d’une excellente résistance intrinsèque à l’égard des possibilités de défaillances et d’agressions définies lors de la conception. Cela implique qu’après une première définition de la conception de l’installation (choix d’options de conception), une identification claire (aussi exhaustive que possible) des conditions normales et anormales d’exploitation soit effectuée, que des marges adéquates soient adoptées pour la conception des équipements afin qu’ils bénéficient d’une bonne robustesse ou résistance.

Le niveau 1 doit ainsi procurer une « base initiale pour la protection » contre les agressions d’origine externe ou interne (séisme, chute d’avion, incendie, explosion, inondation…), même si des dispositions additionnelles peuvent être retenues à des niveaux plus élevés. Le choix du site a bien évidemment un rôle déterminant pour limiter les contraintes correspondantes.

Le choix des matériaux utilisés pour les équipements doit être soigneusement effectué, les procédés de fabrication doivent être qualifiés, les technologies retenues éprouvées par le retour d’expérience. L’utilisation de standards appropriés258 (définissant par exemple les conditions de calcul, d’approvisionnement, de fabrication, de contrôle de fabrication des équipements ayant une importance pour la sûreté de l’installation) concourt à la robustesse des équipements.

Par ailleurs, les caractéristiques intrinsèques d’une technologie de réacteur259 (en termes de contre-réactions neutroniques, d’inertie thermique…), les dispositions de l’interface homme-machine, le degré d’automatisation ainsi que les délais disponibles avant qu’une intervention manuelle ne soit nécessaire peuvent avoir une contribution importante à la sûreté. On notera que les exemples de caractéristiques intrinsèques mentionnées ici sont généralement également bénéfiques au maintien des niveaux suivants ; cela ne remet bien évidemment pas pour autant en cause l’indépendance des niveaux précédemment évoquée et il convient de favoriser ces caractéristiques à différents niveaux.

Le choix des personnels intervenant à chacune des phases de la « vie » d’une installation (conception, fabrication des équipements et construction de l’installation, contrôles et essais, exploitation y compris dans les états d’arrêt), leur formation, les dispositions mises en œuvre par les différents organismes impliqués (concepteur, exploitant et leurs prestataires) en matière de qualité ou de « culture de sûreté »260, la définition claire des responsabilités de même que la clarté des procédures d’exploitation contribuent à la prévention des défaillances tout au long de la « vie » de l’installation.

La prise en compte méthodique du retour d’expérience est également un élément important contribuant à améliorer la prévention de défaillances de l’installation.

Deuxième niveau : maîtrise des anomalies d’exploitation
et détection des défaillances

Comme il n’est pas possible d’éviter que l’installation ne « sorte » de son domaine d’exploitation normal, le deuxième niveau conduit à prévoir des systèmes conçus selon des critères spécifiques (redondance, qualification…), capables d’arrêter une évolution anormale261 et de ramener l’installation dans son domaine d’exploitation normal.

La surveillance de la conformité de l’installation aux hypothèses de conception par des contrôles en service et des essais périodiques appropriés d’équipements permet de détecter d’éventuelles dégradations – malgré la maintenance préventive dont ils font l’objet – avant qu’elles ne soient de nature à affecter la sûreté de l’installation262.

Des systèmes de mesure de la radioactivité des différents fluides et de l’atmosphère des différents locaux permettent de vérifier l’étanchéité des différentes barrières de confinement ; des essais spécifiques permettent de vérifier l’efficacité des systèmes d’épuration.

Des dispositifs permettant le report et l’indication claire, en salle de commande, non seulement des défauts qui se produisent, mais aussi de l’état ou de la configuration des structures, systèmes et composants de l’installation, facilitent le traitement de tels défauts par le personnel de conduite dans des délais appropriés.

Des systèmes automatiques permettant de contrôler le « procédé » (et d’alerter les opérateurs en salle de commande), de corriger les dérives de certains paramètres du réacteur (systèmes de « limitation »263 de la puissance, des pressions et des températures, soupapes de décharge motorisées…) et capables d’interrompre un phénomène indésirable, insuffisamment contrôlé par les systèmes de régulation264, ou encore permettant de pallier l’indisponibilité de sources sont mis en œuvre, quitte à arrêter le fonctionnement du réacteur265.

Troisième niveau : maîtrise des situations accidentelles
dans les limites de la base de conception

Les deux premiers niveaux de défense en profondeur sont destinés à éviter la survenue d’accidents.

Malgré le soin apporté à ces deux niveaux, il est postulé que des accidents peuvent se produire, comme par exemple une brèche d’une tuyauterie d’alimentation du cœur en fluide réfrigérant (circuit primaire). Ces accidents postulés sont traités dans une démarche de nature déterministe et il s’agit là de l’un des éléments importants pour la conception de l’installation et pour la démonstration de la sûreté de cette conception. Les accidents retenus vont conduire à la définition des systèmes de sauvegarde266 qui, associés au système de protection, permettent d’éviter un endommagement sévère du cœur (par exemple sa fusion). Le choix des accidents à étudier et des critères associés doit être fait à un stade précoce de la conception.

Les systèmes spécifiques ainsi définis n’ont aucun rôle dans le fonctionnement normal de l’installation. La mise en service de ces systèmes peut être automatique ; en tout état de cause, aucune intervention humaine ne peut être prévue avant un délai suffisamment long pour qu’un diagnostic posé puisse être réalisé par les opérateurs. Le fonctionnement correct de ces systèmes permet que, pour les situations accidentelles postulées, l’intégrité de la structure du cœur ne soit pas affectée, ce qui permet son refroidissement ultérieur ; les rejets dans l’environnement sont alors très limités (notamment par l’isolement de l’enceinte de confinement).

Dans un réacteur français à eau sous pression, les systèmes mobilisables au troisième niveau de la défense en profondeur sont notamment :

–le système de protection qui déclenche l’arrêt automatique du réacteur (AAR) en cas de dépassement de seuils thermohydrauliques ou neutroniques adaptés pour la protection du cœur dans des accidents postulés ;

–le système d’alimentation de secours (en eau) des générateurs de vapeur (ASG), qui permet d’assurer la circulation d’eau dans la partie secondaire des générateurs de vapeur pour refroidir l’eau du circuit primaire en cas d’indisponibilité267 du système normal d’alimentation en eau des générateurs de vapeur (ARE) ; le système ASG aspire de l’eau contenue dans une bâche dédiée et l’envoie dans les générateurs de vapeur par des motopompes alimentées par des tableaux électriques secourus, ou des turbopompes alimentées par prélèvement de vapeur sur les lignes de vapeur, permettant ainsi de se passer d’alimentations électriques ;

–le système d’injection de sécurité (RIS), qui permet d’injecter de l’eau borée dans le circuit primaire, de façon à retrouver un inventaire en eau suffisant dans le cœur et à assurer son refroidissement. Il comprend différents sous-systèmes d’injection d’eau à différents niveaux de pression268. Dans le cas des réacteurs du parc électronucléaire jusques et y compris ceux du palier N4, l’eau borée est puisée d’abord dans la bâche du système PTR269, puis, à terme, en phase de recirculation d’eau dans l’enceinte de confinement, dans les puisards de cette enceinte ; le basculement se fait de façon automatique. Dans le cas du réacteur EPR, l’eau borée est puisée directement dans un réserve implantée à l’intérieur de l’enceinte de confinement (appelée In Containment Refueling Water System Tank [IRWST] − voir le paragraphe 18.2.3) ;

–le système d’aspersion d’eau (EAS) dans l’enceinte de confinement, qui permet de baisser la pression dans cette enceinte en cas d’accident conduisant à une augmentation significative de la pression dans le bâtiment du réacteur (par exemple en cas de brèche du circuit primaire ou de fusion du cœur pour les réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe, en cas uniquement de fusion du cœur pour le réacteur EPR) et de préserver ainsi l’étanchéité de l’enceinte de confinement. Ce système permet également de rabattre les éléments radioactifs présents sous forme d’aérosols relâchés dans cette enceinte. L’eau du système EAS provient de la bâche du système PTR puis, en phase de recirculation d’eau dans l’enceinte de confinement, des puisards situés au fond de cette enceinte.

Comme pour les dispositions qui relèvent du niveau 2, pour assurer une fiabilité adéquate des systèmes de sauvegarde, une attention spécifique doit notamment être portée à leurs possibilités de défaillances, d’où l’adoption de règles ou principes tels que la redondance, la séparation géographique, la diversification (voir le chapitre 7 qui présente quelques options génériques de sûreté au stade de la conception). Par ailleurs, les systèmes de sauvegarde doivent eux aussi faire l’objet d’essais périodiques, ainsi que d’une surveillance en service et d’une maintenance appropriées. Les modalités adoptées pour leur « qualification »270 aux conditions accidentelles, qui ne peut évidemment pas être obtenue en déclenchant des accidents dans l’installation elle-même, nécessite une attention toute particulière.

Quatrième niveau : maîtrise de conditions accidentelles sévères
incluant la progression d’accidents et limitation des conséquences
d’accidents sévères

L’accident avec fusion partielle du cœur du réacteur TMI 2 qui s’est produit à la centrale de Three Mile Island en 1979 (voir le chapitre 32) a conduit à rechercher des moyens de faire face à des situations de l’installation non traitées par les trois premiers niveaux de la défense en profondeur, pouvant conduire à des endommagements sévères du cœur271. L’objectif global du quatrième niveau de défense en profondeur est de faire en sorte que la probabilité d’un accident entraînant un endommagement sévère du cœur et les rejets radioactifs dans un tel cas soient tous deux maintenus à des niveaux aussi bas que raisonnablement possible, en tenant compte des facteurs économiques et sociaux. Il convient pour cela non seulement de mettre en œuvre des dispositions permettant de prévenir un endommagement sévère du cœur mais aussi de retarder la mise en œuvre d’éventuelles mesures de protection des populations à l’extérieur du site. Le maintien de la fonction de confinement dans les meilleures conditions possibles est alors ici l’objectif essentiel.

La gestion accidentelle sur site doit viser à éviter un recours à des mesures de protection (notamment des populations) hors du site. Des dispositions organisationnelles telles que des « plans d’urgence internes », ainsi que la préparation et l’entraînement de personnels aux situations accidentelles, sont aussi nécessaires.

La mise en place de dispositions permettant de maîtriser de tels accidents ne saurait bien entendu compenser des déficiences dans les niveaux précédents de défense en profondeur.

Dans un réacteur à eau sous pression français, les dispositions techniques suivantes, qui ont pour objectif de limiter les conséquences de situations avec fusion du cœur, peuvent être citées :

–pour les réacteurs autres que le réacteur EPR, le système EAS d’aspersion d’eau dans l’enceinte de confinement évoqué plus haut, ainsi que le dispositif d’éventage volontaire272 de cette enceinte associé à la procédure de conduite dite U5 − ce dispositif d’éventage permet, dans les situations avec fusion du cœur, de limiter la pression dans l’enceinte de confinement (afin d’éviter son endommagement), tout en filtrant les rejets de substances radioactives dans l’environnement ;

–les recombineurs autocatalytiques d’hydrogène, qui ont pour but d’éviter une explosion d’hydrogène dans l’enceinte de confinement ;

–pour le réacteur EPR, le récupérateur de matériaux fondus situé au fond de l’enceinte de confinement, le système d’évacuation ultime (EVU) de chaleur du bâtiment du réacteur − qui est aussi équipé d’un dispositif d’aspersion d’eau dans l’enceinte de confinement.

Ces trois dispositions sont précisées au chapitre 17.

Au niveau 4 de la défense en profondeur et tel que formulé dans le rapport INSAG-10, une attention particulière doit être portée aux situations non explicitement traitées aux niveaux inférieurs en raison de leurs très faibles probabilités, par exemple celles qui peuvent découler de défaillances multiples et affecter toutes les voies273 d’un système de sûreté, ou encore celles qui peuvent résulter d’un événement tel qu’une inondation grave. Certaines de ces situations peuvent conduire à des rejets radioactifs dans l’environnement. Les caractéristiques de l’installation peuvent procurer des délais permettant de les maîtriser, le cas échéant avec la mise en œuvre de dispositions additionnelles (équipements, procédures de conduite)274.

Pour les réacteurs à eau sous pression français, peuvent être citées les dispositions de conduite associées aux situations dites H et U (voir les chapitres 13, 17 et 33).

Cinquième niveau : limitation des conséquences radiologiques
de rejets significatifs de substances radioactives

Pour les cas d’échec ou d’efficacité insuffisante des dispositions précédentes, il convient d’envisager le recours à des dispositions de protection hors du site (collecte et évaluation des informations sur les niveaux d’exposition radiologique, mise en œuvre de dispositions de protection telles qu’une mise à l’abri, voire une évacuation, de populations, ingestion d’iode stable, interdiction de consommation ou de commercialisation de denrées alimentaires). La mise en œuvre de telles dispositions est préparée par les pouvoirs publics. La décision d’application effective de ces dispositions repose sur des appréciations de la situation par l’exploitant et les organismes de sûreté, comprenant des mesures de radioactivité dans l’environnement.

Ces dispositions font notamment l’objet des plans particuliers d’intervention (PPI), évoqués au chapitre 38.

Des exercices périodiques sont réalisés pour vérifier et améliorer, le cas échéant, les dispositions prévues pour la gestion des situations d’urgence.

Textes postérieurs à la publication du rapport INSAG-10

Le rapport INSAG-10 indiquait déjà clairement l’intérêt, pour une génération de réacteurs postérieure à sa publication (1996), de considérer les événements provenant de défaillances multiples au niveau 3 de la défense en profondeur et non au niveau 4275.

De son côté, dans un rapport RHWG de 2013 relatif aux nouveaux réacteurs276, l’association WENRA a quelque peu modifié la définition des niveaux de défense en profondeur et cherché à articuler ces niveaux avec les différentes catégories d’événements pris en compte dans l’analyse déterministe de sûreté (fonctionnement normal, incidents, accidents), telles qu’elles sont précisées au paragraphe 6.5. Pour conforter la prévention d’endommagements sévères du cœur, il a été considéré que la prévention et la maîtrise d’événements dus à des défaillances multiples considérées comme plausibles devait être renforcée. Dans le rapport RHWG précité et, en France, dans le guide ASN n° 22, ces événements sont dorénavant considérés au niveau 3 de la défense en profondeur (il s’agit des conditions de fonctionnement de sous-catégorie 3b).

6.4.2.Éléments communs aux différents niveaux
de défense en profondeur

Les aspects liés aux facteurs organisationnels et humains sont à prendre en compte aux différents niveaux de la défense en profondeur.

Par ailleurs, la défense en profondeur suppose que les différents niveaux soient aussi indépendants que possible. Il est donc très important de déterminer les événements ou les défaillances qui pourraient affecter simultanément plusieurs niveaux, par exemple lorsqu’une défaillance particulière pourrait empêcher le fonctionnement de moyens prévus pour limiter les conséquences de cette défaillance, et d’apprécier si les dispositions prises sont suffisantes. Les agressions présentent un risque particulier à cet égard car elles sont de nature à affecter simultanément différents niveaux de défense en profondeur. On retrouvera ce problème ultérieurement, à plusieurs reprises. Il fait partie des points d’attention tout particuliers pour les nouveaux réacteurs, ainsi que pour les anciens à l’occasion de leurs réexamens périodiques.

Les systèmes importants pour la sûreté doivent être d’une haute fiabilité. Des règles particulières de conception, d’implantation, de maintenance leur sont appliquées. La bonne mise en œuvre de la défense en profondeur suppose que les dispositions prises à chacun des niveaux fassent l’objet de conservatismes appropriés.

Les notions de conservatismes et de marges de sûreté sont tout particulièrement utilisées pour les trois premiers niveaux de défense en profondeur, à l’égard des événements initiateurs simples des conditions de fonctionnement normales, incidentelles et accidentelles dont il sera question au chapitre 8.

Il est acceptable que les conservatismes soient moindres quand il s’agit de traiter des défaillances multiples et des accidents sévères (par exemple avec fusion du cœur) ; en outre, des estimations réalistes sont préférables pour traiter correctement de la protection des populations en situations réelles de rejets.

Le focus à la fin du présent chapitre précise un certain nombre de notions utilisées pour la conception et l’analyse de sûreté en matière de conservatismes au sens large.

6.5.Événements pris en compte : terminologie adoptée pour les réacteurs électronucléaires

Il a été vu au paragraphe précédent que l’étude d’un certain nombre d’événements, qu’ils soient postulés parce que leur survenue au cours de la « vie » de l’installation apparaît inévitable ou simplement parce qu’il ne peut pas être raisonnablement démontré qu’ils ne sont pas plausibles, s’impose en application du concept de défense en profondeur. Elle constitue un élément important, sans être le seul, des justifications de la sûreté d’une installation comme un réacteur nucléaire, en d’autres termes de sa démonstration de sûreté.

À ce stade, quelques dénominations en usage doivent être précisées, que l’on retrouvera abondamment dans la suite du présent ouvrage.

Les événements normaux sont traités par ce que l’on désigne, en France, par conditions de fonctionnement de 1re catégorie : elles couvrent tous les états du fonctionnement normal (incluant les arrêts), ainsi que les transitions entre ces états de fonctionnement (par exemple les transitoires d’arrêt ou de démarrage du réacteur).

Les autres événements traités dans la démonstration de sûreté comprennent (la terminologie propre au réacteur EPR est indiquée au chapitre 8) :

–les incidents277, traités par les conditions de fonctionnement de 2e catégorie, qui correspondent à des événements prévisibles qui peuvent être fréquents (jusqu’à plusieurs occurrences par an) ;

–les accidents, de plus faible probabilité que les incidents, traités par deux catégories de conditions de fonctionnement, les 3e et 4e catégories ; ceux de 4e catégorie correspondent à des accidents à caractère hypothétique, pris néanmoins en compte au titre de la sûreté.

Ces quatre catégories de conditions de fonctionnement forment le domaine « de dimensionnement » ou « du dimensionnement de base » (par référence aux termes anglais Design Basis Accidents [DBA] pour les accidents de 3e et 4e catégories), ou dorénavant domaine « de conception de référence » (guide ASN n° 22).

La façon de définir les conditions de fonctionnement, sur la base des valeurs des fréquences estimées des événements initiateurs, ainsi que les modalités d’étude associées sont précisées au chapitre 8.

À ces conditions de fonctionnement s’ajoutent d’autres événements, supposant généralement des défaillances multiples, contrairement aux précédentes qui sont initiées par des défaillances « uniques » ou « simples », qui doivent être aussi traités dans la démonstration de sûreté. Ils constituent un domaine « hors dimensionnement »278 – Beyond Design Basis Accidents en anglais (BDBA) – ou, en y ajoutant les situations avec fusion du cœur, le « domaine de conception étendu » – Design Extension Conditions (DEC) en anglais – dans les plus récents textes de l’AIEA279, de WENRA et dans le guide ASN n° 22.

L’étude des défaillances multiples et des situations avec fusion du cœur (« accidents graves » – severe accidents en anglais) s’est progressivement développée (en France) dès le milieu des années 1970, puis elle s’est renforcée après l’accident survenu en 1979 à la centrale nucléaire de Three Mile Island aux États-Unis ; le chapitre 13 est consacré aux défaillances multiples et le chapitre 17 aux situations avec fusion du cœur.

À tout cela s’ajoute la prise en compte d’agressions (hazards en anglais), d’origine interne ou externe, dont la prise en compte pour la conception des réacteurs est traitée et illustrée dans les chapitres 11 et 12.

6.6.Les « niveaux de référence » de l’association WENRA

L’un des objectifs que s’est fixés l’association WENRA des responsables des autorités de sûreté nucléaire européennes, présentée au paragraphe 3.1.9, est de développer une approche commune de la sûreté nucléaire au sein de l’Union européenne. Dans cette optique, elle a, après ses premiers travaux dédiés à la sûreté dans les pays d’Europe de l’Est candidats à l’Union européenne, défini des « niveaux de référence » (reference levels) applicables aux installations existantes dans l’ensemble de l’Union, qui constituent de son point de vue les meilleures pratiques raisonnablement applicables en matière de sûreté nucléaire et qui devraient donc être mises en œuvre dans les pays membres de l’association pour les réacteurs en exploitation ; la première version des niveaux de référence a été diffusée en 2006. L’association WENRA n’ayant pas par elle-même de rôle règlementaire, ses membres se sont engagés à introduire ces niveaux de référence dans les règlementations de leurs pays respectifs et à s’assurer de leur application.

Ces niveaux de référence ont fait l’objet de modifications et de quelques mises à jour respectivement en 2007 et 2008280, puis à nouveau d’une mise à jour en 2014 pour prendre en compte le retour d’expérience de l’accident de la centrale nucléaire de Fukushima Daiichi : l’ensemble des (341) niveaux de référence apparaissent dans le rapport WENRA intitulé « Safety Reference Levels for Existing Reactors », publié le 24 septembre 2014 ; ils sont répartis en 19 thèmes qui sont indiqués dans le tableau 6.2 à la fin du présent chapitre281.

Dans la suite du présent ouvrage, il sera fait référence à ces niveaux de référence pour certains sujets.

6.7.L’analyse déterministe de la sûreté
et les études probabilistes de sûreté

Il a été vu plus haut que, aussi bien dans le cadre des analyses de sûreté relatives aux différentes barrières de confinement, appliquées initialement aux premiers réacteurs construits en France, que dans le cadre de la déclinaison de la défense en profondeur, des événements (conditions de fonctionnement, agressions) sont postulés, dont il doit être montré que leurs conséquences calculées restent telles que le risque correspondant soit acceptable.

Leur étude constitue ce qui est communément appelé approche déterministe de la sûreté. Pour compléter cette approche, après des développements partiels, concernant notamment la perte de systèmes redondants282, des études probabilistes de sûreté (EPS) plus complètes ont été progressivement développées pour les réacteurs du parc électronucléaire – dès le début des années 1980 pour ce qui concerne la France ; elles consistent à déterminer par l’analyse (de nature spéculative) les scénarios ou les séquences possibles pouvant mener à une fusion du cœur (EPS dite de niveau 1), avec les probabilités associées, ou ultérieurement les catégories de rejets de substances radioactives pouvant en résulter (EPS dite de niveau 2), avec également les probabilités associées. Les EPS de niveau 1 ont notamment confirmé, au début des années 1990, le bien-fondé de certaines préoccupations concernant les risques de fusion du cœur dans les états d’arrêt des réacteurs à eau sous pression, point sur lequel on reviendra au paragraphe 22.1.

Quelques-uns des « attendus » liés à la mise œuvre de l’approche déterministe et de l’approche probabiliste pour les réacteurs de puissance (à eau sous pression) sont précisés ci-après.

L’approche déterministe de sûreté permet notamment :

–de déterminer283 ou de confirmer les bases de conception pour tous les équipements importants pour la sûreté − des critères d’acceptabilité ou des limites retenues pour leur conception (et leur exploitation) devront être respectées ;

–de définir ou de confirmer les exigences que ces équipements doivent satisfaire, qui seront notamment à prendre en compte pour leur qualification et leur exploitation ;

–de montrer qu’une maîtrise satisfaisante des incidents et des accidents (domaine de « dimensionnement » ou « de référence ») est obtenue par la combinaison d’actions de sécurité automatiques et d’actions prescrites aux opérateurs ;

–de montrer qu’une maîtrise satisfaisante d’accidents plus sévères que les précédents (constituant le « domaine de conception étendu ») est obtenue par des dispositions de sûreté combinées aux actions des opérateurs, compte tenu des objectifs généraux de sûreté retenus.

Les études probabilistes de sûreté doivent permettre de couvrir tous les modes d’exploitation et tous les états du réacteur, y compris les états d’arrêt, avec une attention particulière à :

–montrer qu’une conception équilibrée a été obtenue (il doit être fait en sorte qu’il n’existe pas de point particulier de la conception ou d’événement postulé qui aurait une contribution excessive au risque global), et que les niveaux de défense en profondeur sont aussi indépendants que raisonnablement possible ;

–s’assurer que les situations pour lesquelles de petites déviations dans les paramètres de l’installation pourraient conduire à d’importantes variations dans le comportement de celle-ci sont suffisamment prévenues (prévention des « effets falaise ») ;

–apprécier les résultats obtenus compte tenu des objectifs de sûreté retenus pour l’installation.

En France, les EPS ont fait l’objet de la règle fondamentale de sûreté (RFS) n° 2002-01, diffusée au mois de décembre 2002 ; elle décrit des méthodes acceptables pour la réalisation des EPS de niveau 1 limitées aux événements internes à l’installation et indique également des possibilités d’utilisation de ces EPS. Le chapitre 14 est consacré aux études probabilistes de sûreté.

6.8.Enseignements apportés par l’accident
de la centrale nucléaire de Fukushima Daiichi
sur le concept de défense en profondeur
et sur l’analyse déterministe

L’accident survenu au mois de mars 2011 à la centrale nucléaire de Fukushima Daiichi – qui est décrit au chapitre 36 – a conduit à réexaminer un certain nombre de questions générales en matière de conception des réacteurs électronucléaires, notamment pour ce qui concerne l’indépendance des niveaux de défense en profondeur et la robustesse des installations à l’égard des agressions possibles d’origine externe.

En France, dans le cadre des évaluations complémentaires de sûreté (ECS) réalisées à la demande du Premier ministre (voir le paragraphe 36.6), Électricité de France a mené des études pour évaluer la robustesse de ses installations à des aléas « extrêmes », plus sévères que ceux qui avaient été retenus pour leur conception (ou à l’occasion de leurs plus récents réexamens périodiques). La mise en place d’une Force d’action rapide nucléaire (FARN) et d’équipements suffisamment robustes à l’égard de tels aléas (constituant un « noyau dur ») a ensuite été retenue, dans l’objectif non seulement de prévenir autant que possible une fusion du cœur mais aussi d’en limiter les conséquences si une telle situation survenait. Les ECS et les dispositions prises en conséquence pour les réacteurs du parc électronucléaire (français) sont largement développées aux paragraphes 36.6.5 et 36.6.6.

Il a été indiqué plus haut que l’expression « domaine de conception étendu » a été introduite dans les plus récents textes relatifs à la sûreté nucléaire. Le guide ASN n° 22 déjà cité, qui s’applique à la conception de nouveaux réacteurs, recommande à cet égard que « des événements plus complexes ou plus sévères […] que [ceux du domaine de conception de référence] doivent être étudiés dans un domaine de conception dit « étendu » afin de renforcer, sur la base d’une démarche adaptée, la capacité de l’installation à y faire face » et notamment « des agressions externes naturelles d’une plus grande sévérité que celles qui sont considérées dans le domaine de conception de référence ». L’étude de telles agressions vise à « s’assurer de l’existence de marges suffisantes pour l’atteinte des objectifs » de nature radiologique visés.284

6.9.La « culture de sûreté » – La maîtrise de la qualité

Pour une mise en œuvre efficace de la défense en profondeur, certaines conditions préalables de base s’appliquent à toutes les dispositions relevant des niveaux 1 à 5. Parmi ces conditions préalables, peuvent être tout particulièrement citées non seulement la culture de sûreté, notion déjà largement introduite au chapitre 4, mais aussi l’assurance de la qualité.

Les principes et concepts présentés plus haut n’auraient qu’une efficacité limitée si la qualité au sens large de toutes les activités intervenant dans la conception, l’approvisionnement des pièces, la fabrication des composants, leur montage, les essais et les contrôles, la préparation à l’exploitation et toutes les activités de l’exploitation elle-même n’était pas pleinement assurée ; car il est primordial que les dispositions retenues à la conception restent pérennes, voire soient améliorées, tout au long de l’exploitation d’une installation. Cela implique la motivation de tous les intervenants et nécessite une organisation adaptée.

L’assurance de la qualité a d’abord été recherchée par Électricité de France en structurant l’organisation des activités selon le schéma suivant :

–écrire ce que l’on va faire,

–faire ce que l’on a écrit,

–écrire ce que l’on a fait.

Cette façon de procéder doit en principe permettre de disposer d’un suivi clair et documenté de toutes les activités importantes pour la sûreté. Toutefois, elle peut donner lieu à des ambiguïtés, à des manques ou à des inadéquations entre ce qui a été préparé, par exemple pour la fabrication de composants ou, en exploitation, pour des interventions, et la réalité qui se présente aux opérateurs ou intervenants concernés. Les préparateurs qui écrivent ce que d’autres vont faire doivent avoir une bonne analyse des risques particuliers liés à l’opération visée et une bonne culture technique pour déterminer ce qu’il faut faire, mais peuvent ne pas connaître le détail de la manière de le réaliser. Ce détail est, par contre, le champ normal des acteurs de la réalisation de l’opération visée mais ceux-ci peuvent ne pas reconnaître leurs méthodes de travail effectives dans les directives écrites qui leur sont adressées. De plus, ces acteurs directs ne sont pas, le plus souvent, familiers de l’écriture de comptes rendus détaillés.

Un certain nombre de défauts observés à partir de 1978 sur des composants des réacteurs de 900 MWe (« défauts sous revêtement » de cuves et de plaques tubulaires de générateurs de vapeur, anomalie concernant les broches de maintien des tubes guides de grappes de contrôle), ainsi que des « anomalies d’études » ont conduit le Service central de sûreté des installations nucléaires à établir un texte à caractère règlementaire, l’arrêté du 10 août 1984 relatif à la qualité de la conception, de la construction et de l’exploitation des installations nucléaires de base (« arrêté qualité ») qui, avec sa circulaire d’application, a structuré un certain nombre de dispositions relatives à la qualité. Les dispositions déclinées dans ces textes ont ensuite été reprises avec une nouvelle terminologie dans l’« arrêté INB » présenté au chapitre 2, qui abroge l’« arrêté qualité ».

#FOCUS

Conservatismes et marges : plusieurs notions utilisées
pour la conception et l’analyse de sûreté
des réacteurs à eau sous pression285

Les démarches de conception et de dimensionnement et bien sûr la démarche d’analyse de sûreté des réacteurs à eau sous pression se veulent conservatives, par la prise en compte d’altérations des « entrées » de façon à couvrir les aléas et les inconnues de ces démarches. Les pratiques dans différents domaines (neutronique, thermohydraulique, mécanique…) permettent de mettre en évidence différents éléments qui participent ensemble à ce que l’on regroupe sous le terme de conservatismes, avec les définitions qui sont proposées ci-après.

Provisions

Les provisions sont destinées à couvrir, par exemple :

–les évolutions prévisibles, mais non encore quantifiées, de paramètres tels que poids, géométrie, situations de fonctionnement (pressions, températures, durées associées…), chimie des fluides environnants, cela dans des fourchettes globalement connues,

–d’éventuels écarts prévisibles entre les schémas de conception et ceux du « tel que construit »,

–plus généralement, tout ce qui n’est pas encore précisément défini au moment de la conception et de l’analyse de sûreté.

Pénalités

Les pénalités sont destinées à retenir des valeurs conservatives pour des données dont la variabilité est aléatoire, mais dans une gamme connue. Le terme de pénalité est notamment (et principalement) utilisé dans les études de physique des réacteurs et l’analyse de sûreté des transitoires associés aux conditions de fonctionnement incidentelles et accidentelles.

Coefficients de sécurité

Les coefficients de sécurité sont destinés à couvrir des aléas et des incertitudes non connus dans la démarche de dimensionnement des équipements. Il s’agit par exemple :

–de la représentation idéalisée par éléments finis d’une structure,

–du comportement idéalisé d’un isolant,

–d’un matériau idéalisé par une loi de diffusion thermique supposée uniforme,

–…

Des coefficients de sécurité sont fixés dans certains textes règlementaires ou dans certains recueils de règles de conception et de construction, tels que :

–les coefficients de sécurité prescrits par la règlementation des appareils à pression (voir par exemple le paragraphe 8.6 pour ce qui concerne la conception des ESPN et le chapitre 27 pour ce qui concerne leur surveillance en service),

–des coefficients de sécurité des « règles neige et vent », des « règles de conception et de construction des matériels mécaniques » (RCC-M) ou de génie civil (RCC-G jusqu’au palier N4, ETC-C286 pour EPR287)…

Les coefficients de sécurité ne doivent pas être utilisés pour justifier la bonne tenue d’équipements à des chargements thermomécaniques plus importants que ceux qui ont été initialement prévus (du fait de conditions d’utilisation qui ont évolué ou du fait d’une sous-estimation). Ce sont des coefficients utilisés pour couvrir les incertitudes de la démarche de modélisation du réel.

Marges

Le terme de marge ne devrait être utilisé que pour désigner l’écart qui subsiste entre la valeur d’une grandeur et une limite lorsque les provisions, pénalités et coefficients de sécurité ont été pris en compte. La marge peut être nulle ; si elle est positive, comprise et quantifiable, elle peut être « valorisée » en cas de difficulté pour, par exemple, justifier la tenue d’un équipement à des chargements supérieurs à ceux qui ont été initialement prévus. Mais une même marge ne peut pas être « valorisée » pour couvrir plusieurs difficultés – ou alors avec le plus grand discernement.

Tableau 6.2. Les 19 thèmes des niveaux de référence de l’association WENRA (publication de 2014).

01

Issue A:

Safety Policy

02

Issue B:

Operating Organisation

03

Issue C:

Management System

04

Issue D:

Training and Authorization of NPP Staff (Jobs with Safety Importance)

05

Issue E:

Design Basis Envelope for Existing Reactors

06

Issue F:

Design Extension (conditions) of Existing Reactors

07

Issue G:

Safety Classification of Structures, Systems and Components

08

Issue H:

Operational Limits and Conditions (OLCs)

09

Issue I:

Ageing Management

10

Issue J:

System for Investigation of Events and Operational Experience Feedback

11

Issue K:

Maintenance, In-Service Inspection and Functional Testing

12

Issue LM:

Emergency Operating Procedures and Severe Accident Management Guidelines

13

Issue N:

Contents and Updating of Safety Analysis Report (SAR)

14

Issue O:

Probabilistic Safety Analysis (PSA)

15

Issue P:

Periodic Safety Review (PSR)

16

Issue Q:

Plant Modifications

17

Issue R:

On-site Emergency Preparedness

18

Issue S:

Protection against Internal Fires

19

Issue T :

Natural Hazards

232.« Analyse de sûreté des installations nucléaires – Principes et pratiques », Daniel Quéniart, Techniques de l’ingénieur, article BN3810 V1, juillet 2017.

233.Sans préjuger d’autres risques (risques chimiques par exemple) que les installations peuvent présenter, qui sont à traiter dans les cadres appropriés, mais qui ne font pas l’objet du présent ouvrage (notion d’intérêts protégés dans la règlementation française).

234.Frank Reginald Farmer (1914-2001) a été membre de l’United Kingdom Atomic Energy Authority puis professeur à l’Imperial College of London.

235.Directive établissant un cadre communautaire pour la sûreté nucléaire des installations nucléaires.

236.Il est aussi spécifié dans cette directive que les États membres veillent à ce que le cadre national exige que l’objectif ainsi défini :

–« s’applique aux installations nucléaires pour lesquelles une autorisation de construire est octroyée pour la première fois après le 14 août 2014 ;

–soit utilisé comme une référence pour la mise en œuvre en temps voulu de mesures d’amélioration raisonnablement possibles dans une installation nucléaire existante, y compris dans le cadre des examens périodiques de sûreté définis à l’article 8 quater, point b [de la directive] ».

237.Sujet qui est développé au chapitre 18.

238.Voir principalement le document « WENRA Statement on Safety Objectives for New Nuclear Power Plants », novembre 2010.

239.Il est ici rappelé que la construction de réacteurs nucléaires (de recherche ou électrogènes) a démarré au milieu du XXe siècle, par quelques pays (États-Unis, ex-Union soviétique, France, Grande-Bretagne…) engagés dans la recherche et la mise au point de technologies permettant de valoriser l’énergie issue de la fission nucléaire à des fins de production d’électricité.

240.American Society of Mechanical Engineers.

241.Détermination des caractéristiques d’une installation lors de sa conception pour satisfaire à des critères et à la pratique règlementaire.

242.La dispersion ou un défaut de protection contre les rayonnements que ces substances sont de nature à émettre.

243.1 TBq = 1012 Bq = 27 Ci (Curie).

244.Masse permettant d’entretenir une réaction en chaîne (voir le chapitre 5).

245.Voir le paragraphe 5.2.

246.Fundamental Safety Functions, Basic Safety Functions ou Main Safety Functions dans les normes de l’AIEA.

247.Arrêté du 7 février 2012, I, article 3.4.

248.Cette notion de conditions de fonctionnement était alors relativement large ; elle sera ensuite approfondie pour aboutir à ce qui sera présenté au chapitre 8.

249.Puissance fournie par le réacteur.

250.Il est toutefois à noter que certains textes, notamment, de l’AIEA présentent quelquefois la matrice du combustible comme constituant une première barrière de confinement. Cela n’a pas été retenu en France, bien que la matrice du combustible assure un certain confinement des produits de fission dans certaines conditions peu sévères ; la structure des pastilles de combustible évolue naturellement sous irradiation (apparition de fissures) et l’« étanchéité » des pastilles n’est pas contrôlable lors de l’exploitation du réacteur.

251.Pour les piscines d’entreposage de combustibles usés, les barrières de confinement correspondent techniquement à des éléments bien différents de ce qui suit (voir le chapitre 15).

252.L’expression stratégie est aussi utilisée, notamment dans des textes de l’AIEA.

253.La défense en profondeur est un concept très général. Il sera vu respectivement aux paragraphes 11.6 et 11.7 qu’une démarche de défense en profondeur peut être adoptée à l’égard des risques d’incendie et d’explosion dans les installations nucléaires. Il sera également noté au chapitre 22, qui présente un certain nombre d’événements significatifs (notion précisée au paragraphe 22.2) survenus lors d’opérations de maintenance, qu’une démarche de défense en profondeur est aussi nécessaire pour la sûreté d’activités d’exploitation − en cohérence avec l’alinéa 71 sur ce sujet du rapport INSAG-10.

254.Structures, Systems and Components (SSC) dans les normes de l’AIEA.

255.Le lecteur pourra consulter l’historique de ce sujet présenté au point 03.1 du document de l’association WENRA intitulé « Safety of new NPP designs – Study by Reactor Harmonization Working Group RHWG », March 2013.

256.Reprise dans la version révisée, de 1999, sous l’appellation INSAG-12.

257.Le terme à utiliser est niveau (level en anglais), en évitant dans ce cas l’expression « ligne de défense » qui correspond à une démarche spécifique qui a pu être mise en œuvre dans l’analyse de sûreté d’autres types de réacteurs et qui ne correspond en rien à un niveau de défense en profondeur.

258.Pour la conception et la construction des matériels mécaniques, on peut citer le « code » américain ASME ou le RCC-M pour les réacteurs français à eau sous pression.

259.Les concepteurs utilisent couramment le terme « procédé » pour désigner dans son ensemble la technologie liée à une installation telle qu’un réacteur nucléaire.

260.Notion qui a été développée à la suite de l’accident survenu à la centrale nucléaire de Tchernobyl (voir le chapitre 4).

261.Dans un sens qui couvre les anticipated operational occurrences selon la terminologie retenue dans les textes de l’AIEA, qui correspondent à des événements prévisibles (incidents).

262.Pour les réacteurs français à eau sous pression, les dispositions de surveillances en service des matériels font l’objet d’un document appelé RSE-M, publié par l’AFCEN (Association Française pour les règles de conception, de construction et de surveillance en exploitation des matériels des chaudières électronucléaires).

263.Le réacteur EPR est équipé d’un tel système de limitation, qui déclenche par exemple la chute de quelques grappes absorbantes en cas de défaillance d’une pompe primaire, pour ajuster la puissance du cœur au débit d’eau le traversant.

264.Il peut être considéré que les systèmes de régulation (qui permettent de compenser l’usure des combustibles dans le cœur, d’adapter la puissance du réacteur à la demande d’électricité – phénomènes prévisibles et normaux) relèvent du niveau 1 de la défense en profondeur.

265.Dans le rapport INSAG-10, le système de protection (arrêt automatique du réacteur) est affecté au niveau 2 dans la « Table 1 » et affecté au niveau 3 dans le texte.

266.Engineered Safety Features selon la terminologie utilisée dans le rapport INSAG-10.

267.En particulier dans certaines situations accidentelles telles que la perte des alimentations électriques externes, la rupture d’une tuyauterie d’eau d’alimentation des générateurs de vapeur, la rupture d’une tuyauterie de vapeur. Mais il est à noter que, dans les réacteurs français hormis le réacteur EPR, ce système a également un rôle lors du fonctionnement normal du réacteur, en remplacement du système ARE : pour assurer le remplissage des générateurs de vapeur après un arrêt du réacteur pour rechargement du combustible dans le cœur, pour assurer l’alimentation en eau des générateurs de vapeur lors des passages de l’arrêt à chaud jusqu’à la connexion du circuit assurant directement le refroidissement de l’eau du circuit primaire en boucle fermée (circuit RRA) et, à l’inverse, pour assurer l’alimentation en eau des générateurs de vapeur après déconnexion de ce circuit jusqu’à l’arrêt à chaud.

268.Systèmes d’injection à « basse » et à « moyenne » pression, avec, pour les réacteurs de 900 MWe, un système d’injection à « haute pression ».

269.Système de réfrigération et de purification de l’eau des piscines qui permet, entre autres, d’évacuer la chaleur résiduelle des assemblages entreposés dans la piscine d’entreposage des combustibles usés.

270.Cette notion désigne le processus, qui peut s’appuyer sur des essais et des contrôles, visant à justifier qu’un équipement tel qu’il est conçu et réalisé est bien apte à remplir les missions attendues dans les conditions accidentelles. On y reviendra au chapitre 7 (paragraphe 7.4.3), ainsi qu’au chapitre 19 consacré aux essais de démarrage.

271.Situations désignées souvent par l’appellation d’accidents graves.

272.Ne serait évidemment mis en œuvre qu’en concertation avec les pouvoirs publics.

273.L’expression « train » est aussi utilisée.

274.Il est ainsi à noter que, pour l’EPR, la mise en service du système EVU est envisagée dans certaines situations de défaillances multiples (par exemple en cas de petite brèche primaire cumulée à une perte totale de l’injection de sécurité à basse pression).

275.De plus, le concept de défense en profondeur tel qu’il a été développé en 1996 dans le document INSAG-10 a été précisé ultérieurement. C’est ainsi que, en 2005, l’AIEA a diffusé un document intitulé « Assessment of Defence in Depth for Nuclear Power Plants » (Safety Reports Series No. 46), qui constitue un guide pour l’appréciation de la robustesse de la défense en profondeur dans le cas d’une installation telle qu’un réacteur électronucléaire.

276.Rapport du RHWG intitulé « Safety of new NPP designs – Study by the Reactor Harmonization Working Group RHWG », March 2013.

277.Anticipated Operational Occurrences.

278.En France, l’appellation « domaine complémentaire » est aussi utilisée (voir le chapitre 13).

279.Le document SSR-2/1 de l’AIEA intitulé « Safety of Nuclear Power Plant : Design », 2012, révision 1 de 2016) introduit la notion de Design Extension Conditions, incluant des situations plus sévères que celles du domaine du « dimensionnement de base », en postulant des défaillances additionnelles, ainsi que les situations avec fusion du combustible, signifiant par-là que l’étude de tels événements doit viser à déterminer si la conception de l’installation (dont la barrière ultime de confinement) permet d’en limiter suffisamment les conséquences ou si des renforcements (visant par exemple la barrière ultime) ou la mise en place d’équipements supplémentaires (sources électriques, appoints d’eau « ultimes »…) apparaissent opportuns.

280.« WENRA Reactor Safety Reference Levels », Revision, March 1, 2007 et « WENRA Reactor Safety Reference Levels », January 1, 2008.

281.Ces niveaux de référence concernent la sûreté nucléaire, avec quelques éléments en matière de radioprotection. Ils ne traitent pas des aspects liés à la sécurité ni des dispositions à mettre en œuvre par les pouvoirs publics pour traiter les situations d’urgence.

282.Suivant en cela la lettre SIN n° 1076/77 du 11 juillet 1977. Pour ces premiers développements, voir le paragraphe 14.1. Il est par ailleurs à noter que, dans le domaine de la sûreté nucléaire des réacteurs, le distinguo entre approche déterministe et approche probabiliste ne doit pas conduire à les opposer : l’approche déterministe a recours sur bien des points à des considérations de nature statistique ou probabiliste ; il sera par exemple vu au chapitre 8 que les conditions de fonctionnement sont classées en catégories sur la base de la fréquence d’occurrence estimée d’initiateurs.

283.Dans le sens que, des événements traités (conditions de fonctionnement, agressions), sont issues les « situations » de dimensionnement des équipements de l’installation, notion précisée au paragraphe 8.6.

284.Il est à noter que le rapport de l’association WENRA diffusé en septembre 2014, qui constitue une mise à jour – à la lumière de l’accident de la centrale nucléaire de Fukushima Daiichi – des « niveaux de référence » précédemment diffusés en matière de sûreté pour les réacteurs existants inclut un ensemble de « niveaux de référence » relatifs aux agressions naturelles (partie Issue T – voir le tableau 6.2), en étant plus explicite que le document de l’AIEA SSR-2/1 évoqué plus haut quant à la prise en compte d’agressions plus importantes que celles qui sont retenues pour la conception de base de l’installation, au titre du domaine de conception étendu.

285.Texte établi avec Michel Nédélec, membre du Groupe permanent d’experts pour les réacteurs nucléaires et du Groupe permanent d’experts pour les équipements sous pression nucléaires.

286.EPR Technical Code for Civil works (code technique pour le génie civil de l’EPR).

287.Puis le RCC-CW pour les projets plus récents (réacteurs REP « EPR nouveau modèle »…).

Annexe. Les réacteurs électronucléaires français

Le programme électronucléaire français est constitué de plusieurs types d’installations dont les plus récentes et les plus nombreuses sont des réacteurs à eau sous pression.

Les installations les plus anciennes ont été définitivement arrêtées.

A.1. Réacteurs de la filière UNGG

Ces réacteurs se caractérisent par la possibilité d’utiliser l’uranium naturel sous forme métallique comme combustible grâce à l’utilisation de graphite comme modérateur et de magnésium comme matériau de gainage.

Le combustible est chargé et déchargé pendant le fonctionnement du réacteur.

La taille de l’installation devient, par contre, très importante lorsque sa puissance augmente. Cela a contribué à l’abandon de cette filière à la fin des années 1960.

Les réacteurs de type UNGG

Nom

Puissance

Divergence

Arrêt définitif

Chinon A1

80

1962

1973

Chinon A2

230

1965

1985

Chinon A3

500

1966

1990

Saint-Laurent A1

500

1969

1990

Saint-Laurent A2

530

1971

1992

Bugey 1

555

1972

1994

A.2. Réacteur à eau lourde

La France a exploré la possibilité de réaliser des réacteurs de puissance modérés à l’eau lourde et refroidis par du gaz carbonique circulant dans des tubes de force. Cette filière ne s’est concrétisée que par une seule réalisation : il s’agit de la centrale nucléaire des Monts d’Arrée sur le site de Brennilis dans le Finistère, dite également EL4 et d’une puissance de 75 MWe, démarrée en 1967 et définitivement arrêtée en 1985.

A.3. Réacteurs à neutrons rapides

Dans l’optique d’une croissance rapide de la consommation mondiale d’uranium, la France a développé, seule d’abord puis en collaboration avec l’Allemagne et l’Italie, les éléments d’une filière de réacteurs à neutrons rapides pouvant être surgénérateurs.

Le réacteur PHENIX, de 250 MWe, a divergé en 1973. Il a été mis à l’arrêt définitif en 2009.

Le réacteur SUPERPHENIX, de 1 200 MWe, a divergé en 1985, mais il a subi diverses avaries qui ont affecté son fonctionnement. Il a finalement été mis à l’arrêt définitif en 1998.

A.4. Réacteurs à eau sous pression

La première tranche de ce type, Chooz A, de 320 MWe, est un projet franco-belge conçu et construit sur la base d’une licence américaine de la société Westinghouse cédé à la Franco-Américaine de constructions atomiques (Framatome) en 1959. Elle a démarré en 1967 et a été arrêtée en 1991. Son démantèlement a commencé en 2001. Le réacteur est situé dans une caverne, 150 mètres sous terre. La conception est représentative des connaissances des années 1960. L’expérience acquise sur cette installation ne peut pas être directement utilisée pour les tranches suivantes de la même filière dont les premières ont été commandées au début des années 1970.

Les sites des réacteurs électronucléaires à eau sou pression français

Regroupement par paliers standardisés

Les tranches de 900 MWe sont jumelées et partagent certains systèmes auxiliaires. Elles sont dotées d’une enceinte de confinement en béton précontraint doublée intérieurement d’une peau d’étanchéité métallique. C’est le bâtiment du réacteur qui contient notamment le circuit primaire principal du réacteur avec la cuve, les trois pompes primaires, les trois générateurs de vapeur et leurs tuyauteries de liaison.

L’implantation du groupe turboalternateur de production d’électricité a d’abord été tangentiel au bâtiment du réacteur (CP0 et CP1), puis perpendiculaire à ce bâtiment.

Les tranches de 1 300 et 1 450 MWe sont individualisées. Le circuit primaire est à quatre boucles. Leur enceinte de confinement est de type enceinte double sans peau d’étanchéité métallique. Le système de mise en dépression de l’espace annulaire qui assure également une filtration avant rejet à l’atmosphère est considéré comme un système de sauvegarde.

L’implantation du groupe turboalternateur est toujours de type radial.

Les listes indiquent les années du raccordement au réseau électrique.

Premier groupe dit CP0 – Puissance unitaire 900 MWe

Fessenheim 11977

(arrêté définitivement au mois de février 2020)

Fessenheim 21977

(arrêté définitivement au mois de juin 2020)

Bugey 21978

Bugey 31978

Bugey 41979

Bugey 51979

Premier contrat pluriannuel dit CP1 – Puissance unitaire 900 MWe

Tricastin 11980

Tricastin 21980

Tricastin 31981

Tricastin 41981

Gravelines 11980

Gravelines 21980

Gravelines 31980

Gravelines 41981

Gravelines 51984

Gravelines 61985

Dampierre 11980

Dampierre 21980

Dampierre 31981

Dampierre 41981

Le Blayais 11981

Le Blayais 21982

Le Blayais 31983

Le Blayais 41983

Deuxième contrat pluriannuel dit CP2 – Puissance unitaire 900 MWe

Saint-Laurent B11981

Saint-Laurent B21981

Chinon B11982

Chinon B21983

Chinon B31986

Chinon B41987

Cruas 11983

Cruas 21984

Cruas 31984

Cruas 41984

Tranches de 1 300 MWe de type P4

Paluel 11984

Paluel 21984

Paluel 31985

Paluel 41986

Flamanville 11985

Flamanville 21986

Saint Alban 11985

Saint Alban 21986

Tranches de 1 300 MWe de type P’4

Cattenom 11986

Cattenom 21987

Cattenom 31990

Cattenom 41991

Belleville 11987

Belleville 21988

Nogent 11987

Nogent 21988

Penly 11990

Penly 21992

Golfech 11990

Golfech 21993

Tranches de 1 450 MWe de type N 4

Chooz B11996

Chooz B21997

Civaux 11997

Civaux 21999

Réacteur EPR de 1 675 MWe

Flamanville 3en construction et essais

Chapitre 7

Options et considérations de sûreté
au stade de la conception

L’atteinte du niveau de sûreté visé à la conception d’une installation comme un réacteur électronucléaire suppose une bonne déclinaison des objectifs généraux, concepts, principes et méthodes introduits dans le chapitre précédent.

Dans les faits et de façon assez schématique, si la conception d’un réacteur électronucléaire vise en premier lieu à déterminer l’ensemble des caractéristiques du « procédé » (voir plus loin la figure 7.1) qui vont permettre une production d’électricité dans les conditions souhaitées, elle suit généralement un processus itératif fondé au départ sur le choix d’options techniques dont bien évidemment certaines sont en rapport avec la sûreté, conforté – et corrigé autant que de besoin – par des vérifications comportant un certain nombre d’études contribuant à ce que l’on appelle désormais « démonstration de sûreté ».

Certaines options techniques ont un lien évident avec le concept de défense en profondeur présenté au chapitre précédent :

–le choix du site d’implantation du réacteur y contribue pour ce qui concerne par exemple les possibilités de refroidissement, la définition des agressions externes à considérer (séismes, inondations, activités humaines au voisinage de l’installation) et la considération des populations susceptibles d’être touchées en cas de rejet accidentel de substances radioactives…) ;

–des caractéristiques neutroniques intrinsèques du cœur du réacteur favorables à la maîtrise de la réactivité participent également à la défense en profondeur ;

–le choix du matériau des gaines des crayons combustibles, qui doit leur procurer une résistance appropriée dans les différentes situations envisagées, participe aux quatre premiers niveaux de la défense en profondeur ;

–la surveillance neutronique du cœur, les systèmes de limitation (puissance…) ainsi que de protection et l’arrêt automatique du réacteur déclenché par ce système contribuent à différents niveaux de la défense en profondeur ;

–les choix en matière d’architecture des systèmes de sauvegarde, par exemple en termes de redondance et de diversification technologique, sont guidés par la fiabilité recherchée des dispositions prévues au troisième niveau de la défense en profondeur…

Les choix techniques associés à des considérations de sûreté au stade de la conception – dont il sera question aux paragraphes 7.1 et 7.2 – peuvent ainsi résulter des objectifs généraux, des concepts, des principes ou des méthodes introduits dans le chapitre précédent et être le reflet de bonnes pratiques industrielles, historiquement éprouvées. En revanche, certains équipements peuvent nécessiter une approche spécifique de sûreté du fait de choix associés à des évolutions technologies importantes : c’est le cas des systèmes de contrôle-commande à base de logiciels programmés, sujet développé au paragraphe 7.3. La notion de classement de sûreté des équipements est développée au paragraphe 7.4. Quelques éléments relatifs à la conception des équipements sous pression nucléaires sont présentés au paragraphe 7.5. Des considérations générales sur la prise en compte des agressions dans la conception des installations font l’objet du paragraphe 7.6. Enfin, certains choix techniques peuvent être associés à des considérations qui ne correspondent pas à la mission première de l’installation : c’est ainsi que le caractère très particulier des risques liés aux installations nucléaires conduit à retenir des choix de conception visant à faciliter leur démantèlement, sujet abordé au paragraphe 7.7.

On peut ajouter ici que la radioprotection des travailleurs en exploitation (sujet abordé au chapitre 31) ou la préparation à la gestion de situations d’urgence (chapitre 38) ont également une influence sur les choix de conception d’une installation nucléaire.

Le guide ASN n° 22 énonce ainsi des recommandations générales ou spécifiques relatives à la conception d’un réacteur électronucléaire, qui couvrent un domaine plus large que celui du présent chapitre288.

Figure 7.1. Présentation générale d’un réacteur à eau sous pression à quatre boucles (1 300 MWe ou 1 450 MWe) et de ses principaux circuits. Georges Goué/Médiathèque IRSN.

L’étude des conditions de fonctionnement, correspondant à des défaillances internes propres à l’installation, ainsi que celle des agressions font l’objet de chapitres ultérieurs ; il s’agit d’éléments qui vont servir :

–d’une part à la conception et au dimensionnement proprement dit des structures, systèmes et composants importants pour la sûreté de l’installation,

–d’autre part à la démonstration de sûreté, fondée sur la conception et le dimensionnement retenus.

7.1.Différents types de dispositions de conception associées à des considérations de sûreté

De façon générale, les concepteurs cherchent à limiter les possibilités de dysfonctionnement des équipements. Cela repose en particulier sur :

–une fiabilité appropriée des équipements pour les fonctions ou les missions qui leurs sont assignées,

–une conception tolérante aux écarts comportant des dispositions permettant le retour à l’état de référence,

–une conception pardonnante à l’égard des erreurs humaines.

Pour expliciter cela et afin d’y parvenir, différents types de dispositions sont adoptées aux stades de la conception, puis de la réalisation et de l’exploitation. Elles sont très variées et dépendent de l’importance pour la sûreté des équipements ou systèmes auxquels ils appartiennent, en relation avec la démonstration de sûreté. Pour ce qui concerne les équipements, il s’agit de dispositions relatives :

–à la conception générale, telle que l’adoption autant que possible du principe de « panne sûre »289 − cela signifie que, en cas de défaillance de l’un des composants d’un équipement, celui-ci demeure ou se met dans une configuration favorable au plan de la sûreté ;

–au choix des matériaux et au dimensionnement ; à ce titre, les équipements peuvent être par exemple conçus pour rester structurellement intègres dans différentes conditions de fonctionnement ou situations d’agression interne ou externe ;

–à leurs modalités de fabrication ;

–à leur qualification pour les différentes conditions de fonctionnement et d’ambiance dans lesquelles ils seront ou seraient amenés à fonctionner ;

–aux modalités des contrôles à réaliser au cours de leur fabrication, ainsi qu’aux modalités des essais lors des phases du démarrage de l’installation, puis de façon périodique en exploitation ;

–aux modalités des contrôles (périodiques ou non) dans le cadre du suivi en service − il est important de concevoir des équipements qui soient autant que possible « inspectables », voire par plusieurs méthodes ;

–aux possibilités de détecter des dysfonctionnements par une instrumentation spécifique...

Des dispositions de conception concernent par ailleurs l’architecture des systèmes, de façon à obtenir une fiabilité appropriée, permettant une démonstration de sûreté cohérente avec les objectifs de sûreté visés ; il s’agit en particulier de réduire les risques de défaillances par cause commune (ou de mode commun) entre systèmes ou équipements assurant une fonction similaire. À titre d’exemple, les systèmes peuvent être conçus en retenant des dispositions telles que :

–le secours, par des sources électriques dédiées, de l’alimentation électrique de l’ensemble des équipements actifs290 d’un système ; une telle disposition vise à assurer le fonctionnement du système malgré la défaillance du réseau électrique externe assurant l’alimentation électrique normale des équipements ;

–l’application du « critère de défaillance unique » à certains systèmes ; cette disposition sera plus amplement détaillée au paragraphe 7.2 ;

–la diversification technologique des équipements permettant d’assurer une fonction donnée ; cette diversification vise à limiter les risques de défaillances de mode commun (elle ne doit toutefois pas être appliquée par principe si elle conduit à des fiabilités réduites des technologies mises en œuvre) ;

–la séparation géographique ou physique des voies redondantes, afin de limiter les risques de défaillances de mode commun en cas d’agression (inondation interne, incendie…) ;

–une conception appropriée des systèmes « supports » aux systèmes de sûreté, en vue d’éviter des défaillances de mode commun sur des voies redondantes de ces systèmes (par exemple systèmes de conditionnement thermique, systèmes d’alimentation en fluides − carburant, électricité, air comprimé…).

Des exigences291 proportionnées à ce qui est attendu des équipements et des systèmes sont retenues par les concepteurs ; elles constituent une base pour la démonstration de sûreté dans les différentes conditions de fonctionnement et situations d’agressions considérées.

Les dispositions retenues doivent bien entendu tenir compte des aspects organisationnels et humains. La maîtrise de la qualité de toutes les activités intervenant dans la conception, l’approvisionnement, la fabrication, le montage, les essais et les contrôles, ainsi que dans la préparation à l’exploitation, revêt une importance particulière, mais elle ne constitue qu’une part de la prise en compte des aspects organisationnels et humains au stade de la conception, sujet qui est plus largement développé au chapitre 16.

7.2.Le critère de défaillance unique

Les systèmes qui vont contribuer à la prévention des incidents et des accidents ainsi qu’à la limitation de leurs conséquences doivent être d’une fiabilité appropriée. Une étude de fiabilité précise est difficile à mener au moment des premiers choix en matière de systèmes. Une approche systématique a été retenue au stade de la conception, consistant en l’application d’un « critère de défaillance unique » pour ces systèmes292 ; ce critère peut être résumé comme suit : la fonction d’un système doit pouvoir être remplie même en cas de défaillance d’un quelconque de ses composants293.

Son application est simple : il est postulé que, au moment de la sollicitation du système, l’un quelconque de ses composants est défaillant. Il faut, bien sûr, rechercher à cette fin le composant dont le mauvais fonctionnement a les conséquences les plus défavorables dans les conditions considérées.

On distingue toutefois les composants « actifs » qui nécessitent un mouvement (pompes, vannes…) pour remplir leurs missions dans les situations considérées, à l’opposé des composants « passifs » (capacités ou récipients, tuyaux, échangeurs de chaleur…).

Une « défaillance active » est le refus de fonctionnement d’un composant actif sollicité294.

Une « défaillance passive » est généralement une fuite, d’ampleur limitée si elle peut être localisée et arrêtée ; dans le cas contraire, il faut considérer que tout le fluide pouvant s’échapper par la brèche est perdu. Une défaillance passive peut être également un blocage s’opposant à l’écoulement d’un fluide.

Compte tenu de cette distinction, le critère de défaillance unique s’applique de la façon suivante295 :

–les systèmes de protection et de sauvegarde doivent pouvoir assurer pleinement leur fonction malgré une défaillance active quelconque ;

–les systèmes précités qui doivent assurer une mission de longue durée doivent pouvoir assurer leur fonction même s’il survient une défaillance passive après 24 heures ; en outre, pour ces systèmes, il convient de s’assurer qu’une défaillance passive qui surviendrait avant 24 heures ne conduirait pas à un accroissement très notable des conséquences de l’accident (« effet falaise »296).

La façon d’appliquer de manière pratique ce critère a donné lieu à de nombreuses discussions, en particulier sur deux questions complémentaires :

–comment tenir compte des indisponibilités de matériels ou de systèmes connues avant l’occurrence de la situation considérée ou pour maintenance ?

–faut-il tenir compte des erreurs humaines et comment ?

Certains constructeurs ont fait le choix de systèmes présentant une triple ou une quadruple redondance – chacun des trains (voies ou files) étant capable d’assurer tout ou partie de la fonction. On parle alors de systèmes à 3 ou 4 trains. Ce sujet peut aussi faire l’objet d’exigences règlementaires.

Suivant en cela le bailleur de la licence, l’exploitant et le constructeur français ont, pour les tranches de 900 MWe et après étude d’une large gamme de solutions possibles, conçu une architecture des systèmes de sauvegarde comportant deux voies électriques (voie A et voie B), capables d’assurer leur fonction en cas de défaillance d’un composant. Cette disposition, retenue ensuite jusques et y compris pour les tranches de 1 450 MWe, permet de limiter le nombre de matériels et donc les investissements. Elle impose par contre une très grande vigilance quant à la disponibilité des deux trains ; cela se traduit en particulier par des contraintes sévères sur les durées maximales admises d’indisponibilité fortuite des matériels et des limitations strictes pour la mise en indisponibilité volontaire d’une voie, pour entretien par exemple, pendant les périodes de fonctionnement où le système considéré est nécessaire à la sûreté.

Dans le cas du réacteur EPR Flamanville 3, les fonctions de sauvegarde du réacteur sont assurées par plusieurs trains physiquement indépendants. Le choix pour le système d’injection de sécurité (RIS) a été notamment d’adopter quatre trains redondants, chacun de ces trains – raccordé à l’une des quatre voies électriques – étant capable d’assurer seul la fonction de sûreté attendue du système ; le raisonnement est qu’un train n’est pas à même d’injecter de l’eau dans le réacteur du fait de l’accident (accident de perte de réfrigérant primaire), qu’un deuxième train est indisponible en application du critère de défaillance unique et qu’un troisième est indisponible du fait d’une maintenance préventive en cours297.

L’application en base du critère de défaillance unique permet d’avoir une bonne confiance dans la capacité des systèmes auxquels il est appliqué à réaliser les fonctions qui leur sont assignées. Toutefois, pour pouvoir rendre suffisamment improbables les défaillances simultanées de deux voies redondantes (défaillances de cause commune298, de mode commun ou « modes communs »), il faut remplir une double condition :

–éviter qu’une même agression puisse affecter les matériels des deux voies,

–limiter, autant que faire se peut, les défaillances simultanées de plusieurs matériels identiques.

La première condition conduit à retenir des règles d’implantation et d’installation très strictes. Les matériels des différentes voies des systèmes redondants peuvent ainsi être disposés dans des locaux différents, complètement séparés. C’est la séparation géographique qui amène, par exemple, à implanter les deux groupes électrogènes à moteur diesel d’une tranche dans deux locaux distants l’un de l’autre (cette distance est telle que même la chute d’un avion sur l’installation ne pourrait pas affecter directement, de façon simultanée, les deux locaux. La figure 7.2 donne un exemple correspondant à l’implantation de matériels des systèmes de sauvegarde RIS et EAS d’un réacteur de 1 300 MWe du palier P4.

Toutefois, une séparation géographique complète n’est pas toujours possible. Des séparations physiques par des écrans ou des murs appropriés peuvent alors être mises en place. Des problèmes de ce type se posent notamment pour les matériels électriques ou du contrôle-commande, par exemple en salle de commande.

Concernant la seconde condition, les défaillances possibles de mode commun sont beaucoup plus difficiles à identifier et à prendre en compte. Il peut en effet s’agir d’erreurs de conception, de fabrication ou d’entretien qui risquent d’affecter simultanément plusieurs matériels. Ce sont donc des défauts relevant de la qualité générale de l’installation ou de son exploitation.

Il convient de noter que les études de fiabilité des matériels font apparaître que le gain de fiabilité apporté par une redondance supplémentaire est de plus en plus faible au fur et à mesure que le nombre de voies augmente.

La prévention des modes communs de défaillances ne doit pas « oublier » une composante dont l’importance n’a été perçue que progressivement. Il s’agit de l’influence des facteurs organisationnels et humains et des défaillances liées aux activités de maintenance ou de conduite. C’est l’accident de Three Mile Island survenu aux États-Unis en 1979 qui fera prendre conscience de l’importance qu’il convient d’accorder aux facteurs humains dès la conception. Il faudra quelques années encore pour que soient détectés, déclarés et analysés des exemples d’erreurs d’intervention ou de maintenance ayant mis en cause la disponibilité ou le bon fonctionnement de plusieurs, voire de la totalité, des matériels assurant une fonction de sûreté.

Figure 7.2. Implantation des matériels de sauvegarde des circuits RIS et EAS dans un réacteur de 1 300 MWe de type P4. IRSN.

Les exemples qui suivent font partie des plus significatifs mais ne suffisent évidemment pas pour déterminer des valeurs des probabilités de défaillances de mode commun.

Le premier exemple concerne une tranche de la centrale nucléaire de Philippsburg en Allemagne (région de Karlsruhe). Compte tenu des niveaux de redondance affectés aux différents systèmes importants pour la sûreté, elle disposait de huit groupes électrogènes à moteur diesel. C’est au cours d’une vérification de routine du réglage d’un seuil de ces groupes électrogènes qu’une équipe d’intervention qui ne connaissait pas bien les équipements et utilisait une procédure un peu ambiguë a laissé, en 1987, les huit groupes électrogènes dans un état qui empêchait leur démarrage automatique. Une ronde effectuée 15 heures plus tard a permis de détecter cette erreur et de la corriger.

En France, plusieurs anomalies du même type sont survenues en 1989 dans les réacteurs comme le maintien de pièces inadaptées dans les trois soupapes d’un pressuriseur ou l’isolement de quatre capteurs de niveau d’eau sur cinq d’un autre pressuriseur. On reviendra plus amplement sur ce sujet au paragraphe 22.2.1.

7.3.La spécificité des systèmes programmés
(à base de logiciels de contrôle-commande)

Les systèmes de contrôle-commande jouent (parmi d’autres) un rôle très important dans la sûreté des réacteurs nucléaires. Cette importance se traduit notamment par une activité particulièrement soutenue des groupes de travail internationaux et des organismes de normalisation dans ce domaine.

Les systèmes de contrôle-commande des réacteurs électronucléaires participent à des fonctions de surveillance, de régulation, de limitation et de protection de l’installation. On considère généralement qu’ils comportent trois sous-ensembles :

–des interfaces avec le « procédé » : il s’agit de capteurs et d’actionneurs déclenchant des actions, soit « tout ou rien », soit « continues » ;

–des automates chargés de traiter les mesures et les ordres des opérateurs, d’envoyer des ordres aux actionneurs et d’élaborer les informations nécessaires à l’exploitation ;

–des interfaces avec les opérateurs (moyens de conduite) et avec les équipes de maintenance.

Les systèmes de contrôle-commande permettent de réaliser des fonctions, parmi lesquelles on peut par exemple distinguer :

–les fonctions de « protection » proprement dites du réacteur ; il s’agit par exemple de l’arrêt automatique du réacteur ou de la mise en service de systèmes de sauvegarde ;

–les fonctions nécessaires à l’atteinte de l’état sûr299 à la suite d’une situation incidentelle ou accidentelle ;

–des fonctions automatiques et manuelles utilisées en fonctionnement normal.

Les systèmes de contrôle-commande sont organisés selon une architecture visant à satisfaire des exigences fonctionnelles (par exemple, certains systèmes doivent communiquer avec d’autres) et des exigences de sûreté (par exemple, l’indépendance entre certains systèmes).

Le développement des technologies numériques offre des capacités croissantes de calcul et d’interconnexions, qui permettent de mettre en œuvre des systèmes de contrôle-commande performants ; dans le cas des réacteurs à eau sous pression, on peut citer la réalisation de fonctions « avancées » comme le calcul du rapport de flux thermique critique (RFTC) dans le cœur (notion présentée au paragraphe 5.6), la détection en temps réel de défaillances de matériels, ou encore la mise à la disposition des opérateurs d’interfaces plus élaborées.

Ce type de technologies a été introduit progressivement à partir des réacteurs de 1 300 MWe (paliers P4 et P’4), puis de 1 450 MWe (palier N4). Ces technologies soulèvent toutefois des difficultés spécifiques en termes de démonstration de sûreté, ce qui a conduit les parties intéressées (Siemens, Framatome, Électricité de France et l’IRSN) à développer une approche particulière. Cette approche a évolué au cours du temps en tenant compte des évolutions technologiques, telles que les communications par réseaux, ainsi que des progrès scientifiques et techniques, comme les méthodes de vérification « formelles » fondées sur des approches mathématiques. Elle est cohérente avec le consensus international exprimé dans les textes de l’AIEA et de la Commission électrotechnique internationale (CEI), et similaire à celles adoptées dans d’autres secteurs industriels où le contrôle-commande exécute des fonctions importantes pour la sûreté, comme l’avionique, le spatial ou le ferroviaire.

En 2000, l’autorité de sûreté a diffusé la règle fondamentale de sûreté (RFS) II.4.1.a, intitulée « Logiciels des systèmes électriques classés de sûreté », préparée alors avec l’IPSN et les industriels ; elle a pour objet de « préciser les principes et les exigences à respecter pour la conception, la réalisation, la mise en œuvre et l’exploitation des logiciels des systèmes programmés classés de sûreté ». Plus récemment, en janvier 2018, l’IRSN a rendu public sur son site internet une « démarche de sûreté »300 intitulée « Principes relatifs à la démarche de conception du contrôle-commande numérique ». Cette démarche, qui s’inscrit dans la continuité de la RFS II.4.1.a, apporte des précisions sur les principes et les exigences de la RFS, en tenant compte de l’expérience acquise lors des évaluations menées pour le parc électronucléaire français, notamment de celles relatives aux systèmes spécifiques de contrôle-commande du réacteur EPR, nourries des échanges avec les experts du secteur nucléaire, et reflète la pratique française.

Les fonctions associées aux systèmes programmés peuvent connaître des défaillances du fait d’une logique inadéquate dans certains cas ; il s’agit donc de sources de défaillance des systèmes autres que les pannes aléatoires des matériels, ce qui suscite des interrogations quant à leurs conséquences.

Si les pannes matérielles pouvant affecter les systèmes de sûreté sont prises en compte par la mise en œuvre d’architectures redondantes et par la réalisation d’essais périodiques adaptés et par de la maintenance préventive, les défauts pouvant affecter les logiciels ne sont pas de même nature et ne peuvent pas être prévenus ou étudiés avec les mêmes moyens.

L’approche classique de développement des logiciels, utilisée par exemple en informatique bureautique, ne permet pas de maîtriser suffisamment leur conception et conduit à la réalisation de produits non vérifiables et affectés de nombreux défauts. De plus, les tentatives faites pour maîtriser la fiabilité de logiciels sans viser en priorité à éliminer les défauts de leurs logiques se sont révélées inadéquates : par exemple, la mise en parallèle de plusieurs versions dans l’espoir de masquer les défauts de chacune par un vote majoritaire, est peu praticable dans les faits et des expérimentations ont montré son inefficacité ; les analyses probabilistes visant à estimer des taux de défaillance ne sont pas applicables à l’évaluation de logiciels et les analyses de « propagation » de défaillances utilisées avec succès pour les matériels ne sont pas non plus applicables aux logiciels.

C’est pourquoi, comme cela a été indiqué ci-dessus, une démarche spécifique a été retenue pour la conception de systèmes de contrôle-commande programmés de réacteurs nucléaires, considérée comme permettant d’apporter les justifications appropriées de leur validité. Elle est fondée sur une maîtrise des différentes étapes du processus industriel que sont la spécification des exigences de conception, la conception, la réalisation et l’intégration (assemblage des différents composants du système), qui comportent chacune des vérifications ; une étape finale de validation indépendante constitue une précaution supplémentaire.

Cette démarche est complétée par une diversification fonctionnelle qui permet de pallier un hypothétique défaut de conception ou de réalisation de certaines fonctions, au moyen d’autres fonctions utilisant des signaux physiques ou des traitements différents. De plus, une hypothétique défaillance technologique d’une famille de calculateurs est palliée par un moyen fondé sur des mécanismes et des composants logiciels et matériels différents.

7.4.Classement de sûreté des équipements

7.4.1.Importance des équipements
pour la sûreté et classement de sûreté

L’atteinte et le maintien d’un niveau de sûreté approprié nécessite que soit mise en œuvre une démarche garantissant que les équipements301 font l’objet d’exigences adaptées en termes de conception, de fabrication, de qualification, d’exploitation et de suivi en service, proportionnées à leur importance pour la sûreté. C’est le rôle du classement de sûreté.

Les équipements peuvent être classés au titre de la prévention des incidents et accidents, de la limitation de leurs conséquences ou de la protection contre les agressions, ainsi qu’en fonction de leur typologie (mécaniques, électriques…).

L’affectation des équipements à un nombre réduit de classes de sûreté permet de simplifier la conception en attribuant des exigences communes à tous les équipements relevant d’une même classe.

La liste des classes de sûreté retenue par Électricité de France est présentée ci-après pour les réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe – le cas du réacteur EPR Flamanville 3 est abordé plus loin –, puis des éléments d’explication sont apportés sur les caractéristiques des différentes classes, notamment sur les classes utilisant l’appellation « non classé », sémantiquement équivoque, mais historiquement logique :

–les équipements mécaniques sous pression relèvent des classes 1 à 3 et « non classé » ;

–les équipements mécaniques sans pression relèvent d’une classe « lié à la sûreté » (LS, appellation spécifique aux réacteurs des paliers 1 300 MWe et 1 450 MWe) et d’une classe « non classé » ;

–les équipements électriques relèvent des classes 1E, D (spécifique aux réacteurs de 1 300 MWe), 2E (spécifique au palier N4) et « non classé ».

Enfin, à l’ensemble de ces classes s’ajoute la classe IPS-NC d’équipements « importants pour la sûreté – non classés ». Dans l’appellation IPS-NC, « non classé » signifie que les équipements qui en relèvent n’étaient pas classés à la conception initiale des réacteurs déjà construits, alors que ces équipements sont importants pour la sûreté ; la classe IPS-NC est une classe de sûreté à part entière et des exigences lui sont associées (assurance de la qualité et essais périodiques).

Les ouvrages de génie civil font également l’objet d’un classement en rapport avec leur importance pour la sûreté.

Classes de sûreté initialement retenues pour les réacteurs
de 900 MWe et 1 300 MWe

À la conception initiale des réacteurs de 900 MWe et de 1 300 MWe, seules les classes 1 à 3 et 1E ont été retenues par Électricité de France ; elles ont été complétées, mais elles sont toujours en vigueur. En effet, à cette époque, l’intérêt se portait surtout sur la conception des systèmes de protection et de sauvegarde et notamment sur les premières phases des accidents au cours desquelles ces systèmes sont mis en œuvre de façon automatique.

La classe 1, la plus contraignante en termes d’exigences, s’applique aux équipements mécaniques soumis à la pression dont la défaillance entraînerait un accident de perte de réfrigérant primaire (APRP) correspondant à une condition de fonctionnement de catégorie 3 ou 4, selon la taille de la brèche (voir les chapitres 8 et 9).

La classe 2 s’applique aux équipements mécaniques soumis à la pression des circuits véhiculant du fluide primaire mais ne relevant pas de la classe de sûreté 1, ainsi qu’aux matériels des systèmes nécessaires pour confiner la radioactivité en cas d’APRP (ce qui inclut les matériels mécaniques des systèmes de sauvegarde, tels que les systèmes d’injection de sûreté et d’aspersion d’eau dans l’enceinte de confinement), aux traversées de l’enceinte de confinement et à des équipements contenant du fluide radioactif (tels que certains équipements du système de contrôle chimique et volumétrique du fluide primaire [RCV]).

La classe 3 s’applique aux équipements mécaniques soumis à la pression, importants pour la sûreté mais ne relevant pas des classes de sûreté 1 et 2. Elle s’applique ainsi aux équipements dont la défaillance n’a pas de conséquences radiologiques directes, ainsi qu’aux équipements dont la défaillance pourrait conduire à un relâchement de gaz radioactifs entreposés pour décroissance. En particulier, les équipements mécaniques des systèmes supports aux systèmes de sauvegarde relèvent de la classe 3.

La classe 1E correspond aux équipements électriques assurant :

–l’arrêt automatique du réacteur,

–le refroidissement de secours du cœur,

–l’évacuation de la chaleur résiduelle du réacteur,

–l’évacuation de la chaleur du bâtiment du réacteur,

–l’isolement de l’enceinte de confinement,

–la prévention de rejets importants de substances radioactives dans l’environnement.

Les ouvrages de génie civil sont classés de sûreté s’ils :

–assurent une fonction de sûreté,

–supportent, protégent ou abritent des équipements mécaniques ou électriques classés de sûreté,

–assurent la protection biologique contre les rayonnements ionisants ou un confinement de substances radioactives liquides ou gazeuses.

Classes de sûreté complémentaires pour les réacteurs de 900 MWe,
de 1 300 MWe et de 1 450 MWe

Comme cela a été indiqué plus haut, les classes de sûreté retenues lors de la conception des réacteurs de 900 MWe et de 1 300 MWe visaient principalement les équipements dont la défaillance pouvait être à l’origine d’un accident et les équipements des systèmes intervenant dans la phase de fonctionnement automatique des réacteurs à la suite d’un accident. Plusieurs études ont mis en évidence que cette approche était trop restrictive et que la démonstration de sûreté reposait en fait sur un nombre plus important d’équipements qui méritaient de se voir attribuer un classement de sûreté.

À titre d’exemple, en cas d’accident de rupture d’un tube de générateur de vapeur, la phase pendant laquelle l’équipe de conduite est appelée à intervenir manuellement est essentielle pour limiter les conséquences radiologiques. Les systèmes utilisés à cette fin ne sont pas les systèmes de sauvegarde classés de sûreté au titre des pratiques évoquées ci-dessus, mais des équipements mis en œuvre manuellement par des opérateurs, non classés selon ces pratiques, à savoir les organes de décharge dans l’atmosphère du circuit secondaire, qui permettent de refroidir le circuit primaire jusqu’à un état sûr, et le système d’aspersion d’eau dans le pressuriseur dont l’action est indispensable pour réduire la pression dans le circuit primaire et limiter ainsi les relâchements de substances radioactives.

Aussi, dans les années 1980, le classement de sûreté a été complété pour les équipements électriques par l’introduction, pour les réacteurs de 1 450 MWe, de la classe 2E et, rétrospectivement pour les réacteurs de 1 300 MWe, de la classe D, qui concernent les équipements utilisés lors de la phase d’intervention humaine302 en vue d’assurer le retour et le maintien du réacteur dans un état sûr à la suite d’une situation accidentelle. De la même façon, les équipements mécaniques non soumis à la pression utilisés dans la démonstration de sûreté, qui n’étaient pas classés de sûreté, se sont vus attribuer la classe « lié à la sûreté » (LS).

Enfin, pour les réacteurs déjà construits à cette époque (réacteurs de 900 MWe et de 1 300 MWe de type P4), une classe IPS-NC (important pour la sûreté – « non classé ») a été introduite pour les équipements mécaniques ou électriques nécessaires au retour et au maintien du réacteur dans un état sûr dans les conditions de fonctionnement de dimensionnement et dans les situations du « domaine complémentaire » – voir les chapitres 8 et 13). Ce classement a ensuite été étendu, pour tous les types de réacteurs, à des dispositions nécessaires pour la protection contre les agressions internes ou externes (incendie, inondation, explosion…), ainsi qu’à des équipements non indispensables mais permettant de faciliter ou d’améliorer la conduite accidentelle.

Classes de sûreté du réacteur EPR (Flamanville 3)

Le classement de sûreté des matériels et des systèmes du réacteur EPR reflète :

–l’importance de la fonction de sûreté qu’ils réalisent : c’est l’objet du classement « fonctionnel » ;

–leur importance en tant que barrière de confinement, en fonction des rejets pouvant résulter de leur défaillance, à l’intérieur de l’installation et dans l’environnement : c’est l’objet du classement « mécanique ».

La définition du classement fonctionnel fait intervenir trois états physiques du réacteur :

–l’état contrôlé : le cœur est sous-critique, l’évacuation de la puissance est assurée à court terme par exemple par les générateurs de vapeur, l’inventaire en eau dans le cœur est stable, les rejets radioactifs restent tolérables ;

–l’état d’arrêt sûr : le cœur est sous-critique, la chaleur résiduelle est évacuée durablement, les rejets radioactifs restent tolérables ;

–l’état final : le cœur est sous-critique, la puissance résiduelle est évacuée par les systèmes primaire ou secondaire, les rejets radioactifs restent tolérables.

Sont classées F1A toutes les fonctions de sûreté (et les matériels et systèmes assurant ces fonctions) nécessaires pour atteindre l’état contrôlé du réacteur dans les conditions de fonctionnement de référence PCC-2 à PCC-4 (désignation pour le réacteur EPR des conditions de fonctionnement de référence de catégories 2 à 4 – les désignations adoptées pour le réacteur EPR sont précisées aux paragraphes 8.1 et 13.5).

Sont classées F1B toutes les fonctions de sûreté nécessaires, au-delà de l’atteinte de l’état contrôlé, pour atteindre l’état sûr et pour le maintenir dans les conditions de fonctionnement de référence PCC-2 à PCC-4.

Sont classées F2 notamment :

–les fonctions de sûreté nécessaires pour atteindre et maintenir l’état final pour les conditions de fonctionnement RRC-A,

–les fonctions nécessaires pour prévenir les rejets importants et pour atteindre et maintenir un état maîtrisé en cas d’accident avec fusion du cœur postulé (RRC-B),

–les fonctions conçues pour maîtriser les agressions externes ou internes.

Le classement mécanique concerne tous les équipements ou portions de circuits :

–dont la défaillance peut conduire, dans les conditions de fonctionnement de référence PCC-1 à PCC-4 et RRC, à un rejet d’activité significativement supérieur à la contamination du milieu environnant,

–ou qui participent à une fonction de sûreté F1A ou F1B.

Les classes mécaniques sont :

–M1 pour le circuit primaire principal,

–M2 pour les équipements ou portions de circuits dont le fonctionnement est prévu dans des situations où ils sont susceptibles de véhiculer du fluide primaire alors que l’intégrité des gaines du combustible n’est pas garantie (par exemple l’injection de sécurité),

–M3 pour les autres équipements ou portions de circuits mécaniques classés (par exemple les systèmes supports des systèmes de sauvegarde).

7.4.2.Exigences génériques associées
aux différentes classes de sûreté

Des exigences génériques sont associées aux différentes classes de sûreté. Les différences entre classes sont illustrées ci-après pour les classes retenues pour les réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe. Une démarche similaire a été appliquée pour le réacteur EPR Flamanville 3. Les exigences en matière de qualification ne sont pas mentionnées ici car elles sont développées au paragraphe 7.4.3.

Exigences de conception, de fabrication et de suivi en exploitation

Les équipements classés 1, 2, 3, LS, 1E, 2E, D et les ouvrages de génie civil classés font l’objet des exigences suivantes :

–application d’un code de conception et de construction qui définit notamment les méthodes de calcul, d’approvisionnement, de construction, d’implantation,

–mise en œuvre de procédures d’assurance de la qualité (exigences de l’« arrêté INB » de 2012, après celles de l’« arrêté qualité » de 1984),

–réalisation d’essais périodiques en exploitation (suivi périodique en exploitation pour les ouvrages de génie civil),

–« tenue » aux sollicitations sismiques.

De plus, pour les équipements électriques des classes 1E et 2E, la redondance et le secours de leurs alimentations électriques sont requis. En revanche, pour les équipements électriques de la classe D des réacteurs de 1 300 MWe, la redondance et le secours de leurs alimentations électriques n’ont pas été requis, bien qu’ils fussent le plus souvent réalisés.

Les codes de conception et de construction appliqués aux équipements classés étaient initialement des codes américains (ASME notamment) ; ils ont été progressivement remplacés par les codes français suivants :

–le recueil des règles de conception et de construction des matériels303 mécaniques des îlots nucléaires REP (RCC-M) au lieu du code ASME III, dont la version révisée de 1986 a fait l’objet d’une acceptation304 de l’autorité de sûreté en 1986 ; ce recueil a été utilisé à partir des réacteurs de 1 300 MWe de la centrale nucléaire de Cattenom, pour les classes 1 à 3, avec un niveau d’exigences décroissantes (notamment en matière de contrôles de fabrication) de 1 à 3 ;

–le recueil des règles de conception et de construction des matériels électriques des îlots nucléaires REP (RCC-E) au lieu des normes de l’IEEE305, dont la version révisée de 1984 a fait l’objet d’une acceptation de l’autorité de sûreté également en 1986, pour les classes 1E et 2E.

Quelques indications sont fournies sur le RCC-M dans le focus à la fin du présent chapitre.

Les structures de génie civil ont, pour les premières tranches du parc électronucléaire français, été réalisées selon des « cahiers de prescriptions spéciales » regroupant des règles et pratiques françaises (règles du ministère en charge des travaux publics et des transports) et, pour les parties métalliques, du code ASME III. La version révisée de 1981 du recueil d’exigences RCC-G (règles de conception et de construction pour le génie civil des îlots nucléaires REP) a fait l’objet d’une acceptation de l’autorité de sûreté. À partir de 2006, pour le réacteur EPR Flamanville 3 (et pour les réexamens périodiques des réacteurs du parc électronucléaire), c’est le recueil des règles de conception et de construction pour le génie civil RCC-CW306, intégrant les Eurocodes307, qui est utilisé.

Il convient aussi de citer le RCC-C, recueil des règles de conception et de construction spécifique pour les assemblages combustibles des centrales nucléaires REP, utilisé depuis la fin des années 1980, et le RCC-I, recueil des règles de conception et de construction applicables à la protection contre l’incendie des tranches REP, utilisé depuis le début des années 1980.

Pour le réacteur EPR, les exigences associées aux équipements électriques classés fonctionnellement F1A et F1B sont identiques à celles qui ont été appliquées aux équipements classés respectivement 1E et 2E des réacteurs précédents : celles qui sont associées aux équipements mécaniques sous pression classés M1, M2 et M3 sont identiques à celles des équipements classés respectivement 1, 2 et 3 des réacteurs précédents. Il est à noter toutefois que l’utilisation des codes américains ASME et IEEE et des règles établies par le comité de sûreté nucléaire allemand KTA sont autorisées dans certaines conditions.

Exigences fonctionnelles

Les exigences fonctionnelles sont relatives à la fonction de sûreté réalisée par les équipements.

Aux équipements électriques n’est assigné qu’un seul type d’exigence fonctionnelle, celui d’assurer la réalisation de la fonction qu’ils doivent remplir (« fonctionnalité »).

Pour les équipements mécaniques, comme cela a été introduit au paragraphe 7.2, sont distingués les équipements (vannes, pompes, clapets…) comportant des mécanismes ou des parties mobiles qui doivent accomplir un mouvement pour assurer leur fonction de sûreté (équipements « actifs ») et les autres équipements (récipients ou capacités, tuyauteries, échangeurs…), qui sont « passifs ». Trois types d’exigences fonctionnelles sont définis :

1.L’« intégrité »308 pour une « barrière de pression », qui s’applique à l’enveloppe sous pression des équipements mécaniques passifs ; elle vise à garantir que ces équipements assurent le confinement du fluide véhiculé.

2.La « capacité fonctionnelle », qui s’applique aux équipements passifs traversés par un fluide ; elle limite les déformations acceptables de ces équipements de telle sorte qu’il n’y ait pas de réduction du débit du fluide qui empêcherait l’accomplissement de la fonction de sûreté concernée.

3.L’« opérabilité », qui s’applique aux équipements mécaniques actifs ; elle consiste à assurer le bon fonctionnement des mécanismes ou parties mobiles dont le mouvement est nécessaire à l’accomplissement de la fonction de sûreté de ces équipements (vannes, clapets, soupapes…).

Les exigences fonctionnelles interviennent dans le choix des règles et critères des codes de conception et de construction des matériels mécaniques à retenir pour la conception (y compris le dimensionnement) des matériels concernés. Les codes précisent les méthodes de calcul applicables aux matériels (classés en niveaux – voir le focus à la fin du présent chapitre) pour s’assurer de leur résistance à l’égard d’un certain nombre de types d’endommagement ; le RCC-M prévoit, pour chaque niveau, quatre niveaux de critères, de sévérité décroissante, désignés par les lettres A, B, C et D, auxquels sont associées des règles et des limites (critères) spécifiques.

Exigence de tenue aux sollicitations sismiques

En parallèle du classement de sûreté, un classement sismique est défini. Il s’applique aux équipements dont le fonctionnement ou l’intégrité doit être maintenu lorsqu’ils sont soumis aux chargements résultant d’un séisme. Quel que soit le palier de réacteurs, des chargements sismiques ont été considérés à la conception pour le dimensionnement des équipements classés, ce qui a conduit au classement sismique des équipements mécaniques classés 1, 2, 3 et LS et des équipements électriques classés 1E, 2E et D. Le classement sismique des matériels importants pour la sûreté non classés (IPS-NC) de sûreté est défini au cas par cas, en fonction de leur rôle dans les situations pouvant être induites par un séisme.

Pour le réacteur EPR, les équipements classés fonctionnellement F1A et F1B ou ayant un classement mécanique M1 ou M2 sont classés « sismiques ». Le classement sismique des matériels F2 et M3 est défini au cas par cas, en fonction de leur rôle dans les situations pouvant être induites par un séisme.

Les équipements classés « sismiques » doivent satisfaire leurs exigences fonctionnelles lorsqu’ils sont soumis aux chargements résultant d’un séisme majoré de sécurité (SMS) ou d’un séisme de dimensionnement (SDD)309.

7.4.3.Qualification des équipements
aux conditions accidentelles

La qualification est la démonstration qu’un équipement important pour la sûreté est apte à assurer ses fonctions dans les conditions (température, pression, humidité, irradiation, séisme…) auxquelles il est susceptible d’être soumis.

Le processus de qualification des équipements débute dès la conception du réacteur par l’identification des exigences qui leur sont attribuées et se poursuit par la définition et la réalisation d’un programme de qualification permettant d’apporter les justifications appropriées quant au respect de ces exigences ; il est visé que ce processus soit, autant que possible, achevé à la mise en service du réacteur.

Les sollicitations prises en compte lors du processus de qualification sont :

–l’ambiance dégradée dans laquelle l’équipement doit fonctionner, en termes de pression, de température, d’humidité et d’irradiation ;

–les sollicitations sismiques, pour les équipements classés sismiques ;

–des conditions particulières : il s’agit par exemple de l’aptitude, pour une vanne ou un clapet situé sur une tuyauterie de haute énergie (THE), à isoler une brèche de cette tuyauterie, de l’aptitude à véhiculer du fluide radioactif chargé de débris (pour les équipements des circuits véhiculant du fluide primaire en recirculation à partir des puisards du bâtiment du réacteur)…

La qualification aux conditions accidentelles concerne les équipements électriques et les équipements mécaniques actifs ayant une exigence d’« opérabilité ». Pour les équipements mécaniques passifs, l’application de critères de conception appropriés est réputée garantir le respect de leurs exigences fonctionnelles (intégrité, capacité fonctionnelle), sans démonstration supplémentaire. Toutefois, les équipements appartenant à la troisième barrière de confinement et à son « extension » (voir le paragraphe 6.3) font l’objet d’une exigence d’étanchéité qui peut nécessiter la qualification de composants passifs, quand ceux-ci peuvent être dégradés dans les conditions accidentelles retenues (cas des joints en matériaux élastomères).

Les revêtements et les peintures (notamment de parois en béton) à l’intérieur du bâtiment du réacteur ont également une exigence de qualification à des conditions d’ambiance dégradées (pression, température, humidité…), afin de garantir qu’ils ne risquent pas de produire en conditions accidentelles des débris susceptibles d’entraver la recirculation d’eau par les puisards et les systèmes d’injection de secours d’eau dans le circuit primaire (RIS) ainsi que d’aspersion d’eau dans l’enceinte de confinement (EAS) – ce sujet est abordé notamment au chapitre 9.

En complément des conditions accidentelles, la qualification tient compte du vieillissement des équipements et des revêtements (vieillissement dû à la température, à l’irradiation et aux sollicitations mécaniques subies tout au long de la vie de l’installation [vibrations…]).

Jusqu’en 2006, les équipements à qualifier se voyaient appliquer l’un des trois « profils de qualification » standardisés suivants :

–le profil dit K1 pour les équipements implantés dans le bâtiment du réacteur nécessaires dans des conditions accidentelles entraînant une ambiance dégradée dans le bâtiment. Ce profil (voir la figure 7.3 plus loin) est enveloppe des conditions d’ambiance accidentelle les plus pénalisantes retenues (hors accident avec fusion du cœur), à savoir celles qui pouvaient résulter d’un accident de perte de réfrigérant primaire ou de rupture d’une tuyauterie de vapeur ;

–le profil dit K2 pour les équipements implantés dans le bâtiment du réacteur qui doivent être aptes à remplir leurs fonctions dans les conditions d’ambiance normales ;

–le profil dit K3 pour les équipements implantés en dehors du bâtiment du réacteur ; toutefois, les équipements nécessaires dans des conditions accidentelles entraînant une ambiance dégradée dans les locaux où ils sont implantés (par exemple ceux qui sont implantés dans les casemates abritant les lignes de vapeur) ainsi que les équipements pouvant être amenés à véhiculer du fluide radioactif chargé de débris (matériels des systèmes RIS et EAS) subissaient en outre une qualification à ces conditions particulières (profil dit K3AD).

À partir de 2006, différentes familles d’ambiance (au nombre de six) ont été définies par Électricité de France et prises en compte pour la qualification des équipements du bâtiment du réacteur, permettant de mieux adapter leur qualification aux doses d’irradiation en situation accidentelle et aux durées pendant lesquelles leur fonctionnement devait être assuré en ambiance dégradée. La définition des familles d’ambiance repose sur deux paramètres :

–le type d’ambiance accidentelle à laquelle l’équipement peut être soumis pendant son fonctionnement,

–la durée de la phase accidentelle pendant laquelle il doit être apte à remplir sa fonction.

Des familles d’ambiance avaient déjà été définies auparavant (dans les années 1990) pour les équipements implantés en dehors du bâtiment du réacteur, en fonction des mêmes paramètres.

La prise en compte des familles d’ambiance a notamment permis de prononcer la qualification aux conditions accidentelles d’équipements déjà en place mais qui faisaient l’objet d’écarts, par exemple les moteurs des pompes du système RRA, pour lesquels les doses d’irradiation accidentelle correspondent à la famille 4, alors que la dose maximale retenue pour les matériels utilisés lors d’un accident de perte de réfrigérant primaire de type « grosse brèche » est celle de la famille 6, qui correspond au profil de qualification K1310.

Pour le réacteur EPR Flamanville 3, les familles d’ambiance ont été définies et appliquées dès la conception.

La qualification d’un équipement peut être obtenue soit par des essais, soit par des analyses (études), soit en combinant ces deux méthodes.

La qualification par essais consiste à soumettre un équipement « modèle » à des chargements représentatifs des conditions de fonctionnement normal et accidentel auxquelles il doit pouvoir faire face ; le programme des essais est décomposé en séquences d’essais successifs, qui visent à représenter les sollicitations susceptibles d’être subies par l’équipement. Cette méthode est celle qui est utilisée le plus souvent pour les équipements électriques.

À titre d’exemple, les équipements implantés dans le bâtiment du réacteur dont le fonctionnement est prévu dans le cas d’un accident de perte de réfrigérant primaire de type « grosse brèche » (voir le chapitre 9) ou de rupture d’une tuyauterie de vapeur subissent, lorsqu’ils sont qualifiés par des essais, la séquence d’essais normalisée suivante (correspondant au profil de qualification K1 du RCC-E) :

–au début de la procédure de qualification, des essais de référence, qui consistent à mesurer les caractéristiques fonctionnelles et électriques de l’équipement dans ses conditions normales de fonctionnement ;

–des essais aux limites d’emploi fonctionnelles de l’équipement, qui visent à caractériser le comportement de l’équipement dans les conditions limites de température, d’humidité, de perturbations électriques du fonctionnement normal ;

–des essais d’appréciation des évolutions possibles du comportement de l’équipement dans le temps, qui visent à simuler son vieillissement par des essais de vieillissement thermique (cas des équipements électriques), de sollicitations répétées (cycles d’ouverture et de fermeture pour les vannes, de démarrage et d’arrêt pour les moteurs, par exemple), de vibrations, d’irradiation (ce dernier essai peut être regroupé avec l’essai d’irradiation accidentelle) ;

–des essais de tenue aux séismes : l’équipement subit cinq fois les sollicitations correspondant au demi-séisme de dimensionnement (DSD) et au moins une fois celles correspondant au séisme de dimensionnement (SDD) ;

–des essais d’irradiation accidentelle ;

–des essais thermodynamiques effectués en soumettant l’équipement au profil K1.

Pour les équipements implantés dans le bâtiment du réacteur pour lesquels le profil de qualification K2 est retenu, les deux derniers essais ne sont pas effectués.

Pour les équipements implantés à l’extérieur du bâtiment du réacteur, pour lesquels le profil de qualification K3 est retenu, les essais d’irradiation et les essais thermodynamiques ne sont pas effectués, sauf pour les équipements relevant du profil K3AD qui sont qualifiés à l’ambiance thermodynamique (cas de ceux qui sont situés dans les casemates abritant les lignes de vapeur) ou à l’irradiation accidentelle (cas des équipements des systèmes RIS et EAS situés sur les lignes de recirculation d’eau à partir des puisards).

Figure 7.3. Exemple de profil de qualification K1. Marc Bouscasse/IRSN.

La qualification par analyses peut être réalisée :

–soit par analogie, sur la base de règles préétablies (technologie et dimensions similaires…), avec un équipement déjà qualifié par essais ; cette méthode est utilisée en particulier pour la robinetterie et les pompes ;

–soit par calcul avec un modèle de simulation représentatif de l’équipement et des méthodes ou codes de calcul qualifiés ; cette méthode est utilisée en particulier pour la qualification sismique de la robinetterie, des pompes et des gros équipements ;

–soit par l’expérience d’exploitation, quand les conditions correspondantes ont été au moins aussi sévères que celles auxquelles l’équipement doit pouvoir « résister ».

Une fois la qualification d’un équipement modèle prononcée, il est essentiel d’éviter que la fabrication, le montage, la maintenance ou l’exploitation des équipements dans les installations ne viennent la remettre en cause au cours du temps. Cela est assuré par un ensemble de dispositions regroupées sous l’expression « pérennité de la qualification », avec :

–la création et le maintien par le fournisseur d’un dossier de référence (DDR), qui décrit les éléments de fabrication permettant d’assurer la conformité des matériels fabriqués au modèle qualifié et d’en maîtriser les évolutions éventuelles ;

–l’élaboration, dès que la qualification d’un équipement modèle a été prononcée, d’une fiche de pérennité de la qualification précisant les prescriptions de montage et de maintenance à respecter (à titre d’exemples : types de graisses et de joints à utiliser pour satisfaire la qualification aux conditions d’ambiance, couples de serrage et freinage de la visserie pour satisfaire la qualification sismique…) ; ces prescriptions sont notamment prises en compte lors de la préparation des interventions sur les équipements ; le recueil des prescriptions de maintien de la qualification (RPMQ) est l’outil permettant aux centrales de maintenir la qualification dans le temps ;

–la maîtrise de l’approvisionnement et des conditions d’entreposage des pièces de rechange.

En règle générale, un équipement est qualifié pour une certaine « durée de vie ». Une extension de sa qualification peut néanmoins se révéler nécessaire ou souhaitable :

–soit pour augmenter sa « durée de vie » ;

–soit parce que la « durée de vie » qualifiée est revue à la baisse :

•du fait de conditions d’environnement en fonctionnement normal (température, irradiation…) plus défavorables que prévu,

•du fait d’évolutions des connaissances (retour d’expérience, connaissances nouvelles) mettant en évidence des mécanismes de vieillissement plus rapides que prévu, voire non connus précédemment.

Cette extension peut être réalisée par un ensemble de méthodes regroupées sous l’expression « réévaluation et extension de la durée de vie qualifiée »311. À titre d’exemple, des prélèvements et des essais de qualification ont été effectués sur des câbles électriques et des peintures du bâtiment du réacteur dans le cadre du projet d’Électricité de France d’extension de la « durée de fonctionnement » des réacteurs (projet « DDF »). Il peut être également prévu de remplacer certains composants sensibles au vieillissement par de nouveaux composants neufs identiques.

Il convient de souligner ici le mode de qualification spécifique adopté pour le composant essentiel que constitue la cuve du réacteur, soumise notamment à une irradiation neutronique en provenance du cœur du réacteur. Des éprouvettes constituées du même matériau que celui de la cuve sont irradiées dans des zones proches du cœur et font l’objet d’essais mécaniques à différents moments de la vie de l’installation dans le but d’anticiper le comportement du matériau de la cuve (notamment en termes de seuil de transition de comportement mécanique ductile-fragile).

La qualification d’équipements aux conditions des accidents avec fusion du cœur est illustrée au chapitre 17 (pour les recombineurs d’hydrogène, le filtre à sable du système d’éventage-filtration de l’enceinte de confinement et le récupérateur de matériaux fondus du réacteur EPR).

7.5.Quelques éléments relatifs à la conception
des équipements sous pression nucléaires312

L’histoire de la règlementation relative aux appareils à pression et plus spécifiquement de celle qui s’applique aux appareils utilisés dans les réacteurs nucléaires, dorénavant désignés d’équipements sous pression nucléaires (ESPN), est succinctement brossée dans le focus du chapitre 2. Quelques précisions plus techniques sont apportées ci-après concernant la conception de ces équipements313.

De façon très schématique, les dispositions à retenir pour la conception d’un équipement sous pression visent la sécurité des personnes, en évitant notamment une rupture brutale de l’équipement en exploitation. En plus des dispositions techniques de nature à prévenir ce type d’accident, des « accessoires » de sécurité (tels que des soupapes…) sont installés sur les équipements, de façon à permettre une décompression suffisamment rapide avant qu’une augmentation de la pression ne soit de nature à provoquer la rupture de l’équipement.

Comme cela a été indiqué au chapitre 2, la règlementation relative aux ESPN314 permet la mise en œuvre d’une approche unifiée et proportionnée aux risques pour tous les équipements sous pression nucléaires ; cette approche tient compte, selon l’équipement :

–de la pression et du volume ; ces éléments et le(s) type(s) de fluide(s) contenu(s) dans l’équipement déterminent la « catégorie » de l’équipement ; les cinq catégories définies à l’article R.557-9-3 du code de l’environnement sont notées (par ordre croissant des risques) 0, I, II, III, IV ;

–de l’inventaire radiologique contenu ou susceptible d’être contenu dans l’équipement en exploitation ;

–de la prise en compte ou non de sa défaillance dans les justifications de sûreté du réacteur.

Trois « niveaux » d’exigences sont définis, notés N1, N2 et N3 (par ordre décroissant), le niveau N1 le plus élevé visant « les équipements pour lesquels le rapport de sûreté ne prévoit pas de mesures permettant de ramener l’installation dans un état sûr, ainsi que les équipements sous pression nucléaires constituant le circuit primaire principal et le circuit secondaire principal des chaudières nucléaires à eau… ».

Sont classés N2 les équipements sous pression nucléaires qui ne sont pas classés N1 et dont la défaillance peut conduire à un rejet d’activité supérieur à 370 GBq, calculé en faisant la somme des activités des éléments présents (pondérées d’un facteur 1/1 000 pour certains comme le tritium, l’azote 13, l’azote 16…).

Sont classés N3 les autres équipements sous pression nucléaires.

La règlementation relative aux ESPN prévoit que, pour les réacteurs électronucléaires, un niveau N2 ou N3 soit attribué aux équipements déjà en exploitation et respectivement classés de sûreté 2 ou 3 – à l’exclusion évidemment du circuit primaire principal et du circuit secondaire principal (qui sont du niveau N1).

La règlementation relative aux ESPN définit ensuite un certain nombre d’exigences essentielles de sécurité315 pour les équipements N1, N2 et N3, qui ont été classés dans les catégories I à IV – les équipements relevant de la catégorie 0, qui présentent des risques moindres, sont soumis aux règles de l’art ou aux guides professionnels. Les exigences essentielles de sécurité portent notamment sur :

–la conception de l’équipement,

–sa fabrication,

–la qualification technique des opérations d’élaboration de matériaux et de fabrication,

–les assemblages permanents (soudures…) et les opérations de soudage,

–les essais non destructifs ayant pour but de détecter des défauts de fabrication,

–la traçabilité des matériaux,

–les essais hydrostatiques ou les essais de résistance effectués avec un fluide autre que l’eau,

–les instructions de service (notices d’instructions), qui précisent les caractéristiques particulières de conception déterminantes pour la « durée de vie » de l’équipement,

–les exigences applicables aux matériaux et à leurs caractéristiques mécaniques.

Pour ce qui concerne le suivi en service, l’arrêté du 10 novembre 1999 (« arrêté exploitation ») demeure applicable pour le circuit primaire principal et pour le circuit secondaire principal des réacteurs à eau sous pression316.

En matière de conception, la règlementation relative aux ESPN stipule que l’équipement doit être conçu de manière à minimiser les risques de perte d’intégrité « en tenant compte des altérations des matériaux envisageables […], du vieillissement dû à l’irradiation ». Pour les équipements de niveau N1, ces risques sont ceux qui sont liés :

–« à la fatigue thermique oligocyclique ou à grand nombre de cycles,

–aux comportements thermiques différents de matériaux soudés ensemble,

–à la fatigue vibratoire,

–aux pics locaux de pression,

–au fluage,

–aux concentrations de contraintes,

–aux phénomènes de corrosion,

–aux phénomènes thermohydrauliques locaux nocifs,

–à la vidange de l’équipement en cas de rupture de tuyauterie. »

Pour chaque équipement des réacteurs du parc électronucléaire relevant de la règlementation des appareils à pression, les justifications appropriées sont apportées par Électricité de France dans le cadre de différents dossiers, appelés dossiers de référence règlementaires (DRR) ; ils traitent notamment des matériaux utilisés, de la qualité de fabrication de l’équipement, de sa protection contre les surpressions, des « situations » retenues pour son dimensionnement (ce sujet est développé au paragraphe 8.6), de l’analyse du risque de rupture brutale…

Concernant les matériaux utilisés pour les équipements sous pression nucléaires, il a été explicitement stipulé dès l’arrêté de 1974 que « les matériaux doivent être choisis de façon à éviter tout risque de rupture brutale en exploitation » ; un certain nombre de critères concernant les caractéristiques mécaniques des matériaux y ont été prescrits dans ce sens (résistance à la traction, allongement à la rupture, résilience). Des critères analogues sont spécifiés dans la règlementation relative aux ESPN pour les équipements de niveaux N1 et N2.

Il a été indiqué plus haut que des accessoires de sécurité sont installés sur les équipements relevant de la règlementation des appareils à pression de façon à les décomprimer si nécessaire et éviter leur rupture. À cet égard, les risques de surpression, dans tous les états d’un réacteur à eau sous pression (notamment à froid), dans les circuits primaire et secondaire ainsi que dans certains des circuits qui leur sont connectés, sont tout particulièrement à examiner pour les différentes situations envisageables317, en vue de définir ou de valider l’ensemble des dispositions de conception et d’exploitation permettant de maîtriser ces risques. Concernant le circuit secondaire, le caractère adéquat de la protection fondée sur l’association de lignes de décharge de vapeur et de soupapes doit être vérifié en considérant aussi l’évacuation de la puissance résiduelle du réacteur, la limitation des rejets radioactifs dans l’environnement et la prévention d’un refroidissement excessif du cœur du réacteur (risque d’apport de réactivité dans le cœur).

7.6.Quelques considérations générales
sur la prise en compte des agressions
dans la conception des installations

Certains phénomènes ou certains événements peuvent être à l’origine de conditions de nature à entraîner de manière directe ou indirecte des dommages à des équipements d’un réacteur électronucléaire avec des conséquences sur la sûreté. On les désigne sous le terme « agressions ». Selon leur origine318, on distingue :

–les agressions internes quand la source de l’agression se trouve à l’intérieur de l’installation ; il s’agit par exemple d’un incendie qui se déclare dans un local, d’une inondation résultant de la rupture d’un réservoir, de l’impact d’un tronçon de tuyauterie sur un matériel en cas de rupture de cette tuyauterie (phénomène communément appelé fouettement de tuyauterie), de l’impact sur un matériel d’une charge qui chute (par exemple au cours d’une manutention)… ;

–les agressions externes d’origine naturelle : c’est le cas des séismes, des crues de cours d’eau, des ruptures de digues, voire de barrages, en amont de l’installation, de températures élevées, voire très élevées (canicule), de vents forts… ;

–les agressions externes associées à des activités humaines extérieures à l’installation, comme une chute d’avion ou une explosion accidentelle de gaz à proximité de l’installation.

À l’instar des événements internes à l’installation retenus dans le domaine de conception de base, des dispositions sont prises pour prévenir l’occurrence des agressions internes, mais leur survenue est toutefois postulée et d’autres dispositions sont prises pour en limiter les conséquences. En revanche, à l’égard des agressions externes, au-delà du choix du site – qui revêt une importance particulière –, les dispositions de conception ou d’exploitation visent la limitation des conséquences.

La disponibilité des équipements d’un réacteur électronucléaire nécessaires pour accomplir les fonctions de sûreté ne doit pas être compromise (du fait d’éventuels endommagements) lorsque survient une agression, compte tenu des règles d’étude associées, des effets directs ou indirects de cette agression (voir à ce sujet le guide ASN n° 22), tout particulièrement les trois fonctions fondamentales de sûreté que sont :

–la maîtrise de la réactivité (incluant bien évidemment l’arrêt du réacteur319),

–l’évacuation de la puissance (résiduelle si le réacteur est mis à l’arrêt),

–le confinement des produits radioactifs.

En d’autres termes, un « état sûr »320 du réacteur doit pouvoir être rejoint si nécessaire et maintenu après une agression, dans lequel les fonctions précitées seront assurées durablement.

À cette fin, les équipements jouant un rôle dans les fonctions de sûreté sont, en tant que de besoin, protégés contre les effets de l’agression :

–soit par des dispositions qui empêchent les effets de l’agression de les atteindre ; c’est par exemple le cas des équipements protégés par des « filets de protection » contre d’éventuels projectiles en cas de vents violents, ou des équipements protégés par des structures pouvant résister à d’éventuelles chutes de charges… ;

–soit par une conception leur permettant de rester opérationnels en cas de survenue de l’agression ; c’est par exemple le cas des équipements qui sont conçus et dimensionnés pour résister aux séismes retenus dans les bases de conception du réacteur, voire à un séisme extrême321.

De façon générale, dans la démonstration de sûreté, l’analyse des risques liés aux agressions comprend deux phases :

–la détermination des caractéristiques des agressions322 susceptibles d’affecter l’installation : pour un certain nombre d’agressions, un niveau de référence est défini pour la conception de l’installation ;

–la démonstration d’une protection appropriée à l’égard de chaque agression retenue.

Pour certaines agressions (rupture de tuyauterie, projectile interne…), une séparation géographique des équipements importants pour la sûreté peut être un moyen de protection de nature à éviter que des voies redondantes puissent être affectées par une même agression. Pour d’autres agressions, particulièrement les agressions externes d’origine naturelle, des études particulières sont souvent nécessaires car les effets de ces agressions peuvent affecter simultanément des voies redondantes, voire la totalité des installations d’un site.

Quelques autres éléments concernant l’étude des agressions, internes et externes, sont développés au paragraphe 11.1.

7.7.L’anticipation du démantèlement
au stade de la conception

Il est important que les opérations de démantèlement d’une installation nucléaire fassent l’objet d’une réflexion dès le stade de sa conception, pour éviter que, le moment venu, apparaissent des difficultés de nature à compliquer et à retarder fortement ces opérations.

À cet égard, le guide ASN n° 22, relatif à la conception des réacteurs à eau sous pression, contient des recommandations pour la prise en compte du démantèlement au stade de la conception d’un tel réacteur : « L’arrêt définitif, le démantèlement et l’état physique de l’installation visé après le démantèlement doivent être pris en compte à la conception afin d’en faciliter le déroulement avec notamment l’objectif de :

–permettre le démantèlement dans un délai aussi court que possible,

–permettre un assainissement complet de l’installation, c’est-à-dire le retour à l’état initial avant activation ou contamination des structures. »

Il est aussi indiqué dans ce guide que, lors de la conception, les choix techniques établis en considérant notamment le retour d’expérience en matière de démantèlement, doivent notamment porter sur :

–« la conception des équipements, l’agencement du bâti et des voies d’accès. Les équipements susceptibles de contenir des substances radioactives en fonctionnement normal et lors d’incidents doivent être conçus de façon à favoriser, dans la mesure du possible, leur inspection, leur caractérisation radiologique, leur assainissement, leur démontage et leur transport. Lorsque cela est pertinent, des protections radiologiques, facilement amovibles lors des opérations de démantèlement, doivent être mises en œuvre de façon à réduire l’activation des matériels et des équipements. Le bâti doit être agencé en tenant compte des futures opérations de démantèlement, en particulier pour ce qui concerne les composants dont la manutention est complexe. Une réflexion doit également être menée pour les équipements susceptibles de contenir des substances radioactives lors d’accidents ;

–les matériaux : ils doivent être choisis en tenant compte de leur composition chimique et des phénomènes auxquels ils sont susceptibles d’être soumis afin de limiter les risques liés aux opérations de démantèlement et de faciliter la gestion ultérieure des déchets produits lors de ces opérations. »

#FOCUS

Le RCC-M

Pour les matériels mécaniques (c’est-à-dire les récipients comme la cuve du réacteur, le pressuriseur, les tuyauteries, les organes de robinetterie…), le code de conception et de construction ASME a été initialement utilisé pour les réacteurs du palier 900 MWe, « introduit » de fait dans le cadre de la licence Westinghouse. Mais, ultérieurement, l’ingénierie française s’est dotée d’un code de nature équivalente, le RCC-M – recueil des règles de conception et de construction pour les matériels mécaniques.

Ce code (comme le code ASME) propose des règles qui traduisent le meilleur état de l’art concernant divers aspects, parmi lesquels :

–le choix des matériaux,

–les types d’assemblages soudés,

–le dimensionnement (vérification de règles et critères mécaniques),

–les contrôles de fabrication…

Trois jeux de règles sont proposés, associés à trois « niveaux » des matériels :

–les matériels de niveau 1, pour lesquels est proposé le jeu de règles les plus sévères,

–les matériels de niveau 2,

–les matériels de niveau 3, pour lesquels est proposé le jeu de règles les moins sévères (autorisant notamment des contrôles partiels de fabrication).

Les matériels classés de sûreté 1, 2 et 3 sont alors soumis respectivement aux jeux de règles des niveaux 1, 2 et 3, sachant que des surclassements peuvent être adoptés au cas par cas.

Pour le dimensionnement (ou la vérification du dimensionnement), les règles et critères visent à se prémunir des divers modes d’endommagement redoutés à l’égard de chargements de différentes natures : par exemple des chargements thermomécaniques maintenus pendant un temps suffisant pour générer un risque d’endommagement par fluage, des chargements de brève durée pouvant conduire à un risque de déformation excessive instantanée, des chargements répétés créant un risque d’endommagement par fatigue.

Les limites préconisées – de catégories A, B, C et D par ordre décroissant de sévérité – ne sont pas les mêmes non seulement selon le « niveau » affecté à un matériel – donc sa classe de sûreté – et selon la catégorie de la situation de dimensionnement considérée, mais aussi selon l’exigence associée, fonction du rôle joué par le matériel. Les matériels « non statiques » peuvent être soumis à des règles et critères plus drastiques que les matériels « statiques ».

Pour l’application des codes tels que le RCC-M, les chargements thermomécaniques et leurs évolutions temporelles sont déterminés par les études des événements postulés dans l’analyse déterministe de la sûreté. Ces chargements font généralement l’objet de regroupements et de cumuls conservatifs (n’ayant souvent aucun caractère de vraisemblance) avant l’étape de vérification du respect des règles et critères mécaniques.

288.Ces recommandations générales et spécifiques font l’objet des parties IV à VII du guide ASN n° 22.

289.Ce principe est notamment cité dans le document Specific Safety Requirements No. SSR-2/1 (Rev. 1, 2016) de l’AIEA (Requirement 26).

290.Pompes, vannes… Cette notion est précisée au paragraphe 7.2.

291.Notion d’« exigences définies » dans la règlementation française (depuis l’« arrêté qualité » de 1984).

292.Une autre voie d’amélioration de la fiabilité au-delà de l’application du critère de défaillance unique consiste à apporter une diversification, la multiplication d’équipements identiques ne pouvant pas améliorer significativement la fiabilité compte tenu des possibilités des défaillances de mode commun mentionnées plus loin.

293.Règle fondamentale de sûreté I.3.a.

294.Cela n’exclut pas la nécessité d’examiner les possibilités de fonctionnements intempestifs d’équipements actifs.

295.Il convient de bien distinguer le critère de conception explicité dans la RFS I.3.c et l’aggravant unique retenu dans les études de sûreté, qui sera vu au chapitre 8.

296.Définition précisée dans le focus du chapitre 8.

297.Le cas des autres systèmes de sauvegarde de l’EPR est précisé au chapitre 18.

298.On appelle ainsi des défaillances dépendantes, ayant pour origine la même cause directe (cause commune) ou la même cause indirecte.

299.Définition précisée dans le focus du chapitre 8.

300.À considérer comme un référentiel d’expertise pour l’IRSN.

301.Cette notion utilisée dans ce paragraphe vise des matériels (structures, composants) ou des systèmes composés de matériels (ce que recouvre le terme SSC en anglais) considérés comme des « éléments importants pour la sûreté » selon la terminologie de l’« arrêté qualité » du 10 août 1984. Le guide ASN n° 22 élargit la notion de classement aux éléments importants pour la protection (EIP), notion de la loi TSN (voir le paragraphe 2.2).

302.Phase dite C, après la phase automatique dite B (voir le paragraphe 8.4).

303.Les codes de conception et de construction utilisent le terme « matériel » et non celui d’« équipement ».

304.Acceptation assortie de conditions d’utilisation. Cette acceptation a fait l’objet de RFS qui sont citées dans l’annexe du chapitre 2.

305.Institute of Electrical and Electronics Engineers (Institut des ingénieurs électriciens et électroniciens, association professionnelle).

306.CW pour Civil Works, ou aussi ETC-C (EPR Technical Code for Civil works).

307.Les Eurocodes sont les normes européennes de dimensionnement et de justification des structures de bâtiment et de génie civil consultables à l’adresse http://eurocodes.fr/.

308.Ce terme est notamment utilisé dans la règlementation française. L’intégrité d’une barrière y est définie ainsi : « Absence d’altération irréversible d’une barrière remettant en cause l’efficacité prévue dans la démonstration de sûreté nucléaire » (guide ASN n° 22, annexe 1). Selon cette définition, une inétanchéité peut être considérée comme une perte d’intégrité.

309.Ces notions sont précisées au paragraphe 12.3. Le SDD peut être, comme cela est le cas pour le parc électronucléaire français, une enveloppe des séismes majorés de sécurité (SMS) des sites d’implantation des réacteurs ; il en est de même pour le demi-séisme de dimensionnement (DSD) par rapport au séisme maximal historiquement vraisemblable (SMHV).

310.La famille d’ambiance du circuit RRA est la famille 4 (ambiance thermodynamique dégradée et ambiance faible en irradiation, à long terme), car il est, dans la démonstration de sûreté, « valorisé » seulement pour l’étude des accidents de rupture de tuyauterie de vapeur (RTV) et des accidents de perte de réfrigérant primaire (APRP) de type « petite brèche ». Dans ces accidents, l’irradiation est faible (on considère 10 % de rupture de gaines pour un APRP « petite brèche », alors que l’on considère 100 % de rupture de gaines pour un APRP « grosse brèche » auquel correspond la dose d’irradiation accidentelle du profil K1). Ainsi, en prenant la dose correspondant à la famille 4, la dose de qualification a pu être réduite – sachant que les moteurs des pompes du circuit RRA ne peuvent pas être qualifiés à la dose K1.

311.L’expression « qualification progressive » est aussi utilisée.

312.Éléments établis en collaboration avec Simon Liu de l’ASN/DEP et Remy Catteau de l’ASN/DCN.

313.Le lecteur pourra également consulter sur ce sujet les articles BN3280V1 et BN3282V1 des Techniques de l’ingénieur, rédigés par Jean-Marie Grandemange (†), intitulés « Conception des enceintes sous pression », parties 1 et 2, de janvier 2008.

314.Arrêté du 30 décembre 2015 « relatif aux équipements sous pression nucléaires », arrêté du 3 septembre 2018 « modifiant certaines dispositions applicables aux équipements sous pression nucléaires et à certains accessoires de sécurité destinés à leur protection ».

315.Cette notion, issue de la directive européenne 97/23/CE, a été précisée dans le focus du chapitre 2.

316.Avec quelques modifications apportées par un arrêté en date du 3 septembre 2018 (voir le focus du chapitre 2). Pour les autres ESPN, ce sont les annexes V et VI de l’« arrêté ESPN » qui s’appliquent.

317.Dans les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » et dans le guide ASN n° 22, les situations envisageables sont les conditions de fonctionnement de référence (voir le paragraphe 6.5 et le chapitre 8) ainsi que les incidents de deuxième catégorie cumulés à une défaillance supposée de l’arrêt automatique du réacteur (l’arrêt automatique du réacteur a un effet bénéfique car il conduit à une baisse des pressions dans les circuits).

318.Les actes de malveillance constituent aussi des agressions ; ils ne sont pas abordés dans le présent ouvrage. Le lecteur pourra consulter, par exemple, l’ouvrage intitulé « Approche comparative entre sûreté et sécurité nucléaires », J. Jalouneix et al., Collection documents de référence, IRSN/EDP Sciences, avril 2009, ainsi que l’article BN3940 V2 du 10 juillet 2017 des Techniques de l’ingénieur, par Jean Jalouneix, intitulé « Protection et contrôle des matières nucléaires ».

319.De façon générale, l’exploitant d’une centrale doit être en mesure d’apprécier rapidement les risques en cas de survenue d’une agression externe afin de maintenir le ou les réacteurs du site concerné dans l’état de repli considéré comme le plus sûr ou en poursuivre l’exploitation (RFS I.3.b).

320.La définition de cette notion est donnée dans le focus du chapitre 8.

321.Cette notion a été retenue dans le cadre du retour d’expérience de l’accident de la centrale nucléaire de Fukushima Daiichi (voir le chapitre 6 précédent).

322.Dans le cas des agressions externes, le terme « aléa » est souvent utilisé pour désigner ces caractéristiques.

Chapitre 8

L’étude des conditions
de fonctionnement dans l’analyse
déterministe de la sûreté

Comme cela a été indiqué au chapitre 6, l’étude de différentes situations de gravité variable auxquelles une installation telle qu’un réacteur nucléaire pourrait se trouver confrontée constitue une part essentielle de la démonstration de sûreté de cette installation.

Un premier ensemble de situations étudiées est constitué de celles qui résultent d’un événement initiateur unique (ou simple) pouvant affecter une fonction fondamentale de sûreté. Il peut s’agir de la défaillance d’un équipement ou d’une erreur humaine. Ces situations étant très nombreuses, il n’est étudié qu’un nombre limité de telles situations, jugées représentatives. En France, elles ont été historiquement désignées par l’appellation « conditions de fonctionnement de dimensionnement » (de l’installation) ; dans les textes les plus récents tels que le guide ASN n° 22, élaboré par l’ASN conjointement avec l’IRSN, elles sont appelées « conditions de fonctionnement de référence »323.

Ces conditions de fonctionnement sont définies et étudiées (dans les grandes lignes) dès la phase de conception d’une installation, car elles contribuent324 à la mise au point de dispositions de construction adaptées (dimensionnement de structures, systèmes et composants, y compris les actions de protection associées).

La détermination et l’étude de conditions de fonctionnement se sont affinées au fil du temps.

Dans le guide ASN n° 22, sont notamment définis un certain nombre de termes ou d’expressions – dont celle de condition de fonctionnement de référence –, qui sont reproduits dans le focus ci-après.

Il est à noter que les conditions de fonctionnement de dimensionnement, ou de référence, traitées dans le présent chapitre ne constituent qu’une part des incidents et accidents susceptibles d’affecter un réacteur électronucléaire. L’étude des situations résultant de défaillances multiples et celle des accidents avec fusion du cœur complètent l’étude des conditions de fonctionnement ; elles sont abordées plus loin, aux chapitres 13 et 17.

#FOCUS

Terminologie en usage dans les textes officiels français
concernant les événements et leur étude
dans le cadre de l’analyse déterministe de sûreté

1. Désignation des événements

Agression interne, agression externe

Tout événement ou situation qui trouve son origine respectivement à l’intérieur ou à l’extérieur de l’installation nucléaire de base et qui peut entraîner de manière directe ou indirecte des dommages aux éléments importants pour la protection (des intérêts mentionnés à l’article L.593-1 du code de l’environnement) ou remettre en cause le respect des exigences définies.

Condition de fonctionnement (de référence)

Les événements initiateurs uniques (EIU) sont regroupés de manière à définir un nombre limité d’événements de référence de telle sorte que les conséquences de chaque événement de référence enveloppent celles du groupe correspondant. Les transitoires incidentels ou accidentels qui en découlent, complétés des conditions de fonctionnement normal, constituent les conditions de fonctionnement de référence.

Défaillance interne

Dysfonctionnement, panne ou endommagement d’un élément de l’installation ou présent dans l’installation, y compris résultant d’actions humaines inappropriées.

Événement déclencheur

Défaillance interne, ou agression interne ou externe, susceptible d’être à l’origine, directement ou indirectement, d’une situation d’incident ou d’accident.

Événement initiateur unique

Événement interne découlant d’une unique défaillance interne.

Incident, accident

Tout événement non prévu en fonctionnement normal ou en fonctionnement en mode dégradé et susceptible de dégrader la protection des intérêts mentionnés à l’article L.593-1 du code de l’environnement ; les conséquences potentielles ou réelles d’un accident sont plus graves que celles d’un incident.

2. Étude des événements

Aggravant

Dans une étude de sûreté, la défaillance unique la plus défavorable d’un EIP (équipement important pour la protection) sollicité pour ses effets bénéfiques lors de l’étude d’un incident, d’un accident ou d’une agression, indépendante de l’événement déclencheur pris en compte. Le caractère défavorable est déterminé au regard de l’objectif de l’étude.

Défaillance unique

Défaillance d’un équipement suffisante pour empêcher cet équipement d’accomplir sa fonction de sûreté attendue lorsque requise. Les défaillances induites par la défaillance de l’équipement font partie de la défaillance unique.

Effet falaise

Altération brutale du comportement d’une installation, que suffit à provoquer une légère modification du scénario envisagé pour un accident dont les conséquences sont alors fortement aggravées.

État contrôlé

État maîtrisé d’une INB dans lequel la sous-criticité, l’évacuation de la puissance résiduelle et le confinement des substances radioactives sont assurés à court terme. Par « maîtrisé », on entend l’absence de toute évolution rapide défavorable des principaux paramètres caractérisant l’accomplissement des fonctions précitées.

État sûr

État stabilisé d’une INB dans lequel la sous-criticité, l’évacuation de la puissance résiduelle et le confinement des substances radioactives sont assurés durablement. Le caractère « durable » s’apprécie notamment au regard :

–de l’autonomie de l’installation et des possibilités d’appui externe,

–de la possibilité de réaliser des interventions si nécessaire,

–des valeurs et de la cinétique d’évolution des principaux paramètres caractérisant les fonctions précitées.

8.1.Classement des conditions de fonctionnement

Les incidents ou accidents postulés dans l’approche dite déterministe, malgré les précautions prises pour les éviter, ne sont pas considérés de même probabilité, ou fréquence estimée, et leurs conséquences ne sont pas évaluées en regard d’objectifs ou de critères identiques.

De façon générale, comme cela a été indiqué plus haut, l’analyse déterministe comporte l’étude d’un nombre limité de tels événements, dénommés conditions de fonctionnement325 (de dimensionnement ou de référence), classées en catégories, qui sont retenus pour leur caractère « enveloppe » à l’égard d’événements du même type (ou de même « famille »326) dans chaque catégorie. Cette notion d’enveloppe est précisée au paragraphe 8.2.1.

Le tableau 8.1 présente le principe de ces catégories avec les fréquences estimées associées.

Les fréquences associées aux conditions de fonctionnement incidentelles ou accidentelles provenant d’estimations, tenant compte du retour d’expérience disponible, les chiffres indiqués ne sont que des ordres de grandeur.

Tableau 8.1. Classement des conditions de fonctionnement.

Catégories de conditions
de fonctionnement

Ordre de grandeur de la fréquence annuelle
estimée de l’initiateur, par réacteur327

CATÉGORIE 1
Conditions normales d’exploitation

Nombre selon le programme d’exploitation

CATÉGORIE 2
Incidents mineurs mais fréquents

Jusqu’à quelques occurrences par an

CATÉGORIE 3
Accidents peu probables

10-4 < f < 10-2

CATÉGORIE 4
Accidents hypothétiques

10-6 < f < 10-4

Ce tableau est applicable aux trois types de réacteurs à eau sous pression (réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe) ; les évolutions de terminologie adoptées pour le réacteur EPR sont indiquées dans le focus plus loin.

Il est important de souligner que le classement en catégories se fait en fonction de la fréquence estimée du seul événement initiateur ou de sa famille. On ne cherche pas ensuite à évaluer la fréquence de la séquence réellement étudiée, pour laquelle on pourrait arguer, compte tenu en particulier des règles d’étude décrites plus loin (par exemple la prise en compte d’une défaillance aggravante), d’une fréquence moindre : la séquence est indissociable de ses règles d’étude et la fréquence supposée de la séquence réellement étudiée est donc par principe celle de l’événement considéré.

Il est également important de souligner qu’il doit exister une cohérence entre d’une part les fréquences retenues pour les événements initiateurs internes liés à des défaillances d’équipements, d’autre part les éléments qui vont déterminer la prévention de telles défaillances : choix de conception (architecture des systèmes, matériaux retenus, dimensionnement des équipements…), modalités de fabrication des équipements (modes d’assemblage, contrôles de fabrication…), essais et contrôles en service… Prendre en compte des brèches dans les tuyauteries du circuit primaire principal comme des « accidents hypothétiques » (voir le tableau 8.1 précédent) implique que tous les éléments appropriés de prévention aient été apportés par l’exploitant (voir à cet égard le volet « prévention » dans l’approche de la sûreté par les « barrières » présentée au paragraphe 6.3). À cet égard, les dossiers de référence règlementaires (DRR)328 des équipements d’un réacteur à eau sous pression ont bien évidemment toute leur importance.

Enfin, il doit être rappelé que l’expression condition de fonctionnement, qui concerne l’ensemble de l’installation, doit être distinguée de celle de situation de dimensionnement d’un équipement, qui sera précisée au paragraphe 8.6 ; ce terme de « situation » reste pourtant d’usage courant pour désigner tout état d’une installation.

Pour chaque catégorie, l’étude des conditions de fonctionnement vise à s’assurer de l’atteinte d’objectifs généralement traduits en exigences ou critères portant, notamment, sur la tenue mécanique des barrières de confinement (par exemple les gaines) et le maintien des fonctions fondamentales de sûreté (par exemple la refroidissabilité du cœur).

Comme cela est indiqué au paragraphe 6.1, les concepteurs ont, pour leurs besoins propres, associé aux catégories de conditions de fonctionnement des objectifs en termes de conséquences radiologiques maximales admissibles à la limite du site. Ainsi, pour la conception de ses premières centrales et sur la base d’une norme américaine (ANSI N.18.2), un tableau de correspondance entre plage de fréquences estimées des conditions de fonctionnement (« de dimensionnement ») et ordres de grandeur des conséquences maximales a été proposé par Électricité de France : pour la catégorie 1, respect des autorisations de rejets du site sur l’année (quelques dizaines de μSv), pour la catégorie 2, respect des autorisations de rejets du site par incident (quelques dizaines de 10 μSv), pour la catégorie 3, doses à l’organisme entier inférieures à 5 mSv et doses équivalentes à la thyroïde inférieures à 15 mSv, pour la catégorie 4, doses à l’organisme entier inférieures à 150 mSv et doses équivalentes à la thyroïde inférieures à 450 mSv. La valeur retenue par Électricité de France pour les conséquences maximales admissibles pour la troisième catégorie, 5 mSv, était la même que celle de l’exposition annuelle maximale admissible pour les personnes du public, telle que recommandée en 1977 par la Commission internationale de protection radiologique dans sa publication 26.

Électricité de France a ensuite fait évoluer les valeurs associées aux catégories 3 et 4 de conditions de fonctionnement dans un sens plus contraignant pour la conception des paliers suivants ou le réexamen des précédents.

En tout état de cause, il est nécessaire ici d’insister sur le fait que, en relation avec le principe d’optimisation formulé par la CIPR, le caractère acceptable des dispositions retenues par Électricité de France, en particulier lors des réexamens périodiques ou lors de nouvelles études d’accidents, ne s’apprécie pas en regard de « limites admissibles » ou de « valeurs repères » telles que celles qui ont été évoquées ci-dessus. À cet égard, dans une position de 2013, l’Autorité de sûreté nucléaire a bien souligné que, pour les orientations des études associées aux quatrièmes visites décennales des réacteurs de 900 MWe (voir le paragraphe 30.5), « EDF doit renforcer ses propositions pour réduire encore, autant que raisonnablement possible, l’impact radiologique des accidents de dimensionnement ».

#FOCUS

Conditions de fonctionnement : terminologie adoptée
dans les « directives techniques pour la conception
et la construction de la prochaine génération
de réacteurs nucléaires à eau sous pression »,
ainsi que dans le guide ASN n° 22

Les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression », appliquées au réacteur EPR, retiennent les catégories de conditions de fonctionnement suivantes (alinéa D.1 de ces directives) :

–PCC329 1 : il s’agit des conditions de fonctionnement normales, de catégorie 1 ;

–PCC 2 : « transitoires de référence », correspondant aux conditions de fonctionnement de catégorie 2 ;

–PCC 3 : « incidents de référence », correspondant aux conditions de fonctionnement de catégorie 3 ;

–PCC 4 : « accidents de référence », correspondant aux conditions de fonctionnement de catégorie 4.

En complément de ces PCC, des conditions avec défaillances multiples sont étudiées ; elles sont précisées dans le chapitre 13.

Dans le guide ASN n° 22, les conditions de fonctionnement de référence sont désignées par l’acronyme DBC (Design Basic Conditions).

Il est intéressant d’expliciter ce que recouvrent les différentes catégories de conditions de fonctionnement.

Les conditions normales d’exploitation (première catégorie) correspondent aux états stables (fonctionnement du réacteur en puissance, à puissance réduite ou réacteur à l’arrêt) ou transitoires (d’arrêt ou redémarrage du réacteur, variation de puissance…). Elles relèvent du domaine autorisé par les spécifications techniques d’exploitation. Les rejets de substances radioactives qui peuvent en résulter doivent être totalement maîtrisés et, bien sûr, comptabilisés. En particulier, leur cumul annuel et pour l’ensemble des réacteurs de la centrale concernée ne doit pas conduire à dépasser les valeurs fixées par les autorisations de rejets liquides et gazeux, propres à chaque site.

Les conditions de fonctionnement de deuxième catégorie sont des incidents mineurs mais de fréquences estimées relativement élevées. Ils conduisent généralement l’installation hors du domaine autorisé330. Les incidents doivent être maîtrisés par des actions de régulation, de « limitation », voire de protection (arrêt automatique du réacteur). Leur étude permet notamment de conforter ou d’ajuster certaines caractéristiques de ces actions (en particulier les seuils d’enclenchement correspondants…). Les rejets pouvant résulter de ces incidents sont comptabilisés et peuvent conduire à dépasser les niveaux fixés dans les autorisations de rejet. Cela signifie que tout relâchement de substances radioactives provoqué par un incident de ce type doit se faire par des voies contrôlées (cheminée ou canalisation de rejet), pour que, bien qu’intempestif, il soit cependant connu précisément.

Les accidents peu probables de la troisième catégorie peuvent, eux, entraîner des rejets plus importants, mais l’évaluation de leurs conséquences radiologiques sur les personnes du public doit montrer qu’elles restent suffisamment faibles, y compris dans les conditions météorologiques les plus défavorables.

Les accidents hypothétiques de la quatrième catégorie sont les plus rares qui soient considérés dans le domaine de dimensionnement (ou de référence). Un certain endommagement du combustible peut en résulter (en termes de ruptures de gaines voire de fusion du combustible) – qui doit cependant rester limité –, mais l’installation doit pouvoir être ramenée dans une situation stable où le refroidissement du cœur du réacteur pourra être durablement assuré.

L’étude des accidents permet également de conforter ou d’ajuster certaines caractéristiques des actions de protection (système d’arrêt automatique du réacteur, systèmes de sauvegarde331).

8.2.Choix des conditions de fonctionnement

Pour déterminer les conditions de fonctionnement (de dimensionnement ou de référence), il convient d’examiner les événements initiateurs uniques susceptibles de conduire à :

–une évolution intempestive des réactions nucléaires en chaîne ;

–un refroidissement ou un échauffement excessif de l’eau du circuit primaire ;

–une réduction du débit d’eau dans le circuit primaire ;

–une perte de l’inventaire en eau ou un apport d’eau dans le circuit primaire ;

–une augmentation ou une diminution de la pression du circuit primaire ;

–une dissémination anormale de radionucléides : elle peut être la conséquence, par exemple, de la rupture ou de la perte d’étanchéité de composants contenant des substances radioactives, de la détérioration d’assemblages combustibles au cours d’une manutention.

Pour la piscine d’entreposage du combustible, les événements initiateurs uniques suivants sont à examiner :

–perte de refroidissement de la piscine d’entreposage du combustible,

–diminution de la quantité d’eau présente dans un compartiment de la piscine dans lequel un ou plusieurs assemblages combustibles sont présents.

Les événements initiateurs des conditions de fonctionnement de la deuxième catégorie sont généralement recherchés parmi les causes possibles de variation des paramètres influençant le refroidissement du combustible (puissance donc réactivité du cœur, débit et température de l’eau du circuit primaire).

Le flux neutronique, donc l’énergie libérée dans le combustible, peut augmenter, non seulement par des effets directs de réactivité provoqués par :

–un retrait incontrôlé332 de grappes de régulation,

–une dilution intempestive et progressive de l’acide borique présent dans le fluide primaire,

mais aussi par des effets indirects provoqués par :

–l’ouverture intempestive d’une soupape du circuit secondaire,

–l’augmentation de la puissance appelée par la turbine.

Le débit du fluide primaire qui assure le transfert de l’énergie produite dans le cœur aux générateurs de vapeur peut diminuer du fait de l’arrêt d’une pompe, mais aussi plus rapidement par l’arrêt progressif, en cas de perte des alimentations électriques externes, de l’ensemble de ces pompes, qui restent toutefois entraînées par leurs volants d’inertie.

Les cas de mauvais fonctionnement du système d’alimentation normale en eau des générateurs de vapeur sont aussi étudiés, notamment pour leur effet sur la réactivité du cœur.

Une baisse de la pression dans le circuit primaire, également défavorable au bon refroidissement du combustible dans le cœur, peut provenir d’une dépressurisation momentanée intempestive du circuit primaire.

Les accidents postulés, répartis entre les troisième et quatrième catégories, sont déterminés à partir d’événements comprenant des défaillances d’équipements allant jusqu’à la rupture de tuyauteries supposées conçues, fabriquées et exploitées avec des précautions et des conservatismes significatifs.

Les augmentations du flux neutronique étudiées dans ces catégories peuvent être dues, par exemple, à l’éjection d’une grappe de contrôle ou à la rupture d’une tuyauterie principale de vapeur.

Les baisses de débit de l’eau dans le circuit primaire peuvent résulter de ralentissements plus ou moins rapides des pompes jusqu’au blocage instantané d’un rotor de pompe primaire.

Les diminutions de la pression dans le circuit primaire peuvent résulter d’une perte de fluide primaire par une brèche plus ou moins importante333, pouvant aller jusqu’à une rupture guillotine quasi instantanée doublement débattue (rupture dite 2A, ou A désigne l’aire de passage du fluide dans la tuyauterie).

Les hypothèses associées aux ruptures de tuyauteries du circuit primaire principal sont abordées au chapitre 9.

Les relâchements de gaz radioactifs ou d’eau contaminée dans les locaux où sont implantés des réservoirs qui en contiennent sont aussi examinés. Il en est de même de la rupture des crayons d’un assemblage combustible en cours de manutention dans le bâtiment du réacteur ou dans le bâtiment du combustible.

Cela conduit à un très grand nombre d’événements possibles parmi lesquels une sélection est faite :

–en déterminant des cas suffisamment représentatifs et « enveloppes »,

–en examinant l’opportunité d’en exclure certains compte tenu d’un haut niveau de prévention.

8.2.1.La notion d’incident ou d’accident enveloppe

Ainsi que cela est indiqué plus haut, le nombre d’incidents et d’accidents à étudier est réduit en déterminant, à l’intérieur d’une même famille, celui qui apparaît de nature à conduire aux conséquences les plus élevées.

Pour un même type d’incident ou d’accident, il se peut toutefois que plusieurs types de conséquences sont à prendre en compte, ce qui peut conduire à retenir et étudier in fine plusieurs variantes de tels incidents ou accidents qui ont toutes un caractère enveloppe, mais pour des effets de différentes natures, par exemple :

–effet en termes d’apport de réactivité dans le cœur,

–effet en termes de sous-refroidissement du cœur,

–effets thermomécaniques sur les assemblages combustibles et les gainages, sur l’enveloppe du circuit primaire, sur l’enceinte de confinement…,

–effet en termes de conséquences radiologiques…

8.2.2.Exclusion d’accidents

Il existe des situations accidentelles théoriquement envisageables pour lesquelles la prévention apparaît suffisante pour qu’il ne soit pas jugé nécessaire d’en étudier les conséquences (qui, dans certains cas, ne pourraient d’ailleurs pas être limitées par des dispositions industrielles démontrables). C’est le cas de la rupture brutale des grands appareils à pression comme la cuve du réacteur, l’enveloppe extérieure des générateurs de vapeur, le pressuriseur ou la volute des pompes primaires. Le rapport INSAG-10 n’ignore pas de tels cas et recommande, comme cela a déjà été indiqué au paragraphe 6.4.1, que, pour ces cas, « plusieurs niveaux de précautions sont introduits dans la conception et l’exploitation. De telles précautions peuvent être prises, par exemple, dans le choix des matériaux, dans l’inspection périodique […] ou dans la conception en incorporant des marges additionnelles de sûreté ».

À partir de l’expérience industrielle mondiale, il apparaît que, pour de tels équipements, sous réserve qu’ils soient bien conçus, bien construits et bien surveillés à toutes les étapes de leur « vie », la possibilité d’une rupture peut être écartée. C’est pourquoi de tels accidents de rupture brutale ne sont pas retenus comme événements initiateurs de conditions de fonctionnement.

De tels initiateurs ne sont donc pas retenus dans les études d’accidents (ils sont « exclus »), sous réserve d’exigences particulièrement fortes en termes de conception, de fabrication, de construction et d’exploitation. Il sera vu au chapitre 18 consacré aux réacteurs de nouvelle génération de type EPR que des exclusions de rupture ont été proposées par Électricité de France pour les tuyauteries principales du circuit primaire et du circuit secondaire et acceptée par l’Autorité de sûreté nucléaire française. Le guide ASN n° 22 souligne que le recours à une hypothèse d’exclusion de rupture et ses modalités d’application doivent faire l’objet d’une instruction (avec les organismes de sûreté) à un stade précoce de la conception.

Le guide ASN n° 22 indique que le recours à une hypothèse d’exclusion de rupture « doit reposer sur des dispositions particulièrement exigeantes en matière de conception, de fabrication et de suivi en service visant à prévenir la rupture. Ces dispositions concernent :

–l’analyse des modes d’endommagement pertinents, le choix et l’utilisation de matériaux présentant une résistance suffisante à ces modes d’endommagement, la détermination des sollicitations auxquelles ils sont soumis, y compris en cas de survenue d’une agression, et la vérification du respect de critères permettant de prévenir les risques de rupture ;

–le recours à des procédés de fabrication et de contrôle permettant de démontrer l’obtention d’un très haut niveau de qualité tenant compte […] de l’état d’avancement de la technique et de la pratique au moment de la conception et de la fabrication, ainsi que des considérations techniques et économiques compatibles avec un degré élevé de protection de la santé et de la sécurité ;

–le suivi en service, permettant notamment de vérifier en temps utile l’absence de dégradation du composant.

Dans cette perspective, la détermination enveloppe de sollicitations subies, l’analyse du comportement des structures sous ces sollicitations, l’existence de marges notamment par rapport aux critères mécaniques, la qualification des procédés de fabrication et les réapprovisionnements, le choix, l’étendue et la précision des techniques de contrôles au regard des procédés de fabrication, la détermination des critères d’acceptation des défauts de fabrication, l’accessibilité des zones à surveiller en exploitation et l’étendue des contrôles associés, la prise en compte de l’expérience sur le comportement de matériaux ou d’installations similaires sont des moyens nécessaires à la mise en œuvre de cette démarche ».

Par ailleurs, dans les années 1990, lors des discussions franco-allemandes sur la sûreté de la prochaine génération de réacteurs à eau sous pression (en pratique EPR), a été introduite la notion d’« élimination pratique » de certaines situations avec fusion du cœur, au moins théoriquement envisageables, pouvant conduire à des rejets « précoces importants » et pour lesquelles il n’apparaissait pas possible de mettre en place des dispositions réalistes réduisant les conséquences de façon significative et démontrable ; ce sujet est développé au paragraphe 17.10.2 du chapitre relatif aux accidents de fusion du cœur.

8.3.Liste et répartition des conditions de fonctionnement

En 1970, dans le rapport préliminaire de sûreté de la première tranche de la centrale nucléaire de Fessenheim, première tranche de 900 MWe construite en France, les événements étudiés étaient subdivisées en trois groupes :

–les transitoires et incidents d’exploitation,

–les accidents mettant en œuvre les systèmes de sauvegarde,

–les accidents de perte de réfrigérant primaire.

Cette liste et cette répartition provenaient de la pratique américaine et étaient le résultat des discussions entre concepteurs ou exploitants et organismes de sûreté de ce pays.

Cette liste a quelque peu évolué dans le contexte français. Les transitoires et incidents d’exploitation ont été classés dans la deuxième catégorie ; les accidents ont été répartis dans les troisième et quatrième catégories sans isoler particulièrement les accidents de perte de réfrigérant primaire. On est ainsi arrivé, au milieu des années 1970, aux listes suivantes.

CATÉGORIE 2 : incidents de fréquence moyenne
dont les conséquences doivent demeurer extrêmement limitées

Réactivité

–retrait incontrôlé de groupes de grappes de régulation, réacteur sous-critique ou en puissance

–dilution incontrôlée progressive d’acide borique

–démarrage d’une boucle inactive du circuit primaire

–mauvais fonctionnement de l’alimentation normale en eau des générateurs de vapeur

–augmentation excessive de la charge à la turbine

Perturbations de la physique du cœur

–mauvaise position, chute d’une grappe ou d’un groupe de grappes,

–perte partielle du débit primaire

–perte totale de charge, déclenchement de la turbine

–perte des alimentations électriques externes, entraînant l’arrêt des pompes primaires

–arrêt de l’alimentation normale en eau des générateurs de vapeur

Brèches primaires

–ouverture intempestive de courte durée d’une soupape du pressuriseur, dépressurisation momentanée du circuit primaire

Brèches secondaires

–ouverture intempestive d’une soupape du circuit secondaire

Fragilisation de la cuve

–démarrage intempestif de l’injection de sécurité ou du système d’envoi de bore (borication) d’urgence

CATÉGORIE 3 : accidents très peu fréquents
dont les conséquences doivent demeurer suffisamment limitées

Réactivité

–retrait d’une grappe de contrôle à pleine puissance

Perturbations de la physique du cœur

–réduction forcée du débit primaire

–mauvaise position d’un assemblage combustible dans le cœur

Brèches primaires

–perte de réfrigérant primaire par une petite brèche

–ouverture intempestive d’une soupape du pressuriseur avec une dépressurisation de longue durée

Brèches secondaires

–petite brèche d’une tuyauterie secondaire

Pertes de confinement, relâchements de radioactivité

–rupture du réservoir du circuit de contrôle volumétrique et chimique

–rupture d’un réservoir de stockage du circuit de traitement des effluents gazeux

CATÉGORIE 4 : accidents importants et hypothétiques
dont les conséquences doivent demeurer acceptables

Réactivité

–éjection d’une grappe de contrôle

Perturbations de la physique du cœur

–blocage du rotor d’une motopompe primaire

Brèches primaires

–perte de réfrigérant primaire

–rupture complète d’un tube de générateur de vapeur

Brèches secondaires

–rupture importante d’une tuyauterie du circuit secondaire (d’eau ou de vapeur)

Relâchements de radioactivité

–accident de manutention d’un assemblage combustible

L’expérience mondiale a ensuite conduit à retenir, à partir du palier N4, la rupture d’un tube de générateur de vapeur dans les conditions de fonctionnement de troisième catégorie et non de quatrième catégorie (cet accident fait l’objet du chapitre 10) – sa fréquence conduisait de fait à la classer en troisième catégorie. Cette modification a été introduite dans la liste des conditions de fonctionnement retenue pour la conception des tranches du palier standard de 1 450 MWe (N4), puis pour la conception du réacteur EPR. Une rupture de deux tubes de générateur de vapeur a été introduite dans les conditions de fonctionnement de quatrième catégorie pour le palier N4 ainsi que pour le réacteur EPR.

Pour les réacteurs de 900 MWe et de 1 300 MWe, la rupture d’un tube de générateur de vapeur a ultérieurement, dans les études de réévaluation de sûreté, été retenue à la fois en tant que condition de fonctionnement de troisième catégorie et en tant que condition de fonctionnement de quatrième catégorie, en considérant dans ce dernier cas une défaillance pouvant en résulter (voir le chapitre 10).

Ces évolutions ont entraîné un renforcement des exigences associées à l’accident de rupture de tube de générateur de vapeur et la mise en œuvre de modifications (matérielles ou de conduite) pour respecter ces exigences334.

L’expérience a aussi montré que le blocage du rotor d’une motopompe primaire se produisait dans le monde avec une fréquence supérieure à celle qui avait été estimée initialement. Cela a conduit à un renforcement des contrôles des arbres des pompes primaires sans qu’il soit jugé utile de modifier la catégorie de l’accident de blocage du rotor d’une motopompe primaire, compte tenu de ce renforcement.

La liste des transitoires, incidents et accidents de référence (plant conditions categories, voir le focus du présent chapitre) présentée dans les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » est reproduite à la fin du présent chapitre.

Il est à noter qu’un même type d’accident ou d’une même famille peut être retenu dans plusieurs catégories de conditions de fonctionnement. En effet, qu’une grosse brèche ait des conséquences acceptables en quatrième catégorie ne signifie pas qu’une petite brèche ait des conséquences acceptables en troisième catégorie, les critères relatifs à la tenue du combustible n’étant pas les mêmes (ils seront précisés plus loin au paragraphe 8.4.7).

8.4.Modalités d’étude des conditions de fonctionnement

Comme cela a été vu plus haut, les conditions de fonctionnement retenues résultent de la recherche des évolutions envisageables des fonctions de sûreté, dans un sens défavorable à la sûreté. Elles sont étudiées in fine dans un but de protection à l’égard de différents types de transitoires ou de phénomènes pouvant présenter des risques. Les événements initiateurs sont étudiés avec un faisceau d’hypothèses et de conditions d’études choisies de manière à en aggraver les conséquences et donc à donner au résultat un caractère enveloppe par rapport aux conséquences redoutées examinées (démonstration « déterministe »).

Pour les réacteurs à eau sous pression, les transitoires incidentels ou accidentels (conditions de fonctionnement de catégories 2 à 4) sont généralement décomposés en trois phases successives :

–la phase A : elle est comprise entre l’instant initial du transitoire et la première intervention d’une protection automatique (par exemple la chute des grappes absorbantes à la suite du déclenchement de l’AAR) − ou de la première action manuelle des opérateurs prévues dans une « fiche d’alarme ») ;

–la phase B : elle est comprise entre l’instant de la première intervention d’une protection et l’instant de la première action manuelle ;

–la phase C : elle est comprise entre l’instant de la première action manuelle et l’atteinte de l’état d’arrêt sûr.

Les systèmes actionnés dans ces différentes phases peuvent être de classes de sûreté différentes (voir le paragraphe 7.4).

Dans la suite de ce chapitre, sont abordés le choix des conditions initiales et les conservatismes adoptés, la règle de l’« aggravant unique », les règles de cumuls conventionnels, la qualification des moyens de calcul et les critères à respecter en fonction des catégories d’accidents.

Dans les textes officiels français335, deux notions sont utilisées pour la conception et l’analyse de sûreté des réacteurs à eau sous pression : « l’état contrôlé » et « l’état sûr » ; leurs définitions ont été reproduites dans le premier focus du présent chapitre. Il y est notamment indiqué que, dans les conditions de fonctionnement de référence, l’état contrôlé implique un inventaire en eau stable, voire croissant, dans le circuit primaire336.

8.4.1.Choix des conditions initiales, conservatismes

Une installation nucléaire peut se trouver dans différents états de fonctionnement, de la pleine puissance à l’arrêt pour rechargement du combustible dans le cœur ou pour maintenance.

Dans chacun de ces états, les paramètres caractéristiques – pression et température de l’eau dans les circuits, débits d’eau, tension et fréquence des sources électriques, radioactivité, contamination… – peuvent varier dans différentes plages et les moyens de mesure, de contrôle et de régulation de ces paramètres n’ont pas une précision absolue.

Les « états standards » et les « domaines d’exploitation » autorisés par les spécifications techniques d’exploitation sont précisés au paragraphe 20.2.1.1 du chapitre consacré aux règles générales d’exploitation. Des sous-états peuvent être distingués pour l’étude des conditions de fonctionnement.

L’expérience d’exploitation a mis en évidence, au cours des années 1980, l’importance de bien examiner les risques dans les états d’arrêt d’un réacteur à eau sous pression (en l’occurrence la possibilité d’une baisse intempestive du niveau d’eau au cours des états d’arrêt où le cœur est dans la cuve du réacteur)337. Aussi bien les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » (appliquées au réacteur EPR) que le guide ASN n° 22 insistent sur l’importance d’étudier les événements initiateurs dans les différents états d’arrêt d’un réacteur ; le guide souligne notamment qu’« une attention particulière doit être portée aux états d’arrêt présentant des conditions spécifiques, notamment lorsque sont indisponibles certains EIP, certaines barrières de confinement (par exemple lors de l’ouverture du circuit primaire principal, de l’ouverture du sas ou du tampon d’accès des matériels de l’enceinte de confinement) ou lorsque des travailleurs peuvent être présents à l’intérieur de l’enceinte de confinement »338.

Pour chaque étude d’événement initiateur, les conditions initiales (associées à l’état initial du réacteur) et les valeurs de certains paramètres sont choisies de façon pessimiste (en s’imposant par exemple les « pénalités » évoquées au chapitre 6) à l’égard du ou des phénomènes redoutés. La précision des dispositifs de mesure, de contrôle et de régulation est prise en compte ; il en est de même pour ceux qui permettent de déclencher l’arrêt automatique du réacteur ou les systèmes de sauvegarde. Le jeu de valeurs peut varier dans l’étude des différentes phases (voir plus haut) du transitoire associé à l’événement initiateur étudié.

Si le phénomène redouté est une « crise d’ébullition » dans le cœur, qui dégrade fortement le refroidissement des gaines des crayons combustibles affectés et peut entraîner leur endommagement, les valeurs de la puissance et de la température moyenne de l’eau du circuit primaire sont majorées (initialement et au cours du transitoire). La pression du fluide de refroidissement est par contre choisie en cumulant les conditions qui la diminuent.

Les accidents d’injection de réactivité par mouvement de grappes de contrôle sont étudiés en supposant qu’ils se produisent en début de cycle lorsque la contre-réaction neutronique apportée par le modérateur (l’eau du circuit primaire) est la plus faible. Les accidents de refroidissement ayant pour origine la partie secondaire de la chaudière (rupture d’une tuyauterie de vapeur…) sont étudiés en fin de cycle, quand, en l’absence de bore dans le fluide primaire, l’effet sur la réactivité est le plus fort.

De plus, s’il y a relâchement de produits de fission normalement retenus par les gaines, la quantité de produits radioactifs relâchés est majorée en supposant que le combustible est en fin de cycle d’un cœur à l’équilibre.

8.4.2.Prise en compte d’un aggravant dans l’étude
des conditions de fonctionnement
– Défaillances « passives »

Dans les études des conditions de fonctionnement de dimensionnement (ou de référence), un « aggravant » est pris en compte : c’est une défaillance unique, indépendante de l’événement initiateur postulé, qui est appliquée à un équipement utilisé pour ses effets bénéfiques pour la condition de fonctionnement étudiée. L’aggravant le plus pénalisant à l’égard de chaque critère à respecter et pour chacune des phases du transitoire doit être retenu. L’application de l’aggravant unique ne change pas la catégorie de la condition de fonctionnement considérée.

L’aggravant est supposé se produire lors d’une sollicitation339 de l’équipement concerné.

En particulier :

–le blocage de la grappe de contrôle la plus antiréactive au moment de l’arrêt automatique du réacteur doit être considéré comme un aggravant possible pour toutes les conditions de fonctionnement ;

–la défaillance à la fermeture d’une vanne de décharge de vapeur principale doit être considérée comme un aggravant possible pour les conditions de fonctionnement de deuxième catégorie telles qu’une dilution homogène ou le retrait incontrôlé d’une grappe de contrôle.

Certaines défaillances, comme la défaillance à l’ouverture des clapets des accumulateurs du système d’injection de sécurité, peuvent être exclues de l’application de la règle de l’aggravant unique sous réserve de justifications appropriées (compte tenu de leur fiabilité et du retour d’expérience).

La maintenance préventive des systèmes susceptibles d’être utilisés en cas d’incident ou d’accident est également à prendre en compte. Des modalités sont définies pour prendre en compte ces derniers en termes d’indisponibilité des équipements correspondants.

Par ailleurs, une défaillance unique dite passive est, si nécessaire, à considérer dans l’étude des conditions de fonctionnement. C’est une défaillance qui apparaît dans un équipement qui n’a pas besoin de changer d’état pour réaliser sa fonction. Une défaillance passive peut être :

–une fuite de l’enveloppe sous pression d’un circuit contenant un fluide ; si elle n’est pas détectée et isolée, une telle fuite est supposée s’accroître jusqu’au débit correspondant à une rupture totale ;

–une autre défaillance mécanique mettant en cause la ligne de débit correspondant au fonctionnement normal d’un circuit contenant un fluide.

Les défaillances passives sont prises en compte pour le long terme (après plus de 24 h) de fonctionnement des systèmes de sûreté, avec un taux de fuite supposé conventionnellement égal à 200 litres par minute jusqu’à l’isolement de la fuite.

Néanmoins, pour le réacteur EPR, il a été stipulé340 dans les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » que « des études de sensibilité doivent être réalisées pour montrer que le cas d’une défaillance unique passive à court terme (avant 24 h) de même que le cas d’un taux de fuite plus grand que 200 l/min (jusqu’à la rupture d’une tuyauterie connectée d’un diamètre intérieur de 50 mm) sont couverts par la prise en compte des défaillances uniques actives ou ne conduisent pas à un effet falaise pour ce qui concerne l’efficacité du système ainsi que les conséquences radiologiques ».

8.4.3.Cumuls conventionnels

La règle de l’aggravant unique n’est pas la seule convention adoptée dans les études des conditions de fonctionnement de dimensionnement (ou de référence) pour accroître le caractère enveloppe des études.

Pour toutes les conditions de fonctionnement de quatrième catégorie, le cumul du manque de tension externe (MDTE) est considéré s’il est pénalisant pour le transitoire considéré. Cette règle est conventionnelle mais provient, historiquement, du cumul des effets mécaniques d’un séisme important (séisme majoré de sécurité [SMS] ou séisme de dimensionnement [SDD] – voir les paragraphes 8.5 et 12.3) avec les grosses brèches de quatrième catégorie, le séisme pouvant entraîner la perte (défaillance) des lignes de transport d’électricité qui ne sont pas dimensionnées pour résister à un tel séisme, même d’intensité modérée. Le cumul du MDTE est considéré à l’instant le plus pénalisant, correspondant généralement à l’un des trois instants suivants : instant initial, instant d’arrêt automatique du réacteur, instant du démarrage d’un système de sauvegarde (par exemple l’injection de sécurité). Le MDTE provoque, entre autres, l’arrêt des pompes primaires.

Il a été vu au chapitre précédent que le critère de défaillance unique impose que, lors de la conception d’un réacteur, tous les matériels nécessaires à la maîtrise des situations accidentelles soient au moins doublés, avec deux voies bien distinctes. Le cumul conventionnel des conditions de fonctionnement de quatrième catégorie avec le MDTE impose alors que les matériels électriques de chacune de ces voies soient secourus par un générateur électrique autonome à démarrage automatique, indépendant du réseau électrique externe, pleinement efficace en cas de séisme.

Les réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe ont donc ainsi été dotés341, chacun, de deux groupes électrogènes à moteur diesel de plusieurs mégawatts de puissance unitaire, capables de fournir la puissance nécessaire quelques dizaines de secondes après avoir reçu un ordre de démarrage, et qualifiés au séisme.

Ce délai doit bien sûr être considéré dans les études d’accidents (les systèmes de sauvegarde sollicités n’atteignant dès lors leur pleine efficacité qu’avec retard).

Par ailleurs, dans les études de conception initiale des réacteurs de 900 MWe et de 1 300 MWe, la possibilité qu’un séisme puisse être à l’origine d’une condition de fonctionnement, sans préjuger de sa catégorie (2, 3 ou 4), n’avait pas été envisagée dans la mesure où le séisme était pris en compte (comme « cas de charge ») pour la conception et le dimensionnement des équipements mécaniques et électriques classés de sûreté. Cependant, lors des discussions relatives aux réacteurs du palier N4, l’IPSN a estimé qu’un séisme pouvait néanmoins être à l’origine d’une défaillance interne même si l’équipement défaillant a été dimensionné pour résister aux séismes. Selon cette approche (« séisme événement »), il est aussi supposé que le séisme dit initiateur provoquerait la défaillance des alimentations électriques externes pour les mêmes raisons que celles indiquées plus haut. Pour le palier N4, les conditions de fonctionnement de deuxième et troisième catégories avec cumul du MDTE ont alors été étudiées en regard des critères associés aux conditions de fonctionnement de quatrième catégorie.

Pour l’étude de ces cumuls, le temps de chute des grappes absorbantes est allongé par rapport à la valeur maximale stipulée dans les spécifications techniques d’exploitation (compte tenu du séisme) et seuls les équipements aptes à remplir leur mission après un séisme peuvent être utilisés.

Depuis l’introduction de cette démarche pour le palier N4, des études de vérification342 ont été engagées par Électricité de France pour les réacteurs de 900 MWe343 et de 1 300 MWe, pour les conditions de fonctionnement de deuxième et troisième catégories, en cumulant le MDTE (induit par un séisme) à l’événement initiateur, dans l’objectif de vérifier le respect des critères associés à la quatrième catégorie de conditions de fonctionnement.

La démarche introduite pour le palier N4 a été reconduite pour le réacteur Flamanville 3 (EPR).

8.4.4.Prévention de l’aggravation des accidents

Parmi les critères d’acceptabilité des conséquences des incidents et accidents des deuxième et troisième catégories des conditions de fonctionnement, il est précisé qu’ils ne doivent pas être à l’origine d’un accident de la catégorie suivante.

L’étude détaillée de chacun de ces incidents ou accidents doit donc permettre de connaître les contraintes thermomécaniques ou autres qui peuvent en résulter pour les équipements dont la défaillance n’a pas constitué l’initiateur, afin de vérifier qu’ils ne deviennent pas défaillants à leur tour. Il en est déduit toute une série de « situations de dimensionnement » ou « cas de charge » dont il faut tenir compte pour la conception de ces équipements.

La rupture d’une tuyauterie principale d’une boucle du circuit primaire en un endroit ne doit provoquer, ni une autre rupture dans la même boucle, ni une rupture dans une autre boucle, ni une perturbation sérieuse du système d’injection de sécurité. Les efforts produits par les déformations de la tuyauterie rompue et les jets de fluide sur le béton et sur les structures des casemates des boucles primaires sont donc étudiés en détail, puisqu’ils servent de base au supportage de la boucle affectée et des boucles voisines.

8.4.5.Délais d’intervention des opérateurs

Pour l’étude des conditions de fonctionnement du domaine de dimensionnement (ou de référence), des délais sont retenus pour l’intervention des opérateurs en-deçà desquels il est considéré qu’ils ne peuvent pas intervenir ; ces délais, qui dépendent des lieux d’intervention, sont précisés dans le tableau 8.2 ci-après.

Tableau 8.2. Délais retenus pour l’intervention des opérateurs.

Réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe

EPR

Interventions en salle de commande

20 min

30 min

Interventions dans le bâtiment électrique

25 min

60 min

Interventions dans les autres bâtiments

35 min

Considérer des délais d’intervention des opérateurs plus importants a un effet bénéfique pour la sûreté344.

8.4.6.Utilisation de logiciels de simulation qualifiés

Malgré le développement des connaissances, il est souvent difficile de représenter exactement les phénomènes complexes pouvant intervenir lors d’un incident ou d’un accident. La prudence est donc de mise dans l’utilisation des simulations par le calcul.

Pour l’étude des incidents et des accidents et l’évaluation de leurs conséquences, les concepteurs345 utilisent soit des logiciels de simulation dont le caractère conservatif346 a été établi pour un domaine d’utilisation dans le cadre de leur « qualification », pouvant comprendre une validation à partir d’expériences, soit des logiciels de simulation réalistes (best estimate en anglais, c’est-à-dire reproduisant « au mieux » les expériences). Dans le cas de l’utilisation de logiciels réalistes, des majorations peuvent être introduites sur les résultats avant de les comparer à des critères techniques d’acceptation.

Les logiciels de simulation font l’objet d’améliorations continues tirant profit des résultats des travaux de recherche et développement, qui permettent éventuellement de réduire, par une meilleure connaissance des phénomènes et des moyens de les modéliser, certains conservatismes.

Ces améliorations peuvent également mettre en évidence que certains résultats antérieurs n’étaient pas suffisamment conservatifs. Ce fut le cas au début des années 1980 pour la détermination de la pression qui résulterait de la rupture d’une tuyauterie principale de vapeur dans l’enceinte de confinement des réacteurs du palier P’4. Les marges disponibles ont toutefois permis à Électricité de France de montrer que les critères techniques retenus pour le dimensionnement de l’enceinte de confinement n’étaient pas dépassés. Cet exemple – il en existe d’autres –, confirme, s’il en était besoin, l’importance de la qualité des études et la nécessité de conserver une approche prudente dans les différentes phases de définition des caractéristiques des systèmes, structures et composants.

Pour la préparation des procédures de conduite incidentelle ou accidentelle, les études menées pour vérifier le caractère acceptable des conséquences de ces événements peuvent être inadaptés pour définir les actions à effectuer par les opérateurs ; les résultats de calculs réalistes sont utilisés.

Un certain nombre de logiciels de simulation sont présentés au chapitre 40.

8.4.7.Principaux critères à respecter pour le combustible
dans le cœur du réacteur

L’acceptabilité des conséquences calculées des conditions de fonctionnement s’apprécie en regard d’un certain nombre d’exigences et de critères, aussi appelés critères techniques d’acceptation, concernant notamment les barrières de confinement.

En particulier, les dommages sur le combustible doivent être d’autant plus limités que la condition de fonctionnement considérée a une fréquence estimée importante.

Mais l’enveloppe du circuit primaire, l’enceinte de confinement et d’autres structures, systèmes et composants ayant une importance pour la sûreté font également l’objet d’exigences en regard des différentes conditions de fonctionnement ou agressions devant être prises en compte pour leur dimensionnement, que l’on considère satisfaites si un ensemble de critères sont respectés (par exemple les critères de codes de conception et de construction). Il est à souligner que, pour le dimensionnement des systèmes de sauvegarde, les critères les plus exigeants347 des codes de conception et de construction sont retenus en considérant que pour ces systèmes les conditions de fonctionnement accidentelles sont des conditions normales de fonctionnement : il en est ainsi du système d’injection de sécurité prévu pour limiter les conséquences de brèches du circuit primaire.

Il a précédemment été question dans ce chapitre de conservatismes, notamment dans les calculs de simulation des transitoires incidentels ou accidentels et de leurs conséquences. Les critères techniques d’acceptation tiennent généralement compte des incertitudes liées à l’état des connaissances sur lequel ils sont établis. Dans l’appréciation de la maîtrise des phénomènes redoutés, il y a lieu de bien distinguer tous ces conservatismes.

Ne sont abordés dans la suite du présent chapitre que les critères relatifs au combustible dans le cœur du réacteur. Ces critères visent à éviter des ruptures de gaines, à conserver une géométrie refroidissable du cœur et à limiter les conséquences radiologiques calculées des conditions de fonctionnement.

De manière générale, pour chaque condition de fonctionnement, un objectif qualitatif est retenu pour traduire le niveau de dommage considéré comme acceptable pour le combustible. Il est décliné en exigences en regard des phénomènes physiques susceptibles de conduire à un tel dommage. Le respect de ces exigences est ensuite assuré par la vérification de critères, appelés critères techniques d’appréciation, qui correspondent à des paramètres calculables et représentatifs au mieux des phénomènes physiques redoutés.

Trois phénomènes physiques sont susceptibles de conduire à une perte d’intégrité de crayons combustibles (« ruptures de gaines ») :

–la « crise d’ébullition » (dégradation brutale du refroidissement des crayons combustibles lorsqu’un film de vapeur continu se forme à leur surface) qui peut conduire à une augmentation excessive de température ;

–la fusion, même partielle, de pastilles de combustible, voire de gaines ;

–l’interaction entre pastilles et gaines (IPG), soit amplifiée (« assistée ») par un mécanisme de corrosion sous contraintes (IPG-CSC), soit purement de nature mécanique (ImPG) ; cette interaction est due à la dilation plus importante des pastilles par rapport aux gaines348 en cas d’augmentation transitoire de puissance.

À l’égard de ces phénomènes, des critères quantitatifs sont définis (flux thermique à la paroi des gaines inférieur au flux conduisant à la crise d’ébullition [RFTC349], non-dépassement de la température de fusion des pastilles, respect d’une limite mécanique assurant l’absence de défaillance des gaines par interaction pastille-gaine…), qui permettent d’apprécier les dommages pouvant être subis par les crayons combustibles. Ces critères peuvent dépendre des caractéristiques des crayons, tout particulièrement du matériau de gainage.

Comme cela sera vu plus loin, une perte d’intégrité de crayons combustibles est tolérée pour certaines conditions de fonctionnement, sous réserve toutefois que le cœur reste refroidissable. La capacité de refroidissement du cœur suppose que sa géométrie soit globalement conservée avec une circulation d’eau suffisante dans les assemblages combustibles. Un gonflement (ou « ballonnement ») de crayons (par exemple en cas de perte de réfrigérant primaire) conduisant à une restriction excessive des passages du fluide entre les crayons ou une interaction thermodynamique entre particules chaudes de combustible éjectées de crayons rompus créant une explosion de vapeur d’eau sont des phénomènes susceptibles de mettre en cause le refroidissement du cœur ; la panoplie de critères retenus prend en compte ces risques.

Il est retenu que les conditions de fonctionnement de deuxième catégorie ne doivent pas mettre en cause l’intégrité des crayons combustible. Le système de protection et les spécifications techniques d’exploitation du réacteur doivent avoir été définis à cette fin.

Il est en revanche admis que les conditions de fonctionnement de troisième catégorie puissent amener des dommages limités au combustible du cœur du réacteur ; la fusion de la pastille de combustible au point chaud du cœur doit toutefois être limitée, et évitée pour le cas du réacteur EPR et pour les nouveaux projets de réacteurs (voir le guide ASN n° 22). Comme cela a été indiqué ci-dessus, les dommages affectant le combustible ne doivent pas mettre en cause le refroidissement du cœur ; un critère porte sur la température de gaine qui doit rester inférieure à une valeur permettant d’éviter la rupture des crayons fragilisés par leur oxydation excessive à haute température. De plus, pour limiter in fine les conséquences radiologiques, les concepteurs retiennent comme critère que le nombre de crayons combustibles entrant en « crise d’ébullition » soit inférieur à 5 % des crayons du cœur.

Enfin, pour ce qui concerne les conditions de fonctionnement de quatrième catégorie, le refroidissement du cœur ne doit pas non plus être mis en cause ; la fusion de la pastille de combustible au point chaud du cœur doit rester limitée. Les concepteurs retiennent comme critère que le nombre de crayons combustibles entrant en « crise d’ébullition » soit inférieur à 10 % des crayons du cœur. Des critères spécifiques sont définis pour l’accident de perte de réfrigérant primaire (voir le chapitre 9), ainsi que pour l’accident d’éjection de grappe de contrôle (voir le chapitre 35).

Généralement, le nécessaire respect des critères techniques d’acceptation associés au combustible conduit les concepteurs à retenir350 des exigences pour la conception des systèmes de protection et de sauvegarde du réacteur, ainsi que des limites d’exploitation du réacteur qui sont ensuite traduites dans les spécifications techniques d’exploitation ; par exemple, pour l’accident de perte de réfrigérant primaire, la puissance linéique maximale dans le cœur du réacteur est limitée (on parle de « limite APRP ») et, pour l’éjection d’une grappe de contrôle, c’est la profondeur d’insertion des grappes de contrôle qui est limitée.

8.5.La notion de « situations de dimensionnement »
pour les matériels

Les conditions de fonctionnement concernent l’ensemble ou une partie de l’installation ; elles doivent être distinguées des « situations » utilisées à l’étape de la conception qui consiste à dimensionner les matériels (l’expression adoptée est « situations de dimensionnement »). Les situations de dimensionnement sont issues des études et notamment de la simulation par le calcul des transitoires de pression, de température, de débit, de contrainte… associés non seulement aux conditions de fonctionnement de dimensionnement (ou de référence), mais aussi des événements du « domaine complémentaire » et des agressions d’origines interne et externe (pour certaines de ces situations de dimensionnement, l’expression « cas de charge » est aussi utilisée).

Les situations de dimensionnement (ou de référence) résultant de l’étude des conditions de fonctionnement, classées en quatre catégories, elles se trouvent naturellement classées, comme ces conditions elles-mêmes, en quatre catégories. L’ensemble de ces situations sert à ce qui peut être appelé le « dimensionnement conventionnel de base »351, traduction proche du terme anglais basic design, dorénavant appelé domaine de conception de référence (voir le guide ASN n° 22).

La règlementation des appareils à pression – qui concerne, pour les réacteurs à eau sous pression, tout particulièrement le circuit primaire principal (CPP) et le circuit secondaire principal (CSP)352 – se réfère à une notion de situations un peu différente ; elles seront précisées au paragraphe suivant.

Par ailleurs, des cumuls conventionnels de situations sont retenus ; ils mettent en jeu principalement deux événements externes :

–la perte de l’ensemble des sources électriques externes (MDTE),

–le séisme, représenté par le séisme majoré de sécurité (SMS) − ou le séisme de dimensionnement (SDD353) −, ainsi que le séisme maximal historiquement vraisemblable (SMHV) − ou le demi-séisme de dimensionnement (DSD) −,

eux-mêmes combinés entre eux ; en effet, comme cela a été indiqué plus haut, il apparaît logique de coupler un séisme important avec la défaillance des lignes de transport d’électricité qui ne sont pas dimensionnées pour résister à un tel phénomène.

Ainsi – et c’est l’un des aspects les plus notables des cumuls de situations – il a été retenu, pour certains matériels mécaniques véhiculant ou contenant un fluide sous pression et classés de sûreté354, de cumuler (quadratiquement) les chargements correspondant au séisme de dimensionnement (SDD) avec ceux qui correspondent aux situations résultant des conditions de fonctionnement de dimensionnement (catégories 1 à 4), y compris celles qui impliquent la défaillance d’un composant calculé pour résister au SDD355. En outre, la survenue différée, au moment le plus défavorable, d’une réplique du séisme, correspondant au demi-séisme de dimensionnement (DSD), peut aussi devoir être étudiée si cette réplique peut mettre en cause le retour du réacteur dans un état sûr.

On notera enfin que le terme « cumul », couramment utilisé, est relativement vague ; le terme « combinaison » rend mieux compte de l’analyse nécessaire pour déterminer la chronologie respective des événements « cumulés » entre eux.

8.6.« Situations » à prendre en compte en application
de la règlementation des appareils à pression356

L’histoire de la règlementation relative aux appareils à pression et plus spécifiquement celle qui s’applique aux appareils utilisés dans les réacteurs nucléaires (équipements sous pression nucléaires), ainsi que quelques éléments relatifs à leur conception sont présentés au chapitre 2 et au paragraphe 7.5 du présent ouvrage. Quelques compléments sont fournis ci-après357.

La règlementation des appareils à pression se réfère à une notion de situations, définies à l’article 7 de l’arrêté du 26 février 1974 ; elles sont classées comme suit (et toujours en vigueur) :

–situation de première catégorie : c’est la situation « dans laquelle se trouverait l’appareil s’il était soumis à des actions constantes dans le temps, définies à partir des actions les plus sévères auxquelles est soumis l’appareil lorsqu’il se trouve dans les situations de deuxième catégorie définies ci-après […] Les pressions et températures retenues pour définir la situation de première catégorie sont appelées pour chaque enceinte pression et températures de calcul » ;

–situations de deuxième catégorie : ce « sont celles dans lesquelles peut se trouver l’appareil au cours du fonctionnement normal, c’est-à-dire tant en marche continue que pendant les régimes transitoires et les incidents courants de fonctionnement. » Les transitoires normaux d’exploitation (suivi de charge…), les incidents de fréquence moyenne (arrêt automatique « simple », perte du vide au condenseur, déclenchement de la turbine…) sont retenus dans cette deuxième catégorie de situations, appelées aussi situations normales et perturbées ;

–situations de troisième catégorie : il s’agit de situations exceptionnelles (« circonstances accidentelles très peu fréquentes mais dont l’éventualité doit être envisagée », par exemple la perte totale du débit de vapeur dans le circuit secondaire) ;

–situations de quatrième catégorie : il s’agit de situations accidentelles (qualifiées « hautement improbables », par exemple la rupture d’une tuyauterie principale du circuit primaire ou d’une tuyauterie principale de vapeur) dont il convient d’étudier les conséquences pour la sécurité de l’appareil.

Par rapport au classement des situations de dimensionnement issues des conditions de fonctionnement de l’analyse déterministe de sûreté, les situations normales et perturbées regroupent les situations de dimensionnement de deuxième catégorie, la situation de première catégorie étant une situation conventionnelle de référence. Les situations exceptionnelles et accidentelles sont à mettre en regard des situations de dimensionnement respectivement de troisième et quatrième catégories. Mais il peut arriver qu’un événement initiateur soit classé dans des catégories différentes en tant que situation mécanique pour l’application de la règlementation des appareils à pression et en tant que situation de dimensionnement au titre de l’analyse de sûreté déterministe.

L’arrêté du 26 février 1974 avait, dans son article 10, fixé des coefficients de sécurité que devaient satisfaire les « enceintes » des équipements sous pression (du circuit primaire principal) des réacteurs à eau sous pression à l’égard de certains mécanismes d’endommagement (à savoir la déformation excessive et l’instabilité plastique358). Le « constructeur » devait montrer que l’équipement ne subirait pas les dommages en question dans les situations obtenues en multipliant les chargements des situations préalablement définies par ces coefficients de sécurité (allant de 1,1 à 2,5 selon les catégories de situations définies ci-dessus et le mécanisme d’endommagement).

Si ces coefficients n’ont pas été repris dans les textes relatifs aux ESPN, étant dorénavant laissés à l’appréciation du concepteur, ils conservent bien évidemment une valeur de référence à l’égard de laquelle la sécurité d’un équipement (aussi bien du CPP que du CSP) peut être appréciée, aussi bien par le constructeur que par les organismes de sûreté (ils ont été introduits sous différentes formes dans le RCC-M).

8.7.L’évaluation des conséquences radiologiques
des incidents, des accidents et des agressions

La démonstration de sûreté nucléaire comporte in fine une évaluation des conséquences radiologiques des incidents et accidents postulés et, plus généralement, de l’ensemble des événements – agressions comprises – susceptibles d’affecter un réacteur électronucléaire et de conduire à des rejets radioactifs359.

Des évaluations de conséquences radiologiques sont ainsi réalisées dès les études de conception. Elles font l’objet d’une actualisation à l’occasion des réexamens périodiques dans le cadre d’une démarche globale visant à réduire autant que raisonnablement possible les rejets radioactifs, ainsi que leurs conséquences sur l’homme et sur l’environnement.

L’évaluation des conséquences radiologiques réalisée au titre de la démonstration de sûreté ne doit pas être confondue avec celles qui seraient réalisées dans le cadre de situations d’urgence réelles (gestion de crise), dans le but de mettre en œuvre, si besoin, des actions de protection des personnes du public (cet aspect est développé au chapitre 38).

Toute évaluation des conséquences radiologiques prend en compte :

–l’ensemble des substances radioactives concernées de l’installation et leurs conditions de relâchement,

–l’ensemble des voies de transfert de ces substances depuis leur source d’émission jusqu’à l’homme ou à des éléments d’intérêt de l’environnement (rivière, mer, cultures maraîchères…),

–l’ensemble des voies d’exposition pour toutes les personnes ou les éléments d’intérêt.

Les évaluations de conséquences radiologiques doivent couvrir l’ensemble des périodes de temps au cours desquelles des contaminations de l’environnement ou des expositions significatives peuvent exister à la suite de l’accident postulé.

Une évaluation des conséquences radiologiques comporte deux étapes principales : l’évaluation des rejets à partir de l’installation, puis l’évaluation des conséquences radiologiques de ces rejets en dehors de l’installation. Elle implique l’étude de la météorologie locale, dont la vitesse et la direction des vents, des nappes phréatiques et, en général, de l’hydrogéologie, ainsi que de la répartition de la population. Ces aspects ne sont pas détaillés dans le présent ouvrage.

De façon générale, les développements synthétiques qui suivent concernent aussi bien l’estimation des conséquences radiologiques des conditions de fonctionnement de dimensionnement, ou de référence, que celle des conditions de fonctionnement complémentaires (chapitre 13) ou des situations avec fusion du cœur (chapitre 17).

8.7.1.Évaluation des rejets à partir de l’installation

L’évaluation des rejets sortant de l’installation et de leurs caractéristiques (en termes de nature des substances radioactives [isotopes], de quantités rejetées et de cinétique des rejets) repose sur la détermination :

–de la nature et des quantités de substances radioactives présentes dans le cœur du réacteur, dans des circuits, dans la piscine d’entreposage des assemblages combustibles ou dans des capacités (effluents de l’installation…) ;

–des taux de relâchement de ces substances au cours de la situation considérée : pour ce qui concerne le combustible, les taux de relâchement des différentes substances radioactives sont fortement dépendants non seulement de leur nature physico-chimique mais aussi des conditions auxquelles le combustible a été (avant la survenue de la situation considérée) et est soumis lors de cette situation, ainsi que de son état (solide, partiellement ou complètement fondu) ;

–des modes de transfert et de dépôt des substances radioactives dans les circuits et les bâtiments : selon la forme physico-chimique sous laquelle les substances radioactives parviennent dans les circuits ou les bâtiments, les conditions qu’ils rencontrent, leurs caractéristiques…, il peut éventuellement être tenu compte qu’une partie de ces produits se dépose dans les circuits ou les bâtiments ;

–des taux de fuite vers l’atmosphère extérieure et, éventuellement, des filtrations correspondantes : le taux de fuite de radioactivité d’un bâtiment vers l’environnement dépend des pressions qu’il subit au cours du développement de la situation considérée, des systèmes de ventilation et de filtration éventuellement présents et de leur efficacité dans les conditions rencontrées. Une attention toute particulière doit être portée aux possibilités de fuites « directes » vers l’environnement (c’est-à-dire contournant les barrières de confinement360). Pour un accident dans le bâtiment du réacteur, les conséquences radiologiques calculées dépendent fortement du taux de fuites « directes » retenu (puisqu’il n’y a aucune filtration pour les rejets passant par les voies de fuites directes) ;

–de la durée des rejets, ainsi que de la hauteur d’émission (paramètre dont il faut tenir compte pour évaluer la dispersion atmosphérique des substances radioactives).

Une analyse de l’état ou du fonctionnement des structures, systèmes et composants de l’installation au cours de l’accident étudié doit ainsi être menée afin d’identifier l’ensemble des paramètres susceptibles d’avoir une influence sur les rejets à partir de l’installation. Pour chacun de ces paramètres, des hypothèses sont retenues par l’exploitant. L’« arrêté INB » mentionne que « les hypothèses retenues pour le calcul des rejets doivent être raisonnablement pessimistes ». Dans certains cas, des études de sensibilité sont réalisées en faisant notamment varier les valeurs des paramètres pour lesquels des incertitudes significatives existent.

L’évaluation des rejets à partir de l’installation lors d’un incident, d’un accident ou d’une agression est réalisée à partir de l’analyse déterministe décrite plus haut. Il est ainsi tenu compte des règles d’étude applicables (prise en compte d’un aggravant, cumul du manque de tension externe, délais d’intervention des opérateurs…). Si une étude spécifique de thermohydraulique est nécessaire pour caractériser les rejets (comme par exemple dans le cas de l’accident de perte de réfrigérant primaire, a contrario d’une évaluation ne portant que sur la rupture d’un réservoir contenant des substances radioactives), celle-ci doit être cohérente avec l’étude de thermohydraulique de la situation (hypothèses liées aux scénarios étudiés…). Enfin, les hypothèses relatives à l’installation prises en compte dans l’évaluation des conséquences radiologiques doivent être cohérentes avec les hypothèses et exigences de sûreté figurant dans le rapport de sûreté (exigences de conception, de classement…) et les règles générales d’exploitation (par exemple le taux de fuite maximal de l’enceinte de confinement en situations accidentelles).

Les rejets de substances radioactives peuvent se faire par voie atmosphérique sous forme gazeuse ou sous forme d’aérosols, vers des eaux de surface sous forme liquide. Pour ce qui concerne les eaux souterraines, des dispositions doivent être prises au stade de la conception des installations pour éviter361 l’atteinte des nappes phréatiques.

En règle générale, il est supposé que, lorsque les gaines des crayons combustibles ne sont pas étanches, les gaz rares (xénon, krypton) sortent en totalité dans le circuit primaire et du circuit primaire dans le bâtiment du réacteur, sans aucune rétention (s’il n’y a pas fusion de combustible, seuls les gaz rares contenus dans les espaces situés entre les pastilles de combustible et les gaines sont considérés).

Il n’en est pas de même pour les autres substances radioactives. Pour ce qui concerne l’iode362, contributeur important à l’exposition radiologique à court terme des personnes du public pour les accidents pouvant affecter les réacteurs électronucléaires, différents éléments sont à prendre en considération :

–sa forme physico-chimique : forme moléculaire gazeuse (I2), forme particulaire (c’est-à-dire aérosol, par exemple d’iodure de césium CsI), forme organique gazeuse (par exemple d’iodure de méthyle CH3I) ; l’iode organique est le plus difficile à retenir par les systèmes de filtration existants ;

–les phénomènes ou mécanismes susceptibles de conduire à sa transformation, à son piégeage ou à son dépôt, selon sa forme physico-chimique.

En particulier, dans l’enceinte de confinement d’un réacteur à eau sous pression, l’iode gazeux sous forme moléculaire est adsorbé rapidement par les peintures des parois ou celles des équipements de cette enceinte pour créer de l’iode organique gazeux ; sous l’effet des rayonnements, cet iode sous forme organique peut se transformer à son tour en oxydes d’iode, assimilés à des aérosols de très petite taille.

Dans le cas du fonctionnement du système d’aspersion d’eau dans l’enceinte de confinement (accident de perte de réfrigérant primaire, situations avec fusion du cœur), cette aspersion va entraîner de l’iode gazeux sous forme moléculaire ainsi que sous forme d’aérosols vers les puisards, au sein desquels les aérosols pourront entrer dans des réactions chimiques complexes en produisant au final de l’iode gazeux sous forme moléculaire.

On ne développera pas plus ces sujets très complexes.

8.7.2.Évaluation des conséquences radiologiques
des rejets hors de l’installation

L’évaluation des conséquences radiologiques des rejets hors de l’installation suit les étapes suivantes :

–caractérisation appropriée de l’environnement du site (topographie, occupation des sols, hydrologie, météorologie…) ;

–identification des populations et des éléments d’intérêt de l’environnement (productions agricoles, ressources en eau…) susceptibles d’être impactées par les rejets ; la population peut alors être décrite par des « personnes représentatives »363 des groupes homogènes les plus exposés ;

–identification des voies de transfert vers et dans l’environnement du ou des radionucléides et caractérisation de l’état de contamination des « personnes représentatives » (y compris par ingestion éventuelle de denrées alimentaires contaminées…) et de l’environnement (productions agricoles, ressources en eau…), ainsi que des expositions de ces personnes aux rayonnements directs ;

–calcul des conséquences en termes de doses qui comprend l’identification des voies d’exposition des « personnes représentatives » et l’évaluation d’indicateurs dosimétriques exprimés en doses efficaces ou en doses équivalentes qui pourraient être reçues par ces personnes (doses à la thyroïde en particulier).

Il est à noter que les voies de transfert des radionucléides dans l’environnement et les voies d’exposition des personnes peuvent être différentes en fonction des phases de l’accident, de l’évolution de la contamination en fonction du temps, de la météorologie…

L’« arrêté INB » stipule que les évaluations portent sur l’estimation des doses auxquelles les personnes peuvent être exposées à court, moyen et long termes. L’échelle temporelle est définie en tenant compte de la cinétique des rejets et de l’ensemble des phénomènes qui en découlent en matière de contamination de l’environnement ou d’exposition radiologique des populations.

Ainsi, en cas de rejets radioactifs dans l’atmosphère, quatre mécanismes d’exposition radiologique peuvent être observés, de façon plus ou moins concomitante :

–les rejets d’éléments gazeux, notamment de gaz rares,

–les rejets sous forme d’aérosols,

–les dépôts au sol, en distinguant :

•les dépôts constitués d’éléments radioactifs à vie courte (typiquement d’une période radioactive de l’ordre de la dizaine de jours, tel l’iode 131) dont l’impact sur l’environnement et les personnes est limité à quelques semaines ou quelques mois,

•les dépôts d’éléments à vie plus longue (par exemple le césium 137, le plutonium 239…) qui peuvent persister dans l’environnement au-delà de la durée de vie d’un être humain.

Compte tenu des caractéristiques de ces mécanismes, différentes périodes de temps peuvent être distinguées dans l’évaluation des conséquences radiologiques des rejets.

Les transferts de substances radioactives dans l’atmosphère dépendent bien entendu des conditions météorologiques. Des hypothèses doivent donc être faites en termes de direction et de vitesse du vent, de gradient axial de température de l’air (qui conditionne la diffusion dans l’atmosphère), ainsi que de précipitations. Les évaluations ont longtemps été faites sur la base d’abaques (tels que ceux qui ont été mis au point dans les années 1970 et 1980 par R. Le Quinio et A. Doury), qui fournissaient des coefficients de transfert atmosphériques (CTA) pour différents jeux de conditions météorologiques ; le développement de logiciels de simulation performants permet aujourd’hui de procéder rapidement à des évaluations plus précises.

L’altitude des rejets est aussi à prendre en considération, un rejet supposé au niveau du sol étant de nature à maximiser les conséquences radiologiques à courtes distances (« champ proche »).

8.7.3.Appréciation des conséquences radiologiques

Les évaluations des conséquences radiologiques contribuent à la vérification du caractère adapté et suffisant des dispositions de maîtrise des risques, lors des études (généralement itératives) de conception d’un nouveau réacteur ou lors des études de modifications ou de réévaluations associées aux réexamens périodiques. Ces évaluations s’inscrivent dans une démarche de recherche continue d’améliorations de la sûreté, visant à réduire autant que raisonnablement possible les rejets radioactifs, ainsi que leurs impacts sur l’homme et sur l’environnement.

Dans cette optique, les résultats des évaluations de conséquences radiologiques peuvent être « situés » en regard d’objectifs radiologiques que s’est fixés l’exploitant (voir les paragraphes 6.2 et 8.1). Toutefois, comme cela a déjà été souligné plus haut, le respect d’objectifs radiologiques ne permet pas à lui seul de se prononcer sur le caractère suffisant de dispositions de conception ou d’amélioration. En effet, d’une part, certaines dispositions de sûreté ne peuvent pas être appréciées par des évaluations des conséquences radiologiques, d’autre part, une démarche de réduction des conséquences radiologiques à des valeurs aussi faibles que raisonnablement possible doit toujours être menée. L’appréciation finale ne peut donc intervenir qu’au cas par cas en tenant compte des incertitudes.

Annexe. Liste des transitoires, incidents et accidents de référence
de l’EPR (Flamanville 3) concernant le réacteur
et la piscine d’entreposage du combustible

L’étude de certains transitoires, incidents et accidents ci-après est effectuée pour des états spécifiques du réacteur (ou domaines d’études), notés A à F (entre crochets), qui sont précisés à la fin de la présente annexe (voir aussi le paragraphe 20.2.1.1).

Transitoires de référence : conditions de fonctionnement
de catégorie 2 (PCC 2)

–arrêt intempestif du réacteur [état A] ;

–défaillance du système d’alimentation en eau des générateurs de vapeur conduisant à une réduction de la température de l’eau alimentaire [états A, B] ;

–défaillance du système d’alimentation en eau des générateurs de vapeur conduisant à une augmentation du débit d’eau alimentaire [états A, B] ;

–augmentation excessive du débit de vapeur [état A] ;

–déclenchement de la turbine [état A] ;

–perte du vide au condenseur ;

–perte totale des alimentations électriques externes de courte durée (≤ 2 heures) [états A, C, D, E] ;

–perte de l’eau alimentaire normale des générateurs de vapeur (il s’agit de la perte de toutes les pompes principales d’alimentation en eau et de la pompe du système de démarrage et d’arrêt) ;

–perte d’une pompe primaire principale sans arrêt automatique du réacteur partiel ;

–retrait incontrôlé d’un groupe de grappes de contrôle [état A] ;

–mauvais positionnement d’une grappe de contrôle, jusqu’à la chute de la grappe, sans tenir compte des dispositifs de limitation ;

–démarrage d’une boucle primaire à l’arrêt à une température incorrecte [état A] ;

–dysfonctionnement du système de contrôle chimique et volumétrique conduisant à une diminution de la concentration de bore dans le circuit primaire [états A à E] ;

–dysfonctionnement du système de contrôle chimique et volumétrique conduisant à une augmentation ou une diminution de l’inventaire en eau du circuit primaire ;

–transitoires de pression primaire (aspersion intempestive dans le pressuriseur, chauffage intempestif du pressuriseur) ;

–baisse incontrôlée du niveau d’eau dans le circuit primaire [états C3, D, E] ;

–perte d’un train du système de refroidissement à l’arrêt [états C3, D, E] ;

–perte d’un train de refroidissement PTR ou d’un système support du PTR [état A].

Incidents de référence : conditions de fonctionnement
de catégorie 3 (PCC 3)

–petite brèche (DN ≤ 50 mm) d’une tuyauterie du système d’alimentation en eau des générateurs de vapeur ou d’une tuyauterie de vapeur, incluant les ruptures des lignes connectées aux générateurs de vapeur (DN ≤ 50 mm) [états A, B] ;

–perte des alimentations électriques externes de longue durée (> 2 heures) [état A] ;

–ouverture intempestive d’une soupape du pressuriseur [état A] ;

–ouverture intempestive d’une vanne de contournement à l’atmosphère ou d’une soupape d’un générateur de vapeur [état A] ;

–petites brèches du circuit primaire [états A, B] ;

–rupture d’un seul tube de générateur de vapeur [état A] ;

–fermeture intempestive d’une ou de toutes les vannes d’isolement de la vapeur ;

–non-conformité du cœur (il s’agit du chargement et de l’exploitation intempestifs d’un assemblage combustible dans une position inappropriée) ;

–réduction forcée du débit primaire (4 pompes) ;

–défaillances des circuits de traitement des effluents liquides ou gazeux ;

–retrait incontrôlé d’un groupe de grappes de contrôle [états B, C, D] ;

–retrait incontrôlé d’une grappe en puissance ;

–rupture d’une ligne véhiculant du fluide primaire à l’extérieur de l’enceinte de confinement (par exemple ligne d’échantillonnage nucléaire) ;

–perte des alimentations électriques (> 2 heures) : aspect refroidissement de la piscine du BK [état A] ;

–perte d’un train de refroidissement du PTR ou d’un système support du PTR [état F] ;

–rupture d’une tuyauterie isolable d’un circuit connecté à la piscine du BK [états A à F].

Accidents de référence : conditions de fonctionnement
de catégorie 4 (PCC 4)

–perte des alimentations électriques externes de longue durée (> 2 heures) [état C] ;

–rupture d’une tuyauterie de vapeur ;

–rupture d’une tuyauterie d’eau alimentaire des générateurs de vapeur ;

–ouverture intempestive d’une vanne de contournement à l’atmosphère ou d’une soupape d’un générateur de vapeur [état B] ;

–éjection d’une grappe de contrôle [états A, B] ;

–brèche intermédiaire ou grosse brèche du circuit primaire [états A, B] ;

–petite brèche primaire (DN ≤ 50 mm) [états C, D, E] ;

–défaillance d’une pompe primaire (rotor bloqué) ;

–rupture de l’arbre d’une pompe primaire ;

–rupture de deux tubes d’un générateur de vapeur [état A] ;

–accident de manutention du combustible ;

–dilution de bore suite à la rupture non isolable d’un tube d’échangeur de chaleur [états C à E] ;

–brèche isolable du circuit de refroidissement à l’arrêt à l’intérieur ou à l’extérieur de l’enceinte de confinement (DN ≤ 250 mm) [états C, D, E] ;

–petite brèche primaire non isolable (DN ≤ 50 mm) ou brèche isolable du circuit de refroidissement du réacteur à l’arrêt (DN ≤ 250 mm], aspect vidange de la piscine [état E] ;

–défaillance multiple des systèmes dans le bâtiment des auxiliaires nucléaires (BAN) et le bâtiment de traitement des effluents (BTE) sous séisme.

Cette liste de transitoires, incidents et accidents fait référence aux états et sous-états d’un réacteur, définis notamment comme suit dans les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » :

–État A : état en puissance et état d’arrêt à chaud ou intermédiaire avec toutes les fonctions de protection automatique du réacteur disponibles ; certaines fonctions peuvent être désactivées à basse pression.

–État B : arrêt intermédiaire avec l’eau du circuit primaire à une température supérieure à 120 °C, système de refroidissement à l’arrêt non connecté ; certaines fonctions de protection automatique du réacteur peuvent être désactivées.

–État C : arrêt intermédiaire et arrêt à froid avec le système de refroidissement à l’arrêt en fonctionnement et le circuit primaire fermé ou pouvant être refermé rapidement. Les sous-états regroupés sous l’appellation C3, qui apparaît dans la liste ci-dessus, correspond à des situations dans lesquelles le CPP est fermé avec le niveau d’eau situé « entre pressuriseur plein et ¾ boucle », ou le CPP entrouvert (a minima la ligne d’évent du pressuriseur ouverte) et le niveau d’eau « supérieur ou égal à ¾ boucle ») ; dans ces situations, 3 trains sur 4 du système RIS-RA sont raccordés (« en marche ») au CPP.

–État D : arrêt à froid avec le circuit primaire ouvert.

–État E : arrêt à froid avec la piscine du réacteur pleine.

–État F : arrêt à froid avec le cœur du réacteur complètement déchargé.

323.L’expression anglaise Operational States utilisée par l’AIEA regroupe ce qui relève du fonctionnement normal (Normal Operation) et des incidents de fonctionnement prévus (Anticipated Operational Occurrences – ou Transients). Il faut y ajouter les accidents de dimensionnement (Design Basis Accidents) pour retrouver les conditions de fonctionnement de référence. Ils résultent tous d’événements initiateurs (Initiating Events), ou d’événements initiateurs postulés (Postulated Initiating Events) (glossaire de l’AIEA). Il est à noter que les Postulated Initiating Events incluent les agressions internes et externes.

324.Avec certaines agressions internes et externes, qui sont étudiées de manière différente.

325.Le qualificatif de « conventionnelles » leur est parfois attribué. Cela ne doit pas suggérer un caractère immuable, le retour d’expérience pouvant conduire à des évolutions.

326.Il est en effet possible de regrouper les événements en sous-ensembles, ou familles, selon l’une ou l’autre des fonctions du procédé affecté : par exemple les variations de réactivité du cœur liées aux grappes absorbantes ou à la concentration du bore dans l’eau du circuit primaire, les variations du débit de l’eau du circuit primaire, les événements liés à l’évacuation de la chaleur par le circuit secondaire…

327.Il est d’usage d’associer à chaque catégorie de conditions de fonctionnement une borne inférieure qui correspond à la borne supérieure de la catégorie suivante. En fait seules les bornes supérieures des catégories ont un intérêt. Rien ne s’oppose à « surclasser » dans une catégorie N un événement relevant, de par sa fréquence estimée, d’une catégorie de rang supérieur (N + 1 ou N + 2 par exemple) si les critères techniques d’acceptation retenus pour la catégorie N sont respectés.

328.Les DRR comportent le dossier « matériau », le dossier « qualité de fabrication », le dossier « protection contre les surpressions », le dossier des « situations » (voir les paragraphes 8.5 et 8.6), le dossier « analyse du comportement », le dossier « rupture brutale ».

329.Plant Conditions Category.

330.Le domaine autorisé ne doit pas être confondu avec le domaine du fonctionnement normal. Il prévoit généralement certains écarts au domaine du fonctionnement normal, pour des durées limitées et dans certaines conditions.

331.Notamment les accidents de perte de réfrigérant primaire (chapitre 9) ou encore d’insertion de réactivité dans le cœur (chapitre 35).

332.Qualificatif en usage par Électricité de France, dans le sens d’intempestif.

333.Dans le langage de la sûreté, le terme brèche est souvent utilisé pour désigner des fissures (traversantes et ouvertes) dans la paroi de tuyauteries, pouvant aller jusqu’à leur rupture.

334.L’exploitant s’étant par ailleurs, pour la conception des réacteurs du palier N4, fixé des limites de conséquences radiologiques plus faibles que celles qui avaient été adoptées pour les paliers précédents.

335.Ce qui suit est issu du guide ASN n° 22.

336.Des précisions sur ces deux notions, appliquées à la piscine d’entreposage du combustible, sont données au chapitre 15.

337.Ce sujet est détaillé au paragraphe 22.1.

338.Il est par ailleurs indiqué dans le guide ASN n° 22 que les combinaisons non plausibles d’accidents et d’états initiaux peuvent, sous réserve de justifications appropriées, ne pas être traitées (c’est-à-dire ne pas prévoir et mettre en place des dispositions spécifiques pour en limiter leurs conséquences).

339.Il est postulé, dans les études d’EDF, que la défaillance survient lors de la première sollicitation. Il convient toutefois de s’assurer, par exemple dans le cas d’une soupape qui s’ouvre lors de cette première sollicitation et qui doit ensuite se refermer, que sa refermeture ne pourra pas être empêchée du fait de la première sollicitation ou des conditions existantes (fluide sortant sous la forme de vapeur ou d’eau…).

340.Cela est aussi formulé de manière analogue dans le guide ASN n° 22.

341.Pour le réacteur EPR, se reporter au paragraphe 18.2.4.

342.Ou « de robustesse » selon la terminologie employée par Électricité de France.

343.Dans le cadre de la réévaluation de sûreté associée à leurs quatrièmes visites décennales.

344.Des études (« de robustesse ») de l’ensemble des conditions de fonctionnement de dimensionnement sont menées par Électricité de France dans le cadre de la réévaluation de sûreté associée aux quatrièmes visites décennales des réacteurs de 900 MWe en considérant les délais pour les opérateurs qui ont été retenus dans les analyses de sûreté du réacteur EPR.

345.Ou l’IRSN dans le cadre de l’exercice de ses missions d’appui technique de l’Autorité de sûreté nucléaire (voir le chapitre 40).

346.Le qualificatif pessimiste est aussi utilisé.

347.À savoir ceux qui visent les situations normales de fonctionnement.

348.Il s’agit d’une mise en traction circonférentielle de la gaine par la pastille lors d’augmentations transitoires de puissance. Il est aussi à noter qu’un fonctionnement prolongé à puissance partielle peut conduire à imposer une contrainte supplémentaire à la gaine lors d’une augmentation transitoire de puissance ultérieure du fait d’un « conditionnement » plus défavorable avant le transitoire.

349.Rapport de flux thermique critique.

350.Dans un processus itératif de conception et de démonstration de sûreté.

351.Voir par exemple l’ouvrage « Démarche sûreté nucléaire pour la conception du palier 1450 MWe », Francis Vitton – EDF/SEPTEN.

352.Voir le focus du chapitre 2.

353.Le SDD peut être, comme cela est le cas pour le parc électronucléaire, une enveloppe du SMS des sites d’implantation des réacteurs ; il en est de même pour le DSD par rapport au SMHV.

354.Il s’agit notamment des systèmes de sauvegarde et de leurs systèmes supports.

355.Tel que la rupture d’une tuyauterie primaire ou secondaire. Comme cela a été indiqué plus haut, pour les réacteurs précédant le palier N4, ce cumul n’était fait qu’avec les situations de quatrième catégorie. L’étude de ces cumuls de situations a été précisée en 1984 dans la règle fondamentale de sûreté IV.2.a.

356.Éléments établis en collaboration avec Simon Liu de l’ASN/DEP et Remy Catteau de l’ASN/DCN.

357.Le lecteur pourra également consulter sur ce sujet les articles BN3280V1 et BN3282V1 des Techniques de l’ingénieur, rédigés par Jean-Marie Grandemange (†), intitulés « Conception des enceintes sous pression », parties 1 et 2, de janvier 2008.

358.On entend par déformation excessive l’existence d’une déformation rémanente significative après la suppression du chargement. Le seuil de chargement correspondant à la déformation excessive est celui pour lequel il y a une brusque augmentation de la cinétique de variation d’une dimension caractéristique de l’équipement pour une certaine augmentation du chargement appliqué, c’est-à-dire pour lequel apparaît une plastification généralisée de la paroi. Lorsque le chargement augmente au-delà du seuil de déformation excessive, différents effets antagonistes apparaissent, mais lorsque ce n’est plus le cas, l’équipement se déforme de façon instable ce qui peut conduire à sa « ruine ».

359.L’article 3.7 de l’arrêté du 7 février 2012 (« arrêté INB ») prescrit explicitement ces évaluations pour les conséquences potentielles, radiologiques ou non, des incidents et accidents. Le guide ASN n° 22 traitant de la conception des réacteurs à eau sous pression précise que les conséquences radiologiques des agressions internes et externes de référence qui conduit à des rejets radioactifs sont évaluées.

360.Les risques de bipasse de confinement dans les situations avec fusion du cœur sont abordés au chapitre 17.

361.Le retour d’expérience montre certaines contaminations de nappes phréatiques, notamment par du tritium ; mais elles ne résultent pas de conditions de fonctionnement ou d’agressions sur les installations concernées, mais d’inétanchéités.

362.Le lecteur pourra à cet égard se reporter à l’ouvrage « Les accidents de fusion des réacteurs nucléaires de puissance – État des connaissances », D. Jacquemain et al., Collection sciences et technique, IRSN/EDP Sciences, 2013, notamment au paragraphe 4.3.1.6.

363.Pour plus de précision sur cette notion, le lecteur pourra se reporter notamment à la publication 101a de la CIPR « Assessing Dose of the Representative Person for the Purpose of the Radiation Protection of the Public », Elsevier, 2006.

Chapitre 9

L’accident de perte
de réfrigérant primaire

Ce chapitre expose les phénomènes physiques et les hypothèses d’étude de l’accident de perte de réfrigérant primaire (APRP), accident qui résulte d’une brèche d’une tuyauterie du circuit primaire d’un réacteur à eau sous pression (circuit représenté sur la figure 9.1) et qui sert de base à la conception et au dimensionnement de parties essentielles d’un réacteur à eau sous pression, notamment les systèmes de sauvegarde (injection de sécurité [RIS] et aspersion d’eau dans l’enceinte de confinement364 [EAS]). C’est d’ailleurs cet accident qui a, dès les années 1970, fait l’objet de la majeure partie des premières recherches en sûreté nucléaire, ayant pour but de développer les connaissances et les logiciels de simulation permettant d’étudier cet accident.

Les brèches du circuit primaire interviennent également dans le dimensionnement de nombreux matériels et dispositifs qui peuvent subir les effets mécaniques des ruptures et doivent supporter ces effets sans entraîner une aggravation de l’accident ; il s’agit de :

–la chaudière elle-même (la cuve, ses structures internes, les autres tuyauteries et leurs dispositifs de supportage),

–les assemblages combustibles,

–l’enceinte de confinement et ses structures internes dont le puits de cuve et les casemates primaires contenant les équipements lourds du circuit primaire (pompes, générateurs de vapeur, pressuriseur).

Figure 9.1. Circuit primaire d’un réacteur à eau sous pression. Georges Goué/IRSN.

Les brèches retenues déterminent les besoins de qualification en ambiance dégradée de matériels implantés dans l’enceinte de confinement qui sont nécessaires pendant et après l’accident (qualification aux conditions accidentelles), tels que le RIS et l’EAS.

Dès l’origine de l’exploitation civile de l’énergie nucléaire aux États-Unis, avec le premier réacteur de puissance à eau sous pression construit par Westinghouse à la fin des années cinquante365, l’accident de perte de réfrigérant primaire a été postulé à titre d’« accident crédible maximal ». Cet accident était alors étudié pour évaluer les rejets et les conséquences radiologiques potentiels, à proximité de la centrale, de ruptures de gaines lors d’un tel accident, comme critère de choix d’un site d’implantation. De ces considérations, il reste le principe de conception qui requiert qu’un réacteur à eau sous pression résiste aux effets de l’APRP, assorti de règles et de critères.

La survenue d’une brèche dans une tuyauterie du circuit primaire entraîne une chute de la pression dans le circuit primaire ainsi qu’une perte d’eau de ce circuit.

La chute de pression engendre des chargements mécaniques importants sur les structures internes de la cuve et sur les assemblages combustibles qui doivent néanmoins conserver leurs fonctions pour garantir l’arrêt du réacteur par la chute des grappes absorbantes dans le cœur et la capacité de refroidissement du cœur en conservant leur géométrie.

L’eau perdue par la brèche peut également entraîner un dénoyage partiel ou total du cœur qui peut conduire à un endommagement des crayons combustibles, jusqu’à la perte d’étanchéité voire la rupture mécanique éventuelle d’un certain nombre d’entre eux. Cet endommagement doit rester limité afin, d’une part de ne pas mettre en cause la capacité de refroidissement du cœur, d’autre part de limiter les conséquences radiologiques de l’accident. Le déversement dans l’enceinte de confinement de l’eau du circuit primaire et d’une partie de celle du système d’injection de sécurité provoque, par vaporisation, une importante augmentation de la pression et de la température dans l’enceinte de confinement ; un certain nombre de matériels dans cette enceinte seront dès lors en « ambiance dégradée » qui est à prendre en considération dans leurs exigences de qualification.

Pour ces raisons, l’APRP a été pris en compte au stade de la conception des réacteurs à eau sous pression dans les études de dimensionnement ou de vérification du dimensionnement de certains équipements importants du réacteur, notamment les structures internes de la cuve et les assemblages combustibles, le système d’injection d’eau de sécurité (RIS) (dont les accumulateurs), l’enceinte de confinement du réacteur et le système d’aspersion d’eau dans cette enceinte (EAS). Les études correspondantes vont également déterminer la puissance linéique maximale admissible des crayons combustibles en chaque point du cœur en fonctionnement normal dont dépend la température maximale pouvant être atteinte par les gaines des crayons combustibles pendant l’accident.

Le déroulement et les conséquences d’un APRP sont directement liés à la localisation et à la taille de la brèche. Le spectre des brèches envisageables du circuit primaire s’étend des brèches compensables par le débit de charge du circuit de contrôle chimique et volumétrique (système RCV) jusqu’à la rupture d’une tuyauterie principale d’une boucle primaire, avec une séparation complète des deux parties et le double débattement des deux extrémités (brèche perpendiculaire à l’axe de la tuyauterie dite guillotine 2A, A étant la section de passage de la tuyauterie).

Les brèches en branche froide sont les plus pénalisantes en termes de risque de perte de la capacité de refroidissement du cœur. En effet, cette situation conduit à perdre partiellement par la brèche l’eau du système RIS injectée dans la branche froide de la boucle rompue sans contribuer à refroidir le cœur. En revanche, les brèches en branche chaude sont les plus pénalisantes pour la tenue de l’enceinte de confinement du réacteur compte tenu de la température élevée du fluide sortant par la brèche, d’où il résulte des pressions plus élevées.

Dès la conception des premiers réacteurs à eau sous pression du parc électronucléaire français, un spectre de brèches allant jusqu’à la brèche 2A a été systématiquement postulé pour étudier certaines conséquences de l’APRP (études de thermohydraulique : capacité de refroidissement du cœur, tenue de l’enceinte de confinement, conséquences radiologiques) ; d’autres conséquences (tenue mécanique des structures internes de cuve et des assemblages combustibles) n’étaient en revanche étudiées que pour des brèches à débattement limité. En effet, dans tous les réacteurs du parc électronucléaire jusqu’au palier de 1 450 MWe (N4), des dispositifs antidébattement visant à limiter les débattements de tuyauterie en cas de brèche ou en cas de séisme ont été installés et pris en considération dans les études de mécanique. Onze localisations conventionnelles de rupture d’une tuyauterie du circuit primaire ont été considérées dans les études de mécanique. De manière conventionnelle, ces ruptures sont toutes supposées être quasi instantanées (ouverture en une milliseconde). L’une d’elles est longitudinale, les autres sont dites guillotines (c’est-à-dire perpendiculaires à l’axe de la tuyauterie). Pour la rupture postulée à la sortie d’une pompe primaire, où il n’y a pas de dispositif antidébattement, la rigidité de la branche froide est prise en considération dans les études, ce qui conduit à limiter la section de la brèche correspondante.

Cette approche est issue de la licence américaine, le choix des brèches ayant été fait selon des critères de mécanique, en recherchant les zones les plus sollicitées du circuit primaire. Quelques aspects de la démarche américaine sont évoqués au paragraphe 9.2.1.

Un nouveau « référentiel » d’étude366 de l’APRP a été défini en France en 2010-2014, afin notamment de mettre en cohérence les spectres de brèches retenus dans les études de mécanique et dans les études de thermohydraulique (les mêmes brèches sont désormais étudiées), et de tenir compte des phénomènes mis en évidence par les études et les travaux de recherche et développement relatifs à ce type d’accident. Dans ce cadre, Électricité de France a proposé une nouvelle méthode d’étude de l’APRP qui est précisée au paragraphe 9.2.2 ; cette nouvelle méthode permet de prendre en compte des phénomènes physiques relatifs au comportement du combustible non considérés auparavant.

Le réacteur EPR Flamanville 3 se distingue des réacteurs français précédents par l’application du concept d’exclusion de rupture aux tuyauteries du circuit primaire principal367, sous réserve qu’elles bénéficient d’une conception spécifique et de contrôles adaptés. Dans ces conditions, seule la rupture des piquages des lignes les plus importantes connectées au circuit primaire est étudiée dans le cadre des études d’APRP du domaine de dimensionnement (ou de référence). L’application de l’exclusion de rupture conduit à ce que les tuyauteries de ce circuit soient dépourvues de dispositifs antidébattement.

9.1.Aspects à court et moyen terme d’un APRP

L’objectif de ce paragraphe est de décrire les conséquences à court et moyen termes d’un APRP pour la chaudière, les assemblages et les crayons combustibles, ainsi que pour l’enceinte de confinement.

Le déroulement et les conséquences d’un tel accident sont directement liés à la localisation et à la taille de la brèche.

Comme cela a été indiqué plus haut, pour l’étude de thermohydraulique, le spectre de brèches envisageables du circuit primaire s’étend des brèches compensables par le débit de charge du circuit RCV jusqu’à la rupture complète d’une tuyauterie principale, dite 2A.

Les transitoires d’APRP sont consécutifs à des brèches postulées sur la tuyauterie primaire principale de diamètre compris entre 1 et 14 pouces pour les « brèches intermédiaires » (BI) et supérieurs à 14 pouces pour les « grosses brèches » (GB). La taille de brèche maximale correspond à la rupture guillotine doublement débattue d’une tuyauterie primaire :

Localisation

Branche froide

Branche en U

Branche chaude

Diamètre Ø (pouce)

27,5

31

29

Aire 2 x A (cm2)

7 664

9 739

8 522

Il a été indiqué plus haut que, pour les études de la tenue mécanique des structures internes de la cuve et des assemblages combustibles, seules des brèches à débattement limité ont été considérées ; le diamètre de la plus grosse brèche retenue est alors de 16 pouces (au lieu de près de 30 pouces sans prise en compte des dispositifs antidébattement).

Les « brèches intermédiaires » (de diamètre équivalent supérieur à 1 pouce) et les « grosses brèches » sont étudiées en tant que conditions de fonctionnement de quatrième catégorie.

L’effort initial en termes d’études a porté sur les grosses brèches. C’est après l’accident de la centrale nucléaire de Three Mile Island que l’intérêt s’est porté sur l’étude des brèches intermédiaires.

9.1.1.Effets mécaniques sur les structures internes de la cuve
et sur les structures des assemblages combustibles

Pour les brèches de taille suffisamment grande, la pression à la brèche diminue quasi instantanément pour atteindre la pression de saturation locale. Cette décompression locale de 50 à 80 bars d’amplitude se propage dans le circuit primaire à la vitesse du son dans l’eau (de l’ordre de 1 000 m/s) sous la forme d’une onde de décompression qui accélère progressivement l’écoulement du fluide primaire vers la brèche.

Pour une brèche située en branche froide, l’arrivée du front d’onde dans la cuve provoque une dépression asymétrique dans le collecteur annulaire d’entrée dans la cuve qui induit des efforts latéraux très importants sur l’enveloppe du cœur et sur la paroi interne de la cuve. En se propageant à l’intérieur de la cuve, vers le cœur, les variations de pression et de débit associées à l’onde de décompression induisent des variations très rapides et alternées des efforts hydrauliques verticaux sur les structures internes de la cuve et sur les assemblages combustibles, ainsi que des efforts dus aux différences de pression s’exerçant sur la plaque support supérieure et sur le cloisonnement du cœur (voir la figure 9.2). Ces deux structures étant pourvues d’orifices calibrés qui permettent de limiter le débit de contournement du cœur, les régions qu’elles délimitent se décompriment de ce fait plus lentement que le circuit principal.

En cas de brèche située en branche chaude, l’onde de décompression pénètre dans la cuve d’abord par le collecteur de sortie de la cuve délimité par la plaque supérieure du cœur ainsi que par la plaque support supérieure équipée des guides des grappes, ces plaques étant reliées par des colonnes entretoises (voir la figure 9.2). Les tubes guides des grappes et les colonnes sont alors soumis à des efforts horizontaux qui les sollicitent au flambage368. L’onde se propage ensuite du haut vers le bas du cœur puis vers le collecteur annulaire, en entraînant des variations des efforts verticaux sur les assemblages combustibles et sur les structures internes de la cuve. Une onde arrive également dans la cuve par la branche froide de la boucle rompue : elle conduit à des effets qualitativement similaires à ceux d’une brèche en branche froide, mais « lissés » en raison des nombreuses superpositions d’ondes transmises et réfléchies le long de la boucle primaire à la traversée des gros composants du circuit primaire.

Ainsi, les conséquences de l’ouverture d’une brèche sur les efforts hydrauliques diffèrent en amplitude et en direction par rapport à l’écoulement initial, selon la localisation de la rupture.

Les structures internes de la cuve « répondent » dynamiquement à la variation dans le temps des efforts hydrauliques appliqués. En particulier, les mouvements horizontaux des plaques inférieure et supérieure du cœur sollicitent les assemblages combustibles qu’elles maintiennent par l’intermédiaire de pions. Ces mouvements peuvent entraîner un impact de grilles d’assemblages entre elles et de grilles périphériques sur le cloisonnement du cœur avec un risque de flambage qui pourrait remettre en cause la géométrie du cœur et entraver la circulation du fluide primaire à travers le cœur. Compte tenu de la variation des efforts verticaux sur les assemblages combustibles, il convient également de vérifier la permanence de leur maintien vertical.

Figure 9.2. Équipements internes d’une cuve de réacteur à eau sous pression. Georges Goué/Médiathèque IRSN.

Ces différents effets font l’objet des études de comportement mécanique des structures internes de la cuve et des assemblages combustibles visant à démontrer leur tenue en APRP.

9.1.2.Aspects thermohydrauliques et comportement
des crayons combustibles

La thermohydraulique en cas d’APRP et le comportement des crayons combustibles dépendent de la taille de la brèche. Les descriptions qui suivent distinguent les spécificités liées aux grosses brèches et aux brèches intermédiaires, qui sont schématiquement représentées sur la figure 9.3. Comme cela a été indiqué plus haut, la très grande majorité des travaux de recherche et développement sur le comportement du combustible en cas d’APRP369 ont été d’abord ciblés sur les grosses brèches.

Figure 9.3. Comportement des crayons des assemblages combustibles lors d’un APRP, selon la taille de la brèche du circuit primaire, mis en regard des différentes phases thermohydrauliques. IRSN.

9.1.2.1.APRP de type « grosse brèche »

Ce type de transitoire est rapide, il dure de l’ordre de 200 s ; il conduit à une brusque chute de la pression du fluide dans le circuit primaire et à un dénoyage total du cœur.

Du point de vue thermohydraulique, le scénario de cet accident peut être décomposé en trois phases, à savoir la dépressurisation et la vidange totale, le remplissage du fond de cuve et le renoyage du cœur.

Dès l’ouverture de la brèche, supposée quasi instantanée, le circuit primaire se vide rapidement dans l’enceinte de confinement, ce qui entraîne l’arrêt automatique du réacteur (AAR) puis le démarrage du système RIS du fait de l’atteinte d’un seuil de très basse pression dans le pressuriseur. Lorsque la pression dans le circuit primaire devient inférieure à 40 bars (après environ 20 s), les accumulateurs, qui sont des réservoirs d’eau borée sous pression d’azote, injectent de façon passive de l’eau dans la cuve. En fin de dépressurisation, c’est une pompe à basse pression du RIS qui prend le relais pour assurer l’injection d’eau.

Malgré l’arrêt de la production de neutrons par « effet de vide » (lié au modérateur neutronique que constitue l’eau du circuit primaire – voir le paragraphe 5.2) et la chute des grappes absorbantes, les crayons des assemblages combustibles continuent à dégager de la puissance (puissance résiduelle). Dans la mesure où le cœur n’est parcouru que par de la vapeur, les échanges thermiques entre les gaines et le fluide sont très faibles. La température des gaines des crayons s’accroît très rapidement pour atteindre des valeurs supérieures à 700 °C.

En raison de la dépressurisation du circuit primaire, la pression interne des crayons peut se trouver supérieure à la pression dans le circuit primaire. Sous l’action conjuguée de l’augmentation de la température des gaines (au rythme de 1 à 30 °C/s) et de la différence de pression entre l’intérieur et l’extérieur des crayons, celles-ci peuvent se déformer par ballonnement (ou gonflement) jusqu’à leur éventuel éclatement.

En cas d’éclatement d’une gaine, des fragments de combustible peuvent s’accumuler dans la zone ballonnée et éclatée du crayon. Ce phénomène, dit de relocalisation de combustible, modifie significativement la puissance locale générée au niveau de la zone ballonnée et éclatée des crayons et tend à augmenter localement leur température.

Enfin, le ballonnement et l’éclatement de crayons conduisent au bouchage partiel des canaux hydrauliques d’assemblages combustibles. Ce bouchage peut, sous certaines conditions (notamment l’étendue axiale du bouchage) mettre en cause la capacité de refroidissement du cœur par limitation de la circulation du fluide.

Du point de vue physico-chimique, les alliages à base de zirconium s’oxydent rapidement en présence de vapeur d’eau à haute température, en produisant de l’hydrogène. La réaction d’oxydation est exothermique et sa cinétique est une fonction exponentielle de la température. L’expression « oxydation transitoire » est utilisée pour désigner ce phénomène, ce qui le différencie de l’oxydation qui se produit lors du fonctionnement normal du réacteur.

Pour les crayons éclatés, la vapeur d’eau qui pénètre à l’intérieur des crayons s’enrichit en hydrogène au fur et à mesure de l’oxydation de leurs gaines. L’hydrogène ainsi libéré est absorbé de façon importante par la face interne des gaines ; ce phénomène est appelé hydruration secondaire et fragilise ces dernières.

Sous l’effet du choc thermique lié à la phase de renoyage (caractérisée par des cinétiques de refroidissement comprises entre 10 et 100 °C/s), les crayons, fragilisés lors de l’« oxydation transitoire », sont soumis à des contraintes thermiques importantes, qui peuvent conduire à leur rupture, voire à leur fragmentation. À ces contraintes thermiques de trempe peuvent s’ajouter des chargements mécaniques additionnels résultant notamment d’un blocage des crayons dans les grilles.

À la fin du transitoire, le cœur est refroidi et la température des gaines est de l’ordre de 135 °C (température proche de celle du fluide à saturation dans le circuit primaire sous une pression de quelques bars).

9.1.2.2.APRP de type « brèche intermédiaire »

Ce type de transitoire est plus lent que l’APRP « grosse brèche » (il dure de quelques minutes à 30 minutes, selon notamment la taille de la brèche et les hypothèses faites sur le fonctionnement des groupes motopompes primaires – GMPP). Le dénoyage du cœur, en phase diphasique (liquide et vapeur), est plus ou moins profond.

Pour les petites tailles de brèches intermédiaires (de diamètres inférieures à 4 pouces), la puissance résiduelle est majoritairement évacuée par les générateurs de vapeur ; la pression dans le circuit primaire se stabilise alors à une valeur légèrement supérieure à la pression dans le circuit secondaire, fixée par les organes de décharge de ce circuit (environ 80 bars). Pour les tailles de brèches intermédiaires de diamètres supérieures à 8 pouces, la puissance résiduelle libérée par le combustible est évacuée par la brèche, d’où une chute plus rapide de la pression dans le circuit primaire, qui va atteindre assez rapidement quelques bars.

Les brèches intermédiaires provoquent des phénomènes thermohydrauliques sensiblement différents de ceux qui sont induits par les grosses brèches puisque la source froide (les générateurs de vapeur) conserve un rôle important dans l’évacuation de l’énergie résiduelle. Du fait des faibles vitesses d’écoulement, des phénomènes importants de stratification sont observés entre le liquide et la vapeur. Le scénario de l’accident peut être décomposé en trois grandes phases : la dépressurisation monophasique liquide, la réduction de l’inventaire en eau et le remplissage du circuit primaire par l’injection de l’eau des accumulateurs et du RIS.

Plus la taille de brèche est importante et plus le déroulement de l’accident se rapproche de celui d’un APRP « grosse brèche » (en particulier pour les brèches d’un diamètre supérieur à 10 pouces).

De plus, un APRP « brèche intermédiaire » peut conduire à la formation et à l’accumulation, dans certaines parties du circuit primaire, d’eau faiblement borée par condensation de la vapeur dans les tubes des générateurs de vapeur. Les procédures accidentelles demandant dans cette situation à l’opérateur de démarrer un refroidissement par les générateurs de vapeur, il peut alors en résulter une reprise de la circulation naturelle dans le circuit primaire et un transfert de « bouchons » d’eau faiblement borée vers le cœur. Cela présente un risque d’excursion de puissance et de divergence incontrôlée du réacteur. Ce phénomène est souvent désigné par dilution inhérente à l’APRP, qui fait l’objet d’une étude spécifique.

Si les phénomènes physiques intervenant lors d’un APRP « brèche intermédiaire » sont de même nature que ceux d’un APRP « grosse brèche », le comportement des crayons des assemblages combustibles est différent. En APRP « brèche intermédiaire », les cinétiques d’augmentation de température et de refroidissement sont plus lentes (environ une dizaine de °C/s) qu’en APRP « grosse brèche ». De plus, en APRP « brèche intermédiaire », l’oxydation transitoire s’opère à plus haute pression (entre 20 et 40 bars) qu’en APRP « grosse brèche ».

La température maximale des crayons n’est pas nécessairement une fonction monotone de la taille de la brèche. En effet, la taille et la localisation de la brèche ainsi que les hypothèses d’étude retenues ont une influence sur le comportement thermohydraulique calculé du réacteur et donc sur la température maximale de gaine.

9.1.3.Effets sur l’enceinte de confinement du réacteur
et sur ses structures internes

Le déversement dans l’enceinte de confinement de l’eau du circuit primaire et d’une partie de l’eau du circuit d’injection de sécurité ayant (ou non) refroidi le combustible et les structures provoque, par vaporisation, une importante augmentation de la pression et de la température dans le bâtiment du réacteur.

Les conséquences de l’APRP interviennent donc dans le dimensionnement de l’enceinte de confinement et de ses propres structures internes, ainsi que pour la détermination des profils de pression et de température à retenir pour la qualification des équipements nécessaires en conditions accidentelles (voir le paragraphe 7.4.3).

Les structures internes de l’enceinte sont constituées par des planchers et des voiles en béton armé qui séparent les boucles primaires les unes des autres et qui font office de protections biologiques. Ces structures forment des compartiments ou casemates contenant les gros composants du circuit primaire qui sont ancrés dans les parois de ces casemates ; en particulier, la cuve est suspendue dans le puits de cuve cylindrique par l’intermédiaire d’un anneau support ancré dans son rebord.

Le fluide primaire relâché par la brèche se déversant dans les compartiments les plus proches de la rupture, leurs parois sont soumises à court terme à des différences de pression entre compartiments contigus et à l’impact du jet d’eau et de vapeur issu de la brèche. Les efforts hydrauliques internes au circuit primaire transmis aux supports des composants doivent être « repris » au niveau des ancrages dans ces parois. De plus, la rupture d’une boucle primaire ne doit pas conduire à une aggravation de cette rupture, ni à la rupture d’une autre boucle (non-aggravation de l’accident).

Dans le cas particulier d’une rupture au ras d’une tubulure d’entrée ou de sortie de la cuve, le puits de cuve est mis transitoirement sous pression de façon asymétrique, ce qui crée des efforts latéraux sur la paroi externe de la cuve. La cuve subit également un effort vertical compte tenu du fait que la pression dans le puits de cuve augmente plus rapidement que la pression dans le reste de l’enceinte qui s’exerce sur le couvercle de la cuve. Ces efforts, combinés aux efforts hydrauliques de décompression et aux efforts mécaniques transmis à la cuve par les structures internes inférieures et par les assemblages combustibles s’appliquent in fine aux supportages de la cuve.

Concernant l’enceinte de confinement, un premier pic de pression est atteint à la fin de la dépressurisation du circuit primaire. L’énergie absorbée par la condensation de la vapeur d’eau sur les parois conduit ensuite à une diminution de la pression et de la température dans l’enceinte de confinement. Selon la taille de la brèche considérée et son emplacement dans le circuit primaire, la cinétique de l’accident et ses conséquences en termes de pression et de températures peuvent différer. Ainsi pour une grosse brèche en branche froide, la production de vapeur due au remouillage des crayons combustibles peut faire remonter la pression et la température et conduire à un second pic de pression de moindre amplitude que le premier.

Pour les réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe (N4), la mise en service de l’aspersion dans l’enceinte de confinement (EAS) intervient automatiquement quand la pression dans l’enceinte dépasse un seuil. Après sa mise en service, la température et la pression dans l’enceinte de confinement baissent de manière quasi continue. Dans le cas du réacteur EPR, l’aspersion n’intervenant pas en cas d’APRP, la robustesse du génie civil et le volume important de l’enceinte permettent aux structures de génie civil de résister aux chargements thermomécaniques résultant d’un APRP (ruptures de piquages).

L’enceinte de confinement subit donc non seulement un ou deux pics de pression interne, mais aussi des contraintes d’origine thermique qui se développent plus lentement suivant la progression du front de température dans l’épaisseur du béton.

9.1.4.Aspect à long terme

L’énergie présente dans le cœur du réacteur (puissance résiduelle), dans l’eau de refroidissement et les structures du circuit primaire au moment de l’accident est évacuée dans l’enceinte de confinement sous la forme d’eau chaude et de vapeur d’eau à une pression de quelques bars. Dans cette configuration, le refroidissement du cœur est assuré par le système d’injection de sécurité et celui de l’enceinte de confinement par le système d’aspersion. Ces deux systèmes sont d’abord alimentés de manière directe par la réserve d’eau prévue à cet effet (bâche du système PTR). Lorsqu’elle est vide, ils sont connectés (par un automatisme) aux puisards de l’enceinte de confinement dans lesquels l’eau s’est déversée par la brèche, et fonctionnent ainsi en « recirculation ». Le fluide récupéré dans les puisards est réinjecté dans le cœur par le système d’injection de sécurité et est refroidi par des échangeurs de chaleur avant d’être pulvérisé dans l’enceinte de confinement par le système d’aspersion.

La durée de la phase de recirculation peut être très longue, des mois, voire des années.

Lors de la phase à long terme d’un APRP, un autre effet de la brèche doit être considéré lors de la conception : la brèche conduit à la production de débris qui vont être entraînés vers les puisards (éléments calorifuges de structures fibreuse et microporeuse entourant les tuyauteries, résidus de peinture…). La recirculation de l’eau peut être perturbée par ces débris. Ils peuvent conduire non seulement au colmatage des prises d’eau et des filtres au sein des puisards (en créant dans ces derniers des « lits » de débris fibreux), mais aussi à l’endommagement des pompes situées en aval de ces filtres, par cavitation (pompes des systèmes RIS et EAS). L’entraînement de débris dans la recirculation d’eau peut quant à lui conduire à la dégradation du refroidissement au niveau des échangeurs de chaleur associés au système EAS, à une obstruction des buses des rampes d’aspersion d’eau dans l’enceinte de confinement, au bouchage de canaux de refroidissement dans des assemblages combustibles.

Les risques d’entrave à la recirculation d’eau de refroidissement par colmatage des filtres des puisards des réacteurs à eau ont été identifiés dès les années 1970, dans une optique de prévention. Ils ont tout particulièrement fait l’objet du Regulatory Guide RG 1.82 diffusé en 1974 par l’U.S.NRC. Toutefois, au début des années 1990, plusieurs incidents se sont produits dans des réacteurs à eau bouillante (centrales de Barsebäck en Suède, de Perry et de Limerick aux États-Unis), qui ont soulevé de nouvelles questions concernant le risque de colmatage des filtres, notamment sur les quantités de débris susceptibles d’être produites en cas de brèche d’une tuyauterie d’eau sous pression.

Les études, recherches et développements engagés ont conduit à une importante réduction des revêtements calorifuges fibreux MICROTHERM®370 dans l’ensemble du parc électronucléaire (modification réalisée de 2011 à 2018) et à l’installation de nouveaux filtres (de différents constructeurs) dans les puisards, de plus grandes surfaces filtrantes (modification réalisée de 2005 à 2009) – voir les paragraphes 29.2.2.3 et 18.2.4 pour ce qui concerne le réacteur EPR. Des travaux de recherche et développement ont été menés et se poursuivent sur ces sujets371. En 2014, l’Autorité de sûreté nucléaire a demandé à Électricité de France de traiter l’ensemble des questions encore non résolues concernant le refroidissement du cœur en mode de recirculation pour les quatrièmes visites décennales des réacteurs de 900 MWe, en tenant compte de l’état réel des installations (types de calorifuges présents…) et des connaissances issues des travaux de recherche et développement. Outre les risques évoqués ci-dessus, les effets chimiques pouvant être induits par la présence d’acide borique, de soude et de composés dissous provenant des débris sur les risques de colmatage non seulement au niveau des filtres des puisards mais aussi au sein des assemblages combustibles sont encore à explorer.

D’autre part, la phase à long terme d’un APRP comporte deux autres risques liés au bore. En effet, l’eau du circuit primaire et l’eau de la bâche PTR contiennent du bore, sous forme d’acide borique. Or l’acide borique n’est pas entraîné à la brèche par la vapeur produite dans le cœur du réacteur et sa solubilité est limitée. Il y a donc un risque de concentration progressive du bore dans le cœur pouvant in fine provoquer sa cristallisation, ce qui bloquerait la circulation de liquide dans les canaux de refroidissement des assemblages combustibles. Ainsi, lorsque l’injection de sécurité fonctionne en mode de recirculation, la concentration de bore tend à diminuer dans l’eau des puisards qui recueillent le fluide rejeté à la brèche (la vapeur ne contenant pas de bore) et à augmenter dans le cœur. Cela induit un risque de retour en criticité dans le cœur si la concentration de bore dans l’eau injectée dans le cœur, issue des puisards, vient à être trop faible.

En cas de brèche en branche chaude d’une boucle du circuit primaire, l’eau de l’injection de sécurité passe d’abord par le cœur et le débit du mélange d’eau et de vapeur sortant par la brèche emporte du bore dans l’eau liquide, évitant ainsi les risques de baisse de la concentration de bore dans l’eau des puisards et d’augmentation de la concentration de bore dans l’eau du circuit primaire. Au contraire, en cas de brèche en branche froide, l’eau de l’injection de sécurité est, pour partie, directement rejetée à la brèche et, pour partie, vaporisée après avoir traversé le cœur. Puis elle passe dans les générateurs de vapeur et les pompes primaires avant de sortir par la brèche (en partie) avec une faible concentration de bore. C’est donc dans le cas des brèches en branche froide que les risques de cristallisation de bore dans la cuve et de baisse de la concentration de bore dans les puisards sont avérés.

Pour éviter ces phénomènes pénalisants en cas de brèche en branche froide, il est prévu que l’opérateur établisse372 une injection d’eau de sécurité simultanée par les branches chaudes et par les branches froides afin de diluer le bore dans le cœur tout en continuant à évacuer la puissance résiduelle.

Enfin, l’enceinte de confinement pourrait être à long terme soumise à une surpression due à l’explosion d’un mélange d’hydrogène et d’oxygène. En effet, de l’oxygène est présent dans l’air de l’enceinte et de l’hydrogène se libère à partir des sources suivantes :

–l’hydrogène dissout en faible quantité dans l’eau du circuit primaire en fonctionnement normal pour « neutraliser » la radiolyse de l’eau dans le cœur du réacteur,

–la réaction entre le zirconium et l’eau pendant l’accident,

–la radiolyse de l’eau dans les puisards, due aux rayonnements des produits radioactifs qu’elle contient après l’accident.

Dans les conditions de cet accident de dimensionnement ou de référence, le risque de déflagration est lié à la concentration d’hydrogène importante qui peut être induite par la radiolyse dans les puisards. Ce risque est cependant évité grâce aux recombineurs passifs d’hydrogène dont les réacteurs ont été équipés (à l’égard d’accidents avec fusion du cœur : voir le paragraphe 17.5.4).

9.2.Démonstration de sûreté

9.2.1.Généralités et historique

De manière générale, dans les rapports de sûreté des réacteurs à eau sous pression du parc électronucléaire français, sont indiqués, pour chaque condition de fonctionnement de dimensionnement, les objectifs à atteindre (capacité de refroidissement du cœur) et leur déclinaison en exigences de sûreté relatives aux phénomènes physiques redoutés. Le respect de ces exigences est ensuite assuré par la vérification de critères techniques d’acceptation, qui sont des paramètres calculables et représentatifs au mieux des phénomènes physiques redoutés.

En France, le référentiel d’étude373 relatif à l’APRP a été longtemps directement inspiré de la règlementation américaine élaborée dans les années 1970, les premiers réacteurs du parc ayant été construits sous licence Westinghouse. Le référentiel américain est précisé dans le Code of Federal Regulations 10 CFR 50.46. Ce référentiel définit notamment la taille maximale de brèche à retenir pour dimensionner le système d’injection de sécurité : la brèche de taille maximale, dite brèche de référence, est une brèche guillotine doublement débattue (2A)374, de localisation quelconque sur les tuyauteries principales du circuit primaire. Au début des années 1980, l’U.S.NRC a mené une réflexion sur l’utilisation possible d’une démarche permettant in fine de s’affranchir de l’étude des effets dynamiques induits par des ruptures de tuyauteries sur des structures et équipements, connue sous l’appellation de fuite avant (risque de) rupture (Leak Before Break – LBB). Cette réflexion a conduit à la publication, en 1984, du document NUREG-1061, Vol. 3 concernant le recours à la démarche de fuite avant (risque de) rupture, et à inscrire dans le Code of Federal Regulations 10 CFR Part 50375 que « Les effets dynamiques associés aux ruptures de tuyauterie […] peuvent être exclus de la base de conception lorsque des analyses examinées et approuvées par la Commission démontrent que la probabilité de rupture de la tuyauterie de fluide est extrêmement faible dans des conditions conformes à la conception de base de la tuyauterie ». Cette possibilité n’a pas été adoptée en France, compte tenu notamment des incertitudes inhérentes à cette démarche376.

À l’égard de la première barrière de confinement, l’U.S.NRC a défini des critères (10 CFR 50.46, Appendix K) sur la base de l’état des connaissances des années 1970 relatives au matériau de gainage (Zircaloy-4) à l’état non irradié ou faiblement irradié. Ces critères visent à satisfaire les exigences de maintien de la capacité de refroidissement du cœur et d’une ductilité résiduelle des gaines des crayons combustibles en fin de transitoire et doivent permettre de limiter la quantité d’hydrogène produite à l’égard du risque d’explosion dans l’enceinte de confinement. Ils ont été formulés de la manière suivante :

–la température de gaine ne doit pas dépasser 2 200 °F (1 204 °C) ;

–le taux d’oxydation de la gaine lors du transitoire ou ECR (Equivalent Cladding Reacted) ne doit pas dépasser 17 % de l’épaisseur de la gaine ;

–la quantité totale d’hydrogène créé par l’oxydation des gaines ne doit pas excéder 1 % de la quantité qui correspondrait à l’oxydation de la masse totale des gaines ;

–les modifications de géométrie du cœur377 ne doivent pas empêcher son refroidissement ;

–l’évacuation de la puissance du cœur à long terme doit rester assurée en toutes circonstances.

Dans un accident de perte de réfrigérant primaire, la capacité de refroidissement du cœur dépend non seulement de la capacité des systèmes de sauvegarde à injecter suffisamment d’eau pour refroidir le combustible (aspect thermohydraulique), mais aussi de la tenue fonctionnelle des structures internes de la cuve et des assemblages combustibles (aspect mécanique).

Si, comme cela a déjà été indiqué plus haut, les études de thermohydraulique ont été, pour les tranches de 900 MWe, 1 300 MWe et 1 450 MWe, réalisées pour toutes les tailles de brèche (jusqu’à la brèche 2A) et pour toutes les positions possibles de ces brèches, les analyses de mécanique n’ont été réalisées que pour des brèches « conventionnelles à débattement limité ». Celles-ci sont situées à des positions spécifiques tenant compte de la conception mécanique des tuyauteries (soudures, coudes, piquages) et dont la taille dépend de la présence des dispositifs antidébattement. Il est aussi rappelé que le temps considéré pour l’ouverture de la brèche est une hypothèse prépondérante des études mécaniques et que, depuis la conception des tranches du parc, il a été conventionnellement fixé à une milliseconde.

Depuis la conception des réacteurs à eau sous pression, les études d’APRP retiennent de plus des hypothèses pessimistes, conformément aux règles d’étude des conditions de fonctionnement de dimensionnement (ou de référence) et sur une méthode de calcul de nature déterministe : cette méthode repose sur l’utilisation d’un logiciel de simulation scientifique réaliste378 et sur une « pénalisation » des paramètres dominants.

9.2.2.Assemblages et crayons combustibles, structures internes de la cuve, composants du circuit primaire

Les critères visant la première barrière de confinement (la gaine des crayons combustibles), issus du règlement américain 10 CFR 50.46, Appendix K, ont été précisés au paragraphe 9.2.1.

Depuis l’époque de la définition des hypothèses de calcul et des critères techniques d’acceptation précités, les conditions d’exploitation des réacteurs et les combustibles qu’ils utilisent ont évolué : augmentation des taux de combustion, nouveaux matériaux pour les gaines des crayons combustibles, gestions du combustible plus contraignantes pour celui-ci. Par ailleurs, le comportement du combustible dans les conditions d’un APRP a fait l’objet de nombreux programmes de recherche et développement menés par les exploitants et les instituts de recherche, parmi lesquels l’IRSN, qui se poursuivent encore aujourd’hui. Ces programmes ont permis de mieux caractériser le comportement du combustible en cas d’APRP et notamment la relocalisation de combustible entraînée par le ballonnement et la rupture des gaines par éclatement ainsi que la tenue des gaines aux sollicitations qu’elles subissent pendant et après l’accident. Pour les combustibles fortement irradiés, il a été observé, dans certaines conditions, une dissémination de particules de combustible hors du crayon après son éclatement (dispersion de combustible). Les résultats de ces nombreuses expérimentations servent à améliorer la capacité des modèles des logiciels à simuler les transitoires de type APRP.

Depuis les années 2000, l’U.S.NRC a engagé une refonte majeure de la règlementation, en particulier une révision des critères portant sur la température de gaine et sur le taux d’oxydation en accident d’APRP ; ces démarches ne sont pas achevées.

En France, comme cela a été indiqué dans l’introduction du présent chapitre, il est également apparu pertinent de s’interroger sur l’intérêt de faire évoluer le référentiel d’étude relatif à l’APRP utilisé pour les études de conception des réacteurs à eau sous pression, y compris le réacteur EPR (Flamanville 3). Les différentes évolutions, proposées par Électricité de France ont fait l’objet de deux examens par le Groupe permanent d’experts pour les réacteurs nucléaires, en 2010 puis en 2014. Ce nouveau référentiel est appliqué pour la première fois dans le cadre des études de réévaluation de sûreté associées aux quatrièmes visites décennales des réacteurs du palier 900 MWe et ses principales évolutions sont présentées dans les paragraphes qui suivent.

9.2.2.1.Tenue mécanique des structures internes de la cuve,
des structures des assemblages combustibles
et des composants du circuit primaire

La démonstration de sûreté relative à la tenue mécanique des structures internes de la cuve, qui supportent le cœur et canalisent le fluide réfrigérant, ainsi qu’à celle des assemblages combustibles repose sur des études de mécanique, visant à l’insertion des grappes absorbantes dans le cœur et le maintien d’une géométrie du faisceau des crayons permettant d’en extraire la puissance résiduelle. À cette fin, il est nécessaire de démontrer que :

–les efforts hydrauliques qui s’exercent sur les structures internes de la cuve ne mettent pas en péril la stabilité, l’intégrité ou la fonction de ces structures ;

–les efforts hydrauliques qui s’exercent sur les assemblages combustibles, notamment leurs grilles, ne mettent pas en cause leur tenue fonctionnelle. Cela implique notamment de démontrer la tenue au flambage des grilles ; cette démonstration doit être apportée pour une situation conventionnelle de cumul des effets de l’APRP avec un chargement sismique.

Les critères à retenir pour la tenue mécanique sont ceux du RCC-M, auxquels s’ajoutent, pour ce qui concerne les exigences fonctionnelles de la capacité de refroidissement du cœur et de la chute des grappes absorbantes, des limites en termes de déformation maximale des composants concernés ainsi que, pour la structure des assemblages combustibles, une limite en termes d’effort latéral qui ne doit pas dépasser la limite de flambage des grilles irradiées.

La démonstration du maintien de la capacité de refroidissement du cœur par la circulation du fluide dans le circuit primaire requiert aussi l’étude du comportement des autres composants du circuit primaire (pompes, pressuriseur, générateurs de vapeur). Pour les générateurs de vapeur, l’intégrité du faisceau tubulaire ainsi que celle de la plaque de partition de la boîte à eau soumis aux efforts de décompression doit être étudiée pour l’APRP « grosse brèche ». En effet, il est nécessaire de démontrer que la rupture postulée ne peut pas entraîner une aggravation de l’accident et donc un risque accru pour le refroidissement du cœur. De même, pour les pompes primaires, l’accélération du fluide vers la brèche peut entraîner une survitesse du rotor qui doit rester limitée afin d’éviter une perte d’intégrité du volant d’inertie.

Comme cela a été indiqué dans l’introduction du présent chapitre, dans le nouveau référentiel d’étude français, le même spectre de brèches est désormais retenu aussi bien pour les études de thermohydraulique que pour les études de mécanique. Ce spectre correspond à des brèches guillotines conventionnelles à débattement limité et une brèche longitudinale, dont la taille maximale est estimée à l’aide de modèles de mécanique. En outre, le temps d’ouverture de la brèche est déduit d’un calcul de dynamique d’ouverture qui tient compte de la raideur de la boucle primaire et de la présence des dispositifs antidébattement sur la boucle. Pour majorer la taille des brèches, des conditions d’exploitation en prolongation de cycle sont considérées car elles sont plus pénalisantes du fait de l’augmentation des jeux entre composants et dispositifs anti-débattement associés. Les effets du vieillissement sont également pris en compte dans l’évaluation de la réponse dynamique des structures concernées.

Cependant, dans le cadre du nouveau référentiel d’étude de l’APRP, des études sont réalisées avec des hypothèses réalistes, pour la rupture guillotine doublement débattue d’une tuyauterie du circuit primaire, au titre d’une « analyse de robustesse »379.

9.2.2.2.Comportement du combustible

Dans les années 2000, le référentiel d’étude français s’était écarté du référentiel américain d’origine – dont les critères relatifs au combustible ont été rappelés plus haut. L’exigence de sûreté initiale de maintien d’une ductilité résiduelle des gaines à la fin du transitoire, fondée sur des essais d’écrasement d’éprouvettes en forme d’anneaux, a évolué vers une exigence de la tenue des gaines à la trempe, fondée sur des essais réalisés sur des tronçons de gaine oxydés à haute température subissant un choc thermique (froid) de trempe. Cette évolution n’a pas mis en cause les critères originels de température maximale de gaine et de taux maximal d’oxydation ; toutefois, le taux d’oxydation est désormais calculé en sommant l’oxydation liée au fonctionnement normal du réacteur et l’oxydation transitoire due à l’accident.

Puis, à la suite des évolutions des connaissances sur le comportement du combustible en cas d’APRP, le nouveau référentiel d’étude retenu comporte, comme il a été indiqué plus haut, une exigence de tenue structurelle des gaines à la trempe avec application d’une force axiale, fondée sur des essais à caractère intégral simulant l’ensemble d’un transitoire d’APRP. Électricité de France a adopté un nouveau critère de sûreté en termes de taux d’oxydation transitoire variant en fonction de la teneur en hydrogène des gaines au moment de l’accident – le critère de 1 204 °C pour la température maximale de gaine reste inchangé.

En outre, les effets défavorables, sur les températures maximales des gaines, du gonflement et de l’éclatement des gaines ainsi que de la relocalisation du combustible sont désormais à prendre en compte dans la démonstration de sûreté. En 2014, dans l’optique des nouvelles études de réévaluation de la sûreté associée aux quatrièmes visites décennales des réacteurs de 900 MWe, Électricité de France a proposé une nouvelle méthode d’étude pour l’APRP afin de prendre en compte l’évolution des connaissances sur le comportement du combustible. Cette nouvelle méthode présente plusieurs évolutions majeures par rapport à la méthode déterministe utilisée jusqu’alors y compris pour le réacteur EPR (Flamanville 3). Tout d’abord, Électricité de France a proposé un traitement statistique des paramètres d’entrée associés aux conditions initiales et aux conditions aux limites ainsi que des paramètres des modèles physiques du logiciel CATHARE (ce logiciel est présenté au chapitre 40). De plus, la modélisation de la cuve avec le logiciel CATHARE a évolué, passant à une modélisation multidimensionnelle afin de mieux simuler les écoulements dans le cœur et la zone annulaire de la cuve. Enfin, des modèles physiques spécifiques ont été introduits dans ce logiciel afin de prendre en compte les phénomènes physiques liés au comportement du combustible, non ou mal modélisés jusqu’à présent, tels que le ballonnement et l’éclatement des gaines et ses conséquences en termes de bouchage des canaux hydrauliques et de contact entre les crayons, ainsi que la relocalisation du combustible en cas d’éclatement de gaine.

Les études transmises par Électricité de France dans le cadre du quatrième réexamen périodique des tranches de 900 MWe ont montré une possible activation des mécanismes redoutés évoqués ci-dessus, qui pourrait in fine mettre en cause le respect du critère de 1 204 °C (critère visant uniquement les risques liés à la trempe des crayons fragilisés par l’oxydation à haute température lors de l’arrivée d’eau en provenance du système RIS). Des modifications matérielles et d’exploitation permettant d’éviter ce risque d’activation de mécanismes redoutés (abaissement de la pression interne initiale dans les crayons, abaissement de la pression de remplissage des accumulateurs du système RIS, restriction partielle du domaine de fonctionnement…) sont prévues par Électricité de France.

Enfin, compte tenu des caractéristiques des gestions de combustible actuellement mises en œuvre dans les réacteurs en exploitation en France et des taux de combustion maximaux autorisés (sujets développés dans le chapitre 28), Électricité de France a apporté en 2014 des éléments visant à montrer que le risque de dispersion de combustible après l’éclatement de gaines pouvait être écarté.

9.2.3.Enceinte de confinement et équipements
situés dans cette enceinte

L’accident de perte de réfrigérant primaire est une condition de fonctionnement à considérer pour ce qui concerne les pressions et températures pouvant être atteintes dans l’enceinte de confinement. L’étude des pressions et des températures accidentelles dans l’enceinte détermine :

–les conditions enveloppes de pression subies par l’enceinte,

–les conditions enveloppes de pression et de température subies par les matériels dont la disponibilité est requise en situation post-accidentelle (profil dit « K1 » − voir le paragraphe 7.4.3) ;

–la température maximale de l’eau dans les puisards pour le dimensionnement des circuits de sauvegarde RIS et EAS.

Bien qu’il s’agisse du même accident, certaines hypothèses particulières diffèrent de celles qui ont été retenues plus haut, de manière à majorer les conséquences pour l’enceinte.

Dans le cas du réacteur EPR (Flamanville 3), les brèches correspondant à la rupture de piquages sont prises en compte pour établir les conditions ambiantes à long terme auxquelles les matériels présents dans l’enceinte de confinement doivent résister.

364.Hormis pour le réacteur EPR, qui dispose d’un système d’aspersion (EVU) utilisable uniquement pour les situations avec fusion du cœur.

365.Réacteur à eau sous pression de Shippingport, mis en service en 1957.

366.Ensemble constitué des hypothèses, des règles et critères, des méthodes d’étude.

367.Ce concept est aussi appliqué aux tuyauteries du circuit secondaire principal.

368.Le flambage ou flambement est un phénomène d’instabilité d’une structure élastique qui pour échapper à une charge importante, « exploite » un mode de déformation non sollicité mais opposant moins de raideur à la charge. La structure, soumise à un effort de compression dans un axe, aura tendance à fléchir et à se déformer dans une direction perpendiculaire à l’axe de compression.

369.À cet égard, le lecteur pourra aussi consulter l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017, chapitre 3.

370.Ce type de revêtement calorifuge conduit, en cas de destruction, à l’entraînement de particules de très petites dimensions (de l’ordre du micromètre). Toutefois, il est à noter que, pour conserver la même performance d’isolation thermique, les nouveaux revêtements calorifuges installés généreraient une quantité plus importante de fibres, bien que de dimensions plus grandes. Par ailleurs, EDF a engagé le remplacement progressif de revêtements calorifuges en laine de verre par d’autres de caractéristiques différentes.

371.Il s’agit notamment, pour Électricité de France, d’essais de qualification des nouveaux filtres des puisards, des essais de qualification des peintures en conditions accidentelles, des essais réalisés avec la boucle CEMETE pour étudier les transferts de débris entre l’amont et l’aval des filtres, y compris les effets chimiques dans les filtres, d’essais de colmatage d’assemblages combustibles (au niveau des embouts et des grilles) dans une boucle expérimentale d’Areva (Framatome) à Erlangen en Allemagne… Les essais menés par l’IRSN, notamment avec la boucle VIKTORIA en Slovaquie, sont succinctement évoqués au paragraphe 39.2. Le lecteur pourra aussi consulter l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017, chapitre 5.

372.Les études permettent de définir quand l’opérateur établit cette injection simultanée, généralement quatre à six heures après l’enclenchement de l’IS.

373.Ensemble constitué des hypothèses, des règles et critères, des méthodes d’étude.

374.Voir « Appendix K to Part 50 – ECCS Evaluation Models ».

375.« Appendix A, General Design Criteria 4 ».

376.Tout particulièrement l’incertitude qui affecte les modèles visant à déterminer un débit de fuite à partir des dimensions (supposées) d’un défaut traversant. Comme cela a été indiqué au début du présent chapitre, pour l’EPR, le concepteur a retenu d’utiliser le concept d’exclusion de rupture, plus global, fondé sur un haut niveau de prévention d’une perte d’intégrité des circuits auxquels ce concept est appliqué (uniquement le CPP et le CSP).

377.Il s’agit notamment du gonflement des gaines sous l’effet de la pression interne dans les crayons.

378.Un logiciel de simulation est dit réaliste lorsqu’il vise à reproduire le plus fidèlement possible les phénomènes physiques mis en jeu lors du transitoire étudié.

379.Cela suppose implicitement la défaillance des dispositifs antidébattement.

Chapitre 10

Un point particulier :
les tubes des générateurs de vapeur

Il a été indiqué au paragraphe 6.3 que la succession de trois barrières de confinement entre les produits radioactifs issus des fissions dans le combustible du cœur d’un réacteur à eau sous pression et l’environnement comportait un point singulier très important : les tubes des générateurs de vapeur ; ces derniers constituent en effet une partie de l’enveloppe du fluide primaire puisque l’eau de refroidissement du cœur y circule.

La troisième barrière, interposée entre l’enveloppe du fluide primaire et l’environnement, n’est donc pas ici l’enceinte de confinement, mais est constituée des enveloppes des lignes du circuit secondaires, aux très larges dimensions puisqu’elles comportent les collecteurs de vapeur (sortie des générateurs de vapeur) et même, en aval, les turbines du groupe turboalternateur. On peut cependant considérer que, en cas de difficulté (fuite de tube, brèche…), le circuit secondaire est limité aux parties comprises entre les générateurs de vapeur et les vannes principales d’arrêt de la vapeur de chacune des lignes.

Les enveloppes sous pression de ces lignes secondaires sont protégées contre d’éventuelles surpressions par des soupapes qui rejettent directement le fluide dans l’atmosphère (voir la figure 10.1). Les lignes secondaires sont également dotés d’un système de contournement de la vapeur vers l’atmosphère (GCT-a), équipé de vannes réglantes ; le seuil d’ouverture de ces vannes est calé de 5 à 10 bars (selon le type de réacteurs) en dessous du seuil d’ouverture des soupapes de protection. Ce système est utile quand la turbine ou son condenseur (système GCT-c) deviennent soudainement indisponibles ; l’évacuation de l’énergie présente et de la puissance résiduelle se fait alors par relâchement de vapeur dans l’atmosphère. Il sert également au démarrage du réacteur, grâce aux vannes réglantes, quand la puissance produite est insuffisante pour alimenter la turbine. Compte tenu des volumes de vapeur rejetés à ces occasions, l’exploitant n’a pas envisagé d’effectuer les décharges correspondantes dans des capacités fermées.

Figure 10.1. Vannes de décharge et soupapes des lignes de vapeur (MA désigne les mesures d’activité radioactive du fluide). Georges Goué/IRSN.

Les réacteurs de 900 MWe et de 1 300 MWe sont équipés d’un GCT-a par générateur de vapeur. Ceux du palier N4 sont équipés de deux GCT-a par générateur de vapeur. Le réacteur EPR est équipé d’une vanne de décharge à l’atmosphère (VDA, équivalente au GCT-a) par générateur de vapeur.

Le circuit primaire étant à une pression de 155 bars dans les conditions normales de fonctionnement, il suffit qu’une brèche suffisamment importante affecte l’un des tubes des générateurs de vapeur pour que les transferts d’eau et de pression provoquent l’ouverture des vannes de décharge et des soupapes de sûreté de la ligne secondaire affectée. Il n’y a plus alors de « barrière » entre le fluide primaire et l’environnement.

Les tubes des générateurs de vapeur, dont la surface totale représente plus de 15 000 m2 par réacteur et dont l’épaisseur est faible, d’environ 1 mm, constituent donc bien, à eux seuls, les deuxième et troisième barrières de confinement au sens où elles sont généralement décrites. De fait, il n’y a ici que deux barrières de confinement.

La rupture d’un tube de générateur de vapeur (désignée par l’acronyme RTGV) a été prise en compte lors de la conception des réacteurs à eau sous pression français, et la liste des conditions de fonctionnement des premières tranches plaçait cet accident en quatrième catégorie, soit avec une fréquence estimée de la rupture inférieure ou égale à 10-4 par an et par réacteur.

Toutefois, l’expérience mondiale a montré l’existence de dégradations et d’incidents qui ne confortaient pas ce classement. De nombreuses causes de dégradations de tubes de générateurs de vapeur ont en effet été identifiées en plus de quarante années d’exploitation : fissuration due à un phénomène de corrosion sous contrainte, instabilité vibratoire, présence de corps migrants, contraintes résiduelles de fabrication… Le tableau 10.1 présente les principales ruptures ou fuites importantes de tubes de générateurs de vapeur observées dans des réacteurs à eau sous pression d’un type proche de celui des réacteurs français380. Toutes ces fuites ou ruptures n’ont conduit qu’à des conséquences extrêmement limitées dans l’environnement des centrales concernées.

En 1993 (date de l’incident de Palo Verde 2), ce type de réacteurs cumulait une expérience d’environ 2 500 années de fonctionnement dans le monde. La fréquence constatée de fuite importante était donc d’environ 4.10-3 par tranche et par an, nettement plus élevée que la fréquence maximale retenue pour les événements initiateurs des conditions de fonctionnement de quatrième catégorie.

Le reclassement en troisième catégorie de conditions de fonctionnement de l’accident de rupture d’un tube de générateur de vapeur est une modification qui a été introduite dans la liste des conditions de fonctionnement retenue pour la conception des réacteurs du palier standard de 1 450 MWe (N4). Un tel reclassement n’est pas sans conséquences pour l’exploitant : plus un accident est considéré comme probable, plus les conséquences radiologiques tolérables doivent être limitées, ce qui peut impliquer des contraintes d’exploitation plus strictes et des évolutions technologiques des tranches.

Tableau 10.1. Principales fuites et ruptures de tube de générateurs de vapeur.

Pays

Réacteur

Puissance

Date
de l’événement

Débit maximal
de fuite en m3/h

États-Unis

Point Beach 1

500 MWe

26/02/1975

30

États-Unis

Surry 2

800 MWe

15/09/1976

75

Belgique

Doel 2

400 MWe

25/07/1979

35

États-Unis

Prairie Island 1

500 MWe

02/10/1979

90

États-Unis

Ginna 1

500 MWe

25/01/1982

175

États-Unis

North Anna 1

940 MWe

15/07/1987

145

États-Unis

North Anna 1

940 MWe

25/02/1989

15

États-Unis

Mac Guire 1

1 200 MWe

07/03/1989

120

Japon

Mihama 2

470 MWe

09/02/1991

155

États-Unis

Palo Verde 2

1 300 MWe

14/03/1993

80

Belgique

Tihange 3

1 054 MWe

02/07/1996

40

États-Unis

Indian Point 2

1 000 MWe

15/02/2000

34

Corée du sud

Ulchin 4

1 000 MWe

05/04/2002

30

De plus, le Service central de sûreté des installations nucléaires (SCSIN) a considéré qu’il était nécessaire de maintenir en quatrième catégorie de conditions de fonctionnement un accident enveloppe de RTGV en supposant la sollicitation puis le blocage en position ouverte d’une soupape du générateur de vapeur concerné381. Électricité de France a pris en compte cette demande pour les réacteurs de 900 MWe et de 1 300 MWe. Pour les réacteurs du palier N4 et pour le réacteur EPR, de conceptions plus récentes, compte tenu du doublement du GCT-a pour les réacteurs du palier N4 et de la conception de l’injection de sécurité et de l’ASG du réacteur EPR382, la rupture de deux tubes d’un générateur de vapeur a été retenue comme événement initiateur d’un accident de quatrième catégorie.

Bien qu’il n’ait pas été observé de fuite importante et de rupture de tube de générateur de vapeur sur le parc français de centrales électronucléaires, les défauts constatés sur ces tubes et l’impossibilité d’éliminer totalement le risque de corps migrants ne permettent pas de retenir, a priori, une situation plus favorable que celle du retour d’expérience mondial.

L’étude des scénarios de RTGV est présentée dans les paragraphes suivants. Elle vise notamment à montrer que la mise en œuvre d’une conduite appropriée permet l’annulation de la fuite (équilibrage des pressions primaire et secondaire), dans le but de réduire autant que possible les rejets dans l’atmosphère.

10.1.Rupture d’un tube de générateur de vapeur étudiée en tant que condition de fonctionnement
de troisième catégorie

Il est intéressant de décrire brièvement le déroulement des événements intervenant en cas de rupture complète383 d’un tube de générateur de vapeur, si les opérateurs laissaient l’installation évoluer sous la seule influence des automatismes. Cette description relative à une tranche de 900 MWe a un caractère conservatif dans la mesure où ces réacteurs sont de conception ancienne et moins robuste à ce type d’accident en comparaison des paliers les plus récents.

Phase avant l’intervention humaine

À l’instant initial, le réacteur est supposé en fonctionnement à 100 % de sa puissance nominale. Compte tenu de l’écart de pression entre le circuit primaire et le circuit secondaire, la rupture complète d’un tube de générateur de vapeur provoque le transfert de 45 kg d’eau primaire par seconde vers le circuit secondaire au début du transitoire.

Cette eau est plus ou moins contaminée par des produits radioactifs résultant des fissions, relâchés dans l’eau du circuit primaire par les défauts d’étanchéité des gaines du combustible (outre l’azote 16 produit par l’effet du rayonnement neutronique sur l’oxygène contenu dans l’eau).

Dans le circuit primaire, la pression baisse et entraîne d’abord l’arrêt automatique du réacteur et le déclenchement de la turbine sur un signal de basse pression dans le circuit primaire, à 130 bars. Dans un deuxième temps, le passage en dessous de 120 bars conduit à la mise en service automatique de l’injection de sécurité et le démarrage de l’ASG.

En parallèle, la pression dans tous les générateurs de vapeur augmente rapidement jusqu’aux environs de 71 bars, pression minimale d’ouverture des vannes de décharge à l’atmosphère. La pression est alors stabilisée en déchargeant de la vapeur dans l’atmosphère.

Le débit d’injection de sécurité et le débit d’eau sortant par la brèche s’équilibrent naturellement pour atteindre un « point de fonctionnement » où l’injection d’eau de sécurité compense l’eau perdue par la brèche. Ce débit d’eau est alors d’environ 25 kg par seconde (90 m3/h).

En moins d’une demi-heure, le générateur de vapeur, puis sa ligne de vapeur, se remplissent d’eau. Les vannes de décharge à l’atmosphère relâchent de l’eau liquide et non plus de la vapeur, ce qui accroît les conséquences radiologiques dans l’environnement du fait de la plus grande rétention de produits radioactifs dans l’eau liquide.

Les assemblages combustibles étant correctement refroidis pendant cette phase (le cœur restant noyé), il n’y a pas de rupture de gaine et l’eau du circuit primaire rejetée progressivement dans l’environnement reste au taux de contamination initial de l’eau du circuit primaire, avant l’accident.

Si la situation se prolongeait sans intervention humaine, la totalité de l’eau du réservoir utilisé pour l’injection de sécurité serait transférée dans le circuit primaire, puis dans le circuit secondaire, puis dans l’environnement. En effet, contrairement au cas d’une brèche du circuit primaire, l’eau perdue par la brèche ne va pas dans les puisards de l’enceinte de confinement et ne peut donc pas être réinjectée dans le circuit primaire.

À terme, en l’absence d’appoint d’eau dans le circuit primaire, les assemblages combustibles seraient dénoyés au bout d’une vingtaine d’heures, provoquant la rupture des gaines des crayons combustibles et le transfert des produits de fission volatils dans l’environnement, situation aux conséquences évidemment beaucoup plus graves.

Conduite par les opérateurs

Pour éviter une telle situation, il est nécessaire que les opérateurs interviennent pour isoler le générateur de vapeur affecté (avec l’arrêt de l’ASG de ce générateur de vapeur) et diminuer la pression dans le circuit primaire en commençant par arrêter l’injection de sécurité (qui maintenait la pression dans le circuit primaire en équilibre avec la brèche). En effet, dès que l’ASG est isolée et que la pression dans le circuit primaire devient égale ou inférieure à celle correspondant à l’ouverture de la vanne de décharge du GCT-a du générateur de vapeur affecté, celle-ci peut se refermer et il n’y a alors plus de transfert d’eau, ni de relâchement de produits radioactifs dans l’atmosphère.

Les procédures de conduite incidentelle et accidentelle ont été mises au point pour optimiser le traitement par les opérateurs de l’accident de RTGV. Elles sont disponibles en salle de commande et les opérateurs sont particulièrement formés à la conduite lors de cet accident. Pour le scénario de RTGV présenté, l’opérateur « entre » en procédures de conduite incidentelle-accidentelle à la suite de l’arrêt automatique du réacteur. Le premier document parcouru par l’opérateur est le document d’orientation et de stabilisation (DOS) dont l’objectif est de réaliser un diagnostic de l’état du réacteur et d’orienter vers la stratégie adaptée. En cas de RTGV, la détection d’activité radiologique dans un générateur de vapeur oriente vers la procédure dite ECP3, qui permet le traitement de ce type d’accidents (voir à cet égard les éléments présentés au chapitre 33 sur l’approche par états).

La conduite prescrite dans la procédure ECP3 vise à limiter les transferts d’eau du circuit primaire vers le circuit secondaire, notamment par l’arrêt de l’injection de sécurité, suivi d’une baisse suffisamment rapide de la pression dans le circuit primaire jusqu’à la pression dans le générateur de vapeur accidenté. La conduite prescrite conduit également à limiter la montée du niveau de l’eau dans le générateur de vapeur affecté grâce au système de purges (APG). L’objectif premier de la conduite est d’éviter toute ouverture de soupape qui conduirait à des rejets d’eau liquide directement dans l’environnement. En effet, le taux de refus de refermeture d’une soupape devient élevé quand une soupape conçue pour relâcher de la vapeur est sollicitée par de l’eau liquide.

10.2.Prévention d’un accident de RTGV,
risques de ruptures multiples

Même si aucune rupture ou fuite importante de tube de générateur de vapeur ne s’est produite en France sur les tranches du parc électronucléaire, on comprend que, pour éviter ce type d’accident, le programme de contrôles non destructifs périodiques des tubes présente une importance particulière, même s’il est susceptible de prolonger la durée des arrêts de tranche et participe à la radio-exposition des personnels. Les défauts observés dans les tubes conduisent, dans certains cas, à les boucher préventivement. Les différents types de défauts observés en France sont présentés au chapitre 26.

Il est à noter que le risque de voir s’étendre la rupture d’un tube à un ou plusieurs autres tubes voisins, eux-mêmes déjà affaiblis, ne doit pas être négligé. Des études paramétriques ont été menées pour apprécier le comportement de l’installation en cas de ruptures multiples en nombres croissants et en tenant compte de diverses défaillances complémentaires. Au-delà de la rupture de 5 à 10 tubes, la cinétique d’ensemble se modifie peu car la vitesse des transferts d’eau est limitée par la relation entre le débit de l’injection de sécurité et la capacité des organes de décharge des lignes secondaires, ce qui maintient l’ensemble du système à la pression d’ouverture des vannes de décharge dans l’atmosphère (71 bars pour les réacteurs de 900 MWe). En cas de ruptures multiples de tubes d’un générateur de vapeur, la conduite reste la même, l’objectif étant d’équilibrer les pressions entre le circuit primaire et le générateur de vapeur accidenté.

Pour diminuer le risque de rupture de tubes de générateur de vapeur (et aussi éviter une perte de rendement trop importante par le bouchage de plus de 15 % des tubes d’un générateur de vapeur), il est possible de changer totalement les générateurs de vapeur d’une tranche (voir la figure 10.2).

En 1990, pour la première fois sur un réacteur français, les trois générateurs de vapeur de la tranche 1 de la centrale nucléaire de Dampierre-en-Burly ont été changés. Cette première expérience sur un réacteur français a également permis de mieux programmer la même opération sur d’autres tranches ; en 2019, 28 des 34 tranches de 900 MWe ont vu leurs générateurs de vapeur remplacés et les opérations de remplacement de générateurs de vapeur des tranches de 1 300 MWe ont commencé en 2017384.

Figure 10.2. Remplacement d’un générateur de vapeur : passage d’un générateur de vapeur par le tampon d’accès des matériels (TAM). Jean-Marie Huron/Signatures/Médiathèque IRSN.

Par ailleurs, la prévention passe également par la détection des éventuelles fuites des tubes des générateurs de vapeur, même très faibles. Les systèmes de détection ont été améliorés pour permettre un diagnostic précoce par les opérateurs et limiter ainsi les évolutions possibles de ces fuites. Il s’agit, en particulier, de l’utilisation, lorsque le flux nucléaire est suffisamment important, de la détection de l’azote 16, élément de période radioactive très courte (de l’ordre de 7 secondes), qui est produit dans l’eau du circuit primaire lors de son passage dans le cœur par capture d’un neutron par l’oxygène 16 et émission d’un proton. Toute détection d’azote 16 dans l’eau du circuit secondaire est donc l’indice d’une fuite du circuit primaire vers le circuit secondaire. Grâce à l’énergie élevée du rayonnement γ caractéristique de la désintégration de l’azote 16 (10,4 MeV), la détection peut se faire en continu à travers les tuyauteries du circuit secondaire. L’activité détectée est exprimée directement en litres par heure sur les indicateurs en salle de commande. En cas de détection d’un débit de fuite, les opérateurs se réfèrent à la règle de fonctionnement dite à faible fuite (« R3F ») ; celle-ci ne permet de continuer l’exploitation de la tranche que pour de très faibles fuites, à la condition de mettre en place des contraintes d’exploitation proportionnées au débit de fuite et de prendre des mesures de surveillance renforcée si le débit dépasse un seuil ou évolue dans le temps. Pour des fuites plus importantes, le repli de la tranche est demandé dans des délais dépendant du débit de fuite ; les opérateurs peuvent être directement orientés vers les procédures de conduite incidentelle ou accidentelle.

En 2006, l’application de la « R3F » au réacteur n° 4 de la centrale nucléaire de Cruas a permis de détecter rapidement une fuite (d’environ 0,5 m3/h) et le réacteur a pu être arrêté par les opérateurs, sans aucun rejet significatif.

10.3.Rupture de tube(s) d’un générateur de vapeur étudiée en tant que condition de fonctionnement de quatrième catégorie

10.3.1.Réacteurs de 900 MWe et de 1 300 MWe

Les réacteurs de 900 MWe et de 1 300 MWe ne sont équipés que d’une seule ligne GTC-a par générateur de vapeur. Une éventuelle défaillance du système de décharge dans l’atmosphère (défaut d’ouverture à la sollicitation) entraînerait l’ouverture des soupapes, tarées à une pression plus élevée (d’environ 5 à 10 bars). En cas de RTGV, cette ouverture est redoutée, car le bon fonctionnement en eau liquide des soupapes n’est pas assuré (risque de non-refermeture). Un blocage en position ouverte d’une telle soupape, comme cela s’est produit en 1982 à la centrale nucléaire de Ginna aux États-Unis, conduirait à aggraver la situation car les opérateurs auraient à gérer une rupture de tube de générateur de vapeur avec une fuite non isolable de l’eau du circuit primaire dans l’atmosphère.

Comme cela a été indiqué plus haut, cette situation est prise en compte, pour les réacteurs de 900 MWe et de 1 300 MWe, comme condition de fonctionnement de quatrième catégorie. La seule parade dans cette situation est de dépressuriser les circuits primaire et secondaire jusqu’à 1 bar afin d’annuler le débit de transfert d’eau du circuit primaire vers le circuit secondaire d’une part, le débit de transfert du circuit secondaire vers l’atmosphère d’autre part.

10.3.2.Réacteurs de 1 450 MWe et EPR (Flamanville 3)

Les réacteurs de 1 450 MWe (palier N4) sont équipés de deux lignes GCT-a en parallèle pour chaque générateur de vapeur. Cette conception rend ces réacteurs robustes à une défaillance unique d’une vanne de GCT-a. Dans ces conditions, même en cas de blocage en position fermée d’une vanne de GCT-a, l’autre vanne permet d’écrêter la pression du générateur de vapeur affecté par une RTGV. Ainsi, les soupapes de ce générateur de vapeur ne sont pas sollicitées et ne risquent pas de rester bloquées en position ouverte. L’hypothèse du blocage d’une soupape en position ouverte étant ainsi exclue, la condition de fonctionnement de quatrième catégorie retenue pour le palier des réacteurs de 1 450 MWe est la rupture franche de deux tubes de générateur de vapeur, hypothèse qui entraîne un remplissage plus rapide du générateur de vapeur affecté et donc un risque de rejets plus importants que pour la condition de fonctionnement de troisième catégorie dans laquelle un seul tube est supposé rompu.

Le réacteur EPR a été conçu pour être particulièrement robuste à l’égard d’un accident de RTGV. L’objectif retenu lors de la phase de conception a été que la RTGV ne conduise à aucun rejet liquide. L’atteinte de cet objectif a été rendue possible en annulant les sources participant au remplissage du générateur de vapeur affecté par la brèche et à la montée en pression de celui-ci, à savoir l’alimentation de secours en eau des générateurs de vapeur et la brèche elle-même, par les dispositions suivantes :

–une pression maximale de refoulement de l’injection de sécurité inférieure à celle de la valeur de consigne d’ouverture des vannes de décharge à l’atmosphère (VDA) appliquée en cas de détection d’un niveau d’eau élevé dans un générateur de vapeur, et à celle de la valeur d’ouverture des soupapes du circuit secondaire,

–le non-démarrage de l’ASG en cas d’inventaire en eau suffisant dans un générateur de vapeur, ce qui conduit à limiter la montée du niveau d’eau dans le générateur de vapeur affecté.

De plus, le réacteur EPR a été conçu de façon à gérer de manière automatique l’accident de RTGV jusqu’à l’équilibre des pressions primaire et secondaire, notamment par la mise en place de deux automatismes :

–un refroidissement partiel automatique permettant la dépressurisation du circuit primaire pour rejoindre la plage de refoulement des pompes d’injection de sécurité à moyenne pression (ISMP),

–un isolement automatique du générateur de vapeur affecté permettant de le maintenir isolé à une pression supérieure à la pression maximale de refoulement de l’ISMP.

Pour le réacteur EPR, il n’existe qu’une ligne de décharge dans l’atmosphère (VDA) par générateur de vapeur. Toutefois, la sollicitation d’une soupape étant exclue, la condition de fonctionnement de quatrième catégorie est la rupture franche de deux tubes de générateur de vapeur, comme pour les réacteurs de 1 450 MWe.

Les résultats des études de RTGV de quatrième catégorie montrent que les rejets liquides dans l’environnement sont beaucoup plus faibles pour les réacteurs du palier N4 que pour les réacteurs de 900 MWe et de 1 300 MWe (avec sollicitation d’une soupape de sûreté) ; ceux du réacteur EPR sont nuls.

Cependant, si l’abaissement de la pression de refoulement du système d’injection de sécurité dans le cas du réacteur EPR permet bien de réduire les rejets d’un accident de RTGV, il n’est pas sans conséquences pour d’autres types d’accidents comme ceux de perte de réfrigérant primaire (APRP). En effet, plus la pression maximale de refoulement de l’injection de sécurité est faible, plus la compensation de la perte d’eau par la brèche intervient tardivement, ce qui augmente le risque de dénoyage du cœur. Une optimisation est donc recherchée.

10.4.Dispositions visant à limiter les conséquences radiologiques des accidents de RTGV

Les conséquences radiologiques d’un accident de RTGV dépendent de deux paramètres : la quantité de fluide (radioactif) relâché dans l’environnement et l’activité radiologique initiale de l’eau du circuit primaire.

Concernant les rejets dans l’environnement, l’intervention humaine est capitale (réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe) pour ce type d’accident qui nécessite de dépressuriser rapidement le circuit primaire à l’aide des générateurs de vapeur sains, afin d’atteindre dans un premier temps les critères autorisant l’arrêt de l’injection de sécurité (qui participe elle-même à maintenir le circuit primaire en pression). Dans un second temps, les opérateurs doivent annuler la différence de pression entre les circuits primaire et secondaire pour annuler le débit de fuite. Aussi, le personnel de conduite reçoit une formation particulière sur la conduite dans le cas d’un tel accident, avec des recyclages fréquents, de façon à limiter les risques de rejets extérieurs significatifs. Mais, au-delà de cet aspect humain, c’est le blocage éventuel en position ouverte des soupapes de sûreté du circuit secondaire qui est l’élément décisif pour l’évolution du scénario et de ses conséquences.

Pour limiter les conséquences dans l’environnement, il convient que les rejets se fassent par les organes de décharge dans l’atmosphère, qui sont qualifiés pour fonctionner en eau liquide et qui sont isolables par une deuxième vanne en cas de défaillance de la vanne principale, et non par les soupapes de sûreté qui ne sont pas qualifiées en eau et ne sont pas isolables. Une autre solution consiste à chercher à éviter le débordement en eau385 du générateur de vapeur affecté en annulant le plus rapidement possible les sources de remplissage (point développé ci-après).

Plans d’actions « RTGV4 » mis en œuvre par Électricité de France
pour les réacteurs de 1 300 MWe

Dans le cadre de son programme de travail associé aux troisièmes visites décennales (VD3) des réacteurs de 1 300 MWe, Électricité de France a adopté un plan d’actions visant à réduire l’impact sur l’homme et sur l’environnement de l’accident de rupture de tube de générateur de vapeur de la quatrième catégorie de conditions de fonctionnement (« RTGV 4 »). Cet accident est en effet celui qui peut conduire aux conséquences radiologiques les plus élevées parmi les accidents sans fusion du cœur. Les actions visant à éviter le remplissage complet en eau du générateur de vapeur affecté comportent :

–une modification matérielle : il s’agit de l’isolement automatique du système d’alimentation de secours (ASG) du générateur de vapeur affecté en cas d’atteinte du seuil de niveau d’eau très haut dans le générateur de vapeur (THNGV), ce qui nécessite d’élaborer un signal THNGV spécifique pour chaque générateur de vapeur ;

–une évolution de conduite : il s’agit du prolongement du refroidissement rapide du circuit primaire pour atteindre plus rapidement le critère d’arrêt de l’injection de sécurité à moyenne pression (ISMP) en abaissant, d’environ 25 bars, le seuil de pression de refermeture des vannes de contournement de la turbine vers l’atmosphère (GCT-a). Plus l’arrêt de l’ISMP est précoce, plus tôt les opérateurs pourront commencer à dépressuriser le circuit primaire et ainsi diminuer la différence de pression entre ce dernier et le générateur de vapeur affecté avec au final une quasi annulation du débit d’eau sortant par la brèche.

Ces actions sont suffisamment efficaces pour empêcher le générateur de vapeur affecté de déborder386 lorsque le réacteur est initialement à basse puissance. Pour prendre en compte le cas d’un état initial à pleine puissance, Électricité de France a complété son plan par une autre modification matérielle, à savoir l’isolement complet et automatique du système d’alimentation (régulée) normale en eau des générateurs de vapeur (ARE) en cas de manque de tension externe (MDTE). Cette modification concourt à limiter le remplissage du générateur de vapeur affecté en cas de RTGV à pleine puissance.

D’après les simulations d’Électricité de France, ces modifications permettent de diminuer les rejets liquides dans l’atmosphère, calculés, par un facteur 16.

Quant aux réacteurs de 900 MWe, Électricité de France a commencé, à partir des troisièmes visites décennales de ces réacteurs, à apporter des évolutions matérielles comme l’isolement automatique du système ASG et l’arrêt automatique du système ARE afin de ralentir le remplissage du générateur de vapeur affecté. Cependant, ces modifications ne répondant pas aux exigences permettant de les qualifier en situation accidentelle, elles ne peuvent pas être utilisées dans les études de sûreté. Ainsi, des dispositions visant à diminuer significativement les rejets dans l’environnement restent attendues de la part d’Électricité de France pour les réacteurs de 900 MWe, dans le cadre de la réévaluation de sûreté associée à leurs quatrièmes visites décennales.

Pour les réacteurs de 1 450 MWe, une modification de la conduite similaire à celle qui a été adoptée pour les réacteurs de 1 300 MWe a été retenue ; cela permet de diviser par un facteur 2 les rejets d’eau en cas de RTGV.

Ajustement des spécifications radiochimiques du réfrigérant primaire

Un autre moyen de limiter les conséquences radiologiques d’un accident de RTGV est l’abaissement des seuils des spécifications radiochimiques de l’eau du circuit primaire, ou, en d’autres termes, l’activité maximale autorisée dans le circuit primaire. En effet, l’ampleur des conséquences radiologiques d’un accident de RTGV est liée non seulement à l’ampleur des rejets (essentiellement en phase liquide, les produits de fission présents dans cette phase étant supposés entièrement relâchés dans l’atmosphère), mais également au degré de contamination du circuit primaire (qui contamine le circuit secondaire via la brèche dans le tube de générateur de vapeur) par les produits de fission et les produits de corrosion. Ainsi, dès lors que la RTGV a été prise en compte comme une condition de fonctionnement de troisième catégorie, les seuils des spécifications radiochimiques ont été revus de manière drastique en 1987 (notamment le seuil d’arrêt du réacteur concernant l’équivalent en iode 131387). Les spécifications radiochimiques du fluide primaire ont ensuite fait l’objet d’évolutions successives, dans un sens plus contraignant et avec l’introduction de nouveaux indicateurs, du fait de la survenue de problèmes particuliers ; les indicateurs utilisés pour la surveillance de l’activité radiologique du fluide primaire et les évolutions des seuils associés sont présentés au paragraphe 28.1.

En 2009, Électricité de France a fait part à l’Autorité de sûreté nucléaire de son objectif d’étendre la durée de fonctionnement des réacteurs en exploitation au-delà de 40 ans (voir le paragraphe 30.5). En 2010, l’Autorité de sûreté nucléaire a considéré que les études de réévaluation faites en vue de cette extension de la durée de fonctionnement des réacteurs du parc électronucléaire devraient être conduites pour réduire autant que raisonnablement possible les conséquences radiologiques des accidents et tendre vers les objectifs de sûreté applicables aux nouveaux réacteurs, tels que ceux qui ont été retenus pour le réacteur EPR ou ceux qui ont été formulés par l’association WENRA pour les nouveaux réacteurs.

D’ores et déjà, en 2018, Électricité de France a indiqué qu’il prévoyait d’abaisser le seuil d’arrêt des réacteurs de 900 MWe en équivalent d’iode 131 en transitoire de puissance (« pic d’iode ») dans l’eau du circuit primaire388.

380.Peut également être mentionnée, bien que d’un débit significativement plus faible (10 L/h), la fuite qui a affecté à la fin de l’année 2012 un tube d’un générateur de vapeur du réacteur San Onofre 3 aux États-Unis (réacteur de 1 180 MWe). Elle a mis en évidence des difficultés de réalisation des générateurs de vapeur qui ont in fine conduit à la mise à l’arrêt définitif de ce réacteur.

381.Dans les années 1990, des essais avaient notamment montré le caractère sensible de ce type de soupapes à l’état du fluide qui les traverse (vapeur ou eau). Ils avaient mis en évidence les limites d’emploi de celles-ci qui, de par leur conception, ne présentaient un fonctionnement stable qu’au passage d’un fluide proche de la saturation.

382.Le GCT-a étant doublé dans les réacteurs du palier N4, il y a toujours un GCT-a qui est supposé fonctionner en cas de RTGV, ce qui prévient le risque de sollicitation des soupapes de sûreté du circuit secondaire. Dans le cas du réacteur EPR, la conception des systèmes empêche de remplir d’eau le générateur de vapeur affecté et de solliciter les soupapes du circuit secondaire ; en particulier, pour la conception du système d’injection de sécurité, une pression de refoulement plus faible que celle d’ouverture des soupapes du circuit secondaire a été retenue (voir le paragraphe 10.3.2).

383.Il s’agit d’une rupture guillotine de tube, doublement débattue.

384.Il est à noter qu’il ne s’agit pas de remplacements à l’identique (changement de matériaux…).

385.Il s’agit du remplissage du générateur de vapeur qui a pour conséquence des rejets en eau par les soupapes.

386.Il s’agit là encore du remplissage en eau du générateur de vapeur affecté qui fait qu’en cas de blocage du GCT-a les soupapes sont sollicitées en eau.

387.Cet indicateur (équivalent en 131I) permet de prendre en compte la radiotoxicité des différents isotopes de l’iode.

388.Disposition également proposée à l’ASN pour les réacteurs de 1 300 MWe.

Chapitre 11

Prise en compte des agressions :
considérations générales,
agressions d’origine interne

11.1.Considérations générales
sur la prise en compte des agressions

La licence américaine, qui a servi de base à la conception des chaudières nucléaires de 900 MWe, prévoyait la protection des installations contre un certain nombre de projectiles internes (tiges de vannes et soupapes, doigts de gant de capteurs, tiges de mécanismes de commande de grappe), et la prise en compte, pour le dimensionnement des équipements, d’un séisme caractéristique du site. La poursuite des réflexions sur les possibilités de défaillances, tant aux États-Unis qu’en Europe, a conduit à compléter progressivement la protection à l’égard des agressions d’origine interne et d’origine externe. L’étude des agressions n’a jamais pris la forme particulière propre aux conditions de fonctionnement avec leur division en catégories de fréquence estimée décroissante ; les conséquences d’une agression donnée doivent être, dans chaque cas, suffisamment limitées pour être considérées comme acceptables.

Certains phénomènes ou certains événements peuvent en effet être à l’origine de conditions hostiles et entraîner de manière directe ou indirecte des dommages à des équipements remettant en cause la sûreté d’un réacteur électronucléaire. On les dénomme agressions. Selon leur origine389, on distingue :

–les agressions d’origine interne (ou agressions internes) quand la source de l’agression se trouve à l’intérieur de l’installation ; il s’agit par exemple d’un incendie qui se déclare dans un local, d’une inondation survenant à la suite de la rupture d’un réservoir, de l’impact d’un tronçon de tuyauterie sur un matériel en cas de rupture de cette tuyauterie (agression résultant d’un phénomène communément désigné par fouettement de tuyauterie), d’une chute de charge (composant en cours de manutention par exemple) sur un matériel… ;

–les agressions d’origine externe (ou agressions externes) d’origine naturelle : c’est le cas des séismes, des crues d’un cours d’eau, de la rupture d’une digue voire d’un barrage en amont de l’installation, de températures élevées voire très élevées (canicule), de vents forts… ;

–les agressions d’origine externe associées à des activités humaines extérieures à l’installation, comme une explosion accidentelle de gaz à proximité de l’installation.

À l’instar des événements dont il est question dans les chapitres précédents et selon une démarche de défense en profondeur, des dispositions sont prises pour prévenir l’occurrence des agressions, mais leur survenue est toutefois postulée et d’autres dispositions sont prises pour en limiter les conséquences. Les dispositions de conception ou d’exploitation n’ont cependant qu’une influence bien évidemment très limitée sur l’occurrence d’une agression externe : le choix du site revêt alors une importance toute particulière.

La disponibilité des équipements d’un réacteur électronucléaire participant aux fonctions de sûreté ne doit pas être compromise lorsque survient une agression, compte tenu des règles d’étude associées et en dépit des effets directs ou indirects des agressions (voir par exemple le guide ASN n° 22), tout particulièrement :

–la maîtrise de la réactivité (incluant bien évidemment l’arrêt du réacteur390),

–l’évacuation de la puissance (résiduelle si le réacteur est mis à l’arrêt),

–le confinement des produits radioactifs.

En d’autres termes, un état sûr391 du réacteur doit être rejoint et maintenu après une agression, dans lequel les fonctions précitées pourront être durablement assurées.

À cette fin, les équipements participant aux fonctions de sûreté sont protégés contre les effets de l’agression :

–soit par des dispositions qui empêchent les effets de l’agression de les atteindre ; cela est par exemple le cas des équipements protégés par un « filet de protection » écartant les risques d’impact de projectiles en cas de vents violents, ou des équipements protégés par des structures pouvant résister à d’éventuelles chutes de charges… ;

–soit par une conception leur permettant de rester opérationnels même s’ils sont soumis à l’agression ; cela est par exemple le cas des équipements qui sont conçus et dimensionnés pour résister au séisme retenu dans les bases de conception du réacteur, voire à un séisme extrême392.

De façon générale, la prise en compte des risques liés aux agressions pour la conception d’un réacteur et la démonstration de sûreté associée comprend deux phases :

–la détermination des caractéristiques des agressions393 susceptibles de se produire sur chaque site : un niveau de référence est défini pour chaque agression prise en compte ;

–la mise en œuvre et la démonstration d’une protection appropriée à l’égard de chaque agression ainsi déterminée.

Pour certaines agressions (rupture de tuyauterie, projectiles internes…), une séparation géographique des équipements importants pour la sûreté peut être un moyen de protection de nature à éviter que des voies redondantes soient atteintes par l’agression. Pour d’autres agressions, particulièrement les agressions externes d’origine naturelle, des études particulières sont souvent nécessaires car les effets de ces agressions peuvent affecter des voies redondantes, voire l’ensemble des installations d’un site.

Concernant les agressions d’origine interne, les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » (appliquées au réacteur EPR) ont apporté des précisions et des compléments sur ce sujet, dans leur alinéa F.1.1 (« exigences générales ») :

« Les possibilités de défaillances de mode commun dues à des agressions internes peuvent être minimisées par l’installation des parties des trains des systèmes de sûreté qui sont en dehors du bâtiment de confinement dans des divisions conçues de telle sorte que même la perte totale d’une division due à une agression interne spécifique n’empêcherait pas l’accomplissement des trois fonctions de sûreté de base, en postulant une défaillance unique en cohérence avec les règles de la démonstration de sûreté appliquées aux transitoires, incidents et accidents de référence394. Des dispositions d’installation doivent être spécifiées par le concepteur pour les équipements redondants des systèmes de sûreté non séparés par la disposition en divisions.

De plus, la démonstration de sûreté doit être faite pour chaque agression interne en supposant que tous les équipements non protégés affectés sont perdus et en considérant un aggravant et les premières actions des opérateurs selon les mêmes règles que pour les transitoires, incidents et accidents de référence. En principe, les agressions internes qui ne résultent pas de tels transitoires, incidents et accidents de référence ne devraient pas induire une condition de fonctionnement de la tranche qui rentrerait dans les catégories des incidents ou des accidents. Dans le cas contraire, le concepteur doit montrer que cette condition de fonctionnement de la tranche est enveloppée en termes de probabilité et de conséquences par l’étude des incidents et accidents de référence et des conditions de fonctionnement avec défaillances multiples de référence.

Les relations entre les agressions internes (telles que les inondations résultant de ruptures de tuyauteries ou les incendies résultant d’explosions) doivent être considérés dans la démonstration de sûreté de même que les agressions internes qui pourraient résulter d’agressions externes ou d’accidents graves […]. »

Pour sa part, l’association WENRA a indiqué dans ses niveaux de référence (en janvier 2007 et dans les versions suivantes, alinéa 8.2) que « la défaillance unique la plus défavorable doit être prise en compte dans les analyses des événements de conception de base » (design basis events, notion qui, pour WENRA, englobe les agressions de toutes natures). Le guide ASN n° 22, diffusé en 2017, s’inscrit dans la même approche395. Une défaillance aggravante est dorénavant prise en compte dans les nouvelles études d’agressions, notamment dans le cadre des études associées aux quatrièmes visites décennales des réacteurs de 900 MWe.

La conception des protections à l’égard des agressions suit le plus souvent une approche fondée sur la définition et la prise en compte de « cas de charge »396 qui visent à ce que les équipements nécessaires pour l’accomplissement des fonctions de sûreté soient conçus et dimensionnés pour résister à l’agression et donc demeurer disponibles. Une analyse considérant l’agression comme un événement peut venir compléter cette approche : elle s’intéresse aux effets de l’agression sur l’ensemble de l’installation et permet de s’assurer que les matériels non protégés ou non conçus pour résister à l’agression ne sont pas susceptibles de rendre indisponibles les équipements dont la disponibilité est nécessaire. Ainsi, la chute d’un équipement non considéré comme important pour la sûreté en cas de séisme ne doit pas endommager un équipement conçu ou protégé pour résister au séisme. C’est la notion de « séisme événement » évoquée au paragraphe 8.4.3.

Lorsque l’agression peut entraîner des conséquences « fonctionnelles » telles que, par exemple, la « perte » des alimentations électriques externes ou de la source froide (colmatage des prises d’eau…), la mise en œuvre d’une approche événementielle de ce type permet de vérifier la disponibilité des matériels nécessaires pour gérer ce type de situation dans les conditions de l’agression considérée.

Enfin, tous les états initiaux d’un réacteur sont à considérer dans l’étude des agressions et notamment les états d’arrêt, de la même manière que pour l’étude des conditions de fonctionnement de dimensionnement ou de référence (voir à ce sujet le paragraphe 8.4.1)397.

La prise en compte des agressions internes dans la conception des réacteurs à eau sous pression est développée dans la suite du présent chapitre.

11.2.Projectiles susceptibles d’être émis
à l’intérieur de l’enceinte de confinement

Sont considérés comme projectiles possibles tous les équipements ou portions d’équipements susceptibles, à la suite d’une défaillance quelconque, d’être lancés ou projetés dans l’espace. Ainsi, les projectiles internes à l’îlot nucléaire peuvent avoir pour origine des éléments d’équipements sous pression, de machines tournantes ou des éléments émis de façon secondaire à la suite de l’impact d’un projectile. La chute d’objets lourds en cours de manutention est également examinée. Sont exclus les projectiles que pourraient constituer les tuyauteries ; les conditions et les effets des ruptures de tuyauteries sont analysés de manière particulière ; ces deux sujets sont traités plus loin (paragraphes 11.3 et 11.8).

La protection contre les projectiles internes à l’îlot nucléaire est définie de telle sorte que l’émission d’un projectile :

–ne compromette pas la disponibilité des fonctions de sûreté ;

–si elle engendre directement une perte de réfrigérant primaire :

•l’émission de projectile ne doit pas provoquer une perte d’étanchéité de la troisième barrière de confinement ;

•elle ne doit pas provoquer une fuite de fluide secondaire ;

–si elle engendre directement une perte de fluide secondaire, elle ne doit pas provoquer une perte de réfrigérant primaire.

Pour minimiser les risques de défaillances de mode commun des systèmes nécessaires pour rejoindre et maintenir un réacteur en état sûr, des dispositions de construction sont prises. Tous les appareils qui pourraient être à l’origine de projectiles sont implantés et orientés de telle sorte que les projectiles envisageables soient, autant que faire se peut, rapidement arrêtés par une structure de génie civil. Par ailleurs, dans la démarche de prise en compte des risques associée aux projectiles, il est considéré que les projectiles dont la probabilité d’impact sur les parties sensibles d’un réacteur (équipements importants pour la sûreté…) est faible ne sont pas à considérer de façon concomitante à d’autres événements indépendants de faible probabilité d’occurrence, tels qu’un séisme ou la rupture d’une tuyauterie du circuit primaire.

Pour illustrer cette démarche, les composants qui sont considérés comme des projectiles possibles à l’intérieur de l’enceinte de confinement sont les suivants :

–les bouchons de purge d’air situés à la partie supérieure des mécanismes de commande des grappes absorbantes,

–les tiges de commande des grappes,

–le chapeau, le servomoteur ou la tige de commande de certaines vannes,

–les sondes de température et les prises de pression,

–les chaufferettes du pressuriseur.

Les trajectoires possibles de ces projectiles sont étudiées et il faut vérifier qu’une « barrière » adaptée est capable d’interrompre chaque trajectoire avant l’atteinte d’un matériel sensible.

L’éjection du bouchon de purge d’air d’un mécanisme de grappe absorbante est étudiée de cette façon, mais entraîne par ailleurs un accident de réactivité étudié en tant que condition de fonctionnement de quatrième catégorie quant à ses conséquences pour le cœur et le circuit primaire.

La protection contre les projectiles précités est constituée par :

–des dalles antiprojectiles pour les bouchons de purge d’air situés à la partie supérieure des mécanismes de commande de grappes,

–le « casematage » des boucles primaires et des générateurs de vapeur pour ce qui concerne les autres projectiles.

A contrario, les volants des pompes primaires ne sont pas considérés comme des projectiles possibles ; en effet :

–la conception des volants et le choix des matériaux correspondants sont tels que, en situation normale, le risque de rupture brutale est extrêmement faible ;

–en cas de survitesse due à un accident, la vitesse qui entraînerait la rupture ductile du volant sous l’effet de l’augmentation des contraintes est supérieure à la vitesse maximale réellement atteinte au cours de l’accident.

Une surveillance en service de ces volants, destinée à détecter des amorces de fissuration dans les zones tourmentées, comme les fonds de gorges de clavettes, est effectuée périodiquement. Une rupture amorcée par défaut ne pourrait se produire en cas de survitesse que pour une taille de défaut très supérieure au seuil de détection des méthodes d’inspection en service mises en œuvre.

11.3.Effets des ruptures de tuyauteries

L’installation générale des systèmes doit être conçue de façon telle qu’un incident ou un événement initial fortuit ne se « propage » pas ou ne contribue pas à l’apparition d’un accident dont les conséquences pourraient être plus importantes que celles qui peuvent résulter de l’incident initial.

Les ruptures ou fissures de tuyauteries sont étudiées pour déterminer les dispositions de construction qui permettent d’en limiter les conséquences, avec une double préoccupation :

–la protection des équipements nécessaires pour amener et maintenir le réacteur dans un état sûr et limiter les conséquences radiologiques,

–l’absence d’aggravation de l’incident ou de l’accident initial, c’est-à-dire l’absence de propagation par exemple d’une partie à une autre d’un même circuit, ou d’un circuit à un autre circuit important pour la sûreté.

Outre la perte de la fonction du circuit rompu ou fissuré qui est considérée, les conséquences d’une rupture ou d’une fissure sont les suivantes :

–les effets de l’écoulement du fluide, éventuellement radioactif (jet, inondation, irradiation et contamination),

–les modifications des conditions atmosphériques locales (pression, température, humidité),

–les effets dynamiques de la tuyauterie rompue : fouettement (formation d’une « rotule plastique » au droit du premier obstacle rencontré par la tuyauterie) et incidence sur le caractère opérationnel des organes actifs supportés par la tuyauterie.

Les dispositions prises pour l’installation des systèmes en vue de limiter les conséquences d’une rupture sur les composants voisins sont :

–la séparation géographique (par une distance suffisante entre composants),

–sinon, la séparation physique (par des voiles ou des murs en béton),

–sinon, la mise en place de dispositifs anti-fouettement (cadres métalliques, butées, points fixes...).

Dans les études, il est généralement considéré que :

–les tuyauteries contenant ou véhiculant un fluide de haute énergie (THE ; pression de service supérieure à 20 bars ou température de service supérieure à 100 °C) peuvent se rompre avec fouettement ;

–les tuyauteries contenant ou véhiculant du fluide de moyenne ou basse énergie (TME ; pression de service inférieure à 20 bars ou température inférieure à 100 °C) peuvent se fissurer, sans fouettement possible ;

–le fouettement d’une tuyauterie contenant ou véhiculant un fluide de haute énergie est capable de rompre une tuyauterie de même type, de diamètre nominal inférieur, ou de provoquer une fissure dans une tuyauterie de diamètre nominal supérieur ou égal mais d’épaisseur plus faible.

Ces principes ont été utilisés au stade de la conception et de l’implantation des matériels sur plans, dès les premières tranches du parc électronucléaire. Des vérifications très complètes ont ensuite été faites, in situ, pour une tranche de 900 MWe et une tranche de 1 300 MWe, après réalisation. Les quelques problèmes résiduels identifiés au cours de ces contrôles ont bien sûr été corrigés sur toutes les tranches.

11.4.Éclatement d’un groupe turboalternateur

Pour les tranches de Fessenheim, du Bugey et celles des sites du premier contrat programme (CP1) – Tricastin, Gravelines, Dampierre-en-Burly et Le Blayais –, le groupe turboalternateur a été positionné de façon « tangentielle » à l’îlot nucléaire.

C’est lors de la construction des deux tranches de Fessenheim que le risque d’atteinte du bâtiment du réacteur ou d’autres bâtiments contenant des matériels importants pour la sûreté par des projectiles résultant de l’éclatement d’une grande roue du corps à basse pression de la turbine (située dans la salle des machines) a été identifié – il ne faut pas confondre un tel éclatement avec la rupture de quelques ailettes de la turbine, beaucoup plus vraisemblable mais sans incidence hors de son capotage. La probabilité d’un éclatement a été globalement chiffrée à 10-4 par an et par turbine, par des études américaines portant sur le parc mondial.

Un tel accident peut produire des projectiles de différentes tailles et différentes énergies. Il a été estimé que, pour les groupes turboalternateurs des tranches de 900 MWe, le projectile envisageable le plus dangereux, car le plus énergétique, aurait une masse de 3,6 tonnes et une vitesse initiale de 92 mètres par seconde (soit environ 15 MJ d’énergie cinétique). Un tel projectile serait émis perpendiculairement ou presque à l’axe de rotation de la turbine (c’est ce qui a pu être observé lors de l’éclatement de deux turbines dans les centrales thermiques classiques françaises de Porcheville et de Gennevilliers) et pourrait donc toucher des parties sensibles de l’installation.

Des murs ou des dalles capables d’absorber une telle énergie ont été installés, en cours de chantier, dans les tranches de Fessenheim, entre la salle des machines et les locaux à protéger. Des murs ont été directement intégrés dans la conception des autres installations dotées de turbines tangentielles.

Profitant d’autres modifications de la salle des machines, Électricité de France a adopté, pour les réacteurs de 900 MWe du deuxième contrat programme (Cruas-Meysse, Saint-Laurent-des-Eaux, Chinon), une disposition « radiale » pour les salles des machines. Une telle disposition élimine le risque d’atteinte d’un îlot nucléaire par un projectile émis par la turbine de la même tranche ou de la tranche jumelle.

Lors de l’examen de la sûreté des tranches de 1 300 MWe de la centrale nucléaire de Paluel (dotée de quatre tranches indépendantes avec des turbines radiales), s’est posé le problème de la possibilité d’atteinte des tranches 3 et 4 du site par des projectiles provenant des groupes turboalternateurs des tranches 1 et 2 et réciproquement.

Les organismes de sûreté ont examiné les précautions prises par l’exploitant pour réduire les risques d’éclatement d’une turbine par rupture ductile en survitesse ou par rupture fragile. Ces précautions relèvent de la prévention du passage en survitesse par des dispositifs adaptés, ainsi que de méthodes de fabrication et de contrôles en service permettant de repérer des défauts éventuels et de surveiller leur progression avant qu’ils ne deviennent critiques.

Bien qu’appréciées, ces dispositions n’ont pas été jugées suffisantes pour ne pas prendre en compte pour ces matériels les statistiques établies sur la base de 70 000 années-turbines dans le monde, qui indiquaient une probabilité d’éclatement de 10-4 par an et par turbine. Ces statistiques montraient que 70 % des ruptures s’étaient produites à la vitesse nominale et 30 % en survitesse.

Compte tenu de l’implantation prévue des tranches, l’application de cette valeur conduit à une probabilité de 4,5.10-6 de dégagement inacceptable de radioactivité par tranche et par an pour la rupture d’un groupe turboalternateur. Cette valeur était notablement supérieure à la valeur indicative de 10-7 par an proposée par les Américains pour ne pas étudier plus avant un risque, et déjà utilisée à cette époque (1977) en France pour certaines agressions externes.

Les organismes de sûreté ont alors cherché à apprécier le pessimisme de l’évaluation. Les éléments suivants ont été notés, sans pouvoir être chiffrés :

–les statistiques utilisées tiennent compte globalement de toutes les ruptures, quelles que soient la taille et l’énergie des projectiles émis ;

–les projectiles d’énergie inférieure ou égale à celle d’un quart de roue de turbine émis à la vitesse nominale peuvent être arrêtés sans disposition particulière par les murs des bâtiments ;

–les trajectoires les plus probables des projectiles les plus énergétiques sont sensiblement perpendiculaires à l’axe de rotation de la turbine et ne devraient donc pas atteindre des bâtiments importants pour la sûreté.

Ces éléments ont permis de conclure :

–à la possibilité d’implanter les quatre tranches de 1 300 MWe de Paluel en parallèle et peu espacées sans que des protections complémentaires soient nécessaires,

–à l’intérêt de plans de masse différents dans tous les cas où les caractéristiques du site le permettent.

Ces éléments ont dès lors été adoptés pour la construction des centrales ultérieures. Les dispositions adoptées depuis les premières tranches de 900 MWe jusqu’à Flamanville 3 sont représentées sur la figure 11.1. (avec quelques variantes, comme la disposition en éventail des paires de tranches à la centrale nucléaire de Cattenom).

Une règle fondamentale de sûreté est venue formaliser ces principes en 1995 (RFS I.2.b).

Figure 11.1. Implantation des tranches et de leurs groupes turboalternateurs. Georges Goué/Médiathèque IRSN.

11.5.Protection contre les chutes de charges

Il a été signalé au chapitre 8 que la chute d’un assemblage combustible en cours de manutention, entraînant la rupture de l’étanchéité des gaines et un rejet de substances radioactives au sein de l’installation, fait partie des conditions de fonctionnement de dimensionnement ou de référence.

Un risque de dissémination de substances radioactives peut aussi être associé aux manutentions réalisées, dans différents endroits d’une centrale nucléaire, d’équipements contenant des matières nucléaires ou des substances radioactives, autres que des assemblages combustibles.

La manutention d’objets en général peut être à l’origine de risques liés aux conséquences de chutes de charges ou de collision avec d’autres équipements ou structures importants pour la sûreté (système de protection, systèmes de sauvegarde, assemblages combustibles usés…, au sol ou en altitude).

Un risque important est celui qui est associé aux emballages de transport des combustibles usés hors de la tranche, car ces emballages sont particulièrement lourds (1 100 kN) compte tenu des protections nécessaires.

La protection du personnel et des équipements à l’égard des risques de chute de charges est nécessaire dans la plupart des installations industrielles. Ce risque existe aussi dans une installation nucléaire et il doit être traité. Ce n’est pourtant pas lui qui sera ici traité ; ce qui suit vise essentiellement les risques de dissémination de produits radioactifs ou d’exposition importante provoqués par des incidents ou accidents de manutention. Pour être cohérents avec la façon de traiter d’autres sources de dissémination de radioactivité, cela peut amener à retenir des exigences de fiabilité des moyens de levage et des précautions de dimensionnement beaucoup plus poussées que pour la sécurité « classique ».

Néanmoins, certaines chutes de charges (notamment de charges lourdes) peuvent être exclues si un haut niveau de prévention est démontré, notamment par des études de fiabilité des moyens de levage398.

11.5.1.Risques liés aux emballages de transport
des combustibles usés

Les emballages de transport des combustibles usés sont soumis à une règlementation internationale399 pour ce qui concerne les transports sur la voie publique.

La sûreté des transports, comme la sûreté des installations, est fondée sur un concept de défense en profondeur, qui consiste à mettre en œuvre plusieurs niveaux de protection, techniques ou organisationnels, visant à protéger le public, les travailleurs et l’environnement, tant en situation de routine qu’en cas d’incident ou d’accident.

Les « colis » (emballages avec leur contenu en substances radioactives) doivent400 :

–assurer une protection contre les rayonnements ionisants émis par ces substances, par exemple au moyen d’un blindage qui atténue ces rayonnements,

–empêcher le relâchement de ces substances hors des colis, grâce à une enveloppe extérieure et un système de fermeture assurant l’étanchéité de ces colis,

–empêcher l’occurrence d’une réaction nucléaire en chaîne si le contenu d’un colis est constitué de matières fissiles, notamment en limitant le contenu et en assurant l’étanchéité (car l’eau facilite le démarrage d’une telle réaction − voir le chapitre 5),

–le cas échéant, assurer la protection contre les risques associés aux dégagements thermiques du contenu, par exemple au moyen d’ailettes de refroidissement,

–le cas échéant, assurer une protection contre les risques chimiques présentés par le contenu.

Les colis de type B sont les colis permettant de transporter les substances les plus radioactives, comme par exemple les combustibles usés provenant des centrales nucléaires et les déchets nucléaires vitrifiés de haute activité provenant de l’usine de retraitement de La Hague.

Compte tenu du niveau de risque élevé présenté par les colis de type B et les colis contenant des matières fissiles, la règlementation impose qu’ils subissent des épreuves simulant des conditions accidentelles sévères :

–une épreuve de chute de neuf mètres sur une cible indéformable. Le fait que la cible soit indéformable signifie que toute l’énergie de la chute est absorbée par le colis, ce qui est très pénalisant. En effet, si un colis lourd chute lors d’un transport, le sol se déformera et absorbera une partie de l’énergie. Ainsi, une chute sur une cible indéformable de neuf mètres peut correspondre à une chute d’une hauteur nettement plus élevée sur un sol qui se déforme. Cette épreuve permet de simuler le cas où le véhicule de transport du colis percuterait un obstacle à une certaine vitesse ;

–une épreuve de poinçonnement (voir la figure 11.2) : le colis est lâché d’une hauteur d’un mètre sur un poinçon métallique. Le but est de simuler une agression du colis par des objets perforants (par exemple des débris arrachés au véhicule lors d’un accident) ;

–une épreuve d’incendie de 800 °C pendant 30 minutes. Cette épreuve simule le fait que le véhicule puisse prendre feu lors d’un accident ;

–une épreuve d’immersion sous 15 mètres d’eau pendant 8 heures. Cette épreuve permet de tester la résistance à la pression, pour le cas où le colis tomberait dans de l’eau (dans un fleuve en bord de route ou dans un port lors du déchargement d’un navire). Certains colis de type B doivent de plus subir une épreuve poussée d’immersion (sous 200 mètres d’eau pendant une heure).

Compte tenu de ces dispositions, le risque de fuite du contenu d’un emballage de transport de combustibles usés peut être considéré comme écarté.

Par ailleurs, la conception des installations françaises limite strictement les zones dans lesquelles il est nécessaire de déplacer de tels colis. Ils n’ont pas à pénétrer dans le bâtiment du réacteur. Dans le bâtiment du combustible, leur cheminement est strictement limité par des dispositions mécaniques pour qu’ils ne survolent pas la zone d’entreposage des combustibles usés.

Le pont qui le transporte doit résister au séisme majoré de sécurité et être d’une fiabilité élevée. Sa chute est néanmoins envisagée et des dispositions sont prises pour que cette chute n’ait pas de conséquences sur la sûreté de l’installation.

Figure 11.2. Essai de chute sur un poinçon (barre verticale) d’une maquette d’emballage DN30 de Daher-NCS (colis de type B). ASN.

Le risque associé est celui d’une rupture de l’étanchéité de la piscine d’entreposage des combustibles usés, pouvant entraîner une perte d’eau de cette piscine, le dénoyage des combustibles, leur échauffement et le relâchement de produits radioactifs dans le bâtiment du combustible. Cela produirait en tout état de cause un haut niveau d’exposition directe dans ce bâtiment mais aussi sur le site et aux alentours.

La chute de l’emballage est étudiée dans la trémie de manutention et dans la fosse de chargement, verticalement et en biais, et des dispositions de construction permettent d’éviter de transmettre à la piscine d’entreposage des assemblages combustibles le choc qui se produirait en cas de chute. Les structures de génie civil qui soutiennent la piscine sont ainsi découplées des structures de génie civil de la zone de manutention des emballages.

Pour les réacteurs les plus anciens dans lesquels ce découplage n’existe pas (ceux du palier 900 MWe de type CP0), des amortisseurs hydrauliques ou mécaniques ont été ajoutés en fond de fosse de chargement et au fond de la trémie de chargement (voir la figure 11.3).

Pour les réacteurs ultérieurs, ceux des paliers P’4, N4 et EPR, le risque de chute a été écarté par la mise en œuvre d’un chargement sous fosse (voir la figure 11.4). L’emballage de transport reste, en effet, au niveau du sol du site. Cette solution introduit en revanche une possibilité de fuite d’eau par le fond de la fosse de chargement dont la conception a été étudiée en conséquence.

Figure 11.3. Manutention de l’emballage de transport dans un réacteur de 900 MWe. Georges Goué/IRSN.

Figure 11.4. Chargement sous fosse (réacteurs P’4, N4 et EPR). Georges Goué/IRSN.

11.5.2.Autres risques liés aux manutentions

Il convient d’insister sur les risques spécifiques associés à la manutention de filtres et de résines401 utilisés dans les centrales nucléaires, ainsi que sur les risques qui résultent de manutentions sans caractère particulier mais susceptibles de survoler des tuyauteries ou d’autres équipements dont la défaillance aurait une importance pour la sûreté.

C’est par une attention particulière à ce volet de la sûreté que les risques peuvent être identifiés et traités de manière satisfaisante.

11.6.Protection contre l’incendie

L’incendie est l’un des événements les plus redoutés dans une centrale nucléaire du fait notamment de la probabilité non négligeable de départs de feu, comme dans toute installation industrielle, et de la gravité potentielle de leurs conséquences pour la sûreté des installations.

Le recueil des règles de conception et de construction des centrales nucléaires REP – règles relatives à la protection contre l’incendie (RCC-I), établi par Électricité de France dès le début des années 1980, a défini la protection contre l’incendie comme l’ensemble des dispositions prises pour prévenir les risques d’incendie et en limiter les conséquences. Il précisait que ces dispositions devaient permettre d’atteindre trois objectifs :

–assurer la sécurité des personnes,

–limiter les détériorations de matériels pouvant entraîner des indisponibilités de longue durée,

–ne pas compromettre la disponibilité des fonctions de sûreté.

Bien qu’aucune installation française n’ait subi d’incendie ayant conduit à de graves conséquences pour la sûreté nucléaire, malgré la vingtaine de départs de feu recensés chaque année pour l’ensemble du parc électronucléaire français, l’événement survenu en 1975 à la centrale nucléaire de Browns Ferry aux États-Unis (voir le focus plus loin)402 a marqué les esprits. Compte tenu de l’importance du sujet, le Service central de sûreté des installations nucléaires a élaboré une règle fondamentale de sûreté spécifique : il s’agit de la RFS V.2.j, diffusée en 1988.

Ce document a laissé la place, depuis les années 2000, à un corpus règlementaire précisant davantage les exigences que les exploitants doivent prendre en compte, notamment à l’égard d’agressions internes telles que l’incendie.

Ultérieurement, l’Autorité de sûreté nucléaire a fait évoluer la règlementation en élaborant une décision403 relative aux règles applicables aux installations nucléaires de base pour la maîtrise des risques liés à l’incendie, diffusée en 2014, tenant compte des propositions d’un rapport de l’IRSN diffusé en 2011404.

#FOCUS

L’incendie survenu en mars 1975 à la centrale nucléaire
de Browns Ferry aux États-Unis

Sur le site de Browns Ferry (Alabama), il y avait, lors de l’accident, deux réacteurs à eau bouillante de 1 100 MWe en service et un troisième en cours de construction. Les deux tranches en service étaient conduites depuis une salle de commande commune. Le 22 mars 1975, un incendie s’est déclaré dans la salle de triage des câbles, sous la salle de commande, à l’endroit où les câbles traversent un mur pour passer dans le bâtiment du réacteur de la tranche 1, en légère dépression. Le colmatage d’origine de la traversée avait été retiré pour installer des liaisons supplémentaires. À la fin d’un travail, le personnel colmatait cet orifice par lequel passaient dix chemins de câbles regroupés, toutes voies confondues, et cherchait les dernières fuites à l’aide d’une flamme de bougies. Le matériau de colmatage, très inflammable, prit feu ; aspiré par la dépression, le feu se propagea vers le bâtiment du réacteur, sans que les intervenants n’en prennent conscience rapidement. L’ampleur de l’accident n’a été comprise qu’après que des câbles du contrôle-commande des deux tranches eurent subi des dommages importants, les mettant en court-circuit. De nombreux systèmes de la tranche 1 ont ainsi été mis hors service. Le personnel d’exploitation a pu néanmoins arrêter le réacteur, le mettre et le maintenir dans un état sûr. Il n’y a eu ni rejets de substances radioactives, ni menace de rejets.

L’accident de la centrale nucléaire de Fukushima Daiichi, survenu au Japon le 11 mars 2011, a, d’une manière générale, mis en évidence la nécessité de renforcer la défense en profondeur et de compléter l’approche de sûreté française pour tenir compte de situations estimées jusqu’à présent très peu plausibles, dont certains cumuls de situations, et pouvant affecter concomitamment plusieurs installations (voir le paragraphe 6.8). C’est le cas notamment des incendies pouvant résulter d’une agression supérieure à celles qui ont été retenues pour le dimensionnement des installations.

L’objectif prioritaire de la protection contre l’incendie dans les centrales nucléaires demeure toutefois inchangé : il est de ne pas mettre en cause la disponibilité des fonctions de sûreté. Ces fonctions sont généralement assurées par des équipements redondants afin d’éviter que l’endommagement d’un seul équipement ne puisse conduire à la perte d’une fonction de sûreté405.

Démarche d’étude des risques liés à l’incendie

La maîtrise des risques liés à l’incendie406 dans les centrales nucléaires repose, comme pour les autres risques, sur la mise en œuvre de niveaux de défense successifs et suffisamment indépendants pour atteindre un niveau de risque aussi faible que possible. Appliqués à l’incendie, ces différents niveaux de défense doivent notamment concerner :

–la prévention des départs de feu ;

–la détection et l’extinction rapide des départs de feu ; cela vise, d’une part, à empêcher que ces départs de feu ne puissent conduire à un incendie, d’autre part à rétablir une situation de fonctionnement normal ou, à défaut, à atteindre puis maintenir un état sûr du réacteur ;

–la limitation de l’aggravation et de la propagation d’un incendie qui n’aurait pas pu être maîtrisé afin de minimiser son impact sur la sûreté nucléaire et de permettre l’atteinte ou le maintien d’un état sûr.

La réaction chimique de combustion ne peut se produire qu’en présence des trois éléments suivants :

–de la matière combustible,

–du comburant (il s’agit le plus souvent de l’oxygène de l’air),

–une énergie d’activation.

Ce principe est illustré par ce qu’on appelle « le triangle du feu », représenté sur la figure 11.5 ci-après.

Figure 11.5. Le « triangle du feu ».

La prévention des départs de feu repose ainsi essentiellement sur une limitation des quantités de matières combustibles présentes dans l’installation et sur la gestion des sources possibles d’ignition, notamment lors de travaux avec « points chauds »407. Toute introduction de charges calorifiques non prévues dans la démonstration de sûreté doit donner lieu à une analyse des risques et, le cas échéant, à la mise en place de dispositions compensatoires.

La détection et l’extinction rapide des départs de feu reposent sur une surveillance permanente de l’installation par des systèmes de détection et sur des moyens d’intervention et de lutte contre l’incendie. Ces derniers peuvent être complétés par des moyens de secours extérieurs à la centrale. Pour certains locaux, il peut en outre être nécessaire d’installer des systèmes d’extinction automatiques pour limiter autant que possible les dommages qui pourraient résulter d’un départ de feu. Des systèmes de désenfumage sont aussi installés pour permettre l’intervention.

Il convient de s’assurer que les moyens de lutte contre l’incendie retenus ne conduisent pas à créer d’autres risques, tels que :

–des inondations internes,

–des électrocutions, des court-circuits,

–des asphyxies de personnes,

aussi bien dans le cadre de leur utilisation normale qu’en cas de fonctionnement intempestif.

Plus globalement, il convient de prévoir les interventions et de définir les accès en tenant compte des aspects radiologiques.

La limitation de la propagation d’un incendie repose essentiellement sur un découpage de l’installation en « secteurs de feu » aptes à contenir un incendie grâce à la mise en place de parois, de portes et de clapets résistant au feu. Les limites de ces secteurs de feu doivent être définies de façon à limiter le nombre d’équipements endommagés en cas d’incendie. En particulier, les équipements redondants ne sont normalement pas placés dans un même secteur de feu ; à défaut, ils disposent d’une protection ou d’un éloignement suffisants pour prévenir une défaillance de cause commune due à un incendie. Électricité de France utilise le concept de « volume de feu de sûreté » qui prend en compte ces différents éléments ; ce concept est illustré sur la figure 11.6 ci-après.

Figure 11.6. Le concept de « volume de feu de sûreté » d’Électricité de France. Marc Henrio/IRSN.

La justification de l’adéquation des dispositions de protection contre l’incendie repose sur l’étude de scénarios d’incendie (de référence) permettant de déterminer l’évolution d’un incendie dans un local et d’évaluer de manière raisonnablement conservative ses conséquences sur la sûreté. Dans ce cadre, tous les équipements présents dans un secteur de feu dans lequel un incendie est postulé sont supposés défaillants.

Dans l’étude de ces scénarios d’incendie, l’ensemble des effets induits par l’incendie (gaz chauds, effets mécaniques dus aux variations de pression produites, dysfonctionnements d’équipements électriques du fait des suies, inflammation de gaz imbrûlés…) et des modes de propagation du feu sont à considérer. La modélisation de ces scénarios suppose donc que les outils de simulation utilisés soient en adéquation avec le degré de complexité des phénomènes étudiés, la précision recherchée et les grandeurs physiques à caractériser, et qu’ils bénéficient d’une validation suffisante ; cette validation repose sur les résultats de programmes de recherche et développement dont l’objectif est d’appréhender au mieux les effets thermiques, la propagation des suies et des gaz chauds, ainsi que les niveaux de pression résultant de la dilatation des gaz chauds408.

L’étude de ces scénarios est complétée par l’étude de scénarios prenant en compte la défaillance de certaines dispositions de protection (par exemple, une porte coupe-feu ou un système d’extinction – défaillances aggravantes) ainsi que l’étude de scénarios d’incendie affectant un ensemble de locaux de l’installation ; ce type d’étude est d’autant plus pertinent que l’expérience d’exploitation des réacteurs électronucléaires a montré l’existence d’anomalies ou de non-conformités en matière de sectorisation (trémies mal obturées par exemple).

Les scénarios d’incendie sont utilisés pour justifier le caractère suffisant de la stabilité au feu des structures. De façon générale, la démonstration de la résistance au feu des protections spécifiques telles que des parois, des portes, des conduits de ventilation ou de désenfumage, ou de tout autre moyen de protection contre l’incendie, doit être apportée par une qualification adéquate aux conditions dans lesquelles ils pourraient être amenés à fonctionner.

Malgré tout le soin apporté à la séparation des voies redondantes et au découpage en secteurs de feu qui en découle, il est difficile d’exclure complètement la possibilité d’une agression simultanée de matériels de sûreté de voies redondantes qui constituent autant de modes communs d’incendie409. Les scénarios d’incendie permettent de mettre en évidence ces modes communs d’incendie et, à l’issue d’une analyse fonctionnelle permettant d’identifier ceux qu’il convient de traiter, de mettre en place les dispositions correctives appropriées.

Pour garantir dans le temps l’efficacité des dispositions de protection contre l’incendie, l’exploitant met en place un programme de contrôles, d’essais périodiques et de maintenance de ces dispositions. Ce programme est complété par la formation, le maintien des compétences du personnel et la réalisation d’exercices périodiques.

Fondée sur des bases déterministes, la démonstration de la maîtrise des risques d’incendie dans les centrales nucléaires est complétée par des « études probabilistes de sûreté » spécifiques (« EPS Incendie » – voir le chapitre 14) qui permettent d’identifier des séquences de défaillances des systèmes conduisant à la fusion du cœur. Une étude probabiliste de sûreté du risque d’incendie tient compte des défaillances possibles des dispositions de protection contre l’incendie (tels que la détection ou les moyens d’extinction), ainsi que les erreurs humaines dues notamment au stress induit par un incendie.

Dans les centrales du parc électronucléaire français, la maîtrise des risques liés à l’incendie a tout particulièrement fait l’objet, dans la période 1998-2006, d’un plan d’actions incendie (PAI). Depuis, au fil des réexamens décennaux, Électricité de France est amené à définir et à mettre en place des lots de modifications.

Pour conclure sur ce sujet, le risque d’incendie est un sujet d’attention permanente de la part des exploitants. Des départs de feu surviennent régulièrement dans les réacteurs du parc électronucléaire français, avec des conséquences plus ou moins significatives ; on peut évoquer par exemple :

–un événement survenu en juillet 1999 à la centrale nucléaire du Bugey, qui a montré qu’une cause commune (un défaut électrique dans un tableau situé à la station de pompage) avait entraîné, dans le réacteur n° 3, deux défauts électriques et deux départs de feu quasiment simultanés qui se sont développés dans des « volumes de feu de sûreté » différents et géographiquement séparés,

–un feu de câbles électriques survenu en 2004, par surchauffe, au passage d’une trémie séparant la salle des machines et le bâtiment électrique du réacteur n° 2 de la centrale nucléaire de Cattenom,

–en 2012, le feu d’huile d’un groupe motopompe primaire qui s’est déclaré dans le bâtiment du réacteur n° 2 de la centrale nucléaire de Penly.

11.7.Protection contre l’explosion

Dans une centrale nucléaire, on distingue les risques d’explosion410 « classiques » de ceux qui sont liés à une situation avec fusion du cœur pouvant conduire à la formation et au relâchement d’hydrogène – ou même à une « explosion de vapeur » (qui en fait découle d’une interaction de nature thermodynamique entre matériaux fondus et fluide réfrigérant) ; ces derniers cas sont abordés dans le chapitre 17.

Au milieu des années 1990, l’application de la règlementation relative aux atmosphères explosives (ATEX) a conduit Électricité de France à améliorer les dispositions de maîtrise des risques d’explosion pour la protection des travailleurs. L’analyse des risques pour la sûreté liés à une explosion ne faisait pas à cette époque l’objet d’une démarche formalisée.

Un événement survenu le 21 octobre 1998 dans le réacteur n° 4 de la centrale nucléaire de Chinon B a eu une importance toute particulière dans l’amélioration de la prise en compte des risques d’explosion au sein des centrales nucléaires. Une intervention était alors programmée dans le bâtiment des auxiliaires nucléaires (BAN) sur une vanne d’un circuit d’hydrogène alimentant un ballon du circuit RCV (contrôle chimique et volumétrique). Les intervenants se sont trompés d’équipement et ont entrepris par erreur le démontage de la vanne « jumelle » associée au circuit du réacteur n° 3 en fonctionnement. Ce circuit était sous pression d’hydrogène. L’erreur a occasionné une importante fuite d’hydrogène, détectée d’une part par les intervenants, d’autre part par des détecteurs d’hydrogène du local voisin qui ont retransmis une alarme en salle de commande. Après avoir demandé l’évacuation des bâtiments, un opérateur a confirmé la fuite d’hydrogène par constatation d’une baisse de la pression dans le circuit correspondant et il a arrêté l’alimentation en hydrogène dans le réacteur n° 3. La fuite, qui a duré une trentaine de minutes, n’a heureusement pas occasionné d’explosion, bien que l’alarme de détection d’hydrogène soit restée active pendant environ 35 minutes.

Cet événement a mis en évidence l’importance et la nécessité d’une analyse plus exhaustive des risques d’explosion au sein des centrales nucléaires. En effet, l’analyse des conséquences potentielles de l’événement a montré que l’explosion d’un nuage d’hydrogène aurait pu conduire à la perte de nombreux équipements importants pour la sûreté.

Cet événement, encadré temporellement par deux explosions de disjoncteurs à huile survenues sur les sites de Tihange (Belgique) en 1996 et de Gravelines en 2001, a conduit Électricité de France à formaliser, en 2004, une démarche d’analyse des risques d’explosion dans un « référentiel » visant à mieux prendre en compte les risques pour la sûreté. Cette démarche vise notamment à apporter la démonstration que, en cas de fuite et d’explosion d’hydrogène, il est possible de maintenir ou de ramener le réacteur dans un état sûr.

D’une manière générale, l’analyse des risques d’explosion est réalisée en plusieurs étapes.

La première étape est l’identification de toutes les sources possibles d’explosion. Au sein des centrales nucléaires, les principaux risques sont associés à l’utilisation d’hydrogène dans certains « procédés ». L’hydrogène est en effet utilisé dans le bâtiment du réacteur pour la régulation de la chimie de l’eau du circuit primaire. Il sert également au refroidissement de l’alternateur dans la salle des machines. À ces fins, de l’hydrogène est distribué par un réseau de canalisations depuis des parcs à gaz situés à l’extérieur des bâtiments. L’analyse des risques d’explosion doit envisager la possibilité d’un dégagement d’hydrogène en n’importe quel endroit du cheminement de ces tuyauteries.

Certains locaux abritent également des « procédés » générateurs d’hydrogène ; il s’agit par exemple :

–des locaux dans lesquels sont implantées des batteries électriques ; durant leur phase de charge, les batteries dégagent de l’hydrogène ;

–du procédé d’électrochloration utilisé spécifiquement sur les sites situés en bord de mer.

Il peut également être noté qu’il existe des risques d’explosion associés :

–aux transformateurs et disjoncteurs utilisant de l’huile comme diélectrique,

–à des incompatibilités chimiques entre certains réactifs utilisés dans les procédés,

–à la présence temporaire de capacités de gaz explosibles dans les locaux de l’îlot nucléaire (comme, par exemple, des bouteilles d’acétylène utilisées lors de travaux),

–à l’utilisation de liquides inflammables (solvants, carburant des groupes électrogènes à moteur diesel).

Ces équipements étant identifiés, il convient d’examiner tout d’abord les dispositions de prévention des situations susceptibles de présenter un risque d’explosion. L’application aux circuits hydrogénés conduit notamment à la mise en place de dispositions à l’égard des agresseurs possibles des canalisations d’hydrogène, tels que le séisme ou la rupture d’une tuyauterie de haute énergie (RTHE), la corrosion, le démontage erroné de certains matériels, les chocs ou l’incendie. Ainsi, les circuits d’hydrogène sont généralement conçus pour résister aux séismes ; la mise en place de cadres antifouettement autour des tuyauteries à haute pression permet de prévenir le risque d’agression correspondante (RTHE) ; le risque de corrosion peut être traité à la conception par le choix de matériaux ou en exploitation par l’application de procédures de contrôle et de maintenance.

Au-delà de ces dispositions de prévention, des dispositions sont prises pour limiter le volume inflammable susceptible d’être généré en cas de dégagement accidentel d’hydrogène ; il s’agit par exemple de mettre en place :

–des systèmes de ventilation dans les locaux où une atmosphère explosible est susceptible de se former (locaux des batteries, locaux traversés par des circuits hydrogénés),

–des systèmes de limitation des débits de fuite sur les circuits hydrogénés,

–des systèmes de détection de gaz et des systèmes de mise en sécurité en cas de détection d’une concentration anormale d’hydrogène…

Outre ces dispositions, il est également possible de réduire les sources d’ignition. En particulier, il existe des matériels, tels que des systèmes d’éclairage ou des pompes, conçus pour fonctionner dans des environnements spécifiques et limiter l’apparition d’une source d’inflammation.

Enfin, l’étude des risques d’explosion comprend également celle de situations dégradées pouvant résulter de la défaillance des dispositions précitées, ce qui conduit à examiner les conséquences possibles d’une explosion sur la sûreté de l’installation, notamment les éventuels modes communs qui peuvent en résulter. Les méthodes de calcul utilisées dans ce cas doivent être suffisamment enveloppes pour couvrir les nombreuses incertitudes inhérentes à l’étude des phénomènes complexes mis en jeu. L’étude des conséquences d’une explosion est de plus complétée par une étude des effets dominos envisageables. Il s’agit de vérifier qu’une explosion n’est pas susceptible d’endommager un équipement dont la défaillance pourrait générer un ou plusieurs phénomènes dangereux supplémentaires tels qu’une seconde explosion ou un incendie.

Si les conséquences des explosions retenues apparaissent inacceptables, des dispositions complémentaires doivent être mises en œuvre (réduction de leur probabilité, réduction de leurs conséquences).

Comme dans le cas des risques d’incendie, la démonstration de sûreté à l’égard des risques d’explosion reposant sur un ensemble de dispositions matérielles et organisationnelles, l’exploitant doit garantir leur efficacité dans le temps, par la mise en œuvre d’un programme de contrôle, d’essais périodiques et de maintenance, ainsi que de formations du personnel et d’exercices périodiques.

11.8.Inondations internes

Comme pour les agressions précédentes, les risques associés à un déversement important d’eau à l’intérieur de l’installation n’ont pas été étudiés pour les premières tranches du parc électronucléaire.

Ce sujet était traité selon les règles de l’art, les matériels, pompes, armoires électriques étant souvent installés sur de petits massifs qui les surélevaient. Les locaux dans lesquels circulaient des canalisations de fluides étaient éventuellement dotés de drains, de puisards et de pompes d’exhaure, et certaines trémies de planchers étaient entourées de petits murets et bouchées par du plâtre.

Quelques événements marquants ont appelé l’attention sur les risques associés aux inondations internes. On peut citer celui qui s’est produit en octobre 1980 dans le réacteur n° 2 de la centrale nucléaire américaine d’Indian Point (voir le focus ci-après), ou encore, au mois d’octobre 1989, l’inondation interne par de l’eau de mer qui a résulté d’une succession d’événements à la centrale nucléaire Vandellos I en Espagne (réacteur de type UNGG411) : rupture d’ailettes de la turbine, fuite et explosion d’hydrogène, feu d’huile de graissage de la turbine, perte d’alimentations électriques et de l’air comprimé de régulation de plusieurs matériels participant à l’évacuation de la puissance résiduelle ; cette inondation a mis en péril le fonctionnement des pompes d’ultime secours qui se trouvaient dans le sous-sol du bâtiment du réacteur.

#FOCUS

L’inondation survenue en 1980 à la centrale nucléaire
d’Indian Point aux États-Unis

L’événement a concerné le réacteur n° 2 de la centrale nucléaire d’Indian Point aux États-Unis (État de New-York) ; il s’agissait412 d’un réacteur à eau sous pression de conception Westinghouse ayant une capacité de production électrique d’un peu plus de 1 000 MWe. Une importante fuite d’eau brute servant au refroidissement de certains systèmes et matériels, sans circuit intermédiaire, en circuit ouvert sur la rivière Hudson, s’est produite dans l’enceinte de confinement. Dans cette centrale (figure 11.7), le puits de cuve était le point le plus bas de l’enceinte et le bas de la cuve était lui-même au-dessous du niveau le plus bas du reste de l’installation. Plusieurs défauts des pompes d’exhaure des puisards du puits de cuve et de l’enceinte et un manque de confiance des opérateurs dans les indications de niveau d’eau dans ces puisards ont permis que la fuite se développe. Quatre cents mètres cubes d’eau se sont accumulés dans l’enceinte de confinement.

Figure 11.7. Implantation de la cuve de la centrale d’Indian Point. IRSN.

Les opérateurs n’ont réagi que lorsque l’une des chambres de mesure du flux neutronique a donné un signal manifestement anormal, une partie du matériel correspondant étant noyé.

Le réacteur a fonctionné en puissance alors que le fond de la cuve, calorifugé, était sous eau. Ce n’était évidemment pas une situation normale.

La conception et l’implantation des équipements des réacteurs du parc électronucléaire français sont notablement différentes de celles de la centrale d’Indian Point. Si un accident identique n’était donc pas envisageable, il convenait néanmoins d’examiner plus attentivement les possibilités d’inondations.

Les inondations internes qui peuvent survenir dans une installation, en fonctionnement normal, peuvent avoir pour origine :

–une rupture ou une fuite de tuyauterie,

–la vidange d’une capacité,

–une aspersion par les systèmes fixes de protection contre l’incendie,

–une aspersion par le système d’aspersion dans l’enceinte de confinement, y compris en cas de démarrage intempestif de ce système.

Dans les situations accidentelles (troisième et quatrième catégories de conditions de fonctionnement), les risques d’inondation interne peuvent résulter :

–directement de l’événement considéré ; c’est typiquement le cas pour les accidents de perte de réfrigérant primaire (APRP) ;

–d’une défaillance passive, à long terme, en application du critère de défaillance unique (voir le paragraphe 7.2).

De façon générale, comme pour les autres agressions, l’installation doit être conçue pour assurer, dans ces situations :

–la disponibilité des fonctions de sûreté,

–la prévention et la limitation de dégagements éventuels de substances radioactives.

La démonstration de sûreté doit justifier qu’une inondation interne ne conduirait pas à des défaillances susceptibles de remettre en cause l’un des objectifs de sûreté précités. En particulier, la rétention des fluides contaminés à l’intérieur des bâtiments ou des structures doit empêcher une pollution de la nappe phréatique en cas d’inondation interne.

Lorsque les voies redondantes d’un système de sûreté sont installées dans des locaux séparés physiquement (à l’égard des risques d’inondation), les conséquences des inondations internes susceptibles d’affecter une seule voie ne sont pas étudiées. Lorsque les voies redondantes transitent dans les mêmes locaux ou des locaux reliés entre eux, des dispositions doivent être prises (protections, moyens de surveillance, procédures associées) pour assurer la sûreté du réacteur en cas d’inondation interne ; dans ce cas, il est nécessaire de considérer :

–le débit d’inondation envisageable ;

–la durée de l’inondation ; cette durée tient compte du temps nécessaire pour détecter l’inondation et isoler la fuite ;

–la propagation de l’inondation à d’autres locaux ; dans ce cadre, l’étanchéité des dispositifs d’obturation entre locaux (au niveau des trémies) et entre structures de génie civil (joints de dilatation) doit être examinée.

La propagation d’une inondation doit être étudiée en considérant les différents cheminements possibles de l’eau par :

–les galeries et les caniveaux,

–les escaliers et les orifices dans les planchers (trémies, siphons de sol, fourreaux…), les ouvertures dans des murs,

–les systèmes de drainage,

–les communications entre les locaux et les autres bâtiments (gaines de ventilation, liaisons entre galeries et bâtiments, espaces situés sous les portes).

Les équipements utilisés (« valorisés ») dans le cadre de la démonstration de la maîtrise des risques d’inondation interne doivent répondre à des exigences spécifiques :

–aptitude à fonctionner dans des conditions particulières (humidité…),

–aptitude à fonctionner après aspersion ou immersion.

De plus, la tenue mécanique à la charge d’eau des structures de génie civil et des portes doit également être examinée.

La protection contre les inondations internes peut être réalisée par les dispositions suivantes :

–installation des voies de sûreté dans des locaux qui ne peuvent pas être affectés simultanément par une inondation,

–mise en place de dispositifs de drainage dans les locaux inondables,

–mise en place de dispositifs (seuils de porte, murets, plans inclinés…) permettant de limiter l’extension d’une inondation à une seule voie de sûreté ou éviter la pollution de la nappe phréatique,

–surélévation des matériels dans les locaux ou mise en place d’une structure de protection lorsque leur aptitude à fonctionner immergés n’est pas démontrée,

–installation de dispositifs de rétention étanches autour de capacités,

–mise en place au fond des bâtiments de pompes d’exhaure et de capteurs de niveau d’eau afin de détecter l’inondation.

Cependant, sur le parc électronucléaire français, le retour d’expérience a montré le caractère parfois difficilement prévisible des cheminements d’eau surtout dès lors qu’il existe des écarts de conformité touchant des dispositions de protection. À titre d’exemple, le 30 septembre 2005, dans le réacteur n° 1 de la centrale nucléaire de Nogent-sur-Seine, les purges des tuyauteries d’alimentation normale en eau des générateurs de vapeur (système ARE) situées sur le toit du « bâtiment électrique » ont été laissées ouvertes, ce qui a entraîné, du fait d’un cumul d’écarts de conformité concernant des structures de génie civil, un écoulement d’eau dans les locaux de systèmes de contrôle-commande de sûreté situés plusieurs niveaux plus bas : cette situation a conduit à un arrêt automatique du réacteur et à une injection de sécurité intempestifs. De même, le 9 avril 2014, le débordement d’un réservoir situé dans la salle des machines du réacteur n° 1 de la centrale nucléaire de Fessenheim, à la suite d’une obstruction de la tuyauterie de trop-plein de ce réservoir, a provoqué un écoulement d’eau dans le « bâtiment électrique », qui a, du fait de l’inétanchéité de trémies de passages de câbles, ruisselé vers les locaux de systèmes de contrôle-commande de sûreté situés plusieurs niveaux plus bas. Les défaillances constatées ont conduit l’équipe de conduite à arrêter le réacteur.

La démarche s’est progressivement enrichie et structurée ; ainsi, dans le cadre des études de réévaluation de sûreté associées aux quatrièmes visites décennales des réacteurs de 900 MWe, elle comprend :

–l’identification de toutes les sources possibles d’inondation interne, telles que les tuyauteries de haute et de moyenne énergies, les réservoirs, ou encore une aspersion intempestive par le système de lutte contre l’incendie… ;

–pour chaque source étudiée, la détermination de scénarios d’écoulement de l’eau, avec le calcul des volumes d’eau déversés jusqu’à l’isolement de la source et des hauteurs d’eau atteintes dans les différents locaux inondés selon ces scénarios ; les voies de propagation considérées (verticale ou horizontale) sont les portes, les gaines, les traversées entre locaux ou bâtiments, les siphons de sol… ;

–l’identification des équipements aspergés voire immergés, ou impactés en cas de fouettement de tuyauterie (THE) ;

–la prise en compte de la défaillance aggravante la plus pénalisante.

389.Les actes de malveillance constituent aussi des agressions ; ils ne sont pas abordés dans le présent ouvrage. Le lecteur pourra consulter, par exemple, l’ouvrage intitulé « Approche comparative entre sûreté et sécurité nucléaires », J. Jalouneix et al., Collection documents de référence, IRSN/EDP Sciences, 2009.

390.De façon générale, l’exploitant doit être en mesure d’apprécier rapidement les risques en cas de survenue d’une agression externe afin de maintenir le ou les réacteurs du site concerné dans l’état de repli considéré comme le plus sûr ou pour en poursuivre l’exploitation (RFS I.3.b).

391.La définition de cette notion est indiquée dans le focus du chapitre 8.

392.Dans le cadre du retour d’expérience de l’accident de la centrale nucléaire de Fukushima Daiichi (voir le paragraphe 6.8).

393.Dans le cas des agressions externes, le terme « aléa » est souvent utilisé pour désigner ces caractéristiques.

394.Il s’agit des conditions de fonctionnement de référence selon la terminologie des directives techniques (PCC 2 à 4), rappelée dans le focus du chapitre 8.

395.Alinéas 3.3.2.3.1 et 3.3.3.3.1 de ce guide.

396.Dans le principe, l’approche dite « cas de charge » – expression issue de la pratique des codes de conception et de construction – a un caractère général et peut être utilisée aussi bien pour les agressions internes, telles que le fouettement de tuyauteries, la chute d’objets ou l’impact de projectiles, que pour les agressions externes (séisme…).

397.Il est indiqué dans le guide ASN n° 22 que les combinaisons non plausibles d’agressions internes ou externes et de conditions initiales peuvent, sous réserve de justifications, ne pas être traitées.

398.Cela concerne tout particulièrement le pont tournant du bâtiment du réacteur.

399.Étant donné que les transports de combustibles usés peuvent s’effectuer hors des frontières entre pays, la règlementation repose sur des prescriptions à caractère international. Un comité d’experts du Conseil économique et social de l’ONU élabore le « règlement type de l’ONU » qui recense les recommandations pour le transport de marchandises dangereuses. Ces marchandises sont réparties en neuf classes en fonction du type de danger ; les substances radioactives forment la classe n° 7. Les recommandations spécifiques aux substances radioactives sont celles du document SSR-6 de l’AIEA, qui sert de base aux règlementations européennes et notamment française sur le sujet.

400.Voir le site internet de l’ASN sur ce sujet.

401.Résines échangeuses d’ions utilisées pour le traitement d’eaux contaminées.

402.Un incendie marquant est aussi survenu en 1989 à la centrale nucléaire de Vandellos en Espagne (réacteur de type UNGG) ; cet événement est évoqué plus loin, car il a été à l’origine d’une importante inondation interne.

403.Décision de l’ASN n° 2014-DC-0417 du 28 janvier 2014.

404.« Démarche d’analyse des risques d’incendies dans les installations nucléaires », IRSN, 20 juillet 2011.

405.La protection contre l’incendie vise également à assurer la protection des travailleurs à travers l’application du code du travail à laquelle les installations nucléaires sont évidemment soumises.

406.Voir le rapport de l’IRSN de 2011 cité plus haut.

407.Travaux de soudage par exemple.

408.Le lecteur pourra, s’il le souhaite, consulter l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », chapitre 7, J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

409.Malgré tout le soin apporté à la séparation des voies redondantes, au découpage en secteurs de feu, il existe des « points de convergence », tels que la salle de commande ou la présence de plusieurs capteurs sur un même tronçon de canalisation, qui constituent autant de possibilités de modes communs de défaillance par incendie.

410.Libération soudaine d’énergie entraînant la propagation d’un front de flamme et d’une onde de surpression. On parle de déflagration si la vitesse du front de flamme est subsonique, c’est-à-dire inférieure à la vitesse de déplacement du son dans le milieu ambiant, et de détonation si la vitesse du front de flamme est supersonique ; les flammes accompagnent alors la surpression et il y a formation d’une onde de choc, qui peut provoquer des dommages importants.

411.Réacteurs dont le combustible est de l’uranium naturel, modérés au graphite et refroidis au gaz carbonique (UNGG : uranium naturel-graphite-gaz).

412.La fermeture définitive de la centrale d’Indian Point a été ordonnée en 2016.

Chapitre 12

Prise en compte
des agressions d’origine externe

12.1.Considérations générales sur la prise en compte
des agressions d’origine externe

Les principes généraux de prise en compte des agressions internes et externes ont été présentés dans le chapitre précédent. Le présent chapitre a vocation à illustrer leur déclinaison pour quelques agressions d’origine externe, sachant que d’autres agressions externes font également l’objet de travaux d’étude, de recherche et de codification (par exemple les tornades), avec, comme pour celles qui sont abordées dans le présent chapitre, la mise en œuvre d’approches déterministes et probabilistes.

Dès la conception des premières centrales nucléaires de grande puissance – au début des années 1970 pour ce qui concerne la France –, les risques sismiques ont tout particulièrement été considérés et explicitement pris en compte pour la conception et le dimensionnement des équipements importants pour la sûreté, des ouvrages de génie civil – tels que par exemple les bâtiments des réacteurs – jusqu’aux équipements qui y sont installés. De même, les plateformes des sites nucléaires situés en bordure de rivière ou de mer ont été calées à un niveau en rapport avec les risques d’inondation externe.

Ce ne sont pourtant pas les seuls risques liés à l’environnement.

Comme cela a été indiqué au paragraphe 11.1, les agressions externes peuvent être d’origine naturelle, comme les séismes, les vents forts, les tempêtes, les tornades, la foudre, les inondations, les épisodes de grand froid ou de canicule, le volcanisme, les météorites…, ou d’origine humaine comme les chutes d’avion, les explosions, les incendies extérieurs à l’installation ou la diffusion de gaz toxiques. Mais toutes ne sollicitent pas les installations de la même façon, ce qui a conduit à des approches ad hoc. Certaines agressions naturelles peuvent mettre en cause de façon simultanée des voies redondantes ou diversifiées de systèmes de sûreté, plusieurs systèmes de sûreté, plusieurs tranches d’un même site, des infrastructures du site et autour du site (réseau d’alimentation électrique…) ; cela est notamment le cas des séismes.

La sévérité de certaines agressions externes peut évoluer au cours de la « vie » d’une installation (conditions climatiques, risques industriels…). Dans la mesure du possible, une anticipation est à mener, sachant que les réexamens périodiques visent notamment à refaire régulièrement le point sur ces évolutions et, si nécessaire, prendre des dispositions adaptées.

Il est rappelé que l’objectif général retenu pour la protection des réacteurs nucléaires à l’égard des agressions, internes et externes, est qu’elles ne compromettent pas la disponibilité des équipements nécessaires à l’accomplissement des fonctions de sûreté, tout particulièrement les fonctions fondamentales de sûreté, compte tenu des règles d’étude associées413 et des effets directs ou indirects de ces agressions.

Les caractéristiques de référence pour la prise en compte des agressions externes (aléas de référence) sont définies par des méthodes de nature probabiliste (cas des chutes d’avions ou des explosions), de nature déterministe, ou associent les deux (cas des inondations, dont l’étude repose sur des scénarios et a recours à des méthodes statistiques).

Pour les aléas de référence du domaine de « dimensionnement », une fréquence maximale de 10-4/an (par agression) est préconisée comme valeur cible de référence dans la partie Issue T des niveaux de référence de l’association WENRA, actualisés en 2014. Cependant, il n’est pas toujours possible, compte tenu des données historiques, de déterminer pour une agression externe donnée l’aléa dont la sévérité correspond à une période de retour compatible avec la valeur de 10-4/an ; il est indiqué dans ce même document de WENRA que « lorsqu’il n’est pas possible de calculer ces probabilités avec un degré de certitude acceptable, un événement doit être choisi et justifié pour atteindre un niveau de sûreté équivalent. » Le guide ASN n° 22, diffusé en 2017, s’inscrit dans la même approche414. Les exemples et développements qui suivent montrent les approches suivies jusqu’à présent, en ajoutant des marges forfaitaires sur les intensités déduites des données historiques connues disponibles (généralement millénales).

Il convient enfin de rappeler les objectifs qui ont été formulés dans le guide ASN n° 22 pour la conception des nouveaux réacteurs et qui peuvent servir de référence dans le cadre des réexamens périodiques des réacteurs déjà en fonctionnement. Pour le domaine de conception étendu (DEC – voir le paragraphe 6.5), l’analyse d’agressions de plus faibles probabilités et des améliorations raisonnablement possibles de l’installation à leur égard doit, dans la mesure du possible, permettre de montrer qu’il existe des marges suffisantes pour éviter des « effets falaise » qui conduiraient à la perte des fonctions fondamentales de sûreté415. Dans la continuité des évaluations complémentaires de sûreté menées à la suite de l’accident survenu à la centrale nucléaire de Fukushima Daiichi (incluant notamment la prise en compte d’aléas extrêmes), le guide ASN n° 22 préconise notamment, pour la conception des réacteurs à eau sous pression, la prise en compte, dans le domaine de conception étendu, d’aléas d’origine naturelle de sévérité plus importante que celle qui est associée aux aléas retenus pour le domaine de conception de référence ; sont indiquées dans le guide ASN n° 22 les préconisations suivantes :

–« La prise en compte des agressions externes naturelles dans le domaine de conception étendu s’inscrit dans l’objectif de minimisation des risques […] tant pour la prévention de la fusion de combustible que pour la limitation des mesures de protection des populations qui seraient nécessaires dans le cas des accidents avec fusion de combustible. »

–« Pour l’identification des agressions externes naturelles à retenir dans le domaine de conception étendu, la sévérité de l’agression en fonction de sa fréquence annuelle de dépassement estimée doit être établie lorsque cela est possible. »

–« Pour les agressions naturelles externes dont la fréquence annuelle de dépassement de l’aléa ne peut pas être calculée, ou lorsque les incertitudes sur cette valeur sont trop élevées, un « événement » d’une plus grande sévérité que celle qui est considérée dans le domaine de conception de référence doit néanmoins être retenu et justifié. »

Les approches spécifiques adoptées à l’égard de quelques agressions externes sont détaillées dans la suite de ce chapitre, plus particulièrement la manière de choisir les caractéristiques physiques des agressions à retenir pour la conception des équipements.

12.2.« Veille climatique » mise en œuvre
par Électricité de France

Compte tenu des évolutions du climat et dans une démarche d’anticipation, Électricité de France met en œuvre un « veille climatique » sur les agressions externes telles que les inondations externes, les pluies ainsi que les températures (extrêmes) de l’air ambiant. Cette « veille climatique » s’appuie notamment, pour ce qui concerne les températures de l’air ambiant, sur les mesures du réseau national de Météo France.

Cette « veille climatique » permet à Électricité de France de déterminer, dans le cadre des réévaluations de sûreté décennales, les nouvelles données à considérer intégrant les tendances (attendues) au moins pour les dix années suivantes et les incertitudes. La démarche suivie, mise en œuvre dans le cadre de la réévaluation de sûreté associée aux quatrièmes visites décennales des réacteurs de 900 MWe, est schématisée sur la figure 12.1.

Figure 12.1. Logigramme de synthèse de la déclinaison de la démarche de prise en compte de l’évolution climatique dans le cadre du réexamen de sûreté associé aux quatrièmes visites décennales des réacteurs de 900 MWe. IRSN.

12.3.Séismes

Prise en compte des séismes pour la conception
des réacteurs du parc électronucléaire

En France, jusque dans les années 1970, les premières installations nucléaires ont été conçues selon les règles parasismiques en vigueur416, qui ne concernaient pas spécifiquement les installations nucléaires.

En 1974, au moment des études de conception et de sûreté des premiers réacteurs à eau sous pression construits sous licence de Westinghouse, le Département de sûreté nucléaire (DSN) du CEA417 a établi un rapport, dénommé rapport DSN 50 et intitulé « Protection des centrales vis-à-vis des séismes » ; ce rapport recensait les pratiques françaises (réacteurs de recherche, réacteur à neutrons rapides PHENIX) et étrangères (notamment aux États-Unis) en la matière et formulait un certain nombre de propositions, concernant notamment la détermination des spectres418 de sol à utiliser pour l’évaluation de la « réponse » (ou du comportement) de structures à un séisme.

Ces éléments constituèrent une base de travail pour les exploitants et préfigurèrent la règle fondamentale de sûreté RFS I.2.c, diffusée en 1981 par le Service central de sûreté des installations nucléaires, applicable aux réacteurs à eau sous pression ; cette RFS préconise une méthode déterministe « acceptable » pour la détermination des mouvements sismiques à prendre en compte pour la conception des réacteurs à l’égard des risques sismiques419.

La méthode préconisée est déterministe dans la mesure où elle consiste à supposer que des séismes analogues aux séismes historiquement connus (alors en termes d’« intensité » selon l’échelle MSK420 – voir plus loin) peuvent se produire dans l’avenir, dans des positions d’épicentre qui soient plus pénalisantes quant aux effets sur le site, tout en restant compatibles avec les données géologiques et sismiques.

À cet effet, il faut procéder à l’examen des « accidents » sismogènes et des domaines tectoniques, ainsi que des données des sismicités historique (accessible grâce aux archives pour les cinq à dix siècles passés) et instrumentale421 (voir la figure 12.2). L’investigation, d’abord centrée sur le site, doit être poussée géographiquement aussi loin que nécessaire, les frontières n’ayant, bien sûr, aucun rôle ici.

Cette démarche permet de définir, pour le site examiné, un ou plusieurs séismes maximaux historiquement vraisemblables (SMHV422) susceptibles de produire les effets les plus importants sur le site.

Dans les années 1960, le professeur Jean-Pierre Rothé de l’université de Strasbourg avait dressé une carte des séismes historiques (depuis l’an 1021) survenus en France et dans les pays limitrophes, avec leurs intensités lorsqu’elles avaient pu être déterminées ; il avait notamment ainsi établi une carte des intensités maximales observées, qui servait de document de référence pour la protection sismique des installations nucléaires. Il est à noter que, ultérieurement, le territoire national a été étudié de manière plus complète et plus précise aux environs de 1980, dans le cadre de l’élaboration d’un zonage sismique, ou « carte sismotectonique de la France métropolitaine ». Ce travail a été réalisé par le Bureau de recherches géologiques et minières (BRGM), en collaboration avec Électricité de France et le CEA. D’autres travaux ont ensuite été poursuivis en la matière. Ainsi, fruit d’un travail engagé il y a plus de trente ans, la base de données nationale macrosismique des sismicités historique et contemporaine appelée SisFrance (BRGM/EDF/IRSN) bénéficie d’une actualisation permanente pour garantir le meilleur état des connaissances de la macrosismicité de la France. Sous l’impulsion du ministère en charge de l’environnement, SisFrance a été rendue accessible sur internet depuis 2002. La base comprend des informations (dates, positions des épicentres, valeurs d’intensité ponctuelles…) sur les séismes survenus en France.

Figure 12.2. Exemple de données géologiques et sismologiques à prendre en compte pour un site d’installation nucléaire. Georges Goué/IRSN.

Les accidents sismogènes historiques et les domaines tectoniques ont ainsi pu être déterminés de manière homogène sur l’ensemble du pays. Des « zones sismotectoniques » ont été définies, volumes de la croûte terrestre homogènes du point de vue de leur potentiel sismogénique.

La détermination du ou des SMHV pour le site considéré se fait par déplacement, ou « translation », d’épicentres, de la façon suivante (voir la figure 12.3) :

–les séismes historiques de la zone sismotectonique à laquelle appartient le site sont considérés comme pouvant se produire sous le site (séisme maximal désigné par A sur la figure) ;

–les séismes historiques appartenant à une zone sismotectonique voisine sont considérés comme pouvant se produire au point de cette zone le plus proche du site (séisme maximal B sur la figure, le séisme C étant déplacé sur sa faille).

Dans les deux cas, les séismes historiques attribuables à un accident sismogène précis sont considérés comme pouvant se produire au point de cet accident le plus proche du site.

Figure 12.3. Détermination des SMHV. Georges Goué/IRSN.

Pour chacun des SMHV, la RFS définit un séisme majoré de sécurité (SMS), déduit du SMHV par la relation simple en termes d’intensité dans l’échelle MSK (voir le focus ci-après).

ISMS = ISMHV + 1

#FOCUS

Intensité et magnitude des séismes

L’intensité d’un séisme en un point donné de la surface du sol correspond à l’évaluation des effets de ce séisme. L’échelle qui a servi de référence pour la conception des INB en France est l’échelle à douze degrés dite de Medvedev-Sponheuer-Karnik (MSK), diffusée en 1964 et dérivée de l’échelle Mercalli. Les intensités s’écrivent en chiffres romains. Dans l’échelle MSK, l’augmentation d’un degré correspond, en général, au doublement des accélérations au niveau du sol.

Les degrés de l’échelle MSK correspondent aux effets perçus exprimés de la façon suivante :

Échelle MSK

Effets perçus

I

Secousse non perceptible

II

Secousse à peine perceptible

III

Secousse faible, ressentie de façon partielle

IV

Secousse largement ressentie

V

Réveil des dormeurs

VI

Frayeur

VII

Dommages aux constructions

VIII

Destruction de bâtiments

IX

Dommages généralisés aux constructions

X

Destruction générale des constructions

XI

Catastrophe

XII

Changement de paysage

Il ne faut pas confondre cette échelle, représentative des effets en surface et en un lieu donné sur les personnes, les constructions et l’environnement, avec celle des magnitudes qui représentent l’énergie libérée par un séisme. La magnitude d’un séisme se déduit notamment des mesures des sismomètres par une relation logarithmique à partir de l’amplitude mesurée du mouvement du sol. La magnitude a été introduite par Charles Francis Richter en 1935 pour des séismes en Californie (aussi appelée depuis magnitude locale ML). Son utilisation est cependant limitée et il existe aujourd’hui plusieurs échelles de magnitude adaptées aux types de séismes ou d’ondes enregistrées.

En pratique, les magnitudes (ML) observées depuis l’installation de sismographes, au début du siècle dernier, vont de - 1 pour des petites secousses enregistrées par des sismographes très sensibles au voisinage d’un épicentre, à plus de 9 pour les séismes les plus forts survenus au Chili, en Alaska, en Russie, au Japon et en Indonésie.

Il n’y a pas de correspondance simple entre l’échelle d’intensité et l’échelle de magnitude puisque, pour une même magnitude au foyer, les effets en surface et en un lieu donné (intensité) dépendent notamment de la profondeur du foyer, de la distance de ce lieu par rapport au foyer et de la nature des sols.

L’adoption du SMS et non du SMHV pour la conception des centrales électronucléaires provenait du fait que, compte tenu de l’évolution des connaissances, des cas de sous-estimation du SMHV avaient été identifiés en France.

Le déplacement des épicentres au droit ou au plus près des installations projetées concourt à donner aux mouvements sismiques retenus un caractère enveloppe.

Dans ces conditions, à l’échelle de la France, la fréquence qui avait été estimée pour un séisme SMS était, pour un site donné, de l’ordre de grandeur de 10-4 par an423.

Compte tenu des données sismotectoniques de la France – pays de sismicité faible à modérée424 – les réacteurs du parc électronucléaire ont ainsi été conçus pour des séismes majorés de sécurité dont l’intensité varie de VI (site de Dampierre-en-Burly) à VIII-IX (site de Cruas-Meysse).

L’intensité d’un séisme n’est pas en fait une donnée directement utilisable pour la conception d’une installation. Pour chaque site, la pratique est de déduire la magnitude du SMS par l’emploi d’une corrélation avec l’intensité et la distance focale puis d’élaborer un spectre de réponse de résonateurs425 donnant, pour chaque fréquence, l’accélération, la vitesse et les déplacements vertical et horizontal au niveau du sol. Le spectre de réponse est calculé en fonction de la magnitude du séisme et de la distance focale, à l’aide d’une équation de prédiction du mouvement sismique établie à partir d’enregistrements de séismes collectés dans le monde. La RFS I.2.c, diffusée en 1981 a retenu cette pratique pour la définition d’un spectre de séisme « lointain », en proposant de plus un spectre standard de « séisme proche » – ces deux types de séismes426 peuvent en effet solliciter les structures de façons différentes.

Les spectres associés à des séismes réels étant très complexes, il a été préféré, pour les réacteurs du parc électronucléaire français, d’utiliser un ou plusieurs spectres standards, dérivés du Regulatory Guide 1.60 de l’U.S.NRC, enveloppant les spectres caractéristiques des SMS du site par un « calage » adéquat de l’accélération à la fréquence infinie (aussi appelée Peak Ground Acceleration – PGA). Dans le cadre de la standardisation des tranches françaises, les spectres utilisés ont été standardisés (spectres dits de dimensionnement, ou SDD) pour chaque palier, et il a été vérifié que, pour chaque site concerné, les spectres standardisés du palier correspondant étaient bien enveloppes des spectres des SMS du site. Le « calage » standard était à 0,15 g.

Pour certaines tranches situées dans le bassin parisien, région particulièrement peu sismique, un « sous-standard » moins contraignant a été utilisé. Enfin, à l’inverse, des dispositions particulières ont été prises pour les sites présentant des caractéristiques qui sortaient de l’enveloppe du palier standardisé. Il peut s’agir de sols rocheux particulièrement rigides, de la possibilité de séismes superficiels induisant des spectres d’accélération, vitesse et déplacement particulièrement riches en hautes fréquences qui ne seraient pas enveloppés par le spectre standard, ou de séismes majorés de sécurité d’intensité supérieure à VIII dans l’échelle MSK.

Évolution de la démarche

Depuis les années 1980, la pratique a progressivement favorisé le classement des séismes selon une échelle dite de magnitude d’ondes de surface (Ms)427 et de magnitude de moment (Mw)428. Depuis C. F. Richter (voir le focus plus haut), de nouvelles définitions de la magnitude ont été proposées, essentiellement pour caractériser les événements quelle que soit la région du monde et enregistrés par tout type d’instruments, ces derniers ayant considérablement évolués depuis 1935, et de façon à estimer physiquement, et non plus empiriquement, la taille de la rupture.

En 2001, une nouvelle règle fondamentale de sûreté, la RFS 2001-01, a été diffusée par la Direction de la sûreté des installations nucléaires, après plusieurs années de discussions avec notamment les concepteurs et les exploitants d’installations nucléaires. Cette nouvelle RFS conserve une approche déterministe et introduit des développements complémentaires concernant la prise en compte des paléoséismes et des effets de site (voir le focus plus loin).

Exprimée en termes de magnitude des ondes de surface, la majoration d’une unité d’intensité entre le SMS et le SMHV devient :

MsSMS = MsSMHV + 0,5

La RFS 2001-01 préconise également une équation de prédiction des mouvements sismiques mise à jour qui tient compte d’un plus grand nombre de séismes que celle qui était préconisée par la RFS de 1981 et qui couvre à la fois des séismes « lointains » et les séismes « proches ».

Concernant les paléoséismes, la nouvelle RFS préconise d’examiner s’il existe des failles actives à proximité des sites retenus avec des évidences de rupture de surface et le risque (en termes de période de retour et de magnitude associée aux dimensions de la faille) qu’elles puissent être à l’origine de nouveaux séismes pouvant avoir des effets au niveau des sites.

Enfin, pour les sites à très faible risque sismique, un spectre minimal forfaitaire est recommandé par la RFS 2001-01, pour lequel l’accélération maximale du sol (PGA) est calée à 0,1 g.

Pour le parc électronucléaire français, la RFS 2001-01 est prise comme référence lors des réévaluations sismiques associées aux visites décennales, qui par ailleurs prennent en compte, en tant que de besoin, les évolutions évoquées plus haut du zonage sismique du territoire métropolitain. Ces réévaluations sismiques ont été plus particulièrement significatives, en termes de renforcement de structures, pour le site de Fessenheim et pour le site du Bugey429.

Pour la conception du réacteur EPR Flamanville 3, des marges significatives ont été adoptées, en retenant un spectre forfaitaire de dimensionnement, dit EUR430, calé à 0,25 g (le SMS du site de Flamanville étant calé à 0,16 g).

#FOCUS

Paléoséismes – Effets de site

Les paléoséismes sont d’anciens séismes forts survenus lors de périodes reculées (quelques dizaines voire centaines de milliers d’années), identifiables par les traces qu’ils ont laissées dans les dépôts géologiques. Leur étude a pour objectif d’apprécier l’existence de tels séismes et de les caractériser, de façon à compléter la connaissance de la sismicité d’un site au-delà de la période instrumentale (dernier siècle) et de la période historique (globalement le dernier millénaire en France).

Les effets de site à étudier correspondent aux amplifications possibles des mouvements sismiques, du fait de l’existence d’une couche de sol de faible résistance mécanique à proximité de la surface (voir par exemple la figure 12.4). L’équation de prédiction du mouvement sismique de la RFS 2001-01 permet de calculer les spectres de réponse pour deux conditions de site en fonction de la vitesse moyenne des ondes de cisaillement mesurée dans les 30 premiers mètres de profondeur.

Figure 12.4.Exemple d’effets de site dans la zone lacustre de Mexico (1985). Caractérisation du comportement non linéaire des sols sous chargement sismique. J.F. Semblat, A. Pecker (IUSS Press, 2009).

En outre, dans certains cas particuliers, du fait d’une géométrie complexe ou d’une forte épaisseur des couches sédimentaires (par exemple, présence d’une cuvette sédimentaire), il peut se produire une amplification ou un allongement de la durée du mouvement sismique ; ces effets, dits effets de site particuliers, ne sont pas dus uniquement aux propriétés superficielles du sol dans les 30 mètres sous sa surface.

Comme cela a été indiqué plus haut, tous les composants d’une installation subissant les effets des mouvements sismiques, la sûreté de celle-ci suppose une conception adéquate431 d’un ensemble d’équipements (selon l’approche « cas de charge ») sélectionnés pour que ne soient pas compromis, dans le cas d’un réacteur nucléaire, un état sûr et le maintien dans cet état, en considérant différentes situations initiales du réacteur, y compris des situations accidentelles. Mais une approche complémentaire a aussi été mise en œuvre432, il s’agit de l’approche « séisme-événement » (déjà évoquée au paragraphe 11.1) : un second ensemble d’équipements a alors fait l’objet d’une attention particulière, le but étant d’éviter qu’ils puissent venir agresser le premier ensemble d’équipements en cas de séisme (par leur défaillance ou leur chute par exemple).

La vérification du bon comportement des équipements sous sollicitations sismiques peut être réalisée par calculs (cela est le cas du génie civil ou des structures métalliques), ou par des essais en vraie grandeur sur table vibrante pour des équipements tels que, par exemple, des armoires électriques.

Pour déterminer les sollicitations sismiques subies par les équipements, deux phénomènes sont notamment à prendre en compte :

–l’interaction sol-structures (de génie civil),

–la transmission des mouvements depuis les fondations des bâtiments jusqu’aux différents éléments de structure sur lesquels les équipements sont installés – qui conduit généralement à une amplification des accélérations depuis le niveau des fondations vers les zones les plus hautes des bâtiments433.

Une pratique acceptable est d’étudier la « réponse » des structures en utilisant des modèles de comportement linéaire (élastique), les incursions dans le domaine plastique pouvant être traitées au cas par cas en fonction des endommagements admissibles des structures.

Parmi les équipements considérés dans la démarche « séisme-événement », les ponts de manutention doivent faire l’objet d’une attention particulière. La chute d’un pont de manutention ou de son chariot peut en effet occasionner des dégâts importants. La prévention de la chute d’un tel pont ou de son chariot, quelle qu’en soit la cause, apparaît donc essentielle : conception, dimensionnement – notamment à l’égard des séismes – et réalisation suivant les meilleures pratiques éprouvées, mise en œuvre de contrôles en service (dont les contrôles prévus par la règlementation sur les appareils et accessoires de levage). Des règles d’exploitation peuvent également être mises en œuvre pour réduire au strict nécessaire les survols de zones présentant des risques, voire en prenant des dispositions garantissant l’absence de survol de certains équipements dans les états du réacteur où leur disponibilité est requise au titre de la démonstration de sûreté…

Il est possible de modifier les sollicitations dynamiques des structures d’une centrale en interposant entre le sol et ces structures des appuis spéciaux formés par des plots en béton armé surmontés de patins en élastomère fretté possédant une grande souplesse horizontale, associée à une grande raideur verticale. Ces appuis peuvent être de deux types :

–des appuis purement élastiques, tels que ceux qui ont été retenus pour le cas de la centrale nucléaire de Cruas-Meysse ;

–des appuis élastiques dotés de plaques de glissement qui permettent de faire face à des déplacements plus importants ; ils ont été utilisés pour les tranches de la centrale nucléaire de Kœberg (Afrique du Sud) de conception Framatome, implantées sur un site aux caractéristiques sismiques plus contraignantes.

Dans les deux cas, l’ensemble de l’îlot nucléaire est disposé sur un radier unique pour éliminer les problèmes que poseraient les liaisons entre bâtiments indépendants (c’est aussi le cas du réacteur EPR Flamanville 3).

Par ailleurs, les réacteurs du parc électronucléaire ont été équipés d’une instrumentation sismique – suivant en cela les préconisations d’une règle fondamentale de sûreté de 1984 sur ce sujet (RFS I.3.b). L’objectif d’une telle instrumentation est, en cas de survenue de secousses sismiques sur un site, de permettre à l’exploitant concerné une acquisition de données sur ces secousses, en termes de mouvements sismiques auxquels ont été soumis les équipements importants pour la sûreté, afin de les comparer aux mouvements sismiques ayant servi de base à la conception des installations et d’en tirer des éléments d’appréciation quant à la poursuite de l’exploitation des réacteurs du site concerné et aux éventuelles conditions associées (contrôle préalable de certaines structures…).

L’instrumentation sismique mise en place comporte un certain nombre d’accéléromètres judicieusement implantés dans les bâtiments ainsi qu’en « champ libre ». Une alarme est déclenchée en salle de commande lorsqu’une accélération mesurée dépasse 0,01 g.

Dans les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression », applicables au réacteur EPR, un « séisme d’inspection » calé à 0,05 g a été retenu ; il y est indiqué que « après l’occurrence d’un séisme de niveau inférieur ou égal à celui-ci, aucune vérification ou inspection des composants importants pour la sûreté ne devrait être nécessaire avant de ramener ou de maintenir la tranche en fonctionnement normal. Cependant des dispositions adéquates doivent être mises en place au stade de la conception pour permettre les inspections et les tests qui pourraient s’avérer nécessaires en cas de dépassement de ce niveau d’accélération. »

Enseignements tirés de l’accident survenu à la centrale nucléaire
de Fukushima Daiichi et évolution de la démarche
en matière de risque sismique

L’accident survenu au mois de mars 2011 à la centrale nucléaire de Fukushima Daiichi a conduit à s’interroger sur les risques associés à des aléas externes d’ampleurs supérieures à celles qui ont été retenues pour la conception des réacteurs électronucléaires, qui pourraient de plus affecter simultanément l’ensemble des installations d’un même site, en particulier les risques associés à de tels séismes.

Les dispositions mises en place en France pour les réacteurs du parc électronucléaire à la suite des évaluations complémentaires de sûreté menées à cette fin sont développées au chapitre 36. Elles reposent notamment sur le concept de « noyau dur » d’équipements pouvant résister à un séisme d’intensité supérieure à celle du SMS. De plus, dans le cadre de ces évolutions, Électricité de France a équipé les réacteurs électronucléaires d’un dispositif déclenchant l’arrêt automatique du réacteur (AAR) en cas de dépassement d’un seuil de signal sismique.

Au plan méthodologique, concernant l’aléa sismique, l’Autorité de sûreté nucléaire a demandé434 que le séisme retenu pour les équipements du « noyau dur » :

–soit « enveloppe du séisme majoré de sécurité (SMS) du site, majoré de 50 % »,

–soit « enveloppe des spectres définis de manière probabiliste avec une période de retour de l’ordre de 20 000 ans »,

–prenne « en compte pour sa définition les effets de site particuliers et notamment la nature des sols ».

Pour répondre au deuxième point de cette demande, Électricité de France a mis en œuvre une méthode d’évaluation probabiliste de l’aléa sismique dite PSHA435.

Cette méthode, décrite ici de façon relativement succincte, comporte les étapes suivantes (voir la figure 12.5) :

–il convient tout d’abord de collecter toutes les données géologiques, géophysiques et sismologiques qui serviront à évaluer les taux de récurrence des séismes, en agrégeant les informations « instrumentales » (déduites de mesures qui ne sont disponibles que pour des séismes récents) et historiques (déduites d’archives écrites) ;

–l’étape suivante consiste à sélectionner ou développer des modèles sismotectoniques fondés sur une interprétation des données collectées. Ces modèles définissent des « sources sismiques » constituées, soit de failles, soit de zones géographiques ayant des propriétés sismiques et géologiques considérées comme homogènes (zones sismotectoniques). Pour chaque source sismique, la fréquence des séismes est estimée en fonction de leur magnitude, de leur profondeur… La gamme des magnitudes à prendre en compte pour réaliser le calcul d’aléa est également définie ;

–il est ensuite nécessaire de sélectionner les équations de prédiction du mouvement sismique436 qui permettront de calculer les mouvements sismiques (en pratique, une distribution caractérisée par une moyenne et un écart-type) pour le site considéré en fonction des paramètres des sources tels que la magnitude et la distance focale. La variabilité des mouvements sismiques est prise en compte dans les calculs en intégrant les prédictions jusqu’à un nombre d’écarts-types fixé ;

–enfin, la probabilité de dépassement d’une valeur de mouvement du sol au site est évaluée. La prise en compte des caractéristiques du sol sous les installations est nécessaire car les conditions géologiques locales peuvent modifier les mouvements subis par les structures.

Figure 12.5. Schéma montrant les différentes étapes de la méthode PSHA. Oona Scotti/IRSN.

Il est à noter que le nouveau zonage sismique de la France pour le bâti conventionnel (et les ICPE437), qui est entré en vigueur le 1er mai 2011, repose sur une évaluation probabiliste de l’aléa sismique ; il est toutefois établi en considérant des périodes de retour de séismes inférieures à celles qui sont visées pour les installations nucléaires (supérieures à 10 000 ans).

Bilan des préconisations adoptées au plan international

Quatre textes pararèglementaires servent en France de références pour la prise en compte des risques sismiques :

–la RFS 2001-01 (2001), « Détermination du risque sismique pour la sûreté des installations nucléaires de base de surface » (qui a remplacé la RFS I.2.c de 1981, « Détermination des mouvements sismiques à prendre en compte pour la sûreté des installations »),

–la RFS I.3.b (1984), « Instrumentation sismique »,

–le guide ASN/2/01 (2006), « Prise en compte du risque sismique à la conception des ouvrages de génie civil d’installations nucléaires de base, à l’exception des stockages à long terme des déchets radioactifs » (qui a remplacé la RFS V.2.g de 1985, « Calculs sismiques des ouvrages de génie civil »),

–la RFS I.3.c (1985), « Études géologiques et géotechniques du site ; détermination des caractéristiques des sols et études du comportement des terrains ».

La RFS I.3.c comporte notamment un certain nombre de préconisations concernant l’étude des sujets suivants :

–le risque de « liquéfaction »438 des sols, qui peut éventuellement survenir lors de séismes de forte intensité ; les résultats de l’étude doivent conduire à démontrer l’existence d’une marge de sécurité suffisante à l’égard des risques de propagation d’une liquéfaction des couches de terrains concernées et des remblais ;

–la stabilité des pentes (terre, roche, etc.), naturelles ou construites ;

–le risque de « rejeu » d’une faille439 : si les reconnaissances des terrains du site mettent en évidence certains accidents pouvant être interprétés comme des manifestations de telles failles, il y a lieu de s’assurer par une analyse détaillée de nature tectonique que le risque de « rejeu » peut être écarté pendant la durée de vie de l’installation. Cela entre dans l’examen du déplacement des failles à l’origine de l’aléa sismique, encore appelées « failles capables », c’est-à-dire l’étude des failles actives ayant un potentiel significatif de produire un déplacement à la surface du sol.

Pour le cas des séismes, le guide ASN n° 22 énonce deux objectifs de sûreté :

–« En cas de séisme du domaine de conception étendu, le comportement du cœur (en particulier, la structure des assemblages de combustible), des équipements internes de la cuve ainsi que des mécanismes des grappes ne doit pas faire obstacle à la mise à l’arrêt du réacteur, à son maintien à l’état sous-critique et au refroidissement du combustible. »

–« Les éléments structurels doivent avoir une résistance suffisante pour que le compartiment d’entreposage [du combustible usé] assure ses fonctions de sûreté en cas de séisme du domaine de conception étendu. »

Au plan international, deux documents peuvent notamment être cités :

–la norme NS-R-3, diffusée en 2003 par l’AIEA et qui a fait l’objet d’une révision en 2016, intitulée « Site Evaluation for Nuclear Installations » ;

–le guide de l’association WENRA en date du 11 octobre 2016 intitulé « Guidance Document Issue T: Natural Hazards/Guidance on Seismic Events/Annex to the Guidance Head Document on Natural Hazards ».

La norme NS-R-3 insiste notamment sur l’importance, lors du choix du site d’un projet d’installation nucléaire, d’évaluer le risque de survenue de ruptures de surface440 sur ce site, par un examen des « failles capables » effectué sur la base du meilleur état des connaissances géophysiques, géomorphologiques, géodésiques et sismologiques. Si cet examen montre l’existence d’une « faille capable » pouvant affecter la sûreté de l’installation, un autre site doit être recherché.

Le guide WENRA apporte des explications additionnelles, pour le cas des séismes, au document général concernant les « niveaux de référence » (pour les réacteurs électronucléaires) en matière d’agressions naturelles, mis à jour à la lumière des enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi441. Il énumère et développe un certain nombre de points à examiner (liste non exhaustive) :

–les possibilités d’« effets de site » et de « failles capables » ;

–les phénomènes de toutes natures qui pourraient résulter d’un séisme (instabilités, compaction dynamique ou liquéfaction des sols, incendies, inondations, ruptures de barrages, perte des alimentations électriques externes, conséquences de défaillances dans des installations de l’environnement industriel provoquées par un séisme…) ;

–l’usage qui peut être fait des approches déterministes (DSHA442) aussi bien que probabilistes (PSHA) dans les études visant à définir les mouvements de sol à prendre en compte pour la conception de base de l’installation ou au titre du domaine de conception étendu ;

–la façon de déterminer les mouvements maximaux du sol à retenir pour la conception de base de l’installation, qui doivent être fondés sur des données géologiques, sismologiques, paléosismologiques et géotechniques fiables ; des « séismes maximums plausibles »443 sont à déterminer sur la base des dimensions des failles d’intérêt ;

–dans le domaine de conception étendu (DEC), des séismes correspondant à des fréquences d’occurrence inférieures à 10-4 par an sont à étudier, en intégrant des marges adéquates pour tenir compte des incertitudes ; une évaluation des marges et du risque d’« effet falaise » est à mener, par une analyse de la robustesse des équipements permettant d’assurer les fonctions fondamentales de sûreté.

12.4.Inondations externes

C’est presque un paradoxe de considérer qu’en cas d’inondation submergeant la plateforme d’une centrale nucléaire de graves problèmes de refroidissement se poseraient pour les réacteurs de cette centrale. C’est pourtant le cas. En l’absence de dispositions appropriées, les réacteurs pourraient perdre, par submersion ou destruction mécanique, les alimentations électriques externes et internes nécessaires pour entraîner les pompes de refroidissement ainsi que d’autres systèmes, même à turbine, capables d’assurer ce refroidissement pendant une certaine durée. L’inondation (partielle) du site de la centrale nucléaire du Blayais à la fin de l’année 1999 et la submersion de la plateforme de la centrale nucléaire de Fukushima Daiichi au mois de mars 2011 par un tsunami ont, bien que d’ampleurs différentes, mis en évidence les effets et les dégâts que peuvent entraîner des inondations externes sur des équipements importants de réacteurs nucléaires (voir les chapitres 24 et 36).

Sont développés plus particulièrement ci-après le traitement des risques d’inondation de sites nucléaires ayant pour origine une crue de rivière ou une montée du niveau d’eau de la mer – qui concernent les sites en bordure de rivière ou de mer – bien que d’autres phénomènes doivent être pris en compte pour l’aménagement des sites et la conception des réacteurs, par exemple les pluies locales.

Approche retenue pour la construction des réacteurs
du parc électronucléaire français à l’égard des risques
d’inondations externes

Électricité de France a d’abord retenu de protéger chacune de ses centrales nucléaires contre les inondations d’origine externe considérées comme plausibles par un calage adéquat de la plateforme. La façon de déterminer la cote de calage a différé selon le type de site.

Pour les sites des réacteurs de 900 MWe, la pratique a été la suivante :

–pour les sites en bord de rivière (dits fluviaux), le plus haut des niveaux suivants a été retenu :

•celui qui correspond à une crue millénale estimée,

•celui qui résulterait de la conjonction de la plus forte crue connue, ou de la crue centennale si elle est plus importante, et de l’effet de l’effacement de l’ouvrage de retenue le plus important situé en amont ;

–pour les sites en bord de mer, la cote correspondant à la conjonction de la marée maximale calculée (coefficient 120) et de la surcote marine millénale a été retenue ;

–pour les sites en bord d’estuaire, le plus haut des niveaux suivants a été retenu :

•celui qui pourrait résulter de la conjonction de la crue millénale du fleuve et de la marée de coefficient 120,

•celui qui pourrait résulter de la conjonction du débit centennal, de la rupture du barrage situé en amont le plus contraignant et de la marée moyenne de coefficient 70,

•celui qui pourrait résulter de la conjonction de la surcote marine millénale et d’une marée de coefficient 120.

Dans tous les cas, la plateforme supportant les matériels importants pour la sûreté a été calée à une cote au moins égale à celle qui était déterminée par cette méthode, des dispositions d’obturation des voies d’accès d’eau situées en dessous de ce niveau étant mises en œuvre.

Il est apparu que, dans le cas des sites pour lesquels la situation « dimensionnante » était la crue millénale, la probabilité d’une telle crue (par définition de l’ordre de 10-3 par an) était élevée pour un phénomène susceptible de provoquer des conséquences significatives. De l’avis des spécialistes concernés, il était pourtant illusoire de vouloir déterminer de manière scientifique un débit de crue de probabilité nettement plus faible, en l’absence de loi justifiée en ce domaine. Il a donc été retenu :

–de prendre des précautions particulières pour la détermination du niveau d’eau pouvant résulter de la crue millénale. Dans la mesure du possible, les incertitudes ont été estimées de manière majorante ; la valeur retenue pour le débit de la crue millénale n’a pas été la valeur moyenne calculée, mais la borne supérieure de l’intervalle de confiance à 70 % ;

–de majorer en tout état de cause le débit de 15 %.

Le gain ainsi obtenu ne pouvait pas être chiffré et les organismes de sûreté ont demandé que des parades soient prévues, dans le cadre de la mise en œuvre des plans d’urgence internes, pour faire face à des crues encore plus importantes. Cette approche a fait l’objet de la règle fondamentale de sûreté RFS I.2.e diffusée en avril 1984, définissant une méthode permettant d’établir la cote majorée de sécurité (CMS), c’est-à-dire le niveau d’eau susceptible d’être atteint en bordure du site et en fonction duquel devaient être mises en œuvre les protections appropriées.

Les autres phénomènes pouvant conduire à une inondation ont été pris en compte au cas par cas, suivant des approches variées.

Grâce au système de surveillance des crues qui peut donner l’alerte plusieurs heures à l’avance, il a été admis qu’un réacteur pourrait être mis dans un état d’arrêt sûr avant la submersion de sa plateforme.

Divers moyens d’obturation des entrées dans les bâtiments importants pour la sûreté ont été étudiés et mis en place par Électricité de France – en particulier pour les plus anciennes centrales des bords de la Loire pour lesquelles le calage de la plateforme avait été fait sur la base de la crue millénale, ce fleuve ne comportant pas de barrage important.

De l’inondation de la centrale nucléaire du Blayais
au « guide inondation »

La tempête Martin, qui a balayé le sud de la France les 27 et 28 décembre 1999, a causé de nombreux dégâts dont l’inondation d’une partie du site de la centrale nucléaire du Blayais, en provoquant la défaillance de systèmes importants pour la sûreté. Cet événement, décrit au chapitre 24, a montré que les protections du site, définies en tenant compte des niveaux déterminés selon les méthodes préconisées par la RFS I.2.e, n’étaient pas suffisantes, notamment pour ce qui concerne la houle pour un site en bord d’estuaire. Ce sont néanmoins les vagues générées par la tempête dans l’estuaire de la Gironde qui ont mis en défaut les digues de protection de la centrale nucléaire du Blayais.

Cet événement a entraîné la mise en place, dès l’année 2000 (et jusqu’en 2014), d’un renforcement de la protection contre les inondations des sites nucléaires concernés, présenté au chapitre 24 – reposant notamment sur la mise en œuvre d’un concept de « protection volumétrique » et incluant également un rehaussement de certaines digues. Pour le réacteur EPR Flamanville 3, la plateforme a été calée 4 mètres au-dessus de la cote majorée de sécurité.

En parallèle, l’Autorité de sûreté nucléaire a jugé opportun de réviser la RFS I.2.e pour prendre en compte de manière systématique l’ensemble des phénomènes pouvant conduire à l’inondation d’une installation nucléaire (la figure 12.6 en est une illustration schématique).

Les travaux visant la mise à jour de la RFS I.2.e – largement fondés sur le retour d’expérience de l’inondation du site de la centrale nucléaire du Blayais en 1999 – ont été engagés en associant un certain nombre d’organismes (parmi lesquels Électricité de France, Areva et l’IRSN qui en a été le pilote) pour examiner les risques d’inondation de toutes natures d’origine externe aux installations, avec des études relatives à l’applicabilité de méthodes statistiques pour expliquer des événements de type horsain444, aux pluies extrêmes, au traitement des hétérogénéités dans le traitement statistique de données (crues fluviales notamment), à l’analyse historique d’événements exceptionnels (tsunamis sur la côte Atlantique…) ou encore à l’évaluation du risque de percolation à travers des digues445. Huit phénomènes ont été pris en compte en plus des cinq traités par la RFS de 1984.

Figure 12.6. Schéma simplifié illustrant les différents phénomènes pouvant conduire à l’inondation d’un site de centrale nucléaire et les conséquences possibles. Georges Goué/IRSN.

Pour chaque phénomène (le niveau marin et les événements associés – y compris les tsunamis –, les crues de rivière et les événements associés, les phénomènes pouvant affecter tous les types de sites [pluies et ruissellement, remontées de nappes d’eau souterraines, ruptures de barrage]), ont été examinés :

–les données de base,

–les paramètres physiques à quantifier (intensité, volume, niveau d’eau…),

–les méthodes de caractérisation existantes (déterministes ou statistiques), en identifiant les limites de ces méthodes,

–l’identification et la prise en compte des incertitudes,

–l’influence des évolutions climatiques,

–la dépendance entre les différents phénomènes ou événements.

Cela a conduit au guide ASN n° 13446 (« guide inondation »), diffusé en 2013 et destiné notamment aux exploitants, qui présente des recommandations pour l’évaluation et la quantification des risques d’inondation externe, ainsi que pour la définition des moyens de protection adaptés pour y faire face, cela en considérant une large variété de situations pouvant découler d’une inondation : l’isolement d’un site (voies d’accès impraticables), l’indisponibilité de fonctions supports (alimentations électriques externes, prise d’eau [colmatée par des débris], moyens de secours externes…), l’agression simultanée de plusieurs installations du site concerné… Comme cela a été indiqué plus haut, l’élaboration du guide s’est inscrite dans la continuité des enseignements tirés de l’inondation de la centrale nucléaire du Blayais à la fin de 1999. Au-delà des enseignements directs, l’état de l’art réalisé a permis une réflexion de fond s’appuyant sur les progrès des connaissances pour assurer une prise en compte plus complète et plus robuste des risques d’inondation externe. Le guide ASN n° 13 constitue ainsi un texte de référence non seulement pour les nouveaux projets d’installations nucléaires mais aussi pour les réévaluations de sûreté décennales des réacteurs en exploitation.

Suivant les préconisations du guide ASN n° 13, des « situations de référence pour les risques d’inondation », dites SRI447, sont à définir à partir d’événements ou de conjonctions d’événements dont les caractéristiques sont éventuellement majorées (conjonctions pénalisantes ou majorations permettant de compenser les limites des connaissances). Des conjonctions sont retenues lorsqu’une dépendance est avérée ou présumée entre des événements susceptibles de causer une inondation. En outre, lorsqu’un risque de concomitance a été identifié au regard de la durée et de la fréquence de l’un ou l’autre des événements, leur conjonction est à retenir.

Le guide ASN énumère les différentes SRI à prendre en compte :

–pour tous les sites, au minimum les cinq SRI suivantes :

•les pluies locales,

•la crue dans un petit bassin versant,

•la dégradation ou la rupture d’ouvrages ou d’équipements,

•l’intumescence448,

•une remontée de la nappe phréatique ;

–pour tous les sites fluviaux :

•la crue dans un grand bassin versant − le débit de référence correspond au débit maximal instantané associé à la crue millénale en considérant la borne supérieure de l’intervalle de confiance à 70 %, majorée de 15 % −,

•la rupture d’un ouvrage de retenue − la rupture de l’ouvrage de retenue conduisant aux conditions les plus contraignantes pour le site est à considérer −,

•le clapot449 ;

–pour tous les sites en bord de mer :

•les marées − le niveau maximal de la marée théorique est cumulé à la surcote millénale (borne supérieure de l’intervalle de confiance à 70 %), majorée pour tenir compte des incertitudes sur l’évaluation des surcotes rares (horsains) −,

•les vagues (vagues océaniques et clapot),

•les seiches450,

•les tsunamis…,

avec des considérations particulières pour les sites en bordure d’estuaires.

L’exploitant d’une installation nucléaire doit bien entendu effectuer un suivi de l’évolution des risques d’inondation de son site et prendre des dispositions pour acquérir, tout au long de l’exploitation de son installation, les données qualitatives et quantitatives en la matière.

Le guide ASN n° 13 présente un certain nombre de préconisations sur la façon d’évaluer les conséquences, sur un site d’installation nucléaire, des différents phénomènes précités et sur les dispositions de protection qui peuvent être mises en place afin d’assurer le maintien des fonctions fondamentales de sûreté, tant organisationnelles que matérielles ; ces dispositions doivent viser à disposer de plusieurs « lignes de défense », aussi indépendantes que cela est raisonnablement possible. Le guide préconise également que le risque d’« effet falaise » soit évalué pour chaque SRI.

Le guide évoque également le cas où la protection des installations à l’égard d’une SRI repose en partie sur un système d’alerte, sujet développé ci-après.

Gestion de situations d’alerte d’inondation

Parmi les multiples questions d’intérêt, en termes de sûreté, soulevées par l’inondation partielle de la centrale nucléaire du Blayais, ont été examinées celles de la surveillance des sites des centrales nucléaires de production d’électricité à l’égard des risques d’inondation et de la gestion à adopter en cas d’alerte. Le schéma de la figure 12.7 montre l’articulation des différents sujets traités.

Figure 12.7. Schéma illustrant les différents sujets examinés après l’inondation de la centrale nucléaire du Blayais. IRSN.

Lorsque cela a été jugé approprié, un système d’alerte « inondation » a été mis en place à l’égard des inondations externes prédictibles (notamment les crues fluviales ou côtières, les pluies) de façon à anticiper les actions à mettre en œuvre pour protéger les sites (par exemple, la fermeture d’un accès dans une digue, la vérification de l’étanchéité de la « protection volumétrique », la surveillance de la station de pompage, le « repli » des réacteurs en état d’arrêt…) ou à acheminer à temps les ressources humaines et matérielles nécessaires si le site devait être momentanément isolé.

La nécessité et la caractérisation de ce système d’alerte (degré d’anticipation, nombre de phases) dépendent de la vulnérabilité du site face aux différents phénomènes d’inondation externe et plus précisément aux risques suivants :

–risque d’inondation de la plateforme de l’îlot nucléaire,

–risque d’isolement du site (site inaccessible),

–risque de perte des alimentations électriques externes des réacteurs du site,

–risque de dégradation de la fonction de filtration de la prise d’eau (source froide) qui pourrait mettre en cause la capacité des réacteurs à pomper l’eau dont elles ont besoin, en cas de présence de débris charriés par l’inondation.

Ce système d’alerte doit être étroitement associé à des procédures spécifiques « inondation » qui prescrivent les actions à réaliser sur le site avant et au cours de l’inondation. Il doit procurer un degré d’anticipation suffisant et peut comporter jusqu’à quatre phases graduelles, comme cela est schématisé sur la figure 12.8 ci-après : veille (fonctionnement normal), vigilance (actions préventives), pré-alerte (actions renforcées) et alerte (repli des tranches en état sûr).

Par ailleurs, l’organisation de crise est adaptée pour tenir compte des spécificités d’une situation d’inondation externe : d’une part, tous les réacteurs d’un même site peuvent être simultanément affectés, d’autre part le site peut être isolé (difficultés d’accès et d’acheminement de ressources humaines et matérielles sur le site). La phase d’alerte conduit à mettre en œuvre le plan d’urgence interne (PUI) – voire à activer l’organisation nationale de crise impliquant Électricité de France, l’ASN, le ou les préfets concernés, l’IRSN… –, sachant que dès la phase de pré-alerte, une organisation de crise interne au site (organisation dite « INFRA PUI ») est mise en place.

Figure 12.8. Schéma illustrant le principe du système d’alerte d’inondation pour un site de centrales nucléaires. IRSN.

Enseignements tirés de l’accident de la centrale nucléaire
de Fukushima Daiichi en matière de risques d’inondation externe

De la même manière que pour le cas des risques sismiques, l’accident survenu au mois de mars 2011 à la centrale nucléaire de Fukushima Daiichi a conduit à s’interroger sur les risques d’inondations externes d’ampleurs supérieures à celles qui étaient retenues pour la conception des réacteurs électronucléaires, qui pourraient affecter simultanément l’ensemble des installations d’un même site (voir le chapitre 36).

Les dispositions mises en place pour les réacteurs du parc électronucléaire, à la suite des évaluations complémentaires de sûreté, sont notamment fondées sur le concept de « noyau dur » d’équipements pouvant résister à des inondations externes d’ampleurs supérieures à celles pour lesquelles les centrales étaient protégées.

–Niveaux marins :

Pour les sites du Blayais et de Gravelines, Électricité de France a suivi les préconisations du guide ASN n° 13 en ajoutant, pour définir la protection des équipements du « noyau dur », une majoration forfaitaire de 50 cm au niveau marin correspondant à la marée théorique maximale avec une surcote millénale. Pour calculer la surcote millénale, une approche statistique intégrant les informations régionales et historiques a été mise en œuvre. Certains aspects (prise en compte d’horsains par exemple) sont approfondis dans le cadre de travaux de recherche et de développement, de façon compatible, en termes de calendrier, avec le déploiement prévu des protections des équipements du « noyau dur » sur ces deux sites.

–Niveaux fluviaux :

Pour les niveaux fluviaux, Électricité de France a majoré de 30 % la crue fluviale de référence pour la protection des équipements du « noyau dur », notamment au regard du comportement des ouvrages hydrauliques pour ces niveaux de crue.

–Pluies, inondations induites par un séisme :

Pour la protection des équipements du « noyau dur », Électricité de France a retenu trois scénarios de déversement d’eau directement sur la plateforme des sites nucléaires : des pluies centennales doublées, des pluies centennales associées à une obstruction totale du réseau d’eaux pluviales ainsi qu’une inondation induite par la rupture d’ouvrages ou d’équipements du site sous l’effet d’un séisme « noyau dur ». Des valeurs de découplage ont été retenues par Électricité de France pour dimensionner les protections des équipements du « noyau dur » de chaque site, en intégrant une marge variable selon les sites par rapport à la lame d’eau maximale ainsi calculée.

Bilan des préconisations ou des exigences
adoptées au plan international

Comme cela a été évoqué plus haut, en France, la prise en compte du risque d’inondation pour les installations nucléaires a fait l’objet de la RFS I.2.e (1984), « Prise en compte du risque d’inondation d’origine externe », remplacée ensuite par le guide ASN n° 13 (2013), « Protection des installations nucléaires de base contre les inondations externes ».

Des préconisations plus récentes sont formulées dans le guide ASN n° 22, qui ont été rappelées au paragraphe 12.1. Celles qui sont de portée générale s’appliquent bien entendu aux risques d’inondations d’origine externe.

Au plan international, les documents suivants peuvent être cités :

–la norme NS-R-3, diffusée en 2003, qui a fait l’objet d’une révision en 2016, intitulée « Site Evaluation for Nuclear Installations » − déjà évoquée au paragraphe 12.3 −,

–le guide de l’association WENRA en date du 11 octobre 2016 intitulé « Guidance Document Issue T : Natural Hazards/Guidance on External Flooding/Annex to the Guidance Head Document on Natural Hazards ».

Le guide WENRA apporte des explications additionnelles, pour le cas des inondations d’origine externe, au document général concernant les « niveaux de référence » en matière d’agressions naturelles, mis à jour à la lumière des enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi451. Ce guide :

–dresse une liste des très nombreux phénomènes pouvant conduire in fine, directement ou indirectement, à l’inondation d’un site d’installation nucléaire (y compris les glissements de terrain, la fonte de neige ou d’un glacier…) ;

–souligne, comme pour le cas du séisme, la nécessité de tenir compte des combinaisons plausibles d’agressions avec l’inondation externe et des effets induits par cette dernière ;

–énumère, pour l’étude de la protection de l’installation, un certain nombre de phénomènes susceptibles de survenir sur le site lui-même du fait de l’inondation et de mettre en cause le bon fonctionnement des équipements permettant d’assurer les fonctions de sûreté (engorgement de conduites, obstruction par des débris de conduite ou d’exutoires, inaccessibilité du site ou de locaux de l’installation…) ;

–fournit, comme pour le séisme, des éléments quant à la façon de déterminer les paramètres d’intérêt à retenir pour la conception de base de l’installation (hauteur d’eau, débit d’eau…), qui doivent prendre en compte les données historiques les plus larges et fiables disponibles, et, dans un souci d’anticipation, prendre en compte, autant que nécessaire, les évolutions attendues du climat pour la durée de vie prévue pour l’installation ;

–préconise la prise en compte, dans le domaine de conception étendu, d’inondations externes correspondant à des fréquences d’occurrence inférieures à 10-4 par an, en y intégrant des marges adéquates pour tenir compte des incertitudes ; une évaluation des marges et des risques d’« effet falaise » est à mener, par une analyse de sensibilité des facteurs d’influence sur les caractéristiques des inondations, afin d’évaluer la vulnérabilité des équipements permettant d’assurer les fonctions fondamentales de sûreté en situation d’inondation externe.

12.5.Températures extrêmes

12.5.1.« Grands froids »

Les réacteurs à eau sous pression de 900 MWe et de 1 300 MWe ont été conçus pour pouvoir fonctionner en cas de période de froid, en retenant une température de dimensionnement de - 15 °C (température considérée sans limitation de durée). Aucune démarche particulière n’existait alors pour la prise en compte de températures inférieures correspondant à des « grands froids ».

Lors des hivers rigoureux de 1985-1986 et 1986-1987, un certain nombre d’incidents dus au gel sont survenus en France (ils ont notamment conduit à des dysfonctionnements de dispositifs de mesure situés à l’extérieur des locaux). Électricité de France a alors établi une démarche nationale applicable à l’égard des « grands froids » visant à permettre la production d’électricité dans des conditions satisfaisantes de sûreté ; elle doit permettre aux installations de faire face à des températures bien inférieures à celle du dimensionnement (avec des pics pouvant durer 6 heures et atteindre - 33 °C pour certains sites). Cette démarche qui a été appliquée dès la conception des réacteurs de 1 450 MWe et de l’EPR, a été mise en œuvre pour les réacteurs en exploitation de 900 MWe et ceux de 1 300 MWe lors de leurs réexamens périodiques. Les études réalisées par Électricité de France l’ont conduit à mettre en place plusieurs modifications matérielles dans les réacteurs en exploitation (installation de moyens de chauffage supplémentaires, diminution des débits de ventilation dans certains locaux, amélioration de la protection contre le froid de matériels présents dans les stations de pompage…) et organisationnelles (mise en œuvre de consignes d’exploitation en cas de « grands froids », applicables du mois d’octobre jusqu’au mois d’avril de l’année suivante).

Toutefois, les évolutions possibles du climat doivent faire l’objet d’une grande vigilance. La « veille climatique » engagée par Électricité de France, décrite au paragraphe 12.2, est ainsi mise à profit dans les études associées aux réévaluations de sûreté, notamment celles qui sont associées aux quatrièmes visites décennales des réacteurs de 900 MWe.

12.5.2. « Grands chauds »

Lors des étés caniculaires de 2003 et de 2006 (ainsi que, plus récemment, de 2015 et de 2019), les températures observées sur certains sites ont dépassé les températures retenues lors de la conception des réacteurs du parc en exploitation. Aussi, à l’instar de la démarche adoptée pour les « grands froids », Électricité de France a mis en œuvre une démarche nationale à l’égard des « grands chauds » pour pouvoir assurer la production d’électricité en cas de canicule dans des conditions satisfaisantes de sûreté. Notamment, Électricité de France s’est assuré que les températures maximales452 de l’air et de la source froide susceptibles d’être observées d’ici 2030 ne seraient pas de nature à porter atteinte à la disponibilité et au bon fonctionnement des matériels nécessaires pour ramener et maintenir les tranches dans un état d’arrêt sûr et pour limiter les conséquences radiologiques. Dans certains cas, des améliorations possibles ont été mises en évidence pour assurer le bon comportement de certains matériels. Électricité de France a alors réalisé des modifications matérielles ou organisationnelles, touchant aussi bien à la conception qu’à l’exploitation ; à titre d’exemples, les modifications suivantes ont été mises en œuvre :

–une protection thermique de réserves d’eau,

–une augmentation des performances des échangeurs utilisés pour refroidir certains équipements importants pour la sûreté,

–le remplacement et l’augmentation des performances de certains groupes de climatisation,

–la mise en place de procédures d’arrêt d’équipements non importants pour la sûreté dont le fonctionnement pourrait entraîner une augmentation de la température dans des locaux,

–des évolutions des procédures de conduite afin d’éviter de dépasser les capacités thermiques des composants importants pour la sûreté.

La démarche retenue pour le réacteur EPR est différente dans la mesure où les températures maximales susceptibles d’être observées d’ici la fin du XXIe siècle (42 °C pour la température maximale instantanée de l’air du site de Flamanville) ont été prises en compte dès la conception de l’installation (bâtiments, systèmes de ventilation…).

Comme dans le cas des « grands froids », la « veille climatique » d’Électricité de France est mise à profit dans les études associées aux réévaluations de sûreté, notamment celles qui sont associées aux quatrièmes visites décennales des réacteurs de 900 MWe.

Enfin, il convient de noter453 que l’eau prélevée dans les cours d’eau ou dans la mer pour refroidir le réacteur est, de manière générale, rejetée à une température plus élevée, soit directement, soit après refroidissement dans des tours aéroréfrigérantes permettant une évacuation partielle de la chaleur dans l’atmosphère.

Dans le cas des centrales nucléaires utilisant un cours d’eau, l’Autorité de sûreté nucléaire a défini pour chaque site les conditions de rejet de l’eau utilisée pour le refroidissement. Afin de préserver l’environnement, notamment l’écosystème, l’échauffement du cours d’eau dû au fonctionnement de la centrale nucléaire ainsi que la température de l’eau à son aval sont encadrés par des valeurs limites. En cas de dépassement de ces valeurs limites, l’exploitant doit réduire la puissance du réacteur ou l’arrêter. Un assouplissement temporaire des valeurs limites des rejets thermiques peut être autorisé par l’Autorité de sûreté nucléaire en cas de besoin du réseau électrique, comme cela a été le cas durant les épisodes caniculaires des étés 2003 et 2006. Dans ce cas, la surveillance de l’environnement est renforcée.

12.6.Agresseurs possibles de la source froide

Le combustible nucléaire présent dans le cœur du réacteur (que celui-ci soit en fonctionnement ou à l’arrêt) ou dans la piscine d’entreposage a besoin en permanence d’être refroidi. À cette fin, une « source froide » est nécessaire. Il s’agit généralement d’eau de mer ou d’eau de rivière selon l’implantation géographique de la centrale. L’eau est prélevée dans le milieu naturel au niveau d’une station de pompage qui va alors la filtrer par deux étages de filtration (grille de préfiltration puis filtration fine – voir la figure 12.9). Des pompes assurent la circulation de l’eau vers des échangeurs de chaleur où elle s’échauffe avant d’être rejetée dans le milieu naturel. Un niveau d’eau dans la station de pompage et un débit suffisants doivent être assurés pour permettre le fonctionnement de ces pompes.

Étant à l’interface avec le milieu naturel, la station de pompage, qui regroupe les éléments nécessaires à la filtration et à la circulation de l’eau, est particulièrement exposée aux conditions climatiques et environnementales. Une obstruction de la prise d’eau ou une augmentation significative des pertes de charge dans les organes de filtration peuvent survenir et avoir des conséquences importantes sur la sûreté des réacteurs. On parle alors de colmatage de la source froide. Des dispositions sont prévues à la fois pour éviter un tel colmatage et pour en limiter les conséquences s’il devait se produire.

Au cours des années d’exploitation des centrales françaises ou étrangères, de nombreux événements ont affecté la source froide de réacteurs électronucléaires. Parmi ceux-ci, les plus notables observés récemment en France sont, en termes de conséquences pour la sûreté :

–l’ensablement du canal d’amenée de la centrale nucléaire de Chinon, observé au mois de décembre 2005,

–la prise en glace de la prise d’eau de la centrale de Chooz B le 9 janvier 2009454,

–le colmatage total de la source froide à la centrale nucléaire de Cruas-Meysse, survenu le 1er décembre 2009455.

Figure 12.9. Schéma montrant les diverses dispositions de protection des sources froides des centrales nucléaires contre les risques liés aux « colmatants ».

Les « colmatants » peuvent être de diverses origines : végétale (algues par exemple), animale (alevins entre autres), minérale (glace, frasil) ou anthropique (hydrocarbures) ; ils dépendent de l’environnement et varient donc en fonction des sites des centrales. Selon leurs dimensions, les colmatants affectent différents étages de la filtration avec une cinétique variable : les colmatants de grandes dimensions s’accumulent sur les grilles de la prise d’eau selon une cinétique généralement lente, les colmatants de plus petite taille affectent les étages de filtration fine selon une cinétique plus rapide ; les particules les plus fines traversent les éléments de filtration et encrassent les échangeurs de chaleur, dégradant alors leurs capacités d’échange thermique.

Le frasil est une formation de cristaux de glace dans l’eau lorsque le froid est prononcé (voir la figure 12.10). L’eau reste sous forme liquide dans un état thermodynamiquement instable bien que sa température soit légèrement inférieure à sa température de fusion. Selon les conditions, ces cristaux de glace s’agglomèrent quand ils rencontrent des obstacles ou migrent vers la surface de l’eau.

Figure 12.10. Formation et évolution du frasil dans un cours d’eau. Georges Goué/Médiathèque IRSN.

On parle d’arrivée massive de colmatants quand le réacteur affecté est contraint d’interrompre sa production électrique : les pompes qui assurent la circulation de l’eau de refroidissement indispensable à la production d’électricité, dites « pompes de production », sont arrêtées.

Une arrivée massive de colmatants est une agression qui affecte régulièrement les centrales françaises : environ 80 événements de colmatage ont été dénombrés entre 1979 et 2013. Ce nombre ne doit pas masquer une grande disparité entre les sites : pour certains sites (Belleville-sur-Loire, Nogent-sur-Seine, Saint-Alban, Saint-Laurent-des-Eaux B et Cattenom), il n’a jamais été observé d’arrivée massive de colmatants, alors que, pour d’autres comme ceux du Blayais ou de Paluel, de tels événements surviennent régulièrement.

Des systèmes d’alerte permettent une surveillance graduée des sources froides lors des périodes à risque ou selon l’imminence de l’arrivée de colmatants. Néanmoins, à ce jour, la principale parade pour faire face à l’arrivée massive de colmatants consiste à diminuer fortement le débit d’eau appelé par la station de pompage afin de réduire la cinétique d’encrassement des grilles ou des filtres et les pertes de charge au travers des éléments filtrants, et ainsi préserver sur le long terme un débit compatible avec le refroidissement des composants importants pour la sûreté : pour ce faire, l’exploitant arrête les « pompes de production ». À la suite de l’événement de Cruas de 2009 et en complément des mesures existantes, Électricité de France a généralisé la mise en place d’une mesure du niveau d’eau dans les stations de pompage, associée à un automatisme qui met à l’arrêt les pompes de production en cas de bas niveau d’eau, ainsi que d’une interface adaptée pour que les opérateurs disposent des valeurs de ces mesures en salle de commande.

À l’égard des autres agresseurs de la source froide, Électricité de France met en œuvre une surveillance et des dispositions adaptées ; à titre d’exemples :

–pour les centrales identifiées comme sensibles au risque de frasil, une surveillance est réalisée selon une règle particulière de conduite. Des modifications matérielles ont également été mises en place, telles qu’une recirculation hivernale qui amène de l’eau chaude au niveau de la préfiltration dans la station de pompage ;

–l’évolution du niveau des cours d’eau est surveillée quotidiennement et des conventions avec les exploitants des ouvrages de retenue d’eau permettent de réguler le débit de ces cours d’eau afin que ceux-ci restent à un niveau compatible avec la sûreté des installations nucléaires installées sur leurs berges ;

–des mesures régulières de bathymétrie du milieu naturel jusqu’aux prises d’eau permettent de détecter un éventuel ensablement d’un canal d’amenée et d’engager un dragage si nécessaire.

En tout état de cause, les situations accidentelles qui correspondent à la perte d’alimentation en eau de la source froide sont étudiées dans la démonstration de sûreté des réacteurs (voir le chapitre 13 consacré au domaine complémentaire).

12.7.Quelques autres agressions externes
d’origine naturelle

Pour tenir compte des vents forts et de la neige, les concepteurs du génie civil utilisent les règles « Neige et Vent » qui ne sont pas spécifiques du domaine nucléaire. Les chargements retenus sont importants mais ne correspondent cependant pas à des fréquences aussi faibles que celles qui sont mentionnées plus haut pour d’autres agressions externes, les statistiques étant limitées. Aussi, les concepteurs peuvent être amenés à prendre des marges de sécurité supplémentaires en fonction de l’importance de ce qui est à protéger. Depuis le début des années 2000, des Eurocodes (en version définitive) sont aussi utilisés.

12.8.Chutes accidentelles d’aéronefs (hors malveillance)

Il n’y a pas grand-chose de comparable entre un avion d’aéroclub et un avion « gros porteur » de l’aviation commerciale. Par ailleurs, le trafic aérien n’est pas homogène sur l’ensemble du territoire, et les phases de vol au cours desquelles les accidents arrivent le plus souvent sont l’atterrissage et le décollage. Il n’est donc pas possible de traiter de ce risque de manière trop globale. Il s’agit en revanche d’une activité sur laquelle il existe de très nombreux chiffres. Cela a historiquement permis une approche et une évaluation statistique du risque, mise en œuvre pour la conception, notamment, des réacteurs du parc électronucléaire français, qui n’est que résumée ici.

Approche historiquement adoptée pour les réacteurs
du parc électronucléaire

Trois groupes d’aéronefs ont été distingués :

–le premier groupe concerne l’aviation commerciale avec les avions de transport de passagers, de fret, et les avions postaux ; tous les avions civils de masse supérieure à 5,7 tonnes ont été placés dans cette catégorie ;

–le deuxième groupe est celui de l’aviation militaire ;

–le troisième groupe est celui de l’aviation générale (les avions de masse inférieure à 5,7 tonnes).

Les données statistiques ont permis d’estimer les moyennes annuelles de chutes sur le territoire national : un avion de ligne, plusieurs avions militaires et plusieurs centaines de petits avions. Pour les trois types d’aviation, il a été considéré que les probabilités se divisaient en trois tiers : un gros tiers à l’atterrissage, un tiers en route, un petit tiers au décollage. Pour une installation située en dehors des zones d’approche et d’envol, la probabilité pouvait donc être divisée par un facteur 3.

Cela a permis de déterminer, en moyenne sur la surface totale du territoire français, des probabilités annuelles de chute en dehors des zones d’aérodromes, puis, compte tenu des surfaces virtuelles des installations nucléaires, les probabilités annuelles d’impact sur ces installations : elles ont ainsi été estimées à environ 10-8 pour l’aviation commerciale, 10-7 pour l’aviation militaire et quelques 10-6 pour l’aviation générale.

Ces évaluations présentaient généralement des conservatismes : elles ne tenaient compte, ni des interdictions de survol qui peuvent être prescrites, ni de la possibilité d’éviter certains points de chute dans de nombreux cas d’accident.

Disposant ainsi de probabilités d’impact, il a été possible de se prononcer sur les risques associés, en considérant que, en l’absence de protection particulière, tous les équipements implantés dans un bâtiment touché seraient détruits, ce qui était également pessimiste.

Diffusée au mois d’août 1980, la règle fondamentale de sûreté relative aux risques liés aux chutes d’avions (RFS I.2.a) donne les indications suivantes :

–« l’ordre de grandeur (logarithmique) de la probabilité limite pour accepter l’éventualité d’un dégagement inacceptable de substances radioactives à la limite du site, pour chacune des fonctions de sûreté, est de 10-6 par an et par réacteur ;

–toutefois, pour tenir compte de la sommation nécessaire des probabilités d’accidents aux conséquences analogues, on se fixe pour chaque famille d’agression un ordre de grandeur limite de la probabilité d’occurrence de l’événement pour chacune des fonctions de sûreté de 10-7 par an et par réacteur ».

Les dégagements de substances radioactives sont évalués en considérant les trois « cibles » possibles suivantes :

–le réacteur proprement dit, afin de vérifier que l’impact de l’avion considéré ne rendrait pas indisponibles les fonctions fondamentales de sûreté,

–la piscine d’entreposage des assemblages combustibles, afin de vérifier que l’impact de l’avion n’entraînerait pas, notamment, la fusion de combustibles usés (un critère de découplage pouvant être le non-découvrement de ces combustibles),

–la station de traitement des effluents radioactifs.

Compte tenu des caractéristiques des aéronefs en circulation au moment de la construction des centrales nucléaires et des différents effets pouvant résulter d’impacts sur les structures en béton, Électricité de France a retenu les deux types d’aéronefs suivants :

–un monomoteur à hélice de 1 500 kg dont le moteur de 250 kg constitue un projectile « dur » et perforant : il s’agit du CESSNA 210, représentatif à cette époque d’environ 80 % du trafic de l’aviation générale ;

–un biréacteur d’affaires de 5 700 kg dont les réacteurs sont à l’arrière, qui constitue un projectile « mou » provoquant un ébranlement général du bâtiment atteint ; il s’agit du Learjet 23, représentatif à cette époque d’environ 20 % du trafic de l’aviation générale.

Une vitesse d’impact de 100 m/s a été considérée, ce qui correspond à une vitesse de 360 km/h.

Pour ce qui concerne la tenue456 des bâtiments importants pour la sûreté, dont le bâtiment du réacteur, l’impact de ces deux types d’aéronefs a été considéré. D’autres bâtiments ont été seulement protégés contre les chocs « perforants », les plus probables.

De très nombreux essais ont été réalisés pour mettre au point et qualifier les logiciels de simulation utilisés dans les études.

La recherche des conditions de ruine, définie comme une déformation élastique ou plastique des aciers supérieure à 10 %, a montré que, quel que soit le lieu de l’impact sur l’enceinte de confinement des réacteurs, celle-ci résisterait à l’impact d’un aéronef de masse supérieure à 13 tonnes, animé d’une vitesse de 150 m/s.

Une étude site par site des caractéristiques locales de la circulation aérienne, réévaluée périodiquement, a permis de s’assurer que ce dimensionnement standardisé était suffisant.

Dans le cadre des études de réévaluation associées aux quatrièmes visites décennales des réacteurs de 900 MWe, Électricité de France a élargi la démarche aux risques liés aux hélicoptères.

Enfin, il convient d’indiquer que les risques liés à l’impact éventuel d’un avion « gros porteur » ont été examinés, dans un cadre spécifique : ce sujet n’est pas développé ici.

Dispositions prises pour le réacteur EPR

L’une des dispositions notables retenues pour le projet EPR à l’égard des chutes accidentelles d’aéronefs est l’adoption d’une « coque avion » pour protéger le bâtiment du réacteur, deux des quatre bâtiments de sauvegarde et le bâtiment du combustible. Très dense en ferraillage, cette coque antichoc est aussi très épaisse.

Les objectifs et les modalités d’étude des chutes d’avions ont été formulés de manière précise dans les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » :

–« des dispositions doivent être prises pour assurer une protection adéquate des bâtiments liés à la sûreté en considérant de façon appropriée les trafics de l’aviation générale et de l’aviation militaire à proximité du site et en anticipant autant que possible leurs évolutions au cours de la vie de l’installation » ;

–« la protection des systèmes de sûreté doit être considérée à l’égard de l’impact direct (pénétration) ainsi qu’à l’égard de l’impact indirect liés aux vibrations induites » ;

–les objectifs visés peuvent être atteints « en dimensionnant le bâtiment du réacteur, le bâtiment du combustible usé et certains bâtiments auxiliaires (de manière à assurer sans redondance la protection des équipements nécessaires pour arrêter le réacteur et empêcher la fusion du cœur) » avec deux diagrammes de chargement mécanique en fonction du temps dits C1 et C2 (voir la figure 12.11 ci-après), appliqués sur une surface circulaire de 7 m2 :

•le diagramme C1 est utilisé pour le dimensionnement des structures internes de ces bâtiments contre les vibrations induites ; il est aussi utilisé pour le dimensionnement des parois externes des mêmes bâtiments contre les chargements résultant d’un impact direct, de manière à assurer qu’il n’y aura ni pénétration ni écaillage et que les déformations (armatures, béton) resteraient limitées ;

•de plus, le diagramme de chargement C2 est utilisé pour le dimensionnement à l’état limite ultime457 (selon l’Eurocode 2, partie 1) du bâtiment du réacteur de manière à assurer que la perforation est évitée et que l’écaillage qui pourrait survenir ne compromettrait pas l’arrêt du réacteur et la prévention de la fusion du cœur, ainsi que du bâtiment du combustible de manière à assurer l’absence de découvrement du combustible usé.

Figure 12.11. Chutes d’avions : profils de chargement mécanique pris en compte pour le réacteur EPR, selon les directives techniques. IRSN.

Une démarche en cours d’évolution

Des nécessités d’évolution de la démarche par rapport à la RFS I.2.a sont apparues récemment du fait des points suivants :

–les objectifs probabilistes conduisent à ne pas tenir compte des chutes accidentelles d’aéronefs de très faibles probabilités mais aux conséquences potentiellement graves − l’accident de la centrale nucléaire de Fukushima Daiichi conduit à s’interroger davantage sur les événements rares dont les conséquences pourraient être très importantes. Il est à noter que, à l’étranger, pour la plupart des réacteurs de nouvelle génération, la chute d’un aéronef est considérée indépendamment de la probabilité de celle-ci ;

–l’aviation évolue de manière permanente (nombre d’avions, trafic, gestion des vols…) ;

–la prise en compte des effets induits (incendies − dont le feu de kérosène −, explosions, émissions de projectiles et chutes de charges…) n’apparaît pas explicitement dans la RFS I.2.a…

Compte tenu de ces constats, l’IRSN a engagé des échanges techniques avec Électricité de France (notamment dans le cadre des réexamens de sûreté associés aux troisièmes visites décennales des réacteurs de 1 300 MWe) en vue de proposer une nouvelle démarche de prise en compte des risques liés aux chutes d’aéronefs.

12.9.Risques liés à l’environnement industriel
(hors malveillance)

Le chapitre « description du site » des rapports de sûreté des installations nucléaires de base a toujours présenté un état de l’environnement industriel présent ou en projet dans une zone de plusieurs kilomètres autour de l’installation. Cela ne se traduisait pas nécessairement par des contraintes particulières pour la construction de l’installation.

Il est toutefois rapidement apparu que le problème méritait d’être examiné en détail à l’occasion de la demande d’autorisation de création de la centrale de Gravelines en 1975. La zone proche du site était en effet très industrialisée et comportait notamment un dépôt d’hydrocarbures dont les cuves les plus proches étaient situées à 500 mètres de l’un des réacteurs. Le port pétrolier alimentant ce dépôt permettait l’appontement de bateaux de fort tonnage à des distances variant de 1 250 à 2 000 mètres. Enfin, la centrale de Gravelines étant située en bord de mer, des navires étaient susceptibles de venir s’échouer à moins de 650 mètres des réacteurs et l’explosion des cuves de ces navires était à considérer.

De plus, le Port autonome de Dunkerque souhaitait réaliser un important port méthanier associé à un dépôt de gaz naturel liquéfié (GNL), ce qui conduirait à de nouveaux risques : par exemple, en cas de collision entre deux navires dont un au moins contiendrait du gaz liquéfié, il pourrait y avoir épandage d’une partie de ce gaz, dérive du nuage formé, et, en cumulant les conditions défavorables, explosion de ce nuage lors de son passage au niveau de la centrale. Il était donc nécessaire d’évaluer les conséquences possibles d’un tel projet sur la sûreté de la centrale et d’envisager, le cas échéant, des mesures particulières de protection.

Électricité de France a alors mis au point une méthode d’évaluation des risques liés à l’environnement industriel, particulièrement centrée sur les risques d’explosion et proche dans son esprit de celle qui était utilisée pour les chutes d’avions. La référence probabiliste retenue était identique, à savoir 10-7 par an, par tranche et par fonction de sûreté, les différentes incertitudes étant généralement prises en compte dans un sens prudent.

L’étude a amené les pouvoirs publics à décider que le port méthanier ne pourrait être réalisé qu’à une distance de la centrale supérieure à 4 km et Électricité de France à protéger les bâtiments importants pour la sûreté de la centrale de Gravelines contre une onde de surpression de forme triangulaire, d’amplitude de 200 mbar et de durée 300 ms, ainsi que contre le rayonnement dû à un incendie proche. Les bâtiments et les prises d’air des ventilations458 ont donc été modifiés par rapport aux autres tranches du premier contrat-programme et renforcés en conséquence. De plus, des buttes de terre ont été placées entre les réacteurs et les cuves d’hydrocarbures.

En 1982, la règle fondamentale de sûreté RFS I.2.d a été établie à l’égard des risques liés à l’environnement industriel, aux voies de communication (routières, ferroviaires, fluviales) et aux canalisations de transport, pouvant entraîner notamment :

–une agression thermique due à un incendie,

–une onde de pression aérienne, une onde vibratoire associée et des projectiles résultant d’une explosion,

–une nappe ou un nuage dérivant de gaz toxiques, corrosifs ou inflammables et des fumées résultant d’un incendie.

Dans cette RFS, un dimensionnement minimal des installations nucléaires à l’égard d’une onde de surpression aérienne incidente (de forme triangulaire et à front raide) y est proposée (pic de 50 mbar, durée de 300 ms). Les scénarios d’accidents plausibles, conduisant aux phénomènes dangereux redoutés, sont à analyser ; cette analyse doit être réalisée en tenant compte des éventuels effets dominos qui pourraient déclencher un autre phénomène dangereux conduisant à une aggravation des effets du premier phénomène. Enfin, une valeur limite de probabilité pour accepter l’éventualité d’un dégagement inacceptable de substances radioactive à la limite du site est proposée (10-7 par an, par tranche et par fonction de sûreté par famille d’agressions).

Avec l’établissement de la RFS I.2.d, la méthode d’analyse des risques industriels a été reprise et appliquée systématiquement lors de l’examen préliminaire des réacteurs suivants. Il a été vérifié que le dimensionnement des réacteurs était suffisant, en tenant compte non seulement des entreposages fixes mais aussi des trafics de trains, de camions, de péniches et autres navires, ou des oléoducs : des vérifications du comportement des ouvertures et des bâtiments ont été effectuées et ont montré que les autres contraintes de dimensionnement des structures et matériels assuraient une résistance satisfaisante.

Toutefois, depuis les années 1980, des phénomènes dangereux ont pu être identifiés ou confirmés, comme par exemple :

–pour les liquides inflammables, certains produits génèrent une forme particulière de boil over459 ;

–pour les gaz inflammables, l’accident de Buncefield survenu en décembre 2005 au Royaume-Uni a confirmé la réalité et la dangerosité des explosions de nuages de gaz à l’air libre (UVCE460). Le retour sur les « études de dangers » réalisées jusque-là montre que ce phénomène était globalement insuffisamment décrit.

Suite à ces évolutions, l’exploitant du dépôt de pétrole brut voisin de la centrale de Gravelines a actualisé son « étude de danger » en prenant en compte le risque de boil over. Électricité de France a analysé l’impact d’un tel événement et en a conclu qu’il conduirait à des défaillances inacceptables de certains équipements importants pour la sûreté. Des échanges entre Électricité de France, l’exploitant du dépôt et les autorités compétentes ont alors abouti à une modification du produit entreposé sur le dépôt en remplaçant le pétrole brut par du gazole.

Ce qui précède illustre la nécessité – rappelée dans l’arrêté du 7 février 2012 (« arrêté INB ») – d’adopter en matière de sûreté nucléaire des approches prudentes, utilisant des données à jour et référencées, des méthodes appropriées, explicitées et validées, intégrant des hypothèses et des règles adaptées aux incertitudes et aux limites des connaissances des phénomènes mis en jeu ainsi que des logiciels de simulation et des modèles qualifiés pour les domaines dans lesquels ils sont utilisés. L’exploitation de l’accidentologie permet d’appréhender les ordres de grandeur des probabilités des événements pouvant conduire aux phénomènes dangereux étudiés dans le cadre des risques d’origine industrielle.

413.Voir à ce sujet le paragraphe 11.1 pour ce qui concerne notamment la prise en compte de la défaillance aggravante la plus pénalisante.

414.Alinéas 3.3.3.2.7 et 3.3.3.2.8 de ce guide.

415.Guide ASN n° 22, alinéa 3.4.1.2.

416.Recommandations AS 55 (de 1955), établies à la suite du séisme d’Orléansville en Algérie en 1954, règles parasismiques PS62, 64, 67, 69…

417.L’IPSN n’a été créé au sein du CEA qu’en 1976.

418.Réponse, en termes d’accélérations, de résonateurs de différentes fréquences propres, soumis au séisme considéré.

419.En 1992, la règle RFS I.1.c a élargi l’application de cette méthode à l’ensemble des installations nucléaires de base, dont les réacteurs de recherche.

420.Échelle d’intensité d’un séisme établie par Medvedev, Sponheuer et Karnik.

421.Déduite de mesures. La première station sismologique en France a été installée à Strasbourg en 1892. En 2020, la France dispose d’environ 200 sites d’enregistrements.

422.Parfois appelé séisme de base, par opposition au séisme majoré de sécurité.

423.Selon les plus récentes estimations, les fréquences associées aux mouvements sismiques de niveau SMS apparaissent comprises entre quelques 10-3 par an et quelques 10-4 par an, selon que la zone présente une activité sismique plus ou moins forte.

424.Avec quelques séismes destructeurs, comme Bâle en 1356 (proche de la frontière française), Bigorre en 1660, Remiremont en 1682, Bouin en 1799, en mer méditerranée près de la côte ligure italienne en 1887, Lambesc en 1909, Arette en 1967. En France, la sismicité est faible dans le bassin parisien et dans le bassin aquitain.

425.Système masse-ressort.

426.Les séismes proches sont les séismes de faible magnitude se produisant à moins de 15 km de l’installation considérée ; ils sollicitent les structures préférentiellement dans les hautes fréquences. Les séismes lointains sont les séismes de forte magnitude se produisant au-delà de 15 km ; ils sollicitent les structures préférentiellement dans les basses fréquences.

427.La magnitude Ms dite des ondes de surface est proche de l’esprit de la magnitude locale, à l’exception près qu’elle n’utilise qu’un type d’onde, les ondes de surface, contenues dans le sismogramme. Cette magnitude permet de caractériser les séismes qui vont générer beaucoup d’ondes de surface (par exemple les séismes sur des failles en coulissage comme la faille de San Andreas en Californie ou la faille Nord-Anatolienne de Turquie). Au contraire, elle ne peut pas être utilisée pour des séismes profonds qui ne génèrent que très peu d’ondes de surface, qui sont pourtant les plus gros séismes.

428.C’est pour cela que, en 1977, Hiroo Kanamori introduit la magnitude Mw, dite magnitude de moment. Son estimation repose sur la physique de la rupture et elle est directement proportionnelle à l’énergie libérée lors de la rupture sismique et donc à sa taille.

429.En y incluant les réévaluations post-Fukushima (spectres pour le « noyau dur » d’équipements, sujet développé au paragraphe 36.6.5).

430.European Utility Requirements (exigences établies par un groupe d’électriciens européens).

431.Cela fait notamment l’objet du guide de l’ASN 2/01 du 26 mai 2006, relatif à la prise en compte du risque sismique pour la conception (parasismique) des ouvrages de génie civil d’INB, à l’exception des installations de stockage à long terme des déchets radioactifs.

432.Cette approche a été appliquée à partir des études de conception des réacteurs du palier N4 puis rétrospectivement, lors des réexamens périodiques, aux premières tranches construites dans les années 1970.

433.La transmission des mouvements conduit à définir ce qui est appelé les spectres de planchers.

434.Décisions en date du 21 janvier 2015.

435.Probabilistic Seismic Hazard Assessment. La méthode a consisté (dans le cas présent) à évaluer, pour une période de retour de 20 000 ans, un spectre de réponse d’oscillateurs du mouvement sismique ayant 0,25 % de probabilité d’être atteint ou dépassé sur une durée de 50 ans. En effet, la période de retour d’un événement qui suit un processus stationnaire que l’on considère obéir à une loi de poisson est égale à Tr = − durée/ln(1 − probabilité de dépassement), soit dans le cas des noyaux durs 19 975 ans = − 50/ln(1 − 0,0025).

436.Équations dites GMPE (Ground Motion Prediction Equations).

437.Installation classée pour la protection de l’environnement.

438.Il s’agit d’un processus de transformation du comportement d’une substance en un comportement analogue à celui d’un liquide. Pour un sable, la liquéfaction correspond à une perte totale, temporaire ou définitive, de la résistance au cisaillement. Un tel phénomène se produit régulièrement. Les images les plus emblématiques sont celles du séisme de Niigata au Japon en 1964, du séisme de Christchurch en Nouvelle-Zélande en 2011 ou plus récemment en 2018 du séisme à Palu en Indonésie.

439.Mouvement des lèvres (surfaces engendrées par les cassures) d’une faille l’une par rapport à l’autre.

440.Surface faulting.

441.WENRA, 2014. « Guidance Document Issue T: Natural Hazards ».

442.Deterministic Seismic Hazard Analysis.

443.Maximum Credible Earthquakes.

444.Dans le domaine des statistiques, un horsain désigne une observation dont la valeur s’écarte significativement de celles des autres observations d’un même échantillon de données.

445.Les acquis dans ce domaine sont présentés dans l’ouvrage « L’aléa inondation – État de l’art préalable à l’élaboration du guide inondation pour les installations nucléaires », IRSN, série Avis et rapports/rapports d’expertise/sûreté nucléaire, 2013.

446.Guide ASN n° 13 « Protection des installations nucléaires de base contre les inondations externes », 8 janvier 2013.

447.Le risque d’inondation externe se différencie des autres agressions externes par la diversité des phénomènes à prendre en compte. Du fait de cette diversité, la capacité à déterminer des événements extrêmes est variable. Le groupe de travail a cherché à définir des SRI pour lesquelles la probabilité de dépassement serait, en ordre de grandeur, de 10-4/an, en tenant compte des incertitudes. Toutefois, les préconisations du guide ne se réfèrent pas explicitement à une valeur de probabilité de dépassement.

448.L’intumescence est une onde de déformation de la surface libre de l’eau dans un canal, induite par une variation brutale de la vitesse (du débit) de l’écoulement. Ce phénomène est analogue aux « coups de bélier » pour les écoulements dans les conduites. L’intumescence peut s’observer lors d’un arrêt ou d’un démarrage brutal de groupes d’une usine hydroélectrique au fil de l’eau, ou de pompes du circuit d’eau brute dans un canal de prise d’eau d’une centrale nucléaire en circuit ouvert.

449.Effet du vent sur la surface de l’eau.

450.Une seiche est une onde stationnaire qui peut se manifester dans des plans d’eau fermés ou semi-fermés tels qu’un port, un bassin, un lac ou une baie. Dans un bassin maritime semi-fermé, les seiches sont dues à la pénétration d’ondes longues provenant du large. Leur période est généralement comprise entre deux et quelques dizaines de minutes. Si la période de la seiche coïncide avec la période de résonance du bassin, elle peut être amplifiée à l’intérieur du bassin. Ce balancement peut se poursuivre pendant quelques minutes, quelques heures voire plusieurs jours même lorsque le phénomène initiateur a disparu.

451.WENRA, 2014. « Guidance Document Issue T : Natural Hazards ».

452.Jusqu’à 45,9 °C pour la température « instantanée » de l’air sur le site de Golfech et jusqu’à 36 °C pour la température « instantanée » de la source froide pour le site de Dampierre-en-Burly.

453.Ce point ne concerne pas la conception des réacteurs nucléaires mais il mérite d’être signalé (voir le site de l’Autorité de sûreté nucléaire).

454.Dans la nuit du 9 janvier 2009, la température de la Meuse descend en dessous de zéro. De la glace colmate la grille anti-intrusion située en amont de la station de pompage de la centrale. Au matin, le niveau d’eau a baissé de deux mètres dans le canal qui alimente la source froide des réacteurs au point de menacer l’approvisionnement des pompes.

455.En début de soirée du 1er décembre 2009, une cinquantaine de tonnes de végétaux s’accumulent sur les grilles de la station de pompage des réacteurs n° 3 et n° 4 de la centrale de Cruas-Meysse (Ardèche). Dès lors, une perte totale de source froide va affecter l’unité de production n° 4 qui doit être mise à l’arrêt.

456.Différents phénomènes pouvant être occasionnés par l’impact d’un avion sont à examiner : vibrations, perforation, écaillage…

457.La définition de l’état limite ultime dans l’Eurocode 2, partie 1, est « associée à une ruine ou toute autre forme de défaillance structurelle qui pourrait mettre en danger la sécurité des personnes. »

458.Pour éviter qu’une surpression ne pénètre dans les bâtiments.

459.Le boil over est un phénomène qui est susceptible de se produire lorsque la surface du liquide entre en feu. La chaleur générée par cette inflammation, si elle atteint une couche d’eau se situant au fond du bac, provoque la vaporisation instantanée de cette couche d’eau qui projette alors à l’extérieur les hydrocarbures en feu. On obtient un phénomène éruptif qui peut être de grande ampleur.

460.L’explosion de vapeur en milieu non confiné (Unconfined Vapour Cloud Explosion – UVCE) est une explosion de gaz à l’air libre.

Chapitre 13

Domaine complémentaire d’événements

Il a été vu dans les chapitres précédents comment ont été progressivement introduites, dans l’étude et le dimensionnement général des centrales nucléaires, des défaillances pouvant résulter d’agressions d’origine interne ou externe qui n’étaient pas considérées (ou étaient insuffisamment considérées) au moment du choix de la filière des réacteurs à eau et de la construction des premières tranches. L’introduction de références probabilistes pour juger du caractère acceptable des dispositions prises à l’égard de certains risques comme ceux qui sont liés aux turbines, aux avions ou aux explosions d’origine externe a également été présentée.

Ces évolutions ont conduit à compléter le dimensionnement initial sans toucher à la partie la plus structurée, à savoir l’étude des événements (incidents, accidents) d’origine interne sous forme de conditions de fonctionnement résultant d’initiateurs « uniques » ou « simples », faite en suivant la démarche formalisée et illustrée dans les chapitres 6 à 10. Ces études seront progressivement complétées par celle d’un « domaine complémentaire » d’événements461, qui fait l’objet de la suite du présent chapitre.

Il convient de rappeler que, comme cela est indiqué au paragraphe 6.5, ce « domaine complémentaire » et l’étude de situations avec fusion du cœur sont maintenant englobés (guide ASN n° 22, textes de l’association WENRA) dans ce qui est appelé le domaine de conception étendu (DEC). Ce DEC englobe lui-même aussi bien les événements internes liés aux équipements (avec la catégorie DEC-A pour les défaillances multiples d’équipements et la catégorie DEC-B pour les situations avec fusion du cœur) que des agressions internes et externes plus sévères que celles qui ont été retenues dans le cadre du dimensionnement de base.

13.1.Origine des études du « domaine complémentaire »

Dès 1973, les organismes de sûreté américains se sont posé des questions sur la possibilité et les conséquences éventuelles d’une défaillance de l’arrêt d’urgence lors d’un transitoire qui conduit à sa sollicitation, situation désignée sous le sigle anglo-saxon d’ATWS (Anticipated Transient Without Scram). Or l’arrêt automatique du réacteur est, dans toutes les centrales, un système qui répond au critère de défaillance unique. Après 1975, les organismes de sûreté français, élargissant la question, ont souhaité qu’Électricité de France étudie les probabilités et les conséquences de la défaillance complète d’ensembles de systèmes importants pour la sûreté utilisés de manière permanente ou fréquente ; il s’agissait des alimentations électriques, de la source froide et des systèmes qui y sont associés, ainsi que du refroidissement du cœur par l’intermédiaire des générateurs de vapeur.

Les alimentations électriques nécessaires au maintien de la sûreté comprenaient deux réseaux externes relativement indépendants, la possibilité d’un îlotage en cas de perte de ces réseaux externes, enfin deux générateurs à moteur diesel dont un seul suffisait pour alimenter les matériels nécessaires à la sûreté de la tranche.

Pendant le fonctionnement du réacteur, le refroidissement du cœur était assuré grâce à l’alimentation en eau des générateurs de vapeur, système redondant. En cas de défaillance de ce système ou d’indisponibilité de la turbine, le réacteur était arrêté et l’alimentation en eau des générateurs de vapeur était assurée par un système d’alimentation de secours, le système ASG, lui-même redondant. Le critère de défaillance unique était donc respecté.

Les premiers travaux sur les défaillances de ces ensembles de systèmes ont été qualifiés d’études « hors dimensionnement » ou « en limite du dimensionnement », expressions réservées aux études d’accidents sérieux mais de probabilités très faibles. Il s’agissait en fait d’études relatives à des combinaisons de défaillances « laissées hors du champ du dimensionnement conventionnel ».

Pour évaluer l’intérêt et l’importance de ces études, il était important de disposer d’une base d’appréciation, qui sera fondée sur des références probabilistes.

13.2.Historique du « domaine complémentaire »

Sur des propositions de l’IPSN, la notion de combinaisons de défaillances faisant partie de ce qui, ultérieurement, prendra le nom de « domaine complémentaire » ainsi qu’une première liste de tels d’événements a historiquement été introduite en France par la lettre SIN 1076/77 du 11 juillet 1977 du Service central de sûreté des installations nucléaires462. Ces aspects ont ensuite été repris dans deux « lettres d’orientation » ministérielles, portant les références CAB 900-MZ du 3 septembre 1979 et CAB 1121-MZ du 6 octobre 1983, relatives respectivement à la conception des réacteurs de 1 300 MWe et à celle des réacteurs de 1 450 MWe.

Les points essentiels de ces lettres peuvent être résumés de la manière suivante :

–le dimensionnement des installations d’une tranche comportant un réacteur à eau sous pression devrait être tel que la probabilité globale que cette tranche puisse être à l’origine de conséquences inacceptables ne dépasse pas 10-6 par an463 ;

–il est souhaité que l’exploitant utilise une approche probabiliste pour le plus grand nombre possible d’événements ;

–l’utilisation d’approches probabilistes n’implique pas une démonstration du respect de l’objectif global énoncé ci-dessus, ni l’utilisation directe de méthodes probabilistes pour la conception des tranches ; ces approches peuvent par contre améliorer la démarche déterministe ;

–compte tenu de l’objectif global de 10-6 comme probabilité annuelle de conséquences inacceptables, une valeur de 10-7 peut être utilisée comme probabilité annuelle de conséquences inacceptables pour une famille d’événements, dès lors qu’une approche probabiliste est utilisée pour cette famille ;

–il est admis, en revanche, de ne pas retenir les familles d’événements dont la probabilité estimée est clairement inférieure à 10-7 par an ;

–des hypothèses et méthodes de calcul « réalistes » peuvent être utilisées pour l’étude des familles d’événements qui ont été retenues à la suite de cette approche complémentaire ;

–le cas des défaillances simultanées des voies redondantes des systèmes importants pour la sûreté doit être examiné dans ce cadre.

Ces principes appellent un certain nombre de commentaires :

–l’objectif global et l’objectif par famille d’événements ont été fixés en termes de « conséquences inacceptables », qui ne sont pas définies par un texte législatif ou règlementaire. Il s’agit, en fait, d’un objectif en termes politiques pouvant évoluer dans le temps. De manière pratique, chaque fois qu’une approche probabiliste est utilisée pour une famille d’événements, une traduction prudente et concrète de la notion de conséquences inacceptables est utilisée, sous la forme de critères de découplage464 ;

–la probabilité de 10−6 par an de conséquences inacceptables est une valeur maximale « objectif ». Il n’est pas demandé à l’exploitant de démontrer que cet objectif est atteint ; de même, la probabilité de conséquences inacceptables de 10−7 par an n’est pas une valeur maximale impérative pour une famille d’événements, des compensations pouvant exister avec d’autres familles de probabilités plus faibles ;

–les « dispositions complémentaires »465 qui peuvent se révéler nécessaires peuvent comprendre aussi bien des procédures particulières de conduite utilisant des équipements ou systèmes qui existent de par la conception déterministe conventionnelle que de nouveaux équipements ou systèmes à mettre en place, associés également à des procédures de conduite.

Cette approche a ainsi conduit à retenir plusieurs familles d’événements dont les évaluations probabilistes montraient l’importance, pour lesquelles des modifications de conception et d’exploitation apparaissaient nécessaires, avec, pour certaines, la mise en place de procédures de conduite dédiées (dites procédures H) :

–la défaillance de l’arrêt automatique du réacteur lors d’un transitoire qui le sollicite. Cette défaillance a été étudiée pour toutes les conditions de fonctionnement de deuxième catégorie qui sollicitent l’arrêt automatique du réacteur. Les phénomènes préoccupants qui peuvent en résulter sont une surpression dans le circuit primaire et un sous-refroidissement des crayons combustibles. Électricité de France a mis en place un « palliatif ATWS », c’est-à-dire un système permettant de pallier cette défaillance en utilisant notamment des signaux, des logiques et des moyens de déclenchement de l’arrêt automatique du réacteur différents ;

–la perte totale de la source froide ou la défaillance des systèmes assurant le transfert de chaleur vers celle-ci, pour laquelle Électricité de France a introduit la procédure H1 ;

–la perte totale de l’alimentation en eau des générateurs de vapeur, pour laquelle Électricité de France a introduit la procédure H2 ; c’est dans cette procédure qu’apparaît notamment le mode de refroidissement du réacteur en « gavé-ouvert », consistant à refroidir le cœur par une circulation d’eau assurée par une injection d’eau dans le réacteur et une ouverture volontaire du circuit primaire au niveau des soupapes du pressuriseur466 ;

–la perte totale des alimentations électriques, pour laquelle Électricité de France a introduit la procédure H3 – l’analyse effectuée alors mérite d’être rappelée, ce qui est présenté dans le focus ci-après ;

–la perte totale du système d’injection de sécurité ou du système d’aspersion d’eau dans l’enceinte de confinement, pendant la phase à long terme suivant un accident de perte de réfrigérant primaire, qui fait l’objet de la procédure H4 ; comme cela est précisé au paragraphe 17.8, la procédure H4 a été complétée par une procédure « ultime », U3, pour traiter le cas d’une perte totale des moyens de pompage d’eau ;

–la protection de certains sites fluviaux à l’égard d’une crue supérieure à la crue millénale, qui fait l’objet de la procédure H5.

#FOCUS

Analyse de la perte totale des alimentations électriques
d’un réacteur à eau sous pression467

L’alimentation en énergie électrique nécessaire à la sûreté des centrales françaises peut être assurée par de nombreux moyens (voir la figure 13.1) que sont :

–deux sources externes constituées à partir du réseau national de transport d’électricité et relativement indépendantes l’une de l’autre ; l’une de ces sources constitue la ligne d’alimentation électrique dite principale, qui permet l’évacuation de l’énergie électrique produite par le réacteur ; l’autre ligne est dite auxiliaire ;

–l’îlotage, pendant lequel une tranche, séparée des réseaux extérieurs, ne fonctionne que pour alimenter ses propres équipements ;

–deux sources internes constituées chacune d’un groupe électrogène à moteur diesel.

Une seule de ces sources est suffisante pour fournir l’énergie électrique aux équipements nécessaires du point de vue de la sûreté. Cette énergie est distribuée par l’intermédiaire de deux tableaux électriques qui alimentent chacun une voie particulière. Chaque générateur à moteur diesel est affecté à l’un de ces deux tableaux électriques.

Figure 13.1.Alimentations électriques de puissance d’un réacteur de 900 MWe. Georges Goué/IRSN.

La perte totale de l’alimentation électrique des équipements nécessaires à la sûreté de la tranche peut provenir, soit de la défaillance simultanée de l’ensemble des sources, soit de celle des deux tableaux électriques.

Pour les réacteurs de 900 MWe, au début des années 1980, la probabilité de défaillance totale des alimentations électriques (pendant une durée d’une heure) a été estimée à quelques 10−5 par an et par réacteur, avec des contributions équivalentes de la défaillance des sources et des tableaux électriques secourus LHA et LHB. Il convenait donc d’en étudier les conséquences.

La perte totale des alimentations électriques entraîne :

–la chute des grappes d’arrêt et de contrôle,

–l’arrêt de toutes les motopompes,

–l’immobilisation des vannes motorisées dont certaines se seront mises en position sûre,

–la « perte » de l’air comprimé, au moins après dégonflage des ballons tampons qui se trouvent sur certains circuits,

–l’épuisement progressif des batteries et la « perte », au bout d’une heure, de toute information en salle de commande et de toute possibilité de commande.

L’arrêt du réacteur par chute des grappes absorbantes est favorable.

L’arrêt des pompes primaires, dotées de volants d’inertie adaptés, est prévu en cas d’arrêt automatique du réacteur ; ces volants d’inertie permettent le passage à une circulation naturelle du fluide de refroidissement.

L’évacuation de la puissance résiduelle est assurée par l’intermédiaire des générateurs de vapeur alimentés par la (ou les) turbopompe(s)468 de leurs alimentations de secours en eau à partir de la bâche du circuit ASG, la vapeur produite étant rejetée dans l’atmosphère, le condenseur étant indisponible. La bâche du circuit ASG permet de maintenir ce mode de refroidissement pendant une vingtaine d’heures.

En revanche, il est apparu que, pour les réacteurs de 900 MWe, les joints hydrodynamiques des pompes primaires pourraient se détériorer rapidement ; l’arrêt des pompes du circuit de contrôle chimique et volumétrique (RCV) interrompt l’injection d’eau à très haute pression dans ces joints, et l’arrêt du système de refroidissement intermédiaire (RRI) fait perdre l’alimentation en eau froide de la barrière thermique qui contribue à protéger ces joints. Ceux-ci ont alors une probabilité importante de se détériorer, ce qui conduirait à la création d’une brèche du circuit primaire. Or ni le système d’injection de sécurité, mis à part les accumulateurs, ni celui d’aspersion d’eau dans l’enceinte de confinement ne pouvaient fonctionner en l’absence d’alimentation électrique. On pouvait donc se trouver, au bout de quelques heures, face à un accident particulièrement grave (découvrement puis fusion du cœur, augmentation non maîtrisée de la pression dans l’enceinte de confinement pouvant éventuellement conduire à sa défaillance).

Certaines modifications d’installations et d’équipements ont alors été décidées par Électricité de France, accompagnées de la procédure de conduite correspondante (H3), pour :

–assurer une réalimentation automatique de l’injection d’eau aux joints des pompes primaires, dans un délai de 2 minutes, par la motopompe de test469 (appartenant au système RIS) du circuit primaire, de faible débit, alimentée en électricité par un petit turboalternateur, dénommé LLS ; ce turboalternateur est alimenté en vapeur grâce à un piquage sur la ligne d’alimentation de la turbopompe ASG. Cela a nécessité des modifications mécaniques (liaisons entre les systèmes RIS, RCV et RCP d’une part, LLS et ASG d’autre part) et électriques (pour la mise en service et le fonctionnement de façon autonome du « système » LLS – représenté sur la figure 13.2). Cette disposition a été retenue dès la conception des réacteurs de 1 300 MWe et de 1 450 MWe, puis adaptée pour les réacteurs de 900 MWe (chaque réacteur de 1 300 MWe et de 1 450 MWe dispose d’une pompe de test et d’un LLS, mais il n’y a qu’une pompe de test et un LLS pour chaque paire de réacteurs de 900 MWe) ;

–maintenir un minimum de moyens de contrôle-commande permettant la maîtrise de la pression et de la température de l’eau dans les circuits primaire et secondaire, le contrôle du remplissage du circuit primaire, la commande de la vitesse de la (ou des) turbopompe(s) de l’alimentation de secours des générateurs de vapeur et la commande des vannes de décharge de la vapeur à l’atmosphère. Le courant électrique nécessaire provient également du petit turboalternateur LLS.

Figure 13.2. Traitement de la perte totale des alimentations électriques : le système LLS. IRSN.

En l’absence de décharge d’eau du circuit primaire, le pressuriseur se remplit par suite de l’injection d’eau aux joints des pompes primaires. La place nécessaire est obtenue par contraction progressive du fluide primaire en le refroidissant par l’intermédiaire des générateurs de vapeur (au début de l’accident à puissance nominale, l’eau du circuit primaire, dont la température moyenne est de 286 °C, a une densité de 0,7 environ ; il est donc possible de gagner un volume de l’ordre de 100 m3). Les premières études ont montré la possibilité de maintenir le combustible dans un état satisfaisant pendant une vingtaine d’heures dans ces conditions (délai considéré comme suffisant pour permettre le rétablissement d’au moins une source électrique, ne serait-ce qu’à titre provisoire).

L’optimisation de la procédure de conduite H3 et l’examen des moyens de réalimenter la réserve d’eau de l’alimentation de secours des générateurs ont permis d’allonger encore ce délai.

La procédure de conduite H3 et les équipements associés permettent d’éviter tout dégât sur le combustible et tout rejet significatif de radioactivité.

Les délais sont alors suffisants pour retrouver une alimentation électrique par l’une des voies suivantes :

–une source externe alimentée par une tranche du site, un site voisin, un groupe hydraulique proche ;

–le démarrage d’une turbine à gaz (TAG) mobile ou d’un groupe d’ultime secours (générateur à moteur diesel) ; ces équipements sont venus, l’un ou l’autre, compléter les possibilités d’alimentation électrique de chaque site ;

–le raccordement à un groupe électrogène d’une tranche voisine, via le « stand » de raccordement de la TAG ;

–le contournement des deux tableaux électriques supposés défaillants en alimentant directement les matériels nécessaires du point de vue de la sûreté à l’aide de bretelles de raccordement utilisées lors des essais périodiques.

Toutes les tranches en service ont bénéficié de ces dispositions – les problèmes de fiabilité des équipements complémentaires étant progressivement résolus.

13.3.Analyse des événements
du « domaine complémentaire »

Électricité de France a pris l’option, pour la majorité des événements du domaine complémentaire (combinaisons de défaillances), d’effectuer une démonstration « physique » du bien-fondé des dispositions retenues ; il a été admis que ces études pourraient se faire avec des hypothèses présentant des « marges moindres de conservatisme » (pas d’aggravant, puissance résiduelle sans marge ou avec une marge réduite, temps d’action pour l’opérateur fixé à une valeur jugée raisonnable…).

Toutefois, la mise en œuvre d’une telle approche a soulevé de nombreuses questions, liées au manque de cohérence entre les hypothèses retenues dans les différentes approches.

Devant ce constat, il est apparu opportun de redéfinir une démarche pour déterminer la liste puis étudier les événements du domaine complémentaire, en visant notamment à obtenir une cohérence entre, d’une part les études déterministes de ces événements, d’autre part les études support utilisées dans les études probabilistes de sûreté.

Dans le cadre de l’instruction de la demande de mise en service de Chooz B1 (1996), après l’examen des événements du domaine complémentaire du palier N4, l’autorité de sûreté (DSIN) a demandé à l’exploitant Électricité de France :

–de réexaminer la liste des événements du domaine complémentaire selon une méthode à proposer et, le cas échéant, de la compléter en tenant compte des résultats des études probabilistes de sûreté réalisées pour le palier N4,

–de proposer une démarche sur le sujet en termes d’hypothèses retenues et de méthodes « réalistes », cette démarche devant permettre de s’assurer de l’absence d’effet « falaise », notamment à l’aide d’études de sensibilité sur les paramètres influant fortement sur les transitoires associés.

13.4.« Nouveau domaine complémentaire »

Ces demandes de l’autorité de sûreté ont conduit Électricité de France à proposer et appliquer une nouvelle approche pour la définition des événements à étudier, qui constituent le « nouveau domaine complémentaire ».

Ce nouveau domaine complémentaire est construit sur la base des résultats des études probabilistes de sûreté (EPS) de niveau 1 : la vérification du niveau de sûreté qu’elles permettent conduit, le cas échéant, à la mise en place de parades pour ramener le risque lié à l’exploitation de l’installation à un niveau jugé acceptable.

Il est possible de prendre en compte dans les EPS des matériels ou des systèmes qui ne sont pas pris en considération (retenus, ou « valorisés ») dans les études déterministes des conditions de fonctionnement de dimensionnement (ou de référence), et qui peuvent avoir un effet bénéfique pour la sûreté. Ces matériels et systèmes peuvent être des matériels ou des systèmes qui assurent un rôle dans le fonctionnement normal de la tranche (par exemple le système de contournement de la turbine vers le condenseur ou vers l’atmosphère [GCT-c et GCT-a], l’appoint d’eau au circuit primaire par la charge du circuit de contrôle chimique et volumétrique [RCV]…) ou des systèmes ou fonctions spécifiques qui ne sont pas classés de sûreté à la conception. Le but des études du (nouveau) domaine complémentaire est de vérifier que l’ensemble des dispositions mises en œuvre permettent de ramener le risque lié à l’exploitation de l’installation à un niveau jugé acceptable. Cette vérification conduit à identifier, parmi les dispositions non « valorisées » dans le dimensionnement conventionnel de base, celles qui sont indispensables pour la sûreté – voire, le cas échéant, à définir des dispositions spécifiques complémentaires. Ces dispositions matérielles ou opératoires sont appelées dispositions complémentaires spécifiques à la gestion de situations accidentelles non couvertes par le dimensionnement conventionnel de base.

Dans le nouveau domaine complémentaire, une « disposition complémentaire » peut se comprendre comme une disposition matérielle ou une action de l’opérateur, non préventive (à l’égard de l’initiateur), spécifique à la gestion des situations accidentelles non couvertes par le dimensionnement conventionnel de base et nécessaire à la vérification du niveau de sûreté de l’installation, eu égard aux objectifs probabilistes.

Les principales étapes de la démarche de définition du nouveau domaine complémentaire sont décrites sommairement ci-dessous :

1.Identification de « séquences fonctionnelles » sur la base de l’EPS représentative de l’état de conception de la tranche, i.e. sans prise en compte des dispositions complémentaires. Une séquence fonctionnelle est définie comme un ensemble de séquences élémentaires probables (fréquence supérieure à 10-8 par tranche et par an) du modèle EPS qui présentent des caractéristiques fonctionnelles communes et pour lesquelles une réduction de la probabilité de fusion du cœur peut être obtenue par la mise en œuvre d’une même disposition complémentaire. Cette réduction dépend en général d’un unique « paramètre EPS » (délai d’intervention d’un opérateur ou fiabilité d’un matériel).

2.À chaque séquence fonctionnelle retenue, est associé un événement ou « condition de fonctionnement complémentaire », dont l’étude permet au concepteur de déterminer une valeur maximale pour le « paramètre EPS », comme le délai maximal dont dispose l’opérateur pour enclencher l’action de conduite ou la fiabilité d’un matériel, considéré comme disposition complémentaire.

3.Justification probabiliste de la disposition complémentaire ; elle consiste à montrer que la probabilité de fusion du cœur associée est ramenée à un niveau acceptable avec la disposition complémentaire.

Les critères de sûreté utilisés pour les études déterministes (thermohydrauliques et physiques) des événements du (nouveau) domaine complémentaire sont ceux des conditions de fonctionnement de dimensionnement de quatrième catégorie. Des critères de découplage plus restrictifs peuvent être retenus pour ce qui concerne l’intégrité des différentes barrières de confinement.

Les valeurs des paramètres physiques (grandeurs caractéristiques de l’état initial de la tranche, valeurs de réglage des seuils de protection enclenchant les actions automatiques, caractéristiques fonctionnelles des matériels et des systèmes sollicités, puissance résiduelle...) sont fixées comme suit :

–valeurs raisonnablement enveloppes (en général à 95 %) pour les paramètres dominants,

–valeurs nominales (sans incertitudes) pour les autres paramètres.

L’ensemble des matériels, systèmes et régulations importants pour la sûreté (IPS, « classés » ou « non classés » de sûreté), est pris en compte. Les matériels, systèmes et régulations qui ne sont pas IPS peuvent être pris en compte au cas par cas, sous réserve d’une justification de leur aptitude à remplir leur mission.

Ce nouveau domaine complémentaire correspond aux dispositions de l’« arrêté INB », dont l’article 3.2 (paragraphe II) qui précise que, « en complément des événements déclencheurs uniques postulés, la démonstration de sûreté nucléaire traite des situations plausibles de cumul d’événements déclencheurs, sélectionnés selon des critères justifiés notamment au regard des analyses et évaluations mentionnées aux articles 2.7.2 et 3.3. ».

Cette démarche a permis d’identifier ou de confirmer les « dispositions complémentaires » suivantes pour les réacteurs de 900 MWe, à l’occasion de leur troisième réexamen périodique :

–l’isolement automatique de la décharge du circuit de contrôle chimique et volumétrique (RCV) sur un critère de température élevée ;

–l’isolement du circuit d’eau de retour des joints des groupes motopompes primaires GMPP et de la ligne de débit nul des pompes RCV en cas de perte du refroidissement intermédiaire ;

–la mise en service manuelle du mode de refroidissement en « gavé-ouvert » (voir plus haut) ;

–le fonctionnement du turboalternateur LLS ;

–le système d’injection d’eau aux joints des pompes primaires en cas de perte des tableaux électriques secourus de 6,6 kV, dont la fiabilisation a été accrue à l’occasion des VD3 ;

–l’alimentation en eau des générateurs de vapeur par les pompes d’extraction d’eau du condenseur en secours de la turbopompe de secours de l’ASG en cas de perte des tableaux électriques secourus de 6,6 kV ;

–l’appoint manuel gravitaire au circuit primaire lorsque celui-ci est suffisamment ouvert en état d’arrêt du réacteur pour intervention (API) ;

–l’appoint gravitaire d’eau à la bâche du système ASG par le système de distribution d’eau déminéralisée ;

–l’appoint d’eau au circuit primaire par le système RCV de la tranche voisine ;

–la « borication » manuelle du circuit primaire − cette disposition de conduite permet de transférer une solution d’acide borique à 21 000 ppm de bore ;

–la disposition de conduite visant un refroidissement maximal du réacteur dans le cas d’une brèche du circuit primaire sans injection de sécurité à haute pression ;

–la mise en service manuelle de l’injection de sécurité en cas de brèche du circuit primaire en état d’arrêt normal du réacteur avec refroidissement par les générateurs de vapeur (AN/GV) ;

–la mise en service manuelle de l’injection de sécurité à basse pression en cas de brèche du circuit primaire en état d’arrêt normal du réacteur avec refroidissement par le circuit de refroidissement du réacteur à l’arrêt (AN/RRA) ;

–l’appoint d’eau automatique au circuit primaire en cas de perte ou de brèche du RRA en API ;

–la mise en service manuelle d’un appoint d’eau au circuit primaire en cas de perte ou de brèche du circuit RRA en API et d’échec de l’appoint automatique ;

–le passage manuel en recirculation d’eau en cas de perte ou de brèche du RRA en API ;

–les dispositions de protection antidilution automatique (voir le chapitre 35) ;

–le secours mutuel des pompes du circuit d’injection de sécurité (RIS) à basse pression et du circuit d’aspersion d’eau dans l’enceinte de confinement (EAS) ;

–l’appoint manuel d’eau à la piscine du bâtiment d’entreposage du combustible en cas de perte de refroidissement de cette piscine ;

–le déclenchement en local des groupes RAM − ces groupes assurent l’alimentation électrique des mécanismes de commande des grappes absorbantes pour en permettre l’extraction ou l’insertion progressive470 ;

–le groupe électrogène d’ultime secours ;

–le « palliatif ATWS » ;

–l’arrêt automatique des GMPP en cas d’atteinte d’un seuil de haute température des paliers et des butées des moteurs.

Les dispositifs associés ont fait l’objet d’un classement de sûreté et d’exigences d’exploitation dans les règles générales d’exploitation (RGE).

13.5.Cas du réacteur EPR Flamanville 3

Comme pour les réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe, des dispositions complémentaires sont définies pour le réacteur EPR ; elles permettent de traiter les événements qui prennent le nom de conditions de fonctionnements avec défaillances multiples de catégorie RRC-A471 (Risk Reduction Categorie – A).

Une évolution de méthode a cependant été introduite par Électricité de France, justifiée par les dispositions des « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » et par la recherche d’une cohérence avec les pratiques internationales. Les principales évolutions de la démarche concernent :

–le choix d’une unique valeur probabiliste repère, fixée à 10-8, pour les séquences fonctionnelles avec fusion du cœur ;

–les règles d’étude des conditions de fonctionnement avec défaillances multiples RRC-A : les modalités de prise en compte des actions des opérateurs sont similaires à celles qui ont été retenues pour l’analyse déterministe des conditions de fonctionnement de référence (PCC) ;

–la vérification probabiliste de l’efficacité des dispositions RRC-A, qui est apportée par des études probabilistes de sûreté.

Cette nouvelle démarche de définition du domaine complémentaire dit rénové est progressivement mise en œuvre pour les réacteurs en exploitation en commençant par les réacteurs de 900 MWe dans le cadre des études de réévaluation de sûreté associée à leurs quatrièmes visites décennales. Dans ce dernier cas, la mise en œuvre de la démarche a conduit, d’une part à confirmer les dispositions déjà identifiées dans le cadre des études du nouveau domaine complémentaire, d’autre part à retenir le diesel d’ultime secours (DUS), équipement installé par Électricité de France à l’égard de situations extrêmes (retour d’expérience de l’accident survenu à la centrale nucléaire de Fukushima Daiichi – voir le paragraphe 36.6), comme nouvelle disposition complémentaire permettant de réduire encore les risques liés aux événements internes aux réacteurs.

461.Ou de « situations », terme aussi utilisé.

462.Lettre « relative aux grandes options de sûreté des tranches comportant un réacteur nucléaire à eau pressurisée du ministre chargé de l’industrie au directeur général d’EDF ». Cette lettre, complétée par la lettre SIN 576/78 du 16 mars 1978, ainsi que les deux lettes CAB citées, sont reproduites dans le recueil des textes publiés par la Direction de la sûreté des installations nucléaires, 4e édition, de mai 1999 (Éditions des journaux officiels).

463.Une probabilité de 10-6 par an et par tranche correspond à une espérance mathématique de 2/1 000 d’avoir un tel accident pour un parc électronucléaire de 50 réacteurs exploités pendant 40 ans.

464.Par exemple, pour les chutes d’avions, il est considéré que la perte de l’intégrité d’un bâtiment abritant les fonctions de sûreté conduit systématiquement à des conséquences inacceptables ; pour ce qui concerne la défaillance totale des systèmes redondants, il est considéré comme inacceptable un début de découvrement du cœur par l’eau de refroidissement sans possibilité de renoyage…

465.Expression introduite dans les lettres précitées.

466.L’eau sortant des lignes de décharge du pressuriseur est dirigée vers un réservoir de décharge, équipé d’une membrane ; lorsque la membrane éclate, l’eau se déverse dans le bâtiment du réacteur et se retrouve dans les puisards situés au fond de l’enceinte de confinement.

467.Ces développements concernent les réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe.

468.Entrainées par la vapeur des générateurs de vapeur.

469.La pompe de test permet la mise en pression du circuit primaire lors des épreuves règlementaires initiale et périodiques. C’est par les lignes d’alimentation des joints des pompes primaires que se font ces mises en pression.

470.A contrario, le déclenchement de ces groupes provoque la perte de l’alimentation électrique de ces mécanismes et ainsi la chute gravitaire des grappes jusqu’à leur insertion complète dans le cœur.

471.De plus, la prise en compte pour la conception des situations avec fusion du cœur sera introduite (catégorie désignée par RRC-B) ; elles sont abordées au chapitre 17.

Chapitre 14

Développement et utilisation
des études probabilistes de sûreté

L’objet de ce chapitre est de présenter le développement et l’utilisation, pour les réacteurs du parc électronucléaire français, des « études probabilistes de sûreté »472 déjà évoquées aux chapitres 6 et 13. L’utilisation et l’intérêt de ces études seront illustrés par quelques-uns des enseignements les plus significatifs qui en ont été tirés et qui ont conduit à la mise en place de dispositions concrètes dans les centrales, permettant de renforcer le niveau de sûreté de celles-ci.

14.1.Historique et contexte règlementaire

14.1.1.Situation internationale

Les premières études probabilistes de sûreté

Comme cela est indiqué au chapitre 6, la conception initiale des réacteurs nucléaires à eau sous pression est fondée sur une démarche déterministe de défense en profondeur.

La première étude probabiliste de sûreté (EPS) complète a été développée aux États-Unis dans les années 1970 et publiée en 1975 sous le titre de rapport WASH 1 400, encore appelé rapport Rasmussen (du nom de son auteur principal, le professeur Norman Rasmussen du Massachussetts Institute of Technology). Cette étude, effectuée hors de tout cadre règlementaire, visait à répondre à la question suivante : l’énergie nucléaire présente-t-elle un risque pour le public ? L’étude du rapport WASH 1 400 était une EPS très complète, tenant compte de très nombreux scénarios accidentels envisageables, jusqu’à une évaluation quantitative des conséquences de ces scénarios en termes de nombre de morts en fonction de leur probabilité. Les résultats de cette étude étaient comparés à des résultats obtenus pour d’autres risques d’origine humaine ou naturelle, en termes de probabilités et de conséquences.

Ce rapport a dans un premier temps fait l’objet de nombreuses critiques, sa crédibilité étant mise en doute compte tenu des incertitudes associées. Un tournant majeur a été l’accident de Three Mile Island au mois de mars 1979 ; après cet accident, le rapport Rasmussen, qui avait notamment mis en évidence les conséquences importantes qui pouvaient résulter de scénarios induits par de petites brèches du circuit primaire dans le cas de réacteurs à eau sous pression, a alors été utilisé de manière plus extensive, les exploitants et les organismes de sûreté ayant pris conscience du fait que de telles études permettent non seulement d’apprécier le risque global induit par une installation mais aussi les contributions des différents scénarios au risque et leurs poids relatifs.

Depuis lors, le développement et l’utilisation des EPS n’ont pas cessé de croître, que ce soit de par le nombre et les types d’installations étudiées, le domaine de « couverture » des études, le nombre et l’importance des utilisations, les recherches et travaux visant à approfondir ces études et à réduire les incertitudes.

Utilisation des études probabilistes de sûreté

De façon générale, tous les pays s’accordent sur le fait que les approches probabiliste et déterministe doivent être utilisées de façon complémentaire473 dans l’analyse de sûreté.

L’introduction des études probabilistes dans la règlementation est néanmoins très variable selon les pays.

Dans la plupart des pays, la réalisation d’EPS est exigée règlementairement, le plus souvent dans le cadre des réexamens périodiques de sûreté (Periodic Safety Reviews) pour les réacteurs existants, et il est à noter que, pour la conception de nouveaux réacteurs, le développement et l’utilisation d’EPS sont maintenant toujours demandés. Un certain nombre de guides ou de normes ont été développés pour leur réalisation, notamment aux États-Unis.

Certains pays ont de plus défini des objectifs probabilistes règlementaires, mais, sur ce point, les positions diffèrent selon les pays, que ce soit en termes de définition des objectifs, de valeurs numériques associées ou en termes d’exigences de démonstration de leur respect. Trois cas de figure peuvent se présenter :

–des objectifs probabilistes sont définis de façon règlementaire et la démonstration de leur respect est exigée, comme par exemple au Royaume-Uni ;

–des objectifs sont affichés par l’autorité de sûreté et présentés sous la forme de « valeurs guides », de « valeurs d’orientation » (ou autres termes équivalents) ; la démonstration de leur respect n’est pas exigée, mais contribue aux prises de décision ;

–aucun objectif n’est affiché par l’autorité de sûreté mais des « valeurs repères » sont proposées par les exploitants comme outils d’aide à la décision.

Niveaux de référence publiés par l’association WENRA

Les niveaux de référence publiés par l’association WENRA des responsables des autorités de sûreté nucléaire européennes sont évoqués au paragraphe 6.6. Parmi ces niveaux de référence, certains concernent le développement et l’utilisation d’EPS.

Ces niveaux de référence indiquent notamment qu’une EPS de niveau 1 et une EPS de niveau 2 doivent être établies pour chaque type de réacteur nucléaire en service. Elles doivent considérer tous les initiateurs pertinents d’accidents, d’origine interne ou externe à l’installation, susceptibles d’affecter le réacteur ou la piscine d’entreposage des combustibles usés. Les agressions externes (séisme, inondation, températures extrêmes…) doivent être traitées dans la mesure où l’état de l’art le permet ; dans le cas contraire, d’autres méthodes doivent être utilisées pour évaluer la contribution des agressions externes aux risques induits par l’installation.

14.1.2.Situation en France

Introduction d’approches probabilistes

Comme cela a été indiqué au chapitre 13, si la conception de base des centrales nucléaires françaises est et reste d’abord fondée sur une approche déterministe, le Service central de sûreté des installations nucléaires (aujourd’hui l’Autorité de sûreté nucléaire) a, lors de l’examen des grandes options techniques envisagées par Électricité de France pour les tranches de 1 300 MWe, mentionné dans sa lettre SIN n° 1076/77 du 11 juillet 1977 un objectif probabiliste global en ces termes, rappelé ci-après : « D’une façon générale, le dimensionnement d’une tranche comportant un réacteur nucléaire à eau pressurisée devrait être tel que la probabilité globale que cette tranche puisse être à l’origine de conséquences inacceptables ne dépasse pas 10-6 par an. Dès lors, lorsqu’une approche probabiliste sera utilisée pour apprécier si une famille d’événements doit être prise en compte pour le dimensionnement d’une telle tranche, il conviendra de considérer que cette famille d’événements doit effectivement être prise en compte si la probabilité qu’elle puisse conduire à des conséquences inacceptables est supérieure à 10-7 par an, cette valeur ne pouvant être dépassée, pour la famille d’événements examinée, que s’il est possible de démontrer que les calculs de probabilités effectués sont suffisamment pessimistes. »

À la suite de discussions avec Électricité de France, la lettre SIN n° 576/78 du 16 mars 1978 a précisé les termes de la lettre SIN précitée. Il est à noter à ce sujet (voir paragraphe 13.2) que :

–l’objectif global est fixé en termes de « conséquences inacceptables » alors que ces « conséquences inacceptables » n’ont pas été définies par un texte législatif ou règlementaire ; elles doivent en fait être appréciées en termes politiques en tenant compte éventuellement des effets liés aux sites et des possibilités de mesures de protection des populations ;

–la probabilité de 10-6 par an est une valeur « objectif »474 pour une tranche et il n’est pas demandé à Électricité de France de démontrer que cet objectif est atteint.

Premières études probabilistes

Des études probabilistes ont alors été réalisées par Électricité de France pour évaluer les probabilités et les conséquences de la perte de divers systèmes redondants.

Bien que partielles par rapport aux EPS qui seront développées ultérieurement, ces premières études ont conduit à la définition de dispositions complémentaires précisées au paragraphe 14.2.3.

Études probabilistes de sûreté couvrant
l’ensemble des événements internes à l’installation

Deux études probabilistes de sûreté ont été réalisées dans les années 1980 et publiées en 1990.

Une première EPS concernant les réacteurs standardisés de 900 MWe (CP2) a été réalisée par l’IPSN (1983). La seconde EPS concernant la tranche 3 de la centrale nucléaire de Paluel (tranche représentative des réacteurs de type P4 de 1 300 MWe) a été réalisée par Électricité de France. Ces deux EPS visaient à évaluer la fréquence de fusion du cœur (EPS de niveau 1), sans tenir compte des possibilités d’agressions d’origine interne comme l’incendie ou d’origine externe comme le séisme ; par contre, elles considéraient l’ensemble des états de fonctionnement y compris les états où le réacteur est à l’arrêt, ce qui était alors une avancée en comparaison des études étrangères alors disponibles.

Ces deux études ont permis des améliorations significatives de la sûreté des réacteurs (voir le paragraphe 14.2.3).

Cas du projet EPR

Dans le cadre du développement du projet EPR, une étape supplémentaire a été franchie en termes d’utilisation d’approches probabilistes. Les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression », retenues en 2000 par le Groupe permanent d’experts pour les réacteurs nucléaires et les experts allemands associés, prévoient explicitement la réalisation par l’exploitant d’une EPS de niveau 1 dès la conception, incluant au moins les événements internes à l’installation, en vue de conforter les choix de conception. Il y est indiqué qu’« une réduction significative (par rapport aux tranches alors en exploitation) de la probabilité de fusion du cœur du réacteur doit être obtenue ; la mise en place d’améliorations en termes de défense en profondeur des installations devrait conduire à une probabilité globale inférieure à 10-5 par réacteur et par an, en tenant compte des incertitudes et de tous les types de défaillances et d’agressions d’origine interne ou externe ». Ces directives techniques soulignent que, en règle générale, les objectifs probabilistes quantitatifs ne doivent pas être considérés comme des exigences ; ils sont essentiellement destinés à fournir des valeurs d’orientation pour vérifier et évaluer la conception.

Comme cela sera explicité au paragraphe 14.5.1, la réalisation par le concepteur (Areva), puis par l’exploitant (Électricité de France), d’études probabilistes de sûreté dès la conception du réacteur EPR a conduit à des améliorations de sûreté significatives.

La règle fondamentale de sûreté

L’autorité de sûreté a décidé de formaliser l’utilisation d’approches probabilistes dans un texte officiel. Ce texte a été publié sous la forme d’une règle fondamentale de sûreté (RFS 2002-01) qui décrit des méthodes acceptables pour la réalisation des EPS de niveau 1 limitées aux événements internes à l’installation et indique également des possibilités d’utilisation de ces EPS.

Introduction des analyses probabilistes dans la règlementation française

Depuis 2008, l’ASN a entrepris le développement d’un corpus règlementaire français, notamment pour y introduire les niveaux de référence de WENRA.

L’arrêté du 7 février 2012 stipule que la démonstration de sûreté nucléaire des installations nucléaires de base repose sur une démarche déterministe prudente, complétée par des analyses probabilistes des accidents et de leurs conséquences. Il impose de plus la réalisation d’EPS pour les réacteurs électronucléaires.

14.2.EPS de niveau 1

14.2.1.Domaine de couverture

Le domaine couvert par une EPS est défini à partir des conséquences étudiées des événements initiateurs considérés et des états du réacteur retenus pour l’étude.

Une EPS de niveau 1 consiste à déterminer l’ensemble des scénarios (combinaisons de défaillances d’origine matérielle ou humaine) pouvant conduire à la fusion du combustible, et à évaluer leurs fréquences à partir des probabilités d’occurrence des défaillances élémentaires.

Les événements initiateurs pris en considération dans une telle EPS peuvent être classés en deux grandes catégories :

–les événements initiateurs d’origine interne à l’installation (défaillances d’origine matérielle ou humaine),

–les agressions d’origine interne (incendie, inondation…) ou d’origine externe (séisme, incendie, inondation, tornade…).

Les événements initiateurs retenus peuvent de plus être étudiés soit pour un seul état de l’installation (généralement la pleine puissance du réacteur), soit pour plusieurs états ou pour l’ensemble des états de l’installation.

Les études développées en France par l’IRSN et par Électricité de France couvrent tous les états du réacteur ; comme cela a été indiqué précédemment, elles ont été les premières, au niveau international, à traiter les situations pouvant se développer dans les états d’arrêt du réacteur. Elles traitent l’ensemble des événements initiateurs d’origine interne à l’installation, la perte des alimentations électriques externes par le réseau de distribution d’électricité, la perte de la source froide et certaines agressions d’origine interne ou externe à l’installation (voir le paragraphe 14.4).

Le domaine couvert par une EPS n’est pas la seule caractéristique importante. En effet, au plan international, le soin apporté au choix des méthodes et des données utilisées, en particulier au niveau de détail et à la qualité des études physiques et fonctionnelles en support de l’EPS, est très variable alors que les choix faits ont une grande importance pour l’utilisation des résultats en vue d’améliorer la sûreté des installations. En France, les données utilisées (fiabilité des matériels…) pour les EPS sont représentatives du parc standardisé.

14.2.2.Méthode de réalisation d’une EPS de niveau 1

14.2.2.1.Généralités

Pour chaque événement initiateur, les séquences accidentelles pouvant résulter du succès ou de l’échec des systèmes ou des missions de conduite amenés à intervenir pour assurer les fonctions fondamentales de sûreté du réacteur sont déterminées en vue d’évaluer la fréquence de l’événement redouté (pour l’EPS de niveau 1, il s’agit, comme indiqué plus haut, de la fusion du combustible). La sommation de l’ensemble des valeurs des fréquences calculées pour les différentes séquences accidentelles permet d’obtenir la fréquence totale de l’événement redouté et d’apprécier les contributions des différents événements initiateurs ainsi que l’importance pour la sûreté des équipements et des missions de conduite correspondants. La figure 14.1 résume la démarche retenue pour les EPS de niveau 1.

Tout d’abord, une étape de nature qualitative permet de déterminer les séquences accidentelles pouvant conduire à la fusion du cœur à partir d’une liste aussi exhaustive que possible d’événements initiateurs, c’est-à-dire d’événements qui perturbent le fonctionnement normal de l’installation et conduisent à une dérive de certains paramètres de l’installation (pression, température, réactivité du cœur…). Cela est réalisé en construisant, pour chaque événement initiateur, un arbre d’événements, c’est-à-dire un schéma logique définissant les séquences accidentelles envisageables à partir de cet événement initiateur, en considérant le succès ou l’échec des systèmes ou des missions de conduite mis en œuvre pour arrêter la progression vers l’événement redouté. La construction des arbres d’événements tient compte des dépendances fonctionnelles entre systèmes (par exemple les systèmes électriques en support). Chaque branche d’un arbre d’événements constitue une séquence accidentelle au sens de l’EPS et fait l’objet d’une étude de thermohydraulique pour déterminer si elle peut ou non conduire à la fusion du cœur. Cette étude permet de traiter avec précision la mission de chaque système (par exemple, détermination du nombre de trains ou de files d’un système nécessaire pour accomplir la mission) ou de chaque mission de conduite (par exemple, délai maximal dans lequel un système doit être mis en service pour éviter l’événement redouté). La figure 14.2 présente un exemple de construction d’un arbre d’événements.

Figure 14.1. Démarche retenue pour le développement des EPS de niveau 1. IRSN.

Après la construction des arbres d’événements, vient une étape de quantification, fondée sur une évaluation de la fiabilité humaine et une analyse des systèmes, permettant l’identification des combinaisons de défaillances conduisant à l’échec des missions, matérialisée par le développement d’arbres de défaillance ; elle permet de quantifier la fréquence de fusion du cœur associée à chacune des séquences accidentelles précédemment identifiées. Un arbre de défaillance est un schéma logique permettant de relier, par une méthode déductive, la défaillance d’un système aux événements élémentaires susceptibles de l’entraîner. Les données de fiabilité des matériels permettant de quantifier ces événements élémentaires sont estimées à partir de l’expérience d’exploitation des réacteurs exploités par Électricité de France.

Figure 14.2. Arbre d’événements pour l’initiateur « défaillance de l’alimentation en eau des générateurs de vapeur alors que le réacteur est en puissance ». IRSN.

La figure 14.3 présente un exemple de modélisation d’un système au moyen d’un arbre de défaillance.

Lorsqu’une EPS vise à couvrir des agressions d’origine externe ou interne, il est non seulement nécessaire de disposer de données spécifiques aux agressions étudiées, notamment les fréquences et amplitudes des aléas, mais également de déterminer les événements initiateurs pouvant résulter de ces agressions, les séquences accidentelles spécifiques associées, avec l’analyse des systèmes et l’évaluation de la fiabilité humaine dans les conditions de ces agressions.

14.2.2.2.Un point particulier : l’étude probabiliste de la fiabilité humaine

Étape indispensable dans la construction d’une EPS, l’étude probabiliste de la fiabilité humaine (EPFH), qui permet d’évaluer la probabilité d’échec des missions de conduite, est délicate. En effet, il est difficile de collecter de façon systématique des données statistiques concernant les actions des opérateurs car, si les défaillances peuvent être dénombrées, le nombre d’actions est rarement connu. Une EPFH repose donc sur des modèles qui prennent en compte les données utilisables (données ayant fait l’objet d’un consensus à l’échelle internationale, statistiques issues de mise en situation d’équipes de conduite sur des simulateurs, retour d’expérience…) et les agrègent avec des jugements d’experts.

Figure 14.3. Schéma simplifié d’un système d’injection d’eau dans le circuit primaire (en haut) et l’arbre de défaillance associé (en bas). IRSN.

Le premier modèle EPFH complet prenant en compte les erreurs de diagnostic, les erreurs d’exécution, les actions intempestives, le contexte dans lequel les actions sont réalisées, ainsi que les dépendances entre actions, est le modèle THERP475 élaboré aux États-Unis par Alan Swain. Ce modèle fait l’objet du rapport NUREG 1278 (intitulé « Handbook of Human Reliability Analysis with Emphasis on Nuclear Power Plant Applications » – août 1983). Il existe aujourd’hui plusieurs dizaines de modèles EPFH dans le monde, la plupart reprenant en partie des aspects de modèles développés précédemment. Ainsi, les tables de probabilités établies par Alan Swain sont encore largement présentes dans les modèles EPFH les plus utilisés. Il est cependant à noter que les modèles les plus récents tels que MERMOS, développé par Électricité de France, ou ATHEANA, développé par l’US.NRC (rapport NUREG 1880 intitulé « ATHEANA User’s Guide » – juin 2003 – E. Lois), s’en démarquent en utilisant une méthode de type analyse fonctionnelle prenant en compte l’ensemble des aspects organisationnels liés à la mise en œuvre d’une mission de conduite, contrairement aux méthodes antérieures qui étaient centrées sur l’opérateur. Les inconvénients de ce type de méthode sont notamment un investissement coûteux en termes de délais de mise en œuvre des modélisations et une validation plus délicate.

PANAME

Depuis les années 2000, dans ses EPS de niveau 1, l’IRSN utilise un modèle EPFH dénommé PANAME (Plan d’actions nouvelles pour l’amélioration du modèle EPFH avec passage à l’APE) ; il relève de la famille des modèles contenant des abaques permettant de déterminer des probabilités d’erreur en fonction du temps disponible pour accomplir une mission de conduite et il est largement inspiré du modèle développé pour les premières EPS réalisées en France, lui-même inspiré du modèle américain THERP. Il prend en compte des résultats statistiques obtenus par Électricité de France lors de campagnes d’essais de mise en situation d’équipes de conduite sur des simulateurs dits pleine échelle, c’est-à-dire des répliques des salles de commande des centrales.

La structure du modèle PANAME est fondée sur l’organisation d’une équipe de conduite d’un réacteur d’Électricité de France en situation incidentelle ou accidentelle :

–un premier module traite de la fiabilité humaine des trois opérateurs toujours présents dans la salle de commande :

•l’« opérateur réacteur » qui est responsable du circuit primaire ;

•l’« opérateur eau-vapeur » qui est responsable du circuit secondaire ;

•le « superviseur » qui veille à la bonne application des procédures par les deux autres opérateurs ; il assure ainsi un premier niveau de redondance humaine ;

–un deuxième module traite la fiabilité humaine d’un quatrième opérateur qui apporte son support à l’équipe qui est en salle de commande en cas d’incident ou d’accident (entrée en conduite selon l’approche par état [APE], voir le chapitre 33) et à prendre du recul. Il applique une procédure spécifique dénommée surveillance permanente par états (SPE – voir le paragraphe 33.5) et assure un deuxième niveau de redondance humaine. Ce rôle est tenu dans un premier temps par le chef d’exploitation (CE) puis par l’ingénieur de sûreté (IS).

Le premier module de PANAME distingue :

–le diagnostic de la situation, qui consiste à détecter l’apparition d’une perturbation nécessitant le passage en conduite incidentelle ou accidentelle et à appliquer correctement les procédures de conduite pour réaliser la mission de conduite qui fait l’objet de l’évaluation probabiliste ; la probabilité d’échec (PÉchec diagnostic), fonction du délai disponible, est déterminée par lecture sur un graphique. Les trois courbes empiriques présentées sur la figure 14.4 font partie du modèle de diagnostic de PANAME ; elles correspondent à trois scénarios de passage en conduite APE de dynamiques différentes : dans le cas de la courbe 1, une baisse de charge doit être réalisée par les opérateurs ; la courbe 2 correspond à la réponse à une alarme ; la courbe 3 correspond à l’occurrence d’un arrêt automatique du réacteur (AAR) ;

Figure 14.4. PANAME : probabilité d’échec du diagnostic en fonction du temps. IRSN (source EDF).

–l’exécution de la mission de conduite dont la probabilité d’échec (PÉchec exécution) est le produit :

•d’une probabilité de base d’échec (PÉchec de base), résultat d’un traitement statistique d’essais de mise en situation d’équipes de conduite sur simulateurs menés par Électricité de France dans les années 1990 ;

•d’un facteur qui traduit le contexte (Kf) de la mission : 1/3 si le contexte est « facile » (action de conduite normale), 1 si le contexte est « normal » (transitoire entrant dans les programmes de formation de base des opérateurs), 3 si le contexte est « difficile » (transitoire complexe), 9 si le contexte est « très difficile » (ce coefficient est utilisé notamment pour les situations d’agression telles que l’incendie) ;

•d’une probabilité d’échec de la récupération de ses propres erreurs par l’équipe de conduite (PNon récupération), fonction notamment de demandes redondantes induites par les modules de surveillance présents dans les procédures de conduite, soit de nouvelles demandes si la situation se dégrade.

À la sortie du premier module de PANAME, la probabilité d’échec de la mission, avant prise en compte d’une possible récupération par le quatrième opérateur
(PÉchec hors CE/IS), est déterminée comme suit :

PÉchec hors CE/IS = (PÉchec diagnostic) + (1 – (PÉchec diagnostic)) x (PÉchec de base) x (PNon récupération) x (Kf)

La probabilité d’échec de la récupération par le quatrième opérateur (CE ou IS) (PÉchec récupération CE/IS) est la somme de la probabilité d’absence de l’IS et du CE (PÉchec hors CE/IS) en fonction du temps (statistiques d’Électricité de France) et de la probabilité de leur échec lors de l’application de la procédure SPE (PÉchec récupération CE/IS).

La probabilité d’échec de la mission de conduite PÉchec mission est le produit des probabilités calculées par les deux modules : PÉchec mission = PÉchec hors CE/IS x PÉchec récupération CE/IS

Il ressort de cette rapide présentation que les estimations de délais constituent un point essentiel des modélisations avec PANAME. Le modèle a été enrichi d’un outil pour calculer les temps de parcours des consignes par les opérateurs. Réalisé à partir du retour d’expérience des passages en conduite APE et de jugements d’experts, il améliore la reproductibilité et la traçabilité des résultats.

MERMOS

Le modèle MERMOS (Méthode d’évaluation de la réalisation des missions opérateur pour la sûreté) est le plus récent des modèles EPFH développés par Électricité de France ; il s’écarte du schéma classique consistant à traiter des erreurs des opérateurs, puis des possibilités de récupération par le superviseur, le CE ou l’IS, pour élargir l’analyse à l’ensemble du système de conduite (l’organisation de la conduite, les procédures, la disponibilité des informations…) et rechercher les dysfonctionnements qui vont aboutir à une conduite inadaptée. Pour faciliter la modélisation, la conduite est décomposée arbitrairement en trois fonctions : la stratégie, l’action et le diagnostic. Pour chacune de ces fonctions, un ou plusieurs scénarios conduisant à l’échec de la mission de conduite sont développés. La situation initiale y est décrite à l’aide de plusieurs propriétés de situation (PS), qui s’attachent généralement à décrire des éléments précis en termes d’attitude de l’équipe de conduite (par exemple l’attente de la réparation d’un matériel ou l’arrivée tardive du quatrième opérateur). La combinaison des PS ne peut pas à elle seule expliquer un scénario d’échec de la mission ; c’est le maintien trop longtemps du système de conduite dans une configuration de conduite particulière (appelée configuration importante de la conduite accidentelle – CICA), qui conduit à l’échec. Un exemple de modélisation d’une mission de conduite est présenté dans le tableau 14.1 ci-après.

Tableau 14.1. Exemple de modélisation par MERMOS pour la mission de conduite « Mise en place du refroidissement en mode gavé-ouvert ».

Mission de conduite

Mise en place du refroidissement en mode gavé-ouvert en 60 minutes après la défaillance de l’alimentation de secours des générateurs de vapeur (ASG)

Mode de défaillance

Stratégie erronée

Scénario

L’équipe de conduite espérant rétablir à temps le fonctionnement de l’ASG retarde trop longtemps le passage en gavé-ouvert

CICA

Le système de conduite tente en priorité de rétablir le fonctionnement de l’ASG plutôt que de recourir au gavé-ouvert compte tenu de ses conséquences

Propriétés de situation

PS1

Les informations transmises par les agents de terrain en local laissent penser que l’ASG sera remise en service rapidement

PS2

Le cadre technique s’implique fortement dans les actions de rétablissement du système ASG

PS3

L’ingénieur de sûreté arrivé tardivement ne remet pas en cause la stratégie de l’équipe de conduite

La quantification des scénarios modélisés avec MERMOS, c’est-à-dire les probabilités attribuées aux PS et aux CICA, repose sur l’utilisation de jugements d’experts. Afin de faciliter la compréhension, la robustesse et la reproductibilité des études correspondantes, la méthode demande au modélisateur de sélectionner ces probabilités dans une table de valeurs discrètes (voir le tableau 14.2).

Tableau 14.2. Table des probabilités des jugements d’experts utilisés dans le modèle MERMOS.

Jugement(s) d’expert(s)

Probabilité associée

Très peu probable

0,01

Peu probable

0,1

Assez probable

0,3

Très probable

0,9

De manière pratique, la probabilité d’occurrence d’un scénario d’échec est le produit des PS, qui décrivent la situation initiale, par la probabilité d’existence des CICA et par la probabilité que celles-ci se maintiennent suffisamment longtemps pour entraîner l’échec de la mission. La probabilité totale d’échec de la mission de conduite est obtenue en faisant la somme des probabilités de l’ensemble des scénarios élaborés pour cette mission, à laquelle est ajoutée une probabilité forfaitaire traduisant les scénarios que le modélisateur n’a pas imaginés.

Fruit du travail d’une équipe pluridisciplinaire constituée d’ingénieurs et de spécialistes des sciences humaines, le modèle MERMOS relève d’une démarche qui vise à prendre en compte les processus cognitifs permettant d’expliquer ou de prédire l’échec d’une mission de conduite. En cela, il fournit des éléments pour l’étude d’améliorations. Ses points faibles sont la quantification des scénarios d’échec, qui repose essentiellement sur des jugements d’experts, ainsi que l’exhaustivité des scénarios.

Il est à noter cependant que l’utilisation de deux modèles EPFH très différents par Électricité de France et par l’IRSN contribue à améliorer la qualité des EPS réalisées en France et en conséquence celle des évaluations de sûreté pour lesquelles les EPS apportent un éclairage.

14.2.3.Résultats des EPS de niveau 1 et enseignements tirés

Il convient de souligner que les EPS sont des outils, ce qui impose une mise à jour régulière.

Électricité de France a développé des EPS de niveau 1 pour ses différents types de réacteurs (paliers de 900 MWe, 1 300 MWe et 1 450 MWe) et pour le réacteur EPR Flamanville 3. Ces études constituent les études de référence. Le cadencement des mises à jour de ces études est directement lié aux réexamens périodiques (après la mise en service), la principale utilisation des EPS pour la recherche d’améliorations de sûreté à mettre en œuvre dans les installations s’effectuant dans ce cadre.

De son côté, l’IRSN développe, de manière indépendante, des EPS de niveau 1 pour les paliers de 900 MWe et 1 300 MWe ainsi que pour le réacteur EPR. L’objectif de l’IRSN est de disposer d’outils permettant d’analyser les argumentations de l’exploitant, d’approfondir l’étude de certains scénarios accidentels et d’inciter celui-ci, dans le cadre des réexamens périodiques, à proposer des modifications des installations ou des procédures de conduite propres à améliorer la sûreté ainsi qu’à étendre le domaine de couverture de ses études en montrant l’intérêt et la faisabilité de certaines extensions, en tenant compte des objectifs fixés pour le réexamen. Le développement d’EPS propres à l’IRSN lui permet également de pouvoir émettre des avis pertinents sur les argumentaires probabilistes présentés par Électricité de France au cours de l’exploitation des tranches, par exemple pour apprécier l’acceptabilité d’une demande de dérogation aux spécifications techniques d’exploitation.

Les toutes premières EPS, bien qu’ayant un domaine de couverture réduit ont conduit à la définition et à la mise en place de dispositions (équipements, procédures de conduite) dites complémentaires (« système » LLS…).

Confortant des analyses menées à la suite d’événements survenus dans les années 1970 et 1980 aussi bien en France qu’à l’étranger, les EPS suivantes, au domaine de couverture plus complet, vont notamment conduire à la mise en place de dispositions visant à réduire le risque de probabilité de fusion du cœur dans les situations d’arrêt où le circuit primaire est partiellement vidangé jusqu’au niveau des tuyauteries des boucles (plage de travail basse du RRA, ou PTB-RRA). Ces événements et les dispositions mises en place sont détaillés au paragraphe 22.1.

Les résultats présentés ci-après découlent des EPS de niveau 1 considérant les événements initiateurs d’origine interne à l’installation développées par Électricité de France et l’IRSN pour le réexamen de sûreté associé aux troisièmes visites décennales des réacteurs de 900 MWe (la description des différentes études réalisées dans le cadre des réexamens périodiques est présentée au chapitre 30).

L’étude probabiliste de niveau 1 réalisée par Électricité de France, en tenant compte des modifications prévues lors de ces troisièmes visites décennales (VD3), a conduit à une fréquence de fusion du cœur d’environ 4,6.10-6 par année et par réacteur pour l’ensemble des scénarios considérés.

Au terme de sa propre étude probabiliste de niveau 1, l’IRSN a trouvé une fréquence d’endommagement du cœur476 d’environ 7,5.10-6 par année et par réacteur, pour l’ensemble des états de fonctionnement du réacteur. L’écart provient notamment de la prise en compte, dans l’étude de l’IRSN, pour l’initiateur « défaillance totale de la source froide », de l’épuisement des réserves d’eau du site permettant d’alimenter les générateurs de vapeur et d’évaluations probabilistes des facteurs humains différentes. Les résultats des deux études sont donc proches en ordre de grandeur. Seuls les résultats numériques de l’étude de l’IRSN sont ainsi présentés ci-après (voir le tableau 14.3).

Globalement, les résultats des études tant d’Électricité de France que de l’IRSN font apparaître que les scénarios prépondérants sont ceux qui résultent d’une défaillance des alimentations électriques externes.

Tableau 14.3. Répartition, par type de scénarios, de la fréquence calculée d’endommagement du cœur d’après les résultats de l’EPS1 pour les REP 900 du palier CPY « post-VD3 » de l’IRSN.

Étude IRSN
(après la mise à jour « post-VD3 »)

Type de scénario

Fréquence calculée d’endommagement
du cœur

(par année.réacteur)

% de la fréquence totale d’endommagement
du cœur

Accidents de perte de réfrigérant primaire

1,2.10-6

16 %

Accidents de perte de réfrigérant primaire
à l’extérieur de l’enceinte de confinement

2,2.10-7

2,9 %

Accidents de rupture d’une tuyauterie secondaire

5.10-8

0,7 %

Accidents de rupture de tubes
d’un générateur de vapeur

1,1.10-8

0,1 %

Défaillance totale de la source froide
ou des systèmes associés

1,3.10-6

17 %

Défaillance totale de l’alimentation
en eau des générateurs de vapeur

1.10-6

14 %

Défaillance des alimentations électriques externes

2,9.10-6

38 %

Défaillance des sources électriques internes

5,1.10-7

6,8 %

Transitoires avec échec de l’arrêt automatique du réacteur

3,3.10-8

0,4 %

Transitoires affectant le circuit primaire477

3.10-7

4 %

Fréquence totale d’endommagement
du cœur

7,5.10-6

100 %

Illustration : séquences induites par la perte
des alimentations électriques externes

L’illustration qui suit concerne les accidents pouvant se développer, dans les réacteurs de 900 MWe, à partir d’une défaillance des alimentations électriques externes survenant alors que le réacteur fonctionne en puissance.

Dans cette situation, un arrêt automatique du réacteur se produit et les alimentations électriques internes (groupes électrogènes de secours à moteur diesel LHP et LHQ) sont sollicitées. En cas de défaillance de ces deux groupes électrogènes, les deux tableaux électriques secourus 6,6 kV (LHA et LHB) ne sont plus alimentés, ce qui conduit à une situation de perte totale des alimentations électriques (dite situation H3). Les tableaux LHA et LHB assurent notamment l’alimentation électrique de puissance des systèmes permettant l’évacuation de la puissance résiduelle au moyen des motopompes du système ASG et le maintien de l’intégrité du circuit primaire grâce au refroidissement de la barrière thermique des pompes primaire par le système RRI et à l’injection d’eau aux joints des pompes primaires par le système RCV.

En cas de défaillance de l’alimentation des tableaux électriques secourus 6,6 kV (LHA et LHB), la conduite consiste à refroidir le réacteur à l’aide de la turbopompe du système d’alimentation de secours des générateurs de vapeur (TPS-ASG) et des vannes de décharge du circuit de décharge à l’atmosphère (GCT), de façon à rejoindre un état de repli pour lequel l’injection aux joints des pompes primaires au moyen de la pompe de test alimentée par le turboalternateur LLS (qui permet d’éviter une brèche du circuit primaire) n’est plus nécessaire. Cet état suppose une température de l’eau du circuit primaire inférieure à 190 °C et une pression dans le circuit primaire inférieure à 45 bars.

Dans les études probabilistes, plusieurs événements initiateurs pouvant conduire à la défaillance des tableaux électriques secourus LHA et LHB sont considérés : la défaillance simultanée des deux tableaux LHA et LHB (pour des raisons matérielles), la perte de la ligne principale à 400 kV, une défaillance de courte durée des alimentations électriques externes, une défaillance de longue durée des alimentations électriques externes et un incident réseau généralisé.

La figure 14.5 présente l’arbre d’événements associé à une défaillance de longue durée des alimentations électriques externes débutant alors que le réacteur est initialement en production d’électricité.

Figure 14.5. Arbre d’événements associé à une défaillance de longue durée des alimentations électriques externes survenant alors que le réacteur est initialement en production (CT signifie court terme, MT moyen terme et LT long terme). IRSN.

Pour identifier et quantifier correctement les séquences accidentelles pouvant résulter de cet événement initiateur, il est nécessaire de tenir compte de la conduite accidentelle qui prévoit de passer en état de repli dès la défaillance des alimentations électriques externes. Selon l’état de repli dans lequel la tranche se trouve lors de la défaillance ultérieure des alimentations électriques internes (groupes électrogènes de secours à moteur diesel), les conditions de refroidissement de la chaudière seront différentes et donc les moyens nécessaires pour gérer la situation ainsi que les délais disponibles pour retrouver la disponibilité d’une source d’alimentation électrique ou « ligner »478 le groupe diesel d’ultime secours (LHT) avant la fusion du cœur. L’étude retient à ce sujet trois plages temporelles de défaillance des groupes électrogènes :

–pour la plage « court terme » (CT), l’entrée en situation H3 survient très rapidement, c’est-à-dire moins de deux heures après la défaillance des alimentations électriques externes. La puissance résiduelle est alors importante, les délais avant la fusion du cœur sont courts et ne permettent pas d’assurer à temps le lignage du groupe électrogène diesel LHT en cas de dégradation de la situation ; il en résulte une défaillance précoce de l’alimentation en eau des générateurs de vapeur ou une brèche primaire importante du fait de l’endommagement des joints des pompes primaires ;

–pour la plage « moyen terme » (MT), l’entrée en situation H3 survient entre deux et dix heures après la défaillance des alimentations électriques externes alors que le passage en état de repli est en cours ; les délais avant la fusion du cœur sont plus longs et permettent le gréement des équipes de crise ainsi que le lignage du groupe électrogène LHT ;

–pour la plage « long terme » (LT), l’entrée en situation H3 survient plus de dix heures après la défaillance des alimentations électriques externes ; la tranche est alors supposée être en état de repli « réacteur aux conditions RRA, RRA non connecté » lors de l’entrée en situation H3. L’injection aux joints des pompes primaires n’est plus nécessaire pour éviter la création d’une brèche primaire. Les délais avant la fusion du cœur sont longs, ce qui permet le gréement des équipes de crise et le lignage du groupe électrogène diesel LHT qui permet, en cas de défaillance de la turbopompe, d’assurer l’alimentation en eau des générateurs de vapeur par une motopompe du système ASG.

Les séquences accidentelles menant à la fusion du cœur sont ainsi construites en considérant, pour chaque plage de défaillance des groupes électrogènes LHP et LHQ, la défaillance des moyens nécessaires pour éviter la fusion du cœur et l’échec du rétablissement d’une alimentation électrique pendant la durée disponible avant la fusion du cœur.

La première séquence de l’arbre d’événements, en partant du bas, correspond à la défaillance de longue durée des alimentations électriques (événement initiateur) suivie de la défaillance précoce des deux groupes électrogènes LHP et LHQ et de la turbopompe ASG puis de l’absence de récupération d’une alimentation électrique avant la fusion du cœur ; celle-ci intervenant rapidement, l’utilisation du groupe électrogène d’ultime secours LHT n’est pas possible.

Pour quantifier cette séquence, il est nécessaire de connaître :

–la fréquence F de l’événement initiateur ; cette fréquence est évaluée sur la base de l’expérience d’exploitation des réacteurs du parc en exploitation d’Électricité de France ;

–la probabilité P1 de défaillance à court terme des groupes électrogènes LHP et LHQ ; cette probabilité, évaluée à l’aide d’un arbre de défaillance, tient compte à la fois des défaillances élémentaires et des défaillances de cause commune des groupes électrogènes, ainsi que de celles des disjoncteurs permettant l’alimentation des tableaux électriques secourus ;

–la probabilité P2 de défaillance à court terme de l’alimentation en eau des générateurs de vapeur ; cette probabilité, évaluée à l’aide d’un arbre de défaillance, tient compte à la fois des défaillances élémentaires et des défaillances de cause commune de l’ensemble des composants participant à cette mission, notamment de la turbopompe ASG, des vannes ASG… ;

–la probabilité P3 de non-rétablissement d’une alimentation électrique (alimentation externe ou groupe électrogène à moteur diesel LHP ou LHQ) avant la fusion du cœur (le délai avant la fusion dans cette situation est d’environ une heure).

Sur la base de ces données et sous réserve que les différents événements considérés soient indépendants, la probabilité de la séquence accidentelle considérée est égale au produit F x P1 x P2 x P3.

14.3.EPS de niveau 2

14.3.1.Domaine de couverture

Les études probabilistes de sûreté de niveau 2 visent à prolonger les séquences accidentelles de fusion du cœur mises en évidence par les EPS de niveau 1 en déterminant la progression de ces accidents et les rejets radioactifs associés en termes de fréquences, d’amplitudes et de cinétiques. Comme les EPS de niveau 1, les EPS de niveau 2 ont d’abord été développées pour étudier les risques associés aux initiateurs internes d’accident (réacteur en puissance ou réacteur à l’arrêt).

Électricité de France et l’IRSN ont d’abord réalisé des EPS de niveau 2 pour les réacteurs de 900 MWe, puis pour ceux de 1 300 MWe. Une EPS de niveau 2 a également été réalisée par Électricité de France pour le réacteur EPR Flamanville 3 ; elle inclut des séquences accidentelles qui conduisent à des ruptures de gaines du combustible (sans fusion) et permet d’apprécier l’importance de ces situations.

Comme pour les EPS de niveau 1, les études de référence sont les études réalisées par Électricité de France, l’IRSN développant des études de manière indépendante afin de pouvoir réaliser des analyses pertinentes des argumentations présentées par l’exploitant.

14.3.2.Méthode de réalisation d’une EPS de niveau 2

14.3.2.1.Généralités

Un scénario d’accident conduisant dans l’EPS de niveau 1 à une dégradation du combustible et donc à la possibilité des rejets de produits de fission dans l’environnement peut en fait conduire à des niveaux de rejets variables en fonction :

–de la survenue ou non de certains phénomènes physiques (en particulier une combustion d’hydrogène ou une explosion de vapeur),

–des défaillances de matériels induites par exemple par un phénomène énergétique (combustion…) ou par les conditions d’ambiance dues à l’accident,

–des actions de conduite, et des éventuelles erreurs humaines associées,

–de la remise en fonctionnement d’équipements au cours de l’accident.

En pratique, une EPS de niveau 2 est construite sur la base :

–d’une interface avec une EPS de niveau 1 ;

–d’un arbre d’événements « accidents graves » ; il permet de combiner l’ensemble des événements et phénomènes susceptibles de survenir et d’élaborer des scénarios de développement de l’accident entraînant différents types de conséquences ;

–d’une démarche de présentation des résultats fondée sur des catégories de rejets.

De nombreuses études physiques doivent être réalisées en support.

La figure 14.6 présente de façon schématique la méthode généralement mise en œuvre pour la réalisation d’une EPS de niveau 2. Des évaluations de conséquences radiologiques peuvent être utilisées de manière à apprécier la gravité des situations accidentelles.

Figure 14.6. Méthode pour l’élaboration d’une EPS de niveau 2. IRSN.

L’interface avec l’EPS de niveau 1

La réalisation d’une interface avec une EPS de niveau 1 constitue la première étape de la réalisation d’une EPS de niveau 2. Cette interface doit :

–assurer la transmission dans l’EPS de niveau 2 des informations utiles relatives à l’état du réacteur accidenté au moment de la fusion du cœur (notamment l’état des systèmes de sauvegarde, l’état du confinement, la pression dans le circuit primaire…), c’est-à-dire celles qui peuvent avoir une influence significative sur le déroulement ultérieur de l’accident, en particulier sur les modes possibles de défaillance de l’enceinte de confinement et sur l’importance des rejets ;

–assurer un regroupement, parmi les milliers de séquences accidentelles de l’EPS de niveau 1, de celles qui conduisent à un développement ultérieur similaire ; les séquences ainsi regroupées définissent des états dégradés de l’installation (EDI).

En fonction des modalités de réalisation de l’étude et du niveau de détail recherché pour les applications, plusieurs dizaines à plusieurs centaines d’EDI peuvent être distingués dans la réalisation d’une EPS de niveau 2.

L’arbre d’événements « accidents graves »

Le cœur d’une EPS de niveau 2 est constitué d’un arbre d’événements qui décrit l’ensemble des événements susceptibles d’influencer le développement de l’accident depuis la dégradation du combustible jusqu’aux rejets de substances radioactives dans l’environnement. Les EDI constituent les initiateurs de cet arbre d’événements.

Les « nœuds » de cet arbre d’événements modélisent les probabilités conditionnelles d’occurrence et les conséquences :

–des événements de nature physique (par exemple la dégradation du cœur et la formation d’un bain de corium, l’oxydation des gaines et la production d’hydrogène, les ruptures induites479 du circuit primaire, les explosions de vapeur dans ou hors de la cuve du réacteur, l’échauffement direct des gaz de l’enceinte de confinement en cas de rupture de la cuve du réacteur en pression, l’érosion du radier en béton par le corium, les combustions de gaz inflammables) ;

–des actions humaines préconisées dans le guide d’intervention en accident grave (voir le chapitre 17) ; il s’agit par exemple de la dépressurisation du circuit primaire, de l’isolement de l’enceinte de confinement, de l’injection d’eau (sous certaines conditions) pour refroidir le cœur du réacteur ou le corium dans la cuve, du refroidissement par les générateurs de vapeur, de la mise en service du système d’aspersion dans l’enceinte de confinement, de la mise en service du dispositif d’éventage-filtration de l’enceinte de confinement) ;

–d’erreurs dans l’application de ce guide ;

–de défaillances de structures, systèmes ou composants (par exemple, la défaillance mécanique de l’enceinte de confinement à la suite d’une montée en pression ou de températures excessives, la perte d’étanchéité de traversées…).

L’arbre d’événements ainsi construit permet de déterminer les développements possibles de chaque scénario d’accident identifié par l’EPS de niveau 1, les conséquences associées (défaillance du confinement, nature et importance des rejets dans l’environnement) et leurs fréquences annuelles d’occurrence.

Différentes approches peuvent être mises en œuvre pour construire un tel arbre d’événements :

–des approches dites simplifiées, qui visent à évaluer principalement les fréquences des rejets importants ;

–des approches dites détaillées : dans ce cas, les arbres d’événements incluent des modélisations plus détaillées de chaque phénomène physique, action humaine ou configuration de système et s’appuient à chaque étape du développement de l’accident sur des variables qui décrivent assez précisément l’état du réacteur.

Les EPS de niveau 2 réalisées par Électricité de France relèvent de la première approche et font progressivement l’objet de compléments. Électricité de France a en effet souhaité, pour des raisons opérationnelles, limiter le niveau de complexité de ses EPS de niveau 2.

Les travaux de l’IRSN relèvent de la seconde approche. Le choix a notamment été fait de privilégier le recours à la simulation par des codes de calcul plutôt qu’à l’utilisation de jugements d’experts pour élaborer les modélisations de l’arbre d’événements « accidents graves ». Cela a conduit l’IRSN à mettre au point des méthodes spécifiques (logiciel KANT pour le développement et la quantification des arbres d’événements, modèle de calcul des rejets…), à faire progresser les outils de simulation (ASTEC en particulier, qui permet de simuler de manière complète un réacteur en situation d’accident de fusion du cœur – voir le chapitre 40) et à réaliser des études particulièrement détaillées.

Il existe ainsi une grande indépendance technique des études réalisées par l’IRSN et Électricité de France, ce qui permet d’approfondir l’examen des études de ce dernier.

De manière générale, les quantifications associées aux événements physiques tiennent compte de l’état des connaissances et font, le cas échéant, l’objet de mises à jour. Toutefois, pour certains sujets (détonation d’hydrogène, transition déflagration-détonation, interaction énergétique entre le corium et l’eau, résistance ultime des enceintes de confinement ou de certains équipements), les modèles utilisés présentent un important degré d’incertitude. Il est alors utile de procéder à des études de sensibilité ou à des évaluations des incertitudes.

Les catégories de rejets

L’évaluation des rejets radioactifs ne peut pas être menée pour chacune des séquences d’accident d’une EPS de niveau 2. Ces séquences sont donc regroupées en un nombre limité de catégories de rejets, chacune étant associée à un mode de défaillance du confinement ainsi qu’à une amplitude et à une cinétique des rejets radioactifs. Le mode de défaillance, l’amplitude et la cinétique des rejets ainsi regroupés peuvent alors être estimés en utilisant des codes de calcul des accidents avec fusion du cœur, tels qu’ASTEC ou MAAP (voir le chapitre 40), ou des modèles simplifiés développés spécifiquement pour les EPS de niveau 2.

Les fréquences et les caractéristiques des rejets associés aux différentes catégories de rejets constituent le résultat final d’une EPS de niveau 2.

Les études menées en support d’une EPS de niveau 2

Le développement d’une EPS de niveau 2 nécessite la réalisation d’un grand nombre d’études en support pour pouvoir décrire de façon réaliste les différentes séquences de l’EPS de niveau 2 et quantifier leurs fréquences.

Le tableau 14.4 présente une liste des sujets à étudier pour un réacteur sous pression.

Cette liste, élaborée dans le cadre du projet ASAMPSA2480 du 7e PCRD EURATOM, illustre le fait que la définition et la réalisation des études en support constituent, dans la pratique, la principale charge de travail pour la réalisation d’une EPS de niveau 2 ; ces études s’appuient largement sur les résultats des recherches menées dans le domaine des accidents avec fusion du cœur.

Tableau 14.4. Études nécessaires à la réalisation d’une EPS de niveau 2 pour un réacteur à eau sous pression.

Interface EPS de niveau 1/EPS de niveau 2

Regroupement en EDI des séquences de l’EPS1 conduisant au même type de déroulement ultérieur de l’accident avec fusion du cœur, notamment en termes de mode de défaillance du confinement et d’importance des rejets. Étude des scénarios menant à la fusion du cœur. Pour les accidents induits par une agression (séisme, inondation…) – voir le paragraphe 14.4, l’interface peut inclure l’impact de l’agression sur les systèmes, structures et composants utiles à la gestion ultérieure de l’accident avec fusion du cœur (enceinte de confinement par exemple)

Étude probabiliste des facteurs humains (EPFH)

Identification des actions humaines pouvant intervenir au cours d’une séquence (actions prévues dans le guide d’intervention en accident grave, supports de l’organisation de crise, réparation de matériels…)

Quantification des probabilités d’échec des différentes actions de conduite prévues dans le cas d’un accident avec fusion du cœur

Quantification des phénomènes physiques et des chargements qui en résultent
pour l’enceinte de confinement

Phase de développement de l’accident dans la cuve

Étude de la progression de chaque accident jusqu’à l’entrée en « accident grave » (thermohydraulique des circuits, activation et configuration des systèmes de sauvegarde, délais disponibles, actions de conduite…)

Dégradation du combustible

Ruptures induites du circuit primaire, notamment de tubes de générateurs de vapeur en cas de fusion en pression

Production d’hydrogène

Reprise du refroidissement du cœur (injection d’eau dans le circuit primaire)

Refroidissement de la cuve par l’extérieur, par noyage du puits de cuve

Étude des conséquences d’une injection d’eau dans la cuve (refroidissement du corium, accroissement de la cinétique de production d’hydrogène par oxydation du zirconium des gaines, montée de la pression dans la cuve…)

Étude de la composition de l’atmosphère de l’enceinte de confinement (rôle des recombineurs d’hydrogène, rôle de l’aspersion dans l’enceinte) et de la montée éventuelle de la pression dans cette enceinte

Effets de l’ouverture du dispositif d’« éventage-filtration » de l’enceinte

Études de la distribution et de la combustion de l’hydrogène relâché dans l’enceinte de confinement

Étude du risque de criticité du corium

Étude des possibilités d’une explosion de vapeur dans la cuve et des conséquences associées (fuites du circuit primaire, défaillance mécanique de la cuve, dégradation de l’enceinte de confinement)

Étude des conditions d’une défaillance de la cuve (délais, nature de la défaillance…)

Quantification des phénomènes physiques et des chargements qui en résultent
pour l’enceinte de confinement

Phase de « rupture » de la cuve

Étude du phénomène d’échauffement direct de l’enceinte de confinement en cas de « rupture » de la cuve alors que cette dernière est en pression

Étude des conséquences d’une explosion de vapeur dans le puits de cuve

Étude du risque de criticité du corium

Quantification des phénomènes physiques et des chargements qui en résultent
pour l’enceinte de confinement

Phase postérieure à la « rupture » de la cuve, corium présent dans le puits de cuve

Conditions permettant le refroidissement du corium

Érosions radiale et axiale des parois du puits de cuve et du radier de l’enceinte de confinement (interaction corium-béton)

Effets d’un envoi d’eau dans le puits de cuve (refroidissement du corium, montée de la pression dans l’enceinte de confinement)

Évaluation de la production de gaz incondensables (H2, CO, CO2, etc.) et de vapeur d’eau pendant l’interaction corium-béton

Étude de l’évolution de la composition de l’atmosphère de l’enceinte de confinement et de sa pression

Étude de la distribution et de la combustion de l’hydrogène et du monoxyde de carbone relâchés dans l’enceinte de confinement

Effets de l’ouverture du dispositif d’« éventage-filtration » de l’enceinte de confinement

Évaluation des performances d’étanchéité du confinement

Étude du taux de fuite de l’enceinte de confinement avant l’accident (taux de fuite normal, défauts d’étanchéité de certains organes entre deux essais périodiques)

Étude de la fiabilité du système d’isolement de l’enceinte de confinement

Évaluation des performances d’étanchéité de l’enceinte de confinement dans les conditions d’un accident avec fusion du cœur :

1.Réponse mécanique de l’enceinte de confinement soumise à un chargement en pression et en température quasi statique ou dynamique lent – Évaluation de la limite ultime de tenue mécanique et des courbes de fragilité de l’enceinte de confinement. Évaluation de la taille de la brèche pouvant en résulter.

2.Étude de la réponse de l’enceinte de confinement supposée soumise à des chargements spécifiques (effets d’une explosion de vapeur dans le puits de cuve sur les structures attenantes, effets d’une déflagration locale d’hydrogène…).

Évaluation de l’étanchéité des traversées de l’enceinte de confinement dans les conditions d’un accident avec fusion du cœur

Identification d’éventuels chemins de bipasse de l’enceinte de confinement (par exemple : tuyauteries présentes dans les fondations de certaines enceintes de confinement)

Étude du confinement assuré par les bâtiments auxiliaires (ventilation, filtration, confinement dynamique...)

Étude du comportement des équipements dans les conditions d’un accident avec fusion du cœur

Recirculation et refroidissement de l’eau condensée à l’intérieur de l’enceinte de confinement (évacuation d’énergie hors de l’enceinte)

Soupapes de sûreté du circuit primaire (fiabilité de la fonction de dépressurisation du circuit primaire dans les conditions d’un accident avec fusion du cœur)

Générateurs de vapeur (étanchéité des tubes des générateurs de vapeur, efficacité du refroidissement par ces générateurs de vapeur)

Instrumentation (disponibilité de l’instrumentation du réacteur dans les conditions d’un accident avec fusion du cœur)

Systèmes passifs (recombineurs d’hydrogène…)

Système de récupération du corium pour le réacteur EPR

Quantification des rejets radioactifs hors de l’enceinte de confinement

Identification des paramètres clefs pour l’évaluation des rejets radioactifs et définition des catégories de rejets

Regroupement des isotopes des produits de fission (PF) par classe de volatilité (par exemple : les PF volatils, les gaz rares, les PF semi-volatils ou peu volatils) et en fonction de leur forme physique (aérosols ou gaz) dans l’enceinte de confinement

Calcul des rejets pour des séquences représentatives (utilisation de logiciels comme ASTEC, MAAP ou MELCOR, ou utilisation de modèles simplifiés développés spécifiquement pour l’EPS2

14.3.2.2.L’étude probabiliste de la fiabilité humaine
pour les EPS de niveau 2

La mise en œuvre des actions préconisées par le guide d’intervention en accident grave (GIAG) seraient décidée dans un contexte où une organisation de crise serait mise en place.

Pour modéliser la fiabilité humaine de cette organisation, l’IRSN a développé un modèle d’étude probabiliste de la fiabilité humaine (EPFH) spécifique, dénommé HORAAM (Human and Organizational Reliability Analysis in Accident Management481).

Le modèle HORAAM est fondé sur la technique de l’arbre de décision, qui permet de représenter les conséquences possibles d’une situation plus ou moins complexe sous la forme graphique d’un arbre, en faisant apparaître aux extrémités des différentes branches les conséquences en fonction des décisions prises. Dans le cas du modèle HORAAM, l’arbre de décision résume toutes les situations d’interventions humaines envisageables en situation d’accident avec fusion du cœur à l’aide de sept paramètres qui sont les facteurs d’influence (le délai, la difficulté… ; voir le tableau 14.5), chacun d’entre eux pouvant prendre deux ou trois modalités (court/moyen/long, facile/difficile…). Une branche de l’arbre représente un type d’intervention humaine ; une probabilité d’échec lui est affectée.

Les interventions humaines réalisées à la demande de l’organisation de crise relèvent du processus « information-décision-action ». La phase d’information est extrêmement importante, car les équipes de crise ont besoin, aussi rapidement que possible, d’informations aussi claires que possible pour évaluer la situation.

La phase de décision est la phase cognitive par excellence : les équipes de crise cherchent à comprendre ce qui se passe, à déterminer l’état de l’installation et son évolution probable, à évaluer les conséquences présentes et à venir, et, en fonction de ces éléments, dans un délai contraint par la cinétique de l’accident, à proposer une décision et à la transmettre. Cette phase fait intervenir des choix face à des incertitudes et à des compromis entre des objectifs qui peuvent être contradictoires. Les paramètres influençant le plus le succès de cette phase sont le délai de décision, la difficulté d’appréhension du scénario accidentel qui se déroule, et la difficulté de la décision.

La phase d’action se déroule au niveau local. Les paramètres influençant le plus le succès de cette phase sont la difficulté, pour les opérateurs, des actions à réaliser (complexité de la tâche) et les difficultés induites par les conditions matérielles de réalisation de cette tâche (dangerosité, pénibilité…).

Les sept facteurs d’influence qui constituent la structure du modèle HORAAM ont été choisis à partir du retour d’expérience des exercices de crise. De tels exercices, régulièrement pratiqués en France à des fins d’entraînement de l’organisation de crise, consistent à dérouler des scénarios accidentels fictifs en utilisant les simulateurs de conduite d’Électricité de France.

Tableau 14.5. Définition des facteurs d’influence du modèle HORAAM.

Facteur d’influence

Description

Moyens de mesure
et d’information

Qualité et fiabilité de toutes les mesures et informations disponibles dans la salle de commande ainsi que des moyens permettant de les transmettre aux équipes de crise (fax, téléphones, transmission automatique de données depuis le réacteur accidenté…)

Délai de décision

Délai nécessaire pour obtenir l’information, la contrôler, la traiter et prendre une décision d’action

Difficulté de décision

Difficulté à prendre une décision

Difficulté du scénario

Difficulté liée au contexte global de la prise de décision comme le type d’accident ou la vitesse d’évolution du transitoire

Degré d’implication
des équipes de crise

Nombre d’équipes de conduite ou de crise impliquées dans le processus de décision : équipe de conduite seule, équipe locale de crise sur le site ou organisation nationale de crise opérationnelle

Difficultés induites par les conditions matérielles

Difficultés liées aux conditions de réalisation de l’action décidée (ambiance radioactive, qualité de l’éclairage, température, présence de fumées ou de gaz, exiguïté…)

Difficulté
pour les opérateurs

Difficulté de l’action décidée, indépendamment des conditions d’intervention : qualité des procédures, expérience des opérateurs concernant la mission de conduite à effectuer

La quantification dans le modèle HORAAM (c’est-à-dire l’affectation de probabilités aux différentes branches de l’arbre de décision) est un exercice complexe en raison notamment du fait que les facteurs d’influence du modèle ne sont pas indépendants les uns des autres. Pour cette quantification, l’IRSN a mené une vaste campagne d’interviews d’équipiers de crise tant à l’IRSN qu’à Électricité de France et il a été amené à formaliser une méthode capable de traiter les réponses de ces experts au travers de l’observation de triplets de facteurs les plus influents à l’égard du succès ou de l’échec d’une mission de conduite. Ainsi, le modèle HORAAM dans son ensemble repose sur des jugements d’experts : pour la validation des facteurs d’influence, leur classement par ordre d’importance et la quantification des arbres.

Élaboré à partir de l’observation de crises fictives, le modèle HORAAM a été examiné à la lumière de l’accident survenu au mois de mars 2011 à la centrale nucléaire de Fukushima Daiichi. Cette confrontation a montré que le choix des facteurs d’influence retenus pour le modèle était globalement pertinent.

Pour ses EPS de niveau 2, Électricité de France a de son côté développé le modèle EPFH générique MEPEM (Méthode d’évaluation probabiliste de l’échec des missions FH). Ce modèle s’appuie sur les apports méthodologiques du modèle MERMOS, avec néanmoins l’ajout, aux fonctions « diagnostic », « stratégie » et « action » du modèle MERMOS, de la fonction « pronostic », ce qui permet de prendre en compte l’évaluation collective de l’évolution possible de l’installation par les équipes de crise. Il est cependant à noter que, en l’absence des données nécessaires au développement des scénarios d’échec d’une mission de conduite, notamment dans le cas de séquences regroupées au sein d’un même EDI conduisant à plusieurs configurations de conduite différentes, MEPEM permet de réaliser des évaluations forfaitaires en fournissant des probabilités enveloppes. Ainsi, il est possible d’attribuer à chacune des fonctions « diagnostic », « stratégie », « pronostic » et « action » une probabilité d’échec à partir d’une échelle de valeurs discrètes (1.10-3 pour l’échec de la fonction quasi impossible, 1.10-1 pour l’échec de la fonction peu probable…).

Tant dans sa phase qualitative que dans sa phase quantitative, la modélisation d’une mission de conduite en situation d’accident avec fusion du cœur avec la méthode MEPEM repose sur des jugements d’experts.

14.3.3.Exemples d’enseignements tirés des EPS de niveau 2

Les résultats d’une EPS de niveau 2 permettent de mettre en évidence les principales séquences contribuant aux risques de rejets radioactifs et de déterminer celles pour lesquelles des évolutions matérielles ou en termes d’actions humaines permettraient de réduire sensiblement ces risques. De surcroît, de par les études en support réalisées pour réaliser une telle EPS, des connaissances nouvelles sont acquises sur le comportement de l’installation. Quelques exemples d’enseignements des EPS de niveau 2 réalisées pour les réacteurs (avant l’EPR Flamanville 3) sont présentés ci-après.

14.3.3.1.Évaluation des risques d’explosion de vapeur

Les résultats de l’EPS de niveau 2 de l’IRSN et des études menées en support pour les réacteurs de 900 MWe ont permis de préciser les risques associés à une explosion de vapeur qui se produirait dans le puits de cuve.

Il existe en effet pour ces réacteurs une communication entre le puits de cuve et la partie supérieure de l’enceinte de confinement. Le fonctionnement du système d’aspersion d’eau dans l’enceinte conduit donc à la présence d’eau dans le puits de cuve ; en cas de fusion du cœur du réacteur et de défaillance (percement) de la cuve, du corium à une température d’environ 1 700 °C pourrait s’écouler dans l’eau du puits de cuve, ce qui pourrait conduire à un phénomène explosif, dit explosion de vapeur.

Selon les résultats de certains calculs, il est apparu que l’explosion pourrait induire un ébranlement des structures internes suffisamment important pour porter atteinte à l’étanchéité de l’enceinte de confinement. Toutefois, les résultats de ces calculs sont entachés d’importantes incertitudes.

Les avantages et inconvénients des différentes stratégies possibles de refroidissement du corium hors de la cuve ont fait l’objet de nombreux débats entre Électricité de France et l’IRSN (il est à noter que, si la présence d’eau dans le puits de cuve avant une coulée de corium est susceptible d’entraîner une explosion de vapeur, cette même présence d’eau ralentit l’interaction corium-béton), notamment lors des réexamens périodiques des réacteurs des différents paliers, renvoyant à des études et recherches complémentaires. Toutefois, à l’occasion du réexamen associé aux troisièmes visites décennales des réacteurs de 1 300 MWe, l’IRSN a considéré qu’il convenait de privilégier des dispositions permettant d’assurer que le puits de cuve sera sec au début de l’accident et de stabiliser le corium en cas de défaillance de la cuve. La faisabilité de telles dispositions, analogues à celles qui ont été retenues pour le réacteur EPR Flamanville 3 – pour lequel des dispositions ont été prises dès la conception avec la mise en place d’un récupérateur de corium spécifique –, a été examinée par Électricité de France dans le cadre de la réévaluation de sûreté associée aux quatrièmes visites décennales des réacteurs de 900 MWe ; l’option retenue par Électricité de France est un étalement du corium à sec dans le puits de cuve et dans un local adjacent, suivi d’un renoyage (voir le paragraphe 17.5.7).

14.3.3.2.Tenue mécanique des enceintes de confinement
des réacteurs de 900 MWe

Les enceintes de confinement des réacteurs de 900 MWe ont été dimensionnées pour assurer leur tenue mécanique et une étanchéité spécifiée pour une pression interne absolue de l’ordre de 5 bars dans les conditions d’un accident de perte de réfrigérant primaire. Elles sont équipées d’une peau métallique interne dont le rôle est d’assurer cette étanchéité. La tenue mécanique et l’étanchéité des enceintes de confinement sont vérifiées périodiquement, notamment lors d’épreuves décennales réalisées en air à la pression de 5 bars absolus. Compte tenu du rôle essentiel que peut jouer l’enceinte de confinement pour limiter les conséquences d’accidents avec fusion du cœur, il est apparu opportun de chercher à apprécier les limites ultimes de tenue mécanique des enceintes au-delà de leur pression de dimensionnement ; cela a conduit à la réalisation d’essais de tenue mécanique sur des maquettes d’enceinte de confinement et au développement de modèles détaillés permettant d’évaluer par la simulation numérique le comportement mécanique de ces enceintes.

L’IRSN a ainsi réalisé des études détaillées de mécanique de l’enceinte de confinement en modélisant, avec un maillage fin, les zones singulières de cette enceinte, notamment la zone du tampon d’accès des matériels (TAM) ; le maillage est représenté sur la figure 40.5 du chapitre 40 consacré aux logiciels de simulation.

À partir des résultats d’essais de résistance mécanique réalisés sur des maquettes et des résultats des simulations numériques, l’IRSN et Électricité de France ont considéré que les parois des enceintes de confinement conserveraient une tenue mécanique et une étanchéité satisfaisantes jusqu’à des pressions bien supérieures à leur pression de conception (jusqu’à des pressions de l’ordre de 10 bars absolus), mais que le système de fermeture du tampon d’accès des matériels (TAM) constituait un point faible relatif en termes de tenue à la pression.

Certaines études réalisées par l’IRSN en support de son EPS de niveau 2 pour les REP de 900 MWe ont montré que, pour certains phénomènes pouvant survenir lors d’un accident avec fusion du cœur (échauffement direct des gaz de l’enceinte [en anglais Direct Containment Heating – DCH]) résultant d’une défaillance mécanique de la cuve en pression, combustion d’hydrogène après un renoyage du cœur dans la cuve, les chargements calculés pourraient affecter l’étanchéité du système de fermeture du TAM, conduisant à des rejets radioactifs directs dans l’environnement.

Électricité de France a alors décidé de renforcer le système de fermeture du TAM des réacteurs de 900 MWe, lors de leurs troisièmes visites décennales. Le renforcement étudié permet de garantir l’étanchéité du TAM jusqu’à une pression de 8 bars absolus, valeur significativement supérieure à la pression de dimensionnement des enceintes.

Pour l’IRSN, le gain apporté par le renforcement du système de fermeture du tampon d’accès des matériels est appréciable : une réduction de quelques 10-7/année.réacteur de la fréquence estimée des accidents conduisant à une perte d’étanchéité du confinement en cas de DCH ou de combustion d’hydrogène.

14.3.3.3.Isolement des traversées de l’enceinte de confinement

La réalisation d’une EPS de niveau 2 conduit à examiner en détail les possibilités de défaillance des organes d’isolement de l’enceinte de confinement. Les études conduites par l’IRSN en support de l’EPS de niveau 2 réalisée pour les réacteurs de 900 MWe ont mis en évidence les risques associés à un échec de l’isolement manuel de certaines traversées de l’enceinte en cas de perte totale des alimentations électriques. Ce résultat a également été confirmé par Électricité de France dans le cadre du développement de ses EPS de niveau 2, ce qui l’a conduit à définir des dispositions spécifiques concernant la fermeture des traversées concernées (priorité à donner aux actions de fermeture en local des vannes motorisées d’isolement de l’enceinte, mise en place de moyens de secours électrique des vannes concernées…).

Les EPS de niveau 2 permettent également de préciser l’importance des dispositions (moyens et procédures) permettant la refermeture du tampon d’accès des matériels pour les accidents avec fusion du cœur, y compris en situation de perte totale des alimentations électriques.

14.3.3.4.Modifications du système de dépressurisation
du circuit primaire

Une cuve dépressurisée en cas de fusion du cœur est essentielle pour limiter les risques de rejets radioactifs.

Les EPS de niveau 2 réalisées par Électricité de France et par l’IRSN ont conduit à examiner deux possibilités d’amélioration des soupapes de protection et de décharge du circuit primaire installées sur les réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe, précisées ci-après ; en effet :

1.chaque soupape est commandée par un « pilote » alimenté électriquement en cas d’ordre d’ouverture de la soupape. Dans la conception initiale, une coupure de l’alimentation électrique du pilote des soupapes entraîne leur fermeture ; cette particularité se traduit par un risque de refermeture de la soupape pendant la phase de fusion du combustible dans la cuve, qui est traité dans les EPS de niveau 2 ;

2.de par leur conception mécanique initiale, les soupapes en question se referment à une pression de l’ordre de 9 bars si la pression dans l’enceinte de confinement est égale à la pression atmosphérique ; cette pression de refermeture augmente avec la pression dans l’enceinte jusqu’à 18 bars pour une pression dans l’enceinte de 5 bars.

Des dispositions complémentaires ont été définies par Électricité de France pour assurer une dépressurisation adéquate du circuit primaire en cas d’accident avec fusion du cœur ; il s’agit :

–de la possibilité d’un secours de l’alimentation électrique des soupapes au moyen de batteries portables et d’une modification de la conception du pilote des soupapes, qui permettent d’assurer leur maintien en position ouverte après l’ordre d’ouverture, y compris en cas de défaillance de l’alimentation électrique du pilote ;

–d’une modification de la conception des têtes de soupape, qui permet d’abaisser fortement la pression de refermeture des soupapes et de supprimer la dépendance à la pression dans l’enceinte de confinement ; cette modification permet de mieux maîtriser la pression dans le circuit primaire en situation accidentelle, de limiter les effets associés à une défaillance de la cuve en pression en situation d’accident avec fusion du cœur et de faciliter le recours, si nécessaire, à des moyens d’injection ultimes d’eau à basse pression.

14.3.3.5.Amélioration des procédures de conduite
pour réduire le risque de fusion du cœur en pression

Lors du réexamen périodique associé aux troisièmes visites décennales des réacteurs de 1 300 MWe, Électricité de France a, en lien avec les résultats de son EPS de niveau 2, retenu des modifications de ses procédures de conduite visant à fiabiliser la dépressurisation du circuit primaire par les opérateurs. Cette action est en effet essentielle pour le maintien de l’intégrité du confinement (on y reviendra au paragraphe 17.10.3).

14.3.3.6.Apport des EPS de niveau 2 pour la gestion de crise

Les EPS de niveau 2 et les études menées en support de leur réalisation apportent de très nombreuses connaissances qui peuvent se révéler utiles pour la gestion d’une crise. À titre d’exemples, pour ce qui concerne l’IRSN, on peut citer :

–la consolidation des moyens du centre technique de crise de l’IRSN (par la rédaction de fiches de synthèse sur les développements possibles d’un accident avec fusion du cœur pour chaque type de réacteur, par l’amélioration des outils informatiques d’évaluation du pronostic des rejets dans l’environnement…),

–des contributions à l’élaboration de documents relatifs à la phase post-accidentelle d’une fusion de cœur d’un réacteur à eau sous pression, par exemple la fourniture de scénarios représentatifs de tels accidents.

Les études menées en support de l’EPS de niveau 2 de l’IRSN ont de plus mis en évidence l’utilité, pour les opérateurs et les équipes de crise, de disposer d’un moyen de détection de la défaillance de la cuve en cas d’accident avec fusion du cœur482. En effet, alors que, lorsque le circuit primaire reste sous pression sans apport d’eau, la défaillance de la cuve apparaît inéluctable dans un délai court après la coulée du corium dans le fond de la cuve, il existe, dans les autres cas, de grandes incertitudes sur le délai entre la coulée de corium et la défaillance de la cuve (voire sur cette défaillance elle-même). Or il est essentiel pour la gestion à long terme d’un accident avec fusion du cœur de savoir si du corium est sorti ou non de la cuve.

Ce sujet a été examiné lors du troisième réexamen périodique des réacteurs de 900 MWe ; depuis, Électricité de France a installé sur tous les réacteurs un dispositif de détection de la rupture de la cuve.

14.4.Élargissement du domaine de couverture des EPS

La question de l’intérêt d’un élargissement du domaine de couverture des EPS réalisées par les exploitants (au-delà des seuls événements d’origine interne) a longuement été discutée en France.

Un premier pas a été franchi en 2007, l’ASN ayant alors demandé à Électricité de France de prendre en compte certaines agressions dans les EPS de niveau 1 telles que le séisme, l’explosion interne, l’inondation, de manière à ce que le bénéfice pour la sûreté de modifications puisse être apprécié en considérant les agressions les plus plausibles.

L’accident survenu à la centrale de Fukushima Daiichi en mars 2011 au Japon et les discussions qui ont suivi quant aux enseignements à en tirer, notamment au niveau européen, ont donné une impulsion à des développements dans le domaine des études probabilistes de sûreté. Il est à noter qu’il n’existe pas, dans le monde, d’études complètes couvrant l’ensemble des agressions jusqu’au niveau 2. L’IRSN et Électricité de France participent aux actions internationales qui visent à faire progresser l’état de l’art dans ce domaine.

Au fil des réexamens périodiques, notamment ceux associés aux quatrièmes visites décennales des réacteurs de 900 MWe, Électricité de France intègre dans ses études de référence les agressions internes et externes les plus plausibles, en fonction de l’état de l’art concernant les méthodes et de la disponibilité de données appropriées.

De son côté, l’IRSN poursuit des développements de ses études probabilistes de sûreté. L’objectif poursuivi par l’IRSN est de disposer des connaissances nécessaires et d’éléments lui permettant notamment, dans le cadre des réexamens périodiques, de donner un avis sur la validité des conclusions des études probabilistes d’Électricité de France et sur le caractère satisfaisant des modifications qui pourraient être proposées pour améliorer la protection des installations contre les agressions.

14.5.Utilisations des études probabilistes de sûreté

14.5.1.Utilisation des EPS à la conception

14.5.1.1.Intérêt et particularités des EPS à la conception

Lors de l’élaboration dans les années 1990 des « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » (voir le chapitre 18), l’état de l’art a conduit à demander la réalisation d’une EPS simplifiée dès la conception, et à inclure certains objectifs probabilistes.

Ces directives techniques mentionnent en particulier que :

–« une étude probabiliste de sûreté doit être réalisée en commençant dès le stade de la conception et en incluant au moins les événements internes ; cette étude probabiliste de sûreté indiquerait les fréquences des séquences de fusion du cœur avec un aperçu des conséquences possibles des différents types de situations avec fusion du cœur sur la fonction de confinement » ;

–« la mise en œuvre d’améliorations de la défense en profondeur de ces tranches devrait conduire à l’obtention d’une fréquence globale de fusion du cœur inférieure à 10-5 par année.réacteur, en tenant compte des incertitudes et de tous les types de défaillances et d’agressions » ;

–« pour déterminer la combinaison adéquate de redondance et de diversification des systèmes de sûreté, le concepteur peut utiliser des objectifs probabilistes en tant que valeurs d’orientation ; dans ce cas, des valeurs d’orientation de 10-6 par an pour les probabilités de fusion du cœur due aux événements internes respectivement pour les états en puissance et les états d’arrêt pourraient être utilisées, en gardant à l’esprit la nécessité de considérer les incertitudes associées ».

Depuis la publication de ces directives techniques, l’état de l’art a évolué en matière de développement des EPS. Ainsi, une EPS de niveau 2 a été réalisée par Électricité de France en vue de la mise en service du réacteur EPR Flamanville 3.

De manière générale, les apports des études probabilistes de sûreté à la conception sont les suivants :

–une aide à la conception des systèmes de sûreté, notamment pour le choix de dispositions adaptées en termes de redondance et de diversification ; à ce titre, différentes options de conception peuvent être évaluées et comparées ;

–l’évaluation de la fréquence globale de fusion du combustible et des fréquences des rejets, qui contribue à l’appréciation du niveau de sûreté à la conception et à celle de son évolution par rapport aux réacteurs précédents ;

–la vérification de l’obtention d’une conception équilibrée de la sûreté du réacteur, c’est-à-dire de l’absence de scénarios ayant une contribution trop largement dominante à la fréquence globale de fusion du cœur ;

–l’appréciation de la robustesse de l’installation face aux agressions, lorsque les modèles EPS appropriés et les données nécessaires sont disponibles ;

–un support à la vérification du caractère approprié des dispositions retenues pour réduire les fréquences ou limiter les conséquences des événements correspondant à des défaillances multiples ;

–un support à la vérification du caractère approprié des dispositions retenues pour réduire les fréquences ou limiter les conséquences des accidents avec fusion du cœur ;

–une participation éventuelle à la justification de l’« élimination pratique » des séquences pouvant entraîner des rejets précoces importants.

Les apports sont bien entendu tributaires du domaine de couverture des EPS utilisées.

De plus, comme le soulignent les directives techniques mentionnées précédemment, les résultats des EPS réalisées à un stade précoce de la conception doivent être utilisés avec précaution. En effet, les spécificités de ces études (analyses fonctionnelles des scénarios accidentels limitées par le niveau de détail des informations disponibles sur le comportement de l’installation, données de fiabilité des matériels élaborées généralement à partir de bases de données génériques, analyse probabiliste de la fiabilité humaine menée de façon simplifiée en l’absence de connaissance précise de la conduite accidentelle…) induisent de fortes incertitudes sur les résultats.

Si la comparaison des résultats des EPS à des objectifs probabilistes quantitatifs peut fournir des indications utiles, il faut souligner ici que ces objectifs probabilistes ne sont pas, dans la pratique française, considérés comme des critères d’acceptation.

14.5.1.2.EPS menées en support à la conception
du réacteur EPR Flamanville 3

EPS de niveau 1

Le développement de l’EPS de niveau 1 relative au réacteur EPR Flamanville 3 s’est effectué par étapes successives au fur et à mesure que se précisait la conception du réacteur. Ainsi, les premiers travaux en la matière ont été réalisés par le concepteur dès le lancement des études de conception et ont été très régulièrement mis à jour. Ils se sont enrichis au fur et à mesure de l’avancement de la conception de l’installation et de la disponibilité d’informations plus précises, notamment concernant les études d’accidents et la conduite de l’installation.

Au début de la conception, les EPS de niveau 1 réalisées par le concepteur étaient limitées aux initiateurs internes à l’installation. Des compléments portant sur les agressions ont été apportés plus tardivement. Des EPS ont ainsi été développées (au début des années 2010) pour les incendies, les inondations et les explosions d’origine interne à l’installation. Pour les agressions d’origine externe, les éléments apportés ont généralement été qualitatifs avec un éclairage probabiliste principalement sur les fréquences des aléas.

L’analyse des résultats des premières études – dont certaines étaient antérieures à la demande d’autorisation de création – a conduit à plusieurs améliorations de l’installation. Il s’agit notamment de la diversification du refroidissement des pompes du système d’injection de sécurité à basse pression, de la diversification du signal de mise en service automatique de l’appoint d’eau au circuit primaire en cas de perte du refroidissement lorsque le réacteur est à l’arrêt et de la diversification du circuit de refroidissement de la piscine d’entreposage des combustibles usés, avec la création d’une troisième voie diversifiée.

Les études ultérieures, réalisées notamment dans le cadre de la demande d’autorisation de création et de la demande de mise en service du réacteur EPR Flamanville 3, ont confirmé l’intérêt de ces modifications et apporté des enseignements complémentaires, qui ont entraîné de nouvelles modifications de conception et d’exploitation ; on peut citer ici :

–l’utilisation, en cas de situation accidentelle induite par une défaillance des alimentations électriques externes, d’interconnexions entre divisions électriques, initialement prévues pour permettre la maintenance,

–des évolutions de la conception et de l’exploitation de certains systèmes de ventilation en vue de réduire la fréquence calculée de fusion du cœur résultant des situations associées à une défaillance de ces systèmes (diversification des groupes froids des deux systèmes de production d’eau glacée secourue du « bâtiment électrique » [DEL] et de production d’eau glacée du bâtiment du réacteur [DER] qui assurent le refroidissement du système de ventilation [DVL] du « bâtiment électrique », interdiction de réaliser une opération de maintenance d’un train DVL lorsque la température extérieure dépasse 25 °C…).

EPS de niveau « 1+ »

Pour aller plus loin dans l’appréciation de la conception du réacteur EPR au regard des objectifs retenus dans les directives techniques – qui n’ont pris toute leur valeur qu’après transmission à Électricité de France par l’ASN, en 2004 –, et notamment celui d’« élimination pratique » des situations accidentelles avec fusion du cœur qui pourraient entraîner des rejets précoces importants, le concepteur a réalisé une première extension de l’EPS de niveau 1 (appelée EPS de niveau 1+), en vue d’apprécier les effets sur le confinement. Les séquences accidentelles de l’EPS de niveau 1 menant à la fusion du cœur ont ainsi été regroupées en fonction de certains paramètres (paramètres physiques, état du confinement…), puis « catégorisées » en fonction du succès ou de l’échec d’actions de limitation des conséquences (dépressurisation du circuit primaire par l’opérateur, disponibilité ou indisponibilité du système CHRS [Containment Heat Removal System483], succès ou échec de l’isolement de l’enceinte de confinement).

Trois grandes catégories de séquences d’état d’endommagement du réacteur, appelées PDS (Plant Damage State), ont alors été définies :

–la catégorie PDS 1 regroupe les séquences de fusion du cœur pour lesquelles les systèmes de limitation des conséquences sont disponibles ;

–la catégorie PDS 2 regroupe les séquences de fusion du cœur conduisant à une défaillance du confinement à long terme (ce sont notamment les séquences avec indisponibilité du système CHRS) ;

–la catégorie PDS 3 regroupe les séquences de fusion du cœur conduisant à une défaillance précoce du confinement.

Il faut souligner que cette première étude a mis en évidence une fréquence relativement importante pour les séquences menant à la fusion du cœur avec le système CHRS indisponible, du fait de systèmes supports communs aux systèmes de prévention et de limitation des conséquences de la fusion du cœur. Le concepteur a alors retenu de diversifier le circuit de réfrigération et les alimentations électriques du système CHRS, par la mise en place de pompes de refroidissement complémentaires dédiées, alimentées par les deux « petits » groupes électrogènes prévus en complément des quatre groupes principaux (voir le paragraphe 18.2.3). Une mise à jour de l’étude de niveau 1+ a mis en évidence l’intérêt de ces modifications.

Au gré des mises à jour par Électricité de France de l’EPS de niveau 1+, il est ensuite clairement apparu qu’une EPS de niveau 1+ ne permettait pas de tenir compte de manière suffisamment détaillée des caractéristiques des équipements, des phénomènes physiques intervenant au cours des accidents avec fusion du cœur et de leur chronologie pour pouvoir évaluer correctement le comportement de l’enceinte de confinement lors de ces accidents et les risques associés de rejets radioactifs dans l’environnement.

C’est pourquoi Électricité de France a pris en l’an 2000 la décision de développer une EPS de niveau 2 pour le réacteur EPR Flamanville 3, à l’échéance du rapport de sûreté fourni dans le cadre de la demande d’autorisation de mise en service.

EPS de niveau 2

Électricité de France a ainsi développé une EPS de niveau 2 en vue de la demande d’autorisation de mise en service du réacteur EPR Flamanville 3. Cette étude a contribué de manière notable à la vérification du caractère satisfaisant des dispositions retenues pour la gestion d’un accident avec fusion du cœur. Elle a également apporté des compléments d’information pour des situations d’accident qui sont au-delà du référentiel de conception du réacteur EPR, par exemple les pertes de longue durée des sources électriques et de refroidissement. Ces informations sont utilisées pour la conception de dispositions complémentaires de gestion de tels accidents qui seraient mises en œuvre par la Force d’action rapide nucléaire (FARN) développée par Électricité de France après l’accident de la centrale nucléaire de Fukushima Daiichi.

Ultérieurement, cette EPS de niveau 2 devra être mise à jour pour refléter la conception définitive du réacteur (systèmes de sauvegarde et de limitation des conséquences, procédures de conduite…).

14.5.2.Utilisation des EPS lors des réexamens périodiques

La démarche de réexamen périodique est un processus mis en œuvre pour un type de réacteurs donné, qui tient compte de l’expérience d’exploitation et de l’évolution des connaissances. Elle consiste (cela est développé au chapitre 30) d’une part en un examen de conformité des installations et d’autre part en la recherche d’améliorations du niveau de sûreté pour le rapprocher de celui des réacteurs les plus récents (volet de réévaluation de sûreté proprement dite) ; c’est une exigence règlementaire.

14.5.2.1.EPS de niveau 1

D’une manière générale, les EPS sont utilisées lors des réexamens périodiques pour réévaluer la fréquence globale de fusion de cœur et son évolution par rapport à l’évaluation faite lors du réexamen précédent en tenant compte du retour d’expérience d’exploitation et des nouvelles connaissances, et pour déterminer les principales contributions à cette fréquence globale de fusion du cœur. Cela permet de mettre en évidence d’éventuels points relativement faibles de l’installation pour lesquels des évolutions tant de la conception que de l’exploitation peuvent être étudiées, voire être jugées nécessaires. Leur hiérarchisation permet de déterminer les efforts à mener en priorité.

Les EPS de niveau 1 sont également utilisées dans le cadre des réexamens périodiques pour la définition des dispositions complémentaires (associées aux événements caractérisés par des défaillances multiples). Cette utilisation spécifique est explicitée dans le chapitre 13 consacré au « domaine complémentaire ».

De manière pratique, au début d’un réexamen périodique pour un palier de réacteurs, Électricité de France met à jour son EPS de référence correspondante, réalisée au terme du réexamen précédent, en y intégrant l’expérience d’exploitation la plus récente (mise à jour de la liste des événements initiateurs ainsi que de leurs fréquences, des données de fiabilité des matériels, du profil de fonctionnement) et les connaissances nouvelles sur le comportement de l’installation à la lumière des études les plus récentes.

Pour mettre en évidence et hiérarchiser les principales contributions à la fréquence globale de fusion du cœur, les séquences élémentaires des arbres d’événements présentant des caractéristiques fonctionnelles semblables sont regroupées dans des « séquences fonctionnelles », puis une évaluation des fréquences de fusion du cœur associées à ces séquences fonctionnelles est réalisée. Ce regroupement vise à déterminer les « séquences fonctionnelles » dont la fréquence et les conséquences pourraient être réduites par la mise en œuvre d’une même disposition afin d’identifier au mieux les opportunités d’améliorations.

À l’issue du réexamen périodique, une nouvelle version de l’EPS de référence est réalisée par Électricité de France en tenant compte des modifications décidées au cours du réexamen.

Pour mener son expertise, l’IRSN s’appuie sur ses propres modèles EPS. Sa démarche consiste :

–à examiner la pertinence des données d’entrée utilisées dans les études d’Électricité de France (données de fiabilité, défaillances indépendantes et défaillances de cause commune, fréquences des initiateurs…),

–à identifier et analyser les principales différences entre les EPS transmises par Électricité de France et celles qui sont développées par l’IRSN en amont du réexamen, en termes d’hypothèses, de choix de modélisation, d’EPFH et de résultats,

–à examiner plus attentivement les séquences fonctionnelles présentant un intérêt tout particulier en termes de sûreté.

L’expertise de l’IRSN le conduit à discuter avec Électricité de France de possibles améliorations des installations et de leur exploitation (procédures de conduite) ainsi qu’à formuler des observations en vue de l’amélioration des études d’Électricité de France.

Bien que les EPS de niveau 1 « événements internes » aient déjà été largement utilisées lors du réexamen périodique des réacteurs associé aux deuxièmes visites décennales des réacteurs de 900 MWe, ce n’est qu’à partir du réexamen périodique associé aux deuxièmes visites décennales des réacteurs de 1 300 MWe que l’utilisation des EPS a été systématisée et pour ainsi dire « codifiée ».

Lors des réexamens périodiques suivants, cette approche a été confortée mais également enrichie par l’extension du domaine de couverture des EPS, avec la réalisation par Électricité de France :

–d’une EPS de niveau 1 « événements internes » pour la piscine d’entreposage des combustibles usés et d’une EPS de niveau 2 « événements internes » lors du réexamen associé aux troisièmes visites décennales des réacteurs de 900 MWe et de 1 300 MWe,

–d’EPS de niveau 1 « incendie » et « inondation interne » lors du réexamen associé aux troisièmes visites décennales des réacteurs de 1 300 MWe,

–d’EPS de niveau 1 « explosion interne », « séisme » et « inondation externe », d’EPS de niveau 2 « incendie », « inondation interne » et « séisme » lors du réexamen associé aux quatrièmes visites décennales des réacteurs de 900 MWe.

Ces EPS ont conduit à retenir, à l’occasion des différents réexamens périodiques, des améliorations de conception ou d’exploitation. En particulier, les EPS de niveau 1 « événements internes » ont permis d’approfondir, lors des réexamens associés aux troisièmes visites décennales des réacteurs de 900 MWe et de 1 300 MWe, le sujet des séquences menant à une fusion du cœur avec bipasse de l’enceinte du confinement, induites par une rupture du serpentin de la barrière thermique d’une pompe primaire. Une telle rupture peut en effet, en cas d’échec de l’isolement du tronçon du circuit RRI dimensionné aux conditions du circuit primaire, conduire à une brèche du circuit primaire débouchant à l’extérieur de l’enceinte de confinement sans moyen de l’isoler ou de rejoindre des conditions de pression et de température permettant d’annuler le débit d’eau sortant par la brèche. L’exploitant a alors décidé d’améliorer les moyens d’isolement du circuit RRI ; les mises à jour des EPS ont ensuite montré tout l’intérêt de cette modification.

L’EPS « incendie » réalisée par Électricité de France lors du réexamen périodique associé aux troisièmes visites décennales des réacteurs de 1 300 MWe a mis en évidence une fréquence importante des séquences menant à la fusion du cœur induites par un incendie dans un local contenant des baies (armoires) de relayage informatisé (CONTROBLOC) du système de contrôle-commande, qui pourrait entraîner une ouverture intempestive des soupapes de protection du circuit primaire et une défiabilisation des systèmes RIS et EAS nécessaires à la limitation des conséquences de la situation correspondante. Électricité de France a, au vu de ces résultats, retenu une modification de la logique de la commande de ces soupapes.

14.5.2.2.EPS de niveau 2

Les EPS de niveau 2 sont utilisées lors des réexamens périodiques pour apprécier l’intérêt et l’opportunité de la mise en place d’améliorations matérielles (notamment des améliorations de systèmes existants) ou de procédures visant à réduire les probabilités de modes de défaillance de l’enceinte de confinement ou à réduire les conséquences de telles défaillances en termes de rejets. Elles peuvent contribuer à la définition et la mise en place de systèmes permettant de prévenir les accidents avec fusion du cœur ou d’en limiter les conséquences ainsi qu’à l’amélioration des guides d’intervention en accident grave (GIAG).

La première utilisation des EPS de niveau 2 dans l’analyse de sûreté est intervenue dans le cadre du réexamen périodique associé aux troisièmes visites décennales des réacteurs de 900 MWe. Électricité de France réalise désormais, à l’occasion de chaque réexamen périodique, une EPS de niveau 2 correspondant à l’état des réacteurs avant et après les modifications du réexamen. L’utilisation de ces études s’inscrit dans le cadre de l’identification et de la réduction, autant que raisonnablement possible, des risques présentés par les réacteurs. Pour les réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe, des objectifs généraux sont définis à chaque réexamen dans le « référentiel accident grave ». Lors des réexamens associés aux troisièmes visites décennales des réacteurs de 900 MWe et 1 300 MWe, l’objectif premier était la réduction des risques de rejets précoces et importants. Pour les réexamens suivants, il est visé de rapprocher le niveau de sûreté des réacteurs en exploitation de celui du réacteur EPR ; cela est développé au paragraphe 30.5.

Des exemples d’utilisation des EPS de niveau 2 et de modification des réacteurs ont été présentés au paragraphe 14.3.3.

Il convient également de noter que les EPS de niveau 2 peuvent également contribuer à identifier et à fixer des priorités en matière de programmes de recherche visant à mieux comprendre les accidents de fusion du cœur et à réduire les risques associés.

14.5.3.Utilisation des EPS pour l’exploitation des réacteurs

14.5.3.1.Utilisation des EPS pour l’analyse de la gravité des événements

Cette utilisation s’inscrit dans le processus global d’analyse de l’expérience d’exploitation (voir notamment le chapitre 21 qui traite des règles et pratiques en matière de retour d’expérience).

Les événements significatifs (cette notion est précisée au paragraphe 21.4) qui surviennent dans les centrales nucléaires constituent une des sources principales de retour d’expérience. En complément des méthodes classiques d’analyse d'événements, l’utilisation des EPS de niveau 1 permet d’apprécier l’augmentation de la probabilité de fusion du cœur induite par un événement réel. Cette méthode484 est utilisée en France depuis le début des années 1990.

L’intérêt de l’approche probabiliste est double :

–l’analyse des conséquences potentielles de l’événement repose sur une investigation aussi systématique et réaliste que possible des scénarios possibles de dégradation de la situation créée par l’événement étudié, ce qui permet une plus grande exhaustivité ;

–l’évaluation probabiliste fournit de plus des informations quantitatives sur les probabilités de ces scénarios.

L’analyse probabiliste apporte des éléments chiffrés qui permettent de mieux appréhender la gravité des événements et de les hiérarchiser en fonction de leur probabilité conditionnelle de fusion du cœur.

Elle aide ainsi à hiérarchiser les priorités de traitement des événements ainsi qu’à évaluer la pertinence des actions de retour d’expérience et l’efficacité des mesures correctives.

Définition des événements « précurseurs »

L’évaluation de la gravité d’un événement peut être quantifiée par la détermination d’une valeur, appelée « accroissement de la probabilité de fusion du cœur » (ou indice de risque potentiel, IRP), qui représente la différence entre la probabilité annuelle conditionnelle de fusion du cœur sachant que l’événement a eu lieu et la probabilité annuelle globale de fusion du cœur issue du modèle EPS de référence. Les événements pour lesquels l’IRP est supérieur à 10-6 sont appelés précurseurs ; ils font l’objet d’une analyse approfondie. Parmi ces événements, les événements pour lesquels l’IRP est supérieur à 10-4 font l’objet d’une attention toute particulière : l’exploitant définit des actions correctives et des délais pour leur mise en œuvre. Le gain attendu par la mise en œuvre de ces actions correctives est si possible évalué en termes probabilistes.

Analyse probabiliste

Électricité de France et l’IRSN effectuent chacun de leur côté un examen des événements significatifs survenus dans les réacteurs dès leur déclaration. Ce premier examen permet d’identifier les événements dits marquants parmi lesquels certains pourraient être des événements précurseurs au sens de l’alinéa précédent.

Pour les événements retenus comme marquants, une estimation de l’accroissement de la probabilité de fusion du cœur lié à l’événement est si possible effectuée. Il est néanmoins à noter que cette méthode n’est pas applicable à tous les événements compte tenu des limitations des EPS de niveau 1 de l’IRSN et d’Électricité de France.

Deux catégories d’événements précurseurs peuvent être distinguées :

–ceux qui résultent d’une défaillance ou de l’indisponibilité d’un matériel pouvant conduire à la dégradation d’une ou plusieurs fonctions de sauvegarde ; une telle dégradation pouvant affecter le déroulement de plusieurs accidents envisageables, c’est le cumul des probabilités annuelles de fusion du cœur des familles accidentelles correspondantes qui représente l’accroissement de la probabilité annuelle de fusion du cœur lié à l’événement ;

–ceux qu’on dénomme pré-initiateurs : pour ce type d’événement, c’est la probabilité annuelle de conduire à un initiateur au sens des EPS qui permet de déduire la probabilité de fusion du cœur associée.

Certains événements répondent aux deux définitions ci-dessus. L’accroissement de la probabilité annuelle de fusion du cœur lié à l’événement est alors déterminé en considérant les deux aspects.

Dans le cas général, l’analyse est réalisée à l’aide du modèle EPS de référence et ne nécessite pas de développement particulier. Néanmoins, le modèle EPS doit quelquefois être adapté à la spécificité de l’événement, en considérant en particulier l’ensemble des indisponibilités affectant le réacteur au moment de l’événement.

Si l’événement résulte d’une défaillance matérielle, il convient notamment d’apprécier si la défaillance constatée peut affecter d’autres équipements et d’introduire l’hypothèse associée dans la quantification.

En cas d’incertitudes importantes sur les hypothèses de quantification, une étude de sensibilité est effectuée.

14.5.3.2.Utilisation des EPS pour l’analyse des spécifications techniques d’exploitation et des modifications temporaires

L’objectif général des spécifications techniques d’exploitation (STE, voir le paragraphe 20.2) est de définir un ensemble de règles qui doivent être respectées pour l’exploitation (normale) de l’installation, afin de maintenir le réacteur dans le domaine couvert par les études du rapport de sûreté.

Les spécifications techniques d’exploitation définissent :

–différents domaines d’exploitation de l’installation, caractérisés par les limites de paramètres physiques,

–les fonctions, systèmes et matériels qui doivent être disponibles dans chaque domaine d’exploitation pour prévenir et détecter des situations d’incident ou d’accident et limiter les conséquences si de telles situations devaient néanmoins se produire,

–les actions à mettre en œuvre en cas d’écart par rapport aux exigences mentionnées ci-dessus, ainsi que le délai maximal toléré de mise en œuvre de ces actions.

Les spécifications techniques d’exploitation des réacteurs ont été élaborées par une approche déterministe en s’appuyant notamment sur les études des accidents de dimensionnement du rapport de sûreté (RDS) ; des jugements d’experts ont été utilisés en complément.

L’utilisation des études probabilistes de sûreté a permis à Électricité de France de définir, au fil du temps, des évolutions pérennes des spécifications techniques d’exploitation, notamment pour les états d’arrêt. Par ailleurs, l’éclairage probabiliste peut être utilisé pour l’analyse d’une modification temporaire de ces spécifications, par Électricité de France et par l’IRSN.

Les principaux domaines dans lesquels Électricité de France utilise à ce jour ses EPS pour la définition de spécifications techniques d’exploitation sont succinctement présentés ci-après. L’analyse de l’IRSN porte essentiellement sur les méthodes retenues par l’exploitant et les hypothèses utilisées pour ces applications. Ces applications font par ailleurs l’objet des précautions suivantes de la part de l’IRSN :

–l’applicabilité de l’EPS utilisée au cas étudié est vérifiée et, éventuellement, des études particulières sont réalisées ; en effet, certaines simplifications faites dans l’EPS utilisée peuvent se révéler non pertinentes pour l’application considérée ;

–il est également vérifié que les conclusions de l’application tiennent compte des limitations en termes de niveau (1, 2)485 et de couverture de l’EPS utilisée ;

–il est considéré que, nonobstant les résultats des études probabilistes, la détermination des délais maximaux de réparation des matériels ou de repli du réacteur doit également tenir compte de certains impératifs de maintenance (temps nécessaire pour effectuer une réparation…) ou d’exploitation (temps nécessaire pour préparer un repli…). La vérification du respect des critères déterministes est par ailleurs indispensable (par exemple, la durée d’une indisponibilité qui remet en cause une hypothèse d’une étude d’accident de dimensionnement doit être strictement limitée).

Définition des fonctions de sûreté et des équipements
qui doivent être disponibles pour un état du réacteur donné

L’intérêt de requérir, dans les spécifications techniques d’exploitation, la disponibilité d’un matériel pour un état du réacteur donné, peut être apprécié sur la base de l’augmentation de la fréquence globale annuelle de fusion du cœur qui résulterait de l’indisponibilité du matériel sur toute la durée de l’état.

Classement des indisponibilités en événements
de groupe 1 ou de groupe 2

En fonction de leur importance pour la sûreté, les indisponibilités d’un système ou d’un matériel requis par les spécifications techniques d’exploitation dans un état du réacteur sont hiérarchisées en événements de groupe 1 et événements de groupe 2. Une stratégie de repli vers un état plus sûr et des règles très strictes de cumul sont associées uniquement aux événements de groupe 1.

Les EPS permettent d’apporter un éclairage sur le classement des indisponibilités, notamment pour les équipements valorisés dans le domaine complémentaire d’événements (chapitre 13).

Définition de la conduite à tenir dans le cas d’un événement
du groupe 1

Les EPS permettent d’apporter un éclairage quant à la meilleure conduite à tenir en cas d’indisponibilité d’un matériel requis par les spécifications techniques d’exploitation, en termes d’actions à mettre en œuvre et de délais maximaux de réalisation de ces actions. D’autres éléments sont néanmoins à considérer pour la prise de décisions, tels que l’impossibilité de réparer un matériel dans un état du réacteur donné.

Une méthode définissant, sur la base d’une démarche à la fois probabiliste et déterministe, la conduite à tenir la plus appropriée pour les événements fortuits du groupe 1, à savoir le repli dans un état sûr dans un certain délai ou la réparation dans l’état initial, a été développée lors d’échanges entre Électricité de France et l’IRSN. La mise en place de dispositions compensatoires est nécessaire si l’augmentation de la fréquence globale annuelle de fusion du cœur due à l’indisponibilité est relativement importante.

 Rôle des EPS pour l’examen des modifications temporaires
des spécifications techniques d’exploitation

Les EPS peuvent également être utilisées, en complément des analyses déterministes, par Électricité de France et par l’IRSN, dans le cadre de l’instruction des demandes de modifications temporaires des spécifications techniques d’exploitation pour un fonctionnement de l’installation en dehors du domaine défini par ces spécifications.

Le but de l’analyse probabiliste est de vérifier que, en tenant compte des dispositions palliatives retenues par l’exploitant, l’augmentation de la fréquence globale annuelle de fusion du cœur reste faible pendant toute la durée de la modification temporaire des spécifications techniques d’exploitation (la valeur de 10-7 par modification temporaire est utilisée comme valeur repère).

La justification probabiliste peut accompagner la demande de l’exploitant ou peut être sollicitée par l’IRSN au cours de l’instruction technique. L’IRSN vérifie sa pertinence sur la base des éléments transmis par l’exploitant, notamment à l’aide de ses propres modèles EPS.

14.5.3.3.Utilisation des EPS pour l’analyse des procédures de conduite

Bien que la recherche d’un éclairage probabiliste ne soit pas systématique pour la justification des procédures de conduite incidentelles et accidentelles, les EPS d’Électricité de France et de l’IRSN constituent des outils d’investigation pour l’analyse de la mise au point de ces documents. Leur apport est particulièrement utile lorsqu’il apparaît que les délais pour réaliser certaines actions requises sont courts. Dans une telle situation, quel que soit le modèle EPFH utilisé, la probabilité d’échec des opérateurs est plus élevée que celle d’un automatisme remplissant la même fonction et l’estimation de la probabilité de fusion du cœur associée aux séquences concernées constitue un élément utile pour apprécier si la mise en place d’un automatisme s’impose. Les EPS ont ainsi apporté des éléments déterminants pour le traitement de certains dossiers importants en termes de sûreté comme celui des risques de surpression à froid induits par une brèche du circuit RRA dans les états où celui-ci est connecté au circuit primaire. Dans un premier temps, Électricité de France a retenu des améliorations des procédures de conduite ; la fréquence encore élevée de fusion du cœur associée à ce type de séquences et les incertitudes de leur modélisation ont ensuite conduit Électricité de France à retenir la mise en œuvre, en complément, d’une disposition matérielle sous la forme de la création d’un exutoire permettant de limiter les surpressions.

Plus généralement, l’analyse des documents de conduite montre régulièrement que des situations particulières, tels des cumuls de défaillances peu probables, ne sont pas traitées par ces documents. L’IRSN examine l’intérêt de prévoir leur traitement dans ces documents en tenant compte de la complexification de la conduite, voire de l’installation, qui pourrait en résulter. Dans ce cadre, les résultats des EPS apportent des éléments d’appréciation.

472.Études qui doivent être distinguées des approches de nature probabiliste dont il a pu être question auparavant, par exemple pour la prise en compte de certaines agressions.

473.Dans le sens que les études probabilistes viennent compléter et « éclairer » l’approche déterministe, socle de la démonstration de sûreté.

474.En pratique, la valeur de 10-7 par an et par famille d’événements a en fait été davantage utilisée.

475.Technique for Human Error-Rate Prediction (étude probabiliste de la fiabilité humaine).

476.L’expression « endommagement du cœur » regroupe ici des situations ne conduisant qu’à des ruptures de gaines jusqu’à des situations conduisant à une fusion totale du combustible dans la cuve.

477.Cette valeur intègre par anticipation les améliorations de conception et d’exploitation prescrites par l’ASN pour les situations de dilution hétérogène (qui font partie des transitoires pouvant affecter le circuit primaire).

478.C’est-à-dire réaliser l’ensemble des opérations nécessaires pour mettre en service un matériel ou un système (enclenchement de contacteurs électriques, ouverture ou fermeture de vannes…).

479.Ruptures qui seraient provoquées par une augmentation excessive de la pression et de la température dans le circuit primaire.

480.Le projet ASAMPSA2 avait pour but la rédaction d’un guide des meilleures pratiques en matière de développement et d’application des EPS de niveau 2, à partir de l’expérience de 21 partenaires européens impliqués dans la sûreté des réacteurs. Le projet s’est achevé en 2012.

481.Analyse de fiabilité humaine et organisationnelle dans la gestion des accidents.

482.La détection est assurée par des thermocouples installés dans le puits de cuve.

483.Système d’évacuation de la chaleur dans l’enceinte de confinement de l’EPR.

484.Aussi appelée méthode « précurseur » (sous-entendu de fusion du cœur), est évoquée à nouveau au paragraphe 21.4.

485.Une EPS de niveau 1 est par exemple inadaptée pour des indisponibilités d’équipements liés au confinement.

Chapitre 15

Aspects spécifiques aux piscines
d’entreposage du combustible
des réacteurs à eau sous pression

La piscine d’entreposage du combustible (plus précisément des assemblages combustibles), est située dans le bâtiment du combustible (BK) des réacteurs à eau sous pression français (voir la figure 15.1). Elle est utilisée d’une part pour entreposer les combustibles usés (irradiés) dans l’attente de la décroissance de la puissance résiduelle qu’ils dégagent à une valeur suffisamment faible pour permettre leur évacuation du site (d’où l’appellation couramment utilisée de piscine de désactivation), d’autre part pour accueillir temporairement, au cours des arrêts de tranche, les combustibles neufs ou usés destinés à être chargés ou rechargés pour effectuer le cycle de fonctionnement à venir. Selon les paliers de réacteurs, la capacité d’entreposage varie entre quelque 300 et 600 assemblages combustibles ; elle est de 1 000 assemblages combustibles pour le réacteur EPR Flamanville 3.

Le système de refroidissement de la piscine (système PTR) est équipé de deux pompes alimentées respectivement par l’une des deux voies électriques secourues et de deux échangeurs de chaleur (cas des réacteurs de 900 MWe486, de 1 300 MWe et de 1 450 MWe – le cas du réacteur EPR est abordé plus loin). À la différence du circuit de refroidissement du réacteur, le circuit de refroidissement de la piscine n’est pas sous pression car, dans tous les réacteurs, il est connecté en permanence à la piscine. L’exigence de conception qui a été retenue pour ce circuit est que, même en cas de défaillance de l’un de ses composants (pompe, échangeur…), la température de l’eau dans la piscine n’excède pas 80 °C, cela permettant d’éviter l’ébullition de l’eau. Il ne constitue donc pas un circuit de « haute énergie » et une rupture brutale de ce circuit a été considérée, lors de sa conception, comme très improbable.

Figure 15.1. Vue de la piscine et des râteliers d’entreposage du combustible à la centrale nucléaire de Saint-Laurent-des-Eaux. Laurent Zylberman/Graphix-Images/Médiathèque IRSN.

Compte tenu des dispositions retenues pour le passage des assemblages combustibles entre le bâtiment du combustible et le bâtiment du réacteur par le tube de transfert, le plancher de service de la piscine d’entreposage du combustible est situé entre 20 et 26 mètres au-dessus de la plateforme du réacteur, pour une profondeur du bassin d’entreposage comprise entre 12 et 13,7 mètres. Le volume du compartiment d’entreposage est supérieur à 1 000 m3. Lors de la conception des différents paliers de réacteurs, la puissance résiduelle maximale retenue pour le combustible qui pourrait y être entreposé était comprise entre 5 et 8 MW pour les réacteurs de 900 MWe et de 1 300 MWe (14 MW pour les réacteurs du palier N4)487. Avec cette hypothèse, le délai avant l’atteinte de phénomènes pouvant altérer brutalement le combustible en cas de perte totale de refroidissement (« effets falaise ») était important : ainsi, pour les réacteurs de 900 MWe du palier CPY, le délai avant l’ébullition de l’eau de la piscine était évalué à 14 heures et le délai avant le début de découvrement d’assemblages combustibles entreposés était supérieur à quatre jours, sans mise en service d’un moyen d’appoint d’eau de secours.

Sur la base de ces éléments, il a été considéré à la conception que la probabilité d’occurrence d’un accident de refroidissement d’une piscine d’entreposage de combustible était faible. Toutefois, après quelques années d’exploitation, la réduction sensible de la durée entre l’arrêt des réacteurs et le déchargement du combustible du cœur a conduit à augmenter la puissance résiduelle du combustible entreposé en piscine en fin de déchargement488. Il est alors apparu au fil du temps que des évolutions de la conception initiale devaient être mises en œuvre pour améliorer le niveau de sûreté des piscines d’entreposage du combustible.

Il est par ailleurs à noter qu’il n’y a pas eu, depuis le démarrage des différents réacteurs du parc électronucléaire français, d’irradiations de personnels liées aux piscines d’entreposage du combustible.

15.1.Conception des piscines d’entreposage
du combustible

15.1.1.Barrières de confinement

Les piscines d’entreposage du combustible des réacteurs à eau sous pression français (voir la figure 15.2) sont situées en dehors de leurs enceintes de confinement489 et les bâtiments correspondants, dits BK, ne font pas l’objet d’une exigence d’étanchéité. Ils bénéficient cependant d’un confinement dynamique assuré par des systèmes de ventilation qui les maintiennent, en conditions normales, en dépression et qui assurent par ailleurs la filtration de certains radionucléides en cas d’incident ou d’accident (filtres à très haute efficacité [THE] et pièges à iode [PAI]).

Trois barrières de confinement peuvent être considérées pour l’entreposage et la manutention des combustibles irradiés sous eau :

–les gaines des crayons combustibles ;

–l’eau entourant les crayons combustibles, qui assure une rétention des radionucléides non gazeux en cas d’endommagement de gaines – il convient aussi de mentionner les structures en béton et la peau d’étanchéité de la piscine, qui constituent des « barrières » physiques latéralement et en fond de piscine ;

–le système de confinement dynamique et de filtration associé au bâtiment BK.

Figure 15.2. Vue en coupe des piscines du bâtiment du réacteur (BR) et du bâtiment du combustible (BK) d’un réacteur de 900 MWe du palier CPY, avec les différents compartiments. IRSN.

Cependant, un accident qui conduirait à l’ébullition de l’eau ou à la vidange d’un compartiment contenant du combustible usé est susceptible d’entraîner une perte plus ou moins rapide de l’eau et, à terme, un endommagement des gaines exposées à l’air.

En outre, la vaporisation d’une quantité importante d’eau en cas d’échauffement de la piscine conduirait à arrêter les circuits d’extraction et de filtration du système de ventilation du bâtiment du combustible. Le confinement dynamique ne serait donc pas maintenu. Pour éviter le transfert de vapeur d’eau dans les différents locaux de ce bâtiment (ce qui serait préjudiciable notamment à une intervention visant à effectuer un appoint d’eau dans la piscine), le hall situé au-dessus du plancher de service de la piscine devrait alors être ouvert vers l’extérieur afin de créer un exutoire.

En conséquence, le confinement du bâtiment du combustible ne serait pleinement opérationnel que dans certaines situations accidentelles portant atteinte à l’intégrité des gaines des assemblages combustibles, telles que les accidents de manutention. A contrario, les conséquences radiologiques du dénoyage d’un ou plusieurs assemblages qui conduirait à la fusion de combustible ne pourraient pas être sensiblement réduites par ce confinement. De plus, une telle fusion de combustible pourrait être accompagnée de phénomènes énergétiques, tels qu’une explosion de l’hydrogène produit par l’oxydation des gaines des assemblages combustibles, qui pourrait souffler la partie supérieure du bâtiment du combustible, ou un feu de zirconium.

La fusion d’assemblages dans le bâtiment du combustible est donc un accident qui pourrait entraîner des rejets radioactifs très importants dans l’environnement. L’« élimination pratique »490 d’une telle situation doit donc être recherchée ; elle est explicitement mentionnée dans les directives techniques applicables au réacteur EPR (on y reviendra au paragraphe 15.5).

15.1.2.Événements initiateurs retenus à la conception

Comme cela a été indiqué dans l’introduction du présent chapitre, le système de refroidissement des piscines de désactivation du parc électronucléaire (hors EPR dont il sera question plus loin) a été conçu en respectant le critère de défaillance unique pour certains équipements et comporte deux pompes et deux échangeurs de chaleur ; l’exigence est que, en cas de défaillance de l’un de ces composants, la température n’excède pas 80 °C. La prise en compte d’une défaillance aggravante indépendante de l’événement initiateur, à l’instar de l’approche de sûreté appliquée au réacteur, conduirait à l’ébullition de l’eau de la piscine (en postulant par exemple la défaillance de la deuxième pompe du circuit de refroidissement lors d’un événement initiateur ayant conduit à la défaillance de la première pompe). Il a cependant été estimé que l’inertie thermique de la piscine serait suffisante pour qu’il soit possible de restaurer une voie de refroidissement avant que la température de l’eau n’excède 80 °C.

Par ailleurs, du fait que le circuit de refroidissement de la piscine n’est pas un circuit de « haute énergie », les événements initiateurs de rupture de tuyauterie susceptibles de conduire à une vidange rapide de la piscine de désactivation n’ont pas été considérés.

En conséquence, aucun système d’appoint d’eau en secours n’a été prévu pour compenser une éventuelle baisse du niveau d’eau d’une piscine par évaporation ou par perte d’intégrité d’un circuit connecté à cette piscine. Aucun automatisme spécifique n’a non plus été mis en place pour isoler automatiquement une fuite en cas de détection d’une baisse du niveau d’eau. Par ailleurs, lors des études de conception, l’implantation des tuyauteries connectées à la piscine d’entreposage du combustible n’a pas été spécifiquement étudiée en vue d’éviter, en situation accidentelle, le dénoyage d’un assemblage combustible en cours de manutention, les manutentions correspondantes se faisant sous une hauteur d’eau nettement plus faible que celle de l’eau située au-dessus des assemblages combustibles entreposés. Il peut être aussi noté que la tenue des équipements qui contribuent à l’étanchéité de la piscine, tels que les tuyauteries des circuits de refroidissement et de traitement de l’eau ou les peaux métalliques d’étanchéité des différents compartiments, n’a pas été vérifiée pour des contraintes thermiques correspondant à une température de l’eau supérieure à 80 °C.

Le retour d’expérience d’exploitation a montré que les possibilités d’accident dans les piscines n’avaient pas été suffisamment approfondies. Il va être montré dans les paragraphes qui suivent comment des améliorations ont été progressivement apportées à ces piscines.

15.2.Retour d’expérience

15.2.1.Pertes de refroidissement

15.2.1.1.Perte de la source froide

L’expérience d’exploitation des réacteurs à eau sous pression du parc électronucléaire français a montré qu’une agression externe pourrait occasionner une perte totale de la source froide du réacteur et de la piscine de désactivation.

Ainsi, les hivers 1985, 1986 et 1987 ont été marqués par des périodes de froid soutenu avec plusieurs baisses très significatives de débit dans les systèmes de refroidissement, dues à la formation de banquises ou d’amoncellements de blocs de glace devant les prises d’eau des centrales du bord de la Loire491.

De tels épisodes de « grands froids » pourraient également donner lieu à une prise en glace plus localisée au niveau d’équipements comme les grilles de protection des prises d’eau, induisant une perte de charge singulière. Ce phénomène, dit de frasil, pourrait aussi obstruer les prises d’eau des systèmes de refroidissement.

Plus généralement, l’expérience d’exploitation a montré que les causes envisageables de perte totale de la source froide d’un réacteur et de sa piscine, ou d’un site, sont multiples : une telle perte peut être due à une arrivée massive de colmatants de nature végétale492 (algues, branchages…) ou animale (groseilles de mer…), à la dérive d’une nappe d’hydrocarbures, ou encore à un envasement progressif de la prise d’eau… Ce retour d’expérience a fait apparaître que la fréquence des événements de ce type est significative et que la durée de certains événements pourrait être importante (plusieurs jours pourraient être nécessaires pour restaurer la fonction de refroidissement).

Ce retour d’expérience a conduit Électricité de France, lors du réexamen global de la conception des entreposages de combustible en piscines, effectué au début des années 2000, à retenir la possibilité d’une perte totale du refroidissement d’une piscine de désactivation durant quatre jours. Cette situation constitue désormais un événement du « domaine complémentaire » (voir le chapitre 13) pour la vérification du dimensionnement des systèmes permettant de ramener et de maintenir l’installation dans un état sûr.

15.2.1.2.Risques liés à la maintenance lors des arrêts de tranche

Les périodes d’arrêt de tranche, et notamment celles pendant lesquelles le combustible est complètement déchargé du réacteur, sont les plus favorables à la réalisation de travaux d’entretien, de maintenance et de modification de l’installation (hormis dans les piscines). De nombreux systèmes, dont des systèmes de distribution électrique ou de contrôle-commande, peuvent alors être partiellement ou totalement rendus indisponibles. Or c’est durant ces périodes d’arrêt que la puissance résiduelle du combustible entreposé dans la piscine du bâtiment BK est maximale.

À la conception, il n’a pas été retenu d’assurer une redondance (par la voie électrique B) de l’instrumentation, en voie A, des différents paramètres de la piscine (température et niveau de l’eau, débit de dose au niveau du plancher de service) ; cela implique que les moyens fixes de surveillance pouvaient être rendus indisponibles lors des interventions de maintenance préventive sur les tableaux électriques de la voie A lors des arrêts de tranche.

De même, le système de ventilation du bâtiment du combustible utilisé en fonctionnement normal est alimenté par la voie A de la distribution électrique ; dès lors, les travaux de maintenance sur cette voie peuvent nécessiter un basculement de la ventilation de ce bâtiment sur le circuit de secours dont le débit est nettement moins élevé (réduction du débit d’un facteur trois à cinq pour les réacteurs de 900 MWe et de 1 300 MWe). L’expérience a mis en évidence la possibilité de formation d’un brouillard d’eau dans cette situation, du fait de la température relativement élevée de l’eau de la piscine (voisine de 50 °C). Outre la gêne qui en résulterait pour les opérateurs, cette hygrométrie importante serait de nature à réduire l’efficacité des pièges à iode si les réchauffeurs situés en amont ne jouaient pas pleinement leur rôle.

Enfin, les coupures de tableaux électriques peuvent rendre indisponible l’une des deux pompes du circuit de refroidissement de la piscine. La fonction de refroidissement est alors défiabilisée.

Plusieurs dispositions ont été retenues lors du réexamen global de la conception des entreposages de combustible en piscine évoqué plus haut et mises en œuvre lors d’arrêts de tranche ou dans le cadre de « lots » de modifications effectuées à l’occasion d’arrêts décennaux. Elles ont visé à réduire la probabilité de perte totale du refroidissement d’une piscine ou de perte de l’efficacité du confinement en arrêt de tranche, par exemple le doublement (voie A et voie B) de l’instrumentation surveillant les paramètres de la piscine ; d’autres dispositions ont été de nature organisationnelle.

15.2.1.3.Aspiration de corps étrangers dans le circuit de refroidissement

Un bilan de l’expérience d’exploitation établi en 1996 a montré que, depuis le début du démarrage des réacteurs du parc électronucléaire, une douzaine d’événements dus à la présence de corps étrangers dans le circuit de refroidissement PTR, s’étaient produits. Les corps étrangers pouvaient être de diverses natures (rondelle, aspirateur, panier filtrant, chaîne métallique, caméra, obturateur en mousse, lampe…).

Les durées des interruptions du refroidissement qui en ont résulté ont pu être longues (10 à 20 heures).

Pour éviter le renouvellement de tels événements, Électricité de France a, au début des années 2000, équipé la tuyauterie d’aspiration du circuit PTR de chaque tranche d’une crépine.

15.2.1.4.Dépassement de la puissance résiduelle
retenue à la conception

Les systèmes de refroidissement des piscines de désactivation ont été dimensionnés lors de leur conception (initiale) en considérant un déchargement partiel du cœur (équivalent à la recharge d’assemblages neufs) lors des arrêts pour rechargement ; le déchargement complet d’un cœur n’était envisagé que de manière exceptionnelle, notamment lors des visites décennales des réacteurs. Cela s’est rapidement révélé inadapté à une exploitation efficace. En effet, outre des difficultés de gestion des manutentions des assemblages combustibles et des grappes absorbantes, le maintien d’une partie du cœur dans la cuve du réacteur interdit le « passage à la génératrice inférieure »493 du niveau d’eau dans le circuit primaire, qui est nécessaire à la réalisation de nombreux contrôles. Le déchargement de la totalité du cœur lors des arrêts de tranche s’est donc imposé comme unique solution possible en exploitation.

Par ailleurs, pour réduire les durées des arrêts de tranches en vue d’accroître la disponibilité de ses réacteurs, Électricité de France a cherché à décharger les assemblages combustibles et à les transférer au plus tôt dans la piscine d’entreposage. De ce fait, le délai entre la « convergence » du réacteur (i.e. son arrêt) et la fin du déchargement, fixé à 14 jours dans les hypothèses de conception, a été progressivement abaissé à six jours.

Les pratiques d’exploitation développées à cette fin, différentes des hypothèses retenues lors de la conception initiale, ont conduit à une forte augmentation de la puissance résiduelle des combustibles usés entreposés dans les piscines lors des arrêts de tranche. Ainsi, pour les réacteurs de 900 MWe du palier CPY, la puissance résiduelle enveloppe des combustibles entreposés en piscine, fixée initialement à 2,75 MW en situation normale de fonctionnement (5,45 MW en situation exceptionnelle de déchargement complet du cœur) a été réévaluée à 10 MW. Électricité de France a alors transmis à la Direction de la sûreté des installations nucléaires, en 1994, une demande de dérogation au rapport de sûreté, qui a conduit au réexamen global de la sûreté de l’entreposage et de la manutention des assemblages combustibles dans les piscines d’entreposage, déjà évoqué.

15.2.2.Pertes d’eau

15.2.2.1.Défaillances de portes ou de batardeaux

Un événement marquant de vidange dû à une perte d’étanchéité de la porte du compartiment de transfert (représenté notamment sur la figure 15.2) a affecté le 16 septembre 1981 le réacteur n° 1 de la centrale nucléaire du Tricastin lors de son premier arrêt pour rechargement, alors que le cœur du réacteur était complètement déchargé. Lors de cet événement (voir le schéma de la figure 15.3), le tube de transfert était ouvert et sa vanne d’isolement ne pouvait pas être refermée (elle se trouvait bloquée par une intervention en cours sur le chariot convoyeur). Le batardeau de la piscine du bâtiment du réacteur (représenté à gauche sur la figure 15.3) aurait normalement dû être remisé, mais il était heureusement en place lors de l’événement ; toutefois, son joint d’étanchéité n’était pas gonflé.

Figure 15.3. Schéma illustrant la vidange accidentelle de la piscine d’entreposage du combustible du réacteur Tricastin n° 1, survenue en 1981. Le circuit de refroidissement PTR est représenté en noir. Le réservoir (ou bâche) PTR est représenté à l’extrême droite. IRSN.

La vidange, d’un débit d’environ 10 m3/h, a été provoquée dans un premier temps par le dégonflage du joint de la porte de séparation entre le compartiment d’entreposage et le compartiment de transfert à la suite d’une coupure du réseau d’air de régulation (SAR) qui le maintenait sous pression. Par la suite, la réalimentation manuelle de ce joint directement par le circuit d’air comprimé de travail (SAT), sans détendeur, a provoqué son éclatement et une augmentation du débit de vidange (jusqu’à environ 100 m3/h). La baisse du niveau d’eau dans le compartiment d’entreposage s’est donc accélérée. Un projecteur normalement immergé a été dénoyé ; il s’est échauffé ainsi que son câble d’alimentation, ce qui a entraîné le dégagement de vapeurs de chlore. L’éclairage de la piscine a été coupé. Le bâtiment du combustible a alors été évacué, à l’exception d’un agent dont la mission était de surveiller le niveau d’eau dans la piscine.

L’exploitant ayant réussi à gonfler le joint du batardeau de la piscine du bâtiment du réacteur, la vidange a pu être arrêtée en équilibrant à 16,5 mètres le niveau d’eau du compartiment d’entreposage avec celui de l’eau dans les compartiments adjacents, 6 h 30 min environ après le début de l’événement. Au total, 800 m3 d’eau ont été vidangés, mais un appoint à la piscine en cours de vidange a permis de maintenir un niveau supérieur à celui de la tuyauterie d’aspiration du circuit de refroidissement (située à 4 mètres en dessous du niveau nominal de 19,50 mètres de l’eau du compartiment d’entreposage).

À la suite de cet événement significatif et de plusieurs autres, des modifications matérielles ont été mises en place pour réduire la possibilité de perte d’étanchéité des portes et des batardeaux des piscines ; il s’agit de la mise en place :

–de manomètres sur les joints gonflables des portes des compartiments du bâtiment du combustible et du batardeau de la piscine du bâtiment du réacteur, des alarmes apparaissant en salle de commande en cas de baisse de pression,

–de soupapes protégeant les joints gonflables du risque d’éclatement,

–d’un joint statique à lèvres assurant l’étanchéité des portes des compartiments du bâtiment du combustible et du batardeau de la piscine du bâtiment du réacteur en complément des joints gonflables équipant ces organes d’isolement.

15.2.2.2.Erreurs de lignage

L’expérience du parc électronucléaire français montre que, dans leur grande majorité, les événements de baisse intempestive du niveau d’eau dans la piscine d’entreposage du combustible sont liés à des erreurs de lignage (environ 70 % des événements).

Les vidanges qui en résultent peuvent être gravitaires ou résulter du fonctionnement d’une pompe. Les débits correspondants peuvent être importants (jusqu’à 1 000 m3/h, soit, en termes de niveau d’eau, la vidange de plus d’un mètre d’eau en dix minutes).

La cause profonde des événements constatés est liée à la conception du système PTR, qui remplit d’autres fonctions que le refroidissement de la piscine d’entreposage du combustible : en effet, il permet aussi de secourir le circuit de refroidissement à l’arrêt du réacteur (RRA) et le réservoir (ou bâche) PTR constitue la réserve d’eau de l’injection de sécurité et de l’aspersion d’eau dans l’enceinte de confinement ; le système PTR assure également la vidange et le remplissage des compartiments des piscines du bâtiment du combustible et du bâtiment du réacteur. La conception de la piscine du réacteur EPR est différente (voir au paragraphe 15.5).

Deux événements ont été particulièrement marquants puisqu’ils ont conduit à la perte du refroidissement par le circuit PTR du fait du dénoyage de sa tuyauterie d’aspiration située 4 mètres en dessous du niveau nominal de l’eau dans la piscine d’entreposage du combustible (19,5 mètres). Ces deux événements sont décrits ci-après.

 Le premier événement s’est produit le 18 octobre 1983 dans le réacteur B2 de la centrale de Saint-Laurent-des-Eaux. Le cœur du réacteur était alors complètement déchargé, l’inspection des soudures de la cuve étant en cours. Lors de la remise en configuration du circuit PTR, après un appoint au compartiment des structures internes (représenté notamment sur la figure 15.2) de la piscine du bâtiment du réacteur, la ligne de retour vers le réservoir PTR située au refoulement de la pompe de refroidissement en service a été ouverte par erreur. La piscine d’entreposage s’est alors vidangée vers ce réservoir. L’alarme signifiant le déclenchement de la pompe d’écrémage de la piscine est apparue, suivie de l’alarme signalant un niveau bas d’eau dans la piscine.

L’opérateur a remarqué les deux alarmes mais n’a pas fait de lien entre elles. Il a informé un rondier du déclenchement de la pompe d’écrémage et du niveau anormal de l’eau dans la piscine sans demander une vérification urgente. Le rondier étant occupé par ailleurs n’a pas exécuté l’action demandée. Lors du changement d’équipe de quart, les consignes passées ont bien signalé l’apparition des alarmes, mais des manœuvres d’exploitation étant toujours en cours, aucune vérification n’a été entreprise.

La pompe du circuit PTR en service a fini par déclencher une alarme du fait d’une pression insuffisante d’eau à l’aspiration. Le refroidissement de la piscine était alors totalement perdu. Un rondier a été envoyé dans le local de la pompe mais il n’a pas pu « acquitter »494 le défaut. Il s’est alors rendu sur le plancher de service de la piscine où il a constaté une baisse du niveau d’eau d’environ 4 mètres, qui avait entraîné le dénoyage de la tuyauterie d’aspiration. L’élévation de la température de l’eau de la piscine n’a pas pu être appréciée car la partie sensible de la sonde de mesure de température avait été dénoyée au cours de la vidange. La perte totale du refroidissement de la piscine a duré un peu plus de 3 heures495.

 Le deuxième événement s’est produit le 13 février 1986, après un rechargement du cœur du réacteur n° 3 de la centrale nucléaire du Tricastin et la vidange de la piscine du bâtiment de ce réacteur par une des deux pompes PTR vers le réservoir PTR. Lors de la reconfiguration du circuit PTR en mode de refroidissement de la piscine d’entreposage du combustible, une erreur de lignage a conduit à orienter une partie du débit de circulation du circuit de refroidissement vers le réservoir PTR (qui était initialement plein et qui a donc débordé dans la structure de rétention en béton entourant ce réservoir). Cette erreur a provoqué le dénoyage de la tuyauterie d’aspiration du système PTR par la vidange de quelque 500 m3 d’eau de la piscine du bâtiment du combustible. Aucune des alarmes qui auraient pu permettre une détection rapide n’a pu jouer son rôle, pour diverses raisons – notamment la coupure d’un tableau électrique provoquant l’indisponibilité du calculateur de la salle de commande, qui seul permet l’affichage de l’alarme de niveau haut de l’eau dans le réservoir PTR.

Lorsque, après la détection de l’événement, l’exploitant a cherché à faire un appoint d’eau dans la piscine d’entreposage, il a été gêné par le fait que la principale source d’appoint (le réservoir PTR) était inutilisable, les vannes de manœuvre situées dans la structure de rétention de ce réservoir étant noyées. Le refroidissement n’a pu être remis en service que 2 à 3 heures après la constatation de l’événement et le niveau normal de l’eau dans la piscine a été rétabli au bout de 4 h 30 min environ. Comme lors de l’événement précédent, l’élévation de la température de l’eau de la piscine n’a pas pu être appréciée. En effet, même si, entre les deux événements, une modification avait abaissé la partie sensible de la sonde de température et si celle-ci se trouvait toujours immergée à la fin de la vidange, le capteur n’était plus alimenté électriquement du fait de la coupure du tableau électrique mentionnée ci-avant.

Un autre scénario de vidange marquant qui ressort de l’examen de l’expérience d’exploitation est la possibilité d’une vidange complète du compartiment d’entreposage du combustible par siphonnage.

En 2002, les études menées dans le cadre du premier réexamen de sûreté de l’entreposage du combustible dans les piscines ont montré que le diamètre du casse-siphon équipant la ligne de refoulement du circuit PTR était insuffisant pour enrayer une vidange accidentelle de débit important. Le 19 octobre 1989, une baisse rapide de 50 cm du niveau de l’eau de la piscine d’entreposage du réacteur n° 4 de la centrale nucléaire du Tricastin s’est produite (voir le schéma de la figure 15.4 en appui), à la suite d’une erreur de consignation liée à la préparation d’une épreuve hydraulique des échangeurs du circuit de refroidissement du réacteur à l’arrêt (RRA).

Cet événement s’est produit alors que le cœur du réacteur était complètement déchargé et que le circuit primaire et le circuit RRA étaient vidangés. Afin de remplir les échangeurs, l’exploitant avait prévu d’ouvrir la liaison de secours du circuit PTR vers le circuit RRA et des flexibles provisoires avaient été installés pour raccorder les échangeurs à cette ligne. À l’ouverture des vannes, une série d’alarmes sont apparues rapidement en salle de commande car une vanne (RRA 114VB de traversée de l’enceinte de confinement du réacteur) normalement condamnée en position fermée était en fait ouverte. Cette erreur de consignation a, outre un début de vidange de la piscine du bâtiment du combustible, conduit à une inondation dans le bâtiment du réacteur, la plupart des purges du circuit RRA étant ouvertes.

La cinétique de la vidange, « pilotée » par la pompe PTR 01 PO en service au moment de l’événement, a été évaluée à environ 300 m3/h, soit approximativement une baisse de 5 cm du niveau d’eau par minute. Elle s’est poursuivie pendant environ dix minutes jusqu’à ce qu’un intervenant referme une vanne de la liaison entre le circuit PTR et le circuit RRA.

Figure 15.4. Schéma illustrant la vidange intempestive du 19 octobre 1989 après l’ouverture de la vanne RRA 114 VB, initialement fermée (vanne représentée en noir à gauche et en partie basse du schéma). Le cercle rouge symbolise la fuite par les purges du circuit RRA. IRSN.

Cet événement aurait pu être beaucoup plus grave si l’erreur de consignation n’avait pas été détectée rapidement. L’un des moyens à la disposition des opérateurs pour arrêter une large gamme de cas de vidange envisageable est d’arrêter la pompe du circuit PTR en service et de fermer la vanne de tête de la ligne d’aspiration dans le circuit PTR. Si cette action avait été réalisée par l’équipe de conduite, la vidange aurait alors pu se poursuivre par siphonnage (voir la figure 15.5) en cas d’inefficacité du casse-siphon de la ligne de refoulement à l’arrêt de la pompe PTR en service. Or cette ligne de refoulement plonge jusqu’au fond du compartiment d’entreposage au niveau du bas des râteliers. Dans ce cas, la vidange aurait pu conduire au dénoyage de l’ensemble des assemblages combustibles entreposés.

La prévention d’événements de ce type a été renforcée par la mise en œuvre de dispositions organisationnelles (condamnation administrative de vannes du circuit PTR ou de liaison avec d’autres circuits496, renforcement des spécifications techniques d’exploitation et des contrôles périodiques des équipements nécessaires à la détection et à l’arrêt d’une vidange intempestive). L’isolement automatique de la ligne d’aspiration du circuit PTR, l’augmentation du diamètre du casse-siphon de la ligne de refoulement de ce circuit et le doublement systématique (voie A et voie B) de l’instrumentation relative au niveau d’eau, également retenus et mis en place à la suite du premier réexamen global de la sûreté de l’entreposage et de la manutention des assemblages combustibles dans les piscines d’entreposage (au début des années 2000), contribuent à la détection et à la maîtrise d’une vidange intempestive de la piscine qui résulterait d’une erreur de lignage. Toutefois, malgré ces dispositions, la fréquence des erreurs de lignage conduisant à des vidanges demeure encore notable.

Figure 15.5. Risque de poursuite de la vidange par siphonnage en cas d’arrêt de la pompe PTR 01 PO. IRSN.

Par ailleurs, lors du réexamen global du début des années 2000, Électricité de France a pris l’engagement de mettre en œuvre des contrôles périodiques de l’absence d’obstruction du casse-siphon de la tuyauterie de refoulement du circuit PTR. Toutefois, à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi, les contrôles réalisés ont montré l’absence de casse-siphon dans cette tuyauterie pour les réacteurs n° 2 et n° 3 de la centrale nucléaire de Cattenom, anomalie qui datait de la mise en service de ces réacteurs (détectée le 21 décembre 2011, elle a été classée au niveau 2 de l’échelle INES).

Malgré les dispositions précitées, la possibilité d’une défaillance à la sollicitation d’un dispositif casse-siphon lors d’une vidange accidentelle de la piscine d’entreposage du combustible subsistait ; cela pouvait être traité par une diversification fonctionnelle de ce dispositif (par exemple par l’ajout d’un clapet anti-retour dans la partie terminale de la ligne de refoulement) ou par une modification de conception permettant d’éviter que la tuyauterie de refoulement du circuit PTR ne plonge en dessous du niveau haut des assemblages combustibles entreposés. Électricité de France a décidé en 2017497 d’ajouter, sur la ligne terminale de refoulement du circuit de refroidissement PTR, un clapet antiretour qui, en cas de défaillance du dispositif casse-siphon, arrêtera la vidange.

15.2.2.3.Défaillance d’une tape d’obturation
d’une tuyauterie du circuit primaire

Des tapes d’obturation (d’un diamètre de l’ordre de 900 mm) sont mises en place, au cours des arrêts de tranches, dans les tuyauteries primaires connectées aux générateurs de vapeur pour pouvoir réaliser les contrôles de leurs tubes et les éventuelles réparations associées pendant les opérations de déchargement ou de rechargement des assemblages combustibles. En cas d’« effacement » (rupture par exemple) de l’une de ces tapes, le diamètre de la brèche qui en résulterait serait équivalent au diamètre du trou d’homme d’accès au générateur de vapeur concerné (environ 450 mm). Pour un réacteur de 900 MWe du palier CPY en cours d’arrêt pour rechargement du cœur, avec le tube de transfert ouvert, la cinétique de baisse du niveau d’eau dans les deux piscines (celle du bâtiment du réacteur et celle du bâtiment BK) serait alors de 40 cm/min et, dans ces conditions, le niveau de l’eau atteindrait le haut d’un assemblage combustible en cours de manutention au bout d’un peu plus de 4 minutes. La tuyauterie d’aspiration du circuit PTR serait totalement dénoyée au bout de 11 minutes environ. Au bout de 17 minutes (voir la figure 15.6), l’eau serait descendue au niveau du seuil de la porte de séparation du compartiment de transfert (12,15 mètres, soit 25 cm au-dessus du sommet des râteliers d’entreposage des assemblages combustibles).

Figure 15.6. Risque de vidange des piscines en arrêt pour manutention d’assemblages en cas d’« effacement » d’une tape de générateur de vapeur (la fuite d’eau est symbolisée par le cercle rouge). IRSN.

Ce scénario constitue l’accident enveloppe à l’égard du risque de dénoyage d’un assemblage combustible en cours de manutention (la « rupture » du tube de transfert entre le bâtiment du réacteur et le bâtiment du combustible conduirait à des conséquences équivalentes). Compte tenu du débit de vidange et des délais calculés, aucune disposition ne permettrait d’éviter le dénoyage d’un ou de deux assemblages en cours de manutention (l’un dans le bâtiment du réacteur, l’autre dans le bâtiment BK). Ces assemblages s’échaufferaient et, au bout de quelques heures (le délai dépend de la puissance résiduelle des assemblages), ils subiraient une oxydation violente et très exothermique qui détruirait le squelette des assemblages et pourrait provoquer un début de fusion du combustible.

L’eau restante dans le compartiment d’entreposage entrerait en ébullition au bout de quelques heures. L’évaporation correspondante pourrait toutefois être compensée par la mise en service d’un appoint de secours par le réseau d’eau de lutte contre l’incendie de la centrale (le poste de vannage, situé à + 20 mètres dans le BK, serait accessible), mais la circulation du fluide dans les râteliers et les conséquences des vides qui se créeraient au sein des assemblages sont mal connues. L’irradiation au niveau du plancher de service des piscines serait très importante et interdirait toute action au niveau de ce plancher. Si un assemblage était dénoyé dans le bâtiment du réacteur, la voie de fuite ne serait pas isolable du fait de l’irradiation et l’assemblage ne pourrait pas être remis sous eau (l’enceinte de confinement ne pourrait pas être isolée au niveau du tube de transfert dans tous les cas envisageables).

Les tapes d’obturation des tuyauteries du circuit primaire utilisées jusqu’en 2011 étaient dimensionnées pour une pression de service de 1,3 bar et une pression d’épreuve de 2 bars. Aucune sollicitation de surpression accidentelle n’avait été prise en compte pour leur conception.

Or plusieurs événements de décharge intempestive d’un accumulateur du système d’injection de sécurité (système RIS) ont été constatés sur le parc lors d’arrêts de tranches. En effet, la mise en pression de ces accumulateurs par le réseau d’air de travail (système SAT dont la pression de service maximale est de 8 bars) est nécessaire pour les vidanger lors d’opérations de maintenance. Selon des études réalisées en 2005 par l’IRSN, la décharge d’un accumulateur RIS avec une pression d’air de 8 bars pourrait produire une onde de surpression de l’ordre de 5 bars au niveau d’une tape de générateur de vapeur.

La conception des tapes a été améliorée de telle sorte qu’elles résistent aux sollicitations accidentelles envisageables (notamment à une surpression de 5 bars). Les nouvelles tapes sont désormais utilisées sur l’ensemble du parc électronucléaire.

15.2.2.4.Rupture d’une tuyauterie connectée à la piscine
d’entreposage du combustible

Même si le circuit PTR n’est pas un circuit de « haute énergie », la rupture d’une tuyauterie de ce circuit doit être envisagée. Les sollicitations susceptibles de conduire à une telle défaillance pourraient résulter, par exemple, du blocage du rotor d’une pompe, de la chute d’une charge sur une tuyauterie ou d’un séisme. Un événement significatif à signaler dans ce cadre se rapporte à la mise en place dans les quatre tranches de la centrale de Dampierre-en-Burly d’une protection biologique498 (constituée de briques de plomb), non dimensionnée au séisme, au-dessus du tube de transfert ; la chute de cette protection biologique aurait pu provoquer la rupture d’une tuyauterie connectée à une piscine. Cette non-conformité a été découverte en 2004 lors de contrôles réalisés par Électricité de France dans le cadre d’une application de l’approche « séisme événement ».

L’expérience montre également que, dans certaines installations, des tassements différentiels non négligeables du sol se sont produits sous le bâtiment du réacteur et le bâtiment du combustible ; ces tassements ont un impact sur les déplacements admissibles du tube de transfert en cas de séisme. En effet, les deux bâtiments sont construits sur des radiers différents. Le tube de transfert est fixé au génie civil du bâtiment du réacteur tout en étant relié à la peau métallique d’étanchéité de la piscine du bâtiment du combustible. Même si la conception de la liaison permet un certain déplacement du tube, les tassements différentiels du sol entre les deux bâtiments réduisent les déplacements admissibles en cas de séisme.

Le retour d’expérience de ces événements a conduit Électricité de France499 à vérifier le dimensionnement aux sollicitations sismiques des tubes de transfert des installations concernées en prenant en compte les tassements différentiels du sol observés. Ces études ont été complétées par la mise en œuvre d’un programme d’inspections périodiques des tubes de transfert500. De plus, la prise en compte de la possibilité d’une rupture d’une tuyauterie principale du circuit PTR a conduit Électricité de France à redimensionner le dispositif casse-siphon de la ligne de refoulement de ce circuit au débit de vidange enveloppe à envisager (par le doublement du diamètre de la tuyauterie du dispositif).

15.3.Réexamens

Comme cela a été mentionné précédemment, Électricité de France a déposé en 1994 une demande de dérogation pour une augmentation de la limite de puissance résiduelle dans les piscines d’entreposage du combustible des réacteurs de 900 MWe et de 1 300 MWe. Cela a conduit à mener une réévaluation de la sûreté de ces piscines (réexamen global).

Le dossier établi à cette fin par Électricité de France entre 1996 et 2002 traitait principalement des conséquences d’une perte incidentelle ou accidentelle du refroidissement d’une piscine d’entreposage du combustible, et proposait la mise en place d’un certain nombre d’améliorations concernant la prévention, la détection et la limitation des conséquences d’une telle situation.

Ces dispositions s’appuyaient notamment sur une stratégie de conduite applicable en cas de défaillance totale ou partielle du refroidissement (hors situations de vidange), permettant de faire face au scénario le plus pessimiste retenu (perte de la source froide pendant 100 heures). Les objectifs retenus par Électricité de France pour l’étude de ce scénario ont été les suivants :

–obtenir des doses à la limite du site suffisamment faibles – il s’agit des doses reçues du fait des rejets résultant de l’ouverture de la porte du hall de la piscine donnant sur l’extérieur en vue d’éviter une mise en pression du bâtiment du combustible par la vaporisation de l’eau de la piscine ;

–assurer l’accessibilité aux moyens d’appoint et aux différents locaux du bâtiment du combustible, en dehors du hall de la piscine ;

–assurer le caractère opérationnel des matériels nécessaires à la gestion et à la récupération d’une situation prolongée d’ébullition de l’eau de la piscine ;

–assurer que, à la reprise du refroidissement, le circuit PTR n’aspirera que du fluide sous-saturé, condition nécessaire à son bon fonctionnement et au retour à l’état sûr de l’entreposage du combustible en piscine ;

–assurer l’étanchéité des portes et des batardeaux de la piscine, ainsi que du circuit PTR pour une température de 100 °C ;

–prendre en compte un débit de fuite de la peau d’étanchéité de la piscine en situation accidentelle (3 m3/h501) pour le dimensionnement des moyens d’appoint et des réseaux de collecte et de traitement de cette fuite.

Les dispositions mises en place à la suite de cette étude (à partir de 2002), pour renforcer la sûreté de l’entreposage du combustible en piscine de désactivation à l’égard d’un accident de perte de refroidissement sont pratiquement identiques pour tous les réacteurs en exploitation du parc électronucléaire français502. Elles comprennent :

–le renforcement et la qualification aux conditions d’ambiance de l’instrumentation de niveau et de température de l’eau de la piscine, en assurant une redondance fonctionnelle ;

–des modifications des supports des tuyauteries du circuit PTR en vue d’assurer leur tenue à la température et aux conditions d’ambiance en situation accidentelle ;

–le renforcement des spécifications techniques d’exploitation concernant la disponibilité des moyens d’appoint d’eau, la disponibilité des sources électriques en état d’arrêt de tranche, les condamnations administratives à poser pour éviter une vidange…, ainsi que des programmes de maintenance du système PTR ;

–comme cela a été indiqué au paragraphe 15.2.1.3, l’ajout d’une crépine à l’aspiration du circuit PTR afin d’éviter une perte de la fonction de refroidissement par mode commun en cas d’aspiration d’un corps étranger ;

–la fiabilisation de la réalimentation électrique des pompes PTR lors des interventions réalisées sur les tableaux électriques au titre de la maintenance préventive menée au cours des arrêts de tranche ;

–la mise en place d’un poste de vannage, accessible même en cas d’ébullition de l’eau de la piscine, permettant de compenser les pertes d’eau de la piscine dues à l’évaporation grâce à un appoint par les systèmes d’eau déminéralisée ou de protection contre l’incendie ; ce poste de vannage resterait accessible en cas d’incendie ou d’inondation ;

–le renforcement de l’isolement entre le hall de la piscine et les locaux adjacents (ajout de registres d’isolement dans les conduits de ventilation, modifications des portes…) ;

–pour les tranches où le circuit PTR est muni d’une crosse à l’aspiration (cas des tranches de 1 300 MWe et de 1 450 MWe), la mise en place d’une ligne d’appoint à la piscine conçue de façon à pouvoir également refroidir la ligne d’aspiration et éviter la formation d’une poche de vapeur risquant de désamorcer ou d’endommager les pompes ou d’autres organes du circuit PTR ; par ailleurs, des modifications ont également été mises en œuvre pour pouvoir éventer ces crosses avant le redémarrage des pompes ;

–la création d’un exutoire du hall de la piscine de désactivation vers l’extérieur (ouverture d’une porte ou d’une trappe) permettant l’évacuation de la vapeur d’eau en situation accidentelle.

À partir de 2005 (études de la réévaluation de sûreté associée aux troisièmes visites décennales des réacteurs de 900 MWe), les réexamens périodiques ultérieurs ont conduit à examiner attentivement les possibilités de vidange d’une piscine d’entreposage du combustible, sachant que les conséquences d’une telle vidange pourraient être plus immédiates et plus graves que celles d’une perte totale du refroidissement d’une piscine intègre.

Les modifications correspondantes mises en œuvre lors des troisièmes visites décennales des réacteurs de 900 MWe – et reconduites au fur et à mesure des visites décennales des réacteurs de 1 300 MWe et de 1 450 MWe, voire anticipées – comprennent :

–un renforcement des prescriptions applicables en fonctionnement normal pour prévenir les possibilités de vidange et assurer la disponibilité des moyens de limitation des conséquences (contrôles et essais périodiques, maintenance, condamnations administratives, spécifications techniques d’exploitation), notamment pour diminuer les risques d’erreurs de lignage ;

–l’établissement d’une procédure de conduite spécifique concernant le cas d’une vidange accidentelle de la piscine du bâtiment du combustible ou de la piscine du bâtiment du réacteur ;

–l’utilisation, comme cela a été indiqué au paragraphe 15.2.2.3, d’un nouveau modèle de tapes de générateur de vapeur − ce nouveau modèle de tape est dimensionné pour résister notamment à une surpression de 5 bars ;

–le dimensionnement du dispositif casse-siphon de la ligne de refoulement du circuit PTR au débit de vidange enveloppe à envisager (rupture complètement débattue d’une tuyauterie principale) ;

–l’arrêt automatique des pompes du circuit PTR et l’isolement automatique de la ligne d’aspiration de ce circuit en cas de détection d’une baisse de niveau d’eau dans la piscine d’entreposage du combustible.

Plus récemment, dans le cadre des modifications prévues à l’occasion des quatrièmes visites décennales des réacteurs de 900 MWe, Électricité de France met en place des dispositions permettant le raccordement (par des raccords pompiers) d’un circuit de refroidissement de secours (« PTR bis », voir la figure 15.7) à l’extérieur du bâtiment du combustible comprenant des équipements mobiles, afin de retrouver, au-delà de 24 heures, un refroidissement de la piscine d’entreposage en cas d’agression (incendie ou inondation) ayant durablement endommagé le circuit de refroidissement. Dans ce cadre, Électricité de France équipera la ligne d’aspiration du circuit de refroidissement des piscines d’entreposage du combustible d’une deuxième vanne d’isolement motorisée et la ligne de refoulement d’un clapet anti-retour.

Figure 15.7. Schéma de principe montrant le circuit de refroidissement de secours « PTR bis ». IRSN.

15.4.Retour d’expérience de l’accident qui a affecté
la piscine du réacteur n° 4 de la centrale nucléaire de Fukushima Daiichi

15.4.1.Événements survenus

L’analyse et les enseignements tirés de l’accident qui a affecté la centrale nucléaire de Fukushima Daiichi équipée de six réacteurs à eau bouillante – à la suite de l’inondation du site due au tsunami qui a atteint les côtes japonaises le 11 mars 2011 à 15 h 40 min et à la perte totale des alimentations électriques qui s’ensuivit – font l’objet du chapitre 36. On se limitera ici à évoquer le cas de la piscine d’entreposage du combustible du réacteur n° 4. Lors de l’accident, le cœur du réacteur n° 4 était complètement déchargé ; l’ensemble des assemblages combustibles se trouvait dans la piscine d’entreposage, avec une puissance résiduelle estimée à 2,3 MW.

Le 15 mars 2011 à 6 h 10 min, une explosion (imputée à de l’hydrogène) a endommagé le cinquième niveau du bâtiment du réacteur n° 4 (niveau de la piscine d’entreposage du combustible) et soufflé une partie des cloisons extérieures de ce bâtiment.

Le 16 mars 2011 au petit matin, il a été fait état par l’exploitant TEPCO d’un « feu » qui affecterait l’angle nord-ouest du bâtiment du réacteur n° 4 (angle dans lequel est située la piscine), mais les messages qui suivirent indiqueront ne plus détecter de trace de ce phénomène. D’importants niveaux d’irradiation étaient par contre détectés à proximité de la piscine du réacteur n° 4 (par exemple, 400 mSv/h dans les escaliers d’accès aux niveaux supérieurs du bâtiment du réacteur n° 4). Vers 12 h, le 16 mars 2011, la télévision japonaise a diffusé des images (assez imprécises car prises à grande distance par hélicoptère) montrant d’importantes bouffées de vapeur au-dessus du réacteur n° 4. Vers 18 h (heure japonaise), l’U.S.NRC a annoncé que, selon les éléments de compréhension dont elle disposait, il n’y aurait plus d’eau dans la piscine d’entreposage du combustible du réacteur n° 4503. Le 17 mars, à la mi-journée, la chaîne de télévision NHK a annoncé que des observations faites la veille depuis un hélicoptère ayant survolé le réacteur n° 4 montraient que les assemblages combustibles étaient toujours sous eau même si le niveau d’eau dans la piscine semblait être inférieur d’environ 3 mètres au niveau normal de remplissage.

Du 16 au 20 mars 2011, aucun événement notable n’a été signalé après la rupture de l’étanchéité de la porte de séparation entre la piscine de désactivation et la piscine du réacteur. Cette porte est autoclave lorsque la pression dans le compartiment d’entreposage est supérieure à celle qui règne dans le compartiment de la piscine du réacteur ; la baisse du niveau d’eau dans le compartiment d’entreposage a rendu cette porte inétanche et l’eau du compartiment de la piscine du réacteur s’est déversée dans la piscine d’entreposage du combustible.

Par la suite, à partir du 20 mars 2011, des appoints d’eau importants dans la piscine du réacteur n° 4 seront réalisés à l’aide d’un camion-pompe.

Le compartiment d’entreposage de la piscine du réacteur n° 4 a une surface de 120 m2 et une profondeur de 11,8 mètres. Compte tenu de la puissance résiduelle du combustible (2,3 MW), une ébullition de l’eau de la piscine n’a pu se produire qu’après environ 48 h (début de l’ébullition dans l’après-midi du 13 mars). À ce moment-là, la cinétique d’évaporation de l’eau calculée pour des conditions adiabatiques est inférieure à 80 cm par jour. La cinétique réelle observée par l’exploitant du 28 avril au 5 mai 2011, après un arrêt volontaire des appoints à la piscine de désactivation, est d’environ 55 cm par jour (voir la figure 15.8). Or la baisse de niveau indiquée par TEPCO pour la période du 14 au 16 mars 2011 est plus rapide que ces estimations – sachant que, au cours de cette période, de l’eau du compartiment de la piscine du réacteur s’est déversée dans la piscine d’entreposage du combustible (voir la figure 15.9).

Figure 15.8. Évolution du niveau et de la température de l’eau dans la piscine de désactivation du réacteur n° 4, mesurés ou estimés par TEPCO (du 11 mars au 30 mai). Tokyo Electric Power Company, Inc. (TEPCO).

Figure 15.9. Déversement de l’eau du compartiment du réacteur dans la piscine de désactivation du fait de la perte d’étanchéité de la séparation entre ces piscines. Tokyo Electric Power Company, Inc. (TEPCO).

15.4.2.Évaluations complémentaires de sûreté
menées en France

Dans le cadre des évaluations complémentaires de sûreté réalisées après l’accident de la centrale nucléaire de Fukushima Daiichi (elles sont développées au chapitre 36), Électricité de France a examiné les conséquences d’une agression naturelle extrême sur les systèmes prévus pour assurer l’évacuation de la puissance résiduelle des combustibles entreposés en piscine, en examinant les conséquences d’une perte totale de la source froide ou des alimentations électriques et en supposant que la piscine d’entreposage reste intègre. Le scénario accidentel majorant en termes de conséquences est la perte totale des alimentations électriques externes et internes.

Dans ce cadre, Électricité de France a étudié des dispositions permettant, dans le cas d’une agression naturelle extrême :

–de réaliser un appoint d’eau dans la piscine d’entreposage du combustible par un moyen d’ultime secours,

–de fiabiliser le fonctionnement de l’exutoire du bâtiment du combustible504 afin de garantir l’ouverture du hall de la piscine vers l’extérieur en situation de perte totale de refroidissement de la piscine,

–de réalimenter électriquement le moyen de pompage de l’appoint ultime505 et l’instrumentation des moyens de surveillance du niveau d’eau et de la température de la piscine par un groupe électrogène d’ultime secours,

–d’assurer la mise en position sûre d’un assemblage combustible en cours de manutention dans la piscine du bâtiment du combustible en cas de perte totale des alimentations électriques, grâce à l’utilisation d’outillages électriquement autonomes (équipés de batteries).

L’IRSN a examiné ces dispositions dans le cadre de la mise en œuvre du concept de « noyau dur » développé au chapitre 36. La principale question de l’IRSN a concerné l’hypothèse d’intégrité de la piscine en cas d’agression extrême.

De façon schématique, deux cas de vidange accidentelle d’une piscine par perte d’intégrité de sa structure ou de celle des circuits qui lui sont connectés peuvent être distingués :

–une vidange du compartiment d’entreposage qui induirait directement un dénoyage des assemblages combustibles entreposés,

–une vidange partielle d’une piscine s’arrêtant au niveau du seuil bas des portes de communication entre compartiments du bâtiment du combustible (soit quelques dizaines de centimètres au-dessus du sommet des râteliers d’entreposage des combustibles) et, pour le bâtiment du réacteur, au niveau du bas des tuyauteries du circuit primaire.

Dans le premier cas, le dénoyage des assemblages combustibles entreposés pourrait être la conséquence d’une perte de l’intégrité structurelle du compartiment d’entreposage – ou d’un siphonnage – de ce compartiment non compensable par des moyens d’appoint en eau. Afin de pouvoir exclure ce type de situation, dont les conséquences seraient très importantes, Électricité de France s’est engagé à vérifier la résistance structurelle des compartiments des piscines.

Dans le second cas, une vidange partielle pourrait conduire à des effets importants tels qu’une dégradation de l’ambiance radiologique dans le bâtiment du combustible ou le bâtiment du réacteur, le dénoyage d’un assemblage combustible supposé bloqué en position haute de manutention et une ébullition importante de l’eau restant dans la partie basse du compartiment d’entreposage ou dans la cuve du réacteur.

À cet égard, Électricité de France a prévu506 de mettre en place un dispositif d’isolement automatique de la ligne d’aspiration du circuit PTR répondant aux exigences applicables au « noyau dur », ainsi qu’un dispositif d’isolement automatique des vannes de vidange des compartiments de la piscine du réacteur qui doivent rester ouvertes lors des manutentions de combustible. En complément, l’Autorité de sûreté nucléaire a demandé à Électricité de France d’étudier les modifications matérielles ou des conditions d’exploitation qui permettraient de prévenir le dénoyage d’assemblages en cours de manutention ou une baisse rapide du niveau d’eau au-dessus des assemblages combustibles entreposés, qui résulteraient d’une brèche dans le tube de transfert situé entre les piscines des bâtiments du réacteur et du combustible. Électricité de France a retenu la solution de double enveloppe, qu’il ne souhaite mettre en œuvre que dans les réacteurs pour lesquels il n’aura pas pu démontrer la tenue du tube de transfert au séisme extrême.

Par ailleurs, l’IRSN a étudié la possibilité d’accident de criticité qui résulterait d’une ébullition de l’eau dans une piscine de désactivation, entraînant une vaporisation dans la zone d’entreposage des combustibles. En effet, les effets d’un tel accident de criticité pourraient expliquer certains phénomènes observés ou supposés lors de l’accident de la centrale nucléaire de Fukushima Daiichi :

–les importantes bouffées de vapeur libérées au-dessus du réacteur n° 4,

–les niveaux d’irradiation importants relevés à proximité du réacteur n° 4 ou dans le bâtiment correspondant les 15 et 16 mars 2011,

–la baisse rapide du niveau d’eau dans la piscine entre le 15 mars et le 16 mars (voir la figure 15.8), qui aurait provoqué la perte d’étanchéité de la porte de séparation entre le compartiment du réacteur et la piscine de désactivation (figure 15.9), puis la stabilisation relative de la situation jusqu’à la mise en œuvre d’un appoint d’eau notable à partir du 20 mars,

–un surcroît de production d’hydrogène par radiolyse, source possible de l’explosion dans le réacteur n° 4.

Selon la conception des râteliers d’entreposage, l’atteinte d’une situation critique ne peut pas être exclue en cas de vaporisation de l’eau dans les alvéoles. Pour autant, les phénomènes d’ébullition et de production d’hydrogène ne peuvent être significatifs que si l’état critique est maintenu de façon continue ou cyclique pendant plusieurs minutes. Cela paraît peu probable du fait de l’instabilité des paramètres qui gouvernent cette réaction nucléaire.

L’explication privilégiée par TEPCO pour l’explosion du bâtiment du réacteur n° 4 est un transfert d’hydrogène lors de la dépressurisation de l’enceinte de confinement du réacteur n° 3 par la ligne d’éventage à la cheminée commune aux réacteurs n° 3 et n° 4507.

Néanmoins, l’IRSN poursuit des essais ainsi que le développement de logiciels de simulation en vue de mieux appréhender les phénomènes physiques pouvant se produire lors d’un accident qui affecterait une piscine d’entreposage du combustible, avant ou après le découvrement d’assemblages entreposés. La phase de remise en service d’un système de refroidissement est également à étudier car, transitoirement, l’eau froide injectée dans une piscine peut modifier des boucles de convection établies et conduire à des échauffements localisés. Un programme d’études et de recherches (dénommé DENOPI) a été défini, en s’appuyant pour partie sur des travaux déjà engagés dans le cadre de coopérations internationales.

15.5.Dispositions retenues pour le réacteur EPR

Dans le document « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » (voir le chapitre 17), transmises à Électricité de France en 2004, figurent les exigences suivantes relatives à l’entreposage des combustibles irradiés (usés) :

–la perte totale du système de refroidissement de la piscine doit être étudiée au titre des conditions de fonctionnement avec défaillances multiples (catégorie A de réduction du risque (RRC-A) − voir le paragraphe 13.5). Le concepteur doit prévoir des dispositions permettant la maîtrise d’une telle situation tout en maintenant la fonction de confinement ; dans le cas contraire, la vraisemblance d’une ébullition de l’eau de la piscine d’entreposage des combustibles irradiés doit être réduite par des améliorations adéquates, notamment des systèmes supports du système de refroidissement de la piscine ;

–dès lors que la piscine d’entreposage des combustibles irradiés n’est pas située dans l’enceinte de confinement, il doit être démontré que les situations de fusion de combustibles irradiés dans la piscine sont « pratiquement éliminées ». Cette démonstration doit considérer le cas d’un séisme.

L’option de conception consistant à entreposer les combustibles usés dans un bâtiment distinct du bâtiment du réacteur a été reconduite pour le réacteur EPR. Le bâtiment d’entreposage du combustible fait l’objet, comme ceux des réacteurs précédents du parc électronucléaire, d’un confinement dynamique, sans exigence d’étanchéité ; un exutoire (disque de rupture) doit être ouvert vers l’extérieur en cas d’accident conduisant à une élévation anormale de la température de l’eau de la piscine. En revanche, il a été placé dans une « coque » assurant une résistance aux chutes d’aéronefs.

À l’égard des accidents de fusion de combustible dans le bâtiment du combustible, l’approche retenue par les concepteurs du réacteur EPR vise à « pratiquement éliminer » les situations de dénoyage d’un ou de plusieurs assemblages combustibles.

Le réacteur EPR Flamanville 3 a dès lors bénéficié dès sa conception d’améliorations résultant de la nouvelle démarche de sûreté appliquée aux piscines d’entreposage du combustible.

Le système de refroidissement de la piscine utilisé en fonctionnement normal comporte deux voies complètement indépendantes et physiquement séparées. Chacune de ces voies est équipée de deux pompes, secourues électriquement par la même « division » électrique de sauvegarde, et d’un échangeur de chaleur. En cas de perte totale de la source froide, un circuit de refroidissement de secours, refroidi par une source froide diversifiée (eau pompée en mer par une canalisation débouchant à 600 mètres de distance de la station de pompage), permet de maintenir la température de l’eau de la piscine inférieure à 95 °C.

Les accidents pouvant conduire à une vidange accidentelle de la piscine d’entreposage du combustible ont été pris en compte à la conception en cohérence avec les règles relatives aux conditions de fonctionnement accidentelles de référence (PCC – voir le focus du paragraphe 8.1). Il est à noter que le circuit de refroidissement de la piscine utilisé en fonctionnement normal ainsi que le circuit de refroidissement de secours sont totalement indépendants des autres systèmes fluides, de sorte qu’une erreur de lignage sur ces circuits de refroidissement ne peut pas entraîner une vidange de la piscine.

L’implantation retenue pour les tuyauteries connectées au compartiment d’entreposage des combustibles usés est telle que, en cas de brèche, la vidange s’arrêterait avant le dénoyage d’un assemblage combustible manutentionné, sans intervention d’un système actif d’isolement. Pour certaines tuyauteries reliées aux parties basses des compartiments adjacents au compartiment d’entreposage des combustibles (tube de transfert et tuyauteries de vidange), la démonstration de l’absence de découvrement d’un assemblage combustible en cas de brèche repose soit sur des dispositifs d’isolement automatiques, soit sur un haut niveau d’exigences de conception, de fabrication et d’exploitation visant à rendre très improbable, avec un haut niveau de confiance, une brèche sur certains tronçons de tuyauteries. Toutefois, la conception est encore en cours d’évolution ; Électricité de France envisage d’ajouter au niveau des orifices des lignes de vidange des compartiments des piscines soit des bouchons, soit des filtres ayant une perte de charge calibrée qui seraient mis en place dans les états à risque (lorsque ces compartiments sont en communication avec le compartiment d’entreposage du combustible). Ces dispositions permettraient de maîtriser un accident de rupture guillotine de ces lignes avec les règles d’études des accidents de référence.

Un système d’appoint d’eau de secours (dont le débit est de 150 m3/h) et un appoint d’ultime secours (dont le débit est de plus de 35 m3/h) permettraient de compenser l’évaporation de l’eau d’une piscine ainsi que certaines fuites (jusqu’à concurrence du débit des circuits d’appoint d’eau). Ces systèmes, combinés à l’ouverture d’un exutoire vers l’extérieur dans les parois du hall de la piscine, permettraient de stabiliser l’inventaire en eau de la piscine de désactivation et d’évacuer la puissance résiduelle des combustibles entreposés par vaporisation. À terme, un circuit de refroidissement doit pouvoir être mis en service pour amener l’installation dans un état sûr (donc durablement).

15.6.Recommandations pour la conception
de nouveaux réacteurs

Plus récemment, dans le guide ASN n° 22 pour la conception des réacteurs à eau sous pression, déjà évoqué dans les précédents chapitres, un certain nombre de recommandations ont été formulées pour ce qui concerne la sûreté de l’entreposage des combustibles. Quelques-unes d’entre elles (concernant l’entreposage sous eau) sont indiquées ci-après.

Événements à prendre en compte et objectifs généraux de sûreté

Il est recommandé dans le guide ASN n° 22 d’étudier, pour la conception de la piscine d’entreposage du combustible et la démonstration de sûreté associée, des événements initiateurs uniques pouvant conduire à une absence de refroidissement de cette piscine ou à une diminution de la quantité d’eau présente dans un compartiment dans lequel un ou plusieurs assemblages de combustible sont présents.

Pour les conditions de fonctionnement de référence (DBC) de catégories 2 à 4 (déterminées à partir des événements initiateurs uniques), il convient que :

–les dispositions prises au titre de la maîtrise des réactions nucléaires en chaîne garantissent l’absence de criticité dans la piscine d’entreposage ;

–un état contrôlé508 soit atteint, puis, durablement, un état sûr509 ;

–le refroidissement et le confinement des combustibles entreposés ou manutentionnés en piscine soient maîtrisés ; en particulier, les assemblages combustibles restent sous eau et les éventuels rejets radioactifs sont filtrés.

Pour les situations relevant du domaine de conception étendu et plus spécifiquement DEC-A (situations ne menant pas à la fusion du combustible, caractérisées par des défaillances multiples), il convient qu’une attention appropriée soit notamment à porter aux situations plausibles de :

–perte de longue durée des alimentations électriques externes et des alimentations électriques internes (celles nécessaires pour la maîtrise des conditions de fonctionnement de référence),

–perte de longue durée des systèmes assurant l’évacuation de la puissance résiduelle vers la source froide dans les conditions de fonctionnement de référence,

–perte totale du système de refroidissement des piscines d’entreposage des assemblages combustibles,

–cumul d’une condition de fonctionnement de référence avec la défaillance de dispositions prévues pour en limiter les conséquences.

Pour les conditions DEC-A, les objectifs sont les suivants :

–la réactivité doit être maîtrisée, en particulier la sous-criticité doit être assurée sur le long terme ;

–l’évacuation de la puissance résiduelle dans la piscine d’entreposage du combustible par ébullition peut être temporairement acceptable si un niveau d’eau suffisant est maintenu dans la piscine ;

–le confinement des substances radioactives est assuré ; à cette fin, la conception vise à éviter les rejets radioactifs dans l’environnement ;

–l’installation doit être autonome pendant une durée compatible avec les possibilités d’intervention extérieure au site, notamment au regard de son alimentation électrique et de sa source froide, pour pouvoir gérer les conditions de fonctionnement de référence et complémentaires, y compris celles de longue durée affectant à la fois les réacteurs et les piscines d’entreposage des assemblages combustibles ; une bonne pratique consiste à viser une autonomie d’au moins 72 heures.

Pour les accidents relevant des conditions DBC et DEC-A, sans fusion de combustible, les conséquences radiologiques doivent être aussi faibles que raisonnablement possible et, en tout état de cause, elles ne doivent pas conduire à la nécessité de mettre en œuvre des mesures de protection des populations (pas de mise à l’abri, pas de prise d’iode stable, pas d’évacuation).

Les recommandations en matière de conception, qui sont précisées ci-après, conduisent à ne pas devoir prendre en compte des situations avec fusion de combustible (DEC-B) en piscine d’entreposage.

Recommandations en matière de conception

Il est souligné dans le guide ASN n° 22 que les assemblages de combustible doivent être conçus pour conserver leur intégrité dans les situations d’entreposage, de transport et de manutention avant et après irradiation en réacteur. Si la conception du combustible doit permettre d’éviter les pertes d’étanchéité en réacteur (en fonctionnement normal et incidentel), la présence possible en fonctionnement normal de quelques défauts de gainage doit être prise en compte dans la démonstration de sûreté ainsi que pour les opérations relatives au combustible après son irradiation en réacteur.

L’entreposage des assemblages combustibles doit être conçu de manière à garantir l’absence de toute situation de criticité, avec des marges spécifiées, dans les conditions normales d’entreposage, ainsi que lors d’incidents et d’accidents. Il doit également être conçu pour garantir l’absence de découvrement d’assemblages combustibles (usés) entreposés sous eau ou en cours de manutention.

L’entreposage des assemblages de combustible est conçu de manière à garantir un niveau d’irradiation dans le bâtiment compatible avec les activités des travailleurs et des intervenants extérieurs prévues dans les conditions normales d’entreposage, ainsi que lors d’incidents et d’accidents.

Dans les conditions de fonctionnement de référence, lors d’une agression de référence et lors de conditions DEC-A impliquant la seule perte du système de refroidissement principal de la piscine, la conception de l’installation doit permettre de maintenir l’eau de la piscine à une température inférieure à la température d’ébullition avec une marge suffisante compte tenu de la fréquence estimée de l’événement considéré.

Dans le cas de la perte totale des systèmes de refroidissement de l’eau de la piscine (condition DEC-A), un (ou des) système(s) doit (doivent) permettre :

–d’éviter le découvrement des assemblages de combustible en compensant suffisamment la perte d’eau par ébullition,

–de maintenir un niveau d’eau dans la piscine suffisant pour la remise en service d’un système de refroidissement.

La mise en œuvre et le fonctionnement d’un système de refroidissement de la piscine d’entreposage des assemblages combustibles doivent être possibles après une perte de refroidissement prolongée ayant conduit à l’ébullition et permettent d’atteindre et de maintenir un état sûr.

La piscine d’entreposage du combustible doit disposer de moyens de détection et de collecte d’éventuelles fuites.

Aucune fuite ou brèche survenant sur un circuit connecté à la piscine d’entreposage des assemblages combustibles ne doit conduire, par conception, à un découvrement des assemblages combustibles entreposés ou en cours de manutention. En tout état de cause, la partie basse du (ou des) compartiment(s) abritant les râteliers d’entreposage des assemblages combustibles ne doit comporter aucune ligne connectée et ne doit pas pouvoir être vidée par siphonnage ni dénoyée par une perte d’eau affectant un compartiment adjacent.

Il convient que le dimensionnement des éléments structurels des compartiments d’entreposage présente des marges importantes au regard des chargements susceptibles d’être rencontrés (séisme, chute de charge, contraintes thermiques dues à une ébullition…). Les éléments structurels doivent avoir une résistance suffisante pour que le compartiment d’entreposage assure ses fonctions de sûreté en cas de séisme du domaine de conception étendu.

De façon générale, les fonctions de sûreté doivent permettre d’éviter la fusion de combustible en piscine d’entreposage à l’égard des agressions naturelles du domaine de conception étendu.

15.7.Nouvelles modalités d’entreposage
des combustibles usés

Au-delà des améliorations déjà mises en œuvre par Électricité de France, un renforcement de la sûreté de l’entreposage et de la manutention sous eau des combustibles usés en piscine de désactivation des réacteurs en exploitation, jusques et y compris ceux du palier N4, est recherché dans le cadre des discussions relatives à la prolongation de leur durée de fonctionnement (projet « DDF »), l’objectif étant de se rapprocher, autant que raisonnablement possible, des exigences retenues pour les réacteurs de type EPR. À cet égard, deux modifications prévues dans le cadre des quatrièmes visites décennales des réacteurs de 900 MWe ont été indiquées plus haut, visant à assurer une redondance fonctionnelle de l’isolement de la ligne d’aspiration du circuit de refroidissement de la piscine d’entreposage du combustible et un secours à ce circuit (« PTR bis »).

Par ailleurs, les capacités d’entreposage de combustibles usés des piscines des réacteurs en exploitation et de l’établissement Orano de La Hague sont apparues510 trop faibles (notamment dans l’optique d’une prolongation de la durée de fonctionnement des réacteurs au-delà de 40 ans). C’est pourquoi l’Autorité de sûreté nucléaire a demandé en juin 2013 à Électricité de France de « réviser sa stratégie en matière de gestion et d’entreposage du combustible usé511, en proposant de nouvelles modalités d’entreposage permettant d’une part de couvrir les besoins et d’autre part de renforcer la sûreté de l’entreposage du combustible ».

Électricité de France a prévu de construire512 une « piscine d’entreposage centralisé », permettant d’accueillir notamment les assemblages combustibles issus des réacteurs à eau sous pression du parc électronucléaire513, qui pourrait comporter plusieurs tranches (ou bassins).

Au mois de juillet 2019, à la suite de l’instruction technique menée par l’IRSN et d’une réunion du Groupe permanent d’experts pour les laboratoires et usines, l’Autorité de sûreté nucléaire a transmis à Électricité de France son avis514 sur le dossier d’options de sûreté (DOS) de la piscine d’entreposage centralisé, qu’Électricité de France avait transmis au mois d’avril 2017. Dans cet avis, un élément important concerne les risques de vidange accidentelle de la piscine centralisée à la suite d’une brèche. Sur ce sujet, Électricité de France a prévu de réaliser une étude justifiant que, pour un scénario postulé de vidange soudaine d’un bassin, la configuration de la zone située sous le bassin permettrait d’éviter le découvrement des assemblages combustibles (zone d’implantation des plots de soutènement parasismiques) ; l’ASN a précisé comme suit les objectifs qu’il convenait de viser pour cette justification : elle estime en effet « nécessaire que [dans la demande d’autorisation de création de la piscine centralisée] EDF définisse des dispositions pour maintenir sous eau de manière passive les assemblages entreposés ou manutentionnés dans le bassin d’entreposage et dans le canal de transfert, pour un scénario postulé de vidange accidentelle massive d’un bassin d’entreposage ou d’un canal de transfert de l’installation à la suite d’une brèche dans une structure assurant leur intégrité, pendant une durée compatible avec le délai de mise en œuvre des moyens de gestion de cette situation d’urgence ».

486.Hormis les réacteurs de la centrale nucléaire du Bugey, qui disposent de trois échangeurs.

487.Valeurs enveloppes en situations de déchargement complet du combustible du cœur des réacteurs.

488.L’augmentation des taux de combustion a également eu une influence sur cette augmentation de la puissance résiduelle.

489.Pour l’EPR, la coque avion, qui recouvre le bâtiment du combustible, ne permet pas d’assurer le confinement d’une radioactivité qui serait relâchée à l’intérieur de celle-ci.

490.Voir les paragraphes 8.2.2 et 17.10.2.

491.Un exemple en est donné au paragraphe 23.3.

492.Un exemple en est donné au paragraphe 24.2.

493.Abaissement du niveau de l’eau jusqu’à la génératrice inférieure des tuyauteries du circuit primaire.

494.Opération consistant en l’annulation de l’alarme après que son origine en a été identifiée, ici en vue de redémarrer la pompe.

495.La vanne de la ligne de retour a été fermée et un appoint d’eau a été fait à la piscine.

496.Ces condamnations dépendent de l’état du réacteur.

497.Dans le cadre des quatrièmes visites décennales des réacteurs de 900 MWe et des modifications post-Fukushima.

498.Modification décidée par le CNPE dans le but d’améliorer la radioprotection du personnel.

499.Les dispositions qui suivent ont été décidées avant la mise en œuvre des actions post-
Fukushima.

500.Ce programme d’inspection a été demandé par l’ASN dans le cadre des troisièmes visites décennales des réacteurs de 1 300 MW et des quatrièmes visites décennales des réacteurs de 900 MWe. À ce jour, seuls quelques tubes ont été inspectés.

501.Valeur forfaitaire qui prend en compte l’ouverture d’un certain nombre de défauts préexistants dans les quelque 900 m de soudure de la peau d’une piscine et l’inétanchéité des structures de béton à la suite d’un accident de perte de refroidissement conduisant à l’ébullition de la piscine.

502.Pour le réacteur EPR, les risques de perte de refroidissement et de vidange ont été pris en compte à la conception.

503.Les États-Unis ont alors conseillé à leurs ressortissants d’évacuer la zone située dans un rayon de 50 miles (80 km) autour de la centrale.

504.Cet exutoire évite la mise en pression du bâtiment du combustible et limite la propagation de vapeur d’eau du hall de la piscine vers d’autres locaux.

505.Cet appoint ultime serait réalisé par pompage d’eau dans la nappe ou dans des bassins de grande capacité dimensionnés au séisme extrême (« séisme noyau dur », précisé au chapitre 36). Ce moyen de pompage est indépendant de l’appoint de secours pouvant être réalisé par le réseau d’eau d’incendie de la centrale.

506.Dans le cadre de la phase 3 des modifications post-Fukushima (voir le chapitre 36).

507.L’explication privilégiée par TEPCO est toutefois discutable. La contamination des caissons de filtration de la ligne de ventilation du réacteur n° 4 par lequel les gaz d’éventage du réacteur n° 3 auraient dû transiter est très faible : les débits de dose mesurés le 25 août 2011 sont inférieurs à 7 mSv/h alors que des débits de dose supérieurs à 10 000 mSv/h ont été relevés les 1er et 2 août 2011 à proximité d’une tuyauterie d’éventage de l’enceinte du réacteur n° 1.

508.La sous-criticité, l’évacuation de la puissance résiduelle et le confinement des substances radioactives sont assurés à court terme. Pour la piscine d’entreposage des assemblages combustibles, l’inventaire en eau est stabilisé (voire croissant) et sans découvrement d’assemblage.

509.La sous-criticité, l’évacuation de la puissance résiduelle et le confinement des substances radioactives sont assurés durablement. Pour la piscine d’entreposage des assemblages combustibles, il n’y a pas de découvrement d’assemblage et l’évacuation de la puissance résiduelle du combustible entreposé par la source froide principale est privilégiée.

510.Constat partagé par EDF et Areva, notamment à l’occasion de réunions des groupes permanents d’experts consacrées au cycle du combustible (en 2001 et 2010) : les piscines de La Hague pourraient être pleines à l’horizon 2030.

511.Cette stratégie s’appuyait sur un projet de densification de l’entreposage dans les piscines d’entreposage du combustible des réacteurs de 900 MWe (palier CPY). Après examen par l’IRSN, cette stratégie n’a pas été jugée satisfaisante par l’ASN.

512.Sur un site non encore défini à la date de la finalisation du présent ouvrage.

513.Ainsi que ceux du réacteur SUPERPHENIX (centrale nucléaire de Creys-Malville), entreposés sur le site dans l’atelier pour l’évacuation du combustible (APEC).

514.Cet avis a fait l’objet du courrier de l’ASN référencé CODEP-DRC-2019-033736 du 29 juillet 2019.

Chapitre 16

Prise en compte des facteurs
organisationnels et humains
lors de la conception des installations

La grande importance que revêtent les organisations et les actions des hommes pour la sûreté d’installations telles que les réacteurs électronucléaires a été soulignée dès le chapitre 4 du présent ouvrage. La notion associée de facteurs organisationnels et humains (FOH) y a été explicitée.

L’objet du présent chapitre est de développer la prise en compte de ces facteurs au stade de la conception initiale des réacteurs électronucléaires et lors de la conception des modifications qui y sont apportées au cours de leur exploitation (hors démantèlement).

16.1.La prise en compte des facteurs organisationnels
et humains à la conception des réacteurs électronucléaires

16.1.1.Importance de la prise en compte
des facteurs organisationnels et humains
dès le stade de la conception

Point de vue historique

Lorsque le programme de construction de centrales électronucléaires à eau sous pression a été lancé dans les années 1970 en France, la sûreté de ces installations était essentiellement discutée en termes de fiabilité technique. Les concepteurs visaient aussi à réduire les possibilités d’erreurs humaines en automatisant un certain nombre d’actions et en encadrant l’activité des équipes d’exploitation par différentes règles et procédures. Implicitement, ce que l’on attendait de ces équipes était donc de faire fonctionner le système technique en appliquant fidèlement les procédures d’exploitation (et de maintenance), qui visaient à « contenir » le fonctionnement du système dans des limites sûres. Ces procédures devaient permettre de faire face à toutes les situations prévues par les concepteurs.

Or, lors de l’accident survenu au mois de mars 1979 à la centrale nucléaire de Three Mile Island (TMI) aux États-Unis, les choses ne se sont pas passées comme prévu. L’équipe de quart, à la vue des indications disponibles en salle de commande, a amené à faire un diagnostic erroné du fait d’un défaut d’interface homme-machine, ce qui a contribué à transformer un événement assez anodin en un accident avec fusion du cœur.

#FOCUS

Que s’est-il passé lors de l’accident
de Three Mile Island515 ?

Une vanne de décharge du pressuriseur qui s’était ouverte automatiquement pour limiter le pic de pression dans le circuit primaire résultant d’incidents concernant le circuit secondaire ne s’est pas refermée, bien que l’ordre de refermeture ait été émis par le contrôle-commande. Or l’interface de conduite en salle de commande utilisait comme information l’ordre de refermeture de la vanne et non sa position réelle (bloquée en position semi-ouverte), ce qui a nui à la perception de l’état de l’installation par l’équipe de conduite. Par ailleurs, l’arrêt d’urgence du réacteur (arrêt automatique) et les problèmes affectant le circuit secondaire ont provoqué le déclenchement de multiples alarmes. En l’absence de hiérarchisation des informations affichées, les équipes se sont trouvées « noyées », éprouvant des difficultés pour percevoir et extraire les informations pertinentes, d’autant que certaines étaient erronées (position de la vanne). L’arrêt de l’injection automatique de sécurité par les opérateurs a découlé de cette information erronée et du respect de la consigne de maintien de la bulle de vapeur située dans la partie haute du pressuriseur.

Les enseignements tirés de l’accident de TMI (et de quelques autres) ont fortement remis en cause le modèle516 de l’intervention de l’homme dans la sûreté des centrales nucléaires : progressivement, l’analyse des événements517 a dépassé celle des erreurs des opérateurs pour s’intéresser plus largement aux défaillances du système sociotechnique dans son ensemble qui ont conduit à ces erreurs, aux pannes ou à la combinaison des deux. L’une des leçons de l’accident de TMI est que la conception des salles de commande joue un rôle déterminant dans la maîtrise des incidents et des accidents, tant en termes de prévention qu’en termes de limitation des conséquences de ceux qui se produiraient malgré les dispositions de prévention mises en œuvre. L’organisation des équipes de conduite ainsi que les procédures contribuent également de façon importante à cette maîtrise.

Avec cet accident, les dimensions organisationnelles et humaines ont ainsi fait leur entrée dans le champ des préoccupations concernant la maîtrise des risques à la conception et lors de l’exploitation des centrales nucléaires.

Ces enseignements ne sont pas spécifiques au domaine du nucléaire. Dans les années 1980, l’activité des opérateurs dans les « centres de contrôle » ou les salles de commande de « procédés continus » (raffineries, cimenteries, usines sidérurgiques) a fait l’objet de nombreuses études. Elles ont notamment mis en évidence la complexité de la fonction de surveillance réalisée en salle de commande et souligné le rôle de l’« anticipation » par les opérateurs de conduite dans cette activité de surveillance : ils cherchent en effet à prévoir les évolutions physico-chimiques des « procédés » qu’ils surveillent et peuvent donc agir avant qu’une alarme ou un défaut n’apparaisse en salle de commande (dit autrement, ils ne « conduisent pas aux alarmes »).

La sûreté de l’exploitation d’une installation industrielle potentiellement à risques se joue dès sa conception. L’accident de TMI a entraîné des évolutions notables dans la prise de conscience de l’importance du rôle des organisations et des hommes dans la sûreté des centrales nucléaires.

En France, cette prise de conscience a, dès les années 1980, conduit Électricité de France à faire du palier N4 (réacteurs de 1 450 MWe) un palier novateur tant du point de vue technologique pour ce qui concerne la salle de commande par rapport aux paliers précédents que du point de vue de la prise en compte des facteurs organisationnels et humains à la conception518. En 1982, Électricité de France a aussi pris la décision, après analyse de plusieurs solutions techniques, de concevoir une salle de commande entièrement informatisée (voir la figure 16.1), innovation majeure car aucune salle de commande de ce type n’avait encore été installée dans le monde pour une centrale nucléaire519. Électricité de France a également décidé de développer dans ce cadre un simulateur de salle de commande520, dénommé S3C, pour aider à la conception du système de contrôle-commande informatisé et pour assurer l’intégration des facteurs organisationnels et humains tout au long de la conception de cette salle de commande. Ce simulateur lui permettra de mettre en œuvre un important programme d’évaluations ergonomiques successives pour valider, notamment, les postes des opérateurs en salle de commande521.

L’évolution sous l’angle des FOH de la salle de commande pour le palier N4 étant prise comme exemple pour illustrer un certain nombre de propos développés dans le présent chapitre, quelques précisions sont apportées sur cette salle de commande dans le focus ci-après.

Figure 16.1. À gauche, vue d’une salle de commande conventionnelle (centrale nucléaire de Fessenheim). Médiathèque EDF – Mario Fourmy ; à droite vue d’une salle de commande informatisée d’un réacteur du palier N4 (centrale nucléaire de Civaux). Romain Beaumont photographies.

#FOCUS

La salle de commande des réacteurs du palier N4522

Quatre postes de travail ont été retenus pour la salle de commande des réacteurs du palier N4. Ils sont identiques, permettent d’accéder à la même base de données et permettent donc un secours mutuel de l’un par l’autre. Ils sont verrouillables en mode observation seule par une clef (pas d’actions sur le « procédé »). Deux d’entre eux sont des postes de conduite destinés aux opérateurs de conduite, les deux autres sont des postes d’observation et de contrôle à l’usage du cadre technique523, appelé « superviseur », du chef d’exploitation ou de l’ingénieur de sûreté.

Un synoptique mural présente les principaux paramètres de l’installation, l’état des principaux actionneurs et l’état des circuits de sûreté et de sauvegarde. Ces éléments sont lisibles depuis les postes des opérateurs. Ce synoptique permet :

–de donner aux opérateurs une vision globale et rapide de l’état de l’installation et de remédier à la vision parcellaire fournie par les écrans de visualisation,

–de fournir une référence commune de l’état de l’installation aux différents membres de l’équipe de conduite, contribuant ainsi à la coordination de leurs actions par un support de raisonnement commun.

Des moyens diversifiés de conduite sont présents dans la salle de commande, sous la forme d’un panneau auxiliaire doté de moyens de conduite conventionnels, indépendant du système informatisé de conduite (dont l’acronyme est KIC) auquel sont reliés les postes des opérateurs ; depuis ce panneau auxiliaire, il est possible d’amener le réacteur dans un état sûr et de maîtriser des situations incidentelles et accidentelles. Ce « panneau auxiliaire » n’est utilisé qu’en cas d’indisponibilité du système informatique (défaillance ou arrêt programmé).

Il existe par ailleurs un panneau de repli, situé en dehors de la salle de commande et à un autre étage du bâtiment, qui permettrait aux opérateurs, en cas d’incendie de la salle de commande, d’amener le réacteur dans un état sûr. Par homogénéité avec la salle de commande, le panneau de repli présente la même interface avec l’opérateur que le panneau auxiliaire.

Par rapport aux paliers précédents, les dispositions suivantes n’ont pas été remises en cause au cours du processus de conception :

–la composition et l’organisation de l’équipe de conduite,

–le niveau d’automatisation, qui reste voisin de celui des réacteurs de 1 300 MWe.

Sont accessibles aux opérateurs environ 800 images de conduite (images de commande, de suivi de réglage, de régulation…), plus de 4 000 fiches d’alarmes, environ 10 000 fiches techniques (pour les différents actionneurs, les différents capteurs de mesure…) apportant des informations en temps réel, environ 2 000 « images procédure » pour la conduite normale et 2 000 « images procédure » pour la conduite selon l’approche par états (APE – voir le chapitre 33).

Les consignes de conduite informatisées sont des logigrammes interactifs présentant les actions élémentaires de conduite. Chaque action ou décision de l’opérateur demandée par un pas d’un logigramme est contrôlée par le système informatisé de conduite KIC, qui effectue une vérification de la cohérence des choix de l’opérateur par rapport aux données qu’il a du système. Avec l’utilisation de ce type de consignes, l’opérateur est donc guidé dans ses choix et ses actions ; il peut toutefois passer outre (« forcer ») une consigne en cas de nécessité, par exemple s’il dispose d’une information que le système ne peut pas acquérir.

Situation actuelle

La prise en compte des facteurs organisationnels et humains (FOH) dans la conception des réacteurs nucléaires a aujourd’hui acquis un caractère systématique et l’objectif en est explicitement inscrit dans la règlementation en matière de sûreté nucléaire : il est en effet demandé à l’exploitant, dans l’arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base (« arrêté INB »), de mettre en œuvre une approche qui, dès la conception, « prend en compte l’ensemble des aspects techniques et des facteurs organisationnels et humains pertinents ».

Il existe de plus maintenant une documentation technique et une littérature scientifique abondantes, sous forme de guides, de normes, de livres, d’articles, de rapports, tant au niveau national qu’international, sur laquelle les concepteurs peuvent s’appuyer lors de la conception d’une centrale nucléaire dans une démarche intégrée de prise en compte des aspects techniques, organisationnels et humains (une partie de ces références seront citées dans le présent chapitre).

En France, l’expérience acquise, principalement lors de la conception et de l’évaluation de la sûreté des réacteurs du palier N4, puis du réacteur EPR, a conduit l’Autorité de sûreté nucléaire et l’IRSN à formuler, dans un document élaboré conjointement524, des recommandations relatives à la conception de nouveaux réacteurs électronucléaires. Il y est indiqué qu’une centrale nucléaire « constitue un système sociotechnique dont le fonctionnement repose sur l’articulation entre des hommes, une organisation, des moyens techniques et un environnement physique de travail. Le système sociotechnique doit être conçu de façon à créer les conditions les plus favorables possibles pour la réalisation par le personnel des activités liées à l’exploitation de l’installation, tant en fonctionnement normal qu’en cas d’incident, d’accident et d’agression (domaines de conception de référence et étendu). »

Retour d’expérience : certains choix de conception inadaptés

Ne pas placer les opérateurs dans des situations qui pourraient les entraîner à commettre des erreurs doit donc être une préoccupation forte dès la conception d’une centrale nucléaire. Or l’analyse du retour d’expérience des centrales en exploitation montre que certains choix de conception mal adaptés à la réalité du terrain ont pu induire en erreur des opérateurs et entraîner des événements significatifs (cette notion est précisée au paragraphe 21.4). À titre d’exemple, des défauts des images de conduite informatisées et des documents opératoires ont contribué en 2010 à une défaillance de la surveillance, assurée dans la salle de commande du réacteur n° 1 de la centrale nucléaire de Civaux, du système de protection contre l’incendie des transformateurs auxiliaires (TA) resté dans une configuration inadéquate durant un mois avant que cette anomalie ne soit détectée. Autre exemple, en 2009, il est apparu qu’un écran du système d’affichage d’informations en salle de commande (pas informatisée) du réacteur n° 1 de la centrale nucléaire de Fessenheim ne permettait d’afficher que cinq paramètres alors que le document d’exploitation utilisé demandait aux opérateurs de surveiller 14 capteurs en temps réel, ce qui a contribué à la détection tardive du franchissement d’un seuil. De même, en 2011, l’absence d’alarme et un défaut d’éclairage des verrines en salle de commande du réacteur n° 1 de la centrale nucléaire de Paluel ont été à l’origine de la non-détection d’un défaut de couplage d’un groupe électrogène à un tableau électrique. En 2011 encore, il a été mis en évidence que des informations relatives à des équipements de secours du réacteur n° 4 de la centrale nucléaire du Bugey (turbopompe du système ASG, turboalternateur LLS) n’étaient consultables qu’en local, en zone contrôlée : du fait du temps nécessaire à l’habillage pour entrer en zone contrôlée, ce choix de conception obligeait la centrale à mettre en œuvre une organisation spécifique lors des phases d’exploitation des équipements précités, consistant notamment à mobiliser des agents de terrain dûment équipés.

Les événements significatifs résultant de choix de conception pouvant poser des difficultés ne concernent pas que les opérations menées en salle de commande : ainsi, en 2004, une vanne du réacteur n° 2 de la centrale nucléaire de Belleville-sur-Loire dont le dispositif de commande était en position basse525 a été manœuvrée de façon inappropriée par un agent de terrain ; cet agent a ouvert la vanne au lieu de la fermer, ce qui a eu pour effet de diminuer le niveau d’eau dans la piscine d’entreposage du combustible.

Si ces quelques exemples n’ont pas eu de conséquences sérieuses compte tenu de l’existence d’autres « lignes de défense », il apparaît que c’est dès la conception que des réflexions doivent être menées pour éviter de placer les opérateurs dans des situations pouvant les conduire à faire des erreurs ou dans lesquelles il leur serait difficile de revenir à une situation normale – un objectif de sûreté étant par ailleurs d’éviter autant que possible la survenue d’incidents.

16.1.2.Démarche à la conception

Comme cela a été indiqué précédemment, la conception ne consiste pas seulement à concevoir des systèmes ou des dispositifs techniques. Elle participe pour une bonne partie à la création des « situations de travail »526 dans lesquelles les opérateurs vont réaliser des activités pour exploiter l’installation. Or, dans la réalité de l’exploitation, ces situations présentent une très grande variabilité, des aléas surviennent et les organisations et les hommes sont amenés à s’adapter, parfois au détriment de la performance, voire de la sûreté ou encore de leur santé et de leur sécurité.

La sûreté suppose donc un couplage entre les composantes technique, humaine et organisationnelle du système sociotechnique ; mais comment faire pour les intégrer dans la conception ?

Une première étape clef est l’analyse de l’« existant » (retour d’expérience de projets de conception, d’événements ou d’autres éléments de connaissance). Elle fournit des données indispensables pour bien déterminer les besoins liés aux activités d’exploitation (aussi bien de nature matérielle, documentaire qu’organisationnelle), définir les exigences de conception correspondantes et concevoir des dispositions techniques et organisationnelles adaptées. Une seconde étape essentielle est la validation des dispositions retenues avant la mise en service de la centrale. Ainsi, conformément aux recommandations du guide ASN déjà cité, relatif à la conception des réacteurs à eau sous pression, « la recherche de dispositions de conception doit s’effectuer de manière progressive et, au besoin, itérative, en trois phases : des analyses amenant à définir des exigences de conception, la définition de dispositions, et la validation de l’adéquation des dispositions envisagées aux exigences formulées. »

À cet égard, l’expérience montre qu’il est important d’évaluer in situ, au cours de la mise en service et après, la capacité des équipes à effectuer les activités qui leur incombent pour l’exploitation de l’installation, afin de procéder aux ajustements éventuellement nécessaires.

16.1.2.1.Phase amont de la conception : analyse de l’« existant »

Il pourrait paraître paradoxal de chercher à analyser au début de la conception des situations de travail qui n’existent pas encore. Pourtant il s’agit d’une étape clef qui conditionne la réussite d’une conception d’installation. L’analyse de situations réelles de travail dans des installations en exploitation permet en effet d’identifier des éléments ou des facteurs susceptibles d’influencer les activités des opérateurs qui n’auraient pas encore été pris en compte dans la conception. Par exemple, en salle de commande, les opérateurs de conduite peuvent avoir besoin, dans certaines situations, des informations données par un capteur de température pour pouvoir réagir rapidement au lieu d’attendre qu’un agent de terrain leur communique la valeur lue en local sur le capteur ; si ce besoin n’est pas correctement identifié à la conception527, il pourrait en résulter des retards de détection en salle de commande et d’actions correctives.

Il est essentiel que l’analyse des situations réelles de travail porte sur des situations caractéristiques d’exploitation (encore appelées « situations de référence ») dans les différents domaines d’activités importants pour la maîtrise des risques, tels que la conduite ou la maintenance. Ces situations sont, par exemple, en salle de commande, les approches sous-critiques et le démarrage du réacteur, la surveillance du « procédé », la réalisation d’essais périodiques, dans d’autres locaux les interventions de maintenance ou la manutention d’assemblages combustibles… Les analyses correspondantes peuvent permettre de caractériser la diversité et la variabilité des contextes dans lesquels les activités des opérateurs s’inscrivent (états d’arrêt, transitoires d’exploitation…), d’identifier des interfaces entre des métiers différents et de déterminer ce qui, dans les situations réelles de travail, pourra faciliter ou au contraire rendre difficiles les activités des opérateurs.

Mais, plus largement, l’analyse s’appuie aussi sur trois autres éléments qui sont :

–le retour d’expérience de projets de conception précédents, afin d’en apprécier les points forts et les points faibles,

–le retour d’expérience événementiel,

–des éléments de connaissances résultant d’études ainsi que de travaux de recherche et développement.

Dans ces trois domaines, les éléments sont à rechercher non seulement au plan national mais aussi au plan international.

Le terme d’analyse de l’« existant »528 couvre l’ensemble des domaines précités.

Exemple du palier N4

L’exemple du palier N4 est développé ici pour illustrer le propos : la prise en compte des facteurs organisationnels et humains dans la conception de ce palier (deuxième moitié des années 1980 et début des années 1990) a bénéficié des enseignements acquis lors de la conception, de la réalisation et du début d’exploitation des réacteurs électronucléaires précédents en France, ainsi que du retour d’expérience international. Mais si, pour la conception de la salle de commande, un effort important a été mené par Électricité de France sur la conduite en situation incidentelle ou accidentelle, avec notamment, à partir de 1986, des campagnes d’essais sur le simulateur S3C permettant de réaliser des évaluations ergonomiques, il est apparu que la conception des moyens de conduite en situation normale n’avait pas bénéficié d’observations suffisantes d’activités dans des situations de travail réelles en amont de la conception (analyse de l’existant).

C’est pourquoi, en 1995, à l’issue de l’évaluation de la sûreté du contrôle-commande du réacteur Chooz B1 (premier réacteur du palier N4 qui allait être mis en service en 1996), la Direction de la sûreté des installations nucléaires a estimé nécessaire qu’Électricité de France procède à des évaluations au plan ergonomique de l’utilisation de la salle de commande de ce réacteur durant son premier cycle d’exploitation). Les évaluations menées par Électricité de France en 1998 et 1999 ont mis en évidence de nombreuses difficultés des opérateurs lors de la conduite normale, tant pour les activités de surveillance (manque de représentation globale de l’état du réacteur et de ses évolutions, structure de l’imagerie de conduite…) que pour des activités plus générales en salle de commande, notamment le caractère inadapté ou l’absence d’outils dédiés pour réaliser certaines activités telles que les relevés en début de quart ou les essais périodiques.

Les « rapports d’évaluation ergonomique » transmis par Électricité de France ont fait apparaître que les difficultés rencontrées n’étaient pas liées à l’informatisation de la salle de commande, mais à des lacunes de prise en compte des facteurs organisationnels et humains dans le processus de conception. En effet, les lacunes en matière d’analyse des activités des opérateurs dans des « situations de référence » n’avaient pas permis aux concepteurs de déterminer, en temps utile, des exigences appropriées avant la conception des dispositions concrètes ; par exemple, des images permettant aux opérateurs d’avoir une représentation globale de l’état de l’installation, ou encore des moyens de conduite adaptés à la réalisation des essais périodiques. Ainsi, un essai périodique qui était réalisé en dix minutes pour les tranches de 1 300 MWe, nécessitait, pour les tranches du palier N4, de faire appel à 54 images et demandait trois heures de travail pour relever les valeurs correspondantes.

Ces constatations ont conduit la Direction de la sûreté des installations nucléaires à demander à Électricité de France « d’améliorer l’interface informatisée des tranches du palier N4 utilisée pour la conduite normale », le programme d’actions devant notamment comporter « une présentation des améliorations envisagées avec les principales exigences associées (tâches concernées et éléments dimensionnants, accès aux informations, traitement des erreurs…) et les objectifs à satisfaire en termes de performance attendues de l’équipe de conduite (temps de réalisation des tâches, délais de détection…) ».

Électricité de France a alors mis en œuvre un important programme d’évolutions de la conduite informatisée du palier N4, évolutions qui ont entraîné des modifications du système informatique de conduite (KIC). Électricité de France a procédé au développement et à la mise en place d’images d’aide à la conduite (IAC) pour améliorer la conduite en situation normale. Pour concevoir et valider ces évolutions, Électricité de France a retenu une démarche de prise en compte des facteurs organisationnels et humains de façon explicite aux différentes étapes des modifications à concevoir, incluant des observations effectuées sur simulateur. La mise en place de cette démarche a constitué une évolution positive ; elle intégrait notamment, de façon explicite, la prise en compte des facteurs organisationnels et humains aux différentes étapes des modifications529.

Pour la conception du réacteur EPR, Électricité de France a tiré les enseignements des difficultés rencontrées lors de la conception et du démarrage des tranches du palier N4 et procédé notamment à l’analyse de situations réelles et du retour d’expérience dès la phase de conception détaillée du projet. Des analyses d’activités dans des situations réelles de conduite de réacteurs déjà en exploitation ont été menées, sur la base d’études ergonomiques pour les réacteurs de 1 300 MWe et de 1 450 MWe. Les données recueillies, à partir d’entretiens et d’observations, ont permis d’identifier des activités-types et de déterminer des exigences en termes d’informations nécessaires, de moyens d’action… Ce retour d’expérience a été complété, pour les situations qui relèvent de la conduite incidentelle ou accidentelle, par l’analyse de comptes rendus d’événements significatifs.

16.1.2.2.Objectifs de conception

Les résultats des analyses de l’« existant » permettent de retenir, dès le début de la conception, les principaux objectifs que les concepteurs se fixent quant à la prise en compte des FOH. Ces objectifs sont importants car ils vont orienter certains choix de dispositions techniques et organisationnelles et leur mise en œuvre.

À titre d’exemple, pour la conception de la salle de commande des réacteurs du palier N4, Électricité de France avait retenu deux objectifs principaux :

–mettre à la disposition des opérateurs les informations et les commandes dont ils auront ou auraient besoin au moment approprié, plutôt que de les afficher de façon permanente en salle de commande,

–fournir aux opérateurs à un instant donné un nombre limité d’informations fiables et représentatives.

Ces objectifs ont conduit Électricité de France à accorder aux systèmes informatiques des réacteurs du palier N4 un rôle beaucoup plus important que pour les réacteurs de 1 300 MWe pour lesquels différents matériels informatiques étaient déjà utilisés pour la conduite de l’installation. Après avoir ainsi fait le choix d’informatiser la salle de commande des réacteurs du palier N4, Électricité de France a retenu différentes orientations de conception pour l’exploitation de ces réacteurs : niveau souhaité d’automatisme de commande, composition de l’équipe de conduite et rôles des membres de cette équipe dans les diverses situations envisageables (situations normales, incidentelles ou accidentelles), principes de certaines aides à la conduite telles que les fiches d’alarmes, les procédures…

Ces orientations ont ensuite guidé la conception détaillée de la salle de commande. Par exemple, les concepteurs ont décidé, pour les postes informatiques des membres de l’équipe de conduite en salle de commande, d’intégrer sur un même poste les moyens de conduite en situations normales et en situations incidentelle ou accidentelle, ainsi que de mettre à disposition (et donc de développer) des outils d’aide à la conduite (procédures informatisées…).

De son côté, en 1984, dans le cadre de l’évaluation du rapport préliminaire de sûreté des réacteurs du palier N4 transmis par Électricité de France, l’IPSN s’est appuyé, pour l’évaluation des objectifs et des orientations de conception, sur des connaissances générales concernant l’activité des opérateurs en salle de commande et sur des études consacrées à la conduite des réacteurs à eau sous pression en situation accidentelle. Ces études avaient été menées en 1982 sur le simulateur appelé CP1 (de type « pleine échelle ») de la centrale nucléaire du Bugey dans le cadre d’un accord quadripartite (entre l’IPSN, EDF, Framatome et Westinghouse) sur les enseignements à tirer de l’accident survenu à la centrale nucléaire de TMI.

L’IPSN s’est alors interrogé sur les conséquences de l’informatisation des outils de conduite dans la salle de commande et a retenu un certain nombre de sujets et de questions associées. À titre d’exemple, l’un des sujets concernait les mécanismes de prise et de traitement d’information en situation incidentelle ou accidentelle : sur la base de l’observation générale (pour la conduite ou le contrôle de divers « procédés » industriels) selon laquelle un opérateur éprouve, en situation perturbée, le besoin de vérifier les informations correspondantes, d’en effectuer des lectures multiples pour s’assurer qu’il ne s’est pas trompé ; l’une des questions était de savoir comment, sur des écrans informatiques, l’opérateur s’assurerait qu’il ne s’est pas trompé dans la lecture des informations (vérification des informations, relectures multiples…).

L’IPSN a également soulevé des questions sur le traitement des alarmes et sur l’importance de la salle de commande pour la réalisation des activités de maintenance et des essais périodiques. La question de la gestion par les équipes de conduite des pannes du système informatique et de leur influence sur les activités de conduite a également été soulevée.

Dans les années 2000530, concernant la conception des moyens de conduite du réacteur EPR, Électricité de France a présenté à la Direction générale de la sûreté nucléaire et de la radioprotection ses objectifs relatifs au contrôle-commande sous la forme de « choix essentiels » portant sur les systèmes correspondants, et les rôles respectifs de l’homme et de ces systèmes. Ces « choix essentiels » se sont appuyés notamment sur le retour d’expérience du palier N4 : utilisation de consignes de conduite informatisées, niveau de contrôle exercé par le contrôle-commande sur les actions réalisées par les équipes de conduite, structuration de l’imagerie de conduite. Électricité de France a également défini des principes d’organisation des équipes de conduite portant notamment sur l’affectation des responsabilités, sur les charges de travail ou encore sur les « lignes de défense » que constituent le contrôle par le « superviseur » et la vérification par l’ingénieur de sûreté (IS).

16.1.2.3.Définition des dispositions détaillées de conception

Les termes « dispositions de conception » recouvrent ici l’ensemble des dispositions techniques et organisationnelles qui permettent aux équipes concernées d’exploiter une centrale nucléaire.

Les dispositions techniques couvrent un champ extrêmement large : cela comprend non seulement des dispositifs matériels tels que les moyens de conduite en salle de commande (postes informatiques, synoptiques, images de conduite informatisées, boutons de commande, verrines d’alarmes…), des équipements implantés dans d’autres locaux (tableaux électriques, vannes, pompes, instruments de mesure…), des moyens d’accès (arrangement des locaux, échelles, portes, prises électriques, éclairage…), mais aussi tous les documents utiles à l’exploitation (procédures, gammes opératoires…).

Les dispositions organisationnelles concernent la répartition des rôles et des responsabilités au sein des équipes (de conduite, de maintenance…), la définition de ces équipes et les compétences nécessaires, les interfaces entre les différents corps de métiers, les réunions de coordination et d’échange d’informations…

Les concepteurs doivent donc déterminer des dispositions techniques et organisationnelles détaillées dont les caractéristiques répondent aux orientations et objectifs du projet, en tenant compte des analyses de l’« existant » et des besoins.

Besoins opérationnels

Concernant les besoins opérationnels, l’expérience conduit à souligner l’importance des points suivants :

1.Ils concernent toutes les activités liées à l’exploitation d’une centrale nucléaire, c’est-à-dire toutes les activités au cours desquelles les équipes sont amenées à interagir avec l’installation.

2.Ils doivent tenir compte de l’analyse de l’« existant ».

3.Les besoins opérationnels à définir pour la conception d’un nouveau réacteur ne résultent pas nécessairement de façon directe des observations effectuées dans les centrales existantes ; les caractéristiques techniques d’un nouveau réacteur pouvant être différentes531. Les concepteurs doivent dans ce cas mener un travail d’identification des besoins pour la nouvelle installation tenant compte des caractéristiques techniques connues, à ce stade, pour leur permettre d’imaginer les situations de travail futures et en dégager des dispositions adaptées.

Par exemple, l’observation de l’activité de surveillance de l’installation dans une salle de commande conventionnelle532 montre que cette activité s’appuie sur une première prise d’informations réalisée au début de chaque quart, qui comporte la consultation des différents panneaux de la salle de commande (appelée tour de bloc). Les informations sont affichées sur des supports géographiquement stables et sont présentes en permanence sur les tableaux et pupitres, ce qui facilite la localisation et la rapidité d’accès aux informations recherchées. La construction de cette représentation de l’état du réacteur est complétée par les communications échangées lors du changement d’équipe de quart toutes les huit heures (« relève de quart »). Cette représentation initiale évoluera tout au long du quart par le suivi plus ou moins systématique des différentes parties de l’installation, à l’aide des tableaux et des pupitres ainsi qu’en fonction des échanges en salle de commande.

Lorsque Électricité de France a fait le choix, dans ses orientations de conception, d’informatiser la salle de commande des réacteurs du palier N4, les concepteurs ont été amenés à définir des dispositions de conception permettant aux opérateurs d’effectuer cette activité de surveillance, mais avec des moyens différents. En effet, l’informatisation ne supprime pas le besoin qu’ont les opérateurs de construire et de mettre à jour une représentation globale et partagée de l’état du réacteur qu’ils exploitent. Sur la base de ce besoin et des exigences de conception qui y sont associées (voir plus loin), le travail des concepteurs a donc été de définir l’activité de surveillance telle qu’elle pourrait être effectuée avec la salle de commande informatisée − cette définition ayant ensuite une influence forte sur la structuration de l’imagerie de conduite affichée sur les écrans des postes informatiques et sur l’organisation des informations présentées sur les images.

4.Tout au long du travail de conception, des analyses de l’« existant » plus ciblées ou plus détaillées peuvent se révéler utiles pour obtenir des données plus précises en fonction de l’avancement du projet. Par exemple, tant que la conception de certains systèmes n’est pas achevée, il peut être difficile de définir complètement les stratégies et les actions de conduite correspondantes, et donc les besoins d’informations des opérateurs pour mener ces actions.

Exigences de conception et définition de dispositions appropriées

La formulation des exigences de conception s’appuie principalement sur l’analyse d’activités existantes et sur un travail d’extrapolation aux activités telles qu’elles seront effectuées dans la nouvelle installation.

Pour reprendre l’exemple de l’informatisation de la salle de commande des réacteurs du palier N4, le besoin des opérateurs de pouvoir se constituer une représentation de l’état du réacteur et de la faire évoluer au cours du quart, non plus avec un « tour de bloc », mais avec des images de conduite sur un poste informatique, a conduit les concepteurs à retenir des exigences concernant l’imagerie de conduite. Pour reprendre le point 3 plus haut, une exigence générale est que l’imagerie de conduite soit structurée de façon à donner des informations de synthèse aisément accessibles aux opérateurs, leur permettant de se constituer une représentation de l’état du réacteur et de la faire évoluer au cours du quart. Une autre exigence a concerné l’obtention d’une représentation partagée par les membres de l’équipe de conduite ainsi que les modalités de coordination entre ceux-ci.

Comme cela a été indiqué plus haut, les concepteurs peuvent à cet égard également s’appuyer sur des normes, guides ou autres éléments de l’état des connaissances (y compris les enseignements tirés de l’expérience).

Il est ainsi indiqué dans le guide ASN n° 22 déjà cité que la salle de commande « doit être conçue de manière à fournir des informations appropriées et suffisantes aux opérateurs pour :

–réaliser un diagnostic de l’état de l’installation et de l’efficacité des systèmes participant aux fonctions de sûreté,

–vérifier la disponibilité des moyens techniques et humains devant intervenir pour faire face à la situation retenue533,

–évaluer les effets de leurs actions. »

Il s’agit là de recommandations d’un niveau très général. Par ailleurs, il existe aujourd’hui des documents, publiés au niveau national ou international, contenant des préconisations plus détaillées ; on peut notamment citer les normes suivantes diffusées depuis les années 1980 (et faisant l’objet de mises à jour) :

–des normes publiées par l’International Electrotechnical Commission (IEC) ; il s’agit notamment de la norme IEC 60964 sur la conception des salles de commande des réacteurs de puissance, complétée par des normes portant sur des aspects plus spécifiques, par exemple la norme IEC 61839 sur l’analyse fonctionnelle, la norme IEC 61227 sur les dispositifs d’information et de commande, la norme IEC 61772 sur les écrans de visualisation… ;

–les normes de l’International Standard Organisation (ISO) ; il s’agit en particulier des normes ISO 9241 relative à l’« ergonomie de l’interaction homme-système », ISO 11064 relative à la « conception ergonomique des centres de commande » pour l’industrie ou les transports, ou encore la norme ISO 13407 sur le « processus de conception centrée sur l’opérateur humain pour les systèmes interactifs » (révisée en 2010 sous la référence ISO 9241).

Des guides détaillés ont également été élaborés par certains pays, tels que :

–le guide NUREG-0700534 publié par l’U.S.NRC ;

–le guide MIL-STD 1472535 publié par le Department of Defense (DoD) des États-Unis ; ce guide contient des informations particulièrement intéressantes pour les concepteurs. D’autres guides ont été publiés par le DoD, notamment le MIL-HDBK-0759C536 ;

–le guide537 publié en 2004 par l’Electrical Power Research Institute (EPRI) des États-Unis, qui traite de la conception des salles de commande, y compris de modifications.

En revanche, il n’existe que peu de recommandations concernant la définition de dispositions organisationnelles. Toutefois, la validation des dispositions retenues à la conception permet d’apprécier les dispositions relatives à l’organisation des équipes en charge de l’exploitation (équipes en salle de commande, agents de terrain, relations entre les « services métiers »…).

16.1.2.4.Validation des dispositions de conception

Au-delà des éléments développés ci-dessus qui concernent la démarche de conception tenant compte des aspects organisationnels et humains, notamment des « évaluations ergonomiques », il est essentiel de vérifier puis de valider que les dispositions retenues et mises en œuvre permettent de répondre aux besoins de façon satisfaisante538.

Principes généraux

Pour valider la capacité des équipes à exploiter l’installation avec notamment les moyens de conduite en salle de commande telle qu’elle est conçue, il est indispensable d’effectuer des « essais d’ensemble » sur un simulateur « pleine échelle »539 avant de mettre en service l’installation ; ces essais doivent être réalisés dans des conditions aussi représentatives que possible des situations qui pourront être rencontrées par les opérateurs en exploitation. Pour la validation de la salle de commande informatisée du palier N4, cinq campagnes d’essais ont été réalisées de 1987 à 1996 ; dans le cas du réacteur EPR Flamanville 3, quatre campagnes ont été réalisées de 2009 à 2016 ; dans le cadre des essais de démarrage, des observations FOH sont prévues.

Il importe bien sûr que les résultats des essais menés au cours de la phase de validation puissent être considérés comme fondés et fiables. La préparation et la réalisation d’essais sur un simulateur « pleine échelle » nécessitent de considérer avec attention – outre bien évidemment la représentativité du simulateur – les points suivants :

–l’organisation et les compétences de l’équipe en charge de la validation,

–la définition des scénarios à tester à partir de situations d’exploitation,

–les connaissances et les compétences attendues des participants aux essais,

–les conditions de réalisation des essais et de recueil des données,

–l’analyse et l’interprétation des données recueillies.

Avant ces essais d’ensemble sur simulateur, des évaluations peuvent être réalisées par les concepteurs sur des maquettes, statiques ou dynamiques, du système de conduite, de façon à tester certaines options de conception. À titre d’exemple, plusieurs évaluations partielles et ciblées ont été effectuées par Électricité de France sur des maquettes de la salle de commande du réacteur EPR Flamanville 3 entre 2002 et 2008, concernant des sujets tels que les principes (principes d’imagerie…), la présentation et l’organisation des consignes, l’aménagement de la salle de commande et l’agencement du moyen de conduite de secours (équivalent au panneau auxiliaire des réacteurs précédents).

La validation repose sur une démarche itérative, fondée sur une succession de campagnes d’essais ; les enseignements tirés d’une campagne se traduisent, lorsque cela apparaît nécessaire, par des évolutions qui sont testées lors de la campagne suivante.

Par ailleurs, la validation ne porte pas que sur la conception de la salle de commande principale ; elle concerne également la salle de repli.

Exemple des réacteurs du palier N4

Dans le cas de la salle de commande des réacteurs du palier N4, l’IPSN a, dans le contexte de ses travaux d’expertise, demandé à connaître non seulement les résultats des évaluations d’Électricité de France mais aussi à examiner – dans le cadre d’un accord fixant les conditions d’intervention de l’IPSN – les méthodes et les moyens prévus pour montrer que la conception répond bien aux objectifs et options retenus, du point de vue de la sûreté, tout en laissant à Électricité de France la responsabilité du choix des dispositions à mettre en œuvre pour mener les évaluations. L’IPSN a veillé notamment, à ce que les évaluations ergonomiques soient effectuées dans des conditions qui permettent de garantir la validité des données recueillies et des analyses effectuées (choix des sujets, méthodes d’observation et de recueil des données, profils des opérateurs, choix des scénarios…), par des équipes d’évaluateurs expérimentés en ergonomie. L’IPSN a également examiné la représentativité du simulateur par rapport à la salle de commande réelle des réacteurs du palier N4540.

Comme cela a été indiqué plus haut, les conclusions des évaluations de l’IPSN menées en 1994 ont conduit Électricité de France à réaliser des essais complémentaires ciblés en 1995, une nouvelle campagne d’essais d’ensemble sur le simulateur S3C en 1996, ainsi que des observations ergonomiques lors des essais à chaud541 sur site.

Au final, pour la conception du palier N4, cinq campagnes successives d’essais sur le simulateur S3C ont été effectuées par Électricité de France de 1986 à 1996 :

–la première campagne d’essais, en 1987 et 1988, a porté principalement sur des aspects liés aux matériels et à leur utilisation ;

–la deuxième campagne réalisée en 1989 a concerné la conduite normale ;

–la troisième campagne réalisée en 1994 a été consacrée à la conduite en situation incidentelle ou accidentelle ;

–des essais complémentaires ciblés ont eu lieu en 1995 ;

–la dernière campagne d’essais, consacrée à la conduite en situation incidentelle ou accidentelle, a été réalisée en 1996.

Tout au long de ces campagnes, l’IPSN a suivi la préparation et la réalisation des essais, à la fois par des échanges techniques avec Électricité de France et par des observations complémentaires menées par ses experts.

Ces essais ont permis d’examiner différents sujets, tels que la conduite avec le système informatisé de conduite (KIC), la conduite au panneau auxiliaire lorsque le KIC est en panne, la conduite en cas de panne d’un des éléments du KIC, l’organisation de l’équipe de conduite et la formation de l’équipe de conduite.

Exemple relatif à l’organisation de la conduite pour les réacteurs
du palier N4 et pour le réacteur EPR Flamanville 3

Le sujet de l’organisation de la conduite permet de bien illustrer l’intérêt des campagnes d’essais. En effet, l’informatisation de la salle de commande a conduit Électricité de France à modifier les rôles respectifs du superviseur et de l’ingénieur de sûreté en situation incidentelle ou accidentelle (voir les chapitres 32 et 33). Cette modification a fait l’objet de nombreux débats entre l’exploitant et les organismes de sûreté concernant les rôles et les moyens de l’ingénieur de sûreté en salle de commande. Les concepteurs des réacteurs du palier N4 avaient prévu que l’ingénieur de sûreté et le superviseur partageraient un même poste informatique en salle de commande. Or les résultats des premiers essais d’ensemble ont montré que, avec un tel partage de poste, l’ingénieur de sûreté consultait les mêmes images que le superviseur. De ce fait, l’ingénieur de sûreté participait notablement à l’activité du superviseur, ce qui ne lui permettait plus de s’occuper de la sûreté de la conduite en toute indépendance. Cela a amené la Direction de la sûreté des installations nucléaires à demander à Électricité de France de réaliser une évaluation comparative de deux options pour l’ingénieur de sûreté : disposer d’un poste informatisé dédié, ou bien assurer son rôle en utilisant le panneau auxiliaire et le synoptique.

Les résultats des essais ultérieurs, notamment ceux qui ont été effectués en 1994, ont amené Électricité de France à décider d’affecter systématiquement l’ingénieur de sûreté au panneau auxiliaire dès l’entrée dans une procédure de conduite incidentelle ou accidentelle.

Sur le rôle et les moyens du superviseur, de nombreuses difficultés ont été mises en évidence durant les essais de 1994 (difficultés pour le superviseur de se construire une vision de l’évolution de l’état du système [« procédé »], du déroulement des consignes…), dont certaines ont subsisté lors des essais suivants. C’est pourquoi l’étude des missions et des moyens du superviseur dans la conduite incidentelle ou accidentelle a été poursuivie par différentes évaluations ergonomiques réalisées en 1995.

Cet exemple montre que les essais ont permis de mettre en évidence des difficultés dans l’organisation des équipes de conduite et de tester différentes dispositions pour renforcer le fonctionnement de la conduite incidentelle ou accidentelle.

Dans les principes, la conception de la salle de commande du réacteur EPR Flamanville 3 a suivi la même démarche de campagnes d’essais successives. Elles ont également conduit Électricité de France à effectuer des modifications de l’organisation des équipes de conduite. L’approche par états a été retenue dès la conception des procédures de conduite incidentelle et accidentelle ; le guidage des opérateurs est automatisé. Si, au début des années 2010, Électricité de France avait prévu qu’un seul opérateur réaliserait les actions concernant la chaudière et le circuit secondaire, avec un seul jeu de procédures de conduite, les campagnes de validation qu’il a réalisées sur un simulateur à pleine échelle l’ont conduit à abandonner ce choix pour reconduire l’organisation adoptée pour les réacteurs précédents, répartissant les actions à mener entre les deux opérateurs.

16.1.2.5.Évaluations menées au démarrage
et après la mise en service des réacteurs

Après les essais de démarrage et la mise en service d’un réacteur, il est utile d’organiser, pendant le premier cycle de fonctionnement de ce réacteur et lors du premier arrêt pour rechargement de combustible dans le cœur, un retour d’expérience concernant la mise en œuvre des moyens de conduite du point de vue des FOH, afin d’apprécier la bonne adéquation des moyens de conduite et de vérifier la robustesse des organisations mises en place.

Ce retour d’expérience doit bien évidemment être fondé sur des observations réalisées en fonctionnement réel, de façon à compléter les résultats obtenus lors des campagnes d’essais effectuées sur simulateur.

Il a été vu plus haut que, dans le cas du palier N4, les observations effectuées lors des essais de démarrage, puis lors du premier cycle de fonctionnement et du premier arrêt pour rechargement du réacteur Chooz B1 ont permis de tirer des enseignements et qu’elles ont mis en évidence un certain nombre de sujets qui ne l’avaient pas été lors des essais sur simulateur. Les résultats de ces observations ont notamment conduit Électricité de France à faire évoluer le système informatisé de conduite.

16.1.3.Organisation de projet
et programme d’ingénierie des FOH

Pour mettre correctement en œuvre une démarche FOH dans un projet de conception, il convient qu’un programme suffisamment détaillé décrivant cette démarche et son articulation avec les autres domaines de la conception soit élaboré dès le début de la conception et mis en œuvre par les concepteurs. Ce programme doit préciser, pour les différentes phases de la vie de l’installation, les activités humaines importantes pour la sûreté, dans tous les lieux de l’installation où du personnel est amené à intervenir, décrire les méthodes d’analyse à mettre en œuvre pour prendre en compte les FOH pour chaque activité concernée, et préciser l’organisation et le management du programme.

À cet égard, il convient que soient bien précisés :

–les objectifs et le périmètre du programme ;

–l’organisation, le pilotage, la composition prévue des équipes FOH impliquées, les compétences et l’expérience requises des membres de ces équipes ;

–les activités à mener pour prendre en compte les FOH et leurs relations avec les activités d’ingénierie pour assurer la bonne intégration des FOH ;

–les rôles et missions des spécialistes FOH au sein du projet (pilotes, contributeurs, appuis…) ; en particulier, une indépendance suffisante doit être assurée entre les spécialistes qui contribuent à la conception et ceux qui participent à la validation de la conception (sur simulateur…) ;

–les résultats attendus des actions engagées pour prendre en compte les FOH ;

–les produits attendus à la fin de chaque étape…

La description et le pilotage du programme doivent notamment aider les concepteurs à identifier le positionnement des personnes en charge des activités de prise en compte des FOH au sein du projet de conception, qui doit apparaître dans l’organigramme du projet. Il convient que ce programme soit établi et mis en œuvre dès le début du projet, même s’il n’est pas complet à ce stade et si le gréement des équipes FOH diffère en fonction des étapes. Les études FOH doivent tenir compte des contraintes d’ingénierie et produire des résultats utilisables dans les différentes phases de la vie de l’installation jusqu’à son démantèlement, de même que les pratiques et processus d’ingénierie doivent être adaptés de façon à tirer bénéfice des études FOH.

16.2.La prise en compte des aspects organisationnels
et humains pour la conception des modifications effectuées dans les centrales électronucléaires

Les réacteurs électronucléaires font l’objet de modifications (notamment techniques ou documentaires542) tout au long de leur exploitation, visant à améliorer leurs performances en matière de sûreté ou de production d’électricité. Ainsi, quelques centaines de modifications peuvent être mises en œuvre sur les sites dans le cadre des réexamens périodiques associés aux visites décennales de ces réacteurs (par exemple dans le cas des quatrièmes visites décennales des réacteurs de 900 MWe). Certaines de ces modifications sont susceptibles de transformer de façon significative les pratiques d’exploitation, ce qui doit être mis en évidence suffisamment tôt pour qu’elles ne soient pas une source de difficultés ou d’erreurs. Ainsi, prendre en compte les contraintes réelles d’exploitation et les changements susceptibles d’être apportés à l’organisation et aux pratiques de travail constituent un élément important pour concevoir des modifications.

16.2.1.Importance des facteurs organisationnels et humains pour la conception des modifications

Certaines modifications d’un réacteur ont des incidences sur les activités de conduite ou de maintenance de ce réacteur. Si les modifications visent une amélioration des performances d’exploitation que ce soit en termes de productivité, de sûreté, de sécurité, de protection de la santé de l’homme ou de l’environnement, les dispositions mises en œuvre peuvent néanmoins conduire à une complexification du travail des opérateurs ; cette complexification peut se révéler telle que les bénéfices escomptés de la modification soient en fait difficilement atteignables ou le soient à un « coût » important pour les hommes et les organisations en place, au risque d’affecter la sûreté de l’installation.

Si les incidences négatives possibles d’une modification ne sont pas mises en évidence suffisamment tôt, au stade de leur conception, elles n’apparaîtront au mieux que lors de la validation, voire lors des premières mises en œuvre sur site, fragilisant le système sociotechnique et éventuellement la sûreté.

Les exemples qui suivent illustrent cette fragilisation liée à l’introduction de modifications ayant eu un impact sur les activités des opérateurs.

En 1997, Électricité de France a décidé de modifier le mode de détermination de la « courbe de calibrage » G3 qui permet une compensation des variations instantanées de réactivité du cœur résultant des variations de puissance, sans déformation de la distribution de la puissance dans le cœur. Une nouvelle méthode de traitement des mesures recueillies lors d’un essai périodique devait permettre de réajuster cette courbe en fonction de l’usure du combustible (du fait de l’irradiation dans le cœur) pour les réacteurs de 900 MWe et de 1 300 MWe. La mise en œuvre de cette nouvelle méthode a eu pour conséquence une recrudescence d’événements significatifs entre 1998 et 2001. La décision de modification n’avait pas fait l’objet d’une analyse en amont des activités en lien avec la modification, sur le terrain, et sa mise en œuvre sur les sites y avait été insuffisamment accompagnée par les services centraux d’Électricité de France.

De même, le passage, dans les années 1990, de la conduite événementielle à la conduite par états (APE – voir le chapitre 33) pour les réacteurs en exploitation n’a pas été – vu l’ampleur de la modification – sans soulever des difficultés d’appropriation et d’utilisation par les équipes de conduite sur quelques sites, qui nécessitait notamment un surcroît de formation. Ces difficultés sont apparues lors de l’analyse de divers événements au cours desquels les consignes APE ont été mises en œuvre543.

Dans ce contexte, en 2004, les organismes de sûreté ont dressé le constat de fragilités lors d’un premier examen de l’intégration des aspects FOH dans la conception des modifications techniques et documentaires des réacteurs du parc électronucléaire. Les causes évoquées étaient, pour l’essentiel, un manque de compétences FOH dans les équipes en charge des modifications, un dialogue insuffisant entre unités d’ingénierie et d’exploitation, l’absence d’étapes dans la prise en compte des FOH clairement intégrées au processus d’ingénierie des modifications.

À la suite de cet examen, la Direction générale de la sûreté des installations nucléaires a demandé à Électricité de France de définir et de déployer une démarche structurée pour prendre en compte les aspects organisationnels et humains lors de la conception des modifications des réacteurs du parc électronucléaire.

16.2.2.« Démarche SOH » mise en œuvre
par Électricité de France

En réponse, Électricité de France a conçu puis mis en place à partir de 2007, sur la base de travaux de recherche et développement menés en interne, une démarche de prise en compte des aspects organisationnels et humains (« démarche SOH », pour les aspects sociaux, organisationnels et humains) au sein de ses unités d’ingénierie pour mieux maîtriser les évolutions des installations et de leurs modalités d’exploitation.

But de la « démarche SOH »

Le but annoncé par Électricité de France était d’atteindre effectivement les bénéfices escomptés des modifications en tenant compte des situations d’exploitation qu’elles modifient en identifiant au plus tôt toute possibilité de dégradation des performances de sûreté et en agissant en conséquence. Plus précisément, la démarche SOH consiste à anticiper les évolutions des pratiques de travail que pourra entraîner une modification afin d’agir conjointement sur l’ensemble des éléments susceptibles d’influencer la qualité des pratiques de travail, c’est-à-dire les matériels nécessaires pour les activités individuelles et collectives concernées, l’organisation, la formation, la documentation, les procédures de travail et l’environnement physique de travail.

Des étapes intégrées au processus d’ingénierie du parc électronucléaire

Comme l’illustre la figure 16.2 ci-après, la démarche SOH comporte une analyse de situations de travail existantes, ainsi que la recherche et la définition des solutions envisageables pour répondre à l’objectif d’une modification (en précisant le coût, les délais, l’incidence sur la documentation et l’exploitation…).

Après qu’une solution pour la modification a été retenue, le processus se poursuit par une phase d’études de réalisation qui conduit à la définition détaillée de la modification. Une étape d’évaluation des dispositions détaillées permet de s’assurer, préalablement à leur intégration dans une centrale, que les résultats escomptés devraient être obtenus ; puis vient la mise en place effective dans une tranche dite tête de série (TTS) afin de vérifier l’efficacité (y compris les incidences sur les situations de travail, les procédures…) de la modification avant toute décision de généralisation. Dans ce cadre, l’analyse in situ des nouvelles pratiques de travail permet de dresser un retour d’expérience d’exploitation afin de procéder, si nécessaire, aux mises au point appropriées.

Figure 16.2. Les étapes de la démarche de prise en compte des aspects sociaux, organisationnels et humains (SOH), d’après les schémas d’EDF. Georges Goué/IRSN.

La mise en œuvre de la démarche SOH comporte une étape préalable concernant l’analyse de « sensibilité » d’une modification en termes de FOH. Il est en effet à noter que tout projet de modification n’implique pas nécessairement la mise en œuvre de la démarche SOH. Il existe de plus des différences très importantes dans la nature, l’étendue et la complexité des sujets à traiter.

Par exemple, le passage de la conduite événementielle à la conduite par états ou le remplacement d’une vanne obsolète constituent deux modifications extrêmement différentes.

Il est assez évident que, concernant les évolutions de la conduite incidentelle ou accidentelle, une démarche SOH doit être menée car il s’agit d’évolutions qui ont des conséquences sur des pratiques individuelles et collectives importantes pour la sûreté. En revanche, dans le cas de l’utilisation d’un nouveau modèle de vanne en remplacement d’un modèle antérieur, la décision n’est pas nécessairement immédiate.

Pour déterminer si une telle modification nécessite ou non l’engagement d’une démarche SOH (analyse de « sensibilité » en termes de FOH), il est nécessaire de répondre à quelques questions, telles que :

–Qui manœuvre la vanne ? Dans quel contexte ? Dans quel environnement (ambiance thermique, encombrement…) ? À quelle fréquence (quotidienne, mensuelle, annuelle) ?

–La manœuvre de la vanne nécessite-t-elle une coordination avec d’autres personnes en local ou en salle de commande ?

–La manœuvre de la nouvelle vanne se substitue-t-elle à une activité ancienne ou bien s’agit-il d’une activité nouvelle ?

–S’il s’agit d’une activité nouvelle, la charge de travail qu’elle induit est-elle compatible avec les autres activités de la personne ou du collectif concerné ?

–La vanne concerne-t-elle directement ou non la sûreté ?

Ce qui précède montre que le changement de la vanne peut avoir une importance variable en termes de FOH selon les réponses à ces questions.

Les résultats d’un questionnement tel que celui développé ci-dessus doivent permettre d’identifier les situations réelles de travail à analyser et les besoins de simulation des situations de travail qui résulteraient des modifications envisagées, en tenant compte des variabilités technique et organisationnelle du parc nucléaire français (si le parc électronucléaire français est fondé sur un nombre restreint de paliers techniques, les équipements des centrales d’un même palier peuvent parfois être différents du fait d’évolutions technologiques et les organisations peuvent également différer).

Un dispositif d’accompagnement

Électricité de France a mis en place des guides méthodologiques, des formations d’une à deux journées pour les managers, les chefs de projet et les ingénieurs et techniciens chargés de la conception de modifications, ainsi que la possibilité de recourir à des appuis spécialisés dans le domaine des FOH.

16.2.3.Les modifications, un sujet qui mérite toujours
une attention particulière sous l’angle des FOH

À l’occasion d’un nouvel examen mené en 2009 par l’IRSN du dispositif déployé par Électricité de France, les organismes de sûreté ont considéré que la démarche SOH avait permis des progrès significatifs grâce à la qualité des guides méthodologiques élaborés par Électricité de France et à l’effort d’intégration de la démarche dans les pratiques d’ingénierie.

Toutefois, des fragilités récurrentes sont encore relevées concernant l’appropriation de la démarche SOH par les centres d’ingénierie qui doivent la mettre en œuvre. Ainsi des événements survenus en 2017 sur les sites du Tricastin et de Chinon B ont mis en évidence des lacunes dans l’organisation d’Électricité de France pour appréhender complètement les contraintes d’exploitation lors de projets de modifications.

Or le vieillissement du parc nucléaire, l’extension souhaitée de sa durée de fonctionnement et la mise en place des modifications décidées à la suite de l’accident survenu à la centrale nucléaire de Fukushima Daiichi vont conduire à la réalisation d’importantes modifications matérielles et documentaires. De ce fait, la maîtrise du processus de conception et d’intégration des modifications à effectuer constitue pour Électricité de France un sujet majeur, dont l’une des clés du succès concerne la bonne prise en compte des aspects organisationnels et humains.

16.3.Les FOH pour les futurs projets
de réacteurs électronucléaires

Les nombreuses évolutions apportées au fil du temps et au cas par cas aux réacteurs électronucléaires à eau sous pression, notamment dans le cadre des réexamens de sûreté associés à leurs visites décennales, pour tenir compte des enseignements significatifs de portée générique ou d’événements majeurs tels que les accidents des centrales nucléaires de Three Mile Island, de Tchernobyl et plus récemment de Fukushima Daiichi, conduisent à s’interroger sur le « juste » niveau de complexité globale d’une installation544.

Les effets d’une complexification constituent un sujet de préoccupation qui ne bénéficie que de peu d’études ; ils sont toutefois évoqués de façon qualitative dans quelques textes. Ainsi, en France, pour les réacteurs à eau sous pression, le guide ASN n° 22 déjà cité mentionne que « le caractère raisonnablement possible (ou a contrario non raisonnablement possible) d’une disposition ou de l’atteinte d’un objectif s’apprécie sur la base d’un bilan global des gains de sûreté et de radioprotection en regard des inconvénients notamment en matière industrielle, économique et de complexification de la conception ou de l’exploitation future, au regard de l’état des techniques et du stade de développement du projet. Cette appréciation implique, en règle générale, d’examiner en temps utile différentes solutions ».

Dans son document545 de 2017 traitant du caractère « raisonnablement possible » d’améliorations d’installations existantes, au sens de l’article 8a de la Directive européenne de 2014546, l’association WENRA souligne également le risque de complexification inopportune de la conception d’une installation ou de son exploitation, dont il convient de tenir compte dans les processus de décision.

Ce sujet de la complexification ne concerne bien évidemment pas que les évolutions mises en œuvre dans des réacteurs existants, il concerne aussi la conception de nouvelles installations. Il est l’un des sujets de discussions techniques entre Électricité de France et les organismes de sûreté concernant un projet de réacteur à eau sous pression (dénommé dans un premier temps « EPR nouveau modèle »).

Les projets de nouveaux réacteurs intègrent parfois des progrès technologiques qui peuvent conduire à des changements importants dans l’exploitation même des installations, tels que le renforcement de l’automatisation, qui modifie en effet le rôle, la formation et l’expérience qu’acquièrent les opérateurs au quotidien.

Le cas des projets de Small Modular Reactors (SMR), réacteurs modulaires de petite taille, peut conduire à examiner différentes questions concernant la conception de la salle de commande et l’organisation des équipes de conduite. En effet, certaines caractéristiques affichées par les concepteurs de ce type de technologie (utilisation de systèmes « passifs », automatisation accrue, augmentation du délai pendant lequel les opérateurs n’ont pas d’action à engager547…) les conduisent à expliquer que leur exploitation pourrait être assurée par des équipes réduites par rapport à celles des réacteurs électronucléaires actuellement ou prochainement en exploitation. Par ailleurs, il serait techniquement possible d’assurer la surveillance et l’exploitation de plusieurs modules à partir d’une seule salle de commande. La réflexion porte, entre autres, sur le nombre et la répartition des opérateurs en fonction des différents états de fonctionnement d’un ensemble de modules dans des conditions de sûreté satisfaisantes. À cet égard, dans une étude publiée aux États-Unis en 2012548, il est noté que, si l’exploitation simultanée de plusieurs unités est courante en pétrochimie, elle constitue encore une source de difficultés dans le domaine des véhicules sans pilotes, les opérateurs ayant parfois tendance à se focaliser sur une unité au détriment des autres, ou ne détectant pas des changements importants (effet dit de change blindness).

En local, hors de la salle de commande, de nouvelles technologies pourraient également conduire à des évolutions importantes dans les pratiques des interventions de maintenance : par exemple, visualisation de textes et d’images sur des lunettes adaptées, utilisation d’« exosquelettes » (robots) pour faciliter des interventions… De telles évolutions pourraient dans le principe apporter beaucoup en matière de sûreté, tout en soulevant probablement de nouvelles questions que les concepteurs et les exploitants auraient à traiter en temps utile dans le cadre de leurs projets.

Enfin, des évolutions encore plus importantes de l’exploitation sont imaginées par certains concepteurs à une échéance plus ou moins éloignée (par exemple pour le projet Flexblue piloté par Naval Group à partir de 2008, puis abandonné). Ainsi, un réacteur pourrait ne disposer que d’un nombre réduit de personnes sur place (par exemple, uniquement les opérateurs supervisant les opérations hautement automatisées et réalisant occasionnellement des opérations et tâches de maintenance mineures) ; les autres fonctions seraient confiées de façon déportée à des spécialistes qui se déplaceraient en cas de besoin (pour assurer la maintenance, par exemple) ou exécuteraient leurs tâches à distance.

515.Cet accident est décrit plus en détail au chapitre 32. Ne sont ici repris que les éléments pertinents dans le cadre du présent chapitre.

516.Le terme « modèle » est utilisé ici dans le sens qu’il a en sciences sociales, à savoir une représentation schématique décrivant et illustrant de manière réductrice, simplifiée et fonctionnelle, les traits essentiels d’un objet, d’un système ou d’un processus.

517.Le lecteur pourra consulter l’ouvrage « L’accident de la centrale nucléaire de Three Mile Island » de M. Llory, éditions L’Harmattan, 1999.

518.« Palier N4 : apports de l’ergonomie dans la conception de la salle de commande », B. Le Guilcher et Y. Dien, Revue générale nucléaire n° 1, pp 27-32, janvier-février 1998.

519.« Palier N4 : examen du rapport provisoire de sûreté », L. Samier et J.- M. Mattéi. Revue générale nucléaire n° 4, pp 11-14, juillet-août 1996.

520.Ce n’est pas encore un simulateur de représentation intégrale, ou « pleine échelle », d’une salle de commande des réacteurs du palier N4. Le simulateur S3C était installé au centre de formation de la centrale nucléaire du Bugey. De façon générale, dans ce type de simulateurs, la représentation de l’évolution du « procédé » utilise le logiciel de simulation CATHARE présenté au chapitre 40.

521.« Palier N4 : apports de l’ergonomie dans la conception de la salle de commande » ibid.

522.Ces éléments descriptifs synthétiques sont extraits de la communication « La salle de commande du palier N4 : principales caractéristiques et retour d’expérience d’exploitation », J.-M. Peyrouton, J. Guillas et C. Nougaret, EDF-DPN.

523.Appelé ensuite chef d’exploitation délégué.

524.Guide ASN n° 22 relatif à la « Conception des réacteurs à eau sous pression », 18 juillet 2017.

525.De manière habituelle, les vannes sont montées sur les circuits avec un dispositif de commande en position haute : le volant est alors manœuvré dans le sens des aiguilles d’une montre pour fermer la vanne, ce qui correspond à l’usage courant. Lorsque le dispositif de commande est en position basse, le volant doit alors être manœuvré dans le sens inverse des aiguilles d’une montre pour fermer la vanne. Même si les opérateurs savent qu’il existe des vannes dont le sens de manœuvre est inversé, ils peuvent être amenés à se tromper et à manœuvrer de telles vannes dans le sens usuel, notamment lorsque d’autres facteurs tels que pression temporelle, stress, interruption… perturbent leur activité.

526.En ergonomie, la situation de travail est définie comme le « contexte concret où les hommes réalisent une production matérielle ou immatérielle, dans des conditions de travail et de sécurité donnée » (Rabardel et al., « Ergonomie, concepts et méthodes », Éditions Octarès, 1998). Dans ce même ouvrage, la situation de travail est décrite comme un système constitué de nombreux éléments qui vont déterminer et conditionner le travail réel des opérateurs : les dispositifs technique et matériel, l’organisation du travail, les hommes et leurs compétences. Cette définition donne au contexte une acception large et déterminante dans la compréhension des situations de travail du point de vue de l’opérateur. Daniellou et ses collègues définissent des composantes d’une situation de travail, dont certaines sont visibles aux opérateurs (installation, outils, collègues…) et d’autres plus invisibles (stratégie de l’entreprise, histoire des installations et des opérateurs, relations sociales, règles de l’organisation, style du management…), (« Les facteurs humains et organisationnels de la sécurité industrielle : un état de l’art », Les Cahiers de la sécurité industrielle 2010-02, Fondation pour une culture de sécurité industrielle, 2010). D’autres auteurs parlent de déterminants distants, inaccessibles aux opérationnels qui pèsent « de manière implicite sur la situation » (Journé & Raulet-Croset, « La décision comme activité managériale située – Une approche pragmatiste », Revue française de gestion – Éditions Lavoisier – 2012/6 N° 225, 109-128, disponible à l’adresse https://www.cairn.info/revue-francaise-de-gestion-2012-6.html).

527.Lors des essais de mise en service ou ultérieurement lors de l’exploitation du réacteur, avant que de telles situations ne surviennent, auquel cas une modification peut être apportée à l’installation. Par ailleurs, les scénarios qui sont « joués » avec les simulateurs de conduite sont nécessairement en nombre limité et ne reproduisent pas toute la variété et la complexité des conditions réelles d’exploitation (interactions entre la conduite et la maintenance, perturbations, auxquelles sont confrontées les équipes de conduite). Un événement réel survenu au mois de mai 1998 dans le réacteur n° 1 de la centrale nucléaire de Civaux permet d’illustrer le propos. Il s’agissait d’une brèche apparue sur le circuit de refroidissement du réacteur à l’arrêt (RRA), à l’intérieur de l’enceinte de confinement. La phase des essais de premier démarrage du réacteur était en cours. L’entrée dans la conduite incidentelle selon l’approche par états (APE) a eu lieu le 12 mai, le retour à un état stabilisé n’a été atteint que le 12 juin. Le déclenchement, concomitant à l’apparition de la brèche, d’alarmes de détection d’incendie a compliqué le début de la gestion de l’événement et a conduit à un choix de stratégie de conduite peu adapté ; c’est en fait la fuite de vapeur qui avait déclenché ces alarmes (la brèche était située sur la liaison entre le circuit RRA et le circuit RCV). Le cumul d’un événement de nature thermohydraulique avec un incendie n’avait pas été prévu lors du développement du système informatisé de conduite. En outre, l’équipe de quart a rencontré des difficultés lors de l’application de la procédure de conduite traitant des brèches survenant dans la configuration « circuit primaire fermé avec le RRA connecté ». En effet, pendant plus de neuf heures, les opérateurs ont « bouclé » dans cette procédure sans parvenir à localiser ni isoler la fuite. Ce n’est qu’avec l’intervention de l’organisation nationale de crise et la réalisation d’actions hors procédures que l’événement a en définitive été traité. L’analyse de l’événement a permis d’identifier un très grand nombre de « forçage » de « pas » par les opérateurs dans l’application de la conduite préconisée par le système informatisé.

528.Expression adoptée dans le domaine des FOH.

529.Démarche par ailleurs cohérente avec les préconisations de documents tels que des normes internationales ISO et des guides publiés par l’U.S.NRC aux États-Unis.

530.La prise en compte des facteurs organisationnels et humains avait déjà été abordée dans les discussions sur les objectifs de sûreté et les options de conception du réacteur EPR.

531.Cela peut concerner notamment des réacteurs innovants, à l’opposé de réacteurs « évolutionnaires ».

532.Salle de commande dans laquelle les moyens de conduite (informations, commandes) ne sont pas informatisés ; ils sont disposés sur des panneaux aux murs de la salle et sur des pupitres (voir la figure 16.1).

533.Fonctionnement normal, incidents ou accidents, y compris ceux avec fusion du cœur.

534.« Human-System Interface Design Review Guidelines » – NUREG-0700, Revision 2, published in May 2002, U.S.NRC.

535.« DoD Design Criteria standard: Human engineering » – MIL-STD-1472-G – January 2012. Department of Defense (États-Unis).

536.« Handbook for Human Engineering Design Guidelines » – MIL-HDBK-759C – July 1995. Department of Defense (États-Unis).

537.« Human Factors Guidance for Control Room and Digital Human-System Interface Design and Modification: Guidelines for Planning, Specification, Design, Licensing, Implementation, Training, Operation, and Maintenance », EPRI, Palo Alto, CA, the U.S. Department of Energy, Washington, DC: 2004. 1008122.

538.En cohérence avec le processus de conception dit cycle en V dans l’ingénierie de conception.

539.Comme cela a été indiqué précédemment, le simulateur S3C a été installé au centre de formation de la centrale nucléaire du Bugey. Le simulateur « pleine échelle » du palier N4 a été installé au centre de formation de la centrale nucléaire de Chooz. Pour l’EPR, le simulateur « pleine échelle » a été installé au centre de formation de la centrale nucléaire de Flamanville.

540.« Palier N4 : évaluation de la sûreté des aspects facteurs humains de la salle de commande informatisée », Daniel Tasset, Revue générale nucléaire n° 1 de janvier-février 1998, pages 20-26.

541.Voir le chapitre 19 consacré aux essais de démarrage des réacteurs.

542.Règles générales d’exploitation, procédures et consignes de conduite, gammes d’essais…

543.Par exemple, à la centrale nucléaire du Tricastin (réacteurs de 900 MWe), en mars 1999 pour le réacteur n° 2 et en janvier 2000 pour le réacteur n° 1, ainsi qu’en janvier 2002 pour le réacteur n° 2 de la centrale de Flamanville (réacteur de 1 300 MWe).

544.Sur ce sujet, le lecteur pourra consulter l’ouvrage « Normal Accident – Living with High-Risk Technologies », C. Perrow, Basic books, 1984.

545.WENRA Guidance – Article 8a of the EU Nuclear Safety Directive: « Timely Implementation of Reasonably Practicable Safety Improvements to Existing Nuclear Power Plants » – Report of the Ad-hoc group to WENRA, 13 June 2017.

546.Il s’agit de l’article 8a dans la version anglaise de la directive, 8b dans la version française (directive 2014/87/Euratom conseil du 8 juillet 2014, modifiant la directive 2009/71/Euratom établissant un cadre communautaire pour la sûreté nucléaire des installations nucléaires).

547.Aussi appelé « délai de grâce ».

548.« Human-Performance Issues Related to the Design and Operation of Small Modular Reactors », O’Hara J., Higgins J., Pena M., NUREG/CR-7126, June 2012.

Chapitre 17

Étude et prise en compte
des accidents de fusion du cœur

Un accident de fusion du cœur d’un réacteur nucléaire à eau sous pression est un accident au cours duquel le combustible du réacteur est significativement dégradé avec une fusion plus ou moins étendue du cœur du réacteur. Le chapitre 9 consacré aux accidents de perte de réfrigérant primaire décrit un scénario susceptible de provoquer une certaine dégradation des gaines des crayons combustibles, mais l’intervention des systèmes de protection et de sauvegarde permet de limiter l’ampleur de la dégradation. Si, en revanche, des défaillances viennent affecter ces systèmes, l’accident peut conduire à une fusion du cœur du fait de l’absence prolongée de refroidissement du cœur. C’est un type d’accident qui, en raison des dispositions de prévention mises en place et de limitation des conséquences des accidents, ne peut survenir qu’à la suite d’une accumulation de dysfonctionnements (défaillances multiples, humaines ou matérielles).

En 1979, l’accident du réacteur n° 2 de la centrale de Three Mile Island aux États-Unis (voir le Chapitre 32) a montré que des cumuls de défaillances étaient effectivement susceptibles de conduire à un accident de fusion du cœur. Cet accident n’a heureusement eu que des conséquences très limitées dans l’environnement grâce au renoyage du cœur intervenu au bout de quelques heures, évitant ainsi la percée de la cuve par le cœur fondu, et au bon comportement de l’enceinte de confinement.

En 1986, l’accident de Tchernobyl (voir le chapitre 34) est venu illustrer la possibilité d’une destruction du cœur d’un réacteur en cas d’apport excessif de réactivité. Il a conduit à étudier de façon plus détaillée les risques d’accidents de réactivité dans les réacteurs à eau sous pression, de façon à déterminer, en tant que de besoin, des dispositions complémentaires permettant de les rendre hautement improbables, voire physiquement impossibles. Ce sujet n’est que succinctement évoqué dans le présent chapitre ; il sera développé au chapitre 35.

En 2011, des agressions externes (séisme suivi d’un tsunami), d’une ampleur supérieure à celle qui a été retenue pour déterminer la hauteur de la digue de protection des installations ont entraîné la fusion du cœur de plusieurs réacteurs de la centrale nucléaire de Fukushima Daiichi au Japon ; cet accident a conduit à des rejets importants de substances radioactives dans l’environnement du fait de la fusion du cœur de ces réacteurs et des défaillances subséquentes de leur confinement.

Si les rejets dans l’environnement provoqués par l’accident de Three Mile Island ont in fine été très faibles, les responsables de la centrale et les autorités locales et fédérales se sont demandé pendant plusieurs jours comment les choses pourraient évoluer et s’il fallait évacuer des populations. Il est en tout état de cause apparu indispensable de se préparer, en France comme ailleurs, à la gestion de telles situations, malgré l’amélioration des dispositions prises pour les éviter.

Si la dégradation du cœur ne peut pas être arrêtée dans la cuve du réacteur par refroidissement du cœur dégradé (renoyage dans la cuve), l’accident peut conduire à terme à une défaillance du confinement et à des relâchements importants de substances radioactives dans l’environnement. En raison des conséquences importantes d’un tel rejet, illustré par l’accident précité de la centrale nucléaire de Fukushima Daiichi, des efforts importants ont été et sont encore consacrés à l’étude des accidents de fusion du cœur, dans le but de mieux les prévenir et d’en limiter les conséquences.

Les réacteurs des différents paliers standardisés du parc électronucléaire (réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe), pour lesquels une fusion du cœur n’a pas été retenue dans leurs bases de conception, ont bénéficié au fil du temps d’améliorations. Dorénavant, les accidents de fusion du cœur sont pris en compte dans les bases de conception de réacteurs de nouvelle génération tels que le réacteur EPR.

De façon générale, les efforts visent d’une part à améliorer la confiance que l’on peut avoir dans le comportement du confinement et le comportement lui-même du confinement, même dans des conditions très éloignées de celles qui ont été retenues pour sa conception, d’autre part à disposer d’outils de prévision des évolutions possibles de la situation, des rejets correspondants et de leurs transferts dans l’environnement dans les conditions précises de l’accident, de telle sorte que les responsables soient en mesure de prendre en temps utile les décisions les mieux adaptées à la protection des personnes et de l’environnement. Ce sont les sujets qui sont abordés dans la suite de ce chapitre.

Avant même de traiter du comportement du confinement, il convient de rappeler les phénomènes physiques successifs qui sont susceptibles de se produire dans un réacteur de puissance à eau sous pression lors d’un accident de fusion du cœur.

17.1.Dégradation du cœur et défaillance de la cuve

Depuis le rapport Rasmussen, des études probabilistes de sûreté ont mis en évidence la grande diversité des scénarios susceptibles de conduire à un endommagement du cœur du réacteur. Toutefois, il faut noter que ces différents scénarios, bien que partant d’événements initiateurs différents, peuvent conduire à une progression similaire de l’accident après la fusion du cœur.

En effet, la connaissance de certaines caractéristiques de l’état du réacteur au moment du dénoyage du cœur suffit pour déterminer la progression ultérieure de l’accident. On peut citer par exemple :

–l’instant où survient la fusion du cœur, qui conditionne la puissance résiduelle correspondante, donc la cinétique globale du déroulement ultérieur de l’accident ;

–la pression dans le circuit primaire lors de la fusion du cœur : en particulier les accidents avec défaillance de l’évacuation d’énergie hors du circuit primaire entraînent une fusion du cœur sous haute pression, ce qui conduit à des risques particuliers d’endommagement du confinement ;

–l’état des systèmes de sauvegarde, notamment la disponibilité du système d’aspersion dans l’enceinte de confinement, qui permet d’assurer l’évacuation d’énergie hors de l’enceinte et un rabattement des substances radioactives relâchées dans l’atmosphère de cette dernière ;

–le niveau de sous-criticité du cœur du réacteur ;

–l’état de l’enceinte de confinement (et de ses extensions) : celle-ci peut être isolée ou il peut exister un « contournement » (bipasse) de l’enceinte (par exemple dans le cas d’une fuite de réfrigérant primaire par une brèche située à l’extérieur de l’enceinte) ou encore son étanchéité peut être insuffisante (par exemple un défaut de fermeture du tampon d’accès des matériels − TAM).

Compte tenu des similitudes ainsi mises en évidence concernant la progression attendue de différents accidents de fusion du cœur, il est possible d’étudier de manière générique les différents phénomènes physiques susceptibles de survenir lors d’un tel accident ; ils sont présentés de manière synthétique dans ce qui suit549.

17.1.1.Dénoyage du cœur

Comme cela a été indiqué plus haut, de multiples « scénarios » d’événements peuvent conduire à une fusion du cœur dans un cœur de réacteur à eau sous pression. À titre illustratif, on se limitera dans la suite du présent chapitre aux scénarios ayant comme origine (événement initiateur) une brèche du circuit primaire, type d’accident amplement décrit dans le chapitre 9.

Le début de dénoyage du cœur correspond au moment où, du fait de la perte de réfrigérant primaire, les crayons combustibles ne sont plus totalement noyés dans le fluide réfrigérant.

Selon l’état initial du réacteur, l’événement initiateur de la séquence accidentelle, les éventuelles défaillances des systèmes et erreurs de conduite, le dénoyage du cœur peut intervenir au bout de quelques minutes ou de plusieurs heures, voire de plusieurs jours après l’événement initiateur. Le dénoyage du cœur ne mène à sa fusion que s’il n’est pas possible de rétablir suffisamment rapidement un refroidissement pérenne.

À titre d’exemple, une brèche de 10 cm de diamètre dans la paroi du circuit primaire conduit, en l’absence d’injection d’eau par le système d’injection de sécurité, au dénoyage complet des crayons combustibles au bout de 30 minutes.

Les situations amenant à un dénoyage prolongé du cœur peuvent être classées en différentes catégories selon la pression dans la cuve à ce moment-là :

–les brèches du circuit primaire qui conduisent à un dénoyage du cœur sous une pression relativement basse, inférieure à environ 15 à 20 bars (ordre de grandeur) ;

–les défaillances du refroidissement du circuit primaire par les lignes secondaires des générateurs de vapeur ou la défaillance mécanique de la cuve qui résulterait d’une remontée en pression due à un renoyage tardif d’un cœur dégradé, qui conduisent à un dénoyage du cœur sous haute pression, supérieure à environ 15 à 20 bars (ordre de grandeur).

Le développement et les conséquences de l’accident vont différer selon la pression dans la cuve lors du dénoyage du cœur et le moment où intervient la défaillance mécanique de la cuve. Dans la pratique, on parle d’accident de fusion en pression lorsque la pression dans la cuve, au moment de sa défaillance, est supérieure à environ 15 à 20 bars.

17.1.2.Dégradation du combustible

La partie dénoyée du cœur s’échauffe sous l’effet de la puissance résiduelle.

Les gaines contenant le combustible du cœur, qui sont, en fonctionnement normal, à une température inférieure ou égale à 350 °C, se déforment à partir de 700 °C à 900 °C en raison de la dégradation de leurs propriétés mécaniques.

Si la pression dans la cuve est inférieure à la pression interne des crayons combustibles, les gaines gonflent puis se rompent. Si la pression dans la cuve est supérieure à la pression interne des crayons combustibles, les gaines s’écrasent contre les pastilles de combustible, ce qui favorise la formation d’un eutectique UO2-Zr qui fond vers 1 200 °C à 1 400 °C.

Dans les deux cas, les produits de fission (PF) volatils accumulés entre les pastilles de combustible et les gaines sont relâchés dans le circuit primaire.

Le zirconium des gaines s’oxyde au contact de la vapeur d’eau surchauffée. La réaction d’oxydation débute vers 1 200 °C et la vitesse de réaction augmente très rapidement avec la température à partir de 1 500 °C. Or :

–cette réaction est très exothermique et libère localement une puissance supérieure à la puissance résiduelle du combustible ; si le refroidissement est insuffisant pour évacuer cette puissance, la température des matériaux augmente et avec elle la vitesse de la réaction d’oxydation : on qualifie ce phénomène d’« emballement de la réaction d’oxydation » ;

–la réaction libère de l’hydrogène550 dans le circuit primaire puis dans l’enceinte de confinement (par la brèche) ; la présence d’hydrogène entraîne une réduction de la capacité de refroidissement des générateurs de vapeur et un risque de combustion, voire d’explosion, d’hydrogène dans l’enceinte de confinement ;

–les gaines se fragilisent, ce qui accroît leur vulnérabilité en cas de choc thermique.

De plus, lorsque la température des pastilles de combustible augmente, la cinétique de relâchement des produits de fission à partir de ces pastilles augmente.

Succinctement, les phénomènes principaux qui se produisent lors de la dégradation du cœur sont :

–entre 900 °C et 1 800 °C, la fusion ou la vaporisation des constituants métalliques du cœur (composants des barres absorbantes, acier des structures, alliage de zirconium des gaines non oxydé) ;

–au-delà de 1 800 °C, la fusion des autres constituants du cœur (oxydes…).

Il faut atteindre des températures de l’ordre de 2 800 °C pour que se produise la fusion de l’oxyde d’uranium lui-même ; toutefois, l’existence d’eutectiques de l’oxyde d’uranium avec le zirconium et l’acier peut entraîner des coulées de matériaux fondus à des températures plus basses. Cela conduit à un effondrement d’abord local puis général du cœur avec formation d’un « corium », mélange de combustible et de matériaux des structures fondus et mélangés, maintenu en fusion par le dégagement de la puissance résiduelle due à la décroissance radioactive des produits de fission qui y sont retenus.

La quasi-totalité des produits de fission les plus volatils ont alors été relâchés du combustible.

17.1.3.Défaillance du circuit primaire

Défaillance du fond de la cuve

L’effondrement des éléments constitutifs du cœur dans le fond de la cuve peut entraîner, par des effets thermomécaniques, la défaillance de celle-ci dans un délai de quelques dizaines de minutes à quelques heures. Ce délai est fonction de la masse de corium dans le fond de la cuve, de la puissance dégagée en son sein et de la présence ou non d’eau permettant d’évacuer, par vaporisation, une partie de cette puissance.

Rupture de structures du circuit primaire

Lors de la fusion du cœur, la vapeur chaude sortant du cœur du réacteur et circulant par convection naturelle dans le circuit primaire provoque un échauffement important des structures de ce circuit qui, s’il est en pression, peuvent être soumises à un phénomène de fluage et se rompre, tel les tubes des générateurs de vapeur (rupture « induite », voir ci-après).

17.1.4.Phénomènes pouvant conduire
à une défaillance précoce du confinement

Rupture « induite » de tubes de générateurs de vapeur

Une rupture « induite » de tubes de générateurs de vapeur conduirait à des rejets directs de produits de fission dans l’environnement par les soupapes de sûreté des circuits secondaires (à titre d’exemple, ces soupapes sont tarées à 76 bars pour les réacteurs de 900 MWe).

Échauffement direct des gaz de l’enceinte

Si le circuit primaire est en pression au moment de la défaillance de la cuve, il peut y avoir fragmentation et dispersion d’un jet de corium dans l’enceinte de confinement, produisant une brusque augmentation de la pression par transfert très rapide de la chaleur contenue dans le corium fondu à l’atmosphère gazeuse de l’enceinte. Ce phénomène est appelé « échauffement direct des gaz de l’enceinte ». Il peut également entraîner la combustion de l’hydrogène présent dans l’enceinte de confinement.

« Risque hydrogène »

Le « risque hydrogène » correspond à la possibilité d’une défaillance de l’intégrité de l’enceinte de confinement du réacteur lors d’une combustion d’hydrogène. L’hydrogène provient, on l’a vu, de l’oxydation du zirconium des gaines des crayons combustibles et des matériaux des structures métalliques du cœur lors de sa dégradation, ainsi que de l’oxydation des métaux présents dans le corium ou dans les armatures métalliques de renfort du radier en béton lors de l’interaction entre le corium et le béton (voir le paragraphe 17.1.5). L’hydrogène ainsi produit s’accumule dans l’enceinte de confinement et peut atteindre localement des concentrations qui dépassent le seuil d’inflammabilité du mélange gazeux H2 + O2 (air) + H2O (voir la figure 17.1).

Figure 17.1. Le diagramme de Shapiro, donnant les limites d’inflammabilité d’un mélange hydrogène-eau-air (les limites indiquées de détonabilité ont été remises en cause par des études ultérieures). IRSN.

Explosion de vapeur

S’il y a de l’eau dans le fond de la cuve du réacteur ou bien dans le puits de cuve, le corium peut entrer en interaction (de nature thermodynamique) avec l’eau, soit au fond de la cuve en cas de coulée (« relocalisation ») de corium fondu dans cette zone, soit dans le puits de cuve en cas de défaillance du fond de la cuve. Une interaction très énergétique peut alors se produire entre le corium et l’eau, le corium étant à une température bien plus élevée que celle de l’eau. Au contact de l’eau, le corium peut être fortement fragmenté et produire une vaporisation quasi instantanée et massive de l’eau. Ce phénomène est appelé explosion de vapeur.

Autres cas

Il convient aussi de mentionner le cas de défaillances du confinement préexistantes, qui peuvent conduire à des rejets précoces importants (par exemple un défaut d’étanchéité au niveau d’une traversée de l’enceinte de confinement).

17.1.5.Phénomènes pouvant conduire
à une défaillance différée du confinement

Lorsque du corium vient au contact du béton du radier de l’enceinte de confinement dans le puits de cuve, ce béton se décompose sous l’effet de la chaleur dégagée par le corium.

Cette décomposition entraîne l’érosion progressive du radier, l’incorporation dans le corium de constituants du béton (par exemple, des oxydes de calcium et de la silice) et la production de gaz carbonés, principalement du monoxyde de carbone et du dioxyde de carbone. De l’hydrogène peut également être produit par oxydation des matériaux métalliques non encore oxydés présents dans le corium ou provenant de la fusion des armatures métalliques du béton du radier. L’interaction entre le corium et le béton contribue ainsi au risque de défaillance du confinement par fissuration ou percement du radier (si ce dernier est érodé de façon importante) et au risque de combustion par la production d’hydrogène et de monoxyde de carbone (gaz également inflammable).

Pour les réacteurs français, les évaluations des cinétiques de percement des radiers réalisées pour les différents réacteurs en tenant compte de l’épaisseur du béton du radier et du type de béton employé (siliceux ou silico-calcaire) avaient permis, sur la base des connaissances disponibles en 2015 sur l’interaction corium-béton, de considérer qu’il n’y aurait pas de percement de radier avant 24 heures – y compris pour les deux réacteurs de Fessenheim dont les radiers ont été épaissis (voir le paragraphe 30.4.5). Toutefois, en 2019, dans le cadre de l’instruction des études présentées par Électricité de France sur la maîtrise des accidents de fusion du cœur après le déploiement des modifications post-Fukushima, l’IRSN a estimé que, compte tenu des connaissances disponibles, des incertitudes subsistaient sur les phénomènes complexes régissant la stabilisation d’un corium dans le cas des radiers en béton très siliceux, qui font encore l’objet de travaux de recherche importants.

17.2.Les modes de défaillance du confinement

Comme cela a été indiqué au chapitre 14, le professeur Norman C. Rasmussen du Massachusetts Institute of Technology a dirigé de 1972 à 1975, à la demande de l’autorité de sûreté américaine, une étude scientifique des risques induits par l’utilisation de réacteurs nucléaires de puissance (réacteurs à eau sous pression ou réacteurs à eau bouillante) – avec une comparaison à d’autres sources de risques pour les populations (météorites par exemple). Cette étude a comporté une recherche systématique des accidents envisageables. Les conclusions générales du rapport sont exprimées sous forme de courbes donnant la probabilité en fonction du nombre de morts « attendus » par cancers.

Publié en 1975 sous les références WASH 1 400 et NUREG 75-014, le rapport correspondant est le premier exemple d’une étude probabiliste de sûreté (EPS) globale allant jusqu’à chiffrer les probabilités de conséquences pour les populations (EPS dite de niveau 3).

Dans ce rapport, Norman C. Rasmussen a introduit une classification des modes possibles de défaillance de l’étanchéité de l’enceinte de confinement (figure 17.2) qui est toujours utilisée. On y trouve cinq modes principaux :

–le mode α : il vise l’explosion de vapeur dans la cuve ou dans le puits de cuve résultant d’une interaction entre le corium et l’eau de refroidissement, provoquant la défaillance à court terme de l’étanchéité de l’enceinte de confinement ;

–le mode β : défaut d’étanchéité de l’enceinte de confinement, présent au début de l’accident ou rapidement induit par celui-ci ;

–le mode γ : explosion d’hydrogène dans l’enceinte de confinement, conduisant à la perte de son étanchéité ;

–le mode δ : mise en surpression lente de l’enceinte de confinement, conduisant à la perte de son étanchéité ;

–le mode ε : attaque du radier en béton par le corium, conduisant au percement du radier et donc à la perte de l’étanchéité de l’enceinte de confinement.

Figure 17.2. Représentation schématique des modes possibles de défaillance de l’étanchéité de l’enceinte de confinement (événement initiateur : brèche du circuit primaire), d’après le rapport Rasmussen. Georges Goué/Médiathèque IRSN.

S’y ajoute le mode V, bipasse ou « contournement » de l’enceinte de confinement par l’intermédiaire de tuyauteries sortant de cette enceinte, traité de manière séparée car il ne relève pas directement du comportement du bâtiment.

Les scénarios décrits conduisant à une défaillance de l’étanchéité de l’enceinte de confinement correspondent, à l’exception du mode β, à des accidents avec fusion du cœur à plus ou moins long terme, entraînant la défaillance mécanique de la cuve du réacteur.

D’autres modes de défaillance ont été identifiés postérieurement à la diffusion du rapport Rasmussen, notamment, au début des années 1980, la possibilité d’une défaillance de l’étanchéité de l’enceinte de confinement par « échauffement direct des gaz de l’enceinte » (voir plus haut).

Sans attendre, l’exploitation du rapport Rasmussen pour la sûreté des réacteurs français a été engagée dès 1975. Elle a, en premier lieu, été essentiellement orientée vers la recherche de dispositions permettant de limiter les conséquences des accidents de fusion du cœur. Mais, à la suite de l’accident de Three Mile Island, il est apparu indispensable de réfléchir aux dispositions et aux moyens qui permettraient de traiter un accident de fusion du cœur de manière approfondie. L’approche retenue a consisté d’une part à mettre en place à court terme des dispositions et des moyens permettant de mieux prévenir les accidents de fusion du cœur et d’en limiter les conséquences, d’autre part à mener des études et à entreprendre des travaux de recherche et développement pour améliorer les connaissances sur la physique de ce type d’accident551. Parmi les dispositions et les moyens mis en place, citons la mise en œuvre de procédures spécifiques (il s’agira des procédures dites H [« hypothétiques »], visant la prévention d’une fusion du cœur et de procédures dites U [« ultimes »] visant la limitation des conséquences d’une fusion du cœur552) et une nouvelle organisation de la conduite, l’amélioration de la prise en compte du retour d’expérience et le développement d’outils de simulation et de moyens utilisables dans les situations d’urgence.

Une meilleure connaissance du comportement des enceintes de confinement dans des conditions très éloignées de celles qui avaient été retenues pour leur conception même – qui est déterminant pour les conséquences d’un accident de fusion du cœur –, et la mise en place d’outils de simulation des évolutions possibles d’une situation accidentelle, des rejets correspondants et de leurs transferts dans l’environnement sont vite apparues indispensables pour permettre aux responsables de prendre, en temps utile, les décisions les plus adaptées à la protection des personnes et de l’environnement.

Des études (voir également le chapitre 14) ont donc été entreprises tant par Électricité de France que par l’IPSN pour :

–étudier les modes possibles de défaillance de l’enceinte de confinement et déterminer les moyens d’y faire face dans les meilleures conditions possibles,

–déterminer les rejets dans l’environnement correspondant à différents scénarios de référence d’accident de fusion du cœur (voir le paragraphe suivant).

Les enseignements de ces travaux ont conduit Électricité de France à mettre en place dans les réacteurs des dispositions spécifiques (bouchage des passages dans le puits de cuve, installation du « filtre à sable » associé à la procédure dite U5…) ; ils lui ont aussi servi de base à la rédaction, pour chacun des paliers de réacteurs, d’un guide d’intervention en accident grave (GIAG), qui préconise les actions spécifiques à mettre en œuvre en cas d’accident grave pour assurer, le plus longtemps possible, le meilleur confinement possible des substances radioactives (passage d’un objectif de prévention de la fusion à un objectif de maintien du confinement).

De leur côté, les pouvoirs publics français ont étudié et mis en place des dispositions pour la protection des populations autour des sites nucléaires – précisées dans les plans particuliers d’intervention (PPI) –, en complément des dispositions générales relevant du dispositif ORSEC553 (voir le chapitre 38).

L’accident survenu en 2011 à la centrale nucléaire de Fukushima Daiichi, qui a conduit à la fusion de trois cœurs de réacteur, avec des rejets importants, a conduit à réévaluer en profondeur l’efficacité des dispositions déjà prises en matière de prévention et de limitation des conséquences d’un accident de fusion du cœur dans les réacteurs français et à chercher à les renforcer, avec une attention particulière aux accidents susceptibles de survenir dans les bâtiments abritant les piscines d’entreposage du combustible. Cette réévaluation est développée au chapitre 36.

17.3.Classification des rejets associés aux accidents
de fusion du cœur – Les « termes sources »

Sur la base du rapport Rasmussen554, l’IPSN a déterminé des rejets-types, appelés termes sources. Un terme source est un rejet typique (dans l’atmosphère), caractéristique d’une famille de réacteurs et représentatif d’un type d’accident, c’est-à-dire, en général, d’un mode de défaillance de l’enceinte de confinement, en supposant la fusion complète du cœur du réacteur ; il est considéré pour définir les actions à prévoir en vue de la protection des populations dans ces conditions.

Trois termes sources de gravité décroissante ont alors été définis :

–le terme source S1 correspondait à une défaillance de l’enceinte de confinement à court terme, soit quelques heures au plus après le début de l’accident ;

–le terme source S2 correspondait à des rejets directs dans l’atmosphère dus à une perte d’étanchéité de l’enceinte de confinement survenant un ou plusieurs jours plus tard ;

–le terme source S3 correspondait à des rejets dans l’atmosphère, indirects et différés, par des voies permettant une rétention significative des produits de fission.

Si l’on reprend la classification de Rasmussen, les modes α, β et γ pourraient conduire à des rejets de type S1. Le mode δ pourrait conduire à des rejets de type S2. Le mode ε, défaillance de l’étanchéité de l’enceinte par percement du radier, pourrait conduire à des rejets du type S3 car ils seraient alors filtrés par le sol présent sous le radier avant d’être diffusés dans l’atmosphère.

Le tableau suivant précise les ordres de grandeur des rejets associés aux trois termes sources pour un réacteur de 900 MWe, tels qu’ils étaient appréciés dans les années 1980.

Tableau 17.1. Termes sources S1, S2 et S3 pour un REP de 900 MWe exprimés en pourcentages de l’activité initiale des produits radioactifs présents dans le cœur du réacteur.

Terme source

S1

S2

S3

Gaz rares

80

75

75

Iode non organique

60

2,7

0,3

Iode organique

0,7

0,55

0,55

Césium

40

5,5

0,35

Tellure

8

5,5

0,35

Strontium

5

0,6

0,04

Ruthénium

2

0,5

0,03

Lanthanides et actinides

0,3

0,08

0,005

Le terme source S3 a été en partie actualisé à la fin des années 1980 en tenant compte de l’évolution des connaissances et après la mise en place des procédures U sur les réacteurs français, et notamment de la procédure U5 associée à un système permettant d’écrêter la pression dans l’enceinte de confinement en cas d’accident : il s’agit d’une ligne d’éventage munie d’un filtre à sable, qui a été ultérieurement équipée d’un préfiltre métallique positionné dans l’enceinte de confinement pour limiter la radioactivité dans le filtre à sable, qui pouvait poser des problèmes de protection radiologique sur le site et d’échauffement du filtre à sable.

À la fin des années 1990, il a ainsi été convenu de représenter le terme source S3 de référence par un rejet différé et filtré via le filtre à sable. Ce rejet est supposé étalé entre 24 et 48 heures après le début de l’accident. Il a constitué la base technique des plans d’urgence à l’extérieur des sites (PPI).

Les conséquences radiologiques associées au terme source S3 sont explicitées plus loin, au paragraphe 17.7, ainsi que la relation de ce terme source avec la définition des dispositions retenues dans les plans particuliers d’intervention. Les conséquences radiologiques dépendent essentiellement à court terme des rejets d’iode et à plus long terme des rejets de césium : en termes pratiques, les rejets d’iode « gouvernent » les dispositions à prendre à court terme pour la protection des personnes du public tandis que les rejets de césium « gouvernent » les dispositions à prendre à moyen et long termes.

17.4.Amélioration des connaissances

Depuis l’accident de Three Mile Island, de nombreux résultats expérimentaux ont été acquis au plan international concernant les phénomènes associés à un accident de fusion du cœur555. La France (dont l’IRSN) a joué un rôle important dans leur obtention, en particulier grâce aux programmes Phébus-CSD puis Phébus-PF réalisés au centre d’études nucléaires de Cadarache. La connaissance et la compréhension des phénomènes complexes intervenant lors d’un tel accident ont très nettement progressé et les capacités de prédiction de l’évolution de l’état du réacteur à l’aide de logiciels de simulation ont été nettement améliorées.

Les connaissances continuent d’évoluer, par exemple sur le comportement de l’iode dans le circuit primaire et l’enceinte de confinement ainsi que sur les systèmes de filtration utilisables lors d’un accident de fusion du cœur. Des programmes de recherche conséquents ont été définis au plan international dans l’objectif d’améliorer, dans les années 2020, les dispositions visant à réduire les rejets et de développer des outils permettant de mieux prévoir les rejets pour améliorer la gestion d’un accident réel.

17.5.Les études françaises des modes de défaillance
de l’étanchéité de l’enceinte de confinement

17.5.1.Introduction

Après la définition des termes sources, les études menées en France à la suite du rapport Rasmussen ont concerné la recherche de dispositions qui permettraient de renforcer la dernière barrière de confinement des réacteurs du parc électronucléaire français, compte tenu des différents modes possibles de défaillance des enceintes de confinement.

Ces études ont été faites avec un souci de réalisme. Il ne s’agissait pas de réaliser une « démonstration » avec des hypothèses majorantes mais de rechercher de façon pragmatique des améliorations d’installations dont la conception de base était figée et de définir des procédures permettant d’assurer la protection des populations dans les meilleures conditions possibles – ces améliorations et ces procédures pouvant néanmoins nécessiter la mise en place de matériels complémentaires.

Ainsi, à la suite de l’accident survenu à la centrale de Three Mile Island, des procédures « ultimes » (procédures U) et des dispositions complémentaires ont été progressivement mises en place sur l’ensemble des tranches du parc français en vue d’éviter ou de réduire les conséquences radiologiques d’un accident de fusion du cœur. Le guide d’intervention en accident grave556 (GIAG) d’Électricité de France préconise les actions spécifiques à mettre en œuvre sous le contrôle des équipes de crise, notamment, lorsque le déroulement de l’accident le rend nécessaire, les procédures ultimes précitées de façon à assurer un confinement adéquat des substances radioactives.

17.5.2.Défaut d’étanchéité initial de l’enceinte de confinement

En fonctionnement normal, l’étanchéité globale de l’enceinte de confinement est surveillée en continu par un système fondé sur une mesure de pression, capable de détecter une fuite importante (sas ou traversée en position ouverte). De plus, des essais périodiques individuels des organes d’isolement des traversées de l’enceinte de confinement permettent de vérifier leur étanchéité. Enfin, la mise en pression de l’enceinte de confinement au début de l’exploitation du réacteur (notamment avant le premier chargement du combustible dans le cœur), puis tous les dix ans, permet de comparer son taux de fuite global à celui qui est fixé par les prescriptions techniques. Tous ces contrôles visent à apprécier les fuites de l’enceinte de confinement et à éviter la présence d’un défaut important d’étanchéité.

Il est à noter qu’il est tout particulièrement important d’éviter les fuites directes (c’est-à-dire des fuites non collectées, rejetées directement dans l’environnement sans retard et sans filtration), vu leur impact en termes de conséquences radiologiques. Lors d’un accident de fusion du cœur, des fuites directes peuvent cependant se produire par exemple si l’isolement automatique des différentes traversées est défaillant ou si les sas présentent des défauts d’étanchéité. Ce mode de défaillance du confinement, dénommé mode β, peut conduire, pratiquement dès le début de l’accident, à des relâchements directs de radioactivité dans l’environnement, à l’égard desquels une protection « satisfaisante » des populations proches ne pourrait pas être assurée dans tous les cas.

Pour y faire face, Électricité de France a développé la procédure U2 dénommée « Conduite à tenir en cas de défaut d’isolement de l’enceinte de confinement ». Cette procédure définit les modalités de surveillance de l’étanchéité de l’enceinte de confinement en situation accidentelle dès qu’une certaine radioactivité y est présente (même s’il ne s’agit pas d’un accident de fusion du cœur), ainsi que de détection et de localisation des éventuels défauts d’étanchéité en vue d’y remédier si possible. Cette procédure U2 complète la surveillance continue des fuites de l’enceinte de confinement en fonctionnement normal, qui ne permet la détection que de fuites très importantes.

La procédure U2 regroupe en fait :

–les conditions de surveillance du confinement par la mesure de l’activité rejetée par la cheminée et par celle de l’activité présente dans l’enceinte, dans les circuits d’échantillonnage du circuit primaire et dans les puisards des locaux périphériques de l’enceinte ;

–les actions à effectuer ; il s’agit par exemple de la confirmation d’ordres d’isolement, de la localisation des fuites et de la mise en œuvre de moyens permettant de les supprimer, du confinement de locaux ou, lorsque la situation est maîtrisée et permet la réouverture de certaines traversées de l’enceinte de confinement, de la réinjection, dans le bâtiment du réacteur, d’effluents liquides recueillis dans les bâtiments périphériques.

17.5.3.Échauffement direct des gaz
dans l’enceinte de confinement

Le principal risque associé à ce phénomène – qui résulterait d’une défaillance (percement) sous pression de la cuve par le corium – est une perte d’étanchéité de l’enceinte de confinement due à une augmentation rapide de la pression dans celle-ci. Cette augmentation de pression serait provoquée par la fragmentation et la dispersion du corium dans l’enceinte de confinement, phénomènes qui provoqueraient l’échauffement des gaz de l’enceinte et pourraient déclencher la combustion de l’hydrogène qui s’y trouve.

La prévention d’un échauffement direct de l’enceinte consiste à réduire la possibilité d’une fusion du cœur sous pression ; de façon ultime, cela conduit à prévoir de dépressuriser volontairement le circuit primaire en visant à ce que la pression dans la cuve soit inférieure à 15 ou 20 bars (en ordre de grandeur) au moment de sa défaillance.

17.5.4.Explosion d’hydrogène dans l’enceinte de confinement

Une combustion de la totalité de l’hydrogène produit par l’oxydation des gaines en zirconium de la « partie active » du cœur (ce qui correspond à 80 % de la masse totale de zirconium contenue dans le cœur) conduirait à un pic de pression qui pourrait affecter l’étanchéité de l’enceinte de confinement.

Face à ce risque, l’IPSN a souligné, dès le début des années 1990, l’intérêt qu’il y aurait à équiper les réacteurs du parc électronucléaire de dispositifs, tels que des recombineurs catalytiques passifs557, permettant une recombinaison de l’hydrogène avec l’air (en présence le cas échéant de vapeur d’eau558) de façon à éviter le domaine de combustion. À ce stade, Électricité de France privilégiait la recherche d’une démonstration réaliste de la tenue des enceintes de confinement dans les conditions d’une explosion d’hydrogène, notamment de celles des réacteurs de 900 MWe équipées d’une peau métallique.

Les recombineurs catalytiques passifs d’hydrogène sont des dispositifs comportant des plaques d’un matériau catalytique (platine ou palladium), disposées dans un boîtier métallique dont la fonction est d’assurer la circulation des gaz entre les plaques (voir la figure 17.3). Au contact de ces plaques catalytiques, l’hydrogène et l’oxygène présents dans l’atmosphère de l’enceinte de confinement réagissent en produisant de la vapeur d’eau.

Après de longues discussions, tous les réacteurs du parc électronucléaires ont en définitive été progressivement équipés de recombineurs d’hydrogène559. La décision a été prise après l’obtention de résultats probants, à l’issue d’un processus de qualification entrepris par les constructeurs, sur le fonctionnement de ces dispositifs dans les conditions d’un accident de fusion du cœur, et a été confortée par les résultats des programmes de recherche menés dans le cadre de projets nationaux et internationaux sur le « risque hydrogène » – auxquels l’IPSN a participé560. Les recombineurs mis en place dans les enceintes des réacteurs à eau sous pression sont ainsi conçus pour fonctionner dans les conditions de pression, de température, d’humidité et d’ambiance radioactive correspondant aux conditions rencontrées lors d’un accident grave et la qualification de ces matériels tient compte des risques d’empoisonnement des plaques catalytiques par les aérosols provenant du cœur fondu et de l’acide borique lié au fonctionnement éventuel du système d’aspersion. Des recombineurs d’hydrogène ont également été implantés dans les centrales électronucléaires de pays voisins.

Figure 17.3. Schéma de principe d’un recombineur catalytique passif d’hydrogène. Les plaques catalytiques (à droite) sont positionnées verticalement dans des éléments qui sont installés dans des tiroirs horizontaux (à gauche). Ahmed Bentaïb/Médiathèque IRSN.

Si cette disposition a permis de réduire fortement la probabilité d’une combustion d’hydrogène pouvant affecter l’étanchéité de l’enceinte de confinement, elle ne permet pas d’exclure totalement une telle combustion. C’est pourquoi ce phénomène fait encore l’objet d’études et de recherches pour disposer d’éléments techniques permettant de mieux apprécier le risque associé de défaillance du confinement et développer éventuellement de nouveaux dispositifs.

17.5.5.Explosion de vapeur dans la cuve
ou dans le puits de cuve

Une explosion de vapeur peut se produire si du corium chaud et fragmenté entre en contact avec de l’eau, soit dans le fond de la cuve du réacteur, soit dans le puits de cuve (eau provenant de la brèche et du fonctionnement du système d’aspersion) après la défaillance de celle-ci.

L’énergie mécanique développée par une explosion de vapeur dans la cuve (associée aux phénomènes d’ondes de choc et de détente de la bulle de vapeur) pourrait provoquer la rupture de la cuve et l’émission de projectiles susceptibles d’affecter l’intégrité de l’enceinte de confinement, notamment du couvercle de la cuve. Le mode α, tel que défini dans le rapport Rasmussen, correspond à une explosion de vapeur dans la cuve entraînant une rupture de celle-ci avec projection du couvercle de la cuve.

Pour ce qui concerne une telle explosion de vapeur dans la cuve, des études de mécanique réalisées dans différents pays ont permis d’acquérir la conviction qu’une défaillance directe de l’intégrité de l’enceinte de confinement par mode α est très peu probable.

Concernant l’explosion de vapeur qui pourrait se produire en cas de coulée de corium dans un puits de cuve noyé, l’énergie mécanique résultante pourrait affecter la tenue des structures attenantes au puits de cuve (notamment les murs et les planchers attenants), ainsi que celle de divers composants du circuit primaire et surtout de l’enceinte de confinement.

En vue d’éliminer le risque associé à une explosion de vapeur dans le puits de cuve, Électricité de France étudie la mise en place de dispositions qui permettraient de maintenir le puits de cuve sec jusqu’à la défaillance de la cuve et l’écoulement puis l’étalement du corium dans le puits de cuve et des locaux adjacents. De telles dispositions ont été définies dans le cadre du réexamen périodique associé aux quatrièmes visites décennales des réacteurs de 900 MWe et mises en place dans ce cadre. Des dispositions analogues seront examinées dans le cadre des prochains réexamens périodiques des réacteurs de 1 300 MWe et 1 450 MWe. Le cas du réacteur EPR est traité au paragraphe 17.10.3.

17.5.6.Augmentation progressive de la pression
dans l’enceinte de confinement

Le mode δ correspond à une défaillance de l’étanchéité de l’enceinte de confinement par surpression, due à l’échauffement de son atmosphère en l’absence d’une extraction suffisante de l’énergie libérée par les produits de fission et à la formation progressive d’une très grande quantité de gaz pendant l’érosion du béton du radier par le corium. À ces gaz pourrait s’ajouter la vapeur résultant de l’évaporation de l’eau qui serait utilisée pour tenter de ralentir la progression du corium en le refroidissant.

En l’absence de refroidissement de l’atmosphère de l’enceinte de confinement, la pression dans cette enceinte augmenterait inexorablement, ce qui pourrait conduire à une perte d’étanchéité de celle-ci au-delà de 24 heures.

Devant la possibilité d’une défaillance irréversible de l’étanchéité de l’enceinte de confinement, il est apparu opportun de disposer d’un moyen de maîtrise de la pression dans cette enceinte en procédant à des rejets filtrés.

La solution retenue a consisté à utiliser une traversée existante de l’enceinte de confinement prévue notamment pour sa décompression lors de l’essai en pression initial et des essais périodiques ultérieurs du même type. Le système installé, dit d’éventage-filtration, est composé d’un ensemble de vannes, d’un dispositif de détente et d’un caisson de filtration comportant un lit de sable d’une surface de 42 m2 et d’une épaisseur de 80 cm ; il est interposé à l’extérieur de l’enceinte de confinement entre la traversée et la cheminée.

Les exigences fixées pour le système d’éventage-filtration étaient :

–d’écrêter d’abord, puis de faire décroître la pression à l’intérieur de l’enceinte de confinement,

–de réduire d’un facteur 10 au moins l’activité des aérosols contenus dans les gaz rejetés,

–de canaliser les gaz filtrés vers la cheminée où leur activité est mesurée.

Des études sur l’efficacité de la filtration par un tel lit de sable et d’optimisation de la géométrie et des conditions d’écoulement dans ce filtre ont été menées au début des années 1990 par l’IPSN dans ses installations de recherche de Cadarache, en collaboration avec Électricité de France. Ces études, qui visaient à établir la qualification des filtres aux conditions accidentelles d’un accident grave, ont montré la possibilité d’obtenir, voire de dépasser l’efficacité minimale recherchée (à savoir un facteur de réduction de 10 pour les aérosols) : les essais FUCHIA, réalisés avec des filtres à l’échelle 1, ont en effet montré une efficacité de filtration par le sable du filtre supérieure d’un ordre de grandeur à l’efficacité minimale recherchée pour les aérosols.

Cependant, il a été constaté, lors d’études ultérieures, que l’accumulation en cas d’accident de radionucléides dans le sable du filtre pourrait poser des problèmes de protection radiologique sur le site et d’échauffement du filtre. De plus, la condensation rapide de vapeur d’eau dans les tuyauteries pourrait entraîner une déflagration d’hydrogène (le mélange air-hydrogène-vapeur sortant de l’enceinte de confinement devenant explosif du fait de la diminution rapide de la concentration de vapeur). Diverses dispositions complémentaires ont alors été mises en place, notamment l’ajout d’un préfiltre sur le système d’éventage-filtration à l’intérieur même de l’enceinte de confinement, qui filtre les aérosols561, et l’ajout d’un dispositif de chauffage de la ligne à l’extérieur de l’enceinte de confinement en amont du filtre à sable. Le préfiltre permet de limiter la radioactivité dans le filtre à sable, le chauffage de la ligne permet d’y éviter la condensation de vapeur.

La procédure d’éventage-filtration de l’enceinte (U5) ne serait mise en œuvre sur un site, en cas d’accident de fusion du cœur d’un réacteur, qu’en concertation étroite avec les pouvoirs publics. Le dispositif d’éventage-filtration ne devrait être ouvert qu’après un délai minimum de 24 heures suivant le début de l’accident ; ce délai vise d’une part à ne procéder à des rejets qu’après que les concentrations des substances radioactives en suspension dans l’enceinte de confinement ont suffisamment décru, d’autre part à laisser un temps suffisant pour la mise en œuvre de mesures de protection des populations (évacuation préventive, mise à l’abri) en rapport avec le niveau attendu des rejets dans l’environnement.

La filtration des produits de fission continue de faire l’objet de recherches. Une attention particulière est portée à la filtration des espèces gazeuses d’iode, notamment les iodures organiques, en vue de réduire les conséquences radiologiques à court terme d’un accident ; les recherches portent tant sur l’amélioration des systèmes de filtration existants que sur l’étude de médias filtrants innovants.

17.5.7.Traversée du radier en béton de l’enceinte
de confinement par le corium

Le mode ε correspond à une défaillance de l’étanchéité de l’enceinte de confinement du fait de la traversée de son radier en béton par le corium.

Dans l’état actuel des connaissances issues des recherches sur l’interaction corium-béton, l’attaque d’un radier en béton par le corium pourrait aboutir, en l’absence de mesures de refroidissement de celui-ci, à une traversée totale du radier dans un délai variable selon les caractéristiques du radier (nature du béton562, épaisseur du radier563), mais supérieur à 24 heures pour tous les radiers des tranches de 900 MWe, de 1 300 MWe et de 1 450 MWe564.

Dans le cadre du réexamen périodique associé aux quatrièmes visites décennales des tranches de 900 MWe, Électricité de France s’est fixé comme objectif d’éviter la traversée du radier en cas d’accident avec fusion du cœur et propose de mettre en place des dispositions appropriées. Ces dispositions consistent à refroidir le corium en le noyant par de l’eau après son étalement dans le puits de cuve et dans un local attenant au puits de cuve. Le bon étalement du corium dans le puits de cuve et le local attenant suppose qu’il n’y ait pas d’eau dans ces locaux lors de l’arrivée du corium. Électricité de France préconise une conduite permettant de maintenir le puits de cuve sec jusqu’aux coulées de corium après la défaillance de la cuve, ce qui éviterait de plus le risque d’explosion de vapeur dans le puits de cuve565.

Par ailleurs, l’IRSN a engagé dans les années 2000 des investigations sur les dispositions (parades « voie eau »566) qui pourraient être mises en œuvre à titre préventif, pour éviter que, en cas de traversée d’un radier par un corium, les eaux fortement contaminées des puisards n’atteignent des eaux souterraines, puis une rivière ou une mer proche. Ces dispositions pourraient associer, sous une forme qu’il conviendrait d’adapter à chacun des sites, une barrière statique (par exemple une enceinte géotechnique située sous le bâtiment du réacteur) et un moyen de confinement dynamique (un système de pompage et de traitement des eaux récupérées). Les moyens de traitement d’eaux contaminées pourraient faire l’objet de réflexions et d’études dans le cadre de la préparation à la gestion d’un éventuel accident.

17.5.8.Dispositions « U4 »

En raison de la présence dans le radier, dans la conception initiale des centrales d’Électricité de France, de drains et de traversées (notamment pour les dispositifs d’auscultation du radier), des dispositions de construction ont été prises pour empêcher des rejets direct de gaz et d’aérosols dans l’environnement à la suite d’une érosion du radier par le corium (obturation de ces drains et de ces traversées avec un mortier ou fermeture par des bouchons métalliques appropriés soudés aux extrémités pour les tuyaux non fermés initialement).

Dans le cas spécifique des tranches du site de Cruas dont le radier repose sur des patins antisismiques solidaires d’un deuxième radier, l’espace libre entre les radiers est en communication avec l’atmosphère et pourrait, en cas d’accident avec fusion du cœur, constituer un chemin de fuite conduisant à des rejets dans l’atmosphère de gaz et d’aérosols non filtrés. Cela a conduit Électricité de France à prévoir des dispositions spécifiques (« U5 – Cruas » et « U4 – Cruas ») visant à éviter de tels rejets. Ces dispositions consistent :

–d’une part, à dépressuriser l’enceinte de confinement de façon à obtenir une égalité de pression entre celle-ci et l’espace situé entre les radiers au moment de la traversée du premier radier par le corium, de telle sorte que le contenu de l’atmosphère de l’enceinte ne soit pas « expulsé » dans l’espace situé entre les radiers,

–d’autre part, à noyer complètement cet espace avec de l’eau de façon à réduire les rejets dans l’environnement grâce aux effets de dilution, de filtration et de refroidissement en résultant et à ajouter de la soude à cette eau de façon à obtenir un milieu basique favorable à la solubilité de l’iode présent.

17.5.9.Bipasse du confinement par des tuyauteries
sortant de l’enceinte de confinement (mode V)

Les accidents de bipasse du confinement dits V-LOCA sont dus à une perte de réfrigérant primaire par une brèche située à l’extérieur de l’enceinte de confinement dans un circuit relié au circuit primaire et non isolé de celui-ci ; ils présentent deux caractéristiques particulières :

–la perte de réfrigérant primaire ayant lieu à l’extérieur de l’enceinte de confinement, la recirculation d’eau dans le système d’injection de sécurité est impossible ;

–en cas de fusion du cœur, des produits de fission seraient relâchés directement à l’extérieur de l’enceinte de confinement si la brèche n’a pas été isolée.

Pour éviter une perte d’étanchéité de l’enceinte de confinement par mode V, Électricité de France a mis en œuvre des modifications de conception et d’exploitation sur l’ensemble des réacteurs du parc français, notamment à l’égard du risque de bipasse de l’enceinte en cas de rupture de la barrière thermique d’une pompe primaire et de la portion du circuit refroidissant cette dernière. Ces modifications visent à « éliminer pratiquement » les accidents V-LOCA qui pourraient conduire à des rejets précoces importants.

17.5.10.Accidents d’insertion rapide de réactivité

Les accidents d’insertion rapide (et importante) de réactivité dans le cœur d’un réacteur à eau sous pression relèvent essentiellement567 des scénarios de transfert accidentel dans le cœur d’un « bouchon » d’eau insuffisamment borée ; ces accidents, dits de « dilution hétérogène », pourraient résulter d’erreurs des opérateurs, de dysfonctionnements de systèmes auxiliaires ou de fuites de tubes de générateurs de vapeur et font l’objet d’études détaillées.

Les études menées en France sur ces scénarios, entreprises à la suite de l’accident survenu en 1986 à la centrale de Tchernobyl, sont présentées dans le chapitre 35 du présent ouvrage.

17.6.Le guide d’intervention en accident grave (GIAG)

Pour les réacteurs du parc électronucléaire français, le guide d’intervention en accident grave (GIAG) rédigé par l’exploitant vise à apporter une aide aux équipes techniques de crise d’Électricité de France en vue d’assurer, le plus longtemps possible, le meilleur confinement possible des substances radioactives. Dans ce guide, sont décrites les actions possibles ainsi que des recommandations pour diminuer les conséquences d’un accident grave. Ces actions et recommandations font l’objet de discussions entre les experts d’Électricité de France et ceux de l’IRSN, pour tenir compte du progrès des connaissances sur les accidents graves.

Dès lors que le GIAG serait mis en œuvre568, la priorité ne serait plus la « sauvegarde » du cœur du réacteur mais celle du confinement.

La mise en œuvre du GIAG entraîne l’abandon par l’équipe de conduite des procédures de conduite accidentelle en cours. La responsabilité de la conduite est alors transférée de l’équipe de conduite aux équipes techniques de crise. Le GIAG fournit une aide aux équipes de crise d’Électricité de France pour déterminer la meilleure stratégie d’utilisation des systèmes disponibles pour la sauvegarde du confinement. L’équipe de conduite met en œuvre les actions de conduite correspondantes à la demande de l’équipe technique locale de crise.

Des instrumentations spécifiques sont ou seront mises en place lors des visites décennales dans les réacteurs en exploitation en France, en vue de permettre aux équipes techniques de crise d’Électricité de France de mieux apprécier le développement d’un accident de fusion du cœur et de mieux informer les autorités sur le déroulement de l’accident (détection d’hydrogène dans l’enceinte, détection de l’arrivée de corium sur le radier dans le puits de cuve).

17.7.Conséquences radiologiques associées
au « terme source » S3 et plans d’intervention
des pouvoirs publics

Au début des années 1980, les pouvoirs publics français ont examiné quelles étaient les possibilités réalistes de mise en œuvre de mesures de protection des populations (mise à l’abri, évacuation) autour des sites nucléaires. Ils ont alors estimé que, compte tenu des caractéristiques des sites français, il serait possible de réaliser, dans un délai de 12 à 24 heures après le début d’un accident, l’évacuation de la population présente dans un rayon de 5 km autour du site et la mise à l’abri de la population dans un rayon de 5 à 10 km autour du site. Il a alors été constaté que la mise en œuvre de ces mesures permettrait d’assurer une protection « satisfaisante » à court terme des populations pour un rejet correspondant au terme source S3 évalué à l’époque, compte tenu des niveaux d’intervention recommandés alors par les organisations internationales.

Les plans particuliers d’intervention (PPI) ont alors été définis sur cette base.

La réévaluation menée ultérieurement n’a pas conduit à les modifier (il a été vu au paragraphe 17.3 que le terme source S3 actualisé correspondait aux rejets résultant de l’utilisation du système d’éventage-filtration de l’enceinte de confinement pour dépressuriser cette enceinte 24 heures après le début d’un accident menant à la fusion du cœur569).

Les calculs de conséquences radiologiques ont été faits en tenant compte des conditions météorologiques. Les résultats sont exprimés en termes de doses efficaces dues au panache radioactif (expositions externe et interne), aux dépôts au sol et à l’ingestion ainsi qu’en termes de doses équivalentes à la thyroïde (essentiellement dues à l’iode). Les doses reçues par l’homme sont estimées en utilisant les valeurs des coefficients de dose (définies dans les publications de la Commission internationale de protection radiologique – CIPR). Les résultats ont été appréciés en tenant compte des mesures de protection des populations applicables.

Les actions de protection des populations qui peuvent être mises en œuvre pendant la phase d’urgence sont indiquées dans les plans particuliers d’intervention, établis par les préfets. Plusieurs actions peuvent être envisagées par les préfets pour protéger les populations :

–la mise à l’abri ;

–l’ingestion d’iodure de potassium (iode stable), afin de saturer la glande thyroïde et éviter la fixation d’iode radioactif : sur ordre du préfet les personnes susceptibles d’être touchées570 par des rejets d’iodes radioactifs ingèrent la dose prescrite d’iodure de potassium ; l’efficacité de cette mesure est optimale quand l’ingestion d’iodure de potassium est faite deux heures avant l’exposition aux rejets ;

–l’évacuation.

En 2007, par sa publication CIPR 103, puis en 2009 par sa publication CIPR 109, la CIPR a diffusé des recommandations en matière de protection des personnes du public en cas de situation accidentelle.

En France, une décision de l’Autorité de sûreté nucléaire datant d’août 2009 référencée 2009-DC-0153, homologuée par un arrêté du ministre chargé de la santé en date du 20 novembre 2009, a fixé des niveaux d’intervention applicables en situation d’urgence radiologique à :

–une dose efficace de 10 mSv pour la mise à l’abri,

–une dose efficace de 50 mSv pour l’évacuation,

–une dose équivalente à la thyroïde de 50 mSv pour l’administration d’iodure de potassium571.

Ces niveaux ne sont pas des seuils mais sont destinés à guider les pouvoirs publics pour la définition et la mise en œuvre d’actions de protection des populations en cas d’accident.

Pour le terme source S3 actualisé (voir le paragraphe 17.3), l’IRSN a déterminé que les doses pour la population la plus radiosensible pourraient rester supérieures à 50 mSv jusqu’à 6 km et supérieures à 50 mSv à la thyroïde jusqu’à 18 km, pour des conditions météorologiques « moyennes »572 et dans l’axe du vent supposé constant. Dès lors, les mesures déjà définies pour assurer à court terme la protection des populations dans le cadre des PPI apparaissaient sensiblement « satisfaisantes » pour un rejet du niveau du terme source S3.

L’accident de la centrale nucléaire de Tchernobyl et plus récemment celui de Fukushima Daiichi ont, indépendamment de leurs conséquences radiologiques immédiates, mis en évidence l’importance des perturbations sociales et économiques induites sur le long terme, dues en particulier à la contamination des territoires et des chaînes alimentaires.

L’accident nucléaire de la centrale nucléaire de Fukushima Daiichi a conduit les pouvoirs publics à réviser les actions de protection des populations, en cohérence avec les pratiques internationales et les recommandations des autorités européennes de sûreté nucléaire et de radioprotection. Au mois d’avril 2016, un élargissement de 10 à 20 km de la zone de planification (rayon du PPI) autour des centrales nucléaires a été décidée par le gouvernement (ministère en charge de l’environnement) ; elle n’est pas lié à un accroissement du risque nucléaire mais permet d’améliorer l’information et la protection des personnes ainsi que la réactivité des acteurs de la gestion de crise.

Les limites de commercialisation des produits alimentaires prédéfinies par la Commission européenne (niveaux maximaux admissibles – NMA), qui entreraient en vigueur dans le cas d’un nouvel accident, sont très basses. Pour des rejets correspondant au terme source S3, les interdictions de commercialisation pourraient être appliquées jusqu’à des distances importantes de l’installation (plus de 100 km) pendant des durées plus ou moins longues suivant les radionucléides concernés (en particulier l’iode 131 aurait pratiquement disparu au bout de quelques mois).

Ces constatations ont conduit à chercher à réduire fortement les « rejets maximaux concevables » pour les futurs projets de réacteurs (voir plus loin le paragraphe 17.10 concernant la prise en compte des accidents de fusion du cœur pour le réacteur EPR) et à essayer de réduire également, autant que faire se peut, les rejets envisageables des réacteurs en exploitation dans une recherche d’amélioration continue de la sûreté.

À la suite de la directive interministérielle du 7 avril 2005 sur l’action des pouvoirs publics en cas d’événement entraînant une situation d’urgence radiologique, un Comité directeur pour la gestion de la phase post-accidentelle d’un accident nucléaire ou d’une situation d’urgence radiologique (CODIRPA) – déjà évoqué au paragraphe 2.3 – a été mis en place par l’ASN pour élaborer la doctrine en matière d’organisation de l’action des pouvoirs publics en situation post-accidentelle. Les éléments de doctrine formulés par cette instance en 2012573 proposent des actions immédiates (si elles sont justifiées) pour la phase post-accidentelle à court terme dès la sortie de la phase d’urgence, ainsi que pour la phase post-accidentelle à long terme, en vue de :

–limiter l’exposition des populations,

–réduire la contamination des territoires,

–interdire la consommation et la commercialisation de denrées alimentaires contaminées,

–gérer les déchets alimentaires contaminés et autres déchets,

–assurer un suivi radiologique des populations exposées.

En 2014, à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi, l’État a édité un plan national de réponse en cas d’accident nucléaire ou radiologique majeur qui fixe l’organisation de conduite de crise, la stratégie à appliquer et les principales mesures à prendre au niveau gouvernemental en matière de santé de la population, de qualité de l’environnement, de continuité de la vie sociale et économique et de qualité des relations internationales574.

17.8.Procédures de conduite ultimes

Comme pour les procédures H, l’initiale et la numérotation des procédures ultimes U ont été figées lors des études qui ont suivi l’accident de Three Mile Island, avant que l’articulation logique des résultats ne soit connue.

La procédure U1 a pour objectif d’éviter la dégradation du cœur ou, en cas de dégradation, de maintenir le cœur dans la cuve, en utilisant tout moyen d’injection d’eau disponible ; elle est évoquée au chapitre 33 relatif à la conduite incidentelle ou accidentelle. Elle a un caractère nettement préventif de la fusion du cœur, même si elle permet également de « gérer » ensuite une telle situation.

La procédure U2 « Conduite à tenir en cas de défaut d’isolement de l’enceinte de confinement » a été présentée plus haut.

Bien que faisant partie par son initiale de la série des procédures ultimes, la procédure U3 « Utilisation de moyens mobiles pour secourir l’injection de sécurité et l’aspersion dans l’enceinte », déjà évoquée au paragraphe 13.2, ne correspond pas à la protection du confinement après une fusion de cœur. Elle a, au contraire, un caractère préventif ou limitatif à l’égard de ce phénomène.

En prolongement de la procédure H4 qui prévoit le secours mutuel des moyens de pompage d’eau fixes des systèmes d’injection de sécurité à basse pression et d’aspersion d’eau dans l’enceinte de confinement, la procédure U3 envisage la perte totale des moyens de pompage. Elle prévoit essentiellement la mise en œuvre de moyens de pompage, grâce à des dispositifs de raccordement préinstallés et accessibles après un accident et, si nécessaire, d’un échangeur, qui ne sont pas à poste fixe sur les tranches.

La procédure U5 « Décompression de l’enceinte de confinement » a été présentée plus haut.

En parallèle aux procédures utilisées par les opérateurs, l’ingénieur de sûreté utilise la procédure de surveillance SPI (devenue SPE) puis, après passage dans la procédure U1, la procédure de surveillance SPU. Ce sujet est développé au chapitre 33.

17.9.Le plan d’urgence interne

Les actions qui ont été décrites ci-dessus s’inscrivent pour une centrale nucléaire dans un plan plus large dont les grandes lignes sont communes à toutes les installations nucléaires, à savoir le plan d’urgence interne (PUI). Ce plan définit en particulier les relations au sein d’Électricité de France et les liaisons avec les intervenants extérieurs (pouvoirs publics, dont l’ASN et ses appuis techniques [Météo France, IRSN…]) dont l’intervention est organisée par d’autres plans qui sont présentés au chapitre 38.

Le PUI s’applique à l’intérieur du site nucléaire, sous la responsabilité de l’exploitant ; il vise :

–la conduite et la sauvegarde de l’installation,

–le secours aux blessés sur le site,

–la protection du personnel sur le site,

–l’alerte et l’information des pouvoirs publics.

Un PUI peut être déclenché par l’exploitant575 :

–dans des situations à caractère non radiologique (incendie, blessé…),

–dans des situations à risque radiologique avéré (risque de relâchement de radioactivité dans l’installation ou dans l’environnement susceptible de conduire à une exposition de travailleurs ou encore des populations voisines),

–dans d’autres situations dont certaines ne concernent pas la sûreté nucléaire (par exemple en cas de pollution chimique), ou apparaissant nécessiter une mobilisation des moyens importants.

L’organisation locale d’Électricité de France sur un site accidenté de réacteur électronucléaire est décrite au chapitre 38. Électricité de France dispose en fait de plusieurs PUI576, notamment :

–le PUI sûreté radiologique (SR) ; c’est le PUI qui vise les situations pour lesquelles la sûreté de l’installation est significativement affectée ou pour lesquelles il y a un risque de relâchement de substances radioactives dans l’installation ou dans l’environnement, susceptible de conduire à une exposition des personnes travaillant à l’extérieur de la zone contrôlée ou des populations voisines ; ce PUI couvre le cas de l’incendie en zone contrôlée ;

–le PUI sûreté aléas climatiques et assimilés (SACA) ; il permet de couvrir l’ensemble des agressions externes climatiques (inondations, grand froid, grand chaud…) et les événements assimilés (présence d’hydrocarbures, d’algues, de débris végétaux en station de pompage…) pouvant affecter plusieurs tranches d’un site ;

–le PUI toxique (TOX) ; il vise les situations de dégagement gazeux de produits dangereux, internes (nuage d’ammoniac provenant d’une station de traitement des effluents) ou externes à l’installation (industrie à proximité d’un site ou accident sur les voies de circulation) ;

–le PUI incendie hors zone contrôlée (IHZC) : il vise les feux se déclarant dans le périmètre de l’INB, en dehors des zones contrôlées ;

–le PUI secours aux victimes (SAV) ; il vise les situations où au moins cinq personnes seraient gravement blessées.

La suite du présent chapitre concerne essentiellement le premier de ces PUI.

L’article 2.3 de la décision ASN n° 2017-DC-592 du 13 juin 2017 fixe les obligations suivantes en matière de contenu du plan d’urgence interne : « l’exploitant formalise le plan d’urgence interne dans un document opérationnel comportant :

a) la présentation, sous forme cartographique, de l’établissement, de ses activités et de son environnement précisant notamment les voies d’accès aux installations et l’implantation des émissaires de rejets ;

b) les critères de déclenchement du plan d’urgence interne, notamment définis sur la base des conclusions de l’étude de dimensionnement du plan d’urgence interne […] » (voir le paragraphe 2.5) « et tenant compte, le cas échéant, des procédures de conduite en situation incidentelle ou accidentelle prévues dans ou appelées par les règles générales d’exploitation […] ;

c) à titre d’information, un résumé de la cinétique et des conséquences des scénarios accidentels dimensionnant le plan d’urgence interne, décrits dans l’étude de dimensionnement du PUI incluse dans le rapport de sûreté et, le cas échéant, nécessitant la mise en œuvre du plan particulier d’intervention ;

d) la description de l’organisation et des moyens matériels prévus pour la gestion des situations d’urgence […]. Le cas échéant, le recours à des moyens incombant à des services ou organismes publics ou à des prestataires est précisé ;

e) la documentation spécifiquement utilisée par les équipiers de crise désignés, comprenant notamment :

•un document d’aide à la décision pour le déclenchement du plan d’urgence interne et, le cas échéant, l’identification des situations d’urgence qui pourraient conduire à la mise en œuvre par le préfet du plan particulier d’intervention […] ;

•des fiches opérationnelles précisant, pour chaque fonction PUI, les actions à effectuer, leur chronologie et leur phasage précis. Chaque fiche décrit les actions principales en renvoyant, si nécessaire, à des modes opératoires dans lesquels sont précisés les modalités et moyens utilisés ;

•des modèles de messages précisant les informations […] à transmettre […] ;

f) les dispositions prévues pour la protection des personnes présentes dans l’établissement non impliquées dans la gestion de la situation d’urgence […]. »

Depuis les années 1980, à l’égard des situations à risque radiologique, des scénarios sont étudiés par Électricité de France et par l’IRSN, à titre anticipatoire, pour constituer une aide, en situation réelle d’urgence, à l’établissement rapide d’un premier pronostic d’évolutions possibles d’une situation d’urgence et des conséquences associées, cela dans le cadre de la démarche « diagnostic-pronostic » présentée au paragraphe 38.7.1. Ces scénarios (couramment appelés « accidents-types »), correspondent à des accidents qui sont retenus dans les études déterministes des rapports de sûreté ou à des variantes. Dans ce type d’études, les hypothèses modifiées par rapport à celles des rapports de sûreté peuvent concerner, par exemple, la nature et le nombre de défaillances aggravantes considérées ou les conditions météorologiques.

17.10.L’approche retenue pour le réacteur EPR

Comme cela est indiqué au chapitre 18, pour le réacteur EPR, des objectifs de sûreté ambitieux ont été fixés dès 1993, prévoyant notamment, par rapport aux réacteurs en exploitation, une réduction significative des rejets radioactifs pouvant résulter de toutes les situations d’accident concevables, y compris les accidents avec fusion du cœur. Cela a conduit les concepteurs à adopter des dispositions de conception spécifiques (succinctement évoquées au chapitre 18) qui sont précisées ci-après. Le cas du récupérateur de corium, nouveau dispositif développé pour le réacteur EPR, en est un exemple.

17.10.1.Objectifs généraux de sûreté

Les objectifs généraux de sûreté pour le réacteur EPR relatifs aux accidents graves ont été précisés dans le décret n° 2007-534 du 10 avril 2007 autorisant la création de l’installation nucléaire de base « Flamanville 3 », sur la base des « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression ». Ils sont rappelés ci-après.

Les accidents avec fusion du cœur qui pourraient conduire à des rejets précoces importants doivent être « pratiquement éliminés » : s’ils ne peuvent pas être considérés comme physiquement impossibles, des dispositions de conception doivent être prises pour les exclure. Cela concerne en particulier les accidents avec fusion du cœur « en pression ».

Les accidents avec fusion du cœur à basse pression doivent être traités de telle sorte que les rejets maximaux concevables associés ne nécessitent que des mesures de protection des populations très limitées en termes d’étendue et de durée. Cela peut être traduit par :

–pas de relogement permanent,

–pas de nécessité d’évacuation d’urgence au-delà du voisinage immédiat du site nucléaire,

–une mise à l’abri limitée,

–pas de restrictions à long terme de la consommation des produits alimentaires.

Pour ce qui concerne les accidents avec fusion du cœur à basse pression, étant donné le large éventail des conditions accidentelles envisageables, le respect de cet objectif est à apprécier par l’évaluation des conséquences radiologiques de différents accidents représentatifs, définis en tenant compte de la conception détaillée de l’installation.

17.10.2.« Élimination pratique » des situations
avec fusion du cœur qui pourraient conduire
à des rejets précoces importants

Dans les années 1990, lors des discussions franco-allemandes sur la sûreté de la prochaine génération de réacteurs à eau sous pression (en pratique EPR), a été introduite la notion d’« élimination pratique » de certaines situations avec fusion du cœur, au moins théoriquement envisageables, pouvant conduire à des rejets « précoces importants » et pour lesquelles il n’apparaissait pas possible de mettre en place des dispositions réalistes réduisant les conséquences de façon significative et démontrable. Il est ainsi indiqué dans les directives techniques évoquées plus haut que « les accidents avec fusion du cœur qui conduiraient à des rejets précoces importants doivent être pratiquement éliminés : s’ils ne peuvent pas être considérés comme physiquement impossibles, des dispositions […] doivent être prises pour les exclure ». Il a également été reconnu que l’« élimination pratique » ne saurait reposer sur un seuil générique probabiliste.

Au niveau international, le rapport INSAG-10, diffusé en 1996, indique que « pour les concepts avancés, il devrait être démontré, par des approches déterministes et probabilistes, que les séquences hypothétiques d’accidents graves pouvant entraîner des rejets radioactifs importants en raison d’une défaillance précoce du confinement sont essentiellement éliminées avec un degré de confiance élevé ». En 1999, le rapport INSAG-12 reprend cette notion en utilisant formellement l’expression « élimination pratique ».

Sans faire explicitement référence à la notion d’« élimination pratique », l’article 3.9 de l’« arrêté INB » du 7 février 2012 permet ce type de démarche en indiquant que : « La démonstration de sûreté nucléaire doit justifier que les accidents susceptibles de conduire à des rejets importants de matières dangereuses ou à des effets dangereux hors du site avec une cinétique qui ne permettrait pas la mise en œuvre à temps des mesures nécessaires de protection des populations sont impossibles physiquement ou, si cette impossibilité physique ne peut être démontrée, que les dispositions mises en œuvre sur ou pour l’installation permettent de rendre ces accidents extrêmement improbables avec un haut degré de confiance ».

En janvier 2018, l’IRSN a rendu public sur son site internet un document de sa collection relative aux « démarches de sûreté »577, intitulé « La démarche d’« élimination pratique » de situations accidentelles pour les réacteurs à eau de puissance ». Les éléments les plus notables en sont indiqués ci-après.

Pour les réacteurs à eau sous pression, les situations pour lesquelles une démarche d’« élimination pratique » est appliquée sont caractérisées par la possibilité de phénomènes physiques rapides et fortement énergétiques pouvant entraîner la défaillance à court terme du confinement et conduire à des rejets précoces importants. Pour ces situations, l’objectif retenu est de chercher à les éliminer ; une telle élimination n’étant rigoureusement démontrable qu’en cas d’impossibilité physique, l’expression « élimination pratique » a été retenue, ce qui veut dire que le concepteur doit prendre « toutes » dispositions pour que ces situations puissent être considérées comme extrêmement improbables avec un haut degré de confiance.

La mise en œuvre d’une démarche d’« élimination pratique » commence à un stade précoce de la conception par l’identification des situations concernées, notamment sur la base d’un examen des modes possibles de défaillance de l’enceinte de confinement ou de son « extension » (notion précisée au paragraphe 6.3).

Pour « éliminer pratiquement » une situation ainsi identifiée, il convient en premier lieu d’examiner soigneusement les possibilités de la rendre physiquement impossible. Si cela se révèle (raisonnablement) impossible, des dispositions concrètes permettant de justifier que la situation est extrêmement improbable avec un haut degré de confiance doivent être définies et mises en place.

Dans un réacteur à eau sous pression, les situations concernées sont diverses (accidents d’insertion rapide et massive de réactivité dans le cœur du réacteur, détonations globales d’hydrogène et explosions de vapeur en cuve et hors cuve mettant en danger l’intégrité de l’enceinte de confinement, bipasses du confinement en cas d’accident avec fusion du cœur…). Leur caractère « pratiquement éliminé » ne peut être apprécié qu’au cas par cas, sur la base de considérations déterministes, complétées le cas échéant par un éclairage probabiliste. Cette appréciation repose sur les caractéristiques physiques de l’installation ainsi que sur la robustesse et la fiabilité des dispositions mises en œuvre pour prévenir la situation à « éliminer pratiquement ». À ce titre, les dispositions retenues font l’objet d’exigences de conception, de réalisation et d’exploitation ; la prise en compte des aspects liés aux facteurs humains et des agressions dans la définition et la conception de ces dispositions est également importante.

Pour le réacteur EPR, les situations avec fusion du cœur qui doivent être « pratiquement éliminés » sont les suivantes (voir aussi le focus du paragraphe 18.2.2) :

–les accidents de fusion du cœur à haute pression qui pourraient conduire à un échauffement direct des gaz de l’enceinte ou à une rupture de tubes de générateurs de vapeur ;

–les accidents d’insertion rapide de réactivité ; il s’agit notamment de ceux qui résulteraient d’une introduction rapide d’eau insuffisamment borée dans le cœur du réacteur ;

–les explosions de vapeur en cuve et hors cuve et les détonations578 globales d’hydrogène, susceptibles de mettre en danger l’intégrité de l’enceinte de confinement ;

–les accidents de fusion du cœur avec bipasse du confinement (par les générateurs de vapeur ou par les circuits connectés au circuit primaire).

« Élimination pratique » des situations de fusion du cœur
à haute pression

Pour éviter une défaillance de la cuve à haute pression (pression supérieure à un ordre de grandeur de 15 à 20 bars) ou une rupture induite de tubes de générateurs de vapeur, le haut du pressuriseur du réacteur EPR est équipé de trois soupapes de sûreté et de vannes dédiées à la mise en œuvre du refroidissement du réacteur en mode « gavé-ouvert » ou à la dépressurisation ultime du circuit primaire (voir la figure 17.4). Les trois soupapes de sûreté visent à assurer la protection du circuit primaire contre les surpressions. La mise en œuvre du refroidissement en « gavé-ouvert » est utilisée en cas de perte totale de l’alimentation en eau des générateurs de vapeur. La dépressurisation ultime du circuit primaire est utilisée en vue d’éviter une fusion du cœur à haute pression. Les trois soupapes de sûreté et les vannes dédiées au « gavé-ouvert » et à la dépressurisation ultime déchargent toutes dans la même ligne de décharge qui achemine l’eau, la vapeur ou le mélange eau-vapeur vers le réservoir de décharge du pressuriseur (RDP).

De plus, des dispositions de conception ont été retenues qui permettent de limiter la dispersion du corium dans l’atmosphère de l’enceinte de confinement en cas de défaillance de la cuve du réacteur de façon à éviter un « échauffement direct » des gaz de l’enceinte de confinement. Ces dispositions de conception sont relatives au puits de cuve et à sa ventilation, de façon à éviter que de grandes quantités de corium provenant de la cuve du réacteur puissent être transportées depuis le puits de cuve jusqu’au volume libre de l’enceinte de confinement.

Figure 17.4. Dispositif de dépressurisation ultime du circuit primaire du réacteur EPR. Didier Jacquemain/Médiathèque IRSN.

« Élimination pratique » des accidents d’insertion rapide de réactivité

L’« élimination pratique » des accidents d’insertion rapide de réactivité par transfert dans le cœur du réacteur d’un « bouchon » d’eau insuffisamment borée nécessite une étude détaillée des différents scénarios possibles de dilution, en prenant en considération l’ensemble des dispositions de prévention et de protection pour chacun de ces scénarios.

L’analyse se fait en suivant les trois étapes préconisées dans les directives techniques applicables à l’EPR :

–définition du volume maximal d’un bouchon d’eau sans bore pour lequel la sous-criticité du cœur est démontrée ; elle se fait sur la base de considérations de neutronique et de thermohydraulique relatives à la sous-criticité du cœur, indépendamment de l’accident de dilution envisagé ;

–définition des dispositions visant à assurer que ce volume maximal ne sera pas dépassé au cours de chacun des accidents de dilution envisagés ;

–réalisation d’une étude probabiliste pour apprécier la suffisance des dispositions mises en œuvre.

« Élimination pratique » du risque d’explosion de vapeur

Pour éviter une explosion de vapeur en cas de coulée de corium à haute température dans le puits de cuve, la conception du réacteur EPR comporte des dispositions telles qu’aucune arrivée d’eau dans le puits de cuve n’est possible avant la défaillance de la cuve, même en cas de rupture d’une tuyauterie du circuit primaire.

De plus, le récupérateur de combustible fondu comprenant une « chambre d’étalement », la conception du réacteur EPR comporte des dispositions empêchant l’arrivée d’eau dans cette chambre avant l’arrivée du corium, de façon à éviter une explosion de vapeur.

« Élimination pratique » du risque de détonation d’hydrogène

La pression de dimensionnement et la température de dimensionnement de la paroi interne de l’enceinte de confinement doivent permettre d’assurer l’intégrité et l’étanchéité de l’enceinte même après la déflagration globale de la quantité maximale d’hydrogène qui pourrait être contenue dans cette enceinte au cours d’accidents de fusion du cœur à basse pression.

De plus, le volume de l’enceinte de confinement et les moyens de limitation des conséquences, notamment les recombineurs catalytiques passifs, doivent permettre de réduire les concentrations d’hydrogène dans l’atmosphère de l’enceinte de confinement de manière à empêcher la possibilité d’une détonation globale d’hydrogène.

Enfin, les possibilités de concentrations locales élevées d’hydrogène doivent être évitées autant que raisonnablement possible par la conception des structures internes de l’enceinte de confinement. Dans les cas où il ne serait pas possible de démontrer que la concentration locale d’hydrogène reste en dessous de 10 %, l’absence de transition déflagration-détonation et de déflagration rapide doit être démontrée ; dans le cas contraire, des dispositions adéquates doivent être mises en place, telles que des parois renforcées des compartiments correspondants et de l’enceinte de confinement.

« Élimination pratique » des situations de fusion du cœur
avec bipasse du confinement

Pour ce qui concerne les situations de fusion du cœur avec une fuite significative des tubes des générateurs de vapeur (jusqu’à une rupture multiple de tubes de générateurs de vapeur), les situations suivantes doivent être étudiées : rupture simple ou multiple de tubes de générateurs de vapeur avec perte des systèmes nécessaires pour faire face à cette rupture, rupture simple ou multiple de tubes de générateurs de vapeur avec défaillance de la fermeture de la vanne d’isolement de vapeur principale correspondante, rupture d’une tuyauterie de vapeur avec fuites de tubes du générateur de vapeur associé, ouverture intempestive d’une soupape de sûreté secondaire avec des fuites de tubes du générateur de vapeur associé. Les scénarios conduisant à une circulation naturelle à travers les boucles primaires et les générateurs de vapeur doivent être étudiées avec précision.

17.10.3.Dispositions relatives à la fusion du cœur
à basse pression

Pour les accidents avec fusion du cœur à basse pression, des dispositions de conception ont été retenues pour le réacteur EPR dans le but de respecter les objectifs généraux définis plus haut. Les dispositions essentielles sont les suivantes :

–un récupérateur de corium (voir la figure 17.5) situé au fond de l’enceinte de confinement permet de recueillir et de refroidir le corium après la rupture du fond de la cuve et d’une « porte fusible » située en dessous (grille métallique, elle-même revêtue d’une couche de béton « sacrificiel »579), puis l’écoulement du corium par un canal de décharge. Ce récupérateur vise à protéger le radier de l’enceinte de confinement d’une interaction corium-béton. Le corium est refroidi par étalement sur une grande surface (170 m2) dans une zone appelée « chambre d’étalement ». Des dispositions de conception empêchent l’arrivée d’eau dans cette chambre en provenance de quelque partie que ce soit de l’enceinte de confinement avant que le corium ne s’étale sur la surface de cette chambre. La chambre d’étalement est aussi revêtue d’une couche de béton sacrificiel ; les bétons sacrificiels de la « porte fusible » et de la chambre d’étalement sont conçus pour obtenir des caractéristiques adéquates du mélange fondu. L’arrivée du corium dans la chambre d’étalement provoque ensuite l’ouverture de vannes permettant un écoulement gravitaire d’eau en provenance du réservoir d’eau interne à l’enceinte de confinement IRWST580 et d’une capacité de 2 000 m3. Une fois dans la chambre d’étalement, le noyage du corium par l’eau provenant de cette bâche permet son refroidissement. En complément, les chargements thermiques sur le radier sont limités grâce à une épaisse plaque d’acier placée sous la couche de béton sacrificiel et refroidie grâce à des canaux de refroidissement reliés au système d’évacuation de la puissance hors de l’enceinte de confinement. Des dispositions sont également prises pour éviter une explosion de vapeur importante. Une cheminée conduit la vapeur produite dans la chambre d’étalement dans l’enceinte de confinement et limite la surpression dans cette chambre. Après condensation, l’eau retourne vers l’IRWST ;

Figure 17.5. Schéma du récupérateur de corium du réacteur EPR. Georges Goué/Médiathèque IRSN.

–la pression de dimensionnement et la température de dimensionnement de la paroi interne de l’enceinte de confinement permettent d’assurer l’intégrité et l’étanchéité de l’enceinte de confinement en cas d’accident grave :

•pendant au moins 12 heures sans évacuation de la puissance résiduelle hors de l’enceinte,

•après une déflagration globale de la quantité maximale d’hydrogène qui pourrait être contenue dans l’enceinte de confinement ;

–un système d’évacuation ultime (EVU) de la chaleur du bâtiment du réacteur permet de maîtriser la pression à l’intérieur de cette enceinte et de préserver l’intégrité et l’étanchéité de celle-ci sur le long terme en cas d’accident grave. Ce système à deux trains est composé notamment du réservoir IRWST, d’un échangeur de chaleur avec un circuit intermédiaire et une source froide spécifiques et d’un dispositif d’aspersion dans l’enceinte. Ce système serait utilisé, comme cela est indiqué plus haut, pour refroidir le corium dans le récupérateur. Le système EVU permet de plus de limiter la production et les relâchements d’iode volatil dans le bâtiment du réacteur par l’injection de soude dans l’IRWST ;

–toutes les traversées de l’enceinte de confinement (y compris le tampon d’accès des matériels – TAM) débouchent dans des bâtiments dont l’atmosphère est ventilée et filtrée ; il ne doit y avoir aucun chemin de fuite directe de l’enceinte de confinement vers l’environnement. Les circuits susceptibles de transporter des substances radioactives à l’extérieur de l’enceinte de confinement sont contenus dans des bâtiments périphériques présentant des capacités de confinement adéquates. Les traversées de l’enceinte résistant à la pression doivent supporter les chargements résultant des accidents de fusion du cœur.

La qualification du récupérateur de matériaux fondus aux conditions accidentelles des situations avec fusion du cœur s’est largement appuyée sur des programmes expérimentaux : peuvent être cités ceux du projet COMAS (essais de refroidissement d’un corium à grande échelle réalisés par AREVA), ceux du projet européen CSC (Corium Spreading and Coolability, essais de qualification du concept de récupérateur avec étalement du corium et du « concept COMET »581 de renoyage par le bas) et ceux du projet européen ECOSTAR (Ex-Vessel Core Melt Stabilization Research, essais relatifs à l’étude des phénomènes physico-chimiques se produisant durant l’étalement et à l’étude de l’efficacité du renoyage d’un corium étalé par apport d’eau par le haut ou par le bas)582.

549.Le lecteur pourra par ailleurs se reporter à l’ouvrage « Les accidents de fusion du cœur des réacteurs nucléaires de puissance – État des connaissances », D. Jacquemain et al., Collection sciences et techniques, IRSN/EDP Sciences, 2013.

550.L’oxydation d’un kilogramme de zirconium produit environ 0,5 m3 d’hydrogène à température et pression normales. Compte tenu des quantités de zirconium présentes dans les différents types d’installation, cela correspond à la production d’un kilogramme environ d’hydrogène par MWe.

551.Le lecteur pourra aussi consulter l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », chapitre 5, J. Couturier & M. Schwarz, Collection sciences et techniques, IRSN/EDP Sciences, avril 2017.

552.Les différentes procédures U sont précisées au paragraphe 17.8 ainsi qu’au chapitre 33 relatif à la conduite incidentelle et accidentelle.

553.Organisation de la réponse de la sécurité civile.

554.Les études étaient en cours au moment de l’accident de Three Mile Island.

555.Voir l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », chapitre 5, J. Couturier & M. Schwarz, Collection sciences et techniques, IRSN/EDP Sciences, avril 2017.

556.Qui n’est pas, stricto sensu, une procédure de conduite.

557.Auparavant, Électricité de France envisageait d’amener sur le site d’un réacteur accidenté des recombineurs qui seraient raccordés au circuit ETY.

558.Due notamment à la brèche et au fonctionnement du système d’aspersion d’eau dans l’enceinte de confinement (EAS).

559.Des dispositifs « igniteurs » dans les enceintes de confinement pouvaient aussi être envisagés (en particulier une combinaison d’igniteurs et de recombineurs était mise en avant en Allemagne par les experts de la RSK), mais ce ne fut pas la solution adoptée en France compte tenu des risques qu’ils présentent. Les igniteurs sont des systèmes actifs qui permettent de brûler l’hydrogène à des concentrations assez faibles, avant l’atteinte des limites d’inflammation, donc sans produire de flammes qui peuvent se propager. Toutefois, dans certaines conditions, de l’hydrogène peut s’accumuler pour former un mélange inflammable sans présence d’eau et qui peut s’enflammer et produire des flammes qui peuvent se propager et menacer la structure de l’enceinte de confinement ainsi que les équipements nécessaires pour la gestion d’un accident grave.

560.Dans le cadre de l’OCDE et du projet SARNET. Sur ce sujet, le lecteur pourra se reporter au paragraphe 5.2.2 de l’ouvrage « Les accidents de fusion du cœur des réacteurs nucléaires de puissance – État des connaissances », Collection sciences et techniques, IRSN/EDP Sciences, 2013.

561.Le préfiltre et le filtre à lit de sable permettent d’atteindre un facteur de réduction de 1 000 pour les aérosols et de 10 pour l’iode moléculaire gazeux.

562.Béton de type « silico-calcaire », « siliceux » ou « très siliceux ».

563.Pour les tranches de la centrale nucléaire de Fessenheim, le radier en béton a été épaissi par EDF, ce qui permet d’obtenir, avec l’étalement du corium dans le puits de cuve et un local attenant, un délai de traversée par le corium supérieur à 24 heures.

564.Des incertitudes subsistent néanmoins, qui ont été indiquées au paragraphe 17.1.5.

565.L’étalement du corium se ferait ainsi dans le fond du puits de cuve et dans le local adjacent des équipements du système RIC, grâce à l’effacement d’un « voile fusible ».

566.Le sujet des parades « voie eau » est en fait évoqué depuis les années 1990 dans le cadre des réflexions sur la gestion d’une situation post-accidentelle de fusion du cœur.

567.L’éjection d’une grappe de contrôle est étudiée en tant que condition de fonctionnement accidentelle de quatrième catégorie et le système de protection du réacteur est conçu pour en maîtriser les conséquences.

568.Principal critère de mise en œuvre : la température des gaz à la sortie du cœur dépasse 1 100 °C.

569.Le rejet est évalué pour un accident à cinétique rapide avec une grosse brèche sur le circuit primaire et une défaillance de l’injection de sécurité et de l’aspersion dans l’enceinte.

570.Les sujets particulièrement sensibles sont les nourrissons, les enfants, les adolescents et les femmes enceintes allaitant.

571.Le niveau qui était auparavant retenu pour la distribution préventive d’iode stable était de 100 mSv à la thyroïde.

572.Diffusion normale et vitesse de vent de 7 m/s.

573.Accessibles par le lien https://www.asn.fr/publications/2012/doctrine-codirpa-05-10-2012/index.
html (rapport du 5 octobre 2012).

574.Rapport n° 200/SGDSN/PSE/PSN, édition de février 2014, accessible sur le site :

https://solidarites-sante.gouv.fr/IMG/pdf/SGDSN_parties1et2_270114.pdf.

575.Ces trois types de situations correspondent à trois « niveaux » de déclenchement du PUI, respectivement 1, 2 et 3.

576.« Mémento sûreté nucléaire en exploitation », EDF, édition 2016.

577.Ce document précise l’approche de l’IRSN sur la démarche d’« élimination pratique » et son positionnement dans la démonstration de sûreté.

578.La détonation est à distinguer de la déflagration.

579.Béton à bas point de fusion, contrairement aux bétons dits réfractaires.

580.In-Containment Refuelling Water Storage Tank – voir le chapitre 18.

581.Du nom de l’installation de FzK en Allemagne dans laquelle ce type de renoyage a notamment été testé.

582.Pour plus de détails, le lecteur pourra se reporter au paragraphe 5.4.3.4 de l’ouvrage « Les accidents de fusion du cœur des réacteurs à eau sous pression – État des connaissances », D. Jacquemain et al., Collection sciences et techniques, IRSN/EDP Sciences, 2013.

Chapitre 18

Les réacteurs de nouvelle génération

Le niveau de sûreté acceptable est une notion qui évolue tant par l’acquisition progressive de connaissances, qu’elles soient issues de l’expérience (de conception, d’exploitation) ou de travaux de recherche et développement, que par l’évolution des exigences associées au fonctionnement des installations nucléaires.

La perte de confiance du public quant aux possibilités d’utilisation de l’énergie nucléaire pour produire de l’électricité dans des conditions de sûreté satisfaisantes s’est traduite dans de nombreux pays par l’arrêt de nouvelles constructions ou par l’arrêt progressif de réacteurs en exploitation. Cela date, pour les États-Unis notamment, de l’époque de l’accident de Three Mile Island. L’accident de Tchernobyl a conduit un certain nombre d’autres pays, européens en particulier, à des positions analogues. Alors que l’on assistait à des efforts de relance du nucléaire dans le monde, l’accident survenu en mars 2011 dans la centrale nucléaire de Fukushima Daiichi, au Japon, a conduit certains pays à annoncer une sortie rapide du nucléaire, d’autres à renoncer au développement d’une telle source d’énergie (voir le chapitre 37).

En France, les premiers réacteurs de 900 MWe auront 40 ans de fonctionnement aux alentours de 2020 (durée de fonctionnement retenue lors de leur conception). Dans ce cadre, Électricité de France a fait part, en 2009, de son intention de prolonger l’exploitation de réacteurs au-delà de 40 ans (projet « DDF » d’Électricité de France), tout en préconisant la construction de nouvelles tranches sur la base du projet lancé dans les années 1990 avec des partenaires allemands (projet EPR). À cet égard, dès la fin des années 1980, les organismes de sûreté avaient engagé des réflexions sur les objectifs de sûreté à retenir pour une prochaine série de réacteurs à eau sous pression583.

De leur côté, les concepteurs avaient suivi des démarches analogues pour définir les bases de conception de nouveaux projets de réacteurs présentant des caractéristiques de sûreté significativement améliorées. Divers types de projets de réacteurs ont ainsi été élaborés par les constructeurs ; ils diffèrent nettement au plan technique, en particulier pour ce qui concerne la puissance unitaire ou le calendrier de développement.

Il est possible de les grouper en deux grandes catégories.

Pour la première, l’option retenue était de faire évoluer la conception des réacteurs existants en y incorporant des éléments tirés de l’expérience acquise, des études réalisées, notamment probabilistes, et des avancées tirées des travaux de recherche et développement. Il s’agit donc de tirer un maximum d’avantages de l’utilisation de technologies éprouvées, tout en introduisant certaines innovations. Ils sont « évolutionnaires », ou « en évolution », par opposition aux suivants, plus « révolutionnaires ». L’utilisation de solutions techniques suffisamment connues permet d’éviter, sous réserve de justifications probantes, la réalisation de prototypes de démonstration.

Pour la seconde catégorie, il s’agissait au contraire de rechercher des solutions techniques radicalement différentes ; les promoteurs de tels réacteurs mettent en avant un plus large appel à l’utilisation de systèmes dits passifs, c’est-à-dire des systèmes fonctionnant sans faire appel à une source d’énergie externe.

Il n’est pas question de présenter ici une analyse comparative des différents projets développés par les concepteurs mais de montrer :

–la façon dont la France et l’Allemagne ont établi, dans les années 1990, de nouveaux objectifs généraux de sûreté, notamment applicables au projet EPR,

–les évolutions de ces objectifs généraux de sûreté retenues pour les nouveaux projets de réacteurs par rapport à ceux qui avaient été établis pour le projet EPR, intégrant notamment les enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi à l’égard d’événements extrêmes,

–la façon dont certains concepts « révolutionnaires » de réacteurs valorisent des systèmes innovants pour répondre à ces nouveaux objectifs généraux de sûreté.

18.1.Organisation et cadre des réflexions
franco-allemandes

L’organisation et le cadre des réflexions franco-allemandes, qui ont abouti notamment, en 2000, aux « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression », sont ici rappelées de manière succincte.

En 1989, les constructeurs français et allemand, Framatome et Siemens, ont créé une filiale commune, Nuclear Power International (NPI) en vue de proposer des produits communs à l’exportation. Il est rapidement apparu opportun que ces produits puissent être clairement considérés comme acceptables par les autorités de sûreté française et allemande.

Ce rapprochement industriel a dès lors induit un renforcement des liens directs entre les autorités de sûreté des deux pays, comme cela a déjà été évoqué au chapitre 3. En 1990, une commission restreinte, la DFD (Deutsche-Französische Direktionausschuss) a notamment été créée ; elle regroupait le directeur de la Direction de la sûreté des installations nucléaires (DSIN) en France et son homologue allemand du Bundesministerium für Umwelt, Naturschutz und Reaktorsicherheit (BMU), assistés des directeurs de l’Institut de protection et de sûreté nucléaire et de la Gesellschaft für Anlagen-und Reaktorsicherheit (GRS), appuis techniques respectifs des autorités de sûreté française et allemande.

En 1992, Électricité de France, des électriciens allemands et la société Nuclear Power International (NPI) se sont associés pour le développement d’un réacteur à eau sous pression, dénommé EPR (European Pressurized water Reactor), selon un calendrier qui prévoyait alors le début de la construction de la première tranche en 1998.

De leur côté, les organismes de sûreté français et allemand menaient depuis plusieurs années des réflexions sur les réacteurs électronucléaires du futur, sur une base nationale. Ainsi, en France, la Direction de la sûreté des installations nucléaires avait diffusé, en mai 1991, sur la base de propositions de l’IPSN, une lettre d’orientation relative aux évolutions souhaitables de la sûreté des centrales nucléaires comportant des réacteurs à eau sous pression du futur par rapport aux centrales existantes. La définition d’un projet commun franco-allemand nécessitait à l’évidence que la poursuite des réflexions se fasse dans un cadre franco-allemand.

La DFD a alors décidé, fin 1992, que les autorités de sûreté française et allemande se prononceraient en commun sur les grandes options de sûreté à retenir pour de futurs réacteurs électronucléaires, à partir d’avis communs des groupes d’experts des deux pays (le Groupe permanent d’experts pour les réacteurs nucléaires [GPR] et la Reaktorsicherheitskommission [RSK]), eux-mêmes fondés sur des travaux communs de l’IPSN et de la GRS. La DFD a de plus décidé qu’une approche commune de la sûreté des futures centrales à eau sous pression devait être définie avant le dépôt par les industriels des grandes options de sûreté du projet EPR. Les autorités de sûreté française et allemande ont ainsi publié en juin 1993 un document présentant cette approche, élaboré par le GPR et la RSK sur la base de propositions de l’IPSN et de la GRS.

Les discussions menées entre les organismes de sûreté français et allemands ont rapidement permis de conclure que, pour la construction de nouvelles tranches au début du XIXe siècle, la voie à retenir était de réaliser des réacteurs « en évolution » par rapport à celles qui étaient en exploitation ou en construction en France et en Allemagne.

Le Groupe permanent d’experts pour les réacteurs nucléaires a, à la demande de l’autorité de sûreté française, rédigé un document présentant l’approche de sûreté et les exigences générales de sûreté à retenir pour la conception et la construction d’une nouvelle série de réacteurs à eau sous pression de nouvelle génération. Intitulé « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression », il a été adopté en octobre 2000. Ce document a servi de référence pour la conception du réacteur EPR.

Le paragraphe suivant en illustre les principaux ajouts et modifications par rapport aux réacteurs précédents (jusqu’à ceux du palier N4).

18.2.Évolution des objectifs de sûreté
et options de conception du projet EPR

Un certain nombre d’évolutions retenues en matière de sûreté pour le projet EPR ont été évoquées dans les chapitres précédents (par exemple pour ce qui concerne la prise en compte des accidents de fusion du cœur), d’autres le seront dans les chapitres suivants consacrés à la sûreté en exploitation, au retour d’expérience des accidents les plus sévères et à la gestion de crise. Certaines sont néanmoins citées à nouveau (voire développées) dans le présent paragraphe, dans le but de les regrouper de façon cohérente pour le projet EPR.

18.2.1.Objectifs généraux de sureté

L’accident de la centrale nucléaire de Tchernobyl (voir le chapitre 34) a clairement mis en évidence le fait que les conséquences de rejets importants de radioactivité dans l’environnement ne se limitent pas aux effets directs des rayonnements ionisants mais conduisent également à une désorganisation sociale et psychologique de grande envergure. Il est alors apparu essentiel de rechercher pour les nouveaux réacteurs des dispositions permettant d’éviter avec la plus grande confiance possible des rejets conduisant à une telle désorganisation.

À cet égard, il a été considéré qu’un saut significatif en matière de sûreté au stade de la conception était possible, dans le cadre d’une démarche « évolutionnaire », en apportant l’attention nécessaire aux leçons tirées de l’expérience d’exploitation et des études probabilistes réalisées pour les tranches existantes et en mettant à profit les résultats des travaux de recherche et développement en sûreté – notamment ceux qui sont relatifs aux situations avec fusion du cœur – avec l’objectif d’obtenir une réduction des probabilités d’occurrence calculées des accidents et des rejets de substances radioactives calculés.

Dans cette optique, trois principaux objectifs ont été retenus par rapport aux réacteurs précédents :

–réduire le nombre d’incidents (au sens des événements significatifs tels que définis au paragraphe 21.3) dans le but de réduire les possibilités d’apparition de situations accidentelles à partir de tels événements ;

–réduire significativement la probabilité de fusion du cœur.

Les directives techniques évoquées plus haut stipulent à ce sujet que « la mise en œuvre d’améliorations de la défense en profondeur […] devrait conduire à l’obtention d’une fréquence globale de fusion du cœur inférieure à 10-5 par année.réacteur, en tenant compte des incertitudes et de tous les types de défaillances et d’agressions ». La prise en compte de tous les initiateurs pouvant conduire à une fusion du cœur constitue une nouveauté par rapport aux réacteurs précédents ;

–réduire significativement les rejets radioactifs qui pourraient résulter de toutes les situations d’accident concevables, y compris les accidents avec fusion du cœur.

Les directives techniques stipulent à ce sujet que :

•« pour les situations d’accidents sans fusion du cœur, il ne doit pas y avoir de nécessité de mesures de protection des populations vivant dans le voisinage de la centrale endommagée (pas d’évacuation, pas de mise à l’abri) » ;

•« les accidents avec fusion du cœur à basse pression doivent être traités à la conception de telle sorte que les rejets radioactifs maximaux concevables associés ne puissent nécessiter que des mesures de protection des populations très limitées dans l’espace et dans le temps. Ceci se traduirait par pas de relogement permanent, pas de nécessité d’évacuation d’urgence au-delà du voisinage immédiat de la tranche, une mise à l’abri limitée, pas de restrictions à long terme sur la consommation des produits alimentaires. »

De plus : « Les accidents avec fusion du cœur qui conduiraient à des rejets précoces importants doivent être “pratiquement éliminés” » : s’ils ne peuvent pas être considérés comme physiquement impossibles, des dispositions de conception doivent être prises pour les exclure. Cet objectif concerne en particulier les accidents avec fusion du cœur en pression.

Les directives techniques stipulent également que « la chaleur résiduelle doit être extraite du bâtiment de confinement sans dispositif d’éventage ; pour cette fonction, un système ultime d’évacuation de la puissance résiduelle doit être installé. »

À ce qui précède, il a été ajouté dans les directives techniques un quatrième objectif en matière de radioprotection, à savoir la réduction des doses individuelles et collectives reçues par les travailleurs en fonctionnement normal et lors des incidents d’exploitation. Elles indiquent que « pour l’exploitation normale et les incidents d’exploitation, un objectif est de réduire les doses individuelles et collectives reçues par les travailleurs qui sont fortement liées aux activités de maintenance et d’inspection en service. La réduction de l’exposition des travailleurs doit être recherchée par un processus d’optimisation tenant compte des données acquises par l’expérience d’exploitation. »

18.2.2.Événements à prendre en compte
au stade de la conception,
analyses déterministes et probabilistes

Comme pour les réacteurs en exploitation, la démonstration de sûreté demeure fondée sur une approche déterministe, complétée par des études probabilistes et des travaux de recherche et de développement appropriés.

Les directives techniques précisent à ce sujet que, pour la démonstration de sûreté, « les événements initiateurs uniques doivent être « exclus » ou « traités » – c’est-à-dire que leurs conséquences sont examinées de manière déterministe. Des événements initiateurs uniques ne peuvent être « exclus » que si des dispositions suffisantes de conception et d’exploitation sont prises de telle sorte qu’il puisse être clairement démontré qu’il est possible « d’éliminer pratiquement » ce type de situations accidentelles ; par exemple, la rupture de la cuve du réacteur et celle d’autres gros composants (comme la partie secondaire des générateurs de vapeur ou le pressuriseur) peut être examinée de cette façon. »

Les directives techniques soulignent l’importance, pour les nouveaux réacteurs électronucléaires, de renforcer la défense en profondeur par rapport aux réacteurs existants, notamment de « considérer de façon plus étendue les possibilités de défaillances multiples et de recourir à des moyens diversifiés pour accomplir les trois fonctions fondamentales de sûreté » […], ainsi que de viser une « amélioration substantielle de la fonction de confinement, en considérant en particulier les différentes défaillances possibles de cette fonction pour les situations avec fusion du cœur. » À cet égard, est soulignée l’importance d’« investigations détaillées » de certaines séquences spécifiques de défaillances multiples, notamment « la perte totale du système de refroidissement de la piscine du combustible usé, pour laquelle les conditions ambiantes dans le bâtiment correspondant et leurs conséquences sur les structures et systèmes situés dans ce bâtiment, de même que les possibilités de fournir un appoint d’eau ou de réparer les composants défaillants doivent être complètement analysés. Des dispositions complémentaires doivent être mises en place autant que nécessaire notamment pour ce qui concerne les systèmes supports. »

Il convient de rappeler, comme cela est indiqué au chapitre 17, que les directives techniques soulignent que « l’élimination pratique des situations accidentelles qui pourraient conduire à des rejets précoces importants est une question de jugement et chaque type de séquences doit être examiné séparément. Leur « élimination pratique » peut être démontrée par des considérations déterministes ou probabilistes, en tenant compte des incertitudes dues aux connaissances limitées de certains phénomènes physiques. Il est souligné que « l’élimination pratique » ne peut pas être démontrée par le respect d’une « valeur de coupure » probabiliste générique. »

La notion « d’élimination pratique » a par la suite nécessité certaines clarifications lors de sa déclinaison pour préciser, d’une part les spécificités des séquences auxquelles la notion s’applique, d’autre part les exigences particulières à appliquer à certaines dispositions du fait de la mise en œuvre de cette notion ; cela est développé au paragraphe 17.10.2.

En complément aux événements initiateurs uniques (liés aux matériels et à leur exploitation) ou liés à des défaillances multiples, la démonstration de sûreté doit comporter une analyse des agressions internes et externes, qui peut être confortée par des évaluations probabilistes.

Les liens possibles entre agressions internes et externes et événements initiateurs uniques doivent être également considérés et traités.

Au-delà de l’approche par « cas de charge », certaines agressions externes (par exemple le séisme) doivent faire l’objet d’études de leurs conséquences dans l’installation, dont certaines pourraient constituer des événements initiateurs (agression, par exemple, de matériels classés par des matériels non classés). Il est également important de caractériser l’intensité des agressions externes pour laquelle un « effet falaise » pourrait survenir ; les directives techniques indiquent à ce sujet, notamment pour les séismes : « Le concepteur doit aussi préciser comment il a l’intention de prouver l’existence de marges de dimensionnement suffisantes en cohérence avec les objectifs généraux de sûreté. L’évaluation des marges doit être réalisée dans le but de démontrer qu’il n’y aurait pas d’effet falaise en matière de conséquences radiologiques pour des valeurs d’accélération au-delà des valeurs d’accélération spécifiques du site ; la méthode correspondante doit tenir compte du comportement réel d’équipements représentatifs et les possibilités de défaillances simultanées d’équipements. »

Concernant les études probabilistes, les directives techniques mettent l’accent sur l’importance de bien prendre en compte tous les états du réacteur lors desquels des événements peuvent survenir (états en puissance, états intermédiaires, situations à l’arrêt – notamment lorsque l’enceinte de confinement est ouverte –…) ainsi que les situations pouvant altérer la fonction de refroidissement des éléments contenus dans la piscine d’entreposage du combustible.

Les directives techniques préconisent la réalisation d’une étude probabiliste de sûreté dès le stade de la conception en y traitant au moins les événements internes, de façon notamment à obtenir une première appréciation de la probabilité de fusion du cœur avec un aperçu des conséquences possibles des différents types de situations de ce type sur la fonction de confinement ainsi qu’une évaluation de l’importance relative des séquences accidentelles et des défaillances de cause commune.

Les dispositions de prévention et de limitation des conséquences des incidents et des accidents doivent être réparties entre les différents niveaux de la défense en profondeur de façon à ne pas faire reposer la sûreté de l’installation sur un seul niveau. De plus, une diversification de ces dispositions peut être recherchée afin de limiter les risques de défaillance de cause commune. À ce titre, le développement et l’utilisation des études probabilistes de sûreté dès le stade de la conception d’un réacteur puis, de façon plus détaillée, en support aux études d’ingénierie – quand des informations plus précises sur la conception deviennent disponibles – constituent un complément essentiel à la démarche déterministe. Leur utilisation permet le choix entre plusieurs options possibles, ainsi qu’une appréciation de la robustesse d’une installation et l’identification d’éventuels points faibles. Elles sont en particulier utilisées pour définir la liste des conditions de fonctionnement avec défaillances multiples à étudier dans le cadre de la démonstration de la sûreté de l’installation, ainsi que pour apporter un éclairage sur le caractère suffisant des dispositions permettant « d’éliminer pratiquement » certaines situations.

Pour ce qui concerne les agressions externes, les études probabilistes de sûreté peuvent permettre d’évaluer le comportement de l’installation pour des aléas plus sévères que ceux qui sont retenus pour le dimensionnement des structures, des systèmes et des composants et pour des combinaisons d’agressions, y compris lorsqu’elles affectent la totalité d’un site.

#FOCUS

Situations pour lesquelles une « élimination pratique »
est à mettre en œuvre

Diverses situations devant faire l’objet d’une démarche d’« élimination pratique » sont évoquées dans les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau sous pression » :

–une introduction rapide d’eau froide ou insuffisamment borée dans le cœur du réacteur ;

–les situations de fusion du cœur à haute pression (cas notamment de la perte totale de l’alimentation en eau des générateurs de vapeur avec défaillance du mode de refroidissement en « gavé-ouvert ») ;

–les situations de fusion du cœur qui mèneraient à des détonations globales d’hydrogène ainsi qu’à des explosions de vapeur en cuve et hors cuve qui mettraient en danger l’intégrité de l’enceinte de confinement ;

–les bipasses du confinement lors d’une fusion du cœur : les directives techniques indiquent à cet égard que « les situations accidentelles avec bipasse du confinement (par les générateurs de vapeur ou par des circuits connectés au système primaire qui sortent de l’enceinte de confinement) doivent être « pratiquement éliminées » par des dispositions de conception (telles qu’une pression de conception adéquate des tuyauteries) et des dispositions d’exploitation dans le but d’assurer un isolement fiable et aussi de prévenir les défaillances » ;

–la fusion du combustible dans la piscine d’entreposage des combustibles usés ; des dispositions doivent être prévues pour permettre la maîtrise de la perte totale du système de refroidissement de la piscine tout en maintenant la fonction de confinement ; dans le cas contraire, la vraisemblance d’une ébullition de l’eau dans la piscine devra être réduite par des améliorations adéquates, notamment des systèmes supports du système de refroidissement de la piscine.

Les objectifs généraux de sûreté et les options de conceptions retenus à l’égard de la piscine d’entreposage du combustible sont exposés au paragraphe 15.5 du présent ouvrage.

18.2.3.Dispositions principales de prévention
des incidents et des accidents

Sans entrer dans l’analyse détaillée du projet EPR par les organismes de sûreté, sont donnés ci-après, à titre d’illustration, quelques éléments descriptifs du réacteur EPR Flamanville 3, ayant pour but de souligner les principales nouveautés en termes d’options de sûreté et de choix de conception par rapport aux réacteurs précédents.

Le réacteur EPR Flamanville 3 est un réacteur à eau sous pression de forte puissance, 1 675 MWe584, à quatre boucles, implanté dans une enceinte de confinement à double paroi avec peau d’étanchéité sur l’intrados de l’enceinte interne, reprise des fuites entre les deux enceintes et filtration de ces fuites avant rejet par la cheminée.

L’enceinte de confinement est dimensionnée en fonction du cas accidentel enveloppe défini par les conditions de fonctionnement de référence (PCC – voir les définitions dans le focus du paragraphe 8.1), les conditions de fonctionnement avec défaillances multiples (RRC-A) et les accidents avec fusion du cœur (RRC-B).

Le combustible utilisé est du même type que celui qui est utilisé dans les réacteurs précédents ; le nombre d’assemblages combustibles est plus important, ce qui permet de diminuer la puissance linéique moyenne du cœur585 et de dégager des marges au fonctionnement nominal, permettant ainsi une manœuvrabilité accrue en exploitation.

La prévention des incidents et des accidents, y compris des situations avec fusion du cœur, s’appuie sur des redondances accrues pour les principaux systèmes de sûreté586, d’équipements diversifiés pour certains systèmes ou fonctions et une séparation physique ou géographique renforcée en « divisions de sûreté ».

Par ailleurs, aucune action des opérateurs en salle de commande n’est nécessaire pendant les 30 minutes qui suivent le début d’une situation incidentelle ou accidentelle. Aucune action en local n’est nécessaire avant une heure. L’apport de matériels complémentaires lourds ne devrait pas être nécessaire avant trois jours.

Les principaux systèmes de sûreté sont donc composés de plusieurs trains situés dans des bâtiments différents et alimentés par des « divisions électriques » différentes (voir la figure 18.1).

Ainsi, comme cela est indiqué au paragraphe 7.2, le système d’injection de sécurité intervenant notamment en cas de brèche du circuit primaire principal comporte quatre trains, chacun de ces trains étant capable d’assurer les fonctions de sûreté attendues de ce système.

La pression de refoulement des pompes à « moyenne pression » du système d’injection de sécurité est telle qu’en cas de rupture d’un tube de générateur de vapeur, le rejet d’eau par les organes de décharge du circuit secondaire soit évité.

Figure 18.1. Disposition des principaux bâtiments du réacteur EPR Flamanville 3. IRSN.

Le système d’injection de sécurité à basse pression est doté d’échangeurs de chaleur capables d’évacuer la puissance résiduelle dans le cas des conditions de fonctionnement de référence (PCC). Le système d’aspersion dans l’enceinte qui existe dans les réacteurs français précédents n’est donc plus nécessaire.

En fonction des lignages, le système d’injection de sécurité à basse pression peut jouer (contrairement aux réacteurs précédents) le rôle de système de refroidissement du réacteur à l’arrêt (RRA). Cette conception conduit à faire circuler de l’eau du circuit primaire à l’extérieur de l’enceinte de confinement lors des arrêts du réacteur, ce qui nécessite une attention particulière pour limiter les risques de bipasses du confinement.

Un système de « borication » de secours587 (RBS) est composé de deux trains redondants.

Conformément aux directives techniques, un système ultime d’évacuation de la chaleur du bâtiment du réacteur (EVU) constitué de deux trains588 est prévu pour les situations avec fusion du cœur. La chaleur est évacuée, hors de l’enceinte de confinement, par une chaîne de refroidissement diversifiée de la chaîne de refroidissement des systèmes de sauvegarde. Cette conception nécessite de « pratiquement éliminer » les situations d’accident grave avec bipasse du confinement qui pourraient en résulter.

Le système d’alimentation de secours des générateurs de vapeur intervenant pour le refroidissement du réacteur dans certaines situations incidentelles ou accidentelles est composé de quatre trains (4 x 50 %) alimentant chacun un générateur de vapeur589. Contrairement aux réacteurs français précédents, ce système n’intervient pas dans les périodes de démarrage et d’arrêt ; un système spécifique est utilisé pendant ces périodes.

L’alimentation électrique des « divisions électriques » qui fournissent l’énergie nécessaire au fonctionnement des différents trains des systèmes de sûreté est secourue par quatre groupes électrogènes principaux à moteur diesel en cas de perte des alimentations électriques externes par le réseau national.

Deux groupes électrogènes d’ultime secours à moteur diesel, diversifiés590 par rapport aux groupes électrogènes principaux, permettent l’alimentation électrique des matériels nécessaires pour gérer une situation de perte totale des alimentations électriques (défaillance des alimentations externes cumulée à la défaillance des groupes électrogènes principaux) ainsi que des matériels intervenant dans la gestion d’accidents avec fusion du cœur.

Enfin, des batteries disposant d’une autonomie de 24 heures permettent d’alimenter un minimum d’équipements permettant la gestion à court terme d’une situation de perte totale des alimentations électriques (réseau externe et groupes électrogènes principaux et d’ultime secours) menant à la fusion du cœur.

Conformément aux directives techniques, la pression de dimensionnement et la température de dimensionnement de la paroi interne de l’enceinte de confinement sont telles qu’elles autorisent une période de grâce d’au moins 12 heures sans évacuation de la puissance hors de l’enceinte de confinement après un accident grave et que son intégrité et son étanchéité sont assurées même dans le cas de la déflagration globale de la quantité maximale d’hydrogène qui pourrait être contenue dans le bâtiment de confinement au cours d’accidents de fusion du cœur à basse pression.

L’enceinte de confinement, le bâtiment du combustible et deux des bâtiments de sauvegarde sont protégés contre les chutes d’avions (voir la figure 18.2). Cette protection est assurée par l’enceinte externe591 du réacteur, épaisse structure en béton, dont l’extension recouvre le bâtiment du combustible et deux bâtiments de sauvegarde (« coque avion »). Des murs internes, découplés de la paroi de protection de ces bâtiments, limitent la propagation aux matériels de l’ébranlement dû à une chute d’avion ou à une explosion.

Figure 18.2. Vue générale en coupe du réacteur EPR montrant notamment la « coque avion ». IRSN.

Il a été visé que la conception (y compris le dimensionnement) du circuit primaire principal et du circuit secondaire principal ainsi que leur fabrication permettent une faible sensibilité au vieillissement, une très grande qualité et la possibilité de contrôles performants pour l’application du concept « d’exclusion de rupture » aux tuyauteries principales592 ; cela dans le but de ne pas prendre en compte les effets mécaniques de ruptures complètes doublement débattues – notamment sur les structures internes à la cuve – et de ne pas mettre en place des dispositifs anti-débattement. Le système d’injection de sécurité et l’enceinte de confinement restent, toutefois, dimensionnés pour faire face à une rupture instantanée, guillotine, à double débattement d’une telle tuyauterie (mais hors conditions PCC).

Conformément à l’« arrêté ESPN », les tuyauteries du circuit primaire principal et certaines tuyauteries de vapeur du circuit secondaire principal sont classés au plus haut niveau, N1.

Le réservoir d’eau (borée) du système d’injection de sécurité593 est implanté dans l’enceinte de confinement : c’est l’In-Containment Refueling Water System Tank (IRWST) ; sa capacité est de 2 000 m3. Cette disposition constitue une simplification significative : en cas d’injection de sécurité, il n’y a plus de distinction entre la phase d’injection directe pendant laquelle l’eau injectée dans le cœur provient, pour les réacteurs précédents, d’une bâche extérieure (système PTR) et la phase de recirculation où l’eau provient des puisards de l’enceinte. Les modifications de configuration de vannes ne sont donc plus nécessaires.

Le dimensionnement standard aux séismes des bâtiments de l’îlot nucléaire et des équipements importants pour la sûreté est réalisé en retenant un spectre de réponse de résonateurs594 plus sévère que pour les réacteurs actuellement en exploitation ; de plus, les bâtiments de l’îlot nucléaire sont construits sur un radier unique, garantissant un meilleur comportement d’ensemble en cas de séisme.

Le calage de la plateforme de l’ensemble du site de Flamanville (+ 12,40 m NGFN595) dégage des marges significatives par rapport aux différents scénarios d’inondation envisageables596. En outre, la protection contre les inondations externes du réacteur EPR tient largement compte des enseignements tirés de l’inondation partielle du site du Blayais survenue le 27 décembre 1999, avec la mise en place d’une protection volumétrique destinée à protéger les équipements nécessaires au retour et au maintien dans un état sûr de l’installation en cas de submersion du site.

18.2.4.Redondances fonctionnelles, indépendances
entre systèmes, fiabilité des systèmes

Pour le réacteur EPR Flamanville 3, des redondances fonctionnelles ont été adoptées pour différentes fonctions de sûreté, en particulier pour le refroidissement du combustible jusque dans des conditions très dégradées.

En cas de petite brèche conduisant à une baisse de la pression du circuit primaire jusqu’à la pression du circuit secondaire, le refroidissement du combustible peut être assuré par le circuit secondaire de façon à rejoindre la pression de refoulement des pompes d’injection de sécurité à moyenne pression.

Pour fiabiliser le refroidissement du cœur en recirculation d’eau par le système RIS aspirant directement l’eau dans les puisards, une disposition spécifique a été adoptée pour la filtration des débris pouvant résulter d’une brèche du circuit primaire : elle est fondée sur deux597 dispositions en série sur le trajet des débris :

–des paniers de rétention à la périphérie du réservoir IRWST présenté plus haut, au droit des ouvertures du plancher des gros composants,

–des filtres dans la partie centrale du réservoir IRWST, dans laquelle sont situées les lignes d’aspiration vers les pompes.

Par rapport aux réacteurs en exploitation598, l’EPR dispose par ailleurs d’une deuxième source froide, qui peut aspirer de l’eau dans le canal d’amenée ou dans le bassin de rejet des eaux de refroidissement (système de refroidissement ultime – SRU), ce qui le rend moins vulnérable à une perte de la source froide principale.

Le système de contrôle-commande de l’EPR utilise deux « plateformes » :

–une plateforme (Téléperm XS) ; elle est spécifiquement développée pour l’industrie nucléaire et elle est dédiée aux fonctions de protection du réacteur dans les situations incidentelles ou accidentelles ;

–une plateforme (SPPA T2000) développée pour l’industrie classique599, qui est utilisée non seulement pour des fonctions liées au fonctionnement normal du réacteur, mais aussi pour certaines fonctions de protection du réacteur en diversification de certaines fonctions réalisées par la plateforme précédente pour la conduite du réacteur dans les situations incidentelles ou accidentelles.

Cette architecture a soulevé un certain nombre de questions quant à sa robustesse au plan de la sûreté, voire son acceptabilité. Électricité de France a pu apporter des justifications appropriées. Entretemps, Électricité de France avait néanmoins mis en œuvre une modification visant à fiabiliser les fonctions de protection utilisant la plateforme « industrielle classique » : cette modification a consisté à dupliquer sur la plateforme Téléperm XS certaines fonctions de protection du réacteur portées par la plateforme SPPA T2000, de façon à améliorer la robustesse du contrôle-commande en cas de défaillance de la plateforme SPPA-T2000 cumulée à certaines situations incidentelles ou d’accidentelles.

18.2.5.Préservation du confinement

Conformément aux objectifs généraux retenus pour la prochaine génération de réacteurs à eau sous pression dans les directives techniques évoquées plus haut, le réacteur EPR présente une amélioration importante du confinement, principalement par la prise en compte pour sa conception des situations avec fusion du cœur. Les dispositions correspondantes sont développées au paragraphe 17.10.2 ; elles sont succinctement rappelées ci-après.

Le volume libre de l’enceinte interne est très important, de l’ordre de 90 000 m3. Elle est dimensionnée pour résister à la surpression correspondant à la déflagration de la quantité maximale d’hydrogène qui pourrait s’y trouver au cours d’une séquence accidentelle avec fusion du cœur. Compte tenu de la présence de recombineurs, qui permettent d’abaisser les concentrations d’hydrogène, cette quantité d’hydrogène correspond à 50 % de celle qui résulte de la réaction entre l’ensemble des gaines et de la vapeur d’eau. La pression correspondante est de 6,5 bars absolus, supérieure à la pression résultant de la rupture complète d’une tuyauterie du circuit primaire principal.

Le circuit ultime d’évacuation de la chaleur du bâtiment du réacteur prévu pour les situations avec fusion du cœur (EVU) – déjà évoqué plus haut ainsi qu’au paragraphe 17.10.3 –, comporte deux trains ; il utilise une aspersion d’eau dans l’enceinte de confinement pour assurer le refroidissement de l’atmosphère de l’enceinte et la maîtrise de sa pression interne. Aucun système ultime d’éventage de l’enceinte de confinement n’est implanté.

Par ailleurs, comme cela est présenté au chapitre 17, pour éviter une fusion du cœur en pression, le haut du pressuriseur du réacteur EPR est équipé de deux lignes en parallèle, comportant chacune deux vannes, dédiées respectivement à la mise en œuvre du refroidissement en « gavé-ouvert » et à la dépressurisation ultime du circuit primaire.

Des dispositions sont également mises en place pour éviter la pénétration du radier par un corium de matériaux fondus. En particulier, un récupérateur de corium implanté au fond de l’enceinte de confinement permet de recueillir et de refroidir le corium après la rupture du fond de la cuve et d’une « porte fusible » située en dessous, suivies de l’écoulement du corium par un canal de décharge. Une fois étalé dans le récupérateur, le corium est refroidi par de l’eau en provenance du réservoir IRWST. Le récupérateur de corium et son fonctionnement sont plus amplement décrits au paragraphe 17.10.3.

Il est à noter que plusieurs des dispositifs évoqués à propos du réacteur EPR se retrouvent dans d’autres projets de réacteurs de puissance moindre tels l’ATMEA1, projet de réacteur à eau sous pression de 1 100 MWe développé conjointement par Mitsubishi Heavy Industries et Framatome. C’est le cas de la localisation de la réserve d’eau d’injection de sécurité dans l’enceinte de confinement ou de la mise en place de dispositifs visant à empêcher la pénétration du corium dans le radier.

18.2.6.Radioprotection

Deux choix de conception concernant la radioprotection pour le réacteur EPR sont à mentionner.

Tout d’abord, une attention particulière est portée au choix des matériaux afin de réduire l’activation des structures et, in fine, les doses reçues par le personnel lors des contrôles en service (aciers à teneur réduite en cobalt pour le circuit primaire, optimisation [réduction] des revêtements à base de stelitte pour les structures internes à la cuve et la robinetterie600…).

Par ailleurs, un concept two-rooms a été mis en œuvre pour le réacteur EPR Flamanville 3, afin de permettre des interventions du personnel dans le bâtiment du réacteur en dehors des arrêts de tranche, notamment pour préparer ces derniers (sept jours avant l’arrêt et trois jours après le redémarrage) : afin de réduire autant que possible l’exposition radiologique du personnel, le bâtiment du réacteur est divisé en un « compartiment des équipements » (composé des principaux éléments du circuit primaire) et un « espace de service » bénéficiant de protections biologiques adaptées et où l’atmosphère est compatible avec la présence de personnes, en fonctionnement.

18.2.7.Prise en compte des enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi

Le réacteur EPR a été conçu pour répondre aux objectifs de sûreté stipulés dans les directives techniques établies dans les années 1990. L’accident de la centrale nucléaire de Fukushima Daiichi a amené des interrogations sur la robustesse des installations face à des événements extrêmes.

En Europe, des stress tests ont été mis en œuvre pour les réacteurs en exploitation, dénommés en France évaluations complémentaires de sûreté (ECS). Ces ECS ont eu notamment pour objectif d’évaluer, pour chaque installation concernée, « la robustesse de l’installation au-delà de ce pour quoi elle est dimensionnée, en identifiant en particulier, d’une part les situations qui conduiraient à une brusque dégradation de l’accident (« effet falaise »), d’autre part les mesures permettant d’éviter ces situations. »601

Sans développer ici les ECS, qui sont largement abordées au chapitre 36 du présent ouvrage – notamment au paragraphe 36.6.4 pour ce qui concerne les dispositions prises en conséquence, non seulement pour les réacteurs en exploitation du parc électronucléaire français, mais aussi pour le cas du réacteur EPR Flamanville 3 en construction, et au paragraphe 15.5 pour les piscines d’entreposage du combustible –, quelques éléments essentiels sont mentionnés ci-après.

Comme cela a été vu dans les paragraphes qui précèdent, le réacteur EPR a bénéficié, dès sa conception, de dispositions supplémentaires par rapport aux réacteurs du parc en exploitation en matière de prévention des situations de perte totale des sources froides et des alimentations électriques ainsi que de limitation des conséquences d’un accident avec fusion du cœur. Le réacteur EPR Flamanville 3 est également mieux protégé à l’égard des agressions externes que sont le séisme et l’inondation. Mais il va aussi bénéficier d’un certain nombre de dispositions adoptées par Électricité de France à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi.

Tout d’abord, l’une des dispositions retenues par Électricité de France après cet accident est la mise en place d’une Force d’action rapide nucléaire (FARN), conçue pour assister tout site du parc électronucléaire français qui aurait à gérer une situation accidentelle grave ; elle serait déployée sur le site concerné dans un délai inférieur à 24 heures, avec une première « colonne » dans un délai de 12 heures. La FARN est présentée au paragraphe 36.6.6.

Par ailleurs, est aussi mis en œuvre pour le réacteur EPR Flamanville 3 le concept de « noyau dur », visant à disposer d’un ensemble de moyens matériels, organisationnels et humains permettant d’assurer, au moins pendant les premiers jours suivant l’accident (et avant l’arrivée de la FARN), les fonctions de sûreté vitales du réacteur en cas de perte totale des sources de refroidissement ou d’alimentation électrique, y compris en situation d’agression externe extrême (pouvant affecter l’ensemble du site). Cet ensemble de moyens doit permettre de :

–« prévenir un accident de fusion de combustible ou en limiter la progression,

–limiter les rejets radioactifs massifs,

–permettre à l’exploitant d’assurer les missions qui lui incombent dans la gestion de crise.»602

Pour le réacteur EPR Flamanville 3, un certain nombre de systèmes et d’équipements (déjà prévus ou nouveaux) vont ainsi être retenus au titre du « noyau dur », parmi lesquels – pour n’en rester qu’à quelques spécificités de l’EPR mentionnées plus haut – le récupérateur de matériaux fondus et les lignes de décompression du circuit primaire (visant à éviter les accidents de fusion en pression).

Toutefois, en cohérence notamment avec le guide ASN n° 22, pour la conception de nouveaux réacteurs à eau sous pression (y compris d’autres réacteurs de type EPR dont la construction serait décidée), une nouvelle approche se substitue au concept de « noyau dur », fondée sur la prise en compte d’un « domaine de conception étendu », intégrant notamment des agressions externes d’une ampleur supérieure à celle du domaine de dimensionnement de base.

18.3.Contexte international : objectifs généraux
de sûreté des réacteurs de nouvelle génération

Au plan international, des réflexions sur ce que devraient être les objectifs généraux de sûreté de futurs réacteurs de puissance ont été engagées dès le milieu des années 1990. En particulier, l’INSAG603 a diffusé en 1999, sous la dénomination INSAG-12, une révision du document INSAG-3 qui avait été diffusé en 1988. Cette révision apporte un certain nombre d’évolutions au document de 1988, en soulignant notamment toute l’attention qui doit être portée, dès le stade de la conception d’un réacteur de puissance, à la prévention et à la limitation des conséquences des situations avec défaillances multiples et des situations d’endommagement sévère du cœur, pour éviter en particulier la défaillance du confinement.

L’INSAG-12 note que pour les réacteurs (alors) existants, les dispositions prises devraient conduire à une probabilité de dommages graves au cœur d’un réacteur de l’ordre de 10-4 par année.réacteur, la mise en place de dispositions de gestion et d’atténuation des accidents pouvant réduire d’un facteur au moins égal à 10 la probabilité de rejets massifs hors site nécessitant une réponse à court terme. Dans l’INSAG-12, il est considéré que, par l’application aux réacteurs futurs des principes et objectifs de sûreté énoncés dans ce document, une probabilité de dommages sévères au cœur de l’ordre de 10-5 par année.réacteur pourrait être atteinte. Un autre objectif indiqué pour ces futurs réacteurs est que les séquences accidentelles pouvant conduire à des rejets radioactifs précoces importants devraient être « pratiquement éliminées ».

Depuis les années 2000, de nombreux efforts d’harmonisation des objectifs de sûreté ont conduit à la publication de nouveaux documents (européens ou internationaux). Ainsi, les textes issus des travaux de l’association WENRA, de l’Agence internationale de l’énergie atomique et la directive européenne n° 2014/87/Euratom forment aujourd’hui un ensemble de documents de référence cohérents en matière d’objectifs généraux de sûreté pour la prochaine génération de réacteurs nucléaires en Europe.

En 2010, l’association WENRA a publié604 un document (de position) fixant sept objectifs pour les nouveaux réacteurs, sur les sujets suivants :

–le fonctionnement normal et la prévention des incidents et des accidents,

–les accidents sans fusion de combustible,

–les accidents avec fusion de combustible,

–le renforcement de l’indépendance entre les niveaux de la défense en profondeur,

–les interfaces entre la sûreté et la sécurité,

–la protection contre les radiations et la gestion des déchets,

–le management de la sûreté.

En 2013, l’association WENRA a intégré les enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi dans un nouveau rapport605, en particulier les objectifs suivants :

–le renforcement de la robustesse des installations face aux agressions externes « hors dimensionnement »,

–le renforcement de la robustesse face aux situations de perte totale des sources froides ou des alimentations électriques,

–la meilleure prise en compte des situations affectant plusieurs tranches d’un même site ou des piscines d’entreposage de combustibles usés,

–l’amélioration de l’indépendance entre les différents niveaux de la défense en profondeur, tout particulièrement entre les niveaux 3 et 4,

–l’amélioration de la gestion à long terme des situations d’accident avec fusion du cœur.

La plupart de ces enseignements se retrouvent d’ailleurs, parmi d’autres, dans la révision n° 2014/87/Euratom de la directive 2009/71/Euratom d’une part, et dans la révision 2016 du guide AIEA « Sûreté à la conception » d’autre part.

La directive révisée de 2014 fixe un objectif de sûreté pour les installations nucléaires, reprenant celui qui avait été adopté dans les directives techniques établies dans les années 1990 pour la prochaine génération de réacteurs nucléaires à eau sous pression, qui est « d’éviter :

–les rejets radioactifs précoces qui imposeraient des mesures d’urgence hors site mais sans qu’il y ait assez de temps pour les mettre en œuvre,

–les rejets radioactifs de grande ampleur qui imposeraient des mesures de protection qui ne pourraient pas être limitées dans l’espace ou le temps ».

Il est spécifié dans cette directive révisée que les États veillent à ce que le cadre national exige que l’objectif précédent :

–« s’applique aux installations nucléaires pour lesquelles une autorisation de construire est octroyée pour la première fois après le 14 août 2014,

–soit utilisé comme une référence pour la mise en œuvre en temps voulu de mesures d’amélioration raisonnablement possibles dans une installation nucléaire existante, y compris dans le cadre des examens périodiques de sûreté […] »606.

En France, l’ensemble de ces travaux a conduit à la publication en 2017 du guide ASN n° 22 relatif à la conception des réacteurs à eau sous pression, élaboré conjointement par l’IRSN et l’ASN, déjà présenté au paragraphe 6.1. Ce guide comprend notamment un chapitre sur les objectifs généraux de sûreté, prenant en compte les objectifs adoptés par l’association WENRA en 2010, les exigences du document SSR-2/1 de l’AIEA, la directive européenne 2014/87/EURATOM.

Même s’il ne s’agit que de recommandations, le guide ASN n° 22 servira de document de référence pour la conception de nouveaux réacteurs à eau sous pression en France, tout comme les directives techniques ont servi à la conception du réacteur EPR.

18.4.Concepts mis en valeur dans les réacteurs
de nouvelle conception

Les concepteurs des réacteurs de nouvelle génération développent de nombreux systèmes innovants. Quelques exemples sont exposés ci-après :

–les systèmes gravitaires passifs de l’AP1000,

–le système SPOT du VVER-1200,

–les multi-groupes de l’EPR NM,

–les accumulateurs du réacteur ATMEA1,

–la piscine commune aux modules NuScale.

18.4.1.AP1000 : systèmes gravitaires

L’AP1000 est un réacteur à eau sous pression d’environ 1 150 MWe développé par la société Westinghouse Electric Corporation (rachetée en 2006 par la firme japonaise Toshiba). Trois réacteurs de ce type ont été construits en Chine et ont été mis en service en 2018. La sûreté de ce réacteur repose sur le recours à de nombreux systèmes passifs, permettant de se passer d’alimentation électrique pendant au moins 72 heures.

L’AP1000 dispose notamment de plusieurs systèmes de refroidissement innovants, dont deux sont illustrés ci-après : un système d’injection gravitaire d’eau borée, et un système passif de refroidissement de l’enceinte de confinement (métallique) du bâtiment du réacteur607.

Le réacteur AP1000 est équipé d’un réservoir, appelé IRWST (comme pour l’EPR), situé à l’intérieur de l’enceinte de confinement, au-dessus du niveau de la cuve du réacteur (voir la figure 18.3). Ce réservoir, rempli d’eau borée, est à température et pression ambiantes, et isolé du circuit primaire en fonctionnement normal. L’une des fonctions de l’IRWST est d’assurer un appoint d’eau borée au circuit primaire en cas d’accident de perte de réfrigérant primaire. Lors d’un tel accident, la pression du circuit primaire va décroître jusqu’à être suffisamment basse pour permettre à l’IRWST de se déverser de manière gravitaire dans le circuit primaire. Dans un second temps, un régime de recirculation s’établit entre le réservoir et le réacteur.

Figure 18.3. Illustration du système d’injection gravitaire du réacteur AP1000. Westinghouse Electric Company LLC.

L’enceinte de confinement est conçue pour permettre le retour dans l’IRSWT d’une partie de l’eau perdue par la brèche, l’ensemble étant dimensionné de telle sorte que l’injection d’eau dans le circuit primaire soit suffisante pour empêcher le dénoyage du cœur avant et après l’établissement de la recirculation.

Le système de refroidissement de l’enceinte de confinement est un autre exemple intéressant de système passif utilisé pour le réacteur AP1000. Il consiste en un réservoir d’eau claire, à pression et température ambiantes, implanté dans la partie supérieure du bâtiment du réacteur, au-dessus de l’enceinte de confinement. Sa fonction est d’assurer le refroidissement de l’enceinte de confinement afin que les valeurs de température et de pression y restent dans le domaine de dimensionnement.

Pour cela, en cas d’augmentation de la température à l’intérieur de l’enceinte de confinement, les vannes de fond du réservoir s’ouvrent pour permettre à l’eau contenue dans le réservoir de recouvrir la face extérieure de l’enceinte de confinement, par gravité. Des évents permettent une circulation d’air dans le bâtiment du réacteur à contre-courant de l’écoulement d’eau, favorisant ainsi les échanges thermiques avec l’enceinte. Le réservoir est dimensionné pour assurer le refroidissement de l’enceinte de manière passive pendant 72 heures.

Des drains situés au fond du bâtiment du réacteur permettent la collecte des écoulements en vue d’une recirculation au-delà de 72 heures. Le système de refroidissement de l’enceinte assure ainsi sa fonction sur le long terme.

Les systèmes passifs ainsi introduits présentent des avantages, mais au cas par cas un bilan concernant leur apport doit être mené en termes de démonstration de leur efficacité par des essais représentatifs, de résistance aux agressions externes, d’efficacité lors des états d’arrêt, de réalisation de contrôles périodiques…

18.4.2.VVER : système SPOT

Les VVER sont des réacteurs à eau sous pression de conception soviétique puis russe, développés à partir des années 1960, repris aujourd’hui par la société ROSATOM.

Le système illustré dans ce chapitre est le système SPOT (voir la figure 18.4), qui permet le refroidissement passif des générateurs de vapeur dans les situations « hors dimensionnement » de perte totale des alimentations électriques. Ce système est uniquement présent dans certains VVER-1000 et VVER-1200 (réacteurs à quatre boucles de refroidissement), qui sont parmi les modèles les plus récents.

Figure 18.4. Illustration du système SPOT en air. ROSATOM.

Le système SPOT est constitué de quatre échangeurs à air, un par boucle, situés à l’extérieur de l’enceinte de confinement en partie haute du bâtiment du réacteur. Selon le cas, ces échangeurs sont directement en contact avec l’air (cas du VVER-1200 Novovovoronej II-1, en exploitation depuis mai 2016 – voir la figure 18.4) ou immergés dans des réservoirs d’eau (cas du VVER-1200 Leningrad II-1, en exploitation depuis octobre 2018). Quelle que soit la conception, le principe de fonctionnement est identique : la vapeur sortant des générateurs de vapeur monte naturellement vers les échangeurs, où elle est refroidie et condensée. Les condensats sont alors dirigés par gravité vers la partie basse des générateurs de vapeur horizontaux. Le système est dimensionné pour assurer un refroidissement suffisant avec trois échangeurs sur quatre en fonctionnement. Dans le cas des échangeurs immergés, les réservoirs d’eau interviennent aussi pour refroidir passivement l’enceinte en cas de brèche primaire. Pour cela, des échangeurs-condenseurs sont positionnés en partie haute de l’enceinte. L’eau liquide contenue à l’intérieur des condenseurs se réchauffe, et remonte par convection naturelle vers les réservoirs dans lesquels elle va se mélanger. Des évents sont prévus pour permettre à l’eau contenue dans le réservoir de s’évaporer. Les réservoirs sont dimensionnés pour assurer le refroidissement des générateurs de vapeurs et de l’enceinte pendant 24 heures.

18.4.3.EPR NM : technologie « multi-groupe »,
source froide diversifiée

Le réacteur EPR nouveau modèle, dit EPR NM, est un projet de réacteur à eau sous pression dérivé du réacteur EPR, développé par Électricité de France et Framatome608 ; il n’est pas figé et des évolutions de ce projet sont d’ores et déjà prévues par les développeurs sous le nom d’EPR 2. Si l’architecture globale de sûreté du nouveau modèle est proche de celle du réacteur EPR, certaines modifications envisagées méritent d’être mentionnées pour leur mise en valeur d’évolutions dans les approches de sûreté.

La conception des sources électriques de secours a en particulier notablement évolué, conduisant à un renforcement de l’indépendance entre les niveaux 3 et 4 de la défense en profondeur, ce qui par conséquent devrait améliorer la fiabilité de la fonction d’évacuation de la puissance résiduelle de l’enceinte de confinement en cas d’accident grave.

En plus des groupes électrogènes principaux à moteur diesel, qui alimentent les systèmes de sûreté en cas de perte du réseau électrique externe, le réacteur EPR NM disposerait de groupes électrogènes de secours dédiés à la gestion de la situation de manque de tension généralisé en utilisant une technologie de type multi-groupe. Cette technologie consisterait à assurer le niveau de puissance requis en connectant entre eux des groupes électrogènes de plus petite puissance qui constitueraient un unique ensemble fonctionnel. Les groupes électrogènes élémentaires seraient identiques, interchangeables et indépendants les uns des autres. Chaque groupe élémentaire disposerait d’un certain nombre de systèmes supports qui lui seraient propres (refroidissement du moteur, entreposage tampon de carburant…), ce qui serait de nature à augmenter la fiabilité de l’ensemble même s’il existe toujours des fonctions supports communes.

Ces groupes électrogènes de secours seraient dimensionnés pour permettre la gestion de l’ensemble des situations accidentelles les requérant en prenant en compte l’impact simultané des accidents sur le réacteur et la piscine d’entreposage du combustible.

Les systèmes intervenant dans la gestion d’une situation avec fusion du cœur disposeraient d’un groupe électrogène de secours dédié à cette situation.

Concernant la source froide, le projet EPR NM prévoit deux sources froides : la source principale qui aurait une prise directe dans le milieu naturel (mer ou rivière en fonction du site choisi) et alimenterait la chaîne de refroidissement principale, et une source froide diversifiée, refroidie par air, qui alimenterait la chaîne de refroidissement diversifiée utilisée dans les conditions DEC-A ainsi que la chaîne de refroidissement ultime (DEC-B). Cette option de conception vise à écarter les risques de perte des deux sources froides par mode commun.

18.4.4.ATMEA1 : accumulateurs d’injection de sécurité
dans le circuit primaire

Le réacteur ATMEA1 est un projet de réacteur à eau sous pression de 1 100 MWe, développé conjointement par Mitsubishi Heavy Industries et Areva-NP. En 2011, l’Autorité de sûreté nucléaire française a rendu un avis favorable sur les options de sûreté de ce projet de réacteur éclairées par des options de conception préliminaires de ce réacteur.

Parmi ces options, une innovation a été introduite dans le projet ATMEA1 pour la gestion des accidents de perte de réfrigérant primaire. Contrairement à la plupart des réacteurs à eau sous pression, le projet ATMEA1 ne comporte pas de système actif d’injection à basse pression (dont l’objectif principal est d’assurer le renoyage du cœur à court terme en cas de brèche importante du circuit primaire).

Pour remplir cette fonction, le projet de réacteur ATMEA1 comporte des accumulateurs passifs dits « à double détente » présentant deux paliers de fonctionnement. À leur activation, ils libèrent de l’eau dans le circuit primaire avec un très gros débit, permettant de renoyer le combustible en quelques secondes. Une fois cette première phase achevée, les accumulateurs continuent de libérer de l’eau à un débit plus faible.

Ces accumulateurs sont dimensionnés pour assurer une injection suffisante maintenant le refroidissement du combustible jusqu’au démarrage des pompes d’injection de sécurité à moyenne pression. Ces dernières assurent la gestion à long terme des situations d’accident de perte de réfrigérant primaire. Ce mode de fonctionnement permet en conséquence, pour les cas de dimensionnement où la perte des sources externes est envisagée, d’éviter de solliciter des secours électriques en un temps réduit, de l’ordre de la minute, et réduit en conséquence le risque d’endommagement des groupes électrogènes dans de telles conditions.

18.4.5.NuScale : piscine commune pour réacteurs modulaires

Au cours des années 2010, un nouveau type de réacteurs a connu un fort développement : il s’agit de petits réacteurs modulaires, pour lesquels il existe de nombreux concepts.

Un petit réacteur modulaire est un réacteur nucléaire de faible puissance conçu pour être fabriqué et assemblé en série, en usine, afin de faciliter son installation sur site. La puissance des petits réacteurs nucléaires est généralement inférieure à 300 MWe ou à son équivalent thermique.

Selon leurs concepteurs, les caractéristiques des petits réacteurs modulaires leur permettraient d’être implantés dans des lieux où une centrale de grande puissance ne pourrait pas être construite, comme des endroits isolés. De plus, leur faible puissance leur permettrait d’être moins coûteux qu’une centrale nucléaire de grande taille, les rendant intéressants pour des pays souhaitant se lancer dans la production d’énergie nucléaire. Enfin, leur faible inventaire en substances radioactives pourrait permettre leur implantation à proximité de centres urbains pour lesquels une production mixte d’électricité et de vapeur pourrait être de surcroît envisagée.

La société américaine NuScale Power développe un tel concept de petit réacteur modulaire intégré à eau sous pression d’une puissance de 50 MWe. Les modules seraient construits en usine puis transportés sur site, où ils seraient assemblés dans une même installation fixe. Le projet prévoit jusqu’à douze modules sur un même site, qui partageraient certains auxiliaires ou certains systèmes de sûreté. Un module NuScale est composé d’une capacité appelée cuve primaire contenant le cœur, le pressuriseur et les deux générateurs de vapeur. La cuve primaire est logée dans une enveloppe de confinement qui joue le rôle de troisième barrière physique de confinement. Un quasi-vide est maintenu entre la cuve primaire et l’enveloppe de confinement.

Le choix de conception présenté ci-après concerne la piscine commune dans laquelle l’ensemble des modules seraient immergés (voir la figure 18.5).

Figure 18.5. Illustration de la piscine commune du projet NuScale. À droite apparaissent cinq modules dans leurs enveloppes de confinement. 2020 NuScale Power, LLC – All right reserved.

Le système d’évacuation de la puissance résiduelle de chaque module est constitué de deux trains de refroidissement du circuit primaire, un par générateur de vapeur. Chaque train comporte un condenseur immergé dans la piscine commune, chaque condenseur étant capable d’évacuer 100 % de la puissance résiduelle (voir la figure 18.6).

Figure 18.6. Fonctionnement de l’évacuation de la puissance résiduelle du projet NuScale. 2020 NuScale Power, LLC – All right reserved.

En cas de perte de l’alimentation en eau des générateurs de vapeur, une série de vannes permettrait d’isoler le module concerné de la turbine et de couper l’injection d’eau dans les générateurs de vapeur, tandis qu’une autre série de vannes s’ouvriraient pour relier les générateurs de vapeur, localisés à l’intérieur de la cuve primaire, aux deux condenseurs immergés dans la piscine. La circulation du fluide secondaire s’effectuerait alors en convection naturelle diphasique.

La piscine commune serait dimensionnée pour garantir le refroidissement d’un module dans n’importe quelle situation incidentelle ou accidentelle de dimensionnement pendant 72 heures, sans qu’aucune action d’opérateurs ne soit nécessaire. Au-delà de 72 heures, l’évaporation et l’ébullition de l’eau de la piscine, ainsi que le refroidissement à l’air de l’enveloppe de confinement seraient suffisants pour assurer une évacuation de la puissance résiduelle de façon illimitée.

Le concepteur souligne par ailleurs que la piscine pourrait être considérée comme une quatrième barrière de confinement puisqu’elle retiendrait une partie des produits de fission en cas de perte d’intégrité de l’enveloppe de confinement.

583.Le lecteur pourra aussi consulter l’article BN3831 V1 des Techniques de l’ingénieur intitulé « Approche de la sûreté des réacteurs nucléaires de génération III en France », de K. Herviou et J.-M. Évrard (2012). Ne sont pas abordés dans le présent chapitre les autres types de réacteurs électronucléaires qui sont regroupés sous l’appellation GEN IV (Generation IV). Le lecteur pourra consulter l’article BN3832 V1 des Techniques de l’ingénieur intitulé « Approche de la sûreté des réacteurs nucléaires de génération IV » de J. Couturier (2013), ou encore l’ouvrage synthétique intitulé « Panorama des filières de quatrième génération – Appréciations en matière de sûreté et de radioprotection », Collection documents de référence, IRSN, 2012.

584.Le décret n° 2007-534 du 10 avril 2007 d’autorisation de création du réacteur EPR Flamanville 3 fixe la puissance thermique de ce réacteur à 4 500 MW.

585.À savoir 155 W/cm pour le réacteur EPR Flamanville 3 à comparer à 180 W/cm pour les réacteurs du palier N4.

586.Liées aussi à certains choix de maintenance en exploitation, réacteur en fonctionnement.

587.Pour les réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe, la « borication » de secours est réalisée par l’injection d’eau borée à forte concentration via le système d’injection de sécurité dans le cas des réacteurs du palier 900 MWe (cartouche à très haute teneur en bore associée au système d’injection à haute pression), ou via le système de contrôle chimique et volumétrique dans le cas des réacteurs de 1 300 MWe et de 1 450 MWe.

588.Au-delà de 15 jours après le début d’un accident de fusion du cœur, un seul train est suffisant pour évacuer la puissance résiduelle.

589.Pour certains accidents, en tenant compte du fait qu’un train peut être perdu en tant qu’aggravant et qu’un autre peut être indisponible pour raison de maintenance, le lignage de barillets situés en amont et en aval des pompes du système permet de garantir une alimentation en eau des générateurs de vapeur suffisante pour évacuer la puissance résiduelle.

590.La diversification porte notamment sur les fournisseurs et sur un certain nombre de caractéristiques techniques.

591.Cette enceinte (« coque avion ») n’a toutefois pas d’exigence de confinement (statique) en cas de relâchement de radioactivité hors de l’enceinte (interne) de confinement du réacteur ou hors du bâtiment d’entreposage du combustible. Pour le réacteur EPR Flamanville 3, le système de mise en dépression entre enceintes assure un confinement dynamique.

592.Notamment l’utilisation d’aciers austénitiques avec un mode d’élaboration par forgeage, l’absence ou la réduction des soudures longitudinales au profit de soudures circonférentielles, la possibilité de deux moyens de contrôle des soudures bimétalliques…

593.Réservoir d’eau borée, alimentant l’injection de sécurité et les circuits de refroidissement de l’enceinte CHRS (initiales de l’appellation anglaise Containment Heat Removal System). L’eau de l’IRWST sert aussi au remplissage des piscines du bâtiment du réacteur pendant les phases de chargement et de déchargement du combustible dans le cœur du réacteur.

594.Spectre de réponse, en termes d’accélération, d’oscillateurs de différentes fréquences propres.

595.Nivellement général de la France normal.

596.Voir sur le site de l’ASN le document publié par Électricité de France intitulé « Rapport d’évaluation complémentaire de la sûreté des installations nucléaires au regard de l’accident de Fukushima », en date du 15 septembre 2011. Les préconisations du « guide inondation » (alors en projet) étaient prises en compte.

597.Outre la mise en place de grilles « anti-gros débris » sur le plancher des gros composants.

598.Des travaux sont prévus pour que les réacteurs en exploitation disposent également d’une deuxième source froide, dans le cadre des dispositions prises à la lumière des enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi (voir le paragraphe 36.6.7).

599.Plateforme qui utilise de nombreux logiciels industriels et commerciaux, avec de nombreuses communications bidirectionnelles par réseaux, entre eux et avec des équipements de classements de sûreté différents ou des niveaux différents de la défense en profondeur.

600.La stelitte correspond à une gamme d’alliages de chrome et de cobalt conçus pour résister à l’usure.

601.Demande du Premier ministre à l’ASN, en date du 5 mai 2011.

602.Selon les décisions de l’ASN en date du 26 juin 2012.

603.International Nuclear Safety Group, voir le chapitre 3.

604.« WENRA Statement on Safety Objectives for New Nuclear Power Plants », November 2010.

605.Rapport WENRA « Safety of new NPP designs – Study by Reactor Harmonization Working Group RHWG », March 2013.

606.Il est indiqué au chapitre 30, consacré aux réexamens périodiques, que cet objectif a effectivement été retenu comme une référence pour les réexamens associés aux quatrièmes visites décennales des réacteurs de 900 MWe du parc électronucléaire français, en relation avec l’extension envisagée de leur durée de fonctionnement.

607.Cette enceinte est enveloppée par une structure en béton, ouverte à l’extérieur dans sa partie supérieure.

608.Au mois d’avril 2016, EDF a transmis à l’ASN le dossier d’options de sûreté (DOS) d’un projet de réacteur dénommé EPR NM, qui se place dans la continuité des réacteurs EPR déjà construits. Pour EDF, ce projet a pour objectifs d’intégrer le retour d’expérience de la conception, de la construction et de mise en service des réacteurs EPR construits ainsi que le retour d’expérience des réacteurs existants, de disposer au sein de la filière nucléaire française d’un réacteur d’un haut niveau de sûreté et de se préparer au renouvellement du parc actuellement en fonctionnement en France. Les options de sûreté du projet EPR NM ont été examinées au mois de janvier 2018 par le Groupe permanent d’experts pour les réacteurs nucléaires. Le 16 juillet 2019, l’ASN a diffusé son avis n° 2019-AV-0329 sur ce projet et à son évolution de configuration EPR 2.

Partie 3

La sûreté en exploitation

Chapitre 19

Les essais de démarrage
des réacteurs à eau sous pression

19.1.Introduction

Comme cela a été indiqué dans l’annexe du chapitre 6, le réacteur Chooz A, qui fournissait une puissance électrique de 300 MWe, a été le premier réacteur à eau sous pression mis en service609 en France. Sa première divergence a eu lieu le 18 octobre 1966 et son premier couplage au réseau électrique a été réalisé le 3 avril 1967. Par la suite, durant la période 1970-2000, 58 réacteurs électronucléaires à eau sous pression ont été construits et mis en service sur le territoire français, correspondant – après les premiers réacteurs de Fessenheim et du Bugey610 – à plusieurs paliers standardisés (28 réacteurs de 900 MWe, 20 réacteurs de 1 300 MWe, puis quatre réacteurs de 1 450 MWe). Le dernier réacteur de cet ensemble qui a été mis en service est le réacteur n° 2 de la centrale nucléaire de Civaux (réacteur de 1 450 MWe) ; ses essais de mise en service ont été achevés au cours de l’année 2000 (figure 19.1).

La bonne réalisation des essais de mise en service constitue un enjeu industriel important pour les concepteurs, les constructeurs et les exploitants de telles installations. En effet, la phase d’essais de mise en service est une phase relativement courte mais très riche d’enseignements sur le plan de la validation de la conception ; l’analyse des « écarts »611 découverts à cette occasion y contribue tout particulièrement. L’exécution des programmes d’essais de mise en service, l’évaluation de leurs résultats et le traitement des problèmes rencontrés contribuent bien évidemment à l’obtention du niveau global de sûreté visé pour les installations ; ces activités doivent donc être maîtrisées et contrôlées pour en assurer la qualité adéquate. Par ailleurs, il convient de souligner ici l’intérêt et l’importance des essais de mise en service pour la formation des équipes qui exploiteront ensuite le réacteur, qui doivent donc être largement impliquées dans la préparation des essais, dans le suivi et l’analyse de leur déroulement ainsi que dans les enseignements à en tirer.

Figure 19.1. Chronologie des constructions et des mises en service des réacteurs du parc électronucléaire français. Georges Goué/IRSN.

Sous l’angle de la sûreté, la réalisation des essais de mise en service doit permettre de vérifier la conformité de l’installation telle que construite et de ses modalités d’exploitation aux caractéristiques (ou exigences au sens de l’« arrêté qualité » de 1984) définies et retenues lors de la conception et dans la démonstration de sûreté. En effet, avant le premier démarrage d’une telle installation, il est indispensable de vérifier que les matériels et systèmes en place ont bien les caractéristiques et les performances prévues. Mais, si les essais de matériels individuels, puis de systèmes de plus en plus complets, ne posent pas de problèmes particuliers tant qu’il s’agit de vérifier leurs caractéristiques en fonctionnement normal, les choses deviennent beaucoup plus difficiles quand il s’agit par exemple de s’assurer du bon comportement de systèmes de sauvegarde en situation accidentelle. Il n’est évidemment pas envisageable de réaliser une rupture guillotine d’une tuyauterie du circuit primaire à 155 bars pour vérifier que les débits d’injection de sécurité sont bien conformes aux prévisions. Il n’est pas davantage envisageable de noyer le bâtiment du réacteur sous l’effet d’un fonctionnement réel du système d’aspersion d’eau dans l’enceinte de confinement. Il faut donc trouver des moyens d’obtenir les informations correspondantes par des voies indirectes. Cela nécessite des transpositions des conditions d’essai et des analyses spécifiques. À titre d’exemple, des essais des pompes d’injection de sécurité à basse pression et des accumulateurs sont pratiqués alors que la cuve est ouverte, ce qui correspond à des conditions où le circuit primaire est totalement dépressurisé. Dans ces conditions, le débit maximum des pompes, avec les pertes de charge réelles des circuits, peut être apprécié et recalculé pour les conditions d’accident. Le système d’aspersion d’eau dans l’enceinte de confinement est testé avec des tuyauteries provisoires qui renvoient l’eau aux puisards du bâtiment du réacteur, ce qui permet d’apprécier le bon fonctionnement des pompes de ce circuit. Les buses d’aspersion, qui sont bouchées pendant les essais, sont testées par des mesures de débit à l’air comprimé.

Dans ce cadre, les essais prévus au titre de la règlementation des appareils à pression – comme la montée en pression au-dessus de la « pression de calcul » (voir le paragraphe 8.6) ou le palier pour recherche et bilan des fuites – sont intégrés aux programmes d’essais.

C’est l’exploitant qui élabore les programmes d’essais, incluant les essais successifs à réaliser pour chaque système ainsi que les essais d’ensemble de l’installation. Cela se traduit par la rédaction d’une centaine de programmes de principe d’essais des systèmes (PPE) puis, pour chacun d’eux, de l’ordre d’une quinzaine de procédures d’essais (PEE) – soit environ 1 500 documents par réacteur. Chacun des essais à réaliser est programmé dans une phase appropriée de la mise en service.

Dès les premières mises en service de réacteurs nucléaires, les organismes de sûreté français se sont attachés à suivre de près l’élaboration des programmes d’essais, l’exécution et l’analyse des résultats des essais, tout particulièrement dans la phase des essais dits de démarrage, notion qui est précisée plus loin au paragraphe 19.2.1. Pour chaque nouveau palier de réacteurs à eau sous pression, le contenu des programmes d’essais a fait l’objet d’analyses de la part de l’IPSN. Ce contenu s’est amélioré, à la lumière de l’expérience acquise pour les paliers précédents. Une attention particulière a de plus été portée à l’analyse « en ligne » des résultats d’essais sur site.

À cet égard, dès 1966, Jean Bourgeois, alors président de la Commission de sûreté des piles au Commissariat à l’énergie atomique, avait obtenu la présence sur le site de Chooz d’un ingénieur du Département d’étude des piles, pour suivre les essais dits opérationnels (voir la définition de ces essais plus loin au paragraphe 19.2.2.2). De la même façon, un suivi de l’ensemble des essais du réacteur à neutrons rapides PHENIX (démarrage, montée en puissance, fonctionnement en puissance) fut réalisé en 1973 et 1974 sur le site de Marcoule par un ingénieur du Département de sûreté nucléaire du Commissariat à l’énergie atomique. Compte tenu de l’efficacité reconnue du processus mis en place par toutes les parties, un ingénieur du Département de sûreté nucléaire fut de même détaché sur site pour les essais de démarrage et de montée en puissance de la première tranche de la centrale nucléaire de Fessenheim. Dans la continuité, l’IPSN a ensuite été impliqué dans le démarrage des 57 autres réacteurs du parc électronucléaire français.

L’IPSN a mené ses analyses des résultats d’essais en s’appuyant sur sa présence sur les sites correspondants et sur les experts de ses services, en relation suivie avec les services d’études et de conception d’EDF. L’ingénieur de l’IPSN affecté sur un site conservait une approche d’analyste ; mais, par son intégration locale, il permettait d’optimiser le déroulement des instructions techniques relatives aux programmes et aux procédures d’essais, en vérifiant notamment leur bon ordonnancement dans les différentes phases des essais de démarrage, en examinant en temps réel les résultats obtenus lors des essais concernant le respect des exigences et critères de sûreté et en s’assurant que la poursuite des essais ne se faisait qu’après l’obtention de résultats satisfaisants lors des essais précédents. Il pouvait également intervenir dans l’instruction des demandes de dérogations nécessaires à la réalisation d’essais. Cette organisation s’est révélée souple et efficace. C’est pourquoi des modalités analogues ont été retenues pour les essais du réacteur EPR Flamanville 3.

La suite du présent chapitre expose divers aspects des essais de démarrage des réacteurs à eau sous pression, présente quelques constats tirés de l’expérience des essais de démarrage des 58 réacteurs des paliers de 900 MWe, 1 300 MWe et 1 450 MWe et précise les ajustements et les améliorations qui en ont découlés au fil du temps. Les programmes d’essais de démarrage du réacteur EPR Flamanville 3 seront aussi évoqués, tout particulièrement l’intérêt d’essais d’endurance de longue durée d’équipements importants pour la sûreté.

19.2.La mise en service

19.2.1.Définition des essais de démarrage

Dans le cadre de la mise en service d’un réacteur électronucléaire tel qu’un réacteur à eau sous pression, EDF réalise (ou fait réaliser) des contrôles et essais portant, notamment, sur les éléments importants pour la sûreté612, qu’il s’agisse de structures, de systèmes ou de composants (SSC) – que l’on désignera dans la suite du texte par « équipements ». Ces essais comprennent :

–des contrôles et des essais réalisés en dehors du périmètre de l’installation nucléaire de base sur des équipements importants pour la sûreté lors de leur construction (par exemple des contrôles de gros composants tels que pressuriseurs, générateurs de vapeur, etc.),

–des contrôles et des essais réalisés dans les installations pendant le montage, la construction ou l’installation de tels équipements,

–des contrôles et des essais réalisés dans les installations lorsque ces équipements ont été installés, couverts par l’appellation d’essais de démarrage.

L’ensemble de ces essais doit notamment permettre de s’assurer de la conformité des installations telles que construites aux exigences retenues lors de la conception et dans la démonstration de sûreté correspondante, mentionnées notamment dans :

–les textes règlementaires applicables,

–le dossier de demande d’autorisation de mise en service (DMES), qui inclut en particulier le rapport de sûreté (mis à jour) et les règles générales d’exploitation, transmis avant la réalisation des essais de démarrage.

De façon générale, la définition des essais de démarrage nécessite, pour chaque équipement :

–d’identifier toutes ses configurations de fonctionnement envisageables,

–de recenser, pour chacune de ces configurations de fonctionnement, les exigences fonctionnelles correspondantes,

–de transposer les exigences ainsi recensées aux conditions des essais.

Ces configurations doivent se retrouver au sein d’essais élémentaires de l’équipement ou d’essais d’ensemble utilisant cet équipement.

La stratégie et les modalités de réalisation des essais de démarrage bénéficient bien entendu des enseignements tirés des essais déjà réalisés et prennent en compte les spécificités des installations. Ainsi, pour les essais de démarrage du réacteur EPR Flamanville 3, on peut citer :

–une utilisation plus large de l’instrumentation qui sera utilisée en phase d’exploitation (plus précise que celle des réacteurs précédents, ce qui réduit par ailleurs le recours à une instrumentation spécifique d’essais),

–la réalisation d’essais de démarrage de systèmes passifs.

19.2.2.Phasage des essais de démarrage

Sans entrer dans le détail du phasage des essais de démarrage des réacteurs à eau sous pression français, il est utile de rappeler ici qu’ils peuvent être décomposés en trois phases, constituées des essais préliminaires des équipements, des essais préopérationnels réalisés avant le chargement du réacteur en combustible et des essais opérationnels. L’enchaînement des phases et des essais est synthétisé sur les planches 19.1 et 19.2 à la fin du présent chapitre.

19.2.2.1.Les essais préliminaires et les essais préopérationnels

Les essais préliminaires et les essais préopérationnels débutent après la fin des montages. Ils visent à vérifier le fonctionnement correct des équipements et des systèmes fonctionnels, et permettent, en cas d’anomalie, de prendre les actions correctives nécessaires. Le programme de ces essais comprend l’ensemble des épreuves, contrôles, mises au point, réglages et essais fonctionnels proprement dits nécessaires pour que le chargement du cœur en combustible puis la première divergence et les essais à faible puissance puissent être conduits dans des conditions de sûreté satisfaisantes. Dans un premier temps, les conditions de fonctionnement peuvent être spécifiques pour réaliser des essais (par exemple, l’essai d’une vanne motorisée « à blanc » sans débit de fluide) ; au fur et à mesure de l’avancement des essais, de nouvelles parties fonctionnelles de l’installation peuvent être mises en œuvre, permettant de se rapprocher des conditions normales de fonctionnement de l’installation. Lorsque cela est possible, des conditions anormales de fonctionnement sont également simulées, pour autant qu’elles ne mettent pas en cause la sécurité du personnel, l’intégrité des matériels ou l’état de propreté des circuits. L’intérêt de ces essais préliminaires et préopérationnels est qu’ils sont réalisés dans des conditions de fonctionnement (pression, température) quelquefois proches des conditions normales de fonctionnement du réacteur, grâce à la puissance de pompage des pompes primaires qui communique une énergie au fluide primaire ; du fait qu’ils sont réalisés sans que le combustible soit chargé dans le cœur, ils ne posent pas de problème de sûreté nucléaire.

Les essais préliminaires des équipements et des portions de systèmes consistent, en fin de montage, à vérifier les alimentations en fluides (eau, air, électricité…), à réaliser des contrôles « fil à fil » de circuits électriques (voir la figure 19.2), à réaliser des essais de systèmes de contrôle-commande et d’instrumentation, des essais de mise en service d’actionneurs, des essais de rotation de pompes, à mettre en propreté des circuits…

Les essais d’ensemble préopérationnels (ENS) des principaux systèmes (incluant les systèmes de sauvegarde d’injection de sécurité et d’aspersion d’eau dans l’enceinte de confinement) permettent notamment de vérifier leur bon dimensionnement par le respect de critères de sûreté transposés aux conditions des essais. Sont ensuite réalisés les essais d’ensemble du circuit primaire principal (CPP) avec, d’une part les essais « à froid » incluant l’épreuve de résistance et d’étanchéité qui constitue un essai règlementaire, d’autre part les essais « à chaud » au cours desquels le CPP (sans le combustible ni les grappes absorbantes) et ses circuits associés sont essayés aux conditions nominales de fonctionnement de température et de pression afin de vérifier la disponibilité des fonctions de sûreté.

Figure 19.2. Cliché montrant des opérateurs effectuant des contrôles de câblages électriques dans le réacteur EPR Flamanville 3. Alexis Morin/Médiathèque IRSN.

Ces essais incluent des essais particuliers (pertes de sources électriques, défaillance des systèmes de contrôle-commande, d’air comprimé…) destinés à valider les hypothèses d’études et les consignes d’exploitation associées à ces situations incidentelles.

19.2.2.2.Les essais opérationnels

Les essais opérationnels sont réalisés après le premier chargement de combustible ; ils comprennent :

–des essais précritiques, à froid puis à chaud, complétant les essais préliminaires et préopérationnels pour ce qui concerne notamment le bon fonctionnement des mécanismes de commande des grappes absorbantes et les réglages affectés par la présence du combustible ;

–la divergence puis les essais de montée en puissance du réacteur, visant à vérifier le bon comportement de l’installation tant sur le plan fonctionnel que sur celui de la sûreté. Cette étape comporte l’atteinte de l’état critique du cœur, le couplage au réseau et les essais physiques de conformité du cœur ainsi que le réglage des paramètres de régulation et de protection de la chaudière nucléaire au cours de la montée en puissance du réacteur, depuis la divergence initiale du réacteur jusqu’à son fonctionnement à la puissance nominale.

19.2.2.3.Principes généraux d’enchaînement et de réalisation des essais

L’ordre de succession des différents essais est précisé par des procédures d’ensemble dites ENS (essais préopérationnels) et de démarrage dites DEM (essais opérationnels) qui appellent des procédures d’exécution d’essais (PEE), à mener dans un ordre qui est fonction des conditions et des impératifs de réalisation. Cela facilite grandement la planification des essais qui est réajustée quotidiennement. Les règles suivantes doivent être respectées :

–le réacteur ne doit pas être amené dans un état où sa sûreté dépendrait des performances d’équipements qui n’auraient pas encore été vérifiées ;

–tous les essais préopérationnels doivent avoir été réalisés avant que ne débute le premier chargement de combustible dans le réacteur. Font toutefois exception à cette règle les essais d’équipements ou d’ensembles fonctionnels qui ne peuvent être montés qu’après la mise en place du combustible (c’est le cas, par exemple, des essais des grappes absorbantes). C’est pourquoi une série complète d’essais précritiques, à froid et à chaud, est réalisée après le chargement du combustible et après la fermeture du couvercle de la cuve, avant de procéder au démarrage proprement dit du réacteur ;

–les essais sont menés par étapes, de sorte que l’exécution satisfaisante de l’une permette d’apporter des justifications quant à la sûreté de la suivante ; à cette fin, chaque étape doit être poussée aussi loin que possible en simulant, s’il y a lieu, certains paramètres de fonctionnement (comme par exemple la perte de charge du cœur en fonctionnement pendant les essais préopérationnels d’ensemble, par la mise en place de pavés filtrants dans la cuve) ;

–l’exploitant doit valider les procédures de conduite (normales et incidentelles) et les gammes d’essais périodiques au fur et à mesure de l’avancement des essais – les procédures accidentelles font l’objet de leur côté d’une validation à l’aide d’un simulateur ou à l’aide de logiciels de simulation.

En outre, lorsqu’un essai préopérationnel n’a pas pu être exécuté normalement avant le chargement du combustible dans le cœur du fait d’une indisponibilité, ou lorsque les résultats obtenus par un tel essai n’ont pas été jugés satisfaisants, il peut, par exception, être exécuté ou repris après le chargement, à condition bien entendu que cette situation ne soit pas de nature à mettre en cause le respect des exigences de sûreté.

Par ailleurs, les essais sont menés sans aller jusqu’à l’atteinte ou le risque d’atteinte à l’intégrité des équipements : par exemple, les essais des pompes sont réalisés sans atteindre la cavitation du fluide.

Si l’essai d’un système, comportant par exemple une chaîne d’actionneurs, ne peut être réalisé que par parties, un recouvrement des essais partiels doit être assuré.

19.2.3.La documentation relative aux essais de démarrage

19.2.3.1.Procédures d’ensemble (ENS)
et procédures de démarrage (DEM)

Comme cela a été indiqué plus haut, les procédures d’ensemble (ENS) et les procédures de démarrage (DEM) permettent de planifier la montée aux conditions nominales de pression, de température et de puissance nucléaire ; elles appellent chronologiquement toutes les procédures d’exécution d’essais (PEE) à réaliser au moment où elles doivent l’être ainsi que les essais périodiques correspondants à valider. Elles ont un rôle de coordination de l’avancement des essais de la partie nucléaire et de la partie conventionnelle de l’installation. C’est l’outil de planification des essais de démarrage sur site.

19.2.3.2.Les programmes de principes d’essais,
les procédures d’exécution d’essais, les guides-types

Le programme global des essais de démarrage est construit par système élémentaire613, par type d’équipements (pompes, robinets…) et par sujet à caractère transverse (par exemple la vérification du comportement de l’installation en cas de perte des alimentations électriques). Les essais à réaliser sont ensuite plus précisément définis au sein des PPE et des guides-types d’essais (GT) :

–les PPE présentent, pour un système élémentaire donné, les objectifs des essais prévus, leur enchaînement, les principes de réalisation et les critères dont on veut vérifier le respect pour les différents essais prévus, qui font l’objet de PEE ;

–les GT décrivent le mode opératoire à suivre pour les essais de même nature à réaliser, pour différentes catégories de matériels (moteurs électriques, pompes, ventilateurs, robinets…).

19.2.3.3.Analyse d’exhaustivité, analyse de suffisance

Dans le cas des 58 réacteurs mis en exploitation du parc électronucléaire, EDF a défini les essais à réaliser à partir des dossiers de système élémentaire (DSE) qui décrivent les principes de conception et de dimensionnement des équipements et précisent les fonctions (de sûreté) qu’ils doivent pouvoir accomplir. Afin de s’assurer de l’exhaustivité des essais prévus, Électricité de France a recensé toutes les « assertions »614 figurant dans les DSE et a associé à chacune d’elles l’essai (ou les essais) qui permet(tent) de la vérifier, en y associant un critère d’acceptation. En complément, Électricité de France a vérifié que tous les équipements des DSE dotés d’un repérage fonctionnel faisaient bien l’objet d’essais relatifs à leur aptitude à remplir les fonctions de sûreté qu’ils devaient être à même d’accomplir. Cette analyse est tracée dans des notes d’analyse d’exhaustivité (NAE).

EDF a complété cette démarche par système par une analyse « thématique » en créant des programmes d’essais de « pseudo systèmes », de façon à introduire les essais des régulations de la chaudière et de la turbine, les essais de pertes de sources d’alimentation électrique, les mesures de vibrations des tuyauteries…

On reviendra au paragraphe 19.4 sur ces évolutions à l’égard de l’exhaustivité des essais.

Pour le réacteur EPR Flamanville 3, EDF a appliqué une nouvelle méthode pour s’assurer de l’exhaustivité des essais de démarrage prévus ; elle est appelée méthode d’analyse de suffisance, dont la déclinaison se traduit par des notes d’analyse de suffisance (NAS). Cette méthode a pour but de justifier le caractère suffisant des contrôles en usine et des essais et contrôles prévus sur site pour vérifier le respect des exigences de sûreté relatives aux systèmes et à leurs différents constituants. Les NAS précisent les critères de sûreté à vérifier lors des essais et contrôles. Dans la plupart des cas, les notes d’analyse de suffisance ont été établies par système élémentaire, sur la base notamment de l’analyse des exigences fonctionnelles du système élémentaire (AEFS) qui recense l’ensemble des exigences applicables à ce système mentionnées dans le rapport de sûreté. Les configurations impliquant plusieurs systèmes élémentaires (comme les pertes de tableaux électriques de contrôle-commande) sont explicitées sous la forme de « pseudo systèmes » (pour l’exemple précité, le « pseudo système » dit COC), qui fait aussi l’objet d’une analyse de suffisance.

19.2.3.4.Les critères d’acceptation

Les résultats d’un essai de démarrage sont appréciés en comparant les résultats des mesures et des observations réalisées à des critères d’acceptation prédéfinis. Ces critères, qui peuvent être qualitatifs ou quantitatifs, sont classés en quatre catégories :

–critères S : critères dont le non-respect remet en cause les études présentées dans le rapport de sûreté,

–critères I : critères dont le non-respect peut entraîner un dysfonctionnement d’un élément important pour la sûreté,

–critères R : critères de représentativité d’un essai,

–critères C : critères contractuels.

Comme cela a été souligné précédemment, il n’est pas toujours possible, lors des essais sur site, de reproduire les conditions de fonctionnement pénalisantes retenues lors des études de conception pour déterminer les performances nécessaires des équipements (par exemple, la valeur d’un débit de fluide à assurer dans des conditions accidentelles) ; il est donc nécessaire de transposer les valeurs mentionnées dans la démonstration de sûreté aux conditions de réalisation des essais en vue de définir des critères d’acceptation appropriés.

19.3.Objectifs et règles générales à prendre en compte pour les essais de démarrage

Lors de la définition des essais de démarrage, il est important :

–d’effectuer, pour chaque équipement important pour la sûreté, un recensement clair et exhaustif de ses fonctions de sûreté et des exigences de sûreté associées ;

–de déterminer, pour chaque équipement important pour la sûreté, toutes les configurations de fonctionnement envisageables dans les conditions normales, incidentelles et accidentelles ;

–d’établir, pour chaque configuration ainsi déterminée, les exigences fonctionnelles correspondantes pour l’équipement (débit minimum ou débit maximum d’un fluide, plages de variations autorisées, ouverture d’une vanne avec une différence de pression maximale, fermeture d’une vanne à plein débit…) ;

–de définir les essais à réaliser et leur enchaînement, en vérifiant leur exhaustivité ; à chaque exigence fonctionnelle doit correspondre une validation ; elle peut prendre la forme d’une étude, d’un essai de « qualification »615, d’un essai de démarrage ou d’une combinaison des trois, sachant que, dans la mesure du possible, il est préférable d’effectuer une validation par des essais sur site, plus probante ;

–d’assurer une cohérence des essais réalisés pour les différents équipements importants pour la sûreté ; une comparaison des méthodes de validation par essais des différents concepteurs de tels équipements peut être souhaitable ;

–d’adapter les critères aux conditions de réalisation des essais, en recherchant la meilleure représentativité possible de ces essais ;

–de tenir compte des incertitudes associées aux mesures réalisées lors des essais pour la définition des critères et l’interprétation des résultats ;

–d’analyser tout particulièrement les relations entre équipements de différents systèmes, de telle sorte que les essais permettent bien de valider les fonctionnements d’ensemble, ou d’en prévoir ;

–de tenir compte des enseignements tirés des précédents démarrages et de l’exploitation des réacteurs, y compris au niveau international (publications, base IRS616, etc.) ;

–de mettre en œuvre, lors des essais, les essais périodiques et les opérations courantes de maintenance prévus lors de l’exploitation du réacteur ;

–d’assurer la validation des documents d’exploitation ;

–d’examiner les éventuelles dérogations nécessaires aux spécifications techniques d’exploitation pour réaliser certains essais, ainsi que l’utilisation de dispositions et moyens particuliers (DMP617).

Quelques-uns de ces aspects sont développés dans le paragraphe suivant, illustrés par le retour d’expérience du démarrage des différents paliers de réacteurs.

19.4.Les enseignements marquants
des essais de démarrage
des réacteurs électronucléaires français

Depuis l’élaboration des programmes d’essais des premiers réacteurs de 900 MWe jusqu’à la mise en service des derniers réacteurs du palier N4, les essais de démarrage ont induit de nombreuses réflexions sur les programmes d’essais.

L’expérience du démarrage des premiers réacteurs de 900 MWe a montré l’importance qu’il convenait d’attacher à la définition des programmes d’essais de démarrage. Au début des années 1980, le Service central de sûreté des installations nucléaires a constitué un groupe de travail avec EDF et l’IPSN sur ce sujet. Les conclusions de ce groupe de travail ont mis en avant :

–l’importance des essais de démarrage pour la connaissance du comportement et de la qualité des installations,

–l’intérêt des essais de démarrage pour la formation du personnel,

–la nécessité de définir une méthode pour établir les programmes d’essais et de clairement définir les conditions d’engagement des essais des équipements en regard des phases de montage de ces équipements,

–l’intérêt de mieux tirer profit des essais alors prévus sur les réacteurs en cours de démarrage (intercomparaison des résultats, difficultés rencontrées…).

Il est notamment apparu au groupe de travail qu’il était important de s’assurer de l’exhaustivité des essais de démarrage, sujet déjà évoqué sous l’angle documentaire au paragraphe 19.2.3.3. Une méthode a été mise en œuvre à partir des premiers essais des tranches de 1 300 MWe.

Les essais de démarrage des quatre tranches de la centrale nucléaire de Paluel (type P4 du palier 1 300 MWe) ont mis en évidence de façon fortuite, malgré le soin apporté à la définition des programmes d’essais, un certain nombre de difficultés, ce qui a confirmé l’intérêt d’être vigilant au soin apporté à la qualification des matériels et de prévoir une période d’essais assez longue.

La découverte en 1990 d’anomalies importantes lors des essais de démarrage d’autres tranches de 1 300 MWe (mauvaise réalisation des filtres des puisards de recirculation d’eau en situations accidentelles, montage de bouchons au lieu de diaphragmes sur le circuit du dispositif U5 d’éventage-filtration de l’enceinte de confinement en cas de fusion du cœur…) a conduit EDF à engager des actions visant à améliorer :

–l’exhaustivité des vérifications finales des essais de démarrage par une analyse d’exhaustivité, ce qui a été réalisé à partir des essais de démarrage du réacteur Golfech 2, et un examen de la « couverture » des essais des matériels qui seraient utilisés en cas d’application des procédures relatives aux situations « hors dimensionnement » (procédures H et U),

–les procédures de qualification des systèmes et fonctions qui ne peuvent pas faire l’objet d’essais dans leurs conditions d’utilisation prévues.

La méthode d’analyse d’exhaustivité n’avait pas fait l’objet à cette époque d’une doctrine bien établie. À la suite des premières discussions sur les PPE des tranches du palier N4 et compte tenu des questions relatives à la validation des dispositions de sûreté qui ne sont pas vérifiables par des essais, soulevées notamment par les anomalies relatives à des systèmes de sauvegarde, la méthode appliquée à l’analyse d’exhaustivité a été améliorée. EDF s’est en particulier efforcé de traiter les sujets génériques (essais des vannes importantes pour la sûreté, mesures du niveau vibratoire des circuits, essais d’endurance des matériels de sauvegarde…). Pour ce qui concerne la bonne identification de toutes les exigences associées aux matériels et aux systèmes, les approches fonctionnelle et matérielle retenues pour les tranches du palier N4 ont été plus systématiques et plus rigoureuses que celles qui avaient été mises en œuvre pour les paliers précédents.

Les paragraphes suivants présentent de manière historique des points d’attention et des enseignements des essais de démarrage, illustrés à la lumière des analyses des programmes d’essais et du retour d’expérience des résultats d’essais.

19.4.1.Essais de qualification et essais sur site

Comme cela a déjà été indiqué au paragraphe 7.4.3, la démarche de « qualification » d’un équipement important pour la sûreté d’un réacteur nucléaire a pour objectif de vérifier son aptitude à remplir les missions qui lui sont dévolues dans les conditions normales, incidentelles ou accidentelles de fonctionnement, ainsi qu’en cas d’agression (séisme…). Le programme de qualification de cet équipement détaille les essais et les analyses à réaliser sur un équipement « modèle » de celui qui sera installé sur site. La réalisation de ce programme permet en outre d’obtenir des caractéristiques de référence qui seront vérifiées en usine sur chaque équipement. Les contrôles et essais réalisés lors de l’installation de l’équipement sur site dans son environnement (respect des prescriptions de montage, contrôles de bon fonctionnement…) et les essais d’ensemble du système auquel il appartient sont complémentaires à l’égard de la qualification. Il est donc nécessaire que soit examinée avec attention la complémentarité des essais de « qualification » et des essais de démarrage pour obtenir les justifications appropriées quant au bon fonctionnement et aux performances des équipements dans leurs conditions d’utilisation, y compris dans les situations accidentelles concernées. En pratique, il est nécessaire de définir une doctrine pour ce qui concerne la vérification sur site des caractéristiques des composants des systèmes importants pour la sûreté, compte tenu en particulier des essais de qualification subis par ces composants et des essais de réception en usine, afin d’éviter des lacunes ou des redondances inutiles.

Les essais de démarrage doivent être réalisés dans les conditions les plus proches possibles du fonctionnement et les matériels testés en usine doivent être essayés de manière fonctionnelle lorsqu’ils ont été montés sur le site. Le 21 août 1992, lors d’un essai périodique de fonctionnement en arrêt à chaud suivant l’arrêt pour rechargement du combustible du cœur du réacteur n° 1 de la centrale nucléaire de Cruas-Meysse, la turbopompe d’alimentation de secours en eau des générateurs de vapeur (système ASG) a été détériorée du fait d’un défaut de graissage. Une alarme « pression basse huile de graissage » aurait dû alerter l’exploitant mais le piquage du pressostat n’avait pas été monté au bon emplacement et l’alarme n’était donc pas opérationnelle. Cette anomalie concernait également les trois autres tranches de la centrale de Cruas-Meysse et datait de la construction. En fait, le pressostat avait été testé en usine chez le fabricant mais pas en réel après son montage sur le site. De ce fait, le mauvais montage n’avait jamais été détecté car il n’avait pas été prévu de faire un essai de l’alarme « en réel ». La détection de cette anomalie a été fortuite lors de l’essai périodique car elle supposait un manque d’huile de graissage à ce moment-là.

Pour tous les paliers, un certain nombre de difficultés ont été mises en évidence sur site lors des premiers essais de certains équipements utilisés dans les conditions normales de fonctionnement : groupes électrogènes à moteur diesel, organes d’admission et de régulation des turbopompes du système ASG, groupes motopompes de ce système, turboalternateur d’alimentation de la pompe d’injection d’eau aux joints des pompes primaires… Cela a conduit à de nombreuses actions correctives et modifications, accompagnées de requalifications, qui se sont étalées pendant la mise en service des tranches correspondantes. Si ces problèmes n’ont pas nécessité le remplacement de l’équipement concerné, leur résolution par la mise en place de modifications s’est révélée difficile avant la mise en service de la tranche sur laquelle a été mis en évidence le problème. Certaines actions correctives n’ont en effet été validées que lors des essais de démarrage de tranches ultérieures. Dans certains cas, les difficultés n’ont pas été mises en évidence sur la première tranche d’un palier : par exemple, pour le palier N4, des difficultés sont apparues sur les groupes électrogènes lors des essais réalisés pour les réacteurs de la centrale nucléaire de Civaux, équipés d’un nouveau type de groupes électrogènes. Ces difficultés ont soulevé la question de la validité et de l’efficacité des essais réalisés en usine. En effet, au plan des principes, ces difficultés auraient pu être évitées si des essais pertinents de qualification en fonctionnement normal, incidentel et accidentel avaient été réalisés très tôt sur quelques matériels choisis parmi ceux pour lesquels il n’existait pas d’application industrielle de référence, ou pour lesquels celle-ci différait trop sensiblement de l’utilisation prévue. Cela implique qu’une réflexion particulière soit menée sur le contenu des essais de qualification en usine en fonction de l’expérience industrielle dont on dispose sur l’équipement.

Des anomalies de conception concernant des équipements de sauvegarde, qui seraient utilisés dans des situations accidentelles, ont été mises en évidence lors d’essais sur site, soulignant ainsi l’aspect incomplet des essais de qualification réalisés en usine ou sur une boucle d’essai. À titre d’exemple, l’anomalie de dimensionnement de vannes motorisées du circuit d’injection de sécurité des réacteurs de 1 300 MWe (type P’4) a été découverte fortuitement à la suite d’investigations menées sur site lors des essais de démarrage de la centrale nucléaire de Nogent-sur-Seine. Cette anomalie, due à un mauvais dimensionnement lors de la conception, n’avait pas été mise en évidence lors des essais de qualification sur boucle du fait du caractère non enveloppe des situations testées. Elle a conduit EDF à engager des actions de modification de conception lourdes (remplacement d’un nombre important de moteurs sur les différents réacteurs concernés). Cette anomalie est détaillée dans le paragraphe 19.5.

Il faut noter par ailleurs que les essais de démarrage (de même que les essais périodiques), lorsqu’ils sont réalisés en situation normale, peuvent ne pas détecter des anomalies dont les conséquences n’apparaissent qu’en situation accidentelle. Le 12 novembre 1991, alors que le réacteur n° 2 de la centrale nucléaire de Cruas-Meysse était en arrêt pour rechargement du combustible, l’existence d’un filtre a été découverte, lors d’une opération de maintenance, à l’aspiration de la turbopompe du système ASG ainsi que des motopompes de ce système. Après vérification, il est apparu que des filtres similaires étaient présents à l’aspiration des motopompes et des turbopompes du système ASG des réacteurs n° 3 et n° 4. Ces filtres avaient été mis en place lors des premiers démarrages à l’occasion des rinçages des tuyauteries et n’avaient pas été enlevés par la suite ; leur présence n’était pas détectable par les essais de démarrage ou les essais périodiques. En cas d’utilisation d’eau brute, en situation accidentelle, ces filtres auraient pu être colmatés et entraîner la dégradation d’une ou plusieurs pompes du système ASG.

19.4.2.Essais de longue durée sur site

Lors des essais de démarrage des réacteurs de 900 MWe, des problèmes de lubrification et de liaison (accouplement) entre les moteurs et les pompes d’injection de sécurité d’eau à haute pression ont été identifiés grâce à l’utilisation de ces équipements en continu pour la fonction d’appoint d’eau au circuit primaire. De la même façon, pour les réacteurs de 1 300 MWe, des problèmes particuliers n’ont pu être mis en évidence que lors de fonctionnements prolongés sur site. On peut citer par exemple :

–les vibrations excessives et le soulèvement du rotor des groupes motopompes de sauvegarde (systèmes [circuits] d’injection de sécurité [RIS] et d’aspersion d’eau dans l’enceinte de confinement [EAS]),

–des anomalies liées aux conditions de graissage des liaisons cannelées de transmission lors de l’essai d’endurance de ces pompes à axe vertical,

–les problèmes d’insuffisance de graissage des pompes du circuit d’eau brute secouru,

–des problèmes relatifs au refroidissement des pompes d’alimentation de secours en eau des générateurs de vapeur.

Cela met en évidence que la durée des essais prévus peut n’être pas suffisante pour vérifier la bonne aptitude de certains équipements aux conditions réelles d’exploitation. Pour certains équipements, la démonstration de la validité de leur conception a été effectuée par des essais de longue durée sur site : c’est le cas par exemple de la démonstration de l’acceptabilité des niveaux vibratoires élevés des pompes de refroidissement de la piscine d’entreposage du combustible (système PTR), qui ont fait l’objet d’un essai de 8 000 heures de fonctionnement.

À la suite de l’observation, en 1985, de niveaux vibratoires élevés et du soulèvement du rotor d’un groupe motopompe du système EAS testé pendant 2 000 heures lors des essais de démarrage de Saint-Alban 2 (réacteur de 1 300 MWe de type P4), les organismes de sûreté ont considéré que, si les essais en usine permettaient de vérifier les performances définies lors de la conception et si les essais dans une boucle spécialisée (à l’ECAN618 de Nantes-Indret, à l’établissement d’EDF de Gennevilliers…) permettaient de vérifier l’aptitude à supporter les conditions accidentelles, la vérification de l’aptitude à subir les conditions réelles d’exploitation nécessitait un essai d’au moins environ 2 000 heures (en continu, si possible). Un fonctionnement prolongé est en effet nécessaire pour tester les équipements en interaction avec leur environnement (ambiance, effets des circuits réels d’aspiration et de refoulement, circuits auxiliaires de refroidissement…) et faire éventuellement apparaître des anomalies non identifiées lors des essais de plus courte durée. Cela est particulièrement important pour des groupes motopompes de sauvegarde qui ne subissent jamais de fonctionnement prolongé lors de l’exploitation normale des tranches. Les organismes de sûreté ont estimé que pour ces équipements des essais d’endurance sur site devaient être effectués au titre d’essais « tête de série » et il a été demandé à EDF d’examiner cette possibilité pour le palier N4.

Compte tenu de ces enseignements, EDF a réalisé des essais de fonctionnement prolongé sur site de matériels pour des réacteurs du palier N4 :

–pour le réacteur n° 1 de la centrale nucléaire de Chooz B, une pompe du système d’aspersion dans l’enceinte de confinement a fait l’objet d’un essai satisfaisant d’endurance (de 1 500 heures) en configuration de débit d’eau minimal vers la bâche PTR après avoir subi l’équivalent de 16 années d’essais périodiques par l’exécution du nombre correspondant de démarrages et d’arrêts (ces pompes ont ensuite été soumises à une expertise en usine) ;

–pour le réacteur n° 2 de cette même centrale, une pompe d’injection de sécurité a fait l’objet d’un essai satisfaisant d’endurance (de 1 500 heures) en configuration de débit minimal vers la bâche PTR ;

–pour ce même réacteur, un groupe électrogène à moteur diesel a fait l’objet d’un essai satisfaisant d’endurance (de 1 000 heures) par exécution de 100 cycles de 10 heures en continu.

Pour ce qui concerne le réacteur EPR Flamanville 3, constatant que le programme d’essais de démarrage était, en termes d’essais de longue durée, clairement en retrait par rapport à celui qui avait été adopté pour les réacteurs du palier N4, l’Autorité de sûreté nucléaire a, compte tenu du retour d’expérience établi par l’IRSN sur les problèmes vibratoires des pompes de sauvegarde, demandé en 2018 à EDF de proposer des essais « tête de série » d’endurance sur site pour les groupes motopompes de sauvegarde et les groupes électrogènes qui ne fonctionnent pas en permanence en exploitation normale, en considérant des conditions pénalisantes de sollicitations mécaniques, thermiques et vibratoires.

Le sujet des vibrations et du soulèvement de rotor de groupes motopompes de sauvegarde est abordé plus en détail dans le paragraphe 19.5.

19.4.3.Configurations et exhaustivité des essais, transpositions

Comme cela a été indiqué plus haut, la méthode utilisée par EDF pour établir les programmes de principe d’essais prévoit d’identifier toutes les « assertions » de conception et de leur faire correspondre autant que possible des essais qui permettent de les vérifier. L’absence d’essais de vérification de certaines « assertions » peut nécessiter des justifications détaillées, notamment lorsque cette « assertion » repose sur un concept nouveau ou sur une configuration de fonctionnement d’un équipement important pour la sûreté non testée par ailleurs. Dans ce cas, il convient d’examiner l’intérêt et la faisabilité d’un essai fonctionnel.

D’une manière générale, pour les réacteurs de 1 300 MWe, EDF a défini les configurations d’essais de façon plus complète que pour les réacteurs de 900 MWe, en particulier pour ce qui concerne les vérifications des conséquences sur les circuits de la perte des alimentations en fluides (électricité, air comprimé). Pour la définition des programmes d’essais des réacteurs de 1 300 MWe, Électricité de France a, pour certains systèmes, effectué une analyse des configurations d’utilisation incluant, outre le fonctionnement normal, les fonctionnements correspondant aux conditions limites permises par les spécifications techniques d’exploitation, les conditions accidentelles et les essais périodiques. Cet exercice a rapidement été étendu aux systèmes importants pour la sûreté, ce qui a permis de compléter les programmes d’essais par rapport à ceux des réacteurs de 900 MWe.

À la suite des anomalies découvertes en 1990 sur des systèmes de sauvegarde lors du démarrage des réacteurs de 1 300 MWe de type P4 (mauvaise réalisation de filtres des puisards…), la méthode appliquée pour l’analyse d’exhaustivité des programmes de principe d’essais a été améliorée pour le palier N4 pour ce qui concerne les dispositions de sûreté non vérifiables par des essais de systèmes dans les conditions réelles d’utilisation pour lesquelles ils sont conçus. En particulier, une revue complète des matériels et systèmes qui seraient utilisés dans les situations « hors dimensionnement » (procédures de conduite H et U), non essayés dans les conditions réelles d’utilisation, a été effectuée ; cette revue a comporté trois phases :

–l’analyse des situations d’utilisation, dans les procédures H et U, des matériels et systèmes non essayés en réel,

–leur regroupement par système élémentaire,

–la définition des essais ou contrôles complémentaires à prévoir.

Les principales conclusions de ces études ont conduit à prévoir la réalisation d’essais destinés à tester les appoints particuliers d’eau au circuit primaire, les modes de refroidissement du réacteur ainsi que les réalimentations électriques de matériels et de systèmes. Ces essais ont été intégrés à la documentation soit par une modification de PEE existants, soit par la création de nouveaux PEE.

Certains systèmes ont des conditions de fonctionnement qui peuvent difficilement être réalisées lors des essais sur site ; une transposition des résultats d’essais réalisés à ces conditions de fonctionnement est donc nécessaire. Cette situation concerne par exemple les systèmes de sauvegarde (systèmes d’injection de sécurité, d’alimentation de secours en eau des générateurs de vapeur, d’aspersion d’eau dans l’enceinte de confinement). Ainsi, la configuration « dimensionnante » pour les pompes d’injection de sécurité d’eau à moyenne pression (ISMP) correspond à la configuration dans laquelle une branche du circuit primaire est rompue et dépressurisée : pour ce cas, les pertes de charge dans les tuyauteries sont mesurées sur site, les caractéristiques des pompes étant celles qui ont été mesurées en usine. À partir de ces résultats, c’est par le calcul qu’il est démontré que le circuit est correctement dimensionné.

Un sujet particulier concerne la prise en compte des fonctionnements transitoires des matériels. Dans les réacteurs de 1 300 MWe, des coups de bélier dans des circuits tels que ceux d’aspersion d’eau dans l’enceinte de confinement (EAS), de refroidissement intermédiaire (RRI) et d’eau brute secouru (SEC) ont causé des dégradations des circuits lors de transitoires au cours des essais de démarrage. Parmi les causes de tels événements, le positionnement de diaphragmes restricteurs de débit en partie haute des colonnes d’aspersion du circuit EAS est un exemple. Si, en régime établi, ce positionnement ne pose pas de problème, il n’en est pas de même lors de la mise en service du système où l’arrivée rapide de la colonne d’eau sur les diaphragmes a entraîné leur déformation. Ces événements ont mis en évidence la nécessité de connaître et de vérifier lors des études de conception les pressions admissibles dans les circuits ainsi que les méthodes permettant de sélectionner les transitoires à calculer (basculement de sources électriques, basculement de files, défaillance de matériel…). Il convient de remarquer que la plupart des problèmes de ce type ont été découverts fortuitement alors que, a posteriori, les concepteurs ont confirmé que les conditions rencontrées lors des événements de type coups de bélier étaient bien les plus pénalisantes. Une analyse de la conception aurait dû conduire à prendre en compte ces conditions transitoires, à identifier les configurations pénalisantes et à programmer les essais correspondants dans le cadre de la mise en service des réacteurs. À la suite de ces événements, des essais particuliers ont été réalisés pour le réacteur n° 1 de la centrale nucléaire de Chooz B.

19.4.4.Dispositions de sûreté non vérifiables par des essais

Comme cela a été indiqué au paragraphe précédent, des anomalies rencontrées sur des systèmes de sauvegarde lors du démarrage des réacteurs de 1 300 MWe de type P4 ont amené EDF à s’interroger sur la qualification des systèmes et fonctions qui ne peuvent pas être qualifiés par des essais dans leurs conditions réelles de fonctionnement. EDF a procédé à une revue complète des éléments et systèmes correspondants. Les conclusions ont été présentées ci-dessus. Il peut être noté que, dans cadre, Électricité de France a effectué une revue « des matériels non repérés fonctionnellement ne jouant pas un rôle dans le procédé » (dispositifs autobloquants, dispositifs de calage des tuyauteries du circuit primaire…), pour lesquels il a retenu une approche technologique transverse et mis en place des contrôles de certaines dispositions : ainsi ont vu le jour des procédures pour :

–le contrôle de la séparation des voies A et B des installations électriques,

–le contrôle de la protection contre l’incendie, notamment de l’intégrité des secteurs de feu,

–le contrôle de l’étanchéité des dispositifs de rétention de fluides,

–la vérification du déplacement attendu des tuyauteries lors des changements d’état de la chaudière.

Pour le palier N4, ces procédures ont été conservées, et d’autres contrôles ont été ajoutés, concernant par exemple :

–la disponibilité des soupapes et des dispositifs casse-vide,

–l’état des joints d’étanchéité à l’eau interposés entre les bâtiments (dits waterstops),

–l’absence de dispositions et moyens particuliers (DMP),

–la présence des plombages interdisant l’accès aux réglages des protections des cellules électriques d’alimentation des actionneurs,

–l’absence de rétentions parasites dans le bâtiment du réacteur empêchant le retour d’eau vers les puisards de recirculation du système d’aspersion d’eau dans l’enceinte de confinement.

19.4.5.Critères

Pour les essais de démarrage des réacteurs de 1 300 MWe, une amélioration significative a été apportée à la définition des critères de réussite des essais. Parmi les diverses appellations des critères de réussite des essais (critères de sûreté, critères de conception, critères technologiques, critères de fonctionnement et même valeurs attendues), seule l’expression critère de sûreté semblait clairement définie tout en étant très restrictive : en effet, n’étaient considérés comme critères de sûreté que les valeurs de paramètres apparaissant dans les hypothèses des études d’accident présentées dans le rapport de sûreté. La définition des critères de réussite a été améliorée (voir le paragraphe 19.2.3.4), ainsi que celle de la conduite à tenir en cas de non-respect de ces critères en termes d’analyse et de déclaration à l’autorité de sûreté.

Au-delà du respect des critères, l’analyse des difficultés rencontrées lors des essais est souvent aussi riche d’enseignements que les résultats eux-mêmes. Pour illustrer ce point, deux exemples issus des essais de démarrage des réacteurs de 900 MWe peuvent être évoqués. Le premier concerne les vannes d’isolement des lignes de vapeur qui doivent se fermer en moins de cinq secondes ; lors de l’examen des résultats d’essais sur les sites après une préparation poussée des vannes par le constructeur, toutes les vannes se sont effectivement fermées en moins de cinq secondes et ces équipements ont donc été déclarés aptes à assurer leur fonction. Il a fallu attendre une inspection pour que l’exploitant signale que, sans une préparation minutieuse, le délai de fermeture était beaucoup plus important. Le deuxième exemple est du même type et concerne le réseau d’air de régulation (SAR) dans le bâtiment du réacteur, pour lequel il n’était pas possible, avant qu’EDF ne modifie le réseau, d’obtenir une étanchéité correcte avant une dizaine d’essais. Il était cependant possible d’établir au final un compte rendu d’essai satisfaisant le critère. Les organismes de sûreté ont rappelé la nécessité de rédiger des comptes rendus d’essais présentant non seulement les résultats mais aussi les difficultés rencontrées et en particulier les observations de nature à mettre en doute la capacité des équipements et des systèmes à assurer leurs fonctions par la suite.

Par ailleurs, certains événements qui apparaissent anodins en fonctionnement normal (par exemple une discordance de signalisation de la position d’un organe [vanne ouverte ou fermée…] en local et en salle de commande, un temps de manœuvre d’une vanne légèrement supérieur à celui qui est attendu…) sont quelquefois les symptômes d’anomalies pouvant avoir des conséquences sérieuses en situation accidentelle. Ainsi, ce sont des difficultés de manœuvre des vannes du système d’injection de sécurité du réacteur n° 1 de la centrale nucléaire de Nogent-sur-Seine, au mois de novembre 1986, lors des essais fonctionnels du réacteur dans une configuration avec la cuve ouverte, qui ont mis en évidence des anomalies de conception et de qualification de certaines vannes de ce système pour les réacteurs de 1 300 MWe ; pour chaque réacteur, plus de 30 vannes avaient un système de motorisation sous-dimensionné, cela étant dû à une évolution de la conception du circuit sans mise à jour des paramètres pris en compte pour le choix des servomoteurs, ainsi qu’à un mauvais dimensionnement des transmissions des commandes à distance dû à une méconnaissance des effets d’inertie du moteur sur la transmission.

19.4.6.Propreté, nettoyage des circuits, corps étrangers

Dès le démarrage des premiers réacteurs de 900 MWe, EDF a été confronté à des questions de propreté des circuits. Par exemple en 1980, au cours d’un essai à froid du réacteur n° 1 de la centrale nucléaire du Blayais, divers corps étrangers, en particulier les éléments d’un bouchon utilisé par les soudeurs pour former une chambre à argon, ont été retrouvés dans la cuve. À la suite d’une visite approfondie du circuit primaire, le complément du bouchon a été découvert dans un clapet du circuit d’injection de sécurité. Le Service central de sûreté des installations nucléaires a alors demandé à Électricité de France :

–de définir les précautions à prendre lors du montage des équipements, en particulier pour les circuits tels que ceux d’alimentation en eau des générateurs de vapeur pour lesquels il n’est pas possible de chasser les corps étrangers ailleurs que dans les générateurs de vapeur eux-mêmes,

–de préciser l’état de finition minimal à respecter avant le début des chasses et des essais des circuits,

–d’examiner la possibilité de visites systématiques des endroits où pourraient être piégés des corps étrangers (vannes, réservoirs) après les premières chasses,

–de définir des procédures rigoureuses d’intervention sur les circuits supposés propres (délimitation d’une zone d’opération, protection contre les chutes d’objets, inventaire de l’outillage et des pièces utilisées), la phase à partir de laquelle ces procédures sont d’application obligatoire étant clairement définie.

Par ailleurs, au mois d’août 1986, lors d’une ronde dans le bâtiment du réacteur n° 2 de la centrale nucléaire de Flamanville dont le cœur venait d’être chargé, l’exploitant a constaté qu’un fourreau (de 600 mm de diamètre) de traversée d’une paroi en béton permettant, en conditions accidentelles, à l’eau condensée issue de l’aspersion dans l’enceinte de confinement d’être dirigée vers les puisards et de permettre ainsi d’alimenter les systèmes RIS et EAS, était obstrué. Une constatation analogue a alors été faite pour le réacteur n° 1 de cette centrale. Bien entendu, une remise en état a aussitôt été effectuée et des vérifications ont été engagées par EDF sur certains réacteurs potentiellement concernés. Les bouchages constatés semblent avoir été la conséquence d’une campagne de rebouchage de trémies réalisée au cours d’une campagne de finitions diverses. Électricité de France a pris un certain nombre de dispositions complémentaires pour éviter un nouveau bouchage malencontreux de ces fourreaux (signalisation en local de l’importance de ces fourreaux, précisions apportées dans les dossiers de système élémentaire EAS).

Dans le cadre des essais de démarrage des réacteurs de 1 300 MWe, un document de doctrine a été élaboré par EDF pour faciliter la détection et l’élimination de corps migrants. Ce document a été constitué d’un programme de principe d’essais de nettoyage pour les systèmes non fournis par le constructeur principal de la chaudière nucléaire et d’un guide-type. La préoccupation d’Électricité de France a été de déterminer pour chaque système les points possibles d’accumulation des corps étrangers. Ces points (environ 400 au total) ont été rendus « accessibles » grâce à l’implantation de piquages permettant un examen par endoscope.

Les événements d’obstruction des diaphragmes multi-trous du circuit d’injection de sécurité des réacteurs de 1 300 MWe des centrales nucléaires de Saint-Alban et de Flamanville ont conduit à s’interroger sur l’opportunité de ce type de diaphragmes (en regard des diaphragmes restricteurs de débit de type mono-trou mis en place dans les réacteurs de 900 MWe) et sur les moyens à mettre en œuvre pour éviter le renouvellement des événements précités. De la même façon, au mois de juillet 1986, une perte de débit d’une turbopompe du système ASG a été constatée à la centrale nucléaire de Saint-Alban lors des essais de démarrage du réacteur n° 2. Ce bouchage a été causé par la présence de chiffons dans la pompe. Il a été retenu que des dispositions devaient être prises dès la conception pour minimiser les risques liés aux corps étrangers (définition d’exigences relatives aux tuyauteries, réservoirs et puisards, installation de bouchons permettant un examen endoscopique, installation de filtres…).

Un point particulier concerne la mise en propreté des équipements utilisateurs de fluides auxiliaires ; plusieurs événements sont survenus, parmi lesquels on peut citer pour les réacteurs de 1 300 MWe :

–la livraison de fioul pollué dans les bâches d’entreposage,

–des grippages de pompes d’injection de groupes électrogènes (fioul mal filtré),

–des grippages d’électrovannes de commande de l’air de lancement pour le démarrage des groupes électrogènes (air mal filtré),

–des cas de pollution de l’huile des pompes d’injection de sécurité par l’eau du circuit des purges et évents (défaut de conception),

–la détérioration des turbocompresseurs de groupes électrogènes du fait de la présence de résidus de béton dans les conduits d’aspiration d’air vers le système d’admission des moteurs (conception des conduits),

–un mauvais éventage des circuits de pilotage des soupapes de protection du circuit primaire (eau non dégazée),

–des grippages de pompes d’alimentation de secours en eau des générateurs de vapeur (jeux trop faibles),

–des inétanchéités de clapets du circuit d’air comprimé secouru (SAR).

Des problèmes analogues ont été rencontrés pour les réacteurs du palier N4, en particulier ceux de la centrale nucléaire de Civaux :

–des grippages de pompes d’injection de fuel de groupes électrogènes (fioul mal filtré),

–la livraison de fioul pollué dans les bâches d’entreposage,

–des grippages de pompes d’alimentation de secours en eau des générateurs de vapeur dus à des particules dans le fluide aspiré,

–des grippages de pompes d’alimentation en fioul des groupes électrogènes à moteur diesel du fait de l’absence de filtres.

Par ailleurs, pour les réacteurs du palier N4, de nouvelles dégradations de filtres provisoires mis en place pour les essais de rinçage ont été constatées (concernant les circuits619 PTR, DEG, EAS…) ainsi que la présence de corps étrangers (par exemple dans la turbopompe de secours du système ASG). Cela a conduit EDF à renforcer mécaniquement ces filtres ainsi qu’à mettre en place une mesure de pression différentielle sur les manchettes de ces filtres provisoires pour suivre leur encrassement. Des pollutions des circuits de pilotage des soupapes SEBIMTM du pressuriseur620 ont aussi été à l’origine de dysfonctionnements de ces soupapes, ce qui a conduit à la mise en place de filtres.

Ces difficultés sont liées à des lacunes dans la définition des exigences associées aux fluides auxiliaires utilisés pour les matériels importants pour la sûreté. Des pollutions de tels circuits ont été rencontrées sur toutes les tranches. Ils concernent des défauts de mise en propreté des circuits ainsi que des lacunes dans l’efficacité des moyens de filtration prévus (dégradation par fatigue ou absence de filtre).

Concernant le circuit primaire, un événement particulier est à noter : la présence, dans le réacteur n° 1 de la centrale nucléaire de Paluel, d’une brosse métallique pendant les essais à chaud, qui s’est traduite par la dispersion de plus de 1 500 poils de brosse. Un programme important de recherche de ces corps étrangers a été nécessaire. Dans certains cas, ces poils se sont incrustés de plusieurs millimètres dans des tubes-guides de grappes absorbantes, qui ont dû être remplacés. Cette dispersion a été aggravée par le fait que, pour ce réacteur « tête de série », l’instrumentation des structures internes de la cuve a empêché la mise en place des « pavés filtrants » pendant les essais à chaud.

Par ailleurs, des corps migrants ont également été produits par détérioration des « pavés filtrants » mis en place pendant les essais à chaud :

–dans le réacteur n° 2 de la centrale nucléaire de Paluel : plus de la moitié des « pavés filtrants » mis en place pendant les essais à chaud ont été retrouvés détériorés, ce qui a impliqué des recherches analogues à celles qui ont été évoquées ci-dessus ;

–dans le réacteur B2 de la centrale de Chooz : un morceau de grille d’un « pavé filtrant » a été retrouvé dans une boîte à eau de générateur de vapeur ;

–dans le réacteur n° 1 de la centrale de Civaux : plusieurs éléments ont été retrouvés lors du retrait des équipements internes inférieurs (deux tiges sectionnées, quatre éléments de grilles) ;

–dans le réacteur n° 2 de cette même centrale : les essais à chaud ont été interrompus à la suite de la détection, par le système de détection acoustique KIR, de corps migrants dans une boîte à eau de générateur de vapeur. La présence de trois tirants rompus a été constatée dans la cuve du réacteur ainsi que celle de morceaux d’un quatrième dans la boîte à eau du générateur de vapeur, qui a subi des détériorations. Cinq grilles d’assemblages combustibles ont de plus été endommagées.

Ces événements ont nécessité des investigations d’ampleur notable (inspection de la cuve du réacteur et des circuits, passage de « bourres » dans les faisceaux tubulaires des générateurs de vapeur…), ainsi qu’une remise en état de la boîte à eau détériorée.

Un événement notable de pollution pendant la phase des essais de démarrage a concerné le combustible du réacteur n° 1 de la centrale nucléaire de Chooz B, au mois d’avril 1995 : du fait de l’obturation d’une tuyauterie de descente d’eaux pluviales, le nettoyage du toit du bâtiment du combustible a entraîné un débordement d’eaux sales qui ont ruisselé le long des murs et des corbeaux des ponts roulants et pollué la piscine d’entreposage du combustible ainsi que le compartiment de transfert du combustible. Cette pollution a conduit à un nombre important d’opérations :

–la remise en état des ponts et le nettoyage des charpentes,

–le nettoyage de la piscine par des scaphandriers,

–le lavage des assemblages combustibles (pour chaque assemblage, rinçage individuel et nettoyage intérieur par extraction de la grappe de contrôle et nettoyage par aspiration des tubes-guides).

On peut encore noter que la suppression de bonnes pratiques (rinçage des générateurs de vapeur après la mise en service du poste d’eau de la salle des machines) à la centrale nucléaire de Nogent-sur-Seine a eu pour conséquence la formation de boues au fond des générateurs de vapeur. Le durcissement de ces boues et les contraintes en résultant au bout d’un cycle de fonctionnement se sont traduits par des endommagements des tubes des générateurs de vapeur, découverts en 1989 lors du premier arrêt du réacteur n° 1 pour renouvellement du combustible. EDF a par la suite établi et mis en œuvre une procédure de contrôle du nettoyage des générateurs de vapeur après les essais des « grands transitoires », afin d’engager le premier cycle de fonctionnement des réacteurs avec des générateurs de vapeur propres.

19.4.7.Supportages et déplacements de tuyauteries

Le programme de principe d’essais pour les tuyauteries (TUY) prévoit les vérifications et les mesures à effectuer pour contrôler les supportages et les déplacements des tuyauteries des circuits primaire, secondaire et auxiliaires, ainsi que l’aptitude des éléments calorifuges à assurer leur fonction. Les contrôles effectués avant les essais à chaud portent sur les dispositifs tels que les boîtes à ressort et les dispositifs autobloquants, sur les jeux des butées et des guides ainsi que sur les jeux entre tuyauteries et systèmes autobloquants.

Des contrôles des déplacements au cours des essais à chaud et de la montée en puissance d’un réacteur à eau sous pression sont effectués pour les lignes de tuyauteries dont la température engendre des déplacements significatifs ou dont les ancrages sur d’autres lignes (circuit primaire principal essentiellement) sont soumis à des déplacements importants. Ils portent sur les portions de circuits dont la température dépasse 100 °C en fonctionnement ainsi que sur les portions de circuit sans circulation de fluide, entre le circuit primaire et un « point fixe » de l’installation. Pour ce qui concerne le circuit primaire, les jeux obtenus après réglage et mise en place de cales sont vérifiés à nouveau après le deuxième cyclage thermique lors des essais précritiques à chaud. Ces contrôles n’étant effectués que sur les circuits de fourniture Framatome, les organismes de sûreté ont demandé à EDF d’étendre ces vérifications en définissant un champ d’application (repères des systèmes ou parties de systèmes) et des critères de réussite des contrôles.

19.4.8.Vibrations des pompes et des tuyauteries

Les vibrations de tuyauteries ont pour origine soit des machines tournantes soit des phénomènes hydrauliques dans ces tuyauteries. Pour ce qui concerne les machines tournantes, les niveaux vibratoires sont mesurés au démarrage et périodiquement pendant la vie de l’installation. L’analyse des programmes d’essais des réacteurs de 1 300 MWe a montré que l’exploitant n’avait pas systématiquement prévu de faire ces mesures dans toute la gamme de débit des machines tournantes. Par ailleurs, les critères utilisés au démarrage et en exploitation pour statuer sur l’acceptabilité des niveaux vibratoires ont fait l’objet de discussions entre EDF et les organismes de sûreté.

Pour ce qui concerne les vibrations de tuyauteries, il n’existait alors aucune vérification systématique à l’exception de certaines mesures effectuées sur des parties bien identifiées du circuit primaire et sur les structures internes de la cuve pour les tranches « tête de série ». Les vibrations peuvent conduire à la longue à des fissurations voire à des ruptures de tuyauteries, en général au niveau de piquages, qui peuvent avoir des conséquences très diverses allant de la simple fuite à l’indisponibilité de vannes, pompes ou même de circuits. Si l’on s’en tient à l’expérience française dans ce domaine, l’événement le plus marquant par son étendue est probablement celui qui, au mois d’août 1978, a affecté le circuit de contournement GCT-c de la vapeur du réacteur n° 2 de la centrale nucléaire du Bugey (réacteur de 900 MWe de premier groupe dit CP0), où des fissures ont été constatées sur les tuyauteries situées en aval de soupapes, au niveau des soudures de raccordement sur la tuyauterie principale. Les dégâts constatés ont été expliqués par les amplitudes et les accélérations associées aux vibrations, mesurées après l’événement. Cet événement a conduit à revoir la conception du circuit de contournement de la vapeur des quatre tranches de la centrale et il a entraîné une indisponibilité partielle du circuit de contournement de la vapeur vers le condenseur dont l’utilisation est prévue pour certains transitoires.

Parmi différents autres événements provoqués par des vibrations, peuvent être cités pour les réacteurs de 900 MWe :

–des ruptures des lignes d’alimentation en air des vannes de réglage de débit du circuit de refroidissement à l’arrêt, celles de vannes d’isolement de la vapeur (Fessenheim, Bugey) et de vannes d’alimentation en eau des générateurs de vapeur (Gravelines),

–des détériorations répétées des sondes de mesure de température du système de protection du réacteur situées sur les bipasses des boucles primaires lors des essais précritiques à chaud (réacteur n° 2 de la centrale nucléaire du Blayais),

–la détérioration du supportage de la ligne de décharge du pressuriseur à la suite de sollicitations répétées des vannes de décharge (Dampierre-en-Burly) ;

–des ruptures de ligne de « débit nul »621 des pompes d’eau déminéralisée (réacteur B2 de la centrale nucléaire de Chinon).

Ces événements, cités à titre d’exemples, ne sauraient constituer un bilan global des dégâts provoqués par les vibrations. Ils n’ont eu comme conséquence que d’entraîner des indisponibilités de réacteurs et de conduire à revoir les dispositions retenues dans les études de conception. À cet égard, le retour d’expérience fondé sur les événements causés par les vibrations ou les constatations faites lors d’inspections des tuyauteries devaient permettre de mieux appréhender les problèmes qui risquent de se poser aux points sensibles des circuits lors de leur fonctionnement en exploitation, de corriger les défauts éventuels ou d’en assurer un suivi particulier. Les organismes de sûreté ont cependant estimé préférable que cela puisse se faire dès les essais de démarrage et que des dispositions soient prises sans attendre de nouveaux événements ; en tout état de cause, il apparaissait impératif que dans le cas des circuits de sauvegarde, qui ne sauraient bénéficier du retour d’expérience, les essais de démarrage soient mis à profit pour vérifier que les points sensibles des circuits ne peuvent pas poser des problèmes. En effet, la plupart des configurations accidentelles ne sont testées que pendant cette phase et ne sont plus reproduites par la suite lors des essais périodiques. À cet effet, il a été demandé à EDF d’élaborer un programme de mesures de vibrations des points sensibles des circuits, en particulier des circuits de sauvegarde, en prenant en compte leurs différentes configurations de fonctionnement. Ce programme devait être inséré dans le cadre général des essais de démarrage et permettre de s’assurer que les tuyauteries ont été correctement installées. Électricité de France a été invité à s’inspirer des programmes préconisés ou mis en application alors pour certaines centrales à l’étranger, suivant les prescriptions du Regulatory Guide RG.1.68 de l’U.S.NRC.

Pour les réacteurs de 1 300 MWe, un nombre important d’anomalies ont été rencontrées, parmi lesquelles on peut citer :

–des ruptures de sondes de mesure de température du circuit primaire,

–l’érosion de certains orifices de détente (de gaz ou de vapeur d’eau),

–des ruptures de piquages,

–une cavitation dans certaines vannes.

Ces anomalies résultaient de lacunes dans les études de conception des systèmes. En particulier, il y manquait la vérification que, pour chaque restricteur de débit et dans toutes les configurations d’exploitation, les conditions d’absence de cavitation étaient respectées ; de plus, il n’existait pas un recensement des sources d’excitation vibratoire et de vérification de l’adaptation des matériels concernés (identification des fréquences propres, mesures vibratoires des piquages…). Le cas particulier des sollicitations résultant de l’ouverture de soupapes de protection n’était pas explicitement pris en compte.

Pour le palier N4, certains endommagements de piquages ont été à nouveau constatés lors des essais réalisés sur le réacteur n° 1 de la centrale nucléaire de Chooz B. Électricité de France a pris en compte ce retour d’expérience pour effectuer des modifications de conception (mise en place de manchettes renforcées sur les piquages réputés sensibles, modifications de géométrie, suppression de certains points fixes…). Plus généralement, Électricité de France a déployé, pour l’ensemble des réacteurs, une méthode d’identification des piquages sensibles et mis en œuvre des mesures de vibrations notamment pour les systèmes de sauvegarde et leurs systèmes supports, cela pour différentes configurations (fonctionnement normal, situations accidentelles, configurations périodiques d’essais…). Des essais ont été réalisés à cet effet sur le réacteur n° 2 de la centrale nucléaire de Chooz B. Les constats réalisés ont conduit à des actions correctives (modifications de supportages, changements de type de diaphragme…). Les essais d’endurance exécutés sur certaines machines ont permis de s’assurer de la bonne tenue des piquages d’instrumentation, des purges et des évents (contrôles effectués par ressuage).

19.4.9.Validation des procédures de conduite
et d’essais périodiques

Durant les essais de démarrage, les procédures normales de conduite sont largement utilisées, ce qui permet d’en assurer la validation. Pour ce qui est des procédures incidentelles ou accidentelles, y compris les procédures H et U, leur validation est assurée, dans la mesure du possible, sur une tranche du palier. En tout état de cause, les procédures font l’objet d’une validation sur simulateur ou à l’aide d’un logiciel de simulation.

L’un des objectifs des essais de démarrage est l’appropriation de l’installation par les équipes qui vont l’exploiter, et cette phase passe par la validation des documents de conduite ainsi que d’essais périodiques.

Après les démarrages des réacteurs des paliers de 900 MWe et 1 300 MWe et à la suite d’observations faites par les organismes de sûreté, Électricité de France a amélioré la démarche suivie pour atteindre l’objectif indiqué ci-dessus, en la rendant plus explicite. La documentation associée aux essais a été complétée sous l’angle de l’exhaustivité de la validation et de la traçabilité des résultats après exécution. Ces améliorations ont bénéficié aux essais de démarrage des réacteurs du palier N4.

La validation des procédures de conduite normale (désignées par F et G) est effectuée par l’exploitant en collaboration avec le constructeur. Ce dernier, après analyse, intègre l’ensemble des remarques et édite une procédure à l’indice supérieur. Il n’existait pas, lors du démarrage des réacteurs de 900 MWe, de compte rendu de validation et, de fait, celle-ci n’était pas examinée par les organismes de sûreté. L’expérience du démarrage des réacteurs de 900 MWe des contrats-programmes CPY a montré que, dans certains cas, des anomalies importantes pour la sûreté ont été découvertes lors de ces validations. À titre d’exemple, lors du conditionnement thermique622 du circuit de refroidissement du réacteur à l’arrêt (RRA), le débit admis dans ce circuit étant au minimum de 200 m3/h (valeur imposée par une butée mécanique sur la vanne réglante du débit dans les échangeurs), un front chaud se déplaçait dans le circuit, ce qui avait pour conséquence de solliciter les brides d’accostage des pompes du circuit RRA à un point tel que les opérateurs ont constaté des fuites à ce niveau. Une nouvelle procédure a été mise au point pour ce palier, permettant de conditionner le RRA avec les pompes à l’arrêt et de minimiser ainsi les chocs thermiques. Il convenait que ce type d’anomalies soient signalées sans tarder aux organismes de sûreté ; dans ce but, il a été demandé à EDF de présenter, lors des réunions des commissions d’essais sur site, les difficultés ou anomalies importantes détectées lors de l’utilisation des procédures normales d’exploitation.

Comme cela a été indiqué plus haut, le groupe de travail sur les essais mis en place au moment du démarrage des réacteurs de 900 MWe avait souligné que la garantie de la conformité des installations reposait pour une part importante sur l’exécution des essais périodiques qui alors ne débutaient qu’après le chargement du cœur en combustible. Or, pour certains systèmes et en fonction des difficultés rencontrées sur le chantier, il peut s’écouler un an ou plus entre les essais fonctionnels des systèmes et le chargement du combustible. Pendant cette période, une activité importante peut se dérouler à proximité d’un système et il n’était pas garanti que celui-ci, opérationnel à la date de l’essai fonctionnel, le serait encore pour le chargement du combustible. Si, pour les circuits ou matériels qui font l’objet d’essais périodiques mensuels, cela n’est pas très grave, en revanche pour ceux qui ne sont testés par exemple que lors des rechargements (comme le système d’isolement de l’enceinte de confinement), les conséquences peuvent être plus sérieuses. En conséquence, le groupe avait estimé que les essais périodiques de période « rechargement » devaient être réalisés une première fois avant le chargement du combustible dans le cœur. Cette demande a été reconduite pour les paliers suivants.

19.4.10.Incertitudes et « points de consigne »

Les valeurs des points de consigne du système de protection du réacteur, qui correspondent aux valeurs des seuils d’un certain nombre de paramètres de fonctionnement du réacteur dont l’atteinte déclenche le système de protection, sont déterminées pour limiter les conséquences des incidents et des accidents retenus dans l’analyse de sûreté déterministe (voir le paragraphe 5.6). Dans les rapports de sûreté, des valeurs des seuils de déclenchement de l’arrêt d’urgence (plus exactement l’arrêt automatique du réacteur – AAR) sont présentées. Ces valeurs sont différentes de celles des seuils qui sont réglés dans l’installation elle-même, la différence correspondant à la somme des incertitudes liées respectivement à la précision de l’électronique de mesure et à la précision de l’organe de déclenchement. L’adéquation des valeurs des points de consigne doit être justifiée par l’exploitant. Pour ce qui concerne les essais, les vérifications effectuées dans l’installation doivent permettre de montrer que, compte tenu de la précision des matériels installés, les seuils de déclenchement en exploitation sont compatibles avec les valeurs justifiées dans l’analyse de sûreté déterministe.

Lors du premier démarrage d’un réacteur, il est nécessaire d’effectuer des mesures pour calibrer les protections. Cependant, pour effectuer ces mesures, il est nécessaire de faire fonctionner le réacteur en puissance et, pendant cette période, il faut s’assurer que le système de protection est apte à remplir sa fonction en cas d’incident ou d’accident. Le dilemme est résolu par un réglage des seuils de protection largement conservatif lorsque le réacteur fonctionne à faible puissance, ce qui permet de faire les essais à faible puissance et, à partir des résultats obtenus, de montrer que l’on peut adopter des seuils un peu moins conservatifs pour le palier de puissance suivant.

Malgré le formalisme et toutes les précautions prises lors du démarrage, il est arrivé qu’une tranche de 900 MWe fonctionne (pendant un temps limité) avec un circuit de protection mal calibré (erreur d’un facteur deux dans le sens non conservatif sur le déséquilibre de flux neutronique axial – voir le paragraphe 5.2). Pour détecter à temps ce type d’anomalie, il est nécessaire de déterminer tout au long de la montée en puissance les marges entre le point de fonctionnement et le point de déclenchement de la protection pour des situations stables de la chaudière ; par comparaison avec les relevés effectués lors des montées en puissance des réacteurs démarrés antérieurement, il est alors possible de détecter une éventuelle erreur de manipulation.

Sur ce sujet, des recommandations ou des demandes ont été formulées par les organismes de sûreté, visant à accroître encore la rigueur des opérations de réglage des points de consigne au fur et à mesure de la montée en puissance des réacteurs et la traçabilité des justifications du caractère conservatif des valeurs des points de consigne.

19.4.11.État des installations lors des essais de démarrage

L’objectif premier des essais de démarrage est de vérifier que les installations sont conformes aux études de conception et à la démonstration de sûreté correspondante. Électricité de France a, dans ce domaine, fait au fil du temps des efforts significatifs de définition des essais. Cependant, il est important de rappeler que le but à atteindre est la conformité des installations non seulement au moment des essais, mais aussi lorsqu’ensuite le réacteur sera en fonctionnement.

Si la réussite d’un essai se limitait à la comparaison d’un résultat numérique à un critère, on ne garantirait que la conformité au moment de l’essai. Les essais d’épreuve de résistance et d’étanchéité de l’enceinte de confinement peuvent illustrer de façon simple ce qui vient d’être avancé. Schématiquement, il existe deux façons de mesurer le taux de fuite global de l’enceinte de confinement d’un réacteur du parc électronucléaire. Dans le premier cas, l’essai est programmé très tôt dans le calendrier du chantier alors que certaines traversées de l’enceinte de confinement ne sont pas encore équipées de leurs organes d’isolement définitifs et sont obstruées à l’aide de tapes : la mesure du taux de fuite ainsi faite sera complétée par la suite par la mesure du taux de fuite de chaque traversée précitée équipée de façon définitive. Dans le deuxième cas, l’épreuve est programmée après les essais à chaud, l’enceinte de confinement étant alors dans sa configuration définitive et le taux de fuite global est obtenu par une seule mesure. Mathématiquement le résultat peut être le même pour ce qui concerne le critère sur le taux de fuite global de l’enceinte, mais la deuxième solution est de loin préférable en termes de représentativité de l’essai sur l’état et la conformité du réacteur avant le chargement du combustible dans le cœur. Cet exemple montre qu’il convient de se poser la question de l’état de finition des équipements et de leur environnement les plus pertinents à adopter.

Concernant les automatismes de contrôle-commande, des vérifications sont réalisées lors des premiers essais de chaque système en sollicitant les chaînes d’instrumentation et en vérifiant le bon fonctionnement des actionneurs, mais des travaux ou des modifications ultérieures sont susceptibles d’affecter la continuité ou l’adressage filaire des signaux de contrôle-commande ; il est dès lors nécessaire que les actions automatiques prévues à l’égard des situations incidentelles ou accidentelles soient testées fonctionnellement lors d’essais d’ensemble réalisés au cours des essais de démarrage, si possible en phase finale, sauf si cela devait nécessiter la mise en œuvre de dispositions et moyens particuliers (DMP) mettant significativement en cause la représentativité des essais envisageables ou entraîner un risque excessif de mauvaise remise en configuration non détectable ultérieurement et présentant de fait un risque pour la sûreté.

Il y a un intérêt à essayer le plus tôt possible les équipements pour détecter les éventuelles anomalies importantes. Cependant, pour que les essais d’ensemble d’un système soient représentatifs du fonctionnement d’un réacteur après le chargement du cœur, il convient de déterminer un état de finition minimal du système et de son environnement avant le début de ces essais d’ensemble de façon à minimiser les travaux après la période d’essais. Pour la phase après chargement du combustible dans le cœur, une règle pratique impliquant un état de finition avancé pour la réalisation d’essais a été adoptée par Électricité de France : ces essais ne sont faits qu’après la mise en « zone contrôlée » (au sens de la radioprotection) des bâtiments de l’installation qui doivent l’être en régime de fonctionnement normal. Par ailleurs, l’expérience des démarrages a montré que des modifications sont encore nécessaires après les essais d’ensemble des systèmes ; la conformité des installations repose alors sur l’organisation mise en place pour gérer ces modifications ainsi que sur les essais de requalification associés.

19.4.12.Autres aspects

Comme cela sera explicité dans le paragraphe 19.5, l’IPSN a été amené à recommander qu’Électricité de France réalise, en complément des essais de démarrage qu’il avait prévus, des contrôles de fin de montage d’équipements passifs623, tels que les filtres des puisards de recirculation d’eau dans l’enceinte de confinement ; en effet, les contrôles de fin d’installation de ces filtres ne prévoyaient pas de s’assurer de l’absence de jeux de dimensions supérieures à leur maille, qui créeraient un risque de bipasse des filtres. En vue des essais du réacteur EPR Flamanville 3, Électricité de France a plus globalement effectué une analyse des contrôles et des essais à réaliser pour les équipements passifs (hors génie civil) qui ne sont pas rattachés à un système élémentaire. Cette analyse décline, par phénomène redouté (inondation, incendie, pollution…) et par famille d’équipements, les exigences de conception retenues et identifie les contrôles et essais à réaliser pour vérifier qu’elles sont respectées. Pour les structures du génie civil, l’ensemble des contrôles et des essais nécessaires sont réalisés au cours de leur construction, à l’exception des contrôles d’étanchéité des piscines et de l’enceinte de confinement.

Par ailleurs, à compter des essais de démarrage des réacteurs de 1 450 MWe (palier N4), certains équipements participant à une fonction transverse dont la réalisation est de la responsabilité de plusieurs entités (différents contrats ou corps de métiers), ou qui peuvent faire l’objet de nombreux changements d’état liés aux activités et travaux dans l’installation, font l’objet d’une « revue finale de conformité ». Les vérifications faites dans le cadre de cette revue portent par exemple sur la bonne séparation physique des voies redondantes, la « sectorisation incendie », l’absence de risque d’agression en cas de séisme de matériels importants pour la sûreté par des équipements non dimensionnés au séisme ou sur les dispositions de protection contre une inondation d’origine externe à l’installation.

Il est important que les choix de conception permettent la réalisation des essais de démarrage (et ultérieurement des essais périodiques) dans de bonnes conditions, sans entraîner par exemple des risques de corrosion de structures ou composants métalliques.

Enfin, le retour d’expérience général réalisé au fil des démarrages des réacteurs du parc électronucléaire français et de leur exploitation a pu conduire à prévoir des compléments aux programmes d’essais de démarrage qui ont alors été réalisés lors des visites décennales des réacteurs qui n’en avaient pas bénéficié ; un exemple concerne les essais de décharge des accumulateurs du système d’injection de sécurité.

19.5.Exemples de constats impliquant
les essais de démarrage

Quelques constats faits lors des essais de démarrage des réacteurs du parc électronucléaire permettent d’illustrer concrètement un certain nombre des aspects qui ont été évoqués plus haut, notamment pour ce qui concerne les fonctions de sûreté qui ne peuvent pas faire l’objet d’essais représentatifs d’ensemble sur site, comme l’injection de sécurité ou la recirculation d’eau à l’intérieur de l’enceinte de confinement en conditions accidentelles.

Ils seront complétés par deux constats faits au cours de l’exploitation de réacteurs, à la suite de la mise en place de nouveaux équipements, mais dont les enseignements revêtent un caractère pertinent pour les essais de démarrage en général : il s’agit des anomalies observées sur le dispositif de mesure du niveau d’eau dans la cuve mis en place dans le cadre du déploiement de l’« approche par états » pour la conduite incidentelle ou accidentelle, ainsi que des non-conformités observées sur des diaphragmes du dispositif d’éventage-filtration associé à la procédure accidentelle U5 installé dans les réacteurs dans le cadre des dispositions visant à limiter les conséquences radiologiques des situations avec fusion du cœur.

Bipasse des filtres des puisards de recirculation d’eau
dans l’enceinte de confinement en conditions accidentelles

Pour les réacteurs de 1 300 MWe, la filtration de l’eau recueillie dans les puisards de l’enceinte de confinement se fait en plusieurs étapes. La maille de filtration la plus fine est de 2,5 mm pour éviter un bouchage local au niveau des grilles des assemblages combustibles, des bouchages partiels des diaphragmes multi-trous de l’ISBP ou des buses d’aspersion dans l’enceinte de l’EAS, un colmatage des échangeurs EAS ainsi qu’une détérioration de pompes RIS ou EAS. Les panneaux filtrants sont verticaux et constituent trois étages de filtration de mailles successives 30 mm x 30 mm, 10 mm x 10 mm et enfin 2,5 mm x 2,5 mm.

En décembre 1989, dans le cadre de son suivi des essais de démarrage du réacteur n° 1 de la centrale de Golfech, l’IPSN a constaté une anomalie de réalisation qui créait une possibilité de bipasse des filtres des puisards : les passages des deux dispositifs de mesure du niveau d’eau dans ces puisards au travers des tôles supérieures étaient en effet de dimensions telles qu’ils permettaient un tel bipasse, avec en particulier un espace de 5 cm comme plus petite dimension (voir la figure 19.3).

Figure 19.3. Anomalie des filtres des puisards de l’enceinte de confinement de Golfech 1. IRSN.

En cas de brèche du circuit primaire, les deux voies du système d’injection de sécurité et d’aspersion d’eau dans l’enceinte de confinement, donc les fonctions correspondantes, auraient pu être perdues du fait de ce bipasse des filtres. Électricité de France a alors :

–apporté une modification avant la divergence du réacteur,

–fait le point de la situation des autres tranches (de 900 MWe et de 1 300 MWe),

–précisé les actions qui en découleraient,

–recherché l’origine de l’anomalie.

Électricité de France a très rapidement réalisé des modifications pour le réacteur n° 1 de la centrale nucléaire de Golfech et pour le réacteur n° 1 de la centrale nucléaire de Penly, avant leur divergence. Mais les contrôles ont montré que d’autres réacteurs étaient affectés par la même anomalie ou par des anomalies similaires. Plus précisément, tous les réacteurs de 1 300 MWe étaient affectés, avec plusieurs types d’anomalies : des jeux trop importants au niveau d’orifices de passage de dispositifs de mesure, des jeux trop importants entre filtres et structures en béton, des trous de pions non rebouchés… Pour les réacteurs de 900 MWe, seuls six d’entre eux n’étaient pas affectés d’anomalies ; les anomalies étaient toutefois d’une ampleur moindre que celles qui étaient constatées pour les réacteurs de 1 300 MWe ; en effet, le jeu maximum observé était de 7 mm.

En termes d’enseignements généraux, ces anomalies ont montré que :

–les dispositions de sûreté initialement retenues à la conception avaient été oubliées au moment de la réalisation sur site des puisards et des matériels annexes,

–le niveau d’assurance de la qualité des opérations de montage n’avait pas été en accord avec le classement de sûreté des filtres des puisards,

–les montages et les vérifications avaient manqué de rigueur.

Ces anomalies de 40 réacteurs environ ayant concerné plusieurs constructeurs, elles ont jeté un doute sur l’« organisation qualité » de la Direction de l’équipement d’Électricité de France. D’autres anomalies analogues ont été constatées à la même époque concernant les diaphragmes des circuits d’éventage-filtration des enceintes de confinement (voir plus loin). Cet ensemble de défauts de qualité rencontrés a conduit la Direction de l’équipement d’Électricité de France à créer en 1990 un groupe de travail, en vue de développer une réflexion approfondie sur l’origine de tels défauts et sur les raisons pour lesquelles ils n’étaient pas détectés et corrigés de façon satisfaisante. Cette réflexion a eu pour objectif de définir des dispositions d’amélioration concrètes, et, chaque fois que possible, aux effets « mesurables », permettant de diminuer les risques d’anomalies et d’éliminer les dysfonctionnements significatifs. Les sujets à traiter concernaient :

–l’organisation interne des études, des travaux et du contrôle à la Direction de l’équipement, ainsi que l’amélioration des interfaces correspondantes,

–les procédures de qualification des systèmes et fonctions dont la qualification ne peut pas être obtenue par des essais.

Par ailleurs et de façon plus générale, ces anomalies ont conduit Électricité de France à mener une étude sur les dispositions de sûreté non vérifiables par des essais, qui a conduit à des compléments d’essais périodiques, avec effet rétroactif pour certains.

Vibrations excessives et soulèvements de rotor
de groupes motopompes des systèmes RIS et EAS

Les systèmes RIS et EAS comportent des groupes motopompes à axe vertical, représentés sur la figure 19.4. Le moteur et la pompe sont installés à deux niveaux différents, distants de plus de quatre mètres, avec un arbre vertical de transmission coulissant à cannelures, équipé de cardans, de 2,6 mètres de long.

Les anomalies évoquées ici concernent les groupes motopompes d’injection de sécurité à basse pression (ISBP) et d’aspersion d’eau dans l’enceinte de confinement (EAS) des réacteurs de 900 MWe et des réacteurs de 1 300 MWe de type P4.

À la suite de la constatation de vibrations dépassant la valeur admissible lors de la mise en service d’une pompe EAS du réacteur n° 1 de la centrale nucléaire de Paluel (1 300 MWe du palier P4), un essai d’endurance de 2 000 heures a été réalisé de janvier 1985 à juillet 1985 sur les pompes EAS du réacteur n° 2 de la centrale nucléaire de Saint-Alban. Cet essai visait à montrer que la robustesse de la pivoterie de ces pompes leur permettrait de supporter sans endommagement rapide un niveau vibratoire élevé. Dans le but de produire ce niveau vibratoire, un balourd a été créé par la mise en place d’une plaque d’acier rapportée. L’essai a effectivement confirmé la robustesse de la pivoterie, mais il a mis en évidence un autre phénomène menaçant la fiabilité des pompes : il est en effet apparu que la dilatation du corps de la pompe lorsque celle-ci aspire de l’eau chaude entraînait le soulèvement du rotor du moteur électrique ; or, en cas d’accident de brèche primaire, l’aspiration d’eau des puisards par les pompes RIS et EAS intervient alors que cette eau peut atteindre une température de 120 °C.

Figure 19.4. Schéma de principe des pompes à axe vertical des systèmes RIS et EAS. IRSN.

L’analyse a conduit à attribuer l’anomalie à la conception même de la pivoterie des pompes EAS, qui comportait un roulement supérieur à « simple effet » ne reprenant que le poids du rotor. Elle a aussi conduit à s’interroger sur la possibilité d’anomalies semblables pour d’autres pompes à axe vertical, notamment pour les pompes d’injection de sécurité à basse pression (ISBP). Pour résoudre ces anomalies, Électricité de France a décidé d’équiper tous les moteurs des pompes concernées des réacteurs de 1 300 MWe d’un roulement supérieur à « double effet », c’est-à-dire reprenant les efforts dirigés vers le bas et vers le haut.

Concernant les réacteurs de 900 MWe, des essais de fonctionnement ont été effectués en 1992 sur les pompes du système d’injection de sécurité à basse pression du réacteur n° 2 de la centrale nucléaire de Fessenheim (CP0), à l’occasion de son premier réexamen périodique. Ces essais devaient être de durée plus importante que celle des essais périodiques (30 minutes). Après un temps de mise à l’équilibre thermique de cinq heures, ils ont mis en évidence des vibrations d’amplitude supérieure à celle pour laquelle les pompes devaient être arrêtées (ce délai explique que de telles vibrations n’aient pas été observées lors des essais périodiques).

Des modifications ont alors également été apportées à ces pompes. Il est notamment apparu que la fréquence propre des arbres de transmission était trop proche de la vitesse de rotation des moteurs (1 500 tr/mn, soit 25 Hz) ; ils ont été remplacés et leur angle d’inclinaison a été réduit pour diminuer l’excitation vibratoire associée. Le coulissement a aussi été amélioré à la suite de plusieurs blocages observés, en ajoutant un revêtement adapté au niveau des cannelures pour réduire les frottements, et des graisseurs ont également été ajoutés. Enfin, des tirants (« butons ») ont été installés entre les parties fixes des moteurs et les planchers de supportage, pour augmenter l’écart entre la fréquence propre des moteurs et leur vitesse de rotation. Ultérieurement, une modification analogue à celle qui a été mentionnée plus haut pour les réacteurs de 1 300 MWe (installation d’un roulement supérieur à « double effet ») a été mise en place pour les réacteurs de 900 MWe (2006).

Le fait que les anomalies vibratoires n’aient été mises en évidence qu’à l’occasion d’essais de longue durée de pompes de sauvegarde souligne les difficultés de représentativité des essais de démarrage (ou des essais périodiques), qui ne permettent pas toujours d’explorer toutes les conditions défavorables auxquelles les matériels pourraient être soumis notamment en situation accidentelle ; la température de l’eau aspirée dans le puisard n’avait d’ailleurs probablement pas excédé 80 °C lors de l’essai d’endurance réalisé à Saint-Alban.

D’une manière générale, il est apparu nécessaire qu’Électricité de France analyse toutes les anomalies apparaissant pendant les essais de démarrage, en procédant à des essais, des mesures et des études complémentaires aux essais de « qualification » et aux essais « tête de série ». C’est pourquoi, en juin 1989, le Service central de sûreté des installations nucléaires a demandé à Électricité de France d’étudier, pour les pompes de sauvegarde qui ne fonctionnent pas en permanence en exploitation normale, la possibilité d’effectuer des essais représentatifs d’une durée significative des conditions de fonctionnement sur site, pour tous les matériels « têtes de série ». Électricité de France a ainsi été amené à réaliser des essais de longue durée sur site, allant jusqu’à 8 000 heures, pour des pompes ISBP et EAS. Compte tenu des résultats obtenus, Électricité de France a estimé qu’il n’était pas nécessaire de réaliser d’autres essais de longue durée en complément des essais d’endurance prévus de 400 heures au titre de la qualification pour le matériel modèle et de 20 heures pour les matériels de série (ces derniers étant réalisés en usine). L’essai d’endurance complété d’une expertise détaillée lui paraissait suffisant pour détecter les phénomènes physiques pouvant mettre en cause le caractère opérationnel des pompes. Il est toutefois apparu nécessaire, entre autres enseignements, qu’un état de référence vibratoire soit déterminé pour chaque pompe, à partir des résultats des essais d’endurance et sur site.

Les essais prévus par Électricité de France ont néanmoins fait apparaître par la suite la persistance d’anomalies vibratoires des pompes des systèmes de sauvegarde, particulièrement celles des réacteurs de 900 MWe des contrats-programmes CPY ; on y reviendra au paragraphe 29.2.2.9.

Comme cela a été indiqué au paragraphe 19.4.2, à la lumière des enseignements tirés des observations évoquées ci-dessus, Électricité de France a effectué, pour les premières tranches du palier N4, des essais de 1 500 heures des pompes des systèmes RIS et EAS ; moyennant quelques ajustements624, ces pompes n’ont pas révélé d’anomalie notable. Le cas du réacteur EPR Flamanville 3 a aussi été évoqué au paragraphe 19.4.2.

Difficultés de commande de vannes motorisées
du circuit d’injection de sécurité

Au mois de novembre 1986, un incident de portée apparemment mineure survenu lors des essais préopérationnels du premier réacteur de la centrale nucléaire de Nogent-sur-Seine a permis de découvrir, après analyse, une anomalie générique affectant le système d’injection de sécurité des réacteurs de 1 300 MWe ; cette anomalie aurait pu compromettre gravement le bon fonctionnement de l’injection de sécurité en cas de brèche du circuit primaire.

L’événement a consisté en des difficultés de manœuvre des vannes motorisées du circuit RIS. Ces difficultés affectaient principalement les vannes d’isolement du « débit nul » des pompes ISBP vers la bâche du système PTR. Lorsque les essais ont été repris au mois de février 1987 après différentes interventions, il est apparu que le mauvais fonctionnement des vannes subsistait.

Des investigations complémentaires conduites sur les réacteurs des centrales nucléaires de Belleville-sur-Loire et de Cattenom ont mis en évidence le même type de difficultés. Le dimensionnement des vannes ainsi que celui des motorisations et des organes de transmission de mouvement ont alors été mis en cause. Il est apparu que certaines évolutions de conception du circuit d’injection de sécurité n’avaient pas été répercutées dans les dispositifs de commande de robinets et que des matériels sous-dimensionnés avaient été mis en place. Le caractère générique de l’anomalie a alors été confirmé ; pour l’ensemble des réacteurs de 1 300 MWe (types P4 et P’4), près de 70 vannes étaient concernées.

Il est important de noter que le sous-dimensionnement des motorisations n’a été mis en évidence au démarrage que lors des essais de la onzième tranche de 1 300 MWe, soit après environ quatre années d’exploitation des premières tranches de cette puissance. Le caractère fortuit de la découverte s’explique en partie par le fait que la fermeture incomplète des vannes ne pouvait être détectée qu’en local.

D’autres événements ont ensuite été constatés concernant des vannes motorisées des circuits RIS des centrales nucléaires de Nogent-sur-Seine, Penly et Golfech, avec des ruptures de cardans des systèmes de commande à distance de ces vannes.

Électricité de France a alors fait procéder à la mise en conformité des dispositifs de commande à distance de ces vannes et pris des dispositions pour que les évolutions des études fassent désormais l’objet de fiches de modification transmises à tous les services concernés (y compris ceux qui sont chargés des commandes des matériels) pour permettre une vérification de l’impact de ces évolutions, ainsi que pour renforcer l’assurance de la qualité des études et de l’installation des équipements sur site.

Ces anomalies ont conduit l’IPSN à examiner en détail un certain nombre d’aspects concernant le dimensionnement des motorisations des vannes compte tenu de toutes les configurations auxquelles elles peuvent être soumises lors des essais et en exploitation dans les situations normales, incidentelles ou accidentelles. Cette analyse a montré que, en général, les moyens de test des vannes lors des essais de démarrage des réacteurs et en exploitation ne permettaient pas de détecter toutes les dégradations des vannes pouvant conduire à une défaillance de leur fonctionnement. Divers systèmes plus performants ont été étudiés et déployés sur les réacteurs en exploitation pour améliorer la situation.

Il faut noter qu’aucune anomalie n’avait été détectée lors des essais de « qualification » des vannes sur boucle, le débit des boucles d’essai étant insuffisant.

Inversion de câbles de commande électrique de pompes
de réinjection d’effluents dans le bâtiment du réacteur

La fonction de réinjection des effluents dans le bâtiment du réacteur, mise en place à la suite de l’accident de Three Mile Island, a pour objectif de maîtriser une extension de la contamination dans les bâtiments annexes (BAN, BAS, BK, BTE)625 du bâtiment du réacteur en cas de fuite de circuits de sauvegarde fonctionnant en recirculation d’eau à partir des puisards. Pour cela, en cas de détection par une chaîne du système KRT626 d’une radioactivité volumique dépassant un seuil fixé dans un puisard de l’un de ces bâtiments annexes, un automatisme arrête la pompe du puisard concerné et ferme la vanne de la liaison avec le bâtiment de traitement des effluents. L’opérateur, en suivant les instructions de la procédure accidentelle U2 (voir le paragraphe 17.5.2), effectue une réinjection des effluents radioactifs dans le bâtiment du réacteur en ouvrant la vanne du circuit de réinjection dans ce bâtiment et en démarrant la pompe du puisard concerné.

Une anomalie concernant la réinjection d’effluents a été mise en évidence fortuitement en juin 1990, lors des essais de démarrage du réacteur n° 1 de la centrale nucléaire de Golfech. Il est en effet apparu lors de ces essais que, pour huit des dix chaînes de surveillance, l’action automatique ne démarrait pas la pompe du puisard concerné mais la pompe d’un puisard voisin. Tous les documents (dossier de système élémentaire [DSE], PEE, gammes d’essais périodiques) des systèmes concernés, ainsi que la procédure de conduite accidentelle U2, intégraient ces inversions.

Il est de plus apparu que l’anomalie ne concernait que les réacteurs de 1 300 MWe du type P’4 et résultait d’une discordance entre deux dossiers de système élémentaire étudiés par des personnes différentes. Des mesures correctives ont été définies et mises en œuvre (permutations dans les baies de relayage informatisé CONTROBLOC) et la documentation, tant d’exploitation que de conception, a été mise à jour.

La vérification sur plans de la cohérence du système KRT avec d’autres systèmes a par ailleurs mis en évidence d’autres anomalies : des tuyauteries de prélèvement de chaînes KRT dans des systèmes de ventilation (du bâtiment des auxiliaires nucléaires [DVQ] et du bâtiment de traitement des effluents [DVN]) étaient inversées.

Électricité de France a tiré de ces anomalies les enseignements suivants : d’une part les éléments identiques appartenant à une même voie doivent faire l’objet d’une attention particulière, d’autre part les limites entre le système KRT et les autres systèmes constituent une source d’erreurs ; cette source d’erreurs a été éliminée, dans le cas du palier N4, en intégrant tous les éléments des chaînes KRT dans les systèmes élémentaires « utilisateurs », supprimant ainsi le problème d’interface. Par ailleurs, des vérifications complémentaires ont été engagées sur l’ensemble du parc électronucléaire.

Pour l’IPSN, la découverte tardive et fortuite des anomalies était surtout due à la représentativité imparfaite des essais (essais de démarrage et essais périodiques) des automatismes actionnés par le système KRT depuis la détection du phénomène physique jusqu’aux actions prévues. Les anomalies rencontrées auraient été mises en évidence plus tôt si, lors des essais, une source (radioactive) avait été présentée devant les détecteurs. Ce type d’essai aurait également permis de mettre en évidence l’interversion de deux tuyauteries de prélèvement vers une armoire du système KRT, découverte fortuitement à Golfech et due à une erreur de montage.

Pour les réacteurs en exploitation, il a été demandé à Électricité de France de mettre en œuvre des essais permettant de tester les chaînes des automatismes des systèmes KRT à l’aide de sources radioactives, sauf cas exceptionnels où l’activité de la source nécessaire serait trop élevée. Lors des essais de démarrage des réacteurs du palier N4, l’IPSN a particulièrement veillé à la programmation généralisée de ce type d’essai.

Concernant les contrôles et essais d’éléments identiques appartenant à une même voie, l’IPSN a réalisé une analyse spécifique pour les détecteurs d’incendie (système JDT). Cette analyse a montré que les documents d’essais ne permettaient pas, tels qu’ils étaient rédigés, d’écarter les risques d’erreur d’adressage pour des détecteurs d’une certaine technologie. Une erreur d’adressage entre les deux voies du système JDT étant susceptible en cas d’incendie affectant l’une des deux voies de conduire à la perte de la seconde par la mise hors tension qui serait vraisemblablement décidée pour faciliter l’intervention, Électricité de France a fait évoluer les programmes d’essais de ce système.

Anomalies relatives à la mesure du niveau d’eau dans la cuve

Les réflexions menées à la suite de l’accident de Three Mile Island en vue d’améliorer la conduite en situation incidentelle ou accidentelle ont amené Électricité de France à retenir le principe d’une conduite reposant sur la notion d’états de la chaudière : il s’agit de l’approche dite par états (APE), décrite au chapitre 33. L’historique de la mesure du niveau d’eau dans la cuve (souvent appelée niveau cuve ou encore taux de plein) est étroitement lié à l’historique de l’APE. En effet, cette approche utilise deux paramètres structurants qui sont la marge à la saturation et le niveau d’eau dans la cuve. Dans la conduite selon l’APE, c’est la connaissance de l’état du circuit primaire, de l’état du circuit secondaire, de l’état de l’enceinte de confinement ainsi que des systèmes utilisés qui constitue la base de la conduite et non la détermination des événements qui ont conduit à la situation considérée.

Au début de l’année 1982, Électricité de France s’est engagé dans le développement de la conduite selon l’APE et il a demandé des études de faisabilité au constructeur Framatome (pour les 900 MWe) et aux services d’ingénierie concernés d’EDF (pour les 1 300 MWe) afin de définir le dispositif le plus approprié pour la mesure du niveau d’eau dans la cuve.

C’est ainsi qu’à la fin du mois de novembre 1982 fut prise la décision d’équiper les réacteurs de 1 300 MWe d’un dispositif de mesure de niveau d’eau par pression différentielle, puis, au cours de l’année 1984, celle de substituer l’utilisation des procédures APE aux procédures événementielles. Après les études et les modifications nécessaires, le réacteur n° 1 de la centrale nucléaire de Penly a été le premier réacteur à démarrer, en 1990, avec ce dispositif de mesure et les procédures APE.

Les programmes d’essais correspondants méritaient à l’évidence une grande attention. Ils ont fait l’objet d’un suivi particulier de la part de l’IPSN, qui a notamment recommandé la réalisation d’un essai de validation en réel du dispositif de mesure du niveau d’eau dans la cuve avec la création d’une bulle de vapeur sous le couvercle de la cuve. Après un certain nombre de discussions sur les risques associés à un tel essai (notamment sur la tenue du joint du couvercle de la cuve à la vapeur), Électricité de France a réalisé un tel essai au mois d’août 1989, dans le réacteur n° 1 de la centrale nucléaire de Golfech (pendant les essais à chaud, en l’absence de cœur). Cet essai ainsi que la première campagne d’essais réalisés lors des essais à chaud du réacteur n° 1 de la centrale nucléaire de Penly ont mis en évidence différentes anomalies, dans diverses configurations du circuit primaire ainsi qu’en cas de perte de sources électriques. Elles ont conduit à des mesures correctives telles que des modifications de logiciels de contrôle-commande.

Cet exemple souligne l’importance de réaliser des essais fonctionnels aussi proches que possible des situations d’exploitation réelles envisageables.

Non-conformités de diaphragmes du circuit d’éventage
de l’enceinte de confinement

Comme cela a été indiqué au chapitre 17, après l’accident de Three Mile Island et au terme de différentes études, Électricité de France a, à partir de 1987, installé sur ses réacteurs un système (dispositif U5) permettant d’effectuer des rejets contrôlés et filtrés en cas d’accident de fusion du cœur de façon à :

–écrêter la pression dans l’enceinte de confinement,

–réduire d’au moins un facteur 10 la radioactivité des aérosols relâchés dans l’atmosphère,

–amener les gaz filtrés dans la cheminée du bâtiment des auxiliaires nucléaires (BAN) pour mesurer leur radioactivité avant leur dispersion dans l’environnement.

Il était prévu que ce dispositif ne serait utilisé qu’après un délai de l’ordre de 24 heures, permettant une certaine décroissance de la radioactivité à l’intérieur de l’enceinte de confinement.

Pour valider les dispositifs mis en place, Électricité de France a proposé un programme d’essais à réaliser sur les différents réacteurs du parc électronucléaire. Si ce programme prévoyait des essais partiels du dispositif sur site, il ne comportait ni essai d’ensemble, ni mesure de débit. L’ensemble des essais prévus ont effectivement été réalisés sur l’ensemble des sites en exploitation ou en phase de démarrage ; ils comportaient notamment :

–un essai des vannes motorisées d’isolement de la traversée de l’enceinte de confinement,

–l’épreuve de la tuyauterie du dispositif U5 sous pression d’air,

–un essai d’étanchéité du caisson du filtre.

D’autres essais ont été réalisés par ailleurs :

–un essai « tête de série » pour le réacteur n° 2 de la centrale nucléaire de Nogent-sur-Seine, pour mesurer la distribution des vitesses dans le caisson du filtre à sable et la perte de charge du caisson,

–pour tous les réacteurs, un essai de mise en service du système de conditionnement (préchauffage) en fonctionnement normal du filtre à sable grâce à une dérivation de la ventilation assurée par le système DVN.

Lors d’un essai mené à l’initiative de l’exploitant de la centrale nucléaire du Tricastin, au mois d’août 1990, il est apparu que le diaphragme placé dans la tuyauterie de décompression de l’enceinte de confinement du réacteur n° 1 n’était pas percé. Des investigations menées ensuite sur l’ensemble des réacteurs mettront en évidence d’autres anomalies : absence de diaphragme (présence d’une simple bague entretoise), alésage du diaphragme incorrect (20 mm au lieu de 76 mm), diaphragme non percé.

Ces anomalies de montage des diaphragmes n’ont été mises en évidence que fortuitement malgré les contrôles prévus lors des opérations de montage, de « récolement » et de mise en exploitation des installations. Les documents et procédures permettant d’éviter de telles anomalies existaient, mais ces documents n’étaient remplis que d’une manière plus ou moins complète et leur suivi s’est révélé insuffisant. Le dossier de système élémentaire (DSE) du dispositif U5 ne comportait pas de fiche signalétique du diaphragme. Les manques dans les informations données aux exécutants des opérations de montage et la prise en compte insuffisante des réserves émises par les différents intervenants expliquent en bonne partie les anomalies rencontrées. Les rapports de fin de fabrication des entreprises de montage sont apparus comme des documents formels trop succincts qui ne rendaient pas assez compte de la réalisation des travaux et des difficultés rencontrées. En particulier, ces documents auraient dû clairement préciser l’état des diaphragmes, les diamètres de perçage et être examinés attentivement par Électricité de France sur le site, afin de vérifier qu’ils comportaient bien l’ensemble des anomalies mises en évidence lors des montages.

À la suite de ces constatations, Électricité de France a été amené à préciser :

–les actions qu’il allait désormais entreprendre pour que, lors de la réception des circuits sur les sites, la conformité des caractéristiques des actionneurs et des orifices limiteurs de débit aux spécifications d’études soit formellement vérifiée, et que les réserves fassent faire l’objet d’un suivi et d’un contrôle avant le premier chargement de combustible ou le prochain rechargement du cœur,

–les modalités de passage des systèmes de la phase des montages à la phase des essais, de telle sorte que le procès-verbal correspondant atteste bien que les actionneurs et les dispositifs limiteurs de débit et de mesure sont conformes au GMC627 (ou à son équivalent), et que les réserves qui pourraient subsister soient clairement identifiées.

Par ailleurs, l’IPSN avait recommandé qu’Électricité de France examine la possibilité de réaliser un essai global du dispositif U5 à l’occasion des épreuves de l’enceinte de confinement, en installant un orifice restricteur de débit et un filtre absolu à titre provisoire dans l’enceinte de confinement de façon à éviter de polluer le sable des filtres. Électricité de France a en fait utilisé, pour quelques réacteurs, le dispositif U5 pour décomprimer l’enceinte de confinement après son épreuve de résistance et d’étanchéité, mais il a ensuite abandonné cette façon de faire à cause des inconvénients qu’elle présente, notamment :

–la nécessité de mettre en place une vanne provisoire pour l’essai et de remettre en place des fonds pleins ensuite,

–la nécessité de prévoir une membrane de rupture de protection ou de contournement du filtre pour l’essai périodique d’étanchéité globale de l’enceinte, pouvant constituer un point faible lors d’une éventuelle utilisation en situation accidentelle,

–la non-comptabilisation des rejets résultant de la dépressurisation de l’enceinte.

609.La « mise en service » est déclarée par l’électricien après les essais de démarrage et le raccordement au réseau électrique.

610.Auxquels sera attribuée a posteriori l’expression CP0 par référence aux contrats-programmes pluriannuels qui suivront.

611.Constat, observation qui ne correspond pas à ce qui est attendu. Cette notion est précisée au chapitre 29.

612.La notion d’EIS a été utilisée pour les 58 réacteurs mis en exploitation du parc électronucléaire. Depuis l’arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base (« arrêté INB »), la notion à utiliser est celle d’éléments importants pour la protection (EIP) : voir le paragraphe 2.2 du présent ouvrage. Par ailleurs, l’exploitant réalise ou fait réaliser des contrôles et essais des matériels, composants et systèmes concernant la production d’énergie (partie « conventionnelle » de l’installation).

613.Un système élémentaire est un regroupement d’équipements qui assurent une fonction commune, comme par exemple l’injection de sécurité, l’aspersion d’eau dans l’enceinte de confinement, la ventilation d’un bâtiment, etc.

614.Par exemple : … la pompe X assure le refroidissement avec un débit de x L/h… ou encore… l’ordre de fermeture de la vanne Y intervient x secondes après le franchissement du seuil S…

615.Cette notion a été précisée au paragraphe 7.4.3. Voir aussi le paragraphe 19.4.1.

616.International Reporting System for Operating Experience – voir le paragraphe 3.1.3.

617.Il s’agit par exemple de raccordements provisoires, « straps »…

618.Établissement des constructions et armes navales (devenu DCN, DCNS puis Naval Group en 2017).

619.Il est rappelé que PTR désigne le système de traitement et de refroidissement de l’eau de la piscine du réacteur et de l’eau de la piscine d’entreposage du combustible, DEG le système de distribution d’eau glacée, EAS le système d’aspersion d’eau dans l’enceinte de confinement.

620.Les circuits de pilotage de ces soupapes, utilisant l’eau du circuit primaire, comportent des robinets de très faible section de passage.

621.Ligne assurant un débit minimal dans la pompe lorsqu’elle est en fonctionnement.

622.Mise en température progressive effectuée au préalable à la mise en service à température nominale.

623.Un élément important pour la protection (EIP) passif est un équipement qui n’a pas à changer d’état pour remplir sa fonction (accumulateur, tuyauterie, supportage…).

624.Pour les pompes d’injection de sécurité à moyenne pression : modification de la géométrie des roues et de la volute d’aspiration, affutage des aubes.

625.Bâtiment des auxiliaires nucléaires, bâtiment des auxiliaires de sauvegarde, bâtiment du combustible, bâtiment de traitement des effluents.

626.Système (ou chaînes) de mesure de la radioactivité.

627.Fichier de gestion des matériels des centrales.

Chapitre 20

Les règles générales d’exploitation

La conception et la réalisation des installations ont une part essentielle dans la prévention d’incidents ou d’accidents mais les conditions d’exploitation et la confrontation permanente entre ce qui était prévu à la conception et ce qui est accessible à l’expérience quotidienne constituent un autre volet indispensable à la sûreté.

Les organismes de sûreté s’intéressent donc de très près à tout ce qui touche à l’exploitation, ce qui, comme pour la conception et la réalisation, ne décharge en rien l’exploitant de ses responsabilités. Celui-ci doit, en effet :

–prévenir les incidents en maintenant le niveau de sûreté de l’installation au niveau retenu à la conception, grâce notamment :

•au respect de « spécifications techniques » dans toutes les activités d’exploitation,

•au maintien et à la vérification de la disponibilité et de la fiabilité des matériels importants pour la sûreté par :

◦la réalisation d’essais périodiques,

◦l’entretien préventif ou curatif des équipements (on parle le plus souvent de maintenance − ce sujet est développé au chapitre 26) −,

◦leur requalification après intervention ;

–gérer, dans des conditions conformes aux hypothèses de conception, les incidents et accidents qui se produisent, grâce notamment :

•à la détection de tout écart dans les conditions d’exploitation par rapport au domaine autorisé,

•à l’établissement et à l’utilisation des procédures de conduite incidentelle ou accidentelle et à la préparation à la gestion de situations avec fusion du cœur,

•au plan d’urgence interne assurant l’organisation interne appropriée et les interfaces entre l’installation et les intervenants extérieurs dès que la situation est nettement perturbée ;

–chercher à améliorer le niveau de sûreté effectif :

•par la correction d’éventuels points faibles de la conception, de la réalisation ou de l’exploitation mis en évidence par l’expérience acquise ou toutes autres études de sûreté,

•par la prise en compte de l’évolution des objectifs de sûreté au fil du temps, des prescriptions de l’Autorité de sûreté nucléaire,

•par la dissémination des bonnes pratiques d’exploitation.

20.1.Les règles générales d’exploitation

Les études de sûreté menées lors de la conception d’une installation ou dans le cadre des réexamens périodiques permettent de définir des dispositions techniques et d’organisation propres à assurer le fonctionnement sûr de cette installation. Elles ne sont pas, pour autant, directement utilisables dans la vie quotidienne de l’exploitation de cette installation. Il faut les traduire sous une forme plus opérationnelle qui puisse servir de référence aux personnels d’exploitation qui interviennent, tant pour la conduite que pour les activités de contrôle et de maintenance de l’installation.

Les règles générales d’exploitation (RGE) vont permettre d’opérer cette transposition et le lien vers des documents directement opératoires.

Lors de la conception et de la construction des premières tranches du parc électronucléaire français, les règles générales d’exploitation faisaient partie des « rapports provisoires de sûreté » puis des « rapports définitifs de sûreté ». Dès 1973, il a été décidé d’en faire un document indépendant, plus facile à gérer et à mettre à jour que les rapports de sûreté. Les décrets d’autorisation de création des différentes tranches de 900 MWe, de 1 300 MWe et de 1 450 MWe ont prescrit que des propositions de règles générales d’exploitation accompagnent les rapports provisoires puis définitifs de sûreté et fassent l’objet d’une approbation du ou des ministres concernés lors de l’autorisation de chargement puis de l’autorisation de mise en service au sens du décret n° 63-1228 du 11 décembre 1963 modifié, relatif aux installations nucléaires (de base). Dans des modifications apportées à ce décret, il a été précisé que la transmission des premières propositions de RGE devait intervenir au moins six mois avant le premier chargement d’un réacteur en combustible. Ce décret a été abrogé par le décret n° 2007-1557 du 2 novembre 2007 qui reprend, dans leurs principes, les mêmes dispositions règlementaires. Des propositions de règles générales d’exploitation doivent être transmises à l’Autorité de sûreté nucléaire dans le dossier de demande d’autorisation de mise en service du réacteur, le délai d’instruction de cette demande étant fixé à une année. Ces règles générales d’exploitation portent sur la protection des intérêts visés à l’article L.593-1 du code de l’environnement : la sûreté nucléaire, la radioprotection, la prévention et la lutte contre les actes de malveillance, la santé et la salubrité publique et la protection de la nature et de l’environnement. Les dispositions visant à accompagner et à favoriser les actions de sécurité civile en cas d’accident font, quant à elles, l’objet des plans d’urgence internes (PUI).

Toute modification ultérieure de ces règles générales d’exploitation doit faire l’objet d’une déclaration à l’Autorité de sûreté nucléaire et de son approbation, ou, pour certaines d’entre elles, d’une autorisation par une instance de contrôle interne à l’exploitant présentant des garanties suffisantes de qualité, d’autonomie et de transparence.

20.1.1.Contenu global des règles générales d’exploitation

Dans les règles générales d’exploitation, un premier groupe de chapitres traite de l’organisation de l’exploitation (chapitre I), de l’organisation de la qualité en exploitation (chapitre II), des processus de gestion des documents de conduite (chapitre VIII). Il s’agit là de préalables à une exploitation sûre ; celle-ci suppose en effet des documents de conduite préétablis, utilisés par un personnel aux compétences et à la formation définies, agissant selon un partage de responsabilités clairement explicité.

Un deuxième groupe de chapitres traite de l’organisation de la radioprotection (chapitre IV) et des procédures de rejets d’effluents radioactifs (chapitre V). Ils s’appuient sur les textes règlementaires généraux relatifs à la radioprotection ainsi que sur les autorisations de rejets d’effluents radioactifs propres à chaque site.

On trouve ensuite les spécifications techniques d’exploitation déjà évoquées plus haut (STE, chapitre III) qui traitent du fonctionnement normal ou en mode « dégradé » de l’installation et définissent les conditions à respecter pour maintenir l’installation dans un état sûr, cohérent avec les études de sûreté à la conception.

Les programmes de contrôles et d’essais périodiques des systèmes (chapitre IX), ainsi que ceux des essais physiques du cœur (chapitre X) permettent de vérifier périodiquement le respect d’exigences sur lesquelles repose la démonstration de sûreté et de détecter une dégradation des performances des équipements de façon à prévenir leur défaillance.

Enfin, les règles générales d’exploitation définissent la conduite à tenir en cas d’incident ou d’accident (chapitre VI).

C’est à ces trois derniers ensembles que l’on s’intéressera le plus dans la suite de ce chapitre.

Il est à noter que seuls les chapitres III, VI, IX et X des règles générales d’exploitation font l’objet d’une approbation formelle par l’Autorité de sûreté nucléaire.

Le contenu des règles générales d’exploitation sera précisé à terme par une décision de l’Autorité de sûreté nucléaire (en cours de préparation) et sera vraisemblablement complété sur différents aspects (la maintenance, la prévention et la limitation des conséquences des agressions, les principes de conduite applicables en cas d’accident grave, la limitation des nuisances dues à l’exploitation du réacteur, les transports internes de matières dangereuses…).

20.1.2.Limites des règles générales d’exploitation

Les règles générales d’exploitation ne couvrent pas la protection de l’installation en tant qu’outil de production d’électricité. Toute règle qui n’est pas associée à la démonstration de sûreté est reportée dans d’autres documents d’exploitation ou d’organisation. Cela concerne, par exemple, des moyens permettant d’améliorer la disponibilité ou le rendement de l’installation.

Il est également à noter que les règles de contrôle et d’exploitation des équipements qui sont soumis à un référentiel règlementaire suffisamment précis ne sont pas introduites dans les règles générales d’exploitation. C’est notamment le cas des dispositions de contrôle des appareils à pression constitutifs du circuit primaire principal et du circuit secondaire principal, qui relèvent de la règlementation relative à ce qui est dorénavant désigné par ESPN (équipements sous pression nucléaires).

20.2.Les spécifications techniques d’exploitation

Les études de conception et de sûreté permettent de déterminer des limites dans lesquelles il convient de maintenir l’installation pour que, en cas d’incident ou d’accident, l’installation reste dans l’enveloppe des situations étudiées, pour lesquelles il a été vérifié que les critères techniques d’acceptation sont respectés. Pour les besoins de l’exploitation, ces limites sont traduites en domaines autorisés.

Il s’agit donc :

–de borner les domaines d’exploitation normale de l’installation pour que celle-ci soit maintenue à l’intérieur de limites qui assurent un bon comportement des barrières de confinement lors des incidents et des accidents retenus pour la conception et le dimensionnement des systèmes de protection et de sauvegarde,

–de prescrire la disponibilité appropriée des systèmes de contrôle, de protection et de sauvegarde dans tous les domaines autorisés du réacteur pour que ceux nécessaires à l’application des procédures de conduite incidentelle ou accidentelle soient effectivement disponibles, si nécessaire,

–de fixer la conduite à tenir lors de l’indisponibilité d’un équipement ou d’un système qui devrait normalement être disponible dans le domaine d’exploitation où se trouve l’installation ou en cas d’évolution anormale d’un paramètre important pour la sûreté.

Les spécifications techniques d’exploitation (STE) traduisent ces limites en termes directement utilisables pendant les différentes phases d’exploitation normale du réacteur628. Leur application stricte est de nature à faire en sorte que les structures, systèmes et composants importants pour la sûreté restent dans un état conforme aux exigences qui leur sont attribuées et à éviter une dégradation importante du cœur du réacteur en cas d’accident.

20.2.1.Contenu des spécifications techniques d’exploitation

Les spécifications techniques d’exploitation sont constituées de trois sections :

–la section I est un document standard, applicable à un type de réacteurs (palier…) ;

–la section II regroupe des compléments au document standard, spécifiques à un site ou à un réacteur ;

–la section III regroupe des amendements au document standard, applicable à un type de réacteurs.

Neuf chapitres composent le document standard.

Le premier chapitre, intitulé « Généralités » (GEN), regroupe les éléments de doctrine ayant servi à l’élaboration des spécifications techniques d’exploitation, rappelle leur rôle, définit les domaines d’exploitation autorisés du réacteur et les règles à appliquer en cas d’apparition d’un (ou plusieurs) événement(s).

Les six chapitres suivants sont consacrés aux prescriptions relatives aux différents domaines d’exploitation, depuis l’état dans lequel le réacteur est en production d’électricité jusqu’à l’état correspondant au réacteur avec le cœur complètement déchargé.

Le huitième chapitre, intitulé « Définitions » (DEF), précise la définition de quelques termes utilisés dans le document standard des spécifications techniques d’exploitation.

Le neuvième chapitre, intitulé « Incident réseau généralisé » (IRG), regroupe des variantes aux prescriptions des six domaines d’exploitation, applicables uniquement dans la situation particulière d’un incident généralisé sur le réseau électrique.

Les spécifications techniques d’exploitation sont écrites de façon à ce que les prescriptions à respecter dans un domaine d’exploitation soient autoportantes. Pour chaque domaine d’exploitation, les prescriptions concernent :

–la maîtrise de la réactivité,

–le refroidissement du combustible,

–le confinement des produits radioactifs,

–les fonctions transverses et supports629.

Par ailleurs, les spécifications techniques d’exploitation ont introduit la notion de fonction chaudière d’exploitation normale (FCEN) associée à la stratégie des procédures de conduite accidentelle suivant l’approche par états (APE), en définissant une liste de fonctions dont la perte ne permet plus le maintien en l’état ou le « repli » de la chaudière par les procédures d’exploitation normale et qui nécessite, pour au moins un domaine d’exploitation, l’utilisation de moyens de substitution de l’APE pour opérer un « repli » du réacteur dans un état sûr.

Plusieurs des notions utilisées dans les spécifications techniques d’exploitation méritent d’être explicitées.

20.2.1.1.Domaines d’exploitation et états standards

Six domaines d’exploitation d’un réacteur à eau sous pression ont été définis :

–le réacteur en production (acronyme RP),

–le réacteur en arrêt normal refroidi par les générateurs de vapeur (AN/GV),

–le réacteur en arrêt normal refroidi par le circuit RRA (AN/RRA),

–le réacteur en arrêt pour intervention (API),

–le réacteur en arrêt pour rechargement du combustible dans le cœur (APR),

–le réacteur complètement déchargé (RCD).

Pour chaque domaine d’exploitation, les STE indiquent les équipements et les fonctions supports qui doivent être disponibles pour que les fonctions fondamentales de sûreté soient assurées, ainsi que la conduite à tenir en cas d’indisponibilité d’un équipement.

Les limites de ces domaines sont exprimées sous la forme d’une combinaison de conditions relatives au niveau de puissance du réacteur, à la réactivité du cœur et aux moyens de la maîtriser (grappes absorbantes, concentration de bore), aux valeurs de la pression et de la température moyenne du circuit primaire et, éventuellement, au niveau de l’eau dans le circuit primaire.

Les domaines d’exploitation regroupent les « états standards » d’un réacteur (qui sont les domaines d’études de conception et de fonctionnement correspondant à des limites de pression et de température du circuit primaire), tenant compte de conditions plus précises comme l’état d’ouverture du circuit primaire : ces états standards sont (les valeurs numériques n’étant données qu’à titre indicatif pour le cas des réacteurs de 1 300 MWe) :

1.l’arrêt à froid pour rechargement (arrêt pour rechargement − APR)630 ; dans cet état, la piscine du réacteur est pleine d’eau borée à 2 385 ppm de bore, le couvercle de la cuve est retiré ; le circuit primaire est à la pression atmosphérique et sa température comprise entre 10 et 60 °C ; la puissance résiduelle du réacteur est évacuée par le circuit RRA ;

2.l’arrêt à froid pour intervention (API) avec le circuit primaire suffisamment ouvert, cœur chargé ; les conditions de pression et de température sont les mêmes que pour l’état précédent mais la piscine du réacteur n’est pas pleine d’eau ; dans cet état, le niveau d’eau dans le circuit primaire peut être abaissé jusqu’à un niveau proche du plan médian des tuyauteries primaires ; il permet notamment la pose ou la dépose d’obturateurs (ou tapes) à la liaison entre les boucles primaires et les boîtes à eau des générateurs de vapeur631 ;

3.l’arrêt à froid pour intervention (API) avec le circuit primaire entrouvert ; dans cet état, le circuit primaire est à la pression de l’atmosphère de l’enceinte et peut être vidangé jusqu’à un niveau proche du plan médian des tuyauteries primaires (pour ensuite sa mise sous vide à 200 millibars absolus) ;

4.l’arrêt à froid pour intervention (API), circuit primaire fermé à une pression inférieure à cinq bars absolus ;

5.l’arrêt à froid normal (AN/RRA) ; dans cet état, le circuit primaire est fermé, plein d’eau, sa pression peut aller jusqu’à 31 bars absolus et sa température jusqu’à 90 °C ;

6.l’arrêt intermédiaire avec un refroidissement par le circuit RRA (AN/RRA) et avec l’eau du circuit primaire « monophasique » ; dans cet état, la température de l’eau du circuit primaire peut aller jusqu’à 180 °C et sa pression jusqu’à 31 bars absolus ; en l’absence d’un matelas de vapeur dans le pressuriseur, la maîtrise de la pression est assurée par le circuit de contrôle chimique et volumique (RCV) ; le circuit primaire est protégé des surpressions par les soupapes du circuit RRA ;

7.l’arrêt intermédiaire avec l’eau du circuit primaire « diphasique » aux conditions (de raccordement) du RRA (AN/RRA) ; cet état se distingue du précédent par la présence de vapeur dans le pressuriseur qui contrôle la pression ; la chaudière peut être refroidie soit par le circuit RRA, soit par un ou plusieurs générateurs de vapeur ;

8.l’arrêt intermédiaire avec l’eau du circuit primaire « diphasique », la puissance résiduelle étant évacuée par les générateurs de vapeur (GV), circuit RRA isolé (arrêt normal sur GV − AN/GV), la température du circuit primaire restant compatible avec la connexion du circuit RRA ;

9.l’arrêt intermédiaire avec l’eau du circuit primaire « diphasique » et avec les générateurs de vapeur (AN/GV) ; cet état est caractérisé par une température moyenne de l’eau du circuit primaire comprise entre 160 °C et 295 °C et par sa pression entre 27 et 139 bars absolus, le couple pression-température moyenne restant à l’intérieur d’un domaine défini (voir le paragraphe 20.2.2) ;

10.l’arrêt à chaud (à puissance nulle, AN/GV) ; dans cet état, le réacteur est sous-critique ; les conditions de pression et de température moyenne du circuit primaire s’étendent de celles de l’état précédent à celles qui permettent le démarrage du réacteur ;

11.l’approche critique avant la divergence (relève du domaine « réacteur en production » − RP) ; dans cet état, le bore présent dans l’eau du circuit primaire est dilué jusqu’à l’obtention de la concentration en acide borique permettant d’atteindre la criticité ;

12.l’attente à chaud (RP) ; cet état correspond aux conditions de démarrage du réacteur de la divergence jusqu’à une puissance inférieure ou égale à 2 % de la puissance nominale ; le réacteur est critique ;

13.le fonctionnement en puissance (RP), celle-ci étant comprise entre 2 % et 100 % de la puissance nominale.

20.2.1.2.Prescriptions et indisponibilités

Une spécification sur les positions des grappes de contrôle, une liste de matériels ou de systèmes requis pour assurer la sûreté, des spécifications chimiques pour les différents fluides… sont associées à chaque domaine d’exploitation, voire à chaque état standard.

Chaque chapitre des spécifications techniques d’exploitation relatif à l’un des six domaines d’exploitation est composé de deux parties : une partie prescriptive pour chaque fonction de sûreté et une deuxième partie précisant, sous forme de tableaux, la conduite à tenir en cas de non-respect de l’une des prescriptions de la première partie. Ces écarts sont appelés événements et sont représentatifs de l’indisponibilité partielle ou totale d’une fonction de sûreté. Lorsqu’un matériel ou un système qui assure une fonction de sûreté prescrite par les spécifications techniques d’exploitation devient indisponible ou est découvert indisponible, les conditions de fonctionnement du réacteur sont dégradées et la conduite à tenir définie par les spécifications techniques d’exploitation vise à réduire les risques qui en résultent. À cet effet, les spécifications techniques d’exploitation peuvent imposer le repli du réacteur dans un état standard jugé plus sûr.

Une indisponibilité peut être :

–fortuite si elle résulte de la découverte inopinée d’une anomalie de fonctionnement de l’équipement concerné, détectée par un des moyens à la disposition de l’exploitant,

–programmée au titre d’une règle ou d’une exigence d’exploitation (réalisation d’opérations de maintenance préventive ou d’essais périodiques),

–autre, par exemple occasionnée par la réalisation (voire la requalification) d’une modification matérielle.

20.2.1.3.États et délais de repli

Un état de repli est un état qu’il est possible de rejoindre et dans lequel l’installation peut être maintenue dans des conditions de sûreté acceptables, compte tenu de l’indisponibilité et de l’état initial du réacteur.

Cette notion ne s’applique évidemment pas aux indisponibilités qui provoquent directement l’arrêt du réacteur. À titre d’exemple, une indisponibilité de l’alimentation électrique des mécanismes des grappes absorbantes provoque la chute gravitaire de celles-ci puisqu’elles ne sont plus retenues.

À l’égard des indisponibilités des équipements importants pour la sûreté, les spécifications techniques d’exploitation définissent un état de repli parmi les états standards et un délai d’amorçage du repli qui tient compte, en particulier, d’une estimation de l’augmentation de risque due à l’indisponibilité.

Deux aspects interviennent dans le choix de l’état de repli :

–il existe un ou des états standards pour lesquels le matériel ou le système défaillant n’est plus nécessaire ou, a minima, a moins d’importance pour la sûreté ;

–il est possible de passer de l’état initial à l’état de repli en utilisant les procédures normales d’exploitation. Le repli doit être réalisé en respectant les durées maximales des transitoires de repli, indiquées au chapitre GEN des spécifications techniques d’exploitation.

Les délais d’amorçage d’un repli ont été déterminés de façon pragmatique, en tenant compte de deux éléments complémentaires :

–le délai autorisé vise à permettre une intervention minimale de durée réaliste en vue de rétablir la situation. Si, compte tenu du risque engendré, le délai ne permet pas une intervention, il est préférable de procéder au repli sans délai ;

–la durée autorisée de maintien en fonctionnement avec une indisponibilité ne doit pas être trop longue par rapport aux délais réalistes d’intervention, pour inciter l’exploitant à ne pas laisser le réacteur dans un état dégradé.

À cet égard, les études probabilistes de sûreté permettent d’apporter un éclairage quant à la meilleure conduite à tenir, en termes d’actions à mettre en œuvre et de délai maximal autorisé pour leur réalisation (voir le paragraphe 14.5.3.2).

Un exemple de délais et d’états de repli est donné ci-après en montrant leurs relations avec la conception des installations.

Le système d’alimentation de secours en eau des générateurs de vapeur (ASG) des réacteurs de 1 300 MWe est doté de deux motopompes et de deux turbopompes. L’indisponibilité fortuite d’une quelconque de ces pompes est tolérée, réacteur en puissance, pendant trois jours et l’état de repli est l’arrêt intermédiaire « diphasique » aux conditions du RRA, circuit RRA connecté.

Pour les réacteurs de 900 MWe pour lesquelles le système ASG est doté de deux motopompes mais d’une seule turbopompe, l’indisponibilité d’une motopompe est tolérée trois jours comme dans le cas précédent alors que celle de la turbopompe ne l’est que 24 heures. L’état de repli est le même.

20.2.1.4.Notions d’événements et de groupes d’événements

Les événements sont classés en deux groupes, selon l’importance de leurs conséquences pour la sûreté.

Les événements de groupe 1 concernent les écarts qui mettent en cause le respect des exigences et des hypothèses d’étude de la démonstration de sûreté. Il est interdit de provoquer volontairement un événement de groupe 1, en dehors de ceux qui sont clairement identifiés et autorisés dans les conditions limites (voir plus loin) des spécifications techniques d’exploitation et dans les règles d’essais des chapitres IX et X. Un exploitant ne peut changer l’état d’exploitation si, ce faisant, il génère un événement de groupe 1. La divergence du réacteur avec un événement de groupe 1 en cours est interdite.

La conduite à tenir associée à un événement de groupe 1 impose généralement l’amorçage du repli du réacteur dans un délai allant de une heure à sept jours.

Le groupe 2 regroupe les écarts qui défiabilisent une fonction importante pour la sûreté, sans remise en cause directe de la démonstration de sûreté. À ce titre, il est acceptable de provoquer volontairement un événement du groupe 2, par exemple pour réaliser une opération de maintenance préventive ou un essai périodique, sous réserve d’appliquer les mêmes règles que celles qui sont relatives à un événement fortuit (respect des délais de réparation, application de dispositions palliatives, respect des règles de cumul d’événements – voir le paragraphe suivant).

Un événement « disparaît » après la réparation et la requalification satisfaisante du matériel ou système concerné ou lorsque le réacteur est dans un état où la fonction de sûreté indisponible n’est plus requise.

L’apport des études probabilistes de sûreté pour la définition des règles à adopter à l’égard des événements des groupes 1 et 2 est abordé au paragraphe 14.5.3.2 du présent ouvrage.

20.2.1.5.Cumuls d’indisponibilités

N’ont été évoquées plus haut que des indisponibilités individuelles. Il se peut aussi que plusieurs indisponibilités soient simultanées. Les spécifications techniques d’exploitation indiquent également la conduite à tenir dans de tels cas.

De plus, des règles ont été établies à l’égard des cumuls d’événements d’un même groupe (il n’y a pas de notion de cumul d’événements de groupes différents). Pour le groupe 1, un cumul d’événements diminue le délai d’amorçage du repli. En cas de cumul de plus de deux événements du groupe 1 affectant des systèmes élémentaires différents, le repli du réacteur doit être amorcé sous une heure. Le réacteur doit être conduit à l’état de repli correspondant à l’un des événements, qui est le plus proche de l’arrêt pour intervention (API). Pour le groupe 2, le repli du réacteur, ou un délai de réparation plus court, sont prescrits à partir d’un certain nombre d’événements.

À titre d’exemple, si la seule défaillance d’une pompe de l’alimentation de secours des générateurs de vapeur d’un réacteur de 1 300 MWe est tolérée pendant trois jours, réacteur en puissance, cette défaillance ne peut pas être cumulée plus de 24 heures avec la défaillance d’une pompe d’injection de sécurité à moyenne ou à basse pression.

20.2.1.6.Notions de condition limite et de prescription particulière

Des prescriptions particulières et des conditions limites ont été introduites dans les spécifications techniques d’exploitation pour certaines situations, en complément des prescriptions générales.

Une condition limite permet le fonctionnement du réacteur alors qu’il n’est pas en conformité stricte avec une prescription générale. Cette condition limite ne doit être utilisée que pendant le temps strictement nécessaire à la réalisation d’impératifs d’exploitation (conduite, maintenance, contrôles). Aux conditions limites peuvent être associées des dispositions palliatives à respecter. Le recours à une condition limite est pris en compte comme un événement de groupe 1.

Une prescription particulière autorise aussi le fonctionnement du réacteur alors qu’il n’est pas en conformité stricte avec une prescription générale, mais, dans ce cas, il s’agit d’une variante pour laquelle la démonstration de sûreté est assurée. À une prescription particulière peuvent être associées des conditions d’application à respecter.

20.2.2.Domaine de pression
et de température moyenne du circuit primaire

La figure 20.1 illustre les limites du domaine de pression et de température moyenne du circuit primaire dans les différents états de la chaudière (ces limites délimitent ce qui est communément appelé « la chaussette »). Les justifications indiquées montrent comment se fait la transposition des choix de conception en limites d’un domaine autorisé.

Le maintien du couple pression-température moyenne du circuit primaire dans le domaine défini garantit le respect des limites de sécurité associées à la deuxième barrière de confinement, le circuit primaire.

En particulier :

–le respect de la limite [Psat, (Tsat – 30 °C)] − voir les courbes de saturation représentées sur la figure 20.1 − laisse une plage de fonctionnement suffisante pour le pressuriseur et évite l’ébullition dans le reste du circuit primaire ;

–le respect de la limite [Psat, (Tsat – 110 °C)] restreint la différence maximale de température entre le pressuriseur et la branche chaude du circuit primaire et donc la fatigue du pressuriseur et de la ligne d’expansion qui relie le pressuriseur à l’une des branches chaudes ; les mouvements d’eau dans cette ligne sont, en effet, nombreux lors des passages entre arrêt à froid et arrêt à chaud et lors des transitoires de puissance ;

–le respect de la limite [(Psat + 110 bars), Tsat] permet d’éviter que la différence de pression entre le circuit primaire et le circuit secondaire excède 110 bars, valeur maximale retenue pour la conception des générateurs de vapeur ;

–le respect de la limite inférieure de température (160 °C) de l’état d’arrêt intermédiaire diphasique avec les générateurs de vapeur permet de conserver une marge par rapport à la valeur de la NDTT632 du métal de la cuve en fin de vie pour une pression de 172,3 bars (seuil d’ouverture des soupapes du pressuriseur). En deçà de cette température, le refroidissement et la protection du circuit primaire contre les surpressions doivent être assurés par le circuit de refroidissement du réacteur à l’arrêt (RRA) ;

–la limite inférieure de température (120 °C) de l’état intermédiaire diphasique aux conditions de raccordement du RRA est une valeur en dessous de laquelle le « matelas de vapeur » du pressuriseur ne doit pas être maintenu ; cette limite provient des bases de conception de la ligne d’expansion du pressuriseur.

D’autres valeurs de pression ou de température ont pour origine des limites technologiques dont les justifications résumées sont les suivantes :

–il ne faut pas connecter le circuit RRA au circuit primaire au-dessus de 31 bars absolus afin de conserver une marge suffisante par rapport au seuil de tarage des soupapes de sûreté de ce circuit ;

–les pompes primaires ne peuvent pas être maintenues en service en dessous de 25 bars (cette valeur est de 27 bars pour les températures de l’eau primaire supérieures à 160 °C) ;

–le fonctionnement satisfaisant des mécanismes des grappes absorbantes n’est pas garanti en dessous de 4,5 bars absolus ;

–la cristallisation de l’acide borique est évitée avec une marge suffisante si la température de l’eau est supérieure à 10 °C pour une solution à 2 385 ppm de bore ;

–le fonctionnement d’une au moins des pompes primaires n’est plus nécessaire en dessous de 70 °C ;

–90 °C est la température maximale permettant d’assurer l’éventage du circuit primaire sans risque de vaporisation, après un arrêt pour rechargement ou pour intervention.

Figure 20.1. Domaines de pression et de température moyenne (1 300 MWe). IRSN.

20.2.3.Évolution des spécifications techniques d’exploitation

Les réacteurs nucléaires à eau sous pression français ont, au début du programme électronucléaire, été exploités avec une adaptation des spécifications techniques fournies par le bailleur de licence Westinghouse. Elles ne concernaient que le fonctionnement en puissance ; seuls étaient traités les systèmes de protection et de sauvegarde.

La conduite à tenir en cas d’indisponibilité de matériel et la définition d’états de repli ont été étudiées après l’accident de Three Mile Island.

L’expérience d’exploitation, tant en France qu’à l’étranger, a ensuite montré que la sûreté dans les situations d’arrêt nécessitait une étude systématique des besoins en équipements disponibles dans ces situations. Ces études ont conduit à l’adoption, en 1986, de spécifications techniques relatives aux états pour lesquels la température du fluide primaire est inférieure à 90 °C. Cette démarche a impliqué de définir une liste minimale d’équipements dont la disponibilité est nécessaire pour garantir la sûreté du réacteur tout en rendant possible la maintenance des équipements.

Les études relatives à la conduite dans les situations incidentelles et accidentelles ont aussi conduit à étendre le champ couvert par les spécifications techniques d’exploitation aux dispositifs de mesure nécessaires au diagnostic de ces situations et au choix des procédures de conduite appropriées.

Des spécifications ont également été établies pour des systèmes annexes comme ceux de ventilation, de protection contre l’incendie et de surveillance de la radioactivité. Il est en effet important que des systèmes qui contribuent, même de façon moins directe, à la sûreté de l’installation ne puissent pas rester indisponibles sans limitation de durée.

Le retour d’expérience et les études probabilistes de sûreté ont ultérieurement conduit à prendre également en compte des défaillances multiples (voir le chapitre 13 relatif au « domaine complémentaire »), en considérant qu’elles peuvent survenir non seulement lorsque le réacteur fonctionne en puissance mais aussi dans les autres états du réacteur. Des spécifications techniques d’exploitation ont alors été définies pour des équipements considérés comme nécessaires à la gestion de telles situations.

Le « référentiel » relatif aux accidents avec fusion du cœur, situations prises en compte pour la conception du réacteur EPR, a été décliné dans les STE du réacteur EPR Flamanville 3. Au fur et à mesure des réexamens périodiques, les STE des réacteurs de 900 MWe, de 1 300 MWe et de 1 450 MWe intègrent ce référentiel ; les premiers réacteurs qui en ont bénéficié sont ceux de 1 300 MWe (à l’occasion de leurs VD3), suivis de ceux de 1 450 MWe (VD2), puis ceux de 900 MWe dans le cadre de leurs VD4.

Le réexamen périodique associé aux VD4 des réacteurs de 900 MWe est également l’occasion de commencer l’intégration des agressions dans leurs STE, qui a également été réalisée pour le réacteur EPR Flamanville 3. Les réexamens périodiques associés aux VD3 des réacteurs de 1 300 MWe et ceux associés aux VD2 des réacteurs de 1 450 MWe ont permis l’introduction partielle dans les STE d’éléments concernant les agressions.

Lorsque surviennent des situations pour lesquelles il apparaît que les STE ne peuvent pas être respectées ou qu’elles pourraient conduire à un état jugé défavorable pour la sûreté, EDF effectue une modification des spécifications techniques d’exploitation, qu’il déclare à l’Autorité de sûreté nucléaire. De telles modifications sont l’occasion de détecter des rédactions ambiguës ou inapplicables, qu’il faut alors corriger, mais aussi des cas où c’est le mode d’exploitation ou l’installation qu’il faut modifier pour respecter un principe établi par les spécifications techniques qu’il n’apparaît pas souhaitable de modifier.

Pour permettre aux personnels d’exploitation d’avoir une bonne connaissance des spécifications techniques d’exploitation, il est toutefois souhaitable que celles-ci aient une stabilité suffisante. Ainsi, même si la prise en compte des évolutions des « référentiels » de sûreté dans le cadre ou à l’issue des réexamens périodiques ainsi que dans le cadre du retour d’expérience de l’exploitation des réacteurs conduit à des amendements réguliers ou occasionnels des documents standards des différents paliers, ceux-ci ne modifient ni l’ergonomie du document, ni la démarche de transcription de la démonstration de sûreté dans les STE.

20.3.Essais initiaux et essais périodiques

Les essais de démarrage d’un réacteur nucléaire (voir le chapitre 19) constituent une phase très importante de préparation à son exploitation future ; outre la validation des choix de conception, ces essais contribuent à la mise au point des règles générales d’exploitation et à la formation du personnel.

Les essais périodiques des équipements importants pour la sûreté contribuent à la surveillance de la disponibilité de ces équipements et permet de prévenir leur défaillance.

Les règles d’essais périodiques des éléments importants pour la protection en matière de sûreté nucléaire (désignés par l’acronyme EIPS) constituent le chapitre IX des règles générales d’exploitation. Seuls les EIPS qui sont soumis à une règlementation de contrôle précise et suffisante et ceux qui sont sollicités de manière certaine selon une période suffisante pendant la conduite normale (dans des conditions comparables à celles des situations incidentelles ou accidentelles) et surveillés par des moyens qui garantissent la détection rapide d’un écart ne font pas l’objet de programmes d’essais périodiques.

Le chapitre IX des règles générales d’exploitation comporte une section qui définit l’objectif général des essais périodiques, leur champ d’application, les principes à observer pour assurer leur représentativité, les principes de prise en compte des incertitudes de mesure ainsi que les conditions de satisfaction d’un essai et de traitement des écarts détectés.

Les essais périodiques contribuent à apporter des assurances sur :

–l’absence d’évolution défavorable des caractéristiques du matériel ou du système concerné par rapport à celles qui ont été retenues lors de leur conception,

–le respect des hypothèses retenues pour les études d’accident (les valeurs retenues sont souvent différentes des valeurs nominales de fonctionnement),

–la disponibilité des matériels et des systèmes qui permettent de prévenir, de maîtriser ou de limiter les conséquences d’un accident.

Chaque fonction importante pour la sûreté nucléaire fait l’objet d’une analyse qui vise à déterminer de manière exhaustive l’ensemble des contrôles à mener pour obtenir une garantie satisfaisante de la disponibilité des équipements dont la capacité fonctionnelle est nécessaire. Cette analyse doit assurer la cohérence entre les premiers essais de vérification de la conformité faits au cours de la construction et du démarrage du réacteur ou lors des modifications ultérieures de l’installation et les essais périodiques prévus pour assurer le maintien de ces caractéristiques dans le temps.

Pour un système élémentaire, cette analyse est traduite en une règle d’essais périodiques qui précise les conditions de réalisation dont dépendent la représentativité des essais, les critères à respecter (qualitatifs ou quantitatifs) et la période entre deux essais identiques.

Si l’exploitant ne peut pas réaliser certains essais périodiques dans des conditions compatibles avec les STE, la mise en application du chapitre IX des règles générales d’exploitation, soumis à l’approbation de l’Autorité de sûreté nucléaire, a valeur de modification générique des spécifications techniques d’exploitation lors de ces essais.

Les gammes d’essais, qui sont les documents directement utilisés par ceux qui sont chargés de réaliser les essais périodiques, sont rédigées par le personnel des centrales à partir des règles d’essais, en tenant compte des particularités de chaque installation. Chaque intervenant est muni de son propre document sur lequel il note les résultats et qui sert de compte rendu d’essai.

Les règles d’essais périodiques doivent être régulièrement révisées en tenant compte des modifications de l’installation et à la lumière du retour d’expérience ; l’expérience de construction, de mise en service et d’exploitation est en effet une source d’informations à exploiter autant que nécessaire ou opportun. Cette expérience peut en effet montrer que :

–la fréquence de défaillance constatée par les contrôles et essais est plus importante que prévu ou que des pannes se produisent à l’occasion de transitoires ; la fréquence des essais périodiques peut alors être adaptée en conséquence ;

–des essais ne sont pas réalisés dans des conditions suffisantes de représentativité ; les modalités des essais sont alors modifiées ; c’est ce qui a été fait, par exemple, pour les essais des turbopompes de l’alimentation de secours en eau des générateurs de vapeur des réacteurs de 900 MWe ;

–la difficulté de certains tests manuels est à l’origine d’incidents, comme cela a été le cas pour certains tests du système de protection des réacteurs de 900 MWe ; un automate programmé a été étudié, testé et mis en place dans ces réacteurs ;

–des essais trop fréquents ou effectués dans des conditions trop sévères sont à l’origine de dégradations et d’un vieillissement prématuré de matériels ; les programmes sont alors modifiés en conséquence. L’exemple le plus caractéristique concerne les groupes électrogènes à moteur diesel que des démarrages rapides inutiles « fatiguaient » ; des conditions particulières d’essai ont été définies, qui ne nécessitent qu’un démarrage « doux » des groupes électrogènes, l’ordre correspondant s’effaçant automatiquement en cas de sollicitation réelle ; cet effacement automatique fait lui-même l’objet d’essais ;

–des essais d’endurance réalisés en usine par les constructeurs ne sont pas représentatifs des conditions d’exploitation sur les sites et de l’influence du reste du circuit ;

–des incertitudes de mesure ne sont pas prises en compte de façon satisfaisante dans les essais périodiques. À ce sujet, les règles d’essais ont évolué de façon à prendre systématiquement en compte les incertitudes des mesures réalisées avec des capteurs d’exploitation. Pour les mesures réalisées avec une instrumentation particulière d’essai, EDF a rédigé des guides d’aide à la prise en compte des incertitudes.

De manière générale, chaque fois que les conditions d’un essai périodique nécessitent de modifier l’état d’un matériel ou d’un système, des précautions particulières s’imposent. Il convient en particulier de vérifier que les moyens provisoires mis en place pour le déroulement de l’essai et susceptibles de perturber ou d’empêcher le bon fonctionnement de systèmes de protection ou de sauvegarde qui ne fonctionnent qu’à la demande ont tous été retirés.

20.4.Les procédures de conduite incidentelle
et accidentelle

La conduite à tenir en cas d’incident ou d’accident est décrite, dans les principes, au chapitre VI des règles générales d’exploitation.

Les stratégies et pratiques de conduite à mettre en œuvre (figure 20.2) en situation incidentelle ou accidentelle (sous l’appellation générique de procédures) sont développées dans différents documents mis à la disposition des équipes de conduite. Cette répartition est l’une des leçons qui fut tirée de l’accident de Three Mile Island.

Le premier document, dénommé règle de conduite, est un document à caractère stratégique, justificatif et pédagogique, utilisé pendant les périodes de formation.

Le second, qui constitue la consigne de conduite de référence, est un document qui assure un intermédiaire entre la règle de conduite et le troisième document qui est la consigne de conduite de tranche, seule utilisée en temps réel en cas d’incident ou d’accident. La consigne de conduite de référence est rédigée à partir de la règle de conduite et détaille les actions à mener pour l’accomplissement de la stratégie retenue. La consigne de conduite propre à chaque tranche tient compte des spécificités de celle-ci (repérage des matériels, état des modifications, cotes particulières…). Une directive particulière interne à l’exploitant fixe les limites des différences acceptables entre consignes de conduite de référence et consignes de conduite des tranches ; en particulier, la stratégie de conduite ne peut pas être modifiée localement.

Les consignes de conduite de référence ont fait l’objet de nombreux essais sur simulateurs en vue d’améliorer leur présentation et de réduire les risques d’erreurs.

Figure 20.2. Organisation des documents de conduite incidentelle ou accidentelle. IRSN.

Dans les réacteurs français (jusques et y compris ceux du palier N4), chaque opérateur dispose en salle de commande d’un document propre à sa fonction (conduite du cœur et du circuit primaire, conduite de la partie secondaire). Le superviseur (voir le paragraphe 25.3.1) dispose lui aussi d’un document particulier qui lui permet de suivre les actions des opérateurs et d’assurer leur coordination.

Lors de l’application d’une procédure de conduite incidentelle ou accidentelle, le chef d’exploitation, puis l’ingénieur de sûreté, suivent en permanence l’état de la chaudière selon une procédure particulière. Ils assurent ainsi une diversification pour le diagnostic et le suivi de l’efficacité des mesures prises.

Les études de conception du réacteur EPR ont conduit EDF à explorer une évolution de l’équipe de conduite. Pour le réacteur Flamanville 3, il avait envisagé :

–une conduite dans les situations incidentelles ou accidentelles identique à celle qui est décrite ci-dessus,

–pour le fonctionnement normal, qu’un seul opérateur (opérateur « action ») soit en charge du cœur, du circuit primaire et du circuit secondaire, l’autre opérateur surveillant l’état de l’installation et les activités en salle de commande (opérateur « stratégie »).

Toutefois, les campagnes de validation qu’il a réalisées sur un simulateur pleine échelle l’ont conduit, au début des années 2010, à abandonner ce choix pour reconduire les dispositions adoptées pour les réacteurs précédents (voir le paragraphe 25.3).

Dans les procédures de conduite, les conditions de fonctionnement automatique du système de protection et de mise en service des systèmes de sauvegarde étant celles des études d’incidents et d’accidents du rapport de sûreté, les actions demandées à court terme aux opérateurs doivent elles-mêmes être en accord avec ces études.

À la suite de l’accident de Three Mile Island, toutes les procédures ont été reprises par EDF,

–en considérant la gestion de l’accident sur une durée beaucoup plus longue,

–sur la base d’études physiques réalistes (il est rappelé ici que les études du rapport de sûreté sont réalisées avec des hypothèses conservatives),

–en recherchant la stratégie de conduite la plus adaptée à moyen et à long termes,

–en veillant à l’ergonomie des documents.

La mise au point d’une procédure de conduite nécessite d’examiner soigneusement de multiples aspects : le domaine couvert par la procédure, les symptômes et les informations permettant le choix des stratégies de conduite les mieux adaptées, les interfaces avec les documents de conduite des parties non affectées de l’installation, la liste exhaustive des équipements et des moyens d’information nécessaires pour l’application de la procédure, leur qualification y compris leur gamme de mesure et leur précision.

Cet examen doit notamment conduire l’exploitant à considérer différentes parties des règles générales d’exploitation. Un équipement nécessaire pour l’application d’une procédure doit, en effet, faire partie des équipements disponibles dans l’état initial de la tranche correspondant à l’accident (conformément aux spécifications techniques d’exploitation), avoir les caractéristiques et, notamment, la précision et la fiabilité attendues (essais périodiques).

On peut donner ici deux exemples, déjà anciens, d’évolution des procédures.

Le premier concerne la stratégie de conduite événementielle en cas de rupture d’un tube de générateur de vapeur. Initialement, la baisse de la pression dans le circuit primaire était obtenue par refroidissement du fluide primaire au moyen des générateurs de vapeur sains, associé à l’ouverture volontaire de la décharge du pressuriseur. Les vannes à ressort alors utilisées pour cette décharge présentant un risque non négligeable de coincement en position ouverte, cette ouverture volontaire a été supprimée, la baisse de pression n’étant plus que le résultat du refroidissement du fluide primaire. Le remplacement ultérieur des vannes à ressort par des tandems SEBIMTM qui ne présentent pas le même risque de rester en position ouverte n’a pas pour autant conduit à abandonner cette stratégie de conduite qui donne satisfaction.

Le deuxième concerne les conséquences pour la conduite accidentelle de la faible précision du dispositif de mesure analogique du niveau d’eau dans la cuve lorsque ce niveau est très faible (incertitude de l’ordre de 30 % au lieu des 12 % escomptés) ; les conditions d’arrêt des pompes primaires dans ces conditions ont dû être modifiées.

628.Elles ne s’appliquent donc pas au fonctionnement incidentel ou accidentel pour lequel la sûreté est garantie par le respect de procédures de conduite dédiées.

629.Les fonctions transverses et supports correspondent aux matériels et systèmes qui fournissent les fluides nécessaires au bon fonctionnement des matériels et systèmes assurant les fonctions de sûreté (électricité, air, eau de réfrigération).

630.Les domaines d’exploitation recouvrant ces états standards sont mentionnés entre parenthèses.

631.Voir les figures 22.1 et 23.2 montrant la localisation de ces tapes. Leur mise en place permet le contrôle des tubes des générateurs de vapeur sans décharger le combustible.

632.Nil Ductility Transition Temperature, température au-dessous de laquelle le métal a un comportement fragile et peut se rompre brutalement, en présence d’un défaut, sous l’effet d’une mise en pression brutale. Cette température, inférieure à 0 °C à l’origine, croît sous l’effet de l’irradiation par les neutrons par accumulation de « dommages » dans le réseau cristallin.

Chapitre 21

Le retour d’expérience des événements :
règles et pratiques

21.1.Historique

En 1963, un rapport interne du responsable des piles au CEA soulignait que « les accidents les plus graves proviennent souvent de la coïncidence d’incidents dont chacun, survenant individuellement, aurait pu rester sans gravité ». Il mentionnait également que « les progrès dans l’art de la sûreté proviennent malheureusement en grande partie de l’analyse des accidents qui ont pu survenir ». Puis les années 1970 ont vu naître, avec notamment le déploiement du parc électronucléaire en France, les premiers fichiers d’incidents, principalement pour alimenter les études de fiabilité des matériels. Du fait de la jeunesse des installations nucléaires et des problèmes de mise au point industrielle, l’attention des exploitants se portait principalement sur les conséquences réelles des incidents : en l’absence de conséquences, les incidents étaient considérés comme étant sans importance. Par ailleurs les accidents impliquant l’industrie nucléaire survenus à travers le monde ont fait émerger progressivement d’autres grands principes conditionnant l’efficacité du retour d’expérience : la pérennité et le partage des actions correctives, la transparence et le partage d’expérience au niveau international sont apparus fondamentaux.

En 1973, lors d’une présentation à l’AIEA des principes généraux et des applications pratiques de l’analyse de sûreté des réacteurs de puissance en France, Jean Bourgeois633 déclara : « En conclusion, il nous paraît utile de revenir sur un point […], c’est l’importance pour l’analyse de sûreté de l’expérience recueillie dans l’exploitation des réacteurs en service… Il n’est pas certain que l’on retire actuellement tout le bénéfice possible des leçons des incidents ou accidents observés dans les réacteurs à travers le monde… Le rassemblement de l’information et l’interprétation des accidents sont certes une tâche difficile. Mais […] un effort vers un échange plus total devrait être entrepris. »

En 1979, survient l’accident de Three Mile Island (TMI) aux États-Unis. Le rapport de la commission d’enquête Kemeny constate que plusieurs incidents antérieurs auraient pu être considérés comme précurseurs, mais qu’ils n’avaient pas été analysés et pris en compte (voir le chapitre 32). Le principe « pas de conséquence réelle égale pas d’importance » fut ainsi remis en cause. L’accident de TMI provoquera une remontée des préoccupations sur le retour d’expérience (REX) au plan international et conduira notamment à attacher une importance accrue aux signes annonciateurs ou précurseurs.

Il était dès lors admis qu’un accident est dû à un enchaînement de défaillances multiples, tant matérielles qu’humaines, et que celles-ci ont une grande probabilité d’apparaître en partie lors d’incidents mineurs dont le déroulement peut constituer un initiateur de scénarios d’accidents bien plus sérieux.

En 1986, survient l’accident de Tchernobyl en Ukraine. Au-delà de lacunes de conception, cet accident majeur fait apparaître de manière flagrante l’importance des pratiques d’exploitation dans le maintien d’un haut niveau de sûreté des installations nucléaires. Alors que les actions post-TMI s’étaient concentrées sur la salle de commande, les dispositifs de conduite et l’étude des situations accidentelles – notamment celles qui peuvent résulter de défaillances multiples –, l’accident de Tchernobyl conduit à s’interroger sur les hommes, les organisations et l’exploitation « normale ». L’internationalisation du REX franchit une nouvelle étape. En 1991, l’OCDE et l’AIEA créent l’échelle internationale des événements nucléaires (International Nuclear Events Scale – INES), sur la base d’une échelle de gravité créée en France après l’accident de Tchernobyl (voir le paragraphe 34.10). D’abord conçue pour classer les événements survenant dans des centrales nucléaires, cette échelle, essentiellement à visée médiatique, a été étendue et adaptée de manière à pouvoir être appliquée à toutes les installations liées à l’industrie nucléaire civile.

En 2011, survient l’accident de la centrale nucléaire de Fukushima Daiichi au Japon. Bien que 40 années de retour d’expérience – ainsi que d’études, de recherches et de développements – aient permis d’améliorer sensiblement le niveau de sûreté des installations et de leur exploitation, il est apparu que certaines questions n’avaient pas été traitées dans tous les pays.

De nombreuses évolutions technologiques et scientifiques ont vu le jour en 40 ans. Ces évolutions ont accompagné de profonds changements industriels, sociaux, économiques, culturels et politiques. Le propos du retour d’expérience est de tirer les leçons des événements indésirables qui ont émaillé et continuent d’émailler le fonctionnement des réacteurs nucléaires pour maintenir et améliorer les performances en matière de maîtrise des risques. Bien que les accidents les plus sévères aient surtout concerné des réacteurs de puissance (Three Mile Island, Tchernobyl, Fukushima Daiichi), les démarches de REX s’appliquent bien évidemment à l’ensemble des installations mettant en œuvre des substances radioactives ou des sources de rayonnement, qu’elles soient civiles ou militaires, industrielles ou visant des objectifs de recherche634 ou des applications sanitaires et médicales.

En 40 ans, l’objet même du retour d’expérience a largement évolué d’un REX de conception à un REX d’exploitation, en s’appuyant sur des représentations du « système » analysé qui ont elles-mêmes évolué (d’un système purement technique à un système sociotechnique635) en fonction des événements et des règlements auxquels il a été soumis.

Ces éléments historiques et contextuels permettent de comprendre les difficultés liées à l’efficacité du retour d’expérience dans le cadre des dispositifs de management opérationnel des risques. Pourtant, piloter un retour d’expérience véritablement source d’apprentissages, capable de conduire à des évolutions effectives des systèmes techniques, des pratiques et des organisations de travail, est fondamental.

21.2.Les objectifs d’un dispositif de retour d’expérience

Les objectifs d’un dispositif de retour d’expérience sont multiples :

–analyser les événements rencontrés, partager les enseignements avec et entre les acteurs concernés, mettre en œuvre des actions et des dispositions correctives appropriées pour éviter le renouvellement d’événements similaires,

–viser à éviter la survenue d’événements dont les causes seraient en lien direct ou indirect avec des événements passés,

–anticiper d’éventuels problèmes génériques qui pourraient affecter le fonctionnement d’une partie notable des réacteurs du parc électronucléaire,

–conforter la validité de la conception ou identifier des possibilités d’amélioration,

–améliorer les performances dans tous les domaines par des évolutions des équipements, des méthodes d’exploitation, des organisations et par la prise en compte de l’ensemble des composantes (sûreté, radioprotection, environnement, disponibilité…) par l’analyse collective des événements.

Sur un plan opérationnel, un dispositif de REX vise à produire des connaissances et à en déduire des actions. La première fonction d’un dispositif de REX est donc d’analyser et de comprendre. Cette compréhension doit pouvoir être partagée avec ceux qui sont concernés et permettre d’agir durablement sur d’éventuels dysfonctionnements du système sociotechnique concerné.

Analyser et comprendre

Tirer des enseignements d’un événement (ou d’un ensemble d’événements) permet d’abord d’acquérir de nouvelles connaissances ou de consolider les connaissances existantes. Les connaissances issues d’un événement varient selon ce qui est pris en compte de l’événement, qu’il s’agisse des conditions de détection de l’événement, de son déroulement, des causes organisationnelles, humaines et techniques impliquées dans la genèse de l’écart détecté, des conséquences que cet écart a eu ou aurait pu avoir, des dispositions (« lignes de défense ») qui ont « fonctionné » et des dispositions qui n’ont pas « fonctionné ».

Les enseignements tirés des événements peuvent permettre de progresser dans la connaissance technologique, d’améliorer la connaissance des pratiques réelles d’exploitation, d’affiner la compréhension d’une question particulière (par le suivi d’indicateurs), ou encore d’identifier une question spécifique nouvelle qui émerge de la récurrence d’un type d’événements ou à l’inverse qui est mise en évidence par un événement surprenant.

Partager

L’intérêt du retour d’expérience est avant tout collectif. Pour être utile, les connaissances issues du retour d’expérience doivent pouvoir être partagées entre ceux qui les produisent et ceux à qui ces connaissances sont utiles. L’important pour un exploitant est de faire parvenir les bonnes informations issues du retour d’expérience aux bonnes personnes et aux bons moments.

Ce partage nécessite la mise en place de dispositions permettant de conserver, de diffuser et de rechercher les informations, non seulement brutes mais aussi traitées pour être utilisables.

Agir

Un dispositif de retour d’expérience permet de définir des actions et des dispositions permettant d’éviter le renouvellement d’un événement donné, d’un événement du même type ou encore la survenue de scénarios événementiels de même nature ; ces actions et dispositions peuvent concerner :

–la fiabilité des matériels,

–la fiabilité des organisations,

–le professionnalisme des acteurs.

Il est possible d’agir sur les organisations, les pratiques de travail ou le système technique. Ces aspects (« dimensions ») étant en interaction, une modification efficace touchera le plus souvent l’ensemble de ceux-ci. Les enseignements tirés de l’expérience peuvent également constituer une opportunité de mettre à niveau les exigences en matière de maîtrise des risques.

Il est important de souligner que le traitement correctif d’un événement peut nécessiter la mise en place rapide de dispositions provisoires (palliatives) dans l’attente de dispositions définitives.

21.3.Éléments constitutifs d’un dispositif
de retour d’expérience, règlementation

Il est possible de décrire un dispositif de retour d’expérience comme un système composé d’entrées, de processus de traitement et de sorties. Les objectifs assignés à ce système déterminent les types d’événements à traiter (les entrées), un ensemble de moyens (méthodes, outils, organisation, management) qui pourront être mis en œuvre pour le traitement des événements, d’éventuelles nouvelles dispositions techniques ou organisationnelles à mettre en place dans les installations et, plus généralement, des apprentissages individuels et collectifs (les sorties).

Ainsi, un dispositif de retour d’expérience comprend :

–des méthodes : elles concernent l’analyse d’événements particuliers, l’analyse de tendances ou encore l’analyse thématique d’un ensemble d’événements ; les méthodes retenues fournissent un guide pour les analystes, permettent d’identifier les faits et les actions réellement réalisées lors des événements (ne pas se contenter de décrire celles qui étaient attendues) et proposent des modalités de restitution qui permettent le partage de la compréhension tirée de ces analyses ;

–des outils : il s’agit tout particulièrement des bases de données « codées » des événements, permettant l’extraction d’informations (par des tris, des filtres…) et la diffusion des connaissances. Concevoir les outils qui permettent de stocker et de rendre disponibles de manière efficace les informations relatives aux événements constitue un exercice complexe. Le codage636 de l’information peut à l’usage se révéler parfois non pertinent, voire non utilisable. Au-delà du premier filtre pouvant être effectué grâce à la codification des événements, réalisée lors d’une analyse de premier niveau de ces événements, c’est l’expertise de l’analyste qui permet ensuite de tirer des enseignements pertinents ;

–une organisation : elle définit, pour l’ensemble des personnes impliquées, les rôles, les responsabilités dans la conception, l’animation et l’utilisation du dispositif de retour d’expérience, des processus décisionnels, des processus de communication et des modalités de partage… ;

–des dispositions managériales, pour piloter et animer les processus, assurer le partage et la circulation des informations. Comme tout processus d’apprentissage et de décision, le fonctionnement d’un dispositif de retour d’expérience requiert des capacités de direction et des attitudes qui favorisent la remontée des informations, conformes à la culture de sûreté. La mise à disposition de données pertinentes est un volet fondamental et incontournable pour le bon fonctionnement d’un dispositif de retour d’expérience.

Au-delà des moyens alloués à la mise en œuvre d’un dispositif de retour d’expérience et des choix opérationnels et stratégiques qui orientent sa mise en place, la composante règlementaire (voir le focus plus loin) introduit des exigences structurantes sur les entrées, le fonctionnement et les sorties du dispositif. Les autorités administratives de contrôle ont à la fois un rôle de prescripteur et de contrôleur du dispositif de retour d’expérience. Elles sont parties prenantes de la boucle globale d’apprentissage.

Les leçons tirées de l’expérience présentent bien souvent – au-delà des spécificités matérielles des installations considérées – des aspects transverses, ce qui peut conduire à élargir le champ d’application de ces enseignements à d’autres installations, à d’autres organisations, voire à d’autres secteurs industriels. Il y a un bénéfice à « croiser les regards » entre des domaines qui n’ont à première vue pas ou peu de points communs.

Au plan international, comme cela est indiqué au chapitre 3, dès 1980, à la suite de l’accident de Three Mile Island, l’AEN a mis en place un système de collecte et de diffusion d’informations sur les incidents survenant dans les réacteurs nucléaires de puissance de ses pays membres et susceptibles d’intéresser l’ensemble de ceux-ci, l’Incident Reporting System (IRS). Les pays membres de l’OCDE/AEN représentent en effet la majeure partie de la puissance installée d’origine nucléaire dans le monde, soit plusieurs centaines d’installations. Depuis 1995, la gestion du système est assurée par l’AIEA et le système a été ouvert à tous les pays signataires de la Convention sur la sûreté nucléaire. Plus tard, en 2009, afin de refléter l’évolution du système vers une utilisation élargie du système, l’IRS est devenu l’International Reporting System for Operating Experience. Des coordonnateurs nationaux transmettent annuellement les incidents jugés les plus intéressants pour le partage d’expérience. En France, c’est l’IRSN qui est le coordinateur national ; en liaison avec EDF, il sélectionne régulièrement les événements survenus dans le parc électronucléaire français jugés intéressants pour l’IRS et transmet à l’AIEA les fiches correspondantes. Des réunions périodiques organisées par l’AIEA permettent de mettre en lumière les enseignements tirés par chaque pays des difficultés rencontrées et d’assurer ainsi un partage international d’expérience.

L’AEN peut par ailleurs mettre en place des groupes de travail réunissant des spécialistes des pays membres pour effectuer des études sur des problèmes d’intérêts généraux, sur la base de séries de rapports d’incidents associés à la base IRS, tant sur les aspects techniques qu’organisationnels et humains. Plusieurs études ont ainsi été effectuées, par exemple sur les incidents survenant lors des arrêts de tranche pour rechargement du combustible. À la suite de l’accident survenu à la centrale nucléaire de Fukushima Daiichi, l’AEN a effectué une revue d’un certain nombre d’incidents ou d’accidents constituant des « précurseurs » d’accidents de fusion du cœur (voir plus loin cette notion, au paragraphe 21.4).

L’association WANO637 (World Association of Nuclear Operators) a été créée après l’accident de Tchernobyl. Elle est présentée au paragraphe 3.1.5 du présent ouvrage. Grâce à son site internet, les membres de WANO ont accès à des informations sur les événements survenus dans d’autres centrales. Le partage d’informations entre les membres permet aux exploitants d’apprendre des erreurs des autres et de s’assurer qu’elles ne sont pas répétées ailleurs.

#FOCUS

Le retour d’expérience dans les textes officiels français638

Décret n° 63-1228 du 11 décembre 1963 relatif aux installations nucléaires – Article 5-III : « Sans préjudice de l’application des mesures prévues par les règlements en vigueur, tout accident ou incident, nucléaire ou non, ayant ou risquant d’avoir des conséquences notables pour la sûreté des installations mentionnées par le présent décret est déclaré sans délai par l’exploitant […] ».

Arrêté du 10 août 1984 relatif à la qualité de la conception, de la construction et de l’exploitation des installations nucléaires de base – Article 13 : « L’exploitant déclare […] les anomalies ou incidents significatifs dans les plus brefs délais. […] La déclaration décrit les mesures déjà prises ou envisagées pour limiter l’extension de l’anomalie ou de l’incident et, le cas échéant, pour en atténuer les conséquences. […]. Les anomalies ou incidents significatifs font l’objet d’une analyse approfondie : pour déterminer avec précision leurs causes et leurs conséquences directes ou potentielles pour la sûreté ; pour en tirer les enseignements utiles pour l’activité concernée par la qualité affectée et, le cas échéant, pour d’autres activités concernées par la qualité. […]. »

Guide du 21 octobre 2005 de l’Autorité de sûreté nucléaire, « relatif aux modalités de déclaration et à la codification des critères relatifs aux événements significatifs impliquant la sûreté, la radioprotection ou l’environnement applicable aux installations nucléaires de base et aux transports internes de substances radioactives ». Ce guide énonce notamment, dans son annexe 6, les critères de déclaration des événements significatifs impliquant la sûreté pour les réacteurs à eau sous pression et, dans son annexe 7, les critères de déclaration des événements significatifs impliquant la radioprotection pour toutes les INB.

Loi n° 2006-686 du 13 juin 2006 relative à la transparence et à la sécurité en matière nucléaire – Article 54 : « En cas d’incident ou d’accident, nucléaire ou non, ayant ou risquant d’avoir des conséquences notables sur la sûreté de l’installation ou du transport ou de porter atteinte, par exposition significative aux rayonnements ionisants, aux personnes, aux biens ou à l’environnement, l’exploitant d’une installation nucléaire de base ou la personne responsable d’un transport de substances radioactives est tenu de le déclarer sans délai à l’Autorité de sûreté nucléaire et au représentant de l’État dans le département du lieu de l’incident ou de l’accident et, s’il y a lieu, au représentant de l’État en mer. »

Par ailleurs, tout exploitant d’une installation nucléaire de base doit établir chaque année un rapport qui expose :

–« les dispositions prises en matière de sûreté nucléaire et de radioprotection ;

–les incidents et accidents en matière de sûreté nucléaire et de radioprotection, soumis à obligation de déclaration […] survenus dans le périmètre de l’installation, ainsi que les mesures prises pour en limiter le développement et les conséquences sur la santé des personnes et l’environnement ;

–[…] »

Ce rapport est rendu public et il est transmis à la Commission locale d’information et au Haut comité pour la transparence et l’information sur la sécurité nucléaire.

Décret n° 2007-1557 du 2 novembre 2007 relatif aux installations nucléaires de base et au contrôle, en matière de sûreté nucléaire, du transport de substances radioactives – Article 11 : « […] l’étude de maîtrise des risques comprend : […] ; b) Une analyse du retour d’expérience d’installations analogues ; […] ; d) Une analyse des conséquences des accidents éventuels pour les personnes et l’environnement ; e) Une présentation des dispositions envisagées pour la maîtrise des risques, comprenant la prévention des accidents et la limitation de leurs effets ; […] »

Arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base – Article 2.6.4 : « L’exploitant déclare chaque événement significatif à l’Autorité de sûreté nucléaire dans les meilleurs délais. La déclaration comporte notamment : la caractérisation de l’événement significatif ; la description de l’événement et sa chronologie ; ses conséquences réelles et potentielles […] ; les mesures déjà prises ou envisagées pour traiter l’événement de manière provisoire ou définitive – Article 2.6.5 : « L’exploitant réalise une analyse approfondie de chaque événement significatif. […] L’exploitant s’assure de la mise en œuvre effective des actions préventives, correctives et curatives décidées. »

21.4.Les pratiques adoptées
pour le parc électronucléaire français
en matière de retour d’expérience

Comme cela a été indiqué plus haut, EDF s’est doté très tôt d’un dispositif de retour d’expérience, destiné d’abord à améliorer la fiabilité des matériels. De son côté, l’IRSN alimente et exploite depuis 1973 un fichier des événements survenus dans les réacteurs du parc électronucléaire, sur la base des informations communiquées par Électricité de France.

Cela permet de disposer d’une quantité considérable d’informations cohérentes et codifiées ; il est possible en particulier d’effectuer des recherches « de masse » pour identifier par exemple des événements récurrents ou génériques entre installations. L’importance du parc électronucléaire et la similitude des réacteurs imposent en revanche d’identifier rapidement un problème qui serait susceptible d’affecter toute une famille d’installations et de provoquer une mise à l’arrêt d’une partie notable des moyens de production d’électricité.

La complexité des centrales nucléaires est telle qu’il s’y produit fréquemment des événements. Il s’agit souvent de défaillances d’équipements qui peuvent être réglées sans perturbation importante de la production d’électricité. Il peut aussi s’agir d’événements beaucoup plus spectaculaires affectant le groupe turboalternateur de production d’électricité ou les circuits de vapeur, pouvant immobiliser le réacteur dans un état d’arrêt pour de longs mois sans avoir perturbé le confinement des produits radioactifs. Le retentissement des seconds événements est beaucoup plus important que celui des premiers. C’est pourtant dans la première catégorie que l’on trouvera, en général, les événements les plus importants du point de vue de la sûreté ou de la radioprotection. L’indisponibilité, découverte au cours d’un essai périodique, d’un matériel de sauvegarde, « au repos » pendant le fonctionnement normal de la tranche, est en effet, a priori, plus significative pour la sûreté que l’indisponibilité de la turbine.

La pratique française distingue maintenant deux types d’événements, de gravité différente, et leur applique des traitements également différents.

Ainsi, selon les définitions rappelées dans le guide de l’ASN en date du 21 octobre 2005, sont distingués :

–les « événements intéressants » (sous-entendu pour la sûreté, la radioprotection ou l’environnement) : il s’agit « d’événements dont l’importance immédiate ne justifie pas une analyse individuelle mais qui peuvent présenter un intérêt dans la mesure où leur caractère répétitif pourrait être le signe d’un problème nécessitant une analyse approfondie » ;

–les « événements significatifs » : il s’agit des événements que l’on considère comme relevant d’un des critères de déclaration (voir le focus plus loin).

Partant du principe que les spécifications techniques d’exploitation des centrales nucléaires françaises comportent l’ensemble des prescriptions relatives à la disponibilité des équipements importants pour la sûreté des réacteurs, ainsi que des valeurs limites pour les différents paramètres de fonctionnement, toute défaillance de l’un de ces équipement conduisant à le déclarer indisponible ou tout franchissement d’un seuil est considéré comme un « événement intéressant ». Cette définition est relativement claire pour l’exploitant.

Comme les événements intéressants ne sont pas graves en eux-mêmes, l’exploitant n’a pas à en faire une notification particulière. Il doit, par contre, introduire rapidement ces événements dans un fichier national informatisé, géré par EDF, et accessible aux organismes de sûreté. Ce fichier des événements de l’outil dénommé SAPHIR peut être interrogé par système, matériel, tranche, date de l’événement ou date d’introduction dans le fichier.

Ce fichier ne contient d’ailleurs pas que les « événements intéressants » mais tous les événements qu’EDF souhaite gérer à l’aide de ce support informatique. Chaque fiche relative à un événement particulier comporte un indice précisant s’il intéresse ou non la sûreté, la radioprotection ou l’environnement et s’il est, de ce fait, accessible aux organismes de sûreté.

En général, les événements intéressants pour la sûreté ne justifient pas une analyse détaillée et ne sont pas des « précurseurs » d’accident grave. Ces précurseurs sont recherchés dans la catégorie des événements significatifs, qui sont le plus souvent des événements intéressants pour la sûreté qui répondent de plus aux critères spécifiques qui ont été définis initialement par le Service central de sûreté des installations nucléaires après discussion avec les exploitants. Ces critères devaient être suffisamment précis pour que leur application puisse être quasi automatique, sans interprétation trop variable d’une centrale à l’autre. Ils ont été formalisés en 1982, sachant qu’EDF révise périodiquement les notes internes correspondantes pour améliorer l’homogénéité d’application entre les centrales. Par ailleurs, la formulation des critères par l’autorité de sûreté nucléaire a sensiblement évolué.

Les critères en vigueur de déclaration des événements significatifs applicables aux réacteurs à eau sous pression apparaissent respectivement dans les annexes 6, 7 et 8 du guide de l’Autorité de sûreté en date du 21 octobre 2005 ; ils sont rappelés dans le focus ci-après. Au sein d’EDF, ces critères sont rappelés dans une directive spécifique, la DI 100.

#FOCUS

Les critères de déclaration des événements significatifs
(guide de l’Autorité de sûreté nucléaire
en date du 21 octobre 2005)

Événements significatifs intéressant la sûreté :

1.Arrêt automatique du réacteur : mise en service manuelle ou automatique, intempestive ou non, de la fonction d’arrêt automatique du réacteur, quel que soit l’état du réacteur, à l’exception des mises en service intentionnelles résultant d’actions programmées (entrent en particulier dans cette définition les arrêts automatiques du réacteur provoqués par des déclenchements du groupe turboalternateur par sollicitation de ses protections).

2.Mise en service d’un système de sauvegarde : mise en service manuelle ou automatique, intempestive ou non, d’un des systèmes de sauvegarde, à l’exception des mises en services intentionnelles résultant d’actions programmées.

3.Non-respect des STE, ou événement qui aurait pu conduire à un non-respect des STE si le même événement s’était produit alors que l’installation se trouvait dans un état différent :

• tout non-respect d’une ou plusieurs conditions permanentes définies dans les STE,

• tout non-respect des conditions d’une dérogation aux STE,

• tout dépassement des délais639 quand il n’est pas prescrit d’état de repli,

• toute indisponibilité provoquée hors des conditions prévues par les RGE, non identifiée au préalable ou identifiée mais non traitée selon les prescriptions des STE.

4.Agression interne ou externe : survenance d’un phénomène externe naturel lié à l’activité humaine, ou survenance d’une inondation interne, d’un incendie ou d’un autre phénomène susceptible d’affecter la disponibilité de matériels importants pour la sûreté.

5.Acte ou tentative d’acte de malveillance susceptible d’affecter la sûreté de l’installation.

6.Passage en état de repli en application des STE ou des procédures de conduite accidentelles à la suite d’un comportement imprévu de l’installation.

7.Événement ayant causé ou pouvant causer des défaillances multiples : indisponibilité de matériels due à une même défaillance ou affectant toutes les voies d’un système redondant ou le même type de matériels de plusieurs systèmes de sûreté.

8.Événement ou anomalie spécifique au circuit primaire principal, au circuit secondaire principal ou aux appareils à pression des circuits qui leur sont connectés, conduisant ou pouvant conduire à une condition de fonctionnement non prise en compte à la conception ou qui ne serait pas encadrée par les consignes d’exploitation existantes.

9.Anomalie de conception, de fabrication en usine, de montage sur site ou d’exploitation de l’installation concernant des matériels et des systèmes fonctionnels autres que ceux qui sont couverts par le critère 8, conduisant ou pouvant conduire à une condition de fonctionnement non prise en compte et qui ne serait pas couverte par les conditions de dimensionnement et les consignes d’exploitation existantes.

10.Tout autre événement susceptible d’affecter la sûreté de l’installation jugé significatif par l’exploitant ou par l’autorité de sûreté.

Événements significatifs intéressant la radioprotection :

1.Dépassement d’une limite de dose individuelle annuelle règlementaire ou situation imprévue qui aurait pu entraîner, dans des conditions représentatives et vraisemblables, le dépassement d’une limite de dose individuelle annuelle règlementaire, quel que soit le type d’exposition.

2.Situation imprévue ayant entraîné le dépassement du quart d’une limite de dose individuelle annuelle règlementaire, lors d’une exposition ponctuelle, quel que soit le type d’exposition.

3.Tout écart significatif concernant la propreté radiologique.

4.Toute activité (opération, travail, modification, contrôle…) comportant un risque radiologique important, réalisée sans une analyse de radioprotection formalisée (justification, optimisation, limitation) ou sans prise en compte exhaustive de cette analyse.

5.Acte ou tentative d’acte de malveillance susceptible d’affecter la protection des travailleurs ou du public contre les rayonnements ionisants.

6.Situation anormale affectant une source scellée d’activité supérieure aux seuils d’exemption.

7.Défaut de signalisation ou non-respect des conditions techniques d’accès ou de séjour dans une zone spécialement règlementée ou interdite (zones orange et rouge).

8.Défaillance non compensée des systèmes de surveillance radiologique qui permettent d’assurer la protection des personnels présents, lors d’activités comportant un risque radiologique important.

9.Dépassement de la périodicité de contrôle d’un appareil de surveillance radiologique :

• de plus d’un mois s’il s’agit d’un appareil de surveillance collective permanente (périodicité règlementaire d’un mois),

• de plus de trois mois s’il s’agit des autres types d’appareils (lorsque la périodicité de vérification prévue dans les RGE ou le référentiel de radioprotection est comprise entre 12 et 60 mois).

10.Tout autre événement susceptible d’affecter la radioprotection jugé significatif par l’exploitant ou par l’autorité de sûreté.

Dans le guide de l’Autorité de sûreté nucléaire en date du 21 octobre 2005, neuf critères sont également spécifiés pour les événements significatifs impliquant l’environnement.

Un événement significatif (qu’il intéresse la sûreté – ESS, la radioprotection – ESR ou l’environnement – ESE) doit être déclaré à l’Autorité de sûreté nucléaire le jour même ou bien le premier jour ouvrable suivant, et faire l’objet dans les deux mois d’un rapport d’analyse détaillé rédigé suivant un plan-type. Une première analyse est effectuée par la centrale concernée. Cette analyse est complétée, si nécessaire, par d’autres services spécialisés d’EDF.

Des échanges directs entre analystes des organismes de sûreté et de l’exploitant peuvent s’établir dès la réception de la déclaration. C’est en particulier le cas lorsqu’il y a présomption de défauts pouvant affecter une partie voire l’ensemble du parc de centrales ou d’un « précurseur » d’accident grave. Une inspection réactive peut être diligentée par l’Autorité de sûreté nucléaire.

De manière générale, on peut noter que la définition des événements intéressants la sûreté et des événements significatifs, très liée aux seuils et limites figurant dans les spécifications techniques d’exploitation, permet un assez bon accord entre l’exploitant et les organismes de sûreté sur ce qui doit être déclaré.

Pour le parc électronucléaire français, le nombre moyen d’événements significatifs est sensiblement constant au fil des années, de l’ordre d’une dizaine par réacteur et par an. Les arrêts des tranches constituent les périodes d’exploitation les plus concernées ; cela confirme les difficultés propres à ces périodes.

Les méthodes d’analyse des événements significatifs

Au début de l’exploitation des premières tranches du parc électronucléaire français, il n’existait pas de méthode formalisée dans le domaine du retour d’expérience. C’est le travail collectif des équipes aussi bien d’EDF que des organismes de sûreté qui a permis d’élaborer progressivement les méthodes qui sont succinctement décrites ci-après. L’IPSN a joué, dès l’origine, son rôle d’aiguillon, mettant au point des approches qui ont été reprises et développées par EDF.

De façon générale, chez EDF (au niveau local ou au niveau de ses services centraux – unité d’ingénierie en exploitation) et à l’IRSN, les méthodes suivent aujourd’hui globalement les mêmes principes :

–d’abord un examen (généralement collectif dans les unités d’analyse) des événements significatifs aboutit à une sélection d’événements méritant une analyse ; que ce soit chez EDF (dans les services centraux) ou à l’IRSN, cet examen est fait de façon hebdomadaire ;

–les événements significatifs sélectionnés font l’objet d’une analyse, voire d’une analyse approfondie ; quel que soit le type d’analyse, il est en particulier important de rechercher, au-delà des causes immédiatement identifiables, les causes profondes de ces événements ;

–les analyses sont ensuite « étendues » ou « généralisées » en examinant comment les événements se seraient déroulés dans des circonstances moins favorables ou en cas de cumul avec d’autres défaillances ; cela pour déterminer les conséquences potentielles de ces événements et notamment s’ils auraient pu conduire à la fusion du cœur ou à des rejets importants, en vue de définir des priorités pour la mise en œuvre des mesures correctives décidées dans le cadre du retour d’expérience. L’« extension » peut aussi conduire à s’interroger sur ce qui se serait passé si le même événement était survenu sur un autre réacteur du parc électronucléaire.

De plus, l’IRSN réalise mensuellement, au cours d’une réunion interne spécifique, un examen de tous les événements survenus dans le mois précédent (« réunion écarts »). Cet examen permet de détecter d’éventuelles dérives d’exploitation ou anomalies de matériels.

Dans le cadre de l’« extension » des analyses, la recherche de « précurseurs » par des méthodes probabilistes a été développée à partir des années 1990 aussi bien chez EDF qu’à l’IPSN puis l’IRSN. Ce type d’analyse s’appuie sur les études probabilistes de sûreté (EPS) de niveau 1 ; il est présenté au paragraphe 14.5.3.1. Il est rappelé ici qu’il consiste à quantifier l’augmentation du risque de fusion du cœur induit par l’événement, dès lors que celui-ci s’est réalisé (probabilité égale à 1). La quantification de l’écart séparant un événement qui s’est réellement produit d’un accident de fusion du cœur apporte un éclairage sur la gravité de l’événement. Celle-ci peut ainsi être quantifiée par l’accroissement de la probabilité de fusion du cœur640, qui représente la probabilité conditionnelle d’endommagement du cœur lors de l’événement considéré. Les événements pour lesquels l’accroissement de la probabilité de fusion du cœur est supérieur à 10-6 sont appelés précurseurs. Parmi ces événements, ceux pour lesquels l’accroissement de la probabilité de fusion du cœur est supérieur à 10-4 font l’objet d’une attention particulière. Depuis le milieu des années 1990, EDF (services centraux) et l’IRSN développent, sur la base de leurs propres modèles probabilistes, des « programmes précurseurs », qu’ils confrontent régulièrement. Les objectifs de ces développements sont d’apporter des éclairages en matière :

–de priorisation des événements à traiter,

–d’évaluation de la pertinence des actions de retour d’expérience,

–d’enrichissement de la culture de sûreté, en mettant en évidence les dispositions les plus importantes ou celles dont l’importance avait été sous-estimée, ainsi que les situations et les transitoires d’exploitation à risque,

–de validation et d’amélioration des modèles EPS, en termes de séquences et de données.

Il est à noter que depuis 2015, l’IRSN tient compte, dans les analyses des conséquences potentielles des événements significatifs et dans les analyses « précurseurs », de l’état réel des installations, par exemple des non-conformités non encore traitées, ce qui peut souligner l’importance d’un traitement rapide de certaines non-conformités. Il a été demandé à EDF de développer une démarche analogue.

Quelques aspects importants des analyses d’événements significatifs sont développés ci-après – en s’attachant plus particulièrement à celles qui sont menées par l’IRSN.

Examen collectif des événements

Au sein de l’IRSN, un ingénieur « chargé d’affaire » est plus particulièrement affecté au suivi d’un ensemble de tranches (en général, deux tranches). Pour tirer le meilleur parti de la standardisation des réacteurs à eau sous pression français, tous les événements significatifs relatifs à ces tranches sont portés à la connaissance de tous les chargés d’affaire, par circulation des déclarations et des rapports d’événements.

Comme cela a été indiqué plus haut, tous les événements significatifs sont évoqués lors de réunions hebdomadaires au cours desquelles sont retenus ceux qui sont considérés comme les plus importants. Au cours de ces réunions, les chargés d’affaire signalent aussi les événements intéressants récents les plus notables, et échangent les informations disponibles sur des événements survenus à l’étranger. Ainsi, chaque chargé d’affaire est tenu informé de ce qui se passe sur l’ensemble du parc français ainsi que des événements importants survenus à l’étranger.

La méthode de travail est similaire dans les services centraux d’EDF.

Choix des analyses approfondies

C’est au cours des réunions hebdomadaires que se fait le choix des événements significatifs justifiant une analyse approfondie. Les critères de sélection ne sont pas formalisés mais peuvent être décrits, dans les grandes lignes, de la manière suivante ; sont retenus :

–les événements proches de conditions de fonctionnement accidentelles prises en compte pour la conception et de fréquence estimée inférieure à 10-2 par an et par tranche, ou susceptibles de conduire à de telles conditions accidentelles, éventuellement dans d’autres conditions d’exploitation,

–les événements qui ne sont pas couverts par des incidents ou des accidents retenus pour la conception de l’installation,

–les cumuls de défaillances de systèmes importants pour la sûreté, qu’ils soient dus à des défauts aléatoires, à des défauts de mode commun ou à une interaction entre systèmes, et les cumuls d’erreurs,

–les événements faisant apparaître des erreurs résultant d’une méconnaissance du comportement de l’installation ou des exigences de sûreté.

Il y a donc une référence systématique, même si elle est souvent implicite, aux règles et critères de conception ; cette référence permet à la fois d’apprécier l’importance de l’événement et la validité des règles de conception. Cela implique que les chargés d’affaire disposent des connaissances appropriées, ou recueillent l’avis de spécialistes.

Depuis la réalisation des premières études probabilistes de sûreté relatives aux réacteurs électronucléaires français, des spécialistes de ces études apportent leur concours dans le suivi des installations. Cela permet d’identifier des événements où apparaissent des défaillances dont l’impact sur la probabilité de fusion de cœur pourrait être significatif, éventuellement dans d’autres conditions d’exploitation. Il s’agit là d’un couplage important entre deux domaines de l’analyse de sûreté.

Les analyses approfondies

Des analyses approfondies peuvent entraîner d’importantes et longues réflexions ou études, au plan national ou international : on peut citer, outre les accidents de Three Mile Island, Tchernobyl et Fukushima Daiichi, certains événements significatifs décrits dans les chapitres suivants (inondation partielle du site de la centrale nucléaire du Blayais à la fin du mois de décembre 1999 – cette analyse est tout particulièrement développée dans le paragraphe 24.1 –, fuite d’huile d’un groupe motopompe primaire du réacteur n° 2 de la centrale nucléaire de Penly au mois d’avril 2012…).

Au sein d’EDF, une méthode d’analyse approfondie a été progressivement mise au point et appliquée de façon systématique par les centrales, ce qui s’est traduit par une amélioration progressive des comptes rendus des événements significatifs. Le « guide national d’analyse approfondie des événements » prescrit un formalisme précis ainsi que la méthode qui conduit l’exploitant au niveau local (site) à641 :

–« reconstituer précisément ce qui s’est passé,

–identifier ce qui était attendu par rapport aux exigences du référentiel (rapport de sûreté, règles générales d’exploitation, manuel qualité, etc.),

–analyser ce qui aurait pu se passer (conséquences potentielles),

–déterminer les causes profondes de l’événement,

–choisir un mode de traitement en fonction des enjeux pour éviter le renouvellement de l’événement ».

Les analyses approfondies menées par l’IRSN suivent globalement un canevas analogue, développé ci-après, avec une attention particulière à l’impact de l’événement sur la défense en profondeur – plus spécifiquement à l’analyse déterministe de sûreté pour ce qui concerne :

–la représentativité des événements initiateurs retenus dans la démonstration de sûreté,

–le bien-fondé du choix des conditions de fonctionnement retenues,

–l’exhaustivité et la représentativité des agressions retenues,

–concernant l’étude des accidents, les délais et les possibilités de mise en œuvre des procédures de conduite, le comportement des barrières de confinement, la qualification des équipements,

–l’évaluation des conséquences radiologiques des accidents.

Le « point zéro » de toute analyse d’événement significatif consiste toujours à rassembler les éléments nécessaires pour disposer d’une bonne connaissance de l’état initial de l’installation, du déroulement de l’événement, des fonctions de sûreté qui ont pu être mises en cause, du comportement des opérateurs et des matériels, des conséquences effectives, ainsi que d’événements analogues éventuels.

Quelle que soit la qualité des rapports d’événements transmis par l’exploitant, il est en général nécessaire de compléter l’information reçue par des contacts directs avec celui-ci (ou les services centraux d’EDF), souvent par une visite des locaux et des équipements concernés. Une bonne pratique consiste à formaliser par écrit la compréhension que l’IRSN a de l’événement survenu. Cela permet de partager la réflexion – et d’éviter que l’exploitant la perçoive comme une enquête.

Les conséquences effectives et les possibilités de dégradations de matériels, systèmes et fonctions de sûreté doivent être examinées.

Il convient de rechercher les origines profondes de l’événement en remontant aussi loin que possible les différentes branches de l’arbre des causes établi pour l’événement, tant pour ce qui concerne les équipements que pour ce qui concerne les procédures et les comportements humains, en distinguant ce qui est spécifique de l’installation de ce qui peut se produire sur d’autres réacteurs. Les causes possibles de défaillances de mode commun doivent être identifiées.

Il est judicieux d’appliquer les causes profondes identifiées à d’autres matériels, systèmes, états de fonctionnement ou situations, afin de s’assurer qu’elles ne pourraient pas être à l’origine d’enchaînements de conséquences différentes et potentiellement graves. Par exemple, si le défaut d’étanchéité d’un clapet antiretour d’un circuit d’air comprimé a été à l’origine d’un événement alors que ce clapet ne présente pas un défaut singulier, il faut déterminer tous les clapets du même type associés à des fonctions de sûreté et examiner les conséquences possibles de leur défaillance. Plus largement, des défauts dans la qualité ou la gestion des documents utilisés ou dans l’organisation et la planification des travaux doivent conduire à l’examen de ces mêmes aspects pour d’autres activités équivalentes.

Les réactions des intervenants doivent faire l’objet d’une attention particulière :

–identification des actions et des interactions humaines (par exemple documents disponibles, documents consultés),

–examen de la réussite des procédures, des temps de réactions des opérateurs.

L’analyse se poursuit par la recherche d’événements similaires, de même type ainsi que de précurseurs ou signes annonciateurs éventuels. Il est évident, en effet, qu’une analyse approfondie d’un événement significatif ne doit pas être isolée du contexte général des autres événements survenus tant dans le parc électronucléaire français que dans le reste du monde et que des analogies doivent être recherchées de manière très large. Cela concerne autant des événements montrant des scénarios semblables que des manifestations des mêmes causes matérielles, humaines ou d’organisation.

Ces regroupements sont essentiels pour une bonne évaluation des enseignements qui doivent être tirés d’un événement significatif ; ils permettent d’obtenir des enseignements à caractères généraux.

Des mesures correctives simples, telles que des consignes destinées à empêcher l’occurrence de scénarios aux conséquences plus importantes à la suite d’un initiateur du même type que celui qui a été observé, sont en général rapides à prendre et peu coûteuses. L’accord entre EDF et l’IRSN se fait facilement sur ce type de mesures. Les discussions sont plus difficiles s’il apparaît opportun de procéder à des modifications d’installations, surtout si celles-ci doivent être généralisées à d’autres équipements ou à de nombreuses tranches ou si elles sont coûteuses.

Le travail d’analyse de l’IRSN inclut en tout état de cause l’évaluation des actions correctives retenues par l’exploitant sur les plans matériel, organisationnel et documentaire. Il peut conduire à définir, le cas échéant, des propositions d’actions complémentaires qui seront discutées avec l’exploitant avant que l’avis résultant de l’analyse soit transmis à l’Autorité de sûreté nucléaire.

Ces contacts techniques permettent de faire progresser la réflexion. Ils ne limitent pas l’autonomie de l’IRSN dans la mesure où les points d’accord et de désaccord sont clairement explicités avec les arguments correspondants.

Comme tous les rapports établis par l’IRSN, un rapport d’analyse approfondie d’un événement significatif se termine par des conclusions et des recommandations qui pourront être reprises par l’Autorité de sûreté nucléaire. Les rapports d’analyse approfondie d’événements significatifs établis par l’IRSN sont rendus publics.

Il est important de rappeler ici que le rôle de l’IRSN est de se prononcer sur le caractère acceptable de propositions de l’exploitant. Il ne lui appartient pas de chercher à prescrire des solutions techniques dont le choix reste de la responsabilité de l’exploitant.

Rendez-vous pour le REX, bilans, analyses globales, analyses ciblées

Pour obtenir l’autorisation de procéder au premier chargement de combustible dans un réacteur, EDF doit transmettre à l’Autorité de sûreté nucléaire un dossier incluant notamment les résultats des essais de mise en service. C’est lors de ces essais que peuvent apparaître des premiers éléments de retour d’expérience, en termes de vérification de la bonne réalisation de l’installation et de validation de sa conception. Les premières années de fonctionnement du réacteur, avec ses équipes d’exploitation, peuvent ensuite apporter des enseignements utiles : pratiques d’exploitation, défauts de jeunesse ou événements survenus et le traitement effectué.

Ensuite, le retour d’expérience des événements survenus dans les réacteurs du parc électronucléaire français fait l’objet de bilans toutes les trois années consécutives. Ces bilans, réalisés par l’IRSN en liaison avec EDF, sont présentés au Groupe permanent d’experts pour les réacteurs nucléaires.

Des examens particuliers, portant sur des sujets sensibles, peuvent aussi être décidés, à la suite par exemple d’événements récurrents, d’incidents ou d’accidents importants ; cela a été le cas, par exemple, après les accidents des centrales nucléaires de Tchernobyl et de Fukushima Daiichi, dont il convenait d’examiner rapidement les enseignements pertinents pour le parc électronucléaire français. En outre, des événements récurrents ou multiples sur des parties de systèmes de sûreté peuvent amener à réexaminer des fonctions de sûreté dans leur ensemble (conception, réalisation, contrôles et essais périodiques, maintenance…). Ainsi, en 2008, à la suite de nombreux événements642 (dont des écarts de conformité) qui ont concerné la fonction de recirculation d’eau en conditions accidentelles, l’Autorité de sûreté nucléaire a demandé à EDF de mener une revue de cette fonction de sûreté pour statuer sur sa disponibilité effective, ce qui a amené l’exploitant à définir un calendrier de traitement des écarts et des mesures palliatives dans l’attente de ce traitement.

À chacune de ces occasions, l’expertise réalisée par l’IRSN peut conduire à des recommandations puis à des demandes transmises par l’Autorité de sûreté nucléaire à EDF.

Par ailleurs, l’IRSN établit des rapports présentant sa position sur l’état du parc électronucléaire français (pour l’année écoulée), qui sont rendus publics ; ils sont transmis notamment à EDF, à l’Autorité de sûreté nucléaire, à l’ANCCLI et aux CLI. Ce type de rapport permet notamment de faire le point sur les actions engagées et les modifications réalisées par EDF à la suite des événements survenus. Cela constitue un complément d’information pour le public qui n’est parfois informé que de la survenue d’événements.

Outre des défauts et anomalies génériques de certains composants des réacteurs qui peuvent apparaître au fil du temps, les bilans de retour d’expérience permettent de mettre en évidence des tendances (par exemple l’évolution du nombre d’événements significatifs), des bonnes pratiques ou des aspects sensibles sur lesquels EDF doit porter une attention particulière, que ce soit dans le domaine de la sûreté ou dans le domaine de la radioprotection ; parmi les aspects sensibles, peuvent être cités :

–la qualité des interventions de maintenance (préparation parfois insuffisante des interventions, actions inappropriées sur des matériels, réalisations incorrectes, contrôles défaillants, surveillance insuffisante d’activités sous-traitées),

–l’appropriation des « référentiels » d’exploitation par les personnels des centrales, les évolutions fréquentes de ces référentiels compliquant en effet leur déclinaison dans les documents opératoires,

–l’application des principes de radioprotection.

Des disparités parfois importantes existent entre les centrales.

Mais il convient de souligner ici que les évolutions du nombre d’événements significatifs ne sont pas directement liées aux évolutions du niveau de sûreté ou de radioprotection des installations : ces événements reflètent des dysfonctionnements qu’il s’agit d’analyser et de comprendre, dans le cadre de l’exploitation du retour d’expérience, pour définir des actions correctives, participant ainsi à l’amélioration de la sûreté et de la radioprotection. Aussi, au lieu de développer quelques indicateurs ou tendances dans le présent ouvrage – qui apparaissent par exemple dans les rapports annuels de l’IRSN – le choix a été fait de décrire, dans les trois chapitres suivants, quelques-uns des événements significatifs marquants survenus dans les réacteurs du parc électronucléaire français, comment ils ont été analysés, quels enseignements en ont été tirés et quelles dispositions ont été mises en place de façon concrète dans les installations.

Il est utile, pour clore ce chapitre consacré aux règles et pratiques en matière de retour d’expérience, d’évoquer ici une approche spécifique de l’IRSN mise en œuvre depuis 1997, visant à tirer d’autres leçons pertinentes des événements significatifs : il s’agit de l’approche « Recuperare ». Cette approche innovante utilise une base de données dans laquelle les événements significatifs sont codés d’une façon particulière, pour notamment tracer, outre les éventuels défauts d’équipements ou les erreurs d’opérateurs, la façon dont ils ont pu être détectés et « récupérés »643 par ces opérateurs ou par d’autres personnels d’exploitation. L’exploitation de cette base de données permet de dégager certaines tendances globales, ainsi que de faire apparaître des écarts entre les différents sites. Elle fournit aussi des indications sur les délais de récupération qui peuvent être introduits dans les études probabilistes de sûreté.

La mise en œuvre de l’approche « Recuperare » conduit à s’intéresser par exemple :

–aux fréquences annuelles des erreurs humaines et des défaillances techniques et à leur contexte d’apparition,

–au possible caractère latent de défauts d’équipements, au temps de latence avant la mise en service des équipements concernés par le défaut,

–aux effets de dépendance entre les facteurs liés aux erreurs et ceux qui sont liés aux récupérations,

–aux temps « de réponse » des opérateurs relatifs à la détection des problèmes et à leur récupération, point particulièrement important car les conséquences d’un événement peuvent être plus ou moins graves selon ces temps de réponse.

Pour le codage644 des événements significatifs dans la base de données associée à l’approche « Recuperare », six types ou familles ont été adoptées :

–Type A : défaut latent découvert et récupéré avant la mise en service du système concerné par ce défaut.

–Type B : défaut latent découvert et récupéré après la mise en service du système concerné.

–Type C : défaut apparu alors que le système était déjà en service.

–Type D : cumul de défauts (par exemple, répétition de la même erreur, défaut pendant la récupération d’un premier défaut, défaut de stratégie engendrant différentes actions inappropriées).

–Type O : défaut organisationnel sans conséquences directes sur l’installation.

–Type R : défaut dans le domaine de la radioprotection.

Les résultats de l’approche « Recuperare » permettent de compléter régulièrement la vue générale des événements significatifs et des performances des équipes lors de ces événements, ainsi que les évolutions d’une année à l’autre.

L’approche « Recuperare » a ainsi permis de montrer que 50 % des événements significatifs relèvent de la famille C, que la récupération est généralement plus efficace et rapide lors des quarts de nuit, que les durées de latence peuvent aller de l’immédiat jusqu’à une cinquantaine de jours, que les délais de détection des défauts peuvent aller jusqu’à une dizaine de jours. L’approche a aussi mis en évidence que les événements significatifs les plus marquants pour la sûreté sont ceux pour lesquels la détection et la récupération ont été particulièrement lentes.

Certains des enseignements tirés de l’approche « Recuperare » sont discutés avec EDF plus particulièrement à l’occasion des réunions périodiques du Groupe permanent d’experts pour les réacteurs nucléaires consacrées au retour d’expérience. Par exemple, en 2001, EDF a partagé le constat de l’IPSN sur la persistance d’un nombre relativement élevé d’alarmes non détectées au-delà de plusieurs heures, ce qui l’a amené à mettre en place des dispositions visant à « sanctuariser » les salles de commande des réacteurs.

633.Il a été notamment directeur de l’IPSN de 1976 à 1978.

634.L’ouvrage de l’IRSN intitulé « Éléments de sûreté nucléaire – Les réacteurs de recherche », J. Couturier et al., Collection sciences et techniques, IRSN/EDP Sciences, 2019, fournit un certain nombre d’illustrations du REX d’événements survenus dans de tels réacteurs.

635.Système composé d’éléments techniques (physiques) et humains, formellement organisés sur la base de normes, de règles et de rôles, en vue de réaliser des objectifs prédéfinis.

636.En termes de typologie (sûreté, radioprotection, environnement, disponibilité…), de causes (matérielles, de nature FOH…), de conséquences réelles ou potentielles, de métiers impliqués (conduite, essais, maintenance…)…

637.Voir le paragraphe 3.1.5.

638.Ces textes sont cités selon leur chronologie. Certains d’entre eux ont été abrogés et repris sous différentes formes dans d’autres textes.

639.Par exemple un délai de réparation d’un équipement.

640.Cette expression est utilisée par l’IRSN, tandis qu’Électricité de France utilise généralement l’expression indice de risque potentiel (IRP).

641.Voir le paragraphe 2.2.3.2.2 du chapitre IV du « Mémento sûreté en exploitation », EDF, édition 2016.

642.Environ 200 jugés pertinents entre 1998 et 2008.

643.Pour être plus exact, il s’agit en fait de la récupération des situations engendrées par les défauts, ou encore la gestion des événements.

644.Ce codage est réalisé en utilisant essentiellement les comptes rendus d’événements significatifs.

Chapitre 22

Retour d’expérience d’événements
imputables à une faiblesse
de la conception initiale des réacteurs
ou de la qualité de la maintenance

Les règles et les pratiques adoptées pour l’analyse des événements survenant dans les centrales du parc électronucléaire français, en vue d’en tirer les enseignements permettant d’éviter leur renouvellement et d’améliorer la sûreté des installations, sont présentées dans le chapitre précédent.

En France, le fonctionnement des réacteurs à eau sous pression n’a été marqué par aucun événement ayant conduit à des rejets importants de substances radioactives. Des rejets involontaires se sont cependant produits, notamment par suite de dysfonctionnements de soupapes de réservoirs d’entreposage d’effluents radioactifs. Un certain nombre d’événements significatifs survenus en France doivent, en revanche, être considérés comme des précurseurs de situations plus sérieuses, sans qu’il s’agisse systématiquement d’accidents d’endommagement important du cœur du réacteur. En utilisant les critères du « programme précurseurs » (voir le chapitre précédent), on en dénombre environ 15 par an sur l’ensemble du parc.

Le présent chapitre et les deux suivants illustrent, sur la base d’une sélection d’événements marquants645 regroupés par catégories, dont certains sont considérés comme précurseurs d’accident d’endommagement du cœur646, quelques-unes des questions qui peuvent être soulevées dans le cadre de l’analyse des événements, avec les dispositions prises par EDF en réponse à ces questions.

Pour chaque catégorie d’événements, sont d’abord présentés le déroulement des événements, avec les actions réalisées par l’exploitant pour en maîtriser les conséquences, puis les enseignements tirés pour l’installation concernée, voire plus largement pour l’ensemble du parc électronucléaire.

Deux groupes d’événements notables, survenus dans les premières décennies d’exploitation des réacteurs du parc électronucléaire, font spécifiquement l’objet du présent chapitre, car ils ont permis de mettre en évidence, pour le premier une faiblesse de conception des réacteurs, se traduisant par un accroissement jugé trop important de la probabilité de fusion du cœur dans des états d’arrêt des réacteurs, pour le second une qualité insuffisante des opérations de maintenance. Ces événements ont, à l’époque, fortement fait réagir aussi bien EDF que les organismes de sûreté.

Il est à noter qu’un certain nombre d’événements, correspondant à des anomalies concernant des équipements (crayons combustibles ou absorbants, cuves, pressuriseurs, tuyauteries de circuits, générateurs de vapeur…), sont présentés dans les chapitres 26 et 28.

22.1.Événements imputables à une faiblesse
de conception : défauts de refroidissement du cœur lorsque le réacteur est à l’arrêt avec le niveau d’eau à la « plage de travail basse » du circuit RRA

Il est souvent difficile de déterminer rapidement et définitivement les mesures correctives propres à éviter qu’un événement qui s’est produit et a été analysé en détail ne se reproduise. Un exemple caractéristique concerne le risque d’interruption du refroidissement du cœur lorsque le réacteur est à l’arrêt avec le circuit primaire partiellement vidangé jusqu’au niveau des tuyauteries des boucles. Des événements sont survenus dans ces conditions en France dans les années 1979 et 1980 et dans de nombreux pays qui exploitent des réacteurs à eau de types voisins. Ces événements ont tout particulièrement mis en évidence un risque significatif de fusion du cœur dans les états d’arrêt, à l’égard duquel des mesures supplémentaires de prévention s’imposaient.

La figure 22.1 présente un schéma d’implantation des composants dans un réacteur (l’exemple est celui d’un réacteur de 1 300 MWe) du parc électronucléaire. La vidange partielle du circuit primaire jusqu’à une cote légèrement inférieure au niveau le plus haut des tuyauteries de ce circuit peut être utilisée pour effectuer la vidange des générateurs de vapeur et assurer un balayage à l’air du circuit avant l’ouverture de la cuve. Cela limite les contraintes radiologiques ultérieures pour le personnel grâce au balayage. Par ailleurs, pour permettre l’intervention de personnels dans les boîtes à eau des générateurs de vapeur et le contrôle des tubes des générateurs de vapeur alors que le cœur n’est pas déchargé, les liaisons entre les boîtes à eau des générateurs de vapeur et les boucles primaires doivent être obturées par des tapes. Pour placer ces tapes, il est nécessaire de vider les boîtes à eau et d’obtenir une différence de niveau suffisante pour éviter toute remontée d’eau intempestive pendant leur mise en place manuelle. Le niveau d’eau correspond à un remplissage à 70 % des tuyauteries chaudes et froides du circuit primaire, niveau plus faible que celui qui est nécessaire pour les opérations préalables à l’ouverture de la cuve.

Le circuit de refroidissement du réacteur à l’arrêt (RRA), qui assure le refroidissement du cœur du réacteur dans ces configurations, est connecté au circuit primaire au bas des tuyauteries. Comme la garde d’eau est relativement faible, un débit d’aspiration trop élevé ou un niveau d’eau trop faible pourraient entraîner la création d’un vortex avec aspiration d’air. Les pompes pourraient alors se désamorcer, interrompant le refroidissement correct du cœur. Ces difficultés n’ayant pas été identifiées lors de la conception des tranches, la mesure de niveau disponible était unique, peu précise et peu fiable.

Figure 22.1. Schéma d’implantation des composants d’un réacteur de 1 300 MWe. IRSN.

Conséquences possibles

Dans les configurations envisagées, le circuit primaire d’un réacteur de 900 MWe contient de l’ordre de 70 m3 d’eau, mais seuls les 45 m3 d’eau contenus dans la zone du cœur du réacteur et au-dessus de lui doivent être pris en compte pour les délais d’ébullition. Après trois jours d’arrêt en fin de cycle, la puissance résiduelle dégagée par le cœur est de l’ordre de 12 MW. Il suffit alors de 15 minutes environ sans refroidissement pour que la température de cette masse d’eau passe de 40 °C à 100 °C. Ensuite, le découvrement du cœur commence dès que les 12,5 m3 d’eau situés au-dessus des assemblages combustibles ont été vaporisés ; cela ne prend que 40 minutes supplémentaires. Ces délais augmentent quand la puissance résiduelle diminue, mais il faut noter que, au bout d’un mois, la puissance résiduelle est encore de 4,5 MW, ce qui donne des délais de 40 minutes avant ébullition et 146 minutes au total avant le début du dénoyage du combustible. Les temps réels sont en fait un peu plus longs de par la capacité calorifique des structures métalliques du cœur.

L’ébullition de l’eau entraînerait de la vapeur contaminée dans le bâtiment du réacteur alors que du personnel pourrait y être présent. Le dénoyage du combustible provoquerait des ruptures de gaines, entraînant des conséquences radiologiques beaucoup plus importantes pour ce même personnel, voire à l’extérieur si le bâtiment du réacteur n’assurait pas un confinement convenable.

Le premier événement de ce type qui a été analysé en détail (notamment par l’IPSN) est celui qui s’est produit dans le réacteur n° 1 de la centrale nucléaire du Blayais le 6 mai 1983 lors de la vidange de la piscine du réacteur pour remettre le couvercle de la cuve, après rechargement du combustible ; l’isolement intempestif de la mesure du niveau d’eau dans la cuve, trompant les opérateurs, a conduit à une baisse excessive de ce niveau, au dénoyage de la prise d’entrée d’eau dans le circuit de refroidissement du réacteur à l’arrêt, à l’arrêt du refroidissement du cœur pendant deux heures et à une augmentation de 20 °C de la température de l’eau du circuit primaire. Le réacteur était arrêté depuis 93 jours et dissipait une puissance résiduelle de 1,4 MW environ.

Dispositions correctrices mises en œuvre

Les actions retenues par EDF à la suite de cet événement ont été les suivantes :

–modification de la mesure du niveau d’eau dans la cuve et vérification systématique du lignage de cette mesure,

–modification de la procédure de vidange, avec une limitation du débit de vidange,

–clarification des procédures correspondantes,

–information des centrales et formation des opérateurs.

À la fin de 1983, l’IPSN a suggéré que des mesures plus fiables de niveau et de température de l’eau du circuit primaire soient installées. Ces suggestions ont été reprises par le Groupe permanent d’experts pour les réacteurs nucléaires et ont fait l’objet de demandes du Service central de sûreté des installations nucléaires en 1987.

Le même type d’événement s’étant produit aux États-Unis à plusieurs reprises, le sujet a par ailleurs été discuté au sein d’un groupe de travail mis en place par l’Agence de l’énergie nucléaire de l’Organisation de coopération et de développement économiques (OCDE/AEN) en 1985 pour étudier les défaillances des systèmes de sûreté déclarées à l’Incident Reporting System (IRS). Le rapport de ce groupe, diffusé en novembre 1986, signale l’existence de 19 rapports IRS faisant état d’incidents de baisses de niveau du fluide primaire dans des états d’arrêt de réacteurs, certains de ces rapports concernant plusieurs événements. Les mesures correctives suggérées, obligatoirement très générales dans ce cadre s’agissant d’une grande variété d’installations, confirmaient celles qui ont été présentées ci-dessus.

D’autres événements concernant le refroidissement d’un réacteur à l’arrêt se sont produits dans des tranches françaises au cours des années suivant l’événement de 1983. Dans le réacteur n° 4 de la centrale nucléaire du Blayais, le refroidissement du cœur du réacteur a été interrompu pendant 25 minutes en 1985, conduisant à un échauffement de 25 °C de l’eau du circuit primaire. Dans le réacteur n° 1 de la centrale nucléaire de Cruas-Meysse, en 1987, la pompe de refroidissement à l’arrêt en service a fonctionné pendant 3 heures et 30 minutes dans des conditions perturbées sans dégradation ni perte du refroidissement du cœur du réacteur.

Ces événements ont conduit EDF à renforcer les mesures préventives par la mise « en attente » (à disposition) d’un moyen d’appoint d’eau au circuit primaire par la réserve d’eau de l’injection de secours et, en 1988, par la mise en place d’un second moyen de mesure du niveau d’eau utilisant une technologie différentiée de la mesure en place, par ultrasons.

Pendant la même période, plusieurs événements du même type se sont encore produits dans des réacteurs aux États-Unis (réacteur n° 2 de la centrale de San Onofre en 1986, réacteur n° 2 de la centrale de Diablo Canyon en 1987). À la suite de ces événements, l’U.S.NRC a adressé une « lettre générique »647 aux exploitants appelant leur attention sur les risques correspondants.

Cette lettre et les premiers résultats des études probabilistes réalisées en France qui montraient la part significative des situations à l’arrêt dans la fréquence globale calculée de fusion du cœur648 ont amené EDF à définir, en 1989, des prescriptions complémentaires aux spécifications techniques d’exploitation, relatives aux états d’arrêt à froid pour intervention.

Avec ces prescriptions complémentaires, la défense en profondeur a ainsi été renforcée :

–amélioration de la prévention par :

•la redondance et la diversification des moyens de mesure du niveau d’eau dans la cuve,

•une procédure de vidange améliorée,

•la disponibilité des deux files du système de refroidissement du réacteur à l’arrêt, ainsi que l’existence de possibilités de secours de ce système, soit par un générateur de vapeur quand le circuit primaire est fermé et rempli d’eau, soit par le système de refroidissement des piscines (PTR) quand ce n’est pas le cas,

•la fixation d’un délai minimal avant l’ouverture du circuit primaire garantissant un délai de réaction d’une heure avant le début de dénoyage du combustible,

•l’ouverture du trou d’homme du pressuriseur avant toute autre ouverture du circuit primaire pour éviter la vidange du cœur par montée en pression en cas de perte du refroidissement,

•la stricte limitation des interventions sur les circuits connectés au circuit primaire ou au circuit de refroidissement du réacteur à l’arrêt ;

–amélioration de la surveillance par :

•un meilleur suivi des paramètres de fonctionnement du circuit de refroidissement du réacteur à l’arrêt (mesures de température, d’intensité du courant appelé par les pompes, de débit, de pression),

•un point d’arrêt avant la baisse du niveau d’eau dans le circuit primaire en dessous du niveau bas du couvercle de la cuve, point d’arrêt qui ne peut être levé qu’après le contrôle de l’ensemble des mesures précédentes ;

–amélioration de la limitation des conséquences en cas de situation anormale par :

•la disponibilité de deux files d’appoint d’eau par gravité à partir du réservoir d’eau de l’injection de sécurité et de la piscine du combustible,

•le maintien du confinement,

•la mise en attente de parades en cas de perte totale des alimentations électriques,

•des procédures incidentelles d’appoint d’eau et de secours du circuit de refroidissement du réacteur à l’arrêt.

De son côté, la Direction de la sûreté des installations nucléaires a décidé, en 1990, de soumettre à son accord préalable tout passage à la plage de travail basse du système de refroidissement du réacteur à l’arrêt (PTB-RRA).

À la suite de la publication en 1990 des résultats des études probabilistes de sûreté françaises qui ont tout particulièrement souligné l’importance de la fréquence estimée de fusion du cœur dans ces configurations particulières, EDF a décidé de lancer un programme complet d’études et d’essais à ce sujet. Ce programme a comporté une analyse de l’ensemble du retour d’expérience français et étranger, des calculs complémentaires de thermohydraulique pour la détermination des marges de fonctionnement du système RRA par rapport à la cavitation ou aux phénomènes de vortex ainsi que la mise au point de moyens de mesure complémentaires. Les résultats de ces études ont été présentés aux organismes de sûreté à la fin de 1994. Parmi les moyens complémentaires, la mise en place d’un système d’appoint automatique d’eau au circuit primaire était retenue.

Toutefois, malgré les mesures mises en place, des événements se sont encore produits. On notera en particulier celui survenu le 29 janvier 1994 à la centrale nucléaire du Bugey, au cours duquel l’imprécision de documents de conduite a permis la création et le maintien d’une situation de vortex pendant plus de huit heures ; le refroidissement du cœur n’a toutefois pas été affecté. Deux équipes de quart successives ont été concernées par cette situation, et l’ingénieur de sûreté n’a pas détecté l’anomalie lors de son passage en salle de commande. Cet événement est à l’origine du lancement, au sein d’EDF, de la démarche « transitoires sensibles » pour l’ensemble du parc électronucléaire, qui fait l’objet d’une directive spécifique (DI 118), régulièrement mise à jour (voir aussi le paragraphe 25.2.1). Cette démarche met l’accent sur la préparation de l’activité, la préparation des intervenants pour la conduite du transitoire : analyse ou rappel des risques, répartition des rôles, organisation de la surveillance en salle de commande.

22.2.Événements répétitifs de perte
de fonctions de sûreté liés aux opérations
de maintenance – Enseignements tirés

22.2.1.Les événements

Pendant la période allant de janvier 1986 à décembre 1989, plusieurs événements liés à des interventions de maintenance, impliquant la perte complète d’une fonction de protection ou de sauvegarde, sont survenus en France et à l’étranger. Si la perte partielle d’une fonction de sûreté est envisagée dans les études de conception, la perte simultanée de matériels identiques assurant une même fonction ou appartenant à des voies redondantes est anormale et doit rester exceptionnelle, cela malgré la mise en place de parades sur les sites (matériels et procédures complémentaires).

À l’étranger, l’événement survenu en 1987 à la centrale nucléaire de Philippsburg en Allemagne (région de Karlsruhe) peut être rappelé. Pendant l’arrêt annuel pour rechargement, à la suite de l’essai périodique de contrôle du réglage des seuils du système de protection du réacteur, l’exploitant a constaté que l’ensemble des groupes électrogènes (à moteur diesel) de sauvegarde avaient été déconnectés du système de protection du réacteur. Les séquences de démarrage et de relestage des actionneurs de sauvegarde avaient ainsi été rendues inopérantes sur quatre voies redondantes pendant une quinzaine d’heures. Dès la découverte de cette anomalie, les groupes électrogènes ont bien entendu été reconnectés au système de protection du réacteur. Les causes de l’événement ont été identifiées comme résultant à la fois d’une mauvaise organisation et de procédures inadaptées. Le circuit primaire était vidangé aux trois quarts des boucles (le niveau d’eau à la plage de travail basse du circuit de refroidissement à l’arrêt – PTB-RRA) en vue de l’ouverture du couvercle de la cuve. En cas de perte des alimentations électriques externes, le secours automatique des actionneurs assurant le refroidissement n’aurait pas fonctionné, ce qui aurait conduit à un échauffement relativement rapide du circuit primaire.

En France, les événements les plus caractéristiques sont les suivants.

–Au mois de mai 1988, dégradation de la fonction de filtration de l’eau brute à la centrale nucléaire de Cruas-Meysse.

Lors d’une ronde journalière, des déchirures ont été mises en évidence sur les quatre tambours filtrants du circuit de refroidissement des condenseurs des réacteurs de cette centrale. Ce système assure, en aval des grilles de la prise d’eau, la filtration de l’eau brute qui constitue la source froide. À ce titre, il constitue l’un des maillons assurant le refroidissement du cœur. Les investigations menées par l’exploitant ont montré que l’origine de ces déchirures remontait à cinq mois avant la découverte de l’indisponibilité partielle de la fonction de filtration. Les déchirures observées étaient dues à des chutes de corps étrangers liées à la réalisation de modifications. Il n’y a pas eu de conséquences réelles de cette indisponibilité puisque le fonctionnement des tranches n’a pas été perturbé et que l’encrassement des échangeurs du circuit de réfrigération intermédiaire n’a pas augmenté de façon inhabituelle pendant cette période. En fait, la taille des déchirures était suffisamment faible pour ne pas altérer de façon significative la qualité de l’eau de refroidissement. Les conséquences auraient pu être plus sérieuses si des déchirures plus importantes avaient conduit à une dégradation de la qualité de l’eau filtrée, en particulier dans les périodes où l’eau du fleuve est très chargée (feuilles mortes, orages). Le risque encouru aurait alors été un encrassement et un bouchage des tuyauteries ou des échangeurs du circuit de réfrigération intermédiaire et donc la perte du refroidissement de circuits de contrôle chimique et volumétrique et de traitement et de refroidissement de piscines d’entreposage de combustibles usés (cette situation accidentelle était toutefois envisagée dans le cadre des procédures « hors dimensionnement »).

–Au mois de mai 1988, perte simultanée des deux voies du circuit de réfrigération intermédiaire du réacteur B3 de la centrale nucléaire de Chinon.

Lors de l’événement, le réacteur est en arrêt pour rechargement du cœur, les combustibles usés sont dans le bâtiment du combustible. Les échangeurs des deux voies du système d’aspersion d’eau dans l’enceinte sont isolés et ont été vidangés du côté secondaire (circuit RRI) en vue de la réalisation d’essais périodiques. Une file du circuit de réfrigération intermédiaire est en service. La remise en service des échangeurs conduit à l’apparition d’un niveau d’eau bas dans les deux files du circuit, ce qui amène l’équipe de conduite à forcer l’arrêt de l’ensemble des pompes, entraînant la perte totale de la fonction de réfrigération intermédiaire durant 38 minutes. Le refroidissement de la piscine du bâtiment du combustible a été arrêté alors que les éléments combustibles du cœur étaient dans ce bâtiment. Cependant l’inertie thermique de la piscine était telle que l’élévation de température de l’eau de cette piscine a été négligeable.

–En août 1989, dégradation par mode commun de la protection contre les surpressions du circuit primaire du réacteur n° 1 de la centrale nucléaire de Gravelines.

La protection du circuit primaire contre les surpressions est assurée par trois tandems de soupapes pilotées (SEBIMTM). Chaque tandem comporte une soupape de décharge ou de protection, associée à une soupape d’isolement située en aval. Chacune de ces soupapes est actionnée par la pression transmise par des « lignes d’impulsion » vers un dispositif de pilotage. Une restriction anormale de l’alimentation du dispositif de pilotage des trois soupapes de protection du circuit primaire du réacteur n° 1 de la centrale nucléaire de Gravelines a été mise en en évidence au mois d’août 1989, lors du contrôle du tarage des soupapes réalisé à l’occasion de l’arrêt de la tranche pour rechargement du cœur. L’événement résultait d’une erreur de montage (montage de vis pleines au lieu de vis percées) lors de l’arrêt précédent, en 1988, au cours des opérations de déconnexion et de reconnexion des lignes d’impulsion réalisées notamment pour des essais périodiques de contrôle du tarage des soupapes. À l’issue de l’intervention, considérée comme limitée, sur le dispositif de pilotage, il ne fut pas procédé à un essai de manœuvrabilité des soupapes, essai qui n’était d’ailleurs pas requis par les procédures. Cette anomalie aurait pu conduire, en cas de sollicitation des soupapes, à une ouverture plus tardive et pour des pressions plus élevées que celles qui étaient spécifiées. L’ouverture des soupapes restait cependant possible grâce à l’électrovanne de purge commandée manuellement. L’événement n’a pas eu de conséquences immédiates dans la mesure où les soupapes n’ont pas été sollicitées dans la période considérée de juin 1988 à août 1989.

Aussitôt après la découverte de l’événement, EDF s’est rapidement assuré que, dans l’ensemble des autres réacteurs du parc électronucléaire, les « lignes d’impulsion » étaient bien pourvues de vis percées. Il apparaît que c’est essentiellement le caractère présumé anodin de l’intervention qui explique l’erreur de montage à l’origine de l’incident. Un enseignement important de cet événement est le risque de mode commun associé à des interventions réalisées de façon simultanée sur des matériels identiques redondants ou participant à une même fonction.

–En août 1989, indisponibilité d’un système de sauvegarde du réacteur n° 1 de la centrale nucléaire de Dampierre-en-Burly.

Le 1er août 1989, l’exploitant a découvert dans ce réacteur la présence de fonds pleins dans les traversées de soufflage du circuit de brassage de l’air de l’enceinte de confinement et de recombinaison de l’hydrogène. Ces fonds pleins (provisoires) avaient été mis en place sur les deux voies de ce circuit, pour l’épreuve d’étanchéité de l’enceinte de confinement lors du dernier arrêt pour rechargement, en septembre 1988. En cas d’accident de perte de réfrigérant primaire (APRP), ces tapes auraient rendu la recombinaison de l’hydrogène inefficace. Un événement similaire était survenu en avril 1987 dans les réacteurs n° 2 et n° 3 de la centrale nucléaire du Bugey. Cet oubli illustre les risques associés aux moyens particuliers utilisés par la maintenance.

À la suite de ces événements et au-delà de leur analyse et des dispositions correctrices mises en place, une réflexion plus générale sur les arrêts de tranche a été engagée en 1989 par EDF, à la demande du ministre en charge de l’industrie et de l’aménagement du territoire ainsi que du secrétariat d’État auprès du Premier ministre, chargé de la prévention des risques technologiques et naturels majeurs « que soit engagée d’urgence au sein de l’établissement une analyse critique de l’ensemble des organisations et des moyens mis en place pour assurer la qualité des opérations de maintenance »649. Pour cette analyse critique650, le choix des axes d’investigation, l’avancement des réflexions et des décisions d’Électricité de France ainsi que leur application sur les sites ont été examinés par les organismes de sûreté. Le sujet fera de plus l’objet de discussions lors de deux séances du Conseil supérieur de la sûreté et de l’information nucléaires (CSSIN), en 1990 et en 1991, qui souhaitait suivre la progression du dossier de l’amélioration de la maintenance à Électricité de France.

Certains types d’événements ont été identifiés dans le cadre de l’analyse menée. L’un d’eux concerne le lignage des capteurs de niveau d’eau dans les pressuriseurs ; plusieurs événements étaient en effet survenus en 1989 et 1990 :

–Au mois d’octobre 1989, un endommagement de chaufferettes du pressuriseur du réacteur n° 2 de la centrale nucléaire de Flamanville.

La mise en pression du circuit primaire nécessite la formation d’une bulle de vapeur dans le pressuriseur. La mise en service de chaufferettes électriques conduit, par ébullition de l’eau, à la formation de cette bulle. Lors du redémarrage du réacteur n° 2 de la centrale de Flamanville après rechargement du cœur, une erreur de lignage de vannes de plusieurs capteurs de niveau d’eau du pressuriseur a conduit au dénoyage des chaufferettes lors de l’opération de formation de la bulle. La vanne d’isolement de la prise d’impulsion basse (voir le focus plus loin : vanne RCP 81 VP) de quatre capteurs de niveau sur cinq étant restée fermée, les opérateurs n’ont pas observé d’anomalie lors du remplissage initial du pressuriseur. Ainsi, lors de la mise en pression du circuit primaire, ces quatre capteurs ont indiqué un niveau maximum alors que la bulle était en cours de formation. Le seul capteur en service a été ignoré car suspecté de dysfonctionnement en raison de la différence de son comportement par rapport aux quatre autres. La vidange effective du pressuriseur s’est ainsi poursuivie jusqu’au dénoyage des chaufferettes, ce qui a entraîné leur destruction par surchauffe. À ce moment, l’équipe de conduite a réalisé qu’une situation anormale se développait et a procédé aux opérations qui ont conduit à remplir à nouveau le pressuriseur. Le redémarrage du réacteur a alors été interrompu et celui-ci a été amené en arrêt à froid pour intervention. L’examen montrera que 65 chaufferettes ayant fonctionné dénoyées ont été détériorées. Cet événement, qui n’était pas susceptible de conduire à une dégradation du cœur, est significatif pour ce qui concerne les enseignements à en tirer du fait de sa cause liée à une intervention simultanée sur plusieurs éléments redondants d’une même fonction. On peut noter qu’il s’est développé du fait de la confiance accordée à quatre indications de niveau erronées sans qu’un recoupement avec d’autres informations disponibles en salle de commande n’ait été réalisé de façon méthodique. Il est, en ce sens, et uniquement en ce sens, à rapprocher de l’accident de TMI où l’opérateur n’avait pas identifié le maintien en position ouverte d’une vanne de décharge du pressuriseur à cause d’une indication erronée de la « position » de cette vanne.

#FOCUS

Les mesures de niveau d’eau dans les pressuriseurs
(événement de 1989)

Pour compléter la description de l’événement de 1989 faite plus haut, le principe des mesures du niveau d’eau dans les pressuriseurs est décrit succinctement ci-après (description correspondant à l’état du parc en 1989).

Les mesures du niveau de l’eau dans le pressuriseur sont faites par des capteurs différentiels qui mesurent le poids d’une colonne d’eau de dix mètres environ à partir de huit piquages sur l’enveloppe du pressuriseur (figure 22.2). Ces piquages alimentent également des capteurs de pression ; chacun d’eux est doté d’une vanne de tête assurant l’isolement du circuit de mesure ; elle est considérée comme faisant partie du circuit primaire. Ces vannes portent chacune un numéro d’identification particulier qui est porté sur les plans et utilisé dans les procédures. Leur manœuvre est de la responsabilité du service Conduite.

Chaque capteur de niveau est doté d’un séparateur, de purges, de moyens de test, et de sept vannes considérées comme faisant partie de l’instrumentation elle-même ; elles sont cependant implantées relativement loin du capteur, aux deux niveaux des piquages, distants verticalement de 11,5 mètres, soit près du pressuriseur, soit au-delà de la barrière « anti-projectile » qui protège cet appareil. Elles sont accessibles par différents niveaux de planchers échelonnés sur une douzaine de mètres.

Ces vannes n’ont pas de numérotation spécifique ; elles sont repérées localement par des indications V1 à V7, sans mention du capteur correspondant, et ne sont en général pas représentées sur les plans à la disposition du service Conduite. Leur manœuvre est de la responsabilité du service Automatismes.

Figure 22.2. Schéma de principe des capteurs de mesure du niveau d’eau dans le pressuriseur. IRSN.

–Au mois de septembre 1990, indisponibilité des six capteurs de mesure de débits de vapeur du réacteur n° 1 de la centrale nucléaire de Dampierre-en-Burly.

Lors du redémarrage de ce réacteur après son premier arrêt décennal, au moment du couplage au réseau électrique (le réacteur étant alors à une puissance de 15 % de sa puissance nominale), les opérateurs se sont aperçus de l’absence d’évolution des débits de vapeur : l’ensemble des capteurs de débit de vapeur étaient restés isolés du fait d’une requalification incomplète. Le réacteur a été aussitôt ramené en attente à chaud pour refaire les réglages nécessaires et remettre les capteurs en fonctionnement. Du point de vue de la sûreté, le déclenchement de l’injection de sécurité par les signaux de débit de vapeur était indisponible sur les trois générateurs de vapeur du réacteur concerné. Les autres protections auraient toutefois joué leur rôle en cas de rupture d’une tuyauterie de vapeur, notamment le déclenchement de l’injection de sécurité par pression différentielle élevée entre lignes de vapeur, ou par très basse pression dans le pressuriseur. Cet événement a eu pour origine un défaut de requalification à la suite d’erreurs successives que l’on a estimé être dues à une certaine parcellisation des tâches et des responsabilités, tant chez l’intervenant (Framatome) que chez l’exploitant. Il faut cependant souligner qu’il était prévu d’effectuer une requalification fonctionnelle des capteurs pendant la montée en puissance du réacteur ; la requalification était prévue mais arrivait trop tard.

–Au mois de mars 1990, un isolement de capteurs de mesure du niveau d’eau dans le pressuriseur du réacteur n° 2 de la centrale nucléaire de Cruas-Meysse.

Lors de l’incident, le réacteur avait été arrêté pendant 15 jours pour une intervention non programmée sur un générateur de vapeur. Lors du passage de l’état d’arrêt à froid pour intervention à l’état d’arrêt à froid normal, l’exploitant a procédé à la mise sous vide du circuit primaire avant de compléter le remplissage en eau de ce circuit. Les capteurs de niveau d’eau du pressuriseur du réacteur avaient été changés en 1989 pour être remplacés par des capteurs qualifiés aux conditions accidentelles. Les nouveaux capteurs ne supportant pas la mise sous vide, la procédure de conduite propre à la centrale avait été modifiée. Un ajout demandait d’isoler ces capteurs pendant la mise sous vide par les « vannes des capteurs de niveau », sans plus de précision. La fermeture des vannes de tête entraînait l’isolement du capteur utilisé pour le suivi du niveau lors du remplissage du circuit primaire. Ce suivi demandait alors une présence en local. De plus, ce capteur, de technologie différente, n’avait pas besoin d’être isolé. Il fallait donc intervenir sur les vannes associées aux capteurs concernés et non sur les vannes de tête. Le texte de la procédure ne précisait pas qui devait réaliser cet isolement, quelles vannes devaient être manœuvrées et de quelle manière. Rédacteur et vérificateur ne connaissaient pas parfaitement le détail des circuits de mesure. Il en est résulté différentes actions incohérentes sur des vannes − non repérées en local −, par des équipes de quart successives. Finalement, c’est au bout de trois jours, après le remplissage en eau du circuit primaire et lors de la formation de la bulle dans le pressuriseur, qu’un opérateur a diagnostiqué des indications anormales fournies par les capteurs et demandé une vérification en local. Des erreurs de lignage ont alors été mises en évidence et, après correction, le redémarrage du réacteur a pu reprendre.

–Au mois de novembre 1990, un isolement de capteurs de mesure du niveau d’eau dans le pressuriseur du réacteur n° 4 de la centrale nucléaire de Gravelines.

Lors de l’événement, le réacteur est en phase de redémarrage après l’arrêt annuel pour rechargement du cœur. Avant la mise sous vide du circuit primaire, les capteurs de mesure du niveau d’eau dans le pressuriseur sont isolés. Ces capteurs ont, comme dans le réacteur n° 2 de la centrale de Cruas-Meysse, été changés en 1989 pour être remplacés par des capteurs qualifiés aux conditions accidentelles. C’est la première fois que les opérations d’isolement des capteurs de niveau d’eau dans le pressuriseur avant la mise sous vide du circuit primaire sont effectuées dans le réacteur n° 4 de la centrale de Gravelines. Les vannes associées aux capteurs ne portent aucun repérage. Le préparateur de l’équipe des automaticiens s’en rend compte et ajoute un plan sur lequel les vannes concernées sont coloriées. Les capteurs sont isolés. Le jour suivant, les capteurs doivent être remis en service après le remplissage du circuit primaire. La charge de travail de l’équipe des automaticiens, qui a réalisé les isolements, est particulièrement lourde ce jour-là ; le travail est confié à une équipe différente de celle qui a opéré la veille. Comme cela se pratique pour remettre en service un capteur de pression, elle ouvre les vannes les plus proches des capteurs. Elle ignore cependant que les circuits des capteurs de mesure du niveau sont plus complexes et ne réalise qu’une partie de l’intervention. Le défaut de lignage est détecté deux jours après, lors de la montée en température pour formation de la bulle dans le pressuriseur ; il est corrigé et les opérations de redémarrage peuvent alors reprendre.

Les actions correctives ont concerné :

–le repérage des vannes d’instrumentation de certains capteurs,

–la formalisation de la vérification du fonctionnement des capteurs dont l’indication peut être validée par des manœuvres d’exploitation ou des essais périodiques,

–la mise en place d’un contrôle supplémentaire pour les capteurs dont l’indication ne peut pas être validée en exploitation normale,

–la cohérence des gammes d’intervention au niveau national,

–des instructions aux sites pour recenser les capteurs à contrôler lors d’un arrêt fortuit.

Un autre type d’événements a concerné des modes communs dus à l’utilisation d’appareillage de mesure et de calibrage inadaptés :

–En juillet 1988, un mauvais calibrage des deux capteurs de mesure de la pression du pressuriseur dans le réacteur Chooz A.

Alors que le réacteur était à 100 % de sa puissance nominale, des sollicitations inhabituelles des vannes d’isolement des lignes de décharge du pressuriseur ont été constatées. L’exploitant a alors décidé d’effectuer une mesure de la pression du circuit primaire à l’aide d’un capteur étalon, préalablement vérifié. Celui-ci indiquait 136 bars au lieu des 138 bars attendus. Ce constat a conduit l’exploitant à décider la mise à l’arrêt à froid du réacteur pour dépose, contrôle et réétalonnage des capteurs incriminés. Les vérifications qui s’ensuivirent ont mis en évidence un écart d’environ + 3 bars par rapport à la pression réelle. La cause de cet événement est l’utilisation d’un matériel de contrôle inadapté. Lors de l’arrêt de tranche pour rechargement qui avait débuté le 24 avril 1987, l’ensemble de ces capteurs avaient été déposés puis contrôlés en atelier à l’aide d’un dispositif d’étalonnage assurant la précision requise. Or, du fait de la prolongation de l’arrêt de tranche, l’exploitant avait ensuite décidé de procéder, avant le redémarrage du réacteur en avril 1988, à un nouveau contrôle des capteurs de pression du circuit primaire ; pour ce faire et afin d’éviter la dépose et le transport des capteurs à l’atelier, une reprise de leur réglage a été effectuée in situ à l’aide d’un système portatif dont il est apparu que l’étalonnage était décalé. Une vérification du manomètre équipant la pompe d’épreuve portative a en effet mis en évidence un décalage de + 3 bars sur toute l’étendue de sa gamme de mesure.

Cet événement n’a eu aucune conséquence directe sur la sûreté, car les protections et les systèmes de sauvegarde concernés par ces capteurs n’ont pas été sollicités. En termes de conséquences potentielles, les mesures de pression servant à la régulation et à l’élaboration des protections et des actions de sauvegarde étant toutes décalées d’environ + 3 bars, il pouvait en résulter un retard à la sollicitation lors d’une baisse de pression. Les estimations faites par l’exploitant à partir des études d’accidents ont montré que ce retard serait resté très faible (de l’ordre de quelques secondes). Par ailleurs, la marge à l’ébullition était réduite d’environ 3 bars par rapport à la valeur moyenne ; à ce sujet, l’exploitant a souligné que la pression primaire réelle restait supérieure à celle qui est retenue dans les études d’accidents (135,5 bars). Il faut toutefois noter que si l’écart avait été plus important, la situation n’aurait plus été couverte par les études d’accidents.

–En avril 1989, un mauvais tarage des soupapes de protection des générateurs de vapeur du réacteur n° 2 de la centrale nucléaire du Tricastin.

Lors de la découverte de l’événement, l’essai de vérification du tarage des soupapes de protection des générateurs de vapeur était effectué, le réacteur étant en arrêt à chaud. L’analyse des résultats de cet essai a mis en évidence une erreur de tarage, datant de l’arrêt précédent (1988), liée à la méthode employée. Le tarage de deux soupapes était respectivement 1,2 et 1,4 bar en dessous de la limite basse du critère d’acceptabilité. L’absence de prise en compte des incertitudes relatives à la mesure des pressions dans les générateurs de vapeur en fonction de la technologie du matériel de mesure employé est la cause profonde de cet incident. En effet, le matériel de mesure qui avait été utilisé en 1988 était différent de celui qui était préconisé par la gamme d’essai. L’erreur sur la mesure induite par le matériel utilisé a été supérieure à celle qui était prise en compte dans la gamme pour définir l’étendue de l’intervalle de tolérance, ce qui n’a pas été perçu par l’intervenant.

L’événement n’a eu aucune conséquence directe sur la sûreté de l’installation. Un tarage trop faible peut être considéré comme pénalisant en cas d’accident de rupture de tube de générateur de vapeur, car il peut entraîner une ouverture anticipée des soupapes concernées, un risque de blocage de celles-ci en position ouverte (les soupapes ne sont pas qualifiées en eau) et donc des rejets plus importants dans l’atmosphère. Toutefois, dans ce cas de l’événement de Tricastin 2, le circuit de contournement à l’atmosphère aurait écrêté la pression et il n’y aurait pas eu d’augmentation des rejets dans l’atmosphère en cas d’ouverture d’une soupape. Il faut noter cependant que, si aucun sur-tarage n’a été mis en évidence, une erreur plus importante dans le sens du sous-tarage aurait eu pour conséquence possible des sollicitations intempestives d’une ou plusieurs soupapes si leur pression de tarage avait été inférieure à la pression de consigne du circuit de contournement à l’atmosphère.

–En mai 1990, un déréglage des quatre chaînes de mesure neutronique du niveau de puissance du réacteur n° 6 de la centrale nucléaire de Gravelines.

Lors de la réalisation d’un essai périodique des chaînes neutroniques de niveau de puissance de ce réacteur, il a été constaté que la première chaîne vérifiée était « hors tolérance ». Une vérification de l’appareillage d’essai a alors fait apparaître qu’il n’était pas conforme aux spécifications du constructeur. L’essai a été repris avec le même appareil remis en conformité et n’a plus montré d’anomalie.

Cependant, la validité de l’essai périodique exécuté avec ce même appareil sur le réacteur n° 6, qui avait entraîné la reprise des réglages des quatre chaînes de puissance de cette tranche, a été remise en cause ; une reprise de l’essai périodique avec un appareil conforme et préalablement vérifié a confirmé cette hypothèse et a conduit à la reprise de tous les réglages pour le réacteur n° 6. Le fonctionnement avec des réglages non conformes a duré 9 jours.

L’événement n’a eu aucune conséquence directe sur la sûreté. L’évaluation des conséquences potentielles de ces déréglages a montré que les marges disponibles, pour le cœur en place, à l’égard des hypothèses des études d’accidents étaient suffisantes pour garantir que la sûreté du réacteur n’avait pas été mise en cause durant cette période.

–En novembre 1990, une valeur « hors spécification » de la concentration du bore dans les trois accumulateurs du circuit d’injection de sécurité du réacteur n° 1 de la centrale nucléaire de Dampierre-en-Burly.

Lors d’un contrôle périodique, les chimistes de la centrale ont mis en évidence une valeur « hors spécification » de la concentration du bore dans tous les accumulateurs du système d’injection de sécurité du réacteur : la concentration mesurée était de 2 560 ppm, alors que la concentration requise par les spécifications était comprise entre 2 325 ppm et 2 475 ppm. La précédente mesure effectuée ayant donné une valeur correcte et aucun mouvement d’eau n’étant intervenu depuis lors, l’exploitant a contrôlé la chaîne de mesure du titrimètre (appareil servant à déterminer la concentration du bore). Il est apparu que le titre de la soude utilisée pour le dosage ne correspondait pas au titre « entré » dans la mémoire du calculateur. Cette erreur entraînait une surestimation de la valeur de la concentration de bore de l’ordre de 5,6 %. Après correction de l’anomalie, il est apparu que deux autres capacités d’eau borée étaient « hors spécification ». Un ajustement du bore, effectué par l’exploitant, a conduit à un retour dans les limites requises par les spécifications techniques.

D’autres événements similaires peuvent être notés :

–À la suite de la perte des alimentations électriques externes consécutive à l’incident du réseau électrique survenu le 12 janvier 1987, le réacteur n° 3 de la centrale nucléaire de Chinon n’a pas pu s’îloter du fait d’un mauvais calage de la protection ayant entraîné le déclenchement prématuré du groupe turboalternateur. Les groupes électrogènes à moteur diesel qui ont démarré lors du basculement de source ne se sont pas couplés automatiquement sur les tableaux secourus car les relais de protection à minimum de tension étaient réglés à 0,6 Un (tension nominale) au lieu de 0,7 Un. Cette erreur de réglage était due à une défaillance du banc d’étalonnage qui avait servi à régler ces relais. De plus, ce banc, réalisé localement, était commun à tout le site.

–En août 1987, alors que le réacteur n° 1 de la centrale nucléaire de Nogent-sur-Seine était en phase de montée en pression au début des essais précritiques à chaud, sa pression étant suivie en salle de commande sur les quatre indicateurs des capteurs de pression dans le pressuriseur, une inhibition de la fermeture des soupapes d’isolement des tandems SEBIMTM est apparue à 140 bars au lieu des 145 bars attendus. Or une intervention avait été faite quelque temps auparavant par le fabricant pour effectuer une intervention sur ces capteurs afin de limiter les battements sur les vannes d’aspersion d’eau dans le pressuriseur. Cette intervention, qui n’aurait pas dû avoir d’incidence sur les réglages de ces capteurs, a en fait provoqué un décalage du « zéro » de ceux-ci. L’anomalie a été corrigée par intercalibrage entre ces capteurs et celui de la pression primaire qui est situé à l’aspiration du circuit RRA, à l’aide d’une balance manométrique. Cet événement n’a pas résulté de l’utilisation d’un appareil de mesure et de réglage, mais il est à rapprocher de celui de Chooz A du point de vue des faits constatés.

–Une erreur humaine de maintenance, entraînant une pression de tarage incorrecte d’une soupape mécanique de protection d’un générateur de vapeur de la tranche n° 3 de la centrale nucléaire de Paluel a provoqué l’ouverture de celle-ci, à 76,2 bars, au mois de juillet 1988. Cet événement, bien que n’ayant pas nécessairement les mêmes origines, est à rapprocher de celui qui a affecté au mois d’avril 1989 le réacteur n° 2 de la centrale nucléaire du Tricastin pour ce qui est des conséquences.

–Un mauvais fonctionnement d’un enregistreur utilisé lors de la vérification du tarage des mêmes soupapes des générateurs de vapeur du réacteur n° 2 de la centrale nucléaire de Fessenheim, effectuée en mars 1990, a été à l’origine d’une erreur de réglage des coffrets d’assistance entraînant l’ouverture de plusieurs soupapes.

–En septembre 1991, un écart entre les concentrations de bore critiques théoriques, toutes grappes extraites et groupe R inséré, établies par la Division calcul nucléaire d’EDF, et les valeurs mesurées pour les mêmes conditions sur site à l’aide du titrimètre, a été mis en évidence lors des essais physiques de redémarrage du réacteur n° 2 de la centrale nucléaire de Chinon B. Une erreur sur le titre de la soude servant à la mesure de la concentration du bore dans les installations est à l’origine de cet écart ; elle a eu pour effet de fausser toutes les mesures réalisées dans les réacteurs n° 1 et n° 2, en les minorant de 5,5 %. Cela a conduit l’exploitant à effectuer des ajustements du bore dans les bâches, ainsi que des recalages des boremètres automatiques de mesure de la concentration du bore du circuit primaire des deux réacteurs. Après correction de l’erreur, certaines bâches d’eau borée se sont révélées « hors spécifications techniques » du fait d’une concentration de bore trop élevée.

L’analyse des événements dus à des matériels de mesure ou d’étalonnage a mis en évidence trois causes principales : l’utilisation d’un appareil défectueux, l’utilisation d’un appareil inadapté et la mauvaise utilisation d’un appareil. Elle a fait apparaître la nécessité d’une sensibilisation des intervenants au caractère de mode commun de ces défauts, qui peuvent être « propagés » à de multiples matériels.

Les enseignements tirés ont conduit EDF à élaborer une directive interne intitulée « Étalonnage et vérification des appareils de mesure et des étalons », à laquelle les sites ont été amenés à se conformer. Cette directive reprend les points principaux d’un document qui s’intitule « Doctrine d’étalonnage et de vérification des appareils de mesure et des étalons » et qui traite des actions à mettre en œuvre en matière d’étalonnage et de vérification afin de limiter les risques liés à l’utilisation d’un appareil de mesure ou d’étalonnage défectueux, notamment celui de mode commun en cas d’intervention sur des matériels redondants. Ces dispositions s’inscrivent dans le cadre plus général de la prévention des événements de mode commun (qui fait l’objet d’un document intitulé « Prévention des défaillances de mode commun »).

À la vue de ces événements, les organismes de sûreté ont estimé que l’attitude interrogative chez les intervenants devait être développée. En particulier, la règle fondamentale suivante méritait d’être rappelée et diffusée largement : lorsqu’une même correction doit systématiquement être effectuée sur deux matériels au moins, il y a un risque significatif de mode commun dû à l’utilisation d’un appareil de mesure ou de calibration et une analyse spécifique doit être entreprise. Cette règle doit permettre d’éviter bon nombre d’événements. Son application aurait permis de détecter précocement la majeure partie des anomalies évoquées ci-dessus. Des recommandations ont été formulées pour compléter et améliorer l’appropriation de la directive d’EDF. Enfin, des principes de prévention contre les risques liés aux interventions sur les voies redondantes ont été rappelés : lorsque cela est possible, décaler dans le temps les interventions de même nature sur les matériels redondants, assurer une requalification fonctionnelle des matériels après intervention.

22.2.2.Réflexion générale engagée par Électricité de France
à la fin des années 1980 sur la qualité des opérations
de maintenance

Seuls quelques points importants de l’analyse faite par EDF sont développés ici :

–Risques de défaillances de mode commun : les interventions de maintenance sur les matériels redondants peuvent conduire à une même anomalie sur toutes les voies, en particulier quand ces interventions sont regroupées dans le temps. Cela peut donc conduire à une perte de la totalité de la fonction de protection ou de sauvegarde concernée. Un recensement de l’ensemble de ces interventions a été tenté par EDF, mais il est apparu difficile car il faut tenir compte, d’une part de l’importance pour la sûreté du mode commun potentiel, d’autre part, des interventions programmées aussi bien que des interventions fortuites. Il est donc nécessaire que ces risques soient constamment présents à l’esprit de ceux qui assurent la gestion des arrêts de tranches et des travaux effectués. Les analyses ont fait ressortir qu’il était souhaitable que les interventions prévues dans les programmes de base de maintenance pour lesquels la période indiquée est supérieure à un an soient réparties sur plusieurs arrêts.

–Gestion des dispositions et moyens particuliers (DMP)651 : plusieurs événements ayant pour cause l’oubli de pièces provisoires utilisées pour réaliser un essai ou une intervention s’étaient produits sur le parc électronucléaire. Les DMP sont nombreux et variés. Certains ont été prévus à la conception ; il s’agit, par exemple, des tapes pleines du fond de la piscine du réacteur et du compartiment des structures internes de la cuve du réacteur, qui doivent être posées pour pouvoir remplir ces piscines lors des manutentions de combustible. Elles doivent obligatoirement être retirées lorsque le réacteur fonctionne pour éviter que l’eau d’aspersion puisse être retenue dans ces piscines en cas d’accident nécessitant le fonctionnement de l’aspersion d’eau dans l’enceinte de confinement. Ces tapes sont alors placées dans des racks particuliers ; une alarme retransmise sur une verrine en salle de commande est allumée si ces tapes ne sont pas toutes en place. Leur gestion ne pose pas de difficultés particulières. La plupart des autres moyens mécaniques provisoires (tapes, filtres, etc.) ne bénéficient pas des mêmes méthodes de gestion et de suivi. Ceux qui sont normalement rangés dans des armoires aux portes transparentes peuvent être surveillés par contrôle visuel du contenu de ces armoires.

–Les DMP électriques les plus utilisés sont des connexions provisoires (straps) et des « bornes à couteau ». Les straps sont normalement rendus visibles sur place par une couleur différente de celle de la filerie normale et munis d’une étiquette d’identification. Ils sont gérés administrativement par le « cahier des straps » disponible en salle de commande. Les modalités de gestion des straps ont été examinées dans le cadre du retour d’expérience de l’accident de Tchernobyl, à l’égard du risque d’inhibition des systèmes de sauvegarde. Le contrôle de la position des « bornes à couteau » qui sont de petites dimensions n’est possible qu’en ouvrant les armoires qui les contiennent. Un certain nombre d’incidents ont montré que cette méthode n’était pas pleinement efficace.

–Plusieurs centaines de DMP sont utilisées au cours d’un arrêt. Globalement, une large partie des dispositions et moyens particuliers est gérée à l’aide de différents documents, de différents moyens informatiques ou d’une gestion physique (cas des tapes de fond de piscine par exemple). Ce n’est pas obligatoirement le cas de ceux qui sont utilisés pendant de courtes durées, par une équipe réalisant l’ensemble de l’opération, de leur pose à leur dépose. L’établissement d’une liste exhaustive étant illusoire, EDF a cherché à décentraliser leur gestion au plus près des équipes qui les utilisent, tout en établissant une directive spécifique au niveau national (DI 74).

–Requalifications des matériels après intervention : le principe d’une requalification après intervention n’est retenu par EDF que si les conditions de l’intervention et les moyens de gestion des DMP ne donnent pas des garanties suffisantes. Il faut alors préciser dans chaque cas ce qui doit être requalifié, avec quelle procédure et à quel moment. Il existe en fait deux familles de documents d’essais disponibles pour réaliser les requalifications lors des arrêts de tranche :

•les gammes d’essais de démarrage qui sont en principe complètes et permettent de vérifier l’ensemble des fonctions, tant d’une manière qualitative que quantitative ; mais leur mise en œuvre peut nécessiter un état de la tranche qui n’est pas prévu au cours de l’arrêt ; en outre, une fois le démarrage d’un réacteur réalisé, le personnel d’exploitation n’a plus la pratique, voire la connaissance suffisante, des gammes d’essais de démarrage ;

•les gammes d’essais périodiques qui permettent de vérifier que les performances des systèmes qui n’ont pas subi d’intervention sont conservées dans le temps ; elles sont directement utilisables mais peuvent ne pas être suffisantes. Elles doivent elles-mêmes être utilisées dans une configuration adaptée de la tranche.

Si les organismes de sûreté ont convenu que la nécessité ou non d’essais de requalification après une intervention sur des équipements relevait d’une analyse au cas par cas, elles ont fortement poussé EDF à favoriser, autant que possible, ce type de vérification.

–« Démarche qualité sûreté » : les réflexions menées par EDF l’ont conduit à élaborer un canevas de réflexion permettant de mieux structurer les différentes interventions dans l’esprit de la défense en profondeur (par exemple en postulant des aléas dans la conduite des interventions de façon à définir la façon de les récupérer ou de limiter les conséquences). Cette démarche de préparation inclut une analyse des risques effectuée sur la base d’un guide d’analyse de risques. Ce guide mentionne plusieurs dizaines de défauts potentiels illustrés par des exemples parmi lesquels on trouve les défaillances de mode commun, les confusions de matériels, la création d’indisponibilités, l’oubli de dispositions et moyens d’essais provisoirement mis en place, les défauts de propreté, l’agression d’équipements voisins. L’application de cette démarche permet de hiérarchiser les efforts de préparation, d’exécution, de contrôle et de requalification. Elle peut également conduire à ne pas faire, si cela est possible, des interventions sur les différentes voies d’un système redondant lors d’un même arrêt (l’idée de faire faire de telles interventions par des équipes différentes n’a pas été retenue car elle multiplierait le nombre d’intervenants). Si l’analyse conduit à l’identification d’un risque particulier, la préparation de l’intervention donne lieu à la rédaction d’un plan qualité sûreté (PQS) qui explicite la manière de prévenir les risques, les points d’arrêt nécessaires et les contrôles correspondants, la manière de faire face à d’éventuels incidents en cours d’intervention et les besoins et moyens de requalification. Ce document est utilisé pour suivre l’intervention elle-même et pour consigner les différents résultats des contrôles ainsi que les anomalies rencontrées. Cette pratique, tout à fait favorable du point de vue de la sûreté, a été mise en œuvre progressivement, en priorité pour les interventions sur les systèmes de sauvegarde.

L’analyse effectuée par EDF a conduit à d’autres évolutions652, parmi lesquelles on peut citer :

–la réalisation de « chantiers écoles » pour préparer des interventions complexes,

–la pérennisation de structures de projet d’arrêt de tranche (voir le paragraphe 25.4), ainsi que de chargés d’affaires et de surveillance pour la gestion des travaux et des interventions lors des arrêts de tranche,

–la redéfinition du périmètre des activités des chefs d’exploitation des services de conduite, la mise « hors quart » des ingénieurs de sûreté afin de garantir une réelle indépendance dans leurs activités de surveillance,

–l’élargissement de l’implication des ingénieurs de sûreté aux activités de maintenance,

–le renforcement de la Mission sûreté qualité653 (MSQ).

22.2.3.Utilisation du concept de défense en profondeur
pour les interventions dans un réacteur en exploitation

Si le concept de défense en profondeur est, d’abord, un support de la démarche de conception des installations, il peut aussi être appliqué, dans son esprit, aux interventions qu’un exploitant est amené à faire sur les équipements d’une installation lorsqu’elle est en phase d’exploitation, qu’il s’agisse des essais périodiques, des opérations de maintenance ou de modifications.

Il peut, pour cette utilisation, être décliné en trois étapes principales :

–la prévention des événements et des anomalies lors des interventions, ou ultérieurement de leur fait, qui peut être assurée par :

•une préparation soigneuse des interventions et des documents associés,

•l’existence de gammes opératoires claires et conformes à l’état de l’installation,

•l’évaluation des risques potentiels,

•la vérification de la compatibilité des actions projetées avec l’état de l’installation compte tenu des règles d’indisponibilités définies par les spécifications techniques d’exploitation,

•la préparation des moyens de suivi et de contrôle,

•la détermination de dispositifs et systèmes de limitation des conséquences possibles,

•la désignation d’un personnel qualifié et suffisant,

•la stricte application des documents préparés,

•le processus de requalification nécessité par l’intervention ;

–la surveillance des interventions, assurée par :

•des vérifications périodiques des activités en cours, des contrôles, des inspections visuelles, des rondes, des points d’arrêt,

•la comparaison des résultats obtenus aux résultats attendus et la détection des anomalies,

•l’échange d’informations dès que quelque chose d’inattendu est observé ;

–la limitation des conséquences d’événements ou d’anomalies par :

•la définition à l’avance d’états de repli prévus,

•l’utilisation d’équipements ou systèmes, automatiques ou manuels, qui doivent être, eux aussi, définis à l’avance.

22.2.4.Des difficultés qui peuvent se reproduire

Certaines des questions soulevées par l’analyse des événements rapportés plus haut peuvent réapparaître ultérieurement, ce qui souligne la nécessité d’une attention permanente de la part des exploitants et des personnels d’exploitation à la qualité des interventions sur les réacteurs.

En particulier, un événement survenu au mois de janvier 1999 dans le réacteur n° 1 de la centrale nucléaire de Nogent-sur-Seine a remis en lumière l’importance des risques de défaillances de mode commun associés aux réglages électriques. De même, un événement survenu au mois d’avril 2005 dans le réacteur n° 3 de la centrale nucléaire de Gravelines a remis en lumière les risques liés aux dispositions et moyens particuliers.

On revient sur ces deux événements au chapitre suivant.

645.Le lecteur pourra aussi se reporter à la section 2.2 du chapitre V du « Mémento sûreté nucléaire en exploitation » d’EDF, édition de 2016, dans laquelle d’autres événements sont décrits.

646.Même si l’occurrence de certains d’entre eux est antérieure à la mise en œuvre du programme éponyme.

647.Generic letter.

648.Ces études faisaient apparaître une fréquence globale de fusion du cœur de 5.10-5 par an et par réacteur pour les réacteurs du palier 900 MWe et de 10-5 pour les réacteurs du palier 1 300 MWe, la contribution des états d’arrêt représentant plus de 30 % pour les réacteurs de 900 MWe et plus de 50 % pour les réacteurs de 1 300 MWe. En outre, les scénarios de dilution hétérogène et de vortex dans les circuits RRA n’étaient pas inclus parce que des dispositions devaient être prises pour résoudre les questions correspondantes (il avait été évalué que les scénarios de vortex apportaient à eux seuls un risque d’environ 10-5 par an et par réacteur).

649.Lettre CAB n° 65221 M2 du 19 septembre 1989.

650.Qui fera l’objet d’un rapport (« rapport Noc », du nom de son pilote, Bernard Noc, alors chef de la mission sûreté nucléaire au sein d’EDF).

651.Ultérieurement, ont été intégrées à la démarche les modifications temporaires d’installation (DMP/MTI), relevant du décret « procédures ». Un DMP (disposition ou moyen particulier) répond à une définition précise transcrite par l’exploitant dans une directive nationale :

– on appelle « disposition » l’état d’un équipement de l’installation qui résulte d’une action modifiant sa position ou son réglage ;

– on appelle « moyen » un dispositif, un organe, une pièce ou un matériel, posé ou déposé sur un circuit ou une partie de circuit ;

– les dispositions ou moyens sont « particuliers » lorsque leur utilisation modifie temporairement l’état fonctionnel de l’installation et lorsque leur utilisation, en dehors des états de tranche ou de circuit pour lesquels leur emploi était initialement prévu, introduit un risque pour la sûreté ou la disponibilité ou la sécurité ;

– un DMP ne doit être utilisé que si une analyse initiale de besoin justifie son emploi. Son utilisation doit être temporaire. Tout DMP doit faire l’objet :

•d’une analyse préalable de besoin et du risque lié au DMP ;

•d’une gestion administrative destinée à assurer sa traçabilité et d’un signalement en local pendant toute la durée de sa présence ;

•de dispositions destinées à s’assurer de sa suppression en privilégiant les essais fonctionnels ou, lorsque ce n’est pas possible, par un contrôle en local.

652.Voir le paragraphe 4.3.2.2 du chapitre I du « Mémento sûreté en exploitation », EDF, édition 2016.

653.Devenue Mission sûreté qualité environnement (MSQE) : cette unité fait partie de l’unité technique opérationnelle (UTO) de la Direction de la production nucléaire (DPN). L’UTO est l’entité nationale d’ingénierie de maintenance du parc électronucléaire. Sa mission est d’assurer la remise en état des matériels et l’approvisionnement en pièces de rechange et en composants relevant de la gestion nationale, la maîtrise d’ouvrage des opérations de maintenance sur les sites nucléaires, l’élaboration des spécifications techniques des contrats nationaux d’approvisionnement et de prestation et la sélection des prestataires et fournisseurs à consulter. Au sein de l’UTO, la MSQE est composée d’une dizaine de salariés en charge d’une évaluation indépendante des métiers opérationnels, élaborée sous l’angle de la sûreté et de la protection de l’environnement.

Chapitre 23

Retour d’expérience d’événements
liés aux interventions, aux sources
et distributions électriques,
aux agressions internes et externes

Le présent chapitre et le suivant sont consacrés à quelques événements significatifs survenus depuis environ le milieu des années 1990 ; certains d’entre eux ont remis en lumière des événements antérieurs, comme ceux qui avaient conduit EDF à mettre en place des dispositions pour renforcer la qualité des opérations de maintenance (voir le chapitre précédent).

Ne sont abordés dans ce chapitre que des événements liés aux interventions, aux sources et distributions électriques, aux agressions internes et externes ; l’inondation partielle du site de la centrale nucléaire du Blayais, concomitante à la tempête survenue en France à la fin du mois de décembre 1999, ainsi que l’événement survenu à la centrale nucléaire de Cruas-Meysse au début du mois de décembre 2009, dû à l’arrivée d’algues dans les prises d’eau du site, sont toutefois exposés dans le chapitre suivant.

23.1.Risques de défaillances liés aux équipements
ou à la maintenance

23.1.1.Risques de défaillances de mode commun

23.1.1.1.Risques de défaillances de mode commun liés aux réglages

(Nogent 1 – Janvier 1999)

À la fin des années 1990, un événement a remis en lumière l’importance des risques de défaillances de mode commun dus à de mauvais réglages électriques. Cet événement est survenu au mois de janvier 1999 dans le réacteur n° 1 de la centrale nucléaire de Nogent-sur-Seine : il a conduit à la perte d’une voie d’alimentation électrique des pompes du circuit d’eau brute secouru (SEC) et de la pompe d’appoint d’eau au circuit primaire lors d’un essai d’îlotage.

L’essai d’îlotage consiste à tester la capacité d’un réacteur électronucléaire à s’isoler du réseau électrique tout en passant en fonctionnement autonome à puissance réduite. Il est réalisé à partir de sa puissance nominale en ouvrant le disjoncteur permettant la fourniture d’énergie électrique par le réseau. L’ouverture du disjoncteur a entraîné la perte d’une voie d’alimentation électrique (voie A) des pompes du circuit d’eau brute secouru (SEC) et de la pompe d’appoint d’eau au circuit primaire (pompe de charge). Le déclenchement des moteurs des pompes a eu pour origine le mauvais réglage des seuils d’activation des relais de protection contre la surcharge en intensité d’alimentation des moteurs de ces pompes. Le réglage de ces seuils avait été réalisé, en état d’arrêt pour rechargement du cœur, à l’occasion d’une maintenance des tableaux électriques de la voie A. Les investigations menées après l’événement par l’exploitant ont montré que les seuils d’intensité avaient été réglés à une valeur inférieure de 6 % à 30 % à celle qui était prévue pour l’ensemble des matériels alimentés sous tension de 6,6 kV par le tableau secouru (11 actionneurs concernés dont ceux de toutes les pompes de sauvegarde) et pour les matériels alimentés par les tableaux non secourus (23 actionneurs). Le mauvais réglage de ces seuils a été mis en évidence lors de l’essai d’îlotage du fait de la fréquence élevée (mais normale pour ce transitoire) de l’alimentation électrique lors de la phase de stabilisation à puissance réduite du réacteur à l’issue de l’îlotage. La fréquence agit directement sur la vitesse de rotation des pompes et en conséquence sur la puissance absorbée par ces pompes et l’intensité appelée par les moteurs. Dans le cas présent, la fréquence était proche de 52 Hz, d’où une intensité supérieure à celle qui correspond à la fréquence nominale de 50 Hz. Cet appel d’intensité, conjugué au réglage trop bas des protections, a provoqué le déclenchement des moteurs.

L’arrêt des pompes du système SEC et de la pompe de charge de la voie A a provoqué le démarrage automatique des pompes équivalentes de la voie électrique B. Le réglage des protections étant correct sur la voie B, ce basculement s’est déroulé normalement, dans un délai de 15 secondes pour la pompe de charge et un délai de 55 secondes pour les pompes du système SEC. Ces courtes interruptions, prévues à la conception, n’étaient pas de nature à dégrader l’état du réacteur. Par ailleurs, la permanence du refroidissement de la barrière thermique des pompes primaires par une pompe du circuit de réfrigération intermédiaire (RRI) de la voie A (dont le seuil de protection n’avait pas été déréglé à une valeur suffisamment basse pour provoquer son déclenchement) pendant l’interruption de l’injection au joint n° 1 a évité la dégradation des joints. En conclusion, cet événement n’a pas eu de conséquence réelle du fait que les protections électriques de la voie B étaient réglées correctement. Il apparaît que, dans ce cas, l’application du principe de prévention consistant à décaler dans le temps les interventions de même nature sur des voies redondantes a permis d’éviter une situation de type H1 (perte totale des sources froides).

Sur la base de l’analyse d’EDF, il apparaît que les causes profondes qui ont mené à l’événement se situent à plusieurs niveaux :

–une mauvaise application de la gamme de contrôle et de réglage des seuils de protection électrique par les intervenants. Il est à souligner que l’intervention avait été réalisée par une équipe de deux intervenants qui, bien qu’expérimentés et qualifiés, n’avaient jamais effectué cette opération auparavant ;

–l’absence d’attitude interrogative des intervenants sur les conséquences d’une reprise globale du réglage des protections du tableau. En fait, les valeurs des seuils relevées par les intervenants lors du premier contrôle n’étaient pas hors tolérance mais proches de la limite maximale. C’est la décision prise par les intervenants de reprendre le réglage pour ramener ces seuils au milieu de plage de réglage qui a conduit au déréglage. Cette attitude a montré des lacunes dans la formation des opérateurs à ce type de réglage ;

–une gamme d’intervention unique pour le contrôle et le réglage. De plus, cette gamme était commune à trois cartes électroniques de types différents, nécessitant donc des réglages différents, sans pour autant sensibiliser les intervenants sur les phases délicates ;

–une absence de traçabilité des actions réalisées lors de l’intervention, qui ne permettait pas un contrôle de ces actions. Seule la valeur du seuil d’intensité après le réglage était reportée dans le compte rendu de la gamme d’intervention, celle-ci devant être conforme à la valeur attendue aux tolérances près. Les reprises de réglage éventuelles n’étaient pas mentionnées, ce qui réduisait significativement les possibilités de détection d’anomalies ou d’actions erronées lors du contrôle de la gamme une fois celle-ci « renseignée » ;

–des requalifications intrinsèques et fonctionnelles insuffisantes pour détecter ce type d’anomalie.

Les organismes de sûreté ont rappelé l’importance des réglages des protections électriques, qui présentent une certaine analogie avec les réglages des chaînes de mesure et de protection du cœur, classés par EDF comme « paramètres sensibles ». Il a alors procédé à une analyse pour l’ensemble du parc électronucléaire en vue de prescrire des dispositions de nature à réduire les risques d’erreur de réglage.

23.1.1.2.Risques de défaillances de mode commun
de tableaux électriques

(Cruas 4 – Octobre 1990)

Au mois d’octobre 1990, l’amorçage d’un arc électrique sur l’un des pôles du contacteur qui alimente une pompe du système d’eau brute secouru du réacteur n° 4 de la centrale nucléaire de Cruas-Meysse a provoqué une explosion localisée, l’incendie et la destruction du tableau électrique secouru principal de la voie B (LHB), rendant indisponibles tous les équipements de sauvegarde de cette voie. Le vieillissement de rondelles d’amortissement à l’intérieur du contacteur est à l’origine de cet événement.

La situation a été maîtrisée sans rejet ni menace de rejet de substances radioactives.

L’événement a toutefois mis en évidence une possibilité de défaillances de mode commun pouvant affecter les deux tableaux électriques secourus principaux LHA et LHB, par vieillissement de rondelles identiques dans les deux tableaux. Ce vieillissement avait été identifié mais la définition des mesures correctives était en cours.

L’événement a également montré qu’un défaut affectant un matériel situé en aval d’un tableau électrique peut provoquer la défaillance de ce tableau, ce qui n’avait pas été retenu dans les études de sûreté ; les protections contre les défauts électriques étaient en effet considérées comme très efficaces. Un événement était toutefois déjà survenu au mois de juin 1986 dans le réacteur n° 2 de la centrale nucléaire de Paluel, au cours duquel la mauvaise position d’un sectionneur électrique de mise à la terre avait conduit au couplage de la turbine à gaz (TAG). L’inexistence d’une procédure de conduite couvrant la situation de perte des tableaux secourus avec les tableaux en amont alimentés avait alors été notée. L’événement de Cruas fera aboutir la mise en place d’une procédure appropriée.

Les rondelles ont été rapidement changées dans l’ensemble des tableaux électriques qui étaient dotés de ces pièces. De nombreux réacteurs étaient concernés.

23.1.1.3.Indisponibilité de deux lignes sur trois d’injection de sécurité
à haute pression dans les branches froides du circuit primaire

(Blayais 3 – Août 2008)

Le 9 août 2008, le réacteur n° 3 de la centrale nucléaire du Blayais étant en cours de mise à l’arrêt pour rechargement du combustible dans le cœur, une injection de la solution d’acide borique à 21 000 ppm de bore dans le circuit primaire était réalisée en application du programme d’essais périodiques. Cette injection, prévue lors de chaque arrêt pour rechargement, permet de vérifier la disponibilité de la fonction d’injection de sécurité.

L’exploitant a alors mesuré un débit d’injection d’eau de 60 m3/h au lieu des 100 m3/h attendus. Les investigations menées sur les composants du circuit susceptibles de réduire le débit ont montré la présence de bore cristallisé dans deux des trois vannes disposées sur les lignes d’injection de sécurité dans les branches froides du circuit primaire (vannes A de la figure 23.1). Le bore cristallisé obstruant partiellement ces lignes expliquait le manque de débit observé. L’origine de ce phénomène remontait en fait à mars 2008 ; elle est liée à la réparation d’une vanne motorisée située juste en amont du réservoir contenant la solution d’acide borique à 21 000 ppm de bore (vanne B). Pour les besoins de la réparation, cette vanne était restée ouverte pendant plus d’une heure. Ainsi, le réservoir d’acide borique et la portion de circuit attenante jusqu’aux vannes d’isolement en aval (vannes C) avaient été soumis durant cette période à la pression exercée par les pompes d’injection à haute pression, soit environ 170 bars. Il s’est alors produit, du fait du taux de fuite admis pour ces vannes, une montée en pression des lignes situées en aval, dans des portions de circuit situées entre ces vannes et les vannes d’isolement des branches froides (vannes A). La pression du circuit est surveillée pour détecter d’éventuelles fuites et, en cas de nécessité, la pression peut être réduite en ouvrant une vanne de décharge (vanne D) prévue à cet effet. Pour dépressuriser la ligne, l’exploitant a donc manœuvré cette vanne ; toutefois la consigne de conduite précisait que l’ouverture de cette vanne devait être brève et sa durée limitée au strict nécessaire à la dépressurisation. En maintenant cette vanne ouverte durant une heure, l’exploitant n’a pas suivi la consigne, favorisant ainsi le transfert d’acide borique à 21 000 ppm dans la portion de circuit comprise entre les vannes C et les vannes A. Ces dernières ne disposant pas d’un moyen de maintien à une température permettant d’éviter la cristallisation du bore à une telle concentration, des cristaux de bore s’y sont donc formés et accumulés, sachant que la section de passage des vannes A est significativement plus faible que celle du reste du circuit. L’une des trois vannes s’est débouchée sous l’effet de la pression, conduisant à l’établissement d’un débit de 60 m3/h ; les deux autres vannes sont restées obstruées. Afin de remettre en conformité son installation, l’exploitant a procédé au nettoyage des vannes afin de retirer toute trace de bore et a réalisé un essai complet du circuit d’injection de sécurité. Cet essai a permis de vérifier que le circuit était à nouveau opérationnel.

En cas de brèche du circuit primaire, l’obturation de deux lignes d’injection de sécurité sur trois due à la présence d’acide borique cristallisé aurait conduit à un débit d’injection inférieur à celui qui est prévu. Le refroidissement du combustible aurait donc été moins efficace et peut être même insuffisant. Par ailleurs, la quantité d’acide borique à 21 000 ppm de bore aurait été injectée dans le circuit primaire en un temps plus long, d’où une perte d’efficacité dans l’apport d’antiréactivité.

Des cristallisations de bore avaient déjà été observées dans les réacteurs de 900 MWe. L’origine, la fréquence de ces cristallisations dans différentes parties de circuits et leurs conséquences pour la sûreté (qui peuvent être importantes) avaient été analysées. Sur la base de cette analyse, face à chaque risque identifié, Électricité de France avait précisé les dispositions prises dans les centrales. Ces dispositions reposaient principalement sur des consignes d’exploitation (surveillance des circuits, vérification de l’absence de bouchage, rinçages de tuyauteries si nécessaire…). Il apparaît que l’événement survenu à la centrale nucléaire du Blayais, qui résultait d’un non-respect d’une consigne d’exploitation, résultait aussi de l’absence de perception du risque de cristallisation par les opérateurs, ce qui a montré les limites des préconisations.

Figure 23.1. Schéma simplifié du circuit impliqué dans l’événement survenu au mois d’août 2008 dans le réacteur n° 3 de la centrale nucléaire du Blayais. Georges Goué/IRSN.

Cet événement a aussi mis en évidence que la survenue d’aléas lors de l’exploitation normale d’une installation peut conduire à des conséquences importantes sur la sûreté de l’installation. Il est donc primordial de réaliser systématiquement une analyse adaptée de tous les risques pouvant résulter d’aléas afin de mettre en place des parades appropriées. De plus, l’événement a rappelé également qu’une attitude interrogative est essentielle pour la détection d’anomalies (culture de sûreté). Il a fait également apparaître que, en dépit des contrôles et des essais périodiques réalisés pour s’assurer de la disponibilité des systèmes de sauvegarde, certains défauts latents peuvent échapper à la vigilance exercée par les opérateurs.

Après l’événement, EDF a mis en œuvre de nouvelles dispositions, à savoir un renforcement des consignes d’exploitation, qu’accompagnent des actions de sensibilisations des opérateurs au risque de cristallisation du bore, ainsi qu’un nouveau critère plus exigeant en termes de fuite admissible des vannes en aval du réservoir d’acide borique à 21 000 ppm.

23.1.1.4.Pertes de sources électriques

Perte progressive de trois sources électriques de puissance sur quatre

(Bugey 5 – Avril 1984)

Dans le réacteur n° 5 de la centrale nucléaire du Bugey, en avril 1984, la tension d’une source continue de contrôle-commande s’est mise à baisser lentement par suite de la défaillance d’un fusible de l’alimentation de sa batterie. L’alarme relative à cette alimentation, regroupée avec d’autres alarmes au déclenchement fréquent654, n’a pas été identifiée par les opérateurs en salle de commande. Les interrupteurs d’arrêt d’urgence, sous-alimentés, se sont ouverts, provoquant la chute des grappes absorbantes et l’arrêt du réacteur.

Le basculement des sources électriques de puissance, commandé par la même tension trop faible, s’est mal fait. Le réacteur n’a alors plus été alimenté ni par la ligne électrique d’évacuation d’énergie ni par la ligne auxiliaire.

Les groupes électrogènes à moteur diesel ont reçu l’ordre de démarrer. L’alternateur de la voie en défaut n’ayant pas de tension d’excitation, il n’a pas pu fournir de courant électrique. Seul l’autre groupe électrogène a fonctionné normalement et il a alimenté en secours les équipements nécessaires de la voie correspondante. Ces équipements sont, par conception, suffisants pour assurer la sûreté du réacteur à l’arrêt.

Le mauvais fonctionnement des organes de décharge du pressuriseur qui avaient perdu leur alimentation électrique a conduit à une augmentation significative de la pression dans le circuit primaire. D’autres défauts induits par la défaillance initiale ont perturbé des informations transmises en salle de commande ; certaines étaient fausses, mais vraisemblables.

Il s’agit donc d’une situation de défaillance de trois sources électriques de puissance sur quatre, précurseur évident d’une perte totale des alimentations électriques, qui affectait une tranche qui n’était encore dotée ni des équipements ni de la procédure nécessaires pour y faire face, et était perturbée, de plus, par des défaillances de sources électriques de contrôle-commande.

Les opérateurs n’avaient pas été préparés à cette situation et ils ne disposaient pas de documents de conduite adaptés. Le savoir-faire de l’équipe a cependant permis de maîtriser correctement la situation.

Le cas d’une baisse lente de tension sur les tableaux de courant continu n’avait pas été envisagé lors des études de conception, qui ne se préoccupaient que des cas de défaillance franche des sources électriques.

Les moyens de faire face à une perte totale des alimentations électriques, encore à l’étude à l’époque, ont, depuis, été installés sur tous les réacteurs français.

L’événement a par ailleurs conduit EDF à accélérer les études et travaux de « refonte » des alarmes, à étudier la protection contre les baisses lentes de tension continue et, plus généralement, contre les défaillances de sources électriques à basse tension.

Enfin, les premières procédures de l’approche par états, en particulier la procédure U1 (voir le chapitre 33) associée à une procédure de contrôle de l’état des sources de contrôle-commande, ont permis de traiter des situations complexes, sans improvisation.

Au mois de mars 1987, dans le réacteur n° 1 de la centrale nucléaire de Gravelines, une baisse de tension sur un tableau de courant alternatif alimentant le système de protection du réacteur a provoqué des perturbations entraînant une sortie du domaine autorisé de fonctionnement. Cet événement a conduit EDF à engager des réflexions et à entreprendre des actions similaires à celles qui avaient été engagées dans le cas de l’événement de Bugey 5, cette fois pour les baisses de tension sur les tableaux de courant alternatif.

Repli du réacteur en raison de l’indisponibilité d’un tableau électrique LHA de 6,6 kV – Phénomène de tin wiskers655

(Centrale nucléaire de Dampierre-en-Burly – Avril 2007)

Le 9 avril 2007, le réacteur n° 3 de la centrale nucléaire de Dampierre-en-Burly a perdu l’alimentation électrique des équipements de sûreté de la voie A. La défaillance d’un relais de protection contre les surintensités du tableau électrique LHA est à l’origine de cet événement. Ce défaut a rendu impossible la connexion du groupe électrogène de secours sur le tableau électrique LHA et seuls les équipements de sûreté de la voie B ont pu être alimentés par le tableau électrique LHB. Conformément aux procédures applicables pour ce type de défaut, l’exploitant a engagé une baisse de puissance du réacteur (initialement à 60 % de sa puissance nominale) en vue de l’arrêter.

Au cours de la mise à l’arrêt du réacteur, lors du déclenchement de la turbine, un autre défaut sur un équipement de la ligne principale (interrupteur-enclencheur permettant le couplage du groupe turboalternateur au réseau) a aggravé la situation (ouverture du disjoncteur de ligne) et a entraîné la perte de l’alimentation électrique de la centrale nucléaire par la ligne externe principale.

Dans cette situation, c’est donc la ligne externe auxiliaire qui a normalement pris de façon automatique le relais de la ligne externe principale. Lors de l’événement du 9 avril, ce basculement ne s’est pas fait. La perte de toute alimentation externe a entraîné l’arrêt automatique du réacteur et le démarrage automatique du groupe électrogène de secours de la voie B. Le réacteur a pu être conduit jusqu’à l’état d’arrêt prévu dans une telle situation en utilisant les seuls équipements de la voie B de sûreté. Par la suite, le refroidissement du réacteur a continué d’être assuré par le circuit secondaire, avec circulation de l’eau du circuit primaire en thermosiphon (convection naturelle). Toutefois, le 10 avril au matin, avant que l’état d’arrêt prévu ne soit atteint, la ligne externe auxiliaire ainsi que la voie A électrique de sûreté ont été récupérées, ce qui a notamment permis de redémarrer une pompe primaire et de retrouver une circulation forcée de l’eau dans le circuit primaire.

En cas de défaillance du groupe électrogène de secours de la voie B, le réacteur se serait retrouvé dans la situation de perte totale des alimentations électriques. Cette situation devait être gérée selon la procédure H3 qui fait appel à un turboalternateur de secours alimentant les moyens minimaux de pilotage de l’installation. Une turbopompe du système ASG était également disponible pour alimenter en eau les générateurs de vapeur et refroidir ainsi le réacteur. Par ailleurs, les centrales nucléaires françaises disposent d’un groupe électrogène d’ultime secours (un par site). Les opérations préalables à la connexion de ce groupe sur le tableau électrique de la voie B avaient été réalisées pour pallier une éventuelle défaillance du groupe électrogène de la voie B.

Plusieurs défaillances ont pu être observées au cours de l’analyse de l’événement.

La première est celle d’un relais de protection contre les surintensités, qui est à l’origine de la perte du tableau électrique LHA. Une même défaillance matérielle avait déjà été la cause d’un événement concernant le réacteur n° 1 de la centrale nucléaire de Dampierre-en-Burly le 16 novembre 2000. Après cet événement, l’exploitant avait alors mis en place des mesures de surveillance de ces relais et approvisionné une nouvelle génération de relais de protection pour leur remplacement. Ces relais étaient disponibles à la centrale nucléaire de Dampierre-en-Burly mais n’étaient pas encore installés.

Les expertises réalisées ultérieurement sur les relais défaillants ont montré que la formation de filaments de zinc s’apparentant à des tin whiskers était à l’origine de l’événement. Ces filaments avaient formé des ponts conducteurs entre les pistes du circuit imprimé ou les composants électroniques et la tôle bichromatée zinguée du blindage de l’électronique. De tels ponts conducteurs peuvent provoquer des défauts d’isolement ou le basculement d’un relais.

Les recherches effectuées par l’exploitant ont montré que la quasi-totalité des relais de protection étaient affectés par le phénomène de formation de filaments métalliques, leur quantité et leur dimension étant variables.

Il a été indiqué plus haut que, au cours de la mise à l’arrêt du réacteur prévue par les procédures, un deuxième défaut est apparu sur l’interrupteur-enclencheur placé à la sortie de l’alternateur, qui permet de déclencher la turbine en dessous de 10 % de puissance. Cet interrupteur-enclencheur a mis un temps anormalement long pour assurer sa fonction, ce qui a entraîné automatiquement la déconnexion du réacteur n° 3 de la ligne externe principale par l’ouverture du disjoncteur de ligne situé en aval du transformateur. Des essais ultérieurs n’ont pas permis de reproduire le défaut. Les expertises effectuées par la suite n’ont pas non plus permis d’identifier la cause de cette anomalie.

Par ailleurs, lors de l’événement, l’automatisme de basculement sur la ligne électrique auxiliaire n’a pas fonctionné du fait de la coupure volontaire de son contrôle-commande, en application des procédures de conduite, au début de l’événement. Ces dispositions, qui visaient les tableaux de contrôle-commande d’équipements jugés non indispensables, avaient pour objet de réduire la consommation des batteries de secours en vue de limiter le risque d’émission d’ordres intempestifs.

Le phénomène des tin whiskers observé dans d’autres pays était connu d’EDF qui ne l’avait toutefois jamais observé, du fait qu’il remplace les cartes électroniques dès qu’elles engendrent des anomalies de fonctionnement. L’événement a donc permis de constater la présence de ce phénomène dans les composants électroniques des installations françaises et de procéder à des modifications de matériels de nature à éliminer la formation de ces filaments métalliques.

EDF a ainsi décidé de traiter le problème des tin whiskers en remplaçant les tôles de blindage des relais existants, préalablement remis en état par le fabricant, ou en mettant en place des relais neufs d’une génération plus récente. Pour ce qui concerne l’automatisme de basculement sur l’alimentation électrique auxiliaire en cas de perte du tableau LHA jusqu’au découplage de la turbine, l’exploitant a pris une disposition qui évite l’isolement à court terme de la batterie alimentant le tableau de contrôle-commande du basculeur de l’alimentation électrique du réacteur de la source principale à la source auxiliaire, limitant ainsi le risque de perte totale.

23.1.2.Introduction d’eau non borée dans le circuit primaire

Introduction d’eau non borée provenant du circuit secondaire

(Blayais 4 – Mars 1990)

Au mois de mars 1990, à la fin de l’arrêt pour rechargement de combustible du réacteur n° 4 de la centrale nucléaire du Blayais, alors que le niveau d’eau dans le circuit primaire était situé au voisinage du plan médian des boucles de ce circuit, une dilution intempestive de bore a été provoquée par une fuite d’eau non borée provenant de la partie secondaire d’un générateur de vapeur.

Des erreurs dans la gestion des consignations ont conduit à remplir trop tôt le côté secondaire des générateurs de vapeur et à déverser ainsi de l’eau non borée dans la boîte à eau d’un générateur de vapeur car un tube de ce générateur de vapeur, coupé en branche chaude, n’avait pas encore été obturé en branche froide (voir la figure 23.2). L’observation d’un écoulement d’eau au travers du trou d’homme de la boîte à eau du côté de la branche froide a conduit à la mise en place d’une baudruche gonflable dans ce trou d’homme en suivant une consigne prévue pour faire face à une éventuelle fuite d’eau en provenance du circuit primaire au niveau d’une tape d’obturation. En fait, la boîte à eau de la branche froide s’est remplie et a été mise en pression sous l’effet de la colonne d’eau secondaire. La tape en place entre cette boîte à eau et la boucle correspondante du circuit primaire, sollicitée dans le sens contraire à ce pour quoi elle avait été conçue, a progressivement perdu son étanchéité. L’introduction d’eau non borée n’a été arrêtée que par la vidange du générateur de vapeur.

Figure 23.2. Schéma du générateur de vapeur, du tube coupé et des boîtes à eau. Georges Goué/IRSN.

Toutefois, la concentration minimale de bore dans l’eau du circuit primaire prescrite par les spécifications techniques d’exploitation a toujours été respectée, grâce à l’action des opérateurs. Le débit d’eau non borée introduit dans le cœur du réacteur est resté compatible avec les hypothèses des situations étudiées dans les rapports de sûreté. L’événement a cependant montré une possibilité d’accumulation d’eau non borée provenant du circuit secondaire dans une boucle du circuit primaire.

Une défaillance plus brutale de la tape en place aurait pu provoquer l’envoi rapide d’une grande partie des 4 m3 d’eau contenus dans la boîte à eau en branche froide vers le cœur du réacteur, provoquant un transitoire plus important.

De plus, si l’anomalie était survenue alors que la boîte à eau en branche froide était déjà fermée (donc tape enlevée), l’identification de l’anomalie aurait été beaucoup plus délicate. Lors de l’éventage du circuit primaire, le démarrage de la pompe de la boucle concernée aurait pu provoquer l’envoi rapide dans le cœur de l’eau non borée contenue dans les branches froide et intermédiaire. L’eau de cette boucle n’était en effet pas maintenue en mouvement par le refroidissement à l’arrêt. Les conséquences sur le cœur se seraient approchées des conditions de divergence rapide ; c’est d’ailleurs la connaissance de ces conditions par les opérateurs qui a contribué à leur bonne gestion de la situation.

Introduction d’eau non borée provenant d’un accumulateur

(Belleville 2 – Juillet 1990)

L’événement s’est produit après l’épreuve hydraulique d’un accumulateur du système RIS du réacteur n° 2 de la centrale nucléaire de Belleville-sur-Loire en juillet 1990, alors que l’exploitant effectuait un essai de manœuvrabilité de la vanne d’isolement de cet accumulateur. La cuve du réacteur était ouverte et remplie d’eau jusqu’au niveau du plan de joint du couvercle. Le refroidissement du cœur était assuré par le circuit de refroidissement à l’arrêt.

Lors de l’épreuve hydraulique, un mois plus tôt, l’accumulateur avait été rempli d’eau déminéralisée non borée. Cette eau aurait dû être vidée totalement après l’épreuve et avant l’essai d’ouverture de la vanne. Il restait en fait 16 m3, ce que la mesure de niveau d’eau dans l’accumulateur, qui couvre une gamme réduite, ne permettait pas de détecter.

L’ouverture de la vanne d’isolement a entraîné le passage par gravité d’eau non borée dans le circuit primaire. Grâce au débit de circulation assuré par le système de refroidissement du réacteur à l’arrêt, l’eau non borée s’est immédiatement mélangée à l’eau borée de ce circuit, mais la concentration en bore, devenue inférieure à la valeur prescrite par les spécifications techniques d’exploitation, est néanmoins toujours restée suffisante pour éviter un retour du cœur à l’état critique. L’opérateur a été alerté par le débordement de l’eau du circuit primaire, au niveau du plan de joint du couvercle, et il a refermé la vanne.

L’évent de l’accumulateur aurait dû être ouvert lors de cet essai. Le fait qu’il soit resté fermé a ralenti et limité le transfert d’eau. Évent ouvert, vanne d’isolement maintenue ouverte et un moindre débit du circuit de refroidissement à l’arrêt auraient pu conduire à une introduction plus rapide d’eau moins bien mélangée et donc à un risque d’excursion critique du cœur.

Il s’agit d’un exemple de précurseur d’envoi d’eau non borée dans le cœur du réacteur dû à des opérations de maintenance.

À la suite de cet événement, l’exploitant a décidé que les épreuves hydrauliques des capacités reliées au circuit primaire seraient réalisées en utilisant de l’eau borée à la concentration du circuit primaire en arrêt à froid.

23.1.3.Refroidissement du circuit primaire
après inhibition d’actions automatiques

(Paluel 2 – Janvier 1993)

Au mois de janvier 1993, le réacteur n° 2 de la centrale nucléaire de Paluel était en phase de redémarrage après rechargement du combustible dans le cœur. Il était normalement prévu d’effectuer un essai de démarrage automatique du système d’alimentation de secours en eau des générateurs de vapeur (ASG) en cas de défaillance du système d’alimentation normale (ARE). Cet essai devait être effectué à une puissance du réacteur compatible avec la capacité d’extraction de puissance de l’ASG (2 % de la puissance nominale).

Cet essai a par erreur été entrepris alors que la puissance du réacteur était trois fois plus élevée. Cette erreur a toutefois été rapidement détectée. L’équipe de conduite a alors inséré les grappes de contrôle jusqu’à l’arrêt du réacteur, sans provoquer l’arrêt d’urgence, et procédé à un appoint d’eau borée pour obtenir la concentration de bore requise pour le cœur à l’arrêt.

Au cours de l’essai, une vanne de contournement de la vapeur vers le condenseur est restée partiellement ouverte, bien qu’elle ait reçu un ordre de fermeture complète. Cette ouverture a provoqué un refroidissement important du circuit primaire, au rythme de 70 °C/h au lieu des 56 °C/h autorisés par les spécifications techniques d’exploitation en situation incidentelle (en situation normale, la limite est de 28 °C/h).

Deux informations relatives à la position de la vanne étaient disponibles en salle de commande :

–une information de position qui indiquait que la vanne était « non fermée » ; cette information était toutefois considérée comme peu fiable ;

–l’indication du système de régulation qui indiquait « fermeture à 100 % ».

Ayant observé que le refroidissement du circuit primaire se faisait à une vitesse excessive, les opérateurs ont interprété ce fait comme résultant de la faible puissance résiduelle du réacteur en période de redémarrage et d’un débit excessif de l’alimentation de secours des générateurs de vapeur. Pour éviter un refroidissement encore plus rapide, les opérateurs ont alors demandé au chef d’exploitation l’autorisation d’inhiber l’injection de sécurité par « très basse température en branche froide ». Cette action de protection est prévue pour faire face à l’ouverture intempestive d’une vanne de décharge de la vapeur (ce qui en fait correspondait à la situation réelle) ; elle entraîne la mise en service de l’injection de sécurité et celle de l’alimentation de secours des générateurs de vapeur à plein débit (ce qui aurait encore accéléré le refroidissement), mais elle provoque également la fermeture des vannes principales d’isolement des lignes de vapeur, ce qui aurait terminé l’événement en isolant le circuit secondaire en amont de la fuite.

Le chef d’exploitation, occupé par ailleurs, a donné son accord, sachant que la concentration de bore dans l’eau du circuit primaire était proche de la concentration requise à froid. Il a également demandé de rechercher les causes de consommation de vapeur du circuit.

Le refroidissement rapide continuant, l’équipe de conduite a inhibé un second ordre de mise en service de l’injection de sécurité par « très basse pression au pressuriseur ». Elle a utilisé pour cela une procédure valable en fonctionnement normal, mais non lors d’un transitoire incidentel.

Ce n’est qu’au bout de 50 minutes que le défaut de fermeture de la vanne de contournement a été détecté ; cette vanne sera refermée 30 minutes plus tard.

À aucun moment l’ingénieur de sûreté présent sur le site n’a été appelé en salle de commande puisque les signaux pour lesquels il est formellement demandé d’avoir recours à lui ne se sont pas déclenchés (l’arrêt automatique du réacteur notamment).

L’événement de départ (défaut de fermeture d’une vanne de contournement de la vapeur vers le condenseur) est couvert par les études présentées dans les rapports de sûreté. Les conséquences potentielles sont un retour à la criticité du cœur accompagné d’une ébullition de l’eau du circuit primaire auprès de l’assemblage combustible contenant la grappe absorbante la plus réactive supposée bloquée en position haute dans ces études.

La situation réelle était moins défavorable que celle qui était considérée dans les études de sûreté car le débit de décharge de vapeur par la vanne était plus faible, la puissance résiduelle également. De plus, en début de cycle, le coefficient de réactivité lié à la température du modérateur est beaucoup moins important qu’en fin de cycle. Le risque de dégradation de combustible était donc faible.

L’importance de cet événement réside surtout dans le fait qu’il y a eu inhibitions de sécurités dans des conditions où elles n’auraient pas dû être faites et, plus globalement, une mauvaise analyse en temps réel de la situation, avec absence de redondance du diagnostic entre l’équipe de conduite, le chef d’exploitation et l’ingénieur de sûreté.

Sa déclaration tardive n’a fait que confirmer ce dysfonctionnement.

Indépendamment de la réparation de la vanne défaillante, les mesures correctives ont ici plus particulièrement concerné l’organisation de la centrale, ses méthodes de travail et le partage des responsabilités.

23.1.4.Maintien d’un moyen particulier (provisoire) empêchant le passage en mode de recirculation d’eau
de l’injection de sécurité

(Gravelines 5 – Avril 2005)

Il a été indiqué au chapitre 22 que plusieurs événements liés à des dispositions et moyens particuliers (DMP656) étaient survenus dans les années 1989-1990. Dans les années 2000, l’événement suivant a remis en lumière les risques liés aux DMP.

Pendant l’arrêt pour rechargement du combustible du réacteur n° 3 de la centrale nucléaire de Gravelines en avril 2005, l’exploitant a réalisé un essai périodique de l’injection de sécurité, cuve ouverte, sans combustible nucléaire conformément à la période fixée par le programme d’essais périodiques. Pour réaliser cet essai, les interrupteurs d’arrêt automatique du réacteur doivent être fermés657. En fait, ces interrupteurs étaient ouverts et non manœuvrables. Afin de s’affranchir de cet aléa et de respecter le planning de l’arrêt, l’exploitant a posé un DMP en procédant au débranchement de deux fils électriques dans le contrôle-commande du système de protection du réacteur (l’un sur la voie A et l’autre sur la voie B) pour simuler la position fermée des interrupteurs.

La rédaction de l’ordre d’intervention concernant le DMP n’était pas suffisamment précise et laissait la possibilité à l’intervenant de débrancher les fils à deux endroits différents. À l’issue de l’intervention, la personne en charge de la remise en conformité n’a pas eu la même interprétation que celle qui avait débranché les fils. Elle s’est rendue à l’endroit où les fils n’avaient pas été débranchés et a conclu qu’ils avaient déjà été reconnectés, sans faire d’autres vérifications.

De même, lors du contrôle du relayage du système de protection du réacteur en fin d’arrêt, personne n’a remarqué que les fils étaient déconnectés. C’est seulement au début de l’arrêt suivant (soit un an plus tard) que le contrôle du relayage du système de protection a permis de détecter les deux fils débranchés. L’analyse de l’événement a mis en évidence que ni les essais bimestriels, ni les essais fonctionnels réalisés à chaque rechargement ne permettaient de détecter cette anomalie.

Lorsque les interrupteurs d’arrêt automatique du réacteur sont ouverts après un ordre de protection du réacteur, un signal est émis ; celui-ci autorise la remise à zéro de la mémoire du signal d’injection de sécurité. La déconnexion des deux câbles dans le système de protection du réacteur rendait inopérante la possibilité de remise à zéro de l’ordre d’injection de sécurité par les opérateurs sur les deux voies redondantes du système. En cas de brèche importante du circuit primaire, cette anomalie aurait empêché le passage automatique des deux voies du système d’injection de sécurité en mode de recirculation d’eau par les puisards dans l’enceinte de confinement. Sans action de l’exploitant, le réservoir du circuit d’injection de sécurité se serait vidangé complètement, les pompes auraient alors fonctionné à vide, ce qui aurait entraîné leur destruction et en conséquence l’interruption du refroidissement et le découvrement du combustible dans le cœur.

De même, lors d’un accident de rupture de tube d’un générateur de vapeur, la remise à zéro permet l’arrêt de l’injection de sécurité depuis la salle de commande, arrêt nécessaire pour limiter les rejets dans l’atmosphère. Il aurait également été impossible de manœuvrer les vannes et d’arrêter les motopompes du système d’alimentation de secours des générateurs de vapeur depuis la salle de commande.

À la suite de cet événement, EDF a mis en place un plan d’actions en vue notamment d’accroître encore la fiabilité des processus de gestion des DMP et de renforcer les contrôles périodiques réalisés sur le système de protection du réacteur.

À cet égard, le retour d’expérience avait déjà montré qu’il était possible d’inhiber une fonction de sauvegarde pendant une longue période en cas d’oubli d’un DMP utilisé pour réaliser un essai ou une intervention. Une analyse dans le cadre plus général de l’amélioration de la qualité et de la sûreté des opérations de maintenance avait toutefois montré que l’utilisation de DMP ne pouvait pas être complètement évitée, mais que ces derniers devaient faire l’objet d’une gestion particulièrement rigoureuse en privilégiant toutes les mesures simples permettant un gain important en matière de sûreté, par exemple la différenciation du DMP par une couleur vive. Une modification temporaire de l’état fonctionnel de l’installation ne devait être introduite que lorsqu’elle se révélait indispensable. Dans le cas présent, la pose du DMP n’avait d’autre objectif que de permettre la poursuite de l’essai afin de respecter le planning, ce qui est contraire aux règles qu’EDF s’était fixées en 1994.

23.2.Événements liés aux agressions internes

23.2.1.Risques de défaillances de mode commun
par inondation interne

Arrivée d’eau chaude dans les quatre locaux du système
d’instrumentation des processus (SIP) conduisant à l’émission
d’ordres intempestifs d’arrêt automatique du réacteur (AAR)
et d’injection de sécurité (IS)

(Nogent 1 – Septembre 2005)

Le 30 septembre 2005, le réacteur n° 1 de la centrale nucléaire de Nogent-sur-Seine était en cours de redémarrage après son arrêt pour rechargement de combustible dans le cœur. Les générateurs de vapeur étaient alimentés en eau par leur système d’alimentation de secours (ASG). À 7 heures du matin, le 30 septembre 2005, le basculement de l’alimentation en eau des générateurs de vapeur du système ASG vers le système d’alimentation normale (ARE) a débuté, conformément aux consignes d’exploitation. Neuf minutes plus tard, des défauts ont été observés sur la chaîne de détection de fuite du générateur de vapeur n° 1. Les investigations menées par l’exploitant ont conduit au constat d’écoulements d’eau chaude dans les locaux abritant des équipements du système d’instrumentation des processus (SIP) des deux voies électriques secourues A et B. Ces écoulements ont provoqué des défauts dans les systèmes RPR et RPN qui ont émis des ordres intempestifs d’arrêt automatique du réacteur (AAR) et d’injection de sécurité (IS), ainsi que des alarmes intempestives. Ces alarmes ont conduit au déclenchement du plan d’urgence interne avec mobilisation des équipes de crise, cela jusqu’au repli de la tranche et à la connexion du circuit de refroidissement du réacteur à l’arrêt (RRA).

L’initiateur de l’événement est une erreur humaine et, plus précisément, l’omission de la fermeture des vannes de purge du système ARE au niveau de la « pince vapeur »658 par l’équipe de conduite. Le démarrage de la turbopompe alimentaire n° 2 avec les vannes de purge ouvertes a conduit à envoyer de l’eau chaude (à environ 110 °C) dans le local de la « pince vapeur » au travers de ces lignes de purge.

L’analyse des aspects relatifs aux facteurs organisationnels et humains a mis en évidence des lacunes dans la préparation des activités, dans la gestion du planning et dans le déroulement des activités lors du conditionnement de la turbopompe alimentaire du système ARE.

Les conséquences de cet événement ont été aggravées par des défauts de génie civil au niveau du local de la « pince vapeur » (voir la figure 23.3). Deux cheminements de l’eau des puisards de la pince vapeur jusqu’aux locaux électriques ont été identifiés par l’exploitant :

–par le joint entre les bâtiments du réacteur (BR) et le bâtiment électrique (BL). Par conception, ce joint est protégé des afflux d’eau par un acrotère d’une hauteur supérieure à celle de la margelle périphérique du bâtiment électrique. Lors de la construction, cet acrotère a été abaissé sur une longueur voisine d’un mètre. Du fait de cet abaissement, de l’eau a pu s’écouler dans l’espace situé entre les deux bâtiments et au travers du joint entre ces bâtiments, aux endroits où la couche de mastic qui le protège avait été découpée pour une expertise ;

–par le voile d’un puisard du local de la « pince vapeur » non étanche et certaines traversées électriques. La montée du niveau d’eau dans le puisard destiné à récupérer les égouttures des purges des systèmes ARE ou ASG a entraîné un débordement vers un second puisard en liaison avec le premier. Ce dernier n’étant pas étanche, de l’eau s’est infiltrée et a cheminé au travers de l’isolant thermique jusque dans les locaux situés au niveau inférieur via des traversées électriques non étanches.

Figure 23.3. Coupe verticale synthétisant les cheminements de l’eau lors de l’incident de Nogent 1 du 30 septembre 2005. Jean Couturier/IRSN (source EDF).

Les non-conformités détectées ont montré que des cheminements d’eau pouvaient conduire à une agression de mode commun (voies A et B) d’équipements électriques importants pour la sûreté, mettant en cause la séparation des voies électriques. Néanmoins, compte tenu de la brièveté de l’exposition à l’ambiance humide, de la rapidité de la mise en service du désenfumage et du séchage, l’arrivée d’eau chaude dans les locaux du système SIP n’a pas affecté la fiabilité à court terme des équipements électriques implantés dans ces locaux.

Cet événement a permis de mettre notamment en évidence la nécessité de vérifier :

–la démonstration de sûreté des études de rupture d’une tuyauterie de haute énergie dans la « pince vapeur »,

–le caractère suffisant des dispositions retenues contre le risque d’inondation des locaux électriques et de la salle de commande en cas de rupture d’une tuyauterie dans la « pince vapeur » ou sur le toit d’un bâtiment électrique.

En conclusion, cet événement montre que le cumul de plusieurs défauts indépendants entre eux aurait pu conduire à une situation non prévue qui aurait pu être très préjudiciable à la sûreté du réacteur. Il s’agit en effet d’une défaillance humaine dont les conséquences ont été amplifiées par des défauts de réalisation du génie civil, dont certains étaient présents depuis plus de 17 ans. Malgré tout, l’absence d’un seul de ces défauts aurait suffi à éviter l’événement. De ce fait, à la conception, cet événement aurait été considéré comme hautement improbable. Cela montre aussi que la sûreté repose également sur la capacité de l’exploitant à maintenir son installation dans un état parfait de conformité, même si certains défauts ou certaines dégradations peuvent paraître sans conséquence a priori. Cet événement a été considéré comme générique pour les différents paliers de réacteurs par les services centraux d’EDF et a été classé comme précurseur d’endommagement du cœur.

23.2.2.Risques de défaillances du fait d’incendies

Départ d’incendie au niveau d’un groupe motopompe primaire (GMPP)

(Penly 2 – Avril 2012)

Dans la nuit du 3 au 4 avril 2012, le réacteur n° 2 de la centrale nucléaire de Penly était en production. La pompe dite de soulèvement659 du circuit d’huile assurant la lubrification du moteur du groupe motopompe primaire (GMPP) n° 1 a démarré pour une raison (matérielle ou humaine) inexpliquée. Le démarrage de cette pompe n’a pas été détecté par les opérateurs en salle de commande, ni son fonctionnement en continu jusqu’à l’arrêt automatique du GMPP le 5 avril vers midi. Un serrage insuffisant d’une vis d’une bride de ce même circuit a alors conduit à une fuite d’huile.

Avant l’arrêt automatique du GMPP n° 1, une alarme signalant un niveau bas dans le réservoir d’huile de lubrification de ce GMPP est apparue en salle de commande. Deux minutes plus tard, des alarmes d’incendie, activées par des détecteurs situés dans les locaux de ce GMPP, sont apparues : la fuite d’huile à proximité de composants très chauds (environ 300 °C) a occasionné des départs de feu. Vingt minutes plus tard, la séquence d’arrêt du GMPP s’est déclenchée automatiquement à la suite d’une alarme de température excessive au niveau de la butée supérieure du moteur, du fait de la perte d’une partie notable de la charge d’huile de ce même moteur. L’arrêt du GMPP a été suivi de l’arrêt automatique du réacteur. Les opérateurs ont conduit le réacteur selon les procédures de conduite incidentelle ou accidentelle.

Au cours de l’arrêt du GMPP n° 1, un isolement automatique de la ligne de retour de fuite du joint660 n° 1 a eu lieu en raison d’un débit de retour de fuite élevé, probablement du fait de la dégradation de ce joint. Toutefois, l’injection d’eau froide aux joints des quatre GMPP n’a pas été interrompue, notamment pour le GMPP n° 1 à l’arrêt, où la pression de l’eau injectée s’est donc reportée sur le joint n° 2. Vers 18 heures, l’exploitant, par crainte d’une éventuelle défaillance du joint n° 2 qui pouvait amener à une situation de type accident de perte de réfrigérant primaire (car le joint n° 2 était soumis à des pressions élevées en regard de son fonctionnement normal), a décidé de rouvrir la ligne de retour de fuite du joint n° 1 en direction du circuit de compensation chimique et volumétrique (RCV) pour « soulager » le joint n° 2.

Comme précédemment, la vanne d’isolement du retour de fuite du joint n° 1 a alors reçu un nouvel ordre automatique d’isolement en raison d’un débit de retour de fuite élevé. Lors de sa refermeture, cette vanne d’isolement a perdu son étanchéité interne, du fait probablement de l’arrivée de particules provenant du joint n° 1 détérioré. Une tentative infructueuse de réouverture de cette vanne a alors provoqué une fuite d’eau primaire qui a été collectée dans un réservoir du circuit RPE661 prévu à cet effet à la conception. Les débris produits ont également conduit à la présence de corps migrants dans l’ensemble du circuit RCV comme par exemple dans le filtre de retour d’eau d’étanchéité, au niveau d’une soupape SEBIMTM, ou encore au niveau d’une vanne d’isolement de l’enceinte de confinement. Les transitoires ont entraîné une température supérieure à 110 °C dans certains tronçons de tuyauteries qui comportaient des organes non qualifiés pour un fonctionnement à cette température.

L’application des procédures de conduite incidentelle ou accidentelle a permis de réduire progressivement la fuite d’eau primaire au travers du joint n° 2 par la dépressurisation du circuit primaire. Le réacteur n° 2 a atteint un état d’arrêt stable dans la nuit du 5 au 6 avril. Cet événement n’a pas eu de conséquence dans l’environnement.

Origine de la fuite d’huile

Lors des expertises du GMPP n° 1, il a été constaté qu’un joint d’une bride du circuit d’huile de la pompe de soulèvement était sorti de sa position initiale. Le contrôle du serrage des quatre vis de la bride défaillante a mis en évidence un serrage insuffisant de la vis située au plus près de la fuite. Après dépose de la tuyauterie, le contrôle du joint a montré qu’il était bien placé dans sa gorge, mais qu’il était sectionné au niveau de la vis présentant un serrage insuffisant.

L’hypothèse retenue par EDF est que le fonctionnement prolongé de la pompe de soulèvement concomitant avec un serrage insuffisant d’une vis de bride aurait conduit à une déformation excessive du joint puis à sa rupture, engendrant une fuite d’huile.

Origine de la dégradation du joint n° 1

Une augmentation du débit de retour de fuite du joint n° 1 et une baisse de sa perte de charge qui ont été constatées étaient significatives d’une ouverture importante du joint. Son endommagement a été confirmé lors de l’expertise du GMPP. Il est apparu que cette anomalie était liée à la concomitance de la fuite d’huile et de la présence inappropriée d’une plaquette arrêtoir dans le mécanisme composant le joint n° 1. La présence d’une plaquette arrêtoir dans le joint n° 1 résultait d’une non-qualité de maintenance lors de l’échange standard du joint n° 1 réalisé au cours de l’arrêt pour rechargement du cœur en 2009. La procédure utilisée pour le montage du joint ne permettait pas de déceler la présence de ce corps étranger. Une modification des procédures et de la règle nationale de maintenance (RNM) a été mise en œuvre, afin d’y intégrer un contrôle de libre coulissement du joint n° 1. Cette non-qualité de maintenance de 2009 ne s’était pas traduite par des effets jusqu’en 2012. L’écart a été détecté au mois d’avril 2012 par sa conjugaison avec le déficit d’alimentation en huile lié à la fuite.

Actions correctives engagées par Électricité de France

À la suite de l’événement, le GMPP n° 1 du réacteur n° 2 de la centrale nucléaire de Penly a été remplacé dans son intégralité, à l’exception de la volute de pompe, et un contrôle du serrage de l’ensemble des vis des brides du circuit d’huile a été réalisé pour tous les GMPP des deux réacteurs de cette centrale nucléaire. EDF a ensuite élaboré, et mis en œuvre avant le redémarrage du réacteur n° 2 de la centrale nucléaire de Penly, un programme de requalification partielle du circuit primaire. Ce programme a défini les actions à réaliser (examens visuels, ressuages, répliques métallographiques, nettoyage et remplacements de pièces) à la suite de l’événement.

De plus, afin de déterminer les causes précises des défaillances matérielles survenues, EDF a réalisé des expertises du GMPP n° 1, de la cellule électrique de la pompe de soulèvement et des vannes situées sur la ligne de retour de fuite du joint n° 1 pour les quatre GMPP. Une vérification du bon serrage des brides des circuits d’huile a été réalisée lors des arrêts pour rechargement du cœur des différents réacteurs du parc électronucléaire français au titre du retour d’expérience.

Incendie à la suite d’un échauffement de câbles
alimentant les pompes du circuit d’eau de circulation (CRF)

(Cattenom 2 – Mai 2004)

Le 16 mai 2004, alors que le réacteur n° 2 de la centrale nucléaire de Cattenom était en phase de redémarrage à la suite d’un arrêt pour rechargement du cœur, un départ de feu de câbles électriques s’est déclaré au niveau d’une trémie coupe-feu supportant, entre autres, des câbles électriques de 6,6 kV entre le bâtiment électrique et la salle des machines. Le départ de feu a été détecté par l’apparition d’un défaut d’isolement dans le tableau électrique LGB de 6,6 kV, suivi d’une alarme de détection d’incendie.

À la suite de ces alarmes, l’exploitant a appliqué les procédures de conduite incidentelle-accidentelle et la conduite de l’installation a été orientée vers la procédure « perte totale de la voie A à la suite d’un incendie » (I4D). Conformément à cette procédure, l’exploitant a coupé les tableaux électriques de la voie A et les sources électriques externes. L’alimentation électrique de la voie B a alors été assurée par le groupe électrogène de secours de la voie B jusqu’à la récupération de l’alimentation électrique par le transformateur auxiliaire.

L’origine de l’incendie est un échauffement des câbles alimentant en 6,6 kV les pompes du circuit d’eau de circulation (CRF) vers le condenseur, au niveau d’une trémie de passage de câbles (voir la figure 23.4). Ces câbles étaient sous-dimensionnés (uniquement pour la centrale nucléaire de Cattenom) par rapport à la puissance nominale des pompes (9 MWe). Par ailleurs, la trémie concernée présentait deux parois, ce qui empêchait l’évacuation des calories dégagées et a provoqué la carbonisation des câbles. Pour les autres réacteurs de 1 300 MWe, la puissance des pompes d’eau de circulation vers le condenseur est plus faible (puissance nominale de 5 MWe).

Figure 23.4. Chemins de câbles 6,6 kV après l’événement de Cattenom 2 du 16 mai 2004. EDF.

L’exploitant a remplacé les câbles sur les quatre réacteurs de la centrale nucléaire de Cattenom en adoptant un nouveau cheminement avec deux câbles par phase et il a supprimé l’effet « four » dans toutes les trémies électriques concernées, en supprimant l’une des deux parois qui n’était pas nécessaire.

Cet événement a mis en évidence des anomalies dans la conception de la distribution électrique et du cheminement des câbles, en particulier le passage de câbles qui, bien que faisant partie de la voie B, passaient dans des locaux de la voie A sans protection particulière.

La première application complète de la procédure de conduite incidentelle ou accidentelle I4D dans une situation réelle a montré que la conduite retenue par EDF pour gérer un incendie conduisant à la perte totale de la voie A était globalement satisfaisante.

L’analyse des aspects relatifs aux facteurs organisationnels et humains a mis en évidence des faiblesses qui ont entraîné des retards dans l’appel des secours extérieurs, l’application de la procédure de conduite I4D et l’appel du poste de commandement direction pour le déclenchement du plan d’urgence interne. Des actions correctives ont été mises en place à la suite à cet événement.

Cet événement a été l’un des événements précurseurs les plus significatifs de l’année 2004.

23.2.3.Risques liés à l’utilisation d’hydrogène
dans les réacteurs de 900 MWe

Les risques liés à l’utilisation d’hydrogène dans les centrales nucléaires nécessitent une attention particulière lors de la conception et au cours de l’exploitation, pour éviter toute inflammation ou explosion d’un mélange de ce gaz avec l’air ; des éléments sur ce sujet sont présentés dans le paragraphe 11.7 du chapitre consacré aux agressions internes dans un réacteur nucléaire.

Utilisations de l’hydrogène dans une centrale nucléaire

Entreposé sur le site dans un parc de bouteilles de gaz, de l’hydrogène pur est amené via des canalisations jusque dans la salle des machines pour être injecté dans le circuit de refroidissement du rotor de l’alternateur, et jusque dans des locaux du bâtiment des auxiliaires nucléaires (BAN) pour être injecté dans le circuit primaire afin de compenser les effets de la radiolyse de l’eau662.

Par ailleurs, les effluents gazeux hydrogénés produits lors du fonctionnement du réacteur sont périodiquement évacués du circuit primaire par le circuit des purges et évents (RPE), d’abord vers un réservoir tampon puis vers les bâches du système de traitement des effluents gazeux (TEG). Outre l’hydrogène, ces effluents contiennent des gaz de fission (xénon et krypton) et de l’azote. Il est à noter que, pour les réacteurs de 900 MWe, un même système TEG est utilisé par deux réacteurs.

Risques liés à l’utilisation de l’hydrogène

À température et pression ambiantes, l’hydrogène se présente sous la forme d’un gaz sans couleur et sans odeur. En présence de l’oxygène de l’air et dans certaines conditions, l’inflammation d’un nuage d’hydrogène qui résulterait de la fuite d’une canalisation ou d’un réservoir pourrait donner lieu à une explosion : dans l’air sec, la déflagration de l’hydrogène peut être obtenue pour des concentrations allant de 4 % à 75 % d’hydrogène par volume d’air, alors que la détonation, beaucoup plus destructrice, pourra être obtenue pour des concentrations allant de 18 % à 59 %. Les conséquences sur la sûreté d’une explosion dans la partie nucléaire d’une centrale peuvent être la perte d’un ou plusieurs équipements permettant le maintien ou le retour dans un état sûr du réacteur, ou un relâchement de produits radioactifs dans l’environnement.

Événements survenus et enseignements tirés

Les risques liés à l’hydrogène ont été particulièrement mis en évidence lors d’un événement survenu à la centrale nucléaire de Chinon en 1998, déjà mentionné dans le paragraphe 11.7 du chapitre consacré aux agressions internes dans un réacteur nucléaire. Il est rappelé ici que des intervenants chargés de faire la visite interne d’une vanne située sur une tuyauterie du circuit d’hydrogène alimentant le BAN du réacteur B4 se sont trompés de réacteur et ont ouvert celle du réacteur B3 alors en fonctionnement, ce qui a occasionné une importante fuite d’hydrogène. L’évaluation de l’augmentation de la probabilité d’endommagement du cœur dans cette situation a montré que cet événement devait être considéré comme très fortement précurseur (possibilité de création, du fait d’une explosion, d’une brèche dans le circuit primaire sans injection de sécurité par suite de l’endommagement des pompes du circuit RIS – voir la figure 23.5 ci-après).

Figure 23.5. Résultats d’un calcul de simulation par l’IPSN des conséquences auxquelles aurait pu conduire une inflammation d’hydrogène dans le local contenant un réservoir du circuit RIS et une explosion de l’hydrogène dispersé présentant les mêmes caractéristiques (débit de fuite, locaux concernés) que celles de l’événement de Chinon B3 ; les pressions obtenues sont de 7 bars en moyenne et 13 bars dans le local abritant des composants du système RIS. IRSN.

À la suite de cet événement, Électricité de France a engagé une campagne de vérifications de l’état des tuyauteries véhiculant de l’hydrogène dans les quatre réacteurs de la centrale nucléaire de Chinon. L’exploitant s’est alors aperçu que les doubles enveloppes663 de tuyauteries de distribution d’hydrogène, en acier noir, étaient corrodées, ce qui a entraîné un remplacement de tronçons de doubles enveloppes.

Sur les sites, un manomètre à lecture locale de la pression d’azote dans les doubles enveloppes des tuyauteries de distribution d’hydrogène a été ajouté, avec un relevé journalier par des rondiers ; un détecteur d’hydrogène a été ajouté dans le local du réservoir du circuit RIS contenant la solution d’acide borique à 21 000 ppm de bore. Par ailleurs, la gestion des alarmes de présence d’hydrogène dans les locaux a été revue en vue d’améliorer la réactivité des équipes.

Au mois de septembre 2005, le réacteur n° 1 de la centrale nucléaire de Fessenheim fonctionnait en puissance et les activités préparatoires à l’arrêt pour maintenance et rechargement du combustible du cœur étaient engagées. Dans le cadre de ces activités, des opérations sont prévues pour anticiper l’envoi des effluents hydrogénés du réacteur vers le système de ventilation générale qui assure une prédilution de ces effluents avant leur rejet à l’atmosphère. À cet égard, une manchette permet d’alimenter le réservoir du circuit de contrôle chimique et volumétrique (ballon RCV) soit en hydrogène, soit en air. Lorsque le réacteur est en puissance, le lignage permet l’alimentation du ciel d’hydrogène de ce réservoir. En début d’arrêt du réacteur, la manchette est balayée par de l’azote afin d’éviter les mélanges d’hydrogène et d’oxygène. À l’issue de ce balayage, la manchette est basculée sur le réseau d’alimentation en air afin de réaliser un balayage par de l’air. L’équipe qui devait réaliser l’intervention a desserré la manchette qui permet d’alimenter le réservoir du circuit de contrôle chimique et volumétrique en hydrogène alors que la tranche était encore en puissance. Le gaz, de l’hydrogène, s’est échappé dans un sifflement assourdissant et l’explosimètre a déclenché une alarme. La valeur lue sur l’explosimètre était celle de la limite inférieure d’explosivité, ce qui correspond à une teneur en hydrogène au moins égale à 4 %. Les intervenants ont quitté précipitamment le local. Une alarme est apparue en salle de commande. Quelques minutes plus tard, après avoir compris que la manchette véhiculait encore de l’hydrogène, les intervenants équipés de casques antibruit sont retournés dans le local afin de resserrer la bride de la manchette. La porte du local a été maintenue ouverte afin de ventiler le local.

Comme dans le cas de l’événement de Chinon B3 de 1998, des manques dans la fiche d’alarme n’ont pas permis de traiter ce type d’événement aussi rapidement qu’il eût été souhaitable. Des actions de sensibilisation du personnel aux risques liés à l’hydrogène lors des activités réalisées sur des tuyauteries sous pression d’hydrogène ont été préconisées. De plus, des repères fonctionnels ont été attribués aux manchettes, les opérations sur les circuits d’hydrogène ont été « découpées » en plusieurs interventions, toutes devant être réalisées lorsque le réacteur est à l’arrêt.

En juin 2006, alors que le réacteur n° 5 de la centrale nucléaire de Gravelines était en cours de redémarrage après un arrêt pour rechargement du combustible dans le cœur, un signal d’injection de sécurité intempestif a été émis. La configuration du réacteur a entraîné l’isolement des lignes de charge et de décharge (circuit RCV), le démarrage des pompes d’injection de sécurité à basse pression et la sollicitation des soupapes du circuit de refroidissement du réacteur à l’arrêt. En outre, la sollicitation durant trois heures des soupapes dont le rôle est de limiter la pression dans le réservoir du circuit RCV a provoqué des vibrations dans les tuyauteries, à l’origine de deux fissures. Le débit de fuite par ces fissures a été estimé à 30 L/h. En cas de nouvelle sollicitation de la ligne située en aval de la soupape de protection de la ligne de débit nul des pompes de charge, il y aurait eu un risque de rupture complète de la tuyauterie, ce qui aurait pu occasionner, en supposant le dégagement du volume maximal d’hydrogène présent dans le réservoir, une explosion dans le local664. Dans ce cas, les deux voies d’injection de sécurité auraient été perdues car elles sont situées dans un local adjacent au local où se trouve ce réservoir. Cet événement a permis de découvrir que la conduite de l’injection de sécurité prescrite par les procédures quand le circuit primaire est monophasique (pressuriseur rempli d’eau lors de la mise à l’arrêt du réacteur) n’était pas satisfaisante. Cet événement a fait apparaître la nécessité de remplacer les soupapes de protection de la ligne de débit nul des pompes de charge par des soupapes d’un autre modèle pour éviter la fissuration de cette ligne et les risques d’explosion associés.

Au mois de juin 2007, alors que le réacteur n° 4 de la centrale nucléaire de Chinon était en puissance, une surconsommation d’hydrogène a alerté l’exploitant. Les investigations ont permis de découvrir une portion de tuyauterie d’hydrogène fortement corrodée. Un constat similaire a été fait sur les trois autres réacteurs de cette centrale. Une doctrine de maintenance relative aux tuyauteries véhiculant de l’hydrogène avait été diffusée au deuxième trimestre 2007 mais elle n’était pas encore complètement mise en application à la date de l’événement. Les examens de la tuyauterie défectueuse du réacteur n° 4 ont mis en évidence une corrosion généralisée avec des percements mais sans risque de rupture brutale. Toutefois, si la tuyauterie s’était rompue complètement, il y aurait eu un risque d’endommagement d’équipements importants pour la sureté en raison de l’atmosphère explosive dans le local. Cet événement a rappelé l’importance de la maintenance des tuyauteries véhiculant de l’hydrogène. Lors des réparations de cette même tuyauterie dans le réacteur n° 1, une méconnaissance de l’état de l’installation par certains intervenants a entraîné la découpe de la tuyauterie alors qu’elle véhiculait encore de l’hydrogène. Même si les conséquences sur la sûreté ont été faibles au regard du volume d’hydrogène restant dans la tuyauterie, cet événement a montré la nécessité d’ajouter ces tuyauteries à la liste des équipements sensibles redevables des actions et des pratiques de fiabilisation des interventions développées par EDF.

En 2008, l’ASN a, avec le soutien de l’IRSN, mené des inspections dans plusieurs centrales pour y vérifier la maîtrise des risques d’explosion. La plupart de ces inspections ont montré que les dispositions prises par EDF n’étaient pas complètes en regard de la règlementation applicable aux tuyauteries contenant des substances explosives. Aussi, le 13 novembre 2008, l’ASN a pris deux décisions à ce sujet. La première a prescrit à Électricité de France d’améliorer, sous trois mois, la maîtrise du risque d’explosion dans ses centrales nucléaires. La seconde, prise au regard de la situation constatée lors de l’inspection de la centrale nucléaire de Cruas-Meysse, a mis en demeure Électricité de France de remettre, sous trois mois, la centrale en conformité avec la règlementation.

Les analyses des événements précités montrent que la libération d’hydrogène dans des locaux pourrait être lourde de conséquences à la fois pour les intervenants mais aussi pour les équipements importants pour la sûreté implantés dans ces locaux et dans les locaux avoisinants. Elles montrent également que la libération d’hydrogène peut avoir des causes diverses (humaines, organisationnelles, documentaires). Les risques liés à l’hydrogène doivent donc être considérés avec une attention toute particulière et faire l’objet d’analyses spécifiques.

23.3.Agressions externes : événements liés
aux périodes de « grands froids »

Indisponibilités multiples résultant d’un « grand froid »

(Chinon B3 – Janvier 1987)

La vague de froid de 1987 a provoqué un événement dans le réacteur Chinon B3, qui mérite d’être présenté en tant que précurseur de situations plus graves.

Le 12 janvier 1987, la consommation française d’électricité était très importante en raison des conditions climatiques. Trois des quatre tranches de la centrale thermique de Cordemais située près de l’embouchure de la Loire ont déclenché simultanément. Le froid est lui-même la cause de ces défaillances.

La chute importante de tension du réseau de distribution électrique en 400 kV dans l’ouest de la France qui a résulté du déclenchement de ces trois tranches en période de forte consommation d’électricité a provoqué le déclenchement de sept réacteurs nucléaires et de deux autres tranches à combustible fossile. C’est notamment le cas du réacteur Chinon B3, par action d’une protection contre une trop grande intensité dans le rotor de l’alternateur.

L’alimentation électrique du réacteur a été automatiquement basculée sur la ligne électrique auxiliaire en 225 kV, qui était elle-même affaiblie. L’arrêt du réacteur a provoqué le démarrage de l’alimentation de secours en eau des générateurs de vapeur (ASG).

La tension fournie par les tableaux électriques secourus a baissé sans que les groupes de secours à moteur diesel démarrent automatiquement car leur seuil de couplage était réglé trop bas. Ces groupes ont été démarrés manuellement par les opérateurs. Les deux motopompes du système ASG ont déclenché par surintensité (compensation de la faible tension). Il en fut successivement de même pour les quatre pompes du circuit de refroidissement intermédiaire (RRI). Divers contacteurs ont été détériorés et mis hors service, interrompant le « traçage »665 qui maintient certaines armoires et tuyauteries en température.

Les groupes électrogènes et les pompes ont été successivement remis en service par les opérateurs avant que l’alimentation électrique principale ne soit à nouveau disponible, après un quart d’heure d’interruption.

Une heure avant cet événement, les opérateurs avaient découvert que la température extérieure (- 10 °C), accompagnée d’un vent soutenu, avait provoqué le gel de la tuyauterie assurant la réalimentation de la réserve d’eau du circuit ASG. Cette réserve baissera ainsi pendant quatre heures. Le réacteur sera amené dans des conditions de pression et de température qui permettent le raccordement au circuit de refroidissement à l’arrêt (RRA).

Dans le même temps, deux capteurs de niveau d’eau de la bâche du circuit de refroidissement d’eau des piscines (PTR) ont été découverts gelés, ce qui aurait pu compromettre le bon déroulement de la séquence d’injection de sécurité en cas de brèche du circuit primaire (pas de passage en recirculation d’eau, risque de perte de l’injection de sécurité). Ils seront remis en état au bout de quelques heures, de même que la réalimentation de la bâche ASG.

Le lendemain, les opérateurs noteront que deux soupapes de protection des lignes de vapeur présentent des fuites. C’est encore le froid qui en est responsable, associé à l’interruption du « traçage ». Là encore des interventions appropriées permettront de retrouver une situation normale.

Pendant la même période, une intervention sera nécessaire sur la prise d’eau de la station de pompage qui menaçait d’être colmatée par de la glace.

Toutes ces défaillances sont dues à une même cause, les conditions climatiques qui régnaient sur l’ensemble de la région. Leur léger étalement dans le temps est purement fortuit.

Prise en glace de la grille anti-intrusion de la station de pompage

(Chooz B – Janvier 2009)

La centrale nucléaire de Chooz B, située dans la région des Ardennes, est équipée de deux réacteurs de 1 450 MWe (B1 et B2), refroidis en circuit ouvert par l’eau de la Meuse.

Le 9 janvier 2009 au matin, après une nuit très froide (température de - 15 °C), l’exploitant a détecté, lors d’une ronde de surveillance, un écart d’environ deux mètres entre le niveau d’eau de la Meuse et celui de l’eau du canal d’amenée (entre la grille anti-intrusion et la station de pompage). Cet écart était dû à la formation de glace sur la grille anti-intrusion séparant le chenal et le canal d’amenée. Ce phénomène a conduit à un blocage partiel de l’écoulement vers la prise d’eau et à l’atteinte d’un niveau d’eau dans le canal d’amenée inférieur au niveau minimum requis. Cette baisse de niveau n’a toutefois pas entraîné de dysfonctionnement des pompes du circuit de refroidissement des systèmes importants pour la sûreté (pompes d’alimentation en eau brute secourue). Cependant, un niveau d’eau dans le canal d’amenée légèrement inférieur aurait pu conduire à des conséquences importantes pour la sûreté en affectant les performances de ces pompes sur un, voire les deux réacteurs Chooz B. Au cours de la matinée, la déchirure de la toile d’un panneau filtrant du filtre à chaînes de la voie B a été constatée. Cette déchirure de la toile a provoqué un colmatage des échangeurs entre les circuits SEC et RRI de cette voie, puis une baisse rapide du débit de refoulement de la pompe du circuit SEC de la voie B, sans toutefois compromettre l’efficacité du refroidissement du RRI.

Dans le cas d’une dégradation importante de la source froide, les deux réacteurs de la centrale nucléaire de Chooz auraient pu se trouver en situation de perte totale de la source froide.

Le phénomène qui s’est produit à Chooz B est appelé frasil : il correspond à la formation de cristaux de glace collante au sein d’un écoulement turbulent à faible vitesse, à des températures légèrement inférieures à 0 °C pour l’eau douce. À Chooz B, compte tenu des faibles vitesses d’écoulement dans le chenal au niveau de la prise d’eau, il y a eu formation de frasil dans le chenal, avec adhésion des cristaux de glace sur la partie des barreaux de la grille qui se trouvait face au sens d’écoulement de l’eau. Le dépôt de frasil sur la face amont des barreaux a ensuite augmenté de manière continue. Cette augmentation, aussi bien en largeur qu’en profondeur, s’est poursuivie jusqu’à former des « ponts » entre les barreaux adjacents, s’opposant au passage de l’eau. Un « mur » de frasil s’est alors constitué sur toute l’épaisseur des barreaux des grilles.

Dès la découverte de la prise en glace de la grille, l’exploitant est intervenu pour briser la glace. Cette action a permis de retrouver rapidement une situation normale d’alimentation en eau de la station de pompage.

À la conception de la centrale nucléaire de Chooz B, afin d’écarter le risque d’obstruction par la glace à l’intérieur de la station de pompage, un dispositif, appelé recirculation d’hiver, avait été mis en place pour permettre de maintenir une température de l’eau supérieure à 3 °C à l’entrée de la station de pompage. En revanche, le risque d’obstruction rapide de la grille du canal d’amenée d’eau n’ayant pas été envisagé, aucun dispositif de protection n’avait été prévu en amont de cette grille. Cet événement souligne l’importance non seulement de s’assurer du respect des exigences de sûreté à l’égard des agressions climatiques possibles, notamment du frasil, mais également de se réinterroger périodiquement sur le caractère suffisant des dispositions de protection associées.

Pour éviter une nouvelle obstruction de la grille, l’exploitant a notamment mis en place un dispositif mobile d’apport d’eau chaude en amont de la grille et un dispositif de vidéo-surveillance. De plus la règle particulière de conduite « grands froids », mise en application à la fin de 2009, prescrit dorénavant au titre de la surveillance permanente que l’exploitant mette en place la recirculation d’eau chaude (parade anti-frasil) dès l’atteinte d’une température de la Meuse inférieure à 1 °C et une température de l’air inférieure à 5 °C, ainsi que des rondes sur l’atteinte des seuils de température et un matériel spécifique dédié au retrait de la glace.

Pluies verglaçantes ayant entraîné
la perte des lignes électriques principales

(Centrale nucléaire de Paluel – Décembre 2005)

La centrale nucléaire de Paluel comporte quatre réacteurs à eau sous pression. La puissance produite est évacuée (voir la figure 23.6) par les lignes électriques en 400 kV via le transformateur principal (TP). Un transformateur de soutirage (TS) alimente le réseau électrique interne en 6,6 kV. Les deux voies secourues bénéficient d’une alimentation électrique en 6,6 kV distincte (LHA en voie A et LHB en voie B) secourue par une seconde source externe : le poste de transformation auxiliaire (TA)666, et par une source interne : un alternateur entraîné par un groupe électrogène à moteur diesel. De plus, il existe un système de distribution électrique en 380 V alternatif secouru à partir d’un turboalternateur alimenté en vapeur par les générateurs de vapeur.

Figure 23.6. Schéma d’alimentation électrique des tranches de la centrale nucléaire de Paluel (exemple de la tranche n° 1). IRSN.

Le 30 décembre 2005, il pleuvait, les températures étaient négatives et un vent fort soufflait sur la centrale nucléaire de Paluel. Le passage du vent au-dessus des bassins de rejet situés à proximité des postes de 400 kV d’évacuation d’énergie a entraîné la formation d’un brouillard salin qui s’est déposé sur les isolateurs. Ces conditions météorologiques particulières ont contribué à former une couche de glace partielle sur des isolateurs667 des postes de 400 kV. L’amorçage d’arcs électriques au niveau des transformateurs principaux des quatre réacteurs a entraîné la rupture des pare-effluves668, provoqué les mises hors tension successives des lignes principales des quatre réacteurs et la perte des transformateurs auxiliaires. Pour trois réacteurs l’îlotage a été réussi, mais la tentative d’îlotage a échoué pour le réacteur n° 2. L’arrêt automatique du réacteur a eu lieu après le déclenchement de la turbine par survitesse. Ce réacteur est resté alimenté par les groupes électrogènes et a fonctionné en « thermosiphon » (convection naturelle).

Ce phénomène de pluies verglaçantes constitue un mode commun qui, du fait de la conception du système d’alimentation électrique des centrales nucléaires françaises, a entraîné la perte des deux sources d’alimentation électrique externes des quatre réacteurs. Les évaluations probabilistes ont montré que cet événement devait être considéré comme précurseur d’accident d’endommagement d’un cœur.

Il est apparu que cet événement n’était pas couvert par les modifications réalisées en 1984 à la suite d’un événement similaire. Par ailleurs, lors de cet événement, les stalactites de glace verticales ont relié les assiettes des isolateurs entre elles et ont dégradé les performances des isolateurs. Le niveau d’isolement a baissé d’autant plus que la solidification s’est faite en emprisonnant des embruns chargés en sel marin. Cette glace a raccourci la ligne de fuite naturelle des isolateurs, générant des amorçages de courants. Ce défaut a été éliminé par les protections de ligne qui se sont ouvertes.

654.Il s’agit d’alarmes qui signalent des défauts d’isolement présents sur un ensemble de câbles utilisés lors de la construction de cette tranche. Ces défauts étaient connus, leurs conséquences faibles. Aucune action n’était demandée aux opérateurs dans l’attente du remplacement de ces câbles.

655.Barbes ou filaments d’étain.

656.Cette notion est précisée au paragraphe 22.2.2.

657.Ces interrupteurs s’ouvrent lorsqu’un un ordre de protection du réacteur est émis.

658.Le terme « pince vapeur » est utilisé pour désigner la zone délimitée par une structure métallique abritant des intempéries et du froid les parties des tuyauteries (en forme de pinces) d’alimentation en eau des générateurs de vapeur et d’évacuation de la vapeur situées entre le bâtiment du réacteur et la salle des machines.

659.Un circuit d’huile assure la lubrification des paliers de chaque GMPP en service et un dispositif complémentaire d’injection d’huile sous pression, « de soulèvement », assure la présence d’un film d’huile sur le palier-butée du GMPP avant et pendant le démarrage, ainsi que lors de l’arrêt du moteur.

660.Les trois joints successifs des GMPP assurent l’étanchéité à l’égard du circuit primaire. Cette étanchéité est obtenue en injectant de l’eau froide dans les joints pour faire obstacle au fluide primaire chaud. Grâce à trois fuites successives contrôlées, les joints permettent de passer de la pression du circuit primaire (155 bars) à la pression atmosphérique.

661.Circuit des purges et évents nucléaire (RPE) : ce circuit collecte les effluents liquides et gazeux qui peuvent présenter une contamination radioactive, produits par les circuits et installations nucléaires.

662.Sous l’action des rayonnements, l’eau se décompose en hydrogène et en oxygène, ce dernier ayant un fort pouvoir oxydant. Ce phénomène, dénommé radiolyse, favorise la corrosion du circuit primaire. Lorsque le réacteur fonctionne, l’injection d’hydrogène dans le circuit primaire permet de réduire la teneur en oxygène par recombinaison et donc de réduire efficacement la corrosion.

663.Les tuyauteries sont équipées d’une double enveloppe jusqu’à leur entrée dans le BAN, hormis à la centrale de Fessenheim.

664.Il est à noter que ce type d’événement peut survenir dans des locaux non équipés d’un dispositif de détection d’hydrogène.

665.Système de maintien d’équipements à une température adéquate par des cordons électriques chauffants.

666.La particularité des tranches de 1 300 MWe est que leur transformateur auxiliaire est alimenté par la tranche de même parité pour les centrales nucléaires de quatre réacteurs et par la tranche jumelle pour les centrales nucléaires à deux réacteurs. Lors d’une perte d’alimentation électrique externe, l’îlotage du réacteur est provoqué par l’ouverture du disjoncteur de ligne, ce qui provoque une réduction de la charge de l’alternateur jusqu’à la valeur consommée par les auxiliaires.

667.Les isolateurs servent à la protection contre les surtensions. Ils sont composés d’un nombre défini de disques superposés appelés assiettes tels que la ligne de fuite ne permet pas l’amorçage d’un arc électrique.

668.Les pare-effluves sont fixés à la partie supérieure des porcelaines isolantes, sur chacune des phases du transformateur principal, pour la protection contre les phénomènes d’arcs électriques. Ils garantissent la tenue diélectrique, en particulier lors des surtensions atmosphériques ainsi que sous la pluie et réduisent l’effet Corona (ionisation des molécules d’air), les pertes et les perturbations associées. Ils sont au nombre de deux sur chaque isolateur.

Chapitre 24

Renforcement de la protection
des sites en bordure d’estuaire
ou de rivière

Inondation de la centrale nucléaire du Blayais
et obstruction d’une prise d’eau
à la centrale nucléaire de Cruas-Meysse

Le présent chapitre est entièrement consacré à deux événements significatifs marquants qui ont été occasionnés par des « agressions externes » : l’inondation partielle du site de la centrale nucléaire du Blayais, concomitante à la tempête survenue en France à la fin du mois de décembre 1999, et l’arrivée de matières végétales obstruantes dans la prise d’eau de deux des quatre réacteurs de la centrale nucléaire de Cruas-Meysse, au tout début du mois de décembre 2009.

Ces deux événements ont été riches d’enseignements. En particulier, l’inondation partielle du site de la centrale nucléaire du Blayais a conduit à revoir en profondeur – au-delà des réévaluations décennales réalisées pour notamment intégrer l’évolution des connaissances et des données dans le domaine de l’hydrométéorologie – la protection des sites à l’égard des risques d’inondation, de quelque nature qu’ils soient (crue d’un fleuve, pluies, etc. et leur possible concomitance), et à renforcer de façon significative cette protection.

24.1.Perte partielle des systèmes de sauvegarde
à la suite de l’inondation de la centrale nucléaire
du Blayais

Rappel succinct des événements et des effets induits

La centrale nucléaire du Blayais est située sur la rive droite de l’estuaire de la Gironde, au nord de la ville de Bordeaux. Elle est équipée de quatre réacteurs de 900 MWe.

Durant la nuit du 27 au 28 décembre 1999, une forte dépression et des vents violents – dont la vitesse a été mesurée à environ 200 km/h –, en rafales, ont provoqué, de façon concomitante avec la marée, une importante montée des eaux de la Gironde. Les protections existantes, notamment les digues périphériques, permettaient bien de faire face au niveau d’eau « statique » atteint, mais pas aux vagues générées par la houle dans l’estuaire. La houle levée par les vents a alors conduit au franchissement de la digue de protection existante par des paquets d’eau et à une inondation partielle de la centrale. Compte tenu de la direction des vents et des vagues, ce sont essentiellement les réacteurs n° 1 et n° 2 qui ont été touchés par l’inondation, très peu d’eau ayant pénétré dans les locaux des réacteurs n° 3 et n° 4.

Les conditions météorologiques exceptionnelles ont également entraîné des perturbations du réseau électrique, qui se sont traduites par la perte totale du réseau auxiliaire en 225 kV pour l’ensemble des réacteurs pendant environ 24 heures et par une perte, pendant plusieurs heures, du réseau principal en 400 kV des réacteurs n° 2 et n° 4.

L’eau s’est infiltrée dans des caniveaux, inondant les sous-sols des bâtiments administratifs et du bâtiment des auxiliaires généraux. L’eau s’est ensuite propagée dans les locaux des réacteurs n° 1 et n° 2 au travers de portes et de trémies, atteignant les sous-sols des bâtiments électriques, les galeries de liaison avec la station de pompage, les sous-sols des bâtiments périphériques et ceux des bâtiments du combustible (représentation très schématique sur la figure 24.1).

Figure 24.1. Représentation schématique de l’inondation de la centrale nucléaire du Blayais en décembre 1999. IRSN.

Cette inondation a principalement conduit à la perte des matériels et systèmes suivants :

–pour le réacteur n° 1, des deux pompes de la voie A du système d’eau brute secouru (SEC). Les deux pompes de la voie B sont restées opérationnelles. Pour le réacteur n° 2, les quatre pompes du SEC sont restées opérationnelles. La circulation du fluide primaire dans les réacteurs n° 1 et n° 2 a toujours été assurée par le fonctionnement d’une pompe primaire ;

–pour chacun des réacteurs n° 1 et n° 2, des deux voies des systèmes d’injection de sécurité (RIS) à basse pression et d’aspersion dans l’enceinte de confinement (EAS).

Durant les premières heures de l’événement, l’arrivée d’équipes de renfort depuis l’extérieur de la centrale nucléaire a été impossible du fait des dégâts occasionnés par la tempête (voies d’accès inondées, nombreux arbres tombés…). Le personnel de la centrale nucléaire a engagé les opérations de pompage dès les premières heures du 28 décembre. Les eaux pompées ont été rejetées dans la Gironde après vérification préalable de leur activité radiologique. Les travaux de pompage se sont terminés dans les dernières heures du 29 décembre.

À la suite de l’inondation, les personnels des réacteurs n° 1 et n° 2 ont procédé à leur repli en état d’arrêt normal avec le refroidissement du circuit primaire assuré par les générateurs de vapeur (AN/GV).

Cet état atteint, la préoccupation première de l’exploitant a été de garantir un fonctionnement de longue durée du système d’alimentation de secours en eau des générateurs de vapeur (ASG) de chaque réacteur en restaurant en permanence la réserve d’eau contenue dans les bâches de ces systèmes au moyen des réserves d’eau déminéralisée de la centrale et du fonctionnement du poste de déminéralisation. Les réacteurs n° 1 et n° 2 ont ainsi été maintenus en AN/GV et amenés aux conditions de connexion au circuit RRA, dans l’attente d’une stabilisation du réseau électrique national, de la disponibilité de l’ensemble des systèmes électriques de la centrale (source externe, tableaux électriques), de la disponibilité de l’ensemble du système SEC et de la requalification d’une voie des systèmes RIS et EAS dont les pompes avaient été noyées. Ces conditions étaient nécessaires pour assurer une disponibilité suffisante des systèmes de sauvegarde permettant de rejoindre à terme l’état d’arrêt pour rechargement du combustible du cœur et de procéder à un examen complet de l’état des réacteurs. Les réacteurs n° 1 et n° 2 ont finalement atteint les conditions d’arrêt pour rechargement du combustible les 18 et 15 janvier 2000.

Le réacteur n° 3 a été maintenu en état d’arrêt normal avec refroidissement par le circuit RRA et n’a pas été affecté par l’inondation. Le réacteur n° 4, d’abord amené en état d’arrêt à chaud, a redivergé le 30 décembre.

L’inondation partielle du site de la centrale nucléaire du Blayais669 a conduit à la mise en œuvre du PUI (niveau 2), du 28 décembre 1999 à 9 heures jusqu’au 30 décembre 1999 à 18 heures ; l’organisation nationale de crise a été mise en place dans la matinée du 28 décembre et a fonctionné jusqu’au 30 décembre. Dans la matinée du 28 décembre, phase la plus critique de l’inondation, il a pu être évalué que, pour le réacteur n° 1, l’exploitant aurait disposé de plus de dix heures pour agir avant la fusion du cœur du réacteur en cas de défaillance du système ASG. Ce système qui comporte deux motopompes et une turbopompe – une seule pompe suffisant à assurer le refroidissement du réacteur – n’a montré aucun signe de défaillance durant tout son fonctionnement.

L’inondation partielle du site de la centrale nucléaire du Blayais a été considérée comme un événement précurseur d’un endommagement du cœur, avec des probabilités conditionnelles de fusion du cœur pouvant atteindre (selon les défaillances supplémentaires considérées) quelques 10-3 (évaluations d’EDF et de l’IPSN).

Dimensionnement de la digue de protection

Le niveau initialement retenu pour dimensionner la protection du site de la centrale nucléaire du Blayais était de 5,02 m NGF670, correspondant au niveau atteint par la marée maximale (coefficient 120) augmenté d’une surcote destinée à tenir compte des conditions météorologiques (vents, dépressions…) et topographiques locales. La digue était constituée par un ouvrage en terre, protégé, du côté de la Gironde, par un enrochement de blocs de pierre. En front de Gironde, sa hauteur atteignait la cote de 5,2 m NGF ; sur les côtés latéraux du site, sa hauteur atteignait la cote de 4,75 m NGF. Des études menées par EDF, présentées dans l’édition 1998 du rapport de sûreté de la centrale nucléaire du Blayais, avaient conduit à réévaluer à 5,46 m NGF le niveau d’eau à considérer pour la protection du site. Électricité de France avait prévu de rehausser la digue jusqu’à 5,70 m NGF, mais les travaux correspondants, initialement prévus en 2000, avaient été repoussés à 2002.

Lors de la tempête de fin décembre 1999, des paquets d’eau ont submergé la plateforme de la centrale, avec des entrées notamment sur le côté nord-ouest de la digue. Lors du passage des paquets d’eau, les enrochements de la digue ont été déplacés, entraînant un arasement de la digue sur sa partie donnant sur la Gironde. La hauteur d’eau sur le site a atteint environ 30 cm dans l’angle nord-ouest du site.

Submersion de la plateforme et cheminement des eaux

L’eau s’est écoulée préférentiellement dans la galerie générale du site par des trous de manutention des plaques surmontant cette galerie ainsi que par les espaces libres au niveau de tôles déformées. Cette galerie générale, située à l’extérieur des bâtiments, les encercle presque complètement. Le débit d’eau qui a pénétré dans cette galerie sous une hauteur d’eau de 30 cm a pu être estimé compris entre 20 000 et 40 000 m3/h. Cette valeur a été corroborée par l’estimation du volume d’eau pompée dans les locaux (environ 90 000 m3 d’eau ont été rejetés entre le 27 décembre 1999 et le 1er janvier 2000) et par le fait que la présence d’eau sur le site a été constatée durant environ 2 heures.

Mesures correctives, enseignements tirés

À la suite de cet événement, la situation de l’ensemble des centrales du parc électronucléaire français a été réévaluée afin de vérifier leur conformité aux « référentiels » existants et de procéder rapidement au retour d’expérience de l’événement. Des travaux de remise en conformité ont été réalisés lorsque cela était nécessaire.

En termes de retour d’expérience, les principales leçons tirées de l’inondation partielle du site de la centrale nucléaire du Blayais sont les suivantes :

–le phénomène de houle, pris en compte à la conception des centrales de bord de mer, avait été sous-estimé dans le cas de cette centrale située en bordure d’un estuaire ;

–les digues de protection existantes de la centrale se sont révélées insuffisantes et peu adaptées pour faire face aux conditions météorologiques à l’origine de l’inondation ;

–comme cela a été montré plus haut, plusieurs locaux des réacteurs n° 1 et n° 2 ont été inondés, en particulier des locaux abritant des matériels importants pour la sûreté tels que les pompes de la voie A du système d’eau brute du réacteur n° 1 ainsi que, pour les réacteurs n° 1 et n° 2, les deux pompes (voies A et B) du système d’injection de sécurité à basse pression et les deux pompes du système d’aspersion d’eau dans l’enceinte de confinement ; lors de l’événement, le fonctionnement de ces pompes n’a pas été nécessaire puisque de telles situations accidentelles ne se sont pas produites. Par ailleurs, les alimentations électriques externes de la centrale ont été partiellement et momentanément perdues pendant l’événement ;

–le système d’alerte d’inondation (lié à un critère de niveau d’eau à l’entrée de l’estuaire) de la centrale s’est révélé inadapté aux conditions climatiques à l’origine de l’inondation ;

–l’inondation a conduit à une impossibilité momentanée d’accès au site (pendant environ dix heures) compte tenu de l’inondation des voies d’accès ou de leur obstruction par des débris ;

–des difficultés ont été rencontrées pour détecter et apprécier la présence d’eau dans certains locaux inondés (notamment ceux des pompes de sauvegarde).

Les fonctions de sûreté (maîtrise de la réactivité, évacuation de la puissance résiduelle, confinement des substances radioactives) ont néanmoins été assurées pendant toute l’inondation grâce aux moyens restés disponibles (générateurs de vapeur et voie B du système d’eau brute notamment).

Plan d’actions mis en œuvre compte tenu des enseignements tirés de l’événement

L’événement qui s’est produit sur le site du Blayais, bien qu’il n’ait pas lui-même conduit à une situation dangereuse pour les populations ou l’environnement, a mis en évidence la possibilité de modes de dégradation du niveau de sûreté pouvant affecter, le cas échéant, l’ensemble des réacteurs d’un même site. Aussi, pour EDF et les organismes de sûreté, il est apparu essentiel de tirer de cet événement tous les enseignements permettant d’éviter qu’il ne se reproduise, sur ce site ou sur d’autres sites de réacteurs électronucléaires. C’est pourquoi, outre des dispositions d’urgence prises à la centrale du Blayais, Électricité de France a défini et mis en œuvre un plan d’actions visant à réexaminer et renforcer, lorsque cela apparaîtrait nécessaire, les dispositions de protection contre les inondations externes des 19 sites de réacteurs électronucléaires. L’IRSN a été fortement impliqué dès l’année 2000 dans l’évaluation de ce plan d’actions et les modifications apportées sur les sites pour améliorer leur protection. Les améliorations apportées pour une meilleure maîtrise des risques liés aux inondations ont été réalisées en plusieurs temps.

Première étape : actions à court terme (mesures d’urgence)
sur le site du Blayais et premières réflexions de fond (tous CNPE)

Bien entendu, la priorité a été de mettre en place des dispositions appropriées sur le site du Blayais pour en garantir la protection : révision du niveau d’eau à prendre en compte pour le dimensionnement des digues (en intégrant le phénomène de houle), rehausse de la digue existante, mise en place d’enrochements, amélioration du système d’alerte, inspection des installations, réparation des équipements endommagés…

Par ailleurs, après un réexamen de la démarche retenue jusqu’alors, EDF a alors proposé une nouvelle démarche de protection des centrales contre les inondations externes, tenant compte des différentes causes possibles d’inondation (crue fluviale, marine ou en estuaire, rupture de barrage, houle, clapot, pluies diluviennes orageuses ou continues, rupture de circuit ou d’ouvrage, intumescence, remontée de nappe phréatique…) et de leurs conjonctions. Fin 2001, les organismes de sûreté ont estimé que, dans les principes, la nouvelle démarche proposée était globalement satisfaisante.

Deuxième étape : définition plus approfondie de la nouvelle démarche

De 2002 à 2007, la nouvelle démarche d’EDF et sa déclinaison ont été approfondies et déclinées aux différentes centrales ; des améliorations ont été apportées à cette démarche et aux hypothèses utilisées, les études de déclinaison ont été réalisées pour les 19 sites de centrales nucléaires, des renforcements ou des modifications à apporter sur les sites ont été déterminés.

Les études de déclinaison de la démarche sur les 19 sites de centrales nucléaires ont représenté un très gros travail pour EDF, car chaque site est différent et présente des vulnérabilités différentes, et il y a plus de dix phénomènes d’inondation différents à considérer et des combinaisons à considérer entre certains de ces phénomènes…

La démarche d’EDF comportait deux volets :

–pour les sites dont la protection contre les inondations externes ne pouvait pas être assurée par le calage de la plateforme de l’îlot nucléaire et reposait sur des dispositifs de génie civil (digues ou murets), la démarche consistait à vérifier la hauteur et la tenue de ces dispositifs compte tenu des niveaux d’eau réévalués. Si nécessaire, ces dispositifs devaient être rehaussés, renforcés, voire complétés par de nouveaux dispositifs, avec prise en compte d’une marge dans la détermination de la hauteur des protections par rapport aux niveaux d’eau réévalués ;

–pour l’ensemble des sites, les équipements nécessaires pour amener et maintenir les réacteurs en état sûr étaient identifiés. Ces équipements devaient être maintenus hors d’eau. C’est pourquoi la démarche visait à assurer, pour chaque réacteur, l’étanchéité d’un volume de protection englobant tous ces équipements, la « protection volumétrique ». Celle-ci englobait généralement les locaux en infrastructures compte tenu des risques liés à une remontée de la nappe phréatique. Sa hauteur dépendait en revanche de la vulnérabilité des sites face aux inondations externes (la « protection volumétrique » pouvant être limitée aux infrastructures pour un site dont la plateforme de l’îlot nucléaire était calée suffisamment au-dessus du niveau d’eau à l’égard duquel le site devait être protégé). Les risques de bipasse des dispositifs matériels de protection (digue, « protection volumétrique »…) devaient être maîtrisés.

Troisième étape : définition des modifications et réalisation des travaux

L’application de la nouvelle démarche de protection a conduit EDF à réaliser d’importants travaux, proportionnés aux vulnérabilités très variables des 19 sites de centrales nucléaires ; il s’agit :

–de modifications d’ouvrages de génie civil ; il s’agit par exemple de la construction, du renforcement ou de la rehausse de protections périphériques (digues, murets), ou encore de travaux permettant d’assurer la mise hors d’eau de la plateforme du site et l’étanchéité des locaux à protéger (colmatage de voies d’eau potentielles à l’aide de produits qualifiés à la charge d’eau) ;

–de la mise en place de systèmes d’alerte d’inondation couplés à des procédures opérationnelles permettant, lorsque cela apparaît nécessaire, de réaliser des actions préventives (fermeture des voies d’accès à la « protection volumétrique » par la mise en place de batardeaux au droit des bâtiments en superstructure, fermeture de vannes sur des tuyauteries en infrastructure…), puis de surveiller l’état de la centrale pendant l’inondation ;

–de l’installation dans différents locaux de capteurs de niveau d’eau avec les alarmes associées (fosses des condenseurs, stations de pompage…) ;

–de la mise en place de moyens de pompage additionnels fixes ou mobiles (pompes d’exhaure des locaux abritant les circuits SEC ou d’autres matériels importants pour la sûreté) ;

–de modifications matérielles ou de stratégies de conduite dans certaines centrales pour limiter les risques de perte de leurs alimentations électriques externes ou de colmatage de leur prise d’eau par des débris en situation d’inondation ; par exemple, à la centrale nucléaire de Belleville-sur-Loire, des dispositions ont été mises en place préventivement sur les lignes arrivant à la centrale pour éviter de perdre les alimentations électriques.

Après analyse, les organismes de sûreté ont considéré en 2007 que les dispositions mises en œuvre ou prévues sur les sites représentaient un progrès significatif en matière de sûreté et allaient leur conférer un niveau de protection satisfaisant contre les risques d’inondation externe. Des compléments d’études apparaissaient toutefois encore nécessaires, par exemple pour les sites de la vallée du Rhône, du fait que certains ouvrages extérieurs aux sites (digues et ouvrages hydrauliques de régulation), qui ne sont pas exploités par EDF, pouvaient être amenés à jouer un rôle dans l’étendue de l’inondation.

Depuis la fin de l’année 2014671, toutes les dispositions découlant du retour d’expérience de l’inondation partielle du site de la centrale nucléaire du Blayais sont opérationnelles sur l’ensemble du parc électronucléaire.

Vers un renforcement et une homogénéisation des pratiques de protection
des installations nucléaires contre les inondations :
élaboration d’un guide applicable à toutes les INB

À la suite de l’inondation partielle du site de la centrale nucléaire du Blayais, il est apparu nécessaire que les dispositions de protection contre les inondations d’autres installations nucléaires (réacteurs de recherche, laboratoires et usines) soient réexaminées. Au mois de mars 2007, l’Autorité de sûreté nucléaire a indiqué aux différents exploitants qu’ils devaient adopter une démarche de prise en compte des risques d’inondation externe cohérente avec celle qui était mise en œuvre par EDF.

À ce titre, un groupe de travail piloté par l’Autorité de sûreté nucléaire et l’IRSN et comprenant non seulement divers exploitants d’installations nucléaires mais aussi d’autres experts compétents dans les domaines de l’hydrologie, de l’hydraulique et de la météorologie, a été mis en place en 2006. Il avait pour objectif de rédiger à terme un guide de prise en compte des risques d’inondations externes pour toutes les installations nucléaires de base et d’harmoniser les pratiques dans ce domaine ; il était destiné à remplacer la règle fondamentale de sûreté I.2.e diffusée en 1984, qui traitait de la protection contre les inondations des réacteurs à eau sous pression. Ce travail est présenté dans le paragraphe 12.4.

24.2.Perte totale de la source froide consécutive
au colmatage des tambours filtrants
par une arrivée massive de matières végétales
à la centrale nucléaire de Cruas-Meysse

La prise en glace de la grille-anti-intrusion de la station de pompage de la centrale nucléaire Chooz B en 2009, décrite dans le paragraphe 23.3, a eu pour cause une période de « grands froids » qui a induit la formation de frasil au niveau de cette grille.

L’événement décrit ci-après a eu des conséquences analogues sur les équipements d’une centrale, mais il a eu pour cause l’arrivée de débris qui ont colmaté la station de pompage.

Du fait d’une augmentation de débit d’eau du Rhône, une masse exceptionnelle de débris végétaux, accumulés les mois précédents dans le lit et sur les berges du fleuve, a obstrué, dans la nuit du 1er au 2 décembre 2009, l’entrée de la station de pompage des réacteurs n° 3 et n° 4 de la centrale nucléaire de Cruas-Meysse. Le colmatage des grilles de préfiltration par les végétaux a conduit à une baisse du niveau d’eau dans la station de pompage. L’apparition de l’alarme de débit bas dans la voie en service (voie A) du circuit SEC utilisé pour le refroidissement des systèmes importants pour la sûreté672 du réacteur n° 4 (liaison repérée A4 sur la figure 24.2) a conduit l’exploitant à appliquer les procédures prévues pour ce type de situation. Il a procédé à l’arrêt automatique du réacteur n° 4 et au basculement du refroidissement des systèmes importants pour la sûreté sur la voie B (repère B4). Mais, à la suite de ce basculement, l’exploitant a constaté que la voie B n’était pas non plus opérationnelle du fait du colmatage de la prise d’eau.

Il s’agissait donc d’une perte simultanée des deux voies de refroidissement des systèmes importants pour la sûreté d’un réacteur, donc d’une perte totale de la source froide.

La perte totale de la source froide du réacteur n° 4 a duré environ dix heures. Toutefois, durant toute la durée de l’événement, le refroidissement du cœur du réacteur a été assuré par les générateurs de vapeur qui étaient disponibles. Le réacteur n° 4 a ensuite été maintenu dans un état sûr, en appliquant les procédures qui prévoient l’utilisation de la réserve d’eau du circuit de refroidissement des piscines du réacteur et du combustible comme source froide de secours. Dans le même temps, l’exploitant a nettoyé les dispositifs de filtration de la station de pompage et les échangeurs de refroidissement SEC/RRI. Ces nettoyages ont permis de retrouver la disponibilité des deux voies de refroidissement des systèmes importants pour la sûreté en tout début de matinée le 2 décembre 2009.

Figure 24.2. Configuration des voies A et B des circuits SEC à la centrale nucléaire de Cruas-Meysse. IRSN.

Le fonctionnement des trois autres réacteurs de la centrale nucléaire de Cruas-Meysse a également été perturbé, mais de façon moindre. Les réacteurs n° 3 et n° 4 ayant une station de pompage commune, des signaux d’alerte sont apparus le 1er décembre pour le réacteur n° 3. La voie B du circuit SEC du réacteur n° 3 (repère B3 sur la figure 24.2) a été déclarée indisponible le 1er décembre en fin d’après-midi et cela a duré jusqu’au lendemain matin. Toutefois, la voie A du réacteur n° 3 (repère A3) est toujours restée disponible.

La station de pompage des réacteurs n° 1 et n° 2 a subi une arrivée de débris moins importante, qui a toutefois entraîné la perte de la voie B du circuit SEC du réacteur n° 2, le 2 décembre. Pendant la durée de cette indisponibilité (environ six heures), l’exploitant a appliqué les procédures de conduite correspondantes et s’est assuré de la disponibilité de la voie A, en procédant à des nettoyages renforcés des grilles de préfiltration à l’entrée de la station de pompage.

L’obstruction de l’entrée des stations de pompage a été provoquée par une plante aquatique appelée élodée de Nuttall (voir la figure 24.3). Cette plante, originaire d’Amérique du Nord, est apparue au début des années 1980 dans les lacs suisses, puis dans le Rhône à partir des années 1990. Elle est constituée de tiges extrêmement longues et fines (jusqu’à 3 m de longueur), pourvues de petites feuilles. En raison de la hausse de débit du Rhône, l’exploitant du barrage hydraulique situé en amont de la centrale nucléaire de Cruas-Meysse avait procédé à une dérivation du débit du canal est dans la branche ouest (lit naturel) où se trouve la centrale. Cette action a entraîné le charriage d’une masse importante de débris de cette plante accumulés depuis plusieurs mois dans le lit et sur les berges du Rhône.

Figure 24.3. Amas de plantes à l’origine du colmatage survenu à la centrale de Cruas-Meysse au début du mois de décembre 2009. EDF.

Cet événement souligne que la survenue rapide d’événements agresseurs externes non prédictibles peut affecter tous les réacteurs d’un même site. Malgré les moyens de surveillance, de protection, de préfiltration et de filtration existants au moment de l’événement dans ses stations de pompage, le site de Cruas-Meysse a subi simultanément des pertes partielles de la source froide de deux réacteurs (n° 2 et n° 3) et une perte totale de la source froide d’un réacteur (n° 4).

Face à une situation de colmatage potentiellement récurrente, la démarche de sûreté serait de pouvoir assurer en toutes circonstances le repli et le maintien des réacteurs dans un état sûr, donc la pérennité de l’alimentation des pompes du circuit SEC. Il est apparu nécessaire de renforcer les dispositions de prévention alors en place, au niveau de la prise d’eau et des stations de pompage, par des systèmes d’alerte et de détection, ainsi que de protection. En effet, des insuffisances ou des faiblesses dans la conception de la station de pompage ont été relevées : absence d’une mesure du niveau d’eau à l’aspiration des pompes SEC (qui aurait permis de détecter sa baisse significative), pas de déclenchement préventif des pompes de refroidissement du circuit secondaire prévu dans les configurations de colmatage, dégrilleurs conçus pour le nettoyage des grilles de préfiltration en situation normale d’exploitation devenus inefficaces par l’arrivée massive de colmatants avec un plein débit de pompage.

Comme cela est indiqué au chapitre 13, le risque de perte totale de la source froide d’un réacteur du parc électronucléaire français a été pris en compte en France dès les années 1980, avec en particulier l’élaboration d’une procédure de conduite H1. L’événement a nécessité, en application des procédures prévues en cas de perte totale de la source froide, l’utilisation de l’inertie thermique de la bâche PTR (système de traitement et refroidissement d’eau des piscines), qui s’est révélée efficace en limitant l’échauffement du circuit RRI à une quinzaine de degrés, jusqu’à la récupération de la source froide. Cette situation accidentelle réelle a de plus mis en évidence la contribution bénéfique de la masse d’eau contenue dans la piscine du combustible (dans le bâtiment du combustible BK) qui a permis, en limitant l’échauffement du circuit RRI, de retarder l’urgence de l’utilisation de l’inertie thermique de la bâche PTR, parade prévue par les procédures.

Enfin, la perte de la source froide de l’ensemble des réacteurs d’un site, situation qui aurait pu survenir lors de l’événement de Cruas-Meysse, a fait l’objet d’une attention particulière dans le cadre du réexamen périodique associé aux troisièmes visites décennales des réacteurs de 900 MWe. Cet examen a conduit au renforcement des dispositions permettant leur maîtrise, notamment pour ce qui concerne la disponibilité des réserves d’eau d’alimentation des générateurs de vapeur.

L’événement survenu en 2009 à la centrale nucléaire de Cruas-Meysse a rappelé l’importance de se réinterroger périodiquement sur la qualité de l’eau, en tenant compte en particulier des évolutions de l’environnement naturel, et de vérifier l’adéquation des procédures et dispositions existantes.

669.Événement classé au niveau 2 de l’échelle INES.

670.Nivellement général de la France.

671.Cette échéance a été prescrite par l’ASN à la suite de l’inondation et de l’accident survenu à la centrale nucléaire de Fukushima Daiichi en mars 2011.

672.En cas de perte du SEC qui utilise directement l’eau de la mer ou de la rivière après filtration, le circuit de refroidissement intermédiaire RRI n’est plus refroidi et ne peut donc plus lui-même refroidir les matériels des systèmes de sauvegarde du réacteur. Le réservoir d’eau du circuit de traitement et de refroidissement des piscines (PTR) est alors utilisé pour refroidir temporairement le circuit RRI. Dans le même temps, le système d’alimentation de secours en eau des générateurs de vapeur (ASG) assure, en tant que système de sauvegarde, l’évacuation de la puissance résiduelle. Les réserves d’eau du système ASG permettent d’assurer cette évacuation pendant un délai qui était estimé suffisamment long pour permettre de rétablir la source froide.

Chapitre 25

Prise en compte des facteurs
organisationnels et humains
pour l’exploitation des installations

L’importance des organisations et des hommes pour la sûreté des réacteurs électronucléaires a été soulignée dès le chapitre 4 du présent ouvrage et leur prise en compte au stade de la conception des installations a été développée au chapitre 16. Ils doivent également être pris en compte pour tout ce qui concerne leur exploitation. Ce sujet fait l’objet du présent chapitre, dans lequel sont présentés des principes et concepts généraux ainsi que des démarches employées, illustrés par des exemples issus de l’exploitation des réacteurs du parc électronucléaire français.

Dans les paragraphes qui suivent, sont abordés successivement la gestion des compétences chez l’exploitant, le management de la sûreté, puis les facteurs organisationnels et humains (FOH) dans les activités de conduite et de maintenance des installations, enfin les questions relatives au management des activités sous-traitées.

Les dispositions mises en œuvre et leurs améliorations successives sont présentées. Elles montrent combien la prise en compte des FOH en exploitation nécessite une attention permanente de la part d’un exploitant.

25.1.Management des compétences

Le management des compétences individuelles et collectives est un contributeur essentiel à la sûreté des installations nucléaires. Pour un exploitant tel qu’EDF, la question des compétences comporte différents aspects : faire acquérir aux nouveaux agents qui auront à accomplir des activités importantes pour la sûreté, les compétences nécessaires pour qu’ils soient en capacité de les effectuer de façon appropriée, maintenir les compétences des agents ainsi formés dans le temps et dans un environnement technologique qui évolue, anticiper le renouvellement des agents de façon à maintenir des compétences suffisantes lors de périodes critiques, par exemple marquées par de nombreux départs à la retraite, capitaliser et transférer aux personnes appropriées les connaissances et savoir-faire acquis au fil du temps.

De plus, l’exploitant doit s’assurer que les entreprises prestataires qu’il retient sont aptes à réaliser les prestations demandées dans des conditions de sûreté satisfaisantes.

25.1.1.Contexte historique

En France, à partir des années 1980, les organismes de sûreté se sont progressivement intéressés au management des compétences, sur des sujets aussi variés que les moyens de formation, les dispositifs d’habilitation du personnel, l’anticipation des recrutements, ou encore l’intégration des enseignements tirés des événements significatifs dans la formation. Plusieurs réunions du Groupe permanent d’experts pour les réacteurs nucléaires (GPR) y seront consacrées. Elles ont été parfois préparées par des études menées dans le cadre de groupes de travail (J. Bourgeois de 1980 à 1981, G. Y. Petit673 de 1984 à 1986) impliquant les exploitants, les organismes de sûreté et des institutions hors nucléaire, tout en prenant en considération les pratiques à l’étranger. Le retour d’expérience a mis en évidence, à diverses reprises, des défauts de compétences du personnel. Ainsi, comme cela apparaît au paragraphe 22.2.1, l’analyse de l’événement relatif aux capteurs des circuits de mesure du niveau d’eau dans le pressuriseur du réacteur n° 2 de la centrale nucléaire de Cruas-Meysse survenu en mars 1990 a montré que la méconnaissance de ces circuits et la sous-estimation de leur complexité étaient à l’origine de l’événement : une procédure de conduite avait bien été modifiée pour prendre en compte l’installation de nouveaux capteurs mais les rédacteurs du document ne connaissaient pas ces circuits dans le détail. En 1991, le Groupe permanent d’experts pour les réacteurs nucléaires a formulé des recommandations, reprises par la Direction de la sûreté des installations nucléaires, visant à renforcer de façon significative les actions de formation : définition des compétences requises, recrutement et qualification des agents chargés de la formation, modalités d’évaluation individuelle des compétences, procédures d’habilitation, formation des agents chargés de la maintenance.

Au milieu des années 1990, EDF a retenu des orientations visant à donner aux sites (CNPE) une plus grande liberté d’organisation et d’action dans le développement et le maintien des compétences, et à impliquer davantage la hiérarchie de proximité. L’objectif était de fournir, en matière de formation et d’habilitation, une réponse plus adaptée aux besoins locaux. Les inspections menées par les inspecteurs des installations nucléaires de base pour apprécier les effets de ces évolutions sur le terrain ont toutefois mis en évidence des difficultés de déploiement de ces orientations : lacunes dans les organisations locales et dans la coordination entre le niveau national et les sites, difficultés des sites pour passer d’une approche de transmission de connaissances à une approche de développement de compétences, ce dernier point constituant un changement profond. Ces constats ont conduit la Direction de la sûreté des installations nucléaires à demander en 1999 à EDF des informations et des actions complémentaires.

La démarche d’EDF en matière de management des compétences et d’habilitation du personnel a fait l’objet, au milieu des années 2000, d’une évaluation toute particulière par les organismes de sûreté, dans le contexte de l’augmentation attendue à l’horizon 2010 du flux des départs à la retraite et donc d’un fort renouvellement des personnels de conduite et de maintenance.

Les « études de cas » menées par l’IRSN (dans le cadre de la préparation de la réunion du Groupe permanent d’experts pour les réacteurs nucléaires relative à la gestion des compétences qui s’est tenue en 2006) ont porté sur les métiers ou fonctions suivants : opérateur de conduite, « manager de première ligne » au sein d’un service en charge des automatismes, technicien en charge d’essais, chargé de surveillance de prestataires, ingénieur d’exploitation pour la partie cœur du réacteur. Quelques enseignements qui en ont été tirés sont précisés dans la suite du texte, notamment sur la gestion prévisionnelle des emplois et compétences.

Par ailleurs, la question des compétences est régulièrement abordée dans le cadre de l’examen d’activités importantes pour la sûreté (conduite du réacteur en salle de commande, intervention de maintenance sur un équipement, opérations de manutention du combustible…) ou de l’analyse des causes profondes d’un événement significatif, ou encore d’évaluations de sujets transverses tels que le management de la sûreté ou des prestataires. Depuis l’accident survenu à la centrale nucléaire de Fukushima Daiichi en 2011, cette question a été également examinée en lien avec le dimensionnement et la formation (y compris l’entraînement) des effectifs nécessaires pour faire face à une situation extrême.

25.1.2.Organisation de la formation

Le processus global de formation des personnels de l’exploitant vise à répondre à quatre grands objectifs : l’acquisition initiale des compétences requises (après un recrutement ou une mobilité interne), le maintien de ces compétences (par exemple en cas d’évolutions technologiques…), leur adaptation aux modifications des installations et de leurs modalités d’exploitation, les transferts de compétences (comprenant la capitalisation des savoirs et des savoir-faire). Bien entendu, les compétences ne se limitent pas à des savoirs théoriques (savoir lire et appliquer une procédure…), mais se nourrissent largement de savoirs pratiques, opératoires, liés à l’expérience des situations de travail, qui permettent in fine aux personnels de s’adapter à des situations variées, quelquefois non anticipées. Cette capacité d’adaptation suppose également la possibilité de faire appel à un ensemble de compétences, au titre de la collaboration à une activité ou lorsqu’il s’agit de faire face à un problème nouveau.

EDF s’est doté de moyens importants pour la formation de ses milliers de salariés qui travaillent dans le domaine nucléaire, avec, au niveau national, un service en charge de l’organisation de la formation et des outils de formation comme les simulateurs des salles de commande ou les « chantiers-écoles » pour les activités de maintenance.

Après une formation générale initiale, la formation des agents d’EDF s’inscrit dans des parcours de professionnalisation. À cet égard, Électricité de France déploie un programme visant les compétences (entrant dans le cadre de la gestion prévisionnelle des emplois et des compétences [GPEC] développée plus loin), en particulier pour faire face à la phase de transition induite par les départs à la retraite de la génération des « bâtisseurs » et professionnaliser les nouveaux arrivants. Dans ce cadre, au-delà de la formation commune à tous les nouveaux arrivants, les « managers de première ligne » se chargent de définir des parcours de professionnalisation adaptés à leurs différents collaborateurs en choisissant les actions de formation les plus appropriées au vu des compétences propres des nouveaux arrivants et de celles qui sont nécessaires pour l’exercice des métiers concernés. Pour compléter l’enseignement théorique, Électricité de France a mis en place des dispositions telles que :

–le compagnonnage avec des pairs reconnus, pour l’apprentissage des gestes techniques,

–des mises en situation en équipes de travail sur simulateur pour la formation à des situations non courantes ou rares, telles que celles qui requièrent l’usage des consignes incidentelles ou accidentelles,

–des entraînements sur des « chantiers-écoles » pour certaines activités.

Les différentes actions de formation font l’objet d’évaluations pour vérifier leur pertinence en regard des objectifs auxquels elles doivent répondre. Enfin, les différentes actions de formation suivies par les agents sont tracées dans leurs carnets individuels de professionnalisation (anciennement de formation) et font l’objet de contrôles lors des inspections menées par l’Autorité de sûreté nucléaire.

Depuis l’accident survenu à la centrale nucléaire de Fukushima Daiichi, EDF met en place des dispositions spécifiques de formation et de préparation de son personnel aux situations extrêmes. Celles-ci visent notamment à doter le personnel de capacités individuelles et collectives à faire face à des situations de stress. À titre d’exemple, la formation et la préparation des équipes de la Force d’action rapide nucléaire (FARN – voir le paragraphe 36.6.6) s’inspire des bonnes pratiques mises en œuvre au sein de la sécurité civile : « méthode de raisonnement tactique », exercices de crise de grande ampleur impliquant de multiples entités d’Électricité de France (équipes de conduite, équipes locales et nationales de crise…), techniques de gestion des émotions, introduction d’aléas dans le cours d’exercices pour développer les capacités d’adaptation et de résilience des équipes.

25.1.3.La gestion prévisionnelle des emplois
et des compétences

EDF a progressivement structuré et formalisé ses processus de gestion prévisionnelle des emplois et des compétences (GPEC) afin de disposer en permanence des compétences nécessaires pour pouvoir répondre de façon satisfaisante aux objectifs de production et de sûreté en exploitation. La mise en œuvre d’une telle démarche prévisionnelle vise à lui permettre d’identifier les besoins en compétences à une échéance comprise entre deux et cinq ans. Une fois ces besoins identifiés, sont déterminées les actions (de recrutement, de formation, d’acquisition de savoir-faire, de gestion des carrières) à déployer pour y répondre, compte tenu des compétences disponibles dans l’entreprise.

En premier lieu, la démarche d’identification des compétences nécessaires permet de recenser les besoins pour l’exercice des différents métiers, rôles et responsabilités (conduite, maintenance, encadrement, surveillance des prestataires…). Mise en œuvre sur le terrain par les « managers de première ligne », elle s’appuie entre autres sur des entretiens et des observations du travail réel des personnels. Les résultats peuvent être formalisés dans des outils de « cartographie des compétences » exploitables aussi bien au niveau local qu’au niveau national. Ce type de représentation s’accompagne d’un état des lieux des compétences réellement disponibles, d’objectifs par compétences et par service, ce qui est de nature à faciliter le pilotage des compétences à faire évoluer à moyen terme, notamment pour sécuriser les acquisitions de compétences, notamment lorsque les temps de professionnalisation sont importants. L’utilisation des cartographies de compétences permet de recenser les effectifs opérationnels ou en cours de professionnalisation. Des tables de succession visent à déterminer les éventuels besoins de recouvrement induits par les départs en retraite ou autres départs, ce qui permet d’optimiser le dimensionnement de « pépinières de compétences ».

Par ailleurs, EDF communique aux sous-traitants des volumes prévisionnels d’activités et établit une partie des contrats correspondants sur des bases pluriannuelles.

Il est à noter que les exploitants nucléaires se sont rapprochés de l’Éducation nationale pour lui donner de la visibilité sur des besoins professionnels pour certains métiers (par exemple des soudeurs) et formuler des offres de contrats d’apprentissage.

Au-delà de la gestion des compétences individuelles, les cartographies de compétences constituent également un outil utile pour évaluer l’état des compétences disponibles au sein d’un collectif de travail ; en particulier, concernant les équipes de conduite, elles offrent la possibilité de mettre en évidence d’éventuelles lacunes de compétences et de procéder aux rééquilibrages appropriés (mouvements de personnel, actions de formation…). Enfin, ces cartographies et les suites qui y sont données sont examinées lors des inspections de l’Autorité de sûreté nucléaire.

25.1.4.Les habilitations du personnel

Dans une centrale nucléaire française, tout agent effectuant des activités importantes pour « la protection des intérêts » (au sens de la règlementation) doit disposer d’une habilitation appropriée l’autorisant à effectuer cette activité. Cela concerne notamment la sûreté nucléaire et la radioprotection.

Une habilitation « sûreté nucléaire » a été mise en place par EDF dès le début des années 1990. L’habilitation sûreté nucléaire d’un agent constitue la reconnaissance, par sa direction, de l’obtention par cet agent des qualifications nécessaires pour exercer des activités importantes pour la sûreté dans un champ d’application défini (emploi, unité, activité, équipement(s) ou procédé(s) et durée de l’habilitation). La délivrance de l’habilitation s’appuie sur une évaluation du niveau de compétences acquis par l’agent par sa formation et par son expérience professionnelle ; pour s’assurer des compétences des agents, les managers s’appuient aussi sur l’observation des pratiques dans des situations de travail et sur simulateur.

Les justificatifs de l’habilitation sûreté nucléaire sont conservés dans le carnet individuel de formation (qui deviendra carnet individuel de professionnalisation) de chaque agent. Les habilitations sont réexaminées périodiquement. Une habilitation peut être retirée à tout moment ou suspendue de façon temporaire, par exemple en cas de changement de fonction, de cessation temporaire ou définitive d’activité, ou de constat d’insuffisances.

Par la signature du titre d’habilitation sûreté nucléaire d’un agent, le responsable reconnaît que l’agent a bien les compétences correspondant à cette habilitation. De son côté, l’agent confirme par sa signature qu’il estime posséder les compétences nécessaires à l’habilitation, accepte les responsabilités qui lui sont confiées et s’engage à rester dans le champ d’application défini.

À la fin des années 1990, l’examen d’événements significatifs survenus dans les centrales nucléaires a mis en évidence des fragilités dans le processus d’habilitation sûreté nucléaire des agents. Par exemple, lors de certains événements, il est apparu que des opérateurs pourtant habilités manquaient d’expérience. Par ailleurs, au cours de ses inspections, la Direction de la sûreté des installations nucléaires avait relevé des manquements récurrents quant au renouvellement des habilitations, mettant en évidence une situation dégradée. Ces manquements concernaient par exemple la délivrance d’habilitations malgré l’absence de suivi de certaines formations obligatoires ou la mauvaise tenue de carnets individuels de formation. Ces constats ont conduit la Direction de la sûreté des installations nucléaires à demander à EDF, en 2000, de prendre des dispositions pour que le titre d’habilitation apporte bien la garantie que les agents habilités disposent des qualifications requises pour réaliser les activités correspondantes. Des efforts importants ont été engagés par Électricité de France pour donner à la délivrance et au renouvellement des habilitations toute la rigueur nécessaire. Ce sujet fait toujours l’objet de contrôles réguliers de la part des inspecteurs de l’Autorité de sûreté nucléaire.

De plus, en 2004, EDF a décidé de faire évoluer les parcours de professionnalisation des jeunes embauchés en développant une approche d’habilitation sûreté nucléaire progressive permettant à ces agents d’être plus rapidement en situation de travail.

Enfin, à la suite d’une évaluation menée au milieu des années 2000, évoquée plus haut (voir le paragraphe 25.1.1), l’Autorité de sûreté nucléaire a demandé à EDF de préciser quelles seraient, dans le cas d’une perte ponctuelle et temporaire de compétences674, les modalités d’organisation et de constitution des équipes.

25.2.Sûreté et management des risques

La place de la sûreté est essentielle dans le management d’une centrale nucléaire. Elle concerne la mise en place et le maintien dans le temps des dispositions techniques, organisationnelles et humaines qui permettent de maîtriser les risques.

25.2.1.Contexte historique

À partir des années 1970, EDF a construit un système de management de la sûreté675 de façon progressive, d’abord sur la base de démarches « d’assurance de la qualité », en cohérence avec l’« arrêté qualité » du 10 août 1984, jusqu’à la mise en place en 2014 d’un système de management intégré dans le respect des prescriptions règlementaires de l’« arrêté INB » du 7 février 2012 (voir le chapitre 2 et le paragraphe 4.6).

Les accidents de Three Mile Island en 1979 et de Tchernobyl en 1986 ont, dans un premier temps, conduit EDF à compléter les dispositions existantes en visant à fiabiliser les actions des opérateurs par des dispositions de prévention et de « récupération » des erreurs humaines, avec, entres autres, un renforcement des procédures ainsi que des contrôles et la mise en place des ingénieurs sûreté-radioprotection (ISR) en quart676, chargés de vérifier la prise en compte des aspects de sûreté par les équipes de conduite (voir le paragraphe 32.4.1). Avec la mise en place de la démarche « sûreté conduite » à partir de 1993 et la création de la fonction de chef d’exploitation (CE, en charge du contrôle des aspects sûreté), l’ISR deviendra l’ingénieur de sûreté (IS) en charge de la vérification de la prise en compte des aspects sûreté par les équipes de conduite dirigées par le CE. Afin d’assurer une meilleure redondance, l’IS ne sera plus en quart.

Au niveau international, en 1991, l’AIEA a publié le rapport INSAG-4 consacré à la culture de sûreté et, en 1999, le rapport INSAG-13 sur le management de la sûreté. Dès 1997, EDF s’est doté d’une politique de management de la sûreté fondée sur six « leviers » :

–l’analyse des risques,

–l’autodiagnostic,

–l’autoévaluation,

–la communication opérationnelle,

–l’observatoire sûreté-disponibilité (qui analyse rétrospectivement les conditions et la qualité des décisions prises),

–une démarche pour la conduite des transitoires sensibles677 de fonctionnement des réacteurs.

Pour déployer cette politique sur les sites (CNPE), EDF s’est appuyé, entre autres, sur les « consultants facteurs humains » qu’il a mis en place à partir de 1993 au sein des centrales nucléaires pour mettre en œuvre des démarches et des méthodes spécifiques aux facteurs humains en vue d’améliorer notamment les situations de travail.

La politique de management de la sûreté à la Direction de la production nucléaire (DPN) a été renforcée en 2004 en y incluant notamment le management par processus (sûreté, production…), inspiré de la fondation européenne pour le management par la qualité (European Foundation for Quality Management − EFQM) ; des éléments notables de cette politique sont indiqués ci-après:

–la sûreté est affirmée comme une priorité ;

–des boucles de progrès sont mises en place à chaque niveau de l’organisation (service, site, services centraux…), sur la base de diagnostics partagés sur la base du retour d’expérience (REX) incluant les « signaux faibles »678 ;

–la présence des managers sur le terrain est nécessaire, non seulement pour donner un cadre aux exigences de productivité et de sûreté qu’il faudra intégrer dans l’activité, mais aussi pour aider à résoudre les difficultés ;

–le pilotage des compétences individuelles et collectives doit être renforcé, particulièrement dans le contexte de renouvellement du personnel.

L’amélioration des performances de sûreté est variable d’un site à l’autre (on peut rappeler à cet égard l’instauration d’une surveillance renforcée de la part de l’autorité de sûreté de certaines centrales comme celles de Dampierre-en-Burly en 2000). Les actions managériales à réaliser pour que l’amélioration des performances en matière de sûreté puisse s’inscrire dans la durée et de façon homogène sur l’ensemble des sites ont été inscrites dans un « référentiel » commun de management de la sûreté. Dans ce cadre, les missions des consultants facteurs humains ont été renforcées : contribution au retour d’expérience des événements, appui et conseil auprès des unités, des équipes et des structures de projet opérationnelles, développement des connaissances dans le domaine des facteurs humains. De plus, EDF a déployé à partir de la fin de 2006, sur l’ensemble de ses sites, des dispositions de fiabilisation des pratiques d’intervention (voir le chapitre 4).

En 2011, un programme global et pluriannuel appelé Génération 2020 a été mis en place par EDF, avec comme objectifs majeurs de fiabiliser les matériels, les infrastructures, les organisations et de renforcer le professionnalisme. Trois principes-clés du management de la sûreté sont mis en avant par Électricité de France : le leadership, le développement des compétences et l’engagement du personnel, le pilotage par les résultats et par des processus de management (production, sûreté…) visant l’amélioration continue des performances.

Enfin, les actions de contrôle interne constituent un aspect important du management de la sûreté. Comme cela a été vu plus haut, dans les années 1980, EDF a tout d’abord mis en place des ingénieurs de sûreté-radioprotection (ISR), devenus ensuite ingénieurs de sûreté (IS), puis il a créé une « filière indépendante de sûreté »679 dont la mission est double : d’une part mener une analyse de la sûreté indépendante de l’équipe de conduite, d’autre part apporter en cas de besoin un appui technique (par exemple pour l’application de spécifications techniques d’exploitation dans des situations complexes) auprès des services opérationnels pour tout ce qui concerne la sûreté.

Le contrôle interne s’exerce aux différents niveaux de l’organisation, depuis le niveau local des intervenants sur le terrain, à l’aide de méthodes telles que l’autocontrôle par l’intervenant et le contrôle croisé par un pair, jusqu’aux services centraux. Les dispositions mises en œuvre par les sites font régulièrement l’objet de contrôles par les auditeurs internes des Missions sûreté qualité de ces sites, et d’inspections par l’Inspection nucléaire de la Division production nucléaire. Par ailleurs, l’inspecteur général pour la sûreté nucléaire et la radioprotection (IGSNR) d’EDF réalise, pour le directeur général d’Électricité de France, des bilans globaux de l’état du parc en matière de sûreté et de radioprotection680. Des sites font aussi l’objet d’évaluations par des pairs dans le cadre de l’association WANO ou des missions Operational Safety Review Team (OSART) de l’AIEA – précisées au chapitre 3.

25.2.2.Prises de décision et sûreté

Les prises de décision doivent refléter la priorité accordée à la sûreté. Les décisions dont il est question ici peuvent concerner des équipements ou des procédés techniques, des activités humaines, des processus de gestion des risques et des performances industrielles et, plus largement, le management de l’organisation du travail et des hommes. L’ensemble des acteurs impliqués dans une chaîne décisionnelle, notamment la hiérarchie, doivent en permanence arbitrer entre de multiples finalités et contraintes (sûreté, disponibilité, environnement, radioprotection, sécurité au travail…), établir des compromis et définir des priorités au regard des moyens. Ces prises de décision peuvent être influencées par de nombreux facteurs dont des facteurs situationnels, relationnels, organisationnels, politiques et culturels.

EDF s’est donc particulièrement préoccupé des décisions impliquant un arbitrage entre sûreté et production, avec la mise en place de la filière indépendante de sûreté déjà évoquée. En tant qu’industriel, Électricité de France est dans une recherche permanente de compétitivité et met par exemple en œuvre régulièrement des programmes d’optimisation de la maintenance (sujet développé au chapitre 26), de réduction des durées d’arrêt des réacteurs, de rationalisation des achats de matériels et de prestations, ainsi que de réduction des coûts et des effectifs (notamment pour la maintenance). En 2004, Électricité de France est devenu une société anonyme avec une ouverture partielle de son capital, et ce dans un contexte européen de dérégulation du marché de l’électricité et de mise en concurrence progressive des compagnies d’électricité. Les analyses organisationnelles d’accidents industriels dans de multiples secteurs681 ont montré que la recherche de compétitivité doit être accompagnée en contrepoids d’un renforcement des dispositions relatives au management de la sûreté. Certaines questions sont à examiner dans ce cadre :

–quelle est la réalité de la « priorité accordée à la sûreté » dans les arbitrages quotidiens effectués par les CNPE ?

–dans un environnement organisationnel et managérial en constante évolution, la sûreté conserve-t-elle un sens opérationnel pour les intervenants ?

–les dispositions en place et le contexte général de l’entreprise permettent-ils de maintenir une capacité de recherche d’améliorations sur les sujets liés à la sûreté ?

Pour apprécier les réponses qui peuvent être apportées à ces questions, des études de cas ont été menées par l’IRSN en vue d’une réunion du Groupe permanent d’experts pour les réacteurs nucléaires qui s’est tenue en 2008 consacrée au management de la sûreté dans un contexte de compétitivité chez EDF (après la privatisation de 2004). Ces études ont permis d’identifier des facteurs favorables et des facteurs défavorables à des arbitrages appropriés en termes de sûreté. À titre d’exemples, il peuvent concerner le niveau de diversité des compétences ou des responsabilités réunies au sein d’un comité de pilotage, de redondance de canaux d’information ou bien encore de cohésion d’un collectif en tenant compte de la pression temporelle et de logiques d’acteurs différentes.

L’élaboration et l’utilisation d’indicateurs par les managers d’EDF dans leurs pratiques quotidiennes peuvent être utiles, sous réserve qu’ils soient régulièrement réexaminés : dans leur poids, dans les arbitrages et le pilotage, dans la réflexion critique des managers sur le sens même de ces indicateurs.

Par ailleurs, l’appréhension de la sûreté au niveau opérationnel a pu être appréciée sur la base d’entretiens spécifiques avec des décideurs et des intervenants, permettant d’accéder à leurs « représentations » ou points de vue sur l’efficacité des dispositions de maîtrise des risques et les contraintes vécues, comme le rôle du management au quotidien, la dimension temporelle, notamment les délais disponibles pour le diagnostic et la prise de décision, la question des compétences, l’usage des « référentiels », la préparation et la réalisation des interventions, le retour d’expérience, les contraintes organisationnelles et techniques.

Malgré la variabilité des situations rencontrées dans les différentes centrales nucléaires, des points forts ont été relevés par l’IRSN lors de ses études de cas, tels que la capacité d’EDF à s’organiser en « mode projet » afin de décloisonner son organisation, la complémentarité des dispositions de maîtrise des risques, la mobilisation de multiples compétences qui permet de diversifier les points de vue dans les processus de décision. Toutefois, des vulnérabilités ont été relevées, telles que la complexité des règles et des prescriptions, la multiplication des processus qui pèsent sur les intervenants, les difficultés à alimenter et à exploiter le retour d’expérience organisationnel, la faiblesse du contrôle interne sur certains sites.

L’analyse menée en 2008 a conduit l’Autorité de sûreté nucléaire à formuler des demandes à EDF dans les domaines de la prise de décision et des arbitrages. À titre d’exemple, il a été considéré à cet égard que la mise en place par Électricité de France d’un Observatoire sûreté radioprotection disponibilité environnement (OSRDE, extension de l’OSD cité plus haut), qui analyse des situations ayant nécessité des arbitrages, était notamment un outil approprié pour apporter des améliorations dans la prise de décision.

25.2.3.Les analyses de risques des interventions

L’analyse de risques (AdR) est une démarche essentielle pour la maîtrise des risques. Elle doit permettre d’identifier à l’avance les risques associés, par exemple à une intervention de maintenance, et de définir les dispositions ou « parades » permettant de maîtriser ces risques. Elle implique des ingénieurs et des préparateurs issus des différents métiers concernés, ainsi que les intervenants, ce qui contribue à l’appropriation des risques en question par ces intervenants. Comme toute démarche déployée sur le terrain, elle doit être pilotée au niveau national, accompagnée sur les sites afin de favoriser la réalisation d’AdR de qualité et faire l’objet d’évaluations périodiques.

L’examen des événements significatifs survenus dans les années 2000 à 2002 a mis en évidence des difficultés d’appropriation et de mise en œuvre de la démarche d’analyse de risques par les intervenants, qui faisaient partie des causes signalées d’événements significatifs (trois événements par an et par réacteur). Certaines défaillances constatées concernaient la préparation d’une intervention. C’est ainsi qu’un risque non identifié dans l’analyse de risques au cours de la préparation des dossiers par les services de maintenance fait partie des causes d’un événement survenu à Chinon B4 en mars 2002. De même, à Flamanville 2, le 21 janvier 2002, lors d’une intervention de maintenance programmée sur les onduleurs du tableau LNG d’alimentation électrique en 220 V du système informatisé CONTROBLOC de la voie A, une erreur dans le dossier d’intervention et une action réflexe inopportune ont provoqué la perte simultanée du CONTROBLOC de la voie A et des tableaux électriques 6,6 kV secourus et non secourus de la voie A : cet événement, dont la conduite a été gérée selon l’approche par états, a entraîné un arrêt du réacteur, l’absence d’injection d’eau aux joints des pompes primaires pendant plus d’une heure (l’échangeur des systèmes de réfrigération intermédiaire et d’eau brute RRI/SEC de la voie A ayant été indisponible), et un endommagement de deux pompes du système d’alimentation de secours des générateurs de vapeur (ASG) lors de la remise sous tension du tableau 6,6 kV secouru de la voie A. L’analyse de risques ne faisait pas état de l’importance des contrôles à réaliser lors de la requalification intrinsèque des onduleurs ni de la nécessité de basculer le refroidissement des équipements communs RRI/SEC sur la voie B. Parfois, l’analyse de risques n’a pas été réalisée : c’est le cas pour un événement survenu à Chinon B3 le 29 juin 2002 où un essai périodique des vannes d’isolement de la vapeur a entraîné un événement de groupe 1682. Dans d’autres cas, l’analyse de risques s’est révélée inadaptée à la situation ou au domaine d’exploitation, ou bien encore c’est la parade prévue qui n’était pas adaptée.

L’examen des événements significatifs a également permis de relever des défauts dans l’appropriation des analyses de risques lors de la réalisation d’interventions : par exemple, un intervenant expérimenté, bien qu’il réalisait l’activité en question pour la première fois, n’a pas ressenti le besoin d’utiliser la gamme opératoire prévue. Dans d’autres cas, l’analyse de risques est devenue inadéquate, par exemple du fait d’un glissement dans la planification d’une activité ou d’un changement des conditions initiales d’une intervention ou du fait d’une « pression » sur la réduction de la durée d’un arrêt de réacteur.

Conçue comme un « levier » du management de la sûreté à la fin des années 1990, l’analyse de risques est depuis 2014 considérée par EDF comme un « levier » de la performance globale des interventions et couvre désormais l’ensemble des « intérêts protégés » au sens du code de l’environnement. Si une telle évolution favorise la bonne intégration des exigences induites par l’analyse de l’ensemble des risques dont il convient de tenir compte pour l’organisation du déroulement d’une intervention, elle pourrait également conduire à une moindre attention portée à l’analyse des risques liés à la sûreté. Pour traiter ce risque, EDF a engagé des actions d’accompagnement de la nouvelle doctrine.

25.2.4.Le retour d’expérience

Tirer les enseignements de l’expérience constitue un élément-clé du management de la sûreté. Le retour d’expérience demeure une source permanente d’apprentissage et d’amélioration – comme le montrent les chapitres 21 à 23 du présent ouvrage –, qui fait l’objet d’une attention soutenue des organismes de sûreté depuis les années 1970. Le chapitre 21 présente les règles et pratiques en matière de retour d’expérience des « événements significatifs », mais aussi des « événements intéressants ». Il y est montré que, si les grands principes du retour d’expérience avaient été formulés dès les années 1970, des difficultés liées au processus de retour d’expérience dans le cadre des dispositifs de management opérationnel des risques subsistaient en 2009, selon un bilan interne d’EDF. Il a engagé ensuite un programme d’amélioration du retour d’expérience (« projet REX ») qui comprend notamment la mise en place d’un dispositif appelé « programme d’actions correctives » (inspiré de pratiques américaines) et a engagé des recrutements pour cette mise en œuvre.

Au-delà de l’analyse des événements ayant mis en évidence des défauts ou des écarts, un grand nombre d’activités peuvent faire l’objet d’un retour d’expérience pour en tirer des enseignements utiles et rechercher des améliorations. Il est en tout état de cause important que, quelle que soit l’activité considérée, le retour d’expérience ne vise pas que le seul angle technique, mais soit mis en œuvre selon une approche intégrée couvrant les dimensions organisationnelles et humaines.

C’est l’intérêt, par exemple, de la démarche consistant à collecter sur le terrain des faits, positifs ou négatifs, lors d’activités de conduite ou de maintenance, de les analyser sous l’angle de la planification et de la coordination des travaux, des interfaces homme-machine, de la gestion des matériels, des pratiques de management… ; une telle analyse permet d’identifier les dispositions ou « lignes de défense » sollicitées et à en évaluer leur efficacité. L’analyse de plusieurs événements peut dans certains cas faire apparaître des récurrences ou des « signaux faibles » d’une possible dégradation du management de la sûreté, qu’il convient de corriger. Par exemple, le constat de défauts récurrents d’outillages ou de moyens utilisés pour réaliser des interventions peut conduire à mettre en évidence des défaillances dans la gestion des matériels et à définir des actions visant à améliorer l’organisation des unités en charge de cette gestion.

Par ailleurs, il convient de s’interroger régulièrement sur l’organisation du retour d’expérience (compétences et ressources mobilisées, processus…) sur les apports possibles et les limites des outils de retour d’expérience, en tenant compte des développements rapides des moyens informatiques concernant les outils relevant du big data et du traitement automatique du langage. EDF et l’IRSN se sont engagés dans des expérimentations dans ce domaine.

25.2.5.La conduite de changements organisationnels

EDF a étendu aux changements organisationnels sa démarche d’analyse des impacts sociaux, organisationnels et humains (SOH), initialement développée pour la conception des modifications techniques (voir le paragraphe 16.2.2). En effet, les changements organisationnels déstabilisent temporairement une organisation en place, ce qui peut la rendre plus vulnérable ; de tels changements ont d’ailleurs contribué à la survenue d’accidents industriels comme la désintégration de la navette spatiale Columbia lors de son vol de retour vers la Terre en 2003.

À titre d’exemple, depuis 2010, EDF met progressivement en place une nouvelle organisation pour assurer un meilleur pilotage des arrêts de réacteur, avec la création en particulier d’un centre opérationnel de pilotage des arrêts de tranche (COPAT683). Une évolution notable consiste à augmenter la plage horaire de disponibilité de l’équipe de pilotage d’un projet d’arrêt par un roulement journalier assuré par deux équipes différentes, la relève étant assurée grâce à des agents en provenance des autres équipes de projet d’arrêt du site, qui doivent alors suspendre leur activité de préparation des arrêts prévus sur les autres réacteurs du site. Cela a conduit à confier des responsabilités de pilotage d’un arrêt à des agents qui n’ont pas préparé cet arrêt et ne maîtrisent donc pas tous les aspects des décisions prises au cours de la préparation qui a duré plusieurs mois. En 2013, à l’issue d’un examen du management de la sûreté et de la radioprotection lors des arrêts de tranche par l’IRSN et le Groupe permanent d’experts pour les réacteurs nucléaires, Électricité de France a entrepris une étude visant à mettre en place, à moyen terme, des parades et des bonnes pratiques pour conforter l’appropriation, par les acteurs du COPAT, des stratégies et choix retenus par ceux qui ont préparé l’arrêt.

La déclinaison par les sites de la démarche SOH évoquée plus haut (et mise en application en 2007) a favorisé l’appropriation du nouveau mode d’organisation du pilotage des arrêts de tranche (COPAT) par les agents des sites. De plus, les services centraux d’EDF ont été dotés de nouvelles capacités d’accompagnement du changement en termes de conseil et de partage de bonnes pratiques, ce qui s’est révélé positif. Cependant, compte tenu de l’ensemble des contraintes qui pèsent sur les sites, ces derniers n’ont pas pu déployer tous les éléments du nouveau mode d’organisation du pilotage des arrêts et sont restés dans une logique d’évolution moins rapide mais plus prudente et pragmatique du fait de la nécessaire adaptation aux contraintes locales. De surcroît, une variabilité des modes d’organisation du pilotage des arrêts a été constatée par l’IRSN en 2012 : un mode projet en heures ouvrables avec du personnel ayant préparé l’arrêt, un mode COPAT en 2 x 8 ou 3 x 8. À l’issue de l’examen de 2013 mentionné ci-avant, des dispositions (analyse des risques associés aux différents modes de pilotage) ont été adoptées par EDF pour réduire cette variabilité afin de stabiliser l’exercice des rôles et des responsabilités.

Dans les années 2010, EDF a conduit simultanément de multiples changements en vue d’améliorer ses performances industrielles (voir la figure 25.1). Si certains changements ont en fait été étalés dans le temps par les services centraux et les directions des centrales nucléaires pour éviter des effets de cumul sur la charge de travail, les effets conjoints de certains changements sur l’organisation du travail ou sur le périmètre de travail de certains agents n’ont pas toujours été anticipés et prévenus.

Figure 25.1. Le management de la sûreté et de la radioprotection en arrêt de réacteur à la croisée des changements en 2012. IRSN.

De plus, il est apparu en 2013 que le contexte d’exploitation et de maintenance des réacteurs était et serait encore en évolution sensible, et qu’EDF devait tenir compte des évolutions règlementaires et du vieillissement des installations dans un contexte de renouvellement important de son personnel et de contraintes accrues de compétitivité.

Les projets « Génération 2020 » et « grand carénage » ont été mis en place par EDF pour maîtriser les risques associés à ces changements et à ces évolutions.

25.3.Organisation des activités de conduite

25.3.1.Caractéristiques des activités de conduite

Les activités de conduite d’un réacteur couvrent les situations de fonctionnement normales, incidentelles et accidentelles.

Organisation de la conduite

Dans l’organisation en vigueur depuis les années 1990, les équipes de conduite d’une centrale nucléaire travaillent en quart selon les directives d’un chef d’exploitation (un par paire de réacteurs, quel que soit le palier), responsable de la sûreté et de la production de l’installation. Une équipe de conduite comporte :

–en salle de commande :

•pour les réacteurs de 900 MWe, 1 300 MWe et 1 450 MWe, deux opérateurs qui pilotent et surveillent l’installation : l’opérateur « réacteur » s’occupe plus particulièrement du réacteur et du circuit primaire, l’opérateur « eau-vapeur » s’occupe de la partie secondaire. Pour l’EPR (Flamanville 3), en conduite normale, un opérateur « action » réalise les actions de conduite sous la responsabilité d’un opérateur « stratégie », hormis en situations incidentelles ou accidentelles où l’organisation est celle qui a été adoptée pour les autres réacteurs ;

•un chef d’exploitation délégué (CED) : référent technique de l’équipe, il organise et planifie les activités de conduite du quart, vérifie leur bonne réalisation, contribue au diagnostic des anomalies et assure la coordination entre l’équipe de conduite et les autres « métiers » (maintenance, chimie…) de la centrale. En conduite incidentelle ou accidentelle (sujet développée au chapitre 33), il joue le rôle de superviseur. À ce titre le superviseur contrôle et coordonne les actions des deux opérateurs ; cependant, à partir de 2020, un agent supplémentaire, l’« opérateur pilote de tranche », sera présent dans chaque tranche pour renforcer la surveillance en fonctionnement normal et assurer la supervision en conduite incidentelle ou accidentelle ; le CED assurera la coordination avec les autres « métiers » ;

–au Bureau des consignations : un opérateur « chargé de consignation », qui traite les demandes de retrait d’exploitation et de consignation d’équipements pour la réalisation de travaux de maintenance ou d’opérations de conduite, sous la responsabilité d’un « délégué sécurité exploitation » qui est responsable de la sécurité des personnels de conduite et de maintenance intervenant sur les équipements dans la centrale ;

–sur le terrain : quatre ou cinq agents de terrain (par paire de réacteurs) qui interviennent directement en local sur les équipements (changement de position d’une vanne…), assurent une surveillance de l’installation sur le terrain (lecture en local de valeurs de paramètres) et qui réalisent des rondes régulières afin de détecter d’éventuelles anomalies (« rondiers »).

Cette composition correspond à l’effectif nominal ; des renforts peuvent être mis en place dans certaines situations de forte charge, par exemple pour le redémarrage d’un réacteur après un arrêt.

En complément de l’équipe de conduite, l’ingénieur de sûreté (IS) assure un contrôle indépendant de la sûreté de l’installation, au titre de la « filière indépendante de sûreté » dont il dépend. Il relève les paramètres de l’installation indépendamment de l’équipe de conduite afin de se forger une « représentation » de l’état de l’installation, qu’il confronte quotidiennement avec celle de l’équipe de conduite.

Les activités de conduite

La conduite normale couvre un large éventail de situations allant du démarrage ou redémarrage de l’installation au fonctionnement en puissance jusqu’à la mise à l’arrêt du réacteur pour déchargement puis rechargement du combustible du cœur. Les équipes de conduite ont donc à réaliser une pluralité d’activités en vue de satisfaire la demande de production d’électricité dans le strict respect des exigences en matière de sûreté nucléaire et de radioprotection, de sécurité et d’environnement, tout en veillant à la préservation de l’outil de production. Elles doivent ainsi mener de front plusieurs activités de natures différentes (surveillance de l’installation, réalisation d’essais périodiques, suivi des activités de maintenance, gestion d’aléas divers…).

Les équipes de conduite se chargent de l’exploitation des différents matériels et systèmes, hormis ceux qui sont retirés de l’exploitation et isolés (consignés) pour être confiés à des agents de maintenance. L’exploitation quotidienne nécessite des prises de décision à tous niveaux, notamment des arbitrages entre sûreté et production au niveau du chef d’exploitation, en interaction avec la direction du site, l’ingénieur de sûreté et les services de maintenance. Par exemple, si la réalisation d’un essai périodique est planifiée dans une plage temporelle limitée afin de ne pas endommager un équipement important pour la sûreté, il peut arriver que, après le début de cet essai, des aléas conduisent à un allongement de sa durée ; le chef d’exploitation et le Directeur délégué du site doivent décider soit de sa poursuite, pour en tirer tous les enseignements attendus, soit de son arrêt pour ne pas risquer d’endommager l’équipement.

Loin d’être réduits à un rôle passif de surveillance d’un système technique sous le contrôle de régulations automatiques, les opérateurs de conduite sont au centre de situations variées, souvent complexes, qu’ils doivent comprendre pour en conserver la maîtrise. Ainsi, qu’il s’agisse de la surveillance globale de l’installation ou de la réalisation d’une activité particulière, maintenir l’installation dans le domaine de fonctionnement autorisé nécessite que l’équipe de conduite dispose d’une « représentation » mentale partagée de l’état de l’installation pour agir de façon efficace. La construction de cette « représentation » repose sur les savoirs des opérateurs, leurs interactions avec les autres membres de l’équipe et les moyens mis à leur disposition. À ce sujet, il peut être rappelé que, lors de l’accident de Three Mile Island (voir les chapitre 4 et 32), l’interface homme-machine de la salle de commande a induit en erreur les opérateurs : les indicateurs en salle de commande renseignaient sur l’ordre de fermeture donné à une vanne, mais pas sur sa position ; or cette vanne est restée en position ouverte, à l’insu des opérateurs. Maintenir l’installation dans le domaine de fonctionnement autorisé suppose l’agrégation et le traitement (interprétation, décision) permanents d’informations multiples provenant de sources diverses : salle de commande, informations du terrain, connaissances et expérience des membres de l’équipe, communication au sein de l’équipe, interactions des différents métiers…

La salle de commande d’une centrale nucléaire est à l’évidence un lieu central où la sûreté « se joue au quotidien » dans l’efficacité d’ensemble, avec :

–des dispositifs techniques qui renseignent sur l’état de l’installation et permettent d’agir sur les équipements de celle-ci,

–des équipes de conduite qui se relaient 24 heures sur 24 pour surveiller et piloter l’installation, suivre les opérations de maintenance,

–des documents qui précisent les règles à respecter pour maintenir l’installation dans le domaine autorisé et décrivent ce qu’il convient de faire en conduite normale ainsi qu’en conduite incidentelle ou accidentelle.

Le passage de la conduite normale à la conduite incidentelle ou accidentelle constitue une rupture importante. En conduite normale, les évolutions significatives de l’état de l’installation (suivi de charge, mise à l’arrêt du réacteur…) sont menées par les opérateurs ; du fait de leur formation et de leur expérience de la conduite, ils sont en capacité de gérer au mieux les aléas courants. En conduite incidentelle ou accidentelle, il en va autrement : il s’agit alors, selon l’état plus ou moins dégradé de l’installation, la cinétique de l’incident ou de l’accident, de ramener le réacteur dans un état sûr plus ou moins rapidement. C’est pourquoi, qu’il s’agisse du diagnostic initial de la situation ou du « repli » en état sûr, les équipes de conduite sont guidées par des consignes conçues selon une approche par états physiques du réacteur (APE) – cette approche est décrite au chapitre 33. Ces consignes demandent aux opérateurs, au superviseur et à l’ingénieur de sûreté de vérifier périodiquement l’état des différents paramètres importants de l’installation (pression et températures du circuit primaire, inventaire d’eau dans la cuve…) afin de les réorienter, si nécessaire, vers une stratégie de conduite plus adaptée à la situation rencontrée.

Depuis l’accident survenu à la centrale nucléaire de Fukushima Daiichi, EDF a défini des dispositions de conduite des équipements du « noyau dur » (paragraphe 36.6.5) qui seraient utilisés lors de situations extrêmes, notamment pour assurer la faisabilité des actions humaines en salle de commande et en local (instrumentation complémentaire ou robuste, chemins d’intervention sécurisés, procédures spécifiques…). On reviendra sur ce sujet au paragraphe 25.3.5.

En situation d’urgence, l’organisation de crise (voir le chapitre 38) va apporter aux opérateurs de conduite, au superviseur et à l’ingénieur de sûreté un appui beaucoup plus large à différents niveaux (au niveau de la tranche accidentée, du site et au niveau national).

25.3.2.La surveillance par l’équipe
de conduite en salle de commande

Les équipes de conduite présentes en salle de commande assurent une surveillance globale en vérifiant, à intervalles réguliers, que les valeurs des principaux paramètres physiques caractéristiques de l’état du réacteur se situent bien dans les limites de fonctionnement autorisées par les règles générales d’exploitation. Elles s’appuient pour cela sur les informations délivrées par le système de contrôle-commande, présentées sur des pupitres (plus de 1 000 verrines pour les salles de commande conventionnelles684) ou faisant l’objet d’alarmes (visuelles, sonores) ; ces équipes surveillent par ailleurs les actions des automatismes (par exemple la régulation de température et de pression).

Il peut toutefois être difficile de maintenir cette surveillance globale lorsqu’il est nécessaire d’effectuer des activités d’exploitation nécessitant un engagement important, ou de gérer en temps réel une situation imprévue. Les modalités de report de la mission de surveillance globale et la réaffectation des responsabilités entre les opérateurs doivent donc être définies par des dispositions organisationnelles précises et explicites.

Par ailleurs, la qualité de cette surveillance globale dépend aussi du « degré de sérénité » en salle de commande. À ce titre, la « sanctuarisation »685 de la salle de commande doit être préservée tout particulièrement lors d’activités présentant des risques importants.

Il était donc important d’examiner les conditions de réalisation de cette surveillance. Une évaluation de la surveillance globale réalisée depuis la salle de commande a été présentée par l’IRSN au Groupe permanent d’experts pour les réacteurs nucléaires en février 2014 ; elle avait montré que l’attention que nécessite la surveillance globale en salle de commande était parfois difficilement compatible avec la gestion de l’ensemble des activités à réaliser par les opérateurs. Or EDF se heurtait à des difficultés pour affecter, le cas échéant, un opérateur supplémentaire en salle de commande pour renforcer l’équipe de conduite lorsque l’activité le nécessitait. Cela a conduit l’Autorité de sûreté nucléaire à demander à Électricité de France de présenter des dispositions pour assurer le gréement nécessaire de l’équipe de conduite, notamment lors des pics d’activité. À cette fin, Électricité de France a décidé, comme cela a été indiqué plus haut, de renforcer l’équipe de conduite par l’ajout d’un poste d’opérateur pilote de tranche (OPPT) qui vient en appui des deux opérateurs, notamment pour assurer la surveillance globale.

25.3.3.La conformité aux règles générales d’exploitation

Dans le chapitre 20, il est indiqué que certaines parties (chapitres) des règles générales d’exploitation (RGE) sont approuvées par l’Autorité de sûreté nucléaire et qu’elles revêtent un caractère règlementaire. Ainsi, la non-conformité aux spécifications techniques d’exploitation (STE) qui constituent le chapitre 3 des RGE est l’un des critères de déclaration d’un événement significatif à l’Autorité de sûreté nucléaire.

Les documents d’exploitation utilisés par les opérateurs (consignes, gammes opératoires…), conformes aux RGE, doivent assurer un équilibre entre la précision du cadre fixé à l’utilisateur et le maintien de la capacité de celui-ci à répondre de manière adaptée à des situations imprévues ou différentes des cas typiques imaginés par les rédacteurs des règles. Dans la réalité quotidienne de la vie des installations, l’exploitant doit en effet pouvoir faire face à des situations ambiguës ou incertaines pour lesquelles une interprétation des règles peut être nécessaire. Cette interprétation est d’autant plus délicate à mener qu’elle se fait sous la pression des événements, avec la nécessité de trouver une réponse rapidement et de devoir arbitrer entre des objectifs contradictoires. Une telle ambiguïté apparaît par exemple lorsque, confronté à un dysfonctionnement « non franc » d’un équipement, l’exploitant doit statuer sur la disponibilité ou non de l’équipement et décider de la conduite à tenir. Certaines situations non couvertes par les RGE peuvent également être rencontrées par les opérateurs, notamment en cas de cumul d’indisponibilités. De plus, les RGE évoluent régulièrement et de nouvelles difficultés peuvent apparaître après chaque évolution des RGE, sachant que les RGE servent de base à l’élaboration de nombreux autres documents ou sont déclinées dans des documents utilisés quotidiennement par les opérateurs. Ce cumul d’évolutions peut également être source de difficultés sur le terrain.

Des difficultés d’interprétation des STE sont à l’origine d’événements significatifs. Par conséquent, elles nécessitent des concertations en temps réel au sein de l’équipe de conduite, voire, si besoin, des échanges avec d’autres entités au niveau local ou au niveau national, pour décider de la conduite à tenir ; à moyen terme, des modifications des STE peuvent être effectuées.

Comme certaines modifications des règles d’exploitation (règles générales d’exploitation, dont les spécifications techniques d’exploitation…) peuvent être à l’origine de difficultés de compréhension par les équipes de conduite, EDF leur applique notamment la démarche d’analyse des impacts socio-organisationnels et humains (démarche SOH décrite au chapitre 16) lors du processus d’élaboration de ces modifications.

25.3.4.Les lignages

Dans une centrale nucléaire, les activités de lignage ont pour finalité de rendre disponibles pour l’utilisateur des circuits par lesquels il souhaite faire passer des liquides, de l’air, des signaux informatiques ou de l’électricité. Les lignages, en agissant sur la position (ouverte ou fermée) de vannes ou d’interrupteurs électriques, permettent de configurer des circuits de l’installation pour des activités variées : interventions de maintenance, tests de circuits électriques afin de s’assurer de leur disponibilité, changements d’état du réacteur… Plusieurs dizaines de milliers de lignages sont réalisés chaque année sur l’ensemble du parc électronucléaire ; ils impliquent de modifier la position de un à plusieurs dizaines d’organes de natures variées, situés parfois dans des locaux ou des emplacements éloignés les uns des autres. Les lignages sont effectués principalement pas les agents de terrain des équipes de conduite, en liaison (notamment téléphonique) avec les opérateurs en salle de commande et les chargés de consignation (qui coordonnent et tracent les consignations au bureau des consignations qui jouxte la salle de commande).

Certaines années, peuvent être enregistrés une trentaine de défauts de lignage ayant affecté la disponibilité de systèmes importants pour la sûreté. C’est pourquoi il est nécessaire que l’exploitant reste particulièrement vigilant sur l’organisation et les conditions de réalisation des lignages afin de mieux cerner les causes profondes, récurrentes ou nouvelles, de ces défauts et d’adopter des dispositions appropriées.

À cet égard, il convient de noter que les activités de lignage présentent généralement un caractère routinier ou répétitif pour ceux qui les réalisent et être partiellement automatisées. Leur réalisation peut intervenir dans des contextes perturbés, notamment lors des arrêts de réacteur au cours desquels surviennent des retards, des interruptions ou des surcharges d’activités…, voire dans des conditions dégradées en termes de sécurité des personnes, de radioprotection ou d’accessibilité, nécessitant une mise à jour de l’analyse des dispositions associées.

Les défaillances constatées dans les activités de lignage sont souvent imputées à des erreurs humaines : confusions d’organes ou de locaux, oublis, réglages erronés… Une analyse plus approfondie montre l’existence de défaillances plus profondes d’organisations ou de collectifs de travail en charge, par exemple, de la préparation et de la réalisation des arrêts de tranche, de la mise à jour des documents (gammes, plans) utilisés pour réaliser les lignages ou encore de la conception d’équipements qui se révèlent, à l’usage, inadaptés aux conditions de leur utilisation. Elles peuvent conduire à des écarts de « représentation » entre les agents de terrain et les opérateurs en salle de commande, dans des situations qui évoluent, parfois rapidement ; les erreurs de lignage des capteurs de mesure du niveau d’eau dans les pressuriseurs survenues en 1990, évoquées au paragraphe 22.2.1, en sont un exemple. De telles défaillances dans les activités de lignage montrent que la communication entre les agents de terrain et les opérateurs de conduite est déterminante pour fiabiliser ces activités ; à cet égard, EDF déploie depuis le milieu des années 2000 des pratiques de fiabilisation des interventions humaines (PFI)686 qui ont notamment pour objectif de « sécuriser »687 la communication entre les agents.

25.3.5.La conduite lors des situations extrêmes

À la centrale nucléaire de Fukushima Daiichi, les équipes de conduite et de crise ont été confrontées à des conditions d’intervention très fortement dégradées du fait notamment des conséquences du tsunami et d’un enchaînement de situations imprévues auxquelles elles ont dû s’adapter au fil des événements avec une forte contrainte temporelle. L’Autorité de sûreté nucléaire a demandé à EDF d’identifier les actions humaines requises pour la gestion de situations extrêmes et de s’assurer de la présence permanente d’un personnel qualifié et en nombre suffisant dans une centrale nucléaire pour faire face aux situations extrêmes prises en compte pour les évaluations complémentaires de sûreté (notamment les pertes des sources électriques et des sources froides). Dans l’objectif de renforcer la robustesse et la résilience (au sens des capacités d’adaptation) des équipes de conduite à la gestion de telles situations extrêmes, Électricité de France mène, depuis 2014, des essais de mise en situation d’équipes de conduite sur des simulateurs à l’échelle 1 d’une salle de commande. Comme cela a été indiqué plus haut, Électricité de France a décidé de renforcer les équipes de conduite par un opérateur pilote de tranche. À la demande des organismes de sûreté, des essais complémentaires sont en cours de définition notamment pour mieux simuler des conditions dégradées d’interventions et d’interactions avec l’organisation de crise. Certains de ces essais ne pourront être réalisés que lorsque les matériels « noyau dur » seront tous installés, c’est-à-dire après 2020.

25.4.Organisation et activités de maintenance

Il est indiqué au chapitre 22 que, à la fin des années 1980, des événements significatifs ont conduit à s’interroger sur les conditions dans lesquelles étaient organisées et menées les interventions de maintenance des équipements. EDF a alors pris, notamment sur la base du « rapport Noc »688, un certain nombre de dispositions explicitées dans ce chapitre.

25.4.1.L’organisation d’un arrêt programmé de réacteur
pour rechargement du combustible et maintenance

Les arrêts de réacteur sont programmés pour renouveler une partie du combustible nucléaire dans le cœur et pour réaliser de nombreuses interventions de maintenance préventive et curative des équipements (voir le chapitre 26). Il faut rappeler ici que si des activités de maintenance sont réalisées toute l’année alors que le réacteur est en production, environ 80 % des opérations de maintenance sont réalisées alors que le réacteur est à l’arrêt. Lors d’un arrêt de réacteur, les interventions de maintenance sont assurées par plusieurs centaines de salariés d’EDF et d’entreprises sous-traitantes.

Dans les années 1990, la recherche d’une meilleure maîtrise des coûts a conduit EDF à s’interroger sur la durée des arrêts programmés de ses réacteurs, qui était bien plus importante que dans d’autres pays : comment améliorer la disponibilité des réacteurs du parc sans porter atteinte à la qualité des interventions et à la sûreté ? EDF a alors cherché à améliorer la préparation et l’organisation des arrêts programmés des réacteurs ; dès le milieu des années 1990, les sites ont adopté une organisation des arrêts en mode projet.

Un arrêt programmé de réacteur comprend plusieurs phases, comme cela est schématisé sur la figure 25.2.

Figure 25.2. Les différentes phases d’un arrêt programmé de réacteur (ARn) et les niveaux de décision. IRSN.

Les grandes phases que sont la préparation, la planification, la réalisation et le retour d’expérience sont coordonnées par une cinquantaine d’agents d’EDF. Ces agents sont détachés des services de maintenance et de conduite pour former pendant plusieurs mois une « équipe de projet d’arrêt », rassemblée dans un bâtiment dédié. Parmi ceux-ci, pour diriger le projet d’arrêt, une équipe de pilotage, d’une douzaine de personnes, regroupées dans une salle dédiée dotée de moyens de communication, est chargée de piloter la préparation, la réalisation de l’arrêt et le retour d’expérience.

Plus récemment, dans les années 2010, EDF a mis en place un mode de pilotage des arrêts de tranche appelé COPAT, comme cela a été indiqué au paragraphe 25.2.5.

25.4.2.Les risques lors des arrêts des réacteurs

Lorsque le réacteur est à l’arrêt, son combustible nucléaire doit continuer à être refroidi. Or, lors des interventions de maintenance, certains équipements contribuant à la sûreté peuvent être rendus temporairement indisponibles, ce qui peut nécessiter la mise en œuvre de dispositions compensatoires adaptées. De plus, ces interventions peuvent être sources d’erreurs malgré les dispositions retenues de prévention et de fiabilisation des interventions ; de telles erreurs peuvent défiabiliser une fonction de sûreté et générer des « défauts latents » qui ne seront détectés que lors des essais de requalification, voire lors d’une sollicitation de l’équipement correspondant en phase de production d’électricité ou lors d’un arrêt suivant. Près de la moitié des événements significatifs surviennent au cours des phases d’arrêt des réacteurs689. Par ailleurs, 80 % de la dose collective reçue annuellement par les travailleurs d’EDF et de ses prestataires sont associées aux interventions de maintenance réalisées au cours des arrêts programmés.

Si la maîtrise des risques associés aux interventions de maintenance dépend de décisions opérationnelles prises en temps réel (par exemple, la vérification de l’adéquation d’un balisage aux conditions réellement rencontrées…), elle dépend aussi de décisions prises en amont concernant les conditions d’organisation de ces interventions (par exemple le choix des intervenants en fonction de leurs compétences, les moyens d’intervention…). À ce titre, des dispositions assurant une bonne circulation des informations et impliquant l’ensemble des métiers concernés (conduite, électricité et automatismes, mécanique, chaudronnerie…), y compris chez les prestataires, doivent être mises en œuvre.

25.4.3.La préparation des arrêts programmés des réacteurs

La planification des travaux de maintenance, effectuée par les services centraux d’EDF en relation avec les sites, vise notamment à anticiper les charges de travail pour adapter les ressources aux travaux à effectuer. Pour certains grands travaux, tels que ceux qui sont associés aux visites décennales, la planification commence dix ans avant l’arrêt. La planification constitue aussi un élément de visibilité pour les prestataires, de nature à assurer la disponibilité de compétences appropriées au moment opportun. Pour chaque arrêt programmé, le programme détaillé des interventions de maintenance est figé par l’équipe de projet d’arrêt, en accord avec les services centraux, plusieurs mois avant le début de l’arrêt ; cela doit permettre aux intervenants de préparer dans de bonnes conditions les milliers d’interventions à réaliser. Des réunions de travail permettent de tenir compte des différents aspects des interventions et un suivi périodique de l’avancement de la préparation est assuré au sein de l’équipe de projet d’arrêt. Le retour d’expérience des interventions antérieures est intégré à ce stade.

Les dispositions organisationnelles retenues par EDF pour planifier et préparer les arrêts programmés des réacteurs sont dans leurs principes de nature à assurer la bonne réalisation des interventions de maintenance dans le respect des exigences de sûreté et de radioprotection. Cependant, dans la réalité, après que le programme détaillé a été figé, la préparation des arrêts peut être compliquée par l’alourdissement des programmes des travaux de maintenance (dû par exemple à la découverte fortuite d’un vieillissement prématuré d’équipement) ou encore du fait par exemple de la disponibilité limitée de certains « métiers » qui doivent répondre par ailleurs aux demandes des autres réacteurs du site. En 2013, à la suite d’instructions techniques de l’IRSN présentées au Groupe permanent d’experts pour les réacteurs nucléaires, l’Autorité de sûreté nucléaire a demandé à EDF de renforcer et de « protéger » les conditions de préparation des arrêts programmés des réacteurs. À titre d’exemple, Électricité de France a pris des dispositions supplémentaires en vue de mieux réguler les demandes de travaux tardives, qui peuvent se justifier mais qui alourdissent voire désorganisent la préparation et la réalisation des interventions.

Enfin, la prolongation souhaitée par EDF de la durée d’exploitation des centrales nucléaires au-delà de 40 ans va entraîner une augmentation des volumes des travaux de maintenance. Dans cette perspective, l’équilibre entre les charges de travail et les ressources disponibles doit être conservé, en intégrant si nécessaire des marges suffisantes.

25.4.4.Le pilotage des arrêts programmés des réacteurs

Le pilotage des arrêts programmés en mode projet favorise la coordination des différents métiers nécessaires pour la réalisation de plus d’une centaine d’interventions par jour, ainsi que la gestion des aléas qui surviennent au cours des interventions de maintenance. Ces aléas peuvent être de nature organisationnelle (par exemple l’indisponibilité fortuite d’intervenants compétents ou l’indisponibilité momentanée de pièces de rechange) ou de nature matérielle (par exemple la nécessité de remplacer une vanne qui se révèle défectueuse lors des contrôles). Pour l’équipe de pilotage de l’arrêt, ces aléas doivent être résolus en temps réel, afin autant que possible de ne pas allonger l’arrêt ; mais cela peut nuire à la préparation d’activités à réaliser dans les jours qui suivent.

En dépit de l’élaboration précoce du planning d’arrêt destiné à organiser les actions des différents intervenants, leur coordination reste une préoccupation permanente. La mise à jour régulière du planning peut conduire à des changements de planification des interventions qui peuvent affecter la bonne coordination des intervenants.

L’intégration de représentants des « services métiers » et de personnes disposant de compétences reconnues en sûreté et en radioprotection au sein de l’équipe de pilotage d’un arrêt programmé a permis d’améliorer structurellement l’intégration des différents enjeux lors des arbitrages qui doivent être réalisés au cours d’un arrêt. Cependant, l’efficacité de l’équipe suppose une écoute attentive des préoccupations exprimées par les différents participants. Or, dans certaines situations spécifiques, l’exercice des responsabilités ou le statut des personnes portant ces compétences peut conduire à des positionnements divergents, susceptibles d’aboutir à des arbitrages inappropriés (par exemple au détriment d’exigences de radioprotection lors de la modification de scénarios d’intervention).

Des raccourcis dans la circulation des informations et les prises de décision pour gagner en efficacité peuvent conduire à ne pas faire appel aux compétences ou aux responsables prévus et menacer l’organisation prévue pour assurer la bonne maîtrise des risques.

25.5.La maîtrise des activités sous-traitées

Comme cela a été vu plus haut, les opérations de maintenance des réacteurs au cours des arrêts programmés sont majoritairement sous-traitées par EDF depuis le milieu des années 1990. Dans certains secteurs de maintenance (par exemple l’entretien des vannes), jusqu’à 80 % des interventions de maintenance sont confiées à des entreprises extérieures. Les sites comportant deux réacteurs voient ainsi leur population doubler pendant ces arrêts. Il convient néanmoins qu’Électricité de France exerce pleinement sa responsabilité en matière de sûreté nucléaire, ce qui suppose qu’il dispose en son sein de compétences appropriées, aussi bien au plan technique concernant la réalisation des interventions de maintenance que pour l’encadrement des prestataires.

Depuis les années 1990, ce sujet fait l’objet de discussions régulières entre EDF et les organismes de sûreté. Dans un premier temps, il a été considéré sous l’angle de la surveillance exercée par Électricité de France sur la qualité des travaux réalisés par les sous-traitants, en application de l’« arrêté qualité » du 10 août 1984. Au vu des analyses réalisées par l’IPSN puis par l’IRSN, ainsi que des constatations faites par les inspecteurs des installations nucléaires de base lors des visites de surveillance, les discussions ont été élargies à l’ensemble du processus de sous-traitance. À la demande de l’Autorité de sûreté nucléaire, l’IRSN a procédé en 2013 et 2014 à une analyse approfondie de l’ensemble des étapes du processus de sous-traitance : qualification des entreprises, contractualisation, planification, préparation, réalisation des interventions, évaluation des prestations et exploitation du retour d’expérience des activités sous-traitées.

Lors de cette analyse, la sous-traitance a été abordée sous l’angle de la relation contractuelle qui lie le donneur d’ordre aux entreprises prestataires et de son influence sur la prise en compte de la sûreté lors des interventions de maintenance. Certains sujets de cette analyse sont développés ci-après.

25.5.1.Qualification des entreprises et contractualisation

Pour s’assurer que les entreprises prestataires disposent des capacités nécessaires pour réaliser des interventions susceptibles d’avoir un impact sur la sûreté, la première étape du processus développé par EDF consiste à qualifier ces entreprises avant d’établir un contrat avec elles. La qualification permet à Électricité de France de s’assurer de l’existence, au sein des entreprises en question, de dispositions de management (système de management de la qualité et des risques, gestion des compétences et des habilitations…) considérées comme nécessaires pour réaliser les activités avec le niveau de sûreté et de qualité requis et de pouvoir écarter celles qui ne remplissent pas ces conditions notamment lors des réponses aux appels d’offre. La démarche de qualification doit aussi donner à l’exploitant la capacité d’apprécier les performances réelles des dispositions de management des entreprises concernées ; à cet égard, à la suite de l’analyse menée par les organismes de sûreté, EDF a mis en place une démarche de qualification conditionnée à la réalisation de chantiers réalisés sous surveillance (« qualification conditionnelle »).

La contractualisation vise par ailleurs à donner aux prestataires une visibilité sur leur charge de travail à moyen terme, ce qui leur permet de procéder en temps utile aux recrutements nécessaires à la professionnalisation des équipes. La mise en place par EDF de contrats pluriannuels nationaux pour les activités récurrentes de volume important a été reconnue comme une bonne pratique.

25.5.2.Adéquation entre charge de travail et ressources

La préparation et le pilotage des prestations de maintenance visent notamment à assurer et à maintenir une bonne adéquation entre la charge de travail et les effectifs compétents disponibles. À cet égard, l’élaboration du planning d’un arrêt programmé doit tenir compte de la survenue possible de divers aléas et de leurs conséquences, notamment sur le lissage de la charge de travail en fonction des ressources internes (conduite, automatismes, maintenance, etc.) et externes (prestataires). Ce planning fait l’objet d’échanges multiples et d’ajustements entre l’équipe de pilotage de l’arrêt, les « services métiers » et les prestataires.

Lors de l’arrêt proprement dit, le planning est mis à jour quotidiennement en tenant compte de l’avancement réel des travaux, des retards survenus ou prévisibles et, le cas échéant, de nouvelles interventions à programmer, de façon à rétablir l’équilibre entre la charge de travail et les effectifs compétents disponibles. Cela suppose que, dès le planning initial, EDF et les prestataires conservent une certaine capacité d’adaptation (permettant des avenants aux contrats initiaux, des commandes tardives…). Des mécanismes de compensation (paiement des heures d’attente, repos anticipé d’une équipe pour lui permettre par exemple de revenir dans la nuit…) existent, mais les ajustements sont parfois difficiles en temps réel. De ce fait, la capacité d’adaptation et de réaction des entreprises prestataires exige une forte implication de leurs salariés intervenants. En outre, pour éviter les effets négatifs potentiels de ces adaptations, par exemple la réaffectation en urgence d’une intervention à des intervenants qui n’ont pas préparé l’intervention ou qui disposent de moins de compétences ou d’expérience que ceux qui étaient prévus, il demeure important que l’analyse des risques pouvant résulter des adaptations soit bien partagée avec le ou les prestataires concernés.

25.5.3.La réalisation des interventions

La fiabilité des interventions de maintenance dépend de nombreuses dispositions mises en œuvre en amont, dès la phase de préparation, qui conduisent à l’élaboration des plannings des opérations et des dossiers d’intervention qui contiennent les procédures, les gammes opératoires et les analyses des risques (voir le paragraphe 25.2.3). Au plus près des interventions, se tiennent des réunions dites de levée des préalables, qui permettent de vérifier que les conditions d’intervention requises sont effectivement réunies (disponibilité des pièces de rechange, balisage des chantiers…). Ces réunions de levée de préalables constituent une bonne pratique qui permet de fiabiliser les interventions et de limiter les aléas. Il est toutefois apparu, au cours des analyses de l’IRSN menées en 2013 et 2014, que, en cas d’aléas ou de préalables non satisfaits, une gestion plus formelle des éventuelles dérogations était nécessaire.

Depuis 2011, EDF met en place de nouvelles dispositions destinées à réduire la durée des interventions en améliorant le « temps métal »690. Ces nouvelles dispositions conduisent à mieux associer les prestataires à la préparation des activités, à renforcer sur le terrain la présence d’un encadrement interne des prestataires, à augmenter le soutien logistique auprès des chargés d’interventions, à mettre en place des « guichets uniques » de soutien logistique691. Étant de nature à faciliter la réunion des conditions préalables aux interventions et à réduire la charge de travail des équipes intervenantes, ces dispositions devraient avoir des effets favorables sur la sûreté ; Électricité de France en appréciera l’efficacité dans la durée.

25.5.4.La surveillance des prestations

Comme cela a été indiqué plus haut, pour exercer ses responsabilités d’exploitant nucléaire, EDF doit assurer une surveillance des activités réalisées par ses prestataires. Les exigences règlementaires en la matière ont été historiquement fixées par l’« arrêté qualité » du 10 août 1984 ; elles ont été reprises et développées dans l’« arrêté INB » du 7 février 2012 (complété par le décret n° 2016-846 du 28 juin 2016).

Ces exigences règlementaires prescrivent que toute activité importante pour la protection des intérêts (AIP) confiée à un intervenant extérieur doit faire l’objet d’une surveillance. Cette surveillance doit permettre à l’exploitant de s’assurer que les intervenants respectent bien les exigences définies relatives aux AIP et EIP liés à leurs interventions (par exemple un couple de serrage de bride) et appliquent correctement la politique de sûreté du site. Les actions de surveillance doivent être proportionnées aux risques associés aux interventions. Par ailleurs, les ressources affectées à la surveillance doivent être « dimensionnées », tant en effectifs qu’en compétences, pour déterminer les actions de surveillance à mener, réaliser ces actions et en tirer les enseignements utiles dans un souci d’amélioration continue.

EDF a mis en place de longue date, et plus récemment renforcé (en 2013 et 2014), des dispositions visant à fiabiliser la surveillance des interventions réalisées par des prestataires : définition d’une politique de surveillance, rédaction d’un guide du management de la surveillance avec des repères quantitatifs pour « dimensionner » les effectifs correspondants, description des missions et renforcement des compétences techniques des chargés de surveillance… Cependant, les organismes de sûreté constatent que les améliorations sont lentes et des problèmes persistent, comme cela apparaît régulièrement lors des visites de surveillance ; de plus, le programme de « grand carénage » va nécessiter des besoins de surveillance accrus. Il est important que l’efficacité des améliorations puisse être appréciée dans la durée. L’Autorité de sûreté nucléaire a demandé à EDF d’établir, au-delà d’observations ponctuelles ou d’indicateurs trop globaux, des indicateurs opérationnels pour mesurer l’efficacité de la surveillance.

25.5.5.Retour d’expérience et évaluation des prestations

Dans une logique contractuelle, EDF réalise à la fin de chaque prestation une évaluation qui lui permet de tracer la qualité de la prestation et les éventuels écarts rencontrés. Dans une logique de maîtrise des risques, il convient que des dispositions permettent de capitaliser le retour d’expérience des centaines de milliers d’interventions de maintenance, confiées chaque année à des entreprises prestataires pour l’ensemble du parc électronucléaire. Les enseignements tirés doivent permettre d’apprécier et de renforcer l’adéquation des dispositions mises en œuvre pour la maîtrise des activités sous-traitées. L’analyse systématique de l’expérience des interventions, menée en tenant compte des caractéristiques des activités effectuées et de leurs conditions de réalisation, doit permettre d’identifier les causes de difficultés, défaillances ou dysfonctionnements survenus lors d’interventions, de nature organisationnelle ou contractuelle, tant chez les prestataires que chez Électricité de France.

Cependant, la multiplicité des canaux de remontée des informations relatives aux interventions, prestations et prestataires, complique leur traitement, notamment en termes d’analyses statistiques transverses (entre plusieurs prestataires, plusieurs sites…) pour en dégager des tendances. C’est pourquoi EDF a mis en place, à partir de 2016, de nouveaux outils, notamment de nouvelles bases de données plus globales et de nouvelles fiches d’évaluation des prestations visant à favoriser la mise en évidence de facteurs de performance des prestations, qui relèvent, soit de l’entreprise prestataire, soit d’Électricité de France.

Malgré l’asymétrie de la relation entre le donneur d’ordre EDF et tout prestataire, il est reconnu d’une manière générale que l’appréciation de la performance d’une prestation ne concerne pas que la seule contribution du prestataire, car le donneur d’ordre peut présenter des fragilités organisationnelles ou des insuffisances (par exemple des conditions préalables d’interventions non satisfaites). Il importe donc que l’exploitant dépasse l’approche classique de la relation contractuelle client-fournisseur et privilégie une approche qui considère la performance d’une prestation comme le résultat de la contribution conjointe du donneur d’ordre et de l’entreprise prestataire. Il s’agit là d’une condition nécessaire à l’obtention d’une bonne maîtrise des activités sous-traitées.

Enfin, il convient de souligner que l’Autorité de sûreté nucléaire mène chaque année des inspections sur des interventions de maintenance sous-traitées lors des arrêts de tranche. En outre, elle a conduit en 2018 des inspections sur l’ensemble des sites sur la base d’un guide établi avec l’IRSN à partir des conclusions des analyses menées en 2013 et 2014.

Pour finir, comme cela est indiqué dans le chapitre 4, au sein du comité sur les facteurs sociaux, organisationnels et humains (COFSOH), créé à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi, un groupe de travail s’est préoccupé des sujets liés à la sous-traitance dans les interventions de maintenance ; il s’est réuni de 2013 à 2016 avec l’ensemble des exploitants d’INB. Un rapport formalisant ces échanges est disponible sur le site de l’ASN692.

673.Professeur (CEN Bordeaux-Gradignan), alors membre du Groupe permanent d’experts pour les réacteurs nucléaires.

674.Lorsque par exemple un opérateur de conduite est détaché à la préparation des activités de conduite qui seront réalisées lors d’un arrêt de tranche à venir, sa charge de travail peut entrer en conflit avec l’exigence de maintien de son habilitation à conduire le réacteur, qui requiert un minimum d’heures de conduite par mois.

675.Le lecteur pourra consulter sur ce sujet l’ouvrage « Le management du parc nucléaire d’EDF », de A. Kenedi et D. Clément, éditions L’Harmattan, 2007.

676.Un ISR suivait au moins une paire de tranches. Les ISR, devenus IS ensuite, ont été rattachés initialement à la direction des CNPE, puis à la Mission sûreté qualité (MSQ) des CNPE.

677.Transitoires tels qu’une montée en puissance après un rechargement du cœur, impliquant de nombreux réglages de paramètres, une surveillance particulière pour éviter que l’état de fonctionnement du réacteur ne sorte du domaine prescrit (et ne conduise éventuellement à un déclenchement de l’arrêt automatique du réacteur).

678.Il s’agit de repérer, à partir d’observations de l’exploitation quotidienne, des aspects sous-jacents qui pourraient être améliorés de manière proactive pour prévenir l’occurrence d’un événement « plus important ».

679.La FIS regroupe les ingénieurs de sûreté, au sein de la Mission sûreté qualité (MSQ) qui comprend également les auditeurs du processus qualité.

680.Les rapports annuels de l’IGSNR sont rendus publics.

681.Le lecteur pourra consulter le rapport d’enquête sur l’accident de la navette spatiale Columbia « Columbia Accident Investigation Board Report », de 2003, ainsi que l’ouvrage « L’accident et l’organisation », de M. Llory et R. Montmayeul, de 2010, aux éditions Préventique.

682.La notion de groupe est définie au paragraphe 20.2.1.4.

683.Le centre opérationnel de pilotage des arrêts de tranche est mis en place pour certaines phases d’arrêt programmé d’un réacteur au niveau du site concerné ; il vise à assurer une plus grande présence (en 2 x 8, voire en 3 x 8, 24 heures sur 24 et 7 jours sur 7) de coordinateurs et décideurs du projet d’arrêt, qui, lors des arrêts précédents, n’étaient disponibles qu’en heures ouvrables.

684.Non informatisées, c’est-à-dire celles de l’ensemble des réacteurs, à l’exception des réacteurs du palier N4 et du réacteur EPR Flamanville 3.

685.Par « sanctuarisation », EDF entend indiquer aux personnes des « services métiers » qui sollicitent les opérateurs de conduite en salle de commande les risques de perturbation qu’ils peuvent induire et le besoin de « sérénité ».

686.Inspirées de l’approche Human performance déployée en Amérique du Nord : autocontrôle, communication « sécurisée », contrôle croisé, « minute d’arrêt », « pré-job-briefing » et débriefing.

687.Une communication « sécurisée » repose notamment sur la communication croisée entre intervenants, qui consiste à faire répéter et reformuler le message de l’émetteur par son destinataire.

688.Voir le paragraphe 22.2.1.

689.Certains sont des événements significatifs pour la radioprotection qui surviennent notamment lors des radiographies d’équipements effectuées dans le cadre des programmes de contrôles non destructifs.

690.Le temps « métal » est, pour les intervenants, le temps réellement passé à intervenir sur un équipement. L’objectif d’amélioration visé par Électricité de France est de faire en sorte que l’intervenant se concentre sur son intervention en lui évitant des pertes de temps liées à des déplacements ou à des attentes pour obtenir des outillages ou des autorisations de travaux.

691.Lieux regroupant toutes les fonctions logistiques nécessaires pour les interventions, l’un pour les zones contrôlées, l’autre pour les zones non contrôlées.

692.Rapport intitulé « Pour une contribution positive de la maintenance sous-traitée à la sûreté nucléaire », accessible à l’adresse https://www.asn.fr/L-ASN/Comite-sur-les-facteurs-sociaux-organisationnels-et-humains.

Chapitre 26

La maintenance des installations

Le bon exercice de la défense en profondeur, qui requiert la détection des anomalies et des écarts par rapport aux domaines d’exploitation normale, implique – en complément du suivi de paramètres de fonctionnement et de la réalisation d’essais périodiques – une maintenance préventive et une surveillance des équipements importants pour la sûreté pour éviter, autant que faire se peut, leur défaillance, ainsi que la réalisation d’actions appropriées pour remédier aux anomalies et écarts constatés (maintenance corrective). Les différents aspects de la maintenance sont développés dans le présent chapitre.

Le chapitre 27 traite de façon plus détaillée de la surveillance en service proprement dite, illustrée par quelques applications à certains grands équipements des réacteurs du parc électronucléaire.

26.1.Les objectifs de la maintenance

Les objectifs de la maintenance pour une installation nucléaire telle qu’un réacteur électrogène sont de maintenir les performances et la fiabilité des équipements pendant toute leur durée d’exploitation en y intégrant la dimension relative à la sûreté nucléaire, notamment le maintien de la qualification des équipements amenés à être utilisés en situations incidentelles ou accidentelles. Pour atteindre ces objectifs pour l’ensemble du parc électronucléaire tout au long de la vie des réacteurs, EDF doit anticiper et traiter des contraintes de natures très diverses, tels que l’obsolescence ou le vieillissement de composants, les évolutions du tissu industriel et les évolutions technologiques, ainsi que les évolutions des référentiels et des exigences règlementaires, le renouvellement du personnel, et bien sûr les contraintes économiques.

Les réacteurs du parc électronucléaire sont d’âges et de technologies différents, notamment pour ce qui concerne les salles de commande et le système de contrôle-commande. EDF a donc à gérer un « volume » de maintenance important et variable concernant de nombreux équipements de domaines et de technologies différents, ayant ou non une importance pour la sûreté.

Cette caractéristique industrielle influe sur la planification des arrêts des tranches, au cours desquels la maintenance préventive est majoritairement réalisée, pour assurer la disponibilité des ressources humaines, techniques et logistiques nécessaires.

Mais si la maintenance est indispensable, elle peut aussi être source d’erreurs et de dysfonctionnements. À la fin des années 1980, plusieurs événements occasionnés par des opérations de maintenance ont mis en lumière l’importance pour la sûreté de la bonne exécution de ces opérations. Un certain nombre de ces événements ont été évoqués dans les chapitres consacrés au retour d’expérience et il a été vu qu’EDF a engagé en 1989, à la demande des pouvoirs publics, une analyse critique de la qualité de la maintenance. Ces réflexions déboucheront sur de profondes transformations au sein d’Électricité de France, notamment par la mise en place de démarches fondatrices, telles que la « démarche maintenance » puis la « démarche sûreté-maintenance ».

Les principes généraux de la maintenance des réacteurs électronucléaires et les différentes stratégies associées mises en œuvre par EDF sont décrits dans la suite du présent chapitre. On y explicite les conditions de réalisation et de réussite de la maintenance sur les sites en illustrant par des exemples certains problèmes rencontrés.

26.2.La maintenance

26.2.1.Définition

La maintenance est « l’ensemble des actions techniques, administratives et de management réalisées durant le cycle de vie d’un bien, destinées à le maintenir ou à le rétablir dans un état dans lequel il peut accomplir la fonction requise » (norme NF EN 13306).

De façon générale, la maintenance au sein d’une installation industrielle comprend le choix des méthodes de maintenance, l’élaboration et l’optimisation des programmes de maintenance, l’externalisation partielle ou totale des tâches de maintenance, la requalification des équipements, la gestion des pièces de rechange et de la logistique, la formation du personnel de maintenance, l’impact économique…

Plusieurs types de maintenance sont à distinguer, comme cela est représenté sur la figure 26.1.

Figure 26.1. Les différents types de maintenance. IRSN.

La maintenance préventive regroupe les actions visant à réduire la probabilité de défaillance ou la dégradation d’un équipement ; elle est systématique lorsqu’elle est effectuée selon un échéancier établi ou selon un nombre d’unités d’usage (par exemple le nombre de démarrages d’un moteur) quel que soit l’état de l’équipement ; elle est conditionnelle si elle est subordonnée au franchissement d’un seuil prédéterminé significatif d’un état de dégradation de l’équipement.

La maintenance corrective regroupe les actions mises en œuvre après la défaillance d’un équipement afin de remettre celui-ci dans un état dans lequel il peut accomplir sa fonction ; elle est palliative lorsque la remise en état est provisoire (actions de dépannage) ; elle est curative lorsque la remise en état est définitive (réparation, remplacement).

26.2.2.Les stratégies de maintenance

Les équipements d’une installation sont soumis à des mécanismes de dégradation qui peuvent être à l’origine de modes de défaillance693, entraînant ainsi leur indisponibilité partielle ou totale. Ces mécanismes de dégradation peuvent être de nature technique (usure, fatigue, vieillissement, corrosion…), ou relever de facteurs organisationnels et humains (erreur, oubli, mauvaise utilisation…).

La cinétique d’évolution des mécanismes de dégradation dépend des conditions de fonctionnement des équipements (nombreux démarrages et arrêts, fonctionnement continu…), des conditions d’environnement (humidité, salinité…), des tâches de maintenance programmées…

Étant donné la diversité des équipements d’un réacteur électronucléaire, EDF a développé des stratégies de maintenance afin de garantir le niveau de fiabilité requis des différents équipements.

Ainsi, à partir de 1994, il a, en s’appuyant, entre autres, sur le retour d’expérience et sur les études probabilistes de sûreté, mis en place une maintenance préventive systématique pour les systèmes présentant de forts enjeux de sûreté, de disponibilité, de radioprotection et de coût. La définition de cette maintenance préventive est le résultat d’une optimisation : il s’agit de « l’optimisation de la maintenance par la fiabilité ».

Une telle stratégie de maintenance implique souvent un retrait régulier et programmé de l’exploitation des équipements pour effectuer une tâche de maintenance intrusive.

De plus, au début des années 2000, EDF s’est aussi engagé dans le développement et l’utilisation d’une maintenance conditionnelle, en particulier sur la base d’un suivi de « matériels témoins ». Cette stratégie permet de limiter le nombre des interventions intrusives ainsi que l’exposition des intervenants aux rayonnements ionisants. Électricité de France n’intervient sur l’ensemble des matériels concernés que s’il identifie sur les matériels témoins des signes de dégradation pouvant remettre en cause les performances des matériels.

26.3.L’optimisation de la maintenance

Les démarches d’optimisation de la maintenance incluent une analyse de risques ainsi qu’une analyse du retour d’expérience afin de sélectionner les tâches de maintenance adéquates. Dans cette optique et comme cela est indiqué plus haut, EDF a développé une méthode d’optimisation de la maintenance par la fiabilité (OMF).

26.3.1.Optimisation de la maintenance par la fiabilité

L’OMF développée par EDF est une méthode générale d’optimisation des choix de maintenance des équipements selon la contribution de leurs modes de défaillance aux enjeux d’exploitation, en fonction des performances associées à ces choix en termes économiques et fiabilistes.

La méthode OMF de première génération a été développée dans les années 1990 par les unités de recherche et développement d’EDF. Elle est fondée sur des méthodes développées aux États-Unis dans les domaines aéronautiques et militaires (Reliability Centered Maintenance – RCM), adaptées au domaine nucléaire par l’Electric Power Research Institute (EPRI).

Les enjeux retenus par EDF lors de la conception de l’OMF de première génération sont la sûreté (comprenant ici le respect des spécifications techniques d’exploitation, la contribution au risque d’accidents avec fusion du cœur), la disponibilité des systèmes importants pour la sûreté, les coûts de maintenance.

La méthode repose sur une approche fonctionnelle des systèmes et non plus sur une approche par matériel. Elle prend en compte les conséquences d’une défaillance au niveau d’un système ou d’une installation.

Une étude OMF comporte cinq phases (voir la figure 26.2).

Figure 26.2. Représentation des étapes de l’OMF. IRSN.

La première phase consiste à réaliser une description fonctionnelle du système étudié et une analyse de ses modes de défaillance et de leurs effets (AMDE). Cela permet d’identifier avec précision les limites fonctionnelles et matérielles du système analysé et de découper l’installation en groupements fonctionnels (GF). Ensuite, les effets de chaque mode de défaillance d’un GF sont analysés et leur gravité en termes de sûreté, de disponibilité et de coûts de maintenance est évaluée selon une grille préétablie.

La deuxième phase consiste à rechercher les défaillances internes aux GF qui sont susceptibles d’entraîner les modes de défaillance déclarés graves lors de la première phase, puis à évaluer la « criticité » de ces défaillances (phase AMDEC). Pour ce faire, les GF sont découpés jusqu’au niveau concerné concrètement par les opérations de maintenance, en ensembles technologiques (ET) et, si nécessaire, en sous-ensembles technologiques (SET) et composants. Une analyse des causes de défaillances au niveau des ensembles technologiques ou sous-ensembles technologiques est alors menée pour identifier celles qui mènent à un mode de défaillance déclaré grave lors de la phase précédente. La « criticité » de ces défaillances est alors évaluée à partir de seuils de criticité sur la base du retour d’expérience.

La troisième phase est l’analyse événementielle et économique de l’expérience acquise. Elle se déroule, dans les faits, en parallèle de la deuxième phase car les données produites sont utilisées dans la phase précédente.

La quatrième phase consiste à déterminer les « orientations de maintenance » et à sélectionner des tâches de maintenance adaptées en regard des défauts que l’on cherche à éviter. À partir des défaillances « critiques », de leur classe de gravité, des éléments de performances résultant du retour d’expérience, de la présence ou non d’un programme de maintenance préventive, une stratégie de maintenance visant à créer ou modifier un programme de maintenance existant est retenue. Ainsi, pour chaque défaillance « critique » identifiée lors de la deuxième phase, une tâche de maintenance préventive est systématiquement définie.

La cinquième phase consiste à élaborer le programme de base de maintenance préventive (PBMP). Pour ce faire, les tâches de maintenance sont regroupées au niveau des groupements fonctionnels (GF) de façon à disposer d’une vue globale de l’ensemble des tâches retenues. Lorsque des tâches identiques sont appliquées à un matériel pour des modes de défaillance différents, elles ne sont bien sûr réalisées qu’une seule fois. Lorsque les périodes sont différentes, une nouvelle valeur commune à chacun des modes couverts est définie. Le choix final de maintenance s’effectue essentiellement sur la base d’avis d’experts et sur la base d’une optimisation des coûts et de la faisabilité des tâches de maintenance retenues.

Cette méthode OMF dite de première génération a été mise en œuvre de 1994 à 2001. Cent cinquante « programmes OMF » concernant plus de 50 systèmes élémentaires des réacteurs de 900 MWe du contrat-programme CPY et de ceux de 1300 MWe ont ainsi été élaborés. Le retour d’expérience de ces années d’application a conduit EDF à considérer que, si les résultats étaient satisfaisants en regard des objectifs initiaux, la méthode était difficile et lourde à mettre en œuvre. La généralisation de l’OMF nécessitait une évolution de la méthode.

EDF a donc décidé la mise en œuvre industrielle d’une méthode OMF dite de seconde génération pour l’élaboration de « programmes OMF », notamment pour les tranches de 900 MWe du groupe CP0 et celles de 1 450 MWe (palier N4), concernant les systèmes à forts enjeux retenus pour l’application de la méthode de première génération.

La méthode OMF de seconde génération reprend les grands principes de la méthode de première génération. L’évolution principale est la suppression de la phase AMDEC, donc de la notion de « criticité », car EDF a constaté qu’elle était très « coûteuse » en temps (d’études) et en maintenance. La « criticité » était la traduction du couple gravité-fréquence d’occurrence d’un mode de défaillance. À partir du moment où un ensemble technologique était déclaré « critique » à l’égard d’un mode de défaillance, une tâche de maintenance préventive devait être définie de façon systématique. La méthode OMF de seconde génération a fait l’objet d’autres modifications, notamment la prise en compte des risques en matière de sécurité du personnel et d’environnement.

Du point de vue des organismes de sûreté, la méthode OMF (de seconde génération, toujours en vigueur) devait être utilisée avec prudence. En effet :

–cette méthode risque de conduire à une diminution notable des opérations de maintenance préventive ; or une part importante des opérations de maintenance doit être réalisée aléatoirement de façon à augmenter les chances de détecter assez tôt des phénomènes de dégradations nouveaux ou imprévus ;

–les taux de défaillance, qui sont des données très importantes pour la méthode, sont en général entachés d’incertitudes significatives.

Ces réserves ont pu toutefois être prises en compte dans le cadre de programmes d’investigations complémentaires (PIC) sur lesquels on revient plus loin (voir le paragraphe 26.5.2), ainsi que dans le chapitre 30 consacré aux réexamens périodiques.

26.3.2.Maintenance conditionnelle

La maintenance conditionnelle est une stratégie de maintenance préventive fondée sur une surveillance du fonctionnement d’un équipement ou des paramètres significatifs de ce fonctionnement. EDF l’utilise pour éviter de faire de la maintenance préventive systématique à caractère intrusif.

Une étude de maintenance conditionnelle comporte six étapes :

1.l’analyse préalable,

2.l’analyse fonctionnelle et l’analyse des modes de défaillance (AMDE),

3.l’analyse du retour d’expérience et l’identification des moyens de détection des défaillances,

4.la détermination des éléments nécessaires à la surveillance (types de capteurs…),

5.la sélection des tâches de maintenance,

6.l’analyse technico-économique.

Après validation de l’étude, les tâches de maintenance conditionnelle correspondantes sont intégrées dans le programme de maintenance de l’équipement concerné. La mise en œuvre d’un programme de maintenance conditionnelle organise donc le suivi en fonctionnement de l’état de chaque équipement concerné et l’analyse technique de ce suivi conditionne la réalisation des visites intrusives. Cela passe par :

–la surveillance de l’équipement, qui implique une bonne connaissance des modes de dégradation des équipements, des défauts susceptibles de se produire et des moyens de mesure disponibles pour les surveiller ;

–la détection de l’apparition d’un symptôme pouvant être significatif d’un début de dégradation. Cela se fait en particulier par le suivi des tendances de paramètres voire, dans certains cas, l’atteinte de seuils spécifiques ;

–le diagnostic, également établi sur la base du suivi de l’évolution de paramètres ;

–le pronostic, qui nécessite de bien connaître les modes de dégradation et de disposer d’un retour d’expérience. Cette phase conduit à identifier la cinétique d’évolution de la dégradation suivie grâce à la surveillance et la connaissance de l’impact des paramètres qui influent sur celle-ci. Il permet d’estimer le délai disponible avant une éventuelle défaillance ;

–la décision de maintenance, qui doit être prise par des instances compétentes, car elle comporte une certaine prise de risque sur la disponibilité et sur les coûts (augmentation des fréquences de surveillance, décision d’arrêt ou de report d’un acte de maintenance).

La difficulté de la mise en place de cette méthode réside dans le choix des paramètres suivis et la conviction qu’ils permettront de détecter toute dégradation de l’équipement susceptible d’entraîner sa défaillance.

Les phases de détection, de diagnostic et de pronostic, présentées ci-avant, reposent sur les résultats du suivi des tendances de paramètres relevés lors de la phase de surveillance.

26.3.3.Maintenance conditionnelle par échantillonnage – Maintenance par matériels témoins

L’hypothèse à la base de ce type de maintenance est de considérer qu’il est possible, dans certaines conditions, d’identifier des matériels dont l’état de santé est représentatif d’un ensemble d’autres matériels et de limiter ainsi les contrôles approfondis aux seuls matériels dits témoins.

La méthode de maintenance par matériels témoins consiste donc, pour une famille de matériels donnée, à réaliser un programme de maintenance préventive comprenant une « visite complète »694 d’un échantillon limité de matériels, le reste de la famille de matériels considérée faisant l’objet d’un programme de maintenance allégé.

Cette méthode concerne d’une manière générale les équipements faisant l’objet d’un programme de maintenance préventive pour lesquels le retour d’expérience ne met pas (ou ne met que peu) en évidence de dégradations ou de défaillances à l’issue de leur maintenance préventive. Elle peut concerner les équipements actifs (en particulier la robinetterie, les machines tournantes, les matériels électriques) et des équipements passifs (comme, par exemple, les parties fixes des tableaux électriques).

La démarche vise notamment les équipements peu sollicités et, en particulier, ceux qui bénéficient d’une surveillance par essais périodiques.

Une étude de maintenance par matériels témoins comporte cinq étapes :

1.l’analyse préalable, qui permet de recenser l’ensemble des documents utiles à l’étude, de caractériser la famille technique de matériels et de définir le périmètre de l’étude,

2.l’analyse fonctionnelle et l’analyse des modes de défaillance (AMDE),

3.le choix d’une « orientation de maintenance »,

4.la sélection des tâches de maintenance,

5.la détermination du programme de maintenance.

Le point sensible de cette stratégie est la sélection d’un échantillon de matériels témoins dans une « famille technique » de matériels homogènes. L’étude doit donc commencer par analyser le niveau d’homogénéité des matériels, qui s’évalue sur la base des éléments suivants :

–données technologiques (type de matériel, technologie, matériaux constitutifs, fluides véhiculés, caractéristiques de dimensionnement),

–conditions d’exploitation (fonctionnement en continu ou en attente…),

–conditions d’environnement (fonctionnement en intérieur, extérieur, bord de mer…).

Si une « famille technique » n’est pas homogène, les matériels sont regroupés en sous-familles. Une « famille technique » de matériels est alors composée de plusieurs sous-familles de matériels homogènes.

Les matériels témoins doivent être les premiers qui pourront présenter des dégradations ou des défaillances, permettant ainsi d’agir sur les autres matériels de la famille, avant qu’ils ne présentent eux-mêmes les dégradations ou les défaillances.

Aussi, après avoir identifié, lors des étapes précédentes, les modes de défaillance couverts par la visite complète des matériels témoins, c’est-à-dire ceux qui sont contrés par les opérations de maintenance réalisées au cours de la visite et les mécanismes de dégradation à l’origine de ces modes de défaillance, deux démarches complémentaires, appelées raisonnement a priori et raisonnement a posteriori, sont à mener afin de détecter les matériels les plus dégradés. Le raisonnement a priori permet de déterminer les facteurs qui influent sur les mécanismes de dégradation et d’identifier les matériels qui sont les plus soumis à ces facteurs. Le raisonnement a posteriori permet, sur la base du retour d’expérience, de déterminer les matériels les plus sujets aux mécanismes de dégradation. Chaque raisonnement appliqué seul ne peut pas couvrir tous les mécanismes de dégradation avec des matériels témoins, faute de données suffisantes ou de connaissances a priori. Selon EDF, la combinaison des deux raisonnements peut apporter des réponses et compléter l’éventuel manque de données dans l’un ou l’autre des raisonnements.

Une autre méthode est également utilisée pour sélectionner un échantillon de matériels témoins. Il s’agit de la méthode statistique, adaptée uniquement pour une famille importante (plusieurs centaines de matériels) et lorsque qu’aucune caractéristique ne permet de déterminer les matériels les plus dégradés. Pour ce faire, EDF dispose d’un outil informatique qui utilise les formules de la norme NF X06-068 (estimation d’une proportion). Cet outil permet de déterminer le nombre de matériels témoins permettant d’affirmer avec un seuil de confiance donné que l’écart entre la proportion de matériels dégradés dans l’ensemble de la famille et la proportion de matériels dégradés dans l’échantillon de matériels témoins est inférieur à un seuil de précision donné.

En cas d’événement non prévu survenant dans une famille de matériels, une analyse doit être réalisée pour déterminer l’origine du défaut, son caractère générique ou non, ainsi que l’urgence des actions à réaliser. Ces actions peuvent conduire à une augmentation de la taille de l’échantillon, à un retour à une visite systématique ou à une évolution de la fréquence de la visite.

Après discussions avec l’IRSN, EDF s’est engagé à réaliser des visites complètes de tous les matériels d’une même famille, sans se limiter aux matériels témoins, mais avec une fréquence moindre que pour les matériels témoins.

26.3.4.La méthode « AP913 »

En dépit de leurs apports, certaines limites de la méthode OMF ont été identifiées. En effet, les études OMF (toujours réalisées) conduisent le plus souvent à :

–faire évoluer les fréquences de tâches de maintenance préventive, mais rarement à changer leur nature,

–introduire relativement peu de tâches de maintenance conditionnelle (hormis dans le domaine des machines tournantes).

Or, pour EDF, l’utilisation de la maintenance conditionnelle tient une place majeure dans sa politique de maintenance, en vue de limiter le nombre d’interventions sur les équipements et, plus précisément, les tâches nécessitant des arrêts et des contrôles intrusifs.

Pour cela, des démarches d’étude des équipements et d’analyse de leur maintenance sont mises en œuvre. Les bilans de santé des équipements permettent de définir les « seuils » d’analyse de maintenance en fonction de l’état et du comportement de ces équipements.

L’étude de matériels témoins permet quant à elle de réduire le volume de maintenance en n’en surveillant qu’un échantillon réduit.

Afin de capitaliser les différents apports des stratégies présentées précédemment, EDF s’est engagé en 2008 dans la mise en œuvre de la méthode AP913 (Advanced Project 913), méthode définie par l’Institute of Nuclear Power Operations (INPO).

La méthode développée par l’INPO à partir de 2001 a pour but d’améliorer la fiabilité des équipements importants pour la sûreté ainsi que la disponibilité de l’installation. Cette méthode est fondée sur l’analyse du comportement des matériels et de leurs conditions d’exploitation, afin d’adapter la maintenance et la surveillance de chaque matériel en fonction des conséquences potentielles de sa défaillance sur la sûreté et la disponibilité du réacteur (définition de la « criticité » du matériel).

Par cette nouvelle méthode, EDF visait une disponibilité accrue de son parc avec un taux de disponibilité d’environ 85 %.

La méthode AP913 comporte sur six étapes :

1.l’identification des matériels « critiques » des installations, avec la détermination des fonctions et des performances de chaque matériel et la caractérisation de leur importance en termes de sûreté, de production électrique, de préservation de l’environnement, etc.,

2.la surveillance en fonctionnement des matériels, avec l’analyse et la compréhension des mécanismes de dégradation, la recherche d’indicateurs de prédiction pertinents,

3.les actions correctives sur les matériels, avec la détermination des causes des défaillances observées, leurs conditions d’amorçage et d’évolution, les améliorations envisageables,

4.l’amélioration continue de la fiabilité des matériels, avec entre autres l’établissement de « canevas de suivi et de maintenance »,

5.la gestion des cycles de vie des matériels et des programmes de maintenance sur le long terme, avec l’évaluation périodique de l’état de santé des matériels, le suivi et la prévision d’évolution des mécanismes de vieillissement ainsi que la détection des obsolescences et la mise en place de stratégies sur le long terme pour les maîtriser,

6.la mise en œuvre de la maintenance préventive, avec la mise en place de tâches de maintenance programmées.

L’AP913 couvre un certain nombre de champs déjà traités par la méthode OMF et par celle de la maintenance conditionnelle. Elle conduit toutefois à une organisation spécifique des services de maintenance et à des actions complémentaires, comme :

–la définition et l’utilisation systématiques d’indicateurs de performance (tant pour les matériels que pour les organisations),

–une boucle rapide de retour d’expérience et de modification des programmes de maintenance.

Toutefois, les organismes de sûreté ont signalé à EDF un certain nombre de points de vigilance sur la méthode AP913 :

–en premier lieu, la méthode implique la mise en place d’un processus de capitalisation du retour d’expérience dédié à la maintenance qui doit permettre, en plus du suivi des matériels, d’évaluer l’efficacité de la maintenance ; une organisation, des ressources et des outils adaptés sont nécessaires ;

–certaines étapes dans la déclinaison de la méthode sont primordiales et doivent être traitées avec un soin tout particulier (définition et évolution des critères de suivi et des indicateurs de performance, représentativité des bilans de santé des matériels…) ;

–concernant la maintenance conditionnelle par matériels témoins, il reste important, au titre de la défense en profondeur, d’effectuer des contrôles par sondage de matériels dont la défaillance est déclarée grave pour la sûreté au sens de l’OMF et pour lesquels il n’est envisagé qu’une maintenance corrective, cela quelle que soit la classification du matériel selon la méthode AP913.

Une évolution de la méthode AP913 est en cours chez EDF.

26.4.Les référentiels de maintenance

Pour tenir compte des différentes exigences non seulement en termes de sûreté, de règlementation mais aussi de disponibilité des matériels, les « référentiels » concernant la maintenance sont nombreux et s’étoffent au fil de l’exploitation et du développement des différentes stratégies (voir la figure 26.3).

Figure 26.3. La pyramide documentaire des référentiels de maintenance. IRSN.

De façon schématique, on distingue (en matière de maintenance) :

–le référentiel externe que constitue la règlementation (référentiel règlementaire),

–les référentiels internes à EDF, à savoir le référentiel national et les référentiels « locaux » des sites.

La règlementation impose à l’exploitant un certain nombre de contrôles et d’inspections : elle concerne principalement la surveillance des équipements sous pression695. La documentation correspondant à cette règlementation est soumise à l’approbation de l’Autorité de sûreté nucléaire ; aucune modification de cette documentation, même provisoire, ne peut être faite sans un accord préalable de celle-ci.

Des principes généraux sont par ailleurs formulés dans certains textes en matière de maintenance696 sans fixer les tâches de maintenance associées. L’exploitant se doit de déterminer les tâches de maintenance de nature à répondre à ces principes.

Pour les équipements qui ne sont pas soumis à ces textes, les services nationaux d’EDF déterminent ceux pour lesquels il est nécessaire d’établir des programmes de maintenance nationaux, pour des raisons de sûreté, de disponibilité, de radioprotection ou de coût.

Les études menées selon les méthodes décrites dans les paragraphes précédents permettent d’élaborer des programmes de maintenance nationaux. Ces derniers sont complétés pour tenir compte des équipements contenant des fluides (liquides ou gazeux) toxiques, radioactifs, inflammables, corrosifs ou explosifs697.

Les exigences concernant la qualification des équipements aux conditions accidentelles sont également prises en compte pour l’élaboration des programmes de maintenance. En effet, la qualification des équipements aux conditions accidentelles et son maintien dans la durée constituent un élément essentiel de la sûreté des installations nucléaires.

L’ensemble des programmes de maintenance ainsi que les différentes gammes opératoires font partie des référentiels (nationaux et locaux) de maintenance internes à EDF. Une modification de programme ne nécessite pas un accord préalable de l’Autorité de sûreté nucléaire. Toutefois, un système de dérogations interne existe, qui conduit à solliciter les experts des matériels en cas de non-respect des programmes (modification du contenu d’une tâche, non-respect de la périodicité d’une tâche).

Depuis la mise en service des premiers réacteurs du parc électronucléaire français, les documents opératoires se sont considérablement enrichis. La prise en compte du retour d’expérience a conduit à décrire de manière plus précise les conditions de réalisation de certaines opérations. De plus, de nouvelles exigences d’exploitation ont progressivement été intégrées par EDF, non seulement pour améliorer la sûreté, la protection des travailleurs et de l’environnement, mais aussi pour accroître les performances économiques des installations.

Depuis 2007, EDF déploie un projet d’homogénéisation des pratiques et des méthodes (PHPM) qui vise à standardiser la documentation opérationnelle et à améliorer son adaptation aux besoins des utilisateurs. Pour atteindre cet objectif, Électricité de France a décidé de remplacer progressivement les documents opératoires spécifiques à chaque site par des modes opératoires standardisés communs à l’ensemble des sites dotés de réacteurs de même type. Toutefois, les spécificités de site restent à la charge du site concerné.

Ce projet est renforcé par l’utilisation de la méthode AP913, qui inclue la définition de « canevas de suivi et de maintenance » pour des composants d’une même « famille technique », en concomitance avec le déploiement du nouveau système d’information du nucléaire des centrales (SDIN).

Avec le nouveau cadre règlementaire698, les règles générales d’exploitation (RGE) vont évoluer, en incluant un chapitre entièrement dédié à la maintenance. Le contour de ce chapitre et le référentiel associé ont été définis. Les documents approuvés par l’Autorité de sûreté nucléaire ainsi que leurs contenus devraient évoluer en fonction du statut règlementaire du chapitre dédié à la maintenance. Un chapitre des RGE dédié à la maintenance est prévu pour le réacteur EPR Flamanville 3.

26.5.La maintenance sur site

26.5.1.Les différentes étapes d’une intervention
de maintenance

Les différentes étapes d’une intervention de maintenance sont décrites sur la figure 26.4.

Chaque centrale doit s’approprier le référentiel de maintenance national et le décliner en référentiel local, mettre en œuvre les différents programmes de maintenance, tenir compte non seulement du retour d’expérience local de maintenance et d’exploitation mais aussi du retour d’expérience national.

La réalisation de la ou des tâches de maintenance sur un équipement nécessite une préparation, pour que les interventions se fassent de façon sûre pour l’installation et les travailleurs. Cette préparation consiste en premier lieu à déterminer et à réunir :

Figure 26.4. Les étapes d’une intervention de maintenance. IRSN.

–les documents nécessaires à la réalisation des différentes tâches (la « consignation » – voir plus loin la définition –, la logistique du chantier, les procédures de sécurité, les points d’arrêt et les vérifications, les modes opératoires, la requalification…),

–ainsi que les documents relatifs aux ressources nécessaires (outillages, pièces de rechange, nombre et qualification requise des intervenants, services extérieurs, durées d’intervention…).

Les étapes importantes d’une préparation sont :

–l’analyse des risques : cette analyse est nécessaire avant toute intervention afin d’identifier tous les risques associés à l’intervention et de déterminer les parades associées. Ces risques peuvent être liés directement à l’intervention mais aussi à l’environnement dans lequel l’intervention va se dérouler ;

–l’évaluation prévisionnelle des doses d’irradiation relatives à l’intervention ;

–la définition et la mise en place de la logistique associée (pièces de rechange, outillages, servitudes, colisage, radioprotection, protection contre les risques d’incendie ou d’explosion…) ;

–la répartition des tâches selon les différents métiers nécessaires à l’intervention ;

–la définition et la mise en place des ressources humaines (qualification des personnels).

L’ensemble des documents opératoires relatifs aux « consignations » d’un matériel sont préparés lors de la phase de préparation : les consignations constituent une étape à part entière de l’intervention de maintenance. Elles ont pour objectif de permettre aux personnels d’intervenir en toute sécurité en interdisant toute possibilité d’alimentation inappropriée (électricité, eau, autre fluides) du matériel objet de l’intervention.

Après l’intervention, une requalification doit être effectuée ; il s’agit d’une étape importante. Elle permet de garantir qu’à la suite de l’intervention, les performances de l’équipement (matériel, système) ne sont pas dégradées. La requalification comporte deux parties : une requalification intrinsèque et une requalification fonctionnelle.

La requalification intrinsèque permet de vérifier les performances propres au matériel qui a fait l’objet de l’intervention. D’une manière générale, la requalification intrinsèque est tout d’abord réalisée aux conditions ambiantes de température et de pression, sans aucun conditionnement du circuit comprenant le matériel concerné ; elle ne sera réellement achevée que par d’ultimes contrôles en configuration opérationnelle des circuits. La requalification intrinsèque doit prouver le bon fonctionnement du matériel avant d’engager la requalification fonctionnelle.

La requalification fonctionnelle doit être faite avant que le matériel ne soit remis en exploitation (plus précisément ne soit requis au titre des conditions d’exploitation du réacteur). Elle permet la vérification des performances d’ensemble d’un système ou d’un sous-ensemble fonctionnel constitué de plusieurs matériels, incluant le matériel qui a fait l’objet de l’intervention. Une mise en configuration de circuits est généralement nécessaire pour permettre cette vérification.

La remise en exploitation d’un matériel intervient après que les résultats attendus des requalifications intrinsèque et fonctionnelle ont été atteints.

26.5.2.Les principales conditions de réussite de la maintenance

Au-delà de l’obtention du niveau de fiabilité et de performance attendu pour des matériels, les interventions de maintenance doivent se dérouler dans des conditions appropriées de sûreté et de sécurité pour les intervenants. De plus, une intervention ne doit pas générer d’incident d’exploitation du réacteur. Cela implique la réalisation par l’intervenant des gestes techniques requis par la gamme opératoire ainsi que le respect des règles de l’art inhérentes au métier (non rappelées dans les gammes opératoires). Chacune des étapes (rédaction et déclinaison du référentiel699, préparation de l’intervention, réalisation, requalification, retour d’expérience) – doit être exécutée autant que possible selon l’échéancier prévu avec sérénité, application et rigueur.

Des défauts d’origine organisationnelle ou humaine (mauvaise préparation du dossier d’intervention, mauvaise préparation de l’intervention, non-respect des conditions nécessaires à l’intervention, mauvaise manipulation ou erreur de montage au cours de l’installation…) ou d’origine matérielle (pièce de rechange inadaptée…) peuvent conduire à des non-qualités de maintenance (NQM). Ces non-qualités de maintenance, déjà évoquées au début du présent chapitre, sont susceptibles de provoquer non seulement des défaillances immédiates mais également des défaillances qui n’apparaîtront que lorsque le matériel sera sollicité (défaillances latentes).

Les non-qualités de maintenance ou défaillances peuvent aussi conduire à des dégradations ou à des incidents : introduction de corps migrants dans le circuit primaire, perte d’une fonction de sûreté en fonctionnement normal ou en situation accidentelle…

Les risques créés par des non-qualités de maintenance dépendent :

–de la nature des écarts, de leur temps de latence, de leur cinétique et de leur nocivité,

–de la capacité à détecter les écarts avant qu’ils ne conduisent à une défaillance, grâce aux programmes de surveillance, aux essais périodiques…,

–des conditions d’exploitation dans lesquelles les défaillances surviennent,

–de la capacité à maîtriser l’impact des défaillances compte tenu des dispositions de conception qui ont été prises (par exemple : perte d’une voie d’un système compensée par l’autre voie assurant la même fonction) ou des dispositions de conduite.

Il convient de noter que les non-qualités de maintenance (dossier erroné, erreur humaine, pièce de rechange inadaptée…) peuvent avoir un caractère générique et affecter de multiples composants. L’exploitant doit évaluer, lorsqu’il découvre une non-qualité de maintenance, son caractère singulier ou potentiellement générique.

Quelques conditions nécessaires à la réussite des interventions de maintenance sont détaillées ci-après à titre d’illustrations. Les résultats de la maintenance en termes de qualité n’ayant pas toujours été conformes aux résultats escomptés, des améliorations ont eu lieu et continuent d’être recherchées.

Un référentiel suffisant et pertinent,
évoluant avec le retour d’expérience

Les stratégies de maintenance et les activités de maintenance associées doivent être adaptées aux modes de dégradation des équipements en prenant en compte les conditions d’environnement qui constituent un facteur d’influence important. Les fréquences de maintenance doivent être adaptées aux cinétiques, prévues ou observées, des dégradations.

À titre d’exemple, les sites en bord de mer sont particulièrement affectés par la corrosion. Entre autres, des dégradations importantes ont été observées sur les tuyauteries d’eau de refroidissement des groupes électrogènes de secours du site de Gravelines. Aucune activité de maintenance n’était prévue pour ces tuyauteries, alors qu’une surveillance et un entretien réguliers auraient permis d’éviter la survenue de cette corrosion. La bonne exécution de ces activités est d’autant plus importante qu’il s’agit d’équipements qui doivent être en mesure de résister à des sollicitations mécaniques et notamment à des sollicitations sismiques. À la suite de cet événement, EDF a mis à jour les référentiels de maintenance concernés pour ces équipements pour prévenir ces dégradations.

À l’instar des phénomènes de corrosion, d’autres phénomènes peuvent être à l’origine d’une défiabilisation d’équipements en fonctionnement normal ou en situation accidentelle ; ils doivent être réexaminés selon les situations rencontrées par les installations. Parmi les phénomènes courants, on peut citer les phénomènes de vieillissement naturel et ceux qui sont dus à un échauffement excessif (vieillissement des polymères [tels ceux des silentblocs utilisés pour les armoires électriques ou les patins d’isolation parasismique des réacteurs de la centrale nucléaire de Cruas-Meysse], vieillissement des condensateurs pour les cartes électroniques), ainsi que les phénomènes de corrosion sous contraintes dans le circuit primaire et les vibrations.

De manière générale, l’absence d’avarie observée pour un matériel ne saurait justifier l’absence de tout contrôle de ce matériel. Par ailleurs, l’efficacité du processus d’intégration des données issues du retour d’expérience de la maintenance est importante pour que puissent être rapidement traitées d’éventuelles insuffisances.

Parmi les matériels spécifiques des réacteurs dont la doctrine de maintenance préventive ne bénéficiait pas initialement de données suffisantes, peuvent être cités les grappes absorbantes et les structures internes de la cuve du réacteur :

–une usure des grappes de contrôle a été mise en évidence en 1987 dans le réacteur n° 4 de la centrale nucléaire du Tricastin ; elle n’a pas suscité un accroissement suffisamment rapide des contrôles au titre de la maintenance préventive, ce qui a conduit à la rupture de crayons absorbants de grappes à Dampierre-en-Burly et à Gravelines (voir le paragraphe 26.5.3) ;

–la découverte en 1987, au cours des investigations menées à la suite de l’endommagement d’assemblages combustibles périphériques par le phénomène de « jets de baffle », de dégradations des vis du cloisonnement interne du réacteur n° 2 de la centrale nucléaire du Bugey a mis en évidence des insuffisances de la maintenance préventive effectuée jusqu’en 1988 sur les structures internes des réacteurs. Cet événement précurseur a été pris en compte dans la doctrine de maintenance de ces structures ;

–des avaries de roulements à billes des machines de chargement du combustible survenues pendant la manutention d’assemblages à la centrale du Tricastin en septembre 1987 et à la centrale de Saint-Laurent-des-Eaux en novembre 1987 ont entraîné la chute de billes de 3 mm de diamètre dans les cuves. Ces événements auraient pu être évités par une meilleure maintenance, et l’absence de programme de maintenance pour la machine de manutention du combustible a certainement contribué pour une part importante à ces événements.

En conclusion, s’il est clair que les doctrines de maintenance doivent évoluer en fonction des enseignements tirés de l’expérience d’exploitation des réacteurs, il apparaît aussi nécessaire d’anticiper dans les domaines où l’expérience est limitée.

Ainsi, pour tenir compte de l’évolution des connaissances sur les phénomènes de dégradation ou de l’état réel des installations, il est important que les référentiels de maintenance soient réévalués périodiquement, notamment sur la base du retour d’expérience. Par ailleurs, des programmes d’investigations complémentaires (PIC) sont mis en œuvre afin de conforter les hypothèses sur l’absence de dégradations notables en service dans des zones non couvertes par les programmes de base de maintenance préventive ou par des programmes particuliers de maintenance. Ils sont mis en œuvre au cours des réexamens périodiques (voir le chapitre 30).

Pour ce qui concerne les programmes de maintenance, plusieurs points sensibles méritent d’être signalés ; ils concernent :

–l’exhaustivité de leur mise en application,

–leur adaptation en fonction du retour d’expérience,

–l’absence de programme de base pour certains équipements.

Le plus souvent, une mise en application incomplète d’un programme de maintenance est due au délai entre la rédaction et la mise en application effective du programme sur un site. En particulier, les moyens techniques de contrôle prévus ne sont pas toujours disponibles sur le site. Par exemple, le contrôle sur banc des dispositifs autobloquants de tuyauteries a souffert des retards dus à la mise au point des bancs d’essais. Le premier contrôle par écoute acoustique des roulements des paliers des pompes à basse pression du circuit d’injection de sécurité n’a pu être mis en œuvre sur site que trois ans après la diffusion du programme de base correspondant ; il a mis en évidence une détérioration des roulements des pompes, qui n’avait pas été détectée par les relevés vibratoires traditionnels.

De plus, pour que les gammes opératoires utilisées par les intervenants soient à jour, il est important pour les CNPE que les évolutions de référentiels soient prises en compte en temps utile. À cette fin, pour harmoniser et maîtriser l’« intégration » des référentiels locaux (englobant le référentiel de maintenance local), EDF a lancé, à la fin des années 2000, deux projets, à savoir :

–une rédaction mutualisée des pratiques et des méthodes par palier,

–une intégration des référentiels par campagnes d’arrêts de réacteurs au lieu d’échéances calendaires afin d’éviter de perturber la préparation des arrêts de réacteurs.

Une préparation et une planification adéquates

Les phases de préparation et de planification sont des phases primordiales pour qu’une intervention se déroule dans les conditions appropriées, après avoir défini et réuni tous les documents et ressources nécessaires.

En vue d’éviter des écueils lors d’une intervention, il est notamment nécessaire de réaliser, au cours de la phase de préparation, une analyse des risques afin d’identifier l’ensemble des risques associés à l’intervention et de déterminer les parades associées. Ces risques peuvent être liés directement à l’intervention, à l’environnement dans lequel l’intervention va se dérouler, mais aussi aux interfaces entre les métiers concernés (mécaniciens, électriciens, chimistes, robinetiers, pompistes, agents de conduite…). Les risques d’agression liés à l’intervention doivent aussi être examinés (introduction de corps étrangers, agression de matériels avoisinants, inondations…). Le responsable technique de l’équipe d’intervention utilise cette analyse des risques comme une donnée d’entrée lors du briefing avec l’équipe intervenante, après que cette dernière se l’est appropriée. De même, en fonction de l’impact potentiel de l’intervention sur la sûreté ou le « procédé » lui-même, l’analyse des risques peut également être partagée entre l’équipe d’intervention et les opérateurs de conduite. Ces différents partages ont pour objectif de s’assurer que l’équipe d’intervention a compris les prérequis de l’intervention, la compatibilité de sa réalisation avec l’état de l’installation et les conséquences des actions de maintenance sur les matériels, les systèmes, voire sur la fonction de sûreté impactée.

Maîtrise de l’intervention

La maîtrise des interventions nécessite le respect des procédures et des règles de l’art. Elle implique que les intervenants possèdent une compétence technique et un savoir-faire pratique, savoir-faire qui s’acquiert avec l’expérience. Elle suppose que les intervenants appréhendent correctement le rôle des équipements – plus particulièrement de ceux qui sont importants pour la sûreté – et les conséquences de leurs gestes sur le « procédé » ou sur le maintien de la pérennité de la qualification de ces équipements. Les interfaces entre métiers, déjà évoquées plus haut, sont aussi à examiner de manière approfondie pour qu’une intervention soit maîtrisée.

Compte tenu de la technicité des métiers relatifs aux automatismes, à la robinetterie, aux machines tournantes, l’obtention d’une compétence appropriée des intervenants prend plusieurs mois, voire plusieurs années. Elle se fait par la formation des intervenants, par le tutorat et par le compagnonnage.

En vue d’éviter des incidents lors des interventions, EDF a mis en œuvre des pratiques dites de fiabilisation humaine à partir des années 2000, consistant :

–avant l’intervention, à procéder à un « pré-job-briefing » entre les intervenants et le responsable technique, pour anticiper les problèmes possibles et leurs solutions,

–au cours de l’intervention, à s’interrompre en cas d’imprévu, à « sécuriser la communication » (voir le paragraphe 25.3.5) entre les intervenants ou entre les intervenants et les opérateurs en salle de conduite pour les tâches jugées à risque à la reprise de l’intervention, à procéder à des contrôles sur la manière de réaliser des actions à risques avant qu’elles ne soient exécutées,

–après l’intervention, à procéder à un débriefing entre les intervenants et le responsable technique pour tirer les enseignements positifs et négatifs du déroulement de l’intervention.

Il est cependant important que les protagonistes (préparateurs, intervenants) conservent à tout moment un sens critique et interrogatif pour détecter un contexte imprévu ou un référentiel erroné et y remédier (culture de sûreté).

Parmi les écarts liés aux interventions de maintenance, on peut citer des non-respects de couple de serrage, des non-remplacements de joints ou d’éléments de connectique après démontage, des problèmes de raccordement, des problèmes de maintien d’étanchéité de composants.

D’autres familles d’erreurs lors des interventions existent (qualifiées d’« erreurs humaines de maintenance »), dont les causes les plus fréquemment rencontrées sont :

–des confusions de tranche, de circuit, de voie ou de matériel (les conséquences de ces erreurs peuvent être particulièrement graves, jusqu’à l’indisponibilité complète d’une fonction de sûreté, en particulier quand il s’agit d’une erreur de voie) : un matériel disponible est alors rendu indisponible par une intervention qui était destinée à un matériel réellement indisponible d’une autre voie ;

–des interventions simultanées sur deux voies de protection ;

–des interventions de routine effectuées sans précaution, comme la mise en test d’une chaîne de protection alors qu’un défaut préexiste sur une autre chaîne ;

–des gammes incomplètes ou mal appliquées, conduisant par exemple à l’oubli de remise en configuration d’exploitation d’un capteur ou d’un robinet ;

–des interventions inappropriées sur des matériels (capteurs, vannes, relayage, armoires électriques) au cours de vérifications ou de dépannages ;

–des interventions en dehors de la zone de travail délimitée par consignation ;

–des interventions dans des locaux à risques – corps étrangers introduits dans les circuits…

En outre, l’utilisation de dispositions et moyens particuliers (DMP700) pour réaliser des contrôles ou des essais peut conduire à des défauts de remise en conformité ; ces DMP peuvent être :

–des dispositifs mécaniques (fonds pleins, tapes, dispositifs de bridage de soupapes),

–des dispositions et dispositifs électriques (débranchements de fils, déréglages de capteurs ou de relais à seuil, straps…).

L’utilisation de tels DMP, qui ne peut pas être évitée de par la conception des circuits, constitue une source de défaillances possibles des systèmes de sauvegarde ou du système de protection. Certains dispositifs employés peuvent être invisibles pour un œil non averti et, s’ils sont utilisés sur des systèmes passifs ou en attente, ils peuvent échapper à la surveillance des agents chargés de la conduite. Il a été indiqué au chapitre 22 que, dès le début des années 1990, EDF a été conduit à engager une réflexion approfondie dans ce domaine pour résoudre les problèmes posés par l’utilisation des dispositions et moyens particuliers.

Prévention des risques de mode commun
sur les matériels redondants, de défauts génériques

Des défaillances de mode commun peuvent conduire à la perte totale d’une fonction de protection ou de sauvegarde de l’installation. Pendant la période allant de janvier 1986 à décembre 1989, et plus particulièrement en 1989, plusieurs événements liés à des non-qualités de maintenance, qui ont conduit à la perte complète d’une fonction de protection ou de sauvegarde, sont survenus à l’étranger et en France. Un certain nombre d’entre eux sont évoqués dans le chapitre 22. Ils ont conduit à réaffirmer l’importance des dispositions destinées à éviter ces défauts, par exemple la réalisation des interventions sur les voies redondantes lors d’un même arrêt par des équipes différentes et une requalification fonctionnelle après intervention. Un autre moyen de limiter la survenue de tels défauts est de restreindre autant que possible les interventions sur des matériels redondants au cours d’un arrêt, en répartissant notamment les interventions nécessaires sur différents arrêts.

La prévention des modes communs fait partie de l’analyse des risques dans laquelle les parades associées doivent être définies.

Il est indiqué dans le chapitre 22 que d’autres risques de défaillances de mode commun peuvent être causés par les appareils d’étalonnage ou de test. Le bon étalonnage et la disponibilité de matériels appropriés sont nécessaires. Des événements de ce type ont mis en évidence le soin qu’il est nécessaire d’apporter aux outils uniques permettant de vérifier l’état des matériels sur une ou plusieurs tranches d’un site.

Il existe en pratique beaucoup d’appareils de métrologie : voltmètres, balances manométriques, générateurs de rampe (un tel générateur est à l’origine de l’événement significatif survenu le 31 mai 1990 dans le réacteur n° 6 de la centrale nucléaire de Gravelines, évoqué au chapitre 22), boremètres, autres matériels permettant de vérifier les chaînes d’instrumentation et de régulation. En particulier, toute opération d’étalonnage portant sur plusieurs capteurs doit conduire à s’interroger sur le matériel étalon utilisé.

Par ailleurs, la standardisation du parc électronucléaire français lui confère une sensibilité particulière. De ce fait, toute lacune dans les programmes de maintenance, toute erreur reproductible dans l’exécution des opérations de maintenance peuvent avoir des effets sur plusieurs réacteurs. Les exemples suivants illustrent ce type de situation :

–l’événement d’octobre 1990 qui a concerné le réacteur n° 4 de la centrale nucléaire de Cruas-Meysse : une dégradation par vieillissement d’un petit composant (rondelle d’amortissement) a entraîné l’explosion d’une cellule de contacteur 6,6 kV qui a conduit à la perte de l’un des deux tableaux secourus (LHA) et à la perte de tous les matériels de sauvegarde de cette voie alors que le réacteur était en puissance ;

–de nombreux événements liés à des anomalies de lubrification (mélanges de produits incompatibles, vieillissement de produits, insuffisances de produits, produits inappropriés…). Ainsi, au mois de novembre 1991, un mélange de graisses a conduit à rendre indisponibles les deux pompes du circuit de refroidissement du réacteur à l’arrêt du réacteur n° 1 de la centrale nucléaire de Gravelines. Au mois de mars 1993, un mélange de graisses a rendu indisponibles les quatre pompes du circuit d’injection d’eau de sécurité à basse pression du même site ainsi que trois pompes du circuit d’aspersion d’eau dans l’enceinte de confinement. À la suite de ces événements, des actions génériques ont été mises en œuvre par EDF. Les organismes de sûreté ont alors souligné l’importance de considérer les opérations de graissage comme des opérations à risque et d’en assurer une traçabilité adéquate dès la sortie des produits du magasin. Toutefois, des événements du même type sont survenus ultérieurement, comme cela est indiqué au paragraphe 29.2.2.6.

L’expérience d’exploitation a par ailleurs mis en évidence plusieurs cas de découvertes fortuites de défauts latents à caractère générique liés à de mauvaises pratiques de maintenance (intervention, requalification…). La durée entre la création du défaut (parfois sur plusieurs tranches) et sa découverte constitue un paramètre important d’appréciation de la gravité pour la sûreté et la définition d’actions correctives.

Qualité des activités sous-traitées

EDF externalise une partie importante de la maintenance (environ les deux tiers), en particulier pour réaliser la maintenance lors des arrêts des réacteurs. Cela a déjà été marqué dans la période 2000-2014 du fait de l’augmentation du « volume » de maintenance réalisée pour améliorer la fiabilité des matériels.

Pour les activités de maintenance sous-traitées relatives aux systèmes importants pour la sûreté, l’arrêté du 10 août 1984 demandait déjà que l’exploitant exerce une surveillance pour garantir leur qualité. L’« arrêté INB » de 2012 renforce les exigences de cette surveillance. Il précise que cette surveillance doit être exercée par l’exploitant lui-même et qu’elle doit être proportionnée à l’importance pour la sûreté des activités réalisées. L’exploitant doit présenter à l’autorité de sûreté les modalités de mise en œuvre de cette surveillance (principes et organisation, ressources consacrées).

Le retour d’expérience fait ressortir plusieurs facteurs qui concourent à la réussite de la surveillance des activités sous-traitées, à savoir :

–en phase de préparation : un temps suffisant doit être laissé aux chargés de surveillance pour élaborer des programmes de surveillance en nombre et en qualité ;

–en phase de réalisation : la charge de travail doit être en adéquation avec le « volume » horaire de surveillance à réaliser et des chargés de surveillance compétents doivent être totalement affectés à leur mission ;

–en phase de retour d’expérience : un temps suffisant doit être laissé aux chargés de surveillance pour réaliser un débriefing des activités surveillées et l’évaluation des prestataires.

Il en ressort que cette surveillance, pour être efficace, doit être exercée par des agents professionnalisés, dont le métier est reconnu et ayant les moyens d’exercer leur mission.

Compte tenu de l’augmentation du « volume » de maintenance à partir de 2015 (augmentation de la durée de fonctionnement des réacteurs, grand carénage…) et des exigences dans le domaine de la surveillance (« arrêté INB » de 2012), la consolidation de la surveillance des activités sous-traitées reste un point essentiel pour limiter la survenue de non-qualités de maintenance.

Cependant, comme cela est souligné au chapitre 25, si la surveillance des activités sous-traitées est un aspect important, la bonne préparation conjointe, entre EDF et ses prestataires, de ces activités demeure fondamentale.

Pertinence de la requalification

La requalification des équipements et des systèmes à l’issue d’opérations de maintenance, d’interventions fortuites ou de modifications est essentielle. Elle couvre non seulement des vérifications à caractère fonctionnel mais aussi des vérifications de conformité à certaines exigences particulières qui ne peuvent pas être testées en fonctionnement normal : étanchéité de composants (coffrets électriques), réglages de protections non sollicitées en fonctionnement normal (protections électriques, soupapes, disques de ruptures, limiteurs de couple…).

Après une intervention de maintenance, la requalification fonctionnelle doit être réalisée avant que l’équipement ne soit nécessaire au titre des STE, sauf impossibilité technique. En effet, ces requalifications qui nécessitent des conditions particulières pour tester l’équipement sont parfois tardives. C’est par exemple le cas de la requalification des turbopompes alimentaires de secours des générateurs de vapeur qui nécessitent d’être alimentées en vapeur. De ce fait, leur requalification fonctionnelle ne peut se faire que lorsque le réacteur a atteint un domaine d’exploitation dans lequel la pression de vapeur dans les générateurs de vapeur est suffisante. Or la disponibilité des turbopompes alimentaires de secours est déjà requise par les STE dans ce domaine d’exploitation.

L’événement survenu au mois de janvier 1997 dans le réacteur n° 1 de la centrale nucléaire du Tricastin illustre le besoin et la difficulté de définir un essai de requalification représentatif. À la suite de la révision pour maintenance d’une vanne du circuit de refroidissement intermédiaire (circuit RRI), seule une requalification par un essai de manœuvrabilité sans débit de fluide a été réalisée. Cet essai n’a pas permis de détecter le montage inversé de l’opercule de la vanne. L’anomalie a été découverte ultérieurement à la suite d’un blocage de la manœuvre de la vanne sous plein débit, même si, selon l’exploitant, le sens du montage de l’opercule n’aurait pas dû avoir d’incidence sur la manœuvrabilité de la vanne. La requalification intrinsèque et la requalification fonctionnelle définies par l’exploitant n’étaient pas adaptées à l’intervention de maintenance réalisée.

À la suite de plusieurs événements survenus dans les années 1990 puis 2000, EDF a fait évoluer ses pratiques, en établissant dans un premier temps une doctrine de requalification, puis un guide méthodologique, afin de permettre à chaque centrale de mettre en œuvre une démarche visant à une meilleure adéquation des essais de requalification au regard des interventions réalisées.

Les essais de requalification à réaliser à l’issue d’une activité de maintenance étant définis au cas par cas, la recherche de leur exhaustivité reste une préoccupation permanente pour la sûreté de l’installation.

Suffisance du stock de pièces de rechange

L’exploitant doit être prêt à intervenir sur les équipements d’un réacteur de façon préventive, avant que la sûreté de l’installation ne soit affectée, voire de façon curative quand un équipement est défaillant. Pour être en mesure de réaliser ces interventions dans des délais appropriés, il doit disposer de pièces de rechange en nombre suffisant et avec un niveau de qualité conforme aux exigences de conception. À cet égard, l’exploitant se doit de maîtriser l’entreposage de ses pièces de rechange, pour éviter leur endommagement, leur dégradation et leur vieillissement, notamment pour celles qui sont utilisées pour des équipements redondants ou similaires, afin qu’elles ne conduisent pas à des défaillances de mode commun.

Cependant, la logistique et la gestion des pièces de rechange (détermination des stocks nécessaires, référencement, approvisionnement, conditions d’entreposage…) dépendent de leur nature. Pour les gros composants passifs comme les couvercles de cuve ou les générateurs de vapeur, la disponibilité des pièces ou composants de remplacement est principalement liée aux délais de fabrication qui peuvent être très importants, ainsi qu’aux compétences des fabricants et aux moyens nécessaires.

Pour les autres composants actifs ou passifs, le remplacement d’équipements qualifiés, souvent sujets à une obsolescence technologique ou commerciale, nécessite une anticipation des approvisionnements et de la démonstration de la qualification des pièces de rechange.

Des erreurs de référencement non détectées (peu nombreuses en comparaison du nombre considérable de pièces de remplacement référencées) ont conduit au montage de pièces de rechange non conformes, défiabilisant alors les équipements concernés.

Un élément important à considérer pour le remplacement de pièces lors d’opérations de maintenance est le maintien de leurs spécifications et de leur qualification. Lors de la mise en œuvre de la démarche de vérification de la pérennité de la qualification des équipements du réacteur n° 1 de la centrale nucléaire du Tricastin, tête de série des tranches de 900 MWe, dans le cadre de l’examen de conformité (ECOT) associé à sa deuxième visite décennale, l’exploitant a découvert l’existence de roulements à cage polyamide montés sur les pompes des circuits d’injection de sécurité d’eau à basse pression et d’aspersion d’eau dans l’enceinte de confinement, alors que le recueil des prescriptions de maintenance prescrivait des roulements à cage métallique. Ces roulements sont des composants sensibles des pompes de sauvegarde. Leur non-conformité pouvait mettre en cause le caractère opérationnel de ces pompes, qui doivent notamment pouvoir assurer une recirculation d’eau, pendant une longue durée, en situation post-accidentelle d’un accident de perte de réfrigérant primaire. Cet écart s’est révélé générique.

Par ailleurs, des manques de pièces de rechange ont conduit EDF à reporter des activités de maintenance, à installer des pièces jugées équivalentes mais d’un niveau de qualification inférieur ou à remonter une pièce usagée et à justifier l’acceptabilité de cette solution temporaire.

Les investissements réalisés par EDF dans les années 2010 (création d’un centre national d’entreposage des pièces de rechange pour obtenir un approvisionnement efficace et réactif, redéfinition des stocks de sécurité…) ont eu pour objectif de rendre robuste l’approvisionnement des pièces de rechange pour les différentes centrales nucléaires, malgré les évolutions technologiques et les évolutions du tissu industriel. Cependant, malgré cet investissement, les intervenants sur les centrales rencontrent encore des difficultés pour obtenir en temps et en heure les pièces de rechange dont ils ont besoin. Électricité de France poursuit ses efforts dans ce domaine.

26.5.3.Exemples d’anomalies ou d’écarts découverts
lors d’opérations de maintenance courante,
liés à un référentiel de maintenance insuffisant
à l’égard de mécanismes de dégradation

Usure et gonflement de crayons de grappes absorbantes

Dès les années 1980, des usures excessives ainsi que des phénomènes de gonflement et de fissuration ont été observés sur des grappes absorbantes, susceptibles de conduire au blocage de grappes dans les tubes-guides des assemblages combustibles. Ces phénomènes ont conduit EDF d’une part à faire évoluer la conception des grappes (diminution du diamètre au bas des crayons absorbants – qui est la zone la plus soumise au gonflement [voir la figure 26.5] –, dépôt d’un revêtement anti-usure701), d’autre part à améliorer son programme de maintenance et à renforcer la surveillance de ces équipements. Ces actions ont permis de réduire de façon significative les risques de blocage mécanique des grappes absorbantes et la contamination du circuit primaire par de l’argent 110 métastable provenant du percement de crayons absorbants.

Figure 26.5. Schéma montrant la zone soumise au gonflement dans une grappe. Georges Goué/IRSN.

Le phénomène d’usure a concerné les grappes d’arrêt, celles-ci restant en permanence en position relevée lorsque le réacteur fonctionne et étant soumises d’une manière particulière à des vibrations induites par les écoulements hydrauliques.

Toutefois, des insertions incomplètes de grappes en partie basse des tubes-guides des assemblages combustibles ont été observées à partir de 2006 pour les réacteurs de 900 MWe (CPY). L’analyse de ces anomalies a permis d’établir qu’elles résultaient d’un phénomène de gonflement sous irradiation plus rapide que prévu, ce qui a conduit Électricité de France à modifier les critères des stratégies de maintenance dès 2008 : la durée d’exploitation des grappes a été limitée et les critères de rebut ont été abaissés. Ces nouveaux critères ont été appliqués à tous les paliers de réacteurs.

Depuis 2008, aucun nouveau problème de blocage de grappe absorbante, lié à des phénomènes de gonflement ou d’usure, n’a été observé.

Corrosion des matériels des centrales nucléaires situées
en bord de mer ; le cas des groupes électrogènes de secours

Au début de l’année 2008, des contrôles des groupes électrogènes de secours à moteur diesel de la centrale nucléaire de Flamanville ont montré un état fortement corrodé de leurs aéroréfrigérants. Ces matériels, indispensables au bon fonctionnement des groupes électrogènes, sont situés à l’extérieur des bâtiments abritant ces groupes, les exposant ainsi à l’air marin. Ce phénomène, déjà constaté sur plusieurs centrales en bord de mer, montre que les protections par peinture (voir la figure 26.6) des surfaces métalliques ne sont efficaces qu’accompagnées d’un programme de contrôles et de maintenance spécifique.

L’analyse réalisée par EDF a montré que des traces de corrosion avaient été observées dès 2006 mais qu’aucune action corrective n’avait été engagée. Pour cette raison, la centrale de Flamanville a déclaré un événement significatif pour la sûreté le 18 avril 2008.

Dès le stade de la conception des réacteurs, le risque de corrosion a été pris en considération en sélectionnant, entre autres, des matériaux non sensibles à la corrosion, tout particulièrement pour les appareils ou les tuyauteries contenant des fluides radioactifs. Pour d’autres matériels, l’exigence de tenue à la corrosion n’est pas liée uniquement à la nature du fluide véhiculé mais principalement aux conditions d’ambiance. Des mesures de protection par peinture peuvent être suffisantes pour protéger des surfaces métalliques. L’efficacité de ces revêtements de protection doit cependant faire l’objet de vérifications périodiques, car une altération de la peinture peut conduire à des dégradations des matériels par la corrosion atmosphérique préjudiciables à la sûreté du réacteur.

Figure 26.6. À gauche, exemple d’une corrosion externe d’une tuyauterie de refroidissement ; à terme, ce type de corrosion peut conduire au percement de la tuyauterie. À droite, exemple d’un revêtement externe anticorrosion d’une tuyauterie de refroidissement.

Les phénomènes de corrosion des groupes électrogènes des centrales en bord de mer n’étaient pas nouveaux. Dès 1991, des dégradations importantes avaient été observées sur les groupes électrogènes du réacteur n° 4 de la centrale nucléaire de Paluel en Normandie, soit seulement cinq ans après sa mise en service. La présence d’eau de pluie, due à une mauvaise conception du système de refroidissement des groupes électrogènes de tous les réacteurs de 1 300 MWe, associée aux conditions d’ambiance marine, était à l’origine de zones de corrosion visible de la surface externe des tuyauteries de refroidissement. EDF avait alors diligenté des inspections de l’ensemble des réacteurs de 1 300 MWe. Des dégradations de même nature, mais moins avancées, avaient été constatées sur les sites de Cattenom et de Belleville-sur-Loire où les conditions ambiantes sont pourtant moins agressives que l’atmosphère saline du bord de mer. Électricité de France avait alors réalisé les réparations nécessaires et a remédié au défaut générique de conception.

En avril 2003, lors d’une inspection sur le site de Gravelines, l’Autorité de sûreté nucléaire a également constaté l’existence de corrosions des tuyauteries des circuits de refroidissement des groupes électrogènes : des actions de contrôle et de remise en état ont alors été réalisées à la fin de 2003. En septembre 2003, EDF a fait le même type de constat pour le réacteur n° 4 de la centrale de Paluel. Ce phénomène de corrosion, lié à l’ambiance marine, a été traité dans le cadre normal de la surveillance des matériels.

L’ensemble de ces constats ont montré un programme de maintenance perfectible et des actions de remise à niveau tardives.

Toutefois, malgré les dispositions améliorées mises en œuvre, des corrosions en ambiance marine sont détectées de manière récurrente.

26.5.4.Exemples d’événements liés
à des non-qualités de maintenance

Des exemples présentés plus haut ainsi que dans les chapitres consacrés au retour d’expérience montrent que la maîtrise des opérations de maintenance est délicate. Quelques exemples supplémentaires sont présentés ci-après ; ils illustrent la variété des non-qualités de maintenance et la nécessité d’une attention permanente de la part de l’exploitant pour que les opérations de maintenance n’introduisent pas de nouvelles anomalies, cela dans des situations réelles d’intervention qui ne correspondent pas toujours à celles prévues, du fait d’aléas de nature organisationnelle ou matérielle.

26.5.4.1.Exemple d’événement lié à un réglage erroné
de matériels redondants

Erreurs de tarage de soupapes

(Golfech 1 – 15 septembre 1999)

Au cours de l’arrêt du réacteur n° 1 de la centrale nucléaire de Golfech, lors de la mise sous pression d’azote de l’accumulateur RIS 303 BA du système d’injection de sécurité, sa soupape RIS 273 VZ s’est ouverte pour une pression d’azote inférieure de plusieurs bars à la pression nominale d’exploitation de l’accumulateur. Le contrôle des autres soupapes dont le tarage avait été confié lors de l’arrêt au même prestataire a alors mis en évidence 22 soupapes appartenant à différents systèmes présentant des écarts de tarage allant jusqu’à 6 bars.

La même personne a taré 18 des 22 soupapes car l’effectif de la société prestataire n’était pas complet au cours de la prestation. Le tarage des soupapes a été réalisé avec une échelle de mesure déréglée sur le banc de tarage car l’intervenant ne connaissait pas les modalités d’utilisation du banc. De plus il ne disposait pas de notice pour ce banc. Par ailleurs, les processus de contrôle n’ont pas permis d’identifier les écarts.

26.5.4.2.Exemple d’événement lié à un réglage erroné
de seuils de protections électriques

Perte de la source froide et de la pompe de charge de la voie A

(Nogent 1 – Janvier 1999)

Un événement significatif pour la sûreté a eu pour origine le déclenchement par surcharge des deux pompes du circuit d’eau brute secourue et de la pompe de charge du circuit de contrôle chimique et volumétrique (RCV) de la voie A lors d’un essai d’îlotage de la tranche n° 1 de la centrale nucléaire de Nogent-sur-Seine 1, le 24 janvier 1999. Les investigations menées après l’événement par l’exploitant ont montré que les seuils d’intensité avaient été réglés à une valeur inférieure à celle qui était prévue, notamment sur l’ensemble des matériels alimentés par le tableau électrique de 6,6 kV de la voie A (11 actionneurs dont ceux des pompes de sauvegarde).

Cet événement est décrit dans le paragraphe 23.1.1.1.

26.5.4.3.Exemples d’événements liés à une non-remise
en conformité d’un matériel après intervention
ou à un mode opératoire incorrectement appliqué

Indisponibilité de la ligne de décharge du circuit RCV
due à la présence de papier soluble colmatant les orifices de détente

(Flamanville 1 – Juin 2008)

Le 19 juin 2008, alors que le réacteur n° 1 de la centrale nucléaire de Flamanville était en cours de redémarrage après son arrêt pour rechargement du combustible dans le cœur, le circuit primaire dans l’état monophasique et refroidi par le système de refroidissement du réacteur à l’arrêt, l’équipe de conduite a constaté un débit insuffisant de la ligne de décharge du circuit primaire vers le circuit RCV. Les expertises réalisées ont montré la présence de papier aggloméré (voir la figure 26.7) à l’origine d’un bouchage d’une grande partie des orifices de détente de la ligne de décharge (diaphragmes multi-étagés). Ce papier avait été utilisé lors des opérations de soudage des tuyauteries de raccordement de l’échangeur situé en amont des diaphragmes.

La procédure d’utilisation de papier soluble par les intervenants prestataires en charge des soudures de raccordement de l’échangeur a été mise en cause dans cet événement. En effet, une mise en place inadaptée du papier soluble (bourrage de la tuyauterie associée à une distance insuffisante de la zone de soudure) a conduit à faire perdre au papier ses caractéristiques de solubilité.

La conséquence réelle sur la sûreté (indisponibilité de la ligne de décharge) a été immédiatement gérée par l’équipe de conduite. En cas de situation accidentelle conduisant à l’isolement du circuit de refroidissement du réacteur à l’arrêt, l’indisponibilité de la ligne de décharge aurait empêché le circuit primaire à l’état monophasique d’être protégé contre les surpressions à froid.

Cet événement a montré la nécessité de prendre des dispositions appropriées lors de la préparation des opérations de soudage des tuyauteries importantes pour la sûreté, notamment dans le cas d’une utilisation de papier soluble.

Figure 26.7. Deux vues montrant des bouchons de papier soluble dans l’eau. Courtesy of Aquasol Corporation.

Présence d’alumine dans les circuits d’air comprimé

(Cruas 2 – Janvier 2013)

En janvier 2013, en raison de la présence de poudre d’alumine, des dysfonctionnements ont affecté deux robinets (vannes) pneumatiques (voir la figure 26.8) du groupe sécheur-surchauffeur (GSS) du turboalternateur du réacteur n° 2 de la centrale nucléaire de Cruas-Meysse, ainsi qu’un compresseur et son électrovanne d’alimentation du circuit de production d’air comprimé.

Les dernières interventions de maintenance sur un dessiccateur du circuit de production d’air comprimé et sur les deux filtres situés en amont et en aval sont à l’origine de la pollution des systèmes de production (SAP) et de régulation (SAR) d’air comprimé. En effet, lors de ces opérations habituelles de maintenance préventive, la procédure de remplacement de l’alumine dans le dessiccateur n’a pas été respectée, ce qui a provoqué une dégradation en poudre des billes d’alumine. Les deux filtres étant inétanches du fait d’un serrage insuffisant et d’un tamis de dimension inférieure à celle normalement prévue dans le filtre amont, la poudre d’alumine s’est propagée dans les tuyauteries alimentant les robinets pneumatiques selon les chemins correspondant aux plus fortes consommations d’air comprimé. Cela a notamment été le cas pour les robinets de régulation en fonctionnement permanent des systèmes d’alimentation en eau des générateurs de vapeur, de régulation de l’alimentation en vapeur de la turbine et d’extraction au condenseur.

La poudre d’alumine a pu atteindre un grand nombre de robinets qui ne sont pas protégés par des filtres suffisamment fins. Elle s’est alors accumulée dans les positionneurs de ces robinets, qui régulent l’apport d’air comprimé aux actionneurs pneumatiques en fonction de la consigne de position demandée, entraînant une dégradation du fonctionnement de ces robinets.

Figure 26.8. Vue du dispositif de commande d’une vanne pneumatique. Georges Goué/IRSN.

L’exploitant a mis en œuvre un programme de surveillance en service des robinets affectés. Au cours de l’arrêt programmé pour rechargement de combustible suivant, un important programme d’actions de contrôle et de nettoyage de la plupart des tuyauteries et vannes pneumatiques des systèmes importants pour la sûreté a été réalisé.

693.Les modes de défaillance décrivent le dysfonctionnement d’un matériel qui ne remplit plus sa fonction. Cinq modes de défaillance génériques peuvent être retenus : perte de la fonction, fonctionnement intempestif, refus de s’arrêter, refus de démarrage, fonctionnement dégradé.

694.Opération consistant à démonter un certain nombre d’éléments du matériel concerné, permettant de le contrôler de façon complète.

695.Décret n° 99-1046 du 13 décembre 1999 relatif aux équipements sous pression. Arrêté du 10 novembre 1999 relatif à la surveillance de l’exploitation du circuit primaire principal et des circuits secondaires principaux des réacteurs nucléaires à eau sous pression. Arrêté du 12 décembre 2005 relatif aux équipements sous pression nucléaires (« arrêté ESPN »).

696.Arrêté du 31 décembre 1999 fixant la règlementation technique générale destinée à prévenir et limiter les nuisances et les risques externes résultant de l’exploitant des installations nucléaires de base (abrogé). Arrêté du 1er mars 2004 relatif aux vérifications des appareils et accessoires de levage.

697.Équipements désignés par le vocable « TRICE ».

698.Loi n° 2006-686 du 13 juin 2006 relative à la transparence et à la sécurité en matière nucléaire (TSN). Décret n° 2007-1557 du 2 novembre 2007 relatif aux installations nucléaires de base et au contrôle, en matière de sûreté nucléaire, du transport de substances radioactives. Arrêté du 7 février 2012 fixant les règles générales relatives aux installations nucléaires de base.

699.Le référentiel inclut les gammes opératoires.

700.Dispositions et moyens particuliers. Voir le paragraphe 22.2.2.

701.Par nitruration ionique ou chromage électrolytique.

Chapitre 27

La surveillance et le contrôle
en service des équipements

Comme cela est indiqué au chapitre 6, la surveillance et le contrôle en service des équipements (structures métalliques, ouvrages de génie civil, etc.) ayant une importance pour la sûreté constituent l’une des composantes de la défense en profondeur. Ces dispositions sont de deux types :

–des dispositifs et des modalités de mesure en exploitation d’un certain nombre de paramètres du fonctionnement du réacteur, permettant d’apprécier, de façon directe ou indirecte, l’état d’équipements,

–des essais périodiques (pour les matériels « actifs ») et des contrôles directs d’équipements (voir le focus plus loin), menés généralement lors d’arrêts de tranche (certains menés dans le cadre des visites décennales), dans le cadre de l’application de divers programmes, tels par exemple que les programmes de base de maintenance préventive (PBMP).

De façon très générale, ces dispositions visent notamment à maîtriser le vieillissement au sens large des équipements, à savoir les effets de divers mécanismes d’endommagement – ou pathologies dans le cas des ouvrages en béton – susceptibles de les affecter au cours du temps et consécutifs à leur utilisation (en fonctionnement normal). L’endommagement progressif des équipements se produit sous les effets des sollicitations d’exploitation et de leur environnement (pression, température et transitoires thermiques, vibrations, irradiation, interaction chimique avec le milieu environnant…). L’expérience d’exploitation, notamment les résultats des contrôles en service, montre que, en dépit de la prise en compte des mécanismes d’endommagement (pour ceux qui sont connus) lors de la conception, du dimensionnement, de la fabrication et de l’exploitation des équipements, des dégradations rédhibitoires peuvent apparaître : on peut citer à ce sujet la fissuration des adaptateurs des couvercles de cuve et celle des faisceaux tubulaires des générateurs de vapeur, sujets sur lesquels on reviendra plus loin.

La maîtrise du vieillissement repose non seulement sur la surveillance et les contrôles en service mais aussi sur l’anticipation ; à cet égard, quelques axes de travaux de recherche et de développement en la matière, dont l’ampleur a été renforcée après qu’EDF a affiché son intention de poursuivre le fonctionnement de réacteurs au-delà de 40 ans (projet « durée de fonctionnement » ou DDF), sont évoqués dans le chapitre 39.

L’objet du présent chapitre702 est d’illustrer, par quelques exemples parmi les plus marquants, ce qu’ont apporté à la sûreté des réacteurs du parc électronucléaire français la surveillance et le contrôle en service de quelques-uns de leurs équipements. Les anomalies rencontrées et la façon dont elles ont été traitées sont développées – certaines anomalies observées dans des réacteurs à eau sous pression étrangers sont aussi évoquées (États-Unis, Belgique). Les dispositions prises pour assurer une qualité adéquate de fabrication des équipements703, qui ont bien entendu une grande importance (au titre notamment du premier niveau de la défense en profondeur), ainsi que les anomalies qui peuvent être rencontrées dans cette étape industrielle et la façon dont elles sont traitées, ne sont pas développées dans le cadre du présent ouvrage ; des aspects liés à la fabrication de certains composants (la cuve par exemple) sont néanmoins précisés pour certaines anomalies rencontrées ultérieurement en service.

Le combustible constitue un élément « consommable » du fonctionnement d’un réacteur à eau sous pression ; la surveillance de son bon état par le contrôle du contenu radioactif de l’eau du circuit primaire, les anomalies observées, les évolutions apportées à sa conception sont abordées dans le chapitre suivant.

Il est à noter que la défaillance (plus précisément la rupture brutale) de certains grands équipements des centrales nucléaires est « exclue »704 ; il s’agit :

–de la cuve du réacteur705,

–des volutes des pompes primaires,

–des enveloppes des générateurs de vapeur.

La rupture des tronçons des tuyauteries de vapeur situés entre l’enceinte de confinement et les vannes principales d’arrêt (aussi appelés tronçons protégés) est également « exclue ».

Cela suppose des exigences élevées de qualité de la conception, de la fabrication et de l’exploitation, de façon à garantir, pour ces équipements, le maintien de leur conformité aux caractéristiques définies lors de leur conception. Pendant la période d’exploitation, cela se traduit par la recherche attentive, en utilisant toutes techniques de contrôle performantes, d’éventuels débuts de dégradation et, le cas échéant, par des réparations précoces.

La surveillance en service et les contrôles non destructifs ont pour objectif de vérifier que ces exigences sont effectives – en complément des épreuves hydrauliques règlementaires qui visent à apporter une assurance de « santé » globale des équipements, mais qui peuvent aussi révéler des défauts dans des zones qui ne sont pas contrôlées ou qui sont difficilement contrôlables.

Les tubes des générateurs de vapeur méritent une attention particulière. Leur rupture n’est pas « exclue » dans l’analyse déterministe de la sûreté, mais elle pourrait conduire à des rejets atmosphériques qui, même limités, sont clairement indésirables706. C’est pour cette raison que les organismes de sûreté ont à plusieurs reprises rappelé à EDF l’importance d’une bonne étanchéité des crayons combustibles et donc de limites d’exploitation en termes de radioactivité de l’eau du circuit primaire suffisamment contraignantes.

Un certain nombre des équipements dont il sera question dans la suite du présent chapitre sont des capacités sous pression (équipements sous pression nucléaires)707. Des programmes de contrôle de ces équipements ont été définis dans le cadre de l’application de la règlementation relative aux appareils à pression pour les centrales nucléaires ; on peut rappeler à ce sujet l’« arrêté exploitation » du 10 novembre 1999, déjà évoqué au chapitre 2 et toujours d’application, ainsi que l’« arrêté ESPN » de 2015 modifié en 2018.

Pour justifier que les éventuels défauts découverts au cours de l’exploitation d’un équipement des circuits primaire et secondaire principaux d’un réacteur à eau sous pression puissent être laissés en l’état, l’analyse du risque de rupture brutale de l’équipement requiert, conformément à l’article 11 de l’« arrêté exploitation », la prise en compte de coefficients de sécurité à appliquer aux chargements des situations de deuxième, troisième et quatrième catégories (au sens de la règlementation des appareils à pression)708 ; ces coefficients sont indiqués dans le tableau ci-après.

Analyse du risque
de rupture brutale
de l’équipement

Catégories de situations au sens de la règlementation
des appareils à pression709

Deuxième catégorie

Troisième catégorie

Quatrième catégorie

Risque d’amorçage
« à la déchirure »

1,3

1,1

Pas de coefficient spécifié

Risque d’instabilité

2,0

1,6

1,2

Il est indiqué dans l’« arrêté exploitation » que « les fissures détectées doivent être éliminées sauf justification spécifique appropriée » ; par principe, les défauts plans doivent être réparés

Depuis le 26 février 1974, date de l’arrêté d’application de la règlementation des appareils à pression aux chaudières nucléaires à eau, l’expérience des contrôles en service et l’amélioration des moyens de détection ont conduit à des constatations inattendues, cela dès la fin des années 1970. Elles ont concerné aussi bien la cuve (« défauts sous revêtement », fissuration d’adaptateurs de couvercle de cuve reliant les mécanismes de commande des grappes de contrôle à la cuve) que les « tronçons protégés » (défauts affectant les soudures des piquages des soupapes sur les tuyauteries principales), ou les tubes des générateurs de vapeur. Les organismes de sûreté ont dès lors estimé que des contrôles aussi réguliers et aussi exhaustifs que possible sont nécessaires.

L’exploitant a bien entendu le souci de limiter la durée des contrôles effectués pendant les arrêts de tranche, ainsi que celui de réduire, autant que faire se peut, l’exposition des personnels effectuant les contrôles. L’exploitant cherche donc à optimiser l’inspection en service en déterminant la meilleure adéquation des contrôles aux risques d’altération de l’appareil, en tenant compte de ce que l’on sait des possibilités d’endommagement de chaque zone et de ce qui a été observé jusqu’ici. Cela pourrait se traduire, par exemple, par une répartition des contrôles par échantillonnage sur l’ensemble du parc des cuves ou des corps sous pression des pompes primaires. Mais il a été estimé qu’une telle approche ne serait pas conforme à l’arrêté de 1974, car elle supposerait une connaissance exhaustive des possibilités de dégradation des matériels et une parfaite identité des caractéristiques des matériaux ou des caractéristiques de fabrication pour tous les équipements d’un type donné, ce que l’expérience ne confirme pas.

De plus, la défense en profondeur conduit à ne pas considérer des défauts dans les seuls endroits où ils sont les plus probables sur la base de critères mécaniques ou des connaissances du moment sur un mécanisme d’endommagement, mais aussi dans des endroits où les conséquences seraient particulièrement dommageables du point de vue de la sûreté. L’exemple des adaptateurs des couvercles de cuve est, à cet égard, riche d’enseignements.

L’importance pour la sûreté de la découverte d’une fissuration d’un adaptateur du couvercle de la cuve du réacteur n° 3 de la centrale nucléaire du Bugey, présentée dans ce chapitre, confirme à ce sujet l’intérêt des épreuves globales du circuit primaire principal. Ces épreuves sont susceptibles de mettre en évidence des défauts qui se produisent dans des zones considérées comme peu sollicitées à la fatigue et qui ne font pas, de ce fait, l’objet d’une surveillance spécifique (en l’absence de risque de corrosion anticipé).

Les considérations ci-dessus ont en outre amené EDF à établir des programmes d’investigations complémentaires (PIC)710 qui consistent à examiner, par sondage, des équipements (tuyauteries, bâches ou réservoirs, etc.) qui ne sont pas contrôlés au titre des programmes de maintenance, des contrôles règlementaires (équipements sous pression) ou des contrôles particuliers effectués à l’occasion de la mise en évidence d’écarts ou de problèmes génériques ou spécifiques, parce qu’ils sont jugés non sensibles lors des études de conception.

Il est à noter que le circuit primaire principal (CPP) ainsi que le circuit secondaire principal (CSP) des réacteurs du parc électronucléaire français font l’objet d’une « comptabilisation des situations ». Cela consiste, à partir de l’enregistrement des valeurs atteintes par certains paramètres de fonctionnement des réacteurs, à recenser les chargements réellement subis au fil du temps par les différents composants de ces circuits (en termes de température, de pression, de durée…) dans le but de s’assurer que ces chargements restent dans l’enveloppe des situations retenues pour leur conception et leur dimensionnement à l’égard des différents modes d’endommagement possibles (déformation excessive, fatigue, etc.). La contribution des épreuves à la fatigue des circuits est faible et prise en compte à la conception de leurs composants. Au terme des 40 années d’exploitation initialement prévues, les résultats de la « comptabilisation des situations » passées participeront, parmi bien d’autres éléments, aux justifications de l’aptitude des équipements à une éventuelle poursuite du fonctionnement des réacteurs.

Enfin, il peut être noté que, pour les matériels mécaniques ou électriques réparables ou remplaçables, la maintenance préventive permet de prévenir l’apparition de défauts.

#FOCUS

Aperçu de différentes techniques de contrôle direct
des équipements

Le contrôle direct des équipements peut se faire de multiples façons, dont quelques-unes sont présentées succinctement ci-après.

Les examens (ou contrôles) non destructifs (END)

Plusieurs techniques d’examens non destructifs sont utilisées :

–Les examens visuels. Leur efficacité est variable et dépend de nombreux facteurs. Dans certains cas, ils n’ont permis de détecter des défauts que de façon tardive, comme l’observation, au mois de mars 2002, de cristaux de bore à l’extérieur de la cuve du réacteur de la centrale américaine de Davis-Besse, alors que la fissuration de la traversée du couvercle de cette cuve était déjà très importante (avec un amincissement d’une zone du couvercle en acier noir). Les performances peuvent être renforcées par l’usage d’endoscopes, ou encore de la télé-observation ; les progrès de la miniaturisation des dispositifs de prise de vue, comme ceux des smartphones par exemple, permettent d’obtenir de très bonnes images avec un encombrement réduit du dispositif.

–Le ressuage est une technique de contrôle non destructif spécifique : il comporte une phase d’imprégnation de la surface d’une pièce métallique à l’aide d’un fluide coloré ou fluorescent, puis une phase d’essuyage et d’application d’un produit révélateur ; il permet de détecter la présence d’éventuels défauts débouchant à la surface examinée, mais il ne permet pas d’en déterminer la profondeur.

–Les examens par magnétoscopie. Ce procédé consiste à déposer sur la surface d’une pièce de fines particules ferromagnétiques, colorées ou fluorescentes, et de la soumettre à un champ magnétique. Les discontinuités de surface dévient le flux magnétique et provoquent à leur endroit des fuites magnétiques qui attirent les particules et signalent ainsi les défauts présents en surface ou proches de la surface de la pièce ; la magnétoscopie a les mêmes limites que le ressuage en termes de caractérisation des défauts.

–Les examens par radiographie. La radiographie consiste à obtenir une image (cliché issu d’un film argentique ou image numérique, selon la technique utilisée) de la densité de la matière d’une pièce traversée par un rayonnement X ou gamma. Elle permet de détecter tout type de cavité ou de matériaux étrangers inclus dans la pièce (« inclusions ») ainsi que les discontinuités planes parallèles au rayonnement. La limite du procédé est qu’il ne permet pas de déterminer l’extension en profondeur de défauts plans orthogonaux à la surface, souvent les plus préoccupants. Il est peu sensible à l’état de surface de la pièce.

–Les examens par ultrasons. Ce procédé est fondé sur la propagation et la réflexion d’une onde ultrasonore dans une pièce. Le train d’ondes est émis par un ou plusieurs capteurs, appelés traducteurs, mis en œuvre par un opérateur ou un système automatique (comme cela est le cas de la machine d’inspection de la cuve des réacteurs du parc électronucléaire français). Le traitement des signaux reçus permet de positionner les indications de défauts et de les caractériser (dimensions et nature). Ce procédé permet de trouver des défauts aussi bien à la surface d’une pièce que dans son volume ; les défauts plans sont particulièrement bien détectables par une onde ultrasonore qui leur est orthogonale. Les performances de cette technique dépendent beaucoup de la structure métallurgique du matériau (un matériau ayant une structure métallurgique anisotrope ou hétérogène peut dévier ou disperser le faisceau ultrasonore). Le procédé est généralement adapté en fonction des types de défauts attendus, de la géométrie et de l’accessibilité de la pièce concernée ; des développements sont menés en la matière (voir la figure 27.1).

Figure 27.1. Un prototype de sonde multi-éléments, « conformable », à ultrasons – brevet IRSN/CEA. IRSN/CEA.

–Les examens par « courants de Foucault ». Ce procédé consiste à créer, dans un matériau conducteur électrique (comme l’acier ferritique), des courants induits par un champ magnétique variable, au moyen d’une sonde contenant la bobine excitatrice. En présence d’une anomalie dans une pièce contrôlée par ce procédé, la circulation des courants induits est perturbée, entraînant une variation de l’impédance apparente de la sonde qui dépend de la nature de l’anomalie et de son volume. L’analyse de cette variation fournit des indications exploitables pour caractériser les défauts. Ce procédé, qui est très sensible, est bien adapté pour détecter des défauts superficiels (fissures, usures…) dans des pièces (ou dans leur épaisseur si celle-ci est faible, comme par exemple les tubes des générateurs de vapeur).

Les procédés ci-dessus nécessitent bien entendu d’être qualifiés par des essais préalables sur des maquettes représentatives des pièces à contrôler (type de matériau, formes géométriques…) ; ce processus de qualification peut être long et complexe. Le développement de la simulation numérique711 peut apporter un support appréciable dans ce domaine.

Les contrôles par démontage des équipements

Le démontage partiel ou complet d’un équipement permet d’en effectuer une expertise (« visite ») approfondie, en particulier dans des zones qui peuvent ne pas être contrôlées avant démontage par les techniques ci-dessus.

Les examens (ou contrôles) destructifs (ED)

Dans certains cas, des examens destructifs peuvent être effectués : carottages dans des ouvrages de génie civil, découpes de composants (remplaçables) qui ont été déposés…

27.1.Les principaux équipements internes
à la cuve d’un réacteur à eau sous pression

La figure 27.2 ci-après montre de façon schématique la cuve d’un réacteur à eau sous pression – hormis l’EPR – et un certain nombre de ses équipements.

Figure 27.2. Schéma en coupe d’une cuve (en bleu) ainsi que de ses équipements internes inférieurs (en rouge) et supérieurs (en vert) d’un réacteur à eau sous pression (source « La maintenance des centrales nucléaires » de Jean-Pierre Hutin – EDF/Lavoisier Tec&Doc, 2016).

27.1.1.« Cloisonnements » autour du cœur

Les équipements, ou structures, internes de la cuve d’un réacteur à eau sous pression sont constitués d’un assemblage vissé et mécanosoudé ayant différentes fonctions :

–le supportage des assemblages combustibles (équipements internes inférieurs – EII),

–le maintien des assemblages combustibles à leur partie supérieure et le guidage des grappes absorbantes (équipements internes supérieurs – EIS),

–la canalisation du fluide primaire assurant le refroidissement du cœur.

Un anneau de calage est placé entre les deux équipements internes. Le maintien de l’ensemble est assuré par le couvercle de la cuve, après son serrage.

Au plan de la sûreté, ces équipements ont plusieurs fonctions:

–supporter et maintenir les assemblages combustibles,

–répartir le fluide caloporteur dans la cuve et dans le cœur,

–assurer l’insertion des grappes absorbantes et de l’instrumentation du cœur en maintenant leur alignement avec les assemblages combustibles,

–protéger la cuve des rayonnements gamma et neutronique émis par le cœur,

–supporter l’instrumentation thermique et les conteneurs d’éprouvettes d’irradiation (le rôle de ces éprouvettes est précisé plus loin).

Parmi les équipements internes inférieurs, le « cloisonnement » du cœur est constitué d’un ensemble de plaques longues et étroites (appelées aussi baffles) montées verticalement à l’intérieur de l’enveloppe du cœur et assemblées de façon à former un pourtour polygonal épousant la forme carrée des assemblages combustibles. Ces plaques sont fixées à l’enveloppe du cœur par des entretoises horizontales (« renforts de cloisonnement »), avec des trous pour le passage de l’eau. L’ensemble est assemblé par des vis.

Pour les premiers réacteurs français, c’était initialement de l’eau « froide » qui passait entre l’enveloppe et le cloisonnement, avec un débit descendant. Cela créait des écarts de pression et de température de part et d’autre du cloisonnement, induisant des efforts importants sur la visserie, des bâillements à la jonction entre les plaques et des débits transverses à travers ces interstices qui excitaient en vibration des crayons combustibles (phénomène de « jets de baffles »). C’est ainsi que, à partir de 1981, une dégradation de crayons combustibles712 situés à la périphérie du cœur a été observée dans les premières tranches (centrales nucléaires de Fessenheim et du Bugey [groupe CP0]). EDF a traité ce problème par une modification de conception, consistant à inverser le sens d’écoulement de l’eau entre le cloisonnement et l’enveloppe du cœur (d’un écoulement descendant à un écoulement ascendant), supprimant ainsi les écarts de pression et de température entre les deux côtés du cloisonnement (conversion dite up flow).

Toutefois, la question de l’endommagement éventuel des vis, en acier austénitique de type 316, restait posée. Des contrôles par ultrasons ont été effectués à partir de 1988 dans les réacteurs de Fessenheim et du Bugey ; un peu plus de 150 vis (sur des milliers) ont été trouvées endommagées et remplacées. Le mécanisme incriminé est une corrosion sous contraintes « assistée » par l’irradiation. Pour les réacteurs de 900 MWe suivants (contrats-programmes CP1 et CP2), ceux de 1 300 MWe et ceux du palier N4, des améliorations supplémentaires de conception ont été adoptées visant à améliorer le refroidissement des vis et à réduire les contraintes thermomécaniques auxquelles elles sont soumises (adaptation du dessin de la vis, de la nuance d’acier, adoption de couples de serrage moins élevés).

Mais une surveillance périodique est maintenue sur ces vis de cloisonnement.

27.1.2.Tubes-guides des grappes absorbantes

Les tubes-guides des grappes absorbantes assurent le guidage des grappes dans leurs mouvements ascendants et descendants. Chaque tube-guide est constitué d’un carter ajouré en partie basse pour permettre l’écoulement de l’eau du circuit primaire vers les tubulures de sortie d’eau de la cuve. À l’intérieur se trouvent des dispositifs de guidage des crayons absorbants des grappes. L’extrémité inférieure comporte une semelle sur laquelle sont vissées deux broches à lamelles qui viennent s’insérer dans des trous ménagés dans la plaque supérieure du cœur, assurant l’alignement des grappes avec les assemblages combustibles, tout en laissant les tubes-guides libres en dilatation.

Des fissures et des ruptures de broches de tubes-guides ont été observées à partir de 1982, notamment à la centrale nucléaire de Gravelines, par le blocage d’un clapet dû à un corps étranger, qui s’est révélé être un morceau de broche. Des contrôles réalisés sur l’ensemble des tranches ont montré qu’il s’agissait d’un problème générique. La fissuration des broches, en alliage à base de nickel (X750), a été attribuée à un mécanisme de corrosion sous contraintes. De 1982 à 1985, une nouvelle génération de broches a été mise en place dans les réacteurs. Mais un nouvel événement survenu en 1987 à la centrale du Tricastin (un morceau de broche trouvé dans une boîte à eau de générateur de vapeur) a remis en cause l’adéquation de ces nouvelles broches. C’est ainsi que différentes nouvelles générations de broches améliorées ont été mises progressivement en place, jusqu’à la cinquième caractérisée par une nuance d’alliage adaptée, une réduction des contraintes de fabrication et de serrage, une amélioration du dessin, un séquencement optimisé des opérations de fabrication. Néanmoins, EDF a conservé, dans l’ensemble de ses réacteurs, des mesures de surveillance en service et des programmes d’inspection pour détecter d’éventuelles défaillances des nouvelles broches de tubes-guides.

27.2.La cuve du réacteur, ses tubulures et son couvercle

Toutes les cuves des centrales françaises ont été fabriquées par Framatome à partir de pièces forgées fournies en grande partie par Creusot-Loire, dont les viroles des cuves. À partir de lingots coulés en aciérie, les viroles de cuve sont obtenues par un processus complexe (voir la figure 27.3 plus loin) comportant différentes opérations de forgeage :

–la découpe des extrémités du lingot pour éliminer les zones contenant des impuretés,

–le perçage du lingot (dans le cas d’un lingot plein),

–l’étirage sur un mandrin,

–le bigornage713.

Figure 27.3. Gamme type de forgeage d’une virole de cuve d’un réacteur de 900 MWe à partir d’un lingot plein. IRSN.

Au cours de ces opérations, la plupart des impuretés et des ségrégations714 majeures sont éliminées. Après ces opérations de transformation à chaud, les pièces forgées sont inspectées dans leur totalité par un procédé de contrôle par ultrasons afin d’y rechercher des défauts éventuels (criques, retassures, inclusions715, fissures…). Cela peut conduire au rebut d’une pièce en cas de non-respect des critères. Ensuite, les différentes pièces sont assemblées par soudage. Les soudures sont également contrôlées dans leur intégralité avec deux procédés de contrôle différents (radiographie et ultrasons). Le revêtement interne en acier inoxydable est « déposé » par soudage en deux phases sur la paroi interne de la cuve.

Une fois la cuve assemblée, les opérations ultérieures sont principalement une épreuve hydraulique en usine, requise par la règlementation française, puis l’expédition sur site. Sur le plan règlementaire, un suivi de la fabrication est réalisé depuis l’origine par le Bureau de contrôle des chaudières nucléaires (BCCN) du ministère en charge de l’industrie devenu Bureau de contrôle de la construction nucléaire puis Direction des équipements sous pression nucléaires (DEP) de l’Autorité de sûreté nucléaire.

27.2.1.« Défauts sous revêtement » de cuves

Des petits défauts de type plan peuvent être créés dans l’acier ferritique lors de la pose du revêtement de la paroi interne de la cuve et de ses tubulures, sous les couches d’acier austénitique. Ils peuvent résulter de deux mécanismes, la fissuration à froid et la décohésion intergranulaire due au réchauffage. La taille des défauts est de quelques millimètres.

La fissuration à froid716 résulte de la conjonction, dans la zone affectée thermiquement (ZAT) par le soudage, d’une fragilisation par de l’hydrogène et de contraintes importantes résultant du refroidissement après le soudage. Les défauts sont du type transgranulaire717. De tels défauts ont été détectés en 1978 dans des plaques tubulaires de générateurs de vapeur (elles aussi revêtues d’acier austénitique), puis dans certaines cuves lors de leur fabrication, au niveau de leurs tubulures ; il s’agissait de défauts plans perpendiculaires à la paroi interne des cuves. Ce sont les premiers « défauts sous revêtement » découverts dans des cuves, qui ont été dénommés « DSR ». Les composants qui étaient alors en fabrication ont été réparés et les procédures de fabrication ont été modifiées pour éviter ces défauts, mais certaines cuves étaient déjà montées sur les sites.

EDF a cartographié tous les défauts de type DSR situés sous le revêtement de toutes les cuves, en particulier dans la zone du cœur. Des études ont montré que, compte tenu des dimensions des défauts détectés, les coefficients de sécurité règlementaires étaient respectés. Le choix a été fait de les laisser en l’état, une réparation apparaissant très délicate. Ces défauts sont protégés de la corrosion par le revêtement et les sollicitations en fatigue sont très faibles dans les zones concernées.

Les programmes d’inspection en service comportent des examens par ultrasons ciblés sur les soudures et les zones adjacentes pour y rechercher d’éventuels défauts issus des procédés de fabrication et qui pourraient se trouver n’importe où dans l’épaisseur des cuves. EDF a fait développer des capteurs à ultrasons capables de détecter et de caractériser des défauts de très petites dimensions (typiquement 5 mm) qui seraient situés dans l’acier ferritique, juste sous le revêtement. À partir de 1989, cette technique a été mise en œuvre lors des visites complètes pour inspecter une partie puis rapidement la totalité de la zone du cœur (la seule où la fragilisation par irradiation pourrait rendre les défauts sous revêtement vraiment préoccupants). Plusieurs générations de procédés ultrasonores ont été successivement utilisées pour l’acquisition et pour le traitement des signaux, avec des performances sans cesse améliorées : procédé TPM (trente premiers millimètres), VPM (vingt premiers millimètres) puis ZDC (zone de cœur). Tous sont portés par la machine d’inspection en service (MIS – voir plus loin l’une de ces machines représentée sur la figure 27.6).

Une vingtaine d’indications classées DSR ont ainsi été détectées et caractérisées sur l’ensemble des cuves françaises, celle du réacteur Tricastin 1 apparaissant comme la plus affectée. Les contrôles successifs ont confirmé l’absence d’évolution.

Les décohésions intergranulaires surviennent dans la ZAT et sont liées au forgeage, aux passes successives ou aux traitements de détensionnement ultérieurs. La taille des défauts qui en résultent est limitée à celle de la ZAT (qui a une structure à gros grains) Ils sont parallèles à la surface de la pièce et ont été dénommés décohésions intergranulaires dues au réchauffage (DIDR). Les DIDR ont été découverts dans les viroles de cuves à l’occasion de la vérification de l’efficacité des mesures prises pour remédier aux DSR. Dès que les conditions d’apparition de ces anomalies ont été identifiées, des mesures préventives ont été prises en fabrication. Mais de nombreuses cuves qui étaient déjà en service n’ont pu en bénéficier.

Dans les viroles, il a d’abord été considéré que seuls des DIDR pouvaient s’y former, mais certains défauts détectés (ceux qui ont été trouvés dans les cuves des centrales de Saint-Laurent-des-Eaux ou du Tricastin) ont conduit à considérer que les viroles pouvaient aussi être concernées par des DIDR. Réciproquement, la géométrie des tubulures de cuves les rend plus sensibles à la fissuration à froid, mais on a pu aussi y trouver des DIDR.

La surveillance en service de ces défauts bénéficie des développements évoqués plus haut pour les DSR.

27.2.2.Fissuration d’adaptateurs de couvercles de cuve

Au mois de septembre 1991, une petite fuite a été détectée au niveau de l’une des traversées du couvercle de la cuve du réacteur n° 3 de la centrale nucléaire du Bugey, au cours de l’épreuve hydraulique du circuit primaire de cette tranche dans le cadre de la visite décennale règlementaire. Ce réacteur de 900 MWe, mis en service en 1979718, avait accumulé environ 80 000 heures de fonctionnement.

Après déchargement des assemblages combustibles, l’épreuve hydraulique était réalisée à une pression de 207 bars et à une température voisine de 80 °C, la pression normale de fonctionnement du circuit primaire étant de 155 bars. La fuite décelée, d’environ un litre par heure, affectait l’un des 65 adaptateurs (voir la figure 27.4) étanches permettant le passage, au travers du couvercle de la cuve du réacteur, des tiges des grappes absorbantes et de l’instrumentation associée aux mesures de température du cœur. L’adaptateur affecté était situé à la périphérie du couvercle ; il était, comme les autres, réalisé en alliage à base de nickel de type 600719.

Les contrôles non destructifs réalisés sur l’adaptateur concerné ont mis en évidence une dizaine de fissures, orientées suivant l’axe de l’adaptateur (défauts dits longitudinaux) et d’une longueur atteignant jusqu’à 8 cm.

Des investigations ont alors été engagées sur l’ensemble des adaptateurs de cette tranche ainsi que sur ceux de deux tranches de même conception qui étaient alors à l’arrêt (Fessenheim 1 et Bugey 4). Des fissures ont été mises en évidence sur ces trois couvercles. Ces défauts ont été attribués à une corrosion sous contrainte (CSC) du métal des adaptateurs, qui s’est développée pendant le fonctionnement du réacteur.

La fissuration constatée pouvait être liée aux conditions suivantes :

–la sensibilité de l’alliage de type 600 à la corrosion sous contraintes,

–l’existence de contraintes résiduelles dues à l’ovalisation des adaptateurs lors de leur soudure d’assemblage sur le couvercle de la cuve,

–la température sous le couvercle de cuve lorsque la tranche est en fonctionnement (environ 315 °C).

Figure 27.4. Carter sous pression d’un mécanisme de grappe absorbante. L’adaptateur, d’environ 15 mm d’épaisseur, est en alliage de type 600, le beurrage et la soudure sont en alliage de type 182. IRSN.

Les données relatives à la cinétique de propagation d’une corrosion sous contraintes montraient une très grande dispersion. À 315 °C, et selon la sensibilité de l’alliage de type 600 utilisé, les vitesses de propagation étaient estimées comprises entre quelques dixièmes de millimètre et quelques millimètres par an.

L’adaptateur du couvercle du réacteur Bugey 3 à l’origine de la fuite a été déposé et expertisé. Les examens métallographiques ont mis en évidence une fissuration intergranulaire caractéristique d’un phénomène de corrosion sous contraintes de l’alliage de type 600 en milieu primaire, avec deux fissures au niveau de la soudure de l’adaptateur sur le couvercle. Amorcées au fond de la zone de la soudure, elles avaient progressé de façon symétrique vers le haut et vers le bas de l’adaptateur. La fissure la plus longue débouchait sur la paroi externe de l’adaptateur et l’examen de cette zone a montré que la fissure avait traversé progressivement l’adaptateur au cours de l’exploitation de la tranche et qu’elle s’était propagée dans le métal déposé de la soudure.

L’expertise a aussi mis en évidence des fissures d’orientation circonférentielle du côté externe de l’adaptateur. Ces fissures, initiées à partir de la racine de la soudure, s’étaient propagées dans le métal de base de l’adaptateur et dans le métal déposé. Elles étaient vraisemblablement dues au fait que l’interstice entre l’adaptateur et le couvercle avait été maintenu en présence d’eau primaire à la suite de la fissuration traversante de l’adaptateur. La profondeur de ces fissurations ne dépassait pas 2 mm dans l’adaptateur et 3,5 mm dans la soudure. La fissuration propagée dans la soudure a pu être amorcée à partir d’un défaut de fabrication de type « fissuration à chaud ».

27.2.2.1.Situation des autres réacteurs

À quelques nuances près, la conception des adaptateurs des autres réacteurs du parc alors en fonctionnement était identique. Une analyse des paramètres pouvant influer sur la corrosion sous contraintes de ces adaptateurs a conduit, dans un premier temps, à classer les réacteurs français des différents paliers de la manière suivante, en regard de ce risque d’endommagement :

–les six réacteurs des centrales nucléaires de Fessenheim et du Bugey, démarrés entre 1977 et 1979 ; la température sous le couvercle y est, en fonctionnement, d’environ 315 °C ;

–les autres réacteurs de 900 MWe (28 réacteurs) ; la température sous le couvercle n’y est que d’environ 290 °C ;

–les 20 réacteurs de 1 300 MWe, démarrés entre 1984 et 1992 ; la température sous certains couvercles y était plus élevée (entre 315 °C et 320 °C).

La Direction de la sûreté des installations nucléaires a néanmoins demandé que des sondages soient effectués sur tous les types de réacteurs.

La mise en évidence, en novembre 1992, de fissurations dans trois des 65 adaptateurs du réacteur n° 1 de la centrale nucléaire du Blayais (réacteurs de 900 MWe) a montré que l’anomalie pouvait affecter tous les réacteurs du parc électronucléaire français. Cela a conduit à définir un programme étendu de contrôles portant sur chacun des types de réacteur. Ces contrôles ont été effectués d’abord avec des méthodes manuelles nécessitant le démontage des mécanismes des grappes et des manchettes thermiques, puis avec des moyens robotisés permettant de limiter les démontages et l’irradiation du personnel.

D’une façon générale, les fissurations détectées ne concernaient que des adaptateurs périphériques mais pouvaient se trouver sur tous les types de réacteurs. Les évents720 des couvercles de cuves n’ont pas été trouvés fissurés, bien qu’ils aient été initialement considérés par EDF comme précurseurs de la fissuration des adaptateurs721.

Il est apparu que la température sous le couvercle de la cuve n’était pas déterminante dans l’apparition et le développement de la corrosion sous contraintes dans les adaptateurs – les études et recherches menées sur la corrosion sous contraintes des alliage à base de nickel ont ensuite permis de confirmer que si la température joue un rôle, d’autres facteurs liés au matériau et à son procédé de fabrication sont tout aussi, voire plus, déterminants.

27.2.2.2.Impact sur la sûreté

Les défauts longitudinaux constatés n’étaient pas susceptibles de mettre en cause la résistance mécanique des adaptateurs, en l’absence de fuite. En revanche, une fuite d’eau primaire borée aurait pu conduire à une corrosion de l’acier ferritique du couvercle.

Dans le cas particulier des adaptateurs, la corrosion de l’acier ferritique peut même être accélérée par une concentration de l’acide borique dans l’interstice entre l’adaptateur et le couvercle, par évaporation de l’eau primaire. En l’absence d’éléments probants du contraire, il est dès lors apparu prudent de chercher à éviter toute fuite au niveau d’un adaptateur. Cette position a été renforcée par les constatations faites sur la traversée expertisée du réacteur Bugey 3 qui a montré la possibilité de fissurations circonférentielles à partir de la surface extérieure, selon une cinétique qui pourrait être accélérée par la présence d’un milieu concentré en acide borique.

Par ailleurs, selon une démarche de défense en profondeur, l’accident le plus grave envisageable a été étudié : il s’agissait d’une rupture d’adaptateur conduisant en particulier à l’éjection de la grappe (de contrôle) associée et à la dépressurisation du circuit primaire.

L’accident d’éjection d’une grappe de contrôle étudié dans les rapports de sûreté correspond à une insertion de réactivité entraînant un accroissement brusque de la puissance du réacteur (voir le chapitre 35). L’initiateur retenu est l’éjection du bouchon de la gaine de la tige de la grappe de contrôle (d’un diamètre de 40,6 mm), mais la diminution de pression induite par la brèche n’est pas prise en compte pour l’évaluation de la pression maximale atteinte dans le circuit primaire, calculée en ne tenant compte que de l’échauffement de l’eau dû à l’excursion de puissance ; cela est évidemment pessimiste. La valeur maximale obtenue est de 190 bars, largement inférieure à la pression d’épreuve hydrostatique.

Il a été montré que, en cas de rupture d’un adaptateur et en tenant compte de la brèche provoquée par l’éjection de l’ensemble du mécanisme (d’un diamètre de 101,6 mm), la pression maximale atteinte serait inférieure à celle du cas étudié dans les rapports de sûreté. Les calculs ont aussi montré que les efforts sur les guides des grappes de contrôle et la plaque supérieure du cœur seraient, en cas d’éjection d’un adaptateur, très inférieurs aux chargements retenus lors du dimensionnement. Un tel accident devait pourtant rester exceptionnel.

Par contre, il n’a pas été possible de démontrer que l’éjection d’un adaptateur ne pourrait pas conduire à la rupture d’un adaptateur voisin affecté de défauts. Or l’éjection simultanée de deux grappes noires initialement complètement insérées (ce qui est contraire aux spécifications techniques d’exploitation) conduirait à un endommagement du combustible. Des précautions particulières s’imposaient donc.

27.2.2.3.Prévention, surveillance et limitation des conséquences

Différentes dispositions ont été prises pour améliorer la prévention des fissurations, assurer leur détection en temps utile et limiter leurs conséquences éventuelles.

Une modification destinée à abaisser la température sous les couvercles des cuves de tous les réacteurs de 1 300 MWe aux environs de 290 °C a été mise en œuvre dès le début de 1992, au fur et à mesure des arrêts annuels. Elle a été poursuivie malgré la découverte de défauts sur des tranches de 900 MWe (dont la température sous les couvercles des cuves est de 290 °C) car elle ne peut être que favorable – même si la température n’est pas le seul facteur influent.

27.2.2.4.Développement de moyens de contrôle

Des moyens de contrôle automatisés ont été développés afin d’accroître les possibilités de contrôle des adaptateurs tout en réduisant les doses reçues par les personnels concernés. Les moyens utilisés ont été, d’une part les courants de Foucault, d’autre part les ultrasons, ainsi bien entendu que les observations télévisuelles ou le ressuage :

–l’exploitant disposait de deux dispositifs pour réaliser des observations télévisuelles ; l’un permettait l’examen de la surface externe du couvercle afin d’y détecter d’éventuelles traces de bore ; l’autre permettait l’examen de la surface interne du couvercle afin d’y détecter d’éventuelles fissurations soit dans les soudures entre adaptateur et couvercle de cuve, soit sur la face interne des adaptateurs, lorsque ceux-ci n’étaient pas équipés de manchettes thermiques ;

–un outillage de ressuage à distance des soudures a été développé pour compléter les observations télévisuelles ; les contrôles effectués sur quelques soudures des couvercles des réacteurs n° 3 et n° 4 de la centrale nucléaire du Bugey n’ont pas mis en évidence d’indication de fissure ;

–l’exploitant a disposé, à partir de 1992, de méthodes automatisées de contrôles non destructifs, ne nécessitant pas la dépose des manchettes thermiques. Ces méthodes utilisent des sondes à courants de Foucault au contact, permettant de détecter les fissurations longitudinales ou circonférentielles dans la zone de la soudure ; la sonde est introduite dans l’adaptateur entre la manchette thermique et l’adaptateur proprement dit. La profondeur des défauts est ensuite déterminée à l’aide de contrôles par ultrasons des fissurations détectées dans la zone de la soudure, ce qui nécessite la dépose de la manchette thermique.

L’exploitant a ainsi pu mettre en œuvre un programme de contrôles destinés à mieux apprécier l’étendue de l’anomalie et sa vitesse d’évolution.

Les résultats obtenus ont permis de considérer qu’une progression de 4 mm par cycle pouvait être considérée comme une enveloppe incluant les imprécisions de mesure.

27.2.2.5.Réparations

Outre l’adaptateur fissuré de Bugey 3, qui a été remplacé selon un procédé dont la mise au point a été longue (et qui a conduit à une exposition radiologique notable des intervenants), les couvercles des réacteurs Bugey 4, Paluel 4 et Flamanville 1 ont également été réparés en 1992.

L’analyse du dossier présenté par EDF au début 1993 a conduit la Direction de la sûreté des installations nucléaires, après avis de la Section permanente nucléaire et du Groupe permanent d’experts pour les réacteurs nucléaires, à notifier un critère de réparation des traversées fissurées. Il impliquait la réparation de toutes les fissures traversantes ou susceptibles de le devenir au cours du cycle suivant de fonctionnement. Alors que l’épaisseur des adaptateurs est de l’ordre de 15 mm, une fissure située dans la zone de la soudure entre l’adaptateur et le couvercle ou au-dessus de celle-ci doit être réparée lorsque l’épaisseur de métal sain qui reste derrière la fissure est inférieure à 4 mm.

En fait, le programme de remplacement des couvercles affectés (voir plus loin) a limité le programme de réparation.

27.2.2.6.Détection des fuites

Comme il importe de détecter rapidement une fuite, des dispositions ont été développées à cette fin fondées sur une détection de l’azote 13722. Les dispositifs correspondants ont été mis en place, dans un premier temps, dans les réacteurs les plus affectés, puis dans un second temps dans les réacteurs qui n’avaient pas encore fait l’objet d’un contrôle exhaustif des adaptateurs.

En cas de fuite d’eau du circuit primaire, de l’azote 13 se retrouve sous le calorifuge démontable du couvercle (« casing ») où un prélèvement gazeux permanent a été mis en place, avec une chaîne de comptage constituée de deux capteurs permettant de mesurer l’activité correspondante. La méthode permet de détecter une fuite inférieure à 1 kg/h.

27.2.2.7.Dispositifs anti-éjection

Des dispositifs anti-éjection ont été mis en place sur les tranches de Fessenheim et du Bugey pour empêcher que le pied d’un adaptateur rompu puisse sortir du couvercle de la cuve.

Compte tenu du programme de contrôle, de réparation et de changement des couvercles, il n’a pas été jugé nécessaire de demander à EDF d’équiper les autres tranches de 900 MWe de dispositifs anti-éjection.

27.2.2.8.Situation actuelle

Du fait des fissurations observées, EDF a pris la décision de remplacer tous les couvercles de cuve des réacteurs du parc électronucléaire français qui étaient équipés d’adaptateurs en alliage de type 600 ; ces remplacements ont commencé en 1994 et se sont achevés à la fin des années 2000. Ils ont concerné tous les réacteurs de 900 MWe et de 1 300 MWe, ceux de 1 450 MWe ayant bénéficié dès leur mise en service du retour d’expérience puisque leurs couvercles ont été équipés d’adaptateurs en alliage de type 690.

Aucune fissuration sous contraintes n’a été observée pour les adaptateurs en alliage de type 690. Néanmoins, les adaptateurs de quelques couvercles témoins sont contrôlés par courants de Foucault lors des visites complètes (soit tous les dix ans).

27.2.2.9.Fissurations observées dans des couvercles de cuves
à l’étranger

L’un des événements les plus notables à l’étranger est celui survenu en 2002 à la centrale nucléaire de Davis-Besse723 aux États-Unis (Ohio).

Le 5 mars 2002, au cours des travaux d’arrêt de tranche pour rechargement du combustible dans le cœur du réacteur, un endommagement du couvercle de la cuve a été découvert au niveau d’un adaptateur de commande de grappe, dû à la corrosion sous contraintes de l’alliage à base de nickel équipant les traversées du couvercle. Les investigations ont fait apparaître une cavité dans toute l’épaisseur de l’acier au carbone, de telle sorte que la pression du circuit primaire n’était plus contenue que par le revêtement interne en acier inoxydable (d’une épaisseur de quelques millimètres) qui présentait en outre un gonflement et une fissure traversante au niveau de la cavité de corrosion. La cavité a résulté de la fuite d’eau par la fissure de l’adaptateur et de la corrosion par l’acide borique. Cet événement a été considéré comme un précurseur d’accident ; l’accident qui aurait pu survenir était une brèche du circuit primaire de taille « intermédiaire », au niveau du couvercle de la cuve, avec probablement l’éjection d’une grappe de contrôle. Des scénarios conduisant à des conséquences plus sérieuses étaient envisageables, comme l’éjection de plusieurs grappes et une déchirure importante du couvercle de cuve724. Si les causes techniques ont été identifiées, notamment la sensibilité de l’alliage à base de nickel à la corrosion sous contraintes, des causes de nature organisationnelle ont aussi été mises en avant, concernant l’exploitant First Energy Nuclear Operating Corporation (FENOC) et, même au-delà, dans le domaine plus global du management et du contrôle de la sûreté.

Bien que des dépôts d’acide borique au niveau de l’adaptateur concerné aient été constatés dès 1998, aucune mesure corrective n’avait été entreprise et les examens par contrôle télévisuel menés à plusieurs reprises n’avaient jamais permis de déceler la cavité qui se développait dans le couvercle.

De plus, les premiers signes patents de fissuration dans des couvercles de cuve avaient été découverts aux mois de mars et d’avril 2001 dans des tranches similaires à celle de Davis-Besse. Un programme d’étude des vulnérabilités des tranches américaines avait été entrepris. Les résultats, connus en mai 2001, montraient que Davis-Besse était l’une des tranches les plus vulnérables, mais l’exploitant n’effectua les contrôles qu’en mars 2002, à l’occasion de l’arrêt programmé du réacteur pour rechargement du combustible du cœur.

De façon générale, les enseignements de cet événement ont confirmé le bien fondé des dispositions adoptées par EDF à l’égard des couvercles des cuves des réacteurs du parc électronucléaire français, précisées plus haut.

27.2.2.10.Mise en œuvre d’une surveillance particulière
des « zones en Inconel » à partir de 1992

Des dégradations par corrosion sous contraintes de pièces en alliage de type 600 avaient été constatées d’abord pour des tubes des générateurs de vapeur, puis pour des piquages d’instrumentation des pressuriseurs des réacteurs de 1 300 MWe. Une telle dégradation survenue à la centrale nucléaire de Gravelines en 1991 a conduit EDF à proposer en 1992 aux organismes de sûreté une démarche et des programmes pluriannuels de surveillance spécifique des zones du circuit primaire principal réalisées en alliage de type 600.

Les zones les plus vulnérables à la corrosion sous contraintes de ce circuit ont été recensées, en fonction de la sensibilité intrinsèque du matériau, des contraintes à l’état permanent (hors transitoires) et de la température de fonctionnement725 ; il s’agit, par ordre décroissant de vulnérabilité726 :

–des adaptateurs périphériques727 de passage des commandes des grappes dans les couvercles des cuves,

–des liaisons soudées entre l’attente de plaque de partition et la plaque de partition dans les boîtes à eau des générateurs de vapeur,

–des « pénétrations de fond de cuve »728 non détensionnées (cas des pénétrations qui ont nécessité une réparation après l’opération de détensionnement de la cuve),

–des supports dits M situés à la partie inférieure des cuves, qui assurent le maintien radial de leurs structures internes.

Les programmes de surveillance ont évolué et ont été renforcés au fil du temps pour prendre en compte les observations faites et les résultats des travaux de recherche et développement729. On reviendra plus loin sur des observations faites sur des pénétrations de fond de cuve et sur des tubes de générateurs de vapeur.

Ces programmes ont été analysés de façon approfondie, par les organismes de sûreté ; le BCCN, l’IPSN et la Section permanente nucléaire ont tout particulièrement été impliqués.

En 2001, la Direction de la sûreté des installations nucléaires a pris une décision730 fixant les conditions du suivi en service des zones en Inconel 600 dans les réacteurs. Cette décision tient compte de l’identification des zones les plus sensibles, mais prévoit également d’élargir les contrôles à d’autres zones pour tenir compte de la difficulté de définir avec exactitude l’instant d’apparition du phénomène de corrosion sous contraintes en fonction de la durée de fonctionnement des matériels.

27.2.3.Fissuration de pénétrations de fond de cuve
détectée en 2011

La découverte d’indications caractéristiques d’un amorçage de fissuration par corrosion sous contraintes dans des plaques de partition en alliage de type 600 de boîtes à eau de générateurs de vapeur (notamment en 2002 dans la boîte à eau du générateur de vapeur n° 2 du réacteur Chinon B4, pour laquelle aucun amorçage n’était pourtant attendu), a montré que les modèles prédictifs des délais d’amorçage étaient entachés de fortes incertitudes et que ces délais pouvaient ainsi être surestimés. Il convenait dès lors non seulement de contrôler l’ensemble des boîtes à eau des générateurs de vapeur – et non de se limiter à des contrôles par sondage comme le prévoyaient alors les programmes de surveillance –, mais aussi d’amplifier les contrôles des pénétrations de fond de cuve (PFC) en alliage de type 600, même si ces zones avaient été considérées comme moins vulnérables que les boîtes à eau des générateurs de vapeur. À cet égard, un événement notable était à prendre en considération : en 2003, des fuites avaient été détectées au niveau de deux pénétrations de fond de cuve du réacteur n° 1 de la centrale nucléaire de South Texas aux États-Unis (Texas), après seulement 15 années d’exploitation (ces PFC n’étaient pas détensionnées731).

L’autorité de sûreté a donc demandé à EDF de réaliser des contrôles non destructifs des PFC des réacteurs de 900 MWe à l’occasion de leur troisième visite décennale.

C’est ainsi que, en octobre 2011, des indications d’une fissuration d’orientation longitudinale ont été détectées dans la PFC n° 4 du réacteur n° 1 de la centrale de Gravelines (900 MWe) lors du contrôle par ultrasons des PFC programmé à l’occasion de sa troisième visite décennale (voir la figure 27.5). Ces indications étaient situées au niveau de la soudure d’angle reliant la PFC à la surface intérieure de la cuve. Leur profondeur atteignait une valeur voisine de l’épaisseur de la PFC. Le défaut a été considéré comme traversant le métal de base au droit de la soudure ; néanmoins, les examens ultérieurs ont montré l’absence de chemin de fuite et aucune fuite n’a été relevée.

Figure 27.5. Réacteur n° 1 de la centrale nucléaire de Gravelines : schémas de la pénétration de fond de cuve n° 4 et de la zone fissurée. IRSN.

Le réacteur concerné avait été mis en exploitation en 1980 et les précédents contrôles réalisés en 2001 n’avaient pas mis en évidence d’indication correspondant à une fissuration par corrosion sous contraintes. Seules deux indications longitudinales situées dans la même zone, attribuées à des hétérogénéités métallurgiques datant de la fabrication, avaient été identifiées. Les pénétrations de fond de cuve du réacteur n° 1 de la centrale nucléaire de Gravelines avaient été soudées avant la réalisation du traitement thermique de détensionnement final de la cuve.

Jusqu’alors, la sensibilité de l’alliage de type 600 à la corrosion sous contraintes n’était apparue affecter que des composants exposés aux conditions de température de la branche chaude sans avoir subi de traitement thermique de détensionnement. Cet événement a montré qu’une telle fissuration pouvait apparaître en service dans des conditions de température correspondant à celle de la branche froide et dans des zones ayant fait l’objet d’un traitement thermique de détensionnement. Les programmes de maintenance prennent en compte ce risque.

La conséquence d’une telle dégradation pouvait être une corrosion de la paroi de la cuve qui avait pu entraîner une fuite non isolable au fond de la cuve.

27.2.4.Surveillance de la « zone de cœur » de la cuve

La « zone de cœur » de la cuve correspond à la partie de la virole latérale cylindrique de la cuve exposée aux rayonnements provenant du cœur. Cette exposition est de nature à fragiliser l’acier de cuve, par une modification de ses propriétés mécaniques, notamment une fragilisation. Cette fragilisation se manifeste par l’augmentation de la température de transition ductile-fragile, préjudiciable à la ténacité du matériau en cas de choc thermique « froid »732. Cette fragilisation est évaluée (et anticipée) à l’aide de modèles empiriques, ajustés sur des données issues de l’analyse d’éprouvettes du programme de surveillance de l’irradiation (PSI), complétées par des programmes d’irradiation dans des réacteurs d’expérimentation733.

Le programme de surveillance de l’irradiation consiste à tester, pour chacune des cuves des réacteurs français, des échantillons représentatifs de l’acier de la cuve disposés à l’intérieur de capsules à la périphérie du cœur du réacteur ; ces capsules contiennent aussi des dosimètres pour mesurer la fluence neutronique reçue par les échantillons. Du fait de leurs emplacements, les capsules sont exposées à un flux neutronique plus élevé que celui qui est reçu par la cuve, ce qui permet d’anticiper le comportement des matériaux après une exploitation équivalente à 10 ans, 20 ans, 30 ans, 40 ans, voire plus.

Par ailleurs, la « zone du cœur » de la cuve fait l’objet de contrôles en service, au moyen de machines spécifiquement développées et améliorées au fil du temps (machines d’inspection en service [MIS] – voir la figure 27.6).

L’analyse de l’aptitude des cuves à leur service, réalisée par l’exploitant à l’occasion des réexamens périodiques associés aux visites décennales, comporte notamment une analyse du risque de rupture brutale. Cette analyse vise à étudier le risque d’amorçage de défauts postulés, dont la géométrie et les dimensions sont définies de manière conventionnelle (la profondeur correspond au quart de l’épaisseur de la paroi de la cuve). Les propriétés mécaniques considérées pour l’acier tiennent compte de l’irradiation subie, et le chargement appliqué est celui qui résulterait des transitoires thermiques les plus pénalisants (par exemple une arrivée d’eau « froide » en provenance du système d’injection de sécurité en cas de brèche du circuit primaire734). En cas de détection d’un défaut réel, son innocuité à l’égard du risque de rupture brutale lors de tels transitoires thermiques doit être montrée.

Figure 27.6. Une machine d’inspection en service de la cuve d’un réacteur à eau sous pression de la centrale nucléaire du Bugey. Bruno Conty/EDF.

27.2.5.Défauts observés dans des cuves de réacteurs
en Belgique

En juin 2012, des contrôles ont été effectués sur la cuve du réacteur n° 3 de la centrale nucléaire de Doel. Pour la première fois en Belgique, l’intégralité de la surface interne de la « zone de cœur » de la cuve a été inspectée par ultrasons. Ces contrôles visaient à rechercher d’éventuels « défauts sous revêtement », comme cela se pratique en France. Ces contrôles ont mis en évidence des indications qui ont été considérées par l’exploitant comme étant dues à des défauts localisés dans l’acier de la cuve (voir la figure 27.7). Ces indications, orientées plus ou moins parallèlement à la paroi interne de la cuve, étaient en très grand nombre, d’une longueur de 12 à 16 mm.

Figure 27.7. Schémas montrant des défauts sous revêtement (à gauche) et les défauts dus à l’hydrogène (à droite) trouvés dans la cuve du réacteur n° 3 de la centrale nucléaire de Doel en Belgique. IRSN.

Au mois de septembre 2012, la cuve du réacteur n° 2 de la centrale nucléaire de Tihange, fabriquée par la même entreprise néerlandaise RDM735, a subi la même inspection par ultrasons ; l’inspection a conduit à détecter dans la cuve de Tihange 2 des défauts similaires à ceux constatés dans la cuve de Doel 3.

Ces deux éléments et la localisation des indications tendaient à attribuer ces indications à des défauts dus à l’hydrogène (DDH) ; leur origine pouvait être liée au taux d’hydrogène présent dans le métal lors de la fabrication par l’entreprise néerlandaise RDM. Il se peut en effet que, lors de la fabrication de pièces en acier, la concentration d’hydrogène soit trop importante dans l’acier au moment de son refroidissement et de son durcissement ; cela peut mener à de fines décohésions dues à l’hydrogène (DDH) dans l’acier des pièces forgées.

À la suite de cette découverte, l’autorité de sûreté belge (AFCN) a décidé que les deux réacteurs affectés par ces défauts ne pourraient pas être redémarrés avant que l’exploitant Electrabel ait pu démontrer que la présence des DDH n’avait aucun impact sur l’intégrité et donc sur la sûreté des cuves.

L’instruction technique de cette affaire, qui a mobilisé, outre Electrabel, les organismes belges AIB-Vinçotte et Bel V ainsi que l’Oak Ridge National Laboratory736, n’a pu être conclue que trois ans plus tard, après la réalisation et l’interprétation de tests de résistance mécanique d’échantillons représentatifs des cuves et des analyses visant à montrer l’innocuité des défauts observés. L’autorisation de redémarrage de Doel 3 et de Tihange 2 a finalement été accordée par l’AFCN au mois de novembre 2015.

L’entreprise néerlandaise RDM, qui n’existe plus aujourd’hui, n’a pas fabriqué de viroles de cuve pour des centrales françaises.

Les défauts dus à l’hydrogène sont en général associés à des zones de ségrégation. Ils se présentent sous forme de multiples microfissures orientées presque parallèlement à la paroi interne de la cuve. Pour éviter l’apparition de ces défauts, le taux d’hydrogène est contrôlé à la coulée et un traitement thermique spécifique est réalisé lors du forgeage pour réduire autant que faire se peut le taux d’hydrogène dans la pièce métallique. Au cours des cinquante dernières années, seules quelques pièces destinées au parc électronucléaire français ont présenté ponctuellement des DDH et ont été mises au rebut à la suite des contrôles réalisés par le fabricant.

Une recherche a été effectuée par EDF et le constructeur des cuves françaises sur la base des documents de fabrication. Les résultats de cette recherche n’ont pas conduit à suspecter la présence en nombre de défauts de type DDH, compte tenu des dispositions et des contrôles de fabrication mis en œuvre pour les cuves du parc électronucléaire français. Des relectures des contrôles réalisés lors des visites complètes et des contrôles spécifiques pour la détection de DDH ont été réalisées par Électricité de France : il n’a pas été détecté dans les cuves françaises de défauts comparables aux DDH détectés dans les cuves belges de Doel 3 et de Tihange 2.

27.3.Les générateurs de vapeur

L’importance du bon comportement des tubes des générateurs de vapeur pour la sûreté de l’installation et la prévention de rejets radioactifs dans l’environnement a été plusieurs fois soulignée dans des chapitres précédents. Il est donc normal que ces composants fassent l’objet d’une attention soutenue.

Pour l’exploitant, il s’agit d’identifier les différents types de défauts pouvant affecter les tubes, d’apprécier les risques de rupture associés, de définir et mettre en place des programmes de surveillance ainsi que des mesures de prévention telles que le bouchage des tubes affectés par des défauts.

27.3.1.Les différents types de défauts

L’expérience mondiale montre que les tubes des générateurs de vapeur peuvent présenter des défauts de types très variés, relevant de phénomènes mécaniques ou physico-chimiques différents (voir la figure 27.8). Ces types de défauts sont apparus au cours du temps, quelquefois après des durées de fonctionnement relativement faibles.

Figure 27.8. Quelques types de défauts dans un générateur de vapeur. Georges Goué/IRSN.

Le premier type, connu par l’expérience américaine, est la striction des tubes au niveau des plaques entretoises (dénommé denting). Les autres types peuvent être classés en fonction du phénomène mis en jeu qui peut n’affecter que certaines tranches. Il s’agit notamment :

–de la fissuration de l’alliage de type 600 par corrosion sous contraintes dans l’eau du circuit primaire :

•dans les cintres de petit rayon des tranches de 900 MWe,

• dans les zones de transition de dudgeonnage737 ;

–de la corrosion de l’alliage de type 600 dans l’eau du circuit secondaire :

• corrosion intergranulaire (IGC738) au droit des plaques entretoises pour l’alliage de type 600 MA,

• corrosion intergranulaire au pied des tubes,

• fissuration circonférentielle par corrosion sous contrainte au pied des tubes,

–d’usures du côté secondaire :

• par des corps migrants,

• par contact des tubes avec les barres antivibratoires,

• par contact entre grands cintres,

–d’autres déformations au droit des plaques entretoises.

D’autres phénomènes se sont manifestés dans des tranches étrangères. C’est le cas de la fatigue vibratoire739 qui a conduit à des ruptures guillotines complètes de tubes à la centrale nucléaire de North Anna aux États-Unis (en 1987) et à la centrale nucléaire de Mihama au Japon (en 1991). Des phénomènes imputés à de la fatigue vibratoire sont également apparus en France entre 2004 et 2006, mais ils ont été détectés avant que ne survienne une rupture complète740 de tube de générateur de vapeur. On reviendra sur ce sujet au paragraphe 27.3.7.

Concernant le risque de corrosion des tubes, tous les générateurs de vapeur installés depuis 1992 sur le parc électronucléaire (générateurs de vapeur de remplacement et générateurs de nouvelles tranches) sont équipés de tubes en alliage de type 690 TT dont le comportement en exploitation est satisfaisant et ne montre à ce jour aucune indication de corrosion.

27.3.2.Risques associés

Les risques associés aux dégradations des tubes des générateurs de vapeur sont évidemment la rupture d’un ou plusieurs tubes, en fonctionnement normal ou en situation accidentelle (rupture d’une tuyauterie de vapeur). De telles ruptures sont prises en compte, en tant qu’accidents, pour la conception et la démonstration de sûreté des réacteurs du parc électronucléaire. Toutefois, conformément au concept de défense en profondeur, le risque de rupture de tubes de générateurs de vapeur doit être soigneusement limité, en particulier parce qu’une telle rupture peut conduire à des rejets à l’extérieur de l’installation.

En fonctionnement normal, les tubes sont soumis à une différence de pression de 100 bars environ. Mais il convient qu’en situation accidentelle, comme celle correspondant à la chute brutale de la pression du circuit secondaire provoquée par la rupture d’une tuyauterie d’eau ou de vapeur, la situation ne soit pas aggravée par la rupture d’un ou plusieurs tubes de générateurs de vapeur ; dans ce cas, la différence de pression entre les deux faces des tubes est de l’ordre de 172 bars et ce chargement mécanique doit être cumulé avec l’effet dynamique de la décompression (et conventionnellement, pour la démonstration de sûreté, avec celui du séisme majoré de sécurité).

Certains événements comme celui qui s’est produit en 1984 dans le réacteur n° 5 de la centrale nucléaire du Bugey, comportant la défaillance de trois sources électriques sur quatre, ont effectivement conduit à soumettre les tubes des générateurs de vapeur à des différences de pression élevées, sans toutefois atteindre le niveau évoqué ci-dessus.

L’analyse distingue en fait deux types de défauts : ceux pour lesquels il peut être démontré qu’il y aura une fuite détectable avant risque de rupture, et ceux pour lesquels cette démonstration ne peut pas être apportée. Dans les premiers cas, il est possible d’arrêter l’installation avant qu’un défaut ne devienne instable et risque de provoquer des fuites de substances radioactives – la surveillance et la détection des fuites entre circuits primaire et secondaire est alors essentielle ; dans les seconds cas, il faut considérer la possibilité d’une rupture brutale instantanée – les efforts de surveillance préventive, associés au bouchage des tubes affectés, seront seuls efficaces (voir la figure 27.9).

Figure 27.9. Vue d’un modèle courant de bouchon de tube de générateur de vapeur (source « La maintenance des centrales nucléaires » de Jean-Pierre Hutin – EDF/ Lavoisier Tec&Doc, 2016).

27.3.3.Surveillance en fonctionnement et contrôles à l’arrêt

27.3.3.1.Surveillance en fonctionnement

La surveillance permanente des tubes des générateurs de vapeur pendant le fonctionnement des tranches est assurée par deux méthodes : les mesures de bruit capables de détecter des objets migrants, la mesure des fuites entre le circuit primaire et le circuit secondaire.

Lors de la mise en exploitation des tranches françaises, les spécifications techniques d’exploitation prescrivaient l’arrêt des tranches dès que le débit de fuite du circuit primaire vers le circuit secondaire dépassait 70 L/h, valeur utilisée par les exploitants américains ; cette limite était destinée à limiter la contamination de l’eau du circuit secondaire.

Ce n’est qu’après avoir détecté les premiers défauts de tubes que le lien entre fuite et risque de rupture a été recherché. Au fur et à mesure de l’avancement des analyses et de l’accumulation d’expérience, les organismes de sûreté français ont demandé à EDF de réduire les débits de fuite tolérés à des valeurs plus faibles, compte tenu de la sensibilité des moyens de détection et de localisation des tubes présentant ou pouvant présenter des défauts.

Les moyens utilisés sont les suivants :

–la mesure de la radioactivité des gaz extraits du condenseur,

–la mesure de la radioactivité de l’eau du circuit de purge de chacun des générateurs de vapeur,

–la mesure de la radioactivité de l’azote 16 dans le fluide secondaire par un dispositif placé sur la tuyauterie de vapeur associée à chaque générateur de vapeur.

La détection des fuites entre le circuit primaire et le circuit secondaire par la mesure de la radioactivité de l’azote 16 à travers les tuyauteries secondaires est la méthode la plus rapide et parmi les plus sensibles. Il est possible de détecter quasi instantanément et avec une précision satisfaisante des fuites de l’ordre de 3 à 5 L/h, soit 20 fois moins que les limites admises initialement.

27.3.3.2.Contrôles à l’arrêt

La totalité des tubes des générateurs de vapeur sont contrôlés sur toute leur longueur à l’aide d’une sonde axiale à courants de Foucault avant le démarrage de chaque tranche et les enregistrements sont archivés. La zone de fin de dudgeonnage est, de plus, contrôlée avec une sonde tournante à courants de Foucault.

Le suivi en exploitation se fait par le contrôle, tous les deux arrêts pour rechargement, des tubes dans lesquels des défauts ont été précédemment détectés et laissés en l’état et d’un échantillon de tubes pour détecter l’extension de dégradations dont le développement serait progressif ou de nouveaux types de défauts. Le taux d’échantillonnage de base est en moyenne par arrêt, pour chaque générateur de vapeur :

–pour les réacteurs de 900 MWe, équipés de tubes en alliage de types 600 TT et 690 TT : 1 tube sur 8 (la totalité des tubes sont ainsi contrôlés au bout de huit cycles d’exploitation) ;

–pour les réacteurs de 1 300 MWe qui sont équipés de tubes en alliage de type 600 TT : 1 tube sur 6 (la totalité des tubes sont ainsi contrôlés au bout de six cycles d’exploitation) ;

–pour les réacteurs de 1 300 MWe et de 1 450 MWe équipés de tubes en alliage de type 690 TT : 1 tube sur 8 (la totalité des tubes sont ainsi contrôlés au bout de huit cycles d’exploitation).

Pour assurer un contrôle de tous les tubes des générateurs de vapeur d’un réacteur en six ou huit cycles de fonctionnement, les contrôles par échantillon sont bien entendu effectués sur des tubes différents à chaque visite. La détection d’un type particulier de défaut peut conduire à une extension du taux d’échantillonnage ou au contrôle de tous les tubes d’une zone particulière.

Une telle pratique n’a évidemment que très peu de chance de détecter un défaut isolé à cinétique rapide, ce qui explique l’importance de la détection des corps migrants.

Lors des visites décennales, tous les tubes sont à nouveau contrôlés.

27.3.4.Démarche suivie en cas de détection d’un défaut

Lorsqu’un défaut est détecté, la démarche suivante est mise en œuvre pour déterminer les dispositions à prendre :

–détermination des causes de la dégradation,

–évaluation des risques d’instabilité du défaut en situation normale ou accidentelle susceptible de conduire à une rupture sans fuite préalable,

–évaluation de la capacité des méthodes de surveillance à détecter et à caractériser la dégradation,

–ajustement de l’étendue et de la fréquence des contrôles en vue de prévenir des ruptures de tubes,

–bouchage des tubes, si les critères qui le justifient sont atteints.

Quelques exemples illustrent cette approche.

27.3.4.1.Usure de tube par un corps étranger

Lorsqu’il existe une usure uniforme d’un tube sur une longueur de plusieurs centimètres, le risque de rupture sans fuite préalable ne peut pas être écarté. Des ruptures de tubes survenues aux États-Unis le confirme (Prairie Island en 1979, Ginna en 1982741).

La sonde axiale est généralement bien adaptée à la détection de tels défauts mais la profondeur d’usure peut être difficile à apprécier avec précision.

La surveillance consiste en une inspection visuelle détaillée de la périphérie du faisceau tubulaire à chaque arrêt de tranche. Lorsqu’un objet susceptible de provoquer une usure est observé, tous les tubes de la périphérie du faisceau sont examinés avec la sonde axiale. Les tubes présentant une usure supérieure à 40 % de l’épaisseur sont obturés.

L’extraction de l’objet migrant détecté est systématiquement tentée. S’il est coincé et ne peut pas être enlevé, tous les tubes susceptibles de se trouver à son contact sont obturés, même s’ils ne présentent pas de trace d’usure.

27.3.4.2.Usure au contact des barres antivibratoires

L’usure des tubes par frottement sur les barres antivibratoires a une longueur limitée à l’épaisseur de ces barres. Il est, dans ce cas, possible de montrer que les percements qui pourraient affecter les tubes sont stables, y compris en condition accidentelle. Il n’y a donc pas de risque de rupture brutale d’un tube à la suite d’une usure de ce type.

La sonde axiale détecte bien ces types de défauts et il est possible de déterminer la profondeur d’usure des tubes à partir de l’interprétation des signaux, grâce aux essais et aux simulations numériques qui ont été effectuées.

La surveillance porte sur les tubes des zones des générateurs de vapeur dans lesquelles ces phénomènes ont été observés, généralement après au moins six années de fonctionnement.

Les tubes dont le taux d’usure est supérieur à 40 % de l’épaisseur sont bouchés, ce qui tient compte :

–des taux d’usure pouvant conduire à l’ouverture de défauts,

–de la cinétique d’usure observée,

–de la période entre contrôles.

Chaque tube ayant présenté un signal d’usure et laissé en l’état est contrôlé après deux nouveaux cycles de fonctionnement.

27.3.4.3.Fissurations dans les petits cintres

Ce type de dégradation, attribué à une corrosion sous contraintes, a touché certains tubes des première et deuxième rangées de tubes de certains générateurs de vapeur des tranches de 900 MWe les plus anciennes équipés de tubes en alliage de type 600 MA. Cet endommagement affectait les tubes dont le rayon de courbure était le plus faible, et qui n’avaient bénéficié ni d’un détensionnement après cintrage en usine ni d’un traitement thermique sur site. La morphologie réelle des défauts était difficile à prédire. De plus, il n’était pas possible de garantir qu’une fuite détectable précéderait la rupture. Des travaux de recherche et développement sont en cours sur ce sujet pour les tubes en alliage de type 600 TT.

Les tests d’étanchéité à l’hélium effectués lors des visites décennales742 ne détectent évidemment que les fissurations traversantes. En outre, au passage des petits cintres à forte courbure, la sonde axiale à courants de Foucault peut être décentrée, ce qui en limite la sensibilité de détection.

Deux dispositions ont été adoptées par EDF :

–soit le bouchage préventif des tubes de la première rangée ou des deux premières rangées ;

–soit la mise en œuvre d’un traitement thermique de détensionnement des contraintes ; après ce traitement, les cintres étaient de nouveau contrôlés avec la sonde axiale à chaque arrêt pour rechargement ; aucun nouveau défaut n’a ensuite été détecté sur les tubes traités.

Tous les générateurs de vapeur du parc électronucléaire français équipés de tubes en alliage de type 600 MA ont été remplacés.

27.3.4.4.Déformation et fissuration de tubes

Une fuite d’un tube de générateur de vapeur est apparue au cours du premier cycle de fonctionnement du réacteur n° 1 de la centrale nucléaire de Nogent-sur-Seine (réacteur de 1 300 MWe mis en service en 1988). Les contrôles effectués ont mis en évidence un nouveau type de dégradation qui n’a affecté que les tranches de 1 300 MWe743.

Ce type de dégradation a été attribué à la présence de résidus métalliques à base de fer provenant d’opérations de meulage ou de grenaillage, qui se seraient rassemblés au centre de la plaque tubulaire après l’établissement de la circulation de l’eau secondaire. Ces particules se seraient oxydées avec l’augmentation de la température et se seraient agglomérées. Ce « gonflement » aurait conduit à une déformation des tubes dans la zone de fin de dudgeonnage, de nature à entraîner une fissuration circonférentielle de tubes par corrosion sous contrainte en milieu primaire.

Ce nouveau phénomène a conduit EDF à mener un programme d’investigations important :

–examen des dépôts du côté secondaire des générateurs de vapeur, détermination de leur localisation, de leur hauteur et de leur composition,

–examen particulier des tubes entourés de dépôts,

–essais de reproduction du phénomène en laboratoire et détermination de la cinétique de « gonflement » des dépôts,

–nettoyage des plaques tubulaires affectées,

–bouchage des tubes présentant une déformation notable, même en l’absence de fissuration,

–réduction de la valeur limite de la fuite primaire-secondaire entraînant la mise à l’arrêt du réacteur (3 L/h pour les tubes en alliage de type 690 TT, 5 L/h pour les tubes en alliage de type 600 TT).

L’expérience a confirmé les résultats des essais de laboratoire qui ont montré que la cinétique de « gonflement » des dépôts est rapide mais limitée dans le temps à quelques mois, donc au premier cycle de fonctionnement.

27.3.5.Remplacement de générateurs de vapeur

La conception et la fabrication des générateurs de vapeur ont été progressivement améliorées, déjà entre les premiers et les derniers réacteurs de 900 MWe. En particulier, les trous des plaques entretoises ne sont plus ronds et percés mais quadrifoliés et brochés. Ces plaques sont maintenant en acier au chrome. Une plaque de répartition a été ajoutée pour augmenter la vitesse du fluide secondaire au centre du générateur de vapeur et limiter ainsi les dépôts de produits d’oxydation provenant du secondaire, principalement de la magnétite.

La stratégie de remplacement des générateurs de vapeurs est orientée, à la fois, vers :

–la limitation du risque de rupture de tubes de générateurs de vapeur,

–la réduction de l’exposition des personnels chargés des contrôles fréquents des générateurs de vapeur les plus affectés,

–l’amélioration des conditions d’exploitation des réacteurs pour lesquels un nombre significatif de tubes ont été bouchés,

–le respect du dossier de sûreté, en particulier la valeur maximale du taux de bouchage (une capacité d’échange thermique minimale des générateurs de vapeur est nécessaire pour refroidir le cœur en fonctionnement normal ou accidentel).

Cette stratégie tient également compte de considérations économiques et d’exploitation à long terme.

Bien entendu, les générateurs de vapeur de remplacement bénéficient d’améliorations, notamment celles indiquées ci-dessus. Les tubes de ces générateurs de vapeur sont réalisés en alliage de type 690 à la place de l’alliage de type 600. Ce matériau dispose d’un retour d’expérience industriel satisfaisant ; aucune indication de corrosion n’a été observée en exploitation. Cependant, des études de laboratoire montrent qu’il peut être sensible à la corrosion sous contraintes en milieu secondaire, particulièrement en présence de polluants tels que le plomb ou des sulfates. Une grande qualité du conditionnement744 des parties du circuit secondaire des générateurs de vapeur reste donc nécessaire.

Un premier remplacement de générateurs de vapeur (voir la figure 27.10) a été effectué en 1990 dans le réacteur n° 1 de la centrale nucléaire de Dampierre-en-Burly. Puis sont intervenus le remplacement des générateurs de vapeur du réacteur n° 5 de la centrale nucléaire du Bugey en 1993 et du réacteur n° 1 de la centrale nucléaire de Gravelines en 1994. L’expérience acquise a permis d’améliorer sensiblement le bilan dosimétrique de ces travaux. Les doses collectives ont, en effet, été respectivement de 2,2 homme.Sievert, 1,5 homme.Sievert et 1,4 homme.Sievert – pour ne citer que les trois premiers remplacements de générateurs de vapeur.

L’opération de Gravelines a été conçue et préparée comme une opération devenue standard, reproductible avec des adaptations mineures pour les remplacements suivants, sur un rythme d’environ deux remplacements par an.

Figure 27.10. Générateur de vapeur neuf en cours d’introduction dans un bâtiment de réacteur par le tampon d’accès des matériels. Jean-Marie Huron/Signatures/Médiathèque IRSN.

27.3.6.Colmatages observés dans les années 2000

La centrale nucléaire de Cruas-Meysse, équipée de quatre réacteurs de 900 MWe, a connu trois arrêts fortuits liés à l’apparition de fuites importantes d’eau entre le circuit primaire et le circuit secondaire des réacteurs n° 1 (en février 2004) et n° 4 (en novembre 2005 et en février 2006). Les investigations menées par EDF l’ont conduit d’une part à considérer l’instabilité fluide-élastique (par interaction fluide-structure) comme le phénomène le plus probable pour expliquer l’origine des fissurations de tubes constatées au droit de la plaque entretoise supérieure (n° 8) des générateurs de vapeur. D’autre part, Électricité de France a suspecté la présence de dépôts dans les passages d’eau « quadrifoliés » (voir la figure 27.11) d’être à l’origine du phénomène, du fait de la capacité de tels dépôts à modifier les écoulements du côté secondaire des générateurs de vapeur, favorisant l’apparition d’instabilités vibratoires des cintres non soutenus de la zone centrale des générateurs de vapeur qui comporte des passages foliés non équipée de tubes745.

Figure 27.11. Schéma et vue montrant les plaques de supportage des tubes des générateurs de vapeur et les dispositifs « quadrifoliés » de passage d’eau du côté secondaire. IRSN.

Des inspections télévisuelles ont montré que les passages d’eau étaient obturés à environ 70 % par des dépôts de magnétite, certains étant même complètement colmatés.

EDF a alors engagé des études visant à comprendre les phénomènes à l’origine des fissurations observées et à en caractériser les conséquences sur la sûreté. Par ailleurs, pour permettre l’exploitation des réacteurs en limitant le risque d’apparition d’une rupture de tube de générateur de vapeur, il a procédé au bouchage préventif de 58 tubes sensibles à la fatigue vibratoire situés au centre des plaques entretoises de certains générateurs de vapeur affectés de façon significative par un colmatage. Le suivi en fonctionnement des fuites du circuit primaire vers le circuit secondaire a par ailleurs été renforcé.

Néanmoins, l’autorité de sûreté a demandé à EDF de réaliser dans les meilleurs délais un nettoyage performant des plaques de supportage des tubes, afin de rétablir des conditions de fonctionnement des générateurs de vapeur conformes aux hypothèses de conception et de la démonstration de sûreté. EDF a ainsi procédé, en 2007 et 2008, à un nettoyage chimique à haute température des générateurs de vapeur des réacteurs n° 1 et n° 4 de la centrale nucléaire de Cruas-Meysse et du réacteur n° 2 de la centrale nucléaire de Chinon B, ainsi que de ceux des réacteurs n° 1 des centrales de Belleville-sur-Loire, Cattenom et Saint-Alban (réacteurs de 1 300 MWe) – d’un autre type746.

Tous les générateurs de vapeur du parc électronucléaire français font maintenant l’objet d’examens télévisuels (y compris ceux des réacteurs du palier N4) ; des nettoyages sont programmés pour prévenir des colmatages.

27.3.7.Bilan

Aucune rupture franche de tube de générateur de vapeur ne s’est produite en France malgré de nombreux mécanismes de dégradation actifs et un nombre significatif de fuites du circuit primaire vers le circuit secondaire.

Il ne faut pas en conclure qu’il y aura toujours fuite avant rupture ; il convient en particulier de noter que des tubes endommagés n’ont jamais été soumis aux contraintes résultant de situations accidentelles telles qu’une rupture de tuyauterie de vapeur.

Au milieu des années 1990, la fréquence moyenne de rupture de tube de générateur de vapeur observée sur le parc mondial était de quelques 10-3 rupture importante par année-réacteur. Les dispositions prises par EDF pour maîtriser les problèmes ont contribué au résultat constaté en France. Depuis, au plan mondial, le taux de rupture de tube de générateur de vapeur (RTGV) a été réduit, grâce au partage d’expérience et aux dispositions prises en conséquence : en 2016, ce taux est évalué à environ 5.10-4 par année-réacteur747.

27.4.Les lignes de vapeur

Les contrôles des lignes de vapeur (voir la figure 27.12) ont, à partir de 1990, mis en évidence des fissurations dans certaines soudures des tuyauteries de vapeur principales. Ces défauts ont été découverts sur des « piquages » de soupapes sur les tuyauteries des réacteurs de 900 MWe et de certaines tranches de 1 300 MWe.

Pour les tranches des centrales nucléaires de Fessenheim et du Bugey, il s’agissait principalement d’une fissuration de l’acier à proximité immédiate des soudures. Les défauts ont été provoqués par les opérations de soudage et étaient dus à une qualité insuffisante des matériaux utilisés pour la fabrication du circuit secondaire. La fissuration, de type « arrachement lamellaire », s’est propagée dans l’acier à partir de nombreuses inclusions présentes dans le métal de base, laminées lors de la fabrication. Les tuyauteries d’origine de ces tranches ont, en effet, été fabriquées selon la technique « roulé-soudé ».

Un défaut important particulier (11 cm de longueur et 3,5 cm de profondeur le long de la soudure du côté du piquage) a été découvert en 1991 dans la tranche n° 1 de la centrale nucléaire de Fessenheim. Ce défaut n’a pas été attribué à de la fatigue mécanique ou encore à de la corrosion, mais à une sollicitation unique, importante, survenue à froid lors d’une intervention de maintenance, qui aurait agrandi un ou des défauts préexistants de petite taille ; cette hypothèse n’a cependant pas pu être confirmée.

Pour les autres réacteurs de 900 MWe, des fissures de quelques millimètres de profondeur et de quelques dizaines de centimètres de longueur, en peau interne à la racine des soudures ont été constatées. Il s’agissait de fissurations à froid dues vraisemblablement à des conditions de soudage mal maîtrisées.

Figure 27.12. Circuits secondaires des tranches de 900 MWe (à gauche) et de 1 300 MWe (à droite). IRSN.

Pour les réacteurs de 1 300 MWe de la première génération (type P4), des défauts de soudage comme des inclusions ou des collages, ainsi que de la fissuration à chaud ont été constatés ; ils provenaient également de conditions de soudage mal maîtrisées (utilisation de buses en cuivre sur la machine de soudage, conduisant à des fissurations par le cuivre). Il ne s’agissait pas d’arrachement lamellaire car les tuyauteries principales avaient été forgées.

Les analyses et les expertises réalisées ont montré que les défauts constatés, à l’exception du plus important de Fessenheim 1, dataient vraisemblablement de la fabrication des tuyauteries mais n’avaient pas été détectés avant le démarrage des tranches concernées.

C’est l’amélioration des contrôles demandée par les organismes de sûreté et la meilleure formation des opérateurs qui ont permis de les mettre en évidence.

Des contrôles ont aussi été effectués sur les tuyauteries du circuit d’alimentation normale en eau des générateurs de vapeur, ainsi que sur celles du circuit d’alimentation de secours en eau.

Les défauts dont les dimensions étaient supérieures aux critères d’acceptabilité ont été réparés ou ont entraîné le remplacement du tronçon affecté.

27.5.Les circuits auxiliaires : fissurations liées
à des phénomènes thermohydrauliques locaux

27.5.1.Fissurations survenues dans des tronçons non isolables raccordés aux boucles du circuit primaire

Des événements survenus au mois de décembre 1987 dans le réacteur n° 2 de la centrale nucléaire de Farley (États-Unis) et au mois de juin 1988 dans les réacteurs n° 1 de la centrale nucléaire de Genkaï (Japon) et de la centrale nucléaire de Tihange (Belgique) ont eu comme point commun le constat de fuites et de fissurations de tronçons auxiliaires en acier austénitique inoxydable non isolables du circuit primaire principal (CPP). En France, ces événements ont conduit à une étude, étendue à l’ensemble du parc, du « phénomène Farley-Tihange »748 ou « fissuration par fatigue thermique des tronçons non isolables du CPP ». Cependant, quatre ans plus tard, au mois de septembre 1992, un événement similaire est survenu dans le réacteur n° 2 de la centrale nucléaire de Dampierre-en-Burly, puis au mois de décembre 1996 dans le réacteur n° 1 de cette même centrale.

Dans le cas de Farley 2, la fuite a été localisée sur la ligne du système d’injection de sécurité (RIS) connectée à l’une des branches froides du circuit primaire principal. À Tihange 1, la fuite s’est déclarée sur une ligne raccordée à une branche chaude. À Genkaï 1, la fuite s’est déclarée sur une ligne du circuit de refroidissement du réacteur à l’arrêt (circuit RRA).

À Dampierre 2, la fuite s’est déclarée sur un tronçon du circuit RIS ; le débit de fuite de l’eau du circuit primaire, qui a été recueillie dans les puisards situés à l’intérieur de l’enceinte de confinement, a été d’environ 600 L/h. Dans le cas de Dampierre 1, la fuite s’est également déclarée sur un tronçon du circuit RIS, le débit a été de 160 L/h.

Toutes les fissures étaient situées au niveau d’une soudure de raccordement d’un tronçon à un coude, en génératrice inférieure.

Ces fissures ont été attribuées à un phénomène de fatigue thermique dans des zones de transition entre un front d’eau correspondant au fluide primaire ayant pénétré dans la tuyauterie auxiliaire et un front d’eau froide dû à un (faible) écoulement parasite d’eau provenant du circuit auxiliaire, occasionné par un organe d’isolement imparfaitement étanche en amont de ce circuit. La figure 27.13 schématise les mécanismes thermohydrauliques en jeu.

Figure 27.13. Schéma simplifié illustrant les phénomènes de type « Farley-Tihange » (source « La maintenance des centrales nucléaires » de Jean-Pierre Hutin – EDF/ Lavoisier Tec&Doc, 2016).

Le mécanisme de fatigue thermique peut être résumé de la façon suivante : sous l’effet des variations de température, les matériaux se dilatent ou se contractent de manière cyclique ; mais, s’ils ne peuvent pas le faire librement, il en résulte des contraintes, également cycliques. Si celles-ci sont répétées un très grand nombre de fois749, un endommagement par fatigue thermique peut apparaître.

Seuls les réacteurs de 900 MWe des divers contrats-programmes étaient concernés, du fait de l’architecture de leurs circuits auxiliaires, ceux des autres paliers disposant de deux vannes d’isolement en série au lieu d’une seule.

En termes de risques potentiels pour la sûreté, les fuites survenues correspondaient à des « petites brèches » (voir le chapitre 9) ; mais ces risques méritaient d’être approfondis car, d’une part il s’agissait de phénomènes thermo-hydromécaniques complexes, d’autre part ces fuites pouvaient être des précurseurs de brèches plus importantes.

L’événement qui a affecté le réacteur n° 2 de la centrale nucléaire de Dampierre-en-Burly a conduit EDF à contrôler, pour l’ensemble des réacteurs de 900 MWe, l’étanchéité des vannes et l’état des tuyauteries au niveau des coudes et soudures, à s’interdire de les manœuvrer entre le début et la fin de chaque cycle de fonctionnement, et à procéder à des contrôles de tuyauteries en cas de découverte d’inétanchéité de telles vannes.

L’événement qui a concerné le réacteur n° 1 de la centrale nucléaire de Dampierre-en-Burly revêt une importance particulière : c’est en effet la première fois qu’une fissure a été observée, non dans un coude ou une soudure, mais dans la partie courante d’une tuyauterie. Des études menées par l’exploitant ont montré que de telles fissures pouvaient traverser la tuyauterie en moins d’un cycle, c’est-à-dire avant que les contrôles permettent de les détecter. Après la découverte de l’anomalie, l’exploitant a réalisé des contrôles complémentaires dans les parties courantes des tuyauteries pour les réacteurs de 900 MWe ayant fait l’objet de constats de manque d’étanchéité de vannes d’isolement. Les contrôles ont mis en évidence quelques fissures (Dampierre 3, Fessenheim 2…) ; tous les tronçons concernés ont été remplacés.

27.5.2.Fatigue thermique du circuit RRA du réacteur n° 1
de la centrale nucléaire de Civaux

La fatigue thermique est un mécanisme d’endommagement auquel EDF a de nouveau été confronté lors de l’apparition, au mois de mai 1998, d’une fuite d’eau (évaluée à 30 m3/h) en provenance d’une tuyauterie du système de refroidissement du réacteur à l’arrêt (RRA) du réacteur n° 1 de la centrale nucléaire de Civaux (palier N4), alors que le réacteur était en arrêt pour maintenance. Cette fuite a été occasionnée par des fissures amorcées en peau intérieure de la tuyauterie – offrant pour certaines un aspect de « faïençage » – et débouchant à l’extrados d’un coude de la tuyauterie (voir la figure 27.14).

Figure 27.14. Intérieur du coude de la tuyauterie à l’origine de la fuite survenue en 1998 à la centrale nucléaire de Civaux. Un « faïençage » est visible de part et d’autre du relief formé par le cordon de soudure. Cliché EDF (à gauche) et IRSN − Source EDF (à droite).

La zone de « faïençage » de la tuyauterie du RRA (voir la figure 27.15) en acier inoxydable austénitique était soumise à des fluctuations importantes de température à l’aval d’un mélange de jets (l’un à 180 °C, l’autre à 20 °C), sous une pression de 27 bars. La durée de fonctionnement cumulée à fort écart de température (écart de température supérieur à 80 °C entre les fluides chaud et froid) avait atteint 1 500 heures.

Figure 27.15. Le « faïençage » observé dans un coude de tuyauterie du RRA à Civaux en 1998.

Figure 27.15 (suite) IRSN − Source EDF.

L’événement de 1998 n’était ni prévisible ni explicable par les méthodes et critères traditionnels d’analyse de la fatigue mécanique, tels que codifiés par exemple dans le RCC-M et fondés sur l’évaluation d’un « facteur d’usage »750 à la fatigue.

Cet événement a conduit EDF à engager en 1999, en relation avec Framatome, une nouvelle étude portant sur la « fatigue thermique des zones de mélange des circuits importants pour la sûreté » pour apporter les réponses appropriées. Un vaste programme d’actions dans différentes domaines a concerné l’ensemble des réacteurs du parc électronucléaire :

–revue de conception des circuits RRA,

–détermination des zones potentiellement sensibles à la fatigue thermique dans les réacteurs,

–contrôles non destructifs, expertises après dépose de zones fissurées,

–simulations thermohydrauliques d’écoulements et de mélanges de jets d’eau à des températures différentes dans des tuyauteries, études et recherches pour comprendre l’origine du phénomène.

De son côté, l’IRSN a aussi mené, avec le soutien du CEA, un certain nombre de travaux de recherche et développement sur ce sujet751.

Les contrôles par ultrasons menés à partir de 1999 par EDF sur l’ensemble du parc des réacteurs électronucléaires ont alors montré qu’il s’agissait d’un problème générique : toutes les tuyauteries examinées présentaient des fissurations, concernant préférentiellement des zones dont l’état de surface était grossier ou des singularités géométriques comme les racines de soudures. Cela a conduit Électricité de France à remplacer les zones de mélange des circuits RRA sur la totalité du parc, en apportant des améliorations visant à réduire la sensibilité à la fatigue thermique : modification du tracé de la ligne principale pour inverser le sens d’arrivée des fluides, élimination des soudures longitudinales, limitation du nombre de soudures circulaires, éloignement de celles-ci des zones de mélange, arasage des soudures, polissage à la brosse des surfaces intérieures dans l’objectif d’améliorer les états de surface et d’éliminer les contraintes résiduelles de traction.

Les essais de l’IRSN ont confirmé que si la présence d’un joint soudé accélère l’endommagement par fatigue thermique, celui-ci peut aussi apparaître dans une zone courante du matériau, comme cela avait déjà été noté à l’occasion de l’événement survenu à Dampierre 1 en 1996. EDF a ainsi été amené à étendre les contrôles à des zones ne comportant pas de soudures.

À partir des résultats des études et recherches menées sur la fatigue thermique, EDF a défini une politique d’exploitation, de suivi en service et de remplacement des zones de mélange, applicable à tous les réacteurs. Dès l’année 2000, un contrôle par ultrasons des zones des circuits RRA à fort écart de température a été mis en œuvre toutes les 450 heures de fonctionnement (suivant en cela une recommandation de l’IRSN), et des durées maximales de fonctionnement à fort écart de température ont été définies pour toutes les zones sensibles.

Les études faites pour la zone du piquage du circuit de contrôle chimique et volumétrique (RCV) sur le circuit primaire, zone soumise à des écarts de température bien supérieurs à ceux que connaissent les coudes du circuit RRA (pouvant aller jusqu’à 280°C), ont conduit à considérer que la nature de l’écoulement joue un rôle plus important que l’écart de température, les investigations ayant montré que les piquages RCV du parc étaient très peu endommagés par fatigue thermique. Ce constat n’a pas été invalidé lors des contrôles en service réalisés depuis lors. L’analyse de la situation, par rapport au risque de fatigue thermique, du piquage de la ligne d’expansion du pressuriseur et d’une partie en forme de « té » reliant les circuits RRA et RCV a permis d’estimer que ces éléments étaient peu sensibles, voire insensibles à la fatigue thermique ; un contrôle en service de quelques « tés » RRA/RCV a néanmoins été effectué (à la demande des organismes de sûreté).

L’ensemble des travaux de recherche et développement sur la fatigue thermique ont par ailleurs conduit à considérer que des zones soumises à des écarts de température significativement plus faibles que ceux qui avaient été considérés auparavant (avant l’événement survenu en 1998 à la centrale nucléaire de Civaux) pouvaient être sujettes à une fatigue thermique (bien que l’amorçage survienne après un plus grand nombre de cycles thermiques) ; les zones dont l’écart est supérieur ou égal à 50 °C sont dorénavant considérées comme sensibles. Des travaux se poursuivent sur ce sujet complexe, dans le but notamment d’améliorer la prédiction de l’amorçage de fissures par la prise en compte des effets dits d’environnement (tels que la qualité chimique de l’eau).

27.6.Ouvrages de génie civil :
les enceintes de confinement

L’enceinte de confinement d’un réacteur à eau sous pression comporte un fût cylindrique de grandes dimensions752, bâti sur un radier épais753 et surmonté d’un dôme ; des structures internes supportent la chaudière. Les enceintes de confinement des réacteurs à eau sous pression du parc électronucléaire français relèvent de trois types de conception :

–le premier type (réacteurs de 900 MWe) correspond aux enceintes à simple paroi en béton armé précontraint avec une « peau » d’étanchéité métallique en face interne, rendue solidaire du béton de l’enceinte à l’aide de goujons métalliques et revêtue d’une peinture anticorrosion décontaminable (cette peau est aussi appelée liner) ; il s’agit d’un confinement statique754 ;

–le deuxième type (réacteurs de 1 300 MWe et 1 450 MWe) correspond aux enceintes à double paroi comprenant une paroi interne en béton précontraint et une paroi externe en béton armé ; un système de ventilation et de filtration de l’espace annulaire situé entre les deux parois (« espace entre enceintes ») assure un confinement dynamique, complétant l’étanchéité statique assurée par la paroi interne. Il sera vu plus loin que des revêtements en matériaux composites (résines armées) ont été installés à l’intrados des parois internes pour améliorer leur étanchéité ;

–le troisième type (EPR) associe les deux types précédents : l’étanchéité est assurée par une peau métallique à l’intrados de la paroi interne, complétée par le confinement dynamique associé aux enceintes à double paroi.

La paroi assurant l’étanchéité en cas de relâchement de substances radioactives à l’intérieur du bâtiment du réacteur est conçue et calculée (dimensionnée) pour résister aux accidents pouvant affecter la chaudière nucléaire que sont :

–une brèche ou une rupture d’une tuyauterie du circuit primaire, se traduisant par un accident de perte de réfrigérant primaire (APRP),

–la rupture d’une tuyauterie de vapeur (RTV).

Le relâchement de fluide primaire ou secondaire, plus ou moins contaminé, conduit à une augmentation de la pression (et de la température755) à l’intérieur de l’enceinte en quelques dizaines (APRP) ou quelques centaines (RTV) de secondes après la rupture. Cette pression peut atteindre environ cinq fois la pression atmosphérique. La paroi doit, dans ces situations accidentelles, présenter une étanchéité spécifiée (dans les décrets d’autorisation de création des réacteurs) :

–pour les réacteurs de 900 MWe et le réacteur EPR, un taux de fuite maximal de 0,3 % par jour de la masse totale de gaz contenue dans l’enceinte,

–pour les réacteurs de 1 300 MWe et de 1 450 MWe, un taux de fuite maximal de 1,5 % par jour de la masse totale de gaz contenue dans l’enceinte interne.

Le bâtiment d’un réacteur à eau sous pression doit aussi résister à un certain nombre d’agressions internes et externes, qu’elles soient d’origine naturelle ou humaine ; dans le cas des réacteurs de 1 300 MWe et de 1 450 MWe, c’est la paroi externe qui assure la résistance aux agressions externes.

La surveillance en exploitation des enceintes de confinement fait l’objet de programmes de base de maintenance préventive spécifiques (PBMP). Elle est pour l’essentiel ciblée sur l’évolution mécanique des ouvrages, mais concerne aussi l’évolution des défauts et de la fissuration. Outre la détection de comportements anormaux, les informations obtenues servent de données d’entrée pour évaluer l’état de l’ouvrage en « fin de vie ».

Le système d’auscultation utilisé lors des épreuves permet de faire régulièrement des relevés pour suivre le comportement des ouvrages. Ces mesures ont lieu à des fréquences variables selon les cinétiques de déformation observées ou supposées, entre 15 jours et trois mois. En outre, des inspections visuelles partielles sont également réalisées, notamment pour les sites en bord de mer, entre les visites décennales.

27.6.1.Phénomènes de dégradation redoutés

De façon très synthétique, les phénomènes de dégradation redoutés des enceintes de confinement – qu’il convient de maîtriser – sont :

–une diminution de la précontrainte des câbles,

–des mécanismes de dégradation liés à des pathologies exogènes (dues à l’environnement externe) ou endogènes (liées au béton lui-même),

–la corrosion des peaux métalliques.

Concernant le premier point, l’injection de coulis de ciment dans les gaines des câbles (réalisée pour certaines tranches) protège ceux-ci de la corrosion. Mais une perte de précontrainte peut aussi être liée au comportement du béton, notamment son « retrait » (phénomène qui apparaît au moment de sa réalisation, dû au départ de l’eau [dessiccation] et au refroidissement), puis, en service par un phénomène de fluage. Ces phénomènes qui conduisent à une détente progressive des câbles sont pris en compte dans les études de conception, le but étant que le béton des enceintes de confinement soit toujours en compression, y compris dans les situations accidentelles citées plus haut et en « fin de vie ».

Concernant les pathologies, peuvent notamment être évoqués le gonflement du béton par réaction alcali-granulat (RAG), ou par réaction sulfatique interne (RSI) – phénomènes sur lequel l’IRSN a attiré l’attention d’EDF à la fin des années 2000.

Ces deux derniers mécanismes potentiels de dégradation des enceintes dépendent des matériaux utilisés pour leur réalisation ; ils font l’objet de travaux de recherche et développement756. Les différentes enceintes des réacteurs du parc électronucléaire ont fait l’objet, par EDF, d’une hiérarchisation selon leur degré estimé de sensibilité à ces deux mécanismes.

27.6.2.Dispositifs de surveillance directe des parois en béton des enceintes de confinement

Le système d’auscultation mis en place dans les enceintes permet de mesurer :

–les tassements des ouvrages sur leur sol de fondation, leur inclinaison,

–leur « réponse » mécanique (en termes de déformation et de déplacements) lors des épreuves,

–leur température et, pour certaines enceintes, leur hygrométrie,

–la tension de certains câbles de précontrainte dont les gaines n’ont pas été injectées d’un coulis de ciment757,

–les déformations et les déplacements différés du béton (dus au retrait et au fluage), qui renseignent de manière indirecte sur la précontrainte effectivement présente dans les câbles.

Par ailleurs, les phénomènes de corrosion des armatures, de fissuration et de gonflement du béton font l’objet d’une surveillance visuelle.

L’auscultation des enceintes repose principalement sur les capteurs suivants (voir la figure 27.16) :

–des thermomètres noyés dans le béton (thermocouples ou sondes « Pt 100 »758) ; leur redondance et leur durée de vie sont telles qu’il n’a pas été jugé nécessaire de prévoir des palliatifs en cas de défaillance ;

–des extensomètres à corde vibrante (voir la figure 27.16) noyés dans le béton (mesures locales de déformation) ; certains font partie du dispositif d’auscultation optimal (DAO) et doivent être remplacés par des extensomètres de parement en cas de défaillance ;

–des pendules (mesures globales des déplacements horizontaux) ;

–des fils Invar759 (mesures globales des déplacements verticaux) ;

–des dynamomètres sur les quelques câbles de précontrainte dont la gaine n’a pas été remplie de ciment ;

–des pots de nivellement noyés dans le radier, pouvant éventuellement être remplacés par des pots posés en surface ;

–des repères de nivellement ;

–des appareils de mesure de déplacements différentiels.

C’est le recoupement de ces mesures qui permet d’apprécier et de contrôler les déplacements d’ensemble (tassement, inclinaison, variations de diamètre ou de hauteur du fût), les déformations locales (dans les zones courantes ou dans les zones de discontinuité géométrique), et la tension des câbles de précontrainte.

Figure 27.16. À gauche, schéma de principe d’un dispositif à corde vibrante. SFEN ; à droite vue de deux extensomètres installés au sein d’un réseau d’armatures de génie civil, avant le coulage du béton. EDF.

27.6.3.Épreuves et mesures d’étanchéité

Avant la mise en service d’une tranche, l’enceinte (réacteurs de 900 MWe) ou la paroi interne de l’enceinte (autres réacteurs) est soumise à une épreuve globale d’étanchéité et de résistance par mise en pression d’air sec, à la température ambiante, de l’atmosphère intérieure. La pression effective est égale à la pression de calcul qui est égale à la pression d’accident pour les réacteurs de 1 300 MWe et 1 450 MWe ; elle est sensiblement supérieure à cette pression d’accident pour les enceintes revêtues d’une peau métallique afin de représenter l’action de cette peau en cas d’APRP en raison de sa dilatation contrariée par le béton qui reste froid (pression de calcul augmentée de 15 % pour les enceintes des réacteurs de 900 MWe et augmentée de 10 % pour l’enceinte du réacteur EPR Flamanville 3).

Cette épreuve est ensuite renouvelée au cours de l’exploitation des réacteurs, à l’occasion des visites décennales.

Par rapport aux taux de fuite maximaux admissibles spécifiés pour les conditions accidentelles, indiqués plus haut, les taux de fuite admissibles dans les conditions d’épreuve sont obtenus en considérant un coefficient de transposition défini en tenant compte de la différence entre les pressions et températures d’épreuve et les conditions accidentelles.

Parmi les actions préalables à une épreuve, figurent diverses inspections visuelles (des parements accessibles des parois, des peaux d’étanchéité…) et des mesures des fuites au niveau des traversées (tampon d’accès des matériels, sas pour le personnel, tube de transfert du combustible entre le bâtiment du réacteur et le bâtiment d’entreposage du combustible, etc.) – ces mesures sont en outre réalisées à chaque arrêt pour rechargement du combustible dans le cœur.

La mesure du taux de fuite (global) se fait par la mesure de la pression, de la température et de l’hygrométrie de l’air contenu dans l’enceinte au cours des différents paliers de montée jusqu’à la pression d’épreuve.

Par ailleurs, dans les réacteurs français, un système, dénommé SEXTEN, permet de surveiller en permanence et de manière automatique l’étanchéité globale des enceintes de confinement ; il est fondé sur le suivi de la pression dans l’enceinte et des apports d’air de régulation. En cas de fuite significative, il permet, par des manœuvres successives d’isolement des traversées par des opérateurs, de déterminer la traversée concernée.

De plus, dans le cas des réacteurs de 1 300 MWe et 1 450 MWe, une mesure du taux de fuite de la paroi externe est également réalisée lors des épreuves décennales. Ce qui importe est d’empêcher toute fuite de l’espace entre enceintes vers l’extérieur autrement que par le système de filtration-extraction (EDE). Par conséquent, il s’agit de maintenir une dépression en tout point de l’espace situé entre les enceintes pour compenser les phénomènes de succion dus au vent. Des taux de fuite admissibles ont ainsi été spécifiés pour les enceintes externes. Une vérification du taux de fuite des enceintes externes est également réalisée tous les cycles de fonctionnement (alors que le réacteur est en fonctionnement) par des essais périodiques du système EDE.

27.6.4.Principales anomalies observées

Quelques anomalies ont été relevées grâce aux dispositions de surveillance en service évoquées ci-dessus. La plus notable concerne la paroi interne des enceintes des réacteurs de 1 300 MWe et 1 450 MWe. Pour plusieurs d’entre elles, le taux de fuite mesuré au cours des épreuves en air a dépassé la valeur maximale prévue, notamment pour les réacteurs n° 1 des centrales nucléaires de Belleville-sur-Loire et de Flamanville. Un confinement satisfaisant pouvait toutefois être assuré par le système de ventilation de l’espace entre les deux parois (système EDE).

Des campagnes d’investigation et de nouvelles épreuves ont permis de cartographier les fuites. Des zones de fuites importantes ont été trouvées dans des zones singulières, par exemple à la périphérie du tampon d’accès des matériels, mais des fuites diffuses globales existaient aussi. Différents mécanismes ont été avancés pour expliquer des fuites :

–insuffisance des injections de résine entre les différentes « levées de bétonnage » face aux mécanismes de retrait et de fluage,

–dessiccation du béton dans le temps, coalescence progressive de microfissures d’origine.

La recherche des fuites et les travaux effectués pour retrouver une étanchéité adéquate ont nécessité des durées très importantes d’arrêt des réacteurs concernés. Ces travaux ont consisté, d’une part à injecter ou réinjecter de la résine dans les réseaux prévus à cet effet, d’autre part à mettre en place un revêtement composite à l’intérieur des enceintes, dans les zones les plus fuyardes. Toutefois, l’efficacité de ces dispositions n’est pas assurée sur le long terme compte tenu du vieillissement des structures, tout particulièrement dans la perspective de la prolongation du fonctionnement des réacteurs au-delà de 40 ans, et EDF explore diverses pistes.

702.Il doit être souligné que pour le présent chapitre, différentes sources ont été utilisées et tout particulièrement l’ouvrage, très complet, intitulé « La maintenance des centrales nucléaires » de Jean-Pierre Hutin – EDF/Lavoisier Tec&Doc, 2016 ; quelques extraits en ont été tirés. L’article « Confinement. Enceintes » de Jean-Louis Costaz, des Techniques de l’ingénieur, réf. B3290 V2 de 1997 a également été utilisé.

703.Que ce soit par le concepteur, ses fabricants ou les organismes de contrôle (notamment la Direction des équipements nucléaires pour ce qui concerne le circuit primaire principal et le circuit secondaire principal des chaudières nucléaires).

704.Voir le paragraphe 8.2.2.

705.Y compris les « tubulures » et le couvercle.

706.Cet accident, initialement classé dans les conditions de fonctionnement de 4e catégorie, a ensuite été reclassé en 3e catégorie pour les études de conception, ce qui a été appliqué dès les études de conception des réacteurs du palier N4.

707.Éléments établis en collaboration avec Simon Liu de l’ASN/DEP et Remy Catteau de l’ASN/DCN.

708.Et en considérant la propagation des défauts dans la période considérée.

709.Les coefficients ne sont pas spécifiés pour les situations de deuxième catégorie, mais l’arrêté de 1974 stipule néanmoins à leur égard que le « constructeur montrera que […] l’appareil ne présente aucun risque de déformation progressive ni de fissuration progressive pendant la durée d’utilisation prévue » de l’équipement.

710.Ces programmes sont abordés au chapitre 30 consacré aux réexamens périodiques.

711.Le lecteur pourra s’il le souhaite consulter sur ce sujet le chapitre 10.1.2 de l’ouvrage intitulé « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

712.Ces dégradations ont conduit à une dissémination de combustible dans le circuit primaire.

713.Augmentation de diamètre.

714.Hétérogénéités dans les concentrations locales d’espèces chimiques. Une concentration en carbone plus élevée que celle attendue dans certaines parties de la cuve (fond et couvercle) du réacteur EPR Flamanville 3 a par exemple été portée à la connaissance des organismes de sûreté en 2014. EDF et Areva ont mené des analyses pour déterminer si des pièces forgées installées sur le parc nucléaire en exploitation pouvaient être affectées par de telles hétérogénéités. Ces analyses ont montré qu’une telle anomalie pouvait concerner 46 générateurs de vapeur dont les fonds avaient été fabriqués par Creusot Forge et Japan Casting & Forging Corporation.

715.Matières indésirables métalliques ou non, réparties dans un métal ou alliage.

716.Divers éléments qui suivent sont issus de l’ouvrage de Jean-Pierre Hutin cité au début du présent chapitre (chapitre 10, paragraphes 1.3 et 4.1 de cet ouvrage). D’autres anomalies sont mentionnées dans cet ouvrage, concernant les liaisons (soudures) bimétalliques (LBM) qui permettent, entre autres, d’assembler les gros composants en acier ferritique revêtu avec les tuyauteries en acier inoxydable austénitique du circuit primaire principal. Ces liaisons sont particulièrement contrôlées au stade de la fabrication car leur caractère « non ruptible » doit être démontré pour la durée de vie du réacteur. La réalisation de ces liaisons implique des opérations successives permettant d’assurer une bonne soudabilité des matériaux, avec un premier beurrage de la partie en acier ferritique revêtue puis le remplissage du chanfrein entre le beurrage et un embout en acier inoxydable austénitique. Une dernière opération de traitement thermique de détensionnement est réalisée au stade final de la fabrication afin d’améliorer la ductilité des zones affectées thermiquement. Cette étape joue aussi un rôle sur la redistribution des contraintes résiduelles.

717.C’est-à-dire qui traversent les grains du matériau. Des défauts sont qualifiés d’intergranulaires quand ils sont localisés entre les grains.

718.Il avait été raccordé au réseau électrique en 1978.

719.Ce matériau comporte du nickel, 15 % de chrome et 10 % de fer. L’expression « alliage de type 600 » sera préférentiellement utilisée dans la suite du texte, comme pour d’autres nuances (« alliage de type 690 » par exemple), à la place de « Inconel 600 », Inconel étant une marque déposée de Special Metals Corporation désignant différents alliages de métaux.

720.Les évents sont de petits tubes traversant le couvercle, permettant le dégazage de la cuve lors de la mise ou remise en service du réacteur. Ils sont ensuite bouchés.

721.Il peut être noté qu’une fuite d’évent (en alliage de type 600) est survenue en 2010 dans le réacteur n° 3 de la centrale nucléaire coréenne de Yong-Gwang.

722.L’azote 13 est produit dans l’eau de refroidissement du cœur du réacteur, sa décroissance radioactive conduit à l’émission de deux rayonnements γ de 511 keV (de directions opposées), avec une période radioactive de dix minutes.

723.Cette centrale, située dans l’État de l’Ohio, comporte un seul réacteur à eau sous pression, d’une puissance de 837 MWe.

724.Il est à noter que cet événement a été classé au niveau 3 de l’échelle INES.

725.Le risque de corrosion sous contraintes est d’autant plus élevé que la température est élevée.

726.La sensibilité des tubes de générateur de vapeur en alliage de type 600 a été identifiée en laboratoire puis constatée sur les sites dans les années 1980. Le programme de surveillance des tubes est spécifique et distinct du dossier « zones en Inconel » pour des raisons historiques et liées à la spécificité des méthodes de contrôle.

727.Les adaptateurs périphériques ont un niveau de contraintes résiduelles élevé en raison de la géométrie spécifique du soudage ; de plus, ils ne bénéficient pas du traitement thermique de détensionnement du couvercle.

728.Dispositifs étanches de traversée du fond de la cuve permettant le passage de l’instrumentation du cœur (système RIC).

729.Quelques travaux de R&D sur la corrosion sous contraintes des alliages à base de nickel sont notamment évoqués dans le paragraphe 10.1 de l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

730.Décision DSIN-BCCN/MP/AR n° 010067 du 5 mars 2001.

731.Le traitement de détensionnement est un traitement thermique destiné à diminuer (ou relaxer) les contraintes induites par la fabrication, notamment le soudage.

732.Arrivée plus ou moins brutale d’eau à une température inférieure à celle de l’eau initialement présente auprès ou dans la structure (par exemple la cuve d’un réacteur).

733.Quelques programmes sont évoqués dans le paragraphe 10.1 de l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

734.Ces transitoires entraînent dans la cuve des écoulements complexes. Des essais sont réalisés sur des maquettes et dans des boucles afin d’apporter des éléments de connaissance parfois inaccessibles par la simulation numérique, ou sujets à de fortes incertitudes.

735.Rotterdamsche Droogdokmaatschappij (RDM).

736.Ainsi que quelques experts de l’ASN, de l’IRSN, de la GRS…

737.Le dudgeonnage consiste à élargir la partie d’un tube de générateur de vapeur introduite dans la plaque tubulaire pour qu’il y ait contact continu entre le tube et cette plaque ; cela évite les crevasses, sièges possibles de corrosions importantes. Le tube est ensuite soudé, du côté de la boîte à eau. Plusieurs techniques ont été successivement utilisées pour limiter les contraintes induites.

738.Intergranular Corrosion.

739.Aussi appelée fatigue sous environnement vibratoire. Elle est liée à l’interaction entre un fluide et une structure, à l’existence de turbulences et à un phénomène appelé par les spécialistes « instabilité fluide-élastique ».

740.Le débit de fuite a atteint 400 L/h en 2006 dans le cas du réacteur n° 4 de la centrale nucléaire de Cruas-Meysse, ce qui est une valeur peu inférieure à celle qu’engendrerait une rupture complète de tube.

741.Des fuites et des percements de tubes dus à des corps migrants (par usure) sont survenus ensuite, mais sans rupture franche.

742.Les tests à l’hélium sont également utilisés pour identifier le ou les tubes présentant une fuite quand un signal global a été détecté.

743.Les tubes des générateurs de vapeur des réacteurs du palier N4 sont en alliage de type 690 TT.

744.Mise en température par passage de vapeur d’eau.

745.Spécificité du type de générateur de vapeur qui équipait la centrale nucléaire de Cruas-Meysse (modèle 51B).

746.Générateurs de vapeur du type 68/19.

747.Aucune RTGV en France, neuf dans des réacteurs étrangers.

748.Aussi appelé phénomène de bras morts. Il convient d’indiquer ici que d’autres phénomènes thermohydrauliques locaux ont pu être observés : il en est ainsi du phénomène appelé effet chaudière. Il peut arriver qu’un volume d’eau situé entre deux éléments d’isolement soit rempli d’eau et qu’il subisse, au démarrage d’un réacteur, un échauffement conduisant à une déformation de ces éléments telle qu’elle empêche leur manœuvre : cela peut concerner des tronçons de tuyauteries situés entre deux vannes distinctes, ou encore des vannes à double opercule comme celles du système RIS situées à l’extérieur de l’enceinte de confinement. Des refus d’ouverture de vannes du circuit RRA avaient été observés au début des années 1980. Des dispositions ont été prises pour éviter ce type d’anomalies : on peut citer par exemple la mise en place d’un clapet « anti-effet chaudière » dans les vannes à double opercule précitées du système RIS.

749.Fatigue dite à grand nombre de cycles, à opposer à la fatigue dite oligocyclique.

750.Ce facteur d’usage correspond au rapport entre le nombre de sollicitations appliquées à un composant donné et le nombre de sollicitations maximal indiqué par la courbe de fatigue mécanique du matériau de ce composant.

751.Ces travaux sont développés dans le paragraphe 10.1.1 de l’ouvrage intitulé « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

752.Le diamètre intérieur est compris entre 37 et 47 mètres, la hauteur intérieure est comprise entre 55 et 67 mètres. L’épaisseur de la paroi (simple ou paroi interne) est de l’ordre du mètre (plus pour l’EPR).

753.De plusieurs mètres d’épaisseur.

754.Associé néanmoins à une ventilation en fonctionnement normal.

755.De 140 °C à 170 °C selon les types de réacteurs.

756.Certains de ces travaux sont développés au paragraphe 10.2.4 de l’ouvrage intitulé « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

757.Mais remplies de graisse dans le but de protéger les câbles.

758.Une sonde « Pt 100 » est un capteur de température aussi appelé détecteur de température à résistance (RTD) qui est fabriqué à partir de platine. L’élément en platine a une résistance de 100 ohms à 0 °C. Comparativement aux thermocouples, ils présentent les avantages suivants : grande plage de températures de - 200 °C à 850 °C, courbe caractéristique quasi linéaire, précision élevée.

759.L’Invar est un alliage de fer (64 %) et de nickel (36 %) dont la propriété principale est d’avoir un coefficient de dilatation très faible, ce qui le rend propice à la réalisation d’instruments de mesure de grande précision.

Chapitre 28

Le combustible :
gestions, surveillance et évolutions

Le cœur d’un réacteur à eau sous pression est constitué de crayons combustibles760, regroupés en assemblages. Les crayons combustibles sont des tubes métalliques fermés de très faible épaisseur (environ un demi-millimètre) en alliage de zirconium, appelés gaines. À l’intérieur des gaines se trouve le combustible proprement dit (matière fissile sous forme de pastilles). Les principales caractéristiques des assemblages combustibles ont été présentées dans le paragraphe 5.5 : il est rappelé ici que ces assemblages comportent 264 crayons combustibles (265 pour le réacteur EPR), 24 tubes-guides qui permettent l’introduction de crayons absorbants (pour les assemblages « grappés ») et un tube d’instrumentation au centre (sauf dans le cas du réacteur EPR). Les tubes-guides, associés aux grilles et aux embouts, servent de squelette rigidifiant l’assemblage. Les différents éléments constituant un assemblage combustible sont représentés sur les figures 28.1 et 28.2.

Comme cela a été vu au paragraphe 5.2, lors de leur fission, les noyaux d’uranium et de plutonium émettent des neutrons qui peuvent provoquer, à leur tour, d’autres fissions : c’est la réaction en chaîne. Ces fissions dégagent une grande quantité d’énergie qui est transformée en chaleur. L’eau du circuit primaire, qui pénètre dans le cœur par sa partie inférieure à une température d’environ 285 °C, s’échauffe en remontant le long des crayons combustibles et ressort à la partie supérieure du cœur à une température d’environ 320 °C.

Il est rappelé (voir le chapitre 5) que la réaction en chaîne est maîtrisée par des éléments absorbant les neutrons (également sous la forme de crayons), contenus dans les grappes de contrôle ou d’arrêt servant à la régulation de la puissance et à l’arrêt du réacteur, qui s’insèrent dans les assemblages combustibles, ainsi que sous la forme d’acide borique plus ou moins dilué dans l’eau du circuit primaire.

Figure 28.1. À gauche, vue générale d’un assemblage combustible du concepteur Framatome. Larrayadieu Éric/Orano ; à droite schéma montrant quelques-uns de ses composants. Georges Goué/IRSN.

Deux types d’assemblages combustibles sont utilisés dans les réacteurs du parc électronucléaire français :

–des assemblages comportant des crayons combustibles contenant des pastilles d’oxyde d’uranium (UO2) dont l’enrichissement maximum en isotope 235 de l’uranium est actuellement761 de 4,2 %. Ces assemblages sont fabriqués dans diverses usines, françaises et étrangères762 ;

–des assemblages dont les crayons combustible contiennent des pastilles constituées d’un mélange d’oxyde d’uranium appauvri et d’oxyde de plutonium (UPuO2), appelé combustible MOX (voir le paragraphe 5.7). Le combustible MOX est produit par l’usine MELOX de la société Orano Cycle, implantée à Marcoule (Gard). La teneur en plutonium763 est actuellement limitée à 9,08 % (en moyenne par assemblage) et permet d’obtenir une équivalence énergétique avec les assemblages à base d’uranium enrichi chargés dans les réacteurs764.

Figure 28.2. Description et rôle des composants d’un assemblage combustible. IRSN.

Dans le but d’accroître la disponibilité et les performances des réacteurs, EDF étudie et développe, avec les concepteurs et les fabricants concernés, des évolutions des assemblages combustibles, associées à des modalités d’utilisation dans les réacteurs (« gestions de combustible »). Différentes gestions de combustible ont ainsi été mises en place par Électricité de France depuis le démarrage des premiers réacteurs du parc électronucléaire français, chaque gestion étant caractérisée par :

–la nature du combustible, son enrichissement ou teneur (initiale) en matière fissile et, le cas échéant, sa teneur initiale en poison neutronique (gadolinium) ;

–la combustion massique maximale prévue (en moyenne par assemblage), aussi couramment appelé taux de combustion maximal765, pour le combustible lors de son retrait du réacteur, caractérisant la quantité d’énergie extraite par tonne de matière (fissile : U ou Pu), exprimée en GWj/t ;

–la durée nominale d’un cycle de fonctionnement ;

–le nombre d’assemblages combustibles neufs chargés dans le cœur à chaque cycle lors de l’arrêt du réacteur pour renouvellement du combustible (généralement un tiers ou un quart du nombre total d’assemblages combustibles, cet ensemble constituant une « recharge »766) ;

–le mode de fonctionnement du réacteur (possibilités de suivi de charge767, de fonctionnement prolongé à puissance réduite, de prolongation ou de raccourcissement par rapport à la durée du cycle dit naturel768) ; ce mode de fonctionnement détermine les sollicitations subies par le combustible, à prendre en compte pour les justifications de sûreté associées.

Les évolutions réalisées ou envisagées concernent l’accroissement de la combustion massique permise – grâce en particulier à la recherche de matériaux performants pour les gaines des crayons –, l’allongement de la durée des cycles de fonctionnement, l’utilisation du plutonium issu du retraitement de combustibles usés… tout en préservant un niveau de sûreté adéquat.

Bien évidemment, toutes les évolutions touchant aux assemblages combustibles (matériau de gainage, éléments de structure, gestion…) doivent faire l’objet d’un dossier étayé de la part d’Électricité de France, soumis à l’approbation de l’Autorité de sûreté nucléaire ; l’IRSN et, pour certains sujets particulièrement importants ou génériques, le Groupe permanent d’experts pour les réacteurs nucléaires sont notamment sollicités.

#FOCUS

Quelques exemples de gestions de combustible
mises en œuvre pour les réacteurs du parc
électronucléaire français

La combustion massique maximale (en moyenne par assemblage) était initialement de 33 GWj/t. À partir de la fin des années 1980, Électricité de France a mis en place de nouvelles gestions de combustible pour les divers paliers, associées à une augmentation de la combustion massique maximale du combustible. La combustion massique moyenne maximale par assemblage autorisée dans les gestions de combustible en vigueur est de 52 GWj/t, sachant que la combustion moyenne des assemblages déchargés des réacteurs est, suivant les paliers, comprise entre 47 et 52 GWj/t (situation début 2019).

Les gestions de combustible mises en œuvre sont :

–pour les réacteurs de 900 MWe des contrats programmes CPY et hormis ceux qui relèvent de la gestion Parité MOX, la gestion GARANCE (Gestion avancée des REP avec adaptation aux nouveaux cœurs envisagés), qui est caractérisée par l’utilisation d’assemblages à base d’UO2 enrichi à 3,7 % en uranium 235, rechargés par 1/4 de cœur. Cette gestion a été mise en œuvre à partir de 1987 avec une combustion massique maximale autorisée par assemblage de 47 GWj/t ; elle est toujours mise en œuvre pour les tranches n’utilisant pas de combustible MOX (tranches « non moxées »), mais avec une combustion massique maximale autorisée de 52 GWj/t ;

–pour les réacteurs de 1 300 MWe, la gestion GEMMES (Gestion des évolutions et des modifications des modes d’exploitation en sûreté), qui est caractérisée par l’utilisation d’assemblages à base d’UO2 enrichi à 4 % en uranium 235, rechargés par 1/3 de cœur. La durée d’utilisation des assemblages combustibles en gestion GEMMES étant accrue, pour pouvoir disposer de marges suffisantes d’antiréactivité du cœur en début de cycle tout en limitant les concentrations d’acide borique dans l’eau du circuit primaire, un poison neutronique dit consommable, l’oxyde de gadolinium (Gd2O3), est intégré à la matrice du combustible. Cette gestion est mise en œuvre depuis 1996 ;

–pour les réacteurs de 900 MWe du premier groupe dit CP0 (réacteurs de Fessenheim et du Bugey), la gestion CYCLADES (Cycle combustible pour augmenter la disponibilité par évaluation de sûreté), qui est caractérisée par l’utilisation d’assemblages à base d’UO2 enrichi à 4,2 % en uranium 235, rechargés par 1/3 de cœur. L’oxyde de gadolinium est utilisé. Cette gestion est mise en œuvre depuis l’année 2000 ;

–pour les réacteurs de 900 MWe des contrats programmes CPY, la gestion « Parité MOX »769, qui est caractérisée par l’utilisation d’assemblages à base d’UO2 enrichi à 3,7 % en uranium 235 et d’assemblages MOX d’une teneur moyenne de 8,65 % en plutonium, rechargés par 1/4 de cœur. La combustion massique maximale est de 52 GWj/t, comme pour les assemblages UO2 (« Parité MOX 52 »). Cette gestion a été mise en œuvre à partir de 2007 ; comme indiqué plus haut, une teneur de 9,08 % en plutonium est autorisée depuis 2017 pour tenir compte de l’évolution isotopique du plutonium provenant du traitement des combustibles usés des REP ;

–pour les réacteurs de 1 450 MWe, la gestion ALCADE (Allonger les campagnes pour améliorer durablement l’exploitation) qui est caractérisée par l’utilisation d’assemblages UO2 enrichi à 4 % en uranium 235, rechargés par 1/3 de cœur, avec de l’oxyde de gadolinium. Cette gestion est mise en œuvre depuis 2007 ;

–enfin, il convient de noter, pour les réacteurs de 1 300 MWe, la gestion GALICE (Gestion avec augmentation limitée de l’irradiation pour le combustible en exploitation), qui était caractérisée par l’utilisation d’assemblages à base d’UO2 enrichi à 4,5 % en uranium 235, rechargés par 1/3 ou 1/4 de cœur. La combustion massique maximale visée pour cette gestion était de 62 GWj/t. Cette gestion de combustible a été mise en œuvre en 2009 pour le réacteur n° 2 de la centrale nucléaire de Nogent-sur-Seine puis abandonnée en 2014 à la suite de l’observation de temps de chute de grappes anormaux en 2012 et 2013 (voir plus loin au paragraphe 28.3.4).

Le processus d’autorisation d’une nouvelle gestion de combustible est généralement long, car il nécessite, de la part des organismes de sûreté, une expertise approfondie des éléments présentés par EDF en vue de justifier le bon comportement du combustible dans toutes les conditions de fonctionnement normal, incidentel et accidentel de l’analyse déterministe de sûreté, et subséquemment le respect des critères associés dont certains évoluent au cours du temps – voir à cet égard le paragraphe 8.4.7 du chapitre consacré à l’étude des conditions de fonctionnement, le chapitre 9 consacré à l’accident de perte de réfrigérant primaire ainsi que le chapitre 35 dans lequel il est question de l’accident d’éjection de grappe de contrôle.

Par ailleurs, la démonstration de la sûreté d’une « recharge » de combustible est portée par un dossier général d’évaluation de la sûreté de la recharge (DGES) qui définit, sur la base des études des conditions de fonctionnement d’un palier de réacteurs et d’une gestion, le programme des études à réaliser à chaque rechargement de combustible et les paramètres clefs770 à vérifier, ainsi que par un document spécifique à la recharge, à savoir le dossier spécifique d’évaluation de la sûreté de la recharge (DSS). La réalisation d’essais physiques au redémarrage d’un réacteur771, dont les résultats sont consignés dans un compte rendu d’essais physiques, contribue à la validation de la démonstration de la sûreté et à la vérification de la conformité du cœur aux études présentées dans le rapport de sûreté.

Les justifications de sûreté associées aux assemblages combustibles relèvent d’études multidisciplinaires : outre la démonstration de leur bon comportement individuel (thermomécanique, mécanique, neutronique, thermohydraulique…) en fonctionnement normal (y compris en suivi de charge, en fonctionnement prolongé à puissance réduite…), incidentel et accidentel, certains aspects spécifiques peuvent aussi devoir être traités, par exemple l’effet de la présence dans le cœur d’assemblages combustibles de différentes conceptions, principalement sur la thermohydraulique dans le cœur (modification de la distribution des débits d’eau entre les assemblages en raison de résistances hydrauliques différentes) ou encore l’effet du plan de chargement des assemblages combustibles (selon leurs taux de combustion) sur la fluence reçue par la cuve.

Le bon comportement des assemblages combustibles est un élément essentiel pour la sûreté d’un réacteur nucléaire. Si les pastilles de combustible ne sont pas considérées en France comme une barrière de confinement au sens indiqué dans le chapitre 6 – même si elles peuvent retenir une partie des produits de fission dans des conditions de fonctionnement pas trop sévères –, les gaines des crayons combustibles constituent la première barrière de confinement dont l’intégrité (ce qui suppose son étanchéité) est une exigence de conception à l’égard des sollicitations qu’elles subissent en fonctionnement ou dans des conditions dégradées : il s’agit des sollicitations correspondant aux conditions de fonctionnement normal de catégorie 1 (fonctionnement en base, variations de puissance notamment pour le suivi de charge et transitoires de démarrage ou d’arrêt) et de catégorie 2 de l’analyse déterministe de sûreté ; l’étude de thermomécanique des crayons combustibles doit en particulier permettre de démontrer que, dans les conditions de fonctionnement de catégorie 2, la puissance linéique maximale atteinte ne conduit pas à une fusion de pastilles, afin de garantir l’intégrité de la première barrière de confinement.

Quelques-unes des sollicitations que peuvent subir les gaines des crayons combustibles en fonctionnement normal sont succinctement évoquées ci-après ; elles sont à prendre en compte pour leur conception et celle des assemblages combustibles, ainsi que pour la démonstration de sûreté.

En exploitation, une grande partie des sollicitations subies par les gaines résultent des évolutions locales de puissance dues aux transitoires normaux d’exploitation (suivi de charge, fonctionnement prolongé à puissance réduite…). Lors de ces transitoires, dans un crayon combustible, les dilatations thermiques différentes des pastilles de combustible et de la gaine peuvent conduire à endommager ce crayon, notamment par interaction entre les pastilles de combustible et la gaine. De plus, si le dégagement, dans les volumes libres du crayon, de gaz de fission hors des pastilles reste faible jusqu’à une combustion massique d’environ 30 GWj/t, il augmente rapidement au-delà, ce qui conduit à une augmentation de la pression interne dans le crayon.

Par ailleurs, selon le matériau des gaines, un allongement des crayons combustibles au cours du fonctionnement du réacteur peut aussi apparaître jusqu’à créer une interférence mécanique avec les embouts de leurs assemblages. Par ailleurs, l’assemblage lui-même (tubes-guides et embouts) peut, en cas d’allongement excessif, interférer avec la plaque supérieure du cœur. Ces risques sont pris en compte dans les études de conception, en vérifiant l’existence de jeux pour éviter ces situations d’interférence.

D’autres sollicitations potentiellement dommageables pour les gaines sont à considérer, telles que celles qui sont liées aux conditions de maintien des crayons dans les cellules des grilles des assemblages, qui peuvent être altérées sous irradiation et qui, dans certaines conditions, peuvent entraîner des vibrations des crayons et in fine une perte d’étanchéité de gaines.

Le bon comportement des structures des assemblages revêt de plus une importance toute particulière pour la maîtrise de la réactivité, car leurs déformations latérales772 peuvent freiner, voire empêcher, la chute correcte des grappes absorbantes dans leurs tubes-guides.

La surveillance de l’étanchéité des gaines est réalisée en fonctionnement normal par un suivi permanent de l’activité (massique) radiologique de l’eau du circuit primaire. L’augmentation de cette activité au-delà de seuils prédéfinis est le signe d’une perte d’étanchéité de crayons combustibles. Dans ce cas, l’exploitant doit, conformément aux spécifications techniques d’exploitation, mettre en place une surveillance accrue, voire amorcer le repli du réacteur et procéder à son arrêt dans des délais fixés. Après quoi il doit rechercher et déterminer le (ou les) assemblage(s) contenant des crayons inétanches.

Le but du présent chapitre est de développer de façon succincte trois sujets773 :

–les modalités de surveillance de l’étanchéité des crayons combustibles et les évolutions qui ont concerné ces modalités,

–les évolutions du matériau de gainage,

–quelques anomalies et événements significatifs survenus ayant concerné des crayons ou des assemblages combustibles, ainsi que les dispositions prises par EDF pour y remédier.

28.1.Modalités de surveillance de l’intégrité
des crayons combustibles

La surveillance de l’intégrité des crayons combustibles, plus précisément des gaines, repose sur des indicateurs calculés à partir de la radioactivité du fluide primaire, auxquels sont associées des valeurs limites (dénommées spécifications radiochimiques) ; des contrôles sont de plus réalisés directement sur les assemblages combustibles soupçonnés d’inétanchéité du gainage des crayons, après extraction du cœur.

28.1.1.Les spécifications radiochimiques du fluide primaire

Il convient tout d’abord de souligner que, dans un réacteur à eau sous pression, les mesures de la radioactivité du fluide primaire et les spécifications radiochimiques associées ont plusieurs objectifs :

–la surveillance de l’étanchéité de la première barrière de confinement ; cela vise notamment à détecter d’éventuels phénomènes génériques d’endommagement (tels que le fretting dont il sera question au paragraphe 28.3.2) et à mettre en œuvre des dispositions palliatives ou correctives ;

–la réduction à des valeurs aussi faibles que raisonnablement possible, en quantité et en nocivité, d’une part des rejets radioactifs liquides et gazeux du réacteur, d’autre part des déchets radioactifs résultant du traitement de l’eau du circuit primaire et, plus largement, des matériels qui ont été en contact avec le fluide primaire ;

–la réduction à des niveaux aussi faibles que raisonnablement possible de la radioactivité du circuit primaire pour limiter les doses reçues par les travailleurs – notamment ceux qui sont amenés à opérer auprès de composants du circuit primaire774 –, ainsi que par les personnes du public en cas de rejet de fluide primaire dans l’environnement (par exemple en cas de rupture d’un tube de générateur de vapeur).

Dans la suite du présent chapitre, il sera essentiellement question du premier objectif, sachant que la surveillance de l’activité du fluide primaire et le respect de critères associés contraignants ont un effet favorable à l’égard d’autres objectifs, notamment en réduisant les conséquences radiologiques, dans l’environnement ou pour les personnes du public, de ruptures accidentelles de tubes de générateur de vapeur.

La présence de produits de fission dans l’eau du circuit primaire indique la présence, dans le cœur du réacteur, de crayons combustibles dont la gaine n’est pas étanche. En effet, en fonctionnement normal, les produits de fission formés dans la matrice combustible restent prisonniers au sein des crayons : s’ils peuvent sortir de cette matrice775, tels que ceux sous forme gazeuse (xénon, krypton), ils demeurent confinés dans la gaine étanche et s’accumulent dans les volumes libres du crayon, dont l’espace situé entre les pastilles et la gaine (aussi appelé jeu pastille-gaine). En fait, une très faible radioactivité due à des produits de fission est observable en toutes circonstances dans l’eau du circuit primaire en raison de l’inévitable contamination des crayons par des résidus de combustible au cours de leur fabrication ; mais une augmentation notable de la radioactivité de l’eau du circuit primaire traduit sans ambiguïté un défaut d’étanchéité d’une ou plusieurs gaines et la sortie subséquente de produits de fission présents dans le(s) jeu(x) pastille-gaine.

S’il convient évidemment, du point de vue de la sûreté, de viser à éviter une perte d’étanchéité de la première barrière de confinement, son caractère extrêmement « divisé » (il y a par exemple plus de 50 000 crayons combustibles dans un cœur de réacteur de 1 300 MWe) et la prise en compte des contraintes industrielles (un renouvellement de combustible ne peut se faire que lors d’un arrêt du réacteur) ont conduit à tolérer, au moins momentanément, certaines pertes d’étanchéité, cela étant traduit en termes de seuils limitant la radioactivité de l’eau du circuit primaire ; cette contamination est évidemment prise en compte dans les études des conséquences radiologiques pouvant résulter des conditions de fonctionnement normales, incidentelles et accidentelles.

Le problème majeur rencontré pour la fixation des seuils résulte de la difficulté d’évaluer correctement l’état de la première barrière de confinement au cours d’un cycle de fonctionnement. En effet, il n’existe pas de méthode simple permettant de déterminer, à partir des données aisément accessibles (principalement les mesures de la radioactivité de quelques-uns des principaux produits de fission), l’état des gaines des crayons combustibles, en termes de nombre et de taille des défauts. La radioactivité relâchée par un défaut dépendant de nombreux paramètres inconnus a priori (taille, position, thermohydraulique locale, taux de combustion et puissance du crayon…) et les phénomènes physiques de relâchement des produits de fission étant encore imparfaitement compris, les modèles de « prédiction » des défauts à partir de la radioactivité de l’eau du circuit primaire présentent des incertitudes significatives et le nombre et la taille des défauts ne peuvent être déterminés de façon fiable qu’a posteriori, après arrêt du réacteur et déchargement des assemblages.

Par ailleurs, au-delà du relâchement direct des produits de fission (notamment gazeux) initialement contenus dans les volumes libres du crayon, les conséquences d’une perte d’étanchéité de la première barrière de confinement peuvent être beaucoup plus importantes.

Ainsi, en cas de défaut d’étanchéité d’une gaine, dit défaut primaire, l’eau du circuit primaire peut pénétrer dans le jeu pastille-gaine et s’y vaporiser ; des phénomènes de radiolyse, d’oxydation de la paroi interne de la gaine et d’oxydation des pastilles vont alors se produire, donnant naissance à de l’hydrogène. Avec le temps, une quantité importante d’hydrogène pourra être absorbée par la gaine et conduire à des défauts dits secondaires dans celle-ci. Mais, si les mécanismes sont bien identifiés, il n’est pas aujourd’hui possible d’en déduire des modèles permettant de prévoir les conditions de rupture776 de gaine associées à de tels défauts secondaires.

En cas de rupture de gaine importante, de l’eau peut pénétrer sous forme liquide dans le jeu pastille-gaine et éroder le combustible, provoquant alors la dissémination de particules solides de combustible dans le circuit primaire. Dans des cas extrêmes, du combustible peut sortir sous forme de fragments de pastille, voire de pastilles entières. Le combustible disséminé ne reste que très peu en suspension dans le fluide primaire, mais se dépose sur les parois des composants du circuit primaire, et, plus particulièrement, dans les zones d’échanges thermiques (assemblages combustibles, tubes des générateurs de vapeur…). Si la part du combustible déposée sur les assemblages combustibles sera éliminée du circuit primaire au cours des arrêts de tranche suivants, du fait des opérations de remplacement normal du combustible, la quantité de matière disséminée hors du cœur se stabilisera après quelques cycles du fait de phénomènes d’érosion, de solubilisation et de redéposition, pour persister jusqu’au démantèlement du réacteur. Une telle dissémination est donc caractérisée par son caractère quasi irréversible, dans le sens qu’une partie du combustible disséminé restera présente dans le circuit primaire et donc à l’extérieur de la première barrière de confinement, cela pendant toute la durée de fonctionnement du réacteur. De plus, une partie de la matière combustible se trouvant exposée au flux neutronique, il se produit des fissions – et donc des produits de fission –, directement dans l’eau du circuit primaire.

Enfin, une dissémination de combustible entraîne une contamination du fluide primaire par des émetteurs α. En particulier, le combustible disséminé a en général été soumis, pendant une fraction de cycle au moins, au flux neutronique au sein du cœur du réacteur. Par captures neutroniques, il y a eu formation, dans ce combustible, d’isotopes transuraniens émetteurs α et cela d’autant plus que la combustion massique qui a été atteinte est élevée777. Ces radioéléments vont alors contaminer les composants du circuit primaire et la fraction déposée dans les zones soumises au flux neutronique verra son activité α augmenter rapidement. Ainsi, en plus des produits de fission émetteurs de rayonnements γ et β, la dissémination de combustible entraîne la présence dans le circuit primaire d’émetteurs α posant des problèmes spécifiques778 en termes de radioprotection des travailleurs (risque de contamination interne779) et de rejets (les concentrations d’émetteurs α dans les effluents liquides et dans les effluents gazeux doivent rester inférieures aux limites de détection dont les valeurs sont fixées, pour chaque centrale, dans une décision de l’Autorité de sûreté nucléaire).

Dès le démarrage des premières tranches du parc électronucléaire français, EDF a donc mis en œuvre une surveillance d’indicateurs de la radioactivité du fluide primaire, avec des seuils associés, plutôt que de faire référence à des paramètres liés à l’état du combustible, souvent extrêmement difficile à déterminer. Mais, au-delà de la fixation de seuils et des actions à mener en cas de dépassement de ces seuils en vue de limiter la radioactivité dans les circuits, le maintien de l’intégrité des gaines doit être considéré comme un objectif en soi compte tenu de l’importance de la première barrière de confinement, ce qui doit conduire l’exploitant à s’interroger sur les évolutions bénéfiques de conception des assemblages et des crayons combustibles.

Plusieurs indicateurs sont utilisés pour le suivi de l’activité du fluide primaire depuis le démarrage des premières tranches du parc électronucléaire français, avec des valeurs de seuils associées qui ont évolué au cours du temps. La signification de ces indicateurs est indiquée succinctement dans le focus plus loin. Ce qui suit n’a pour objectif que de donner un aperçu très résumé des évolutions780.

Pour les tranches 1 et 2 de la centrale nucléaire de Fessenheim, EDF a proposé des spécifications radiochimiques d’exploitation transposées de celles qui étaient retenus par le constructeur Westinghouse (dans leur version d’avant 1975), déterminées à partir du taux de rupture de gaines de 1 % qui était retenu pour le dimensionnement des protections radiologiques et des systèmes de traitement des effluents, ainsi que des ordres de grandeur des conséquences radiologiques admises à la limite du site, notamment en cas d’accident de rupture d’un tube de générateur de vapeur, indiquées au paragraphe 8.1 du présent ouvrage. Mais les organismes de sûreté ont estimé que ces spécifications radiochimiques étaient insuffisantes, ce qui a conduit, à partir du démarrage de ces deux tranches en 1977, aux spécifications radiochimiques du fluide primaire suivantes :

–(A) : informer le Service central de sûreté des installations nucléaires lorsque l’activité massique du fluide primaire dépasse 10 Ci/t (370 GBq/t) pour la « somme des gaz »781 ou 1,12 Ci/t (44 GBq/t) pour l’équivalent d’iode 131 (voir le focus plus loin) ; il était estimé que cela correspondrait à un taux de rupture de gaines d’environ 0,03 % ;

–(B) : amorcer le repli du réacteur vers un état d’arrêt dès l’atteinte d’un seuil de 300 Ci/t (11 100 GBq/t) pour la « somme des gaz ». Par ailleurs, en fonctionnement normal, l’activité en équivalent d’iode 131 devait rester inférieure à 1 Ci/t (37 GBq/t) ; au-delà de cette valeur, une surveillance accrue782 et des actions correctives devaient être mises en œuvre (le fonctionnement en suivi de charge était également suspendu). La poursuite du fonctionnement était tolérée pendant trois mois avec une activité en équivalent d’iode 131 comprise entre 1 et 2 Ci/t ; la poursuite du fonctionnement en puissance pour une activité comprise entre 2 et 3 Ci/t nécessitait un accord explicite du Service central de sûreté des installations nucléaires ; au-delà de 3 Ci/t, un repli du réacteur vers un état d’arrêt devait être amorcé dans les six heures ;

–(C) : pendant les transitoires de puissance, un dépassement des seuils définis en (B) pour l’équivalent d’iode 131 était accepté pendant une durée maximale de 48 heures, à condition de respecter une limite définie en fonction de la puissance.

Après le démarrage des réacteurs de Fessenheim, les spécifications radiochimiques du fluide primaire ont fait l’objet d’évolutions successives, dans un sens plus contraignant et avec l’introduction de nouveaux indicateurs, du fait de la survenue de problèmes particuliers ; sans entrer dans les détails, des évolutions sont intervenues à l’occasion :

–du souhait exprimé par EDF de pouvoir, dans certaines conditions, recharger dans les réacteurs des assemblages inétanches (1979-1980 notamment),

–des phénomènes de « jets de baffle » (voir le paragraphe 27.3.1 – 1981-1984).

De façon générique, voici quelques-uns des seuils adoptés à partir de 1997 :

–concernant la « somme des gaz » :

•150 GBq/t pour le seuil de surveillance accrue (et l’enclenchement d’un transitoire de puissance pour mesurer le « pic d’iode »783 − disposition qui avait été déjà introduite en 1987 à la demande du Service central de sûreté des installations nucléaires),

•500 GBq/t pour le seuil d’amorçage sous 48 heures du repli du réacteur vers un état d’arrêt,

•1 000 GBq/t pour le seuil d’amorçage du repli sous huit heures ;

–concernant l’équivalent d’iode 131 : 4 GBq/t pour le seuil de surveillance accrue, 20 GBq/t pour le seuil d’amorçage sous 48 heures du repli du réacteur vers un état d’arrêt, 40 GBq/t pour le seuil d’amorçage du repli sous huit heures ;

–pour le nouvel indicateur, l’iode 134, utilisé à l’égard des risques de dissémination de combustible : les seuils784 sont 5 GBq/t pour la surveillance accrue et 10 GBq/t pour le seuil d’amorçage sous 48 heures du repli du réacteur vers un état d’arrêt (1 GBq/t correspond à la dissémination de 5 à 7 grammes de combustible UO2).

En 2002, des spécifications radiochimiques plus contraignantes que celles qui ont été indiquées ci-dessus ont été adoptées pour l’ensemble du parc électronucléaire à la suite des dégradations d’assemblages combustibles constatées en 2000 dans le réacteur n° 3 de la centrale nucléaire de Cattenom (réacteur de 1 300 MWe), imputables au phénomène de fretting (voir le paragraphe 28.3.2), qui avaient affecté 92 crayons (principalement de 3e cycle et, dans une moindre mesure, de 2e cycle) : le seuil de déclenchement d’une surveillance accrue par l’indicateur « somme des gaz » a été fixé à 50 GBq/t, son dépassement entraînant en particulier un renforcement de la surveillance de l’activité massique α du fluide primaire et des mesures du rapport des activités massiques des isotopes 134 et 137 du césium (ou « rapport des césiums »785, 134Cs/137Cs), avec un seuil d’amorçage sous 48 heures du repli du réacteur vers un état d’arrêt associé à ce rapport786. Les seuils adoptés en 1997 concernant l’équivalent d’iode 131 n’ont pas été modifiés. Concernant l’iode 134, le seuil d’enclenchement de la surveillance accrue a été abaissé à 2 GBq/t, le seuil d’amorçage sous 48 heures du repli vers l’arrêt du réacteur restant à 10 GBq/t.

Pour le cas spécifique de Cattenom 3, des seuils plus restrictifs ou supplémentaires avaient été retenus pour la poursuite immédiate de son fonctionnement, en particulier :

–une augmentation de 5 GBq/t de l’activité massique du xénon 133 devait déclencher une mesure du rapport 134Cs/137Cs ;

–le repli du réacteur vers un état d’arrêt devait être amorcé sous huit jours si l’activité massique mesurée de l’iode 134 atteignait 1 GBq/t, ou si l’activité massique du xénon 133 augmentait de 20 GBq/t avec un rapport des césiums supérieur à 0,8.

Au mois de juin 2002, les nouvelles spécifications radiochimiques génériques proposées par EDF ont été acceptées par l’autorité de sûreté, qui lui demanda787 de plus « de ne plus recharger d’assemblage combustible détecté inétanche au déchargement, sans extraction des crayons endommagés ou invalidation de la mesure par un contrôle approprié », ce qui constitue une évolution importante par rapport aux pratiques en matière de rechargement d’assemblages en vigueur depuis les années 1980.

Toutefois, après la mise en place des nouvelles spécifications radiochimiques génériques, des défauts d’étanchéité de crayons, imputables au même phénomène de fretting, ont été observés à Cattenom 4 et Nogent 2. Ce phénomène a alors été qualifié de « générique » pour les réacteurs de 1 300 MWe. Des dispositions renforcées ont alors été adoptées, en 2003, pour l’ensemble de ces réacteurs, avec notamment :

–pour l’indicateur « somme des gaz », un seuil de surveillance accrue et d’enclenchement de la mesure du « rapport des césiums » abaissé à 10 GBq/t, un seuil d’amorçage sous 48 heures du repli du réacteur vers l’arrêt abaissé à 50 GBq/t si le « rapport des césiums » est supérieur à 1,4 (valeur autorisant entre 20 et 30 défauts de type fretting sur des crayons de 3e cycle), maintenu à 500 GBq/t sinon,

–pour l’indicateur portant sur l’activité massique d’iode 134, un seuil de 1 GBq/t pour la surveillance accrue et un seuil de 5 GBq/t pour l’amorçage sous 48 heures du repli du réacteur vers un état d’arrêt.

En 2008, EDF, ayant considéré avoir remédié au risque de dégradations de crayons combustibles par fretting, a souhaité revenir à des spécifications radiochimiques communes pour l’ensemble des réacteurs du parc électronucléaire. Pour leur part, les organismes de sûreté ont estimé788 que les dispositions renforcées devaient être maintenues pour les réacteurs de 1 300 MWe, concernant les seuils associés aux indicateurs « somme des gaz » et « iode 134 ».

Ce qui précède montre – s’il en était besoin – toute la difficulté d’appréhender, par un faisceau d’indicateurs, l’état d’endommagement des gaines dans un cœur de réacteur à eau sous pression.

Début 2019, les seuils en vigueur issus des derniers aménagements des spécifications radiochimiques du fluide primaire sont les suivants :

–pour la « somme des gaz » :

•pour les réacteurs de 900 MWe (hors Fessenheim et Bugey), de 1 300 MWe et ceux de la centrale nucléaire de Civaux789 : 10 GBq/t pour le seuil de surveillance accrue (et d’arrêt du suivi de charge), 150 GBq/t pour l’amorçage sous 48 heures du repli du réacteur vers un état d’arrêt790, 1 000 GBq/t pour l’amorçage du repli sous huit heures ;

–pour l’équivalent d’iode 131 (pour tous les réacteurs) :

•lors du fonctionnement en puissance : 4 GBq/t pour le seuil de surveillance accrue (et l’arrêt du suivi de charge), 20 GBq/t pour l’amorçage sous 48 heures du repli du réacteur vers un état d’arrêt, 40 GBq/t pour l’amorçage du repli sous huit heures ;

•lors des transitoires de puissance ou d’arrêt : au-delà de 150 GBq/t le redémarrage ou la poursuite du fonctionnement en puissance sont interdits ;

–pour le xénon 133 et un nouvel indicateur, le « rapport des xénons » (rapport des activités massiques des isotopes 133 et 135 du xénon – voir le focus plus loin), cela pour tous les réacteurs :

•au-delà d’une activité massique du xénon 133 de 185 MBq/t, le réacteur est considéré sans défaut de gaine si le « rapport des xénons » n’excède pas 0,9 ;

•il est dit en présomption de défaut dans le cas contraire ou si l’activité massique du xénon 133 excède 1 GBq/t ; ces seuils déterminent la stratégie de contrôle des assemblages combustibles à la fin du cycle (voir le paragraphe 28.1.2) ;

–pour l’iode 134, pour tous les réacteurs, des seuils sont fixés pour le passage en surveillance accrue (et l’arrêt du suivi de charge) ainsi que pour l’amorçage sous 48 heures du repli vers un état d’arrêt en fonction de l’activité de l’iode 134 en début de cycle et de l’avancement du cycle (exprimé en termes de combustion massique), en vue de mettre en évidence une éventuelle dissémination de matière fissile pendant le cycle en cours.

Ces spécifications radiochimiques continueront bien entendu d’évoluer dans le futur, pour l’ensemble des réacteurs du parc électronucléaire ou pour certains d’entre eux, selon les stratégies d’EDF en matière de combustible, en fonction des événements qui pourraient survenir (apparition de nouveaux types de défauts…), ou encore pour répondre à des objectifs d’amélioration de sûreté. À cet égard – et suite aux observations des organismes de sûreté –, un abaissement de certains seuils est prévu par EDF dans le but de réduire les conséquences radiologiques sur les personnes du public et l’environnement des rejets pouvant résulter de la rupture de tubes de générateurs de vapeur (objectif retenu dans le cadre du projet d’extension de la durée de fonctionnement des réacteurs au-delà de 40 ans et notamment des quatrièmes visites décennales des réacteurs de 900 MWe) ; cela est précisé au paragraphe 30.5.

#FOCUS

Les indicateurs radiochimiques du fluide primaire

Seuls quelques-uns des indicateurs radiochimiques du fluide primaire utilisés par Électricité de France ont été évoqués plus haut, dans le but de faciliter l’appréhension de ce sujet complexe ; le présent focus dresse la liste de l’ensemble des indicateurs utilisés ou qui ont pu l’être – ou encore qui sont ou ont été discutés entre Électricité de France et les organismes de sûreté :

–« somme des gaz » : la mesure de l’activité massique de la somme des gaz (il s’agit des isotopes du xénon et du krypton) dans le fluide primaire permet de suivre avec une bonne réactivité l’état des gaines des assemblages combustibles car les gaz de fission sortent en général assez facilement par les défauts des gaines ; il est cependant très difficile de relier cette mesure au nombre de défauts, hormis dans des cas très particuliers où l’origine des défauts présents dans le cœur est connue ;

–133Xe, « rapport des xénons » : le 133Xe et le 135Xe sont pris en compte dans l’indicateur « somme des gaz ». Le 133Xe fait partie des produits de fission prépondérants ; sa période est suffisamment courte (5,2 jours) pour qu’il soit à l’équilibre au bout de quelques semaines de fonctionnement du réacteur et suffisamment longue pour que l’on puisse mesurer efficacement son activité massique par échantillonnage ; enfin, en cas de défaut des gaines, une augmentation de son activité massique dans le fluide primaire est rapidement détectée, même sans variation significative de l’activité massique des iodes. Après l’événement de Cattenom 3, Électricité de France a aussi retenu un suivi spécifique du rapport des activités massiques des isotopes 133 et 135 du xénon (133Xe/135Xe), qui permettrait – selon son analyse – de détecter le plus rapidement possible l’apparition de (petits) défauts et de mettre en place une surveillance particulière du fluide primaire (notamment de l’activité α) ;

–équivalent 131I : l’iode 131 revêt une grande importance compte tenu de sa radiotoxicité et de sa période radioactive (environ huit jours) ; afin de disposer d’un indicateur de radioprotection lié au risque de contamination interne thyroïdienne, une activité massique d’un équivalent d’iode 131 a été définie comme la somme des activités massiques des différents isotopes de l’iode pondérées par leurs coefficients de dose ;

–« activité au pic d’iode » : les différents isotopes de l’iode ne sortent d’un crayon combustible inétanche que lorsque le ou les défauts de sa gaine sont importants ou lors de transitoires de puissance conduisant à une entrée d’eau dans la gaine et au « lessivage » du jeu pastille-gaine. Une certaine quantité d’iode peut ainsi se retrouver dans le fluide primaire – en sus de celle qui est mesurée en régime stabilisé – lors d’un arrêt automatique du réacteur résultant d’une rupture de tubes de générateur de vapeur, et conduire à des rejets importants. Aussi, depuis 1987, dans le but de vérifier que l’activité massique d’équivalent 131I ne dépasse à aucun moment une valeur de 150 GBq/t, y compris lors des transitoires, un transitoire de puissance (baisse de charge) est effectué lorsque l’activité massique de la « somme des gaz » atteint 150 GBq/t. La remontée en puissance du réacteur est interdite si le « pic d’iode » dépasse 150 GBq/t ;

–134I : de courte durée de vie (inférieure à une heure) et piégé dans le jeu pastille-gaine, l’iode 134 n’est quasiment pas relâché par les défauts des gaines, à moins que ceux-ci ne soient très grands. Lorsque de l’iode 134 est en quantités significatives dans le fluide primaire, il est principalement produit par deux mécanismes, à savoir, d’une part par les fissions de noyaux de combustible disséminé déposés dans les zones soumises au flux neutronique, d’autre part par les gros défauts mettant le combustible en contact direct avec le fluide primaire. L’iode 134 est à ce jour le meilleur indicateur d’une dissémination de combustible dans le fluide primaire pour les réacteurs à eau sous pression, même si l’activité associée ne traduit qu’imparfaitement la quantité de combustible sortie ou pouvant sortir des crayons ;

–« rapport des césiums » : le rapport des activités massiques des isotopes 134 et 137 du césium (134Cs/137Cs) a été introduit dans les spécifications radiochimiques du fluide primaire pour évaluer la combustion massique des crayons présentant des défauts d’étanchéité. Son utilisation doit toutefois être faite avec prudence, compte tenu des incertitudes associées ;

–activité α : en raison des questions soulevées par la présence d’émetteurs α en termes de radioprotection, de rejets et de déchets, il est apparu pertinent de fixer une valeur limite de l’activité α en tant que telle, indépendamment des quantités de matières correspondantes disséminées dans le circuit primaire, difficilement évaluables.

28.1.2.Contrôles et mesures effectués directement
sur les assemblages combustibles

Des contrôles d’étanchéité des gaines des assemblages combustibles sont effectués lors d’un arrêt de réacteur pour renouvellement du combustible dans le cœur, lorsque l’activité du fluide primaire en fin de cycle ne respecte pas un certain nombre de critères permettant de considérer qu’il n’y a pas d’inétanchéité des gaines791, à savoir :

–activité massique du xénon 133 inférieure à 1 GBq/t,

–« rapport des xénons » (133Xe/135Xe) inférieur à 0,9 (voir le focus ci-dessus),

–absence de « pic d’iode » en transitoire.

Plusieurs dispositions peuvent être mises en œuvre par EDF pour contrôler directement des assemblages combustibles sortis du réacteur :

–un ressuage dans le mât de la machine de déchargement,

–un ressuage dans une cellule dédiée du bâtiment du combustible (« cellule BK »),

–des contrôles des crayons eux-mêmes.

À cela, il convient d’ajouter d’autres types de contrôles, de nature géométrique, effectués sur les structures des assemblages, tels que par exemple ceux qui sont effectués avec le dispositif amovible de mesure des assemblages combustibles (DAMAC – voir la figure 28.3). Ces contrôles n’ont pas pour but de contrôler l’étanchéité des gaines, mais ils permettent de mieux connaître le comportement des composants des assemblages combustibles dont les évolutions peuvent conduire à différentes difficultés, pas nécessairement des pertes d’étanchéité des gaines. Seuls les assemblages déchargés de quelques réacteurs jugés les plus sensibles font l’objet de ce type de contrôles.

Le DAMAC a été développé pour mesurer, dans la piscine du bâtiment du combustible (BK), les déformations latérales des assemblages combustibles en effectuant des mesures par ultrasons du décalage latéral de chaque grille de maintien des crayons combustibles par rapport à l’axe central de l’assemblage. Cet examen permet d’éviter de recharger ou de « grapper » – dans les réacteurs concernés – des assemblages combustibles dont les déformations pourraient empêcher la chute correcte des grappes absorbantes.

Figure 28.3. Le dispositif DAMAC (source EDF).

28.1.2.1.Ressuage dans le mât de la machine de chargement

Dès que, lors de l’arrêt du réacteur, il y a « présomption de défaut »792, l’exploitant contrôle tous les assemblages déchargés du cœur du réacteur à l’aide d’un dispositif de ressuage implanté dans le mât793 de la machine de chargement (et de déchargement) – appelé DRMC –, qui a été développé dans les années 1980. Pour être efficace, ce contrôle doit être effectué dans les 20 jours (quatre périodes radioactives du xénon 133, isotope qui est mesuré avec ce dispositif) qui suivent l’arrêt du réacteur. Ce délai est suffisant pour effectuer le déchargement des assemblages combustibles en l’absence de problème particulier.

Le principe de la mesure est le suivant : lors de la montée d’un assemblage combustible depuis son emplacement dans le cœur du réacteur jusqu’au mât de la machine de chargement (et de déchargement), la différence de pression entre l’intérieur et l’extérieur de chaque crayon combustible varie d’environ 0,9 bar (déplacement vertical d’environ neuf mètres) ; cela entraîne le relâchement de produits de fission (dont le xénon 133) par les crayons non étanches dans l’eau contenue dans le DRMC et dans l’eau de la piscine du réacteur. Une fois en position haute dans le mât, l’assemblage contrôlé est balayé par de l’air qui entraîne les produits de fission émis par les crayons non étanches. Le mélange d’air et de produits de fission est aspiré dans un dispositif de comptage où l’activité volumique du xénon 133 est mesurée en continu.

Le dépouillement des résultats permet de classer les assemblages combustibles en trois catégories :

–assemblages sains,

–assemblages douteux,

–assemblages non étanches.

Les assemblages sains qui ne sont pas rechargés sont envoyés en l’état à l’usine de retraitement après un séjour dans la piscine du bâtiment du combustible. Les assemblages non étanches sont conditionnés dans des « bouteilles »794. Les assemblages douteux sont, quant à eux, contrôlés dans la « cellule BK ».

28.1.2.2.Ressuage dans la « cellule BK »

La réalisation de contrôles d’assemblages combustibles dans la « cellule BK » intervient lorsque :

–soit le temps de refroidissement des assemblages est supérieur à 20 jours (le ressuage dans le DRMC est alors inapproprié) ;

–soit des assemblages sont déclarés « douteux » à l’issue du contrôle par ressuage dans le DRMC, dans le but de déterminer s’ils sont étanches avant de les recharger dans le réacteur,

–soit le ressuage n’a pas permis d’identifier le ou les assemblages inétanches alors qu’il y avait « présomption de défaut » ; tous les assemblages combustibles destinés à être rechargés doivent alors faire l’objet d’un ressuage dans la « cellule BK ».

L’assemblage combustible à contrôler est placé successivement dans une cellule, dite cellule BK, étanche et isolée thermiquement, implantée dans la piscine du combustible. Cette cellule est équipée d’un circuit d’eau permettant de chauffer et de refroidir l’eau de l’assemblage et d’un circuit d’air permettant un balayage de l’assemblage. Le chauffage de l’eau favorise le relâchement de radionucléides dans la cellule en cas de défauts d’étanchéité de gaines. Des mesures de radioactivité sont effectuées par un comptage en ligne sur un échantillon prélevé de fluide du circuit d’eau ou du circuit d’air de balayage.

Contrairement au ressuage dans le DRMC, pour lequel la mesure est effectuée en continu, dans la « cellule BK », la mesure de l’activité des produits de fission intervient de façon différée, permettant l’accumulation de radionucléides, ce qui rend la méthode plus sensible. Cependant, les « cellules BK » sont plus sensibles aux phénomènes de pollution, notamment par les produits de corrosion déposés sur les assemblages, ce qui peut rendre difficile la mesure de l’activité des césiums.

À la suite des contrôles dans la « cellule BK », les assemblages combustibles sont classés en deux catégories :

–assemblages sains,

–assemblages non étanches.

Si, après les mesures effectuées dans la « cellule BK », un assemblage est considéré comme non étanche, il n’est pas rechargé dans le réacteur, conformément à la demande de l’autorité de sûreté faite en 2002 (voir plus haut).

Il est à noter que, jusqu’en 2002, une caractérisation de la taille des défauts était effectuée à partir de la cinétique de relâchement des produits de fission, pour distinguer les assemblages combustibles pouvant être rechargés. Cette pratique a depuis lors été abandonnée.

28.1.2.3.Contrôles effectués sur les crayons combustibles

Contrôles par ultrasons

Les différents dispositifs existants de localisation des crayons de combustible non étanches dans un assemblage combustible, tels que les outillages qui ont été développés par Areva (ECHO 330 et ECHO monosonde) ou par Westinghouse (AFIS), reposent sur le même principe, à savoir la mesure de l’affaiblissement d’un signal ultrasonore lors de son parcours sur une partie de la circonférence de la gaine, affaiblissement qui traduit la présence d’eau dans le jeu pastille-gaine au droit de la mesure. Les capteurs à ultrasons sont disposés sur un peigne qui est inséré dans les espaces entre les crayons. L’ensemble des crayons sont contrôlés à partir des quatre faces de l’assemblage combustible examiné. Le dispositif est posé sur les racks de la piscine d’entreposage du combustible et l’assemblage à examiner est suspendu au pont-passerelle. Le calibrage de chaque sonde est réalisé à l’aide d’une maquette contenant des crayons étalons, les uns remplis de sable sec simulant les crayons étanches, les autres remplis d’un mélange de sable et d’eau simulant les crayons non étanches ; l’exploitant en déduit, pour chaque sonde, un seuil S d’affaiblissement du signal correspondant à un crayon inétanche (pourcentage d’affaiblissement du signal dans le cas d’un crayon rempli d’eau).

Les mesures sont réalisées au bas des crayons combustibles, immédiatement au-dessus de la première grille, zone potentielle d’endommagement des gaines et donc de présence d’eau à l’intérieur des crayons (fretting, corps migrants…). Les valeurs d’atténuation du signal constatées pour les différents crayons sont comparées aux seuils S des sondes et les crayons sont classés en trois catégories : étanches, non étanches et douteux. Dans ce dernier cas, un contrôle peut être réalisé à un niveau supérieur.

Il faut noter à ce sujet que, si un crayon combustible n’est pas étanche et qu’il n’y a pas d’eau au droit de la ou des zones contrôlées, il y a risque de recharger dans le cœur du réacteur des assemblages potentiellement inétanches. Par ailleurs, un certain nombre d’éléments peuvent venir perturber les signaux (dépôts, interactions entre pastilles et gaines, couche d’oxyde…), entraînant dans ce cas un risque de surestimation du nombre de crayons combustibles non étanches.

Les dispositifs précités sont utilisés pour la détermination des crayons non étanches dans les assemblages combustibles qui ont été identifiés comme non étanches lors du ressuage dans le mât de la machine de chargement (et de déchargement) ou dans la « cellule BK » et qui sont destinés à être rechargés (après remplacement des crayons défectueux, éventuellement par des crayons postiches).

Autres contrôles

Une inspection télévisuelle d’un assemblage combustible peut être réalisée par défilement d’une caméra vidéo devant chacune de ses quatre faces dans la piscine d’entreposage du combustible ; elle permet d’obtenir de premières vues d’un assemblage non étanche. Si l’état des crayons combustibles périphériques de l’assemblage apparaît assez nettement sur de telles vues, il est souvent difficile d’apprécier l’état des crayons situés au cœur de l’assemblage. Une légère rotation de l’assemblage peut toutefois apporter des informations intéressantes (présence de corps migrants, boursouflures…) en rendant possible une visualisation entre les rangées des crayons combustibles. Cet examen peut permettre, dans certains cas, d’identifier un ou des crayons combustibles défectueux, et parfois de déterminer directement la cause des défaillances. L’enregistrement résultant d’une inspection télévisuelle est systématiquement envoyé au fournisseur de l’assemblage combustible non étanche concerné pour analyse et pour appréciation, le cas échéant, de l’intérêt ou de la nécessité d’une extraction de crayons.

Pour les assemblages combustibles fournis par Framatome, l’extraction de crayons peut être réalisée avec l’équipement dénommé station RSA « réparation simplifiée AFA ». Après démontage de la tête de l’assemblage, une pince permet de saisir le bouchon supérieur du crayon combustible que l’on veut extraire. Une fois l’assemblage installé dans un dispositif appelé descenseur, le crayon est extrait en déplaçant le descenseur vers le bas. Un dispositif permet d’enregistrer l’effort d’extraction, qui doit être inférieur à un seuil spécifié. Pour les assemblages combustibles fournis par Westinghouse, l’extraction des crayons est effectuée au moyen de la station NFEP (New Fuel Elevator Platform), dont le principe est identique à celui de la station RSA.

La station RSA permet l’examen d’un crayon combustible individuel, après son extraction, en vue de localiser ses défauts. Pour cette recherche, le crayon extrait défile verticalement dans une bobine à courants de Foucault, qui permet d’explorer rapidement toute la longueur du crayon et de sélectionner les zones à examiner par des moyens télévisuels ; une caméra équipée d’un éclairage spécifique est alors placée suffisamment près du crayon pour permettre de l’examiner avec un grossissement important. Pendant le défilement du crayon, un enregistrement vidéo est effectué. Si un défaut est détecté, un arrêt sur image permet généralement un examen plus détaillé. Néanmoins, cet examen télévisuel reste délicat.

Des expertises dans un laboratoire adapté peuvent ensuite être menées sur certains crayons combustibles défectueux.

Les procédés et dispositifs de contrôle des assemblages et des crayons combustibles présentés ci-dessus ont dans les faits une fiabilité relative, malgré les améliorations apportées au fil du temps (notamment, à partir de 2007, la rénovation des baies de contrôle-commande du dispositif de ressuage de la machine de chargement). Des analyses plus fines des séquences de ressuage ont aussi été mises en œuvre par EDF, en vue d’identifier d’éventuels pics anormaux sur les enregistrements. Il en résulte que les contrôles par ressuage dans le mât de la machine de chargement et dans la « cellule BK » peuvent donner des résultats singuliers dont l’interprétation, en vue d’une décision, ne va pas de soi ; de ce fait, quelques assemblages combustibles douteux, voire non étanches, peuvent se trouver être rechargés dans les réacteurs.

28.2.Retour d’expérience et évolutions
du matériau de gainage

Les gaines des crayons combustibles des réacteurs du parc électronucléaire français ont d’abord été réalisées en Zircaloy-4 (hormis celles de Chooz A qui étaient en acier), un alliage métallique à base de zirconium, contenant de l’étain et d’autres éléments. Le zirconium s’est imposé comme matériau pour les gaines des réacteurs nucléaires à eau légère notamment parce qu’il absorbe peu les neutrons795.

Après une quinzaine d’années d’utilisation du Zircaloy-4 pour les gaines des crayons combustibles, la fiabilité des assemblages correspondant apparaissait relativement satisfaisante jusqu’à des combustions massiques d’environ 45 GWj/t, avec un premier retour d’expérience du comportement en suivi de charge : le taux d’inétanchéité des gaines était de l’ordre de quelques 10-5, du fait d’aléas ou de mécanismes propres aux crayons (défauts de fabrication…), indépendamment des causes externes possibles de dégradation (« jets de baffles », corps migrants…) – et hors situations accidentelles.

Mais il est ensuite apparu dès les années 1980, avec l’augmentation des combustions massiques maximales autorisées pour les différents types de combustible du parc électronucléaire, que les gaines en Zircaloy-4 subissaient en réacteur une oxydation externe significative, conduisant à la formation d’une couche externe d’oxyde de zirconium, à l’absorption d’hydrogène avec la formation d’hydrure de zirconium, puis éventuellement à une desquamation de la couche d’oxyde formée et à la formation de blisters d’hydrures796. De ce fait, des concepteurs ou des fabricants d’assemblages combustibles ont proposé l’utilisation de nouveaux alliages à base de zirconium, comportant du niobium, qui présentent des propriétés améliorées à l’égard des phénomènes d’oxydation et d’hydruration en réacteur. En France, des assemblages combustibles neufs comportant des crayons combustibles dont les gaines sont en Zircaloy-4 ne sont plus chargés dans les réacteurs depuis la fin de l’année 2016 et il ne devrait plus exister de telles gaines en réacteur à l’horizon 2022.

Il est à noter que les phénomènes décrits ci-dessus soulèvent un certain nombre d’interrogations quant à la tenue des gaines dans les conditions de fonctionnement accidentelles telles que l’éjection d’une grappe de contrôle ; c’est pourquoi l’Autorité de sûreté nucléaire a, en 2014, demandé à EDF de mettre en œuvre des dispositions compensatoires en exploitation dans l’attente de la disparition complète de la présence en réacteur de gaines en Zircaloy-4797.

Le développement de nouveaux alliages à base de zirconium pour les gaines des crayons combustibles a commencé dès les années 1980. Le chargement en réacteurs d’assemblages combustibles comportant des gaines (voire d’autres éléments de structure) fabriqués avec ces nouveaux matériaux a été effectué (et autorisé) par étapes successives, en commençant par quelques assemblages dits précurseurs798. Le déploiement de ces nouveaux produits combustibles repose sur le retour d’expérience français et international, sur les résultats des programmes de surveillance en réacteurs – surveillance de l’évolution des caractéristiques dimensionnelles des assemblages et des crayons combustibles (allongement [ou grandissement], jeux entre les crayons et fléchissement des crayons, épaisseurs d’oxyde des gaines…) en fonction de la combustion massique – ainsi que sur des résultats d’essais réalisés en laboratoire pour déterminer les caractéristiques mécaniques des matériaux de gainage dans les conditions de fonctionnement incidentelles et accidentelles (interaction pastille-gaine, perte de réfrigérant primaire, éjection d’une grappe de contrôle…).

Ainsi, EDF a, dès la fin des années 1980, chargé dans ses réacteurs des assemblages combustibles fournis par Framatome comportant des crayons combustibles dont la gaine était fabriquée avec l’alliage dit Massif 5 (M5®) à l’état dit recristallisé799, comportant du niobium et d’autres additifs. Outre une meilleure résistance à la corrosion, l’alliage M5® se distingue aussi du Zircaloy-4 (qui, pour les gaines, est dans un état dit détendu800) par un allongement dimensionnel plus faible en réacteur801. Plus précisément, l’introduction en réacteur de l’alliage M5® a débuté en France en 1988 avec le chargement de quelques crayons combustibles dans le cadre du programme de développement « X1 première phase » ; il s’agissait alors d’une première version de l’alliage M5®. L’introduction de crayons combustibles à gainage M5® a ensuite été poursuivie entre 1990 et 1996 dans le cadre de quatre programmes expérimentaux de « préqualification » visant à tester différentes nuances d’alliage.

La qualification des gaines en alliage M5® n’est intervenue qu’en 1999, avec l’introduction d’une première recharge complète d’assemblages dont les crayons combustibles étaient gainés avec cet alliage, dans le réacteur n° 2 de la centrale nucléaire de Nogent-sur-Seine. Toutefois, les éléments de structure de ces assemblages combustibles (tubes-guides, plaquettes des grilles de maintien…) étaient encore réalisés en Zircaloy-4 (à l’état recristallisé). Ce n’est qu’en 2004 qu’est intervenu le premier chargement d’assemblages combustibles « tout M5 » dans le réacteur n° 2 de la centrale nucléaire de Nogent-sur-Seine. Des recharges d’assemblages « tout M5 » ont ensuite été mises en œuvre en gestion de combustible ALCADE pour les réacteurs de 1 450 MWe en 2007, puis en 2015 pour ceux de 1 300 MWe. Les réacteurs de 900 MWe sont chargés d’assemblages de combustible UO2 fournis par Westinghouse ou Framatome, ainsi que d’assemblages de combustible MOX fournis par Framatome, les assemblages de conception Framatome comprenant des gaines en alliage M5® et des éléments de structure en alliage Zircaloy-4.

Entre 2001 et 2008, une trentaine de crayons combustibles avec des gaines en alliage M5® ont perdu leur étanchéité pendant l’irradiation en réacteur. Dès les premières constations de pertes d’étanchéité de gaines en alliage M5®, qui ont concerné le réacteur n° 2 de la centrale nucléaire de Nogent-sur-Seine en 2001, les organismes de sûreté ont considéré qu’une extension au parc électronucléaire de l’utilisation d’assemblages combustibles utilisant l’alliage M5® était prématurée. De 2003 à 2006, EDF a engagé une série d’investigations en usine, d’essais et d’expertises approfondies afin de déterminer les causes des pertes d’étanchéité des gaines en alliage M5® et de définir des dispositions correctives appropriées802.

Depuis, au vu du retour d’expérience favorable, la généralisation de l’utilisation de l’alliage M5® a été autorisée pour l’ensemble du parc électronucléaire français.

En France, souhaitant diversifier ses fournisseurs, EDF a chargé dans les réacteurs du parc électronucléaire des assemblages combustibles fournis par Westinghouse, qui bénéficiaient déjà d’améliorations et notamment de nouveaux alliages tels que celui dénommé Zirlo™ pour limiter la corrosion des gaines.

Le chargement de quelques assemblages combustibles fournis par Westinghouse dans les réacteurs français a commencé en 1993. En 1995, des assemblages combustibles de « préqualification » comportant du Zirlo™ (pour les gaines, les plaquettes des grilles et les tubes-guides des grappes absorbantes) ont été chargés dans le réacteur n° 1 de la centrale nucléaire de Belleville-sur-Loire, puis en 2003 dans le réacteur n° 1 de la centrale nucléaire de Paluel. Ce matériau bénéficiait alors d’un important retour d’expérience de son utilisation aux États-Unis, en Suède et en Espagne, qui montrait un meilleur comportement en réacteur par rapport au Zircaloy-4 en termes de sensibilité à la corrosion et d’allongement dimensionnel du gainage. L’Autorité de sûreté nucléaire a ensuite autorisé la généralisation de l’utilisation de l’alliage Zirlo™ dans les réacteurs de 1 300 MWe en 2006 puis, en 2007, dans les réacteurs de 900 MWe (hors Fessenheim et Bugey).

D’autres nuances de ce matériau ont cependant été testées, comme :

–le Low Tin Zirlo™ (« bas étain »),

–l’Optimized Zirlo™ qui est aussi une nuance « bas étain », avec ou sans liner803 interne dans les gaines (un effet protecteur est attendu de ce liner à l’égard de l’amorçage de fissures par la corrosion sous contraintes par les produits de fission, sa ductilité permettant aussi une meilleure accommodation des contraintes induites par le gonflement des pastilles au cours d’un transitoire de puissance),

–les alliages dits AXIOM (quatre variantes du gainage Optimized Zirlo devant présenter une meilleure résistance à la corrosion).

Ainsi, EDF a chargé en 2003 quelques assemblages combustibles utilisant l’Optmized Zirlo™ et les quatre variantes AXIOM dans le réacteur n° 2 de la centrale nucléaire de Cruas-Meysse ainsi que dans le réacteur n° 1 de la centrale nucléaire de Paluel (seul le gainage Optimized Zirlo™ étant testé dans ce dernier réacteur). L’Autorité de sûreté nucléaire a ensuite autorisé l’irradiation de recharges d’assemblages combustibles contenant des crayons à gainage Optimized Zirlo™ dans le réacteur n° 2 de la centrale nucléaire de Belleville en 2009, puis dans le réacteur n° 1 de cette même centrale en 2012 et en 2014. En 2018, l’autorisation de l’utilisation de l’alliage Optimized Zirlo™ a été généralisée pour les réacteurs de 1 300 MWe.

La proportion de gaines en alliages de type Zirlo™ dans les réacteurs des différents paliers du parc électronucléaire français est aujourd’hui importante, EDF ayant pour stratégie de diversifier son approvisionnement en combustible ; en 2018, seuls les réacteurs du palier N4 et les réacteurs de 900 MWe du groupe CP0 (Fessenheim et Bugey) restent exclusivement chargés d’assemblages fournis par Framatome.

À ce jour et d’une manière générale (combustibles Framatome et Westinghouse), la principale cause de perte d’étanchéité des gaines est liée à la présence de corps migrants dans le circuit primaire. Le retour d’expérience acquis entre 2005 et 2015 montre que, en France, le nombre de crayons simultanément inétanches pour un palier de réacteurs (900 MWe, 1 300 MWe…) est au plus de 20 crayons et que, dans un réacteur, ce nombre n’excède pas cinq ; ce nombre de cinq est une hypothèse retenue dans la démonstration de sûreté, en particulier dans les études d’éjection de grappe de contrôle (notamment pour la surpression appliquée à la cuve).

Ce qui précède illustre le fait qu’il convient d’adopter une approche prudente pour toute modification de conception ou de fabrication des assemblages combustibles, en prévoyant des étapes progressives permettant de disposer d’un retour d’expérience suffisant et pertinent avant de procéder à toute nouvelle étape.

Enfin, il peut être noté que les concepteurs Framatome et Westinghouse développent, parmi d’autres fabricants dans le monde, des matériaux de gainage des crayons combustibles susceptibles d’avoir un meilleur comportement à hautes températures lors de transitoires accidentels, notamment en termes de risques de fusion de combustible et de rupture de gaine, limitant in fine la dissémination de substances radioactives. Sous l’impulsion des États-Unis (DOE) et à la suite de propositions faites en 2015 par l’association NUGENIA804, l’OCDE a retenu en 2017 cet objectif comme l’une des opportunités de recherches et d’innovations dans le domaine nucléaire à l’horizon 2050 (Nuclear Innovation 2050). Framatome et les fabricants américains805 ont engagé des travaux de recherche avec le département de l’énergie (DOE) des États-Unis sur le développement de combustibles et de gainages plus « tolérants » en cas d’accident dans un cœur de réacteur à eau légère (Advanced Technology Fuel – ATF, Enhanced Accident Tolerant Fuel – EATF).

Framatome étudie par exemple pour le gainage un revêtement de chrome pour les gaines en alliage M5® et pour le combustible l’ajout d’oxyde de chrome dans la matrice du combustible.

L’objectif visé est de réduire :

–les dégagements de gaz de fission hors de la matrice du combustible lors du fonctionnement normal et des transitoires accidentels,

–le ballonnement des gaines et donc le risque de rupture de gaine lors de transitoires accidentels,

–l’oxydation à hautes températures du matériau de gainage et donc la production d’hydrogène.

Des irradiations exploratoires ont été prévues à partir de 2019 dans un réacteur de puissance américain (réacteur n° 2 de la centrale de Vogtle dans l’État de Géorgie) et d’autres sont envisagées en France.

De son côté, Westinghouse806 développe un nouveau combustible, dénommé EnCore™ : plusieurs options sont explorées, telles que l’utilisation de combustible « siliciure »807 (U3Si2), qui permet, du fait de sa meilleure conductivité thermique que celle du combustible de type oxyde, d’abaisser les températures dans le combustible, ou encore l’utilisation de carbure de silicium (SiC) comme matériau de gainage. Des irradiations exploratoires ont été prévues à partir de 2019 dans un réacteur de puissance américain (réacteur n° 2 de la centrale nucléaire de Byron dans l’État de l’Ilinois).

28.3.Anomalies ou événements significatifs
ayant concerné des assemblages combustibles

Diverses anomalies ont affecté des assemblages et des crayons combustibles depuis le démarrage des premières tranches de réacteurs à eau sous pression, qui bien sûr ont entraîné des surveillances renforcées, le déchargement du cœur d’éléments défectueux, des contrôles spécifiques, la mise en place de dispositions visant à y remédier (évolutions de conception…).

Quatre types d’anomalies rencontrées, parmi les plus significatives, sont développées ci-après (d’autres anomalies observées peuvent être citées, telles que la dégradation [usure] de gaines par des corps migrants808 qui se coincent dans les grilles et vibrent sous l’effet de la circulation du fluide primaire, des ruptures de vis de ressorts de maintien des assemblages809).

28.3.1.Phénomène de « jets de baffles »

Comme cela a été indiqué au chapitre précédent (paragraphe 27.1.1), une dégradation de crayons combustibles situés à la périphérie du cœur a été observée à partir de 1981 dans les premiers réacteurs du parc électronucléaire français (principalement ceux de la centrale nucléaire du Bugey) ; l’origine de ces dégradations a été attribuée à des vibrations des crayons sous l’effet de débits transverses d’eau rendus possibles par la dégradation de vis des structures de cloisonnement à la périphérie du cœur. Ce type d’anomalie a été observé aussi bien en France qu’à l’étranger, notamment aux États-Unis ; en France, une vingtaine d’assemblages comportant des crayons combustibles inétanches du fait de « jets de baffles » ont été recensés.

Dans un premier temps, des assemblages comportant des crayons inertes en acier inoxydable aux endroits jugés les plus exposés ont été chargés à la périphérie des cœurs, mais, à la suite d’une nouvelle dégradation en 1987 du cloisonnement du cœur du réacteur n° 2 de la centrale nucléaire du Bugey, la modification essentielle a consisté (solution également adoptée aux États-Unis) à inverser le sens d’écoulement de l’eau entre le cloisonnement et l’enveloppe du cœur (conversion dite up flow) – modification qui a été précisée au paragraphe 27.1.1.

28.3.2.Phénomène de fretting

À la suite de pertes d’étanchéité de gaines constatées par l’évolution de la radioactivité du fluide primaire du réacteur n° 3 de la centrale nucléaire de Cattenom (événement significatif déclaré en 2000810) et d’autres survenues dans des réacteurs de 1 300 MWe811, EDF a mené des études pour identifier la cause de ces défaillances qui ont, pour le seul réacteur n° 3 de la centrale de Cattenom, concerné 92 crayons. Les crayons non étanches appartenaient en quasi-totalité à des assemblages qui venaient de subir un troisième cycle d’irradiation en gestion GEMMES, avec une combustion massique moyenne des assemblages d’environ 49 GW/t. Une relaxation sous irradiation des ressorts (en alliage dénommé Inconel 718) de la grille inférieure de certains assemblages (assemblages dénommés AFA 2GL et AFA 3GL, du concepteur Framatome) a été mise en évidence ; elle conduisait à un phénomène d’usure vibratoire puis au percement de gaines. Ce phénomène, dénommé fretting par EDF, s’est révélé être un problème générique pour les réacteurs de 1 300 MWe (dont les assemblages sont plus longs d’environ 60 cm que ceux des réacteurs de 900 MWe) – le même phénomène touchait également des assemblages des réacteurs américains812. Il montrait que la conception des assemblages n’était pas compatible avec l’augmentation de la combustion massique du combustible visée dans la gestion GEMMES.

Les assemblages combustibles inétanches étaient localisés dans une couronne intermédiaire du cœur où les débits transverses sont les plus importants au niveau de la partie inférieure des assemblages. EDF a déterminé un mécanisme permettant d’expliquer les dommages observés. Les phénomènes mis en jeu en matière d’usure de crayons combustible sont de plusieurs types :

–le maintien des crayons dans les cellules des grilles,

–l’évolution des caractéristiques mécaniques des grilles sous irradiation,

–les écoulements transverses et la réponse vibratoire des crayons sous l’effet de ces écoulements.

EDF a considéré que les défauts constatés pouvaient résulter du dépassement d’un seuil critique conduisant à une accélération du phénomène d’usure par fretting, ce seuil dépendant, d’une part des efforts vibratoires d’origine thermohydraulique, d’autre part de la perte du serrage des crayons dans les cellules des grilles sous l’effet de l’irradiation (perte quasi complète en fin d’irradiation).

La solution apportée par le concepteur a consisté à ajouter une grille supplémentaire au-dessus de la grille inférieure des assemblages combustibles de façon à renforcer le maintien des crayons combustibles en partie basse des assemblages, tout en assurant la compatibilité avec les autres assemblages combustibles présents dans le cœur, notamment en termes de perte de charge et de maintien axial. Les assemblages combustibles modifiés, dénommés AFA 3GLr, sont munis de ressorts de grilles de largeur réduite (du type dénommé PRELUDE), dans le but de compenser l’augmentation de la perte de charge de l’assemblage résultant de l’ajout d’une grille. Une première recharge comportant des assemblages combustibles AFA 3GLr a été introduite en 2002 dans le réacteur n° 3 de la centrale nucléaire de Cattenom, avec une surveillance accrue de l’activité du fluide primaire. Il en a été ensuite de même pour les réacteurs de 1 300 MWe jugés les plus sensibles : Cattenom 1, 2 et 3, Flamanville 2, Golfech 1, Paluel 1 et Penly 1.

Dans un premier temps, les organismes de sûreté ont estimé que, si l’ajout d’une grille dans la partie basse des assemblages combustibles était de nature à apporter une amélioration qualitative en réduisant le risque d’usure vibratoire des gaines, des incertitudes demeuraient sur le comportement des nouveaux assemblages en réacteur813, ce qui ne permettait pas d’envisager, contrairement à la proposition de l’exploitant, un déploiement de cette amélioration à l’ensemble des réacteurs de 1 300 MWe, notamment dans le cadre de la gestion GEMMES ; l’introduction d’assemblages AFA 3GLr a été autorisée à partir de 2002 dans quelques réacteurs, puis elle a été généralisée à l’ensemble des réacteurs de 1 300 MWe lorsqu’un retour d’expérience satisfaisant a été acquis.

Concernant les réacteurs de 900 MWe, EDF a estimé que le risque d’usure vibratoire était moindre. En effet, bien que l’étage inférieur d’un assemblage de réacteur de 900 MWe soit plus sensible aux excitations dues au fluide (dans la mesure où la fréquence propre d’un crayon combustible de réacteur de 900 MWe est plus faible que celle des crayons des réacteurs de 1 300 MWe814), les écoulements dans les réacteurs de 900 MWe sont moins importants que dans ceux de 1 300 MWe (vitesse axiale plus faible de 10 % et vitesse transverse plus faible de 30 à 40 %). Les organismes de sûreté ont toutefois considéré qu’il était difficile d’exclure tout phénomène d’usure par fretting dans les réacteurs de 900 MWe, cela d’autant plus que la gestion CYCLADES (mise en œuvre pour les réacteurs de Fessenheim et du Bugey) conduisait alors une combustion massique maximale plus élevée que pour les réacteurs de 1 300 MWe ; toutefois, le retour d’expérience n’a pas fait état de pertes d’étanchéité de gaines par phénomène de fretting dans les réacteurs de 900 MWe.

Des usures et des percements de gaines par fretting ont également été constatés sur des assemblages combustibles fournis par Westinghouse irradiés dans les réacteurs de 1 300 MWe du parc électronucléaire français. Afin de remédier à ces problèmes d’usure, EDF a chargé progressivement dans les réacteurs (y compris ceux de 900 MWe pour les assemblages combustibles utilisant l’alliage Zirlo™) des assemblages fournis par Westinghouse munis d’une grille supplémentaire en pied d’assemblage pour limiter le risque d’usure vibratoire des gaines (dénommée P-grid).

Un grand nombre d’assemblages combustibles du parc électronucléaire disposent donc dorénavant d’une grille supplémentaire en pied d’assemblage.

Enfin, il convient de noter que les spécifications radiochimiques en vigueur pour le fluide primaire ne permettraient plus le fonctionnement d’un réacteur du parc électronucléaire avec un taux de pertes d’étanchéité de gaines tel que celui qui a été atteint en 2000 dans le réacteur n° 3 de la centrale nucléaire de Cattenom.

28.3.3.Événements survenus lors d’opérations de manutention

Des difficultés peuvent survenir lors d’opérations de manutention d’assemblages combustibles (chargement d’assemblages dans le cœur ou leur déchargement) ; elles méritent une attention particulière, car elles sont susceptibles d’entraîner des endommagements d’assemblages, en particulier la dégradation de grilles de maintien des crayons combustibles par arrachement de morceaux de plaquettes de grilles815, qui peuvent devenir des corps migrants.

L’événement survenu au mois de septembre 2008 dans le réacteur n° 2 de la centrale nucléaire du Tricastin est évoqué ci-après816.

Au cours de la levée des équipements internes supérieurs (EIS) de la cuve d’un réacteur à eau sous pression lors d’un arrêt, une inspection télévisuelle sous la face inférieure des EIS est réalisée, avant leur levée complète, pour vérifier l’absence d’accrochage de grappes de contrôle ou d’assemblages combustibles à ces équipements.

Le 8 septembre 2008, lors de l’arrêt du réacteur n° 2 de la centrale nucléaire du Tricastin, les images de l’inspection télévisuelle ont montré que deux assemblages combustibles situés à la périphérie du cœur (positions B08 et C08) étaient restés accrochés aux EIS (voir la figure 28.4). Le risque encouru dans cet état était le décrochage et la chute de l’un ou des deux assemblages dans le cœur, un tel événement pouvant entraîner des ruptures de gaines avec dissémination de produits de fission dans l’eau de la piscine du réacteur puis dans l’atmosphère du bâtiment du réacteur.

Figure 28.4. Représentation schématique des deux assemblages combustibles restés accrochés aux équipements internes supérieurs (PSC désigne la plaque supérieure du cœur). IRSN.

Les deux assemblages concernés étaient extraits aux trois quarts de la hauteur du cœur.

L’exploitant a immédiatement décidé l’évacuation du bâtiment du réacteur. Pour éviter la chute de l’un ou des deux assemblages combustibles, il a ensuite décidé de les sécuriser dans leur position en les maintenant par leur embout grâce à un outil spécifique. Une fois les assemblages sécurisés, un vérin fixé sur cet outil a permis de désolidariser leurs embouts des EIS. Par la suite, les EIS ont été levés et posés sur leur stand. Enfin, le 27 octobre 2008, les assemblages incriminés ont été sortis du cœur du réacteur et transférés dans le bâtiment du combustible.

Les investigations menées ont permis de détecter la présence, sur la plaque inférieure du cœur (PIC), de plusieurs billes (d’un diamètre de 4,7 mm) qui n’avaient pas été détectées lors des arrêts précédents (en 2006 et 2007), du fait notamment de la turbidité de l’eau et d’un éclairage insuffisant. Ces billes provenaient de la cage de roulements à billes endommagée d’un outillage d’aide au chargement utilisé lors des arrêts des réacteurs de 900 MWe. Sur cette base, EDF a établi le scénario suivant pour l’événement du 8 septembre 2008 : en 2007, quelques billes provenant de la cage endommagée se seraient retrouvées sous le pied des assemblages combustibles, en positions A08 et B08. Elles auraient provoqué des jeux importants (entre 12 mm et 15 mm) entre les assemblages combustibles. Au moment de la repose des EIS, plusieurs pions de centrage de la plaque supérieure du cœur (PSC) n’étant plus parfaitement alignés avec les alésages (appelés aussi trous S) de l’embout supérieur des assemblages situés en positions B08 et en C08, les efforts générés par les frottements auraient entraîné des arrachements de matière au bord des alésages. Les pions pénétrant dans les trous S avec ce surplus de matière se seraient grippés.

D’autres accrochages d’assemblages combustibles au niveau des EIS sont survenus en 2009 dans le réacteur n° 2 de la centrale nucléaire du Tricastin et dans le réacteur n° 1 de la centrale nucléaire de Gravelines. L’analyse et le traitement de ces événements de 2008 et 2009 ont conduit EDF à formaliser, pour l’ensemble des réacteurs du parc électronucléaire, les procédures à suivre en cas d’accrochage d’assemblages combustibles lors de la levée des EIS (sécurisation du ou des assemblages concernés, désolidarisation des EIS et transfert des assemblages concernés dans le bâtiment du combustible). Par ailleurs, l’état des trous S, les jeux entre les assemblages combustibles après un rechargement de l’ensemble des assemblages et la détermination de la position absolue des assemblages dans le cœur font dorénavant l’objet d’examens visuels systématiques et approfondis pour prévenir ce type d’événement.

28.3.4.Déformations latérales d’assemblages combustibles affectant la chute des grappes absorbantes

Les assemblages combustibles se déforment latéralement817 pendant leur irradiation en réacteur, sous les effets conjugués des efforts hydrauliques exercés par l’eau circulant dans le cœur du réacteur, des efforts mécaniques appliqués par la plaque supérieure du cœur sur l’embout supérieur pour les maintenir en position, de l’irradiation et de la température (évolution des caractéristiques mécaniques). La conception des assemblages combustibles, notamment l’épaisseur et le matériau des tubes-guides (qui influent sur la rigidité de l’assemblage), ainsi que leur position dans le cœur jouent un rôle déterminant dans les déformations. Observables lors des mesures réalisées sur les assemblages après leur déchargement du cœur, ces déformations ne sont pas connues lorsque la cuve du réacteur est fermée. Toutefois, des déformations importantes peuvent entraîner un ralentissement de la chute des grappes absorbantes, voire empêcher leur chute complète, alors que le temps de chute de ces grappes et leur insertion complète sont des hypothèses importantes des études de sûreté. C’est pourquoi l’exploitant réalise périodiquement des mesures du temps de chute des grappes en réacteur pour vérifier le respect de ces hypothèses, conformément aux règles générales d’exploitation.

Les déformations latérales d’assemblages combustibles peuvent également entraîner des difficultés d’exploitation, lors des opérations de déchargement des cœurs.

Le retour d’expérience montre que les assemblages combustibles peuvent présenter différents types de déformations latérales (voir la figure 28.5). La situation s’est améliorée dans les années 2000 après la mise en place de dispositions d’exploitation préventives et l’utilisation d’assemblages plus rigides. Toutefois, de nouvelles difficultés liées à des déformations latérales excessives d’assemblages combustibles ont été observées dans les années 2010, les réacteurs affectés étant les réacteurs n° 2 des centrales nucléaires Chooz B (réacteur du palier N4, gestion ALCADE) et de Nogent-sur-Seine (réacteur de 1 300 MWe, gestion GALICE).

Figure 28.5. Illustration du phénomène de déformation latérale des assemblages avec mention de l’ordre de grandeur des amplitudes des déformations mesurées « hors cœur ». IRSN (source EDF).

Les déformations latérales particulièrement préoccupantes d’assemblages combustibles constatées à l’issue du 18e cycle de fonctionnement du réacteur Nogent 2 et les dispositions qui ont été prises en conséquence par EDF sont précisées ci-après818.

La situation particulière de ce réacteur est liée à la mise en œuvre de la gestion GALICE, caractérisée notamment par un nombre d’assemblages neufs introduits dans chaque recharge plus faible que pour la gestion GEMMES mise en œuvre dans tous les autres réacteurs de 1 300 MWe. La conséquence des difficultés rencontrées est qu’EDF a, en définitive, renoncé à poursuivre la mise en œuvre de la gestion GALICE (cette gestion avait été mise en œuvre uniquement dans le réacteur n° 2 de la centrale nucléaire de Nogent-sur-Seine). De plus, dès 2013, Électricité de France a décidé d’introduire dans le réacteur n° 2 de cette centrale, pour son 20e cycle, des recharges d’assemblages neufs équipés de nouveaux tubes-guides (tubes-guides fabriqués avec un nouveau matériau, caractérisé par un moindre fluage sous irradiation) en vue de réduire les déformations latérales (leur utilisation avait précédemment été autorisée en 2012 pour le réacteur n° 2 de la centrale nucléaire de Chooz B).

Ces dispositions ont été jugées satisfaisantes par les organismes de sûreté, sous réserve néanmoins d’un suivi renforcé des temps de chute des grappes absorbantes, avec la réalisation d’essais complémentaires en milieu de cycle. En 2014, la réalisation de ces essais au cours du 19e cycle de fonctionnement du réacteur a mis en évidence une dégradation des temps de chute mesurés, obligeant l’exploitant à procéder à des essais mensuels pour vérifier que le phénomène de déformation des assemblages combustibles ne remettait pas en cause la disponibilité de l’arrêt automatique du réacteur. Du fait des augmentations notables des temps de chute de certaines grappes au cours du cycle et de l’insertion incomplète de cinq grappes de contrôle, EDF a finalement décidé d’arrêter le réacteur trois mois avant la date d’arrêt prévue et de décharger le cœur.

Au cours du 20e cycle de fonctionnement de Nogent 2, la surveillance renforcée des assemblages combustibles a de nouveau conduit à constater une insertion incomplète d’une grappe de contrôle. Cet événement est survenu en mars 2015 alors que l’arrêt du réacteur pour rechargement du combustible n’était programmé qu’au mois de septembre de la même année. EDF a décidé de procéder à un arrêt du réacteur en cours de cycle, à un déchargement de deux assemblages combustibles dont les grappes de contrôle avaient un temps de chute anormal et à leur « réparation » afin de prévenir de nouvelles anomalies de temps de chute des grappes durant la seconde partie de ce 20e cycle.

Avant l’extraction de ces deux assemblages très déformés, l’exploitant a dû décharger deux assemblages voisins afin de faciliter le retrait des deux assemblages incriminés. Cette procédure a permis de limiter les opérations de manutention d’assemblages combustibles (qui comportent toujours des risques d’endommagement de grilles), le reste du cœur restant en place. L’exploitant a ensuite réalisé une opération inédite de « resquelettage » des assemblages, qui consiste à transférer les 264 crayons combustibles d’un assemblage déformé dans une structure d’assemblage neuve, ne présentant pas de déformation. Cette opération a été réalisée dans la piscine d’entreposage du combustible à l’aide d’un outillage spécifique, dénommé STAR (voir la figure 28.6). Les assemblages combustibles « réparés » ont ensuite été chargés dans le cœur du réacteur dans leurs positions initiales. Cette opération, autorisée par l’Autorité de sûreté nucléaire après expertise de l’IRSN, a duré quelques jours.

L’Autorité de sûreté nucléaire a demandé à Électricité de France de réaliser des essais réguliers de temps de chute de grappes, au maximum tous les 60 jours, afin de vérifier le respect des valeurs limites fixées et l’absence de blocage de grappes jusqu’à la fin du 20e cycle. Aucun dépassement des valeurs limites et aucun blocage de grappe ne sont survenus durant la seconde partie du 20e cycle lors des quatre essais de temps de chute réalisés après le rechargement des deux assemblages « réparés » (la gestion GALICE a ensuite été abandonnée pour un retour à la gestion GEMMES).

De façon générale, les déformations latérales des assemblages combustibles résultent de causes complexes qui restent mal appréhendées, en France comme à l’étranger, en particulier du fait qu’aucune mesure de déformation n’est possible dans une cuve de réacteur, de surcroît lorsque celui-ci est en fonctionnement. Les déformations des assemblages sont surveillées par Électricité de France pour des réacteurs témoins, où les déformations prévisibles sont a priori les plus élevées. Cette surveillance est effectuée à l’aide du dispositif DAMAC évoqué au paragraphe 28.1.2, après le déchargement des assemblages combustibles, lors de leur transfert dans la piscine du bâtiment du combustible. Même en l’absence de déformations importantes nécessitant des mesures correctives, tous les cœurs présentent des déformations qui peuvent avoir différentes conséquences. Ces déformations induisent une variabilité de l’épaisseur des lames d’eau qui existent entre les assemblages combustibles, dont les impacts neutronique, thermohydraulique et mécanique doivent être pris en compte dans la démonstration de sûreté, ce que l’Autorité de sûreté nucléaire a demandé à Électricité de France d’étudier, notamment en 2015 dans la perspective des réexamens périodiques associés aux quatrièmes visites décennales des réacteurs de 900 MWe. Une méthode a été mise au point en 2017 par Électricité de France pour estimer, à l’aide des mesures disponibles des déformations latérales des assemblages effectuées pendant leur déchargement et d’un modèle de simulation, la distribution des lames d’eau dans un cœur, puis en évaluer les impacts en termes de neutronique, de thermohydraulique et de mécanique.

Figure 28.6. Vue du dispositif de « resquelettage » STAR dans la piscine du bâtiment du combustible. EDF.

760.Il est rappelé que les grappes absorbantes sont aussi constituées de crayons, mais absorbants (de neutrons).

761.Situation en 2019, sachant qu’une valeur limite de 5 % a été autorisée.

762.Il n’y a plus actuellement que deux fournisseurs d’assemblages combustibles : Framatome (assemblages dits AFA) et Westinghouse (assemblages dits RFA). Pour ce qui concerne les assemblages « Framatome », c’est Framatome qui fabrique les tubes en zirconium (gaines) et réalise l’assemblage final (les pastilles de combustible sont fabriquées par Orano). Les usines sont : FBFC à Romans-sur-Isère (France) et à Dessel (Belgique), ANF Siemens à Lingen (Allemagne). Les assemblages « Westinghouse » sont fabriqués dans les usines de Westinghouse à Västerås en Suède et Springfields au Royaume-Uni, ainsi qu’à l’usine de la société espagnole ENUSA de Juzbado (Salamanque). La fourniture à EDF d’assemblages « Westinghouse » s’inscrit dans le cadre d’un accord européen (European Fuel Group Agreement) liant Westinghouse et ENUSA.

763.Il s’agit de la teneur de plutonium en masse, contenant les isotopes fissiles 239 et 241.

764.Initialement (l’introduction de combustible MOX a commencé en 1997 dans le réacteur B1 de la centrale nucléaire de Saint-Laurent-des-Eaux), la valeur était de 8,65 %. Depuis 2017, l’augmentation jusqu’à 9,08 % se fait de manière progressive (jusqu’à une valeur autorisée de 9,54 %) afin de compenser la dégradation du vecteur isotopique du plutonium issu du retraitement des combustibles usés et de conserver l’équivalence énergétique avec le combustible UO2 enrichi à 3,7 %.

765.Ou même « épuisement maximal de décharge en moyenne assemblage ».

766.À titre d’exemple, pour le palier 900 MWe en gestion « Parité MOX » (voir le focus plus loin), 40 assemblages neufs sur 157 sont rechargés.

767.Aussi appelé suivi du réseau. La plupart des centrales électronucléaires en exploitation ont été conçues de manière à disposer de capacités de fonctionnement flexibles de façon à pouvoir faire varier leur puissance de fonctionnement de façon à l’adapter aux variations de la demande des consommateurs d’électricité : la centrale « suit » la charge, c’est-à-dire l’appel de puissance causé par la demande. Il y a deux modes d’adaptation. Le premier mode est dit de base, il permet un « réglage primaire de la fréquence » du courant électrique jusqu’à ± 2 à 3 % en termes de puissance (une augmentation de la demande se traduit par une baisse de la fréquence) ; il est à l’initiative de l’exploitant de la centrale, qui fait varier la vitesse du groupe turboalternateur. Le second mode de réglage (réglage secondaire) est une régulation de la fréquence du courant électrique qui opère sur des périodes plus longues (de plusieurs secondes à plusieurs minutes) ; il est à l’initiative de l’opérateur du réseau, qui envoie un signal numérique à la centrale (téléréglage) pour modifier son niveau de puissance dans la limite de ± 5 % supplémentaires, avec la possibilité de faire varier celle-ci à un taux de 5 % par minute entre 30 et 100 %. Dans le second mode de réglage, les barres absorbantes dites grises, moins absorbantes que les barres dites noires, sont aussi mises à contribution (voir le paragraphe 5.6), afin de limiter les perturbations du flux neutronique dans le cœur et la fatigue des crayons.

768.Période d’irradiation au bout de laquelle le cœur est critique pour une concentration de bore de 10 ppm dans l’eau du circuit primaire.

769.Une gestion « GARANCE hybride » avait précédé la gestion « Parité MOX ».

770.Critères techniques d’acceptation ou paramètres de découplage par rapport à des critères.

771.Essais réalisés au titre des règles d’essais physiques au redémarrage (REPR).

772.Les assemblages combustibles, d’une hauteur de l’ordre de quatre mètres, peuvent se déformer latéralement sous l’effet des chargements hydrauliques et mécaniques, de l’irradiation et de la température. Contrairement à cette déformation latérale des assemblages qui concerne tous les crayons de ces assemblages, le terme fléchissement est utilisé pour désigner une déformation affectant un crayon, se produisant entre deux grilles de l’assemblage, et consistant en une arcure de la portion du crayon concerné ; ce phénomène est pris en compte dans la démonstration de sûreté depuis la conception initiale des réacteurs de 900 MWe.

773.Aborder dans le détail l’ensemble des questions relatives au combustible et à sa surveillance nécessiterait un ouvrage à part. Seuls quelques aspects notables ont ici été retenus.

774.Par exemple ceux qui réalisent des radiographies de composants de ce circuit, même après vidange des composants concernés. Des dépôts de produits radioactifs issus du combustible (voir le paragraphe 31.1) peuvent subsister sur leurs parois, ainsi que des produits de corrosion de structures, activés par les rayonnements.

775.Par différents mécanismes, comme la diffusion et le recul ; le recul est dû à l’impact de neutrons de forte énergie (théorie de la diffusion élastique).

776.L’expression « rupture de gaine » est communément utilisée pour désigner toute perte d’intégrité des gaines : défaut d’étanchéité, rupture mécanique proprement dite…

777.Il est à noter que, même sans irradiation, l’uranium et le plutonium sont des émetteurs α.

778.Ils ont été précisés dans le focus du paragraphe 1.1.1.

779.D’autres radioéléments peuvent contribuer à la contamination (cobalt, iode…).

780.Le lecteur pourra, s’il le souhaite, se reporter à différentes sources telles que, par exemple, le site de l’ASN https://www.asn.fr/Informer/Actualites/Centrales-nucleaires-EDF-Combustible, les éditions publiques des rapports de sûreté de chaque palier de réacteurs, ou encore le document de l’OCDE/AEN intitulé « Leaking Fuel Impacts and Practices », NEA/CSNI/R(2014)10 du 18 juillet 2014 qui précise notamment les spécifications radiochimiques du fluide primaire adoptées alors dans différents pays (dont la France).

781.Xénons et kryptons.

782.Un prélèvement de fluide primaire est réalisé régulièrement afin de réaliser une analyse par spectrométrie gamma dans un laboratoire de chimie de la centrale nucléaire. En mode de surveillance accrue, ce prélèvement est fait plusieurs fois par semaine.

783.Il s’agit d’une baisse de puissance visant à faire sortir les iodes des éventuels petits défauts de gaines qui les piègent lorsque le réacteur est en fonctionnement stable, mais qui pourraient accroître les conséquences radiologiques de transitoires tels qu’une rupture de tube de générateur de vapeur.

784.Ces valeurs de seuils concernent en fait l’activité supplémentaire par rapport à l’activité massique théorique calculée de la contamination « résiduelle ».

785.La mesure de ce rapport devait permettre de discriminer les défauts affectant les crayons selon le cycle de fonctionnement auquel ils ont été chargés dans le cœur (il était inférieur à 0,8 pour les crayons de premier cycle).

786.Plus tard, en 2008, dans le « Document standard des spécifications radiochimiques du palier 1 300 MWe », EDF a souhaité ne plus formellement faire dépendre la décision d’amorçage sous 48 heures de l’arrêt du réacteur à la valeur du « rapport des césiums », compte tenu des difficultés d’interprétation (notamment lorsque plusieurs assemblages inétanches de cycles d’irradiation distincts sont présents dans le cœur), ce qui a été accepté en 2012 par l’Autorité de sûreté nucléaire.

787.Lettre DGSNR/SD2/703-2002 du 27 juin 2002.

788.Ce sujet est développé dans « Le point de vue de l’IRSN sur la sûreté et la radioprotection du parc électronucléaire français en 2009 », rapport DSR n° 383.

789.Des évolutions sont en cours pour les autres réacteurs.

790.État AN/GV.

791.Dans le cas contraire, le réacteur est dit en présomption de défaut ; le dépassement d’autres seuils permet de considérer la présence d’une « rupture de gaine » ou d’une « rupture de gaine sérieuse ».

792.La mesure avec le DRMC n’est en effet pas systématique.

793.Ce mât est une structure (jupe) métallique de section trilobée et ceinturée de renforts à différents niveaux ; elle est pendue au pont de manutention ; les assemblages combustibles sont descendus (chargement) ou remontés (déchargement) dans cette structure. Divers équipements sont implantés à l’intérieur du mât.

794.En fonction de la combustion massique atteinte par l’assemblage combustible non étanche, Électricité de France peut être amené à faire une recherche du ou des crayons inétanches et, après remplacement de ce ou de ces crayons, à recharger l’assemblage en réacteur pour poursuivre son irradiation.

795.Il a en effet une faible section efficace de capture des neutrons thermiques.

796.L’eau en contact avec les gaines les oxyde selon une réaction conduisant à la formation d’une couche de zircone en surface et à l’absorption d’une partie de l’hydrogène libéré, sous forme d’hydrures : l’expression « corrosion » est couramment utilisée pour désigner ces phénomènes. Lorsque l’épaisseur de la couche de zircone dépasse environ 80 µm, elle peut se desquamer, générant des débris particulièrement radioactifs qui peuvent s’accumuler dans le circuit primaire et créer des « points chauds ». Les zones des gaines où la présence d’hydrures est importante (dénommées blisters ou lentilles d’hydrures) sont fragiles et constituent des sites privilégiés d’apparition de fissures pouvant conduire à la rupture des gaines lors de transitoires incidentels ou accidentels. La cinétique d’oxydation dépend de la température de gaine, qui est de l’ordre de 350 °C en fonctionnement normal, mais peut s’élever jusqu’à 450 °C à 480 °C dans les conditions de fonctionnement de catégorie 2 et jusqu’à des valeurs beaucoup plus élevées (au-delà de 900 °C) dans les conditions de fonctionnement de catégories 3 et 4, entraînant une oxydation rapide. À ces différents régimes (normal, incidentel et accidentel) sont associés, pour l’analyse déterministe de sûreté, des critères techniques d’acceptation (voir le paragraphe 8.4.7).

797.Dans ce cadre, ne sont maintenus en réacteur que des crayons dont l’épaisseur de la couche d’oxyde des gaines est inférieure à 108 μm.

798.Généralement au nombre de quatre.

799.Matériau dont la microstructure est obtenue à l’issue d’un traitement (thermique) de recristallisation qui permet d’augmenter la taille des grains (grains équiaxes).

800.C’est-à-dire qui a fait l’objet d’un détensionnement thermique pour réduire les contraintes internes.

801.Pour les combustions massiques maximales autorisées, les allongements des crayons constatés après utilisation en réacteurs sont de quelques cm pour le Ziracloy-4 et de quelques mm pour le M5®.

802.Ce sujet est développé dans le rapport public « Le point de vue de l’IRSN sur la sûreté et la radioprotection du parc électronucléaire français en 2008 », rapport DSR n° 316.

803.Aux États-Unis, des crayons avec liner interne ont été chargés dans des réacteurs à partir de 1986.

804.Cette association est présentée aux paragraphes 3.1.8 et 39.2.2.

805.Le CEA et Électricité de France travaillent également sur ce sujet.

806.Framatome travaille également sur ce sujet en collaboration avec le CEA.

807.Combustible déjà largement utilisé pour les réacteurs de recherche.

808.L’introduction, à partir de 1994, de dispositifs antidébris en pied d’assemblages a permis de réduire l’ampleur du problème.

809.L’ouvrage « La maintenance des centrales nucléaires » de Jean-Pierre Hutin, EDF/Lavoisier Tec&Doc, 2016, évoque un certain nombre d’anomalies concernant les assemblages combustibles dans son paragraphe 9.2. Le lecteur pourra également consulter l’article « Comportement du combustible des réacteurs à eau sous pression en situation de perte d’étanchéité », D. Parrat, monographie du CEA sur le combustible nucléaire.

810.Compte tenu de l’évolution des indicateurs de surveillance de la radioactivité du fluide primaire, Électricité de France a déclaré la tranche en « ruptures de gaines sérieuses » au mois de septembre 2000 ; la tranche a été exploitée jusqu’au terme du cycle de fonctionnement en cours à la fin du mois de février 2001.

811.Des pertes d’étanchéité de gaines, du même type, ont aussi été observées dans les réacteurs Penly 2, Cattenom 2 et Golfech 1.

812.Le lecteur pourra consulter par exemple l’article de R. Yang, B. Cheng, J. Deshon, K. Edsinger & O. Ozer (EPRI, 2006), intitulé « Fuel R & D to Improve Fuel Reliability », Journal of Nuclear Science and Technology, 43:9, 951-959. De la fin des années 1970 jusqu’à la fin des années 1980, les exploitants américains (de BWR et de PWR) ont été confrontés à un état préoccupant de leurs combustibles. Le pourcentage d’assemblages inétanches pouvait atteindre une fraction significative des cœurs. Dans les années 1990, si la situation était globalement plus satisfaisante, des défauts étaient encore rencontrés, dus en grande partie au phénomène de fretting ou à des débris, mais aussi à des dépôts ou des corrosions jugés responsables d’anomalies d’axial-offset. En 1998, l’EPRI lança un vaste programme, initialement dénommé Robust Fuel Program puis Fuel Reliability Program, visant à améliorer la situation en termes notamment d’exploitation (moyens permettant de mieux déterminer l’origine des défauts de gainage, moyens de nettoyage ultrasonore des crayons, optimisation de la chimie de l’eau du circuit primaire…). Parallèlement, les fabricants poursuivaient l’amélioration de leurs combustibles (nouveaux alliages de gaines, P-grid…). Pour ce qui concerne plus spécifiquement le combustible fabriqués par Westinghouse (assemblages RFA), le lecteur pourra aussi consulter l’article intitulé « Westinghouse 17 x 17 RFA Fuel Performance » (Westinghouse/ENUSA), congrès TopFuel, 2018.

813.Électricité de France a fait procéder à des essais de 1 000 heures dans une boucle (dite HERMES-P, dans des conditions de température, de pression et de débits représentatives de celles qui existent dans un réacteur en fonctionnement normal) d’assemblages AFA-2GL et AFA-3GLr dont certains des ressorts de grilles avaient été préalablement déformés plastiquement pour simuler leur relaxation sous irradiation. Il en a toutefois conclu que l’interprétation comparative des résultats d’usure pour les deux types d’assemblages combustibles était délicate, sans que la nouvelle conception ne montre d’effets négatifs.

814.La grille inférieure des assemblages combustibles des réacteurs de 900 MWe étant située à une altitude plus élevée que celle des assemblages combustibles des réacteurs de 1 300 MWe.

815.Les grilles, qui assurent l’espacement régulier des crayons entre eux tout au long de la vie de l’assemblage combustible, sont constituées de plaquettes sur lesquelles sont rapportés des ressorts-épingles.

816.Voir « Le point de vue de l’IRSN sur la sûreté et la radioprotection du parc électronucléaire français en 2008 », rapport DSR n° 316, ainsi que le « Rapport de l’Inspecteur général pour la sûreté nucléaire et la radioprotection – 2008 », de P. Wiroth (EDF), au paragraphe 19.1. Il est à noter que deux autres accrochages d’assemblages au niveau des équipements internes supérieurs ont été observés en août 2009 dans le réacteur n° 1 de la centrale nucléaire de Gravelines, en novembre 2009 et février 2019 dans le réacteur n° 2 de la centrale nucléaire du Tricastin.

817.En forme de C (banane), de S ou encore de W (double S).

818.Voir « Le point de vue de l’IRSN sur la sûreté et la radioprotection du parc électronucléaire français en 2013 » (rapport public IRSN DG 2014-00001), et « La sûreté et la radioprotection du parc électronucléaire français en 2015 – Le point de vue de l’IRSN » (rapport public IRSN DG 2016-00004).

Chapitre 29

La conformité des installations

29.1.Introduction

Il appartient aux exploitants d’installations nucléaires d’apporter les justifications appropriées de la sûreté de leurs installations aux différentes étapes de la « vie » de celles-ci. Cela suppose la conformité des installations à des « référentiels »819, établis en grande partie au moment de la conception. Or, lors de la construction, à la suite d’activités d’exploitation ou sous l’effet du vieillissement, l’état réel des installations peut se trouver différent de l’état prévu dans les justifications de sûreté.

Certains équipements doivent pouvoir fonctionner en cas de séisme ou en cas d’accident, c’est-à-dire sous l’effet de sollicitations mécaniques ou dans des conditions ambiantes de température, de pression et d’irradiation spécifiques ; ces équipements font donc l’objet d’une « qualification » préalable à leur mise en service, consistant à démontrer leur capacité à assurer leurs fonctions dans de telles conditions (voir le chapitre 7). S’il apparaît que cette qualification n’est plus acquise pour l’un d’entre eux, alors celui-ci n’est pas en mesure d’assurer pleinement ses fonctions : l’installation n’est alors plus conforme. Le maintien d’un niveau satisfaisant de sûreté nécessite donc que de tels écarts, dits de conformité, soient identifiés, analysés et corrigés par l’exploitant.

29.2.Détection et traitement des écarts de conformité pour les réacteurs à eau sous pression
du parc électronucléaire

Dans les années 2000, les actions de vérification et de contrôle menées à l’occasion des deuxièmes visites décennales820 des réacteurs de 900 MWe ont mis en évidence un nombre important d’écarts aux référentiels de conception de ces réacteurs. De par leur nature, ces écarts étaient souvent génériques, c’est-à-dire qu’ils affectaient plusieurs réacteurs éventuellement implantés sur des sites différents, compliquant ainsi leur résorption qui, dans certains cas, ne pouvait pas être effectuée en étant strictement conforme aux règles générales d’exploitation. EDF a donc décidé, dès 2001, de les considérer comme une famille particulière d’écarts, dits écarts de conformité, pour laquelle il a mis en place un processus de traitement dédié permettant d’adapter les délais de remise en conformité à l’importance des écarts du point de vue de la sûreté.

Les écarts de conformité peuvent résulter notamment :

–de faiblesses d’origine de l’installation (conception, fabrication, montage),

–d’opérations de maintenance,

–de la réalisation de modifications,

–du vieillissement de matériels,

–d’anomalies d’études de la démonstration de sûreté.

Par ailleurs, les évolutions de référentiels, notamment à l’occasion des réévaluations périodiques, doivent être répercutées de façon appropriée et en temps utile sur les équipements, les règles et procédures d’exploitation…

Le présent chapitre décrit le processus mis en place par EDF pour traiter les écarts de conformité, puis présente quelques exemples caractéristiques.

29.2.1.Le processus de traitement des écarts de conformité

Le processus mis en place par EDF pour traiter les écarts de conformité relevés dans les réacteurs du parc électronucléaire comporte quatre étapes :

Détection – Émergence de l’écart de conformité

Les écarts sont détectés par les centrales ou dans les centres d’ingénierie. Si un écart est potentiellement générique, il est pris en charge par les services d’ingénierie nationale d’EDF. Dès ce stade, en fonction de l’importance ou de l’urgence, Électricité de France peut décider de mettre en œuvre des mesures compensatoires permettant de pallier en tout ou partie les conséquences de l’écart.

Caractérisation de l’écart de conformité

La caractérisation consiste à évaluer les conséquences sur la sûreté de l’écart et à apprécier son éventuel aspect générique. Pour EDF, elle permet de déterminer l’urgence de la stratégie de traitement, en fonction du risque induit par l’écart. Si, à l’issue de la caractérisation, les conséquences sur la sûreté sont jugées significatives, un événement significatif pour la sûreté est déclaré (selon les critères indiqués au chapitre 21).

Définition de la stratégie de traitement

En fonction des résultats de la caractérisation, EDF définit une stratégie de traitement qui peut être :

–le maintien en l’état de l’installation,

–la définition de dispositions compensatoires permettant de pallier l’écart de conformité en attendant la mise en place de dispositions pérennes,

–la définition d’un traitement opérationnel de mise en conformité, une échéance étant associée à ce traitement opérationnel,

–le repli dans un état sûr du ou des réacteurs affectés si les conséquences possibles du point de vue de la sûreté sont jugées inacceptables.

Mise en œuvre des actions correctives

La remise en conformité des installations est réalisée. En fonction de l’impact sur la sûreté, celle-ci peut être effectuée soit immédiatement, soit lors des arrêts programmés pour rechargement du combustible, soit à l’occasion des visites décennales.

Tout au long de ce processus, EDF informe l’Autorité de sûreté nucléaire et l’IRSN, ce dernier évaluant le traitement des écarts à chaque étape du processus et pouvant faire part de recommandations.

En fonction du nombre d’écarts de conformité détectés et des délais de résorption ainsi définis pour chacun d’eux, les réacteurs peuvent être affectés simultanément par plusieurs écarts de conformité. En conséquence, depuis 2011, afin d’avoir une appréhension exhaustive de l’état de son installation, chaque centrale doit recenser l’ensemble des écarts de conformité existant dans ses installations et assurer une mise à jour permanente de cette liste. Il doit estimer les conséquences sur la sûreté du cumul de l’ensemble des écarts de conformité qui affectent simultanément le réacteur si ceux-ci ne peuvent pas être résorbés rapidement. Pour ce faire, les services centraux d’EDF réalisent une analyse de cumul des écarts de conformité génériques par palier ou type de réacteurs, en distinguant : Fessenheim et Bugey (CP0), les réacteurs des contrats-programmes CP1 et CP2, etc. Cette analyse définit un réacteur virtuel qui intégrerait l’ensemble des écarts de conformité qui seraient susceptibles d’affecter le palier ou le type de réacteurs correspondant. Des analyses du cumul des écarts de conformité spécifiques à chaque réacteur sont ensuite réalisées sur la base de l’analyse générique. Cette étude permet d’évaluer la nécessité de réviser les échéances initialement prévues de remise en conformité de certains écarts ou de mettre en place des mesures compensatoires supplémentaires.

29.2.2.Exemples d’écarts de conformité

Sont présentés ci-après quelques exemples d’écarts de conformité rencontrés dans les réacteurs du parc électronucléaire français, illustrant les différentes origines ou natures répertoriées plus haut. Quelques-autres événements, qui constituent aussi des écarts de conformité, ont été mentionnés dans des chapitres précédents ; des compléments sont apportés ici sur le traitement des vibrations anormales des moteurs des pompes d’injection de sécurité à basse pression et des pompes du système d’aspersion d’eau dans l’enceinte de confinement, ainsi que du soulèvement de leurs rotors, déjà évoqués au chapitre 19 consacré aux essais de démarrage des réacteurs à eau sous pression.

29.2.2.1.Écart de conformité de coffrets de raccordements électriques qualifiés aux conditions accidentelles

En 2003, alors que le réacteur n° 2 de la centrale nucléaire de Penly fonctionnait en puissance, un défaut d’isolement a été constaté dans les coffrets de raccordements électriques de deux vannes d’isolement de l’enceinte de confinement du réacteur. Ce défaut a été provoqué par un arrosage intempestif dû à une fuite du circuit d’alimentation en eau des générateurs de vapeur. Les investigations menées à la suite de cet événement ont montré en fait que l’isolant de certains câbles électriques présentait des entailles mettant à nu le cuivre des fils électriques et que des gaines isolantes étaient insuffisamment rétreintes ; ces anomalies étaient dues à une qualité insuffisante des d’interventions des électriciens et à une défaillance de la surveillance.

Les actionneurs alimentés par ces coffrets étaient nécessaires, en cas d’application des procédures accidentelles, pour ramener le réacteur dans un état d’arrêt sûr. Ils étaient par conséquent qualifiés aux conditions accidentelles. Les anomalies observées sur les câbles et les gaines isolantes remettaient donc en cause l’exigence d’isolement électrique requise pour les connexions concernées, et constituaient des écarts de conformité.

Des contrôles réalisés ultérieurement ont mis en évidence des anomalies similaires pour 57 des 122 coffrets de raccordements électriques de ce type présents dans le bâtiment du réacteur n° 2 de la centrale nucléaire de Penly.

Au cours du premier trimestre 2004, des contrôles menés dans les centrales nucléaires de Gravelines et de Flamanville ont montré le caractère générique de ces anomalies. Par ailleurs, des anomalies similaires ont été découvertes sur des câbles d’instrumentation.

À la suite de ces constatations, EDF a élaboré un programme d’investigations visant à contrôler notamment les coffrets les plus importants pour la sûreté. Les contrôles et remises en conformité se sont étalés jusqu’en 2007 sur l’ensemble du parc électronucléaire. Dans certains réacteurs, une reprise des contrôles a même été nécessaire en 2008 à la suite de la détection d’anomalies non détectées auparavant.

Afin d’éviter la survenue de nouvelles anomalies, EDF a mis en place un référentiel dont l’objectif est la pérennisation des actions mises en œuvre par la sensibilisation des différents acteurs, la mise à jour du recueil des prescriptions relatives au maintien de la qualification des équipements, la rédaction des procédures nationales de maintenance complétées par des notes de synthèse destinées aux chargés de contrôle et de surveillance.

29.2.2.2.Défaut de tenue au séisme de planchers métalliques
des bâtiments électriques et auxiliaires
des réacteurs de 900 MWe (CPY)

Dès 2005, à la suite de travaux préparatoires à la mise en place de modifications relatives à la protection contre l’incendie, EDF a constaté des écarts concernant les types de chevilles utilisés pour l’ancrage de planchers métalliques des bâtiments électriques des réacteurs Chinon B, Saint-Laurent-des-Eaux B et Dampierre-en-Burly. Il a alors engagé des remises en conformité et poursuivi ses investigations en vue d’établir le caractère générique ou non de ces écarts.

À l’issue de la mise en œuvre d’un programme d’investigations complémentaires (PIC – voir notamment les chapitres 27 et 30), qui prévoyait la vérification de l’ensemble des planchers métalliques non coupe-feu et des planchers métalliques capitonnés en sous-face d’une protection coupe-feu présents dans le bâtiment électrique et dans le bâtiment des auxiliaires nucléaires des réacteurs de 900 MWe du contrat-programme CPY, EDF a indiqué qu’il n’était pas en mesure de garantir la tenue de ces planchers métalliques au SMHV821 pour 17 réacteurs et la tenue au SMS822 pour les autres réacteurs, les ancrages de ces planchers n’étant que partiellement caractérisés. Aussi, de manière conservative, il pouvait être craint, en cas de séisme, une chute en cascade de l’ensemble de ces planchers (effet dominos) et, de ce fait, la perte de tous les matériels reposant sur ces planchers ou situés au droit de ceux-ci, aboutissant à la perte des mesures de paramètres physiques de la chaudière et à la perte de la manœuvre de certains organes nécessaires lors de situations accidentelles.

Dans un premier temps, EDF a procédé à la pose de haubans, afin de garantir la tenue au SMHV de chaque plancher. Ultérieurement, il a effectué les remises en conformité définitives de l’ensemble des planchers métalliques concernés, afin de garantir leur tenue au SMS.

29.2.2.3.Risque de colmatage des filtres des puisards
de l’enceinte de confinement

Les puisards des enceintes de confinement sont prévus pour recueillir l’eau provenant du circuit primaire en cas de brèche et celle provenant de l’aspersion d’eau dans cette enceinte. Comme cela est indiqué au chapitre 9 relatif à l’accident de perte de réfrigérant primaire, cette eau est alors « recirculée », c’est-à-dire qu’elle est reprise par le système d’aspersion qui assure également son refroidissement et par le système d’injection de sécurité qui la renvoie dans le cœur pour refroidir le combustible.

En cas de brèche du circuit primaire, l’effet du jet d’eau sortant par la brèche produit une quantité importante de débris issus principalement de la dégradation des éléments calorifuges et d’autres matériaux situés à proximité de la tuyauterie rompue. Les poussières et les débris présents dans l’atmosphère du bâtiment du réacteur ou déposés sur les structures sont lessivés par l’aspersion d’eau dans l’enceinte. Ces débris sont acheminés par écoulement gravitaire vers le niveau le plus bas de l’enceinte et s’accumulent en amont des filtres des puisards. Ils peuvent alors former un lit poreux susceptible de modifier les performances des pompes de recirculation situées en aval des filtres.

Les filtres ont été initialement conçus pour éviter le risque de colmatage et limiter le passage de débris vers les circuits situés en aval et vers le cœur.

Cependant, le retour d’expérience et l’avancée des connaissances sur ce sujet (voir le paragraphe 9.1.4) ont conduit à se réinterroger sur l’efficacité de leur conception. En décembre 2003, EDF a indiqué à l’autorité de sûreté qu’il n’était pas possible d’écarter le risque de colmatage des filtres des puisards dans des situations accidentelles de rupture d’une tuyauterie du circuit primaire.

Les réacteurs du parc électronucléaire français étaient équipés de filtres avec des mailles de différentes tailles, variant d’un palier à l’autre. Il s’agissait de panneaux verticaux installés circonférentiellement dans les puisards. Compte tenu des connaissances acquises par les travaux de recherche et de développement sur les risques de colmatage des filtres des puisards823, deux types de modifications ont été décidées en 2004 et mises en œuvre :

–la suppression des revêtements calorifuges en MICROTHERM®, matériau qui peut générer des particules de très faibles dimensions, rédhibitoires à l’égard du risque de colmatage des filtres des puisards,

–le remplacement des filtres par de nouveaux filtres de surface significativement plus importante (jusqu’à 48 fois la surface des anciens filtres).

Toutefois, la démonstration de l’efficacité d’un refroidissement du cœur par recirculation d’eau à partir des puisards en cas d’accident de perte de réfrigérant primaire n’est pas totalement acquise, car des questions essentielles restent encore posées (voir les paragraphes 9.1.4 et 30.5.3).

La solution adoptée pour le réacteur EPR est présentée au paragraphe 18.2.4.

29.2.2.4.Anomalie des moteurs diesels des groupes électrogènes
de secours et d’ultime secours des réacteurs de 900 MWe

Un écart de conformité affectant les coussinets de tête de bielle des groupes électrogènes de secours et d’ultime secours des réacteurs de 900 MWe est à l’origine de plusieurs avaries de leurs moteurs diesels.

Les coussinets de tête de bielle (voir la figure 29.1) sont des pièces semi-annulaires qui assurent l’interface entre la tête de la bielle et le maneton du vilebrequin du moteur ; ce sont des pièces en acier revêtu d’une couche antifriction en alliage de cuivre et de plomb.

Figure 29.1. Représentation de l’implantation des coussinets de tête de bielle (en bleu). IRSN.

Le fabricant d’origine avait arrêté sa production de coussinets en 2003 ; le constructeur des moteurs diesels a alors confié la fabrication de ces pièces, à l’identique, à un autre fabricant. Une première série de coussinets produits par ce nouveau fabricant (coussinets dits de première génération) a alors été montée à partir de 2006 dans plusieurs moteurs diesel de réacteurs de 900 MWe dans le cadre des opérations normales de maintenance. Mais, en 2008 et 2009, plusieurs avaries de moteurs se sont produites. L’expertise des coussinets a mis en évidence une dégradation rapide des coussinets, due à un défaut générique de fabrication (présence de surépaisseurs faibles de la couche antifriction) pouvant conduire à des fusions localisées du métal de ces coussinets. EDF et le constructeur des moteurs n’avaient pas estimé nécessaire d’effectuer des essais de qualification des pièces du nouveau fabricant, réputées fabriquées à l’identique des précédents.

Dans ces conditions, la fabrication d’une deuxième série de coussinets (dits de deuxième génération) a été lancée en 2009 ; le défaut de la couche antifriction a été corrigé. Les coussinets de deuxième génération ont subi des essais en usine dans un moteur identique à ceux qui sont installés dans les centrales, au cours desquels des mises en service du diesel correspondant à une durée d’exploitation de dix ans ont été effectuées. Le constructeur des moteurs considérant que ces essais permettaient de montrer le bon comportement des nouveaux coussinets, ces derniers ont été montés en lieu et place des coussinets de première génération.

Cependant, en octobre 2010, des avaries ont affecté deux moteurs équipés de ces nouveaux coussinets et les contrôles effectués sur deux autres moteurs ont révélé à nouveau une usure anormale des nouveaux coussinets. Afin de maintenir une fiabilité acceptable des moteurs, des dispositions de surveillance et de maintenance renforcées ont été prises par EDF à titre préventif.

Toutefois, depuis avril 2011, les coussinets de deuxième génération de cinq moteurs ont dû être remplacés en raison de leur dégradation prématurée. Pour l’un de ces moteurs, les coussinets ont même été remplacés trois fois. Les coussinets de deuxième génération ne constituant donc pas une solution pérenne, EDF a mené des investigations approfondies durant l’année 2011. Il en a conclu que la dégradation rapide des coussinets pouvait être causée par une lubrification insuffisante, due à un écart de géométrie. En 2012, Électricité de France et ses partenaires industriels ont donc défini un coussinet dit 2 bis pour lequel les différences géométriques qui subsistaient entre les coussinets de deuxième génération et les coussinets d’origine ont été corrigées. Les coussinets 2 bis ont été qualifiés et leur montage sur les moteurs du parc électronucléaire a été engagé.

29.2.2.5.Défaut de tenue en température des pompes d’injection
de sécurité à haute pression

Après les périodes de fortes chaleurs observées en 2003 et 2006, les exigences relatives à la protection des centrales contre les températures ambiantes élevées ont été réexaminées (« référentiel grands chauds »). À l’occasion de l’étude menée dans ce cadre par EDF, ont été mises en évidence des insuffisances concernant le dimensionnement des systèmes assurant le refroidissement des locaux abritant les pompes d’injection de sécurité d’eau à haute pression dans le circuit primaire des réacteurs de 900 MWe (CPY). En effet, lors de certaines situations accidentelles, la température dans ces locaux aurait pu atteindre transitoirement des valeurs supérieures à celle au-delà de laquelle le bon fonctionnement des pompes n’est plus garanti. Ainsi ces écarts pouvaient remettre en cause la capacité du système d’injection de sécurité à haute pression à assurer sa fonction de refroidissement du cœur dans ces situations accidentelles.

L’analyse effectuée par EDF a montré que l’élément de la pompe le plus sensible à la température ambiante était la vanne thermostatique qui régule la température de l’huile de lubrification. En effet, une surchauffe de l’élément réglant de cette vanne pouvait conduire à la bloquer dans la position qui oriente l’huile vers la ligne de contournement de l’aéroréfrigérant et, par voie de conséquence, entraîner l’indisponibilité de la pompe par échauffement de l’huile de lubrification.

Dans un premier temps, en 2008, afin de retrouver la disponibilité pleine et entière des pompes lors des situations accidentelles, EDF a remplacé les vannes thermostatiques en question par des vannes qualifiées à plus haute température, semblables à celles qui équipent le circuit analogue des réacteurs de 1 300 MWe. Cependant, peu après la mise en place de ces vannes et, bien que les essais de fonctionnement réalisés sur la première pompe modifiée aient été jugés satisfaisants, des dysfonctionnements sont survenus dans les centrales nucléaires de Dampierre-en-Burly, du Blayais et du Tricastin. Ces dysfonctionnements, dus à la rupture d’un élément de la tige de commande des vannes, conduisaient au bipasse de l’aéroréfrigérant, et donc à l’élévation de la température de l’huile et des composants lubrifiés. Les expertises menées ont montré que des fluctuations de pression dans le circuit, induites par le fonctionnement de la pompe de prégraissage, étaient à l’origine des dysfonctionnements observés.

À la suite de ce constat, Électricité de France a rapidement mis en œuvre des dispositions destinées à réduire l’impact sur la sûreté des défaillances des nouvelles vannes thermostatiques. Ces dispositions prévoient notamment de « forcer » en position ouverte vers l’aéroréfrigérant la vanne thermostatique d’une pompe d’injection de sécurité par réacteur, de limiter le temps de fonctionnement des pompes de prégraissage et d’effectuer un suivi renforcé du fonctionnement des pompes d’injection de sécurité. Par la suite, Électricité de France a remplacé les pompes de prégraissage par des pompes dont le fonctionnement induit moins de vibrations.

29.2.2.6.Mélanges de graisses dans des équipements
appelés à fonctionner en situations accidentelles

Au cours des années 1980-1990, des graissages inappropriés, conduisant à des mélanges de graisses de références différentes, à l’utilisation de graisses non conformes aux prescriptions du constructeur, ainsi que des oublis de graissage de matériels neufs ou des oublis d’appoints périodiques, ont été régulièrement observés par EDF (un exemple est évoqué au paragraphe 26.5.2). Un graissage inadapté peut affecter des matériels redondants d’un système important pour la sûreté et constitue de ce fait un mode commun potentiel de défaillance. Le graissage des matériels appelés à fonctionner lors de situations accidentelles (on utilisera le terme « qualifié » dans la suite du présent paragraphe), tels que ceux des circuits RIS, EAS…, est donc un sujet sensible.

À la fin des années 1990, une doctrine de graissage des groupes motopompes importants pour la sûreté a été établie par EDF, qui a permis de diminuer la fréquence des incidents de graissage. Toutefois, des événements survenus dans les années 2000 ont montré que ce sujet requiert une attention permanente.

Constat d’un mélange de graisses dans les servomoteurs
de robinets « qualifiés »

Deux graisses différentes, toutes deux qualifiées aux conditions accidentelles, étaient utilisées pour lubrifier des robinets « qualifiés ». Une graisse (que l’on appellera graisse A) assurait la lubrification du servomoteur électrique, une autre graisse (graisse B) assurait la lubrification du robinet (noix de manœuvre, boîte à butée…).

En 2008, lors d’opérations de maintenance préventive dans la centrale nucléaire de Nogent-sur-Seine, l’intervenant a constaté la présence de graisse B dans les graisseurs de quatre servomoteurs « qualifiés », alors que ceux-ci n’auraient dû contenir que de la graisse A. Par la suite, le même écart a été constaté dans vingt autres servomoteurs : de la graisse B, normalement destinée au robinet, avait été introduite dans le servomoteur. Cela entraînait la présence dans les servomoteurs d’un mélange « non qualifié » de deux graisses. En effet, bien que chacune de ces deux graisses fût « qualifiée », et que leurs composants respectifs (huiles, épaississants) ne fussent pas incompatibles, leur mélange dans des proportions variables ne pouvait pas être considéré comme « qualifié ». Les mélanges ainsi obtenu pouvaient perdre leurs propriétés lubrifiantes dans une ambiance accidentelle et provoquer ainsi l’indisponibilité des équipements concernés.

Des contrôles réalisés dans l’ensemble des centrales ont montré le caractère générique de cet écart. La remise en conformité a consisté à démonter les servomoteurs pour les nettoyer et remplacer la graisse. Selon la nature des graisses mélangées et l’importance du rôle pour la sûreté du servomoteur, la remise en conformité a été réalisée immédiatement ou effectuée dans le cadre d’opérations de maintenance ultérieures.

Mélange de graisses dans les motopompes
du circuit de refroidissement du réacteur à l’arrêt

L’arrêt de la fabrication de la graisse « qualifiée » utilisée pour le graissage des paliers des motopompes du circuit RRA avait conduit EDF à la remplacer par une graisse équivalente, « qualifiée » et répondant aux mêmes spécifications de lubrification. À cette fin, il avait retenu, pour les groupes motopompes concernés, de remplacer la graisse initiale par une « chasse » consistant à injecter en une seule fois un volume de graisse correspondant à une fois et demi le volume calculé des espaces libres des roulements équipant chaque palier de la pompe ou du moteur.

Cependant, cette pratique de graissage par « chasse » ne permet pas l’évacuation complète de l’ancienne graisse. Elle conduit donc à la formation d’un mélange de deux graisses en proportions incertaines. Bien que le guide d’exploitation et d’entretien des pompes du circuit de refroidissement du réacteur à l’arrêt interdisait le mélange de graisses de références différentes, EDF avait estimé que le procédé était dans ce cas acceptable compte tenu du fait que chacune des deux graisses était « qualifiée » et que le fournisseur de la nouvelle graisse avait confirmé sa compatibilité avec l’ancienne graisse.

À l’issue d’un contrôle systématique du graissage des motopompes de l’ensemble des centrales, il est apparu que 29 motopompes sur les 116 du parc présentaient une non-conformité de graissage. La démonstration de la qualification du mélange des deux graisses n’ayant pas pu être apportée, EDF a déclaré en 2009 un événement significatif pour la sûreté, à caractère générique. Par la suite, des tests et des analyses complémentaires engagés par Électricité de France ont permis de démontrer la bonne tenue des mélanges de graisse en situation accidentelle. Néanmoins, sans attendre les résultats de ces essais, Électricité de France avait procédé, à titre préventif, à la remise en conformité de plusieurs groupes motopompes en démontant la pivoterie de la pompe et en la remplaçant par une nouvelle pivoterie équipée de la nouvelle graisse « qualifiée ».

29.2.2.7.Déséquilibre de débit entre lignes d’injection de sécurité
des réacteurs de 900 MWe

Les réacteurs de 900 MWe comprennent trois boucles de circulation d’eau pour le refroidissement du cœur. Une brèche pourrait affecter n’importe laquelle de ces trois boucles. Une partie de l’eau injectée par le système d’injection de sécurité (RIS) s’échapperait alors par la brèche. Pour limiter cette perte, un équilibrage des débits envoyés dans les lignes d’injection de sécurité est réalisé lors des essais préliminaires à la mise en service du réacteur. Chaque ligne est équipée à cet effet d’une vanne à pointeau permettant d’ajuster son débit. Dans la démonstration de sûreté, un déséquilibre maximal de 6 %, incertitudes comprises, est supposé. Le respect de ce critère de sûreté est périodiquement vérifié lors d’essais réalisés à l’occasion des arrêts pour rechargement du combustible dans le cœur, à partir de mesures de la perte de pression par frottement à l’intérieur d’une tuyauterie droite (principe de mesure par « tube Barton ») équipant chaque ligne d’injection de sécurité. En cas de dérive de l’équilibre entre les lignes d’injection de sécurité, le réglage des vannes à pointeau est repris.

Lors de la conception des réacteurs de 900 MWe, le choix du procédé de mesure des débits dans les lignes du système d’injection de sécurité a été arrêté sur une technologie sans exigence particulière quant aux incertitudes de mesure. L’incertitude associée à ces mesures a été fixée de manière forfaitaire par le fournisseur des dispositifs de mesure à 1 %, incertitude compatible avec le déséquilibre maximal retenu dans les études d’accidents, à savoir 6 %. En 2007, dans le cadre d’une instruction technique menée par l’IRSN sur les incertitudes des mesures réalisées lors des essais périodiques, la justification des incertitudes estimées pour ce dispositif de mesure du débit a été demandée à EDF. Il est apparu que l’incertitude associée au dispositif utilisé était largement sous-évaluée, mettant ainsi en question le respect du critère de sûreté relatif au déséquilibre maximal de débit acceptable entre lignes d’injection, les conséquences pouvant être une dégradation du combustible plus importante que prévu, faute d’un refroidissement suffisant. Ce dispositif de mesure devait donc être modifié.

La mise en place d’une solution définitive adéquate pour tous les réacteurs de 900 MWe nécessitait des interventions importantes, donc de longs délais pour la préparation et la réalisation des modifications, non compatibles avec la vérification et, le cas échéant, le rétablissement au plus tôt de l’équilibre entre les lignes d’injection. C’est pourquoi EDF a tout d’abord mis en place une solution provisoire consistant à remplacer la mesure de débit par une mesure de vitesse du fluide à l’aide de sondes ultrasonores disposées au contact des tuyauteries, disposition qui ne nécessite pas de démontage de tuyauterie. À la fin de l’année 2012, l’ensemble des réacteurs de 900 MWe avaient été contrôlés grâce à ce dispositif. Pour la plupart d’entre eux, le critère d’équilibre n’était pas respecté, ce qui a nécessité une reprise du réglage de l’ouverture des vannes à pointeau.

29.2.2.8.Anomalie de modélisation dans le logiciel CATHARE
de la circulation naturelle dans la partie supérieure de la cuve

En cas d’arrêt des pompes primaires, la circulation forcée d’eau dans le circuit primaire s’arrête et une circulation naturelle s’établit. Dans cette situation, l’objectif de la conduite du réacteur est d’atteindre un état sûr en procédant à un refroidissement du circuit primaire par les générateurs de vapeur et à une dépressurisation de ce circuit. La circulation d’eau sous le couvercle de la cuve étant très faible, cette zone reste chaude et retarde la dépressurisation.

EDF a constaté en 2010 que la modélisation de la zone située en dessous du couvercle de la cuve dans le logiciel de simulation thermohydraulique CATHARE824 ne permettait pas de rendre compte des phénomènes observés (formation d’une bulle de vapeur sous le couvercle de la cuve) lors de situations réelles (essais, incidents). Ces insuffisances de modélisation étaient susceptibles de ralentir voire de modifier les transitoires de repli du réacteur à long terme, conduisant à une augmentation des rejets radioactifs calculés, ou encore à la définition d’une stratégie de conduite inappropriée. Cependant, les premières conclusions de l’analyse de cette erreur de représentation par Électricité de France ont montré que l’impact sur les études de sûreté devrait être faible, excepté pour l’accident de rupture d’un tube de générateur de vapeur (RTGV).

EDF a proposé un traitement de cette anomalie à l’échéance de la première visite décennale à venir pour la première tranche de chaque palier de réacteurs, en analysant sans attendre les procédures de conduite accidentelle jusqu’à l’état de repli des différents transitoires afin de les ajuster pour les rendre robustes à la présence d’une bulle sous le dôme du réacteur.

29.2.2.9.Vibrations des groupes motopompes de sauvegarde
et soulèvements de rotors

Il a été indiqué au paragraphe 19.5 que, dès les années 1980, des anomalies (vibrations, soulèvements de rotors) ont été mises en évidence pour les pompes des systèmes de sauvegarde RIS et EAS des réacteurs de 900 MWe et de 1 300 MWe et qu’un certain nombre de dispositions ont été mises en place pour les résorber.

Toutefois, pour certains réacteurs de 900 MWe du contrat-programme CPY, des épisodes vibratoires ont persisté lors d’essais périodiques. Ainsi en 1996, à la centrale nucléaire de Gravelines, deux moteurs présentant un niveau vibratoire supérieur au critère d’arrêt lors des essais périodiques ont dû être remplacés. Cela a également conduit EDF à entreprendre une reprise du réglage des tirants des moteurs de pompes de sauvegarde des réacteurs de 900 MWe.

EDF a effectué en 2004 et 2005 une campagne d’essais de pompes chez le constructeur Guinard, dont le but était de déterminer toutes les causes possibles de vibrations de ces moteurs et d’en évaluer les conséquences. Ces essais ont été réalisés à l’échelle 1. Ils ont mis en évidence un risque de soulèvement des rotors des pompes des réacteurs de 900 MWe, lorsque celles-ci aspirent de l’eau chaude et montré que les tirants installés précédemment n’étaient pas suffisamment efficaces. Des roulements supérieurs à « double effet » ont été installés, comme cela avait été fait sur les pompes des réacteurs de 1 300 MWe. Pour les moteurs jugés sensibles des réacteurs de 900 MWe, les tirants ont été remplacés par des sabots-raidisseurs (3 ou 6 selon les pompes). Néanmoins, cette disposition n’a pas eu l’effet escompté sur le niveau vibratoire des pompes de sauvegarde des réacteurs de 900 MW (CPY). Une étude a permis de montrer que la raideur des planchers de supportage des moteurs jouait également un rôle, ceux des réacteurs précités ayant une fréquence propre proche de la fréquence de rotation des moteurs. La mise en place de poteaux raidisseurs sous les planchers n’a pas eu non plus l’effet escompté.

En 2006, la question de la qualification des pompes de sauvegarde aux conditions accidentelles a été de nouveau abordée dans le cadre d’une réunion du Groupe permanent d’experts pour les réacteurs nucléaires ; cet examen a conduit EDF à effectuer un état des lieux global de la situation pour tous les réacteurs, soit 2 300 pompes, et à entreprendre un programme complémentaire de qualification des groupes motopompes des systèmes ISBP et EAS des réacteurs de 900 MWe, fondé sur des essais (dans la boucle expérimentale dénommée EPEC825), des mesures, des enregistrements et des expertises de matériels en vue d’aboutir à la définition d’une solution pérenne. Ce programme n’a en fait pas permis de dégager de nouvelle disposition générique d’amélioration autre que celles qui avaient déjà été mises en œuvre.

La réduction des vibrations des pompes a requis un traitement au cas par cas. Par exemple, l’installation de « masses ajoutées » pour réduire la fréquence propre des moteurs de quelques Hertz et éviter le couplage avec les modes de vibration des planchers a été l’une des dispositions qui pour certains cas a permis de retrouver des niveaux vibratoires satisfaisants.

819.Pour cette notion, voir les chapitres 2 (organisation du contrôle de la sûreté) et 30 (réexamens périodiques).

820.Voir le chapitre 30 pour les visites décennales et les réexamens périodiques.

821.Séisme maximal historiquement vraisemblable (voir le paragraphe 12.3).

822.Séisme majoré de sécurité.

823.Voir le chapitre 5 de l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

824.Le logiciel de simulation CATHARE est un code de thermohydraulique développé par le CEA et financé par EDF, Areva (puis Framatome) et l’IRSN ; ce logiciel permet notamment de simuler les écoulements dans le circuit primaire et le circuit secondaire (voir le chapitre 40).

825.« Essais des pompes en eau chaude ». Cette boucle, auparavant propriété d’EDF et de Framatome, est désormais propriété d’EDF. Elle a été transférée au début des années 2010 de la Direction des constructions navales, services et systèmes (DCNS, devenue Naval Group en 2017) du site de Nantes-Indret au Centre d’études et de recherche de Grenoble dédié à la mécanique des fluides.

Chapitre 30

Les réexamens périodiques

30.1.Introduction

La sûreté d’une installation nucléaire n’est jamais définitivement acquise et son amélioration doit être constamment recherchée en tenant compte notamment du retour d’expérience et des nouvelles connaissances. De plus, depuis la mise en exploitation des premiers réacteurs, la conception, la construction et l’exploitation de nouveaux réacteurs font l’objet d’exigences accrues. Les réexamens périodiques des installations existantes constituent un cadre privilégié pour vérifier leur conformité aux exigences et référentiels applicables, réévaluer leur niveau de sûreté, rechercher des possibilités d’améliorations et apprécier l’acceptabilité de leur fonctionnement.

Si les réexamens périodiques sont une pratique courante pour les réacteurs électronucléaires français depuis la fin des années 1970, ils sont maintenant exigés par la règlementation française. C’est d’abord dans un décret de 1990 modifiant le décret de 1963 relatif aux installations nucléaires qu’est apparu pour la première fois un fondement règlementaire précis pour les « réexamens de la sûreté » : « Les ministres chargés de l’industrie et de la prévention des risques technologiques majeurs peuvent conjointement demander à tout moment à l’exploitant de procéder au réexamen de la sûreté de l’installation ».

Plus récemment, l’article L.593-18 du code de l’environnement stipule que « L’exploitant d’une installation nucléaire de base procède périodiquement au réexamen de son installation en prenant en compte les meilleures pratiques internationales. Ce réexamen doit permettre d’apprécier la situation de l’installation au regard des règles qui lui sont applicables et d’actualiser l’appréciation des risques ou inconvénients que l’installation présente pour les intérêts mentionnés à l’article L.593-1, en tenant compte notamment de l’état de l’installation, de l’expérience acquise au cours de l’exploitation, de l’évolution des connaissances et des règles applicables aux installations similaires. Ces réexamens ont lieu tous les dix ans. Toutefois, le décret d’autorisation peut fixer une périodicité différente si les particularités de l’installation le justifient. Pour les installations relevant de la directive 2009/71/Euratom du Conseil du 25 juin 2009 établissant un cadre communautaire pour la sûreté nucléaire des installations nucléaires, la fréquence des réexamens périodiques ne peut être inférieure à une fois tous les dix ans. »

Les réexamens périodiques permettent à l’exploitant d’une part de se réinterroger de façon approfondie sur la sûreté de chaque installation, d’autre part de rechercher des améliorations des installations visant à rapprocher autant que possible leur niveau de sûreté de celui des installations les plus récentes, à défaut d’être identique. Les réexamens périodiques de sûreté, réalisés tous les dix ans, complètent ainsi le processus d’amélioration de la sûreté que constitue l’examen du retour d’expérience de l’exploitation au quotidien des installations.

Il convient de plus de noter que, en France, les réacteurs du parc électronucléaire font aussi l’objet de réévaluations thématiques pour tenir compte d’évolutions technologiques poussées par les industriels (par exemple pour le combustible), de nouvelles connaissances acquises sur des sujets complexes faisant l’objet de programmes de recherche et développement (par exemple sur les accidents avec fusion du cœur), ou sur des sujets génériques (par exemple l’évaluation des conséquences radiologiques des accidents). Les modifications résultant de ces réévaluations thématiques sont alors généralement réintégrées dans les lots de modifications retenues à l’occasion des visites décennales.

Dès le début de leur exploitation, les chaudières de réacteurs à eau sous pression du parc électronucléaire français furent soumises à une règlementation spécifique en matière d’appareils à pression ; l’arrêté du 26 février 1974 requérait en particulier le renouvellement tous les dix ans de l’épreuve hydraulique du circuit primaire principal. Le renouvellement de l’épreuve de l’enceinte de confinement était inscrit dans les spécifications techniques d’exploitation (STE)826. Plus généralement, un ensemble d’épreuves et de contrôles approfondis furent prévus et sont toujours réalisés de façon décennale, notamment :

–une épreuve hydraulique du circuit primaire principal (cuve, pressuriseur, tuyauteries principales, générateurs de vapeur). La règlementation en matière d’équipements sous pression exige en effet que, tous les dix ans, la chaudière nucléaire fasse l’objet d’une visite complète et d’une requalification incluant une épreuve hydraulique. Cette épreuve consiste à soumettre le circuit primaire à une pression supérieure de 20 % à sa pression de calcul, soit 207 bars − atteinte en trois paliers successifs −, et constitue un test global de résistance. Des parties du circuit primaire principal sont inspectées visuellement par les inspecteurs de l’Autorité de sûreté nucléaire, pour détecter d’éventuels désordres pendant l’épreuve (fuite, déformation, traces…). Un procédé qualifié d’écoute acoustique est mis en œuvre pendant l’épreuve, afin de détecter d’éventuels relâchements de contraintes mécaniques, y compris dans les parties qui sont inaccessibles aux contrôles visuels ;

–une inspection de la cuve du réacteur à l’aide de dispositifs de contrôle robotisés, pour vérifier le bon état des soudures et du revêtement interne en acier inoxydable et l’évolution, éventuelle, de défauts (par exemple les « défauts sous revêtement » − voir le paragraphe 27.2.1) ;

–un contrôle des tubes des générateurs de vapeur ;

–une épreuve de l’enceinte de confinement827 pour vérifier sa résistance et son taux de fuite, au cours de laquelle sa pression interne est portée à la valeur de sa pression de calcul par une dizaine de compresseurs.

Ces opérations sont menées dans le cadre de périodes d’arrêt des réacteurs dites visites décennales, d’une durée de l’ordre de plusieurs mois. Ces visites décennales englobent bien sûr d’autres vérifications, essais et modifications, dont certains sont définis dans le cadre des études associées au réexamen périodique. Cela sera illustré plus loin avec les premières visites décennales des réacteurs des centrales nucléaires de Fessenheim et du Bugey.

Il ne saurait être question de présenter tous les réexamens de sûreté réalisés pour les différents réacteurs du parc électronucléaire français. Il a été choisi de se limiter pour l’essentiel au réexamen associé aux troisièmes visites décennales des réacteurs de 900 MWe, s’agissant des réacteurs les plus anciens pour lesquels la démarche complète de réexamen – améliorée au fil du temps – a été appliquée, en évoquant quelques aspects du réexamen en cours associé à leurs quatrièmes visites décennales (lié au projet d’EDF d’allonger la durée d’exploitation des réacteurs au-delà des quarante années prévues pour la conception de certains de leurs équipements).

30.2.Historique des réexamens de sûreté en France
pour les réacteurs électronucléaires828

30.2.1.Réacteurs autres que les réacteurs
à eau sous pression du parc électronucléaire

Les réacteurs de la filière UNGG (réacteurs refroidis par du gaz carbonique et modérés par du graphite, utilisant comme combustible de l’uranium naturel sous forme métallique), le premier réacteur à eau sous pression français implanté à Chooz (Ardennes), dit Chooz A, réacteur de 245 MWe, puis le réacteur PHENIX (réacteur à neutrons rapides refroidi au sodium [RNR], d’une puissance de 563 MWth et 250 MWe) ont fait successivement l’objet, après dix à quinze ans d’exploitation, de ce que l’on désignera dans la suite du texte sous l’appellation de « bilans de sûreté », en fait dénommés au moment où ils furent réalisés, selon les cas, « réexamen », « examen complémentaire » ou « réévaluation de sûreté ».

Ces bilans de sûreté ont été motivés par l’intérêt de faire un état de la sûreté de ces réacteurs après plus d’une dizaine d’années de fonctionnement, en règle générale sans référence à un problème de sûreté ayant pu apparaître au cours de l’exploitation. En effet, des examens ciblés de la sûreté de ces réacteurs avaient déjà eu lieu à diverses reprises, à l’occasion d’incidents ou dans le cadre général de la prise en compte du retour d’expérience, mais ils n’avaient pas le caractère global désormais attaché à la démarche des réexamens périodiques.

Les bilans de sûreté des réacteurs de la filière UNGG ont débuté par les réacteurs Chinon A2 et A3, le Service central de sûreté des installations nucléaires ayant demandé une « refonte » de leurs rapports de sûreté, l’établissement de règles générales d’exploitation (RGE) et l’élaboration de plans d’urgence internes (PUI). Ils ont été poursuivis en plusieurs étapes jusqu’en 1988, date à laquelle fut réexaminée une dernière fois la sûreté du réacteur Bugey 1. Ces bilans de sûreté ont permis de déterminer dans quelle mesure les exigences de sûreté retenues pour les réacteurs conçus ou construits plus récemment (notamment les réacteurs à eau sous pression) pouvaient être prises en compte et d’identifier des dispositions méritant des améliorations. Les modifications réalisées ont généralement permis la poursuite du fonctionnement de ces réacteurs dans des conditions jugées acceptables829.

Le premier réacteur de la filière des réacteurs à eau sous pression implanté en France (Chooz A) a fait l’objet d’un bilan de sûreté dès 1983, à la lumière notamment de la conception retenue pour les réacteurs de 900 MWe. Un bilan de fonctionnement des circuits fréquemment sollicités a été dressé, tenant compte des anomalies et des incidents survenus ainsi que des modifications apportées au cours de l’exploitation. Pour les circuits de sauvegarde, une analyse systématique a été réalisée à l’égard des critères de conception retenus pour les réacteurs de 900 MWe. De même, l’évaluation des règles générales d’exploitation a eu pour objectif de les rendre cohérentes avec celles des réacteurs de 900 MWe, en tenant compte des spécificités de Chooz A. Ainsi, outre les améliorations documentaires portant sur le rapport de sûreté et les spécifications techniques d’exploitation, des modifications importantes ont été réalisées, telles que la mise en place d’un nouveau circuit d’alimentation en eau de secours des générateurs de vapeur, d’un « panneau de repli »830, d’une nouvelle instrumentation post-accidentelle, ainsi que l’amélioration des automatismes de démarrage des systèmes d’injection de sécurité dans le circuit primaire et d’aspersion d’eau dans l’enceinte de confinement.

Enfin, le bilan de sûreté de Chooz A a conduit à vérifier la tenue au séisme de l’installation, cette agression n’ayant pas été considérée lors de la conception du réacteur. Le spectre sismique du Regulatory Guide 1.60 calé à 0,1 g a été retenu pour effectuer les vérifications correspondantes, en priorité pour le circuit primaire, les systèmes d’arrêt automatique du réacteur et d’évacuation de la puissance résiduelle, ainsi que pour la piscine d’entreposage du combustible.

Différents bilans de sûreté ont été menés pour le réacteur électrogène PHENIX, dont la première divergence a été effectuée en 1973 et dont l’arrêt définitif a été prononcé au mois de mars 2009.

Un premier bilan de sûreté pour ce réacteur a été réalisé en 1986, sous l’appellation de réévaluation de sûreté. Le Service central de sûreté des installations nucléaires a en effet demandé que soit réalisé un état de la sûreté de ce réacteur tant pour ce qui concerne les endommagements ayant affecté certains équipements au début de son fonctionnement (notamment les échangeurs intermédiaires) et leur traitement que pour ce qui concerne la documentation (rapport de sûreté et études en support [risques liés aux séismes, risques industriels, études d’accidents y compris de fusion de combustible dans le cœur du réacteur…], RGE, PUI).

La survenue en 1989 et 1990 d’arrêts d’urgence du réacteur par réactivité négative dans le cœur conduisit tout d’abord le Commissariat à l’énergie atomique – exploitant du réacteur –, à en rechercher l’origine et à montrer en particulier que ces arrêts d’urgence n’étaient pas l’indice de désordres dans les structures de supportage du cœur du réacteur. Les importants travaux associés, tant en termes d’études que d’essais divers, y compris sur le réacteur lui-même, ont constitué une sorte de réévaluation de sûreté ciblée, avec notamment une revue de tous les initiateurs possibles d’une variation rapide de réactivité et une reprise de certaines études d’accidents. En 1993, au terme de ces travaux, le redémarrage du réacteur avec une surveillance renforcée du cœur et un fonctionnement à puissance partielle (à 350 MWth, avec deux boucles secondaires sur trois) a pu être autorisé par la Direction de la sûreté des installations nucléaires, la première phase de ce fonctionnement comprenant l’achèvement du 49e cycle qui avait été interrompu par les arrêts d’urgence par réactivité négative. Le Commissariat à l’énergie atomique souhaitant poursuivre le fonctionnement du réacteur pour une durée équivalente à 720 jours à pleine puissance, un réexamen de sûreté complet fut exigé. Des contrôles approfondis des circuits de sodium et une rénovation de grande ampleur du réacteur furent engagés ; ils s’échelonnèrent de 1994 à 2003. Les arrêts d’urgence de 1989 et 1990 demeurant toujours inexpliqués, l’exploitant a été conduit à mettre en œuvre pour ce réexamen un contrôle non destructif de la virole de supportage du cœur immergée dans le sodium (selon un procédé innovant développé par l’exploitant), afin de s’assurer qu’elle n’était pas affectée de défauts susceptibles de mettre en cause sa tenue mécanique sous les diverses sollicitations envisageables (notamment sismiques).

30.2.2.Réacteurs à eau sous pression du parc électronucléaire français (900 MWe, 1 300 MWe et 1450 MWe)

C’est en 1987, dix ans après la première divergence du réacteur Fessenheim 1, qu’une réévaluation de sûreté des réacteurs Fessenheim 1 et 2 ainsi que des réacteurs Bugey 2 à 5 (tous réacteurs du premier groupe dit CP0) a été engagée à la demande du Service central de sûreté des installations nucléaires ; elle visait à :

–veiller au maintien de la cohérence du rapport de sûreté avec l’état de réalisation des réacteurs,

–s’assurer que l’amélioration des connaissances, y compris les leçons tirées de l’expérience d’exploitation, était bien mise à profit,

–identifier les différences notables de conception entre les réacteurs concernés et les options de sûreté retenues pour les réacteurs ultérieurs,

–estimer le gain pour la sûreté qui résulterait de modifications des installations ou des procédures.

L’apparente évidence de ces questions souleva toutefois la difficulté du choix des sujets précis sur lesquels devait porter la réévaluation, de façon à éviter une reprise complète de l’analyse de sûreté, dont les résultats ne seraient sans doute pas à la hauteur des ressources engagées, tout en garantissant qu’aucun sujet important ne serait omis. D’autres questions se posèrent quant au choix des références à considérer pour cette réévaluation, aux moyens d’appréciation du niveau global de sûreté ou encore à la complémentarité entre la réévaluation proprement dite et le processus continu de suivi de l’exploitation et d’analyse de la sûreté, associé notamment au retour d’expérience. Enfin, s’il ne s’agissait pas a priori de modifier de manière importante les ouvrages de génie civil ou les systèmes des installations, l’objectif était bien de rechercher les modifications ou mesures palliatives permettant des gains de sûreté significatifs.

Finalement, pour cette première réévaluation de sûreté des réacteurs du premier groupe dit CP0, le réacteur B4 de la centrale nucléaire de Chinon – représentatif de l’état « fin de palier » des réacteurs de 900 MWe (CP2) –, ainsi que des textes applicables aux paliers de réacteurs de 1 300 MWe et 1 450 MWe furent retenus comme références.

La réévaluation – qui s’est achevée en 1993 – a été menée parallèlement aux premières visites décennales des réacteurs (de 1989 à 1992) ; elle a porté sur 12 domaines différents déclinés en 53 sujets ; parmi ces sujets, on peut citer :

–les agressions d’origine externe ou d’origine interne,

–les systèmes de sauvegarde (conception et retour d’expérience),

–les circuits primaire, secondaire et auxiliaires,

–le confinement,

–le contrôle-commande,

–le fonctionnement des circuits (de sauvegarde) d’injection de sécurité (RIS) et d’aspersion d’eau dans l’enceinte de confinement (EAS) en recirculation à partir des puisards situés au fond du bâtiment du réacteur,

–l’absence de circuit de refroidissement intermédiaire pour les circuits de sauvegarde des réacteurs de la centrale nucléaire de Fessenheim,

–l’épaisseur du radier de ces réacteurs et leur comportement en cas d’accident avec fusion du cœur,

–le classement des équipements,

–les études d’accidents,

–les essais à réaliser dans le cadre des visites décennales.

La réévaluation d’un certain nombre des 53 sujets tira profit des résultats de la toute première visite décennale alors déjà réalisée (en 1989) pour le réacteur Fessenheim 1 (voir la figure 30.1) et qui comportait notamment831 :

–l’épreuve hydraulique du circuit primaire principal,

–des contrôles de la cuve du réacteur par la machine d’inspection en service, comprenant en particulier le contrôle des 30 premiers millimètres d’épaisseur de la cuve à partir de sa paroi interne (voir le paragraphe 27.2), au voisinage des deux soudures de la zone la plus irradiée de la cuve,

–la recherche d’éventuels défauts sous revêtement (DSR), du fait de la fissuration générique découverte en 1979 au niveau des tubulures de cuves de réacteurs de 900 MWe,

–des contrôles des tubes traversant le fond de la cuve (associés au système RIC de mesures en cuve), compte tenu du phénomène générique d’amincissement de ces tubes832 détecté en 1985 dans des réacteurs,

–des mesures des jeux du cloisonnement et de la visserie des structures internes inférieures de la cuve,

–l’épreuve de résistance et l’essai d’étanchéité de l’enceinte de confinement.

Figure 30.1. Ouverture du tampon d’accès matériels (TAM) lors d’une visite décennale de la centrale nucléaire de Fessenheim. Noak/Le bar Floréal/Médiathèque IRSN.

Des essais étaient aussi prévus par EDF lors de cette première visite décennale de Fessenheim 1. Toutefois, à la suite des discussions avec les organismes de sûreté, d’autres essais furent réalisés, notamment :

–des essais des circuits RIS et EAS en configuration d’aspiration d’eau dans les puisards et dans le réservoir d’eau borée du circuit de refroidissement des piscines (bâche PTR),

–un essai de requalification du circuit d’eau brute SEB dans les conditions les plus pénalisantes (niveau d’eau minimum dans le canal d’Alsace),

–un essai de décharge des soupapes SEBIMTM du pressuriseur à basse pression dans la configuration de refroidissement en mode « gavé-ouvert » qui est retenue pour certaines situations accidentelles,

–un essai de qualification du dispositif d’éventage-filtration de l’enceinte de confinement et de la procédure associée U5 (voir le chapitre 17) en profitant des conditions de l’épreuve hydraulique de l’enceinte de confinement.

La réévaluation de sûreté des réacteurs de Fessenheim et du Bugey a conduit à la mise en œuvre de nombreuses modifications, portant notamment sur les circuits de sauvegarde, telles que :

–le doublement des ventilateurs de brassage de l’atmosphère de l’enceinte de confinement (ETY) pour réduire le risque d’explosion d’hydrogène à l’intérieur de cette enceinte en situations accidentelles,

–le remplacement des filtres des puisards RIS-EAS pour réduire le risque de colmatage lors d’un fonctionnement de ces circuits en configuration de recirculation d’eau,

–l’automatisation du passage en recirculation d’eau des circuits de RIS et EAS,

–le doublement du circuit d’aspiration de l’injection de sécurité à basse pression (ISBP) dans la bâche PTR,

–le remplacement des échangeurs du circuit EAS par de nouveaux échangeurs plus robustes (en titane), sachant que, dans les réacteurs de Fessenheim, leur refroidissement en situation accidentelle est assuré directement par l’eau du milieu naturel (Rhin), sans circuit intermédiaire.

Des enseignements ont été tirés dès 1993 de cette première réévaluation de sûreté de réacteurs du parc électronucléaire. De façon générale, l’expérience confirmait l’intérêt d’une telle réévaluation de sûreté, qui avait été l’occasion d’un bilan, sur les points jugés importants, des anomalies observées depuis le démarrage et des actions correctrices engagées. Elle avait permis de confirmer, pour l’essentiel, le bon fonctionnement du processus d’amélioration de la sûreté tirant profit du retour d’expérience ainsi que des nouvelles connaissances et études de sûreté, telles que celles réalisées dans le cadre des actions post-TMI (voir les chapitres 32 et 33), les études du « domaine complémentaire » d’événements (chapitre 13) et celles concernant la limitation des conséquences d’accidents avec fusion du cœur y compris en termes de gestion de crise (chapitres 17 et 38). Ce processus ne permettait toutefois pas d’apprécier le caractère suffisant de certaines dispositions, en particulier pour ce qui concerne les systèmes non sollicités lors du fonctionnement normal ou pour ce qui concerne la prévention des risques associés à certaines agressions internes ou externes peu rencontrées de faibles probabilités. L’évolution des connaissances ne conduisait pas nécessairement à une amélioration de la sûreté réelle des installations, mais parfois plutôt à une amélioration de l’appréciation de leur sûreté.

C’est alors que la démarche de « réexamen » de sûreté fut formalisée, sur la base d’une proposition initiale de l’IPSN et de façon concertée avec EDF et la Direction de la sûreté des installations nucléaires ; elle comporte deux volets :

–un volet d’examen de la conformité de l’installation au référentiel de sûreté qui lui est applicable833 (cela incluant en particulier la conformité à la description de l’installation et aux justifications de sûreté présentées dans le rapport de sûreté),

–un volet de réévaluation de sa sûreté pour prendre en compte les nouveaux éléments (conception de nouveaux réacteurs, retour d’expérience, études et recherches, connaissances, exigences ou normes…) intervenus depuis le réexamen de sûreté précédent.

Cette démarche et les notions associées sont précisées plus loin.

Au fil du temps, la démarche de réexamen bénéficiera d’améliorations issues du retour d’expérience des réexamens pratiqués et des enseignements qui en ont été tirés.

30.3.Démarche de réexamen périodique
des réacteurs à eau sous pression
du parc électronucléaire français

30.3.1.Règlementation

Jusqu’à la promulgation de la loi du 13 juin 2006 relative à la transparence et à la sécurité en matière nucléaire (loi n° 2006-686 du 13 juin 2006, dite loi TSN), les réexamens de sûreté des INB étaient menés en cohérence avec le décret n° 63-1228 du 11 décembre 1963 (modifié en 1973, 1985, 1990, 1993), en application de son article 5, dont la partie concernant les réexamens a été reproduite dans l’introduction du présent chapitre.

Ce texte, auquel il n’a pas été formellement fait appel pour les réacteurs à eau sous pression, ne rendait pas systématique l’obligation pour un exploitant de mener un réexamen de sûreté de son installation, et ne fixait a fortiori pas de période entre deux réexamens. Les réexamens de sûreté des réacteurs à eau sous pression ont donc été engagés par EDF à la demande de l’autorité de sûreté et en concertation avec celle-ci.

La loi TSN, codifiée dans le code de l’environnement, a donné aux réexamens de sûreté des INB un caractère obligatoire et périodique, des objectifs et des modalités de mise en œuvre. Les objectifs et les modalités des réexamens sont ainsi définis dans les articles suivants du Titre IX du Livre V, intitulé « La sécurité nucléaire et les installations nucléaires de base » du code de l’environnement :

–L’article L.593-18 déjà cité dans l’introduction du présent chapitre.

–L’article L.593-19 : « L’exploitant adresse à l’Autorité de sûreté nucléaire et au ministre chargé de la sûreté nucléaire un rapport comportant les conclusions de l’examen prévu à l’article L.593-18 et, le cas échéant, les dispositions qu’il envisage de prendre pour remédier aux anomalies constatées ou pour améliorer la sûreté de son installation. Après analyse du rapport, l’Autorité de sûreté nucléaire peut imposer de nouvelles prescriptions techniques. Elle communique au ministre chargé de la sûreté nucléaire son analyse du rapport ».

Ainsi, selon les termes de l’article L.593-19 du code de l’environnement, l’obligation de procéder à un réexamen périodique est réputée satisfaite lorsque l’exploitant remet à l’Autorité de sûreté nucléaire et au ministre chargé de la sûreté nucléaire son rapport de réexamen. La date à laquelle est remis ce rapport est le point de départ du délai dont dispose l’exploitant pour remettre le rapport suivant (dix ans).

Une décision relative au réexamen périodique des INB est en préparation par l’Autorité de sûreté nucléaire834 (avec l’appui de l’IRSN) qui vise à préciser les objectifs et les champs d’un réexamen ainsi que ses modalités de réalisation. En particulier, y sera défini le contenu attendu du dossier d’orientation du réexamen (DOR – voir le paragraphe 30.3.2) et du rapport de conclusions du réexamen de sûreté (RCRS).

Pour sa part, EDF a retenu de réaliser les réexamens périodiques de ses réacteurs à l’occasion de leurs visites décennales835. En effet, comme cela a été souligné au paragraphe 30.1 plus haut, de nombreux contrôles de période décennale sont réalisés dans le cadre de ces visites, ce qui permet à l’exploitant de présenter dans les RCRS de ses installations un état des lieux à jour. En outre, les arrêts des réacteurs pour visite décennale ont une durée importante et sont propices à la mise en œuvre de modifications matérielles découlant des conclusions des études du réexamen ainsi qu’à la mise au point de nouveaux documents d’exploitation. De surcroît, Électricité de France privilégie la réalisation des modifications (documentaires et matérielles) par lots pour assurer plus aisément la cohérence des installations et des documents d’exploitation.

30.3.2.Contour d’un réexamen périodique
des réacteurs à eau sous pression

Démarche par palier

La notion de palier n’étant pas considérée dans le code de l’environnement, un réexamen périodique est associé à une installation nucléaire de base (INB). Toutefois, les réacteurs du parc électronucléaire sont d’une part conçus, construits et exploités selon des paliers techniques (900 MWe, 1 300 MWe ou 1 450 MWe), d’autre part regroupés sur des sites (deux ou quatre, voire six réacteurs par site). La pratique en vigueur concernant les réacteurs à eau sous pression est dès lors de réaliser les réexamens en deux phases principales :

–une phase générique au cours de laquelle sont réalisées les études relatives au palier concerné sur des aspects techniques communs aux réacteurs de ce palier (systèmes de sauvegarde, études d’accident, méthodes d’études, domaine complémentaire d’événements…). Les conclusions issues de ces études (évolutions des exigences ou de la démonstration de sûreté, modifications…) s’appliquent de manière similaire à chacun des réacteurs du palier au fur et à mesure de leurs réexamens ;

–une phase de réexamen du réacteur proprement dit, au cours de laquelle sont traités les aspects liés au site (agressions d’origine externe notamment) ou spécifiques du réacteur considéré (état des ouvrages et des équipements, systèmes spécifiques…).

Cette pratique conduit l’exploitant à devoir engager les études génériques d’un palier très en amont de la première visite décennale d’un réacteur de ce palier, compte tenu du volume d’études à réaliser (et du temps nécessaire à leur examen par les organismes de sûreté), sans perdre de vue que le dernier réacteur du palier (généralement le plus récent) ne bénéficiera du référentiel de sûreté actualisé et des améliorations associées que significativement plus tard. À titre d’exemple, il existe 34 réacteurs de 900 MWe, mis en exploitation sur une période de dix ans, de 1977 à 1987. Les visites décennales sur lesquelles sont calés les réexamens s’échelonnent donc sur une dizaine d’années. Ainsi, le réexamen du réacteur le plus récent d’un palier peut être réalisé dix ans après celui du réacteur le plus ancien. Une illustration du cadencement des études génériques menées pour les différents paliers figure à la fin du présent chapitre (tableau 30.1).

Objectifs et contenu des réexamens périodiques

Avant de décrire les objectifs et le contenu des réexamens de sûreté, il paraît utile de revenir sur la notion de référentiel de sûreté, introduite très succinctement au chapitre 2.

Au début des années 1990 et notamment à l’occasion des premiers réexamens de sûreté structurés selon les deux volets mentionnés plus haut, le référentiel de sûreté était (conventionnellement) constitué, pour un réacteur du parc électronucléaire :

–des textes règlementaires (lois, décrets, arrêtés et circulaires) applicables,

–des règles fondamentales de sûreté (RFS) applicables,

–du rapport de sûreté et des règles générales d’exploitation,

–des recueils de règles de conception et de construction relatives aux centrales nucléaires à eau sous pression (RCC-P pour le « procédé », RCC-C pour le combustible, RCC-M pour les matériels mécaniques, RCC-G pour les ouvrages de génie civil, RCC-E pour les matériels électriques) – il s’agit de textes établis par les industriels, qui ont pu ou peuvent faire l’objet d’une approbation ou de commentaires de l’autorité de sûreté (voir le paragraphe 2.5-b) ;

–de documents complémentaires venant en support au rapport de sûreté.

Selon le chapitre 2, doivent être ajoutés à la liste ci-dessus des documents également transmis à l’Autorité de sûreté nucléaire en vue de l’obtention des autorisations de création et de mise en service, notamment le plan d’urgence interne et l’étude d’impact.

De façon schématique, le référentiel de sûreté regroupe aujourd’hui trois ensembles d’éléments de natures différentes :

–des éléments tels que les textes règlementaires ou pararèglementaires, les décisions ministérielles et les prescriptions de l’Autorité de sûreté nucléaire applicables à l’installation, ainsi que les objectifs de sûreté, les standards nationaux ou internationaux retenus par l’exploitant, les codes de conception et les normes utilisés… – cet ensemble constitue un volet d’« exigences » du référentiel de sûreté, bien qu’il regroupe des éléments qui n’ont pas tous la même portée ; peuvent aussi être cités à ce niveau les « exigences définies » associées aux éléments importants pour la protection (EIP) d’une installation, issues des études présentées dans le rapport de sûreté ou cohérentes avec ces études ;

–les méthodes, les règles et les critères adoptés pour les études des diverses conditions de fonctionnement (y compris du domaine complémentaire d’événements) et des agressions de la démonstration de sûreté ; ces méthodes, règles et critères peuvent, pour certaines conditions de fonctionnement ou agressions, être réunis sous la forme de « référentiels d’études » spécifiques (« référentiel APRP », « référentiel accidents graves », « référentiel grands froids »…) ;

–les documents de nature opérationnelle : les règles générales d’exploitation (contenant en particulier les spécifications techniques d’exploitation et les règles de conduite – elles font partie du « référentiel d’exploitation »), le plan d’urgence interne.

Pour répondre aux objectifs fixés par l’article L.593-18 du code de l’environnement, les réexamens périodiques des réacteurs à eau sous pression du parc électronucléaire se déroulent selon la démarche en deux volets évoquée plus haut :

–un examen de conformité, qui s’appuie non seulement sur des contrôles mais aussi sur des études ; il vise à vérifier notamment836 que :

•la conception des réacteurs du palier est conforme aux exigences applicables et que la démonstration de sûreté, portée par le rapport de sûreté, reste valide (études de conformité) ;

•l’état réel de chaque réacteur est bien conforme à l’état attendu avec les modifications de la conception initiale qui ont été autorisées, notamment par des contrôles in situ (contrôles de conformité) ; ces contrôles consistent en :

◦un examen de conformité des tranches (ECOT) ; il vise à vérifier la conformité de structures (ouvrages et structures métalliques), systèmes et composants sélectionnés au référentiel de sûreté applicable avant la réévaluation de sûreté évoquée plus loin ;

◦un programme d’investigations complémentaire (PIC837) : il vise à vérifier par sondages que les hypothèses d’absence de dégradation de certains circuits ou ouvrages sont correctes, en particulier pour les circuits ou ouvrages qui ne font pas l’objet de programmes de contrôles périodiques (en l’absence de mode de dégradation identifié).

Ces contrôles visent notamment à s’assurer que les phénomènes de dégradation liés au vieillissement sont connus et maîtrisés.

Ainsi, de façon synthétique, l’examen de conformité a pour objectif de vérifier que les exigences sur lesquelles repose l’autorisation d’exploitation en vigueur restent satisfaites. Il permet d’identifier d’éventuelles insuffisances ou dégradations de l’installation nécessitant des compléments d’études ou des modifications de l’installation ou de ses modalités d’exploitation. Les meilleures techniques disponibles en matière de contrôles doivent être autant que possible mises à profit.

–une réévaluation de sûreté qui tient compte des nouveaux éléments apparus depuis la précédente réévaluation de sûreté. On peut citer ici :

•des objectifs de sûreté retenus pour les réacteurs plus récents ;

•les évolutions règlementaires ou pararèglementaires applicables, ainsi que de celles des codes et normes… ;

•le retour d’expérience des réacteurs en service ou d’autres installations ;

•l’évolution des pratiques, y compris étrangères ;

•les évolutions des données et des connaissances techniques et scientifiques relatives aux différents constituants de l’installation (combustible, structures métalliques [gros composants…], ouvrages de génie civil, organes et matériels tels que pompes, clapets, soupapes, vannes, groupes électrogènes, etc.) et à son environnement (populations, voies de communication, activités industrielles, intensité d’aléas…) ; ces évolutions peuvent être issues de travaux de recherche et développement menés au plan national ou au plan international ;

•les évolutions relevant des facteurs sociaux, organisationnels et humains (management, compétences du personnel, gestion de ressources humaines, interfaces homme/machine, politique de sûreté/compétitivité…).

Le projet de décision évoqué plus haut de l’Autorité de sûreté nucléaire requiert également (voir son article 2.3.4) que soient réévaluées les marges de sûreté par rapport à des situations extrêmes afin de vérifier l’absence d’« effet falaise »838 – cette réévaluation est recommandée à l’article 3.4.1.2 du guide ASN n° 22.

La réévaluation de sûreté commence par l’établissement par l’exploitant d’un nouveau référentiel d’exigences, soumis à l’examen des organismes de sûreté ; il peut conduire à une reprise d’études du rapport de sûreté relatives aux conditions de fonctionnement et agressions d’origine interne ou externe, afin de vérifier le respect des exigences et critères retenus, ces derniers pouvant aussi être actualisés. L’ensemble de ces travaux est souvent désigné sous l’appellation études de réévaluation.

Ainsi, l’objectif de la réévaluation de sûreté d’un réacteur est d’améliorer autant que raisonnablement possible sa sûreté au-delà du niveau résultant de sa conception et de sa réalisation initiales et des évolutions apportées ensuite.

Au terme de ces travaux, l’exploitant est en mesure de constituer le nouveau référentiel de sûreté de son installation, tel que défini plus haut.

Par ailleurs, les deux volets du réexamen de sûreté conduisent à la définition de deux ensembles de modifications :

–les modifications visant à corriger les écarts de conformité au référentiel de sûreté en vigueur,

–les modifications issues de la réévaluation de sûreté proprement dite, souvent regroupées sous l’appellation « lot de modifications décennales »839.

Dossier d’orientation du réexamen (DOR)

Avant de débuter la réalisation d’un réexamen périodique d’une installation, l’exploitant établit un dossier d’orientation du réexamen (DOR) ; ce dossier est transmis à l’ASN840.

Le DOR présente les objectifs du réexamen, la hiérarchisation des sujets à traiter, les référentiels retenus (ceux en vigueur et les nouveaux proposés).

Il présente et justifie le contour, la démarche et les méthodes que l’exploitant compte appliquer pour réaliser l’examen de conformité des EIP de l’installation, en particulier le programme de vérifications in situ.

Le DOR précise les évolutions majeures envisagées de l’installation ou de ses conditions d’exploitation (gestion du combustible, augmentation de puissance…) et de son environnement (en particulier les évolutions des voies de communication à proximité du site, des trafics de matières dangereuses, de l’environnement industriel, de la population…).

Pour les sujets de la réévaluation de sûreté, le DOR présente les objectifs visés, les hypothèses considérées ainsi que les méthodes et les règles d’études envisagées (référentiels d’études).

Enfin, les parties des documents présentés en vue de l’obtention de l’autorisation de création ou de mise en service de l’installation que l’exploitant prévoit de réviser de façon significative au terme du réexamen périodique sont identifiées.

Après analyse, l’Autorité de sûreté nucléaire donne son accord sur le DOR, éventuellement sous réserve de modifications ou de compléments, ou le refuse.

Rapport de conclusions du réexamen de sûreté (RCRS)

À l’issue de l’ensemble des contrôles et des études réalisés, l’exploitant transmet à l’Autorité de sûreté nucléaire et au ministre chargé de la sûreté nucléaire, pour chaque réacteur, un RCRS (document prévu à l’article L.593-19 du code de l’environnement), qui présente une synthèse des deux volets du réexamen.

La synthèse de l’examen de conformité rappelle les exigences applicables, la démarche et les méthodes retenues, en particulier les programmes de vérifications in situ, et les résultats de l’examen, l’identification des écarts et les mesures prises pour y remédier, avec les justifications.

Le RCRS présente également les résultats des épreuves ou requalifications périodiques de barrières de confinement (enceinte de confinement, circuit primaire principal…).

La synthèse de la réévaluation de sûreté est quant à elle accompagnée d’une présentation des modifications de l’installation ou de ses modalités d’exploitation, réalisées ou envisagées, avec les justifications correspondantes, ainsi qu’une présentation des dispositions provisoires éventuellement retenues dans l’attente de la mise en place des modifications précitées ; un échéancier de réalisation des modifications retenues est associé à cette synthèse. Le RCRS justifie dans ses conclusions l’aptitude de l’installation à une poursuite d’exploitation dans des conditions de sûreté satisfaisantes.

Après analyse d’un RCRS, l’Autorité de sûreté nucléaire peut imposer de nouvelles prescriptions techniques pour encadrer la poursuite de l’exploitation du réacteur concerné. Elle communique au ministre chargé de la sûreté nucléaire son analyse du rapport, ainsi que les prescriptions qu’elle prend.

30.4.Cas du réexamen associé aux troisièmes visites décennales des réacteurs de 900 MWe

La démarche utilisée pour les réexamens périodiques s’est affinée au fur et à mesure des réexamens successifs des différents paliers. Le réexamen associé aux troisièmes visites décennales (VD3) des réacteurs de 900 MWe peut être retenu pour illustrer de façon détaillée cette démarche ; le réexamen associé aux quatrièmes visites décennales (VD4) fera l’objet du paragraphe 30.5. Le cas du réexamen associé aux VD3 900 est d’autant plus intéressant que, s’agissant des réacteurs les plus anciens du parc électronucléaire, qui vont atteindre leur durée d’exploitation initialement prévue au terme des dix années suivant leur VD3, les aspects liés au vieillissement des équipements étaient à examiner de façon anticipée avec une attention toute particulière. En outre, le réexamen associé aux VD3 900 a été l’occasion de mettre en œuvre un référentiel d’exigences spécifique visant à limiter les conséquences de situations d’accident avec fusion du cœur du réacteur – situations non retenues lors de la conception initiale des réacteurs du parc électronucléaire en exploitation, mais retenues pour celle du réacteur EPR –, à l’égard desquelles des améliorations avaient cependant déjà été effectuées dans le cadre des actions dites post-TMI.

L’exemple de ces VD3 900 ne doit bien évidemment pas faire oublier certaines modifications significatives décidées à l’occasion des précédents réexamens des réacteurs de 900 MWe, telles que :

–la mise en conformité des bâches d’eau du circuit d’alimentation de secours des générateurs de vapeur (ASG) et des bâches du circuit PTR de façon à assurer leur tenue sismique (cet écart concernait l’ensemble des réacteurs de 900 MWe),

–la mise en place d’une disposition visant à pallier une éventuelle défaillance de cause commune des tableaux électriques LHA et LHB de 6,6 kV (retour d’expérience d’un événement survenu en 1990 à la centrale nucléaire de Cruas-Meysse),

–la mise en place d’une modification visant à permettre de réinjecter dans le bâtiment du réacteur des effluents (radioactifs) qui seraient recueillis dans les puisards du bâtiment des auxiliaires nucléaires (action post-TMI).

Les études génériques du réexamen associé aux VD3 900 ont débuté en 2002 et se sont achevées à la fin de 2008. La première troisième visite décennale d’un réacteur de 900 MWe a concerné Tricastin 1 en 2009. La figure 30.2 ci-après montre les étapes importantes de ce réexamen.

Figure 30.2. Étapes du réexamen associé aux VD3 900. IRSN.

Le programme de travail proposé par EDF en 2002 a fait l’objet d’une évaluation par l’IRSN ; les sujets suivants ont été considérés :

–les possibilités d’amélioration des réacteurs de 900 MWe à l’égard des objectifs généraux de sûreté retenus pour la conception du réacteur EPR. Compte tenu toutefois des différences de conception entre les tranches de 900 MWe et le réacteur EPR, l’analyse a été menée selon une démarche pragmatique en évaluant, pour chacun de ces objectifs, la faisabilité technique et le gain pour la sûreté ;

–les conclusions des précédents réexamens de sûreté (tels que ceux associés aux VD2 1 300), les études engagées dans d’autres cadres sur les questions de sûreté ainsi que le retour d’expérience aux niveaux national et international.

En 2003, à la suite de cette évaluation, les principaux sujets d’études génériques de réévaluation retenus ont été :

–la vérification de la conception des ouvrages de génie civil et des systèmes,

–la maîtrise du vieillissement des ouvrages et des équipements,

–les situations accidentelles, incluant celles avec fusion du cœur, l’appréciation des risques de fusion du cœur et de rejets dans l’environnement (études probabilistes de sûreté de niveaux 1 et 2) et le comportement des enceintes de confinement,

–les agressions internes,

–les agressions externes d’origine naturelle et celles pouvant résulter des activités humaines.

C’est au total une trentaine de sujets d’études génériques qui ont été retenus, qui conduiront à définir une soixantaine de modifications matérielles génériques auxquelles s’ajoutent des modifications spécifiques à certains sites relevant par exemple de la prise en compte des agressions externes. Les principales vérifications et études réalisées sont présentées ci-après, avec des indications sur certaines modifications retenues à l’issue des études.

Plusieurs référentiels définis par EDF ont été utilisés lors des VD3 900, concernant notamment le risque de criticité du combustible dans la piscine du bâtiment du réacteur (BR) et dans celle d’entreposage des assemblages dans le bâtiment du combustible (BK), l’évaluation des conséquences radiologiques des accidents sans fusion du cœur, les accidents avec fusion du cœur, le « nouveau domaine complémentaire » d’événements841, les plus basses eaux de sécurité (situation d’étiage de la source froide) et la station de pompage, les risques d’explosion internes aux sites…

30.4.1.Examens de conformité des tranches (ECOT) – Programme d’investigations complémentaires (PIC) – Maîtrise du vieillissement

30.4.1.1.Examens de conformité des tranches (ECOT)

L’examen de conformité (ECOT) in situ réalisé sur les tranches de 900 MWe à l’occasion des VD3 900 a porté notamment sur les sujets suivants :

–le génie civil : un bilan de l’application des programmes de maintenance applicables aux structures de génie civil importantes pour la sûreté a été réalisé, ainsi que des contrôles des bâtiments et des ouvrages qui n’avaient pas été contrôlés lors du précédent examen de conformité ;

–les ancrages d’équipements : la conformité aux plans d’exécution et l’adéquation de la maintenance des ancrages des équipements nécessaires pour assurer le repli et le maintien du réacteur en état sûr en cas de séisme majoré de sécurité ont été vérifiées ;

–la mise en œuvre de la démarche « séisme-événement » (voir le paragraphe 12.3) : la conformité des modifications conçues et réalisées spécifiquement sur chaque réacteur a été vérifiée ;

–le supportage des chemins de câbles électriques : la tenue au séisme majoré de sécurité des chemins de câbles particulièrement chargés a été vérifiée, avec un recensement des défauts de réalisation et un contrôle des reprises d’efforts ;

–la capacité fonctionnelle des matériels dont l’utilisation est prévue dans les procédures de conduite incidentelle ou accidentelle : vérification de la mise en œuvre sur chaque site d’une organisation garantissant la capacité fonctionnelle de ces matériels, vérification de la disponibilité de l’ensemble des matériels mobiles prévus et des gammes de montage associées ;

–le confinement et la ventilation : vérification de l’étanchéité des locaux (trémies, portes, siphons de sol…) et contrôles des conduits de ventilation importants pour la sûreté ;

–la prévention des risques de criticité : l’existence des dispositions matérielles et administratives associées a été vérifiée, ainsi que la conformité des dispositions mises en œuvre à ce qui était prévu ;

–les inondations externes : la conformité des modifications réalisées dans le cadre du retour d’expérience de l’inondation partielle du site de la centrale nucléaire du Blayais survenue au mois de décembre 1999 à ce qui avait été prévu a été vérifiée ;

–la protection contre l’incendie : établissement d’un bilan des actions restant à réaliser dans le cadre du déploiement du « plan d’actions incendie » (voir le paragraphe 11.6).

Si, pour certains domaines de contrôle, il n’y a pas eu d’écart détecté, pour d’autres en revanche plusieurs centaines de non-conformités ont été détectées, toutefois sans impact notable ou immédiat sur la sûreté (elles portaient en particulier sur un grand nombre d’équipements tels que des ouvrages de génie civil, des ancrages d’équipements, des chemins de câbles…).

30.4.1.2.Programme d’investigations complémentaires (PIC)

Le programme d’investigations complémentaires (PIC) des réacteurs de 900 MWe associé à leurs VD3 visait à examiner, par sondages, des matériels passifs (tuyauteries, bâches ou réservoirs…) qui ne faisaient pas l’objet de contrôles au titre de programmes de maintenance, de contrôles règlementaires (appareils à pression) ou encore de contrôles particuliers définis à la suite de la mise en évidence d’écarts ou de problèmes génériques ou spécifiques. Les investigations ont en particulier porté, selon une démarche de défense en profondeur, sur des zones considérées comme non sensibles lors des études de conception, dans le but de vérifier l’absence de phénomène qui n’aurait pas été envisagé ou traité jusqu’alors et, plus généralement, la validité des dispositions de maintenance et de surveillance existantes pour assurer un fonctionnement des installations à un niveau de sûreté satisfaisant.

Les contrôles retenus au titre du PIC associé aux VD3 900 ont complété ceux qui avaient été réalisés à l’occasion de leurs VD2 sur les matériels passifs du circuit primaire principal (CPP), du circuit secondaire principal (CSP), ainsi que sur des tuyauteries, bâches ou réservoirs et échangeurs hors CPP et CSP.

Par ailleurs, dans le cadre de la maîtrise du vieillissement, il a été demandé à EDF de définir et de mettre en œuvre des contrôles portant sur les enceintes de confinement et sur les ouvrages de génie civil. Pour ce qui concerne les structures et les équipements qui pourraient se révéler sensibles au vieillissement dans les domaines de l’électricité, de la robinetterie, des machines tournantes, des moyens de levage, de la protection contre l’incendie ainsi que des automatismes, les contrôles retenus par Électricité de France, soit dans le cadre du PIC (génie civil, CPP, etc.), soit dans un autre cadre, sont apparus suffisants aux organismes de sûreté.

Les résultats de l’ensemble des contrôles réalisés au titre du PIC ont permis à EDF de compléter les dossiers d’aptitude à la poursuite de l’exploitation (DAPE) des réacteurs.

30.4.1.3.Maîtrise du vieillissement

La démarche générale proposée par EDF au début des années 2000 pour la maîtrise du vieillissement de ses installations consiste à identifier les équipements (structures, systèmes et composants) importants pour la sûreté pour lesquels un mode de vieillissement pourrait, entre 30 et 40 ans d’exploitation, venir dégrader leurs performances ou leur fiabilité et avoir ainsi des effets sur la sûreté de ces installations (et leur disponibilité). Parmi environ 15 000 équipements, 500 couples « équipement – mode de vieillissement » ont été retenus ; chacun d’eux fait l’objet d’une fiche d’analyse du vieillissement (FAV) définissant les actions d’exploitation ou de maintenance jugées nécessaires. Les équipements pour lesquels des FAV dites sensibles ont été élaborées (c’est-à-dire des équipements pour lesquels les conséquences potentielles du vieillissement sont jugées significatives en termes de sûreté, sans action possible de prévention ou de limitation des conséquences, ou pour lesquels une surveillance est difficilement réalisable) font l’objet de programmes de maîtrise du vieillissement particuliers. Douze équipements génériques sont concernés, dont la cuve, l’enceinte de confinement, les systèmes de contrôle-commande.

EDF a mis à profit cette démarche pour établir les DAPE des équipements précités de chacun des réacteurs de 900 MWe au stade de leurs VD3, en commençant par Tricastin 1.

30.4.2.Études de conformité relatives à la conception
et au dimensionnement de systèmes
et des structures de génie civil

La conception et le dimensionnement de certains systèmes, structures et composants ont fait l’objet d’études lors du réexamen associé aux VD3 900, au regard du retour d’expérience disponible, des différentes missions attribuées à ces équipements et des exigences définies à leur égard dans le cadre des études d’accidents ou conformément aux choix ou règles de conception. Ces études constituaient des vérifications a posteriori, de type « revue de conception ».

Vérification de la conception de structures de génie civil

Des études ont été menées pour vérifier la validité des hypothèses, critères et méthodes de dimensionnement retenus à la conception pour des structures de génie civil, ainsi que de systèmes qui leur sont associés, dont l’importance pour la sûreté était jugée prépondérante. Ces études ont concerné un nombre important de structures de génie civil ; elles ont permis d’apprécier la robustesse des méthodes de dimensionnement, de réalisation et d’entretien des structures de génie civil importants pour la sûreté et donc de vérifier leur aptitude à remplir les fonctions de sûreté qui leur sont dévolues.

Fiabilisation du système de mesures de la radioactivité

Le système de mesures de la radioactivité (KRT), qui comprend des moyens de mesure permettant de vérifier le respect de certaines exigences de sûreté, de radioprotection et de protection de l’environnement, a fait l’objet, dès 1994, d’un programme d’améliorations visant à renforcer sa fiabilité. Toutefois, le retour d’expérience de fonctionnement et d’exploitation du système KRT montrait encore, au début des années 2000, un taux de défaillances élevé de ce système.

Les études réalisées dans le cadre du réexamen de sûreté associé aux VD3 900, menées sur différents aspects (retour d’expérience, conséquences du vieillissement, prévention des risques d’exposition des travailleurs aux rayonnements ionisants...) ont conduit à définir plusieurs modifications de ce système de mesures, visant en particulier à remédier aux insuffisances relevées en termes de fiabilité.

30.4.3.Études de réévaluation de la conception
et du dimensionnement de systèmes

Vérification des capacités fonctionnelles
du système d’injection de sécurité

Les performances des divers moyens d’injection d’eau qui composent le système d’injection de sécurité (RIS) participent de façon déterminante à la démonstration de sûreté, notamment pour les situations de brèche du circuit primaire ; ces moyens permettent de rendre et de maintenir le cœur du réacteur sous-critique et d’assurer son refroidissement. Les nouvelles études d’accident de perte de réfrigérant primaire (APRP) – voir plus loin le paragraphe 30.4.5 –, des évolutions apportées à la conception et à la conduite du système RIS, ainsi que la détection, lors d’essais périodiques, de non-conformités affectant ce système ont motivé la décision de procéder, dans le cadre du réexamen de sûreté associé aux VD3 900, à une réévaluation des capacités fonctionnelles de ce système à l’égard de ses différentes missions.

Les aspects suivants ont été examinés :

–la détermination des débits d’eau injectés dans le circuit primaire en fonction notamment de la pression dans ce dernier et des caractéristiques hydrauliques des pompes et des différents circuits,

–la représentativité des essais périodiques réalisés en regard de toutes les configurations envisageables du système RIS en situation accidentelle et la pertinence des critères d’essais associés,

–les éventuels « effets falaise », sur la base d’études de sensibilité aux caractéristiques des moyens d’injection et à leur conduite.

Les résultats de ces études ont permis de conclure au caractère globalement approprié des caractéristiques du circuit RIS, sans nécessiter de modification.

Fiabilisation de la fonction de recirculation d’eau
dans l’enceinte de confinement

Comme cela est présenté au chapitre 9, en cas de brèche affectant le circuit primaire d’un réacteur à eau sous pression, le maintien du refroidissement du cœur du réacteur est assuré par le système d’injection de sécurité (RIS). En parallèle, le système d’aspersion dans l’enceinte (EAS) permet de réduire la pression dans le bâtiment du réacteur. Après que la réserve d’eau borée utilisée par le circuit RIS est épuisée, les systèmes RIS et EAS fonctionnent en circuit fermé en aspirant l’eau recueillie dans les puisards situés en partie basse du bâtiment du réacteur, après passage par des grilles de filtration. Cette configuration des systèmes permet le refroidissement du combustible sur de longues durées.

On peut rappeler (paragraphe 9.1.4) qu’un colmatage partiel des filtres des puisards a été observé en 1992 lors d’un événement qui a affecté un réacteur nucléaire à eau bouillante de la centrale nucléaire suédoise de Barsebäck. Dans le cadre du retour d’expérience de cet événement, l’IPSN a engagé en 1997 un certain nombre d’études et de recherches sur les phénomènes de colmatage pouvant affecter les filtres des puisards des réacteurs à eau sous pression du parc électronucléaire français. Les résultats obtenus l’ont conduit à recommander que soit menée une réévaluation spécifique sur le risque de colmatage des filtres des puisards dans le cadre du réexamen associé aux VD3 900. EDF a alors, en 2004, pris la décision de procéder à une modification de la conception des filtres, dont le déploiement s’est achevé en 2009.

Sur la base des connaissances acquises, grâce notamment aux nombreuses expérimentations réalisées entre 1999 et 2003, le réexamen associé aux VD3 900 a permis de caractériser :

–le spectre des débris susceptibles d’arriver en amont des filtres,

–les risques de colmatage des dispositifs de filtration par des phénomènes physiques et chimiques, pouvant induire un accroissement de la perte de charge des filtres,

–la hauteur d’eau minimale nécessaire dans les puisards pour que la recirculation puisse fonctionner,

–les débris non retenus par les filtres qui peuvent être véhiculés dans les circuits RIS et EAS ainsi que dans le réacteur.

Ces études ont notamment conduit EDF à modifier certains robinets réglants à faible section de passage du circuit d’injection de sécurité pour éviter leur colmatage par les débris qui ne seraient pas retenus par les filtres des puisards.

Il est indiqué au chapitre 9 que le sujet, complexe842, de la fiabilité du mode de refroidissement en mode de recirculation d’eau par les puisards de l’enceinte de confinement n’est toutefois pas clos.

Fiabilité du système de refroidissement de la piscine
d’entreposage du combustible

Les études du réexamen de sûreté associé aux VD3 900 ont concerné en particulier les dispositions prises à l’égard de certains événements pouvant conduire à une vidange accidentelle d’une piscine d’entreposage d’assemblages combustibles, notamment des assemblages de combustible usé, sachant que des renforcements des dispositions prises à l’égard des possibilités de perte totale du refroidissement de l’eau de cette piscine avaient déjà été retenus dans le cadre de réexamens précédents. Plus précisément, les objectifs retenus dans le cadre du réexamen associé aux VD3 900 visaient à éviter certains scénarios initiateurs possibles d’une vidange accidentelle et à renforcer les mesures de prévention par des dispositions techniques et organisationnelles.

Les rejets radioactifs pouvant résulter du dénoyage d’un assemblage combustible en cours de manutention dans le bâtiment du combustible (BK) ont été estimés. Par ailleurs, les probabilités des différents initiateurs pouvant conduire à une vidange rapide de la piscine et la conduite prévue par l’exploitant en cas d’amorçage d’une vidange de cette piscine ont été analysées. À la lumière de ces études, plusieurs modifications ont été définies par EDF pour améliorer la gestion de certains scénarios de vidange ou de dénoyage d’assemblages en cours de manutention, en particulier des scénarios pouvant conduire à une vidange ou à un dénoyage rapide ; il s’agit de la mise en place :

–d’un arrêt automatique des pompes de refroidissement et de la fermeture de la ligne d’aspiration en cas d’atteinte d’un seuil de niveau très bas d’eau dans la piscine du BK,

–d’une modification des casse-siphons implantés sur la ligne de refoulement d’eau refroidie dans la piscine du BK,

–du doublement des joints statiques d’étanchéité des batardeaux de la piscine du bâtiment du réacteur (BR),

–de la motorisation de la fermeture de la vanne d’isolement du tube de transfert du combustible entre le BR et le BK,

–d’obturateurs des tubulures primaires (dits tapes GV) plus robustes pour éviter leur « effacement » au cours d’opérations de rechargement de combustible dans le réacteur en cas de décharge d’un accumulateur RIS sous pression d’air843 alors que le tube de transfert entre le BR et le BK est ouvert844.

30.4.4.Réévaluation de la tenue des réacteurs
aux agressions d’origines interne et externe

•Incendie

Les principales études du réexamen de sûreté associé aux VD3 900 ont porté sur l’évaluation des marges existantes entre d’une part la résistance au feu des protections des moyens minimaux de conduite de l’installation (ceux qui sont nécessaires pour ramener et maintenir l’installation dans un état sûr) et des protections contre les modes communs de défaillances liés au câblage, d’autre part la durée envisageable d’un feu dans les locaux contenant ces protections. En effet, les durées retenues845 lors du dimensionnement des protections précitées avaient été établies sur la base d’hypothèses qui n’apparaissaient plus suffisantes compte tenu des conditions pouvant affecter les locaux des réacteurs à eau sous pression en exploitation. Du fait des incertitudes sur la résistance au feu des protections, EDF a retenu qu’une marge minimale de dix minutes était nécessaire et il a procédé à divers renforcements pour les cas où cette marge n’était pas respectée, y compris une augmentation du degré de résistance au feu de certains équipements et l’installation de nouvelles dispositions de lutte contre l’incendie.

Par ailleurs, l’étude probabiliste de niveau 1 tenant compte des risques d’incendie développée par l’IRSN avait montré que les dispositions matérielles et les procédures mises en œuvre par EDF dans le cadre de son « plan d’actions incendie » conduisaient à une réduction significative de la fréquence de fusion du cœur due à un incendie. Toutefois, cette étude avait aussi mis en évidence que certains locaux participaient de façon importante à la fréquence globale résiduelle de fusion du cœur et qu’il convenait d’examiner les améliorations possibles. Électricité de France a mis en place un système de détection multi-ponctuelle d’incendie dans certaines armoires d’alimentation électrique en 48 V continu des locaux électriques concernés.

Explosions d’origine interne aux sites

Les études menées par EDF concernant la protection contre les risques d’explosion interne aux sites ont permis d’identifier de façon exhaustive les locaux présentant un risque d’explosion en cas de fuite d’hydrogène et de définir les dispositions supplémentaires à prendre pour renforcer la maîtrise de ce risque.

De nombreuses modifications matérielles ont ainsi été définies et mises en place pour ces locaux : installation de détecteurs d’hydrogène, remplacement des matériels non conçus pour être antidéflagrants par des matériels utilisables en atmosphère explosible, renforcement ou protection des tuyauteries véhiculant de l’hydrogène et renforcement de leur surveillance, ou encore fiabilisation de certains organes d’isolement de ces tuyauteries.

Inondations internes

Au stade des VD3 900, après l’inondation partielle du site de la centrale nucléaire du Blayais à la fin de 1999, la vérification de la robustesse des installations à l’égard de certains scénarios d’inondation interne restait à réaliser. Ainsi, selon l’approche « séisme-événement », les conséquences possibles de la rupture simultanée de l’ensemble des réservoirs non dimensionnés au séisme implantés dans le bâtiment des auxiliaires nucléaires ont été déterminées. Ces études ont permis de conclure que les exutoires et les dispositifs de rétention existants permettraient d’éviter l’indisponibilité par immersion des matériels nécessaires au retour et au maintien à l’état sûr des réacteurs en cas de séisme.

Agressions externes d’origine climatique

Les diverses agressions climatiques envisageables ont fait l’objet de traitements variés lors de la conception initiale des réacteurs de 900 MWe, que ce soit en termes de caractérisation des agressions ou d’évaluation de leurs conséquences possibles. C’est pourquoi il a été retenu d’examiner, dans le cadre du réexamen associé aux VD3 900, la robustesse des installations à l’égard d’agressions peu étudiées jusqu’alors en France, ou d’agressions dont les caractéristiques avaient évolué depuis la conception initiale de ces installations.

Les études menées ont conduit à conclure que, compte tenu de la localisation des différents sites et de leurs sensibilités aux risques d’origine climatique :

–les risques associés aux tornades et aux feux de forêts ne nécessitaient pas de dispositions particulières en raison de probabilités jugées alors suffisamment faibles pour les premières, du faible impact sur les installations pour les seconds ;

–la réévaluation des vents forts ne mettait pas en cause le dimensionnement des structures et des ouvrages des sites ;

–les risques liés au frasil846 ainsi qu’aux nappes dérivantes envisageables d’hydrocarbures faisaient l’objet de dispositions physiques de protection et de systèmes d’alerte pertinents ; toutefois, une caractérisation plus fine de ces risques et un examen approfondi des scénarios correspondants ont conduit à décider la mise en œuvre de modifications matérielles ou d’exploitation des dispositions existantes.

Par ailleurs, il est apparu que la vérification de la capacité des sites à faire face aux risques liés à la canicule ou à la sècheresse, engagée après l’épisode caniculaire de 2003, devait être activement poursuivie en vue d’un déploiement aussi rapide que possible des dispositions nécessaires sur l’ensemble des sites.

Autonomie des réacteurs et des sites à l’égard des agressions externes

L’inondation partielle du site de la centrale nucléaire du Blayais en décembre 1999 avait mis en évidence la sensibilité des installations à l’égard d’agressions externes affectant simultanément l’ensemble des réacteurs d’un site. Au-delà du retour d’expérience de cet événement pour ce qui concerne les risques d’inondation d’origine externe (voir le paragraphe 24.1), il est apparu opportun d’étendre cette analyse à l’ensemble des agressions externes (séismes, vents forts, grands froids…) et à leurs cumuls éventuels, compte tenu des défaillances de mode commun qui pourraient en résulter, afin de vérifier ou d’améliorer la robustesse des dispositions de conception et d’exploitation des installations dans de telles situations. Cela a conduit EDF à s’interroger en particulier sur les situations de perte totale de la source froide nécessaire au refroidissement des réacteurs du site (H1) et de perte totale des alimentations électriques des réacteurs du site (H3).

Les modifications décidées à la suite des études correspondantes ont conduit à renforcer les capacités des sites en fluides (eau, fioul, huile) et en sources électriques internes.

Réévaluation sismique

Dans le prolongement des précédents réexamens, la démarche de réévaluation sismique pour les VD3 900 a comporté la réévaluation des spectres de sol caractérisant le séisme majoré de sécurité (SMS) de chaque site et l’analyse de l’impact de cette réévaluation sur la robustesse des équipements des réacteurs, en retenant les meilleures pratiques et l’état de l’art en la matière.

Pour assurer un comportement satisfaisant des structures et des matériels en cas de séisme (respect de leurs exigences fonctionnelles), des modifications ont été décidées, selon les sites, notamment des renforcements d’ouvrages en béton armé, de charpentes métalliques et d’ancrages d’équipements, ainsi que des remplacements d’équipements.

Par ailleurs, l’absence de risque d’agression d’ouvrages classés de sûreté par les salles des machines (non dimensionnées au séisme) a été vérifiée.

30.4.5.Études d’accidents

Les conséquences pour les populations et l’environnement auxquelles pourraient conduire les conditions de fonctionnement accidentelles justifient que la réévaluation de sûreté menée dans le cadre d’un réexamen périodique permette de vérifier que les dispositions de prévention et de limitation des conséquences correspondantes demeurent suffisantes, compte tenu :

–des évolutions d’hypothèses, de méthodes ou d’outils de calcul découlant notamment de l’amélioration des connaissances relatives à certains phénomènes physiques – issues notamment des travaux de recherche –,

–des évolutions des conditions ou des pratiques d’exploitation,

–des évolutions des approches de sûreté, pouvant amener à étudier certains accidents non traités lors des études de conception initiale ou ultérieurement,

–des modifications de l’installation qui peuvent modifier les hypothèses retenues lors des études initiales ou ultérieures.

Risques de surpression à froid du circuit primaire

Des précédentes évaluations des risques de surpression à froid dans le circuit primaire dans les états d’arrêt du réacteur, menées depuis 1997, il était ressorti qu’il convenait de renforcer la prévention d’une rupture brutale de la cuve du réacteur qui pourrait résulter d’une surpression du circuit primaire à une température inférieure à 90 °C. En effet, lorsque le réacteur est en puissance, la température du circuit primaire, de l’ordre de 300 °C, est très largement supérieure à la température de transition ductile-fragile des aciers ferritiques de la cuve, d’où l’absence de risque de rupture brutale. Mais l’irradiation neutronique élève la température de transition ductile-fragile de l’acier des viroles situées au droit du cœur et un refroidissement brutal de cet acier par injection d’eau froide à haute pression par le circuit d’injection de sécurité pourrait alors entraîner un risque de rupture fragile de la cuve.

En complément des améliorations de conduite déjà mises en place, EDF a, dans le cadre du réexamen associé aux VD3 900, retenu une modification consistant à abaisser la pression d’ouverture des soupapes du pressuriseur lorsque le circuit primaire est fermé et le réacteur refroidi par le circuit de refroidissement à l’arrêt ; elle a permis de réduire significativement la probabilité de surpression à froid en cas de brèche du circuit primaire qui nécessiterait l’utilisation de l’injection de sécurité.

Accidents avec fusion du cœur

Après les accidents des centrales nucléaires de Three Mile Island puis de Tchernobyl, de nombreuses études ont été engagées dans l’optique de réduire les conséquences d’un accident avec fusion du cœur. Dans le cadre du réexamen de sûreté associé aux VD3 900, EDF a élaboré un référentiel pour les situations de fusion du cœur (« référentiel accidents graves »), qui définissait une démarche et des objectifs, ainsi que des exigences de sûreté pour certains équipements. Les aspects suivants ont fait l’objet d’une attention particulière :

–la tenue des enceintes de confinement lors d’un accident avec fusion du cœur, notamment en cas d’explosion d’hydrogène ou de fusion du cœur alors que la pression est élevée dans le circuit primaire,

–la tenue ou le caractère opérationnel de certains équipements dans les conditions d’ambiance pouvant résulter d’un accident avec fusion du cœur, en particulier la possibilité de manœuvrer les soupapes de dépressurisation du circuit primaire en cas de perte totale des alimentations électriques,

–l’instrumentation utilisable pour « gérer » une situation avec fusion du cœur,

–les stratégies à mettre en œuvre dans le réacteur accidenté, notamment les stratégies de conduite du système d’aspersion d’eau dans l’enceinte de confinement et d’injection d’eau dans le puits de cuve847.

Les études menées ont conduit EDF à définir des modifications permettant de réduire significativement les risques de défaillance de l’enceinte de confinement et d’assurer un suivi de la progression de l’accident, notamment :

–l’épaississement du radier des deux réacteurs de la centrale nucléaire de Fessenheim (sujet qui avait déjà été étudié lors de la première réévaluation de sûreté de ces réacteurs),

–une modification visant à fiabiliser l’ouverture des soupapes du pressuriseur en cas de perte totale des alimentations électriques (H3), pour éviter une fusion du cœur en pression,

–le remplacement de certains équipements du bâtiment du réacteur par des équipements qualifiés aux conditions (pression, température…) pouvant résulter d’un accident avec fusion du cœur,

–la mise en place de thermocouples dans le puits de cuve pour détecter une percée de la cuve par le corium.

Par ailleurs, EDF a décidé d’installer dans les enceintes de confinement des recombineurs autocatalytiques d’hydrogène pour éviter une explosion d’hydrogène (voir le paragraphe 17.5.4).

Confinement

L’objectif retenu était d’évaluer le confinement assuré par la « troisième barrière » non seulement pour les situations d’exploitation normale (incluant les états d’arrêt) et les situations accidentelles de dimensionnement, mais aussi pour les situations d’accident avec fusion du cœur, au regard notamment du référentiel spécifique retenu pour les VD3 sur ce sujet. Comme cela est présenté au chapitre 6, la « troisième barrière » comprend l’enceinte de confinement proprement dite (le bâtiment du réacteur), les traversées de cette enceinte (sas, fourreaux, etc.), l’enveloppe externe du secondaire des générateurs de vapeur ainsi que les systèmes associés de ventilation et de filtration d’air. Les circuits dont l’utilisation peut être nécessaire en situation accidentelle et qui pourraient véhiculer des produits radioactifs hors de l’enceinte de confinement constituent une « extension » de la troisième barrière.

Les différentes dispositions assurant la fonction de sûreté « confinement » ont été examinées afin d’établir un état des lieux, d’examiner l’efficacité de ces dispositions et de déterminer les améliorations envisageables ; en particulier, ont été examinés :

–le comportement mécanique et le taux de fuite des différentes enceintes de confinement des réacteurs de 900 MWe. L’analyse a notamment porté sur les résultats des essais globaux d’étanchéité de ces enceintes, la pérennité de leurs dispositifs d’auscultation, les principales « pathologies » pouvant les affecter ainsi que sur la résistance de ces enceintes dans les situations accidentelles de dimensionnement et d’accident avec fusion du cœur ;

–le comportement des traversées des enceintes de confinement, notamment en cas d’accident avec fusion du cœur, y compris les grandes traversées telles que les sas d’accès du personnel et le tampon d’accès des matériels (TAM) ;

–la maîtrise et la répartition des fuites des enceintes, qui peuvent déboucher, soit directement dans l’environnement, soit dans des bâtiments auxiliaires ;

–les « extensions » de la troisième barrière de confinement ;

–les risques de fuite directe de fluide primaire hors de l’enceinte de confinement ;

–l’étanchéité – assurée par la structure des bâtiments eux-mêmes ou par les systèmes de ventilation – des bâtiments auxiliaires susceptibles de recueillir des fuites de liquides ou de gaz radioactifs ;

–la situation radiologique des salles de commande en cas d’accident avec fusion du cœur ;

–les exigences fonctionnelles et les performances des systèmes de ventilation-filtration des locaux de l’îlot nucléaire, hors bâtiment du réacteur.

Ces études ont montré que les enceintes de confinement des réacteurs de 900 MWe ne présentaient pas d’anomalie de comportement. Des améliorations de l’étanchéité de certains sas et organes de robinetterie d’isolement ont néanmoins été retenues. Enfin, des compléments d’investigation sont apparus nécessaires, concernant en particulier le béton des enceintes et l’enrobage des armatures de précontrainte, pour l’élaboration des dossiers d’aptitude à la poursuite d’exploitation (DAPE) des enceintes de confinement.

Concernant les sas d’accès dans le bâtiment du réacteur, l’étude du comportement de la « troisième barrière » en situation d’accident avec fusion du cœur a conduit au renforcement du système de fermeture du TAM afin d’assurer sa tenue mécanique pour des pics de pression évalués à une valeur de l’ordre de 8 bars (voir le paragraphe 14.3.3.2).

Éclairages apportés par les études probabilistes de sûreté

Pour ce qui concerne les études probabilistes de sûreté de niveau 1, l’objectif probabiliste retenu par EDF au stade du réexamen associé aux VD3 900, à savoir une fréquence de fusion du cœur de 10-5 par tranche et par an pour les événements internes (au stade des VD2 900, la valeur de 5.10-5 avait été estimée), visait à progresser dans la diminution des risques en tenant compte des améliorations déjà apportées aux installations.

Le réexamen de sûreté associé aux VD3 900 a également été l’occasion d’une première élaboration d’une d’étude probabiliste de niveau 2.

Les enseignements tirés des EPS par EDF l’ont conduit à mettre en place certaines dispositions visant à réduire la fréquence de fusion du cœur ou à en limiter les rejets dans l’environnement. Deux dispositions peuvent être mentionnées ici :

–une disposition visant à réduire le risque de fusion du cœur avec bipasse du confinement en cas de rupture d’un serpentin (du circuit RRI) de la barrière thermique d’un groupe motopompe primaire (GMPP). EDF a effectué des modifications pour accroître la fiabilité de l’isolement de la « barrière thermique » des GMPP en ajoutant, sur le circuit RRI en aval848 de la « barrière thermique », une vanne pneumatique motorisée ainsi qu’un capteur de mesure de température déclenchant la fermeture de la vanne si la température de l’eau du circuit RRI dépasse 100 °C ;

–le renforcement du tampon d’accès des matériels (TAM), déjà évoqué plus haut.

Des enseignements tirés des EPS dans le cadre des réexamens en général, et de celui qui a été associé aux VD3 900 en particulier, sont développés dans le paragraphe 14.3.

Défaillances passives des circuits de sauvegarde

Pour les réacteurs du parc électronucléaire, les règles d’étude des conditions de fonctionnement accidentelles de dimensionnement (ou de référence) imposent de considérer une défaillance passive (c’est-à-dire affectant un équipement statique, par exemple une tuyauterie) des circuits de sauvegarde après 24 heures de fonctionnement ; cette défaillance est supposée induire une fuite de 200 litres par minute, isolable au bout de 30 minutes. L’examen des conséquences qu’aurait, sur l’efficacité de ces circuits et sur l’environnement, une défaillance plus sévère – de la même manière que cela a été retenu pour la conception de l’EPR849 –, a permis de vérifier que la prise en compte de cette hypothèse plus contraignante ne remettait pas en cause la disponibilité des équipements nécessaires à la gestion des situations accidentelles précitées et ne conduisait pas à une augmentation des rejets dans l’environnement.

Rupture de tubes de générateur de vapeur

Dans le cadre du réexamen de sûreté associé aux VD3 900, des modifications ont été retenues en vue d’améliorer la prévention des risques de débordement d’eau à partir d’un générateur de vapeur affecté d’une rupture de tubes (RTGV). Ces modifications ont concerné :

–d’une part les conditions de fonctionnement de l’alimentation en eau des générateurs de vapeur (ASG), par la mise en place d’un arrêt automatique du circuit ARE et d’un isolement automatique du circuit ASG,

–d’autre part la conduite, en prévoyant un refroidissement automatique du circuit primaire par le GCT-a des générateurs de vapeur sains pour annuler au plus vite la fuite du circuit primaire par un équilibrage des pressions entre le générateur de vapeur affecté et ce circuit.

Bien qu’elles ne permettent pas d’exclure tout risque de rejet d’eau, ces modifications permettent que les opérateurs disposent de délais supplémentaires pour mener les actions de nature à éviter un tel rejet.

Capacité fonctionnelle des équipements utilisés
pour la maîtrise des situations du « domaine complémentaire »

Les études menées dans le cadre du réexamen associé aux VD3 900 ont aussi permis de définir et de retenir des dispositions matérielles complémentaires ainsi que des évolutions de conduite accidentelle en vue de mieux assurer la capacité fonctionnelle des équipements dont le fonctionnement est prévu dans des situations du domaine complémentaire ; à cette fin, les sujets suivants ont été considérés :

–pour les actions à réaliser en local, l’accessibilité des équipements concernés,

–qualification des équipements aux conditions ambiantes (température, humidité, pression, irradiation) dans les situations considérées,

–fiabilité des fonctions en « support » nécessaires à l’accomplissement des missions des équipements,

–adéquation des performances des équipements et de la conduite associée aux objectifs visés.

30.4.6.Prise en compte des enseignements du réexamen associé aux VD3 900 pour les réexamens suivants

Les études génériques du réexamen associé aux VD3 900 se sont déroulées de 2002 à la fin de 2008. Bien évidemment, les enseignements tirés de ce réexamen bénéficient aux réexamens suivants de réacteurs du parc électronucléaire. Toutefois, dès lors qu’un premier réexamen a été réalisé de manière complète et satisfaisante, les réexamens suivants peuvent être menés de manière plus ciblée, par exemple sur des évolutions en termes d’exigences de sûreté, sur des questions concernant l’état des structures, systèmes et composants. L’exploitant doit toutefois justifier que les analyses non réexaminées demeurent valables.

Ainsi, le réexamen de sûreté associé aux troisièmes visites décennales des réacteurs de 1 300 MWe (VD3 1 300), dont le dossier d’orientation a été établi en 2010, a repris en grande partie les sujets traités lors du réexamen associé aux VD3 900, auxquels ont été ajoutés de nouveaux sujets, tels que :

–les risques de dilution du bore dans le circuit primaire dans les états d’arrêt,

–une « revue de conception » du système de protection intégré numérique (SPIN)850 du réacteur,

–les risques associés aux perturbations électriques d’origine interne ou externe, à la lumière des événements survenus à la centrale de Forsmark en Suède en 2006 et à la centrale de Dampierre-en-Burly en 2007,

–la protection contre les risques industriels et aériens,

–l’apport des études probabilistes de niveau 1 réalisées en tenant compte, en plus des événements initiateurs internes à la chaudière, des inondations internes, des incendies et des séismes, ainsi que des événements pouvant affecter le combustible entreposé dans la piscine du bâtiment BK.

Concernant les réacteurs du palier N4, les études génériques du premier réexamen de sûreté ont commencé en 2007 ; la VD1 N4 s’est achevée en 2012. Le réexamen associé aux VD2 a commencé en 2011 ; ces VD2 doivent s’achever en 2021.

Le réexamen associé aux VD4 900 est développé ci-après.

30.5.Les VD4 900 – Lien avec l’extension
de la durée de fonctionnement des réacteurs électronucléaires français

30.5.1.Éléments de contexte

Aux États-Unis, la prolongation jusqu’à 60 ans de l’exploitation de réacteurs électronucléaires a été autorisée. C’est en 2009 que le premier renouvellement d’autorisation pour 20 années supplémentaires de fonctionnement a été accordé ; à la fin de 2013, 40 réacteurs ont atteint plus de 40 années de fonctionnement. Des investissements significatifs, incluant le changement de gros composants et la rénovation globale des installations, ont été réalisés.

En Europe, plusieurs exploitants se sont engagés dans des programmes d’extension de la durée de fonctionnement de leurs réacteurs électronucléaires. EDF en particulier s’est engagé dans un important programme d’investissements sur deux décennies pour rénover les réacteurs en exploitation du parc électronucléaire français (appelé aussi grand carénage), visant à permettre leur exploitation au-delà des 40 années initialement prévues dans des conditions de sûreté satisfaisantes : il s’agit du projet dit durée de fonctionnement (DDF). Les modifications importantes décidées après l’accident de la centrale nucléaire de Fukushima Daiichi (découlant des prescriptions de l’Autorité de sûreté nucléaire) sont associées à ce projet ; pour les réacteurs de 900 MWe, les dernières modifications retenues dans le cadre des évaluations complémentaires de sûreté (présentées dans le paragraphe 36.6), dites de phase 3, seront réalisées à l’occasion de leurs VD4.

Plus précisément, EDF a retenu cinq « leviers » majeurs pour le projet DDF :

–les visites et réexamens de sûreté décennaux – notamment associés aux VD4 –, avec la prise en compte de l’expérience au plan international,

–la maîtrise et l’anticipation de l’usure des matériels,

–l’utilisation des meilleures connaissances techniques et technologiques,

–la préparation du tissu industriel,

–le maintien et le renouvellement des compétences.

La première visite décennale VD4 900 a débuté en 2019 (Tricastin 1), la dernière devrait être achevée en 2030 (Chinon B4).

Concernant le vieillissement des matériaux, il convient de mentionner qu’EDF a créé en 2008 un institut de recherche et développement en la matière, le MAI (Materials Ageing Institute), qu’il pilote et qui est cofinancé par des exploitants de centrales nucléaires via l’Electric Power Research Institute (EPRI, qui représente l’ensemble des exploitants de réacteurs nucléaires aux États-Unis) et par la compagnie japonaise Kansai Electric Power Company (KEPCO). Le MAI regroupe les compétences des industriels en vue d’anticiper le vieillissement des centrales de production d’électricité et permettre d’augmenter la durée de vie des matériaux, des composants et des structures de ces installations. En France, l’IRSN mène, de son côté, des travaux de recherche et développement sur le vieillissement des matériaux851 pour conforter ses expertises en la matière.

Les étapes du réexamen associé aux quatrièmes visites décennales des réacteurs de 900 MWe sont présentées sur le diagramme de la figure 30.3.

30.5.2.Objectifs, dossier d’orientation du réexamen

En septembre 2010, EDF a transmis à l’Autorité de sûreté nucléaire des premiers éléments relatifs au projet DDF. Puis il a transmis le programme générique associé à ce projet, qui, après instruction par l’IRSN et avis du Groupe permanent d’experts pour les réacteurs nucléaires, a permis une prise de position en juin 2013 de l’Autorité de sûreté nucléaire, dans laquelle trois objectifs ressortent tout particulièrement :

–« la poursuite du fonctionnement des centrales nucléaires [...] suppose de garantir le maintien, au-delà du quatrième réexamen de sûreté, de la conformité des équipements importants pour la sûreté aux exigences qui leur ont été fixées » […] « les contrôles in situ devront couvrir l’ensemble des exigences définies pour les éléments importants pour la protection (EIP) » ;

–« les réacteurs actuels coexisteront, au niveau mondial, avec des réacteurs de type EPR, ou équivalent, dont la conception répond à des exigences de sûreté significativement renforcées. Les réacteurs nucléaires doivent donc être améliorés au regard de ces nouvelles exigences de sûreté, de l’état de l’art en matière de technologie nucléaire et de la durée de fonctionnement visée par EDF » ;

–« en ce qui concerne la réévaluation du niveau de sûreté, […] EDF doit renforcer ses propositions pour réduire encore, autant que raisonnablement possible, l’impact radiologique des accidents de dimensionnement ».

Figure 30.3. Étapes du réexamen associé aux VD4 900 (la signification des symboles est celle donnée pour la figure 30.2). IRSN.

L’Autorité de sûreté nucléaire a de plus indiqué que « le programme d’EDF doit être construit avec l’objectif que tous les réacteurs [...] dont le fonctionnement au-delà du quatrième réexamen de sûreté serait envisagé aient fait l’objet des travaux et modifications nécessaires au plus tard à l’échéance de leur quatrième visite décennale. »

Concernant le réexamen associé aux VD4 900, EDF a transmis à l’ASN le dossier d’orientation du réexamen (DOR) à la fin de 2013852. Ce document présente les contrôles et les études génériques qu’il compte réaliser pour l’ensemble des réacteurs de 900 MWe ; il a été examiné par l’IRSN ainsi que par deux groupes permanents d’experts (GPR et GPESPN), ce qui a conduit à une prise de position de l’Autorité de sûreté nucléaire au mois d’avril 2016853.

Un certain nombre des objectifs ou éléments notables retenus pour le réexamen associé aux VD4 900 sont indiqués ci-après :

–de façon générale, les études de réévaluation de sûreté associées aux VD4 900 sont à mener en prenant en compte les meilleures pratiques internationales ainsi que l’évolution des connaissances et des règles applicables aux installations similaires, en particulier aux nouveaux réacteurs854 ;

–ainsi, pour les conditions de fonctionnement de dimensionnement (ou de référence), pour les événements du domaine complémentaire et pour les agressions, l’objectif visé est d’éviter la nécessité de mise en œuvre de mesures de protection de la population à court terme ;

–certaines situations retenues pour la conception du réacteur EPR qui n’avaient pas été étudiées pour les réacteurs en exploitation sont étudiées ; un domaine d’événements complémentaires, dit rénové, est à établir en cohérence avec celui retenu pour l’analyse de sûreté du réacteur EPR ;

–des dispositions à fort impact en termes de prévention des accidents graves (réserves d’eau et électricité) sont à examiner ;

–en lien avec les études post-Fukushima, des dispositions sont à rechercher pour éviter la percée du radier par le corium et pour pouvoir évacuer la puissance résiduelle du réacteur sans ouverture du dispositif d’éventage-filtration associé à la procédure U5 ;

–une amélioration de l’efficacité du dispositif de filtration prévu pour réduire les rejets en cas d’ouverture volontaire de l’enceinte pour permettre sa dépressurisation si nécessaire lors d’un accident avec fusion du cœur (dispositif d’éventage-filtration U5) est recherchée ; l’IRSN a notamment considéré que, au regard des progrès technologiques sur les procédés de filtration et des développements industriels, l’ajout au dispositif U5 de médias filtrants (par exemple à base d’argent) pourrait à terme permettre de réduire les rejets d’iode (iode sous forme moléculaire et iode sous forme organique), réduisant ainsi significativement les conséquences radiologiques sur les populations et l’environnement en cas d’éventage de l’enceinte de confinement ;

–les nouveaux équipements mis en place à l’égard des situations avec fusion du cœur sont à qualifier aux conditions auxquelles ils pourraient être soumis ;

–concernant les piscines dans lesquelles sont entreposés les combustibles usés, le risque de fusion du combustible doit être « pratiquement éliminé » ;

–la démarche de maîtrise du vieillissement engagée notamment au stade des VD3 900 est à poursuivre, en la complétant pour les zones en alliage de nickel de type 600 du circuit primaire principal, telles que les pénétrations de fond de cuve − matériau potentiellement sujet à un phénomène de corrosion sous contrainte (voir le paragraphe 27.2.2.10).

Concernant les risques liés à l’incendie, l’Autorité de sûreté nucléaire a demandé à EDF d’apporter à l’occasion des VD4 900 – en complément des actions déjà retenues lors des VD3 900 – la justification du bon dimensionnement de la sectorisation incendie couvrant tous les « volumes de feu de sûreté », avec un calendrier d’études et de modifications associées. Ces justifications855 doivent bien évidemment concerner tous les locaux identifiés à fort enjeu de sûreté (en s’appuyant notamment sur l’EPS « Incendie »).

Après la prise de position, en 2016, de l’Autorité de sûreté nucléaire sur les orientations du réexamen associé aux quatrièmes visites décennales des réacteurs de 900 MWe, une nouvelle position est prévue à la fin de 2020 ; elle sera élaborée sur la base d’une synthèse par l’IRSN de l’ensemble des expertises menées sur les sujets qui figurent sur le diagramme 30.3 ainsi que sur les avis du Groupe permanent d’experts pour les réacteurs nucléaires (expertises et réunions du groupe permanent échelonnées de 2016 à 2019).

Quelques points notables à fin 2019, dont certains sont évoqués dans le reste de l’ouvrage, sont indiqués ci-après.

30.5.3.Quelques points notables à l’issue des instructions menées par les organismes de sûreté856

Examen de conformité des tranches

Pour l’examen de conformité des tranches (ECOT), EDF a retenu un programme de travail similaire à ceux déployés lors des réexamens précédents, portant sur différents équipements tels que :

–des ouvrages de génie civil (rétentions d’effluents, galeries et tuyauteries du circuit d’eau brute…),

–les systèmes et structures de confinement et de ventilation,

–les engins de levage,

–les principaux organes en fonctionnement normal de rejets liquides et gazeux,

–les équipements qualifiés aux conditions accidentelles,

–les dispositions de protection contre la foudre,

–les tuyauteries,

–à l’égard du risque sismique, les supportages et les ancrages,

–les dispositions de protection contre les risques d’incendie et d’explosion,

–les dispositions de protection contre les risques d’inondation (interne et externe),

–les moyens locaux de crise.

À l’issue des orientations du réexamen périodique associé aux VD4 900 et compte tenu d’écarts de conformité alors récemment caractérisés affectant différents types de matériels, l’Autorité de sûreté nucléaire a estimé nécessaire qu’EDF étende le périmètre et les contrôles de son programme d’ECOT. Elle a indiqué des possibilités de vérifications complémentaires notamment sur les dispositifs passifs utilisés dans la démonstration de sûreté et sur les équipements qui contribuent à la prévention et à la limitation des situations avec fusion du cœur.

Il est aussi apparu nécessaire que les visites de terrains ne soient pas que des contrôles visuels (sans démontage d’équipements) et que les meilleures pratiques de contrôle disponibles soient autant que possible mises à profit.

Pour répondre à cette demande, EDF a proposé, dans le cadre de la visite décennale du réacteur n° 1 de la centrale nucléaire du Tricastin, des visites de terrain dans des locaux abritant des équipements contribuant directement au repli du réacteur et à son maintien en état sûr, à savoir les pompes du système ASG, les pompes du système SEC et les moteurs diesel des groupes électrogènes de secours. Ces visites seront étendues par la suite à l’ensemble des réacteurs de 900 MWe en tenant compte du retour d’expérience de ces premières visites.

Par ailleurs, à l’issue de l’examen des orientations retenues par EDF pour le réexamen périodique associé aux quatrièmes visites décennales des réacteurs de 900 MWe, l’Autorité de sûreté nucléaire a rappelé que la résorption des écarts, y compris ceux dont l’impact sur la sûreté est modéré, était un élément important pour envisager une poursuite du fonctionnement des réacteurs. À cet égard l’Autorité de sûreté nucléaire a publié en 2015 le guide ASN n° 21 « Traitement des écarts de conformité à une exigence définie pour un élément important pour la protection (EIP) », qui détaille les modalités de traitements ainsi que les délais de traitement qu’elle juge acceptable.

L’ASN a notamment rappelé que, « en cas de découverte d’écarts de conformité à caractère générique, EDF devra fournir, dans le cadre de l’analyse des écarts, sa position sur la nécessité de procéder à une extension des contrôles ou à une accélération du programme de l’ECOT sur les autres réacteurs en fonctionnement ».

L’Autorité de sûreté nucléaire a également demandé à EDF « de renforcer [son] organisation afin d’être en mesure de corriger au plus tard lors de la quatrième visite décennale de chaque réacteur de 900 MWe les écarts ayant un impact sur la sûreté qui auront été préalablement identifiés. Les écarts détectés au cours de ladite visite décennale seront corrigés dès que possible, en tenant compte de leur importance pour la sûreté. »

Au début de l’année 2018, EDF a mis en place un « projet » spécifique pour améliorer la maîtrise de la conformité de ses installations ; ce projet est initié dans le cadre du réexamen associé aux VD4 900 mais il s’applique à tout le parc électronucléaire.

Études de réévaluation de sûreté

Eu égard à l’objectif cité au deuxième point de la liste ci-dessus, la réduction des conséquences radiologiques de la rupture d’un tube de générateur de vapeur est un sujet sur lequel EDF doit encore progresser à l’occasion des VD4 900 ; ce point est développé au paragraphe 10.3.

Concernant les études relatives au domaine complémentaire d’événements, la mise en œuvre de la démarche associée au domaine complémentaire dit rénové a conduit, d’une part à confirmer les dispositions déjà identifiées dans le cadre des études du nouveau domaine complémentaire, d’autre part à retenir le diesel d’ultime secours (DUS) comme nouvelle disposition complémentaire permettant de réduire encore les risques liés aux événements internes aux réacteurs (voir le paragraphe 13.5).

Concernant la prévention, en cas d’accident avec fusion du cœur, de la percée du radier par le corium, EDF a étudié différentes solutions et retenu une stratégie reposant sur l’étalement à sec du corium dans le puits de cuve (sec) complété par un étalement dans le local adjacent du système instrumentation du cœur (RIC) ; cet étalement serait suivi du noyage (passif857) du corium par l’eau des puisards du bâtiment du réacteur, qui auraient été préalablement remplis à l’aide des circuits RIS ou EAS, voire, en cas de défaillance, par la pompe « noyau dur ».

Pour ce qui concerne la recherche de dispositions permettant, en cas de fusion du cœur, d’évacuer la puissance résiduelle du réacteur sans ouverture du dispositif d’éventage-filtration associé à la procédure U5, EDF prévoit, dans le cadre de la phase 3 des modifications post-Fukushima (voir le paragraphe 36.6), la mise en place d’un système ultime (EASu858) qui permettra une évacuation de la puissance résiduelle dégagée à l’intérieur de l’enceinte de confinement.

Dans le cadre des VD4 900, EDF met en place, pour le bâtiment du combustible, des dispositions permettant le raccordement d’un circuit de refroidissement de secours (« PTR bis » – voir la figure 30.4) à l’extérieur de ce bâtiment, constitué d’équipements mobiles, en vue de retrouver, au-delà de 24 heures, un refroidissement de la piscine d’entreposage des combustibles usés en cas d’agression (incendie ou inondation) ayant durablement endommagé le circuit de refroidissement (voir le paragraphe 15.3).

Figure 30.4. Vue en simulation du « PTR bis », montrant au premier plan les éléments abritant la pompe et l’échangeur et au second plan les raccords-pompiers. EDF.

Par ailleurs, comme cela est indiqué au paragraphe 9.1.4, les organismes de sûreté ont estimé, sur la base des études de réévaluation de l’accident de perte de réfrigérant primaire présentées par EDF, que le refroidissement du cœur en mode de recirculation d’eau à partir des puisards de l’enceinte de confinement nécessitait des compléments de justification : cela concerne les effets chimiques qui peuvent être induits par la présence d’acide borique, de soude et de composés dissous provenant des débris sur les risques de colmatage non seulement au niveau des filtres des puisards mais aussi au sein des assemblages combustibles – qui sont encore à explorer. Électricité de France prévoit des essais complémentaires à des niveaux de température représentatifs de ceux pouvant être atteints dans la situation accidentelle considérée.

Concernant les études probabilistes de sûreté en support du réexamen périodique associé aux VD4 900, EDF a notamment retenu :

–pour ce qui concerne les événements initiateurs internes, de réaliser des EPS de niveau 1 pour le risque de fusion du combustible aussi bien dans le cœur que dans la piscine d’entreposage du combustible,

–pour ce qui concerne les agressions, de réaliser des EPS de niveau 1 spécifiques pour l’incendie et l’inondation internes, ainsi que des EPS « séisme » approfondies pour les sites pour lesquels les risques correspondants sont jugés les plus sensibles,

–de développer des EPS de niveau 2 pour ces trois types d’agressions – ce qui constitue une nouveauté.

De nombreuses modifications, résultant des études du réexamen de sûreté, des études post-Fukushima et des actions nécessaires à la maîtrise de la conformité vont ainsi être mises en œuvre ; leur volume et leur cumul vont induire des changements significatifs pour les hommes et les organisations en place sur les sites nucléaires. EDF met en place à cet égard une « démarche SOH », telle que précisée au paragraphe 16.2.2.

30.6.Aperçu sur les pratiques à l’international
– Guides de l’AIEA

Comme cela a été indiqué dans le présent chapitre, la pratique de réexamens périodiques adoptée en France n’a pas découlé, à l’origine, d’une exigence règlementaire. Cette pratique a été mise en place progressivement en France – en précisant dès le milieu des années 1990 les objectifs et le contenu attendu des réexamens –, comme d’ailleurs dans la plupart des pays exploitant des réacteurs nucléaires de puissance.

30.6.1.Pratiques à l’international

Deux documents recensant les pratiques mises en œuvre dans différents pays en matière de Periodic Safety Reviews859 (PSR) peuvent être mentionnés :

–un rapport de l’OCDE, établi en 1992, intitulé « The Periodic Safety Review of Nuclear Power Plants – practices in OECD countries »,

–un document de l’AIEA, établi en 2010, intitulé « Periodic Safety Review of Nuclear Power Plants: Experience of Member States »860.

Il convient de signaler que, au moment de la mise en exploitation des réacteurs électrogènes dans certains pays, les durées de validité des autorisations d’exploitation (formellement non limitée en France comme dans de nombreux pays, sachant néanmoins que les réacteurs étaient conçus861 sur la base d’une durée de 40 ans) pouvaient être dans certains pays de quelques années seulement – même si la conception des installations était faite pour des durées bien supérieures. Le rapport de l’OCDE évoqué ci-dessus fait apparaître que le renouvellement des autorisations d’exploitation s’inscrivait alors généralement dans un processus de mise à jour parfois annuelle des documents tels que les rapports de sûreté et les spécifications techniques d’exploitation, sans plus de détail sur les objectifs de ces mises à jour eu égard à ceux qui ont été attribués aux réexamens périodiques.

De façon générale, il apparaît que des safety reviews ont été engagées dans différents pays simultanément au développement des réexamens périodiques en France. Ces pays y voyaient l’intérêt de profiter à la fois de l’expérience acquise et de possibilités de perfectionnements technologiques. Toutefois, d’autres pays, comme les États-Unis, ont retenu une démarche différente, reposant sur des processus spécifiques de surveillance et d’amélioration des réacteurs ; ce cas sera développé plus loin.

Les premières safety reviews ont été d’importance variable selon les pays. Certaines ont été de grande ampleur lorsqu’elles concernaient des réacteurs anciens ; ce fut en particulier le cas des réacteurs de type MAGNOX (refroidis au gaz) dont le Royaume-Uni s’était doté entre 1956 et 1971, à savoir 20 réacteurs répartis sur huit sites. Des Long Term Safety Reviews (LTSR) furent réalisées pour ces réacteurs après 20-25 ans d’exploitation – correspondant à leur durée de vie fixée à l’origine –, comme une condition pour une extension de leur durée d’exploitation. Il fut ensuite procédé à des Periodic Safety Reviews (PSR) décennales de ces réacteurs862.

Les safety reviews réalisées dans des pays étrangers – telles qu’elles sont rapportées dans les deux sources documentaires précitées – correspondent essentiellement au volet « réévaluation de sûreté » de la pratique française, et font une large place au retour d’expérience (dont celui des accidents des centrales nucléaires de Three Mile Island et de Tchernobyl). Des « contrôles additionnels » sont cependant explicitement mentionnés pour les Long Term Safety Reviews des réacteurs anglais MAGNOX, concernant des équipements pouvant être sujets à un vieillissement notable (cela est inclus dans les contrôles de conformité de la pratique française). Progressivement, un éclairage par les études probabilistes de sûreté a été introduit. Ces safety reviews ont ainsi conduit à des modifications significatives des installations : ajout de groupes électrogènes (Allemagne notamment), ajout de circuits indépendants d’évacuation de la puissance résiduelle863 et résistant aux agressions externes, dont les chutes d’avion (Allemagne, Suisse), remplacement ou ajout de soupapes de sécurité plus fiables (Belgique, Canada, Italie), amélioration de la protection contre l’incendie (Italie), amélioration de l’instrumentation pour la gestion de situations accidentelles (Allemagne, Belgique), modification des cœurs pour réduire la fluence neutronique reçue par les cuves (Finlande), modifications de nature à améliorer la résistance aux séismes (Italie), etc.

Aux États-Unis, les réacteurs de puissance font l’objet depuis les années 1970 de programmes ciblés, comme SEP (Systematic Evaluation Process), SSFI (Safety System Functional Inspection), ASP (Accident Sequence Precursor), IPE (Individual Plant Examination), IPEEE (Individual Plant Examination for External Events), SALP (Systematic Assessment of Licensee Performance) démarré en 1993, ou encore le programme de réévaluation sismique des réacteurs situés au centre et à l’est des États-Unis (Central and Eastern United States – CEUS) démarré en 2012, etc.

On peut cependant noter que, depuis l’accident survenu à la centrale nucléaire de Fukushima Daiichi au mois de mars 2011 et à la suite de recommandations d’une Task Force de l’U.S.NRC, une réévaluation périodique des risques sismiques et d’inondation est maintenant prévue aux États-Unis (voir le paragraphe 37.5).

30.6.2.Guides de l’AIEA

L’AIEA a publié plusieurs guides spécifiquement dédiés aux periodic safety reviews des réacteurs électronucléaires, tenant compte du retour d’expérience en la matière et des pratiques existantes. Le guide le plus récent est le Specific Safety Guide SSG-25 intitulé « Periodic Safety Review for Nuclear Power Plants », diffusé en mars 2013.

Ce guide fait ressortir que, malgré des pratiques différentes d’un pays à l’autre, en particulier concernant le périmètre des études et des vérifications, les principaux objectifs attribués aux periodic safety reviews ont convergé – tout en reconnaissant la démarche américaine comme une alternative – vers la vérification de l’absence de dégradation du niveau de sûreté depuis la précédente safety review et la comparaison de la sûreté de l’installation à celle résultant des évolutions les plus récentes au plan international (évolutions technologiques, évolutions d’objectifs et de démarches de sûreté, de connaissances et d’outils de simulation numérique…), afin d’apprécier les améliorations à lui apporter. Le guide de l’AIEA met en avant l’importance d’apprécier, à l’occasion des safety reviews, les marges de sûreté (safety margins) disponibles – en tenant compte des contrôles effectués sur les équipements et de la reprise des études des incidents, des accidents et des agressions.

Une période décennale est retenue comme référence, étant jugée appropriée pour disposer de suffisamment d’évolutions à prendre en compte en termes de connaissances techniques et scientifiques, de retour d’expérience, d’environnement de l’installation (population, voies de communication, trame industrielle, environnement naturel…), d’organisation de l’installation, de modifications de celle-ci et de ses modalités d’exploitation, enfin en termes d’objectifs de sûreté, de règlementation et de standards de sûreté.

Le périmètre préconisé pour les safety reviews est très large ; il couvre, par le biais de 14 safety factors (facteurs d’influence sur la sûreté), tous les aspects liés à la sûreté d’un site nucléaire, en considérant non seulement les bâtiments, structures, systèmes et composants (y compris les installations annexes : entreposage et traitement des déchets…), ainsi que leur exploitation, mais aussi les aspects organisationnels et humains. À cet égard, pour le parc électronucléaire français, certains safety factors mentionnés dans le guide SSG-25 font l’objet d’examens spécifiques dans des cadres dédiés : il en est ainsi par exemple du retour d’expérience national et international ou des aspects organisationnels et humains qui font l’objet d’examens particuliers (organisation de la sûreté lors des arrêts de tranche, gestion des prestataires et des sous-traitants…).

Le guide SSG-25 de l’AIEA préconise explicitement que les safety reviews traitent de la conformité des équipements (« review for compliance with plant design specifications »), en effectuant en tant que de besoin des contrôles ou examens spécifiques si les programmes de contrôles et de maintenance ne sont pas jugés suffisants pour évaluer la capacité de l’installation à fonctionner de façon sûre pendant la période à venir. La pratique française se trouve ainsi reprise au niveau international (examens de conformité, programmes d’investigations complémentaires).

Enfin, le guide SSG-25 de l’AIEA met en avant l’apport d’une safety reviews en support à une demande de renouvellement d’une autorisation d’exploitation ou d’extension de la durée de fonctionnement d’un réacteur.

30.7.Échanges multilatéraux

De façon complémentaire aux pratiques nationales et aux concertations entre pays menées dans le cadre de l’établissement de préconisations « convergées » en matière de periodic safety reviews, telles que celles qui sont évoquées ci-dessus, les évaluations de sûreté menées dans des cadres bilatéraux ou multilatéraux sur la sûreté de réacteurs électronucléaires en exploitation dans le monde sont d’un grand intérêt, même si leurs objectifs ne sont pas explicitement et formellement ceux attribués aux periodic safety reviews.

De telles évaluations permettent en effet de discuter de sujets de sûreté concrets concernant des installations en exploitation avec les pays ou les exploitants qui en sont bénéficiaires, en tenant compte de leurs spécificités de conception et d’exploitation, y compris aux plans organisationnels et humains, ou encore de leur contexte règlementaire ; mais les connaissances, pratiques, technologies, objectifs et approches de sûreté les plus récents peuvent permettre d’éclairer les discussions, voire de suggérer des améliorations qui permettraient d’accroître le niveau de sûreté des installations. Ces échanges contribuent aussi au développement de la culture de sûreté.

Les évaluations, menées dès les années 1970 dans le cadre notamment des Operational Safety Review Teams (OSART) de l’AIEA (constituant des audits sur la sûreté en exploitation d’installations ou d’activités nucléaires) ou encore sous le couvert du groupement européen d’intérêt économique RISKAUDIT sont notamment à mentionner ; des cas concrets de telles évaluations ont été présentés au paragraphe 3.1, concernant en particulier des réacteurs des pays de l’Est.

Tableau 30.1. Cadencement et durée des réexamens de sûreté des REP.

VD2 900

VD2 1300

VD3 900

VD1

N4

VD3 1300

VD2

N4

VD4 900

(1)

(2)

(1)

(2)

(1)

(2)

(1)

(2)

(1)

(2)

(1)

(2)

(1)

(2)

1990

91

92

93

94

95

96

97

98

99

2000

01

02

03

04

05

06

07

08

09

2010

11

12

13

14

15

16

17

18

19

2020

21

22

23

24

25

26

27

28

29

2030

(1) Période consacrée aux études génériques du réexamen et à leur évaluation.

(2) Période des visites décennales des réacteurs du palier concerné.

826.Voir le chapitre 20 consacré aux règles générales d’exploitation.

827.Pour plus de précisions sur le sujet des contrôles et essais des enceintes de confinement, le lecteur pourra consulter le paragraphe 6.2.4 de l’ouvrage « Les accidents de fusion du cœur des réacteurs nucléaires de puissance – État des connaissances », D. Jacquemain et al., Collection sciences et techniques, IRSN/EDP Sciences, 2013.

828.Quelques exemples de réexamens de sûreté majeurs de réacteurs de recherche français sont présentés dans l’ouvrage de l’IRSN dédié aux aspects de sûreté de ce type de réacteurs : « Éléments de sûreté nucléaire – Les réacteurs de recherche », J. Couturier et al., Collection sciences et techniques, IRSN/EDP Sciences, 2019.

829.Les fissures significatives détectées dans les tuyauteries de refroidissement du réacteur Chinon A3 ont soulevé des difficultés qui ont finalement conduit à l’arrêt définitif du réacteur.

830.Le panneau de repli est un système de secours, placé hors de la salle de commande, qui permet à l’équipe de conduite, dans le cas où la salle de commande serait rendue inexploitable, de ramener le réacteur à l’arrêt dans un état sûr (à distinguer du panneau de sûreté dans la salle de commande).

831.Voir le chapitre 27 relatif à la surveillance en service et au contrôle des équipements, dans lequel sont présentés et développés certains des sujets et contrôles évoqués ici.

832.Phénomène aussi désigné par « usure des doigts de gants ».

833.Un autre (et premier) volet avait été retenu pour les premiers réexamens réalisés selon cette démarche, à savoir justement de bien définir ce que couvrait ce « référentiel de sûreté ».

834.Le projet de décision est accessible sur le site internet de l’ASN.

835.Par la suite, les nièmes visites décennales seront dénommées « VDn » : les troisièmes visites décennales des réacteurs de 900 MWe sont ainsi dénommées VD3 900.

836.Par exemple, un examen de conformité de l’état chimique et radiologique du site et de l’environnement doit aussi être réalisé ; ces aspects ne sont pas traités dans la suite du présent chapitre.

837.Le PIC est établi pour un palier de réacteurs.

838.Il est indiqué dans ce projet de décision que, dans le cas contraire, l’exploitant doit en présenter « l’impact sur la démonstration de sûreté nucléaire et, le cas échéant, l’intérêt en termes de défense en profondeur de mettre en œuvre de nouveaux EIP, de modifier des EIP existants ou les exigences définies assignées aux EIP présents dans l’installation ou placés sous la responsabilité de l’exploitant ».

839.Ces modifications peuvent aussi, dans certains cas, être réparties en plusieurs lots.

840.Le DOR peut avoir, en totalité ou en partie, un caractère générique pour plusieurs installations ; par exemple, pour ce qui concerne le parc électronucléaire, il peut viser l’ensemble des réacteurs d’un même palier.

841.Voir le chapitre 13.

842.Les risques de colmatage des filtres des puisards et leurs effets en aval font toujours l’objet de travaux de recherche et développement ; le lecteur pourra par exemple se reporter au chapitre 5 de l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

843.Ces accumulateurs sont mis sous pression d’air pour effectuer leur vidange avant l’étape de rechargement du cœur. Mais ils peuvent se trouver maintenus sous pression d’air, ou regonflés, au moment du rechargement, comme cela a été le cas lors de l’événement significatif survenu le 7 septembre 2000 dans le réacteur n° 5 de la centrale nucléaire du Bugey : le regonflage en air d’un accumulateur du système RIS avait été effectué pour effectuer une requalification de ses capteurs de niveau d’eau.

844.Dans cet état du réacteur, la rupture d’une tape peut entraîner la vidange rapide et importante des deux piscines, un découvrement d’assemblages en cours de manutention et une perte durable de refroidissement de la piscine du BK.

845.Établies sur la base de la courbe dite DSN 144, depuis reconnue obsolète par Électricité de France, l’IRSN et l’Autorité de sûreté nucléaire.

846.Comme cela est indiqué au paragraphe 12.6, le frasil est un phénomène de prise en glace massive due à l’agglomération de cristaux de glace qui se forment dans des eaux turbulentes et qui, lorsque leur accumulation est suffisante pour contrecarrer la turbulence, s’assemblent en galettes flottantes. Les conditions d’apparition du frasil sont réunies lorsque la température de l’eau est inférieure à 0 °C et la température de l’air inférieure à - 10°C.

847.Voir le chapitre 17.

848.Un clapet antiretour est positionné en amont.

849.Au titre d’études de sensibilité (voir le paragraphe 8.4.2). Il s’agit de fuites survenant avant 24 heures ou d’un débit supérieur à 200 L/h (voir les « directives techniques pour la conception et la construction de la prochaine génération de réacteurs nucléaires à eau pressurisée »).

850.Spécifique aux réacteurs de 1 300 MWe et de 1 450 MWe.

851.Voir à ce sujet le chapitre 10 de l’ouvrage de l’IRSN intitulé « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

852.Dossier amendé et complété jusqu’à mi-2014.

853.Lettre de position de l’ASN, référence CODEP-DCN-2016-007286 du 20 avril 2016.

854.On peut citer le guide ASN n° 22, ainsi que des documents de l’association WENRA.

855.Par la mise en œuvre de la méthode dénommée PEPSSI (Principe d’évaluation pour la suffisance des éléments de sectorisation incendie), inspirée de la méthode EPRESSI utilisée pour l’EPR Flamanville 3.

856.Situation à la fin de 2019.

857.Par la rupture d’un câble fusible quand le corium vient à son contact, qui entraîne l’ouverture de trappes permettant l’arrivée d’eau.

858.Ce système, défini dans le cadre des modifications post-Fukushima (voir le paragraphe 36.6.5.3), est constitué d’une ligne piquée, dans le bâtiment du combustible, sur l’extraction de la bâche PTR, comportant une pompe (pompe « noyau dur ») et un échangeur de chaleur, qui permet d’envoyer de l’eau dans le bâtiment du réacteur et les puisards. La pompe est alimentée électriquement par le groupe électrogène à moteur diesel d’ultime secours (DUS). L’échangeur est refroidi par la source froide ultime (SFu), mise en œuvre par la Force d’action rapide nucléaire (FARN).

859.Cette appellation sera utilisée dans la suite du paragraphe, car c’est celle qui est largement retenue à l’international, notamment dans les standards de l’AIEA.

860.Ce recensement a été diffusé sous la forme d’un « document technique » (ce qui n’est pas un guide), référencé IAEA-TECDOC-1643, de 2010.

861.En termes de durée d’irradiation de structures, de nombre de transitoires incidentels…

862.Voir le rapport de HSE intitulé « Report by HM Nuclear Installation Inspectorate on the Results of Magnox Long Term Safety Reviews (LTSRs) and Periodic Safety Reviews (PSRs) », 2000.

863.Il s’agit de systèmes du type Independant Residual Heat Removal (IRHR).

Chapitre 31

Optimisation de la radioprotection
et limitation des doses reçues
par les travailleurs
lors des interventions
dans une centrale électronucléaire

Les principes de radioprotection sont présentés dans le chapitre 1 du présent ouvrage : ce sont la justification, l’optimisation et la limitation des doses dues aux rayonnements ionisants reçues par les travailleurs et les personnes du public.

Rappelons que, selon le principe d’optimisation dans la règlementation française, les expositions professionnelles individuelles et collectives aux rayonnements ionisants sont maintenues en deçà des limites prescrites au niveau le plus faible qu’il est raisonnablement possible d’atteindre (principe dit ALARA864).

Le but du présent chapitre est d’illustrer la mise en œuvre de ce principe par EDF sur la base de quelques exemples d’interventions effectuées dans des centrales du parc électronucléaire français, ainsi que d’évoquer un certain nombre de dispositions retenues ou envisagées par Électricité de France pour réduire encore, dans les années à venir, les doses reçues par les travailleurs lors de certains types d’interventions. Quelques aspects de la démarche d’optimisation en radioprotection adoptée pour la conception du réacteur EPR seront aussi évoqués, de manière succincte.

L’optimisation de la radioprotection est à mener dans différents contextes : lors d’interventions pour une remise en conformité d’équipements, lors de modifications visant à renforcer la sûreté d’un réacteur, lors de travaux de maintenance et lors d’opérations de surveillance en service d’équipements.

La démarche ALARA a été mise en œuvre par EDF depuis le début des années 1990, pour développer des efforts, tant de son personnel d’exploitation que de ses prestataires, de réduction des doses individuelles et collectives ; celles-ci ont ainsi été en moyenne divisées par un facteur d’environ 2 à 3 en 20 ans865. L’évolution des doses collectives est représentée sur la figure 31.1 ci-après866.

Figure 31.1. Évolution depuis 1992 (jusqu’au début des années 2010) de la dose collective moyenne par réacteur (homme.Sievert par réacteur) issue de la dosimétrie opérationnelle pour le parc et les tranches de 900 MWe et de 1 300 ou 1 450 MWe. IRSN.

31.1.Les sources de rayonnements ionisants
dans un réacteur électronucléaire

Dans un réacteur électronucléaire (à eau sous pression) en exploitation, les sources de rayonnements ionisants sont de trois types :

–les produits issus des fissions des noyaux fissiles que sont l’uranium 235, ainsi que le plutonium 239 dans les assemblages combustibles de type MOX (voir le chapitre 5 qui rappelle un certain nombre de notions de physique des réacteurs à eau sous pression) : ces produits de fission sont principalement l’iode 131, le xénon 133, le krypton 85, les césiums 134 et 137 ; ils peuvent être disséminés dans l’eau du circuit primaire en cas d’inétanchéité du gainage des crayons des assemblages combustibles. Les produits de fission sont émetteurs de rayonnements β et γ ;

–les produits d’activation d’éléments (structures métalliques et leurs produits de corrosion, eau du circuit primaire, air…) soumis au flux neutronique ; les produits de corrosion (activés) véhiculés par le fluide primaire et déposés sur les surfaces des composants des circuits primaire et auxiliaires sont principalement les isotopes 58 et 60 du cobalt et, dans une moindre mesure, l’argent 110 m et l’antimoine 124. Les produits d’activation sont émetteurs de rayonnements β et γ. Ils contribuent à plus de 90 % aux doses reçues par les travailleurs, notamment lors des périodes d’arrêt des réacteurs pour maintenance et rechargement du combustible dans le cœur ;

–les actinides, constitués de noyaux lourds qui sont présents dans le combustible introduit dans le cœur ou qui résultent de captures neutroniques successives : il s’agit principalement des isotopes 239 et 240 du plutonium, de l’américium 241, des isotopes 242 et 244 du curium. Ils peuvent être disséminés dans l’eau du circuit primaire en cas d’endommagement sérieux des gaines du combustible. Ils sont émetteurs de rayonnements α, β, γ et de neutrons.

31.2.Exemples d’optimisation de la radioprotection
des travailleurs

Quelques aspects d’une démarche d’optimisation des expositions des travailleurs sont illustrés ci-après, de façon qualitative ou quantitative, sur la base de deux travaux réalisés dans les réacteurs du parc électronucléaire français ; il s’agit des travaux de remise en conformité des puisards et des caniveaux des bâtiments des auxiliaires nucléaires (BAN) et des bâtiments de traitement des effluents (BTE), ainsi que des travaux d’épaississement des radiers des réacteurs de la centrale nucléaire de Fessenheim.

Des travaux de remise en conformité des puisards et des caniveaux des bâtiments des auxiliaires nucléaires (BAN) et des bâtiments de traitement des effluents (BTE) ont été menés dans l’ensemble des 58 réacteurs du parc électronucléaire entre 2002 et 2006, en application de l’arrêté du 31 décembre 1999 fixant la règlementation générale destinée à prévenir et limiter les nuisances et les risques externes résultant de l’exploitation des installations nucléaires de base867. La nécessité d’une réfection des puisards et des caniveaux était apparue à la suite de visites réalisées dans le cadre des programmes de base de maintenance préventive des ouvrages de génie civil (mise en évidence de défauts d’étanchéité). Ces travaux étaient de nature complexe en raison du nombre d’opérations nécessaires, d’un enjeu radiologique important et d’un délai souhaité de réalisation court. Les sources de rayonnements au niveau des puisards et des caniveaux étaient essentiellement contenues dans des boues.

Pour ces travaux, EDF a mis en place une organisation spécifique sous le pilotage de la Division de la production nucléaire (DPN). Par ailleurs, les entreprises extérieures des différents corps de métiers concernés (assainissement, génie civil, mécanique, peinture) se sont organisées en groupement momentané d’entreprises (GME).

De façon générale, la préparation des travaux a été fondée sur :

–une décomposition et un ordonnancement des différentes opérations à effectuer,

–une estimation prévisionnelle des doses reçues par les intervenants lors de ces opérations,

–une démarche d’optimisation de la radioprotection,

–la mise en œuvre d’un processus de retour d’expérience au fil des travaux menés sur les différents sites.

L’élaboration de la démarche d’optimisation a d’abord été menée pour le premier chantier réalisé dans le réacteur n° 1 de la centrale nucléaire du Tricastin en 2002. Cette démarche a permis d’établir un scénario optimum générique et de dégager des pistes d’optimisation supplémentaires. Trente-six options (ou « bonnes pratiques ») ont ainsi été examinées, dans quatre domaines :

–réduction des sources de rayonnements,

–protections biologiques,

–travail à distance,

–durée de l’intervention.

Parmi les 36 options examinées, dix ont été écartées car les gains escomptés en termes de doses aux opérateurs étaient faibles en regard des inconvénients. Voici, à titre illustratif, quelques options étudiées et les décisions qui en ont résulté :

–ouverture partielle des caniveaux pour intervenir plus facilement lors des opérations, mise en eau des puisards adjacents aux zones d’intervention ; ces deux options, de nature à réduire les débits de doses ambiants pour les opérateurs, ont été retenues ;

–décontamination chimique des tuyauteries des circuits d’injection de sécurité (RIS) et de contrôle chimique et volumétrique (RCV), afin de réduire les débits de doses ambiants aux postes de travail ; cette option n’a pas été retenue, pour des raisons de difficulté de mise en œuvre ;

–humidification des boues, afin notamment d’éviter la dispersion de matière ; cette option n’a pas été retenue, car elle aurait aussi entraîné l’humidification et la contamination du béton ;

–utilisation de perches pour l’aspiration des boues ; cette option, de nature à réduire les doses pour les opérateurs, a été retenue ;

–décontamination robotisée de l’intérieur des puisards ; cette option n’a pas été retenue en raison de difficultés de mise en œuvre (manipulation d’un système contaminé, entreposage d’un équipement irradiant, pas de gain de temps de présence à cause du pilotage…).

Un autre exemple peut être présenté, concernant les travaux d’épaississement de chacun des radiers des deux réacteurs de la centrale nucléaire de Fessenheim, sujet qui a fait l’objet en 2011 d’une prescription de l’Autorité de sûreté nucléaire dans le cadre d’une décision relative à la poursuite de l’exploitation de ces réacteurs après leurs troisièmes visites décennales (réacteurs de 900 MWe du premier groupe CP0, mis en service en 1978). En effet, il était apparu que, pour certains scénarios d’accident de fusion du cœur avec percée de la cuve, le radier de ces réacteurs pourrait être traversé par le corium dans un délai inférieur à 24 heures. La valeur d’épaississement retenue a été de 50 cm, portant l’épaisseur de chaque radier de 1,5 à 2 m. La solution retenue a de plus visé à permettre au corium de s’étaler dans un local adjacent au puits de cuve, par un tunnel de transfert.

Compte tenu des conditions radiologiques régnant dans le puits de cuve, cette opération ne pouvait être conduite qu’en état d’arrêt du réacteur concerné, après un déchargement complet du cœur.

EDF a mis en œuvre une démarche d’optimisation qui a permis d’abaisser à 90 homme.millisievert la dose collective initialement estimée à 280 homme.millisievert. Les différentes opérations à réaliser et les temps d’intervention ont été précisés à l’aide d’une maquette à l’échelle 1 de la zone d’intervention dans un réacteur. Le choix d’un béton autolissant a permis de réduire le temps d’intervention dans le puits de cuve. Par ailleurs, pour éviter un endommagement du système d’instrumentation du cœur du réacteur (système RIC), dont les tubes de mesure cheminent en partie basse du puits de cuve, les sondes neutroniques ont été retirées pendant les travaux (cette opération de retrait s’accompagnait d’expositions supplémentaires, compensées par des gains dosimétriques pendant les travaux d’épaississement du radier). Les opérations réalisées dans chaque réacteur ont conduit à des doses collectives effectivement reçues par les opérateurs de 72 homme.millisievert.

31.3.Dispositions prises pour les opérations dites
de grand carénage

En 2010, EDF a décidé d’engager une opération de grande ampleur, aussi appelée grand carénage, destinée à rénover l’ensemble des réacteurs du parc électronucléaire, dans l’objectif d’une extension de leur durée de fonctionnement au-delà de 40 ans. L’objectif est double :

–d’une part anticiper et maîtriser le vieillissement des équipements par le suivi de leur état d’usure et leur remplacement si nécessaire ;

–d’autre part améliorer la sûreté des installations pour atteindre un niveau de sûreté comparable à celui visé pour les nouveaux réacteurs ; les objectifs de sûreté que s’est fixés EDF portent principalement sur la réduction de la probabilité de fusion du cœur et la limitation des conséquences radiologiques en cas d’accident.

Les travaux de rénovation correspondants concernent de nombreux matériels et systèmes ; ils comportent notamment :

–la poursuite du remplacement des générateurs de vapeur équipés de tubes en alliage 600868 (réacteurs de 900 MWe et de 1 300 MWe),

–les modifications retenues dans le cadre des réexamens périodiques associés aux visites décennales (VD4 pour les réacteurs de 900 MWe, VD3 pour les réacteurs de 1 300 MWe et VD2 pour les réacteurs de 1 450 MWe),

–des interventions liées à l’application de la règlementation concernant les équipements sous pression nucléaires (ESPN),

–des modifications résultant des évaluations complémentaires de sûreté (ECS) menées à la suite de l’accident survenu à la centrale nucléaire de Fukushima Daiichi au mois de mars 2011.

Ces travaux sont à mener aussi bien dans la partie conventionnelle que dans l’îlot nucléaire des centrales, et donc pour certains sur des systèmes véhiculant des fluides radioactifs ou à proximité de ces systèmes. Afin de déterminer l’impact de ces travaux sur la radioprotection des travailleurs (aussi bien ceux d’EDF que ceux des entreprises prestataires), Électricité de France a évalué le contour et l’accroissement du « volume » des opérations à mener dans les locaux et leurs enjeux de radioprotection par rapport aux opérations et pratiques mises en œuvre jusqu’alors à l’occasion des arrêts de tranches.

Selon cette évaluation, réalisée en 2013, les travaux devaient se traduire par une augmentation significative du volume de maintenance sur la période 2015-2025, ainsi que des doses associées. Une mise à jour de cette évaluation, réalisée deux ans plus tard par EDF, a montré une augmentation nettement moins significative des doses prévisionnelles (voir la figure 31.2), conséquence d’un étalement des travaux dans le temps et de la mise en œuvre de « leviers » d’optimisation de la radioprotection.

Les dispositions retenues par EDF tant en matière organisationnelle que technique pour la mise en œuvre de l’optimisation de la radioprotection pour les opérations de rénovation des réacteurs ont été présentées et discutées en 2015 avec les organismes de sûreté. Ce fut l’occasion de faire un bilan des pratiques d’Électricité de France, ainsi que de ses performances et du retour d’expérience depuis le début des années 1990 en matière de radioprotection.

L’analyse a souligné l’importance pour la radioprotection des éléments organisationnels suivants :

–l’existence de processus réactifs :

•de retour d’expérience des événements liés à la radioprotection,

•de capitalisation, diffusion et mise à jour régulière des bonnes pratiques mises en œuvre sur les sites en matière de radioprotection,

•d’intégration dans les analyses de risques des situations dégradées « prévisibles » et des situations de co-activité ;

–l’implication des prestataires dans les études d’optimisation ;

–la vérification, à l’issue des premiers arrêts de tranche du projet de rénovation des réacteurs, du caractère suffisant, en termes de nombre et de compétences, des personnes affectées à la fonction de « responsable de zone » (fonction récente d’appui et de conseil, à l’interface des domaines de la logistique et de la prévention des risques).

Sur le plan technique, les objectifs ou dispositions retenus concernent notamment :

–le remplacement autant que raisonnablement possible des matériaux revêtus de stellite869 (matériau dur à base de cobalt) ;

–la réduction des pollutions ponctuelles par l’argent 110m et l’antimoine 124870 ;

–le polissage électrochimique des boîtes à eau des générateurs de vapeur. Du fait de la diminution de la rugosité des surfaces, celles-ci « accrochent » moins des produits de corrosion activés ; cela entraîne un gain significatif sur les débits de doses dans les boîtes à eau et dans une moindre mesure sur les débits de doses au niveau des planchers des générateurs de vapeur. Tous les générateurs de vapeur de remplacement (matériels neufs) sont soumis à cette opération ;

–la poursuite de l’optimisation de la chimie du fluide primaire en vue de réduire la quantité et la radioactivité des produits de corrosion contenus dans le fluide primaire (injection d’acétate de zinc, purification à grand débit du fluide primaire en phase d’arrêt, augmentation de la teneur en hydrogène de l’eau pour réduire le risque de corrosion sous contraintes…)

–la mise en œuvre des dispositions curatives les plus efficaces en matière d’assainissement et de chasse aux « points chauds »871 (que ce soit dans les réacteurs ou dans les piscines d’entreposage du combustible) ;

–une mise en œuvre accrue de téléopérations (y compris la technique de soudage de tuyauteries par téléopération pour les remplacements des générateurs de vapeur des réacteurs de 1 300 MWe).

L’examen effectué en 2015 a également permis d’analyser les perspectives en matière d’optimisation et de réduction des doses pour les différents chantiers réputés les plus « dosants » et les « métiers » les plus exposés. Ces chantiers concernent notamment les remplacements :

–des générateurs de vapeur,

–des cannes chauffantes du pressuriseur,

–des broches des guides des grappes,

–des mécanismes de commande des grappes,

–de la partie en « té » du circuit de refroidissement du réacteur à l’arrêt (RRA).

Les « métiers » les plus exposés sont notamment ceux dont les activités concernent les calorifuges ou les échafaudages, ainsi que les mécaniciens, les soudeurs, les robinetiers et les contrôleurs par gammagraphie (qui effectuent les « tirs » radiographiques).

Les potentialités d’une utilisation plus générale du sélénium 75 pour les tirs gammagraphiques872, à la place de l’iridium 192, ont par exemple été examinées – la qualité d’image étant par ailleurs meilleure avec le sélénium 75. Le sélénium 75 présente des avantages pour la radioprotection (à activité égale de la source, le débit de dose [en mGy/h] à 1 mètre est, pour une source de sélénium 75, divisé par 2,5 par rapport à celui d’une source d’iridium 192), mais l’emploi de ce radionucléide, de par ses caractéristiques, ne pourra pas être généralisé à l’ensemble des contrôles par gammagraphie : il ne peut en effet être utilisé de façon efficace que pour des structures métalliques dont l’épaisseur n’excède pas 30 à 40 mm. Si EDF est moteur dans l’élargissement de l’emploi de ce radionucléide lors des contrôles gammagraphiques, les difficultés d’approvisionnement et le coût important des sources, ainsi que les limitations liées au contexte normatif873 font que son utilisation reste encore limitée sur les sites.

Figure 31.2. Représentation EDF des effets des « leviers » de radioprotection sur les trajectoires de dose collective estimées en 2015 (« GC » désigne le grand carénage, « Fuku » désigne les dispositions post-Fukushima). IRSN (source EDF).

31.4.Démarche et objectifs adoptés pour le réacteur EPR

Concernant le réacteur EPR, des objectifs généraux de sûreté et de radioprotection ont été retenus dès les années 1990 pour la conception des réacteurs de la prochaine génération, rassemblés dans les directives techniques diffusées au début des années 2000 (voir le chapitre 18) ; parmi ces objectifs figure la réduction des doses collectives et des doses individuelles par rapport aux réacteurs du parc en exploitation. Une démarche d’optimisation a été mise en œuvre au stade de la conception de l’EPR, par le concepteur Areva-NP et par EDF, sur la base des bilans dosimétriques du parc en exploitation, notamment ceux relatifs aux « meilleurs » réacteurs de 1 300 MWe (palier P’4) et de 1 450 MWe (palier N4). Un effort prioritaire a porté sur les activités contribuant aux doses collectives les plus élevées, par exemple :

–le montage et le démontage des éléments calorifuges,

–l’ouverture et la fermeture de la cuve,

–la préparation et les contrôles des générateurs de vapeur,

–la logistique de chantier,

–les activités liées à la robinetterie,

–l’évacuation du combustible,

–le conditionnement des déchets radioactifs.

EDF a ainsi estimé que l’objectif de dose collective pouvait être ramené d’une valeur initiale de référence (sur la base du retour d’expérience pour le parc en exploitation) de 440 homme.millisievert par réacteur et par an à 350 homme.millisievert, en tenant compte de la démarche d’optimisation à la conception réalisée pour ces activités ; Électricité de France a par ailleurs retenu comme objectif que, en situation normale d’exploitation, le personnel ne soit pas soumis au risque d’exposition interne.

Des dispositions spécifiques de conception du réacteur EPR ont fait l’objet d’une attention particulière dans la démarche d’optimisation, comme le concept two-rooms destiné à permettre des interventions du personnel dans le bâtiment du réacteur en dehors des arrêts de tranche, notamment pour préparer ces derniers (sept jours avant l’arrêt). Afin de limiter l’exposition des intervenants, le bâtiment du réacteur est divisé en un « compartiment équipements » (composé des principaux éléments du circuit primaire) et un « espace de service » bénéficiant de protections biologiques adaptées et où l’atmosphère est compatible avec la présence de personnes, en fonctionnement.

Par ailleurs, le choix d’une instrumentation neutronique du cœur passant par le couvercle de la cuve et non par le fond de la cuve est un autre exemple de choix de conception qui contribuera à une réduction des doses reçues par les opérateurs.

La conception du réacteur EPR bénéficie également d’une réduction significative de l’inventaire en cobalt susceptible d’être activé en fonctionnement.

Pour ce qui concerne particulièrement la conception des équipements, outre la réduction de l’utilisation de revêtements durs pouvant générer du cobalt 60, la démarche d’optimisation mise en œuvre par EDF a aussi conduit, par exemple, à concevoir des calorifuges à démontage et remontage rapides, à procéder à un électropolissage des boîtes à eau des générateurs de vapeur…, afin de limiter l’irradiation et les risques de contamination du personnel.

L’exploitation du réacteur EPR Flamanville 3 permettra d’apprécier si la démarche d’optimisation menée au stade de la conception (associée aux « leviers » d’optimisation en exploitation) a bien porté ses fruits, et éventuellement d’apporter des corrections ou des améliorations.

Vidéo pouvant être consultée pour compléter le chapitre

Zones contrôlées : la radioprotection dans les installations nucléaires

864.As Low As Reasonably Achievable.

865.Voir le « Mémento de la radioprotection en exploitation » d’EDF, édition de 2014.

866.Les doses collectives sont du même ordre de grandeur que celles relatives aux parcs de réacteurs à eau sous pression étrangers (Belgique, Allemagne, États-Unis…).

867.Abrogé depuis par l’« arrêté INB ».

868.Voir le paragraphe 27.3.

869.Ce matériau est présent, sous forme de revêtements déposés ou sous forme de pièces massives dures, dans des zones de contact présentant des besoins fonctionnels forts d’étanchéité, de guidage avec frottement ou de glissement.

870.On trouve l’argent dans l’alliage neutrophage AIC (Ag-In-Cd) utilisé pour les grappes absorbantes ou dans des joints d’étanchéité Helicoflex ; l’antimoine est un constituant des « grappes sources » secondaires (ou anciennement dans des butées et paliers à base graphite de pompes de circuits auxiliaires).

871.Un « point chaud » est une source ponctuelle, généralement constituée de particules actives de cobalt 60, générant à sa proximité immédiate un débit de dose très largement supérieur au débit de dose ambiant du local. Électricité de France a établi des recueils de bonnes pratiques pour éliminer ces « points chauds ».

872.Le lecteur pourra aussi, sur ce sujet, consulter l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017, paragraphe 10.1.2.

873.L’emploi du sélénium 75 n’est pas prévu dans le code de conception et de construction mécanique RCC-M.

Partie 4

Les accidents des centrales nucléaires de Three Mile Island,
Tchernobyl et Fukushima Daiichi,
leurs enseignements,
la gestion des situations d’urgence

Chapitre 32

L’accident de la centrale nucléaire
de Three Mile Island

L’accident de fusion du cœur du réacteur n° 2 qui s’est produit le 28 mars 1979 à la centrale nucléaire américaine de Three Mile Island a eu un retentissement considérable dans le monde ; pour les professionnels du nucléaire, il a entraîné une soudaine prise de conscience : les risques associés au fonctionnement et à l’exploitation des réacteurs nucléaires de production d’électricité devaient être reconsidérés en profondeur.

En effet, il n’avait jamais été auparavant réellement envisagé que le cœur d’un réacteur de production d’électricité puisse fondre, et surtout avec une telle rapidité, même si cette hypothèse et les événements pouvant y mener avaient déjà été explorés dans certaines études menées notamment aux États-Unis874. Après l’accident, lorsque l’observation du cœur dégradé est devenue possible, il est apparu que près de la moitié du cœur avait fondu et qu’environ 20 tonnes de matériaux en fusion avaient atteint le fond de la cuve du réacteur. On sait aussi, grâce à l’analyse de l’accident, que tout cela s’est produit en un peu moins de quatre heures mais que, heureusement, la cuve du réacteur n’a pas cédé au contact des matériaux en fusion et que l’enceinte de confinement n’a pas été endommagée.

Ces constats ont soulevé de nombreuses questions sur la phénoménologie d’un accident de fusion du cœur, qui sont abordées au chapitre 17.

L’accident de Three Mile Island a donné lieu à un travail d’analyse de grande ampleur, à de très nombreux échanges internationaux et à un réexamen global des risques et de l’approche de sûreté des réacteurs nucléaires.

La suite de ce chapitre est consacrée au déroulement de l’accident, à ses conséquences et à quelques-uns des principaux enseignements qui en ont été tirés.

L’établissement du déroulement et l’analyse physique de l’accident, à laquelle de nombreux pays ont participé – s’agissant d’un accident ayant affecté un type de réacteur (réacteur à eau sous pression) largement utilisé de par le monde –, se sont appuyés sur l’interprétation des données enregistrées par l’instrumentation de la centrale au cours de l’accident, sur la connaissance de l’état de dégradation final du cœur observé après l’ouverture à la fin de 1984, soit plus de cinq ans après l’accident, du couvercle de la cuve du réacteur, sur l’examen en laboratoires chauds de débris extraits du cœur et sur la reconstitution par le calcul d’éléments du scénario accidentel. La collaboration des spécialistes a plus particulièrement permis de comprendre les phénomènes thermohydrauliques survenus dans le cœur et les circuits au cours de l’accident ainsi que les étapes de la dégradation du cœur. Ces sujets sont exposés en détail dans l’ouvrage sur les accidents de fusion du cœur des réacteurs nucléaires de puissance875 établi par l’IRSN. Le lecteur pourra consulter cet ouvrage s’il souhaite approfondir ces aspects ; seuls quelques éléments essentiels seront repris dans le présent chapitre. D’autres sources876 ont également été utilisées.

32.1.Déroulement de l’accident – Reconstitution
par le calcul

La centrale nucléaire de Three Mile Island, située en Pennsylvanie – États-Unis –, sur la Susquehanna River, à 16 km de Harrisburg, capitale de l’État et, à l’époque de l’accident, ville de 90 000 habitants, était équipée de deux tranches de 900 MWe à eau sous pression de conception Babcock & Wilcox. La deuxième tranche du site avait été mise en service commercial le 30 décembre 1978.

Les réacteurs à eau sous pression conçus par Babcock & Wilcox sont similaires dans leurs grands principes aux réacteurs à eau sous pression de Westinghouse exploités en France (voir la figure 32.1). Cependant, ils diffèrent des réacteurs français sur deux points significatifs pour le fonctionnement et la sûreté de l’installation : ils ne comportent que deux boucles de refroidissement du cœur, alors que les réacteurs français sont équipés de trois ou quatre boucles de refroidissement, et les générateurs de vapeur sont des échangeurs à tubes droits à circulation à contre-courant, alors que les générateurs de vapeur des réacteurs français comportent des tubes en forme d’épingle. Ces générateurs de vapeur, au nombre de deux pour chaque réacteur de la centrale de Three Mile Island, sont plus hauts, ce qui modifie les implantations relatives des matériels et rend difficile le passage en convection naturelle du fluide primaire. Ils ne contiennent que très peu d’eau du côté secondaire ; en cas d’interruption de l’alimentation en eau du côté secondaire, ce type de générateur de vapeur s’assèche en deux à trois minutes alors que l’assèchement d’un générateur de vapeur à tubes en épingle dure environ dix minutes. Cette inertie thermique réduite rend la conduite de l’installation moins souple.

L’accident commence le mercredi 28 mars 1979, à 4 heures du matin, par un incident d’exploitation relativement banal, à savoir la défaillance de l’alimentation normale en eau des générateurs de vapeur alors que le réacteur fonctionnait à sa puissance nominale. Cette défaillance a sans doute été provoquée par une erreur faite lors de travaux de maintenance portant sur des circuits auxiliaires du réacteur.

Figure 32.1. Schéma du réacteur TMI-2. Georges Goué/IRSN.

La perte soudaine de l’évacuation de la chaleur par les générateurs de vapeur entraîne alors en quelques secondes, du fait de la faible inertie thermique des générateurs de vapeur, une augmentation de la température de l’eau des branches froides et de la pression dans le circuit primaire. Comme prévu dans cette situation, la vanne de décharge du circuit primaire située au sommet du pressuriseur s’ouvre pour faire décroître la pression dans ce circuit en déchargeant le fluide de refroidissement dans le réservoir de décharge du pressuriseur situé dans l’enceinte de confinement.

Le transitoire entraîne aussi très rapidement l’arrêt automatique d’urgence du réacteur.

Au bout de 12 secondes, la vanne de décharge du pressuriseur reçoit l’ordre de se refermer.

Du côté secondaire, le transitoire provoque l’arrêt automatique du groupe turboalternateur de production d’électricité et le démarrage des motopompes de l’alimentation de secours des générateurs de vapeur.

Cette première phase de l’accident s’est passée normalement : tous les automatismes ont parfaitement fonctionné.

C’est alors qu’interviennent deux défaillances d’équipements :

–la vanne de décharge du pressuriseur, qui a reçu l’ordre de se fermer, reste en position ouverte ; le fluide primaire continue donc de se déverser dans le réservoir de décharge situé dans l’enceinte de confinement ;

–les pompes du système d’alimentation de secours des générateurs de vapeur se mettent en marche au bout de 30 secondes, mais l’eau ne peut pas atteindre les générateurs de vapeur car les vannes situées entre les pompes et les générateurs de vapeur sont fermées alors qu’elles auraient dû être ouvertes (elles ont été fermées lors d’un essai règlementaire réalisé quelques jours auparavant) ; le côté secondaire des générateurs de vapeur s’assèche alors en deux à trois minutes, ce qui interrompt tout refroidissement du circuit primaire par les générateurs de vapeur.

La première défaillance a été lourde de conséquences car les opérateurs présents en salle de conduite n’ont pas compris que la vanne de décharge du pressuriseur était restée ouverte ; pendant plus de deux heures, environ 60 t/h de fluide primaire se sont déversées dans l’enceinte de confinement (il y a environ 200 tonnes de fluide dans le circuit primaire). Le blocage de la vanne n’a pas été diagnostiqué rapidement par les opérateurs car ceux-ci ne disposaient pas en salle de commande d’indication de la position réelle de cette vanne, mais seulement d’un voyant qui leur indiquait en l’occurrence que l’ordre de fermeture avait été envoyé ; ils ne pouvaient donc pas savoir que la fermeture de la vanne n’était pas effective.

La deuxième défaillance n’a peut-être pas eu une influence importante sur le déroulement de l’accident. Cependant, bien que la position des vannes du système d’alimentation de secours des générateurs de vapeur fût indiquée en salle de commande, ce n’est qu’au bout de huit minutes que les opérateurs ont identifié le défaut et ont commandé manuellement l’ouverture de ces vannes. Pendant près de 25 minutes, l’attention des opérateurs a été largement focalisée sur le rétablissement, après de nombreuses manœuvres, de conditions stabilisées de refroidissement du côté secondaire, ce qui explique sans doute en partie pourquoi ils n’ont pas correctement compris les premières phases critiques du côté du circuit primaire.

Revenons dans le détail sur ce qui s’est passé dans le circuit primaire. Après l’ouverture de la vanne de décharge du pressuriseur, la pression dans ce circuit baisse jusqu’à environ 110 bars en deux minutes. Le système d’injection de sécurité à haute pression se met alors automatiquement en marche et envoie de l’eau froide dans le circuit primaire.

À ce moment, l’équipe de conduite concentre son attention sur le niveau du fluide primaire dans le pressuriseur. En effet, en fonctionnement normal avec une vanne de décharge fermée étanche, l’opérateur doit respecter une consigne qui lui demande de « ne pas perdre la bulle de vapeur d’eau au sommet du pressuriseur », donc de veiller à ce que le niveau de fluide dans le pressuriseur varie peu, ce qui est un gage de la stabilité de la pression dans le circuit primaire. Si le niveau de fluide primaire monte jusqu’au sommet du pressuriseur, l’opérateur ne dispose plus du matelas de vapeur nécessaire à la régulation de la pression ; le circuit primaire est alors entièrement rempli de fluide et tout transitoire se traduit par des variations brutales de pression qui constituent une menace pour l’enveloppe de ce circuit.

Or le niveau d’eau dans le pressuriseur, après une baisse initiale lorsque la vanne de décharge du pressuriseur a été ouverte, se met à monter rapidement jusqu’à environ six minutes après l’arrêt automatique du réacteur. Cette montée du niveau d’eau est due au fait que la vanne de décharge du pressuriseur est restée ouverte et que l’injection de sécurité envoie de l’eau sous haute pression dans le circuit primaire.

Croyant la vanne de décharge fermée, les opérateurs attribuent cette montée rapide du niveau d’eau dans le pressuriseur à l’apport d’eau par l’injection de sécurité et supposent que cette injection va conduire à une remontée en pression du circuit primaire. Craignant l’injection de trop d’eau dans le circuit primaire, ils prennent la décision – qui sera très lourde de conséquences – d’arrêter manuellement le système d’injection de sécurité (après moins de cinq minutes de fonctionnement du système).

La représentation mentale de la situation qu’ont les opérateurs est rendue fausse du fait d’une information erronée en salle de commande ; mais c’est à partir de cette représentation qu’ils ont choisi les actions qu’ils ont effectuées.

Désormais, l’eau qui s’échappe du circuit primaire par la vanne de décharge du pressuriseur n’est plus remplacée, l’apport d’eau par le système de contrôle chimique et volumétrique n’étant pas suffisant. On se trouve donc dans une situation de brèche du circuit primaire avec arrêt total du système d’injection de sécurité.

Le fluide primaire remplit peu à peu le ballon de décharge du pressuriseur. Environ un quart d’heure après le début de l’accident, le disque de rupture du ballon de décharge cède ; le fluide primaire qui s’échappe va dès lors directement dans l’enceinte de confinement. À ce moment, le volume de fluide primaire perdu par la brèche et la baisse de pression sont tels que de la vapeur commence à se former dans le circuit primaire.

Le circuit primaire véhicule alors un mélange d’eau et de vapeur d’eau, avec une fraction de vapeur croissante avec le temps. Malgré un certain nombre d’indications (augmentation du flux neutronique dans le cœur, vibrations des pompes primaires, augmentation du niveau d’eau dans le réservoir de décharge du pressuriseur, pression et température élevées dans l’enceinte de confinement) et d’alarmes qui auraient pu alerter les opérateurs sur l’état du circuit primaire, son fonctionnement sera maintenu dans ces conditions pendant plus d’une heure. La chaleur produite par la puissance résiduelle du cœur est évacuée d’une part par les générateurs de vapeur – les opérateurs sont parvenus à remettre en service l’alimentation de secours des générateurs de vapeur –, d’autre part par l’eau et la vapeur d’eau qui se déversent dans l’enceinte de confinement par la vanne de décharge du pressuriseur restée ouverte – mais cela, les opérateurs ne le savent pas.

Le pressuriseur est rempli d’un mélange d’eau et de vapeur d’eau. L’indication de son niveau par l’instrumentation en place n’a alors plus aucun sens.

Le taux de vapeur dans le fluide primaire augmente. Les pompes primaires éprouvent de plus en plus de difficultés à fonctionner ; elles cavitent et vibrent.

Ces vibrations devenant excessives, 1 heure et 13 minutes après le début de l’accident, les opérateurs arrêtent une pompe primaire ; 27 minutes plus tard, ils arrêtent la seconde. C’est alors que, compte tenu des pressions et des températures mesurées dans l’enceinte de confinement, les opérateurs suspectent une fuite du circuit primaire au niveau des générateurs de vapeur. Ils espèrent qu’une circulation par convection naturelle va s’établir dans le circuit primaire et assurer le refroidissement du cœur.

En fait, l’arrêt des pompes primaires entraîne une séparation de l’eau et de la vapeur d’eau dans le circuit primaire. La vapeur s’accumule dans tous les points hauts de ce circuit, l’eau fluide dans les points bas. Il n’y a plus de circulation de fluide primaire, donc plus d’échange de chaleur entre le cœur du réacteur qui dégage une puissance résiduelle de quelques dizaines de mégawatts et les générateurs de vapeur. Tel qu’il a pu être estimé a posteriori, le niveau du fluide primaire est alors voisin du sommet du cœur.

Le réacteur n’est plus refroidi que par le fluide provenant du système de contrôle chimique et volumétrique. Mais cet apport est insuffisant pour compenser la perte de fluide primaire par la vanne de décharge du pressuriseur. Le niveau du fluide primaire baisse donc dans la cuve du réacteur.

Des informations sur l’état des crayons combustibles et du cœur du réacteur ainsi que sur un certain nombre de phénomènes qui se sont produits dans ce cœur, déterminées par la reconstitution de l’accident faite a posteriori grâce aux calculs et aux observations réalisées bien plus tard, sont indiquées ci-après en vert en regard du déroulement des événements877.

Il a pu être estimé que, 1 h 52 après le début de l’accident (moment auquel le niveau de l’eau dans le cœur a atteint le sommet des crayons combustibles du cœur), commence le dénoyage des crayons qui, insuffisamment refroidis, vont s’échauffer.

Il a aussi été estimé qu’entre 2 h 10 et 2 h 20 après le début de l’accident, les températures des parties supérieures des crayons combustibles ont atteint 800 °C, provoquant le ballonnement et la rupture de leurs gaines en Zircaloy ainsi que le relâchement de produits de fission gazeux dans l’enceinte de confinement par la brèche du circuit primaire.

2 h 14 après le début de l’accident, l’alarme de radioactivité élevée dans l’enceinte de confinement se déclenche. Les opérateurs ne peuvent plus ignorer que la situation est sérieuse.

2 h 22 après le début de l’accident, réalisant qu’il pourrait bien y avoir rejet de radioactivité par la vanne de décharge du pressuriseur dont le taux de fuite était déjà important avant l’accident, les opérateurs ferment une vanne d’isolement placée en amont de la vanne de décharge, ce qui élimine la brèche du circuit primaire.

Mais cette action interrompt également toute évacuation d’énergie (le circuit primaire et le circuit d’injection de sécurité sont à l’arrêt). Jusqu’à 2 h 54 après le début de l’accident, aucun moyen en dehors du circuit de contrôle chimique et volumétrique ne sera mis en œuvre pour refroidir le cœur.

Sous l’effet de la réaction exothermique d’oxydation des gaines en Zircaloy par la vapeur d’eau, qui dégage une puissance supérieure à la puissance résiduelle du cœur et qui produit de l’hydrogène, le cœur a continué de s’échauffer. Cette production d’hydrogène et la production supplémentaire de vapeur d’eau due à l’échauffement du cœur ont provoqué une augmentation de la pression dans le circuit primaire, ce dernier étant désormais étanche après la fermeture de la vanne d’isolement du circuit de décharge du pressuriseur.

Le niveau de l’eau dans le cœur a continué à baisser jusqu’à ne plus recouvrir qu’un mètre sur les 3,6 mètres de hauteur des crayons combustibles. Avec l’abaissement progressif du niveau de l’eau, la propagation de la réaction d’oxydation des gaines aux parties découvertes, le cœur a continué à s’échauffer et à se dégrader, entraînant la fusion et les premières coulées de matériaux métalliques. Lorsque ces matériaux fondus ont atteint l’interface fluide-vapeur, ils se sont solidifiés au contact du fluide, cela conduisant à la formation d’une croûte qui a pu collecter des matériaux fondus et des fragments solides provenant des parties supérieures. Ces matériaux collectés dans la croûte étant mal refroidis, ils se sont échauffés progressivement jusqu’à fondre au centre pour former un bain de matériaux fondus.

2 h 54 après le début de l’accident, les opérateurs remettent en service la pompe primaire d’une des boucles de refroidissement pour essayer de rétablir une circulation de fluide primaire. 28 m3 d’eau froide sont alors injectés dans la cuve en six minutes – c’est l’apport de réfrigérant le plus important depuis l’arrêt des pompes primaires.

Il en a résulté une rapide augmentation de la pression du circuit primaire, liée à la vaporisation de l’eau au contact des éléments surchauffés du cœur, à l’oxydation rapide du Zircaloy métallique non encore oxydé restant dans la moitié supérieure du cœur et probablement à la dégradation des échanges thermiques dans les générateurs de vapeur du fait de l’hydrogène produit par l’oxydation du Zircaloy. Cet envoi d’eau a probablement arrêté le développement du bain de matériaux fondus au-dessus de la croûte. Cependant, les contraintes thermomécaniques résultant de la trempe par le fluide primaire froid des restes de crayons oxydés dans la partie supérieure du cœur ont conduit à la fragmentation des gaines oxydées et des pastilles de combustible qui ont alors formé un amas de plusieurs tonnes de débris compacts au-dessus des matériaux déjà contenus dans la croûte.

La pompe primaire est arrêtée par les opérateurs six minutes après son démarrage du fait de l’augmentation brutale de la pression dans le circuit primaire. Cette augmentation de pression conduit également les opérateurs à rouvrir la vanne d’isolement du circuit de décharge du pressuriseur. Cette ouverture entraîne le déclenchement de nouvelles alarmes de radioactivité, dont certaines hors du bâtiment du réacteur. À ce moment-là, les deux premières barrières de confinement sont « rompues » et l’isolement du bâtiment du réacteur (enceinte de confinement) n’est toujours pas effectué.

L’eau qui se déverse dans ce bâtiment est en effet reprise par des pompes à démarrage automatique qui renvoient l’eau contaminée recueillie dans les puisards vers des réservoirs d’entreposage situés dans un bâtiment auxiliaire non étanche (voir la figure 32.2). Ces réservoirs vont eux-mêmes déborder et du liquide contaminé va se répandre dans le bâtiment auxiliaire, conduisant à des rejets à l’extérieur de la centrale.

Figure 32.2. Voies de rejet de produits radioactifs. Georges Goué/IRSN.

La situation d’urgence est alors enfin déclarée. L’enceinte de confinement est isolée, ce qui interrompt le transfert de radioactivité des puisards vers le bâtiment auxiliaire. Il y a 3 h 20 que l’accident a commencé.

La quantité d’eau dans la cuve du réacteur a décru pendant les 20 minutes qui ont suivi l’arrêt de la pompe primaire, par ébullition et vaporisation de l’eau sous l’effet de la puissance résiduelle.

Les opérateurs remettent alors en route le système d’injection de sécurité à haute pression pendant 17 minutes, d’abord à faible débit, puis au débit nominal.

La cuve a été remplie d’eau sept minutes après le démarrage de ce système. Cependant, il a pu être estimé a posteriori que la remise en service de l’injection de sécurité était intervenue alors que la taille du bain de matériaux fondus était déjà trop grande pour permettre son refroidissement.

3 h 44 après le début de l’accident, alors que les opérateurs sont fortement occupés par le refroidissement du cœur du réacteur – qu’ils ne supposent pas fortement endommagé –, un certain nombre de mesures suggèrent que des mouvements de combustible se produisent dans le cœur. Ce n’est que bien plus tard, après examen du plénum inférieur de la cuve, que l’on reconstituera les événements qui se sont produits : en fait, la croûte a fini par se rompre sur le côté et 20 tonnes de matériaux fondus se sont écoulées jusqu’au fond de la cuve, détruisant au passage les structures internes situées en périphérie du cœur.

L’eau présente dans la cuve du réacteur a finalement permis de solidifier et de refroidir en quelques heures les matériaux fondus. Le fond de la cuve du réacteur a résisté, malgré la coulée de matériaux fondus ; une explication avancée est l’existence d’un jeu entre les matériaux fondus et la paroi de la cuve, qui aurait permis une circulation d’eau ou de vapeur et une réduction des transferts de chaleur vers la cuve.

Il faudra les 12 heures suivantes pour évacuer du circuit primaire l’essentiel de l’hydrogène et des gaz de fission incondensables qui empêchent son remplissage. Cela est réalisé par des ouvertures et refermetures alternées de la ligne de décharge du pressuriseur, et par la mise en service des pompes primaires et de l’injection de sécurité. De l’hydrogène et des produits radioactifs sont alors rejetés dans l’enceinte de confinement.

9 h 30 environ après le début de l’accident, une combustion d’hydrogène (la quantité d’hydrogène ayant brûlé a été estimée à 320 kg) provoque un pic de pression de 2 bars environ dans le bâtiment du réacteur. L’enceinte de confinement étant dimensionnée pour résister à une pression de 5 bars, il n’en résulte aucun dommage quant à son étanchéité, mais lorsqu’on y entrera quelques mois plus tard, il sera constaté que certaines parties des structures internes du bâtiment ont été endommagées par le feu et la pression.

11 h 08 après le début de l’accident, la vanne d’isolement du circuit de décharge du pressuriseur est définitivement refermée, mettant fin à l’envoi de produits radioactifs dans l’espace libre de l’enceinte de confinement.

13 h 23 après le début de l’accident, l’injection de sécurité est redémarrée pour remplir le circuit primaire.

15 h après le début de l’accident, la quantité d’eau dans le circuit primaire est suffisante pour que la circulation de fluide primaire puisse reprendre. Un refroidissement normal et stabilisé est ainsi obtenu environ 16 heures après le début de l’accident. 24 heures après le début de l’accident, les pompes primaires sont de nouveau arrêtées, le débit de circulation naturelle entre la cuve du réacteur et les générateurs de vapeur étant devenu suffisant pour évacuer la puissance résiduelle du cœur.

Il faudra cependant plusieurs jours encore pour éliminer l’hypothèse de la possibilité d’une explosion d’hydrogène dans la cuve du réacteur, ce qui sera l’une des préoccupations pour les équipes de crise et les autorités (voir l’ouvrage M. Llory référencé au début du présent chapitre).

32.2.Les conséquences de l’accident

Les dégâts internes à la centrale ont été considérables. On ne le constatera toutefois qu’en 1985, plus de cinq ans après l’accident, quand il sera possible de faire passer une caméra entre les structures internes inférieures du cœur et la cuve : près de la moitié du combustible a fondu, entraînant avec lui des matériaux des gaines et des structures, 62 tonnes au total, formant ce qu’on appelle un « corium » ; une partie a atteint le fond de la cuve sans heureusement la traverser (figure 32.3) ; près de la moitié des produits de fission gazeux et volatils (krypton, xénon, iode et césium) sont passés dans le fluide primaire dont la radioactivité a atteint près de 3.1016 Bq par m3 et plus de 2 000 m3 de cette eau radioactive se sont répandus dans l’enceinte de confinement par la brèche du circuit primaire.

Figure 32.3. État final du cœur du réacteur TMI 2. Georges Goué/IRSN.

Malgré la fusion partielle du cœur du réacteur et l’importante radioactivité qui en a résulté dans l’enceinte de confinement, les conséquences radiologiques immédiates ont été minimes. Le bâtiment du réacteur a en effet rempli son rôle de confinement presque parfaitement. Les faibles rejets dans l’environnement ont été causés, en l’absence d’isolement de l’enceinte de confinement, par le transfert dans un bâtiment auxiliaire non étanche de liquide contaminé recueilli dans les puisards de l’enceinte.

Sur la base des mesures de radioactivité effectuées sur le site lors de l’accident, il a été estimé que, bien que le bâtiment auxiliaire en question n’ait pas été conçu pour être étanche comme l’enceinte de confinement, 0,01 % seulement de l’inventaire en produits de fission a été transféré du cœur à l’environnement. Concernant l’iode – dont l’isotope 131 peut produire les conséquences les plus importantes dans l’environnement à court terme –, il a été déterminé que le relâchement total d’iode dans l’environnement n’a pas excédé 10–5 pourcent de l’inventaire présent dans le cœur du réacteur (37.1010 Bq d’iode 131 ont été relâchés dans les 16 heures qui ont suivi le début de l’accident et environ 259.1010 Bq ont été relâchés pendant les 30 jours suivants). Les activités rejetées des autres produits radioactifs ont été estimées à environ 18,5.109 Bq pour le césium 137 et 3,7.109 Bq pour le strontium 90.

De nombreuses études ont montré que l’accident n’a pas eu de conséquences sanitaires décelables pour les personnes du public ou pour le personnel de la centrale et n’a pas eu d’impact significatif sur l’environnement. Cependant, l’accident de Three Mile Island a terrorisé les populations. Pendant toute une semaine, les autorités en charge de la protection des personnes se sont demandé quel était le degré de gravité de l’accident et s’il fallait procéder à une évacuation partielle ou totale des habitants du voisinage. Elles ont craint en particulier que la bulle d’hydrogène formée dans la partie supérieure de la cuve du réacteur puisse exploser (à tort, puisque, en l’absence d’oxygène, il ne peut pas y avoir d’explosion), entraîner une rupture catastrophique du confinement et des transferts importants de produits radioactifs dans l’environnement.

Les informations contradictoires distillées par les autorités au cours de la crise n’ont rien fait pour rassurer les populations et plus de 200 000 personnes ont fui la région dans les jours qui ont suivi le début de l’accident.

Le personnel de conduite de la centrale a, au cours de l’accident, reçu des doses un peu supérieures au millisievert, et a dû porter un masque de protection pendant quelques heures. Trois agents ont reçu dans les jours suivants des doses comprises entre 30 et 40 mSv au cours d’opérations concertées de prises d’échantillons d’eau primaire.

La dose collective reçue par les travailleurs de la centrale, entre le début de l’accident et la fin des opérations de déchargement du combustible en 1989, est estimée à 60 hommes.Sieverts.

Il n’y a eu ni blessé, ni décès.

32.3.Analyse des causes de l’accident

Les informations nécessaires à l’analyse des causes et des conséquences de l’accident ont été très largement diffusées. Toutes les parties intéressées ont pu faire leurs propres évaluations, tant aux États-Unis que dans les autres pays. De nombreuses réunions et des échanges de documents ont permis de mettre en évidence une bonne convergence des points de vue.

Pourtant, l’ampleur des dégâts dans le cœur du réacteur a été collectivement sous-évaluée jusqu’à l’ouverture de la cuve et l’observation de l’état dégradé du cœur du réacteur.

L’erreur de représentation commise par les opérateurs qui n’ont pas compris l’origine des difficultés rencontrées et sont demeurés longtemps dans une représentation erronée du déroulement des événements – d’où un certain nombre d’actions inadaptées – fut mise en exergue. Toutefois, se limiter à un tel constat serait insuffisant. En fait, les opérateurs ont appliqué les consignes en vigueur, mais sur la base d’informations qui étaient erronées ou incomplètes. Il faut donc analyser plus complètement pourquoi les opérateurs n’ont pas compris le déroulement de l’accident.

32.3.1.Erreur de diagnostic de la position de la vanne de décharge

Les opérateurs ont très rapidement regardé l’indication en salle de commande de la position de la vanne de décharge du pressuriseur et ont vu l’indication « vanne fermée » ; mais cette information était fausse, puisqu’il s’agissait en fait de l’indication d’un ordre de fermeture et non de la position réelle de la vanne. C’est là un des points cruciaux pour le déroulement de l’accident. La vanne n’était pas équipée d’un dispositif indiquant sa position réelle car il est bien plus facile d’obtenir un signal en salle de commande à partir de l’ordre électrique de fermeture élaboré à proximité de celle-ci que de doter cette vanne peu accessible de palpeurs de position très difficiles à régler et à entretenir. Rien n’avait signalé aux opérateurs cette différence, pourtant essentielle.

Les opérateurs disposaient cependant de plusieurs autres moyens de déterminer si la vanne de décharge était en position ouverte ou en position fermée, à savoir une mesure de la température de la ligne de décharge en aval de la vanne et une mesure du niveau d’eau dans le réservoir de décharge.

Les opérateurs ont relevé les indications de température de la ligne de décharge. Elle était anormalement élevée mais ils n’en ont pas tenu compte car ils savaient que, depuis un certain temps, la vanne présentait une fuite d’un débit assez important. Cette ligne était donc déjà à une température anormalement élevée lors du fonctionnement normal du réacteur. L’état initial dégradé de l’installation a privé les opérateurs d’un moyen pour diagnostiquer la défaillance de la vanne de décharge.

La mesure du niveau d’eau dans le réservoir de décharge n’était pas reportée en salle de commande mais dans un local mitoyen. Il semble que cette mesure n’ait pas été regardée du fait qu’aucune procédure de conduite ne le demandait.

32.3.2.Compréhension du comportement du pressuriseur

Il a été indiqué plus haut que les opérateurs s’étaient inquiétés de la montée et du maintien à un niveau très élevé de l’interface liquide-vapeur dans le pressuriseur, alors que la pression dans le circuit primaire baissait.

Il faut rappeler ici que, dans tous les cas de brèche du circuit primaire, sauf un, il y a simultanément une baisse de la pression dans ce circuit et une baisse du niveau d’eau dans le pressuriseur. Dans une telle situation, la bulle de vapeur située dans la partie haute du pressuriseur pousse en effet l’eau vers la brèche.

Le cas particulier, c’est celui où une brèche apparaît au niveau de la bulle de vapeur ou au-dessus d’elle. Dans ce cas, le débit de vapeur sortant par la brèche entraîne une montée au moins apparente du niveau d’eau dans le pressuriseur, alors que la pression dans le circuit primaire baisse.

C’est ce qui s’est passé lors de l’accident, mais ce cas particulier n’avait pas été enseigné aux opérateurs. Les procédures de conduite accidentelles ne le prévoyaient pas. L’équipe de conduite ne pouvait donc s’appuyer, ni sur sa formation, ni sur un document lui apportant une démarche méthodique pour identifier et gérer la situation. Elle était seule et en territoire inconnu.

Pourtant, mais cela n’a vraiment été réalisé qu’après l’accident, un blocage en position ouverte de la vanne de décharge du pressuriseur, fréquemment sollicitée, n’était pas exceptionnel sur ce type de réacteur.

Dix-huit mois plus tôt, le même scénario (vanne de décharge du pressuriseur restée bloquée ouverte) avait commencé sur un réacteur américain identique, celui de Davis-Besse. Les opérateurs avaient commis la même erreur d’analyse qu’à Three Mile Island (arrêt du refroidissement) et n’avaient identifié le blocage de la vanne qu’au bout de 20 minutes. Toutefois, la faible puissance résiduelle du combustible avait dans ce cas permis d’éviter qu’il n’y ait de conséquence pour le combustible. Selon l’équation implicite « pas de conséquence égale pas d’importance », personne, exploitant ou analyste, n’en avait parlé. Aucune formation, aucune procédure n’avait été complétée.

Ce précurseur d’accident grave n’avait pas été reconnu comme tel, ce qui souligne des échecs dans l’animation du processus de retour d’expérience événementiel. De plus, un autre précurseur878 avait eu lieu cette fois en Suisse à la centrale nucléaire de Beznau le 20 août 1974. Lors d’une séquence similaire à celle qui amena l’accident de TMI, une vanne de décharge (pressure-operated relief valve) ne s’est pas refermée, ce qui a provoqué la dépressurisation du réacteur. Mais les opérateurs ont identifié la situation dans un intervalle de temps très court (2 à 3 minutes) et ils ont fermé la vanne d’isolement placée en série sur la tuyauterie portant la vanne de décharge, interrompant immédiatement la dépressurisation. Les investigations n’indiquent pas ce qui a amené les opérateurs à comprendre dans un temps si court que la vanne de décharge était ouverte. Il s’agissait d’un réacteur de conception Westinghouse et l’événement a été analysé par une équipe du concepteur à Bruxelles. Cependant les enseignements de l’analyse n’ont pas été communiqués à l’autorité de sûreté américaine ni au concepteur concurrent Babcock & Wilcox.

Enfin, il convient de noter que des risques et des éléments de la séquence de l’accident de TMI avaient été envisagés dans des notes d’études et signalés dans des courriers (dont trois lettres de l’association Vinçotte en 1971), mais les suites données à ces études ont été insuffisantes.

32.3.3.Arrêt de l’injection de sécurité

Voyant monter l’indication du niveau d’eau dans le pressuriseur et croyant la vanne de décharge fermée, les opérateurs ont arrêté manuellement l’injection de sécurité. La représentation mentale de la situation qu’ils avaient était fausse et ils manquaient d’informations directes sur l’état du cœur du réacteur et du circuit primaire. L’arrêt de l’injection de sécurité n’était pas une action exceptionnelle – la mise en service automatique du système d’injection de sécurité dans des conditions où il n’est pas nécessaire n’était pas rare sur les réacteurs à eau construits par Babcock & Wilcox. Mais l’arrêt de ce système de sauvegarde ne doit être décidé qu’après des contrôles méthodiques effectués sur la base de procédures définies permettant de diagnostiquer l’état du circuit primaire ; de telles procédures n’existaient pas.

Les opérateurs ont également empêché l’action des accumulateurs du système d’injection de sécurité qui auraient dû se décharger d’eux-mêmes lors du passage de la pression dans le circuit primaire au-dessous de 45 bars. C’est là une preuve supplémentaire de leur incompréhension des phénomènes en cours.

32.3.4.Interface homme-machine

Quelques indications ont été données plus haut sur les informations disponibles en salle de commande et les défauts associés. En fait, d’autres problèmes sont survenus. Des indicateurs de la température dans le cœur du réacteur, dont la gamme de mesure n’était pas suffisamment large, sont « partis en butée » ; les opérateurs les ont crus en panne. Le calculateur de conduite, saturé d’informations, s’est bloqué et n’a plus fonctionné pendant deux heures.

Avant l’accident, le réacteur était en fonctionnement à sa puissance nominale. L’arrêt d’urgence et les difficultés rencontrées du côté du circuit secondaire (défaillance de l’alimentation de secours des générateurs de vapeur) ont provoqué un changement d’état de nombreux systèmes et paramètres qui tous donnaient une alarme. La salle de commande elle-même a été décrite comme un panneau de fête foraine : beaucoup d’alarmes se sont allumées ou ont clignoté ; différents signaux sonores de préalarme, d’alarme ou d’alerte ont également fonctionné. Il n’y avait aucune hiérarchisation de ces alarmes permettant de distinguer les initiateurs de leurs conséquences normales.

Ces multiples défauts de conception de l’interface homme-machine ont contribué à déstabiliser les opérateurs et ne leur ont pas permis de conduire une analyse correcte de la situation.

32.3.5.Isolement de l’enceinte de confinement

Dans la conception de l’installation de Three Mile Island, le démarrage de l’injection de sécurité ne provoquait pas automatiquement l’isolement de l’enceinte de confinement, c’est-à-dire la fermeture des vannes de toutes les tuyauteries entrant ou sortant du bâtiment du réacteur et non indispensables pour la sauvegarde du cœur du réacteur. L’isolement de l’enceinte de confinement vise à bloquer les échanges entre l’intérieur et l’extérieur de celle-ci, pour limiter les transferts éventuels de radioactivité.

Les pompes des puisards ont donc pu, pendant plusieurs heures, transférer dans un bâtiment auxiliaire de l’eau de plus en plus chargée en substances radioactives.

Il a fallu que ces transferts provoquent des alarmes de radioactivité dans le bâtiment pour que l’ordre d’isolement soit donné manuellement, donc avec retard.

Il s’agit là d’une erreur de conception.

32.3.6.Confinement dans le bâtiment auxiliaire

L’eau provenant des puisards est arrivée dans le bâtiment auxiliaire mais les tuyauteries utilisées et les réservoirs de stockage n’étaient pas tous étanches ; de l’eau contaminée chaude s’est alors échappée dans ce bâtiment et s’y est vaporisée, relâchant l’iode et le xénon qu’elle contenait.

Ces gaz et vapeurs ont été aspirés par la ventilation générale du bâtiment et rejetés à l’extérieur au travers de filtres à iode dont l’efficacité a été insuffisante. Il a en effet été constaté a posteriori que les filtres n’avaient pas fait l’objet de contrôles appropriés de leur efficacité.

Si les circuits avaient été étanches et les filtres à iode mieux surveillés, de tels rejets n’auraient pas eu lieu. L’installation était, là aussi, dans un état dégradé.

32.3.7.L’alimentation de secours des générateurs de vapeur

On peut rappeler pour mémoire cet autre état dégradé de l’installation qu’a constitué la mauvaise position de deux vannes essentielles du circuit d’alimentation de secours des générateurs de vapeur. C’est ici la qualité des opérations de maintenance qui est en cause.

32.4.Les enseignements tirés de l’accident de Three Mile Island

Les enseignements tirés de l’accident de Three Mile Island pour la sûreté des réacteurs nucléaires ont été nombreux. En France, dès le mois d’août 1979 et sur la base d’analyses effectuées par l’IPSN, des demandes furent adressées par le Service central des installations nucléaires à Électricité de France en vue d’améliorer la sûreté des réacteurs du parc électronucléaire.

Même si les accidents de fusion du cœur des réacteurs à eau avaient déjà fait l’objet d’études scientifiques approfondies aux États-Unis (rapports WASH cités plus haut), il a fallu attendre l’accident de Three Mile Island pour que les concepteurs et les exploitants d’installations nucléaires prennent pleinement conscience que de tels accidents sont possibles.

En effet, même si l’accident de Three Mile Island n’a pas remis en cause la conception globale des installations nucléaires879, il a clairement montré que des accidents plus graves que ceux qui étaient considérés jusqu’alors pour le dimensionnement des installations (jusqu’à l’accident de perte de réfrigérant primaire résultant d’une rupture instantanée et doublement débattue d’une tuyauterie du circuit primaire) sont possibles et qu’ils peuvent résulter d’une succession de défaillances techniques et d’actions inadaptées.

L’accident de Three Mile Island a suscité un ensemble de questions nouvelles, telles que :

–comment éviter que, au cours d’un accident, des actions de conduite inappropriées aboutissent à en aggraver les conséquences jusqu’à la fusion du cœur ?

–comment utiliser au mieux l’enceinte de confinement, dernière « barrière » opposée à la dissémination des substances radioactives dans l’environnement ?

–comment identifier, parmi les incidents réels, ceux qui pourraient être des précurseurs d’un accident de fusion du cœur et prendre à temps les mesures de prévention nécessaires ?

–comment se préparer à faire face à un accident de fusion du cœur, question qui concerne à la fois les exploitants des centrales nucléaires et les pouvoirs publics ?

Les réflexions ont notamment porté sur la place de l’homme dans la conduite des installations, l’expérience tirée de l’exploitation des centrales nucléaires et la gestion des situations d’urgence.

32.4.1.La place de l’homme dans la conduite des installations

La reconnaissance du rôle de l’homme a conduit à des évolutions non seulement en matière d’organisation, de partage des responsabilités et de reconnaissance des apports de chacun, mais aussi d’ordre technique.

a.Il faut améliorer les conditions d’exploitation

Cela suppose une sélection, une formation initiale et des recyclages plus précis des opérateurs, avec l’utilisation systématique de simulateurs pour la formation ; des simulateurs de conduite de salle de commande « pleine échelle » seront progressivement installés dans les centrales nucléaires. À cet égard, la standardisation du parc électronucléaire français permet à Électricité de France de disposer plus aisément de simulateurs directement représentatifs des différents types de réacteurs. La formation doit couvrir non seulement le fonctionnement normal mais aussi les incidents et les accidents – les opérateurs sont ainsi mis « en situation ».

L’inadéquation des procédures disponibles à la centrale de Three Mile Island a été flagrante lors de l’accident. Dans la plupart des pays, et en particulier en France, les procédures et les consignes ont été réétudiées et réécrites. Cette révision a concerné aussi bien la forme des documents (avec une vérification de l’« ergonomie » des procédures) que leur fond.

Ainsi, une nouvelle approche de la conduite accidentelle des installations a été mise en place pour :

–assurer, notamment en cas d’accident, une « redondance humaine » des opérateurs ; cette mission est confiée à un ingénieur sûreté-radioprotection (ISR), qui deviendra ingénieur de sûreté (IS) ;

–couvrir au mieux les cas d’occurrence simultanée de plusieurs événements a priori indépendants.

L’ISR constituera une particularité française ; ce fut Jean Bourgeois qui en proposa l’idée. L’ISR n’a pas à intervenir directement en fonctionnement normal ou en cas d’accident « classique », mais, par la surveillance qu’il exerce à partir du « panneau de sûreté » dont on reparlera au paragraphe b, il apporte une « redondance fonctionnelle » en situation perturbée. Les modifications des équipes de conduite introduites à partir de 1993 conserveront une répartition des rôles sensiblement équivalente dans le domaine de la sûreté ; par contre, l’ingénieur de sûreté ne sera plus chargé de la radioprotection et il ne fera plus partie des équipes de quart, cela dans le but d’accroître son indépendance de jugement sur l’état de l’installation.

Des situations d’occurrence simultanée de plusieurs événements ont en fait été étudiées en France dès 1976, en tirant profit notamment du rapport WASH-1400. Ces situations constituent un « domaine complémentaire »880 d’étude ; elles traitent des cas de défaillances multiples, notamment la perte de systèmes redondants. Ces études conduiront, après l’accident de Three Mile Island, à la mise en place, dans l’ensemble des centrales du parc électronucléaire, alors constitué de réacteurs de 900 MWe, de dispositions matérielles et de procédures de conduite dites H (pour « hors dimensionnement »), visant à améliorer la prévention de la fusion du cœur (voir le paragraphe 13.2).

Par la suite, à partir de 1981, le principe a été retenu de mettre en place des procédures U (pour « ultime ») ayant pour objectif de prévenir une dégradation du cœur (U1) ou, dans le cas contraire, de limiter autant que possible les relâchements de substances radioactives à l’extérieur de l’enceinte de confinement (U2 à U5). Ces procédures U visent à couvrir la totalité des situations indépendamment des causes, cela contrairement aux procédures H ; elles sont précisées au paragraphe 17.8.

Un certain nombre de procédures (celles dites H) ont été testées sur simulateur.

b.Il faut améliorer les salles de commande

Les constatations faites à la suite de l’accident de Three Mile Island pour ce qui concerne les insuffisances en termes d’indications et de hiérarchisation des alarmes dans la salle de commande ont amené Électricité de France à réaliser des modifications des salles de commande des installations, y compris celles qui étaient déjà en exploitation. Une meilleure présentation des informations a été recherchée – avec l’appui d’experts, ergonomes et psychologues de formation –, en remplaçant la majorité des indications d’ordre donné par des indications de position des organes. Certaines gammes de mesure ont été élargies. Des indications nouvelles ont été ajoutées pour fournir des informations plus complètes sur l’état du cœur (ce qui avait manqué lors de l’accident de Three Mile Island), comme l’indication de la marge de sous-saturation dans le cœur (écart entre la température effective du fluide primaire et sa température d’ébullition à la pression du circuit primaire) et la mesure du niveau d’eau dans la cuve. De plus, les alarmes ont été hiérarchisées et les informations essentielles doublées sur un « panneau de sûreté », installé dans le prolongement du pupitre principal des salles de commande.

Le panneau de sûreté est composé de trois ensembles :

–des « voyants d’état », qui indiquent l’état des systèmes de sûreté ou de sauvegarde résultant des ordres qu’ils ont reçus : arrêt automatique du réacteur, injection de sécurité, aspersion d’eau dans l’enceinte de confinement, isolement de l’enceinte, etc. ;

–l’« ébulliomètre », qui indique, à partir de la pression dans le circuit primaire et d’un certain nombre de températures mesurées dans la cuve, la marge de sous-saturation dans le cœur ; la marge de sous-saturation, souvent appelée Delta Tsat (ΔTsat), et la température maximale mesurée de l’eau du circuit primaire au niveau du haut des assemblages combustibles en cuve sont affichées au panneau de sûreté ;

–un équipement informatique aux fonctions multiples qui acquiert, traite et présente des informations qui constituent une aide au diagnostic et à la conduite.

Le système KPS (ou kit KPS) regroupera, sous une forme synthétique et élaborée, les différentes informations dont les opérateurs disposent par ailleurs, en salle de commande ; il comprendra en particulier l’ébulliomètre.

Deux écrans et une platine de dialogue sont à la disposition des opérateurs, au pupitre de commande. De plus, un écran et une platine, situés à l’écart de la zone de conduite mais en salle de commande, permettent à l’ingénieur de sûreté (ISR) de suivre l’évolution de l’état de l’installation sans interférer avec l’équipe normale de conduite881.

Ces dispositions ont été déployées dans l’ensemble des réacteurs alors en exploitation (réacteurs de 900 MWe), puis reprises – à quelques variantes près – dans la conception des réacteurs des paliers suivants jusques et y compris le réacteur EPR.

D’autres leçons de l’accident de Three Mile Island ont conduit à des études détaillées et à la mise en application de modifications des installations. En effet :

c.Sans être mise en cause fondamentalement, la conception
des centrales peut être améliorée dans plusieurs domaines

–celui du confinement assuré par les bâtiments auxiliaires et les matériels annexes ;

–celui de la gestion de grandes quantités d’eau et de gaz fortement contaminés, après un accident ;

–celui de la qualité et de la fiabilité de la robinetterie ; il convient de noter ici que, si les soupapes de sûreté sont toujours conçues pour s’ouvrir, il n’y a guère que pour les installations nucléaires qu’il est aussi exigé qu’elles se referment et restent étanches ;

–celui de la qualification des matériels aux conditions accidentelles.

d.L’évaluation de la sûreté ne doit pas être limitée aux études
des conditions de fonctionnement conventionnelles

Les études menées en France après 1976 sur les situations avec défaillances multiples ont été rappelées plus haut. C’est toutefois l’accident de Three Mile Island qui a conduit à la décision de mettre en place, dans l’ensemble du parc électronucléaire alors constitué de réacteurs de 900 MWe, les procédures de conduite H et les dispositions matérielles associées.

32.4.2.L’importance des événements précurseurs

Un autre enseignement important de l’accident de Three Mile Island concerne l’utilisation du retour d’expérience apporté par le fonctionnement des centrales nucléaires.

Comme cela a été mentionné plus haut, un incident précurseur très semblable à l’accident de Three Mile Island avait affecté en 1977 un réacteur américain du même type (Davis-Besse), mais sans dommage pour le réacteur ; les opérateurs avaient commis la même erreur d’analyse qu’à Three Mile Island. Les enseignements apportés par cet incident n’avaient pas été traduits en instructions aux opérateurs avant l’accident de Three Mile Island. Il en est de même pour l’événement qui était survenu en 1974 à la centrale nucléaire de Beznau en Suisse, qui avait été « récupéré » par les opérateurs. Mais ni le concepteur Babcock & Wilcox ni l’autorité de sûreté américaine n’en avaient été informés.

Ces deux exemples illustrent le fait que l’étude systématique des incidents significatifs et les modifications de procédures et d’instructions aux opérateurs qui peuvent être préconisées en conclusion d’une telle étude, pour empêcher que les mêmes incidents ne se reproduisent, peuvent effectivement éviter des accidents plus graves.

Depuis l’accident de Three Mile Island et les analyses qui ont suivi, la détection des événements précurseurs susceptibles de conduire à un accident est devenue une préoccupation importante des exploitants et des organismes de sûreté. L’organisation du suivi d’exploitation et du retour d’expérience s’est donc développée avec ce nouvel objectif ; l’enjeu de l’organisation du retour d’expérience dans une perspective internationale est apparu essentiel.

32.4.3.L’étude des situations complexes et de fusion du cœur, le traitement des situations d’urgence

L’accident de Three Mile Island a aussi montré que les opérateurs, les responsables de la centrale et les autorités en charge de la protection des populations n’étaient pas suffisamment préparés à traiter un accident de fusion du cœur. Les responsables de la centrale et les autorités, tant locales que fédérales, ne savaient pas comment les choses pouvaient évoluer et s’il fallait évacuer des populations. Pendant presque une semaine, les autorités ont cru à la possibilité d’une explosion d’hydrogène pouvant endommager la cuve du réacteur et l’enceinte de confinement avec un relâchement important de produits radioactifs dans l’environnement. Cette éventualité aurait en fait pu être rapidement écartée car les faibles teneurs d’oxygène dans le cœur ne permettaient pas une telle explosion. Dans le doute, des populations ont quitté leurs lieux d’habitation dans une zone très large autour de la centrale, bien que les autorités n’aient jamais appelé à une telle évacuation.

Il est apparu indispensable de développer les moyens nécessaires pour traiter de telles situations de manière moins improvisée pour le cas où une nouvelle situation de ce type se produirait, en :

–améliorant la confiance que l’on peut avoir dans le comportement de l’enceinte de confinement, même dans des conditions très éloignées de celles qui ont été retenues à sa conception,

–disposant d’outils de prévision des évolutions possibles de la situation, des rejets correspondants et de leurs transferts dans l’environnement dans les conditions de l’accident.

De façon plus générale, l’accident de la centrale nucléaire de Three Mile Island a motivé tout un ensemble de réflexions, d’études et de recherches d’une part sur les situations plus complexes que celles du domaine de dimensionnement de base, c’est-à-dire pouvant résulter de défaillances multiples, d’autre part sur les situations avec fusion du cœur, désignées par le vocable d’« accidents graves ».

Les situations complexes constitueront un « domaine complémentaire » d’événements, dont l’étude conduira à la définition et à la mise en place de dispositions techniques ou organisationnelles visant à les maîtriser et à éviter qu’elles ne s’aggravent en fusion du cœur ; ce domaine complémentaire et son histoire font l’objet du chapitre 13 du présent ouvrage.

Les situations avec fusion du cœur sont largement développées dans le chapitre 17.

L’accident de Three Mile Island résulte en partie d’une mauvaise compréhension de la situation par les opérateurs qui a été induite par des défauts de conception de l’interface homme-machine, par l’insuffisance de procédures adaptées à la situation et par des défauts de formation des personnels. Il est très difficile à une équipe donnée de remettre en cause son interprétation initiale de la situation. En complément de l’ajout d’un avis indépendant avec la mise en place des ingénieurs de sûreté et de radioprotection, il a alors été estimé que la mise en place d’équipes de crise, distinctes des équipes d’exploitation et à même de prendre un peu de recul sur la situation, pourrait apporter d’autres appréciations. De même, la clarification du rôle des différentes entités impliquées et l’organisation de la circulation de l’information en situation d’accident sont apparues nécessaires. Des plans d’urgence ont été développés sur ces bases. La nécessité d’un entraînement régulier (exercices de crise) a été également mise en évidence.

C’est au début des années 1980 que les plans d’urgence spécifiques aux installations nucléaires ont été mis en place en France. Des plans d’urgence internes (PUI) seront développés par les exploitants d’installations nucléaires dans le but de maîtriser autant que possible les accidents qui surviendraient et d’en limiter les conséquences, de porter secours aux blessés sur le site et d’informer les pouvoirs publics.

De leur côté, les pouvoirs publics ont établi des plans particuliers d’intervention (PPI) répondant à l’objectif général de protection des populations en cas d’accident pouvant se produire dans les installations.

Des précisions sont données aux chapitres 17 et 38 sur les plans d’urgence internes et sur les plans particuliers d’intervention, ainsi que de façon plus générale sur la gestion des situations d’urgence.

32.5.Conclusions

L’accident de Three Mile Island a été riche d’enseignements : importance de la défense en profondeur, importance des facteurs humains ainsi que des procédures de conduite et de la hiérarchisation des alarmes pour les opérateurs, rôle essentiel de l’enceinte de confinement en tant que barrière ultime entre les substances radioactives et l’environnement. Tous les réacteurs du monde ont bénéficié des enseignements tirés de cet accident. La prise en compte de ces leçons a permis de faire progresser la sûreté des réacteurs en exploitation.

La conception des nouveaux réacteurs, dits de troisième génération, et en particulier le réacteur EPR, tiendra également compte des enseignements de l’accident de Three Mile Island. En particulier, les accidents avec fusion du cœur feront désormais partie des bases de conception des réacteurs de puissance ; pour le réacteur EPR, outre l’enceinte dimensionnée pour résister aux surpressions induites dans différents scénarios pouvant conduire à une fusion du cœur, un récupérateur de corium situé au fond de l’enceinte a été conçu pour recueillir et refroidir les matériaux fondus qui s’écouleraient en cas de défaillance de la cuve.

874.Il s’agit des études ayant conduit aux rapports WASH : le rapport WASH-740 diffusé en 1957, puis, le plus connu, le rapport WASH-1400, réalisé à la demande de l’autorité de sûreté américaine sous le pilotage du Pr Norman Rasmussen et diffusé en 1975.

875.« Les accidents de fusion du cœur des réacteurs nucléaires de puissance », D. Jacquemain et al., Collection sciences et techniques, IRSN/EDP Sciences, 2013, chapitre 7.

876.« The Need for Change – The Legacy of TMI, Report of the President’s Commission on the Accident at Three-Mile Island », Government Printing Office, Washington DC, Kemeny, J. G., Babbitt, B., Haggerty, P. E., Lewis, C. D., Marrett, C. B., Mc Bride, L., Mc Pherson Jr, H., Peterson, R., Pigford, T. H. et Trunk, A., 1979, ainsi que « Three-Mile Island: a report to the commissioners and to the public », Vol. 1, Nuclear Regulatory Commission, Rogovin, M. and Frampton, G. (1980) et « L’accident de la centrale nucléaire de Three Mile Island » de M. Llory, 1999, Éditions L’Harmattan, Paris.

877.Ils sont issus de l’ouvrage « Les accidents de fusion du cœur des réacteurs nucléaires de puissance », D. Jacquemain et al., Collection sciences et techniques, IRSN/EDP Sciences, 2013, chapitre 7.

878.Pages 229 à 240 de l’ouvrage de M. Llory « L’accident de la centrale nucléaire de Three Mile Island », 1999, Éditions L’Harmattan, Paris.

879.Comme cela a été présenté dans le chapitre 6, les principes de base de la sûreté tels que l’interposition de « barrières » entre les matières radioactives et l’environnement imposaient la mise en place de dispositions à l’égard d’un certain nombre d’accidents, ce qui avait notamment conduit à la conception d’un confinement résistant. Ce confinement a très largement protégé les populations et le personnel de la centrale de Three Mile Island.

880.Complémentaire au domaine des situations « conventionnelles », qui constituent les bases de conception ; voir le chapitre 13.

881.Un troisième ensemble est situé dans le local technique de crise où les ingénieurs qui y sont rassemblés en cas de crise peuvent se forger une opinion sur la situation sans perturber l’équipe de conduite par des demandes d’information. Il ne s’agit là que de l’un des éléments de l’organisation en cas de crise sur laquelle on revient au chapitre 38. Il est à noter que le « panneau de repli », conçu pour pouvoir ramener le réacteur en état d’arrêt chaud puis d’arrêt froid n’est prévu que pour les cas d’évacuation de la salle de commande, sans « superposition » d’un incident ou d’un accident ; il est notamment prévu pour le cas d’incendie dans la salle de commande.

Chapitre 33

La conduite incidentelle et accidentelle : de l’approche événementielle à l’approche par états

Parmi les leçons tirées de l’accident de la centrale nucléaire de Three Mile Island, il a été signalé au chapitre 32 l’effort de réécriture et d’amélioration générale des procédures de conduite incidentelle ou accidentelle des réacteurs du parc électronucléaire français. Il s’est agi d’un effort important, apportant un bénéfice significatif en termes de sûreté. Cet effort n’a pas, pour autant, réglé toutes les difficultés liées aux principes mêmes de l’élaboration des procédures, ce qui est développé dans le présent chapitre.

33.1.Les limites de l’approche événementielle

Par déclinaison de l’approche « événementielle », chaque procédure de conduite incidentelle ou accidentelle (I ou A) était relative à un événement initiateur unique bien identifié lors de la conception des réacteurs.

Par extension, les procédures complémentaires H ont traité des cumuls de défaillances simultanées bien identifiés puisqu’il s’agissait chaque fois de l’ensemble des voies d’un système redondant, et d’elles seules.

L’objectif assigné à ces procédures était d’éviter ou, à tout le moins, limiter les ruptures de gaines de crayons combustibles, source potentielle principale de dissémination de substances radioactives, et de ramener l’installation dans un état stable et durable.

Il est intéressant de comparer l’accident de Three Mile Island aux événements ou combinaisons d’événements initiateurs retenus pour l’élaboration des procédures I, A et H. Dans le cas de Three Mile Island, il s’agit en fait d’un événement initiateur relevant de la troisième catégorie de conditions de fonctionnement (le maintien de l’ouverture d’une vanne de décharge du pressuriseur, ce qui équivaut à une brèche au sommet de cet équipement), de la défaillance totale, mais limitée dans le temps, de l’alimentation en eau des générateurs de vapeur et de la défaillance totale de l’injection de sécurité due à un défaut de compréhension des opérateurs.

La réalité des situations peut, on le voit, être complexe.

De ce fait, les procédures de conduite dites événementielles ne pouvaient pas couvrir toutes les combinaisons possibles d’événements correspondant à des cumuls de défaillances matérielles ou humaines, simultanées ou différées, telles que, par exemple, une erreur de diagnostic initial, une mauvaise application d’une procédure, un cumul d’incidents ou d’accidents, une défaillance totale d’un système de sauvegarde… De plus, la multiplication des séquences ainsi étudiées accroîtrait le nombre des procédures de conduite et rendrait le diagnostic et donc le choix de la bonne procédure pratiquement impossibles – outre le fait qu’il faudrait maintenir les procédures à jour, d’où une complexification du travail documentaire.

L’approche « événementielle » présentait enfin une difficulté d’application pratique, à savoir l’impossibilité de reprendre le diagnostic initial en cas d’évolution de l’installation non conforme aux prévisions de ce diagnostic.

Pour sortir de cette impasse, Électricité de France et Framatome, constructeur des chaudières, ont proposé d’aborder le choix des mesures correctives à appliquer en situation incidentelle ou accidentelle, quelle qu’elle soit, par une voie différente : l’approche par états. Les discussions sur ce sujet avec le Service central de sûreté des installations nucléaires et l’IPSN ont démarré en 1984.

33.2.Le concept de l’approche par états

Le concept de l’approche par états repose sur un constat : si les événements accidentels et leur déroulement peuvent être très variés, les états de réactivité, de refroidissement et de confinement possibles du réacteur peuvent par contre être dénombrés, depuis les conditions normales de fonctionnement jusqu’aux états les plus dégradés.

Il est alors possible de déterminer, pour chacun des états anormaux, une stratégie de conduite et des actions à mener par les opérateurs permettant de ramener l’installation dans une situation plus satisfaisante au plan de la sûreté. L’équipe de conduite peut ainsi, sur la base d’un diagnostic permanent de l’installation, effectuer ces actions sans avoir nécessairement compris l’enchaînement des événements antérieurs.

Pour cela, il a fallu montrer qu’il existe une relation directe entre les états observables et des ensembles d’actions à mener par les opérateurs pour améliorer la situation.

Il a ainsi fallu caractériser les états de réactivité du réacteur et les actions à mener pour chaque état. Un effort équivalent a été effectué pour ce qui concerne la thermohydraulique, afin :

–de déterminer tous les états de refroidissement possibles de la chaudière, leurs domaines de stabilité et les transitions entre états,

–de caractériser ces différents états par des grandeurs physiques mesurables,

–de déterminer, pour chacun de ces états, les actions correctives ou réparatrices à mener par les opérateurs, considérées comme les meilleures, dans le sens qu’elles améliorent la situation pour l’ensemble des événements conduisant à cet état, sans obérer la suite,

–de construire une synthèse des points précédents où ne sont plus distingués que les sous-ensembles d’états nécessitant des actions différentes,

–de déterminer les mesures physiques et les traitements d’informations en salle de commande nécessaires pour effectuer le diagnostic d’état et suivre l’efficacité des actions effectuées.

Au plan thermohydraulique, le fonctionnement de la chaudière a donc été analysé à partir des bilans fondamentaux de masse, d’énergie et d’impulsion de chacun de ses grands éléments. Peuvent alors être caractérisés :

–le cheminement de l’énergie : production dans le combustible – extraction par le fluide primaire – transport dans le circuit primaire – transfert hors du circuit primaire,

–l’accumulation ou la restitution d’énergie dans les circuits primaire et secondaire,

–les variations des masses d’eau primaire et secondaire.

Pour chacune de ces caractéristiques, différentes configurations ont été retenues, couvrant l’ensemble des possibilités physiques, distinguées par les valeurs de paramètres mesurables (pressions, niveaux, températures et leurs dérivées par rapport au temps, taux de vide dans le circuit primaire, radioactivité dans les circuits secondaires des générateurs de vapeur…).

Les combinaisons possibles de ces configurations ont été regroupées et il est apparu que :

–la masse du fluide primaire, la circulation de ce fluide et l’extraction de chaleur par le circuit primaire déterminent le comportement de la chaudière et l’extraction de chaleur du combustible ;

–l’extraction de chaleur hors du circuit primaire est fonction de l’état du circuit secondaire et de la présence éventuelle de gaz incondensables dans le circuit primaire, déterminée par l’écart de température entre l’eau du circuit primaire et celle de l’eau du circuit secondaire, qu’on appelle « pincement primaire-secondaire » ;

–l’état du circuit secondaire dépend lui-même de l’état de chacun des générateurs de vapeur, déterminé à partir des différentes masses de fluide secondaire, pressions de vapeur et niveaux de radioactivité éventuelle du fluide secondaire.

À chaque état global ainsi défini sont associées des actions spécifiques sur les différents systèmes, en fonction de leur disponibilité (injection de sécurité, charge et décharge d’eau dans le circuit primaire, aspersion d’eau dans l’enceinte de confinement et décharge du pressuriseur, alimentation de secours en eau des générateurs de vapeur, décharge de vapeur d’eau par le circuit secondaire, isolement des lignes de vapeur et d’eau du circuit secondaire, etc.). Ces actions sont choisies en vue de stabiliser l’état de l’installation et si possible l’améliorer en progressant vers des états de moins en moins dégradés.

D’un point de vue pratique, les paramètres physiques caractérisant l’état de l’installation ont en définitive été regroupés en six fonctions d’état :

–la sous-criticité du cœur ou le niveau de puissance nucléaire,

–l’inventaire en eau du circuit primaire,

–l’évacuation de la puissance résiduelle hors du circuit du primaire,

–l’intégrité des générateurs de vapeur,

–l’inventaire en eau des générateurs de vapeur,

–l’intégrité de l’enceinte de confinement.

Pour tenir compte de l’état de l’instrumentation en place au début de l’application de l’approche par états – pas de mesure du taux de vide dans le circuit primaire, pas d’indication du niveau d’eau dans la cuve des tranches de 900 MWe –, des regroupements d’états ont été effectués sans remettre en cause la démarche.

33.3.Première application de l’approche par états

La première application de l’approche par états a été la mise au point d’une procédure de conduite qualifiée d’ultime, la procédure U1, en complément des procédures événementielles existantes.

La procédure U1 avait pour but d’assurer les meilleures conditions possibles de refroidissement de la chaudière et de sauvegarde du cœur du réacteur dans des situations où les procédures I, A et H, relatives à des séquences accidentelles bien identifiées, se révélaient inadaptées ou inefficaces. L’objectif était bien entendu d’éviter ou de retarder et limiter l’endommagement du cœur du réacteur et ses conséquences radiologiques, selon la gravité de la situation et les moyens disponibles.

La procédure U1 indiquait, en fonction de l’évolution des températures à la sortie du cœur du réacteur et de la disponibilité des systèmes et matériels, les meilleures actions en termes d’utilisation :

–des générateurs de vapeur,

–de l’injection de sécurité,

–des soupapes de décharge du pressuriseur,

–des pompes primaires,

pour arrêter, retarder ou atténuer les évolutions dangereuses, donnant ainsi du temps pour retrouver la disponibilité de systèmes défaillants.

La décision d’abandonner une procédure événementielle en cours d’utilisation pour la procédure U1 devait être prise, après un arrêt d’urgence, dans les cas suivants (très simplifiés – voir la figure 33.1) :

–température à la sortie du cœur du réacteur supérieure à 350 °C,

–marge par rapport à l’ébullition du fluide primaire (notée ∆Tsat) inférieure à 10 °C avec l’injection de sécurité indisponible,

–aucun générateur de vapeur disponible (c’est-à-dire capable d’évacuer une partie de la puissance résiduelle sans que la vapeur ne soit contaminée),

–évolution défavorable du couple pression-température du fluide primaire,

–système d’aspersion dans l’enceinte de confinement indisponible alors que la pression, la température ou la radioactivité y sont anormales.

Plutôt que d’introduire ces critères dans chacune des procédures « événementielles », il est apparu intéressant de prévoir un diagnostic permanent :

–selon une logique indépendante, et redondante, des procédures existantes, qui restaient dès lors inchangées et étaient susceptibles d’évoluer ultérieurement de façon autonome ;

–faisant appel à l’ingénieur de sûreté (IS), ce qui assurait une redondance humaine par rapport aux opérateurs ;

–s’appuyant sur l’étude des états de refroidissement de la chaudière, complétée par l’analyse de la disponibilité des systèmes de sauvegarde ;

–utilisant l’instrumentation disponible.

Une procédure particulière de surveillance permanente après incident (SPI) avait en conséquence été établie ; elle devait être appliquée de manière cyclique par l’ingénieur de sûreté, appelé en salle de commande dès que se déclenchait un arrêt d’urgence du réacteur ou que la marge à l’ébullition du fluide primaire devenait inférieure à 20 °C, jusqu’au retour à une situation normale. Cette surveillance portait sur les paramètres suivants :

–la disponibilité de chaque générateur de vapeur, c’est-à-dire sa capacité à évacuer une partie de la puissance résiduelle sans que la vapeur soit contaminée,

–la masse d’eau dans le circuit primaire et la température de cette eau à la sortie du cœur du réacteur,

–la capacité du circuit secondaire à refroidir et à dépressuriser le circuit primaire,

–la mise en service effective des systèmes de sauvegarde (alimentation de secours des générateurs de vapeur, injection de sécurité à haute ou à moyenne pression, injection de sécurité à basse pression, aspersion d’eau dans l’enceinte de confinement, etc.),

–la pression, la température et la radioactivité dans l’enceinte de confinement,

–l’état de criticité du cœur (flux neutronique, positions des grappes de contrôle, concentration du bore, etc.).

Cette surveillance devait permettre, le cas échéant, à l’ingénieur de sûreté de demander aux opérateurs d’abandonner la procédure (I, A ou H) en cours d’utilisation pour appliquer la procédure U1. Il devait continuer ensuite sa mission de surveillance en utilisant la procédure SPU, nouvelle procédure cyclique de suivi de l’évolution de la chaudière en situation ultime déclarée.

Figure 33.1. Première application de l’approche par états : procédure de surveillance permanente SPI et procédure U1. IRSN.

L’application de la procédure SPI conduisait, le plus souvent, à confirmer avec un léger décalage dans le temps les principales actions déjà demandées par la procédure utilisée par l’équipe de conduite. Dans certains cas de défaillances multiples, elle demandait aux opérateurs de réaliser des actions complémentaires limitées comme l’isolement d’un générateur de vapeur, sans pour autant abandonner la procédure en cours.

L’ensemble {SPI, U1, SPU} a constitué un complément très important aux procédures I, A et H.

33.4.Généralisation de l’approche par états

Les études sur l’approche par états et les moyens nécessaires pour l’utiliser de manière précise et graduée lors d’incidents fréquents ont été poursuivies. C’est ainsi que les premières tranches des centrales nucléaires de Penly et de Golfech (réacteurs de 1 300 MWe du palier P’4) ont pu disposer, dès leur démarrage en 1990, de certaines procédures déclinant l’approche par états de façon élargie.

Un tel jeu de procédures traitait de tous les accidents « thermohydrauliques » mais ne s’appliquait pas aux situations où le réacteur est connecté au circuit de refroidissement à l’arrêt (RRA). Ce jeu de procédures couvrait donc, de manière progressive (et hors situations à l’arrêt), toutes les situations incidentelles et accidentelles du circuit primaire, de la situation d’arrêt d’urgence aux situations les plus dégradées, la conduite du circuit secondaire, la surveillance de l’enceinte de confinement et la disponibilité de certains systèmes. Il n’y avait donc plus de solutions de continuité entre les procédures I, A et H et la procédure U1.

D’autres procédures à caractère événementiel complétaient cet ensemble, à titre transitoire.

L’articulation des responsabilités entre l’équipe de conduite et l’ingénieur de sûreté était analogue à celle qui existait pour le jeu traditionnel de documents de conduite (« événementiels »).

L’approche par états a ensuite été « généralisée » et appliquée aux tranches du palier N4 dès leur démarrage pour la conduite du réacteur depuis la salle de commande principale, en couvrant toutes les situations du circuit primaire tant qu’il est fermé (RRA connecté ou non), ainsi que la perte de l’ensemble des systèmes importants pour la sûreté ; elle a ensuite été étendue aux états dans lesquels le circuit primaire n’est pas fermé.

Son application a également été progressivement étendue aux différentes tranches de 1 300 MWe, qui étaient toutes équipées d’une mesure du niveau d’eau dans la cuve, après, notamment, reprise de la formation des opérateurs en tenant compte de l’expérience acquise sur les premières tranches (N4) ayant utilisé l’approche par états « généralisée ».

L’application de cette approche « généralisée » aux tranches de 900 MWe a été ensuite réalisée, à partir de la fin des années 1990, quand les travaux de mise en place d’une mesure du niveau d’eau dans la cuve eurent été réalisés.

33.5.L’approche par états « stabilisée »

Après diverses « générations » de l’approche par états, la conduite incidentelle et accidentelle s’est stabilisée selon le schéma décrit ci-après.

1.Un document, appelé document d’orientation et de stabilisation (DOS), permet de guider les opérateurs en salle de commande sur les actions à entreprendre en fonction des informations et alarmes qu’ils reçoivent.

2.À l’interface entre le fonctionnement normal et les procédures APE, l’équipe de conduite dispose de quelques règles, procédures (dont une procédure dite de surveillance permanente par états [SPE], qui se substitue à la procédure SPI) et consignes incidentelles (de type I-système) que les opérateurs peuvent être amenés à utiliser dans quelques cas précis de situations « dégradées » :

•en cas de perte du réseau électrique principal, la consigne d’îlotage,

•en cas d’apparition de fuites primaires ou de dysfonctionnement des fonctions de charge et de décharge du circuit primaire, la consigne I-RCV,

•en cas de dysfonctionnement des barres de contrôle, la consigne I-RGL,

•en cas de dysfonctionnement des groupes motopompes primaires, la consigne I-RCP (problèmes spécifiques aux joints des pompes par exemple),

•en cas de problèmes concernant le refroidissement ou la manutention des assemblages combustibles, les consignes I-PTR et I-PMC.

3.Les procédures I, A et H sont intégrées et couvertes par l’APE, qui propose différentes stratégies selon l’état de l’installation, regroupées dans quatre ensembles :

•ECP (de gravité croissante 1 à 4) : conduite du circuit primaire et des circuits associés dans les états du réacteur où le RRA n’est pas connecté,

•ECPR (de gravité croissante 1 à 2) : conduite du circuit primaire et des circuits associés dans les états du réacteur où le RRA est connecté, circuit primaire fermé,

•ECPRO : conduite du circuit primaire et des circuits associés dans les états du réacteur où le RRA est connecté, circuit primaire ouvert ou non éventé,

•ECS : conduite de la partie secondaire du réacteur.

Dans chacun de ces ensembles, plusieurs stratégies de conduite sont possibles : par exemple, dans les ECP882, les stratégies sont :

–« stabilisation » (rejoindre les conditions normales d’exploitation ou attente en repli),

–« repli doux » (rejoindre l’état de repli pour réparation, en se rapprochant de la conduite normale : refroidissement à - 14 °C/h ou - 28 °C/h),

–« repli dur » (passage rapide en état de repli avec un gradient de refroidissement « dur » à - 56 °C/h),

–« stabilisation/contrôle de la puissance nucléaire » (envoi de bore pour ramener le cœur à un état sous-critique puis passer à la concentration de bore nécessaire pour le passage en état d’arrêt à froid),

–« réduction du ΔTsat » (stabiliser la température et dépressuriser le circuit primaire pour éviter un choc froid sur la cuve et revenir dans le domaine de pressions et températures des états standards),

–« restauration de l’évacuation de la puissance résiduelle » (évacuation de la puissance résiduelle par passage en mode gavé-ouvert),

–« restauration de l’inventaire en eau du circuit primaire » (rétablir au moins un niveau d’eau dans les branches chaudes, pour passer ensuite dans la stratégie de « repli dur »),

–« sauvegarde ultime du cœur » (éviter ou retarder la fusion du cœur, par tous les moyens possibles d’apport d’eau).

À ces stratégies sont associées des procédures et des fiches de manœuvre.

Dans la conduite selon l’approche par états, l’équipe de conduite suit l’évolution de la situation et rectifie, si nécessaire, la stratégie de conduite, selon le schéma cyclique représenté sur la figure 33.2.

4.Enfin, pour compléter cet ensemble, au-delà de la conduite incidentelle et accidentelle proprement dite, et couvrir des états plus dégradés, l’exploitant continue de disposer des quatre procédures ultimes U déjà présentées au paragraphe 17.8, appelées par le guide d’action des équipes de crise (GAEC) ou le guide d’intervention en accident grave (GIAG) :

•U2 : localisation et isolement des fuites de l’enceinte de confinement et réinjection de l’eau contaminée dans l’enceinte,

•U3 : mise en place de moyens mobiles de secours des systèmes EAS et ISBP,

•U4 : limitation des rejets gazeux directs (spécifiquement pour la centrale nucléaire de Cruas883),

•U5 : éventage-filtration de l’enceinte de confinement à travers le filtre à sable.

Figure 33.2. Schéma cyclique dans l’approche par état. IRSN (source EDF).

33.6.L’approche par états pour le réacteur EPR

Pour le réacteur EPR Flamanville 3, l’approche par états a été retenue dès la conception des procédures de conduite incidentelle et accidentelle. Le guidage des opérateurs (« orientation et stabilisation », voir plus haut) est toutefois automatisé.

882.Voir le mémento EDF déjà cité et le paragraphe 8.2.1 de l’ouvrage « Physique, fonctionnement et sûreté des REP », B. Tarride, INSTN/EDP Sciences, 2013.

883.Voir le paragraphe 17.5.8.

Chapitre 34

L’accident de la centrale nucléaire de Tchernobyl

Le 26 avril 1986, à 1 heure 23 minutes et 44 secondes (heure locale), le réacteur de la quatrième tranche de la centrale nucléaire russe de Tchernobyl explosait. Cet accident est de loin le plus grave survenu dans une installation nucléaire civile ; il a entraîné :

–deux morts immédiates par polytraumatismes ;

–des syndromes aigus d’exposition aux radiations pour 134 personnes, dont 28 mourront dans les deux mois qui suivirent l’accident ;

–l’évacuation de 115 000 personnes dans les jours qui ont suivi, et de 230 000 personnes supplémentaires jusqu’en 1995 ;

–l’irradiation et la contamination de millions d’individus à des niveaux significatifs mais souvent difficiles à préciser ;

–l’apparition, depuis 1990, de cancers de la thyroïde chez des personnes contaminées lorsqu’elles étaient enfants dans les régions les plus touchées d’Ukraine, du Bélarus et de Russie ; plusieurs milliers de cas de tels cancers ont été répertoriés, ainsi qu’une quinzaine de décès ;

–une large détérioration de l’état sanitaire des populations les plus exposées ;

–une contamination importante et à long terme de vastes zones des territoires d’Ukraine, du Bélarus et de Russie ;

–de grandes perturbations économiques, sociales et psychologiques, mais aussi institutionnelles et politiques dans ces mêmes pays ;

–une contamination mesurable dans beaucoup de pays européens dont la France.

Plus de 300 000 personnes, les « liquidateurs », ont dû intervenir en 1986 et 1987 pour réaliser une première décontamination du site dans des conditions de radioprotection précaires. Le nombre de personnes impliquées dans la décontamination des sols dans un rayon de 30 km et dans la construction du premier sarcophage s’élève au total à plus de 500 000.

Les tranches de la centrale de Tchernobyl appartenaient à la filière RBMK884 dont les caractéristiques particulières sont la mise en œuvre d’uranium faiblement enrichi, la modération neutronique par le graphite et le refroidissement par de l’eau bouillante circulant dans des tubes de force. On ne trouve ce modèle de réacteurs qu’en Russie, Ukraine et Lituanie, pays qui faisaient partie de l’Union soviétique.

Lors de l’accident, un essai était en cours sur le réacteur dans des conditions très spécifiques, en dehors du domaine normal d’exploitation : faible puissance, avec certains systèmes indisponibles ou mis hors service.

Pourtant, comme après l’accident de Three Mile Island, il faut aller au-delà de quelques réflexions sur la conception des réacteurs RBMK et les erreurs des opérateurs du réacteur accidenté. C’est ainsi que, à partir de ce qui était présenté initialement comme le résultat d’une accumulation d’erreurs humaines, ont été développées progressivement :

–une réflexion profonde sur les caractéristiques minimales d’une bonne organisation de la sûreté dans un pays,

–l’explicitation de la notion de culture de sûreté,

–une approche plus réaliste mais plus complète des évaluations des rejets accidentels possibles et de leurs effets,

–la mise en évidence de possibilités d’accidents de réactivité dans les installations occidentales de type REP,

–des exigences de transparence de l’information pour les personnes du public.

Les éléments fournis dans le présent chapitre sur le déroulement de l’accident, l’analyse des causes et les enseignements tirés s’appuient notamment sur le rapport INSAG-7 de 1992885, qui inclut en annexes deux rapports : le premier est celui qui a été établi en 1991 par une commission d’experts (State Committee for the Supervision of Safety in Industry and Nuclear Power [SCSSINP]), à la demande de l’ex-URSS et le second celui qui a été établi en 1991 par un groupe de travail d’experts soviétiques.

34.1.La centrale nucléaire de Tchernobyl
et la filière RBMK

La centrale nucléaire de Tchernobyl se trouve à la limite nord de l’Ukraine, à une centaine de kilomètres au nord de Kiev, à proximité alors d’une ville nouvelle relativement importante, Pripyat, qui hébergeait les personnels de la centrale et leurs familles. La limite du Bélarus est proche, 10 à 15 kilomètres au nord ; celle de la Russie se trouve à 150 kilomètres au nord-est.

La quatrième tranche de la centrale était l’un des 14 réacteurs en service de 1 000 MWe (3 200 MWth) de la filière RBMK. Ce type de réacteur étant assez différent des réacteurs occidentaux, il est nécessaire de le décrire rapidement (voir la figure 34.1). Il s’agit d’un réacteur à neutrons thermiques modéré par du graphite, chargé d’éléments combustibles à base d’oxyde d’uranium enrichi à 2 % en uranium 235, gainés en alliage zirconium-niobium. L’empilement de graphite est de grandes dimensions (11,8 mètres de diamètre et 7 mètres de hauteur). Le refroidissement est réalisé par de l’eau qui passe à l’ébullition en circulant de bas en haut dans des tubes de force (environ 1 700), eux-mêmes en alliage zirconium-niobium. L’ensemble repose sur une structure mécanosoudée contenue dans une cavité en béton de 21,60 mètres de côté et de 25,50 mètres de hauteur.

Au-dessus du réacteur, une machine permet le déchargement et le chargement du combustible dans les tubes de force lorsque le réacteur est en fonctionnement.

La maîtrise de la réactivité et de la puissance est assurée par 211 barres absorbantes qui occupent des tubes de force analogues aux précédents, répartis dans tout le cœur du réacteur. Ces barres sont actionnées par des mécanismes situés au-dessus du cœur, sous le plancher de protection du hall. Elles sont constituées d’anneaux de carbure de bore, avec, en partie basse, un prolongateur de graphite de 4,5 mètres de longueur.

Les barres sont entraînées par des moteurs, tant pour leur extraction que pour leur insertion dans le cœur du réacteur. Leur vitesse maximale était de 0,4 m/s. Il fallait donc de 18 à 20 secondes pour obtenir une insertion complète à partir d’une position haute des barres.

Deux boucles indépendantes assurent le refroidissement du réacteur ; elles évacuent chacune l’énergie produite par la moitié du cœur. Chaque boucle comprend deux ballons séparateurs (de 30 mètres de longueur et 2,30 mètres de diamètre) et quatre pompes de recirculation (trois en fonctionnement et une en réserve). Le mélange d’eau et de vapeur qui sort de chaque tube de force après passage dans le réacteur arrive directement par une tuyauterie dans un des ballons séparateurs.

L’eau retourne par 12 tuyauteries vers les collecteurs et les pompes de recirculation qui alimentent les tubes de force par un système de sous-collecteurs et de tuyauteries. Pour chaque boucle, il y a 22 sous-collecteurs de 300 mm de diamètre.

L’eau entre dans le cœur du réacteur à 270 °C, s’échauffe sur 2,50 mètres de hauteur et bout dans la partie supérieure du cœur. À sa sortie, le titre de la vapeur à pleine puissance est de 14,5 %. La pression à la sortie du réacteur est de 70 bars et la température de 285 °C. Le débit de chaque tube de force peut être réglé par une vanne, de façon à obtenir une distribution de puissance convenable.

Chaque boucle alimente un groupe turboalternateur de 500 MWe.

Le massif de graphite n’est refroidi que par l’intermédiaire des tubes de force. Sa température est donc élevée en fonctionnement, sauf au contact des tubes des barres absorbantes et dans le réflecteur.

Un circuit de refroidissement de secours permet de refroidir le cœur en cas de brèche dans le circuit principal de refroidissement (rupture d’une tuyauterie du circuit de circulation, rupture d’un conduit de vapeur ou rupture d’une tuyauterie d’alimentation en eau).

Figure 34.1. Coupe simplifiée d’une tranche RBMK de 1 000 MWe. IRSN.

Comme pour les installations occidentales, les brèches considérées pour la définition des caractéristiques du circuit de refroidissement de secours sont postulées dans les tuyauteries, les sous-collecteurs et les collecteurs, à l’exclusion des plus grosses capacités comme les ballons séparateurs. Rappelons de plus qu’il n’y a pas de cuve sous pression mais des tubes de force individualisés.

L’accident de dimensionnement des systèmes de sauvegarde et de confinement est la rupture d’un collecteur de 900 mm de diamètre, avec la perte des alimentations électriques externes et la prise en compte d’une défaillance unique. Pour ce qui concerne le cœur lui-même et son circuit de refroidissement, ce choix n’est pas différent de celui fait pour les réacteurs à eau sous pression occidentaux.

Par contre, le confinement est de conception modulaire, c’est-à-dire qu’il est assuré par plusieurs compartiments étanches permettant le confinement de différentes zones à l’égard des accidents qui y sont considérés (en particulier la pression engendrée par une brèche). Quatre zones essentielles sont ainsi définies : celle des tuyauteries alimentant les tubes de force, celle des tuyauteries et des pompes principales, celle des tuyauteries de vapeur et le cœur lui-même.

Les modules sont reliés directement ou indirectement aux piscines de suppression de pression, destinées à condenser la vapeur issue des brèches, implantées sous la cavité qui contient le cœur du réacteur.

Selon ses concepteurs russes, les avantages de ce type de réacteur sont l’absence de cuve sous pression, l’absence de générateur de vapeur, le renouvellement du combustible de manière continue et donc la souplesse du cycle du combustible, la possibilité de régler le débit de refroidissement canal par canal.

Les inconvénients sont non seulement la complexité du système de distribution et de collecte du fluide de refroidissement, la forte accumulation d’énergie thermique dans les structures métalliques, le graphite et le combustible, mais surtout la difficulté et la complexité de la maîtrise du niveau et de la distribution de puissance.

Ce dernier point appelle quelques commentaires supplémentaires. Comme cela a été noté plus haut, le cœur d’un réacteur de type RBMK de 1 000 MWe est de très grande taille : 11,8 mètres de diamètre, 7 mètres de hauteur. Des oscillations de puissance radiales et azimutales dues à l’« effet xénon » se produisent très facilement dans un cœur de cette dimension. La maîtrise de ces oscillations nécessite de très nombreux détecteurs et sollicite une part importante des barres absorbantes. Compte tenu de la sensibilité des détecteurs situés dans le cœur, la distribution fine de la puissance ne peut être déterminée qu’au-delà de 10 % de la puissance nominale ; en deçà, les opérateurs ne disposent que d’une information globale donnée par des détecteurs extérieurs situés au plan médian.

De plus, la quantité de graphite comparée à celle du combustible et leur disposition font que le ralentissement des neutrons est très largement assuré. Dans ces conditions, si l’absorption des neutrons est faible dans le cœur (peu de barres absorbantes insérées, faible quantité d’uranium 235 dans le combustible due au faible enrichissement initial ou au taux de combustion du combustible), l’eau de refroidissement n’a plus aucun rôle de modération à jouer, contrairement à ce qui se passe dans les réacteurs à eau sous pression comme ceux du parc électronucléaire français, volontairement sous-modérés. Du point de vue neutronique, l’eau n’a donc que les caractéristiques d’un absorbant.

Tout échauffement, diminuant sa densité, diminue l’absorption globale des neutrons du cœur. A fortiori, l’ébullition d’une partie de cette eau à 70 bars, qui représente une baisse d’un facteur 20 de sa densité, augmente la proportion de neutrons disponibles pour provoquer des fissions. La puissance du réacteur a alors tendance à croître, amplifiant le phénomène.

Le coefficient de puissance lié à la température de l’eau est donc positif dans une partie du domaine de fonctionnement. Celui correspondant au taux de vaporisation (on dit généralement taux de vide) l’est bien sûr aussi puisqu’il s’agit du même phénomène.

Cet effet n’est heureusement pas le seul et l’effet neutronique d’une augmentation de la température du combustible lui-même est toujours négatif grâce à l’effet Doppler, dont la valeur absolue augmente avec la température.

Le coefficient global de puissance, somme des deux effets précités et de quelques autres de moindre importance, est négatif pour les puissances élevées, mais positif pour les puissances inférieures à 700 MW thermiques. De plus, ce coefficient est d’autant plus positif que les barres absorbantes sont retirées du cœur.

Il convient également de noter que dans les RBMK, lorsque les barres absorbantes sont très hautes, leur insertion commence par remplacer de l’eau par du graphite dans des zones où le flux neutronique est élevé, ce qui introduit de la réactivité au lieu d’en retirer. Cet effet a été observé dès 1983 à la centrale d’Ignalina mais si son caractère nocif semble avoir été signalé aux autres sites sur lesquels fonctionnaient des tranches de la filière RBMK, dont celui de Tchernobyl, aucune modification ou mesure restrictive d’exploitation n’a été adoptée et le sujet fut oublié.

Enfin, au plan thermohydraulique, il faut noter qu’une même augmentation de puissance donne d’autant plus de vapeur que la puissance initiale est faible, le débit massique du fluide de refroidissement étant sensiblement proportionnel à la puissance.

Cet ensemble de données physiques aurait dû se traduire par deux contraintes strictes de sûreté dans les documents d’exploitation des réacteurs RBMK :

–ne pas fonctionner de façon continue en dessous de 700 MWth ; cette contrainte n’était pas formalisée ;

–maintenir, en fonctionnement normal, l’équivalent de 30 barres absorbantes insérées dans le cœur. Cette deuxième contrainte, inscrite dans les documents de conduite, était perçue comme nécessaire à la maîtrise de la distribution de puissance et non comme globalement nécessaire à la sûreté de l’installation. Cet équivalent de 30 barres insérées limitait de plus l’effet de réactivité positif résultant de l’insertion des embouts en graphite lorsque l’on insérait d’autres barres.

L’équivalent de barres insérées dans le cœur était associé à une notion de « marge de réactivité en fonctionnement » (Operating Reactivity Margin – ORM) qui, pour reprendre les termes de l’INSAG-7, était peu précise et mal comprise par les opérateurs.

En outre, les éléments à la disposition des opérateurs dans les documents de conduite indiquaient que :

–en régime stable, la marge de réactivité ne devait pas être inférieure à l’équivalent de 26 à 30 barres absorbantes insérées ;

–le fonctionnement avec un équivalent de moins de 26 barres absorbantes insérées devait faire l’objet d’une autorisation du chef d’installation,

–à un équivalent de 15 barres absorbantes insérées ou moins, le réacteur devait être arrêté immédiatement.

Les RBMK étaient équipés d’un calculateur de l’ORM ; toutefois, ce calculateur n’avait pas la capacité de fournir l’information en temps réel, notamment lors de transitoires rapides, le cycle de calcul étant de plusieurs minutes (10 à 15 minutes dans les textes de l’INSAG, 5 minutes dans les rapports soviétiques). En outre, l’information n’était accessible que dans un local situé à 50 mètres du pupitre de commande.

34.2.Le déroulement de l’accident

Il est important de noter en remarque préliminaire que, dans la description du déroulement des faits rapportée dans les rapports soviétiques et dans le rapport INSAG-7, les valeurs de la marge de réactivité, exprimée en équivalent d’un nombre de barres absorbantes totalement insérées, sont issues de calculs réalisés a posteriori. En tout état de cause, lors du déroulement de l’essai, il est apparu que personne ne semble avoir pris connaissance de l’information donnée par le calculateur sur la marge de réactivité, qui, de surcroît, compte tenu du temps de calcul, pouvait correspondre à un état antérieur de plusieurs minutes.

La tranche n° 4 de la centrale de Tchernobyl était en service depuis décembre 1983. Un arrêt du réacteur était prévu le 25 avril 1986 afin d’effectuer des opérations d’entretien impossibles pendant le fonctionnement. Il était aussi prévu de réaliser un essai particulier juste avant l’arrêt de la tranche : il s’agissait de vérifier la possibilité, en cas de perte du réseau électrique extérieur, d’alimenter pendant quelques dizaines de secondes, avant la reprise en secours par les groupes électrogènes, les pompes principales de recirculation du réacteur par l’un des groupes turboalternateurs ralentissant sur son inertie886. Des essais de ce genre avaient déjà été effectués pour la tranche n° 4 mais des difficultés électriques les avaient perturbés. Un nouveau système de régulation avait été installé. L’essai devait être effectué en partant d’une puissance thermique de 700 à 1 000 MW.

La baisse de puissance commence le 25 avril. Vers 13 heures, le réacteur n’est plus qu’à 1 600 MWth, soit à mi-puissance. L’un des groupes turboalternateurs est alors découplé. Conformément au programme d’essai, le circuit de refroidissement de secours du cœur est isolé sans que la raison de cet isolement soit très claire.

À ce moment, les services extérieurs à la centrale organisant la production et la distribution d’électricité demandent à celle-ci d’arrêter la baisse de puissance et de continuer à alimenter le réseau avec 500 MWe. Le réacteur reste ainsi à mi-puissance pendant 9 heures. Pendant ce palier, l’empoisonnement du cœur par le xénon a eu le temps de croître jusqu’à sa valeur maximale à cette puissance. Pour compenser cet effet, des barres absorbantes ont été progressivement extraites. Par ailleurs, personne n’a remis le refroidissement de secours en service pendant cette période, le fonctionnement prolongé avec un système de sûreté inhibé n’étant pas ressenti comme quelque chose de grave.

Vers 23 heures, la réduction de puissance reprend. Une heure et demie plus tard, au moment du basculement du système de régulation automatique de puissance au système manuel, le passage se fait mal. La puissance tombe à 30 MWth. Il n’y a donc plus de contrôle automatique. L’empoisonnement du cœur par le xénon augmente à nouveau. La production de vapeur dans le cœur est très faible. Il faut donc encore extraire un grand nombre de barres absorbantes pour remonter un peu la puissance, qui est stabilisée à 200 MWth le 26 avril vers 1 heure du matin.

Le réacteur ne fonctionne plus alors à l’intérieur du domaine stable requis en termes de marge de réactivité (la puissance est inférieure à 700 MWth – la marge de réactivité est à ce moment-là inférieure à l’équivalent de 30 barres insérées) ; l’équipe présente décide de faire l’essai prévu, en suivant les indications du programme initial.

Deux pompes de circulation complémentaires sont mises en service à 1 h 03 et 1 h 07, ce qui provoque une très forte augmentation du débit dans le cœur, au-delà des valeurs autorisées. La puissance du cœur étant inférieure à celle qui était escomptée lors de la préparation de l’essai, la pression de la vapeur et le niveau de l’eau dans les ballons séparateurs sont difficiles à maintenir dans les plages normales. Le personnel bloque alors les signaux d’arrêt d’urgence liés à ces paramètres, conformément au programme d’essai.

À 1 h 22, compte tenu de l’accumulation de xénon, il n’y aurait eu, selon des calculs réalisés après l’accident, que l’équivalent de six à huit barres insérées dans le cœur alors qu’un arrêt immédiat était requis dès qu’il n’y avait plus que l’équivalent de 15 barres insérées. En tout état de cause, l’arrêt immédiat n’est pas effectué ; le personnel décide de faire l’essai et, dans le but de pouvoir le répéter si nécessaire, bloque le signal d’arrêt d’urgence du réacteur lié à l’arrêt du deuxième groupe turboalternateur.

À 1 h 23, les vannes d’admission de la vapeur à la turbine sont fermées mais le réacteur n’est pas arrêté. Les pompes de circulation alimentées par le groupe turboalternateur ralentissent, le débit diminue, l’eau chauffe et se vaporise. L’effet de vide libère de la réactivité. La puissance du cœur augmente et provoque encore plus de vapeur. La situation est divergente.

À 1 heure 23 minutes et 40 secondes, le chef opérateur donne l’ordre manuel d’insertion rapide des barres mais l’effet produit est l’inverse de celui qui était escompté : la partie basse des barres absorbantes qui pénètre dans le cœur est le prolongateur de graphite, qui prend la place qu’occupait l’eau dans les tubes de force, ce qui provoque une augmentation significative de la réactivité du cœur. L’excursion de puissance provoquée par l’augmentation du taux de vide est « aidée » par l’introduction des barres de commande !

Selon les différents calculs réalisés a posteriori, la puissance instantanée du réacteur aurait pu atteindre 100 fois, voire près de 500 fois, sa valeur nominale en quelques secondes. La réaction en chaîne s’est arrêtée par l’effet de réactivité négatif dû à l’échauffement du combustible (effet Doppler) et du fait de la destruction du cœur.

La description de la suite des événements résulte d’observations visuelles, de mesures de rayonnement hors du site, de la connaissance existante du comportement du combustible lors d’accidents de réactivité, de calculs post-accidentels et d’hypothèses. Il reste difficile d’affirmer que le scénario présenté dans les paragraphes suivants est parfaitement conforme à la réalité, en particulier quant à l’ordre de certains phénomènes.

L’excursion de puissance provoque un fort dépôt d’énergie dans des pastilles de combustible qui se fragmentent en très fines particules ; de l’oxyde d’uranium se trouve libéré sous forme pulvérulente dans les canaux. Il y a alors interaction entre les particules très chaudes et dispersées de combustible et l’eau, ce qui provoque une vaporisation massive, une augmentation de pression et probablement une explosion de vapeur (ces phénomènes sont décrits au chapitre 17). L’explosion résultante provoque la rupture de certains tubes de force, ce qui entraîne le soulèvement de la dalle supérieure du réacteur (de 2 000 tonnes) ; ce soulèvement rompt les autres canaux et les tuyauteries horizontales amenant la vapeur aux collecteurs, et entraîne les barres de commande. L’énergie libérée par l’explosion a été estimée équivalente à celle de l’explosion de 30 à 40 tonnes de TNT.

Une deuxième explosion survient peu après. Elle pourrait être due à une déflagration de l’hydrogène formé par réaction de l’eau avec le zirconium des gaines et des tubes de force et mélangé à l’air après ouverture du cœur. Elle pourrait également être due à l’effet de réactivité provoqué par l’ébullition généralisée de l’eau passant de 70 bars à la pression atmosphérique après la rupture de tous les tubes de force.

Les superstructures du réacteur sont détruites.

Du fait de l’explosion, des débris incandescents fusent du cœur du réacteur dont la partie supérieure est à l’air libre et allument 30 foyers d’incendie dans l’installation et la tranche voisine. Les équipes de la centrale et les pompiers venus de Pripyat et de Tchernobyl (à 15 km de la centrale) interviennent très rapidement et éteignent la totalité des feux en moins de trois heures et demie. Ils ne disposent pas de protections efficaces contre la contamination et les brûlures, dont les effets s’ajoutent à ceux de l’exposition externe ; 28 d’entre eux mourront dans les jours qui suivent, s’ajoutant aux deux personnes présentes sur la dalle supérieure du réacteur et tuées directement par brûlures et polytraumatismes lors de l’accident.

Très vite, de l’eau est injectée dans le cœur dégradé pour le refroidir et éviter l’inflammation du graphite mais cette tentative échoue.

En effet, les examens réalisés après l’accident suggèrent que des températures très élevées ont été atteintes dans le cœur du réacteur (au-delà de 2 600 °C) et qu’une partie du cœur a fondu. Pendant les six jours qui ont suivi l’explosion, ces matériaux en fusion se sont écoulés et se sont accumulés sous le cœur formant une croûte en forme de creuset au-dessus de la dalle inférieure en béton. Cette croûte stable et isolante sur le plan thermique aurait tenu quatre jours et se serait rompue environ dix jours après l’explosion, laissant les matériaux fondus atteindre la dalle inférieure en béton. Les matériaux en fusion se seraient alors refroidis et solidifiés, entraînant une réduction de l’émission de substances radioactives. La dalle de 1,8 mètre d’épaisseur a été attaquée par les matériaux en fusion sur un mètre.

De plus, à 5 heures du matin (soit environ 3 h 30 après l’explosion), le graphite prend feu. Il est possible que l’échauffement des zones froides de l’empilement de graphite ait provoqué un « effet Wigner »887, qui contribue à la libération d’énergie et est très favorable à l’inflammation du graphite. De nombreux pompiers vont recevoir un surcroît d’irradiation en tentant d’éteindre ce feu. L’énorme masse de graphite brûlera pendant une dizaine de jours et le feu est sans doute pour une grande part, après l’explosion, à l’origine de la dispersion de substances radioactives à haute altitude dans l’atmosphère, qui ont contaminé une large partie de l’Europe.

Des matériaux – sable, bore, argile, dolomite, plomb – sont lâchés, mélangés, sur le réacteur, à partir d’hélicoptères, pour tenter d’arrêter l’incendie et les rejets de produits radioactifs. Du 27 avril au 2 mai, 5 000 tonnes de matériaux sont ainsi déversées pour recouvrir progressivement le réacteur, en vue de réduire le débit d’air qui alimente le feu du graphite et le relâchement de produits de fission. Malgré ces efforts, des rejets importants se produisent pendant une dizaine de jours, du 26 avril au 5 mai 1986. Les rejets se poursuivent ensuite pendant une vingtaine de jours, mais ils sont beaucoup plus faibles, le feu de graphite ayant été éteint et les matériaux fondus étant refroidis et partiellement solidifiés.

De l’azote sous pression est injecté sous le réacteur à partir du 5 mai pour refroidir les matériaux fondus et le béton de la dalle inférieure. Un échangeur de chaleur est ensuite placé dans cette zone. Cette disposition a pu contribuer au refroidissement et à la solidification des matériaux en fusion.

La figure 34.2 montre le réacteur n° 4 de la centrale nucléaire de Tchernobyl détruit.

Figure 34.2. Le réacteur n° 4 de la centrale nucléaire de Tchernobyl après l’accident.

Dans les mois qui suivent l’accident, des travaux sont réalisés pour isoler la tranche accidentée dans un massif de béton. Les conditions de construction particulièrement difficiles de l’ouvrage donneront à l’étanchéité de ce « sarcophage » une faible tenue dans le temps. Des travaux ont été effectués en 1995 pour limiter la pénétration des eaux de pluie dans ce « sarcophage », en l’attente de travaux plus importants.

Le programme SIP (Shelter Implementation Plan), lancé en 1997, a pour objectif final la transformation du site en une zone « écologiquement sûre ». Ses principaux jalons sont :

–Étape 1 : stabilisation des structures du « sarcophage » existant.

–Étape 2 : construction d’un nouveau « confinement sûr ».

–Étape 3 : démantèlement du « sarcophage » existant et enlèvement des matériaux radioactifs qu’il enferme.

La première étape du projet a été achevée en 2008.

En septembre 2007, un contrat888 a été signé pour la construction d’un nouveau confinement recouvrant complètement l’ancien « sarcophage ». En forme d’arche, la nouvelle enceinte est composée d’une ossature métallique de plus de 18 000 tonnes aux dimensions gigantesques : environ 257 mètres de portée, 162 mètres de long et 108 mètres de hauteur.

Avant le début de la construction du nouveau sarcophage, 55 000 m3 de matières contaminées ont été retirées et une chape de béton de 30 cm a été coulée, afin de permettre aux quelques 10 000 personnes qui devaient prendre part aux travaux de travailler dans les conditions les plus sûres possibles.

Le nouveau sarcophage a été définitivement installé à la fin de novembre 2016 (voir la figure 34.3) ; il recouvre désormais l’ensemble de la tranche n° 4 de la centrale nucléaire de Tchernobyl. Mais des travaux se poursuivent à l’intérieur, pour assurer l’étanchéité de ce nouveau sarcophage (notamment la connexion au premier sarcophage par une membrane) et pour préparer l’extraction des débris qui restent sous le premier sarcophage.

Figure 34.3. Le nouveau sarcophage une fois installé, vue prise en 2017. BERD.

34.3.Analyse des causes de l’accident et modifications rapidement mises en place pour les RBMK

Les premiers éléments transmis par les responsables russes faisaient peser toute la responsabilité de l’accident sur les opérateurs, en insistant sur les violations des règles de conduite. Il est ensuite apparu (voir le rapport INSAG-7) que ces règles n’existaient pas ou n’étaient ni claires ni comprises et que les véritables causes de la catastrophe sont la conception de l’installation, la pauvreté des études de sûreté, la faiblesse des règles et documents de conduite et de la formation qui en résultaient, ainsi qu’un contrôle insuffisant des autorités de sûreté. De fait, c’est tout le milieu nucléaire soviétique, concepteurs, constructeurs, exploitants mais aussi organismes de sûreté qui a été mis en cause.

Dans la phase de préparation de l’essai, ses implications sur la sûreté ne semblent pas avoir été vues. Le programme prévoyait pourtant d’importantes dérogations aux règles d’exploitation, comme l’arrêt du système d’injection d’eau de sécurité et la mise en service des huit pompes de recirculation, ce qui représentait une nette diminution du niveau de sûreté. Ce programme n’avait pas fait l’objet d’un examen par le groupe de sûreté de la centrale et devait être mené par un ingénieur électricien.

Au cours de l’essai, de nombreux moyens de protection automatiques ont été successivement inhibés ; il s’agit :

–de l’injection de sécurité,

–de l’arrêt d’urgence en cas d’alarme de niveau ou de pression dans les ballons séparateurs,

–de l’arrêt d’urgence en cas d’arrêt du deuxième turboalternateur.

De plus, les opérateurs ont poursuivi le fonctionnement alors même que l’installation était hors des limites mentionnées plus ou moins clairement dans les documents de conduite. On notera en particulier :

–un fonctionnement sans injection de sécurité pendant neuf heures,

–un fonctionnement prolongé à une puissance inférieure à 700 MWth,

–une marge en termes de réactivité largement inférieure à l’équivalent de 30 barres absorbantes insérées dans le cœur, et même inférieure à l’équivalent de 15 barres insérées,

–la poursuite du fonctionnement malgré la consigne d’arrêt immédiat qui aurait dû être appliquée du fait de cette insertion insuffisante.

Les opérateurs ont agi comme s’ils n’avaient aucune idée des conséquences possibles d’un non-respect de ces conditions d’exploitation.

Ces pratiques ne semblent pas avoir été exceptionnelles. Elles ne pouvaient donc qu’être connues et tolérées des responsables de la centrale et des inspecteurs résidants de l’autorité de sûreté.

En amont de ces erreurs d’exploitation, les erreurs de conception relevées pour ce type de réacteur sont :

–l’instabilité du cœur à faible puissance, due au coefficient de vide très positif de l’eau de refroidissement ;

–l’absence d’un véritable arrêt d’urgence rapide et sans effet initial pervers ;

–la faible automatisation des actions de protection et les larges possibilités d’inhibition. La confiance était bien plus accordée aux opérateurs qu’aux automatismes, considérés, à l’époque des premières réalisations, comme moins fiables.

Très rapidement889 après l’accident, différentes dispositions ont été définies par les concepteurs pour rendre les réacteurs RBMK moins vulnérables aux erreurs et violations de procédures.

L’enrichissement de l’uranium a été augmenté de 2 % à 2,4 % et le cœur doté de barres absorbantes supplémentaires (30 dans un premier temps, nombre qui sera porté à 80 dans un second temps). Cela a augmenté l’absorption des neutrons dans le cœur et diminué les effets positifs de réactivité.

Toutes les barres absorbantes ont été affectées d’une limite minimale d’insertion de 1,20 mètre, 70 à 80 barres devaient désormais rester dans le cœur. Ces deux dispositions réduisaient le coefficient de vide positif et plaçaient les barres dans une position immédiatement efficace. Leur temps d’introduction a par ailleurs été ramené de 19 à 2,5 secondes. Enfin elles ont été modifiées pour éliminer l’effet de réactivité positif en début d’introduction.

La marge de réactivité en fonctionnement (ORM) a été strictement fixée à un équivalent de 43 à 48 barres insérées, selon les réacteurs, et non plus à un équivalent de 30 ou 15 comme avant l’accident. Le calculateur de cette marge a fait l’objet de modifications avec report de l’information en salle de commande.

Par ailleurs, des modifications ont été apportées au système de dépressurisation pour augmenter sa capacité d’évacuation de puissance.

34.4.Devenir des autres tranches du site

Les autres tranches du site de Tchernobyl sont maintenant toutes à l’arrêt et la construction des réacteurs n° 5 et n° 6, qui avait démarré en 1981, a été abandonnée.

Les réacteurs n° 1, n° 2 et n° 3 ont été déchargés. Le combustible est entreposé en piscine dans une installation construite sur le site. Une installation de stockage à sec de ces combustibles est construite sur le site ; le refroidissement est assuré par une circulation d’air. Après le transfert des combustibles, la piscine de refroidissement ne sera plus nécessaire.

34.5.Rejets et protection des populations

La synthèse globale officielle la plus récente relative aux rejets et aux conséquences sanitaires de l’accident de Tchernobyl se trouve dans le rapport de l’UNSCEAR (United Nations Scientific Committee on the Effects of Atomic Radiation) présenté à l’assemblée générale des Nations Unies en 2008 et en particulier dans l’annexe scientifique D890. Ce rapport a été précédé, en 2006, d’un rapport de l’Organisation mondiale de la Santé891, l’OMS, ainsi que d’un rapport de l’AIEA892. Les éléments qui suivent s’appuient sur l’ensemble de ces documents ainsi que sur des données plus récentes, telles que celles d’un rapport diffusé en 2018 par l’UNSCEAR, qui présente un bilan actualisé de l’incidence de cancers de la thyroïde dans les régions touchées par l’accident de Tchernobyl893.

34.5.1.Cinétique des rejets

Un tiers des rejets a été immédiat, au moment des explosions et de l’ouverture du réacteur (figure 34.4) ; les deux autres tiers, du 27 avril au 5 mai, ont eu des compositions variables en fonction des températures des différentes zones du combustible, mais tous contenaient de l’iode et du césium et, sans doute, des gaz rares, dans des proportions variables suivant les phases.

Le recouvrement progressif du cœur par des matériaux lâchés par hélicoptère a conduit, à partir du 2 mai, à une augmentation des températures dans le cœur, moins bien refroidi, et donc à des rejets jusqu’à ce que, vers le 6 mai, la combustion du graphite soit étouffée et les matériaux en fusion soient refroidis et partiellement solidifiés.

Figure 34.4. Rejets quotidiens de produits radioactifs (hors gaz rares) dans l’atmosphère après l’explosion du réacteur n° 4 de la centrale de Tchernobyl. IRSN (source AIEA, 2006 [voir nota 892]).

Tableau 34.1. Estimation de l’activité des principaux radionucléides rejetés lors de l’accident de Tchernobyl (source AIEA, 2006).

Type d’élément

Radionucléide

Symbole

Période
radioactive

Activité totale rejetée en PBq
(1015 Bq)

Gaz inerte

Krypton 85

85Kr

10,7 ans

33

Xénon 133

133Xe

5,3 jours

6 500

Éléments
facilement
volatils

Iode 131

131I

8 jours

~ 1 760894

Iode 133

133I

20,8 heures

2 500

Césium 134

134Cs

2,1 ans

~ 47

Césium 136

136Cs

13,1 jours

36

Césium 137

137Cs

30,2 ans

~ 85895

Tellure 132

132Te

78 heures

~ 1 150

Éléments
peu
volatils

Ruthénium 103

103Ru

39,3 jours

> 168

Ruthénium 106

106Ru

1 an

> 73

Strontium 89

89Sr

50,5 jours

~ 115

Strontium 90

90Sr

29,1 ans

~ 10

Baryum 140

140Ba

12,7 jours

240

Éléments
réfractaires
(non volatils)

Zirconium 95

95Zr

64 jours

84

Cérium 141

141Ce

33 jours

84

Cérium 144

144Ce

285 jours

~ 50

Neptunium 239

239Np

2,4 jours

400

Plutonium 238-239-240

Pu

respectivement 87,8, 2,41.104 et 6 563 ans

< 0,1

Plutonium 241

241Pu

14,4 ans

~ 2,6

Curium 242

242Cm

163 jours

~ 0,4

Ces rejets ont donc été du niveau du terme source S1 (voir le chapitre 17).

L’explosion du réacteur, la très haute température du combustible et le feu de graphite qui a duré une dizaine de jours ont entraîné des gaz, des aérosols et des particules à haute altitude, atténuant un peu les conséquences locales mais facilitant la diffusion des radionucléides à l’échelle européenne.

Figure 34.5. Trajectoires des rejets, du 26 avril au 4 mai 1986 (schéma issu de V. A. Borzilov et N. V. Klepikova, « Effect of meteorological conditions and release composition on radionuclide deposition after the Chernobyl accident », in S.E. Merwin et M.I. Balonov (dir.), The Chernobyl Papers. Doses to the Soviet Population and Early Health Effects Studies, Volume I, Washington, Research Enterprises Inc., p. 47-68, 1993).

Des conditions météorologiques très variables ont entraîné les radionucléides dans la plupart des directions (voir la figure 34.5). Quand ce panache radioactif a interféré avec des pluies, des augmentations locales des dépôts radioactifs se sont produites, même à plusieurs centaines de kilomètres de la centrale. C’est ce qui a conduit à la répartition de la contamination en « taches de léopard » qui a surpris et conduit à l’identification tardive des contaminations au nord et à l’est de Gomel au Bélarus notamment.

Une large campagne de détection a permis de tracer la carte des dépôts de césium 137 pour l’ensemble de l’Europe, en particulier des zones les plus contaminées dont certaines, à l’est de Briansk (Russie), sont relativement distantes du point d’émission (voir la figure 34.6). La période de décroissance du césium 137, de 30,2 années, permet sa détection à long terme, ce d’autant plus qu’il a tendance à se fixer sur l’argile ; il migre très lentement sauf en cas de lessivage par de fortes pluies ou des inondations. Le strontium 90, moins volatil que le césium, s’est déposé plus rapidement que celui-ci, mais dans les mêmes conditions d’hétérogénéité.

Figure 34.6. Carte de la contamination du sol par le césium 137 dans l’environnement du site de la centrale nucléaire de Tchernobyl (schéma issu de V. A. Borzilov et N. V. Klepikova, « Effect of meteorological conditions and release composition on radionuclide deposition after the Chernobyl accident », in S.E. Merwin et M.I. Balonov (dir.), The Chernobyl Papers. Doses to the Soviet Population and Early Health Effects Studies, Volume I, Washington, Research Enterprises Inc., p. 47-68, 1993).

34.5.2.Protection des populations

Il n’y avait pas d’habitants vivant à moins de 3 km de la centrale. À Pripyat, ville de 49 000 habitants dont les quartiers les plus proches du site se trouvent au-delà de cette distance, le débit de dose a commencé à croître tard dans la nuit du 26 avril au 27 avril, atteignant 10 mSv.h–1 le 27 avril, 24 à 36 heures après l’accident. La population ne sera véritablement informée que le 27 avril en début d’après-midi, donc au bout de 36 heures, quand commenceront son évacuation et la distribution d’iode stable. Des bruits couraient depuis la veille mais aucune mesure concrète de protection n’avait été prise.

Au cours du printemps et de l’été 1986, c’est environ 115 000 personnes vivant dans un rayon de 30 km autour de la centrale, correspondant à la zone dite d’exclusion896, qui seront évacuées. Au cours des années qui ont suivi, 230 000 autres personnes seront déplacées. Le rapprochement entre la répartition des rejets dans le temps, la carte des directions du vent, celle de la contamination mesurée dans une zone de 10 à 20 km autour du site et la localisation de la « forêt rousse », forêt de 400 hectares de pins sylvestres « brûlée » par un niveau très élevé de rayonnement (de l’ordre de 100 Gy), montrent que les retombées les plus importantes sur la ville de Pripyat se sont produites après l’évacuation de sa population, qui ne fait ainsi pas partie des populations les plus touchées.

Les autorités et les populations du Bélarus ne seront informées et, en partie, évacuées que plus tard. Il en est de même pour l’Oblast (région administrative) de Bryansk en Russie. Les populations de ces régions n’ont bénéficié, ni d’une distribution d’iode stable, ni de restrictions à court terme concernant la consommation de produits alimentaires. Les doses à la thyroïde de ces populations sont estimées dix fois supérieures à celles des habitants de Pripyat compte tenu de l’évacuation de ces derniers.

Concernant les dépôts radioactifs sur le sol, qui participent à l’exposition (externe, voire aussi interne par les chaînes alimentaires) des individus, les cartes de contamination réalisées en 1990-1991 montrent que l’Oblast de Gomel au Bélarus a été particulièrement touché, en particulier dans ses parties sud et nord-est. La contamination du sol par le césium 137 (voir la figure 34.7) y est localement supérieure à 1,5 MBq.m–2. C’est également le cas en Russie, autour et au nord de Novozybkov. Plus loin encore en Russie, les régions de Bryansk-Kaluga-Tula-Orel, situées à 500 kilomètres environ du lieu de l’accident, ont été affectées par une contamination significative par le césium (0,2 MBq.m–2).

Cette répartition de la contamination par le césium, toujours observable vu la période de décroissance de ce radionucléide (30 ans), peut ne pas être représentative de celle relative à l’iode 131. La cinétique de rejet entre les explosions et la période de combustion du graphite peut avoir été différente pour les deux radionucléides. En outre, ces radionucléides n’ont sans doute pas eu le même comportement dans l’environnement ; en effet, contrairement au césium, l’iode peut former des espèces gazeuses.

Des relevés de la contamination des sols par l’iode 129 – dont la période radioactive est longue, 15,7 millions d’années – ont été établis. Ces mesures sont nécessaires pour établir, en faisant l’hypothèse que son comportement est identique à celui de l’iode 131, les meilleures corrélations possibles entre des niveaux de contamination par l’iode 131 et des troubles de la thyroïde, mais les cartes ne sont que très partielles.

Les cartes disponibles montrent également que, dans la zone d’exclusion de 30 km autour de la centrale, la contamination par le strontium 90, émetteur β peu volatil d’environ 29,1 ans de période, qui s’est rapidement déposé, est dix fois plus faible que celle due au césium. Son effet en termes d’exposition externe est faible mais, s’il est ingéré, il se fixe sur les os comme le calcium et peut induire des cancers ou des altérations du système hématopoïétique.

Du plutonium a été détecté, avec une activité surfacique au maximum de quelques kBq/m2, essentiellement dans la zone d’exclusion.

Figure 34.7. Contamination par le césium 137 près du site de la centrale nucléaire de Tchernobyl. Source EC/IGCE, Roshydromet/Minchernobyl (UA)/Belhydromet, 1998. All rights reserved.

Il est à noter que, s’il est courant de présenter les niveaux de contamination des sols sur la base de l’activité surfacique de césium 137 – dont la période de 30 ans et l’émission d’un rayonnement γ de 662 keV par son descendant, le baryum 137m, en permettent la détection à long terme – le césium 137 n’était pas seul. Il était associé à des iodes dont l’iode 131 (période de 8 jours), à du césium 134 (période de 2,1 ans) dont l’activité surfacique initiale était moitié de celle du césium 137, à du ruthénium 103 (période de 39,3 jours) et du ruthénium 106 (période de un an).

Compte tenu de ces éléments radioactifs associés et de leur décroissance, une activité surfacique de 1 000 Bq.m–2 de césium 137 correspondait à une irradiation par exposition externe, pour une personne vivant en continu à l’air libre sur un terrain affecté, de 50 µSv la première année, 30 µSv la troisième année, 19 µSv la dixième année, 18 µSv la vingtième année897.

Globalement, hors de la zone d’exclusion, 800 000 personnes vivent dans des régions où les dépôts de césium 137 ont une activité surfacique supérieure à 0,2 MBq/m2. Elles sont 33 000 dans les régions où cette activité est supérieure à 1,5 MBq/m2.

Les surfaces urbanisées ont été assez rapidement lavées par les pluies et, à l’intérieur des bâtiments, l’exposition a été, au plus, de 20 % de ce qu’elle était à l’extérieur. Cela permet de déterminer une exposition moyenne des populations concernées en fonction de leurs modes et cadres de vie. Les valeurs retenues par l’AIEA pour la première année sont de 17 µSv pour 1 000 Bq/m2 pour l’Ukraine et de 15 µSv pour 1 000 Bq/m2 pour la Russie et le Bélarus. Le choix fait pour la France, dont la population agricole est plus faible et dont l’urbanisation est importante, est de 10 µSv.an–1 pour 1 000 Bq/m2.

Bien sûr, l’exposition réelle est directement proportionnelle à la contamination réelle.

Dans ses conclusions de 2008, l’UNSCEAR résume les estimations de doses pour les différentes populations comme cela est indiqué dans le tableau ci-après.

Tableau 34.2. Estimation des doses reçues par les populations (UNSCEAR, 2008).

Groupe
de population

Nombre
de personnes

Dose moyenne à la thyroïde (mGy)

Dose efficace moyenne
de 1986 à 2005

(mSv)

Dose collective à la thyroïde (homme.Gy)

Dose efficace collective
de 1986 à 2005 (homme.Sv)

« Liquidateurs »

530 000 (*)

Évaluation trop parcellaire

117

-

61 200

Personnes évacuées

115 000 (**)

490

31

57 000

3 600

Habitants des zones contaminées

6 400 000

102

9

650 000

58 900

Autres habitants d’Ukraine, de Russie et du Bélarus

98 000 000

16

1,3

1 600 000

125 000

Autres pays européens

500 000 000

1,3

0,3

660 000

130 000

(*) Ce nombre inclut les 350 000 « liquidateurs » des années 1986 et 1987, dont 240 000 furent fortement exposés.

(**) Il s’agit du nombre de personnes évacuées en 1986.

Dans tous les cas, l’évaluation des conséquences radiologiques montre que l’influence de l’exposition externe directe par le panache a été faible par rapport à l’exposition interne due aux aérosols et à l’ingestion de produits alimentaires et par rapport à l’exposition externe due aux dépôts (tout particulièrement les iodes et les césiums).

34.6.Conséquences sanitaires et environnementales

Il n’est pas question de présenter ici un panorama exhaustif des conséquences de l’accident de Tchernobyl sur l’homme et l’environnement. Les effets psychologiques et les effets sur la santé mentale des populations, sans doute très importants, ne sont pas traités : sur ces sujets, le lecteur pourra se reporter au rapport de l’OMS de 2006 cité plus haut.

34.6.1.Effets directs des rayonnements

Les conséquences les plus importantes de l’accident de Tchernobyl ont touché des pays qui faisaient partie de l’URSS, peu habituée à communiquer sur les catastrophes de toutes natures la touchant ni même à en reconnaître l’importance.

Évaluer les conséquences effectives de l’accident de Tchernobyl se heurte donc à un manque de précision et d’exhaustivité des données. Les informations les plus utilisables sont le résultat de coopérations internationales apportant, de l’extérieur, des moyens humains et financiers pour collecter les données avec l’aide des médecins et des autorités locales. L’IPSN puis l’IRSN898 se sont beaucoup impliqués dans ces collaborations, notamment dans le cadre d’une Initiative franco-allemande (IFA) qui s’est en particulier intéressée aux cancers de la thyroïde des enfants. On reviendra sur ce sujet au paragraphe 34.6.2.

Dans son rapport de 2008, l’UNSCEAR conclut ainsi :

« Les effets pour la santé actuellement attribuables à l’exposition aux rayonnements ionisants sont les suivants :

–134 personnes du personnel de la centrale et des premiers intervenants extérieurs ont reçu des doses élevées899 conduisant à des syndromes aigus d’irradiation ; beaucoup d’entre eux ont également subi des brûlures radiologiques dues à l’irradiation β ;

–ce haut niveau de doses a provoqué le décès de 28 d’entre eux ;

–19 autres personnes de ce groupe sont décédées jusqu’en 2006 mais les raisons de leurs décès sont diverses et ne sont pas habituellement liées à l’effet des rayonnements ;

–des blessures cutanées et des cataractes radio-induites sont les effets les plus importants pour les survivants de ce groupe ;

–au-delà de ce groupe, plusieurs centaines de milliers de personnes ont été impliquées dans les travaux effectués sur le site (les « liquidateurs »), mais, à ce jour, à part des indications d’augmentation de l’incidence des leucémies et des cataractes parmi ceux qui ont reçu les doses les plus élevées, il n’y a pas de preuve d’effets pour la santé liés à l’exposition aux rayonnements ; s’il existe des indications d’augmentation de maladies cardiovasculaires et cérébrovasculaires dans cette population corrélées avec les doses estimées, l’influence d’autres facteurs de risques (obésité, alcool, tabac) n’a pas été étudiée ;

–le manque de contre-mesures rapides à l’égard de la contamination du lait par l’iode 131 a conduit à d’importantes doses à la thyroïde de personnes du public ; cela explique une large part des 6 000 cancers de la thyroïde observés à ce jour parmi des personnes qui étaient enfants ou adolescents au moment de l’accident ; jusqu’en 2005, 15 d’entre elles sont mortes ;

–à ce jour, il n’y a aucune preuve convaincante d’autres effets sur la santé de la population qui puissent être liés à l’exposition aux rayonnements. »

Le bilan présenté comporte donc les 28 premiers décès des personnes les plus irradiés, 19 autres décès plus tardifs mentionnés avec des réserves quant à un lien avec une irradiation et 15 décès par cancer de la thyroïde. Il est à noter que les deux premiers décès par polytraumatismes (les deux opérateurs présents sur la dalle du réacteur au moment de l’explosion) ne sont pas comptabilisés.

L’UNSCEAR ne tire aucune conséquence des estimations de doses aux populations. Toutefois, l’application de la relation linéaire sans seuil, avec 5.10–2 cancer mortel par sievert (valeur non modifiée entre la publication CIPR 60 et la publication CIPR 103 – voir le chapitre 1) pour les trois populations les plus exposées conduit à une « projection » de 3 060 cancers chez les « liquidateurs », 180 chez les personnes évacuées, 3 945 pour les personnes qui sont restées dans les zones contaminées, soit un total de 7 000 environ. Le rapport de 1996 « prévoyait » de l’ordre de 8 000 cancers induits pour les mêmes populations ; la différence n’est pas significative, compte tenu des incertitudes sur les doses.

L’augmentation de l’incidence de pathologies non cancéreuses comme la cataracte ou des maladies cardio-vasculaires a également été rapportée dans certaines études. Il n’existe cependant pas de preuve tangible de la hausse de ces pathologies dans les populations exposées.

Au final, 30 ans après l’accident, il est impossible de dresser un bilan sanitaire exhaustif et définitif, du fait que les résultats disponibles sont limités par la qualité des études épidémiologiques réalisées et qu’il est difficile d’identifier précisément les populations exposées et les incertitudes associées aux estimations dosimétriques. Surtout, la surveillance des populations et la réalisation de bilans sanitaires sont rendues extrêmement compliquées par les changements socio-économiques majeurs survenus dans les régions concernées suite à la chute de l’Union soviétique.

34.6.2.Les cancers de la thyroïde chez l’enfant

Les cancers de la thyroïde survenant spontanément sont relativement rares. Leur taux d’incidence annuel est de l’ordre de 50 par million chez les adultes, deux à trois par million chez les enfants. Les femmes sont deux à trois fois plus touchées que les hommes. Ces cancers n’induisent un décès que dans moins de 10 % des cas.

L’augmentation du taux de cancers de la thyroïde après une irradiation externe avait été observée avant l’accident, mais il y avait peu d’informations disponibles sur les risques associés à une contamination interne par l’iode 131.

Dès 1990, des médecins du Bélarus ont signalé une nette augmentation de l’incidence de ces cancers chez des enfants. Progressivement, des informations analogues sont venues des zones les plus touchées de Russie et de celles d’Ukraine dont les populations n’avaient pas été rapidement évacuées et n’avaient pas reçu d’iode stable.

Ce phénomène – qui n’avait pas été anticipé – a d’abord fait l’objet d’un large scepticisme dans les milieux des spécialistes. Le lien avec la contamination de la thyroïde par l’iode radioactif ne fait maintenant plus de doute.

La population la plus touchée est celle des enfants nés avant l’accident, en particulier ceux de dix ans ou moins. Le taux d’incidence annuel a ainsi pu atteindre 120 par million, soit 40 fois la valeur relative aux cancers spontanés. La population adulte a également été touchée, même si la variation du taux d’incidence est moins spectaculaire.

La figure 34.8, tirée du rapport de l’IRSN présentant les conclusions de l’IFA900, montre l’augmentation de l’incidence des cancers de la thyroïde entre 1990 et 2000 chez les enfants du Bélarus, diagnostiqués dans la tranche d’âge 0-14 ans, qui avaient dix ans ou moins au moment de l’accident. Cet excès de risque disparaît en 2001 puisque tous les enfants nés avant avril 1986 ont dépassé cet âge.

Figure 34.8. Évolution de l’incidence annuelle des cancers de la thyroïde au Bélarus (selon l’âge au diagnostic) par million de personnes (référence IFA et registre national des cancers au Bélarus). IRSN.

Cette figure montre que des enfants exposés, maintenant devenus de jeunes adultes, sont atteints, comme le sont des personnes exposées à l’âge adulte. L’excès de cancers de la thyroïde persiste donc, plus de 25 ans après l’accident.

Pour les personnes nées après 1986, le taux est et reste équivalent à celui qui était constaté avant l’accident. Ce n’est donc pas l’attention accrue portée à ces cancers qui explique les résultats, au moins au Bélarus. En revanche, comme cette attention conduit à une détection plus précoce, le taux de décès constatés a diminué.

Des résultats similaires ont été observés pour les adolescents et les jeunes adultes en Ukraine et dans certains Oblasts fortement contaminés de la Russie.

L’évolution des cancers de la thyroïde chez l’enfant au Bélarus, en Ukraine et en Russie, est représentée sur la figure 34.9 suivante, extraite du même rapport.

Figure 34.9. Évolution jusqu’en 2001 des cancers de la thyroïde chez l’enfant au Bélarus, en Ukraine et en Russie (IFA). IRSN.

Comme cela a été indiqué plus haut, l’UNSCEAR a diffusé en 2018 un bilan actualisé de l’incidence des cancers de la thyroïde dans les régions touchées par l’accident de la centrale nucléaire de Tchernobyl (Bélarus, Fédération de Russie, Ukraine) ; il ressort de ce bilan que :

–sur un total de 19 233 cas de cancer de la thyroïde enregistrés entre 1991 et 2015 pour des personnes qui avaient moins de 18 ans au moment de l’accident, le nombre estimé en valeur moyenne de cas imputables à l’accident est de l’ordre de 5 000 ;

–il existe cependant des incertitudes très importantes sur cette estimation : le nombre de cas imputables est situé entre 700 et 10 000.

34.6.3.Contamination à long terme du bassin du Dniepr

Les dizaines de tonnes de matériaux du cœur qui ont été projetées au moment des explosions ont été repoussées au bulldozer lors du nettoyage du terrain au pied du réacteur accidenté ou enfouies dans quelque 800 fosses de stockage réparties sur le site. Ces débris ne sont protégés ni de l’écoulement des eaux de pluie dans le sol ni des remontées de la nappe phréatique. La contamination migre dans le sol par dissolution puis transport par l’eau souterraine vers les cours d’eau ou les points d’eau. Ces phénomènes sont lents mais inéluctables.

Il a été envisagé de limiter ces transferts par la construction d’une barrière géotechnique qui aurait été implantée dans le sol autour de la zone la plus contaminée incluant les quatre réacteurs. Ces travaux ont commencé dès 1986 à l’aval des écoulements souterrains. Ils ont été interrompus car ils ont conduit à une nette montée du niveau de la nappe phréatique, les eaux de pluie et les importantes fuites des circuits d’eau brute refroidissant les condenseurs ne pouvant plus s’évacuer. La montée de ce niveau qui aurait résulté d’un bouclage complet de la zone la plus contaminée, aurait conduit à noyer les sous-sols des tranches, ce qui était évidemment incompatible avec la poursuite de leur fonctionnement. Ces travaux ont été abandonnés.

L’AIEA a publié en 2006 un rapport de synthèse sur la situation radiologique du bassin du Dniepr901 et son évolution.

À un kilomètre de la centrale, un grand réservoir (150 000 m3) avait été construit pour servir de source froide pour les différentes tranches de la centrale. Il était alimenté par pompage dans la rivière Pripyat et séparé de celle-ci, en aval, par un barrage.

Ce réservoir a été considérablement contaminé, en particulier par les 5 000 m3 d’eau provenant des sous-sols de la tranche accidentée qui y ont été rejetés. Il contient plus de 200 TBq de radionucléides qui sont, pour l’essentiel, concentrés dans les sédiments du bassin. Ils migrent de plusieurs centimètres par an vers la rivière Pripyat qui se jette dans le Dniepr. En cas de mauvaise gestion des vannes de liaison aval avec la rivière Pripyat, voire en cas de rupture du barrage en aval, les transferts de radioactivité pourraient être beaucoup plus brutaux.

Des cours d’eau du bassin du Dniepr, c’est évidemment la rivière Pripyat – dont le bassin draine les régions les plus contaminées du Bélarus et d’Ukraine – qui est la plus contaminée.

Une part significative de la zone d’exclusion de 30 km de rayon qui entoure le site est une zone inondable, noyée plusieurs fois par an, en particulier lors de la fonte des neiges. Les dépôts en surface, essentiellement de césium et de strontium depuis la disparition de l’iode par décroissance radioactive, sont régulièrement balayés par des inondations. Cela contribue à diminuer les concentrations locales, à augmenter celles des lacs et des étangs de la zone, et diffuse la contamination vers l’aval. Les poissons des lacs et des étangs sont particulièrement contaminés.

Le suivi de la concentration du césium 137 et de celle du strontium 90 dans les eaux du Dniepr montre l’effet des crues et des inondations, mais aussi de la fixation du césium dans les sédiments.

Les concentrations de ces radionucléides dans l’eau des bassins d’alimentation de la ville de Kiev étaient, dès la fin des années 1990, suffisamment faibles pour que cette eau soit considérée comme potable (voir la figure 34.10).

De l’ordre de 90 TBq de strontium 90, soit 1 % des rejets, ont été transportés jusqu’à la Mer Noire ; en 2000, sa concentration était toujours mesurable dans l’eau de l’embouchure du Dniepr.

Pour le césium 137, le transport jusqu’à la Mer Noire a été de l’ordre de 4 TBq, soit 5.10–5 des rejets ; dès le milieu des années 1990, sa concentration n’était plus suffisante pour qu’il soit possible de le distinguer du bruit de fond.

Figure 34.10. Concentrations du césium 137 et du strontium 90 au barrage de Kiev (1986-2001). IRSN (source IAEA, 2006 [voir nota 901]).

34.7.Les retombées radioactives en France
et leurs conséquences

L’IRSN a publié en 2007 un ouvrage902 qui mettait à jour les connaissances sur les retombées radioactives de l’accident de Tchernobyl en France et leurs conséquences ; ce bilan a été actualisé en 2016903. On ne donne ci-après que quelques éléments sur ce sujet, en renvoyant le lecteur à ces communications pour plus de précisions.

34.7.1.Doses dues au panache

La France a surtout été concernée par les rejets du 27 avril 1986, portés par des vents d’est puis de sud-est. L’augmentation des activités dans l’air a été brutale entre le 30 avril et le 1er mai, notamment dans le nord-est du pays. L’activité volumique moyenne de césium 137 dans l’air du 1er au 5 mai 1986 allait de quelques Bq.m–3 à moins de 0,15 Bq.m–3 d’est en ouest.

Les mesures très complètes du contenu des panaches faites par l’IPSN à sa station de prélèvement atmosphérique de Verdun où les activités volumétriques les plus élevées ont été observées (5,5 Bq.m–3 de césium 137 le 1er mai) ont permis d’évaluer les doses, par inhalation et par exposition externe, dues à leur passage. Pour Verdun, la dose efficace par inhalation est estimée à 46 µSv pour un adulte ; la dose équivalente à la thyroïde d’un enfant de un an, le plus sensible, y est estimée à 470 µSv. Au même lieu, les doses par exposition externe au panache sont très inférieures à ces valeurs.

Plus à l’ouest ou plus au sud, les doses ont été plus faibles : dix fois plus faibles dans le Cotentin, par exemple.

34.7.2.Doses externes dues aux dépôts au sol

Les dépôts radioactifs sont plus importants lorsqu’il pleut. À partir de mesures des dépôts radioactifs rémanents réalisées dans tout l’est du pays, et en établissant la relation entre les activités déposées et les pluies survenues entre le 1er et le 5 mai 1986, une cartographie des dépôts sur l’ensemble du pays a été établie par l’IRSN (voir la figure 34.11). Cette cartographie présente une France très contrastée avec des dépôts de césium 137 beaucoup plus élevés et très hétérogènes sur un tiers est de la France, dépassant localement 20 000, voire 40 000 Bq.m–2 en relation avec des précipitations elles-mêmes très hétérogènes, et des dépôts plus faibles (moins de 5 000 Bq.m–2) et plus homogènes sur le reste du pays.

Figure 34.11. Dépôts de césium 137 sur la France reconstitués par l’IRSN (reconstitution mise à jour – modèle 2005). IRSN.

De son côté, la CRIIRAD904 a publié en 2002 un atlas de la contamination en France, fondé sur des mesures in situ faites en 1999 et 2000, complétant des mesures plus anciennes. Les deux approches donnent des résultats concordants.

Il a été indiqué plus haut qu’à une activité surfacique de 1 000 Bq.m–2 de césium 137 correspondait une exposition externe moyenne de 10 µSv la première année. Ainsi, pour une personne résidant dans une des communes les plus touchées de France (40 000 Bq.m–2 de césium 137), la dose externe due aux dépôts radioactifs a pu atteindre 400 µSv pour l’année 1986 – 25 fois inférieure à celles de populations non déplacées proches de Tchernobyl.

34.7.3.Doses dues à l’ingestion de produits contaminés

Le document publié en 2007 par l’IRSN déjà évoqué explicite les différents mécanismes à prendre en compte pour évaluer les doses dues à l’ingestion de produits contaminés.

Les niveaux de contamination les plus élevés observés dans les denrées alimentaires ont été atteints immédiatement après les dépôts, notamment dans les légumes-feuilles (salades, épinards, choux…) et le lait (voir la figure 34.12), puis la viande de bœuf ; ces légumes et l’herbe pâturée ayant directement reçu les dépôts radioactifs sur leurs feuilles. Les activités ont ensuite rapidement diminué (disparition de l’iode par décroissance radioactive et croissance des végétaux pour le césium). Les doses efficaces engagées moyennes en 1986 pour les adultes vont de l’ordre de 300 µSv à l’est de la France à moins de 50 µSv à l’ouest.

Figure 34.12. Gammes des valeurs de contamination par le césium 137 et l’iode 131 au cours de la première quinzaine de mai 1986, dans les légumes-feuilles, le lait et les céréales. IRSN.

Les doses efficaces annuelles ont ensuite beaucoup baissé. Dès 1987 en effet, les productions agricoles et celles de l’élevage ont été contaminées essentiellement via le sol ; cette contamination durable est beaucoup plus faible que celle qui a résulté des dépôts foliaires de mai 1986.

34.7.4.Bilan global

En France, au milieu des années 2010, certaines zones témoignent encore de niveaux de radioactivité supérieurs ou très supérieurs à ceux observés dans le reste du pays. Dénommées « zones de rémanence de la radioactivité artificielle », elles sont identifiables grâce au césium dont la contamination persiste encore dans les sols. L’activité surfacique dépasse 10 000 Bq/m3 pour les zones impactées par l’accident de Tchernobyl (zones où les précipitations ont été les plus importantes dans les jours qui ont suivi l’accident)905 et 3 000 Bq/m3 pour celles concernées par les retombées des anciens essais aériens d’armes nucléaires.

Concernant les denrées alimentaires, l’activité de césium 137 dans le lait prélevé dans les zones de rémanence (0,32 Bq/L en moyenne) est plus élevée que celle du lait prélevé ailleurs (au maximum 0,03 Bq/L).

La dose efficace cumulée de 1986 à 2006 du fait des retombées de l’accident de Tchernobyl avait été estimée à 4,5 mSv pour un adulte906 résidant dans les zones les plus touchées de France. Cela correspondait à moins du dixième de la dose moyenne délivrée en 20 ans par la radioactivité naturelle. 30 % de cette dose cumulée avait été reçue en 1986 et 1987. La contribution de l’année 2006 n’était plus que de 1 %. Pour l’ouest de la France, les valeurs étaient dix fois plus faibles.

La figure 34.13 ci-après montre la décroissance régulière des doses annuelles estimées en France (en mSv/an) de 1986 jusqu’au milieu des années 2010.

34.7.5.Les cancers de la thyroïde

L’Institut national de veille sanitaire (InVS907) a cherché à apprécier par des études épidémiologiques les taux d’incidence des cancers de la thyroïde en France et leurs évolutions dans les départements français disposant de registres adaptés, mais aussi en Corse ; ces études ont fait l’objet de rapports publiés respectivement en 2011908 et 2012909.

Figure 34.13. Évaluation des doses efficaces moyennes dues aux retombées de l’accident de Tchernobyl en France jusqu’au milieu des années 2010 (exposition externe et exposition par ingestion). Agence Kazoar/IRSN.

34.7.5.1.Suivi des cancers de la thyroïde en France

Le système de surveillance des cancers de la thyroïde repose prioritairement sur des registres des cancers : 15 départements sont couverts par des registres généraux ; un registre spécialisé dans l’enregistrement des cancers de la thyroïde regroupe les départements de la Marne et des Ardennes depuis 1975. La couverture sur la période 1982-2006 est de l’ordre de 20 % de la population française. Ce dispositif est complété par une surveillance à partir des bases médicales administratives (bases de l’assurance maladie et bases hospitalières), disponibles rapidement.

Les résultats sont regroupés dans l’étude de A. Rogel (InVS) de 2011 (nota 908). Pour cette étude, le choix a été fait de suivre l’évolution des cancers papillaires, les plus nombreux ; ils constituent les cancers dont l’augmentation a été la plus élevée et ce sont ceux qui sont le plus susceptibles d’être constatés après une exposition à l’iode 131. Pour neuf départements, les résultats sont disponibles de 1982 à 2006.

Entre 1982 et 2006, l’augmentation de l’incidence du cancer de la thyroïde est significative pour les deux sexes, avec un taux d’augmentation annuel moyen de 6 %. L’augmentation est encore supérieure pour les cancers papillaires avec un taux d’augmentation annuel moyen supérieur à 8 % par an pour les deux sexes.

La croissance de l’incidence du cancer de la thyroïde s’est nettement atténuée au cours de la période 2002-2006 par rapport à la période 1982-2002, avec une augmentation moins forte et non significative aussi bien chez les hommes que chez les femmes. Ce changement est en grande partie lié au ralentissement de l’augmentation de l’incidence des cancers papillaires à partir de 2001.

Les résultats ont été regroupés dans l’étude de L. Pascal (InVS) de 2012 (nota 909), sur deux périodes plus courtes, 1998-2002 et 2003-2006, pour un plus grand nombre de départements. Le Bas-Rhin, le Haut-Rhin, l’Isère et le Doubs à l’est font partie de la zone 1, les Ardennes, la Marne et l’Hérault sont en zone 2, la Somme et le Tarn sont en zone 3, le Calvados, la Manche, la Loire atlantique et la Vendée, les plus à l’ouest, sont en zone 4. Il ressort de cette étude que les deux départements alsaciens sont parmi les départements les moins affectés alors que la Vendée est parmi ceux qui le sont le plus (incidence pouvant aller jusqu’à 6 pour 100 000 à 95 % de confiance pour les hommes et 20 pour les femmes). L’Isère qui est largement affectée pendant la deuxième période, pour les femmes et les hommes, l’était beaucoup moins pendant la première.

Il n’y a donc pas de corrélation entre ces résultats et l’incorporation d’iode 131 par l’alimentation en 1986, la Vendée ayant été nettement moins touchée par les retombées radioactives que l’Alsace.

Pour la Corse, l’étude de L. Pascal fait apparaître des valeurs d’incidence de cancers de la thyroïde plus élevées que pour la France métropolitaine uniquement dans la période 1998-2002 et pour les hommes (incidence pouvant aller jusqu’à 10 pour 100 000 à 95 % de confiance). L’incidence de cancers en Corse a ensuite décru pour se situer au niveau de celles de l’Isère ou de la Vendée.

34.7.5.2.Évaluation du nombre de cancers induits en France par l’accident de Tchernobyl

Ce sont les enfants nés dans les 15 années précédant mai 1986 et ayant vécu dans 25 départements de l’est de la France (zone 1 en rouge de la carte de la figure 34.12) qui ont la probabilité la plus élevée d’être affectés d’un cancer de la thyroïde. Les recensements indiquent qu’ils sont au nombre de 2,27 millions.

Les doses équivalentes à la thyroïde des enfants qui résidaient dans la zone 1 de la figure 34.12 sont mentionnées dans le tableau 34.3. Ces doses sont dues à l’iode 131 (pour plus de 90 %) et à l’iode 132 (provenant du tellure 132) et ont été reçues dans les trois premiers mois suivant les dépôts radioactifs. Derrière ces moyennes déterminées pour des comportements alimentaires et des pratiques standards, se cache une variabilité importante liée principalement à la fraîcheur des denrées consommées. Ainsi, une personne ne consommant que des denrées de conserve (lait UHT, boîtes, surgelés) aura reçu une dose beaucoup plus faible quel que soit son lieu de résidence.

Tableau 34.3. Dose équivalente à la thyroïde en fonction de l’âge en 1986.

Enfant de

3 mois

1 an

5 à 9 ans

10 à 14 ans

Dose équivalente à la thyroïde (mGy)

1,9 ± 0,6

9,8 ± 3,2

6,0 ± 1,9

2,9 ± 0,9

Sur la base de ces estimations de doses, une évaluation quantitative du risque de cancers de la thyroïde a été réalisée par l’IRSN. Cette évaluation s’est appuyée sur des relations dose-réponse sans seuil issues de la littérature scientifique pour estimer, par le calcul, le nombre de cas attribuables à une exposition donnée.

En raison du délai de latence entre l’exposition de la thyroïde aux rayonnements ionisants et l’apparition d’un cancer de cet organe, les évaluations du nombre de cancers spontanés (dues à d’autres causes) et du nombre de cancers « attendus » en excès du fait de l’accident de Tchernobyl portent sur les périodes 1991-2000 et 1991-2015.

Tableau 34.4. Estimations du nombre des cancers de la thyroïde « spontanés » et intervalles de confiance du nombre de cancers en excès chez les personnes qui étaient âgées de moins de 15 ans en 1986 et qui résidaient dans la zone 1.

Période

Nombre de cancers « spontanés »

Nombre
de cancers
« en excès »

Pourcentage « en excès »
par rapport au nombre de cancers « spontanés »

1991-2000

97 ± 20

entre 0,5 et 22

0,5 à 23 %

1991-2015

899 ± 60

entre 6,8 et 55

0,8 à 6 %

Ces résultats montrent que les « excès » de cas estimés sont inférieurs ou comparables aux incertitudes sur les estimations du nombre de cancers « spontanés » ; ces excès sont dès lors difficilement détectables par des études épidémiologiques.

34.8.Les enseignements généraux tirés à l’international et pour la filière des RBMK

En premier lieu, les réflexions engagées dès après l’accident de Tchernobyl militèrent notamment pour une vision plus internationale de la sûreté nucléaire et se concrétisèrent en particulier par différents rapports de l’INSAG, groupe alors récemment créé auprès de l’AIEA910, parmi lesquels on peut citer le rapport INSAG de 1986 intitulé « Summary Report on the Post-Accident Review Meeting on the Chernobyl Accident » (Safety Series No.75-INSAG-1), dans lequel apparaît la notion de culture de sûreté, qui sera approfondie en 1991 dans le rapport de l’INSAG intitulé « Safety Culture » (Safety Series No.75-INSAG-4). En 1992, le rapport INSAG-1 a fait l’objet d’une révision conduisant au rapport INSAG-7.

Pour ce qui concerne plus particulièrement les réacteurs de la filière RBMK, au-delà des modifications indiquées au paragraphe 34.3, des enseignements plus généraux ont été tirés, parmi lesquels on peut citer :

–les insuffisances en matière de retour d’expérience partagé entre opérateurs et concepteurs ; outre l’incident déjà mentionné survenu en 1983 à la centrale d’Ignalina, qui n’avait conduit à aucune modification ou disposition restrictive d’exploitation des RBMK, un autre incident était survenu en 1975 dans le réacteur n° 1 de la centrale de Leningrad, qui peut être considéré comme un précurseur de l’accident de Tchernobyl : il s’est terminé par la rupture d’un tube de force après une séquence d’événements assez semblable à celle qui a précédé l’accident de Tchernobyl, à savoir un fonctionnement prolongé à 50 % de la puissance nominale, suivi par un arrêt complet, avant un recouplage au réseau. Empoisonnement neutronique par le xénon, fortes perturbations dans la distribution du flux neutronique, obstination des opérateurs à poursuivre la montée en puissance, marge insuffisante en termes de réactivité (l’équivalent de moins de 15 barres insérées) constituent les traits dominants de cet incident, qui a probablement conduit à une excursion nucléaire limitée à une zone du réacteur. Les opérateurs de la centrale de Tchernobyl n’avaient pas connaissance de la nature et des causes de cet incident ;

–l’insuffisance du système de contrôle et d’autorisation dans les pays de l’Union soviétique ; la commission d’enquête soviétique a elle-même constaté que la centrale de Tchernobyl ne respectait pas les règles et standards de sûreté soviétiques en vigueur au moment même de sa construction, au milieu des années 1970 ;

–la nécessité que le personnel d’exploitation dispose de documents clairs et non contradictoires entre eux, respecte les règles d’exploitation (cela incluant notamment les règles relatives aux inhibitions de systèmes de protection) ainsi que les modes opératoires d’essais, ou n’en dévie qu’après analyse de sûreté avec les personnes compétentes.

L’organisation de la sûreté et les méthodes et procédures d’autorisation et d’inspection dans les pays de l’Union soviétique ont ensuite évolué.

Plus spécifiquement, dans le domaine de la formation des équipes de conduite, un programme d’entraînement sur simulateurs dans toutes les situations, même sérieusement perturbées, a été mis en place.

Les personnels de conduite ont acquis progressivement la formation qui semble leur avoir fait défaut au moment où ils débranchaient les sécurités ou sortaient des limites de fonctionnement autorisées.

34.9.Les enseignements tirés en France

Au plan technique, les caractéristiques des réacteurs de la filière RBMK sont trop différentes de celles des réacteurs français pour une transposition directe. Toutefois, les informations obtenues dans les mois qui suivirent l’accident de Tchernobyl amenèrent à un certain nombre de questionnements et d’initiatives à l’égard des réacteurs exploités en France, qu’il est utile de rappeler.

Les réacteurs de puissance exploités en France sont dotés de systèmes d’arrêt d’urgence rapides automatisés, avec une possibilité d’arrêt d’urgence manuel.

Bien que les réacteurs de la filière à neutrons rapides, tous arrêtés en France depuis 2009, soient hors du domaine traité dans le présent ouvrage, quelques mots s’imposent néanmoins à leur sujet, dans la mesure où la question des similitudes pouvant exister avec les RBMK s’est tout particulièrement posée à la suite de l’accident de Tchernobyl, au cours duquel, comme cela a été montré plus haut, le coefficient de vide positif du fluide de refroidissement a joué un rôle essentiel. Si les réacteurs à neutrons rapides concernés pouvaient en effet être sujets à un apport de réactivité en cas d’ébullition ou de vidange de leur fluide de refroidissement (sodium liquide), une différence importante entre les réacteurs à neutrons rapides et les RBMK provenait du fait que le sodium n’est pas sous pression dans les réacteurs à neutrons rapides et qu’il était, dans les conditions normales ou incidentelles, à une température inférieure d’environ 300 °C à sa température d’ébullition. Dans certaines conditions accidentelles, il était envisageable d’atteindre une ébullition locale mais le réacteur était arrêté par le système de protection avant qu’il n’y ait un risque d’ébullition généralisée. Les réacteurs à neutrons rapides étaient dotés d’une surveillance thermique individuelle de chaque assemblage combustible et de systèmes d’arrêt d’urgence multiples. Par ailleurs, il avait été prescrit par les décrets d’autorisation de création des réacteurs PHENIX et SUPERPHENIX de tenir compte d’un accident de fusion du cœur avec dégagement d’énergie pour la conception de leur confinement.

Les réacteurs à eau ne peuvent pas être sujets à une augmentation de puissance en cas d’ébullition ou de vidange du fluide caloporteur. Cependant, un programme d’études complémentaires sur les possibilités d’accidents de réactivité qui n’auraient pas été envisagés à la conception a été mené en collaboration entre Électricité de France, Framatome et l’IPSN ; il a permis de détecter une première séquence accidentelle préoccupante, présentée au chapitre suivant. Le programme d’études a alors été complété par un réexamen de l’ensemble des études d’accident de réactivité effectuées précédemment pour vérifier leur cohérence et leur exhaustivité, par la recherche des marges disponibles (par exemple étude du retrait rapide de deux ou trois barres de commande et non plus d’une seule) et par la recherche de nouvelles séquences envisageables dans les différents états de fonctionnement et les situations accidentelles.

D’autres sujets ont fait l’objet d’un examen spécifique dans le cadre du retour d’expérience de l’accident de Tchernobyl ; il s’agit notamment :

–de la culture de sûreté,

–des possibilités d’inhibition des actions de sécurité ou de sauvegarde,

–des possibilités d’intervention sur les sites en cas d’accident grave,

sujets également examinés pour d’autres installations que les réacteurs du parc électronucléaire.

En France, la formation des opérateurs, la composition des équipes lors d’essais particuliers, les procédures d’évaluation et d’autorisation de tels essais ont été reconnues comme étant de nature à éviter un enchaînement du type de celui de l’accident de Tchernobyl.

Il a été vu qu’un changement d’horaire911 a perturbé une partie des conditions de l’essai prévu dans la tranche n° 4 de la centrale de Tchernobyl, affectant le niveau d’empoisonnement du cœur du réacteur par le xénon, donc la marge de réactivité. L’effet de modifications dans l’ordonnancement d’activités peut être très variable. Deux activités incompatibles, au moins au regard des spécifications techniques d’exploitation, peuvent alors être menées simultanément. Cette leçon vaut d’être retenue partout, en particulier pour la gestion des situations d’arrêt.

Concernant les inhibitions, l’IPSN a mené, en liaison avec Électricité de France, un travail approfondi d’évaluation des possibilités matérielles et humaines d’un fonctionnement avec des sécurités inhibées et des cas observés de non-respect des spécifications techniques d’exploitation pour en déterminer les causes et définir les mesures correctives appropriées. L’évaluation des possibilités d’inhibition a porté sur les systèmes automatiques de protection et de sauvegarde (systèmes d’arrêt d’urgence, d’injection de sécurité, d’aspersion d’eau dans l’enceinte de confinement), en détaillant :

–les inhibitions volontaires que l’exploitant est amené à réaliser (par exemple pour effectuer des essais ou des opérations d’entretien) et leur signalisation,

–les moyens de mettre en évidence des inhibitions involontaires.

L’évaluation a permis de faire ou de refaire le point sur des aspects concrets tels que :

–le report d’informations en salle de commande concernant la mise hors service d’équipements ;

–la prévention des erreurs de lignage des circuits (erreurs de positionnement de vannes…) et leur détection, sujet qui avait déjà fait l’objet d’actions après l’accident de Three Mile Island (installation de capteurs de fin de course avec renvoi de la position des vannes en salle de commande) ;

–les règles d’exploitation applicables en état d’arrêt à froid, état au cours duquel il est admis de pouvoir mettre hors service certaines parties des systèmes de protection et de sauvegarde pour entretien préventif par exemple. Dès 1983, un bilan avait montré qu’au prorata du temps passé, les incidents significatifs étaient plus nombreux en arrêt à froid qu’en tranche en puissance et ce fait était attribué au nombre important d’interventions en arrêt à froid. Les règles d’exploitation en arrêt à froid ont été durcies dès l’été de 1986 ;

–le caractère suffisant de la surveillance des consignations d’équipements, sachant qu’il y a annuellement plus d’un millier de consignations dans un réacteur. L’accident de Tchernobyl a aussi été l’occasion de réexaminer les risques d’oubli de remise en service d’équipements après consignation.

C’est toutefois dans des domaines plus généraux que se trouvent les enseignements les plus importants de l’accident de Tchernobyl. Outre celui de la culture de sûreté évoqué plus haut, la gestion concrète d’un site à plusieurs tranches dont l’une serait accidentée en est un autre. Plus généralement, la question de la gestion d’une situation post-accidentelle se pose. L’ampleur des moyens nécessaires après un tel accident est impressionnante, qu’il s’agisse des mesures de radioactivité dans les installations, sur le site et dans l’environnement, des possibilités d’intervention sur le site et sur la tranche accidentée, de la maîtrise d’incendies dans des conditions ambiantes fortement radioactives, de l’évacuation d’un grand nombre de personnes, du traitement de celles qui ont été gravement irradiées, de la protection contre l’extension de la dissémination de la radioactivité ou de la décontamination de zones importantes, de la surveillance des chaînes alimentaires et du suivi médical des populations concernées. L’accident survenu à la centrale nucléaire de Fukushima Daiichi au mois de mars 2011 a rappelé l’importance de telles préoccupations (voir le chapitre 36).

Après l’accident de Tchernobyl, l’ensemble des exploitants nucléaires français ont créé en 1988 un groupement d’intérêt économique, le Groupe d’intervention robotique sur accident (INTRA)912, pour constituer, exploiter et maintenir une flotte d’engins robotisés télé-opérés capables d’intervenir 24 heures sur 24 en cas d’accident nucléaire de grande ampleur dans les installations des trois entreprises membres ; il est implanté sur le site de la centrale nucléaire de Chinon.

De plus, par une directive interministérielle de 2005, la Direction générale de la sûreté nucléaire et de la radioprotection, devenue depuis Autorité de sûreté nucléaire, a été chargée d’établir le cadre et de définir, préparer et mettre en œuvre les dispositions nécessaires pour répondre aux situations post-accidentelles consécutives à un accident nucléaire, ce qui a conduit à la création du CODIRPA (Comité directeur pour la gestion de la phase post-accidentelle d’un accident nucléaire), au sein duquel sont associées les parties concernées, nationales ou locales : pouvoirs publics, exploitants, associations (ANCCLI…), organismes d’expertise parmi lesquels Santé publique France, l’IRSN, etc. Dans ce cadre, différents groupes de travail ont été chargés d’élaborer des éléments de doctrine sur des sujets tels que la levée des actions d’urgence de protection des populations, la réduction de la contamination en milieu bâti, la vie dans les territoires ruraux contaminés, les questions relatives à l’eau (impact de l’accident, gestion des ressources), la gestion des déchets, le suivi sanitaire des populations, ou encore l’évaluation des conséquences radiologiques et dosimétriques. Le CODIRPA a émis des premiers éléments de doctrine en 2012913.

Par ailleurs, de nombreux programmes de recherche ont permis d’améliorer la modélisation de la diffusion et des dépôts de radionucléides rejetés dans l’atmosphère. Il en a été vu l’application dans ce chapitre.

Enfin, dans un domaine important mais assez éloigné des aspects purement techniques, celui de l’information du public et de la communication, les difficultés rencontrées ont amené des réflexions sur la nécessité d’une plus grande transparence en matière de sûreté nucléaire et de radioprotection.

34.10.Information du public et communication

Les quelques jours qui ont suivi l’accident de Tchernobyl, et plus encore les mois suivants, ont confirmé la grande difficulté qu’avaient le public et ceux qui l’informent à se faire une idée précise de la gravité relative des incidents, accidents ou simples anomalies qui se produisent dans les centrales nucléaires et qui sont portés à leur connaissance.

Les critères de sélection des événements intéressant la sûreté et des incidents (ou événements) significatifs (voir le chapitre 21) sont tournés largement vers les conséquences potentielles des événements et sur leur caractère précurseur de situations sévères pour le réacteur ; ils ne sont pas directement utilisables pour l’appréciation des faits par un public non spécialisé.

Dès 1987, le Conseil supérieur de la sûreté et de l’information nucléaires a suggéré que soit établie une échelle de gravité, simple à comprendre et facile à utiliser, permettant le classement des incidents sur la base de critères factuels.

Un groupe de travail regroupant des journalistes, des représentants d’Électricité de France et des organismes de sûreté, a été réuni à cet effet. Il a proposé, en 1988, un système de classement inspiré, dans son esprit, des échelles descriptives des phénomènes sismiques, intitulé « échelle de gravité des incidents et accidents dans les réacteurs électronucléaires ». Il était clair dès l’origine que cette échelle n’avait pas vocation à se substituer aux critères propres à l’analyse de sûreté, mais devait être un outil supplémentaire, indépendant, destiné à faciliter la communication hors des milieux spécialisés, en faisant mieux ressortir l’importance relative des différents événements. Les niveaux allaient de 1 (incident mineur) à 6 (accident majeur), en fonction de critères comme les conséquences à l’intérieur et à l’extérieur du site nucléaire concerné et l’affaiblissement de la défense en profondeur.

Cette échelle préfigure l’échelle INES, issue de réflexions menées au niveau international. Ce travail de réflexion et ses premières conclusions ont été repris par l’OCDE et l’AIEA qui ont défini une « échelle internationale des événements nucléaires » (International Nuclear Event Scale – INES). La version initiale, centrée sur les centrales nucléaires, a été utilisée dès le début des années 1990.

Par rapport à l’échelle proposée en France, l’échelle INES comporte en plus un niveau 0 pour les événements n’ayant aucune importance au plan de la sûreté et un niveau 6 intermédiaire entre les accidents tels que Three Mile Island (niveau 5) et Tchernobyl ; l’accident de Tchernobyl passe au niveau 7 (l’accident de la centrale nucléaire de Fukushima Daiichi sera aussi classé au niveau 7).

L’échelle INES a été étendue par la suite pour être utilisable pour toutes les installations de l’industrie nucléaire civile. Puis, dans les années 2000, elle a été adaptée pour répondre aux besoins croissants de communication sur l’importance de tous les événements associés au transport, à l’entreposage et à l’utilisation de matières radioactives et de sources de rayonnements. Une représentation très schématique de l’échelle INES est donnée sur la figure 34.14. Un guide de l’AIEA (« The International Nuclear and Radiological Event Scale – User’s Manual, 2008 Edition ») en précise les modalités d’application – en fixant quelques seuils en termes de débit de dose d’irradiation pour classer des événements d’exposition radiologique de personnes.

Figure 34.14. Communication vers le public pour les événements survenant dans les installations : l’échelle INES. Georges Goué/IRSN.

Il faut cependant veiller à ce que cette échelle reste bien un moyen d’information externe simple d’utilisation et ne soit pas utilisée comme indicateur de la sûreté des différentes installations ou des différents pays, ce qui perturberait sérieusement la sérénité des déclarations et des classements.

En tout état de cause, l’emploi de cette échelle nécessite des précautions pour éviter qu’elle ne conduise à des comparaisons trompeuses. En France, tous les événements (incidents et accidents nucléaires) doivent être déclarés à l’Autorité de sûreté nucléaire par les exploitants, sous 48 heures ouvrées, avec une proposition de classement sur l’échelle INES. Cette proposition est examinée par l’Autorité de sûreté nucléaire (généralement avec l’IRSN), qui demeure responsable de la décision finale de classement. L’utilisation de cette échelle permet à l’Autorité de sûreté nucléaire de sélectionner, parmi l’ensemble des événements qui surviennent, ceux qui ont une importance suffisante pour faire l’objet d’une communication de sa part :

–les événements classés au niveau 0 de l’échelle INES ne font l’objet d’un avis d’incident que s’ils présentent un intérêt particulier ;

–les événements classés au niveau 1 de l’échelle INES font systématiquement l’objet d’un avis d’incident publié sur le site internet de l’ASN ;

–les événements classés au niveau 2 et au-delà de l’échelle INES font, en complément, l’objet d’un communiqué de presse et d’une déclaration à l’AIEA.

34.11.Après l’accident de Tchernobyl

En conclusion, l’accident de Tchernobyl n’a pas remis en cause les fondements de la sûreté des réacteurs de production d’énergie des pays occidentaux.

Pourtant, si l’on peut dire que l’accident de Three Mile Island a fait passer la fusion d’un cœur de réacteur du stade de résultat d’un code de calcul à celui de la réalité, l’accident de Tchernobyl a transformé des formules théoriques de relâchement de produits de fission et des abaques de diffusion atmosphérique en drames humains à long terme, en batailles d’experts et en hésitations politiques à l’échelle d’un continent au moins.

Il a aussi rendu nécessaires de nouveaux progrès de la sûreté de toutes les installations dans le monde et motivé des études et recherches qui ont permis d’acquérir de nouvelles connaissances dans des domaines complexes tels que :

–les accidents de réactivité dans les réacteurs à eau,

–les accidents graves,

–les transferts de substances radioactives dans l’air, dans les sols et dans les aliments,

–les effets des rayonnements ionisants sur l’homme et sur l’environnement.

L’accident de Tchernobyl a également mis en lumière la complexité des questions soulevées par une contamination durable de territoires en cas d’accident grave dans un réacteur et motivé un certain nombre d’initiatives dans ce domaine – dont la création du CODIRPA en France évoquée plus haut.

Vidéos pouvant être consultées pour compléter le chapitre

Le déplacement du panache
de Tchernobyl

Le déplacement du panache
de Tchernobyl (modélisation)

Les territoires contaminés
autour de Tchernobyl

Le sarcophage de Tchernobyl

884.Reaktor Bolshoy Moshchnosti Kanalnyi.

885.« The Chernobyl Accident: Updating of INSAG-1 » – Safety series No. 75-INSAG-7 – 1992.

886.Cet essai faisait partie des essais de démarrage, mais n’avait pas été réalisé pour le réacteur n° 4 de la centrale de Tchernobyl. Il avait été réalisé pour d’autres réacteurs, de 1982 à 1986, sans incident rapporté.

887.L’irradiation du graphite par les neutrons provoque des dommages dans le réseau cristallin de ce matériau qui s’accumulent si la température du graphite est inférieure à 350 °C. Ces défauts retiennent chacun une certaine quantité d’énergie. Si la température du graphite devient supérieure à 350 °C, le réseau cristallin reprend sa forme stable et l’énergie stockée est immédiatement libérée. C’est le phénomène qui s’est produit dans le réacteur de Windscale au Royaume-Uni en 1952.

888.Le financement est assuré en grande partie par les pays européens et la Banque européenne pour la reconstruction et le développement (BERD).

889.Le rapport INSAG-7 et les rapports soviétiques soulignent que, bien avant l’accident de Tchernobyl, les concepteurs n’étaient pas dans l’ignorance des risques liés aux caractéristiques propres des RBMK, sans pour autant que cela se traduise concrètement par des modifications ou des restrictions d’exploitation.

890.UNSCEAR 2008 Report to the General Assembly with Scientific Annexes intitulé « Sources and Effects of Ionizing Radiation », disponible à l’adresse suivante :

http://www.unscear.org/docs/reports/2008/11-80076_Report_2008_Annex_D.pdf.

891.« Health Effects of the Chernobyl Accident and Special Health Care Programmes ». Report of the UN Chernobyl Forum Expert Group » – Genève, 2006, disponible à l’adresse suivante :

http://www.who.int/entity/ionizing_radiation/chernobyl/en/index.html.

892.« Environmental Consequences of the Chernobyl Accident and their Remediation: Twenty Years of Experience ». Report of the Chernobyl Forum Expert Group « Environment » – IAEA, 2006.

893.Rapport de l’UNSCEAR intitulé « Evaluation of Data on Thyroid Cancer in Regions Affected by the Chernobyl Accident », 2018.

894.Soit 50 à 60 % de l’activité d’iode 131 contenue dans le combustible du cœur.

895.Soit 20 à 40 % de l’activité du césium 137 contenue dans le cœur.

896.Cette zone d’exclusion, toujours en vigueur, est aussi appelée officiellement « zone d’aliénation de la centrale nucléaire de Tchernobyl ». Elle a une superficie de 2 600 km2, à cheval sur les territoires ukrainien et biélorusse. Un retour de populations n’y est pas envisageable avant longtemps ; les éléments radioactifs tels que le césium 137 ou le strontium 90 n’ont en effet perdu que la moitié de leur activité depuis 1986. Pourtant une centaine de personnes, voire un millier selon d’autres sources d’information, vivent illégalement dans cette zone, qui en outre a été ouverte au tourisme…

897.Calcul effectué avec les coefficients regroupés dans la base ECRIN de l’IRSN. Il s’agit d’une base de données validées et référencées de coefficients de dose pour le calcul des doses reçues par l’homme. ECRIN couvre les doses dues à l’irradiation externe (exposition au panache, au dépôt au sol ou à l’immersion dans l’eau), à la contamination interne par inhalation et ingestion, qu’elles soient reçues par des travailleurs ou par des personnes du public de différentes classes d’âge.

898.L’IRSN a pour sa part publié en 2007 l’ouvrage « Les retombées radioactives de l’accident de Tchernobyl sur le territoire français », Philippe Renaud, Didier Champion et Jean Brenot, Collection sciences et techniques, éditions Lavoisier.

899.Doses dues au rayonnement gamma allant jusqu’à 16 Gray au corps entier, 500 Gray à la peau.

900.Rapport « L’IRSN présente les conclusions de l’Initiative franco-allemande (IFA) pour Tchernobyl », septembre 2005, disponible à l’adresse suivante :

https://www.irsn.fr/FR/Actualites_presse/Actualites/Documents/IRSN_conclusions_ifa.pdf.

901.« Radiological Conditions in the Dnieper River Basin », Radiological Assessment Reports Series, IAEA, 2006.

902.Philippe Renaud, Didier Champion, Jean Brenot : « Les retombées radioactives de l’accident de Tchernobyl sur le territoire français », Collection sciences et techniques, éditions Lavoisier, 2007.

903.« 1986-2016 : Tchernobyl, 30 ans après/Impacts de l’accident de Tchernobyl en France et en Europe », page internet IRSN, 2016.

904.Commission de recherche et d’information indépendantes sur la radioactivité.

905.Dans des prairies des Alpes du Sud, des « points chauds » sont observés sur de très petites surfaces, d’activités supérieures à 100 000 Bq/m3.

906.Les doses efficaces reçues par les adultes sont toujours supérieures à celles qui ont été reçues par les enfants en raison d’une consommation alimentaire plus élevée et d’une durée de présence à l’extérieur souvent plus grande.

907.Englobé depuis 2016 dans l’Agence nationale de santé publique, ou Santé publique France.

908.Rogel A. et al. : « Évolution de l’incidence du cancer de la thyroïde en France métropolitaine – Bilan sur 25 ans », InVS, 2011.

909.Pascal L., Lasalle J. L. : « Estimation de l’incidence du cancer de la thyroïde en Corse. 1998-2006 », InVs, 2012.

910.Voir le chapitre 3.

911.La demande des services extérieurs à la centrale d’alimenter le réseau électrique est intervenue alors que l’essai venait d’être commencé et a décalé de neuf heures sa poursuite.

912.Voir le site https://www.groupe-intra.com/fra. Ce groupe réuni EDF, le CEA et Orano.

913.Document intitulé « Éléments de doctrine pour la gestion post-accidentelle d’un accident nucléaire », ASN, octobre 2012 (http://www.asn.fr).

Chapitre 35

Possibilités et maîtrise d’insertions
de réactivité dans les réacteurs
à eau sous pression

Comme cela est indiqué au chapitre 5, la réactivité dans un réacteur nucléaire doit être maîtrisée à chaque instant. Cette fonction fondamentale de sûreté a pourtant été mise en défaut à plusieurs reprises, notamment en 1986 lors de l’accident du réacteur n° 4 de la centrale nucléaire de Tchernobyl décrit au chapitre précédent.

Le présent chapitre traite des dispositions de prévention du risque d’insertion914 incontrôlée de réactivité dans un réacteur à eau sous pression. Une telle insertion de réactivité dans un réacteur en fonctionnement est appelée incident ou accident de réactivité. Lorsqu’elle se produit alors que la réaction nucléaire en chaîne n’est pas recherchée (dans un entreposage de combustible ou dans le cœur d’un réacteur en état d’arrêt prolongé, tout particulièrement si le circuit primaire est ouvert), il s’agit d’un accident de criticité.

Dans les jours qui ont suivi l’accident de Tchernobyl, l’IPSN a mis en place une équipe chargée de chercher à comprendre les causes de l’accident et de déterminer les enseignements qui devraient en être tirés. Début juillet 1986, il put ainsi indiquer les sujets des différentes études qu’il lui paraissait opportun d’engager. Cependant, les causes de l’accident ne furent pleinement identifiées qu’après plusieurs mois, par les communications des experts scientifiques russes : pour l’essentiel, l’accident avait été rendu possible par une série de violations des règles de sécurité et l’inhibition de certaines actions de protection, ainsi que par des caractéristiques intrinsèques défavorables des cœurs des réacteurs de type RBMK, conduisant à un accident de réactivité (voir le chapitre précédent).

En France, et plus largement au niveau international, était exprimée la volonté de tirer tous les enseignements de cet accident, en particulier pour la gestion de la crise, mais, compte tenu des différences de conception et d’exploitation, il n’apparaissait pas que les principes fondamentaux de la sûreté des réacteurs de production occidentaux étaient à remettre en cause. En particulier :

–dans les conditions normales d’exploitation d’un réacteur à eau sous pression, une augmentation de puissance ou de température entraîne une baisse de réactivité qui tend à freiner l’augmentation de puissance ;

–l’insertion des grappes de contrôle et d’arrêt a toujours pour effet de réduire la réactivité du cœur ; leur temps de chute est beaucoup plus court que dans le cas des RBMK (2 s à comparer à 20 s à l’époque de l’accident) ;

–il n’est pas dans la pratique d’inhiber des sécurités pour des motifs de production électrique ou de réussite d’un essai.

Cependant, après un accident aussi important, il paraissait nécessaire de réexaminer en totalité les études en support aux rapports de sûreté des réacteurs français et en particulier d’évaluer les conséquences potentielles d’un non-respect des règles d’exploitation. C’est ainsi qu’un groupe d’experts de Framatome, d’Électricité de France et de l’IPSN a commencé à réfléchir aux possibilités, dans un réacteur à eau sous pression, des accidents du même type que celui qui était survenu à la centrale nucléaire de Tchernobyl, même si, compte tenu des différences de conception, a priori les conséquences ne pouvaient pas être aussi importantes.

L’objectif était de déterminer dans quelles conditions des situations de ce type pourraient se produire, indépendamment du caractère plausible ou non du scénario. Le souci était donc prioritairement d’identifier les situations à risques de façon à comprendre les phénomènes physiques pouvant en limiter les conséquences, la discussion sur la nécessité ou non de prendre en compte ces situations pouvant être menée dans un second temps. En effet, pour avoir un éclairage nouveau, il fallait, dans un premier temps « retourner à la physique », en menant une réflexion sur les phénomènes pouvant introduire de la réactivité dans un cœur de réacteur à eau sous pression sans faire référence à des scénarios identifiés ou à des études antérieures, et encore moins à des probabilités. Certains scénarios imaginés pouvaient avoir une probabilité bien inférieure à 10–7 par réacteur et par an, limite alors généralement adoptée (par famille d’événements) pour la prise en compte de scénarios à la conception.

Dans le cadre de cette réflexion, pour chacun des paramètres du réacteur, les variations possibles et leur impact sur la réactivité du cœur ont été examinés et l’IPSN a réalisé lui-même, ou en s’appuyant sur le CEA, des calculs de physique du cœur. C’est l’une de ces études qui a conduit à mettre en évidence une première séquence d’événements de « dilution hétérogène »915 du bore dans le cœur.

Les discussions se sont poursuivies et, en 1989, Électricité de France a, sur la base des résultats d’évaluations probabilistes des séquences étudiées, trouvé une séquence de probabilité significative, à savoir quelques 10–4 par réacteur et par an ; la nécessité de dispositions complémentaires contre les dilutions hétérogènes de bore dans le cœur a alors été reconnue par tous – y compris au niveau international. Cette séquence correspond, à partir d’un état d’arrêt où les pompes primaires sont à l’arrêt, à un transfert d’eau pure (ou « claire », c’est-à-dire non borée) vers le cœur lors du redémarrage de ces pompes. Dès la mise en évidence de cette séquence particulière, Électricité de France donna des instructions à ses centrales pour que toute arrivée d’eau pure dans le circuit primaire soit évitée lorsque les pompes de circulation sont à l’arrêt. Dans un deuxième temps, au début des années 1990, un automatisme a été mis en place pour arrêter toute arrivée d’eau pure dès que les pompes sont à l’arrêt : il constituera l’un des éléments du dispositif dit de protection anti-dilution abordé plus loin.

Les séquences d’événements étudiées en France ont bien évidemment été présentées rapidement aux partenaires étrangers des différents organismes concernés, aussi bien dans le cadre de relations bilatérales que de réunions internationales organisées par l’Agence de l’énergie nucléaire (AEN) de l’OCDE ou par l’AIEA. Il s’agit, depuis l’accident de Three Mile Island, d’un réflexe normal dans le monde nucléaire, occidental du moins. Annoncer aux autres exploitants et organismes de sûreté un précurseur d’accident même théorique est aussi important que de leur présenter des incidents réels. Il s’agit de culture de sûreté. Le scepticisme rencontré au premier abord a évolué, en particulier par l’apport d’évaluations probabilistes puis des EPS.

35.1.La recherche et l’étude de séquences d’événements

Comme cela a été indiqué ci-dessus, à la suite de l’accident de Tchernobyl, la manière dont les insertions de réactivité étaient envisagées et traitées en France a été réexaminée. Les séquences d’événements prises en compte pour la conception des réacteurs à eau sous pression ont été réévaluées ainsi que leurs hypothèses, et l’éventualité d’autres séquences pouvant nécessiter des dispositions complémentaires a été explorée. Quelques-unes des conditions de fonctionnement étudiées sont rappelées en annexe.

Pour rechercher les causes possibles d’un accident d’insertion de réactivité, il faut se souvenir que le cœur des réacteurs à eau sous pression exploités en France est sous-modéré (voir le chapitre 5) et que la maîtrise de la réactivité est assurée non seulement par les grappes absorbantes qui s’insèrent dans certains assemblages combustibles, mais aussi par le bore qui se présente sous la forme d’acide borique dissous dans le fluide primaire. Il est dès lors possible de classer les accidents de réactivité envisageables en trois familles :

–les accidents de refroidissement,

–les accidents de retrait ou d’éjection de grappes (de contrôle),

–les accidents de diminution de la concentration de bore dans le fluide primaire, appelés accidents de dilution.

Les principales études de séquences d’événements relevant de ces trois familles sont présentées dans la suite du présent chapitre. Il convient de noter que d’autres études de séquences ont été menées à titre exploratoire avec un souci de conservatisme – dont ne seront mentionnées dans la suite du texte que quelles unes d’entre elles. Ces séquences, de probabilité extrêmement faibles, supposaient plusieurs défaillances (notamment celle de l’arrêt automatique du réacteur) ou un non-respect de spécifications techniques d’exploitation (par exemple la limite d’insertion des grappes de contrôle). Leur étude a permis de préciser les marges disponibles par rapport à un endommagement du combustible ou des délais disponibles aux opérateurs pour intervenir avant qu’un endommagement ne survienne.

35.1.1.Les accidents de refroidissement

La rupture guillotine d’une tuyauterie principale de vapeur à la sortie d’un générateur de vapeur est considérée comme l’accident le plus grave de toutes les causes possibles de refroidissement brutal du fluide primaire ; elle est à ce titre retenue dans les conditions de fonctionnement de dimensionnement des réacteurs à eau sous pression. L’augmentation brutale du débit de vapeur consécutive à l’apparition de la brèche provoque une baisse rapide de la pression dans les générateurs de vapeur. L’accroissement de l’écart de température entre les circuits primaire et secondaire qui en résulte entraîne un refroidissement rapide de l’eau du circuit primaire. Compte tenu de la valeur négative du coefficient neutronique de température du modérateur, ce refroidissement introduit de la réactivité dans le cœur. Si le réacteur est en production d’électricité, la puissance augmente transitoirement, avant que le système de protection ne déclenche rapidement l’arrêt automatique du réacteur, qui vient interrompre les réactions nucléaires en chaîne. L’insertion des grappes absorbantes dans le cœur apporte alors une marge par rapport aux conditions critiques, qui doit être suffisante pour limiter les conséquences de la suite du transitoire de refroidissement qui continue d’introduire de la réactivité.

Pour limiter le refroidissement, le système de protection émet également un ordre de fermeture des vannes d’isolement des tuyauteries de vapeur et des tuyauteries d’alimentation normale en eau des générateurs de vapeur. Un signal d’arrêt automatique des pompes du circuit primaire a par ailleurs été ajouté sur les réacteurs du parc électronucléaire français, afin de réduire la vitesse du refroidissement. Toutefois, le refroidissement du fluide circulant dans la branche froide du circuit primaire reliée au générateur de vapeur affecté ne peut pas être interrompu, la brèche considérée étant située en amont de la vanne d’isolement de la vapeur. Dans ce cas, les conditions de criticité pourraient être atteintes et une excursion de puissance nucléaire se produire.

C’est pourquoi, pour limiter le niveau de puissance atteint, le système de protection déclenche la mise en service automatique du système d’injection de sécurité qui apporte de l’eau borée nécessaire à la maîtrise de la réactivité après l’insertion des grappes absorbantes du fait de l’arrêt automatique du réacteur.

Dans l’hypothèse où une grappe absorbante resterait bloquée malgré l’arrêt automatique du réacteur (défaillance aggravante retenue pour l’étude de l’accident), un pic de puissance important pourrait être localisé dans la zone de l’assemblage combustible dans lequel la grappe est bloquée ; les contre-réactions neutroniques dues à l’échauffement local du combustible (effet Doppler) et du fluide primaire (effet du modérateur) en limiteraient l’amplitude.

Une baisse de la pression dans le circuit primaire résulte par ailleurs de la contraction de l’eau du circuit primaire due au refroidissement. Ces conditions de pression primaire et de puissance dans l’assemblage combustible avec la grappe bloquée pourraient provoquer un endommagement des crayons combustibles du fait de l’apparition d’une « crise d’ébullition »916 et de ses conséquences.

Certains réacteurs du parc électronucléaire français (les réacteurs de 900 MWe) disposent d’un réservoir d’eau très fortement borée et d’une pompe d’injection de sécurité capable d’introduire dans le circuit primaire de l’eau borée à haute pression à partir de ce réservoir, ce qui permet un retour automatique et rapide du cœur dans un état sous-critique. Pour les autres (réacteurs de 1 300 MWe et de 1 450 MWe), le système d’injection de sécurité ne comporte pas de pompe à haute pression mais des pompes à moyenne pression (cette évolution de conception a été retenue à la suite de l’accident de Three Miles Island) et l’injection d’eau borée n’intervient qu’après une diminution suffisante de la pression primaire ; toutefois, pour améliorer la maîtrise de la réactivité, notamment en cas de transitoire de refroidissement plus lent ne conduisant pas à une basse de pression importante dans le circuit primaire, une « fonction de borication automatique » a été conçue pour injecter de l’eau borée à haute pression mais ce système n’est pas pris en compte dans les études de sûreté. Dans tous les cas, le retour à un état stable et durable présentant une marge de sous-criticité suffisante n’est possible qu’après intervention de l’opérateur, notamment pour isoler complètement l’arrivée d’eau dans le générateur de vapeur affecté (fermeture de l’ASG).

Pour le réacteur EPR, un système de sûreté dédié à la maîtrise de la réactivité a été conçu spécifiquement pour assurer de manière automatique, notamment en cas d’accident de refroidissement, l’injection à haute pression d’un petit débit d’eau fortement borée. De plus, le grand nombre de grappes absorbantes dédiées à l’arrêt automatique du réacteur apporte une marge importante par rapport aux conditions critiques. Enfin, le système de protection émet un ordre d’isolement automatique et total de l’alimentation en eau du générateur de vapeur affecté (isolement des systèmes ARE et ASG). De manière générale, les améliorations de conception retenues pour le réacteur EPR, en vue de maîtriser les transitoires d’insertion de réactivité par refroidissement permettent d’éviter le retour en puissance du réacteur pour tous les incidents de refroidissement (causés par les événements initiateurs estimés les plus fréquents) et certains accidents de refroidissement. Pour les accidents de rupture d’une tuyauterie du circuit de vapeur qui pourraient néanmoins conduire à un retour en puissance du réacteur (au maximum quelques pour cent de la puissance nominale), ces dispositions de conception garantissent l’atteinte d’un état sous-critique de manière totalement automatique (sans que l’intervention de l’opérateur soit nécessaire).

Après l’accident de Tchernobyl, des scénarios de refroidissement excessif par les générateurs de vapeur (impliquant la vidange de deux, trois ou quatre générateurs de vapeur), avec ou sans grappe absorbante bloquée, puis des cas extrêmes de rupture d’une tuyauterie de vapeur avec mise en service du système d’injection de sécurité avec une concentration du bore nulle ou l’indisponibilité complète de ce système de sauvegarde, ont été étudiés. Dans tous les cas considérés, les études ont permis de conclure qu’il existe un risque d’endommagement du combustible si la grappe apportant la plus forte antiréactivité reste coincée hors du cœur lors de l’arrêt automatique du réacteur. Selon les évaluations alors effectuées, des puissances moyennes significativement supérieures à 20 % de la puissance nominale pourraient être atteintes (retour en puissance). Compte tenu de facteurs de point chaud élevés917 dans le cas où toutes les grappes absorbantes seraient insérées hormis la plus efficace, une « crise d’ébullition » puis l’endommagement de nombreux crayons combustibles pourraient survenir ; toutefois, les probabilités de ces séquences ont été considérées comme extrêmement faibles compte tenu du nombre et de la nature des défaillances qu’elles supposent.

Si l’ensemble des grappes absorbantes chutent dans le cœur lors de l’arrêt automatique du réacteur, les facteurs de point chaud demeurent faibles et les critères relatifs à l’intégrité du combustible sont toujours respectés. Pour le réacteur EPR Flamanville 3, le rapport de sûreté comporte une étude d’accident spécifique relative à la vidange simultanée de deux générateurs de vapeur du fait de la rupture complète doublement débattue de deux lignes principales de vapeur supposée causée par une chute d’avion : l’étude montre que, sans aggravant, le réacteur reste sous-critique durant tout le transitoire.

35.1.2.Les incidents et accidents liés aux grappes de contrôle

L’extraction du cœur d’une grappe de contrôle entraîne une insertion de réactivité. À l’inverse, pour les réacteurs à eau sous pression, l’insertion d’une telle grappe dans le cœur conduit toujours à une baisse plus ou moins importante de la réactivité ; il n’a pas été identifié de situations du type de celle qui prévalait dans le réacteur RBMK de Tchernobyl où, dans certaines configurations, le début de la chute des grappes augmentait la réactivité du cœur.

•Incident de retrait de groupes de grappes de contrôle

Cet incident, retenu dans la deuxième catégorie des conditions de fonctionnement de dimensionnement pourrait résulter soit d’une défaillance du système de régulation de la température moyenne du circuit primaire ou de la puissance du réacteur par les grappes de contrôle, soit d’une défaillance du système de commande des grappes, soit d’une erreur de pilotage lorsque l’opérateur est amené à commander les grappes manuellement lorsque le réacteur est en production d’électricité ou lors du suivi de la procédure de redémarrage du réacteur après un arrêt.

Si, lors de l’incident, le réacteur est en production d’électricité à pleine puissance, l’apport de réactivité lors d’un retrait de groupes de grappes de contrôle est réparti sur l’ensemble du cœur et la puissance nucléaire augmente transitoirement jusqu’à ce que le système de protection déclenche l’arrêt automatique du réacteur. L’extraction de chaleur par le secondaire des générateurs de vapeur augmente moins vite que la puissance dégagée dans le circuit primaire ; il en résulte une élévation de la pression et de la température du fluide primaire. Compte tenu de l’augmentation du flux de neutrons (« rampe de puissance », limitée toutefois par les contre-réactions neutroniques) et de la température du fluide primaire, il y a alors des risques d’apparition d’une interaction entre pastilles et gaines assistée par la corrosion sous contraintes918, de « crise d’ébullition » et de fusion du combustible au centre des pastilles.

Quel que soit le mode de pilotage du réacteur mis en œuvre, qui diffère selon les paliers de réacteurs du parc électronucléaire français, le système de régulation par les grappes de contrôle est conçu de manière à limiter la cinétique d’insertion de réactivité et le système de protection est conçu de manière à déclencher l’arrêt automatique du réacteur suffisamment tôt pour éviter tout endommagement des crayons combustibles.

Si le réacteur est initialement à puissance nulle, en attente à chaud ou en phase d’approche des conditions critiques (au redémarrage après un arrêt en cours de cycle), la réactivité apportée par le retrait d’un ou plusieurs (selon la conception du contrôle-commande donc du palier du réacteur considéré) groupes de grappes de contrôle initialement insérées peut amener rapidement à l’atteinte, dès le début de l’extraction des grappes, des conditions de « prompte criticité », qui correspondent à une insertion de réactivité de l’ordre de 500 pcm. Cela conduit à une excursion très rapide de la puissance nucléaire, très localisée dans le bas des assemblages desquels les grappes ont commencé à s’extraire. L’amplitude de ce « pulse » de puissance est alors limitée uniquement par l’amplitude des contre-réactions neutroniques induites par l’échauffement très localisé du combustible, puis du fluide circulant dans les assemblages. Au moment du « pulse » de puissance, le risque est la fusion de combustible et la rupture mécanique des gaines du fait de la déformation induite par la dilatation thermique des pastilles (interaction mécanique entre pastilles et gaines). Juste après, le risque potentiel est la « crise d’ébullition », avant l’intervention de l’arrêt automatique du réacteur.

Toutes les situations possibles de retrait de groupes de grappes de contrôle ont été envisagées, en tenant compte des spécificités de la conception du système de commande des grappes du réacteur. La composition des groupes de grappes de contrôle, définie selon le mode de pilotage du réacteur, et la conception du système de commande associé (notamment la sélection des groupes qui peuvent être commandés simultanément) garantissent l’absence d’endommagement des crayons combustibles pour tous les cas de retrait envisageables.

•Accident de retrait d’une grappe de contrôle

Contrairement à l’accident de retrait de groupes de grappes de contrôle, l’accident de retrait d’une grappe de contrôle (accident étudié dans la troisième catégorie des conditions de fonctionnement de dimensionnement) entraîne un apport de réactivité local dans le cœur. Un tel retrait ne peut résulter que des deux cas suivants :

–l’opérateur remonte délibérément une grappe de contrôle en raison d’un mauvais alignement réel ou supposé d’une grappe par rapport à son groupe,

–plusieurs défaillances électriques ou mécaniques apparaissent simultanément alors que le réacteur fonctionne en contrôle automatique.

Cet accident est étudié seulement pour l’état de fonctionnement du réacteur à pleine puissance. L’amplitude de l’insertion de réactivité est limitée par rapport à celle qui correspond au retrait incontrôlé de groupes de grappes de contrôle dans cet état du réacteur. Néanmoins, le caractère localisé de l’augmentation de puissance dans les assemblages situés autour de la grappe absorbante extraite et l’échauffement dissymétrique qu’elle induit dans le fluide qui traverse le cœur peuvent induire un risque d’interaction entre pastilles et gaines assistée par la corrosion sous contraintes, un risque de « crise d’ébullition » pour certains crayons combustibles dans cette zone et de fusion de combustible.

La définition des limites d’insertion autorisées en exploitation à pleine puissance pour les différents groupes de grappes de contrôle utilisés selon le mode de pilotage du réacteur, ainsi que la composition du plan de chargement du cœur permettent de limiter les cas de retrait pour lesquels le risque de « crise d’ébullition » est avéré. Pour ces derniers, la conception du système de protection garantit le déclenchement de l’arrêt automatique du réacteur, qui vise à prévenir un endommagement sévère de crayons combustibles en cas de maintien à haute température. L’étude de l’accident permet de s’assurer que le nombre de crayons concernés par un risque d’endommagement est suffisamment limité, que la température des gaines et la durée de leur maintien à haute température restent suffisamment limitées, de même que l’éventuelle fusion de combustible au centre des pastilles.

À la suite de l’accident de la centrale nucléaire de Tchernobyl, l’étude du retrait d’une grappe de contrôle n’a pas conduit à des investigations complémentaires. En effet, les conséquences de scénarios plus pénalisants, qui seraient obtenus en supposant que l’opérateur ne respecte pas les règles d’exploitation, seraient couvertes par les études réalisées pour l’accident d’éjection d’une grappe de contrôle (voir le paragraphe ci-après). Il a toutefois été jugé pertinent d’évaluer au bout de quel délai, en cas de non-déclenchement de l’arrêt automatique du réacteur, le respect des limites fixées pour éviter l’endommagement des crayons combustibles ne serait plus assuré. Cette évaluation a montré que, en cas de retrait d’une grappe conduisant à la « crise d’ébullition » de quelques crayons du cœur et du cumul de la défaillance de l’arrêt automatique du réacteur, l’opérateur disposerait d’environ un quart d’heure pour intervenir avant tout endommagement sévère du combustible ; mais ce risque a été considéré comme extrêmement faible compte tenu de la très faible probabilité de ce scénario.

•Accident d’éjection d’une grappe de contrôle

L’éjection d’une grappe de contrôle (accident étudié dans la quatrième catégorie des conditions de fonctionnement de dimensionnement) pourrait résulter de la rupture de l’enceinte sous pression du mécanisme de commande d’une grappe, qui créerait un écart de pression au niveau de la tige de commande entre la pression du circuit primaire et la pression dans l’enceinte de confinement. Cette éjection entraînerait une insertion très rapide de réactivité pouvant conduire à l’atteinte des conditions de « prompte criticité », d’où un accroissement brusque de la puissance du cœur, qui s’accompagnerait d’une déformation importante de la distribution radiale de puissance au voisinage de la grappe éjectée. L’augmentation locale de puissance serait telle qu’elle entraînerait un accroissement important de l’énergie emmagasinée dans les pastilles de combustible dont la dilatation pourrait conduire à des ruptures de gaines (par interaction mécanique entre pastilles et gaines), à l’apparition d’une « crise d’ébullition » et à la fusion de combustible, et finalement à l’endommagement plus ou moins sévère de certains crayons combustibles, selon l’efficacité neutronique de la grappe éjectée. Les ruptures de gaines pourraient conduire à l’éjection dans le réfrigérant primaire de fragments de pastilles de combustible très chaudes. L’interaction thermodynamique entre ces fragments et le fluide primaire pourrait entraîner diverses conséquences : vaporisation, montée en pression… susceptibles de conduire à un endommagement important du cœur ou du circuit primaire.

Les critères retenus à l’égard de l’accident d’éjection d’une grappe de contrôle pour la conception des réacteurs du parc électronucléaire étaient initialement issus du Regulatory Guide 1.77 établi en 1974 par l’autorité de sûreté nucléaire américaine (U.S.NRC) ; ils visent à garantir que l’endommagement des crayons combustibles sera suffisamment limité pour que le cœur reste refroidissable tout au long du transitoire.

Les critères alors retenus (pour les taux de combustion modérés) portent sur quatre paramètres :

–la température maximale des gaines, qui doit rester inférieure à 1 482 °C (2 700 °F),

–l’enthalpie maximale dans le combustible, qui doit être inférieure à 200 cal/g,

–la fraction de combustible fondu, qui doit être inférieure à 10 %,

–le nombre de crayons susceptibles d’entrer en « crise d’ébullition », qui doit représenter moins de 10 % des crayons du cœur.

Puis, pour les taux de combustion élevés, les critères relatifs à la variation d’enthalpie dans le combustible ont fait l’objet de nombreux travaux de recherche ; ceux qui sont menés dans le réacteur d’expérimentation CABRI sont succinctement décrits au paragraphe 35.2. Les critères utilisés par Électricité de France pour la variation maximale d’enthalpie dans le combustible y sont précisés.

L’accident d’éjection de grappe détermine les limites d’exploitation relatives à l’insertion des grappes de contrôle lorsque le réacteur est en fonctionnement. Celles-ci sont définies pour chaque groupe de grappes en fonction du niveau de puissance du réacteur de manière à respecter les critères de sûreté.

Les matériaux de gainage des crayons combustibles de conception récente (présentés dans le paragraphe 28.2) présentent un meilleur comportement à l’égard du risque de rupture de gaine par interaction pastille-gaine en raison d’une meilleure résistance à la corrosion en fonctionnement normal qui peut fragiliser les gaines pour ce type de transitoire.

35.1.3.Les accidents de dilution du bore

La diminution de la concentration de bore dans l’eau du circuit primaire, due à une dilution, peut conduire à une augmentation significative de la réactivité du cœur.

Un apport d’eau (pure ou « claire ») dans le circuit primaire ne peut provenir que de circuits connectés à celui-ci, d’une fuite à travers une enveloppe du circuit primaire (fuite primaire-secondaire à travers les faisceaux de tubes des générateurs de vapeur, fuite provenant du circuit de refroidissement à l’arrêt), de la condensation de vapeur d’eau dans certaines zones du circuit primaire, ou encore d’un apport d’eau dans la piscine du réacteur lors d’un arrêt pour rechargement du cœur alors que le circuit primaire ne constitue plus une enveloppe fermée. Les dilutions homogènes et lentes, qui peuvent être maîtrisées par des automatismes ou des actions des opérateurs, se distinguent des dilutions hétérogènes qui peuvent conduire à une excursion rapide de puissance dont l’évolution est gouvernée par les contre-réactions neutroniques. Par ailleurs, des dilutions peuvent se produire lors de certains accidents ; il s’agit alors de dilutions hétérogènes dites inhérentes (voir plus loin).

Un événement « précurseur » lié à une introduction d’eau non borée dans le circuit primaire par un tube de générateur découpé et incomplètement bouché s’est produit en 1990 à la centrale nucléaire du Blayais (cet événement est décrit au paragraphe 23.1.2) ; la bonne réaction des opérateurs a toutefois permis d’éviter que le réacteur ne devienne critique.

Un autre événement « précurseur » lié à une introduction d’eau non borée dans le circuit primaire, à vitesse plus lente, s’est produit à la centrale nucléaire de Belleville en 1991919. Après un essai de mise en pression pour réaliser l’épreuve hydraulique d’un accumulateur rempli à cette fin d’eau pure, un essai de manœuvrabilité de la vanne de pied de cet accumulateur a été réalisé. L’accumulateur était supposé vide, mais il contenait en fait 16 m3 d’eau non borée. Une partie de cette eau a été entraînée par gravité vers le cœur du réacteur sans toutefois provoquer de retour à la criticité. L’eau non borée a en fait été mélangée à l’eau du système de refroidissement à l’arrêt et son écoulement a été lent du fait de la fermeture de l’évent de l’accumulateur. Dans d’autres circonstances, l’introduction d’eau non borée aurait pu être plus rapide et plus complète. Depuis cet événement, les épreuves hydrauliques des accumulateurs sont réalisées en utilisant de l’eau borée.

•Accident de dilution homogène

Les causes possibles d’une dilution homogène sont les suivantes :

–erreur de l’opérateur sur la lecture de la concentration de bore dans le fluide primaire et sur le calcul des débits d’eau et de bore à injecter dans le circuit primaire, ou bien sur le calcul des volumes ou l’affichage des volumes d’eau à injecter dans ce circuit,

–défaillance d’un équipement faisant partie des circuits connectés au circuit primaire,

–défaillance de la régulation de l’ajustement de la concentration de bore dans le circuit primaire,

–fuites au niveau d’un échangeur situé sur un circuit connecté au circuit primaire.

Les insertions de réactivité correspondantes sont très faibles et très inférieures à celles qui pourraient conduire à une excursion rapide de puissance.

Après l’accident de Tchernobyl, l’étude du transitoire de dilution homogène, qui fait partie des conditions de fonctionnement de deuxième catégorie, a été complétée en supposant l’absence d’arrêt automatique du réacteur ou l’absence d’intervention de l’opérateur. Il est apparu que l’augmentation progressive de la réactivité entraînerait un échauffement du fluide primaire conduisant par évaporation à une diminution de la réactivité (le coefficient de température du modérateur est négatif). On assisterait ainsi à la vidange progressive du circuit primaire par les soupapes du pressuriseur. Cependant, les délais avant fusion du cœur resteraient importants.

•Accident de dilution hétérogène

La possibilité d’une dilution hétérogène a été identifiée à l’occasion des réflexions menées après l’accident de Tchernobyl. Le scénario théorique retenu était le suivant :

–constitution d’un volume (« bouchon ») d’eau non borée dans une boucle du circuit primaire (pompes primaires arrêtées),

–redémarrage de la pompe primaire de la boucle correspondante,

–envoi du bouchon d’eau non borée dans le cœur,

–divergence très rapide du cœur entraînant un fort dépôt d’énergie dans les pastilles de combustible les plus chaudes,

–éclatement de ces pastilles et dispersion de fragments très fins,

–interaction de ces fragments très chauds avec l’eau de refroidissement qui n’a pas eu le temps de bouillir au contact des gaines,

–explosion de vapeur lors de l’interaction du combustible avec l’eau, vu la surface importante d’échange thermique,

–transitoire de pression primaire, fonction du nombre de pastilles éclatées,

–perte d’intégrité du circuit primaire si le transitoire de pression est suffisamment important, avec éventuellement, création de projectiles,

–défaillance de l’enceinte de confinement, provoquée par ces projectiles.

Dans ce scénario, le risque d’éclatement des gaines et de dispersion de fragments de combustible suppose un dépôt d’énergie particulièrement élevé ; il provoquerait ensuite une explosion de vapeur aux effets plus brutaux que l’ébullition au contact des gaines, la surface d’échange thermique étant d’un tout autre ordre de grandeur.

Les études correspondant à ce scénario ont été effectuées en utilisant des hypothèses pessimistes, compte tenu des incertitudes associées aux phénomènes envisagés. En particulier, les possibilités d’« érosion » du bouchon d’eau pendant sa formation n’ont pas été considérées. Ce phénomène est pourtant de nature à limiter sensiblement la nocivité de l’accident. Il a été néanmoins exploré par Électricité de France dans le cadre d’études expérimentales de thermohydraulique réalisées tout d’abord avec la maquette expérimentale BORA-BORA représentant la cuve d’un réacteur de 900 MWe à l’échelle 1/5, puis dans un cadre international avec la boucle expérimentale PKL920 exploitée en Allemagne (à Erlangen) par Areva – représentant à une échelle réduite les circuits primaire et secondaire d’une réacteur à eau sous pression de type KONVOI (voir la figure 35.1). Des simulations numériques appuyées sur les résultats d’essais seront aussi engagées.

Figure 35.1. La boucle expérimentale PKL (schéma issu de « Main Benefits from 30 Years of Join Projects in Nuclear Safety » – OECD/Nuclear Safety, 2012).

Le scénario ci-dessus relèverait du mode α tel que défini dans le rapport Rasmussen (WASH 1 400, voir le chapitre 17), et pourrait conduire à des rejets correspondant, en ordre de grandeur, au terme source S1.

Il convenait dès lors de rechercher, à partir du scénario théorique, si des séquences d’événements plausibles pourraient conduire à un tel accident et de prendre, si nécessaire, des dispositions préventives complémentaires. Tout espoir d’action de limitation des conséquences serait, en effet, illusoire vu la durée du phénomène, de l’ordre de la seconde.

Partant des études physiques, la recherche systématique de séquences d’événements a conduit à mettre en évidence une séquence dont la probabilité estimée était proche de 10–4 par réacteur et par an (déjà évoquée dans l’introduction du présent chapitre), avant la mise en place d’actions correctives. La séquence d’événements est la suivante :

–le réacteur est en arrêt à chaud, en début de cycle (moment où le cœur est le plus « réactif ») ;

–une dilution de l’acide borique est en cours pour permettre de diverger avec une concentration de bore de l’ordre de 1 000 ppm921 ; cette dilution à partir d’une valeur de concentration de bore de 2 000 ppm, nécessaire après l’arrêt, dure cinq heures environ ;

–pendant la dilution, une défaillance de l’alimentation électrique externe principale survient, ce qui entraîne l’arrêt des pompes primaires ;

–on suppose que, la puissance résiduelle étant faible, la circulation naturelle de l’eau du circuit primaire ne peut pas s’établir ou se bloque ;

–les pompes de charge du circuit de contrôle chimique et volumétrique (RCV) et du circuit d’eau déminéralisée (REA – appoint d’eau et de bore) sont automatiquement reprises en secours par l’alimentation électrique auxiliaire, sans intervention de l’opérateur. La dilution continue donc. La boucle primaire dans laquelle de l’eau non borée arrive par la ligne de charge se remplit en 15 minutes environ. Par débordement, de l’eau non borée peut également s’accumuler au fond de la cuve ;

–la pompe primaire de la boucle qui assure l’aspersion normale d’eau dans le pressuriseur est alors réalimentée par la ligne électrique auxiliaire ou par un retour de tension sur la ligne électrique principale, et remise en service conformément à la procédure de conduite. Pour les tranches paires de 900 MWe et pour toutes les tranches de 1 300 MWe de type P4, cette pompe primaire est celle de la boucle où débouche la ligne de charge utilisée pour l’introduction de l’eau non borée ;

–un « bouchon » d’eau non borée est alors transféré dans le cœur.

Un tel « bouchon » d’eau provoquerait un retour en criticité s’il entraînait le passage d’un bouchon de plus de 1 m3 d’eau « claire » et froide dans le cœur, quel que soit l’état de fonctionnement du réacteur. En tenant compte de la diffusion et du mélange du fluide dans la cuve, il a alors été déterminé que le volume limite admissible d’un bouchon d’eau non borée formé dans une boucle primaire serait de 3 m3. D’autres cas ont été étudiés : en état d’arrêt normal avec le circuit RRA connecté au circuit primaire, en état d’arrêt pour intervention ou en état d’arrêt pour rechargement, si la concentration de bore dans le circuit primaire est au moins égale à 2 000 ppm et si la sous-criticité du cœur du réacteur est supérieure à 5 000 pcm, le volume limite admissible du « bouchon » a été évalué à 5 m3.

Comme cela a été indiqué plus haut, dès l’identification des scénarios exposés ci-dessus, Électricité de France a demandé aux centrales de s’assurer de l’arrêt de toute dilution en cas d’arrêt d’une pompe primaire associée à la ligne de charge et de vérifier, préalablement au redémarrage de cette pompe, qu’aucune opération de dilution n’a été effectuée. La sous-criticité (antiréactivité) minimale requise dans les états d’arrêt normal à froid ou à chaud922 a été augmentée de 1 000 pcm à 2 000 pcm afin de garantir que le réacteur ne pourrait pas devenir « prompt critique » lors du passage d’un « bouchon » d’eau non borée. De plus, Électricité de France a étudié, puis installé en 1990 dans les réacteurs un automatisme qui, en cas d’arrêt des pompes primaires pendant une dilution, en état d’arrêt à chaud, transforme l’ordre de dilution en une action d’envoi d’eau borée provenant de la bâche PTR (qui contient de l’eau à 2 000 ppm de bore). Cette disposition, dont le principe « initial » – une modification sera réalisée ultérieurement, qui est décrite au paragraphe 35.1.4 –, apparaît sur la figure 35.2, diminuait de manière significative, de l’ordre d’un facteur 100, la probabilité du scénario. L’ensemble de ces éléments constitueront la protection antidilution.

De plus, le personnel des centrales a été sensibilisé au risque d’accident de criticité dans un tel cas.

Figure 35.2. Le principe initial de l’automatisme du dispositif de protection anti-dilution. IRSN.

Plus tard, en 2005, à l’occasion d’une réévaluation de sûreté923, l’IRSN a estimé que les scénarios de dilution hétérogène pouvant résulter d’une fuite interne à l’échangeur du circuit d’étanchéité des pompes primaires (CEPP) devaient être étudiés. Les études probabilistes de sûreté de niveau 1 menées par l’Institut mettaient en évidence que ce scénario de dilution hétérogène faisait partie des scénarios prépondérants conduisant à la fusion du cœur (probabilité de fusion du cœur de l’ordre de 2.10–7 par réacteur et par an). Une telle fuite conduirait en effet à l’introduction d’eau non borée provenant du circuit de refroidissement (RRI) de l’échangeur dans le circuit RCV puis dans le circuit primaire via l’injection d’eau aux joints des pompes primaires. Pendant les états d’arrêt pour intervention ou d’arrêt pour rechargement du cœur, les pompes primaires étant hors service, cette eau non borée et froide pourrait s’accumuler par effet de densité dans les branches en U du circuit primaire, formant ainsi un « bouchon » d’eau non borée. Lors du passage à l’état d’arrêt avec refroidissement par le circuit RRA, l’opérateur démarre une des pompes primaires ; ce démarrage provoquerait alors le transfert du « bouchon » d’eau non borée vers le cœur. Or la protection antidilution n’était pas opérationnelle dans les états d’arrêt à froid ; elle ne couvrait donc pas ce scénario de dilution.

Électricité de France a alors réalisé des études relatives au transfert d’un « bouchon » d’eau non borée dans le cœur du réacteur dans le but de démontrer l’absence de risque de retour en criticité dans les scénarios possibles de dilution par le circuit CEPP. Il a également étudié des dispositions matérielles ou de conduite qui pourraient être mises en œuvre pour éliminer ce scénario de dilution ou en réduire de manière significative la probabilité.

Ces études l’ont conduit à retenir in fine, dans le cadre des études génériques associées aux quatrièmes visites décennales des réacteurs de 900 MWe, une modification matérielle ayant pour objectif de détecter une éventuelle fuite de l’échangeur CEPP avant le démarrage de la première pompe primaire. Son principe est fondé sur la surveillance de la concentration de sodium dans le circuit RCV en amont et en aval de l’échangeur CEPP. La concentration de sodium est en effet importante dans le circuit RRI (de l’ordre de 100 ppm) et faible dans le circuit primaire (quelques dizaines de ppb). Une différence de la concentration de sodium dans le circuit RCV entre l’amont et l’aval de l’échangeur supérieure à un seuil défini indiquerait la présence d’une fuite, conduisant à interdire le démarrage des pompes primaires. Les prélèvements seront réalisés par un opérateur, dans l’état d’arrêt avec le RRA connecté, environ huit heures avant le démarrage de la première pompe primaire.

Pour les réacteurs des autres paliers (1 300 MWe et N4), Électricité de France a présenté une démonstration fondée sur des simulations numériques de thermohydraulique en trois dimensions. Selon les résultats obtenus, le cœur reste sous-critique au cours du scénario avec fuite de l’échangeur du circuit CEPP.

•Accident de dilution hétérogène inhérente

On appelle dilution inhérente toute dilution hétérogène qui pourrait se produire pendant ou à la suite de certains accidents. Les différents scénarios concernés sont présentés ci-après.

En cas de brèche du circuit primaire, il y a vaporisation d’eau borée à la sortie du cœur. Lors de cette vaporisation, le bore n’est pas entraîné dans la phase vapeur. Une partie de la vapeur produite peut se condenser dans les générateurs de vapeur, formant des « bouchons » d’eau non borée dans les branches intermédiaires du circuit primaire et les générateurs de vapeur. Ces bouchons d’eau pourraient être mis en circulation dans le circuit primaire au moment où une circulation naturelle (en « thermosiphon ») de l’eau va s’instaurer. L’une des difficultés des études correspondantes réside dans le choix des hypothèses relatives au volume et au nombre de « bouchons » qu’il convient de postuler ainsi qu’à la cinétique de reprise de la circulation naturelle (nombre de boucles où se produit la reprise de la circulation naturelle et évolution du débit). Électricité de France s’est appuyé à cette fin sur les résultats d’essais réalisés dans la boucle expérimentale PKL évoquée plus haut, mais dont la représentativité par rapport au cas des réacteurs du parc électronucléaire français est contestable. Par conséquent, pour le réacteur EPR Flamanville 3 ainsi que pour les réacteurs précédents, Électricité de France a mené des « études de robustesse », portant sur la taille et le nombre de « bouchons », ainsi que sur leur vitesse d’insertion dans le cœur. Ces études ont notamment montré que l’envoi simultané de plusieurs « bouchons » de 25 m3 (taille maximale envisageable) conduit à la prompte criticité mais n’entraîne pas de conséquences inacceptables pour le combustible, compte tenu du faible dépôt d’enthalpie dans celui-ci.

En cas de rupture de tubes d’un générateur de vapeur, si la pression du côté secondaire du générateur de vapeur affecté est supérieure à celle du côté primaire, l’eau non borée du circuit secondaire serait entraînée vers le cœur lors du redémarrage de la pompe primaire de la boucle affectée. On parle à ce sujet de rétrovidange de l’eau du circuit secondaire vers le circuit primaire. Des modifications des procédures de conduite ont été mises en place par Électricité de France pour interdire le redémarrage de la pompe primaire de la boucle affectée.

Enfin, les essais PKL ont mis en évidence, dans les années 2000, un risque de dilution hétérogène inhérente dans des états du réacteur à l’arrêt avec refroidissement par le RRA ; la « simple » perte du RRA est susceptible d’entraîner un passage en régime de caloduc924 dans les générateurs de vapeur et donc une dilution du bore pénétrant dans la cuve. Électricité de France approfondit le sujet, en analysant notamment les essais PKL réalisés en 2018 pour une configuration de réacteurs à trois boucles, les premiers essais qui avait mis en évidence la problématique ayant été réalisés pour une configuration de réacteur à quatre boucles. Les conclusions d’Électricité de France seront transmises ultérieurement aux organismes de sûreté.

35.1.4.Introduction dans le cœur d’un « bouchon » d’eau froide

Les scénarios de dilution de bore présentés ci-dessus considéraient une baisse rapide de la concentration de bore dans le circuit primaire, à température constante. La poursuite des études a conduit à rechercher des séquences d’événements pouvant conduire à un transfert dans le cœur du réacteur d’eau plus froide que celle du circuit primaire ; en effet, à concentration de bore constante, la diminution de la température de l’eau de refroidissement du cœur initialement à 297 °C conduit à l’introduction d’une réactivité importante (voir la figure 35.3).

Parmi les séquences possibles, il en est une qui se rapproche de celle qui a été décrite pour les « bouchons » d’eau non borée.

Les joints hydrodynamiques des pompes du circuit primaire sont alimentés par de l’eau provenant du circuit de contrôle chimique et volumétrique pour assurer leur étanchéité globale. Cette eau a la même concentration de bore que celle qui est injectée par ce circuit dans le circuit primaire. En revanche, comme elle ne passe pas par les échangeurs régénérateurs qui amènent cette eau à la température de l’eau du circuit primaire avant son introduction dans une des boucles, l’eau envoyée dans les joints est froide (à environ 40 °C).

En cas de défaillance de l’alimentation électrique principale pendant l’arrêt à chaud du réacteur, l’alimentation des joints des pompes primaires est maintenue. L’eau froide peut alors remplir les boucles intermédiaires si la puissance résiduelle n’est pas suffisante pour entretenir la circulation naturelle dans le circuit primaire. Au redémarrage d’une pompe primaire, cette masse d’eau serait introduite, plus ou moins mélangée à l’eau du circuit primaire dans le cœur.

Figure 35.3. Effet global d’une variation de température de l’eau du cœur à l’arrêt. IRSN.

Pour contrer les effets possibles d’un tel scénario dont la probabilité est apparue significative, Électricité de France a retenu en 1993 de modifier l’un des signaux de la protection automatique antidilution ; cette modification a été mise en place dans les réacteurs. L’injection d’eau borée de la bâche PTR était commandée par la coïncidence de l’arrêt des pompes primaires et de l’introduction d’eau non borée dans le circuit primaire. Si le premier signal a été conservé, le second est désormais élaboré à partir d’un calcul de la puissance résiduelle du cœur pour s’assurer que la circulation naturelle en « thermosiphon » peut bien s’établir (ce calcul combine la durée de refroidissement du cœur depuis l’arrêt du fonctionnement avec une évaluation du niveau de puissance produit avant cet arrêt).

Ce nouveau dispositif (protection antidilution « définitive ») répond toujours aux objectifs de prévention d’introduction d’un bouchon d’eau non borée, en étant plus général.

35.2.Des critères en évolution

Comme cela a été précisé plus haut (voir le paragraphe 35.1.2), les critères de sûreté (ou critères techniques d’acceptation) relatifs au comportement du combustible adoptés pour les accidents de réactivité étudiés comme conditions de fonctionnement de quatrième catégorie ont été établis dans les années 1970 sur la base d’essais américains.

Concernant l’enthalpie maximale admissible dans le combustible, la valeur initialement fixée dans le Regulatory Guide 1.77 de 1974 était de 280 cal/g pour le combustible UO2 ; toutefois, une valeur de 200 cal/g pour le combustible UO2 irradié jusqu’à 33 GWj/tU (en valeur moyenne par assemblage) a ensuite été retenue en France. Ces limites visent à garantir l’absence de dispersion de combustible chaud voire fondu dans le circuit primaire et contribuent donc à garantir le maintien de la capacité de refroidissement du cœur.

Au début des années 1990, l’accident de la centrale nucléaire de Tchernobyl ainsi que l’accroissement progressif des taux de combustion visés par les exploitants nucléaires pour les assemblages combustibles ont conduit à s’interroger sur la validité des critères qui avaient été établis pour des taux de combustion modérés.

Dans ce contexte, des programmes de recherche ont été engagés, notamment au Japon et en France, avec en particulier la réalisation par l’IPSN, de 1993 à 1998, de 12 essais dans la boucle de sodium liquide qui équipait alors le réacteur de recherche CABRI (essais dits REP-Na). Ces programmes ont eu pour objectif d’améliorer la compréhension des phénomènes survenant après les premières centaines de millisecondes, pouvant conduire à la rupture de la gaine des crayons combustibles par interaction mécanique entre pastilles et gaines et à l’éjection de fragments de combustible chaud dans le circuit primaire, une telle éjection pouvant entraîner des difficultés de refroidissement du cœur du réacteur et mettre en cause la tenue du circuit primaire. Les essais REP-Na ont été réalisés sur des tronçons de crayons provenant de centrales nucléaires, dont le taux de combustion local était compris entre 28 et 76 GWj/tML (tonne de métaux lourds, UO2 ou MOX). Pour quatre de ces essais, le combustible était du MOX.

En France, dans les années 2000, des discussions ont été menées sur une proposition d’Électricité de France visant à définir un « domaine de découplage » pour les taux de combustion élevés (supérieurs à une valeur fixée à 47 GWj/tU, en moyenne par assemblage), cela pour les combustibles UO2 et MOX ainsi que pour les différents matériaux de gainage utilisés dorénavant925 (les critères cités plus haut au paragraphe 35.1.2 devant également être satisfaits, dont l’enthalpie maximale de 200 cal/g). Ce « domaine de découplage » visait à garantir l’absence de rupture de gaine en cas d’accident de réactivité, en tenant compte de la corrosion des gaines en fonctionnement normal. Ainsi, de nouveaux critères spécifiques926 ont été adoptés par Électricité de France (et approuvés par l’Autorité de sûreté nucléaire en 2011) avec toutefois des demandes complémentaires portant notamment sur les taux de combustion intermédiaires et les transitoires d’éjection de grappe initiés en puissance).

Toutefois, plus récemment en 2017, un réexamen global (par Électricité de France, l’IRSN et le Groupe permanent d’experts pour les réacteurs nucléaires) des exigences et des critères de sûreté relatifs à la tenue du combustible a été effectué pour tenir compte des connaissances acquises. Pour les taux de combustion supérieurs à 33 GWj/tU, de nouveaux critères927 de variation d’enthalpie et de durée du pulse de puissance garantissant l’absence de rupture de gaine par interaction mécanique entre la pastille et la gaine ont été proposés par Électricité de France en tenant compte des performances des différents gainages928 à l’égard de la corrosion (en particulier de l’absorption d’hydrogène en fonctionnement normal). Ces critères sont applicables aux transitoires d’éjection d’une grappe à partir d’une puissance nulle, mais pas directement à ceux qui pourraient se produire en puissance ; pour ces derniers, Électricité de France a développé une démarche de calcul pour garantir l’absence de rupture de gaine par interaction mécanique entre pastilles et gaines. Il est à noter que, dans la limite règlementaire de 52 GWj/tU (en moyenne par assemblage), ces critères permettent également de garantir l’absence de dispersion de combustible dans le circuit primaire en cas d’éclatement de la gaine en crise d’ébullition.

De plus (pour tous les cas d’éjection de grappe), en l’absence de ballonnement de la gaine, Électricité de France propose de compléter le critère de température maximale de gaine (1 482 °C) par une limite sur le taux d’oxydation équivalent de la gaine (ECR929), afin de prendre en compte le temps pendant lequel la gaine subit des températures élevées. Ces critères permettraient de garantir l’absence de rupture de la gaine fragilisée par l’oxydation à haute température lors du remouillage de cette dernière. Si le ballonnement de la gaine est avéré, le critère applicable aux transitoires d’APRP en termes d’ECR, fonction de la teneur en hydrogène de la gaine, est reconduit.

Enfin, la fusion de combustible (limitée à 10 % de fraction volumique) doit être écartée en périphérie des pastilles de combustible et le nombre de crayons susceptibles d’entrer en « crise d’ébullition » ne doit pas dépasser 10 % des crayons du cœur.

Pour étudier les phénomènes relatifs au comportement des crayons combustibles qui pourraient après le pic de puissance être soumis à la « crise d’ébullition » (assèchement, éclatement des gaines), ainsi que les conséquences qui pourraient résulter d’une éventuelle dispersion de combustible dans le réfrigérant après rupture de gaine sur les structures du réacteur en termes d’onde de pression, l’IPSN a lancé, dès les années 2000, sous l’égide de l’OCDE/AEN, un nouveau programme expérimental intitulé Cabri International Program (CIP), mené en partenariat avec Électricité de France et de nombreux organismes de sûreté et industriels étrangers (dont l’EPRI, l’U.S.NRC, JAEA, GRS…), cela pour les différents matériaux de gainage utilisés (M5®, Zirlo™, Optimized Zirlo™…). Ce nouveau programme a été accompagné d’une refonte de l’installation CABRI, avec notamment l’installation d’une boucle à eau sous pression (en remplacement de la boucle à sodium du programme REP-Na ; voir la figure 35.4) qui permet de faire les essais dans des conditions représentatives des conditions auxquelles seraient soumis les crayons combustibles dans les réacteurs à eau sous pression lors d’un accident de réactivité. Le premier essai (servant aussi de qualification de la boucle) a eu lieu en 2018.

Figure 35.4. Vue du réacteur CABRI et de l’installation de la boucle à eau sous pression. IRSN.

35.3.Le cas des états d’arrêt

Un réacteur nucléaire est une installation pour laquelle le fonctionnement en puissance, donc à l’état neutronique dit critique (réaction nucléaire en chaîne entretenue), est recherché dans le but de produire de l’électricité. Lorsque le réacteur est à l’arrêt, il convient au contraire d’éviter un passage à l’état critique.

Un grave accident de criticité s’est produit le 30 septembre 1999 au Japon dans un atelier de fabrication de combustibles nucléaires à Tokai-Mura au cours d’une opération de dissolution de poudre d’oxyde d’uranium enrichi en isotope 235 dans de l’acide nitrique pour obtenir du nitrate d’uranyle. Les opérateurs ont rempli une cuve de 16,6 kg d’uranium alors que la masse limite était fixée à 2,4 kg. Un flash bleu caractéristique d’un accident de criticité a été observé (effet Tcherenkov). 136 personnes sur le site ont été irradiées dont trois gravement.

Cet accident a conduit Électricité de France à entreprendre une revue technique de l’ensemble des risques de criticité associés à l’exploitation des réacteurs du parc électronucléaire français. Ce travail a abouti à la création d’un « référentiel de criticité » qui décrit les modalités de prise en compte du risque de criticité pour les activités menées dans le bâtiment du combustible et dans le bâtiment du réacteur, dans les états où la cuve du réacteur est ouverte ; il précise également les exigences à respecter pour la réalisation des études de criticité (critères d’acceptation, règles d’études des situations normales et accidentelles, méthodes, incertitudes, qualification des logiciels de simulation…).

La liste des situations qui ont été identifiées comme susceptibles de présenter un risque de criticité est la suivante :

–pour le bâtiment du combustible :

•une immersion accidentelle dans l’eau non borée ou dans un brouillard d’eau non borée du râtelier d’entreposage à sec d’assemblages combustibles neufs,

•une diminution accidentelle de la concentration de bore dans l’eau de la piscine,

•une configuration géométrique anormale de l’entreposage des assemblages combustibles (les assemblages étant supposés intègres),

•une dispersion accidentelle de crayons combustibles ou de pastilles de combustible,

•une chute d’emballage de transport,

•l’entreposage d’un assemblage combustible dans une zone inappropriée (dans l’hypothèse où il existe différentes zones d’entreposage) ;

–pour le bâtiment du réacteur :

•une diminution accidentelle de la concentration de bore dans l’eau de la piscine du réacteur,

•un retrait accidentel de grappes absorbantes lors de la levée du couvercle de la cuve,

•le chargement de combustible dans une configuration non conforme au plan de chargement du cœur du réacteur.

La démonstration de l’absence de risque d’accident de criticité est apportée par la justification de l’existence d’une marge forfaitaire de sous-criticité de 2 000 pcm (keff < 0,98) dans les situations mentionnées ci-dessus ou par la mise en place d’au moins deux « lignes de défense »930 indépendantes et fiables permettant de justifier que le risque de criticité peut être écarté.

Un réacteur est muni de moyens de détection d’une augmentation du flux de neutrons. Ces détecteurs (chambres niveau source – CNS931), placés autour de la cuve, mesurent les neutrons à l’extérieur de celle-ci. Si ce nombre de neutrons augmente, c’est que le flux neutronique à l’intérieur du cœur du réacteur augmente également. Lorsque l’augmentation du flux de neutrons dépasse un seuil, une alarme alerte l’opérateur d’une variation inattendue de ce flux. Cette alarme doit intervenir suffisamment tôt pour laisser aux opérateurs le temps d’intervenir avant l’accident de criticité. Les opérateurs mettent alors en œuvre les actions définies dans les procédures. Cependant, l’efficacité de ces dispositions peut être mise en défaut lors de phases de chargement ou de déchargement du cœur. C’est ainsi que, en 2001, un événement survenu lors du rechargement du cœur d’un réacteur de la centrale nucléaire de Dampierre-en-Burly a été considéré comme un événement « précurseur » d’un accident de criticité.

•L’événement survenu en 2001 lors du rechargement du cœur
du réacteur n° 4 de la centrale nucléaire de Dampierre-en-Burly

En 2001, lors du rechargement du cœur du réacteur n° 4 de la centrale nucléaire de Dampierre-en-Burly, une erreur de chargement d’un assemblage a provoqué des décalages de position de 113 assemblages combustibles (voir la figure 35.5).

Ces décalages n’ont été détectés par les opérateurs que vers la fin du chargement (lors de la mise en place du 135e assemblage sur les 138).

Les études menées par Électricité de France ont montré que, dans des conditions plus pénalisantes (chargement d’assemblages tous neufs et une concentration de bore à la valeur minimale requise par les spécifications techniques, à savoir 2 000 ppm au lieu de 2 345 ppm lors du chargement de Dampierre 4), l’erreur aurait conduit à atteindre la criticité au chargement du 121e assemblage.

L’événement a révélé des insuffisances dans les dispositions prises, tant organisationnelles que techniques à l’égard des risques d’accidents de criticité. Au plan organisationnel, ont été notés :

–une communication insuffisante entre les opérateurs présents dans le bâtiment du réacteur et ceux qui étaient présents dans le bâtiment du combustible,

–des lacunes dans le respect des procédures.

Ces insuffisances ont été corrigées.

Figure 35.5. L’erreur de chargement du cœur de Dampierre 4. IRSN.

Au plan technique, les calculs réalisés a posteriori ont mis en évidence une augmentation importante du flux neutronique que les CNS n’avaient pas détectée. Cette absence de détection par les CNS a été expliquée par Électricité de France en 2005 : le « champ de vision » des CNS, situées à l’extérieur de la cuve, est relativement limité. Dès lors, si, de manière accidentelle, le nombre de neutrons augmente fortement dans certaines zones du cœur, les CNS peuvent y être peu sensibles. Ce fut le cas lors de l’erreur de chargement survenue à Dampierre 4.

Des dispositions ont été prises pour compenser cette défaillance de surveillance du flux neutronique. Dès 2003, Électricité de France a mis en place une organisation visant à prévenir tout mauvais positionnement d’assemblages combustibles. De plus, il a été démontré qu’une permutation d’assemblages combustibles ne pourrait pas conduire à la criticité.

Par ailleurs, Électricité de France a apporté en 2003 la démonstration que la concentration de bore dans le circuit primaire est suffisante pour éviter un accident de criticité par retrait des grappes lors de la levée du couvercle de la cuve.

Enfin, Électricité de France a retenu en 2005 d’utiliser le dispositif existant de mesure en continu de la concentration du bore dans le circuit primaire (système REN), appelé boremètre, pour détecter suffisamment tôt une diminution de la concentration du bore dans l’eau du circuit primaire. Plus récemment, Électricité de France a décidé d’installer un autre boremètre de conception différente sur un autre circuit (le circuit RCV), qui permet une mesure directe et rapide de la concentration de bore dans l’eau du circuit primaire ; ce deuxième système932 est désormais celui qui est utilisé (« valorisé ») dans la démonstration de sûreté pour les états d’arrêt où toutes les grappes absorbantes sont insérées (arrêt pour rechargement du combustible dans le cœur [APR], arrêt pour intervention [API], arrêt normal avec le circuit RRA connecté [AN/RRA] lorsque toutes les pompes primaires sont à l’arrêt).

Dans les états AN/RRA où les pompes primaires sont en fonctionnement comme en arrêt normal avec évacuation de la puissance résiduelle par les générateurs de vapeur, des groupes de grappes absorbantes doivent être extraits et la démonstration de sûreté repose donc sur l’arrêt automatique du réacteur par atteinte du seuil « haut flux niveau source » (sollicité juste après l’atteinte des conditions critiques).

Les études des incidents et accidents d’insertion de réactivité dans ces états d’arrêt montrent que, compte tenu de la marge de sous-criticité garantie par les groupes de grappes absorbantes insérés et la concentration de bore minimale requise, l’efficacité de cet arrêt automatique du réacteur permet d’une part d’éviter la « prompte criticité », d’autre part d’assurer le retour à un état sous-critique.

35.4.Règlementation

Le « référentiel de criticité » constituait la déclinaison par Électricité de France de l’article 45 de l’arrêté du 31 décembre 1999 qui stipule que :

« Les installations nucléaires contenant de la matière fissile sont conçues, réalisées et exploitées de façon à éviter tout accident de criticité. En particulier :

–un accident de criticité ne doit en aucun cas découler d’une seule anomalie : défaillance d’un composant, d’une fonction, erreur humaine (non-respect d’une consigne par exemple), situation accidentelle (incendie par exemple) […] ;

–si un accident de criticité peut découler de l’apparition simultanée de deux anomalies, il doit être démontré que :

•les deux anomalies sont rigoureusement indépendantes ;

•la probabilité d’occurrence de chacune des deux anomalies est suffisamment faible ;

•chaque anomalie peut être mise en évidence à l’aide de moyens de surveillance appropriés et fiables, dans un délai acceptable permettant l’intervention. »

Ces dispositions étaient reprises de la règle fondamentale de sûreté I.3-c applicable depuis 1984 à la prévention des risques de criticité dans les installations nucléaires de base autres que les réacteurs nucléaires.

L’article 3.4.II de l’« arrêté INB » du 7 février 2012 stipule maintenant que : « Au titre de la maîtrise des réactions nucléaires en chaîne, l’exploitant démontre que les dispositions prises permettent de prévenir le risque de criticité lorsque cette dernière n’est pas recherchée ». Cet arrêté, d’application depuis le 1er juillet 2013, actualise notamment l’arrêté du 31 décembre 1999, qui est abrogé.

En 2011, l’Autorité de sûreté nucléaire a engagé, avec notamment l’IRSN, une révision de la règle fondamentale de sûreté I.3-c en élargissant son champ d’application aux réacteurs. Cette révision a abouti à la publication en 2014 de la décision n° 2014-DC-0462 du 7 octobre 2014 « relative à la maîtrise du risque de criticité dans les installations nucléaires de base ». Pour les réacteurs nucléaires, cette décision s’applique pour les phases d’arrêt pour chargement ou rechargement de combustible ou pour intervention, ainsi que pour la piscine d’entreposage du combustible.

Le guide ASN n° 22 diffusé en 2017, relatif à la conception des réacteurs à eau sous pression, préconise (alinéa 3.3.1.2.3) que, pour les conditions de fonctionnement de référence, « les dispositions prises au titre de la maîtrise des réactions nucléaires en chaîne visent à éviter l’atteinte des conditions critiques dans les situations où le réacteur est à l’arrêt » (lorsqu’un événement initiateur unique survient, par exemple d’insertion de réactivité) et à l’alinéa 6.1 « de prévenir, dans les états où la cuve est fermée et le réacteur est à l’arrêt en fonctionnement normal, l’atteinte involontaire des conditions critiques ».

Annexe

Conditions de fonctionnement retenues pour les réacteurs à eau sous pression du parc électronucléaire français caractérisées
par un apport de réactivité dans le cœur du réacteur

Catégorie 2 : incidents de fréquence moyenne

–Retrait incontrôlé de groupes de grappes de contrôle, réacteur en puissance ou à puissance nulle (en attente à chaud, en approche sous-critique ou en état d’arrêt)

–Dilution incontrôlée d’acide borique

–Ouverture intempestive d’une soupape du circuit secondaire

Catégorie 3 : accidents très peu fréquents

–Retrait d’une grappe de contrôle à pleine puissance

–Petite brèche d’une tuyauterie du circuit secondaire, d’eau ou de vapeur

Catégorie 4 : accidents importants et hypothétiques

–Éjection d’une grappe de contrôle

–Rupture complète d’un tube de générateur de vapeur

–Rupture importante d’une tuyauterie du circuit secondaire, d’eau ou de vapeur

914.Les termes insertion, injection et introduction sont indifféremment utilisés pour désigner un apport de réactivité dans le cœur, entraînant un accroissement du nombre de fissions et donc de la puissance nucléaire.

915.C’est-à-dire conduisant dans certaines zones du cœur à des concentrations de bore plus faibles que celle qui était requise.

916.Voir le paragraphe 5.6.

917.Voir le chapitre 5, paragraphe 5.2.

918.Il est ici rappelé (chapitre 28) que l’interaction entre pastilles et gaines assistée par la corrosion sous contrainte (CSC) peut conduire à une rupture de gaine (perte d’étanchéité) initiée en peau interne, au niveau des zones entre pastilles. Une excursion de puissance provoque des relâchements par le combustible, dans l’espace entre les pastilles et la gaine, de produits de fission corrosifs comme l’iode, le cadmium ou encore le césium. La zone d’interaction constitue un lieu préférentiel d’amorçage de la fissure par CSC puis de sa propagation de l’intérieur vers l’extérieur de la gaine, ce qui pourrait alors conduire au transfert de produits de fission dans l’eau du circuit primaire.

919.Événement décrit au paragraphe 23.1.2.

920.Il s’agit des programmes PKL-1 (2004-2007), PKL-2 (2008-2011) et PKL-3 (2012-2016) menés sous l’égide de l’OCDE/AEN, auxquels l’IRSN a collaboré. D’autres aspects que les transferts d’eau non borée dans un cœur y sont étudiés.

921.Voir le paragraphe 5.6.

922.Pour les états d’arrêt avec la « cuve ouverte » (arrêt pour rechargement du combustible dans le cœur ou pour intervention), l’écart à la criticité doit être d’au moins 2 000 pcm en considérant toutes les grappes relevées avec le couvercle de la cuve (voir le paragraphe 5.6).

923.Associée aux VD3 des réacteurs de 900 MWe.

924.Régime de transfert de chaleur par transition de phase d’un fluide. Celui-ci se vaporise au niveau d’une source chaude (« évaporateur »), la vapeur circule jusqu’à une source froide (« condenseur ») où se fait la dissipation thermique de la chaleur.

925.À savoir M5®, Zirlo™ et Optimized Zirlo™ (voir le chapitre 28). Il convient de préciser que, pour le Zircaloy-4 (qui n’est plus utilisé depuis 2016 pour les nouveaux assemblages chargés dans les réacteurs), le domaine de découplage n’est pas applicable et une démonstration spécifique a été apportée par Électricité de France en 2014 afin de tenir compte de la desquamation de ce gainage en fonctionnement normal (en particulier mise en œuvre de mesures compensatoires en exploitation).

926.Variation maximale d’enthalpie de 57 cal/g, durée du transitoire à mi-hauteur du pulse de 30 ms, épaisseur oxydée inférieure à 108 μm, température de gaine inférieure à 700 °C.

927.Pour les taux de combustion supérieurs à 47 GWj/tU, ces nouveaux critères se substituent au « domaine de découplage » défini précédemment.

928.Ainsi, Électricité de France retient une variation d’enthalpie limitée à un peu moins de 80 cal/g et une durée du pulse de puissance, calculée à mi-hauteur du pic, d’au moins 30 ms pour le combustible UO2 gainé en Zirlo™ ; une variation d’enthalpie limitée à 150 cal/g pour le combustible UO2 gainé en M5® (avec une durée du pulse, à mi-hauteur du pic, d’au moins 5 ms) ; une variation d’enthalpie limitée à 100 cal/g et une durée du pulse, à mi-hauteur du pic, d’au moins 30 ms pour le combustible MOX gainé en M5®. Ces critères sont valables pour des teneurs maximales spécifiées en hydrogène dans les gaines.

929.Equivalent Cladding Reacted.

930.Dispositions de nature techniques ou organisationnelles constituant une défense à l’égard d’un phénomène redouté.

931.Les chambres de mesure neutronique sont décrites dans le paragraphe 5.6.

932.Il s’agit d’un boremètre de mesure d’atténuation neutronique, non intrusif, installé autour de la ligne de décharge du circuit RCV.

Chapitre 36

L’accident des réacteurs de la centrale
nucléaire de Fukushima Daiichi
et les enseignements tirés en France

Le 11 mars 2011, un séisme de forte magnitude (niveau 9) est survenu à 80 km à l’est de l’île de Honshu au Japon ; il a été suivi d’un tsunami. Ces phénomènes ont gravement affecté le territoire japonais dans la région de Tohoku, avec des conséquences majeures pour les populations933, l’environnement terrestre et marin, ainsi que les infrastructures.

L’une de ces conséquences majeures va marquer la sûreté nucléaire pour de nombreuses années : ces événements naturels ont en effet dévasté le site de la centrale nucléaire de Fukushima Daiichi et ont été à l’origine de la fusion du cœur de trois réacteurs nucléaires ainsi que de pertes prolongées de refroidissement de piscines d’entreposage de combustibles usés. Des explosions sont survenues également dans des bâtiments de réacteurs. De très importants rejets radioactifs dans l’environnement ont eu lieu. L’accident a été classé au niveau 7 de l’échelle INES.

36.1.Les réacteurs de la centrale nucléaire
de Fukushima Daiichi

Le site de Fukushima Daiichi est situé en bord de mer, à 250 km au nord-est de Tokyo. En 2011, il comprenait six réacteurs électronucléaires à eau bouillante (REB) d’une puissance de 460 à 1 100 MWe, mis en service entre 1971 et 1979 et exploités par le producteur d’électricité TEPCO (Tokyo Electric Power Company) (voir la figure 36.1).

Figure 36.1. Le site et les réacteurs de la centrale de Fukushima Daiichi. Source « L’analyse de l’IRSN du déroulement de l’accident de la centrale nucléaire de Fukushima Daiichi ». Jean-Yves Pipaud/Patrick Barra/Epsim/Médiathèque IRSN.

36.1.1.Fonctionnement général d’un réacteur à eau bouillante

Les réacteurs à eau bouillante (REB) (voir la figure 36.2) se distinguent des réacteurs à eau sous pression (REP) par le fait que l’eau se vaporise lors de sa traversée dans le cœur du réacteur et que la vapeur ainsi produite est envoyée directement dans la turbine, sans circuit intermédiaire. La vapeur condensée après son passage dans la turbine est renvoyée dans le cœur. La cuve est à une pression d’environ 70 bars et la vapeur à une température d’environ 300 °C.

Figure 36.2. Schéma général d’un réacteur à eau bouillante (REB) (de type Mark I). Source « L’analyse de l’IRSN du déroulement de l’accident de la centrale nucléaire de Fukushima Daiichi ». Jean-Yves Pipaud/Patrick Barra/Epsim/Médiathèque IRSN.

36.1.2.L’enceinte de confinement

L’enceinte de confinement d’un réacteur à eau bouillante est très différente de celles des réacteurs à eau sous pression. De plus, il en existe différents modèles. Les enceintes de confinement des réacteurs n° 1 à n° 5 de la centrale de Fukushima Daiichi sont de type Mark I934 (figure 36.3) ; elles comportent :

–une chambre « sèche » en acier en forme d’ampoule (drywell), qui abrite la cuve du réacteur ; le drywell est rempli d’un gaz inerte (azote) ;

–une chambre de condensation en forme de tore et en acier (wetwell), qui constitue la partie basse de l’enceinte ; le wetwell contient de l’eau sur environ la moitié de sa hauteur, ce qui forme une « piscine de suppression de pression » (suppression pool) et sa surface libre est surmontée d’une atmosphère d’azote.

Figure 36.3. Enceinte de confinement d’un réacteur à eau bouillante – Modèle Mark I. Courtesy the U.S.Nuclear Regulatory Commission.

Le wetwell a deux fonctions essentielles :

–en cas de rupture d’une tuyauterie qui provoquerait une augmentation de pression dans le drywell du fait du mélange d’eau liquide et de vapeur d’eau qui se dégagerait, ce mélange serait dirigé vers la piscine de suppression de pression où il se condenserait par barbotage par les conduits qui relient les deux chambres, ce qui limiterait l’augmentation de pression dans l’enceinte de confinement ;

–en cas de besoin de limiter la pression dans la cuve du réacteur, le wetwell permet d’évacuer l’eau qu’elle contient grâce à une tuyauterie la reliant à la piscine de suppression de pression.

Dans les deux cas, il est nécessaire de refroidir la piscine de suppression de pression : c’est l’un des rôles du système d’évacuation de la puissance résiduelle (Residual Heat Removal System – RHR).

Si la pression dans l’enceinte devient trop élevée, des rejets vers l’extérieur peuvent être réalisés par des lignes équipées de vannes et connectées au wetwell ou au drywell.

L’enceinte de confinement est contenue dans une structure en béton, le bâtiment du réacteur. Ce dernier ne constitue donc pas lui-même l’enceinte de confinement d’un réacteur à eau bouillante, contrairement au cas des réacteurs à eau sous pression.

Le bâtiment du réacteur abrite également la piscine d’entreposage des combustibles usés (piscine de désactivation), située en partie haute.

36.1.3.Les systèmes de refroidissement de secours

Les systèmes de refroidissement de secours sont différents pour les différents réacteurs de la centrale de Fukushima Daiichi (figure 36.4). Ce qui suit concerne les trois réacteurs qui ont connu une fusion de cœur lors de l’accident.

•Réacteurs n° 2 et n° 3 : le RCIC (Reactor Core Isolation Cooling system)
et le HPCI (High Pressure Coolant Injection system)

Le RCIC est conçu pour évacuer la puissance résiduelle du cœur. Une turbopompe permet d’alimenter le cœur en eau à partir du réservoir tampon du condenseur (condensate storage tank) ou, lorsque ce réservoir est vide, depuis le tore. C’est la vapeur d’eau produite dans la cuve qui fait fonctionner la turbine, laquelle actionne la pompe.

Le HPCI est un système semblable au RCIC, mais il délivre un débit d’eau très supérieur. Il est conçu pour compenser les pertes d’eau en cas de fuite de circuits reliés à la cuve.

•Réacteur n° 1 : l’IC (Isolation Condenser) et le HPCI

Le réacteur n° 1, qui est le plus ancien, ne comporte pas de RCIC. Il est équipé, en plus du HPCI, d’un système sans pompe ni turbine appelé IC. Ce système comporte deux voies redondantes, avec chacune un échangeur de chaleur, qui fonctionnent en convection naturelle. La vapeur d’eau sortant du cœur monte naturellement dans les tuyauteries de l’IC, qui traversent un réservoir d’eau de grande capacité où la vapeur d’eau se condense ; l’eau condensée retourne par gravité dans la cuve du réacteur. L’eau qui s’évapore du réservoir est envoyée à l’atmosphère à l’extérieur du bâtiment du réacteur. Le remplissage du réservoir peut être réalisé à partir d’un camion-citerne.

Figure 36.4. Schémas de principe du RCIC, du HPCI et de l’IC. Source « L’analyse de l’IRSN du déroulement de l’accident de la centrale nucléaire de Fukushima Daiichi ». Jean-Yves Pipaud/Patrick Barra/Epsim/Médiathèque IRSN.

Qu’il s’agisse de l’IC, du RCIC ou du HPCI, les systèmes de refroidissement de secours permettent de maintenir le niveau d’eau liquide adéquat dans le réacteur. Il existe d’autres systèmes de refroidissement qui ne sont pas décrits ici car ils n’ont pas pu fonctionner lors de l’accident.

36.2.Déroulement de l’accident

Le 11 mars 2011, les réacteurs n° 1, n° 2 et n° 3 étaient en fonctionnement à pleine puissance ; le cœur du réacteur n° 4 était déchargé dans la piscine de désactivation ; les réacteurs n° 5 et n° 6 étaient à l’arrêt.

À 14 h 46, heure locale, le Japon est frappé par un séisme de magnitude 9 qui provoque une perte totale des alimentations électriques externes du site de Fukushima Daiichi. Les réacteurs n° 1, n° 2 et n° 3 s’arrêtent automatiquement par insertion des grappes absorbantes dans le cœur. Les systèmes d’évacuation de la puissance résiduelle démarrent, leur alimentation électrique étant alors assurée par les groupes électrogènes de secours.

Moins d’une heure après le séisme, un tsunami survient : les installations du site sont submergées par des vagues successives. La plus dévastatrice, d’une hauteur de 14 à 15 mètres au-dessus du niveau zéro marin, est enregistrée à 15 h 42. Cette hauteur est supérieure de près de dix mètres à celle de la digue de protection du site (figure 36.5).

Les stations de pompage des six réacteurs, dont la plateforme est située à quatre mètres au-dessus du niveau moyen de la mer, sont fortement endommagées et les pompes de refroidissement des installations de la centrale sont noyées, privant ainsi les réacteurs et leurs piscines de désactivation de leurs sources normales de refroidissement. L’eau pénètre ensuite dans les bâtiments des îlots nucléaires (plateforme située à dix mètres), entraînant la perte des groupes électrogènes de secours et des tableaux électriques.

Seul le groupe électrogène du réacteur n° 6 refroidi à l’air a pu être utilisé durablement, en alternance pour le réacteur n° 5 et pour le réacteur n° 6. Tous les autres réacteurs du site se sont retrouvés à la fois dans une situation de perte totale des sources électriques et de perte totale de la source froide.

Figure 36.5. Représentation schématique de l’inondation par le tsunami. Source « L’analyse de l’IRSN du déroulement de l’accident de la centrale nucléaire de Fukushima Daiichi ». Jean-Yves Pipaud/Patrick Barra/Epsim/Médiathèque IRSN.

Les batteries du réacteur n° 3 sont toutefois restées opérationnelles après le tsunami. En revanche, les salles de commande des réacteurs n° 1 et n° 2 se sont trouvées privées d’éclairage ; la perte de leurs batteries a également entraîné la perte d’indications précieuses sur l’état des installations, en particulier l’état de fonctionnement de certains systèmes.

Enfin, la perte des sources électriques a conduit à la perte d’un grand nombre des moyens de télécommunication prévus pour l’information des équipes de crise.

Ci-après sont précisés les événements marquants qui, du point de vue fonctionnel, ont marqué l’évolution de la situation pour chacun des réacteurs n° 1 à n° 4. Il faut garder ici à l’esprit les conditions extrêmes dans lesquelles les actions des opérateurs et intervenants ont dû être réalisées. Outre la perte des moyens d’information et de télécommunication, l’absence de préparation à une telle situation, donc de procédures écrites et d’organisation définies en amont, le besoin de rechercher des matériels ailleurs, ont conduit les équipes à être systématiquement débordées par les événements. Le dévouement et le sens professionnel des équipes, leur implication, cela malgré les répliques du séisme, la menace de nouveaux tsunamis et la hausse des niveaux d’irradiation, n’ont pas pu compenser le faible niveau de préparation face à la complexité d’un accident d’une telle ampleur, complexité accrue par la multiplicité des installations affectées, les réacteurs et les piscines de plusieurs tranches. Il en a résulté des difficultés – et parfois des erreurs – dans le choix des priorités.

La figure 36.6 ci-dessous résume la situation technique des réacteurs au cours du temps. Le vert correspond au refroidissement des cœurs par les systèmes de secours prévus à la conception, le rouge à une perte du refroidissement, le bleu clair à l’injection d’eau douce, le bleu foncé à l’injection d’eau de mer. Ev signifie « éventage » et H2 explosion d’hydrogène.

Figure 36.6. Évolution de la situation des réacteurs n° 1, n° 2 et n° 3. Source « L’analyse de l’IRSN du déroulement de l’accident de la centrale nucléaire de Fukushima Daiichi ». Jean-Yves Pipaud/Patrick Barra/Epsim/Médiathèque IRSN.

•Réacteur n° 1

À la suite du séisme, l’IC démarre automatiquement sur un signal de pression élevée dans le circuit primaire. Pour maintenir la pression entre 60 et 70 bars et respecter le gradient de refroidissement maximum autorisé par les procédures de conduite, les opérateurs pilotent manuellement l’IC en ouvrant et en fermant les vannes. Mais, après le tsunami, les opérateurs ne disposent plus d’information relative à la position des vannes de l’IC. Le comportement de ces vannes en cas de perte des alimentations électriques est en outre complexe et les opérateurs n’ont qu’une expérience limitée de leur fonctionnement : au final, l’IC n’est plus en service après le tsunami sans que personne ne le sache.

Le retour de l’éclairage de voyants vers 18 h, probablement parce qu’une batterie a séché, indique que certaines vannes de l’IC sont fermées et en empêchent le fonctionnement. Les opérateurs les ouvrent à 18 h 18 puis les referment à 18 h 25 par crainte d’une fuite d’une tuyauterie de l’IC. À 21 h 19, la mesure du niveau d’eau dans le réacteur n° 1 est récupérée grâce à des batteries retirées de véhicules et connectées à l’arrière du panneau de contrôle ; elle indique que le niveau libre de l’eau est 200 mm au-dessus du haut des assemblages combustibles. Cette mesure, réalisée alors que le cœur du réacteur est fortement dégradé, est en fait erronée, comme l’a montré la courbe recalculée après l’accident ; mais cette indication n’est pas remise en question.

À la fin de la journée, un membre de l’équipe de quart enregistre sur son dosimètre 800 µSv en dix secondes devant la porte d’entrée du bâtiment du réacteur et une sonde de pression dans le drywell connectée à un petit générateur électrique indique une valeur de 6 bars, bien supérieure à la pression de dimensionnement de cette enceinte. Ces constats mettent en lumière l’erreur d’appréciation de la situation du réacteur n° 1.

Jusqu’à ce moment, plus de huit heures après la survenue du tsunami, c’est la tranche n° 2 qui préoccupe le plus les membres de la cellule de crise, car ils supposent que ses systèmes de refroidissement sont défaillants tandis que, faute d’informations, ils pensent, à tort, que l’IC du réacteur n° 1 fonctionne. Le 11 mars s’achève et le cœur du réacteur n° 1 n’est toujours pas refroidi ; il a de toute façon fondu depuis plusieurs heures.

Pourtant, dès 17 h le 11 mars, une réflexion sur l’utilisation de sources d’alimentation en eau à partir de moyens de lutte contre l’incendie est engagée dans la mesure où le niveau d’eau dans la cuve reste inconnu et que des interrogations existent quand même sur le bon fonctionnement de l’IC du réacteur n° 1. L’acheminement de tels moyens nécessite cependant du temps et il faut de toute façon dépressuriser le circuit primaire pour y injecter de l’eau. Finalement, le 12 mars au matin, les opérateurs constatent que la pression du réacteur n° 1 a chuté sans que la raison en soit clairement identifiée. Cette dépressurisation permet de commencer l’injection d’eau douce à l’aide de la pompe d’un camion de pompiers en utilisant l’eau de réservoirs disponibles sur le site. Plus tard, dans l’après-midi du 12 mars, à 14 h 53, les ressources d’eau douce disponibles sont épuisées. L’injection d’eau de mer à partir d’une fosse noyée lors du tsunami est alors décidée. Environ une demi-heure plus tard, alors que la ligne de tuyauteries nécessaire est quasiment prête, une explosion, sans doute due à de l’hydrogène, souffle la structure supérieure du bâtiment du réacteur. Il est nécessaire de réparer la ligne endommagée à la suite de cet événement. L’injection d’eau de mer débute à partir de 19 h 04. À 20 h 45, de l’acide borique est ajouté à l’eau de mer afin d’écarter le risque de criticité.

Comme cela a été indiqué plus haut, la pression dans le drywell a dépassé sa pression de dimensionnement. Un ordre d’éventage du confinement est donné le 12 mars à 0 h 06, 16 minutes après l’obtention de cette information. Mais les difficultés rencontrées sont nombreuses (pas de source électrique, ce qui rend nécessaire l’utilisation de moyens provisoires dont la définition suppose la recherche de documents techniques, conditions d’accès dans les locaux…) et l’éventage n’a lieu que vers 14 h 30. Compte tenu du délai qui s’est écoulé jusqu’à la mise en œuvre de l’éventage, des fuites ont pu se produire au niveau du couvercle de l’enceinte du fait de la pression constatée, ce qui expliquerait la présence d’hydrogène dans le bâtiment du réacteur et l’explosion mentionnée ci-dessus, survenue à 15 h 36.

Le refroidissement du cœur n’est pas la seule préoccupation de la cellule de crise qui avait également constaté, lors de la première mesure de pression effectuée depuis la perte des sources électriques, que la pression dans le drywell avait dépassé sa pression de dimensionnement. Il est nécessaire de préserver l’enceinte de confinement, et un ordre d’éventage du confinement est donné, comme cela a été indiqué ci-dessus, le 12 mars à 0 h 06, 16 minutes après ce constat.

•Réacteur n° 2

Après le séisme, l’équipe de quart démarre manuellement le RCIC du réacteur n° 2, comme les procédures le leur demandent. Le niveau d’eau monte alors dans la cuve, provoquant l’arrêt automatique du RCIC juste après son démarrage. Neuf minutes plus tard, l’équipe de quart le redémarre manuellement. Le RCIC va ainsi faire l’objet de plusieurs cycles de démarrage et d’arrêt jusqu’à l’arrivée du tsunami sur le site, puis va fonctionner pendant trois jours environ, en puisant de l’eau dans le réservoir tampon du condenseur, puis dans le wetwell lorsque ce réservoir est vide. Pourtant, faute d’information, les opérateurs vont dans un premier temps douter de son bon fonctionnement avant de le constater en local le 12 mars. C’est ainsi que la priorité est d’abord donnée à la gestion du réacteur n° 2.

Dès le 13 mars à 12 h, il n’y a plus d’eau douce disponible et l’ordre est donné de préparer l’injection d’eau de mer pour le cas où le RCIC s’arrêterait. Le 13 mars, dans l’après-midi, la ligne d’injection est préparée et des batteries sont disponibles pour ouvrir les soupapes permettant de dépressuriser le circuit primaire. Mais il apparaît alors nécessaire de prévoir la réalimentation de la fosse dédiée à cette injection, qui sert déjà à alimenter les réacteurs n° 1 et n° 3. La réalimentation n’est finalement disponible que le 14 mars au matin. À 11 h 01, une explosion a lieu dans le bâtiment du réacteur n° 3, entraînant la chute de gravats et de débris dans la fosse ; les pompes et les tuyaux d’incendie sont endommagés. Le RCIC tombe alors en panne vers 13 h 25 et les moyens d’injection n’ont pas encore pu être réparés. Le HPCI n’étant pas non plus disponible, le cœur n’est plus refroidi. Même si la ligne d’injection est réparée dans l’après-midi, l’ouverture des soupapes de dépressurisation du circuit primaire est un préalable qui ne sera réalisé qu’à 19 h 03. Entretemps, une pompe d’incendie tombe en panne d’essence. L’injection d’eau de mer ne débute effectivement que vers 20 h. Le réacteur est donc resté sans refroidissement pendant environ 6 heures et 30 minutes alors que, le 14 mars entre 16 h 30 et 17 h 30, le niveau d’eau avait atteint le haut du combustible et que, environ deux heures plus tard, le combustible avait fondu.

•Réacteur n° 3

Après le séisme, l’équipe de quart du réacteur n° 3 enclenche manuellement le RCIC, comme sur le réacteur n° 2. Le 12 mars, à 11 h 36, le RCIC du réacteur n° 3 s’arrête. L’équipe de quart tente de le redémarrer et se rend pour cela en local, au premier sous-sol du bâtiment du réacteur. Elle n’y parvient pas.

Toutefois, le HPCI de ce réacteur est resté disponible et démarre automatiquement à 12 h 35 sur un signal de niveau d’eau bas dans le cœur du réacteur. L’équipe de quart pilote ensuite le HPCI par rapport à ce niveau d’eau, en contrôlant le débit de vapeur de sa turbine. Mais, à 20 h 36, l’information de niveau devient indisponible, car la batterie qui alimente le dispositif de mesure en courant continu est faible. L’équipe de quart pense alors que l’injection d’eau par les pompes d’incendie sera plus stable. Le 13 mars, à 2 h 42, elle décide d’arrêter manuellement le HPCI. Mais l’injection d’eau dans le réacteur par la pompe d’incendie se révèle impossible, la pression de refoulement de la pompe est inférieure à la pression dans la cuve et personne ne parvient à ouvrir les soupapes faute de sources électriques. Le cœur du réacteur n° 3 n’est donc plus refroidi.

La cellule de crise demande alors de préparer l’injection d’eau par les camions de pompiers et de trouver des batteries pour ouvrir les soupapes du circuit primaire. Ce n’est que le 13 mars à 9 h 08 que ces soupapes sont ouvertes. La pression dans le cœur du réacteur chute enfin à une pression inférieure à la pression de refoulement de la pompe d’injection. L’injection d’eau de mer peut alors débuter à 9 h 25. Le cœur du réacteur n° 3 est resté sans refroidissement pendant environ sept heures (de 2 h 42 à 9 h 25).

L’éventage de l’enceinte de confinement du réacteur n° 3 a été assez tôt l’une des préoccupations de la cellule de crise. L’ordre de préparer une ligne d’éventage est ainsi donné pour le réacteur n° 3 le 12 mars à 17 h 30, en même temps que pour le réacteur n° 2, en espérant que cet éventage puisse se faire à des niveaux d’irradiation encore relativement faibles. Les opérateurs rencontrent toutefois les mêmes difficultés que pour les autres réacteurs pour ouvrir les vannes et les garder ouvertes. Le 13 mars, à 8 h 41, les opérateurs réussissent à ouvrir la ligne d’éventage, qu’il est prévu de maintenir ouverte pendant les jours suivants pour stabiliser la pression dans l’enceinte, mais des fermetures intempestives interviennent. Le 14 mars, à 11 h 01, une explosion a lieu dans le bâtiment du réacteur, affectant significativement sa structure.

•Piscines

La perte totale des sources électriques et de la source froide affecte également les piscines d’entreposage des combustibles usés et conduit à une augmentation de la température de leur eau du fait de la puissance résiduelle des combustibles entreposés. La cinétique d’augmentation de température est fonction du nombre et de l’âge des combustibles entreposés ; la plus importante est celle de la piscine du réacteur n° 4, qui contient l’équivalent de trois cœurs, dont un récemment déchargé du réacteur, dégageant une puissance estimée à 2,3 MW.

Sous réserve du maintien de l’intégrité des piscines et des tuyauteries connectées, un délai de plusieurs jours était disponible avant le début de découvrement des combustibles présents dans les racks d’entreposage. De plus, un appoint d’eau dans les piscines a pu être assuré, d’abord en procédant à des largages d’eau de mer par hélicoptère pour la piscine du réacteur n° 3 – il est rappelé que les piscines sont en partie haute des bâtiments des réacteurs et que la superstructure du réacteur n° 3 a été détruite par une explosion –, puis par pulvérisation d’eau douce par des camions-citernes pour les piscines des réacteurs n° 3 et n° 4.

Le point le plus difficile a sans doute été l’appréciation de l’impact des explosions sur les piscines d’entreposage, qui pouvaient laisser craindre une perte d’étanchéité significative de piscines et un dénoyage de combustibles, ce qui aurait fortement aggravé la situation.

En particulier, le 15 mars, vers 6 h, le bâtiment du réacteur n° 4 a été affecté par une explosion due à des gaz provenant du bâtiment du réacteur n° 3 par une tuyauterie de ventilation commune.

Malgré les explosions et la perte de refroidissement, les combustibles entreposés dans les piscines n’ont pas subi de dégradation notable, mais nombre de gravats et de débris, parfois très volumineux, sont tombés dans les piscines des réacteurs n° 1, n° 3 et n° 4.

Figure 36.7. Photographie montrant les superstructures détruites de réacteurs de la centrale de Fukushima Daiichi après les explosions. HO/AIR PHOTO SERVICE/AFP.

Une piscine centralisée est également implantée sur le site de Fukushima Daiichi. Elle a notamment vocation à entreposer les assemblages combustibles des différents réacteurs lorsque leur puissance résiduelle a suffisamment décru. Ainsi, malgré les 6 375 assemblages qu’elle contenait, la puissance dégagée dans cette piscine était de l’ordre du MW. Lors du tsunami, ses moyens de refroidissement ont également été perdus et ses sous-sols noyés, mais cette piscine centralisée n’a pas subi d’endommagement notable lors de l’accident.

36.3.Les rejets935

36.3.1.Les rejets radioactifs dans l’air, les dépôts rémanents
de césium et la contamination des denrées alimentaires

36.3.1.1.Rejets radioactifs

Une quinzaine d’épisodes de rejets discontinus936 ont eu lieu au cours des 12 à 13 jours qui ont suivi l’accident de la centrale nucléaire de Fukushima Daiichi, en lien notamment avec les opérations concertées de dégazage.

Les principaux radionucléides émis ont été les gaz rares et les radionucléides à vie courte (principalement l’iode 131), ainsi que de césiums, notamment les césiums 134 et 137, de périodes radioactives plus longues (2 et 30 ans respectivement).

L’activité des rejets de gaz rares a été estimée à plusieurs milliers de PBq (1015 Bq). L’activité totale de l’iode 131 rejetée dans l’air a été estimée à des valeurs comprises entre 90 PBq et 500 PBq. L’activité des rejets en césiums est estimée entre 10 PBq et 80 PBq, avec une contribution égale des césiums 134 et 137.

Dans le cas de l’accident de la centrale nucléaire de Tchernobyl, le réacteur ayant explosé, du combustible a été dispersé et du plutonium et du strontium 90 ont été trouvés en quantités importantes dans l’environnement. En revanche, dans le cas de l’accident de la centrale nucléaire de Fukushima Daiichi, il n’a été trouvé que des traces de ces radionucléides dans l’environnement.

Compte tenu de la dispersion atmosphérique, les retombées de l’accident de la centrale nucléaire Fukushima Daiichi se sont faites principalement sur l’océan Pacifique et assez peu sur les terres (elles n’ont concerné que quelques régions de la préfecture de Fukushima).

36.3.1.2.Dépôts rémanents de césium

Les dépôts radioactifs consécutifs à l’accident de la centrale nucléaire Fukushima Daiichi et notamment ceux d’iode 131 et de césiums 134 et 137 ont été conditionnés par la météorologie à l’échelle locale. Les dépôts les plus importants, qui constituent une « trace nord-ouest » de 80 km d’extension, ont eu lieu principalement dans la nuit du 15 au 16 mars 2011 alors que les vents amenaient les masses d’air contaminées vers les terres situées au nord-ouest de la centrale, et qu’un front pluvieux se déplaçait en sens inverse.

L’activité surfacique de césium 137937 sur les sols a atteint jusqu’à trois millions de becquerels par mètre carré938.

En termes d’étendue des zones concernées, des dépôts rémanents de césium ont été mis en évidence jusqu’à 250 kilomètres de la centrale de Fukushima Daiichi.

Comme dans le cas de l’accident de la centrale nucléaire de Tchernobyl, des dépôts radioactifs en « taches de léopard » ont été constatés (voir la figure 36.8). Les activités surfaciques déposées sont sensiblement proportionnelles aux hauteurs des précipitations (pluies principalement) survenues lors du passage du panache radioactif.

Figure 36.8. Carte des dépôts rémanents de césium 137 résultant de l’accident de la centrale nucléaire de Fukushima Daiichi (source MEXT).

36.3.1.3.Contamination des denrées alimentaires

Plusieurs constatations identiques ont été faites après les deux accidents des centrales nucléaires de Tchernobyl et de Fukushima Daiichi, concernant la contamination des denrées alimentaires :

–les denrées les plus sensibles aux retombées radioactives ont été les légumes-feuilles, le lait (car les vaches ont brouté de l’herbe contaminée) et, de ce fait, la viande ;

–les niveaux de contamination les plus élevés dans les légumes-feuilles et dans le lait ont été observés immédiatement après les dépôts et ont nettement diminué dans les semaines suivantes.

Les activités massiques d’iode 131 et de césiums dans l’herbe et les légumes-feuilles produits sur les localités de Kawamata et d’Iitate avant leur évacuation en mai et juin 2011 ont été très importantes (quelques dizaines de MBq par kilogramme de produit frais à mi-mars), mais ces activités massiques ont fortement diminué dans les jours qui ont suivi : d’un facteur 100 à 1 000 en trois mois pour les césiums et en un mois pour l’iode 131.

Ainsi, la contamination par des iodes radioactifs des épinards cultivés dans la préfecture de Fukushima est passée, après moins d’un mois, sous le seuil de commercialisation qui était alors de 2 000 Bq/kg. Deux facteurs expliquent ce constat : d’une part la décroissance des iodes (la période radioactive de l’iode 131 est de huit jours), d’autre part la croissance naturelle des plantes qui grandissent et « diluent » de ce fait la radioactivité.

Il existe de fortes différences entre les conséquences des deux accidents de Tchernobyl et de Fukushima Daiichi sur la contamination des grandes cultures. L’accident de la centrale nucléaire de Tchernobyl s’est produit au printemps, alors que la végétation était déjà très développée ; les plantes occupaient des surfaces importantes et ont donc fortement « capté » les radionucléides, entraînant une contamination importante des denrées alimentaires. De plus, le bétail était en pâture à l’extérieur des granges et il a donc ingéré les radionucléides déposés.

L’accident de la centrale nucléaire de Fukushima Daiichi s’est produit en hiver (mois de mars), alors que la végétation était peu développée. L’interception des dépôts radioactifs par le feuillage des plantes et le transfert des radionucléides vers les parties consommées (fruits, grains, racines…) ont été faibles. De plus, les pratiques d’élevage (vaches à l’intérieur de bâtiments, nourries avec du fourrage le plus souvent importé de l’étranger) ont contribué à limiter la contamination des denrées.

Les autorités japonaises ont fait effectuer (et continuent de faire effectuer) un nombre très important d’analyses dans l’ensemble des zones surveillées (quelques centaines de milliers par an en incluant les denrées de toutes origines, naturelles ou issues de l’industrie agroalimentaire) ; les résultats des analyses sont publiés par le ministère japonais en charge de la santé. Pour les raisons invoquées précédemment, la très grande majorité des denrées agricoles et d’élevage produites au Japon, y compris dans la préfecture de Fukushima, ont présenté dès 2011 des activités massiques d’iode et de césiums inférieures aux niveaux maximaux admissibles (NMA)939, qui ont continué à diminuer au cours des années suivantes.

Jusqu’en avril 2012, les autorités japonaises ont retenu les niveaux maximaux admissibles (NMA) fixés dans les règlements Euratom n° 3954/87, n° 2218/89 et n° 944/89, qui visent à ce que la dose par ingestion de denrées n’excède pas 1 mSv/an. L’hypothèse principale qui sous-tend les valeurs fixées est que 10 % seulement des denrées consommées par une personne proviennent de territoires contaminés. Compte tenu du fait que les habitants de régions contaminées pouvaient en fait consommer 50 % de denrées d’origine locale, les autorités japonaises ont fixé, à partir d’avril 2012, des limites plus restrictives pour les césiums ; ainsi, pour les légumes-feuilles, le seuil de commercialisation est passé de 1 250 Bq/kg (frais) à 100 Bq/kg (frais).

Il est à noter que, comme après l’accident de la centrale nucléaire de Tchernobyl, l’activité massique de césium dans les produits forestiers (gibiers, baies, champignons et plantes sauvages) diminue très peu au fil des années ; en 2019, elles dépassent encore souvent la NMA japonaise pour le césium (100 Bq/kg frais).

36.3.2.Les rejets radioactifs dans l’océan Pacifique

La centrale de Fukushima Daiichi est implantée sur la côte est de l’océan Pacifique, à proximité d’une zone d’interaction de deux courants (figure 36.9), ce qui entraîne des effets giratoires variables. Ces effets sont déterminants pour la dispersion de la pollution radioactive à moyen et long termes.

Figure 36.9. Les deux courants marins de la côte est du Japon au droit de la centrale de Fukushima Daiichi. Pascal Bailly-du-Bois/IRSN (source Japan Oceanographic Data Center).

C’est le ruissellement des eaux marines, puis des eaux douces, injectées en grandes quantités dans les réacteurs pour les refroidir, qui est à l’origine de l’essentiel de la contamination du milieu marin ; en effet, si les dépôts consécutifs aux rejets dans l’atmosphère se sont principalement faits sur l’océan Pacifique, la surface concernée et la dilution dans des masses d’eau gigantesques n’ont que peu contribué aux activités volumiques des radionucléides observées près des côtes. Néanmoins, il a pu être constaté, dès le mois de mai 2011, que l’activité volumique de césium 137 dans l’eau de mer avait à moins de 2 km du site pu décroître grâce aux courants marins, de plusieurs dizaines de milliers de Bq/L à moins de 100 Bq/L. À 30 km de la centrale, l’activité volumique du césium 137 avait décru d’un millier de Bq/L à environ 10 Bq/L.

Ensuite, à partir du milieu de l’année 2012, les mesures de l’activité volumique du césium 137 de l’eau de mer effectuées jusqu’à 30 km du site font apparaître une relative stabilité, attribuée aux rejets résiduels du site, aux apports d’eau contaminée résultant du drainage des sols du bassin versant, de la désorption du césium stocké dans les sédiments.

À la fin de 2018, à plus de 30 km de la centrale accidentée, les activités volumiques du césium 137 dans l’eau de mer n’excèdent pas le centième de Bq/L, avec même des valeurs similaires à celles de mesures réalisées avant l’accident (1 à 2 millièmes de Bq/L).

La contamination des eaux et des sédiments a entraîné celle des organismes marins. Toutefois, au large des côtes du nord-est du Japon, l’activité massique des césiums (134 et 137) dans les espèces marines n’excède plus 100 Bq/kg (frais) (seuil de commercialisation) depuis janvier 2016 pour les espèces pratiquant les fonds marins, depuis la fin de l’année 2012 pour les autres.

36.3.3.Dispersion atmosphérique du panache radioactif
à grande distance

À partir des rejets estimés et en utilisant les observations et prévisions fournies par Météo France, l’IRSN a modélisé la dispersion atmosphérique des rejets radioactifs de la centrale nucléaire de Fukushima Daiichi à très grande distance (voir la figure 36.10). Cette modélisation a permis de préciser à l’échelle mondiale la dispersion dans l’air des rejets du 12 mars au 1er avril 2011940. Les résultats sont exprimés en Bq/m3 d’air.

Seul l’hémisphère terrestre nord a été concerné. Le panache s’est déplacé d’ouest vers l’est ; il a successivement atteint :

–la côte ouest des États-Unis le 16 mars, puis la côte est du 18 au 19 mars ;

–à partir du 22 mars, la Grande-Bretagne, puis les pays scandinaves ;

–à partir du 24 mars, la France, où de l’iode 131 a été détecté avec des activités volumiques variant de quelques dixièmes de mBq/m3 à quelques mBq/m3 ; du césium 137, du césium 134 et du tellure 132 ont aussi été détectés, mais avec des activités volumiques de quelques centièmes de mBq/m3.

En avril 2011, l’IRSN a estimé que l’activité volumique de la pluie était, en France, de quelques Bq par litre. Ainsi, des précipitations de 100 mm en un mois pouvaient entraîner des dépôts radioactifs de quelques centaines de Bq par m2, valeurs très inférieures à celles des dépôts qui ont résulté de l’accident de la centrale nucléaire de Tchernobyl (jusqu’à quelques milliers voire dizaines de milliers de Bq par m2 dans l’est de la France). En France, du 30 mars au 10 avril 2011, c’est-à-dire pendant et après le passage du panache de Fukushima Daiichi, une présence très faible d’iode 131 et de césium 134 a été détectée dans l’herbe (de 0,5 à une dizaine de Bq/kg de produit frais) ou les sols.

Figure 36.10. Résultats Météo France – IRSN des calculs de la dispersion du panache radioactif issu de la centrale de Fukushima Daiichi (césium 137). Météo France – source IRSN.

36.4.Actions de maîtrise des installations
et des rejets d’eau contaminée

Quelques-unes des actions post-accidentelles les plus marquantes sont indiquées ci-après (sur la base de la situation à la fin de 2019)941.

À la suite des événements qui ont été décrits plus haut, les installations du site de la centrale nucléaire de Fukushima Daiichi ont été en grande partie dévastées : le tsunami a non seulement noyé les bâtiments mais aussi charrié de nombreux débris sur le site ; les réacteurs n° 1, n° 3 et n° 4 ont subi d’importantes explosions, endommageant notablement leurs structures, et les cœurs des réacteurs n° 1 à n° 3 ont fondu. Il a fallu peu à peu pérenniser la maîtrise des installations et des rejets qu’elles restent susceptibles de produire, compte tenu de leur état de dégradation, notamment celui des confinements, et des quantités d’eau contaminée produites depuis l’accident. La gestion de ces eaux se révèle d’ailleurs particulièrement complexe.

•Maîtrise fonctionnelle des installations

Le refroidissement des cœurs des réacteurs n° 1 à n° 3 doit toujours être assuré, même si la puissance résiduelle qu’ils dégagent a fortement décru, accordant des délais d’intervention en cas de défaillance du refroidissement sans commune mesure avec ceux qui prévalaient lors de l’accident. Ce refroidissement est assuré par l’injection d’eau douce (à un débit inférieur à 5 m3/h par réacteur et à une température généralement inférieure à 30 °C) dans les cuves des réacteurs n° 1 à n° 3. Du fait de l’inétanchéité des cuves et des enceintes de confinement, l’eau injectée s’écoule dans les sous-sols des bâtiments où elle se mélange aux infiltrations d’eaux souterraines. Elle y est reprise, traitée puis réinjectée dans les réacteurs. Le refroidissement des piscines d’entreposage d’assemblages combustibles est assuré en circuit fermé : des pompes aspirent leur eau et la font circuler en permanence dans un circuit fermé équipé d’un échangeur de chaleur. Un autre circuit fermé refroidit cet échangeur ; il est lui-même refroidi grâce à un aéroréfrigérant. Les températures dans ces piscines sont elles aussi généralement inférieures à 30 °C.

Une injection d’azote a été effectuée en tant que de besoin dans les enceintes de confinement et les cuves des réacteurs n° 1 à n° 3 pour maintenir leur atmosphère inerte et éviter ainsi tout risque de combustion d’hydrogène.

Les moyens mis en œuvre sont redondants et disposent de secours électriques ; certains matériels sont installés dans des zones surélevées.

•Maîtrise des rejets

Pour réduire les rejets dans l’atmosphère, l’exploitant TEPCO s’est particulièrement attaché à restituer le confinement des bâtiments des réacteurs. Il a notamment, dès le mois d’octobre 2011, recouvert le bâtiment du réacteur n° 1 d’une structure. Cette structure a progressivement été déposée de 2014 à 2017, mais ce n’est que pour permettre les opérations de retrait des débris du bâtiment ; elle sera remplacée à terme par une nouvelle structure. Sur le bâtiment du réacteur n° 4, une nouvelle structure complète a été mise en place entre janvier et juillet 2013 : au-delà de la maîtrise des rejets, elle a également été conçue pour le retrait des assemblages combustibles de la piscine. Des travaux analogues ont d’ailleurs été réalisés sur le bâtiment du réacteur n° 3 d’août 2017 à février 2018. La couverture du bâtiment du réacteur n° 2 n’a pas été endommagée. Seule une ouverture dans celui-ci a fait l’objet d’un renforcement. Toutefois, une nouvelle structure devrait également être mise en place en vue des opérations de retrait du combustible ; le retrait des assemblages combustibles des piscines des réacteurs n° 1 et n° 2 est prévu à l’horizon 2020. Des produits limitant la dispersion des poussières ont été aspergés sur les bâtiments. Une aspersion est également généralement réalisée en préalable aux travaux sur les bâtiments.

Il est également nécessaire de limiter l’infiltration des eaux souterraines (qui circulent naturellement de l’intérieur des terres vers l’océan) dans les sous-sols des bâtiments où elles se contaminent en se mélangeant à l’eau qui sert à refroidir les réacteurs, rendant ainsi nécessaires leur traitement et leur entreposage.

Les capacités de traitement sont désormais largement dimensionnées : toute l’eau entreposée a subi un traitement942 pour en retirer le césium et le strontium ; la majeure partie des eaux a même subi un traitement plus important et ne contient plus que du tritium943, ainsi que des traces d’autres radioéléments. Cependant, le rejet des eaux traitées qui ont transité par les bâtiments de la centrale nucléaire de Fukushima Daiichi n’est pas autorisé par les autorités japonaises. Les volumes entreposés dans des réservoirs sur le site augmentent donc inexorablement et ont dépassé 1 000 000 m3.

Pour maîtriser les flux d’eaux souterraines, différents dispositifs ont été installés (voir la figure 36.11), notamment :

–un dispositif de pompage (groundwater bypass) en amont des bâtiments, mis en œuvre à partir d’avril 2014 : l’eau pompée est rejetée après contrôle ;

–un drainage d’eau à la périphérie des bâtiments (subdrains), par la remise en état de 27 puits de drainage existants et la réalisation de 15 nouveaux puits, afin d’assurer le rabattement des eaux ;

–un dispositif de congélation des terrains (landside impermeable wall) sur une trentaine de mètres de profondeur autour des réacteurs n° 1 à n° 4 (dans un périmètre d’environ 1 500 mètres) : 1 552 forages de congélation ont été réalisés entre juin 2014 et octobre 2015 afin d’y faire circuler un liquide à très basse température. La totalité du périmètre est congelée depuis 2018.

Les eaux pompées sont traitées et rejetées après contrôle, en accord avec les associations locales de pêcheurs944 et les autorités du pays.

Pour éviter que les eaux souterraines polluées ne puissent atteindre l’océan, une barrière d’étanchéité (seaside impermeable wall, constituée de tubes métalliques) a été installée le long du port ; elle est constituée par un mur de 35 mètres de hauteur (dont plus de la moitié est enterrée dans le sol jusqu’au niveau peu perméable) et de près de 900 mètres de long. En 2014, l’espace compris entre le mur et la digue de protection du site a été remblayé et cinq puits de pompage (accédant notamment à la nappe d’eau la plus profonde) y ont été implantés puis testés ; ce dispositif est entré en fonctionnement en octobre 2015. Les eaux pompées sont traitées et contrôlées avant rejet.

Figure 36.11. Schéma montrant les dispositifs de drainage groundwater bypass et subdrains, les puits de congélation au niveau des réacteurs, le mur en aval et les tubes de pompage associés. TEPCO.

•Démantèlement des installations

Les installations seront à terme complètement démantelées. La planification générale prévoit trois grandes étapes :

–le retrait des assemblages combustibles présents dans les piscines des réacteurs. Le retrait des assemblages combustibles de la piscine du réacteur n° 4, la plus chargée en assemblages, s’est achevé en décembre 2014. L’enlèvement des principaux débris du plancher supérieur de la piscine du réacteur n° 3, ainsi que la construction d’une structure abritant les dispositifs de manutention nécessaires au déchargement des assemblages et l’installation de ces dispositifs sont terminés ; le retrait des assemblages combustibles a commencé en avril 2019. Le retrait des assemblages combustibles des piscines des réacteurs n° 1 et n° 2 est programmé en 2023 ;

–le retrait des combustibles dégradés dans les réacteurs n° 1 à n° 3. Cette étape est bien évidemment plus complexe et seul l’aboutissement d’un important programme de recherche engagé à cet effet pourra permettre son aboutissement. Il faut développer des moyens d’investigation en complément de ceux qui ont été déployés jusqu’à présent à la seule fin de connaître plus précisément l’état des installations. Des investigations et des contrôles spécifiques dans les installations sont progressivement réalisés, notamment par l’envoi de robots dans les enceintes de confinement. Ensuite, il faudra définir et concevoir les moyens nécessaires au retrait des cœurs des réacteurs. Le retrait des combustibles dégradés devrait intervenir avant 2025 ;

–le démantèlement complet des installations ; les délais ne peuvent pas encore précisément être affichés, mais l’objectif est de 30 à 40 ans.

36.5.Les conséquences socio-économiques et sanitaires en quelques chiffres

36.5.1.Conséquences socio-économiques

Au début du mois d’avril 2011, les impacts socio-économiques945 de l’accident de la centrale nucléaire de Fukushima Daiichi se sont fait douloureusement sentir pour les populations. Les habitants de la zone d’exclusion, d’un rayon d’environ 20 km autour de la centrale, ont été évacués et consigne a été donnée aux habitants de la zone comprise entre 20 km et 30 km de rester chez eux ou de procéder à leur évacuation volontaire par leurs propres moyens. La contamination environnementale a nécessité l’interdiction à la vente du lait et de différents produits agricoles dans plusieurs préfectures (notamment au nord-ouest de la centrale) ainsi que de produits marins : la pêche a été interrompue dans un rayon de 30 km autour du site, rayon ramené à 20 km à la fin du mois de septembre 2011. Les grossistes et les consommateurs du Japon ont évité tous les produits alimentaires venant de ces régions, ce qui a privé de ressources les exploitants agricoles. Dans les communes les plus touchées (notamment Iitate946), les habitants ont vécu pendant plusieurs semaines dans l’attente d’aides de l’État, ou d’un éventuel ordre d’évacuation. Leur évacuation a enfin été ordonnée en fin de journée le 11 avril.

Les conséquences socio-économiques ont affecté non seulement la « zone de décontamination spéciale » mais aussi, au-delà, la « zone d’étude intensive de la radioactivité » (zonage instauré par les pouvoirs publics, expliqué au paragraphe 36.5.2).

La combinaison du séisme, du tsunami et de l’accident nucléaire a eu un impact direct sur l’économie japonaise. Les exportations ont chuté de 2,4 % en avril 2011 par rapport à leur niveau d’avril 2010. Dans le même temps, des importations ont augmenté, notamment celles de carburants et de combustibles, de produits chimiques et de denrées alimentaires, provoquant un déficit de la balance commerciale en avril et mai 2011. Les importations de combustibles fossiles sont ensuite demeurées à un niveau élevé.

La réduction considérable de la production d’électricité d’origine nucléaire (environ - 94 % entre 2010 et 2016) a été compensée par un surcroît de production électrique par des sources telles que le charbon, le gaz naturel et le solaire ; parallèlement, une baisse de la consommation a été constatée (- 6 % sur la même période), liée notamment à une augmentation de 25 % du prix de l’électricité entre 2011 et 2014. Le basic energy plan adopté le 3 juillet 2018 par le Cabinet du Premier ministre prévoit pour 2030 des parts de la production d’électricité de 20 à 22 % pour le nucléaire, 22 à 24 % pour les énergies renouvelables et 56 % pour les énergies fossiles. Cinq réacteurs électronucléaires sur 54 sont restés en service après l’accident de la centrale nucléaire de Fukushima Daiichi. Compte tenu des nouvelles normes de sûreté adoptées au Japon après l’accident de la centrale nucléaire de Fukushima Daiichi, sur l’ensemble du parc électronucléaire japonais, seuls 39 réacteurs ont été considérés comme pouvant être redémarrés. À la fin de 2018, 11 réacteurs de divers électriciens (Kyushu Electric Power, Shikoku Electric Power, Kansai Electric Power, TEPCO) avaient effectivement été redémarrés après l’accord de la nouvelle autorité de sûreté nucléaire japonaise (NRA, voir le chapitre 37). La société TEPCO a ainsi obtenu en 2017 l’accord de NRA pour le redémarrage de deux des réacteurs à eau bouillante de la centrale nucléaire de Kachiwazaki-Kariwa (qui comporte sept réacteurs), qui avait subi un séisme important en 2007, cela après mise aux nouvelles normes de sûreté. Par ailleurs, trois réacteurs sont en construction.

Les initiatives de revitalisation et les activités de reconstruction engagées dans le cadre d’un processus dit de relèvement947 vont de celles qui sont menées par les pouvoirs publics au niveau national à des initiatives d’organisations non gouvernementales et de collectivités locales. Le gouvernement japonais a créé une Agence pour la reconstruction, la préfecture de Fukushima a pris diverses initiatives, dont la fondation du Centre pour la création environnementale, tandis que la société TEPCO a créé en 2013 le Centre pour la revitalisation de Fukushima. Tous ces projets visent à concilier les mesures de radioprotection avec des aspects sociétaux plus larges, comme la revitalisation des infrastructures, l’engagement et – dans le cas du Centre pour la revitalisation – l’indemnisation de la population. On peut citer comme exemple d’initiative de revitalisation réussie la coopération instaurée entre les producteurs et les distributeurs de pêches d’une part, l’industrie agroalimentaire d’autre part pour restaurer la confiance du public dans les aliments produits dans la préfecture de Fukushima.

36.5.2.Conséquences sanitaires

Dans les quelques mois qui ont suivi l’accident de la centrale nucléaire de Fukushima Daiichi (du 11 mars jusqu’au mois d’octobre 2011), les autorités japonaises ont recensé, sur les 25 000948 travailleurs qui ont œuvré sur le site de la centrale, sept décès ; cinq ont été attribués de façon globale à l’accident (deux par noyade lors de l’arrivée du tsunami, trois par arrêt cardiaque), aucun n’a été attribué à une exposition aux rayonnements ionisants. Par ailleurs, le nombre de morts du fait de l’évacuation des territoires contaminés est compris entre 40 et 50 (le nombre de personnes déplacées est compris entre 20 000 et 50 000).

Avec l’aide de nombreux spécialistes949, des organismes internationaux ont établi et publié des rapports sur les conséquences sanitaires de l’accident, notamment :

–l’Organisation mondiale de la Santé (World Health Organization – WHO) ; cette organisation a diffusé en 2012-2013 des rapports présentant d’une part une évaluation préliminaire des doses reçues par les personnes exposées du fait de l’accident de la centrale nucléaire Fukushima Daiichi, d’autre part une analyse des risques induits pour la santé ;

–le Comité scientifique des Nations Unies sur les effets des radiations atomiques (UNSCEAR), qui a diffusé en 2014 un rapport (daté de 2013) dans lequel figure une estimation des niveaux et des effets des expositions aux radiations attribuées à l’accident, s’appuyant sur un nombre important de données sur la radioactivité dans l’environnement de Fukushima et les doses reçues d’irradiation.

La suite du présent paragraphe s’appuie sur ces rapports950.

À court terme, les principales voies d’exposition des personnes du public ont été :

–l’exposition externe due aux radionucléides présents dans les rejets atmosphériques et aux radionucléides déposés sur le sol,

–l’exposition interne de la glande thyroïde due à l’incorporation d’iode 131 et l’exposition interne d’autres organes et tissus due essentiellement à l’incorporation de césium 134 et de césium 137.

À long terme, la principale voie d’exposition des personnes du public est l’exposition externe due aux dépôts de césium 137.

Concernant les expositions professionnelles, après l’accident, les membres des équipes d’intervention sur site ont travaillé dans des conditions extrêmement difficiles et les niveaux de rayonnement étaient très élevés pendant qu’ils cherchaient à stabiliser l’état des réacteurs. Au cours de la période allant de mars 2011 à mars 2012, 174 travailleurs sur le site de la centrale de Fukushima Daiichi ont reçu une dose efficace qui a dépassé la limite initiale fixée à 100 mSv pour les situations d’urgence, la dose efficace de six d’entre eux ayant aussi dépassé la limite temporairement révisée de 250 mSv. Aucun travailleur n’a reçu une dose efficace de 100 mSv au cours des années suivantes.

Les doses internes ont été principalement des doses équivalentes à la thyroïde dues à l’inhalation d’iode 131. Si la majorité des personnes qui travaillaient à la centrale nucléaire de Fukushima Daiichi ont reçu des doses équivalentes à la thyroïde inferieures à 100 mSv, 1 757 d’entre elles ont reçu des doses plus élevées et, pour 17 et 2 d’entre elles, celles-ci ont été supérieures à respectivement 2 000 mSv et à 12 000 mSv951.

Si aucun effet sanitaire précoce dû aux rayonnements et pouvant être attribué à l’accident n’a été observé parmi les travailleurs, ainsi que dans la population, la possibilité d’effets sanitaires différés (la période de latence avant l’apparition d’effets sanitaires tardifs dus aux rayonnements pouvant être de plusieurs décennies) doit être prise en compte. Toutefois, selon le rapport de l’UNSCEAR, « on ne s’attend pas à une augmentation observable des effets sanitaires radio-induits chez les personnes du public exposées et leurs descendants ». L’UNSCEAR a conclu, pour le groupe des travailleurs ayant reçu des doses efficaces de 100 mSv ou plus, qu’« une augmentation du risque de cancer à l’avenir est probable. Cependant, aucune augmentation observable de l’incidence du cancer dans ce groupe n’est attendue, car il est difficile de confirmer une augmentation aussi faible de l’incidence par rapport aux fluctuations statistiques normales de l’incidence du cancer ».

Ainsi, une « enquête » sur la gestion de la situation sanitaire à Fukushima a été mise en place pour contrôler la santé de la population affectée de la préfecture de Fukushima. Elle vise à détecter et traiter les maladies à un stade précoce, mais aussi à prévenir les maladies liées au mode de vie. Un dépistage intensif de maladies liées à la thyroïde chez les enfants a été mis en place dans le cadre de cette enquête.

Enfin, le rapport de l’UNSCEAR fournit un certain nombre d’informations sur les conséquences psychologiques de l’accident de la centrale nucléaire de Fukushima Daiichi. L’UNSCEAR estime ainsi (en 2013) que « l’effet sanitaire le plus important, qui affecte le bien-être psychologique et social, est lié à l’impact considérable du séisme, du tsunami et de l’accident nucléaire, ainsi qu’à la peur et à la déconsidération associée au risque perçu d’exposition aux rayonnements ionisants. Des effets tels que des dépressions et des symptômes de stress post-traumatique ont déjà été signalés ».

•Remise en état des zones touchées par l’accident hors du site

Une politique de « remédiation » a été définie en août 2011 par le gouvernement japonais. Elle a assigné des responsabilités aux autorités nationales et locales, ainsi qu’à l’exploitant. Elle est concentrée sur les activités de décontamination destinées à réduire les niveaux d’activité surfacique due au césium radioactif dans les zones classées prioritaires (zones d’habitation, y compris les bâtiments et les jardins, terres agricoles, routes et infrastructures), dans le but de réduire l’exposition externe des personnes. Les doses internes continuent d’être contrôlées au moyen de restrictions sur les aliments et d’activités de remise en état menées sur les terres agricoles. Deux catégories de zones contaminées ont été distinguées à partir des suppléments de doses annuelles estimées à l’automne 2011. Le gouvernement a la charge de formuler et d’exécuter des plans de remise en état dans la première zone (la « zone de décontamination spéciale ») – dans un rayon de 20 km autour du site accidenté et dans des emplacements où des suppléments de doses annuelles provenant de la contamination des sols pouvaient dépasser 20 mSv dans l’année suivant l’accident. C’est aux municipalités qu’il incombe d’exécuter les activités de remise en état dans l’autre zone (la « zone d’étude intensive de la contamination »), où, selon les prévisions, les suppléments de doses annuelles pourraient dépasser 1 mSv tout en restant inférieures à 20 mSv. Des objectifs précis de réduction des doses ont été fixés, dont un objectif à long terme de supplément de dose annuelle inférieure ou égale à 1 mSv.

36.6.Les enseignements tirés de l’accident

L’accident qui a affecté les réacteurs de la centrale nucléaire de Fukushima Daiichi a constitué un véritable choc. Le Japon a progressivement arrêté la totalité de ses réacteurs électronucléaires : ceux qui étaient à l’arrêt lors du séisme ou à cause de celui-ci le sont restés ; l’arrêt des réacteurs n° 4 et n° 5 de la centrale nucléaire d’Hamaoka (implantée sur la côte est du Japon et exploitée par Chubu Electric Power) a été décidé par le gouvernement japonais en mai 2011 dans l’attente du renforcement de la protection du site ; les autres réacteurs n’ont pas reçu d’autorisation de redémarrage après qu’ils ont atteint l’échéance de leur arrêt programmé pour maintenance. Seuls deux réacteurs (Ohi n° 3 et n° 4, implantés à l’ouest du Japon et exploités par Kansai Electric Power) ont pu effectuer un cycle de fonctionnement entre 2012 et 2013. La remise en service des réacteurs électronucléaires au Japon a été assujettie à la mise en place d’améliorations leur permettant de respecter les nouvelles normes de sûreté édictées par la nouvelle autorité de sûreté nucléaire (NRA). Ce n’est qu’après de nombreuses vérifications par cette dernière qu’un réacteur peut être autorisé à fonctionner de nouveau, comme ce fut le cas en 2015 du réacteur n° 1 de la centrale nucléaire de Sendaï exploitée par Kyushu Electric Power (implantée sur l’ile de Kyushu) ou encore, en 2017, de deux des réacteurs de la centrale nucléaire de Kachiwazaki-Kariwa exploitée par TEPCO (voir le paragraphe 36.5.1).

En termes de sûreté, les enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi sont nombreux. En effet, au-delà du fait que la hauteur trop basse de la digue a constitué la cause première de l’accident, ce qui soulignait l’importance du choix du site et de la prise en compte des risques environnementaux, beaucoup d’autres faits méritaient d’être analysés en profondeur.

Concernant les risques de tsunamis952, la centrale de Fukushima Daiichi avait été conçue et construite de façon à être protégée d’une inondation correspondant à un niveau d’eau de + 3,1 mètres par rapport au niveau moyen de la mer953. Les plateformes des réacteurs ont été réalisées au niveau + 10 mètres pour les réacteurs n° 1 à n° 4 et + 13 mètres pour les réacteurs n° 5 et n° 6 ; toutefois, certains équipements importants pour la sûreté de la centrale avaient été installés au plus près de la mer à un niveau de + 4 mètres : il s’agissait d’équipements associés à la source froide ultime et d’équipements permettant le refroidissement des groupes électrogènes de secours.

En 2002, la société TEPCO avait réévalué la hauteur d’eau pouvant être induite par un tsunami à + 5,7 mètres954. Cela avait notamment conduit à étanchéifier des bâtiments et à surélever les moteurs des pompes des équipements situés à + 4 mètres servant à l’évacuation de la chaleur résiduelle des réacteurs.

En 2009, la société TEPCO et d’autres exploitants japonais avaient à nouveau réévalué les niveaux d’inondation pouvant résulter de tsunamis en utilisant une méthode faisant appel à un modèle de source, dit standard, pour les tsunamis, élaborée par la Société japonaise des ingénieurs civils et publiée en 2002 ; en 2009, la hauteur maximale de tsunami avait été évaluée à + 6,1 mètres, ce qui avait conduit la société TEPCO à surélever davantage les moteurs des pompes servant à évacuer la chaleur résiduelle des réacteurs.

Avant l’accident, la société TEPCO avait procédé à de nouvelles évaluations en utilisant une méthode du Centre de promotion de la recherche sur les séismes, fondée sur un autre modèle de source de tsunamis et utilisant des données plus récentes, en postulant un séisme au large de la côte de Fukushima de magnitude 8,3, plus importante que dans les précédentes évaluations. Cette nouvelle évaluation avait conduit à une amplitude de + 15 mètres au niveau du site, similaire à la hauteur effective constatée le 11 mars 2011. Sur la base de cette nouvelle évaluation, la société TEPCO, la NISA955 et d’autres organismes japonais avaient estimé que d’autres études et recherches étaient nécessaires. La société TEPCO et d’autres compagnies d’électricité avaient donc demandé à la Société japonaise des ingénieurs civils de réexaminer l’adéquation des modèles de source de tsunamis ; ces activités étaient en cours en mars 2011.

Au Japon, des commissions ont été mandatées par le gouvernement ou par le parlement et ont transmis leurs conclusions sans concession. Elles ont été notamment très critiques à l’égard de l’autorité de sûreté nucléaire (voir le chapitre suivant). Les difficultés de gestion de la crise ont été également soulignées.

Les différents organismes concernés, non seulement au Japon mais aussi dans les autres pays, ont été amenés à remettre en cause leurs approches de sûreté. La suite de ce chapitre traite, pour l’essentiel, de l’exercice des « évaluations complémentaires de sûreté » menées en France. Le chapitre suivant présentera quelques autres initiatives et actions au plan international.

36.6.1.Les réévaluations de sûreté menées en Europe
et en France à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi

Dès le 23 mars 2011, le Premier ministre français a demandé au président de l’Autorité de sûreté nucléaire de réaliser une étude de la sûreté des installations nucléaires, en priorité des réacteurs électronucléaires, au regard de l’accident qui venait de se produire au Japon. Cette étude devait porter sur cinq points : les risques d’inondation, de séisme, de perte des alimentations électriques et de perte du refroidissement, ainsi que la gestion opérationnelle des situations accidentelles. Le Premier ministre demandait qu’il soit déterminé, installation par installation, si des améliorations étaient nécessaires à la lumière des enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi, cela en cohérence avec les travaux menés dans le cadre européen par le groupe ENSREG (European Nuclear Safety Regulators Group) et l’association WENRA (Western European Nuclear Regulators Association) ; il souhaitait que des premières conclusions de ces travaux soient présentées avant la fin de l’année 2011.

De son côté, le Conseil européen a, lors de sa réunion des 24 et 25 mars 2011, mandaté la Commission européenne et l’ENSREG pour la réalisation d’une « évaluation d’ensemble transparente de la sûreté » de toutes les centrales électronucléaires de l’Union européenne au regard de l’accident de la centrale nucléaire de Fukushima Daiichi, sur la base de tests de résistance (stress tests) à mener par les exploitants. Le cahier des charges de ces stress tests a été établi sur la base d’une proposition de l’association WENRA. Ces stress tests ont visé à apprécier quelle serait la « réponse » des installations à des situations extrêmes, concernant essentiellement les séismes, les inondations, la perte des alimentations électriques ou de la source froide et la gestion des accidents graves qui pourraient affecter de façon durable tout ou partie des installations d’un site. L’évaluation devait permettre d’identifier d’éventuels points faibles des installations et les « effets falaises » associés afin de définir de possibles améliorations techniques ou organisationnelles.

En France, l’étude demandée par le Premier ministre a conduit à la réalisation, par les exploitants, d’évaluations complémentaires de sûreté (ECS), sur la base d’un cahier des charges fondé sur la proposition de l’association WENRA pour les stress tests, mais élargi à la quasi-totalité des installations nucléaires et, à la suite d’une consultation du Haut comité pour la transparence et l’information sur la sécurité nucléaire (HCTISN), enrichi d’un volet relatif aux prestataires des exploitants.

Les conclusions des stress tests menés par les exploitants en 2011 ont fait l’objet d’un examen indépendant par chaque autorité de sûreté nationale concernée. Au niveau européen, une revue par les pairs des conclusions de ces examens, complétée par des visites de sites, a abouti à l’établissement, dès avril 2012, soit un an après l’accident, d’un rapport par pays, d’un rapport général de l’ENSREG956, ainsi qu’à un plan d’action de la part de chacun des pays, qui fait l’objet d’un suivi au niveau européen. Il est à noter que la Suisse et l’Ukraine, bien qu’extérieur à l’Union européenne, ont participé intégralement à l’exercice. De façon globale, selon les conclusions de la revue par les pairs, « les stress tests ont identifié des améliorations tangibles ». Le rapport global souligne à cet égard que des mesures significatives pour améliorer la robustesse des centrales nucléaires à l’égard non seulement des agressions, mais aussi des situations de perte totale des sources de refroidissement ou des alimentations électriques, ont été décidées ou sont en cours d’examen dans les différents pays européens, notamment par la définition d’équipements renforcés et une préparation appropriée à ces agressions et à ces situations. Quatre recommandations ont été formulées dans ce rapport, concernant respectivement le besoin de lignes directrices complémentaires pour l’évaluation des risques naturels, la promotion des réexamens de sûreté périodiques, la mise en œuvre de dispositions pour protéger le confinement ainsi que pour renforcer la prévention des accidents et la limitation de leurs conséquences.

Pour l’essentiel, le rapport consacré à la France a recommandé de mener à bien le déploiement des améliorations proposées par Électricité de France ou demandées par l’Autorité de sûreté nucléaire (voir plus loin), en relevant notamment la démarche mise en œuvre, qui a conduit au concept de « noyau dur » post-Fukushima ; cette démarche sera précisée plus loin. Par ailleurs, quelques recommandations ont été faites concernant notamment la prise en compte des phénomènes naturels (en particulier la mise en œuvre d’approches probabilistes pour la caractérisation des aléas de faible probabilité).

La réunion du Conseil européen des 28 et 29 juin 2012 ainsi que le résumé technique établi par la Commission européenne en octobre 2012 ont confirmé les conclusions des rapports précités.

Chaque pays a ensuite établi à la fin de 2012 un plan d’actions qui fait désormais l’objet d’un suivi.

36.6.2.Les évaluations complémentaires de sûreté
menées en France

Les évaluations complémentaires de sûreté menées en France sont à placer dans le contexte de la recherche continue d’améliorations de la sûreté des installations, qui s’appuie sur des éléments dont il a été question dans des chapitres précédents :

–la mise en œuvre du retour d’expérience événementiel,

–les réexamens périodiques, qui comportent une vérification de la conformité des installations aux exigences qui leur sont applicables ainsi qu’une réévaluation de leur sûreté à la lumière des nouvelles connaissances, de nouvelles exigences…,

–le développement de nouveaux référentiels ou la réévaluation de référentiels existants, indépendamment des réexamens périodiques (par exemple pour ce qui concerne la prise en compte des accidents graves ou l’évaluation de l’aléa inondation).

Concernant les réacteurs du parc électronucléaire français, si l’on considère les événements qui ont affecté les réacteurs de la centrale nucléaire de Fukushima Daiichi, on peut noter que les référentiels de sûreté des réacteurs en exploitation traitaient déjà :

–des situations de perte totale des alimentations électriques (externes et internes) d’un réacteur pendant 24 heures,

–des situations de perte totale de la source froide d’un réacteur pendant 100 heures.

L’inondation partielle de la centrale nucléaire du Blayais survenue à la fin de l’année 1999 (voir le paragraphe 24.1) avait également conduit Électricité de France à réaliser des études sur les réserves disponibles sur les sites pour pouvoir gérer une situation de perte totale des alimentations électriques externes ou de perte de la source froide, ainsi qu’un cumul de ces deux situations. Lors de ces études, la possibilité d’une perte des alimentations électriques externes en cas de séisme avait notamment été retenue, ce qui avait conduit Électricité de France à supposer une telle perte pendant une durée de 15 jours, nettement plus longue que celle qui avait été retenue dans les études de conception initiales, et à modifier les groupes électrogènes de secours pour en fiabiliser le fonctionnement sur le long terme. D’autres améliorations restaient toutefois nécessaires (notamment une augmentation des réserves d’eau secondaire).

Ces études constituaient déjà une avancée notable quant à la prise en compte des risques de perte de sources électriques ou de refroidissement à l’échelle d’un site en cas d’agression.

36.6.3.Déroulement des évaluations complémentaires
de sûreté menées en France

La demande du Premier ministre évoquée plus haut a été reprise par l’Autorité de sûreté nucléaire dans un courrier adressé aux exploitants des installations nucléaires, en date du 5 mai 2011957, précisant les attendus sur les cinq points précités – auquel un volet relatif au recours à des entreprises prestataires avait été ajouté –, leur demandant en particulier de présenter, pour chaque installation :

–« les dispositions prises lors du dimensionnement de l’installation et la conformité de celle-ci aux exigences de conception qui lui sont applicables,

–la robustesse de l’installation au-delà de ce pour quoi elle est dimensionnée, en identifiant en particulier, d’une part les situations qui conduiraient à une brusque dégradation de l’accident (« effet falaise »), d’autre part les mesures permettant d’éviter ces situations,

–des propositions de renforcement du niveau de sûreté de l’installation et de l’organisation en cas de crise ».

Pour Électricité de France, les délais prescrits étaient les suivants :

–transmission de la méthode retenue pour réaliser les ECS au plus tard le 1er juin 2011,

–transmission d’un « premier rapport »958 au plus tard le 15 septembre 2011 pour les réacteurs en exploitation et pour l’EPR Flamanville 3, et au plus tard le 15 septembre 2012 pour les réacteurs en phase de démantèlement.

L’Autorité de sûreté nucléaire a demandé aux groupes permanents d’experts de lui faire part de leur avis sur les conclusions des ECS réalisées par les exploitants et sur la pertinence des propositions d’améliorations qu’ils ont présentées dans ce cadre. Cet avis, transmis à l’ASN en novembre 2011, s’est bien évidemment appuyé sur l’expertise des dossiers des exploitants faite par l’IRSN.

En parallèle de l’instruction de ces dossiers, l’Autorité de sûreté nucléaire a mené un large programme d’inspections sur les cinq sujets visés par la lettre du Premier ministre. Ces inspections se sont déroulées du 17 juin au 21 octobre 2011 et ont concerné tous les sites pour lesquels le rapport d’ECS devait être remis en 2011.

Le calendrier retenu tant au niveau national pour la réalisation des ECS qu’au niveau européen pour la réalisation des stress tests était extrêmement contraint, compte tenu du large ensemble d’installations concernées et de la technicité des questions à traiter.

Électricité de France a transmis ses rapports à la mi-septembre 2011 et l’IRSN a diffusé son rapport d’expertise au début de novembre 2011. Sur la base de cette expertise et des conclusions des avis des groupes permanents d’experts, l’Autorité de sûreté nucléaire a rendu public son rapport sur les ECS des installations nucléaires françaises au tout début de l’année 2012, soit moins de dix mois après l’accident.

36.6.4.Conclusions des évaluations complémentaires de sûreté menées en France

Les ECS ont tout d’abord confirmé que, sous la réserve de la conformité des centrales aux exigences de sûreté qui leur sont applicables, les réacteurs électronucléaires français étaient en mesure de faire face aux agressions d’origine naturelle retenues pour les différents sites (considérées lors de la conception des réacteurs ou lors des plus récentes réévaluations de sûreté). De plus, compte tenu des méthodes et des critères de conception utilisés, il a été possible dans la plupart des cas d’estimer que les installations seraient en mesure de faire face à des agressions naturelles de sévérités supérieures à celles qui avaient été considérées lors de leur conception ou lors des réévaluations – même si les marges existantes n’étaient pas nécessairement aisées à quantifier.

Les ECS ont conduit à souligner et rappeler l’importance primordiale qu’il convient d’attacher au maintien de la conformité des installations aux exigences de sûreté qui leur sont applicables, tout au long de leur exploitation.

Électricité de France a par ailleurs proposé la mise en œuvre de dispositions spécifiques, reposant sur des matériels présents sur le site ou pouvant y être acheminés en cas d’accident, pour renforcer la tenue des centrales aux agressions naturelles. On peut citer ici les propositions suivantes :

–équiper chaque réacteur électronucléaire en exploitation d’un groupe électrogène supplémentaire, appelé diesel d’ultime secours (DUS), pour pouvoir faire face à une perte totale de l’ensemble des autres moyens d’alimentation électrique du site pendant de longues durées,

–dupliquer, lorsque cela est nécessaire, certains équipements communs à plusieurs réacteurs d’un même site afin de pouvoir gérer une situation accidentelle qui affecterait simultanément plusieurs installations.

Mais l’une des mesures plus immédiates prises par Électricité de France a été son engagement de mettre en place une Force d’action rapide nucléaire (FARN), conçue pour assister tout site du parc électronucléaire français qui aurait à gérer une situation accidentelle grave qui surviendrait ; les premiers moyens seraient acheminés dans un délai inférieur à 24 heures.

L’IRSN a, pour sa part, conclu dans son rapport d’expertise à la nécessité de mettre en place sur les sites un ensemble plus complet de dispositions permettant de faire face, dans l’attente de l’arrivée des moyens de la FARN, à des situations de perte durable des sources électriques ou de la source froide pouvant résulter d’agressions naturelles allant au-delà de ce qui était considéré jusque-là.

La démarche spécifique développée par l’IRSN dans son analyse des propositions d’Électricité de France a conduit l’IRSN à suggérer la mise en œuvre d’un concept de « noyau dur », constitué de moyens matériels, organisationnels et humains permettant d’assurer, au moins pendant les premiers jours suivant l’accident, les fonctions de sûreté vitales des installations d’un site en cas de perte totale des sources de refroidissement ou d’alimentation électrique, en particulier à la suite d’une agression externe « hors dimensionnement », le déploiement de la FARN devant ensuite permettre d’assurer la gestion de l’accident à plus long terme.

Ce concept a été discuté lors de réunions des groupes permanents d’experts et a globalement été adopté.

Bien que menées dans des délais extrêmement courts, les évaluations complémentaires de sûreté ont ainsi permis :

–d’évaluer la conformité aux exigences de sûreté qui leur sont applicables des dispositions en place à l’égard des agressions externes de type séisme et inondation ainsi que des pertes de source froide et d’alimentations électriques,

–d’identifier des évolutions des référentiels de sûreté en vigueur qui devaient être entreprises sans attendre les réexamens périodiques (détermination des niveaux à retenir en termes d’aléa sismique et d’inondation externe, combinaisons d’agressions à considérer…),

–de définir la notion de « noyau dur » et d’en prescrire la mise en place.

Des décisions de l’Autorité de sûreté nucléaire datée du 26 juin 2012 ont formulé des prescriptions complémentaires à Électricité de France959, lui demandant, notamment, de proposer avant le 30 juin 2012 un tel « noyau dur » devant permettre de :

–« prévenir un accident de fusion de combustible ou en limiter la progression,

–limiter les rejets radioactifs massifs,

–permettre à l’exploitant d’assurer les missions qui lui incombent dans la gestion de crise ».

36.6.5.Le « noyau dur »

36.6.5.1.Objectif

Le « noyau dur » a, comme cela a été vu plus haut, pour objectif de limiter les rejets radioactifs susceptibles de conduire à des conséquences importantes à court, moyen et long termes dans les situations de perte durable des sources électriques ou de la source froide d’un site, y compris en cas de survenue d’une agression externe extrême. En effet, si aucun moyen de secours n’est opérationnel rapidement, une telle situation entraîne la fusion des cœurs des réacteurs et éventuellement, à plus long terme, le dénoyage des assemblages combustibles entreposés dans les piscines de désactivation.

Il est bien entendu essentiel de réduire autant que possible les conséquences radiologiques associées à de tels accidents, ce d’autant plus que, en cas de catastrophe naturelle du type de celle qui est survenue au Japon en mars 2011, l’environnement du site serait très fortement dégradé, rendant difficile la mise en œuvre d’actions de protection des populations présentes dans le voisinage du site ainsi que, à plus long terme, la gestion des territoires contaminés.

36.6.5.2.Principes

Pour les réacteurs électronucléaires, conformément aux décisions de l’Autorité de sûreté nucléaire du 26 juin 2012 évoquées plus haut le « noyau dur » doit permettre de prévenir un accident de fusion de combustible, d’en limiter la progression, de limiter les rejets radioactifs et de gérer la crise.

Dans une décision du 21 janvier 2014, l’Autorité de sûreté nucléaire a également précisé à Électricité de France les situations à prendre en compte pour la conception des « noyaux durs » et particulièrement l’aléa sismique « noyau dur » (SND) :

–Les situations (dites situations noyau dur) à prendre en compte sont :

•« la perte totale des alimentations électriques n’appartenant pas au « noyau dur »,

•la perte totale de la source froide [de refroidissement du réacteur] n’appartenant pas au « noyau dur »,

•les agressions externes retenues pour le « noyau dur »,

•les situations résultant de l’état de l’installation, du site et de son environnement après une ou des agressions externes retenues pour le « noyau dur ». »

–Le SND doit :

•« être enveloppe du séisme majoré de sécurité (SMS) du site, majoré de 50 %,

•être enveloppe des spectres définis de manière probabiliste avec une période de retour de l’ordre de 20 000 ans,

•prendre en compte pour sa définition les effets de site particuliers et notamment la nature des sols ».

Le « noyau dur » comprend ainsi des dispositions permettant d’assurer l’ensemble des fonctions fondamentales de sûreté définies au chapitre 6 dans les situations et conditions évoquées ci-dessus, en prenant également en compte à la fois les réacteurs (que l’installation fonctionne à pleine puissance ou soit à l’arrêt, y compris lorsque le bâtiment du réacteur est ouvert) et les piscines d’entreposage des combustibles usés.

Le « noyau dur » doit par ailleurs être défini en considérant la perte de l’ensemble des dispositions déjà mises en œuvre au titre du dimensionnement de l’installation, dont la robustesse à des agressions naturelles d’intensités significativement supérieures à celles qui ont été retenues pour ce dimensionnement ne peut pas être démontrée.

En complément, les missions qui incombent à l’exploitant en situation de crise doivent pouvoir être assurées. Pour cela, des dispositions du « noyau dur » doivent permettre l’accès des équipes de crise aux informations indispensables à l’appréciation de l’état des installations et à la préparation des interventions sur le site. En cas de rejets radioactifs dans l’environnement, l’exploitant doit par ailleurs être en capacité d’évaluer les conséquences de ces rejets à partir non seulement des données disponibles dans les installations, mais aussi des mesures réalisées dans l’environnement (mesures météorologiques, mesures de débit de dose et d’activité) : ces informations doivent permettre à l’exploitant et aux pouvoirs publics de prendre les décisions qui leur incombent respectivement pour assurer la protection des personnes présentes sur le site et des populations. À cet égard, il est dès lors indispensable que le site dispose de moyens de communication avec l’extérieur qui soient opérationnels dans les situations considérées.

Le « noyau dur » doit permettre de faire face à des situations où les différents niveaux de protection prévus lors du dimensionnement initial des installations pourraient être défaillants, le caractère opérationnel des moyens associés n’étant pas a priori démontré pour des agressions plus sévères que celles qui ont été retenues pour ce dimensionnement ; la mise en place de dispositions autant que possible indépendantes et diversifiées par rapport à celles existantes est dès lors un élément structurant pour obtenir un bon niveau de confiance dans la capacité du « noyau dur » à assurer ses fonctions.

Pour la définition du « noyau dur », une attention doit également être portée aux systèmes dits supports, qui permettent le fonctionnement des systèmes assurant directement les fonctions de sûreté. Il s’agit notamment des systèmes de production et de distribution électrique (groupes électrogènes ou batteries, tableaux électriques), de contrôle-commande ou de ventilation (qui assurent le conditionnement thermique des locaux). Pour ces systèmes, une indépendance et une diversification par rapport aux moyens existants sont aussi recherchées.

Pour les réacteurs existants, il n’était pas possible que le « noyau dur » ne comporte que des équipements nouveaux. Le « noyau dur » est donc en définitive constitué de structures, systèmes et composants (SSC) existants, renforcés si besoin afin qu’ils soient opérationnels en cas d’agression « hors dimensionnement », et de SSC nouveaux.

Un autre principe retenu est que le « noyau dur » doit être essentiellement constitué de dispositions fixes permettant de maîtriser la situation sur le site jusqu’à l’arrivée de la FARN. La mise en œuvre de moyens mobiles alors que l’état du site et de son environnement pourrait être très fortement dégradé et les moyens humains disponibles restreints pourraient en effet ne pas présenter des garanties suffisantes. La mise en œuvre de moyens fixes impose en revanche de les « bunkériser » afin qu’ils puissent fonctionner en cas d’agression « hors dimensionnement » et qu’ils soient protégés des effets induits par l’agression dans l’installation (chute de charge, incendie, explosion…). Les types d’agressions extrêmes pris en compte pour la définition du « noyau dur » sont le séisme, l’inondation, les conditions climatiques extrêmes, y compris les tornades.

36.6.5.3.Illustrations

•Réacteurs

Ce qui suit explicite les dispositions nouvelles retenues par Électricité de France dans le « noyau dur » pour assurer les fonctions fondamentales de sûreté (figure 36.12) :

–l’arrêt de la réaction en chaîne, obtenu par l’insertion dans le cœur des grappes absorbantes, sera déclenché automatiquement en cas de détection d’un séisme. Électricité de France a installé un dispositif d’arrêt automatique du réacteur (AAR) sur signal sismique, qui utilise quatre capteurs sismiques déjà en place sur les parois (externes) des bâtiments des réacteurs, permettant de déclencher l’AAR si l’accélération dépasse 0,1 g sur au moins deux capteurs ;

–l’évacuation de la puissance résiduelle du cœur par le « noyau dur » alors que le réacteur est en puissance reposera en priorité sur l’utilisation des générateurs de vapeur. Électricité de France n’avait pas initialement retenu cette solution, considérant uniquement le recours à une conduite selon le mode de refroidissement en gavé-ouvert. Mais une telle conduite conduit à ouvrir volontairement le circuit primaire et entraîne un risque de bipasse du confinement, du fait de la nécessité d’une recirculation d’eau. Après discussions avec l’IRSN et avis du Groupe permanent d’experts pour les réacteurs nucléaires, Électricité de France s’est rallié à l’utilisation des générateurs de vapeur. Pour fiabiliser cette fonction pour les cas d’agression « hors dimensionnement », Électricité de France a retenu de renforcer le système d’alimentation en eau des générateurs de vapeur, dimensionné pour résister à de telles agressions. L’utilisation de ce système doit permettre d’évacuer la puissance résiduelle du circuit primaire à l’extérieur de l’enceinte de confinement et donc de limiter l’augmentation de pression dans celle-ci ;

–pour éviter la défaillance de l’enceinte de confinement en cas de fusion du cœur dans les réacteurs de 900 MWe, de 1 300 MWe et 1 450 MWe, un système spécifique d’évacuation de la puissance de l’enceinte sera mis en place (EASu). La tenue des traversées de l’enceinte de confinement pour des agressions « hors dimensionnement » sera vérifiée et ces traversées seront, si nécessaire, renforcées. Les recombineurs d’hydrogène font partie du « noyau dur » ;

–pour ce qui concerne le réacteur EPR Flamanville 3, toutes les dispositions de limitation des conséquences des situations avec fusion du cœur sont intégrées dans le « noyau dur » : cela est notamment le cas du système EVU de transfert de la chaleur produite dans l’enceinte du bâtiment du réacteur vers la source froide (ultime) par un circuit de refroidissement intermédiaire (voir le paragraphe 18.2.3).

La bonne mise en œuvre des systèmes d’évacuation de la puissance résiduelle nécessite la mise en place de nouvelles réserves d’eau, de tuyauteries, de pompes, de sources d’alimentation électrique et de contrôle-commande. Cela inclut par exemple les diesels d’ultime secours (DUS) évoqués plus haut, dimensionnés pour résister à des agressions « hors dimensionnement ».

Pour l’EPR Flamanville 3, les groupes électrogènes dits SBO feront office de DUS (paragraphe 18.2.3). Ils pourront alimenter notamment deux motopompes du système ASG (des trains 1 et 4) et l’EVU, équipements dimensionnés au SND.

Pour la gestion de la crise, Électricité de France a retenu de construire, sur chaque site, un centre de crise local (CCL) résistant aux agressions naturelles « hors dimensionnement », regroupant les locaux de gestion des situations d’urgence et appartenant au « noyau dur » de dispositions matérielles, organisationnelles et humaines post-Fukushima. Le CCL permettra de maintenir la présence de personnel sur le site, y compris si l’état des installations est très dégradé.

Au-delà des dispositions matérielles, la capacité du « noyau dur » à faire face à une « situation noyau dur », y compris en cas d’agression extrême, suppose la capacité des moyens organisationnels et humains à gérer la situation. À ce titre, il est nécessaire que soient assurées :

–la disponibilité d’informations fiables relatives à l’état des installations et de leur environnement,

–la disponibilité de ressources humaines adéquates pour la mise en œuvre du « noyau dur » et la prise de décision (disponibilité, compétences…), tant pour ce qui concerne la conduite des installations que pour ce qui concerne la protection du personnel présent sur le site,

–la mise à disposition de modes opératoires (stratégies de conduite, guide d’intervention en accident grave) adaptés aux conditions extrêmes auxquelles devraient faire face les équipes de conduite, ainsi que de moyens logistiques performants.

•Piscines du combustible

Des enseignements ont également été tirés de l’accident de la centrale nucléaire de Fukushima Daiichi, concernant la sûreté des piscines d’entreposage des combustibles usés. Ces aspects sont développés au paragraphe 15.4.

Figure 36.12. Schéma de principe du « noyau dur » pour les réacteurs du parc électronucléaire français.

36.6.6.La Force d’action rapide nucléaire (FARN)

Électricité de France a conçu la FARN comme un appui externe (figure 36.13) à un site en difficulté :

–sa mission est de venir en aide en tant que de besoin à tout site qui connaîtrait un accident en lui fournissant des moyens humains, des matériels (éclairages, compresseurs d’air, pompes…) et des ressources (carburant pour les groupes électrogènes, eau…) ;

–elle doit apporter des premiers moyens sur le site en moins de 24 heures ;

–ses moyens doivent lui permettre d’intervenir même en cas de destruction importante des infrastructures, dont les accès au site concerné, dans des conditions radiologiques ou toxiques éventuellement très contraignantes (véhicules 4 x 4, hélicoptère, équipements de protection contre les rayonnements ionisants ou les produits toxiques…).

Figure 36.13. Le schéma d’intervention de la FARN s’appuie sur une organisation à trois niveaux : local, régional (vert), national (rouge). IRSN (source EDF).

Dans un premier temps, une équipe de reconnaissance nationale serait envoyée sur le site accidenté dans un délai de l’ordre de 12 heures après la décision d’engager les moyens de la FARN. Cette première équipe évaluerait la situation du site et ses besoins en termes de moyens de secours extérieurs ; elle définirait l’emplacement de la « base arrière », qui serait située à une distance de 20 à 30 km du site. Pour chaque site, plusieurs emplacements possibles seront prédéfinis. Le jour de l’accident, la « base arrière » sera installée à l’emplacement le mieux adapté compte tenu de la situation accidentelle réelle.

À partir des équipes basées au niveau régional sur les sites de Civaux, de Paluel, Dampierre-en-Burly et du Bugey (cinq détachements d’une dizaine de personnes pour chaque base régionale), des moyens seraient ensuite envoyés sur le site pour aider au pilotage de l’installation et mettre en œuvre des moyens mobiles permettant de réalimenter les installations en électricité ou en eau ; à cet égard, des points de connexion standardisés sont prévus dans les centrales. Ensuite, à l’échéance de trois ou quatre jours, des moyens lourds pourraient être amenés sur le site ; les équipes sur place seraient alors en mesure d’organiser la gestion de la situation à plus long terme (production d’eau, traitement des effluents et des déchets…).

La FARN dispose de moyens d’appoint en eau (réservoirs, pompes et systèmes de filtration), en électricité, en air comprimé ainsi que de moyens de contrôle-commande et d’éclairage. Elle dispose également de moyens logistiques ainsi que de moyens d’intervention et de communication. Les équipes de la FARN sont spécialement entraînées pour être capables d’intervenir dans une ambiance fortement dégradée.

La mise en place de la FARN est effective depuis la fin de l’année 2015.

36.6.7.Déploiement des dispositions post-Fukushima
dans les centrales nucléaires françaises

Compte tenu de l’ampleur des modifications qu’il a été décidé d’apporter aux centrales nucléaires françaises à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi et du nombre d’installations concernées, Électricité de France a retenu (pour les réacteurs de 900 MWe [hormis Fessenheim], de 1 300 MWe et de 1 450 MWe) un déploiement du « noyau dur » en trois phases :

–La phase 1 – terminée –, visait essentiellement à renforcer la robustesse des réacteurs à l’égard des situations de perte totale des alimentations électriques ou de refroidissement (source froide). Les dispositions mises en place visent à pouvoir faire face à ce type de situations pendant des durées plus importantes que celles qui étaient retenues jusqu’alors, en considérant de plus que l’ensemble des réacteurs d’un site pourraient être affectés. Un groupe électrogène de secours (dans l’attente du DUS) a par exemple été installé pour chaque réacteur pour pouvoir, en cas de situation de perte totale des alimentations électriques, réalimenter une partie du contrôle-commande, l’éclairage de la salle de commande et certains capteurs (par exemple une mesure de la pression dans l’enceinte de confinement ou une mesure du niveau d’eau dans une piscine d’entreposage du combustible) ; il permet en outre de secourir électriquement quelques équipements essentiels à la maîtrise de la situation rencontrée.

En parallèle, la FARN a été mise en place. De l’ordre de 300 personnes y sont affectées960 ; leur formation, commencée depuis 2012, est prévue sur huit années de telle sorte qu’elles puissent être opérationnelles dans des « situations extrêmes stressantes ». Des exercices de simulation, bénéficiant d’exemples éprouvés de dispositifs de formation et de préparation mis en œuvre au sein de la sécurité civile et de l’armée, sont organisés pour tester son organisation et le déploiement des moyens associés. Des piquages sur les systèmes existants sont mis en place pour permettre de raccorder des moyens d’appoint mobiles, par exemple pour alimenter en eau les générateurs de vapeur, pour réaliser un appoint d’eau dans une piscine d’entreposage du combustible ou encore pour alimenter en air comprimé des vannes pneumatiques.

Les plans d’urgence internes (PUI) des installations ont été renforcés en vue de mieux faire face à une situation accidentelle qui affecterait tous les réacteurs d’un même site et d’y prévoir l’accueil de la FARN. La tenue au séisme des locaux de crise a été également renforcée, dans l’attente de la construction du CCL prévue dans la deuxième phase.

–La phase 2 – qui s’échelonne de 2017 à 2021 –, correspond à la mise en place des premiers éléments du « noyau dur », qui viendront renforcer les dispositions mises en œuvre lors de la première phase. Elle comporte la mise en place sur les sites de dispositions permettant de faire face à des agressions plus sévères que celles qui ont été retenues pour le dimensionnement des installations. Chaque réacteur disposera d’un DUS ; ce groupe électrogène pourra alimenter l’ensemble des équipements constituant le « noyau dur ». À la fin de la phase 2, les DUS pourront de plus réalimenter en électricité des équipements de sauvegarde existants. Des travaux sont également prévus pour mettre en place une source d’eau spécifique (dite ultime – SFu), différente de la source froide initiale et protégée contre les agressions retenues pour le dimensionnement du « noyau dur », qui permettrait de refroidir les réacteurs et les piscines ; il s’agira selon les sites de moyens de pompage dans la nappe phréatique ou dans des bassins existants, ou encore de nouvelles réserves d’eau.

–La phase 3 – programmée de 2019 à 2029 selon les réacteurs en fonction des réexamens décennaux –, verra la mise en place des derniers équipements du « noyau dur », par exemple, le renforcement du système d’alimentation en eau des générateurs de vapeur ; ce système pourra être alimenté électriquement également par le DUS et en eau à partir de la source d’eau spécifique SFu. Il est à noter que, dans le cadre de la phase 3 et parmi les autres améliorations prévues dans le cadre des quatrièmes visites décennales des réacteurs en exploitation (voir le paragraphe 30.5), le système EASu évoqué au paragraphe 36.6.5, en association avec le DUS et la source froide SFu, sera opérationnel ; il permettra, en cas de fusion du cœur, d’évacuer la puissance dégagée dans l’enceinte de confinement, avec pour objectif de maintenir autant que possible le confinement intègre (pas d’éventage-filtration).

36.7.Autres enseignements tirés en France de l’accident de la centrale nucléaire de Fukushima Daiichi

Les mesures concrètes rapidement adoptées en France ont été largement présentées dans les paragraphes précédents. Les réflexions ne se sont pas pour autant arrêtées dans différents domaines, tels que notamment l’approche de la sûreté pratiquée jusqu’à présent. À cet égard, la prise en compte d’agressions externes d’une ampleur supérieure à ce qui est considéré dans le domaine du dimensionnement conventionnel a été inscrite dans le guide ASN n° 22 diffusé en 2017 donnant des recommandations pour la conception des réacteurs à eau sous pression ; de telles agressions sont dorénavant à considérer dans le domaine étendu de conception (DEC). Ce sujet est développé dans le paragraphe 12.1. Par ailleurs, des études et recherches ont été engagées dans le domaine des sciences humaines et sociales sur la gouvernance des risques, telles que celles du projet AGORAS961.

Vidéos pouvant être consultées pour compléter le chapitre

L’analyse de l’IRSN du déroulement
de l’accident de la centrale nucléaire
de Fukushima Daiichi

Le déroulement de l’accident de la centrale
nucléaire de Fukushima Daiichi

La contamination de l’environnement
après l’accident de la centrale
nucléaire de Fukushima Daiichi

Les enjeux sanitaires après l’accident de la centrale
nucléaire de Fukushima Daiichi

933.Plus de 20 000 morts ou disparus du fait du tsunami, principalement des trois préfectures de Miyagi, d’Iwate et de Fukushima.

934.Le réacteur n° 6, non endommagé, est de type Mark II : la chambre sèche, de forme tronconique, est en béton revêtu d’acier dans sa partie courante et se prolonge par une chambre de condensation, de forme cylindrique, en béton revêtu d’acier.

935.Pour plus de précisions, le lecteur pourra consulter l’article des Techniques de l’ingénieur intitulé « L’accident de la centrale nucléaire japonaise de Fukushima Daiichi », de E. Wattelle et Ph. Renaud, BN3837 V1, juillet 2019.

936.Lors de l’accident de la centrale nucléaire de Tchernobyl, les rejets avaient été émis de façon continue pendant une dizaine de jours (paragraphe 34.5).

937.Il est à noter que, dans le cas de l’accident de la centrale nucléaire de Fukushima Daiichi, le rapport des activités des césiums 134 et 137 déposés a été proche de 1.

938.Dans le cas de l’accident de la centrale nucléaire de Tchernobyl, des contaminations surfaciques de 20 millions de becquerels par m² avaient été relevées dans les zones les plus contaminées.

939.Il s’agit de seuils pour la commercialisation des denrées, fixés par le gouvernement japonais.

940.IRSN, accident de la centrale nucléaire de Fukushima Daiichi : modélisation de la dispersion des rejets radioactifs dans l’atmosphère à l’échelle mondiale (2011) – Voir le lien internet : http://www.irsn.fr/FR/popup/Pages/irsn-meteo-france_30mars.aspx – Dernière mise à jour du 30 mars 2011.

941.L’IRSN a publié sur son site internet un document intitulé « Suites de l’accident nucléaire de Fukushima Daiichi en mars 2011 – Point de la situation en mars 2016 », qui fournit plus de précisions sur les sujets abordés notamment dans les paragraphes 36.4 et 36.5.

942.La société TEPCO a rapidement mis en œuvre différents procédés de retrait des radionucléides des eaux contaminées. L’un d’eux n’est plus utilisé car il conduisait à la production d’un important volume de boues radioactives. Elle a ensuite lancé le développement d’un système permettant un traitement plus complet, dénommé Multi-Nuclides Removal Equipment ou Advanced Liquid Processing System (ALPS). Depuis octobre 2014, ce système est en fonctionnement.

943.Il n’existe pas actuellement de moyen de traitement industriel du tritium même si des recherches sont menées en ce sens.

944.Pour les rejets, TEPCO s’impose, en accord avec les associations de pêcheurs et les autorités, des valeurs limites de contamination inférieures aux valeurs de rejet figurant dans la règlementation japonaise : moins de 1 Bq/L en césium 137, moins de 1 500 Bq/L en tritium, et moins de 3 Bq/L ou de 5 Bq/L en bêta global (strontium essentiellement) selon le dispositif de captation des eaux.

945.Les sources utilisées sont notamment « Énergie au Japon » (wikipédia), « Connaissance des énergies ».

946.Le village d’Iitate est situé à 39 km au nord-ouest de la centrale de Fukushima Daiichi.

947.Le « relèvement » après l’accident comprend : la remise en état des zones touchées par l’accident ; la stabilisation des installations endommagées sur le site et les préparatifs en vue du déclassement, la gestion des matières contaminées et des déchets radioactifs résultant de ces activités, la revitalisation des collectivités et l’engagement des parties prenantes. Par remise en état, on entend toutes les mesures qui sont mises en œuvre pour réduire l’exposition à des rayonnements due à une contamination existante de terres en agissant sur la contamination elle-même (la source) ou sur les voies d’exposition des êtres humains.

948.Sur ces 25 000 travailleurs, environ 3 600 étaient des salariés de la société TEPCO et près de 22 000 des sous-traitants.

949.Dans le cas des travaux de l’UNSCEAR, neuf spécialistes français y ont participé (cinq de l’IRSN et quatre du CEA).

950.Ainsi que sur le rapport de l’AIEA « The Fukushima Daiichi Accident » diffusé en 2015. Au moment de la finalisation du présent ouvrage, il n’existait pas de rapports plus récents de ces organismes sur les conséquences sanitaires de l’accident.

951.TEPCO, « Evaluation of the Exposure Dose of Workers at the Fukushima Daiichi Nuclear Power Station. Attachment: Distribution of Thyroid Equivalent Doses », 2015.

952.Dossier de l’AIEA « The Fukushima Daiichi Accident », rapport du Directeur général, 2015.

953.Cela correspond au niveau d’eau du tsunami enregistré dans le port d’Onahama, situé 50 km plus bas que le site de Fukushima Daiichi, après le séisme chilien du 24 mai 1960.

954.Hauteur de runup (vague maximale).

955.Nuclear and Industrial Safety Agency.

956.Le lecteur pourra trouver par le lien http://www.ensreg.eu/EU-Stress-Tests des informations plus détaillées sur ce sujet.

957.Pour Électricité de France, il s’agit de la décision ASN 2011-DC-0213 du 5 mai 2011.

958.« En utilisant les données disponibles et en s’appuyant sur les études de sûreté existantes et le jugement d’ingénieur ».

959.Des décisions ont été établies pour chaque CNPE.

960.Essentiellement en provenance du parc électronucléaire. Cela doit permettre de gréer quatre colonnes d’astreintes 24 heures sur 24 et 7 jours sur 7 et d’assurer une intervention simultanée sur au moins trois paires de réacteurs.

961.Ces actions ne sont pas développées ici ; le lecteur pourra se reporter à l’ouvrage de l’IRSN « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

Chapitre 37

Enseignements tirés de l’accident
de la centrale nucléaire
de Fukushima Daiichi :
travaux de l’AIEA et de l’association WENRA, actions prises
dans d’autres pays que la France

Il paraît utile de brosser ici très succinctement, tout d’abord les travaux menés par l’AIEA et par l’association des chefs des autorités de sûreté nucléaire de l’Europe de l’Ouest (WENRA) après l’accident survenu à la centrale nucléaire de Fukushima Daiichi962, d’autre part les enseignements tirés de cet accident dans quelques autres pays que la France. Il n’est bien entendu pas possible dans le cadre du présent ouvrage de passer en revue tous les pays exploitant des réacteurs électronucléaires ; n’ont été retenus, outre le Japon, que le cas des États-Unis et, comme pays de l’Union européenne autre que la France, celui de la Belgique.

Il peut être noté qu’après l’accident de la centrale nucléaire de Fukushima Daiichi et au-delà des stress tests menés à la suite de la décision du Conseil européen par les différents pays de l’Union européenne, l’Allemagne a mis à l’arrêt définitif sept de ses plus anciens réacteurs et s’est engagée dans un processus de « sortie » de l’énergie nucléaire d’ici 2022 ; à la fin de l’année 2019, sept réacteurs étaient encore en fonctionnement (un réacteur à eau bouillante et six réacteurs à eau sous pression – dont deux de type KONVOI).

Pour ce qui concerne la Suisse, cinq réacteurs étaient en exploitation (deux à eau bouillante et trois à eau sous pression). En 2011, après l’accident de la centrale nucléaire de Fukushima Daiichi, le Conseil fédéral et le Parlement ont pris la décision de principe de sortir progressivement de l’énergie nucléaire, en optant pour une mise à l’arrêt des réacteurs lorsque ceux-ci auront atteint 50 années de fonctionnement963, soit entre 2019 et 2034, sans remplacement par de nouvelles centrales électronucléaires. Le 27 novembre 2016, les citoyens suisses ont rejeté l’initiative populaire « Sortir du nucléaire » qui voulait interdire la construction de nouvelles centrales nucléaires en Suisse et limiter la durée d’exploitation des cinq réacteurs existants à 45 ans – ce qui aurait conduit à l’arrêt immédiat des deux réacteurs de la centrale de Beznau, mis en service en 1969 et 1971. Le Conseil fédéral et le Parlement avaient recommandé son rejet car elle aurait impliqué un arrêt jugé prématuré des réacteurs nucléaires. La décision de principe de 2011 est actée dans la « Stratégie énergétique 2050 » datée de 2016, et laisse du temps à la Suisse pour réformer son approvisionnement énergétique. Il peut toutefois être noté que l’électricien suisse BKW Energie SA a annoncé l’arrêt définitif de la centrale de Mühleberg, qu’il exploite, à l’échéance du 20 décembre 2019, au vu du coût trop élevé de remise en conformité de certains de ses équipements qui présentent des anomalies (centrale effectivement arrêtée à la date prévue).

37.1.Travaux de l’AIEA

Après l’accident survenu à la centrale nucléaire de Fukushima Daiichi, l’AIEA a établi un plan d’actions (IAEA Action Plan on Nuclear Safety), approuvé par le Conseil des gouverneurs lors de sa réunion du 13 septembre 2011. Les actions sont réparties sur 12 sujets ; parmi ces actions, il peut ici en être noté trois :

–promouvoir la réalisation, par les États membres, d’une évaluation de la sûreté de leurs installations nucléaires à la lumière des événements survenus à la centrale de Fukushima Daiichi,

–promouvoir la réalisation, par les États membres, d’une évaluation du rôle et de l’efficacité de leur(s) autorité(s) de sûreté,

–engager une revue des normes de l’AIEA, selon un programme de travail fixant des priorités et, en tant que de besoin, les réviser.

L’AIEA a diffusé en 2015 un dossier ayant pour titre « The Fukushima Daiichi accident », composé d’un rapport de synthèse du Directeur général de l’AIEA et de cinq volumes établis par un grand nombre d’experts. Dans ce dossier, sont notamment développés les sujets suivants :

–description et contexte de l’accident,

–considérations en matière de sûreté,

–gestion de l’accident et considérations en matière de préparation aux situations d’urgence et à la gestion de telles situations,

–conséquences radiologiques de l’accident,

–récupération post-accidentelle des territoires contaminés.

Concernant les conséquences radiologiques de l’accident de la centrale nucléaire de Fukushima Daiichi, le dossier de l’AIEA s’appuie tout particulièrement sur les rapports d’organismes internationaux tels que l’Organisation mondiale de la Santé et l’UNSCEAR (voir le paragraphe 36.5 du chapitre précédent), ainsi que la CIPR, qui a mené une revue des aspects de radioprotection pendant et après l’accident, dans l’optique d’une amélioration du système international de radioprotection (le rapport de la CIPR a été diffusé en 2012).

Dans son dossier, l’AIEA souligne qu’à la centrale nucléaire de Fukushima Daiichi, l’inondation résultant du tsunami a simultanément mis à l’épreuve les trois premiers niveaux de la défense en profondeur, ce qui a entraîné des défaillances de cause commune des équipements et des systèmes. L’AIEA estime que si le concept de défense en profondeur reste valable dans ses principes, son application doit être renforcée à tous les niveaux par une indépendance, une redondance, une diversité et une protection contre les dangers aussi bien internes qu’externes, en se concentrant non seulement sur la prévention des accidents mais aussi sur l’amélioration des dispositions de limitation de leurs conséquences. La prise en compte d’événements externes d’ampleurs plus importantes que celles qui ont été retenues pour le dimensionnement de base des installations est aussi apparue nécessaire.

Le plan de l’AIEA incluait également un programme de révision de ses normes. Les discussions sur les priorités ont fait ressortir que cinq d’entre elles devaient faire l’objet d’une révision sans attendre :

–GSR Part-1 « Governmental, Legal and Regulatory Framework for Safety »,

–NS-R-3 « Site Evaluation for Nuclear Installations »,

–SSR-2/1 « Safety of Nuclear Power Plants: Design »,

–SSR-2/2 « Safety of Nuclear Power Plants: Commissioning and Operation »,

–GSR Part-4 « Safety Assessment for Facilities and Activities ».

Ainsi, la norme révisée SSR-2/1 (« Safety of Nuclear Power Plants: Design »), diffusée en 2016, insiste particulièrement sur la prise en compte des agressions, en considérant des événements plus sévères que ceux qui sont considérés au titre de la simple évaluation d’un site et plus généralement sur une meilleure prise en compte d’événements extrêmes, pouvant affecter simultanément plusieurs installations d’un même site, sur l’intérêt de la mise en place dès la conception de dispositifs de raccordement de moyens de secours si ces derniers sont mobiles…

37.2.Travaux de l’association WENRA

Comme cela a déjà été évoqué au chapitre 36, l’association des chefs des autorités de sûreté nucléaire de l’Europe de l’Ouest (WENRA) a, pour répondre à la demande du Conseil européen de mars 2011, établi et proposé en avril 2011 des spécifications, ou cahier des charges, pour la réalisation des stress tests dans les pays de l’Union européenne.

L’association WENRA a ultérieurement décidé d’engager, à la lumière des enseignements tirés de l’accident de la centrale nucléaire de Fukushima Daiichi, une révision des « niveaux de référence » qu’elle avait établis en 2006 pour les centrales nucléaires existantes (puis révisés en 2007 et 2008 – voir le paragraphe 6.6). Son groupe de travail sur l’harmonisation des réacteurs (Reactor Harmonisation Working Group – RHWG) a mené ce travail de révision en tenant compte non seulement des recommandations et des suggestions diffusées par l’ENSREG à la suite des stress tests, des travaux de révision des normes de l’AIEA, mais aussi des initiatives qu’avait prises chaque membre de WENRA en termes d’évolution de sa règlementation domestique à la suite à l’accident de la centrale nucléaire de Fukushima Daiichi. Ce travail s’inspirait également des premières réflexions du groupe de travail sur les enseignements à tirer de cet accident que ce dernier avait fait apparaître dans son rapport dédié aux nouveaux réacteurs « Safety of New NPP Designs » de 2013.

Ce travail a conduit à l’adoption par l’association WENRA et à la publication, au mois de septembre 2014, du rapport intitulé « Report WENRA Safety Reference Levels for Existing Reactors/Update in Relation to Lessons Learned from TEPCO Fukushima Daiichi Accident ». La mise au point de ces « niveaux de référence » avait préalablement fait l’objet d’une consultation de parties prenantes.

Les évolutions majeures par rapport aux niveaux de références antérieurs concernent la partie Issue F « Design Extension Envelope of Existing Reactors » qui a fait l’objet d’une refonte complète et la partie Issue T « Natural Hazards » qui a été créé. Les chapitres LM « Emergency Operating Procedures and Severe Accident Management Guidelines » et R « On-site Emergency Preparedness » ont également fait l’objet d’importantes modifications.

Les modifications et ajouts ont visé principalement une meilleure prise en compte des événements affectant plusieurs installations d’un même site, y compris les réacteurs et les entreposages de combustibles usés, ainsi que de la possibilité de survenue de conditions plus sévères que celles qui sont prises en compte dans le dimensionnement dit de base (design basis conditions).

37.3.Japon

Dans son message introductif au rapport de la commission d’enquête indépendante commanditée par la diète japonaise sur l’accident survenu à la centrale nucléaire de Fukushima Daiichi, le président de cette commission, K. Kurokawa, a évoqué un certain nombre de facteurs de nature sociétale qui, du point de vue de cette commission, ont contribué à un accident « qui aurait pu être prévu ».

Les dispositions concrètes prises rapidement au Japon après l’accident à l’égard des centrales nucléaires de ce pays ont été indiquées dans le chapitre précédent (paragraphe 36.6).

Au plan plus général du contrôle de la sûreté964, l’accident de la centrale nucléaire de Fukushima Daiichi a conduit à la dissolution de l’Agence de sûreté nucléaire et industrielle (en anglais Nuclear and Industrial Safety Agency – NISA), qui était une subdivision du ministère en charge de l’économie, du commerce et de l’industrie (METI). Cette agence (voir la figure 37.1) a été critiquée, notamment après l’accident, pour avoir des conflits d’intérêt au sein du METI qui était chargé également de l’industrie nucléaire. De plus, le partage des rôles et des responsabilités entre la NISA et une autre entité, la Commission de la sûreté nucléaire (Nuclear Safety Commission – NSC) relevant du Premier ministre et faisant office de double contrôle, n’apparaissait pas clair. Ainsi, au-delà de la NISA, il a été considéré que l’organisation générale et la multiplicité des différents organismes de contrôle de la sûreté impliqués lors de l’accident de la centrale nucléaire de Fukushima Daiichi avaient été la cause de retards dans les prises de décision. Le 20 juin 2012, le gouvernement japonais a supprimé les entités NISA et NSC pour les remplacer, au mois de septembre de la même année, par une autorité de règlementation nucléaire, la NRA (Nuclear Regulation Authority), rattachée au ministère en charge de l’environnement (MOE) et dirigée par un chairman et quatre commissioners. Puis, en 2014, la NRA a été renforcée d’environ 400 personnes par absorption de son organisme principal d’appui technique, l’Agence japonaise de sûreté de l’énergie nucléaire (Japanese Nuclear Energy Safety Organization – JNES) ; cela a conduit à doubler approximativement les moyens humains de la NRA. Cette absorption est une étape du processus souhaité au Japon de réduction de la dispersion des moyens et de la multiplicité des organismes impliqués dans le contrôle de la sûreté nucléaire.

Figure 37.1. Place qu’occupait la NISA dans l’administration japonaise avant l’accident de la centrale nucléaire de Fukushima Daiichi. AIEA (source « The Fukushima Daiichi Accident »).

37.4.Belgique965

37.4.1.Les centrales nucléaires en Belgique

En Belgique, sept réacteurs électronucléaires à eau sous pression sont exploités par le producteur d’électricité ENGIE Electrabel sur deux sites distincts :

–quatre réacteurs sur le site de Doel, à proximité d’Anvers (Flandre), au bord de l’Escaut :

•Doel 1 et 2 sont des unités jumelles de 433 MWe chacune, mises en service en 1975,

•Doel 3 est une unité de 1 006 MWe, mise en service en 1982,

•Doel 4 est une unité de 1 039 MWe, mise en service en 1985 ;

–trois réacteurs sur le site de Tihange, à proximité de Liège (Wallonie), au bord de la Meuse :

•Tihange 1 est une unité de 962 MWe, mise en service en 1975,

•Tihange 2 est une unité de 1 008 MWe, mise en service en 1983,

•Tihange 3 est une unité de 1 054 MWe, mise en service en 1985.

Pour tous les aspects liés à la sûreté nucléaire, les activités des exploitants concernés sont contrôlées par :

–l’Agence fédérale de contrôle nucléaire (AFCN – www.fanc.fgov.be/fr),

–Bel V, sa filiale technique (www.belv.be).

37.4.2.Éléments généraux concernant la conception
des centrales électronucléaires belges

Les quatre unités les plus récentes présentent une spécificité d’importance pour les enseignements à tirer de l’accident de la centrale nucléaire de Fukushima Daiichi : les agressions d’origine externe (naturelle ou induite par des activités humaines) ont été considérées dès leur conception selon une approche particulière. En plus du « premier niveau de protection », correspondant aux systèmes de sûreté « classiques », ces unités ont été pourvues d’un « deuxième niveau de protection ». Ce deuxième niveau de protection assure la protection contre les agressions d’origine externe (en particulier celles qui pourraient résulter d’activités humaines comme une chute d’avion, une explosion externe, un incendie de grande ampleur). Les bâtiments et les systèmes qui font partie de ce deuxième niveau de protection sont en conséquence conçus pour résister et rester opérationnels après ces agressions. Pour plusieurs aspects de sûreté, ce deuxième niveau de protection introduit une redondance et une diversité à l’égard du premier niveau de protection. Cela est par exemple le cas pour l’alimentation en eau des générateurs de vapeur, pour les alimentations électriques, pour le maintien de l’intégrité des joints des pompes primaires.

À l’époque de la conception des trois unités les plus anciennes, la règlementation était moins développée, et des modifications ont été apportées plus tard (lors des réexamens de sûreté décennaux) pour améliorer la protection contre les agressions d’origine externe.

Pour toutes les centrales en Belgique, les accidents avec fusion du cœur n’avaient pas été considérés lors de la conception. À nouveau, lors des réexamens de sûreté décennaux, des modifications ont été apportées pour améliorer la protection contre de tels accidents. Par exemple, toutes les centrales ont été équipées de recombineurs d’hydrogène autocatalytiques dans les bâtiments des réacteurs, pour prévenir des explosions d’hydrogène qui pourraient mettre en danger l’intégrité de l’enceinte de confinement.

37.4.3.Tests de résistance et principaux enseignements

Comme dans les autres pays européens, l’exploitant des centrales nucléaires belges a réalisé des tests de résistance (stress tests) en 2011 afin d’évaluer la réponse de ses installations à différents scénarios extrêmes. Un plan d’actions d’améliorations en a résulté966, dont certaines ont été mises en place dès 2012.

Les installations concernées par les tests de résistance sont les sept réacteurs indiqués ci-dessus, ainsi que des installations associées comme les piscines d’entreposage du combustible967.

Quelques-uns des principaux aspects des évaluations effectuées et des améliorations décidées à l’issue des tests de résistance effectués pour les réacteurs électronucléaires sont développés ci-après. Des éléments spécifiques aux différentes centrales nucléaires et à l’état d’avancement du plan d’actions sont issus des publications de l’autorité de sûreté nucléaire belge968.

37.4.3.1.Amélioration de la protection des installations
contre les agressions externes

Les agressions externes prises en compte dans les tests de résistance sont les séismes, les inondations et les phénomènes météorologiques, y compris extrêmes.

En Belgique, une période de retour de 10 000 ans en valeur moyenne a été retenue pour les évaluations et les améliorations de la conception relatives aux séismes et aux inondations d’origine externe ; une même valeur a été retenue comme objectif pour les phénomènes météorologiques, dans la mesure où les données disponibles le permettent.

•Séismes

Afin d’évaluer le caractère adéquat du séisme de conception des réacteurs, une évaluation probabiliste préliminaire du risque sismique a été réalisée à l’occasion des tests de résistance. À la demande de l’autorité de sûreté nucléaire belge, une évaluation plus élaborée a été menée depuis lors, dont les résultats, approuvés par cette autorité, ont permis à l’exploitant de confirmer le caractère adéquat du séisme de conception retenu pour les sites de Doel et Tihange.

Dans le cadre des tests de résistance et d’une évaluation des marges sismiques (seismic margin assessment), un niveau de séisme extrême significativement plus élevé (jusqu’à 1,7 fois) que le niveau du séisme de conception des unités, en termes d’accélération maximale au niveau du sol a été retenu. Cette évaluation a permis de montrer que les structures, systèmes et composants nécessaires pour atteindre et maintenir un état d’arrêt sûr présentent un niveau de probabilité de résistance à ce niveau postulé de séisme jugé adéquat, à l’exception d’un nombre limité d’équipements mécaniques et électriques nécessitant des justifications complémentaires et, le cas échéant, des actions correctives qui ont toutes été réalisées.

•Inondations externes

À l’égard du risque d’inondation externe, le site de Doel présente l’avantage d’être surélevé. Les tests de résistance n’ont pas remis en cause le caractère adéquat de la conception de la protection de ce site contre ce risque. Quelques dispositions supplémentaires, comme des barrières de protection à l’entrée des bâtiments abritant des équipements importants pour la sûreté, ont cependant été prises à la suite de ces tests.

Les réexamens de sûreté décennaux des réacteurs du site de Tihange qui étaient en cours avant l’accident de la centrale nucléaire de Fukushima Daiichi ont montré, sur la base d’une approche probabiliste, que ce site n’était pas protégé de manière adéquate contre les risques d’inondation externe : la période de retour moyenne de l’inondation de référence se situait entre 100 et 1 000 ans, soit bien en dessous de la valeur visée. En conséquence, l’exploitant a décidé en 2011 d’améliorer significativement la protection de ce site.

Les tests de résistance ont conduit à renforcer et à accélérer cette amélioration ; les dispositions suivantes sont maintenant opérationnelles :

1.Une protection périphérique du site (voir la figure 37.2) correspondant à une inondation de référence réactualisée, de période de retour moyenne suffisante, constituée d’un mur, de dispositifs d’isolement des entrées d’eau et de moyens d’évacuation des eaux de refroidissement et d’égouts dans la Meuse.

Figure 37.2. Protection périphérique du site de Tihange. Centrale nucléaire de Tihange.

2.Des moyens supplémentaires fixes pour chaque unité (un générateur à moteur diesel de 6 kV abrité dans un bâtiment spécifique, des pompes d’appoint d’eau provenant de la nappe phréatique aux générateurs de vapeur, aux piscines d’entreposage du combustible et au circuit primaire…) ; ils sont implantés au moins un mètre au-dessus du niveau défini par l’inondation de référence réactualisée et permettraient de faire face à une défaillance de la protection périphérique ou à une situation d’inondation extrême pour laquelle la protection périphérique n’est pas conçue.

3.L’amélioration et l’adaptation de la stratégie et de l’organisation du plan d’urgence interne, en particulier, à la demande de l’autorité de sûreté nucléaire belge, du système de pré-alerte et d’alerte d’inondation, qui repose sur une communication plus efficace avec l’autorité régionale de protection contre les inondations, avec signature d’une convention, et sur l’accès à un nombre plus élevé de mesures du débit et du niveau d’eau dans la Meuse.

4.Des dispositions de protection contre les risques qui pourraient résulter d’une inondation à l’intérieur des installations (du fait d’un incendie, d’une explosion), à la demande de l’autorité de sûreté nucléaire belge.

•Phénomènes météorologiques extrêmes

Les tests de résistance ont conduit à des actions de renforcement de la protection des sites et de leurs unités contre les risques liés aux pluies intenses, aux tornades, aux chutes de neige et à la foudre.

En particulier, l’autorité de sûreté nucléaire belge a demandé à l’exploitant d’évaluer la capacité des systèmes d’évacuation d’eau des sites de Doel et de Tihange à faire face à la fois à des pluies intenses de courte durée et à des pluies de longue durée définies à partir de données permettant la prise en compte d’une période de retour de 1 000 ans avec un haut degré de confiance.

Figure 37.3. Vue montrant les travaux de déviation du pertuis communal en amont du site de Tihange. Centrale nucléaire de Tihange.

À Doel, l’évaluation a montré que le site était protégé de façon adéquate contre le risque lié aux pluies intenses. À Tihange, le risque d’inondation interne du site par débordement du système d’évacuation des eaux a conduit à des améliorations majeures, consistant essentiellement à dévier vers la Meuse, en amont du site, le pertuis communal qui traversait originellement le site (voir la figure 37.3), et à modifier les points d’évacuation des eaux d’égouts du site dans la Meuse. La nécessité d’améliorations supplémentaires à apporter pour assurer une protection adéquate du site contre les risques liés aux pluies intenses a ensuite été évaluée, des campagnes d’inspections et des actions de maintenance des réseaux d’évacuation d’eaux ont été recommandées.

37.4.3.2.Amélioration de la protection des installations contre
les pertes d’alimentations électriques ou de sources froides

En Belgique, les centrales nucléaires disposaient, avant l’accident de la centrale nucléaire de Fukushima Daiichi, d’alimentations électriques et de sources froides diversifiées. On peut citer par exemple, outre des alimentations électriques externes doublées, des générateurs électriques de secours (et l’eau des fleuves) :

–l’eau entreposée dans différents réservoirs sur les deux sites, ainsi que l’eau de nappes phréatiques ou de bassins ou lacs artificiels,

–le refroidissement par air de certains équipements (échangeurs de chaleur, tours à tirage forcé, générateurs à moteur diesel),

–la turbopompe du système d’alimentation auxiliaire d’eau des générateurs de vapeur (du premier niveau de protection) équipant chaque réacteur.

Le refroidissement des cœurs des réacteurs et des piscines d’entreposage du combustible pouvait dès lors être assuré dans différentes situations de pertes partielles de sources électriques ou de sources froides avec une autonomie typiquement de l’ordre de quelques semaines.

Les tests de résistance ont conduit à la décision de protéger les réacteurs belges contre des situations de probabilités encore plus faibles, comme la perte totale des sources électriques (aggravée par l’hypothèse d’un séisme plus important que celui qui a été retenu pour la conception) et la perte totale des sources froides. Cette décision a conduit à mettre en place des stratégies fondées sur des procédures et des moyens permettant de prévenir un accident de fusion du cœur dans de telles situations, qui sont maintenant opérationnelles. Certains aspects de ces stratégies sont génériques (comme des améliorations permettant d’utiliser de manière fiable les mesures de niveau d’eau dans les piscines d’entreposage du combustible dans les situations à couvrir), d’autres aspects de ces stratégies pouvant différer en fonction de conditions spécifiques.

La stratégie développée pour le site de Doel repose sur l’utilisation de générateurs mobiles à moteur diesel et de pompes mobiles, entreposés dans un bâtiment d’entreposage construit à cet effet et résistant aux agressions externes prises en compte dans les tests de résistance. Un nouveau camion incendie multifonctionnel peut également jouer le rôle de pompe mobile. Les générateurs mobiles à moteur diesel peuvent être connectés à des tableaux électriques 380 V existants, pour alimenter les équipements de sûreté existants indispensables aux stratégies mises en place (contrôle-commande, compresseurs, vannes). Dans cette stratégie, les pompes mobiles permettent à chaque unité concernée d’alimenter en eau, provenant de bassins artificiels, le circuit d’alimentation d’ultime secours des générateurs de vapeur (deuxième niveau de protection), le circuit primaire, le circuit d’aspersion d’eau dans l’enceinte de confinement et les piscines d’entreposage du combustible, au moyen de flexibles et de points de connexion à des tuyauteries fixes.

La stratégie développée pour le site de Tihange repose essentiellement sur l’utilisation d’équipements fixes, existants ou nouveaux. Dans chaque unité concernée, un nouveau générateur à moteur diesel de 6 kV, abrité dans un bâtiment spécifique (aussi prévu pour la protection contre les risques d’inondation externe), est connecté à des tableaux électriques de 6 kV existants, permettant d’alimenter les équipements de sûreté existants indispensables aux stratégies mises en place (pompes, contrôle-commande, compresseurs, vannes), au moyen d’un réseau complémentaire fixe de 6 kV (comportant cellules, câbles, disjoncteurs). Les pompes existantes ainsi alimentées assureraient l’alimentation en eau de nappe des générateurs de vapeur et des moyens de refroidissement des piscines d’entreposage du combustible, ainsi que les appoints au circuit primaire à partir de réservoirs d’eau borée existants. Les modalités précises (choix des circuits, pompes et réservoirs) varient d’une unité à l’autre. Dans la situation de perte totale des sources froides, les nombreux réservoirs disponibles fourniraient l’eau nécessaire à la stratégie en lieu et place de l’eau de nappe, supposée perdue. Des spécificités de conception (par exemple, la position de sécurité fermée de la plupart des vannes à air comprimé de la turbopompe d’eau alimentaire de secours) peuvent nécessiter des mesures spécifiques (comme, pour l’exemple cité ci-dessus, l’installation d’un nouveau réservoir d’air comprimé fixe pour alimenter à court terme le circuit d’air comprimé existant).

37.4.3.3.Amélioration des plans d’urgence internes

Les plans d’urgence internes de l’exploitant étaient initialement conçus pour gérer un événement de conception affectant une seule unité. À l’occasion des tests de résistance, l’exploitant a estimé qu’il était nécessaire d’étendre cette organisation à la gestion d’événements hors conception pouvant affecter plusieurs unités d’un même site. L’adaptation de l’organisation qui en a résulté (cellule centralisée de support aux deux sites, nouveaux rôles, documentation) a intégré notamment de nouveaux moyens logistiques (infrastructure de crise supplémentaire hébergée dans un camion mobile et pouvant être déployée en cas d’événement sur l’un des deux sites, appels à des contractants extérieurs), l’amélioration et la diversification des moyens de communication, des moyens additionnels de mesure et de calcul de la dispersion de radionucléides, une meilleure maîtrise de l’entreposage des équipements de radioprotection, des moyens supplémentaires facilitant l’intervention sur un site contaminé, et l’harmonisation entre les sites des exercices de plans d’urgence.

37.4.3.4.Amélioration de la gestion des accidents de fusion du cœur

Les tests de résistance ont comporté une réévaluation de scénarios conduisant à des accidents avec fusion du cœur. Ils ont conduit à identifier des actions permettant de réduire davantage les conséquences radiologiques qui pourraient en résulter. Parmi celles-ci, la principale disposition décidée à cette occasion a été l’installation d’évents filtrés dans toutes les unités belges (voir la figure 37.4). Les évents filtrés ont pour objectifs de protéger l’enceinte de confinement, par un ou des éventages successifs, contre le risque d’une rupture associée aux scénarios d’accidents avec fusion du cœur conduisant à une élévation de sa pression interne, et de limiter par filtration les conséquences radiologiques qui résulteraient des éventages effectués.

Figure 37.4. Installation du filtre à Tihange 3. Centrale nucléaire de Tihange.

37.5.États-Unis

Les États-Unis disposent (situation en 2020969) d’un parc électronucléaire de 97 réacteurs à eau légère en fonctionnement, composé de 65 réacteurs du type à eau sous pression (PWR) et de 32 réacteurs du type à eau bouillante (BWR).

Deux aspects du retour d’expérience mené aux États-Unis à la suite de l’accident survenu à la centrale nucléaire de Fukushima Daiichi sont résumés970 ci-après de façon succincte ; l’un concerne la règlementation américaine en matière de sûreté nucléaire, l’autre concerne l’initiative prise par les exploitants, dénommée FLEX, qui offre des similitudes avec la FARN mise en place par Électricité de France pour le parc électronucléaire français.

•Réflexions et actions en matière de règlementation américaine

Le 12 juillet 2011, l’U.S.NRC, autorité de sûreté nucléaire américaine, a publié un document intitulé « Recommandations for Enhancing Reactor Safety in the 21st Century ». Ce rapport présente une première analyse effectuée par la Near-term Task Force (NTTF) créée au lendemain de l’accident survenu à la centrale nucléaire de Fukushima Daiichi. L’objectif de cette analyse était de mettre rapidement en évidence d’éventuels besoins d’amélioration de la règlementation américaine et de faire, à la lumière de l’accident, des recommandations à l’U.S.NRC.

L’approche de la sûreté des centrales électronucléaires aux États-Unis s’appuie, depuis les années 1980, sur un ensemble d’événements à considérer pour le dimensionnement des réacteurs (Design Basis Accidents – DBA), avec des éléments additionnels pour des événements au-delà du domaine du dimensionnement (Beyond Design Basis Accidents – BDBA). Par ailleurs, sans que soient mis en œuvre des réexamens périodiques de sûreté tels que ceux qui sont menés dans d’autres pays – comme la France –, une démarche visant l’amélioration de la sûreté des centrales est adoptée au fur et à mesure que se posent de nouvelles questions971 ; le paragraphe 30.6.1 du présent ouvrage mentionne des sujets génériques (generic issues) traités au fil du temps.

L’analyse de la Task Force s’est intéressée à l’ensemble de la structure règlementaire de l’U.S.NRC ; toutefois, compte tenu du fait que l’origine de l’accident de la centrale nucléaire de Fukushima Daiichi est la survenue d’événements naturels extrêmes (d’une ampleur très supérieure à celle qui avait été retenue pour le dimensionnement), l’analyse s’est tout particulièrement attachée à étudier, d’une part la façon dont la règlementation américaine traitait la protection des installations à l’égard des phénomènes naturels, d’autre part la façon dont les événements au-delà du dimensionnement étaient considérés par l’U.S.NRC.

Les conclusions de l’analyse ont mis en évidence les principaux points suivants :

–les événements naturels sont pris en compte pour la conception des centrales dans le cadre du règlement 10 CFR972 Part 50 Appendix A ; au cours de l’exploitation de ces centrales, l’U.S.NRC peut être amenée à diffuser différents types de documents relatifs à la prise en compte des risques associés aux agressions naturelles, par exemple sous forme de Unresolved Safety Issues (comme en 1980 concernant la qualification au séisme de certains matériels électriques), de Generic Safety Issues (comme en août 2010 concernant la prise en compte des inondations pouvant résulter de la rupture d’un barrage) ou de Regulatory Guides explicitant des moyens de satisfaire à des exigences règlementaires sur certains sujets précis… Les suites données aux préconisations de ces différents documents sont variables étant donné que, après la mise en service de leurs installations, les exploitants ne sont pas toujours dans l’obligation de transmettre à l’U.S.NRC les résultats de leurs analyses – il en résulte des différences notables entre installations sur la prise en compte des agressions externes naturelles, notamment en fonction de la date de mise en service des installations ;

–des exigences en termes d’événements de type BDBA à considérer sont précisées pour certains cas spécifiques dans des documents particuliers ; cela est par exemple le cas de la situation de perte totale des sources électriques externes et internes (Station Black-Out973 − SBO) pendant une durée de quatre à huit heures (règle du 10 CFR 50.63) ;

–pour les réacteurs en exploitation en 2011, la mise en œuvre de dispositions de gestion des accidents graves est laissée à l’initiative des exploitants, sans qu’un examen des documents associés ne soit fait par l’U.S.NRC ; pour de nouveaux réacteurs, des exigences ont été définies dans les règles 10 CFR 52.47 (2009) et 10 CFR 52.79 (2011).

Ainsi, le traitement des différents sujets apparaissait très variable en termes de type d’exigences, de traitement par les exploitants et d’analyse effectuée par l’U.S.NRC. Face à ce constat de traitement hétérogène, la Task Force a estimé que la structure du corpus règlementaire américain méritait d’être améliorée.

Concernant le domaine des BDBA, la Task Force a insisté sur le fait qu’une approche – s’appuyant éventuellement sur des éléments probabilistes – devait permettre de mieux faire face à des situations très improbables mais susceptibles de conduire à des conséquences radiologiques importantes.

Dans l’optique d’une recherche d’un renforcement de la défense en profondeur, la Task Force a fait 12 recommandations visant à faire évoluer le référentiel règlementaire américain, notamment pour ce qui concerne les événements pouvant résulter d’agressions naturelles, la limitation des conséquences des accidents et la préparation à la gestion des situations de crise.

Au plan général, la Task Force a recommandé :

–de clarifier la structure règlementaire,

–de renforcer la surveillance de la capacité des exploitants à maintenir la sûreté de leurs installations, en prêtant une attention particulière aux exigences associées à la mise en œuvre du concept de défense en profondeur.

Au plan technique, les recommandations de la Task Force ont été les suivantes :

Assurer la protection des installations

1.Demander aux exploitants de réévaluer les séismes et les inondations retenues pour le dimensionnement des installations et de renforcer leur protection si nécessaire (la figure 37.5 montre une inondation de grande ampleur survenue en 2011 sur le site d’une centrale américaine).

2.À plus long terme, évaluer les possibilités d’amélioration de la prévention ou de la maîtrise des feux et des inondations pouvant résulter d’un séisme.

Figure 37.5. Au mois de juin 2011, une crue du Missouri a entraîné l’inondation de la centrale de Fort Calhoun aux États-Unis. Nati Harnik/AP/SIPA.

Améliorer la limitation des conséquences des situations accidentelles

3.Renforcer les exigences en matière de capacité de gestion d’une situation de station black-out dans les conditions des agressions externes considérées dans le domaine DBA et à considérer dans le domaine BDBA.

4.Installer sur les BWR des types Mark I et Mark II des moyens d’éventage robustes et fiables, utilisables même en cas de perte totale et prolongée des alimentations électriques.

5.À l’occasion de « revues de sûreté » de l’U.S.NRC prévues à plus long terme, prendre en compte les éventuelles nouvelles connaissances acquises sur les possibilités de contrôle de la présence d’hydrogène et des risques associés à l’intérieur des bâtiments des réacteurs ou dans d’autres bâtiments, au fur et à mesure que des éléments plus précis seront disponibles quant aux événements survenus à la centrale de Fukushima Daiichi.

6.Améliorer les possibilités d’appoint d’eau dans les piscines d’entreposage des combustibles usés, ainsi que l’instrumentation de ces piscines.

7.Renforcer les capacités de « réponse » des sites (on-site emergency response) et les prendre en compte dans les procédures d’urgence, les guides de gestion des accidents graves…

Renforcer la préparation à la gestion de situations d’urgence

8.Prendre en compte dans les plans d’urgence des installations les pertes de longue durée des alimentations électriques et la possibilité d’événements affectant plusieurs installations d’un même site.

9.En vue de « revues de sûreté » prévues à plus long terme, définir les sujets additionnels à considérer pour la gestion des situations d’urgence en cas de perte de longue durée des alimentations électriques ou d’événements affectant plusieurs installations d’un même site.

10.Pour ces revues, poursuivre l’analyse concernant les besoins de gestion de crise en termes de prise de décision, de mesure des ambiances radiologiques et de formation du public à proximité des centrales nucléaires (en matière de sûreté et de radioprotection).

L’U.S.NRC a donné suite à ces recommandations sous différentes formes : des prescriptions (orders) ou des demandes d’information adressées aux exploitants, des évolutions de la règlementation, un examen de sujets à plus long terme par l’U.S.NRC. Les sujets à traiter dans le cadre d’une évolution de la règlementation américaine étaient, selon les propositions de la Task Force :

–la mise en place de réévaluations périodiques des aléas à considérer,

–la prise en compte des phénomènes induits par ces aléas (par exemple les incendies et les inondations),

–la gestion des situations de perte de longue durée des sources électriques (de type Station Black-Out),

–la protection des enceintes de confinement en cas de surpression interne (éventage),

–les risques d’explosion d’hydrogène,

–les piscines d’entreposage des combustibles usés,

–la gestion de crise en cas d’événements affectant simultanément plusieurs installations d’un même site (réacteurs et piscines), notamment en cas de perte durable des sources électriques.

Ces sujets ont été regroupés par l’U.S.NRC au mois d’octobre 2011 en trois ensembles de priorités décroissantes, dénommés Tier 1, Tier 2 et Tier 3 – les sujets du Tier 1 étant à traiter sans attendre. Il est tout particulièrement à noter que :

–les opérations suivantes ont été engagées dans le cadre du Tier 1 : le renforcement de l’autonomie des centrales en cas de Station Black-Out de longue durée (order), la mise en place de moyens robustes et fiables d’éventage des enceintes de confinement des réacteurs à eau bouillante de types Mark I ou Mark II (order), la mise en place d’une instrumentation fiable de mesure du niveau d’eau dans les piscines d’entreposage de combustibles usés (order), une réévaluation de la robustesse des centrales aux séismes et aux inondations, assorties de walk-downs974 pour identifier et corriger les éventuelles faiblesses, l’évaluation et le renforcement éventuel des moyens de gestion de situations d’urgence (effectifs humains, informations disponibles pour les équipes amenées à gérer de telles situations) en cas d’événement affectant plusieurs réacteurs d’un même site ;

–les réévaluations périodiques (décennales) des aléas externes (par une évolution de la règlementation) sont retenues notamment dans le cadre du Tier 3.

Outre l’U.S.NRC, d’autres organismes ou associations ont mené ou se sont impliqués aux États-Unis dans le retour d’expérience de l’accident de la centrale nucléaire de Fukushima Daiichi ; on peut citer ici le Nuclear Energy Institute (NEI), ou encore l’American Society of Mechanical Engineers (ASME) qui a produit en 2012 un document intitulé « Forging a New Nuclear Safety Construct » qui inclut notamment des commentaires sur la structure règlementaire du domaine nucléaire aux États-Unis.

•Initiative prise par les exploitants américains : la stratégie FLEX

C’est une structure de coordination des industriels américains, le Fukushima Response Steering Committee, qui a développé le concept FLEX. Cette structure comprenait des représentants d’électriciens américains, du Nuclear Energy Institute (NEI), de l’Institute of Nuclear Operations (INPO) et de l’Electric Power Research Institute (EPRI). Ses membres ont travaillé pendant un an de façon à s’assurer que les enseignements de l’accident de la centrale nucléaire de Fukushima Daiichi étaient bien tirés, compris et intégrés dans les différents plans d’améliorations. Dès le mois de janvier 2012, a été présenté à l’U.S.NRC un ensemble de dispositions constituant la stratégie FLEX (diverse and flexible coping strategies), pour tenir compte des difficultés majeures rencontrées à la centrale de Fukushima Daiichi, concernant de façon générale les alimentations électriques des installations et leur refroidissement (source froide). Les dispositions de la stratégie FLEX (voir la figure 37.6), prévues pour répondre aux demandes formulées par l’U.S.NRC (pour l’essentiel dans le cadre du Tier 1), constituent un complément à un certain nombre de dispositions mises en place après les attaques du 11 septembre 2001 sur les tours du World Trade Center à New York.

Figure 37.6. Schématisation de la stratégie FLEX (document NEI 12-06). IRSN.

La stratégie FLEX repose sur les équipements propres aux installations, sur des équipements mobiles présents sur les sites et sur des équipements entreposés en dehors des sites. Elle a fait l’objet du document NEI 12-06 d’août 2012 et a été jugée acceptable par l’U.S.NRC975, après quelques clarifications. La mise en place des dispositions correspondantes a alors pu être engagée, dès 2012 (achèvement fin décembre 2016).

Le document NEI 12-06 prévoyait que chaque exploitant devait déterminer les dispositions précises qu’il mettrait en œuvre dans le cadre de la stratégie FLEX en fonction des caractéristiques propres des sites et de ses installations, notamment en matière d’agressions externes et des niveaux de protection correspondants, y compris au-delà du domaine des DBA (agressions extrêmes) ; l’analyse devait prendre en considération, outre les séismes et les inondations externes, des agressions telles que les ouragans, les tornades, des températures extrêmes.

Cependant sans attendre, des équipements mobiles, à usages multiples, ont très rapidement été installés dans des endroits « sécurisés » (groupes électrogènes, batteries et chargeurs de batteries, compresseurs, pompes…), en particulier dans deux centres régionaux – dénommés SAFER976 response centers, localisés à Memphis (Tennessee) et à Phoenix (Arizona) – capables d’apporter un support dans un délai de 24 heures. Chaque centre régional dispose de cinq ensembles similaires d’équipements, quatre d’entre eux étant prêts en permanence de façon à pouvoir, si nécessaire, être dépêchés dans n’importe quelle centrale nucléaire des États-Unis. Ces équipements font l’objet d’essais périodiques.

962.Les actions entreprises par l’association internationale WANO après l’accident sont précisées dans le paragraphe 3.1.5.

963.Les cinq réacteurs nucléaires suisses en question ont été mis en service entre 1969 et 1984 (Beznau 1, Beznau 2, Mühleberg, Gösgen et Leibstadt). Ces réacteurs ont une autorisation d’exploitation sans limitation de durée, ce qui signifie qu’ils peuvent fonctionner aussi longtemps qu’ils sont jugés sûrs.

964.Le lecteur pourra consulter à ce sujet l’historique réalisé par Hideaki Shiroyama, intitulé « Nuclear Safety Regulation in Japan and Impacts of the Fukushima Daiichi Accident ».

965.Ce paragraphe a été rédigé par Marc Vincke et Pieter De Gelder, de l’organisme belge Bel V.

966.BEST, pour BElgian Stress Tests.

967.Il est à noter que des tests de résistance similaires ont été réalisés dans les installations nucléaires belges autres que les centrales nucléaires.

968.Depuis 2012, l’autorité de sûreté nucléaire belge a rendu publics ses différents rapports actualisés sur le sujet ; la version de mars 2019 est par exemple accessible par le lien https://afcn.fgov.be/fr/system/files/2019-03-11-best-2018-final.pdf.

969.Source : Wikipedia, Nuclear power in the United States.

970.De nombreux documents et « sources » d’information ont été rendus publics sur des sites internet.

971.Voir à cet égard le document de l’AIEA « Periodic Safety Review of Nuclear Power Plants: Experience of Member States », Annexe IV « Alternative approach to PSR », IAEA-TECDOC-1643, 2010.

972.Code of Federal Regulations.

973.Cette situation correspond à la perte des sources électriques externes et des groupes électrogènes principaux. Les batteries et les autres groupes électrogènes sont supposés disponibles.

974.Il s’agit de vérifications menées dans les installations sur la base par exemple d’observations visuelles et de jugements d’ingénieur, au regard des spécifications de conception, des plans et des exigences de sûreté de l’installation concernée. Des guides existent sur ce sujet, tels que ceux diffusés en 2012 par l’Electric Power Research Institute (EPRI) ou le Nuclear Energy Institute (NEI) pour des walk-downs à mener aux États-Unis après l’accident de la centrale nucléaire de Fukushima Daiichi.

975.Voir le document « Interim Staff Guidance JLD-ISG-2012-01 – Order Modifying Licenses with Regard to Requirements for Mitigation Strategies for Beyond-Design-Basis External Events ».

976.Strategic Alliance for FLEX Emergency Response.

Chapitre 38

Préparation et réponse
à une situation d’urgence

Malgré les dispositions prises lors de la conception et de l’exploitation des installations nucléaires, un accident entraînant une situation d’urgence de nature radiologique977 ne peut pas être exclu. Une telle situation peut a priori concerner toute installation nucléaire de base – en particulier tout réacteur électronucléaire. C’est pourquoi des dispositions sont prises aux niveaux local, national, voire international, pour faire face à cette situation.

Historiquement978, des dispositions ont été définies et mises en place dans les années 1980, à la lumière notamment des enseignements tirés de l’accident survenu en 1979 à la centrale nucléaire de Three Mile Island aux États-Unis et des multiples difficultés rencontrées pour la gestion de cette situation pour ce qui concerne la coordination entre intervenants, les messages délivrés et les consignes aux populations, la stratégie à adopter pour la distribution de comprimés d’iode stable aux populations… Si, en France, à l’usage des préfets des départements concernés, des « plans d’urgence » autour des premières tranches de réacteurs nucléaires françaises à eau sous pression venaient d’être définis dans leur principe, la nécessité pour les exploitants de disposer de plans d’urgence internes (PUI) a été clairement reconnue. À la demande du Service central de sûreté des installations nucléaires, Électricité de France a alors inscrit l’établissement de PUI au plan d’actions « post-TMI », et l’organisation nationale de crise s’est structurée pour aboutir à la situation décrite dans le présent chapitre.

Si les actions à mener dans une situation d’urgence radiologique – qu’il est aussi d’usage d’appeler « crise » radiologique – relèvent d’abord du niveau local, le niveau national serait en général rapidement concerné, compte tenu de la sensibilité des questions touchant à la qualité de l’environnement, à la santé des populations, à la continuité de la vie sociale et économique ainsi qu’aux relations internationales.

Une crise radiologique majeure impose la mise en œuvre d’une réponse globale de l’État et d’une coordination forte entre les différentes entités et parties prenantes nationales et locales concernées, voire internationales.

Parmi les différentes entités concernées en cas de crise radiologique, dont bien évidemment les exploitants d’installations nucléaires – en l’occurrence Électricité de France pour ce qui concerne les réacteurs du parc électronucléaire – les préfets, les maires des communes concernées, l’ASN et l’IRSN ont une mission définie.

L’objet de ce chapitre est de présenter les dispositions prises ou prévues en France au niveau de l’État pour répondre à une éventuelle situation d’urgence radiologique, en précisant les rôles et les responsabilités de différentes entités et de les illustrer pour ce qui concerne plus particulièrement les réacteurs électronucléaires.

Il convient de souligner que le présent chapitre ne traite que de la première phase, dite phase d’urgence, d’une situation accidentelle ; des actions peuvent se révéler nécessaires à plus long terme sur des territoires étendus, comme l’ont montré l’accident survenu en 1986 à la centrale de Tchernobyl en Ukraine et celui qui est survenu en 2011 à la centrale nucléaire de Fukushima Daiichi au Japon. En France, le Comité directeur pour la gestion de la phase post-accidentelle979 (CODIRPA), mis en place par l’Autorité de sûreté nucléaire en 2005 à la demande du Premier ministre, a permis à celle-ci de diffuser en 2012 des premiers éléments de doctrine et des lignes directrices pour une telle gestion post-accidentelle980. Ces premiers éléments de doctrine couvrent les périodes de sortie de la phase d’urgence, dites de transition, et de long terme, notions qui sont précisées plus loin. À l’issue de travaux effectués entre 2014 et 2019 prenant en considération le retour d’expérience de l’accident survenu à la centrale nucléaire de Fukushima Daiichi, le CODIRPA a recommandé plusieurs évolutions de ces éléments de doctrine post-accidentelle, la principale consistant en une simplification du zonage post-accidentel servant de base aux mesures de protection de la population981.

38.1.Définition d’une situation d’urgence radiologique
et objectifs de « réponse »

Le code français de la santé publique indique, dans son article L.1333-3, que, par situation d’urgence radiologique, il faut entendre « toute situation impliquant une source de rayonnements ionisants et nécessitant une réaction rapide pour atténuer des conséquences négatives graves pour la santé, l’environnement ou les biens, ou un risque qui pourrait entraîner de telles conséquences négatives graves ».

Par nature, une situation d’urgence est une situation qui requiert une réaction rapide. Cette réaction comprend la mise en place d’une organisation spécifique ayant pour objectif de « gérer » la situation et la mise en œuvre d’actions visant à atténuer les conséquences qui résultent ou pourraient résulter de cette situation. En pratique, les actions menées en situation d’urgence ont notamment pour objectifs :

–d’activer sans délai l’organisation de crise qui sera présentée plus loin,

–de ramener l’installation accidentée dans un état maîtrisé et stable,

–de protéger les personnes, aussi bien les travailleurs que les populations, dans le but d’éviter des effets déterministes et de réduire autant qu’il est possible les effets stochastiques,

–d’assurer la prise en charge sanitaire et psychologique des personnes,

–de communiquer avec la population en vue de lui délivrer une information réactive, transparente et continue,

–de favoriser, autant que possible, la continuité ou la reprise des activités économiques et sociales,

–d’assurer les échanges d’informations prévus par les conventions internationales et européennes,

–de se préparer à la gestion dans le temps de la situation dans le cadre de sa phase post-accidentelle.

Selon le type d’accident, et notamment en fonction de sa cinétique, la phase d’urgence proprement dite peut durer de quelques heures à plusieurs jours et peut comporter trois périodes :

–une période de menace de rejets (qui n’existe pas en termes de gestion de crise pour les accidents à cinétique rapide), au cours de laquelle des actions sont mises en œuvre, notamment par l’exploitant, en vue de rétablir un niveau de sûreté satisfaisant et d’éviter des rejets ;

–une période de rejets radioactifs dans l’environnement quand ceux-ci ne peuvent pas être évités ; les rejets peuvent durer plusieurs jours ;

–la période de sortie de la phase d’urgence, d’une durée de quelques jours, qui commence après la fin des rejets lorsque l’installation a été ramenée dans un état maîtrisé et stable.

En fonction de la situation, les actions de protection peuvent être une mise à l’abri et une mise à l’écoute de consignes, une évacuation, une prise d’iode stable (pour le cas des réacteurs nucléaires), des restrictions de consommation et de commercialisation de denrées. En parallèle, des actions de sécurité publique (par exemple des restrictions de circulation sur les voies publiques) et de maintien de l’ordre sont mises en œuvre. Suivant le type d’accident, les actions de protection des populations sont menées différemment :

–lors d’un accident à cinétique rapide, les rejets peuvent intervenir très rapidement (et être de courte durée982). Dans ce cas, une mise à l’abri « réflexe » peut être déclenchée à l’initiative de l’exploitant, mais dans des conditions prévues à l’avance et en accord avec le préfet du département concerné ;

–lors d’un accident à cinétique lente, les rejets sont différés et la période de menace est mise à profit pour préparer et mettre en œuvre des mesures de protection des personnes du public (évacuation par exemple).

À la sortie de la phase d’urgence, d’autres actions de protection sont à mettre en œuvre ou à engager dans les territoires contaminés afin d’assurer la protection des populations à l’égard des dépôts de substances radioactives et la prise en charge des populations sinistrées. Ces actions préparent la phase post-accidentelle au cours de laquelle seront gérées les conséquences à long terme des rejets radioactifs accidentels dans l’environnement. Selon les éléments de doctrine relatifs aux situations post-accidentelles évoqués plus haut, on peut distinguer :

1.une phase de transition, qui commence à la sortie de la phase d’urgence. D’une durée variable selon l’ampleur de l’accident, cette phase vise à limiter l’exposition des personnes et des acteurs économiques résidant ou travaillant dans les zones touchées par des dépôts de substances radioactives, dans un contexte d’évolutions rapides des situations tant radiologique, économique que sociale ;

2.une phase à long terme, qui peut se prolonger pendant des années ou des dizaines d’années, selon l’ampleur de l’accident. S’appuyant sur une caractérisation précise de la situation radiologique de l’environnement, dont les denrées alimentaires, cette phase vise à prendre en charge l’avenir des territoires affectés en permettant le retour le plus rapidement possible à des conditions de vie aussi normales que possible.

38.2.Organisation générale de la gestion d’une situation d’urgence radiologique

38.2.1.Organisation et entités concernées

En cas d’accident (situation d’urgence) affectant une installation nucléaire telle qu’un réacteur électronucléaire, une organisation spécifique est mise en place pour engager les actions évoquées au paragraphe précédent. Dans le cas d’un réacteur électronucléaire, cette organisation inclut l’exploitant, le préfet du département, l’Autorité de sûreté nucléaire et ses appuis (Santé publique France983, Météo France, l’IRSN…).

Les missions des différentes entités impliquées en cas de crise sont définies dans une directive interministérielle du 7 avril 2005984 (en cours de révision).

En situation d’urgence radiologique, comme en situation normale d’exploitation, l’exploitant est responsable de la sûreté de son installation. Au niveau de celle-ci, le directeur du site ou son représentant prend les dispositions qui s’imposent dans le cadre du déclenchement de son plan d’urgence interne985 (PUI – voir le paragraphe 17.9) pour protéger les personnes présentes sur le site ou amenées à y intervenir, pour appliquer les procédures visant à limiter les rejets radioactifs et à rétablir un état maîtrisé et stable de l’installation, pour alerter l’Autorité de sûreté nucléaire et le préfet du département concerné, informer les médias.

Alerté par l’exploitant, le préfet du département peut décider du déclenchement de son plan particulier d’intervention (PPI – déjà évoqué au paragraphe 17.7). Les missions des autorités préfectorales et des maires sont précisées plus loin au paragraphe 38.4.

Conformément au code de la santé publique (article R.1333-83986), avant de décider de mettre œuvre des mesures de protection des populations permettant de réduire aussi bas que raisonnablement possible les expositions radiologiques, le préfet du département tient compte non seulement des appuis, informations et avis qui lui sont fournis mais aussi du préjudice associé à la mise en œuvre des mesures envisagées au regard du bénéfice attendu.

Au niveau national, l’Autorité de sûreté nucléaire a, en situation d’urgence radiologique, plusieurs missions pour ce qui concerne la gestion de la situation, l’appui (conseil) au Gouvernement, la communication. Ces missions sont précisées dans le paragraphe 38.5.

Pour la réalisation de ses missions, l’Autorité de sûreté nucléaire s’appuie notamment sur l’analyse technique de la situation réalisée par l’IRSN, confrontée avec celle de l’exploitant, comportant à la fois un diagnostic et un pronostic d’évolution de celle-ci, qu’il s’agisse aussi bien de l’état de l’installation accidentée que des conséquences dans l’environnement.

L’IRSN apporte son expertise technique aux pouvoirs publics et propose des mesures aussi bien d’ordre technique que d’ordre sanitaire ou médical en vue d’assurer la protection des populations et de l’environnement et de retrouver un état maîtrisé et stable de l’installation. Les mesures de protection concernent principalement la distribution d’iode stable, la mise à l’abri à l’intérieur des habitations, l’évacuation dans les cas les plus graves ainsi que les restrictions de consommation de denrées alimentaires et l’interdiction de commercialisation. L’IRSN coopère avec Météo France, lequel lui fournit les données météorologiques nécessaires aux calculs de simulation du transport et de la dispersion des rejets de substances radioactives dans l’environnement.

Suivant l’importance de la situation d’urgence radiologique et de son évolution, la réponse de l’État peut conduire, en complément de l’action des préfets de département et de zone, à l’activation de la Cellule interministérielle de crise (CIC)987. Instrument de conduite opérationnelle de la crise rassemblant, sous la responsabilité du Premier ministre988, l’ensemble des ministères concernés ainsi que l’Autorité de sûreté nucléaire et, en tant que de besoin, les représentants de l’exploitant, la CIC prend en charge :

–la centralisation et l’analyse de toutes les informations en relation avec la situation d’urgence radiologique en cours,

–la conception des scénarios d’anticipation de l’évolution possible de la situation,

–la préparation des décisions gouvernementales et la coordination interministérielle de leur mise en œuvre,

–la préparation de l’information du public et de la communication du gouvernement.

Condition préalable à la mise en place de l’ensemble des moyens de gestion d’une situation d’urgence radiologique, un système d’alerte national permet de mobiliser les personnes concernées. Il s’appuie sur un dispositif d’alerte de l’Autorité de sûreté nucléaire et du préfet pouvant être déclenché directement par la centrale (CNPE) concernée, 24 heures sur 24 et 7 jours sur 7. Ainsi alertés, l’Autorité de sûreté nucléaire et le préfet alertent respectivement les organismes d’expertise et les échelons communaux et gouvernementaux. Equipé de ce dispositif d’alerte, l’IRSN mobilise alors dans l’heure son organisation de crise.

Enfin, dans le cadre des conventions internationales, pour une situation d’urgence radiologique sur le territoire national, l’Autorité de sûreté nucléaire notifie l’événement et fournit des informations aux organisations internationales (AIEA et Union européenne989) et aux pays limitrophes susceptibles d’être affectés sur leurs propres territoires par les conséquences de la situation. L’Autorité de sûreté nucléaire reçoit par ailleurs les alertes et les informations de l’AIEA et des États tiers en cas d’événement survenant à l’étranger.

38.2.2.Le plan national de réponse à un accident nucléaire
ou radiologique majeur et les plans d’urgence

38.2.2.1.Le plan national de réponse à un accident nucléaire
ou radiologique majeur

Le plan national de réponse à un accident nucléaire ou radiologique majeur990, diffusé en février 2014, décrit l’organisation de conduite de la crise au niveau national, la stratégie à appliquer (partie 1 : « Stratégie et principes de réponse »), ainsi que les principales mesures pouvant être prises au niveau gouvernemental pour la gestion d’un tel accident (partie 2 : « Guide d’aide à la décision »). Il précise en particulier l’organisation de crise au niveau gouvernemental et rappelle les rôles des ministères susceptibles d’être concernés, des autorités de sûreté, des organismes d’expertise et de l’exploitant concerné. Il porte sur la phase d’urgence proprement dite et sur la préparation à la phase post-accidentelle.

Le plan aborde différents domaines de la conduite de crise :

–la gouvernance au niveau national et son articulation avec le niveau territorial (préfets, maires),

–l’évaluation et l’anticipation de la situation,

–la protection des populations contre l’exposition à la radioactivité,

–l’information de la population et la communication,

–la gestion des flux de personnes et le maintien de l’ordre,

–la prise en charge sanitaire des victimes et des personnes éventuellement exposées à la radioactivité,

–la continuité de la vie économique et sociale, ainsi que l’action solidaire des citoyens pour leur propre sécurité, celle de leur famille et de leurs voisins,

–la coordination des relations dans le cadre européen et international,

–la mise en place anticipée de dispositions nécessaires à la gestion post-accidentelle et au rétablissement du fonctionnement de la société et des activités économiques et sociales (les principes et actions de la gestion post-accidentelle sont inscrits dans la doctrine établie par le CODIRPA).

Ce plan de réponse se réfère à des situations de référence et non à des scénarios d’accidents précis, le déroulement d’un accident réel ne pouvant bien sûr pas être défini à l’avance. Il reste flexible pour permettre de s’adapter aux évolutions de la situation considérée. Huit situations de référence ont été retenues parmi lesquelles trois (référencées 1, 2 et 3) peuvent concerner plus particulièrement un accident qui pourrait affecter un réacteur électronucléaire :

–situation 1 : un rejet avéré et immédiat de courte durée (quelques heures) ; les conséquences d’un tel rejet, a priori modérées, peuvent concerner des zones allant jusqu’à quelques kilomètres (zones PPI) ;

–situation 2 : un rejet avéré et immédiat et de longue durée (quelques jours à quelques semaines) ; les conséquences peuvent être beaucoup plus importantes et concerner des zones étendues ;

–situation 3 : une menace de rejet suivie ou non d’un rejet différé (quelques heures après le début de l’accident) et long (quelques jours à quelques semaines) ; les conséquences peuvent également concerner des zones étendues.

Les autres situations décrites dans le plan national de réponse couvrent les « situations d’incertitude » (suspicion de rejet, accident non encore caractérisé…), les accidents de transport, les accidents à l’étranger et les accidents en mer.

38.2.2.2.Les plans d’urgence

En situation d’urgence radiologique, deux responsables sont chargés de mettre en place des dispositions concrètes au niveau local : d’une part l’exploitant, d’autre part le préfet. Chacun met en œuvre un plan d’urgence :

–Le plan d’urgence interne (PUI991) établi par l’exploitant (déjà présenté dans le paragraphe 17.9) précise l’organisation spécifique et les moyens prévus pour gérer des événements importants. Il vise à secourir et protéger toute personne présente sur le site, préserver ou rétablir la sûreté des installations et limiter les conséquences pour la population et l’environnement. Il précise également les modalités d’information des pouvoirs publics et des médias. Dans le cas des réacteurs du parc électronucléaire, deux autres types de plans ont été mis en place :

•le plan d’appui et de mobilisation (PAM), pour la gestion de certaines situations qui nécessitent une organisation adaptée992,

•le plan sûreté protection (PSP) s’il s’agit d’un acte de malveillance.

L’exploitant est responsable du déclenchement et de la mise en œuvre du PUI.

–Le plan particulier d’intervention (PPI) des pouvoirs publics, établi par le préfet et dont le déploiement est réalisé sous son autorité, qui vise la protection des personnes du public, des biens et de l’environnement face à des risques particuliers liés à l’existence d’un ouvrage ou d’une installation (ici le risque radiologique). Il traduit les orientations de la politique de sécurité civile en matière de mobilisation des moyens, d’information et d’alerte. Le PPI est une disposition spécifique du dispositif ORSEC évoqué plus haut. Le préfet du département dans lequel a lieu l’accident est responsable de l’activation du PPI. En cas d’événement de grande ampleur, les mesures à prendre au-delà du périmètre du PPI, y compris par les préfets des autres départements pouvant être affectés, s’inscrivent dans le cadre de la déclinaison du plan national de réponse à un accident nucléaire ou radiologique majeur.

Le dispositif spécifique PPI applicable aux réacteurs du parc électronucléaire comporte trois types d’actions envisageables :

–une phase réflexe de mise à l’abri et de mise à l’écoute des populations dans un rayon de 2 km autour de l’installation, déclenchée en cas de rejets accidentels immédiats,

–une phase immédiate d’évacuation des populations dans un rayon de 5 km, lorsque des rejets de longue durée sont prévus à court terme (quelques heures),

–une phase concertée au cours de laquelle le préfet peut être amené à engager (ou à faire évoluer), en tenant compte des recommandations formulées par l’Autorité de sûreté nucléaire, d’autres actions de protection sur des distances évaluées à partir de l’expertise de la situation, distances qui peuvent être inférieures ou supérieures au rayon PPI (notamment pour ce qui concerne la consommation de denrées).

Le PPI prévoit également une sensibilisation préalable des populations sur le risque nucléaire et radiologique et une distribution préalable d’iode stable dans un rayon de 20 km autour de l’installation.

38.2.2.3.Les dispositions de protection des personnes du public
en cas de rejet accidentel de radioactivité

Les dispositions de protection des personnes du public en cas de menace ou de rejet radioactif visent à limiter leur exposition à la radioactivité à un niveau aussi faible que raisonnablement possible. Selon la règlementation française (code de la santé publique), les dispositions à mettre en œuvre en phase d’urgence sont prises au regard :

–d’un niveau de référence fixé à 100 mSv en dose efficace. Sans être une limite stricte, ce niveau correspond à une exposition qu’il est jugé inapproprié de dépasser. La CIPR précise à ce titre « qu’une dose atteignant près de 100 mSv justifiera presque toujours une action de protection ». Elle ajoute que des expositions supérieures à 100 mSv seraient justifiées uniquement dans des situations extrêmes, soit parce que l’exposition est inévitable, soit par exemple pour sauver une vie ou empêcher une aggravation de la situation ;

–de « valeurs repères » de dose pour enclencher certaines actions de protection (mise à l’abri, évacuation, prophylaxie par l’iode stable) lorsque l’exposition des populations est susceptible de les dépasser993. Mais il est important de souligner que les pouvoirs publics peuvent décider de la mise en œuvre de ces actions de protection à des niveaux de dose différents, inférieurs ou même supérieurs, en fonction de l’analyse des avantages et inconvénients dans le contexte précis de la situation accidentelle réelle994. À cet égard, les enjeux locaux, la cinétique et le temps de diffusion prévisibles des rejets, plus que leur évaluation qui comporte des imprécisions et des conservatismes, sont pertinents pour guider l’action de protection des populations sur le terrain.

Des restrictions de consommation de denrées susceptibles d’être contaminées sont également mises en place.

La mise à l’abri995 est une disposition a priori aisément applicable à court terme, qui sera notamment privilégiée dans un premier temps pour les accidents à cinétique rapide. L’objectif est de réduire l’exposition des personnes du public à la fois par irradiation externe, en bénéficiant de la protection apportée par les structures de bâtiments, et par inhalation, en s’exposant à une moindre pollution radioactive de l’air à l’intérieur des bâtiments. Pour une mise à l’abri impromptue, la durée est limitée (moins d’une douzaine d’heures) par la capacité des personnes à subsister dans les conditions auxquelles elles sont soumises. La durée peut être de plusieurs jours dans le cas d’une mise à l’abri préparée. Mais l’efficacité de la protection décroît dans le temps du fait de la diffusion progressive des substances radioactives vers l’intérieur des bâtiments (par les interstices, les entourages de portes et de fenêtres, etc.).

L’évacuation combine une évacuation de personnes autonomes par leurs propres moyens et une prise en charge par les pouvoirs publics des personnes non autonomes. La localisation du centre d’accueil des personnes ainsi évacuées doit être déterminée de telle sorte qu’il ne sera pas nécessaire de l’évacuer du fait de l’évolution des conditions météorologiques locales pendant les rejets accidentels.

La prise d’iode stable n’est utile qu’en cas de rejet contenant de l’iode radioactif (ce qui peut être le cas pour un accident de réacteur nucléaire). Elle vise, par une saturation précoce de la glande thyroïde, à limiter la fixation d’iodes radioactifs dans cette glande, laquelle entraînerait une augmentation du risque de cancer de cet organe. L’efficacité de cette disposition est maximale lorsque la prise d’iode stable, à la posologie requise, est effectuée environ deux heures avant l’exposition aux rejets. Elle décroît ensuite peu à peu, mais une deuxième prise peut être envisagée. La décision de prise d’iode stable est diffusée par des médias conventionnés, en précisant la posologie, le moment précis de la prise et les personnes prioritaires (enfants et femmes enceintes en particulier). Sa mise en œuvre s’appuie sur deux dispositifs de distribution :

–une distribution préventive de comprimés d’iodure de potassium, autour des installations présentant un risque d’exposition à des rejets contenant de l’iode radioactif,

–une distribution réalisable en tout point du territoire en situation d’urgence à partir des stocks départementaux et zonaux (plan ORSEC-iode).

Les restrictions de consommation de denrées ou de réalisation de certaines activités particulières (par exemple activités sportives en extérieur) sont décidées par le préfet en fonction de la situation.

38.3.Organisation de l’exploitant

Quelques éléments sont présentés ci-après concernant l’organisation de l’exploitant Électricité de France prévue en situation d’urgence (plus précisément dans le cas du déclenchement du PUI « sûreté radiologique »), en complément de ceux du chapitre 17 relatif à la préparation à la gestion d’accidents avec fusion du coeur996.

•Organisation générale

En situation d’urgence, l’organisation de crise se substitue à l’organisation normale d’exploitation pour permettre d’alerter et de mobiliser les ressources en vue de maîtriser la situation et d’en limiter les conséquences, de protéger, de porter secours et d’informer le personnel, enfin d’informer les pouvoirs publics et communiquer.

La mobilisation d’Électricité de France se fait à deux niveaux, au niveau national avec un poste de commandement direction et une équipe technique de crise dédiés (désignés respectivement par PCD-N et ETC-N), et au niveau local du site (ou CNPE) concerné. L’organisation du niveau local est développée ci-après.

Pour chaque site, l’organisation prévue fait notamment l’objet d’un document spécifique tenu à jour (« dossier de site du plan d’urgence interne »), précisant la répartition et les rôles de différentes équipes, ainsi que les interactions entre celles-ci. Les actions attribuées à quelques-uns des membres d’une équipe sont plus particulièrement précisées.

•Les équipes de crise au niveau local (site)

L’organisation de crise d’Électricité de France au niveau local repose997 sur :

–un centre de décision, le poste de commandement de direction du site (PCD, aussi appelé PCD Site) ;

–quatre centres opérationnels :

•le poste de commandement local (PCL) de l’installation, en salle de commande,

•le poste de commandement des contrôles (radiologiques) (PCC) du site,

•le poste de commandement des moyens logistiques (PCM) du site,

•plus récemment constitué dans le cadre du retour d’expérience de l’accident de la centrale nucléaire Fukushima Daiichi, le poste de commandement de la Force d’action rapide nucléaire (PC FARN − voir le paragraphe 36.6.6).

Le poste de commandement local (PCL), centre d’actions opérationnel, est constitué des membres de l’équipe de conduite en quart, placée sous l’autorité du chef d’exploitation (CE) de quart. Le PCL est donc installé en salle de commande du réacteur ou, en cas de nécessité d’évacuation de cette salle (par exemple s’il s’y déclare un incendie), au panneau de repli. Le chef d’exploitation de quart diffuse l’alerte sur le site et aux domiciles des renforts potentiels ; il supervise et contrôle, notamment, les opérations de conduite et de sauvegarde des installations en salle de commande. En cas d’atteinte de critères précis et prédéterminés, il appelle le membre du poste de commandement de direction (PCD) ayant la fonction de « directeur de crise » et lui demande de déclencher le plan d’urgence interne (PUI). Hors heures ouvrables, si le directeur de crise n’est pas joignable, c’est le chef d’exploitation de quart qui déclenche le PUI et, si nécessaire, le plan particulier d’intervention (PPI) en mode réflexe.

Le poste de commandement de direction (PCD) du site se met en relation avec le PCD-N (national), l’Autorité de sûreté nucléaire et le préfet du département. Il s’appuie, en termes d’expertise de la situation, sur une équipe locale de crise, l’ELC. Un « appui santé médecin » est également prévu au PCD.

L’équipe locale de crise (ELC) est gréée dans un local, dit local technique de crise (LTC). L’ELC a pour mission d’analyser la situation et son évolution prévisible (selon la démarche « 3D/3P » qui est décrite plus loin), de proposer au poste de commandement de direction (PCD) les actions qu’elle juge nécessaires, de transmettre au poste de commandement des contrôles (PCC) son analyse de la situation. L’ELC notamment est en relation avec l’ETC-N ainsi que l’IRSN (centre technique de crise – voir plus loin).

Le poste de commandement des contrôles (PCC) est un centre à la fois opérationnel et d’appui. Il est en relation avec l’ETC-N ainsi qu’avec l’IRSN pour des échanges d’informations et des concertations sur les rejets et les conséquences radiologiques, les mesures dans l’environnement et les évaluations prévisionnelles. Le PCC est structuré en deux pôles : un pôle « calculs » chargé de réaliser les évaluations prévisionnelles, un pôle « mesures » chargé de réaliser et d’exploiter les mesures dans l’environnement.

Le poste de commandement des moyens logistiques (PCM) est un centre opérationnel en charge des actions de soutien en matière de logistique (véhicules et transports, balisages, fournitures de matériels), de télécommunications, de maintenance, de protection des personnes, de sécurité et de radioprotection ; il est responsable de l’activation du local de repli. Il est uniquement en liaisons avec les entités internes au site (PCD, PCL et PCC).

Le poste de commandement de la Force d’action rapide nucléaire (PC FARN) n’est activé que si la décision est prise au niveau national de déployer la FARN (décision prise par le PCD-N).

38.4.Les autorités préfectorales, les maires

En situation d’urgence radiologique, le préfet de département dans lequel l’événement trouve son origine est responsable, sauf à l’intérieur du domaine militaire, de la direction de l’ensemble des opérations de gestion de crise, notamment de celles relatives à l’ordre, à la sécurité et à la salubrité publiques. Il bénéficie de l’appui de l’Autorité de sûreté nucléaire et de l’IRSN.

Dans le cadre de la gestion de crise, les missions du préfet du département sont les suivantes :

–alerté par l’exploitant, il procède immédiatement à la diffusion des alertes ;

–il définit le périmètre à l’intérieur duquel la population et les élus sont informés de la situation d’urgence radiologique, du comportement à adopter et des actions de protection sanitaire applicables ; il fait évoluer ce périmètre selon l’évolution de la situation ;

–il peut décider du déclenchement de son plan particulier d’intervention (PPI), il fait adresser des consignes préparatoires aux établissements ayant des responsabilités collectives particulières ; à ce titre, il veille en permanence à la cohérence de l’action des différents moyens de secours, d’intervention et de protection ;

–il met en œuvre, s’il y a lieu, le ou les accords bilatéraux avec ses homologues des États frontaliers du département ;

–il prépare et engage en tant que de besoin les actions de gestion des situations d’exposition durable résultant d’une situation d’urgence radiologique.

Lorsque les besoins de protection des populations et de l’environnement s’étendent au-delà du cadre du PPI, le préfet du département met en œuvre le dispositif ORSEC998 pour y répondre.

Le préfet du département assure par ailleurs une information des populations et des médias.

Le préfet du département est relayé dans son action par les maires des communes concernées, lesquels s’appuient sur les dispositions prévues dans leur plan communal de sauvegarde (PCS).

Si un accident touche plusieurs départements, un préfet « de zone de défense et de sécurité » est alors responsable de l’exécution des mesures de sécurité nationale au sein de cette zone ; il est en charge de la coordination :

–des mesures prises par les différents préfets de département concernés par les conséquences de l’accident,

–de la communication territoriale des préfets de département en lien avec la communication réalisée au niveau gouvernemental,

–des renforts et des soutiens nécessaires à l’action des préfets de département.

38.5.L’Autorité de sûreté nucléaire

Conformément au code de l’environnement (article L.592.32), l’Autorité de sûreté nucléaire est associée à la gestion des situations d’urgence radiologique résultant d’événements de nature à porter atteinte à la santé des personnes et à l’environnement par exposition aux rayonnements ionisants et survenant en France ou susceptibles d’affecter le territoire français. Elle participe à ce titre aux travaux de la Cellule interministérielle de crise (CIC) dans le cas où celle-ci est activée.

L’Autorité de sûreté nucléaire est associée, en tant que de besoin, aux travaux menés par les pouvoirs publics dans le domaine de la préparation aux situations d’urgence radiologique. En particulier, elle apporte son concours technique aux autorités compétentes pour l’élaboration, au sein des plans d’organisation des secours, des dispositions prenant en compte les risques résultant du fonctionnement des installations entrant dans son champ de compétence. Elle s’assure par ailleurs du respect des obligations des exploitants nucléaires et des responsables d’activités nucléaires civiles en matière d’élaboration de leur plan d’urgence.

En situation d’urgence radiologique, l’Autorité de sûreté nucléaire :

–alerte ses appuis (Santé publique France, Météo France, l’IRSN…) pour que ceux-ci lui apporte l’appui technique nécessaire,

–s’assure du bien-fondé des dispositions prises par l’exploitant pour limiter les conséquences de l’accident et contrôler leur mise en œuvre,

–apporte son conseil au Gouvernement et à ses représentants aux niveaux territoriaux (préfets de départements, préfets « de zones de défense et de sécurité ») sur les mesures à prendre pour assurer la protection des populations, des biens et de l’environnement,

–participe à la diffusion de l’information du public au plan national.

L’Autorité de sûreté nucléaire permet à l’État d’assurer ses obligations dans le cadre des conventions internationales999.

Pour les installations et activités nucléaires relevant de son périmètre, elle est autorité nationale compétente au titre de l’application de la convention internationale sur la notification rapide d’un accident nucléaire du 26 septembre 1986 (entrée en vigueur pour la France le 6 avril 1989) et de la décision du Conseil des Communautés européennes du 14 décembre 1987 concernant des modalités communautaires pour l’échange rapide d’informations dans le cas d’une situation d’urgence radiologique.

L’Autorité de sûreté nucléaire est également autorité nationale compétente au titre de l’application de la convention internationale sur l’assistance en cas d’accident nucléaire ou de situation d’urgence radiologique, signée par la France le 26 septembre 1986.

38.6.L’IRSN

Le décret n° 2016-283 du 10 mars 2016 relatif à l’Institut de radioprotection et de sûreté nucléaire, article R.592-1, stipule que l’IRSN « propose à l’Autorité de sûreté nucléaire […], en cas d’incident ou d’accident impliquant des sources de rayonnements ionisants, des mesures d’ordre technique, sanitaire et médical propres à assurer la protection de la population, des travailleurs1000 et de l’environnement et à rétablir la sécurité des installations. Dans de telles circonstances, l’IRSN fournit également en tant que de besoin un appui technique aux autres autorités de l’État concernées ». Le plan national de réponse à un accident nucléaire ou radiologique majeur, évoqué plus haut, inscrit l’IRSN parmi les acteurs sollicités en cas de crise, en tant qu’appui aux autorités de sûreté et aux ministères.

Pour cela, l’IRSN s’appuie sur sa connaissance des installations et des risques associés, sur les résultats de calculs réalisés au moyen de logiciels de simulation spécifiques et sur les résultats de mesures de la contamination dans l’environnement ou de mesures de la contamination des personnes, réalisées soit à proximité du lieu de l’accident soit dans ses laboratoires fixes. Il participe activement à la réalisation de ces mesures en mobilisant aussi bien ses moyens mobiles que ses laboratoires fixes. En complément, l’IRSN participe à l’information du public.

Plus précisément, en cas de crise, l’IRSN évalue les risques liés à la situation et ses conséquences radiologiques réelles ou potentielles afin de proposer aux pouvoirs publics les actions de protection à mettre en œuvre. Cette évaluation comporte à la fois un diagnostic de la situation et un pronostic de son évolution possible. Le diagnostic porte sur l’état de l’installation accidentée, sur l’existence ou non de rejets de substances radioactives, sur leur dispersion dans l’environnement et sur les conséquences en termes d’exposition aux rayonnements ionisants pour les populations, y compris les travailleurs, et l’environnement (denrées, cheptels…). Le pronostic vise à déterminer les conséquences envisageables et à recommander de façon anticipée des mesures de protection appropriées. Les expertises menées par l’IRSN en situation d’urgence affectant une installation nucléaire font l’objet d’échanges et de comparaisons avec celles qui sont effectuées par l’exploitant de cette installation.

Des experts de l’IRSN peuvent être dépêchés auprès des pouvoirs publics : à la Cellule interministérielle de crise (CIC), auprès du préfet du département concerné, ainsi que dans les centres opérationnels des ministères, si le besoin en est exprimé.

Pour assurer ses missions en cas de crise, l’IRSN dispose d’une organisation de crise spécifique, reposant sur les équipes et les outils d’un centre technique de crise (CTC) – créé en 1982 à la demande du Service central de sûreté des installations nucléaires (SCSIN) – et sur des moyens mobiles de mesure de la contamination dans l’environnement et des personnes. Le CTC est constitué de « cellules » ayant chacune une mission propre, notamment :

–l’évaluation de l’état de l’installation,

–l’évaluation des conséquences radiologiques de l’accident,

–le déploiement des moyens mobiles de mesure de la contamination dans l’environnement1001,

–le traitement des questions relatives à la santé des travailleurs et des populations susceptibles d’être affectés,

–la communication pour répondre notamment aux demandes du public, des médias et des parties prenantes.

L’IRSN dispose au CTC des données suivantes :

–de nombreuses informations (état des équipements, données fournies par l’instrumentation de la centrale) relatives au réacteur concerné, reçues toutes les minutes par l’intermédiaire d’une liaison informatique (système dénommé kit KPS mis en place en 1988 − voir la figure 38.1) et formalisées pour certaines dans des messages transmis par l’exploitant tous les quarts d’heure (« messages quart d’heure »),

–les résultats des mesures réalisées sur le terrain, regroupés par la cellule mobile et centralisés dans une base de données dénommée CRITER,

–les résultats des mesures du réseau Téléray de télésurveillance déployé par l’IRSN sur le territoire national (débits de dose ambiants) − voir le focus plus loin −,

–les données météorologiques nécessaires à l’évaluation des conséquences radiologiques transmises par Météo France par une liaison dédiée,

–les résultats des mesures de la contamination interne des personnes, réalisées dans les moyens mobiles de l’IRSN, voire dans des laboratoires fixes, centralisés dans un outil nommé CRIHOM.

Figure 38.1. Vue partielle du kit KPS. Stéphanie Clavelle/Médiathèque IRSN.

Les moyens de calcul permettant l’évaluation de l’état de l’installation et des rejets sont regroupés dans un outil (ou système) dénommé SESAME (Schéma d’évolution des situations accidentelles et moyens d’évaluation), opérationnel depuis 1994. Il comporte un ensemble de modules de calcul qui permettent, suivant le type d’événement (accident de perte de réfrigérant primaire, rupture de tube(s) d’un générateur de vapeur…) et la situation du réacteur, d’estimer par exemple :

–la taille d’une brèche du circuit primaire,

–les délais avant le dénoyage du cœur, la rupture de gaines, la fusion du cœur,

–le pourcentage de ruptures de gaines ou de cœur fondu,

–le risque dû à l’hydrogène,

–la radioactivité rejetée, ainsi que la cinétique de ce rejet.

Les moyens de calcul permettant l’évaluation des conséquences radiologiques sont regroupés dans le système (ou plateforme) de logiciels dénommé C3X. À partir des informations disponibles sur les rejets intervenus ou envisageables, des résultats des mesures sur le terrain et des données météorologiques transmises par Météo France, le système C3X permet d’évaluer :

–la dispersion atmosphérique à courte distance (jusqu’à 50-80 km) et à longue distance (supérieure à 100-120 km) des substances radioactives rejetées,

–les dépôts au sol associés à cette dispersion,

–les expositions des personnes aux rayonnements ionisants associées à cette dispersion et à ces dépôts, en tenant compte de l’ensemble des voies d’exposition potentielles (irradiation externe par immersion dans le panache de substances radioactives ou par les dépôts, contamination interne par inhalation de ces substances ou par ingestion de denrées contaminées…).

Le système C3X permet en complément de donner des représentations cartographiques des résultats des évaluations précitées.

La cellule mobile dispose de moyens spécifiques (véhicules, détecteurs de radioactivité…) lui permettant de réaliser elle-même des mesures sur le terrain et d’analyser des échantillons prélevés dans l’environnement. Elle comprend également des moyens permettant de mesurer la contamination des personnes1002 et s’intègrent, lorsqu’ils sont mobilisés, dans le dispositif local mis en place par le préfet au niveau du « centre d’accueil des impliqués ». Les résultats de mesures sont transmis à la cellule en charge des questions de santé. Ces « moyens mobiles homme » comportent quatre véhicules légers et deux laboratoires mobiles d’anthroporadiométrie, ainsi que quatre véhicules lourds permettant de réaliser des examens de la thyroïde et du thorax.

#FOCUS

Le réseau Téléray

Créé en 1991, après l’accident de Tchernobyl, le réseau Téléray est constitué d’un ensemble de plus de 400 sondes (voir la figure 38.2) réparties dans la métropole et dans les départements et territoires d’outre-mer. Il permet de détecter rapidement une élévation inhabituelle de la radioactivité ambiante à proximité de ces balises. Les balises sont réparties comme suit :

–une centaine de sondes assurent une surveillance globale du territoire (une balise par département) ; ces sondes permettent d’obtenir des données pertinentes sur la contamination de l’air en cas d’événement accidentel de grande ampleur ;

–environ 300 sondes assurent une surveillance des agglomérations qui se trouvent à des distances des installations nucléaires comprises entre 10 et 30 km ; ces sondes complètent les moyens des exploitants, qui couvrent la zone qui s’étend jusqu’à 10 km des sites.

Les sondes Téléray, sensibles aux rayonnements gamma, fournissent une mesure du débit de dose gamma ambiant, exprimée en nano-sieverts par heure (nSv/h) : leur plage de mesure s’étend de 10 nSv/h à 10 Sv/h.

Figure 38.2. Sonde Téléray installée à la Tour Eiffel à Paris. Arnaud Bouissou/MEDDE/Médiathèque IRSN.

Dès qu’une mesure dépasse une valeur seuil (150 nSv/h au-dessus des mesures habituelles), une alarme se déclenche au centre de télésurveillance. Ce dernier va alors analyser la mesure pour identifier l’origine de l’alarme : rejet accidentel, source radioactive passée à proximité de la balise, phénomène naturel (radon) ou dysfonctionnement.

Si l’existence d’un rejet accidentel est envisageable, l’information est transmise à l’ingénieur d’astreinte de l’IRSN qui alerte, outre le directeur général de l’IRSN, les autorités et les pouvoirs publics compétents. Les mesures de débit de dose gamma sont disponibles dès le lendemain de leur acquisition sur un site internet dédié au réseau Téléray1003.

38.7.La démarche d’expertise en cas d’accident affectant un réacteur du parc électronucléaire

L’objectif de la démarche d’expertise est d’apprécier la situation et ses évolutions possibles dans le temps afin de recommander à temps, en tant que de besoin, la mise en œuvre d’actions de protection des personnes et de l’environnement. Mise en œuvre de façon cyclique, elle s’articule autour des actions suivantes :

–un diagnostic de la situation couvrant à la fois l’état de l’installation accidentée, les rejets de substances radioactives passés et en cours et leurs conséquences radiologiques dans l’environnement. Ce diagnostic est effectué à partir de l’analyse des données techniques transmises par l’exploitant de l’installation affectée, automatiquement ou par messages, des informations reçues sur les actions menées par celui-ci, ainsi que de l’évaluation des transferts de radionucléides dans l’environnement et des résultats de mesures radiologiques disponibles ;

–un pronostic de l’évolution de la situation. Ce dernier permet, à partir du diagnostic et des dispositions mises en œuvre dans l’installation, d’évaluer de manière prédictive l’évolution de l’état de l’installation (en particulier de l’état des différentes barrières de confinement des substances radioactives), les rejets à venir (quantités et délais avant rejets) et leurs conséquences radiologiques et dosimétriques ;

–éventuellement, un pronostic aggravé, fondé sur l’hypothèse d’une défaillance supplémentaire d’un équipement (dit aggravant) afin d’en évaluer l’impact en termes de rejets (quantités et notamment délais avant rejets) et de conséquences radiologiques et dosimétriques dans l’environnement ;

–une comparaison et une discussion régulières des résultats du diagnostic et du pronostic avec ceux qui sont réalisés par l’exploitant ;

–la transmission à l’Autorité de sûreté nucléaire, éventuellement plus largement aux pouvoirs publics, des résultats de l’expertise de l’IRSN et de ses propositions en termes de mesures de protection à mettre en œuvre ou à prévoir.

La mise en œuvre régulière de cette démarche d’expertise permet de recadrer le diagnostic et le pronostic de l’état de l’installation accidentée et des rejets radioactifs (panaches, dépôts…), en tenant compte de l’évolution de la situation de l’installation accidentée, des données météorologiques actualisées transmises par Météo France, des mesures de la contamination dans l’environnement. Les logiciels de simulation mis en œuvre par l’IRSN permettent ensuite d’estimer l’exposition correspondante des personnes ; les calculs sont généralement réalisés de façon à obtenir des estimations raisonnablement enveloppes des doses.

Les développements qui suivent se réfèrent principalement à un accident affectant un réacteur de puissance à eau sous pression. Ils restent dans leurs principes applicables à tout type d’installation.

Pour mener à bien les évaluations qui lui incombent en cas de crise, l’IRSN applique des méthodes et utilise des logiciels de simulation décrits ci-après, sachant que ces évaluations font l’objet d’intercomparaisons régulières avec celles réalisées par Électricité de France de telle sorte qu’il n’y ait pas, si possible, de divergences incomprises au cours d’une crise.

38.7.1.Méthode « 3D/3P »

La méthode « 3D/3P » (triple diagnostic/triple pronostic) est une composante de la démarche d’expertise en cas de crise affectant un réacteur électronucléaire. L’idée directrice de cette méthode a été établie par l’IPSN en 1983, en liaison avec Électricité de France et Framatome ; Électricité de France a ensuite développé la méthode pour permettre son application, en cas de crise, par chacune des centrales électronucléaires. La méthode vise à structurer les réflexions des différentes équipes techniques de crise et à faciliter leur dialogue. Elle permet de se forger, de façon régulière, une appréciation de l’état de l’installation et de ses évolutions possibles.

Ainsi, en cas de crise, la méthode « 3D/3P » est utilisée aussi bien par Électricité de France (plus précisément l’équipe locale de crise [ELC] de la centrale électronucléaire affectée) que par l’IRSN et constitue une base d’échanges commune.

La méthode « 3D/3P » consiste à évaluer périodiquement l’état des « barrières » physiques (d’où le chiffre 3 pour un réacteur électronucléaire) normalement interposées entre les substances radioactives présentes dans le cœur du réacteur et l’environnement (barrières de confinement) et leurs évolutions possibles afin de déterminer les rejets réels ou potentiels dans l’environnement. Les barrières de confinement ont été présentées au chapitre 7 pour un réacteur à eau sous pression.

Pour chaque barrière de confinement il est procédé à :

–une analyse de type diagnostic couvrant :

•l’évaluation de son état,

•l’évaluation des « fonctions de sûreté » garantissant l’efficacité de la barrière,

•la détermination des systèmes disponibles participant aux fonctions de sûreté ;

–une analyse de type pronostic couvrant :

•l’étude de l’évolution à terme de la disponibilité des systèmes et donc de celle des fonctions de sûreté,

•l’évaluation correspondante de l’état à terme de la barrière de confinement.

Le triple diagnostic-triple pronostic considère les états suivants pour les différentes barrières de confinement du réacteur :

–pour la première barrière, l’état des gaines (perte d’étanchéité ou non), l’état du combustible (fondu ou non) ;

–pour la deuxième barrière, l’état du circuit primaire (intègre, douteux, existence d’une brèche) ; en cas de brèche dans le circuit primaire, il convient de déterminer s’il s’agit d’une brèche à l’intérieur ou à l’extérieur de l’enceinte de confinement, d’une ouverture d’une ou de plusieurs lignes de décharge du pressuriseur, d’une brèche aux joints des pompes primaires ou d’une rupture de tube(s) de générateur(s) de vapeur ;

–pour la troisième barrière, l’état d’intégrité de l’enceinte de confinement (fuites normales, fuites anormales directes, fuites anormales vers les bâtiments auxiliaires, mise en œuvre d’un éventage-filtration).

Les « fonctions de sûreté » du réacteur qui concernent chacune des barrières de confinement sont les suivantes :

–pour la première barrière, la maîtrise de la réactivité et le maintien de l’inventaire en eau du circuit primaire,

–pour la deuxième barrière lorsque le circuit primaire est fermé, l’évacuation de la puissance du circuit primaire, l’évacuation de la chaleur au niveau des joints des pompes du circuit primaire,

–pour la deuxième barrière lorsque le circuit primaire est ouvert, l’évacuation de la puissance du circuit primaire,

–pour la troisième barrière, l’évacuation de la puissance dégagée dans l’enceinte et l’étanchéité de celle-ci (efficacité des systèmes d’isolement, efficacité de la mise en dépression et de la filtration des rejets par l’espace entre enceintes pour les réacteurs de 1 300 MWe et 1 450 MWe).

Les résultats obtenus par cette méthode sont consignés dans une « grille 3D/3P » qui permet de les présenter d’une façon synthétique.

À l’issue du pronostic et connaissant l’instant de début des rejets radioactifs (avérés ou éventuels) et leur nature, il est possible d’anticiper les conséquences radiologiques qui pourraient en résulter et de préconiser, le cas échéant, des actions de protection de la population.

38.7.2.Démarche du « pronostic aggravé »

Le retour d’expérience des exercices de crise a montré que le pronostic réalisé dans le cadre de la méthode « 3D/3P » n’est pas toujours suffisant pour permettre de décider à temps certaines actions de protection. Le pronostic est en effet fondé sur l’état des systèmes de l’installation à l’instant considéré et suppose qu’aucune nouvelle défaillance ne va survenir, hormis celles qui sont prévisibles car résultant de l’état de l’installation (par exemple, la perte d’un système d’injection d’eau en fonctionnement à l’issue de la vidange de sa réserve en eau).

Une démarche dite de pronostic aggravé a ainsi été élaborée pour compléter l’analyse de la situation et identifier les éventuelles défaillances qui pourraient conduire à préconiser très rapidement des actions complémentaires de protection des populations. Elle consiste à postuler l’occurrence d’une défaillance supplémentaire hypothétique, indépendante du déroulement de l’accident en cours, et à estimer son impact en termes de rejets de substances radioactives. Si ces rejets sont susceptibles de conduire à des conséquences radiologiques importantes dans des délais incompatibles avec la mise en œuvre d’actions de protection appropriées, il peut être recommandé de réaliser de telles actions de façon préventive.

Plus précisément, cette démarche est une méthode d’investigation permettant d’identifier des matériels de l’installation dont la défaillance conduirait, soit à la fusion du cœur dans des délais courts, soit, en cas de pronostic de fusion du cœur confirmé, à une augmentation des distances maximales auxquelles les actions de protection déjà décidées devraient être étendues.

La démarche du « pronostic aggravé » a été retenue par l’IPSN dans les années 1990 et discutée avec Électricité de France. Depuis la fin des années 2000, elle est utilisée, lors des exercices, de façon concertée par Électricité de France et par l’IRSN.

38.7.3.Extension de la méthode « 3D/3P » aux accidents graves (méthode « D/P AG »)

La méthode « 3D/3P » décrite ci-dessus n’est pas adaptée à l’analyse des situations avec fusion du cœur dans un réacteur à eau sous pression. En effet, dans de telles situations, le rôle des deux premières barrières de confinement est fortement réduit, des risques particuliers apparaissent1004 et l’instrumentation utilisable est réduite. Il a donc été décidé d’adapter la méthode à ces situations, sous la forme d’une démarche « D/P AG », tout en conservant le plus possible le formalisme, connu et éprouvé, utilisé par les équipes de crise d’Électricité de France et de l’IRSN.

La démarche « D/P AG » considère toujours les trois barrières de confinement, mais retient en tant que première barrière le combustible lui-même et non plus les gaines. Comme la méthode « 3D/3P », la méthode « D/P AG » consiste à évaluer périodiquement l’état des « barrières » et leurs évolutions prévisibles afin de déterminer les rejets survenus ou potentiels de substances radioactives dans l’environnement.

Le triple diagnostic-triple pronostic considère les états suivants pour les différentes barrières de confinement :

–pour la première barrière, le pourcentage de cœur fondu, en tant qu’indicateur de la libération de produits radioactifs,

–pour la deuxième barrière, le type de brèche du circuit primaire (brèche à l’intérieur ou à l’extérieur de l’enceinte de confinement, ouverture d’une ou plusieurs lignes de décharge du pressuriseur, rupture(s) de tube(s) de générateur(s) de vapeur) et l’état physique de la cuve (percée ou non),

–pour la troisième barrière, l’état d’intégrité de l’enceinte (fuite normale, fuite anormale directe, fuite anormale vers des bâtiments auxiliaires, mise en œuvre de la procédure « U5 », radier percé ou non).

Les « fonctions de sûreté » qui ont été associées à chacune des barrières sont les suivantes :

–pour la première barrière, la maîtrise de la réactivité et le maintien de l’inventaire en eau du circuit primaire,

–pour la deuxième barrière, l’évacuation de la puissance du circuit primaire, l’évacuation de la puissance du fond de cuve,

–pour les deuxième et troisième barrières, l’évacuation de la puissance dégagée par le corium, qu’il soit dans la cuve ou dans l’enceinte de confinement,

–pour la troisième barrière, l’inventaire en eau dans le puits de cuve et dans le bâtiment du réacteur, l’évacuation de la puissance dégagée dans l’enceinte, la maîtrise de la composition de son atmosphère (eu égard au risque d’explosion d’hydrogène), l’étanchéité de l’enceinte (efficacité des systèmes d’isolement, efficacité de la mise en dépression de l’espace entre enceintes pour les réacteurs de 1 300 MWe et 1 450 MWe et de la filtration des rejets associés) et l’inventaire en eau dans les générateurs de vapeur.

38.8.La préparation à la gestion de situations d’urgence

L’objectif de la préparation à la gestion de situations d’urgence est de s’assurer que, au sein des entités concernées, aussi bien nationales, régionales, locales qu’internationales, des ressources et des moyens adaptés sont en place pour apporter une réponse efficace en cas d’urgence nucléaire ou radiologique. L’atteinte de cet objectif, qui couvre l’ensemble des situations d’urgence envisageables, suppose que soient définis et opérationnels pour chaque entité :

–ses missions et ses responsabilités,

–son organisation de crise et les effectifs associés,

–la coordination de ses activités au sein de l’organisation de crise,

–les procédures associées à l’organisation de crise,

–les outils et les équipements nécessaires à la réalisation de ses missions,

–la formation de ses effectifs (à l’organisation de crise, aux procédures, aux outils, à la gestion du stress…),

–l’entraînement de ses effectifs.

Cela doit ainsi permettre à chaque entité concernée d’apporter les éléments appropriés à l’organisation nationale de crise pour que celle-ci puisse « répondre » de la manière la plus adaptée à la situation d’urgence radiologique rencontrée. Ces éléments s’expriment aussi bien en termes de contenu que de délais. Pour rappel, les objectifs de réponse visés par l’organisation nationale de crise sont :

–de retrouver le contrôle de la situation et d’en limiter les conséquences,

–d’assurer la protection des populations, en évitant les effets déterministes et en réduisant les risques d’effets stochastiques,

–d’assurer les premiers soins et la prise en charge des personnes concernées,

–d’informer le public,

–de protéger, dans la mesure du possible, l’environnement,

–de préparer la « résilience » économique et sociale de la zone impactée.

Ainsi, à l’IRSN, plusieurs centaines d’experts sont spécifiquement formés aux différentes fonctions qu’ils pourraient être amenés à remplir en cas de crise, ce qui représente plus de 6 000 heures de formation par an. En complément, ces experts sont régulièrement entraînés par des mises en situation dans le cadre d’exercices, voire dans le cadre de crises réelles.

38.8.1.Les exercices de crise

Des exercices de crise (voir la figure 38.3) sont réalisés pour tester tout ou partie des dispositifs prévus pour gérer une situation d’urgence radiologique. Les objectifs généraux de ces exercices sont :

–de s’assurer que les plans (PUI, PPI, PCS) sont connus et opérationnels et que les procédures qu’ils appellent, dont la procédure d’alerte, sont efficaces,

–plus globalement, de s’assurer que les organisations et les procédures prévues sont efficaces,

–d’entraîner les personnes susceptibles d’être mobilisées pour la gestion d’une telle situation,

–de participer à l’information des médias et du public.

Figure 38.3. Un exercice de crise concernant la centrale nucléaire de Gravelines : vue de l’équipe du poste de commandement direction de la centrale (PCD). CNPE de Gravelines.

Deux types d’exercices impliquant l’organisation nationale de crise et les préfectures sont organisés par les ministères et l’Autorité de sûreté nucléaire ; ils peuvent être principalement distingués par les objectifs visés :

–les exercices nationaux dits de sûreté nucléaire, qui ont pour objectif de tester les réactions des participants et les processus de décision sur la base d’un scénario technique affectant la sûreté d’une installation, sans actions réelles de sécurité civile impliquant la population locale ;

–les exercices nationaux dits de sécurité civile, qui ont quant à eux pour objectif de tester les dispositions prévues par les différents plans pour protéger la population et les biens avec la mise en œuvre réelle d’actions significatives sur le terrain impliquant les populations locales. Ces exercices s’accompagnent généralement d’une pression médiatique sur les différentes entités impliquées. Ils permettent également de tester à la fois les interventions sur le site et hors du site et les mécanismes d’interface en place.

En complément, des exercices peuvent être spécifiquement réalisés indépendamment des exercices évoqués ci-dessus, afin de tester la réalisation des actions et la coordination des personnes et des équipes d’intervention sur le terrain. Cela est par exemple réalisé pour exercer les équipes avec les moyens de mesure de la contamination dans l’environnement, dont ceux de l’IRSN.

Par ailleurs, des exercices locaux sont organisés par les exploitants pour tester leurs propres organisations. Ces exercices ne mobilisent pas les entités de l’organisation nationale de crise, hormis l’IRSN qui peut y être associé pour réaliser une expertise contradictoire de celle de l’exploitant.

L’IRSN participe ainsi chaque année globalement à plus d’une vingtaine d’exercices. Ces exercices permettent à l’Institut de tester régulièrement son système d’alerte, le gréement et le fonctionnement de son organisation de crise, avec, le cas échéant, le déploiement de ses cellules mobiles et, selon les objectifs de l’exercice, de la cellule dédiée à la communication, ainsi que ses outils d’expertise.

Certains exercices présentent une composante internationale, notamment lorsque l’installation concernée est située à proximité d’une frontière. À ces exercices, il convient d’ajouter tout particulièrement ceux organisés par l’AIEA, des ateliers sur le terrain également organisés par l’AIEA, ainsi que des exercices organisés par l’OCDE ; l’Autorité de sûreté nucléaire et l’IRSN participent aux exercices internationaux.

En 1986, l’accident survenu à la centrale nucléaire de Tchernobyl a en effet montré que les accidents nucléaires peuvent avoir des conséquences internationales, ainsi que l’importance d’une coopération internationale dans les domaines de la communication, des échanges d’informations et des dispositions d’urgence prévues dans les pays.

Ainsi, l’AIEA prépare et organise régulièrement des exercices et des cours pour évaluer et améliorer ses propres dispositifs et moyens d’intervention en cas de situation d’urgence nucléaire ou radiologique, ainsi que ceux de ses États membres. Les exercices menés pour tester les dispositions opérationnelles de la convention sur la notification rapide d’un accident nucléaire et de la convention sur l’assistance en cas d’accident nucléaire ou de situation d’urgence radiologique sont des « exercices au titre des conventions », appelés exercices ConvEx. Ils visent à évaluer et à améliorer en tant que de besoin le cadre international pour la préparation et la conduite des interventions d’urgence.

Les exercices ConvEx sont de différents niveaux de complexité, allant du test des lignes de communication d’urgence établies avec les « points de contact » des États membres (exercices ConvEx-1) à des exercices de grande ampleur couvrant la phase précoce d’une situation d’urgence radiologique importante (exercices ConvEx-3) et qui sont organisés une fois tous les trois à cinq ans, sur la base d’un exercice national dans un État membre. Le but des exercices ConvEx-3 est d’évaluer et d’améliorer en tant que de besoin les échanges d’informations, les assistances mutuelles, la coordination des informations délivrées aux publics.

Les exercices organisés par l’OCDE, sur les mêmes sujets, sont dénommés International Nuclear Emergency Exercices (INEX).

Des rapports sur les exercices internationaux évoqués ci-dessus ont été rendus publics.

38.8.2.Le retour d’expérience

Après chaque exercice, des débriefings « à chaud » sont organisés par les responsables des équipes ayant participé à l’exercice. Ils permettent de faire le point sur la manière dont l’exercice a été vécu, les difficultés rencontrées… Les enseignements tirés des exercices alimentent des plans d’actions correctrices ou d’améliorations des méthodes de travail, de l’organisation ou des moyens. Pour les exercices nationaux, une réunion de retour d’expérience est de plus organisée quelques mois après l’exercice entre les représentants des entités impliquées (Autorité de sûreté nucléaire, exploitant, préfecture, IRSN, etc.).

À la suite d’une crise réelle, un retour d’expérience est également réalisé dans le même esprit. Par exemple, l’accident de la centrale nucléaire de Fukushima Daiichi, pour lequel l’organisation de crise de l’IRSN a été activée durant six semaines, a conduit à la définition et à la mise en place d’évolutions de cette organisation.

977.Ou situations d’urgence radiologique. On se limitera à ce type de situations dans le présent chapitre, sachant que d’autres types de situations peuvent conduire à la mise en place d’une gestion locale et nationale de crise (rejets toxiques…).

978.Ces éléments sont extraits de l’ouvrage de Philippe Saint Raymond intitulé « Une longue marche vers l’indépendance et la transparence – L’histoire de l’Autorité de sûreté nucléaire française » – La documentation française, 2012.

979.D’un accident nucléaire ou d’une situation d’urgence radiologique.

980.« Éléments de doctrine pour la gestion post-accidentelle d’un accident nucléaire » − ASN, 21 novembre 2012.

981.Voir https://www.asn.fr/Informer/Actualites/L-ASN-publie-les-nouvelles-recommandations-du-
Codirpa.

982.Il existe aussi des accidents dont les rejets sont immédiats et longs, comme dans le cas de l’accident de Tchernobyl.

983.L’agence nationale de santé publique (« Santé publique France ») est un établissement public français à caractère administratif, placé sous la tutelle du ministre chargé de la santé. Santé publique France succède à l’Institut de veille sanitaire (InVS), l’Institut national de prévention et d’éducation pour la santé (INPES) et l’Établissement de préparation et de réponse aux urgences sanitaires (EPRUS).

984.Directive interministérielle du 7 avril 2005 sur l’action des pouvoirs publics en cas d’événement entraînant une situation d’urgence radiologique (JORF n° 84 du 10 avril 2005).

985.Il existe un PUI par site (CNPE).

986.Extrait non modifié par les décrets modificatifs ultérieurs (décret n° 2007-1582 du 7 novembre 2007 et décret n° 2018-434 du 4 juin 2018).

987.Généralement gréée au ministère de l’intérieur, place Beauvau à Paris. Une crise « limitée », gérée localement par le préfet (voire un préfet de zone de défense et de sécurité) et le ou les maires concernés, devient « majeure » en raison de son ampleur, de son retentissement médiatique, de son impact sur plusieurs secteurs d’activités ou de sa dimension internationale.

988.L’organisation de l’État lors d’une situation d’urgence nucléaire ou radiologique s’appuie sur celle définie dans la circulaire interministérielle n° 5567/SG du 2 janvier 2012, relative à l’organisation gouvernementale pour la gestion des crises majeures. Au niveau national, le Premier ministre, en liaison avec le Président de la République, assure la direction politique et stratégique de l’action gouvernementale en matière de gestion de crises majeures nécessitant une réponse globale de l’État. Il prépare et coordonne l’action des pouvoirs publics en cas de crise majeure, en cas de crise réelle majeure il désigne le ministre chargé, en son nom, d’assurer la coordination opérationnelle de crise et s’appuie sur la Cellule interministérielle de crise (CIC). Le Premier ministre s’appuie sur le Secrétariat général de la défense et de la sécurité nationale (SGDSN, voir aussi le nota 990) pour coordonner la préparation et la mise en œuvre des mesures de défense et de sécurité nationale incombant aux divers départements ministériels et s’assurer de la coordination des moyens civils et militaires prévus en cas de crise majeure. En situation d’urgence radiologique nécessitant une réponse globale de l’État, le SGDSN propose au Premier ministre des orientations stratégiques de gestion et de sortie de crise appropriées.

989.Système ECURIE (système européen d’échange d’informations en cas d’urgence radiologique).

990.Numéro 200/SGDSN/PSE/PSN – Édition de février 2014. Placé au cœur de l’exécutif, le Secrétariat général de défense et de sécurité nationale (SGDSN) est un service rattaché au Premier ministre. Le SGDSN a trois missions. La première est d’assurer une veille et une alerte face aux menaces et aux risques. Dans ce cadre, il est chargé du suivi des crises, de la préparation des plans gouvernementaux (comme le plan national de réponse à un accident nucléaire ou radiologique majeur) et de l’organisation de l’État en crise réelle. Sa deuxième mission est d’apporter un conseil et de rédiger les décisions prises par l’exécutif en matière de défense et de sécurité nationale. Enfin, il agit comme opérateur, notamment dans la gestion des habitations, des documents classifiés, des communications gouvernementales, de la sécurité des systèmes d’information et la cyberdéfense.

991.Pour chaque CNPE, il existe plusieurs PUI : « sûreté radiologique », « sûreté aléas climatiques et assimilés », « toxique », « incendie hors zone contrôlée », « secours aux victimes » (voir le paragraphe 17.9).

992.Par exemple le gréement pour assistance technique, le secours aux victimes, le transport de matières radioactives.

993.Ces valeurs repères sont les suivantes :

–10 mSv en dose efficace (pour cette notion, voir le paragraphe 1.1.2 du présent ouvrage) pour la mise à l’abri et la mise à l’écoute ; les personnes concernées, alertées (par une sirène ou autre procédé), se mettent à l’abri dans un bâtiment, toutes ouvertures soigneusement closes (mais pas calfeutrées), et y restent à l’écoute des consignes du préfet transmises par la radio ;

–50 mSv en dose efficace pour l’évacuation ; les personnes concernées sont alors invitées à préparer un bagage, mettre en sécurité leur domicile et quitter celui-ci (dans des conditions ordonnées) ;

–50 mSv, en dose équivalente (voir le paragraphe 1.1.2) à la thyroïde, pour la prise d’iode stable (sous la forme de comprimés d’iodure de potassium et selon une posologie adaptée à l’âge), dans le cas d’un rejet contenant de l’iode radioactif (ce qui est peut être le cas pour les accidents affectant un réacteur nucléaire).

994.Le code de la santé publique permet en effet une souplesse dans les décisions du préfet (article R.1333-86).

995.La mise à l’abri n’exclut pas des sorties ponctuelles.

996.Mais il doit à nouveau être rappelé qu’un PUI peut être activé selon le caractère d’urgence d’une situation, sans qu’elle corresponde nécessairement à une fusion du cœur…

997.Sauf mention contraire, les différentes équipes décrites se réunissent dans des locaux dédiés à la gestion des situations d’urgence.

998.Organisation de la réponse de la sécurité civile.

999.Une directive interministérielle du 30 mai 2005 est relative à l’application de la convention internationale sur la notification rapide d’un accident nucléaire et de la décision du Conseil des Communautés européennes concernant des modalités communautaires en vue de l’échange rapide d’informations dans le cas d’une situation d’urgence radiologique. Une directive interministérielle du 30 novembre 2005 est relative à l’application de la Convention internationale sur l’assistance en cas d’accident nucléaire ou de situation d’urgence radiologique.

1000.Incluant les intervenants.

1001.La « cellule mobile » s’intègre dans le dispositif local gréé par le préfet, en particulier au poste de commandement opérationnel (PCO) si celui-ci est mis en place, sous le commandement du commandant des opérations de secours (COS).

1002.De plus, dans son établissement du Vésinet, l’IRSN dispose d’un laboratoire de biologie médicale qui effectue des examens de radiotoxicologie de personnels d’entreprises, également destiné à traiter des échantillons humains en cas de crise nucléaire ou radiologique, pour le dépistage des personnes contaminées.

1003.Réseau national de mesures de la radioactivité de l’environnement (RNM) : https://www.mesure-radioactivite.fr.

1004.Voir le chapitre 17 (explosion de vapeur, échauffement direct des gaz dans l’enceinte de confinement, etc.).

Partie 5

Études, recherches et développements pour la sureté des réacteurs à eau sous pression, logiciels de simulation

Chapitre 39

Études, recherches et développements
pour la sûreté des réacteurs
à eau sous pression

Le présent chapitre ne saurait avoir vocation à présenter l’ensemble des études, recherches et développements qui, notamment avec le développement du programme électronucléaire français, ont été menés par le concepteur1005 (d’abord dans le cadre de la licence du constructeur Westinghouse), EDF et le Commissariat à l’énergie atomique – en support à la conception des réacteurs, au cours de leur exploitation, pour leurs réexamens1006 périodiques ou encore dans le cadre du retour d’expérience d’accidents survenus à l’étranger tels que ceux des centrales nucléaires de Three Mile Island en 1979, Tchernobyl en 1986 et Fukushima Daiichi en 2011. De la même manière, les études, recherches et développements menées par l’IPSN (créé en 1976 au sein du CEA) puis l’IRSN pour l’exercice de ses missions d’expertise de sûreté, pour beaucoup en collaboration avec les organismes précités, ne sauraient être présentés ici de façon exhaustive.

Ce chapitre vise à dresser un panorama succinct des sujets d’études, de recherches et de développements en matière de sûreté des réacteurs à eau sous pression, ainsi que les cadres nationaux et internationaux dédiés à des travaux de recherche et développement, les principaux organismes impliqués, enfin quelques-unes des installations de recherche françaises. Les travaux de recherche et développement ont permis d’identifier certains risques ou d’améliorer les connaissances, notamment sur les phénomènes pouvant survenir dans des situations accidentelles. Pour un certain nombre de sujets de sûreté, des études, recherches et développements se sont traduits de façon concrète par des modifications d’équipements ou la mise en place de nouveaux équipements dans les centrales en exploitation, par de nouvelles procédures de conduite pour mieux maîtriser certaines situations accidentelles ou pour faire face à des situations accidentelles qui n’avaient pas été envisagées lors de la conception des réacteurs, par l’utilisation de nouvelles technologies performantes…

Les études réalisées par le concepteur et EDF au stade de la conception des réacteurs ne sont pas traitées dans le présent chapitre ; pour le cas du réacteur EPR, quelques exemples sont donnés dans le chapitre 14 relatif aux études probabilistes de sûreté ainsi que dans le chapitre 17 pour ce qui concerne la prise en compte des situations avec fusion du cœur pour la conception de ce réacteur. Les études à la conception comprennent également celles des conditions de fonctionnement et des agressions, dont les démarches ont été précisées aux chapitres 8, 11 et 12. La façon de mener ces études de conception (« référentiels d’études »), comme les états initiaux considérés pour le réacteur concerné, l’état du cœur (début de cycle, fin de cycle, etc.), les jeux de données, les hypothèses aggravantes considérées, les critères techniques d’acceptation sont discutés avec les organismes de sûreté suffisamment tôt dans l’avancement d’un projet de réacteur ; ultérieurement, ces méthodes d’études peuvent évoluer dans le cadre des réexamens périodiques du réacteur pour prendre en compte de nouvelles connaissances issues des travaux de recherche et développement (comme cela est illustré dans les chapitres 9 et 35 relatifs respectivement à l’accident de perte de réfrigérant primaire et aux insertions de réactivité dans les réacteurs à eau sous pression).

Le chapitre suivant est consacré aux logiciels de simulation.

39.1.Apport des études pour l’amélioration de la sûreté
des réacteurs à eau sous pression

Une fois les réacteurs mis en service, les événements survenant en exploitation sont notamment l’occasion d’entreprendre des études pour bien identifier leurs causes, évaluer les risques potentiels si des défaillances aggravantes étaient survenues, cela dans le but d’en tirer le maximum d’enseignements utiles – et au moins d’en mieux apprécier la gravité au plan de la sûreté. Les études menées à la suite de l’erreur survenue en 2001 lors du rechargement du cœur du réacteur n° 4 de la centrale nucléaire de Dampierre-en-Burly, évoquées au paragraphe 35.3, en sont un exemple. Les analyses de type « précurseur » et « Recuperare », dont les démarches ont été présentées au chapitre 21, entrent également dans cette catégorie d’études ; il est rappelé que les premières font appel à des modèles d’études probabilistes de sûreté.

Les études probabilistes de sûreté, réalisées ou mises à jour à l’occasion des réexamens décennaux des réacteurs du parc électronucléaire français, constituent un cadre global privilégié d’analyse approfondie de ces réacteurs, à caractère systématique, qui s’est révélé pertinent pour renforcer le niveau de sûreté des réacteurs.

Parmi les modifications matérielles ou organisationnelles des réacteurs issues directement ou retenues à la lumière d’évaluations de nature probabiliste puis des études probabilistes de sûreté (de niveaux 1 et 2) ou d’études physiques et fonctionnelles réalisées en support, dont certains sont présentés dans le chapitre 14, peuvent ici être rappelés à titre d’exemples :

–la prise en compte de situations complémentaires, avec la mise en place de matériels supplémentaires et l’établissement des procédures de conduite H ;

–la mise en place de dispositions pour réduire le risque de fusion du cœur dans les états d’arrêt des réacteurs lorsque le circuit primaire est partiellement vidangé jusqu’au niveau des tuyauteries des boucles (« plage de travail basse du RRA », ou PTB-RRA)1007 ;

–la modification des filtres des puisards de l’enceinte de confinement ; cette modification a été réalisée eu égard au risque de colmatage de ces filtres dans le mode de refroidissement du cœur par recirculation d’eau dans cette enceinte, dans le but de fiabiliser ce mode de refroidissement ;

–le renforcement du système de fermeture du tampon d’accès des matériels (TAM) au niveau de ses brides de liaison avec le bâtiment du réacteur, afin d’assurer l’étanchéité de l’enceinte de confinement à la surpression qui résulterait d’une fusion du cœur ;

–l’épaississement des radiers des réacteurs de la centrale nucléaire de Fessenheim, pour augmenter le délai avant percement d’un radier en cas d’arrivée d’un corium qui s’écoulerait d’un cœur fondu ;

–pour la gestion de situations d’urgence, la mise en place d’une instrumentation permettant de détecter le percement de cuve en cas de fusion du cœur…

Par ailleurs, il est rappelé que les études (associées à des travaux de recherche et développement) déjà amorcées avant l’accident survenu à la centrale nucléaire de Three Mile Island et renforcées à la suite de cet accident ont conduit à la mise en place de dispositions telles que le dispositif d’éventage-filtration de l’enceinte de confinement (U5) ou encore l’installation de recombineurs autocatalytiques d’hydrogène (voir le chapitre 17).

C’est après l’accident de la centrale nucléaire de Tchernobyl que des études ont conduit à définir et à mettre en place des dispositions pour éviter des accidents de réactivité par transfert d’eau non borée ou froide dans le cœur (voir le chapitre 35).

L’accident survenu en 2011 à la centrale nucléaire de Fukushima Daiichi a, de façon générale, conforté le bien-fondé de sujets d’études, ainsi que de recherche et développement, dans des domaines tels que, principalement, celui des accidents de fusion du cœur et celui des agressions externes (séisme, inondation). De façon concrète, les études ont conduit à la mise en place des « noyaux durs » d’équipements et de la Force d’action rapide nucléaire (FARN) d’EDF, sujets largement développés au chapitre 36. Mais cet accident a également donné lieu à des études concernant la gestion de crise en situation extrême, sous l’angle des facteurs organisationnels et humains. L’IRSN a rendu publics deux rapports1008, mettant en avant des pistes d’études à explorer.

Les études sont menées en prenant en compte le meilleur état des connaissances (sur la fiabilité des matériels, sur les phénomènes physiques complexes…) et en utilisant les outils de simulation les plus évolués, à l’« état de l’art » ; à cet égard, elles tirent profit de l’ensemble des travaux de recherche et développement menés non seulement en France mais aussi à l’étranger. EDF et l’IRSN étant amenés à valoriser leurs propres études, le premier en tant qu’exploitant responsable de la sûreté de ses installations, le second dans le cadre de ses missions d’expertise, le caractère valide des méthodes, des hypothèses et des logiciels de simulation utilisés par chacun d’eux nécessite d’être clairement explicité, pour que cette confrontation permette in fine de conclure et à l’Autorité de sûreté nucléaire de prendre des décisions opérationnelles.

Un panorama général des recherches et développements en matière de sûreté nucléaire des réacteurs à eau sous pression est présenté ci-après, illustré par quelques-uns des travaux les plus marquants ou en cours.

39.2.Objectifs et panorama des travaux de recherche et développement, cadres dédiés et organismes impliqués, installations de recherche françaises

39.2.1.Objectifs et panorama des travaux de recherche
et développement

Comme dans toute autre industrie, des travaux de recherche et développement relatifs aux installations nucléaires sont nécessaires pour améliorer la conception et l’exploitation des installations en termes de performances. En complément, ils visent aussi à faire progresser la sûreté de ces installations, sur des questions soulevées aussi bien dans le cadre des analyses de sûreté ou de la préparation à la gestion de situations d’urgence qu’à la suite d’accidents marquants.

Les travaux de recherche et développement dans le domaine de la sûreté des réacteurs à eau sous pression permettent :

–d’améliorer les connaissances sur les phénomènes, certains complexes, survenant en situations accidentelles,

–de mettre au point et de valider des modèles physiques et des logiciels de simulation,

–d’explorer de nouvelles technologies d’un intérêt particulier en matière de sûreté,

–de mieux cerner les facteurs organisationnels et humains pouvant constituer des « leviers » d’améliorations de la sûreté en exploitation ou de la gestion de situations d’urgence,

et, comme cela a été dit au chapitre précédent, d’apporter un support aux diverses études de sûreté – notamment celles qui sont réalisées dans le cadre des réexamens périodiques –, en mettant à disposition par exemple les logiciels de simulation les plus aboutis, qualifiés et pertinents, tenant compte des connaissances acquises.

Les résultats des travaux de recherche et développement permettent, notamment, d’apprécier ou de réévaluer, sur des bases physiques solides – dont certaines sont capitalisées dans des logiciels de simulation –, le conservatisme d’options prises pour la conception et pour les études de sûreté associées. Comme cela a été indiqué plus haut, en France, les réévaluations de sûreté associées aux visites décennales des réacteurs du parc électronucléaire peuvent être l’occasion, si nécessaire, de décliner de façon opérationnelle les nouvelles connaissances issues de ces travaux de recherche.

Les sujets de recherche et développement dans le domaine de la sûreté des réacteurs à eau sous pression s’inscrivent dans la démarche générale de prévention et de limitation des conséquences des situations accidentelles postulées (y compris les agressions), dont il est question dans un certain nombre des chapitres du présent ouvrage : un certain nombre des travaux de recherche et développement plus spécifiquement poursuivis en matière de sûreté sont présentés succinctement1009 ci-après, avec quelques-unes de leurs étapes marquantes.

–Perte de réfrigérant primaire

Il s’agit du premier sujet de sûreté d’intérêt en matière de recherche et développement, cela même avant les années 1970. L’étude des accidents de perte de réfrigérant primaire (APRP) pouvant résulter d’une brèche du circuit primaire est présentée au chapitre 9. Il est rappelé ici que la baisse de la pression dans ce circuit et la perte d’eau conduiraient à l’échauffement des crayons combustibles, malgré l’arrêt des réactions nucléaires à la suite de la chute automatique des grappes absorbantes, du fait de la chaleur résiduelle qui continue à se dégager dans le combustible. Cet échauffement doit rester limité pour que l’endommagement du combustible ne mette pas en cause le refroidissement du cœur du réacteur et ne conduise pas à sa fusion. Il est rappelé que les accidents de perte de réfrigérant primaire « dimensionnent » notamment le système d’injection (d’eau) de sécurité RIS (débit…), certains composants mécaniques du circuit primaire et l’enceinte de confinement du réacteur.

Dans les années 1970, des critères de sûreté pour les gaines des crayons combustibles (première barrière de confinement) ont été définis sur la base de l’état des connaissances de l’époque ; ils sont précisés dans la règlementation américaine, et en particulier dans le 10 CFR (Code of Federal Regulations) 50.46 et son appendice K, diffusé en 1974, et ont été retenus en France pour la construction des premiers réacteurs électronucléaires sous licence Westinghouse. La publication de ce texte constituait l’aboutissement d’années de discussions entre l’AEC (Atomic Energy Commission, ancêtre de l’U.S.NRC) et les exploitants nucléaires américains. Cependant, depuis 1974, les conditions d’exploitation des réacteurs et les combustibles ont évolué (augmentation des taux de combustion, nouveaux matériaux pour les gaines des crayons combustibles…), ce qui a mené à la réalisation de différents programmes de recherche et développement précisés ci-après.

La recherche sur les accidents de perte de réfrigérant primaire s’est structurée selon deux axes majeurs :

•l’étude des phénomènes thermohydrauliques diphasiques intervenant lors des phases de vidange du circuit primaire, de renoyage du cœur et de remouillage des crayons combustibles,

•l’étude du comportement des gaines et des combustibles dans de telles conditions accidentelles.

Des progrès considérables dans la connaissance de ces phénomènes ont été réalisés au cours des 40 dernières années. Ils se sont traduits par le développement de logiciels sophistiqués de simulation de thermohydraulique, comme CATHARE (voir le chapitre 40), qui permettent d’étudier le déroulement de ces accidents à l’échelle d’un réacteur et de vérifier si les critères de sûreté sont satisfaits avec des marges suffisantes compte tenu des incertitudes qui subsistent.

Le développement du logiciel CATHARE s’est ainsi accompagné de la réalisation de nombreux essais à caractère analytique. La majorité d’entre eux s’est déroulée dans les années 1980 et 1990 dans des installations spécifiques très instrumentées construites par le CEA sur le site de Grenoble. Mais, afin de vérifier les capacités du logiciel CATHARE à prédire de manière satisfaisante le comportement d’une chaudière en situation accidentelle, le CEA, avec le support d’EDF, de Framatome et de l’IPSN, a conçu dans les années 1980 l’installation BETHSY, réalisée au centre d’études de Grenoble et décrite dans le focus plus loin. Au total, plus de 80 essais y ont été réalisés entre 1987 et 1998. Ils n’ont pas été limités à l’étude de la rupture complète d’une tuyauterie principale (« grosse brèche »). D’autres situations ou phases accidentelles ont été étudiées, telles que celles qui peuvent résulter de petites brèches ou de brèches dites intermédiaires, ou de l’injection d’azote dans le circuit primaire après la vidange totale des accumulateurs ou encore de la perte de refroidissement à l’arrêt lorsque le circuit primaire est partiellement vidangé. L’installation a permis également de vérifier les procédures de conduite développées dans le cadre de la nouvelle approche, dite approche par états (APE).

Les recherches concernant le comportement des crayons combustibles au cours d’un accident de perte de réfrigérant primaire ont principalement porté sur les phénomènes suivants :

•l’oxydation par la vapeur d’eau des gaines en alliage de zirconium, qui modifie les propriétés mécaniques du matériau et produit de l’hydrogène ainsi que de la chaleur,

•le gonflement et la rupture des gaines,

•la tenue mécanique des gaines oxydées au choc thermique induit par leur renoyage et aux autres sollicitations pouvant survenir lors du refroidissement du cœur à plus long terme,

•le comportement des pastilles de combustible à l’intérieur des gaines « ballonnées »1010, sachant que ces pastilles se fragmentent sous l’effet des contraintes engendrées par le fonctionnement normal du réacteur.

Parmi les nombreux travaux de recherche et développement, peuvent être mentionnés les essais réalisés dans les années 1980 dans l’installation EDGAR du CEA au centre de Saclay, pour étudier la mécanique des crayons combustibles dans les conditions d’un APRP. Environ 500 essais ont été effectués sur des tubes de différents alliages de zirconium, chauffés directement par effet Joule. Ce mode de chauffage assurait une répartition de température uniforme dans le tube. Ces essais ont permis d’établir des lois de fluage et d’allongement à rupture en fonction de la température du tube et des rampes de montée en température et en pression. Ces lois ont été introduites dans le logiciel de simulation CATHARE.

Par ailleurs, des essais plus récents entre 2003 et 2012, réalisés sur des crayons uniques dans le réacteur du centre d’Halden en Norvège (dans le cadre du programme HRP1011 LOCA conduit sous l’égide de l’OCDE/AEN) ont montré qu’au moment de la rupture de la gaine, des fragments de combustible (du fait de sa fissuration sous irradiation) se déplaçaient à l’intérieur des crayons, entraînés par leur dépressurisation, et qu’une partie du combustible pouvait être éjectée à l’extérieur des crayons.

Jusqu’à présent, aucune expérience intégrale n’a été réalisée dans un réacteur avec un assemblage de crayons irradiés. Afin de progresser dans la connaissance et notamment sur le risque d’éjection de combustible hors d’un crayon, l’IRSN, avec l’appui d’EDF et la participation du CNRS, a engagé en 2013 le programme de recherche PERFROI1012. Ce programme d’une durée de six ans est cofinancé par l’Agence nationale de la recherche (), dans le cadre des investissements d’avenir et plus particulièrement de l’appel à projets de recherche en matière de sûreté nucléaire et de radioprotection (RSNR), lancé en 2012 à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi. Les recherches portent sur l’étude des bouchages redoutés entre crayons (dus au gonflement des gaines…) et de leur refroidissabilité dans les conditions de renoyage d’un cœur de réacteur. Elles comportent des travaux d’expérimentation et de modélisation qui permettront de valider le logiciel de simulation DRACCAR (voir le chapitre 40) à l’horizon 2020. Le programme se déroule autour de deux axes principaux, l’étude des propriétés mécaniques des gaines et celle des écoulements diphasiques.

Enfin, comme cela est indiqué au paragraphe 9.1.4, en cas de rupture du circuit primaire d’un réacteur à eau sous pression non compensée par le système de contrôle chimique et volumétrique (RCV), le refroidissement du cœur serait assuré par le système d’injection de sécurité (RIS) et celui de l’enceinte par le système d’aspersion d’eau (EAS). Ces deux systèmes sont d’abord alimentés de manière directe par la bâche du système PTR ; lorsqu’elle est vide, ils sont connectés aux puisards de l’enceinte de confinement dans lesquels l’eau de la brèche s’est déversée, et fonctionnent ainsi en « recirculation ». Ce mode de refroidissement « en recirculation » d’eau peut être nécessaire pendant une très longue durée pour assurer le refroidissement des assemblages combustibles. La fiabilité de ce mode de refroidissement est fondamentale pour éviter l’endommagement des assemblages combustibles et la fusion du cœur.

Si, comme cela est indiqué au paragraphe 9.1.4, des études et des travaux de recherche et développement ont conduit à des modifications sur l’ensemble du parc électronucléaire, les études se poursuivent, notamment sur les effets « aval ». Électricité de France a un programme de travail et l’IRSN mène depuis 1999, avec la société VUEZ et l’université de Trenčín (Slovaquie), des études et recherches dans des installations expérimentales, notamment la boucle VIKTORIA inaugurée en 2011 (voir le focus plus loin) ; les sujets abordés sont :

•la délitescence des débris de matériaux calorifuges sous l’effet d’un débit d’eau ;

•le transport vertical des débris et leur broyage dû aux obstacles ;

•les vitesses de transport horizontal des débris et leur sédimentation dans l’enceinte de confinement ;

•les mécanismes d’obturation des filtres ;

•les réactions chimiques susceptibles de se produire au sein des lits fibreux déposés sur les filtres, du fait de la présence de soude, d’acide borique et d’autres éléments ; il s’agit notamment des oxydes de zinc provenant du lessivage des caillebotis galvanisés par les eaux de ruissèlement, qui sont de nature à favoriser la formation de précipités (gels, cristaux) ;

•les effets physiques et chimiques en aval des filtres, avec la caractérisation des débris traversant les filtres (quantités, types, tailles) et leur effet sur les assemblages combustibles et les autres composants (échangeurs, diaphragmes, etc.).

–Injection de réactivité dans le cœur

Les travaux de recherche et développement menés sur les accidents d’injection de réactivité (RIA) visent en particulier, comme dans le cas de l’APRP, à mieux apprécier la capacité de résistance des crayons combustibles et, en cas de rupture de crayons, la refroidissabilité du cœur. De façon opérationnelle, ce sont les seuils d’intervention du système d’arrêt automatique du réacteur qui sont concernés et qui doivent être déterminés en tenant compte du meilleur état des connaissances et des incertitudes subsistantes.

Des expériences ont été réalisées aux États-Unis dès la fin des années 1960 sur des combustibles vierges ou modérément irradiés dans des réacteurs tels que SPERT (Special Power Excursion Reactor Tests [1969-1970]) et PBF à l’INL1013 (Power Burst Facility [1978-1980]). Mais l’accident de Tchernobyl, survenu à la suite d’un emballement de la réaction neutronique, et surtout l’accroissement progressif des taux de combustion des assemblages combustibles envisagé par les exploitants ont conduit, au début des années 1990, à s’interroger sur la validité du critère concernant le « dépôt » d’énergie (variation d’enthalpie) dans le combustible lors d’un transitoire de réactivité à la valeur de 280 calories par gramme d’UO2, qui avait été établi sur la base des expériences précitées. Le critère fut revu à la baisse : en Europe, des valeurs de 220 cal/g pour du combustible vierge et 200 cal/g pour du combustible irradié ont été adoptées.

Des programmes de recherche ont ensuite été menés au Japon et en France, en vue notamment d’améliorer la compréhension des phénomènes physiques pouvant conduire à une défaillance de l’étanchéité des gaines des crayons combustibles et à l’éjection de fragments de combustible dans le circuit primaire, une telle éjection étant susceptible de mettre en cause la refroidissabilité du cœur. En particulier, l’IPSN a conduit dans le réacteur CABRI (voir le focus plus loin) un programme de 14 essais (Cabri REP-Na [1993-2002]), réalisés avec des crayons combustibles provenant de centrales nucléaires et dont le taux de combustion était compris entre 33 et 76 GWj/tU. Les crayons combustibles testés étaient placés dans un dispositif d’essai au sein d’une boucle alors refroidie par du sodium liquide. Le fait que ces essais aient été réalisés avec du sodium circulant autour des crayons testés a été jugé acceptable pour étudier les phénomènes essentiellement mécaniques qui se déroulent au cours des premières dizaines de millisecondes d’un accident d’injection de réactivité, pendant lesquelles la température de la gaine est peu affectée.

Des critères plus contraignants que ceux qui ont été indiqués plus haut en termes de variation d’enthalpie admissible dans le combustible en cas d’accident de réactivité sont dorénavant retenus au vu des résultats des programmes d’essais (voir le paragraphe 35.2).

Pour étudier les phénomènes survenant après les premières centaines de millisecondes (assèchement et éclatement des gaines), ainsi que les conséquences sur les structures du réacteur en termes d’onde de pression d’une éventuelle dispersion de combustible dans le réfrigérant primaire, l’IPSN a lancé un nouveau programme expérimental qui a nécessité une refonte de l’installation CABRI. Sous l’égide de l’OCDE/AEN, ce programme, intitulé CABRI International Program (CIP), est mené en partenariat avec EDF et de nombreux organismes de sûreté et industriels étrangers. Le programme comprend 10 essais dans la nouvelle boucle à eau qui a été implantée dans CABRI. Le premier essai a été réalisé au mois d’avril 2018 avec un crayon de combustible MOX fortement irradié.

–Comportement de structures métalliques et d’ouvrages en béton

Par le passé, les connaissances acquises par les travaux de recherche et de développement (y compris en matière de contrôles non destructifs), souvent motivés par des anomalies observées sur les composants des réacteurs, ont conduit à des évolutions de différentes natures pour les réacteurs du parc électronucléaire français ; elles ont concerné aussi bien des modifications de matériaux utilisés (par exemple l’abandon de l’Inconel 600), des modifications de conception de circuits (par exemple pour réduire les risques de fatigue thermique occasionnés par un mélange de jets fluides à différentes températures), des améliorations des contrôles en service… Elles ont aussi, bien évidemment, permis d’approfondir les démonstrations de sûreté (par exemple la tenue des cuves soumises à l’irradiation neutronique).

L’ampleur des travaux de recherche et développement s’est toutefois accrue après qu’EDF a affiché son intention de poursuivre l’exploitation des réacteurs au-delà de 40 ans (projet « durée de fonctionnement » ou DDF). Trois initiatives d’Électricité de France en matière de recherche et développement sur le vieillissement des structures métalliques et des ouvrages en béton sont notamment à citer :

•la création de l’Institut de recherche et de développement sur le vieillissement des matériaux (Materials Ageing Institute, ou MAI) ;

•le Projet national CEOS.fr (Comportement et évaluation des ouvrages spéciaux, pour ce qui concerne la fissuration et le retrait, 2008-2014),

•le projet VERCORS (Vérification réaliste du confinement des réacteurs) qui a commencé en 2013 et qui devrait s’achever en 2021 : c’est un projet de grande ampleur d’études, de recherches et de développements concernant les enceintes de confinement des réacteurs. Le projet vise à acquérir un certain nombre de connaissances permettant de nourrir la démonstration de l’acceptabilité, en termes de sûreté, d’une durée d’exploitation de 60 ans pour les enceintes de confinement.

Compte tenu de l’importance du rôle de pathologies avérées ou potentielles sur la « durabilité » (durée de vie) des ouvrages en béton armé et compte tenu de la prolongation de la durée de fonctionnement des réacteurs du parc électronucléaire français, l’IRSN a jugé pertinent de constituer un « observatoire » sur la durabilité des ouvrages de génie civil nucléaire en relation avec des partenaires scientifiques et donnera des éléments de connaissance sur le vieillissement de ces ouvrages et les désordres éventuels qui pourraient s’y produire. Ce projet, démarré en 2014, est dénommé ODOBA (Observatoire de la durabilité des ouvrages en béton armé). Il a pour objet l’étude des pathologies affectant les ouvrages de génie civil (présentées au paragraphe 27.6.1), telles que la corrosion des armatures, le gonflement du béton (sous l’effet de réactions comme la réaction sulfatique interne [RSI] ou la réaction alcali-granulats [RAG]), ainsi que leurs répercussions sur la sûreté.

Le calendrier d’acquisition des connaissances s’inscrit dans celui de l’évaluation du projet d’extension de la durée d’exploitation des réacteurs du parc électronucléaire français au-delà de 40 ans.

Le volet expérimental comprend la construction, au centre d’études de Cadarache, d’éléments en béton représentatif du béton des enceintes de confinement de réacteurs du parc électronucléaire. Ces éléments (une soixantaine de blocs) de un mètre d’épaisseur − et de quelques mètres de hauteur et de largeur −, subiront soit un processus de vieillissement accéléré, soit le processus de vieillissement naturel, cela dans le but de déterminer les durées équivalentes des vieillissements accélérés.

En 2015, l’U.S.NRC s’est associée au projet.

–Fusion du cœur

Les nombreux sujets de questionnement et d’études concernant les situations avec fusion du cœur sont abordés au chapitre 17. Les risques liés à la production d’hydrogène et au percement du radier par interaction entre des matériaux fondus (corium) et le radier y sont évoqués. Leur étude a notamment conduit, pour les réacteurs du parc électronucléaire français, à l’installation de recombineurs autocatalytiques d’hydrogène, à l’épaississement des radiers des réacteurs de la centrale nucléaire de Fessenheim (les épaississement de radiers se poursuivent pour d’autre réacteurs), à la mise en place de dispositifs de mesures spécifiques pour la gestion des situations avec fusion du cœur, à un guide d’intervention dans une telle situation (GIAG).

Plus récemment, une disposition envisagée par certains concepteurs ou exploitants pour éviter le percement de la cuve d’un réacteur dont le cœur aurait fondu est de noyer le puits de cuve afin de refroidir la cuve en organisant un écoulement diphasique d’eau autour de celle-ci et ainsi de retenir le corium en fond de cuve (In-Vessel Retention − IVR). Cette possibilité, si elle pouvait être prouvée, permettrait de réduire les risques de défaillance du confinement (moins d’hydrogène produit, pas d’interaction corium-béton). L’efficacité de cette action dépend toutefois de nombreux facteurs dont la taille et la puissance du réacteur, l’instant de relocalisation des matériaux dans le fond de la cuve, la fraction et la composition du corium en fond de cuve qui conditionnent la distribution du flux de chaleur appliqué sur la paroi interne du fond de cuve1014, ainsi que de la géométrie du puits de cuve et des caractéristiques de l’isolation thermique de la cuve. Il ne faut pas non plus oublier la présence éventuelle de singularités géométriques (décrochement à la jonction entre la virole et le fond de la cuve, traversées dans le fond de la cuve pour l’instrumentation) qui conditionnent le flux de chaleur pouvant être évacué par la face externe dans l’eau.

Une stratégie de maintien du corium en cuve a été adoptée pour certains réacteurs (le réacteur russe VVER 440 type 213, les réacteurs américains AP600 et AP1000, le réacteur sud-coréen APR-1400 et les réacteurs chinois CPR-1000 et CAP1400).

Le projet européen IVMR (In-Vessel Melt Retention), commencé en 2015, associe l’IRSN (pilote du projet), EDF, Areva (Framatome depuis 2018), Tractebel Engineering, le Joint Research Centre (JRC), ŬJV Řez (République Tchèque) et 17 autres partenaires européens. Le but du projet est d’analyser la faisabilité technique de la « stratégie IVR » à des réacteurs de forte puissance, aussi bien des réacteurs existants (par exemple VVER 1000 type 320) que des réacteurs futurs de différents types (réacteurs à eau sous pression ou réacteurs à eau bouillante).

Le programme international de recherche CATHARE –, et les essais du programme Phébus-PF (produits de fission [PF]), qui s’est déroulé de 1988 à 2010, a apporté une contribution majeure aux connaissances sur les phénomènes impliqués dans un accident de fusion de cœur et plus particulièrement sur les rejets radioactifs potentiels dans l’environnement. Ces essais ont été réalisés dans le réacteur PHEBUS, équipé d’une installation représentant un réacteur de 900 MWe à l’échelle 1/5 000e. Au centre du réacteur PHEBUS (voir le focus plus loin) se trouvait une cavité cylindrique étanche dans laquelle était introduit le dispositif d’essai contenant dans la plupart des cas une grappe d’essai. Cette dernière était constituée de 18 crayons de combustible irradié et de deux crayons vierges instrumentés. Au centre se trouvait un crayon simulant les éléments d’une grappe absorbante de réacteur. Le circuit primaire contenait un générateur de vapeur simulé par un tube en U inversé. L’enceinte de confinement était simulée par un réservoir de 10 m3 comprenant un volume rempli d’eau (représentant le puisard du réacteur), un volume gazeux et des surfaces peintes.

Un essai se déroulait en deux phases successives :

•une phase « dégradation », d’une durée de quelques heures, au cours de laquelle, par augmentation progressive de la puissance du cœur du réacteur PHEBUS, la température du combustible d’essai augmentait jusqu’à la liquéfaction et la délocalisation des matériaux (entre 2 300 et 2 500 °C), entraînant le relâchement des produits de fission et leur transport dans le circuit et dans le réservoir ; à la fin de cette phase, le réacteur PHEBUS était arrêté ;

•une phase « enceinte », d’une durée de quelques jours, au cours de laquelle étaient mesurées les grandeurs d’intérêt pour la compréhension des phénomènes de transport et de dépôt, ainsi que de la chimie de l’iode dans le circuit et dans le réservoir.

Les différents essais du programme CATHARE –, et les essais du programme Phébus-PF ont fourni des informations scientifiques concernant la fusion du cœur, la composition des aérosols, leur rétention plus faible que prévu dans les circuits, la revaporisation de certains produits de fission et la production d’hydrogène. Les observations ont montré que pour un réacteur équipé d’éléments absorbants en alliage d’argent (AIC), le circuit primaire du réacteur constituait la source principale d’iode volatil dans l’enceinte de confinement. Pour des éléments absorbants en carbure de bore, le relâchement d’iode gazeux est plus important. Le programme d’essais a clairement mis en évidence un lien entre les phénomènes de dégradation du combustible et la cinétique de relâchement des produits de fission. Par ailleurs, le programme a montré que la concentration d’iode volatil dans le réservoir simulant l’enceinte de confinement au-delà de 24 heures dépend principalement des processus physico-chimiques dans la phase gazeuse. Elle dépend donc de la concentration d’iode volatil provenant du circuit primaire ou formé dans l’enceinte de confinement qui dépend elle-même de l’affinité de l’iode pour les surfaces de l’enceinte (peinture, matériau…).

Toujours dans le domaine des accidents de fusion du cœur, le déroulement de l’accident de la centrale nucléaire de Fukushima Daiichi a appelé l’attention sur l’intérêt qu’il y aurait à équiper les circuits de dépressurisation des enceintes de confinement (en France, dispositif U5 équipé d’un préfiltre métallique et d’un filtre à sable) de dispositifs de filtration innovants, retenant notamment toutes les formes volatiles de l’iode. Le projet PASSAM (Passive and Active Systems on Severe Accident source term Mitigation, 2013-2016), soutenu par la Commission européenne, a réuni neuf partenaires, dont l’IRSN (pilote du projet), Électricité de France, Areva, le Paul Scherrer Institut (PSI) en Suisse, dans le but d’explorer les améliorations possibles des systèmes de filtration équipant les réacteurs en service et d’étudier des dispositifs innovants d’une plus grande efficacité. Ce projet, qui a démarré en 2013, s’est terminé en 2017. Plusieurs dispositifs existants ont été passés en revue (filtres à barbotage, filtres à sable et préfiltres métalliques) ainsi que plusieurs systèmes innovants (pulvérisateurs à haute pression, précipitateurs électrostatiques, zéolithes1015 « avancées », système d’agglomération acoustique, systèmes combinés de filtration par voie humide et par voie sèche). Les observations issues des expérimentations menées lors du projet PASSAM ont permis d’établir de nouveaux modèles de calcul ainsi que d’améliorer les modèles existants. Ces modèles sont notamment utilisés dans les logiciels de calcul d’accidents graves, notamment le logiciel ASTEC (voir chapitre 40) et les logiciels de calcul spécifiques aux dispositifs de filtration par barbotage.

–Phénomènes pouvant survenir en cas de dénoyage des assemblages combustibles dans une piscine d’entreposage du combustible

Les questions de sûreté relatives à l’entreposage des combustibles usés dans les piscines de désactivation sont abordées dans le chapitre 15. Il a été vu que la perte du refroidissement de tels assemblages, éventuellement du fait d’une vidange de l’eau, constitue un sujet majeur du point de vue de la sûreté ; l’effet « falaise » redouté en cas d’impossibilité d’assurer un refroidissement suffisant des assemblages est l’emballement des réactions exothermiques d’oxydation des gaines des crayons combustibles par l’air et la vapeur d’eau, conduisant à leur dégradation, à l’inflammation du zirconium et à un rejet significatif de produits radioactifs. Si le rejet devrait contenir très peu d’iode radioactif 131, vu le temps d’entreposage des combustibles après leur déchargement du cœur du réacteur, il devrait comporter une quantité très importante de ruthénium, un élément particulièrement radiotoxique – bien que de période radioactive significativement plus faible que celle du césium.

Si des dispositions sont retenues en vue d’« éliminer pratiquement » la possibilité d’une perte de refroidissement rédhibitoire (suffisante pour conduire à un découvrement d’assemblages), des recherches sont néanmoins menées dans l’optique d’une limitation des conséquences – vu les conséquences importantes que pourrait avoir une telle perte de refroidissement.

C’est pourquoi, en collaboration avec le CNRS, l’IRSN a engagé en 2013 le programme de recherche dénommé DENOPI (Dénoyage accidentel de piscine d’entreposage de combustible nucléaire). Ce programme, d’une durée de six ans, est cofinancé par l’ANR dans le cadre des investissements d’avenir, et plus particulièrement de l’appel à projets RSNR lancé en 2012 à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi. Il comprend la réalisation d’expérimentations – ainsi que des travaux de modélisation et de validation de logiciels de simulation (tels que par exemple DRACCAR) − pour approfondir les connaissances relatives aux différentes phases d’un accident de perte de refroidissement ou de dénoyage accidentel d’assemblages combustibles entreposés dans une piscine de désactivation. Il est bâti sur une approche analytique qui vise à développer les connaissances sur les trois sujets suivants :

•le refroidissement par convection naturelle à l’échelle de la piscine ; ce sujet est étudié avec une maquette de piscine à l’échelle 1/5e ;

•le comportement thermohydraulique à l’échelle d’un assemblage combustible en cas de dénoyage et l’efficacité d’une aspersion d’eau ; ce sujet est étudié avec une maquette à l’échelle 1 d’un assemblage combustible et de son alvéole d’entreposage dans des conditions représentatives des différentes phases de l’accident, à savoir la perte de refroidissement, l’ébullition de l’eau de la piscine, le dénoyage et la reprise du refroidissement ;

•les mécanismes d’accélération de l’oxydation des gaines du combustible en présence d’un mélange d’air et de vapeur d’eau ; les phénomènes d’oxydation des gaines et leur emballement, ainsi que le rôle présumé des nitrures sont étudiés grâce à des techniques de laboratoire performantes.

–Séismes

Les recherches et développements menés sur les agressions profitent de façon générale à tous les types d’installations nucléaires.

Le séisme de Tohoku survenu au Japon le 11 mars 2011 et le tsunami qui en a résulté, qui ont affecté la centrale nucléaire de Fukushima Daiichi, celui qui est survenu en juillet 2007 à Chūetsu-oki non loin de la centrale nucléaire de Kashiwasaki-Kariwa1016, ainsi que, dans une moindre mesure, celui qui est survenu en août 2011 en Virginie (États-Unis) à environ 18 km de la centrale nucléaire de North Anna1017, soulignent les limites des connaissances et des méthodes sur lesquelles repose le dimensionnement des installations nucléaires. Le besoin d’approfondir ces connaissances et l’évaluation des aléas naturels pouvant affecter gravement les sites nucléaires font aujourd’hui l’objet d’un large consensus international. C’est en particulier vrai en France, où l’amélioration de la prise en compte du risque sismique (et du risque d’inondation) figure au rang des priorités fixées dans le cadre du retour d’expérience de l’accident de la centrale nucléaire de Fukushima Daiichi − répercutées dans l’appel à projets RSNR de l’Agence nationale de la recherche (ANR) avec financement par le plan d’investissements d’avenir (PIA).

Dans ce nouveau contexte, la définition d’aléas « extrêmes » conduit à deux types d’études, l’un relevant de la connaissance des phénomènes (y compris d’indices historiques), l’autre du développement de méthodes pour leur prise en compte avec les incertitudes associées.

Dans ce cadre, le projet de recherche1018 SINAPS@ (Séisme et installation nucléaire : améliorer et pérenniser la sûreté, [2013-2018]) a été défini pour évaluer le risque sismique dans sa globalité, des failles terrestres aux ouvrages de génie civil et aux équipements. Il vise à explorer les incertitudes inhérentes à l’évaluation de l’aléa sismique et de la vulnérabilité des ouvrages et des équipements. L’objectif majeur est in fine d’identifier, voire de quantifier, les marges sismiques qui résultent des choix de conception et des études de dimensionnement (matériaux, dispositions de construction de natures parasismiques, hypothèses et critères d’études…).

C’est depuis le début des années 1980 que des études et recherches sont aussi menées dans le domaine des facteurs organisationnels et humains. Les questions concernant l’ergonomie des salles de commande des réacteurs nucléaires ou encore le développement de procédures de conduite informatisées ont constitué dans un premier temps des sujets d’études et de recherches. Le recours croissant à la sous-traitance constitue aujourd’hui un autre sujet. En outre, depuis l’accident survenu à la centrale nucléaire de Fukushima Daiichi et des constats qui en ont été tirés, les travaux de recherche se déploient vers la gestion de crise en situation extrême (projet EDGE1019) et sur des sujets relevant des sciences humaines et sociales en matière de « gouvernance » des risques (projet AGORAS1020).

La recherche concerne également le développement de nouvelles technologies permettant d’améliorer la sûreté nucléaire. Pour n’en donner qu’un aperçu, peuvent être cités :

–les travaux menés dans le cadre du projet PASSAM déjà mentionné plus haut sur la recherche de filtres plus efficaces que les dispositifs actuels d’éventage-filtration des enceintes de confinement,

–les travaux menés conjointement par le CEA et l’IRSN sur de nouveaux traducteurs ultrasonores « conformables » permettant de réaliser des contrôles en service de pièces métalliques de formes complexes…

Les sujets traités couvrent donc un large éventail de domaines : des matériels au comportement humain, du comportement du combustible à celui de l’enceinte de confinement, du réacteur à la piscine d’entreposage du combustible, de l’installation au milieu naturel dans lequel elle se trouve, de la conception aux conditions d’intervention en exploitation et à la conduite de l’installation…

39.2.2.Cadres dédiés et organismes impliqués

En France, les principaux acteurs de la recherche en sûreté nucléaire sont le Commissariat à l’énergie atomique et aux énergies alternatives (CEA), EDF, l’IPSN puis l’IRSN, ainsi que le concepteur Areva (Framatome avant 2006, puis à partir de 2018), sachant que bien des recherches sont des partenariats entre ces acteurs1021 ainsi qu’au niveau international. L’approfondissement de la compréhension des phénomènes élémentaires implique également de plus en plus le monde de la recherche académique : universités, écoles d’ingénieurs, Centre national de la recherche scientifique (CNRS).

Les sujets de recherche en matière de sûreté nucléaire dans lesquels s’implique l’IRSN1022, seul ou en partenariat, s’inscrivent dans le cadre d’orientations et de programmes scientifiques visant à asseoir ses capacités d’expertise et d’intervention, par exemple en situation d’urgence, sur les meilleures connaissances scientifiques. Ces orientations et programmes scientifiques sont naturellement éclairés par les analyses de sûreté, par les évolutions dans la conception des réacteurs, par les enseignements tirés de l’expérience de leur exploitation (notamment des incidents), par les accidents survenus (Three Mile Island, Tchernobyl, Fukushima Daiichi), et aussi par les résultats de travaux de recherche antérieurs. Ils concernent les domaines jugés les plus sensibles et les plus porteurs de progrès en matière de sûreté ; ils revêtent pour certains un caractère anticipatif, voire incitatif à l’égard des exploitants et des concepteurs, en mettant en lumière et en caractérisant certains risques pour la sûreté des installations, en apportant des éléments expérimentalement étayés sur les bénéfices possibles pour la sûreté de dispositifs innovants…

La complexité des dispositifs d’expérimentation à concevoir et à mettre en œuvre – notamment ceux qui doivent être installés dans des réacteurs nucléaires de recherche tels que par exemple CABRI ou PHEBUS – et les délais des examens ou post essais dans des laboratoires spécialisés, tout particulièrement lorsque de la matière radioactive a été mise en œuvre au cours des essais, peuvent conduire à d’importants délais d’obtention de résultats utilisables pour l’analyse de sûreté (dans certains cas plus d’une dizaine d’années). Il importe donc de déterminer suffisamment tôt les connaissances à rechercher et les logiciels de simulation à développer pour être prêt aux « rendez-vous » de la sûreté des installations tels que les réexamens périodiques.

Du fait de leurs coûts, un grand nombre de ces recherches, notamment expérimentales, sont conduites dans des cadres coopératifs, chaque partenaire (en France ou à l’étranger) exploitant librement les résultats de ces recherches – tout en se tenant informés mutuellement, ce qui constitue un apport supplémentaire. Les autres principaux pays qui ont conçu et construit des réacteurs nucléaires électrogènes (États-Unis, Canada, Japon, Allemagne, Royaume-Uni, Suisse, Russie, etc.) ont conduit et conduisent toujours des programmes de recherche en sûreté nucléaire, auxquels s’associent des partenaires français.

En France, des projets de recherche sont financés par l’Agence nationale de la recherche (ANR), comme par exemple dans le cadre de l’appel à projets « Recherche en matière de sûreté nucléaire et de radioprotection » (RSNR) à la suite de l’accident survenu à la centrale nucléaire de Fukushima Daiichi – quelques-uns ont été cités plus haut.

La Commission européenne contribue également, pour une part non négligeable, au financement de projets de recherche et développement internationaux en sûreté nucléaire. Des appels à projets sont lancés par la Commission dans le cadre du volet Euratom des Programmes cadres pour la recherche et le développement (PCRD) pluriannuels, en place depuis 19841023. Les projets retenus sont conduits dans des cadres coopératifs variables, rassemblant le plus souvent des industriels, des exploitants de centrales nucléaires, des organismes d’expertise et des laboratoires de recherche.

L’Agence pour l’énergie nucléaire de l’Organisation de coopération et de développement économiques (OCDE/AEN) joue un rôle important en matière de recherche, en établissant et en diffusant des consensus d’experts sur l’état des connaissances (rapports State-Of-the-Art Report ou SOAR), en déterminant des lacunes à combler et des priorités concernant les recherches à mener. Elle organise au plan international des exercices d’intercomparaison (Benchmarks), permettant de confronter différents logiciels de simulation avec des résultats d’expérience (International Standard Problems ou ISP) ; ces exercices sont toujours très riches d’enseignements. Elle facilite également le montage de projets de recherche internationaux1024.

Deux ouvrages développent amplement ces sujets :

–l’ouvrage général intitulé « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression » (Collection sciences et techniques, IRSN/EDP Sciences, mars 2017), qui présente de façon détaillée l’histoire et l’état de ces recherches (et développements) sur plusieurs sujets d’importance, avec les questions et difficultés qui nécessitent encore l’acquisition de nouvelles connaissances,

–l’ouvrage intitulé « Les accidents de fusion du cœur des réacteurs nucléaires de puissance » (Collection sciences et techniques, IRSN/EDP Sciences, novembre 2013).

39.2.3.Installations françaises utilisées pour des travaux
de recherche et développement

Quelques-unes des installations de recherche françaises sont présentées dans le focus ci-après.

#FOCUS

Quelques-unes des installations de recherche françaises

Il ne saurait être question de présenter, même de façon succincte, toutes les installations et dispositifs mobilisés dans les travaux de recherche et développement menés depuis plus de quarante ans sur des sujets de sûreté concernant les réacteurs électronucléaires à eau sous pression ; la liste qui suit est donc nécessairement partielle.

En France, le développement et le déploiement de la filière industrielle des réacteurs à eau sous pression ont bénéficié des résultats de nombreux travaux de recherche et développement appuyés sur la réalisation d’expériences dans des réacteurs de recherche1025 de différentes natures (allant de maquettes critiques de très faible puissance – refroidies pour certaines à l’air – à des réacteurs de type piscine de quelques dizaines de mégawatts), visant l’acquisition de connaissances en matière de physique des réacteurs et de comportement de matériaux sous irradiation. Parmi ces installations, peuvent notamment, parmi celles du CEA, être cités :

–les maquettes critiques MINERVE (démarrée en 1959) et EOLE (démarrée en 1965), d’une puissance maximale de 100 W. Les expériences dans les réacteurs EOLE et MINERVE ont été arrêtées à la fin de 2017 ; une installation, dénommée ZEPHYR, est en projet pour leur succéder ;

–le réacteur SILOE au centre d’études de Grenoble : ce réacteur, de type piscine, a fonctionné de 1963 à 1997 ; sa puissance était de 35 MW ;

–le réacteur d’irradiation technologique OSIRIS, implanté au centre d’étude de Saclay. Ce réacteur a fonctionné de 1966 à 2015. Il s’agissait d’un réacteur de type piscine, refroidi et modéré neutroniquement par de l’eau légère ; les flux de neutrons à l’intérieur du cœur ou à sa périphérie étaient supérieurs à ceux qui existent dans un réacteur de puissance à eau sous pression, ce qui a permis l’étude accélérée du vieillissement de matériaux sous irradiation dans ces réacteurs (ainsi que la production de radioisotopes artificiels utilisés en médecine pour le diagnostic par scintigraphie ou pour le traitement de certaines pathologies) ;

–le réacteur Jules Horowitz (RJH). Ce réacteur, de type piscine, est en cours de construction au centre d’études de Cadarache. Sa puissance sera de 100 MW. Il remplacera le réacteur OSIRIS. Un système télescopique « à déplacement » permettra en particulier d’étudier l’effet de transitoires de puissance sur des crayons combustibles (voir la figure 39.1).

Figure 39.1. Réacteur Jules Horowitz : schéma montrant le cœur et la zone « réflecteur » pour différents usages expérimentaux ; y sont indiqués les flux neutroniques dans les différentes zones. CEA.

Plus spécifiquement en matière de sûreté, la boucle BETHSY (Boucle d’études de thermohydraulique système), qui était implantée au centre d’études de Grenoble, a joué un rôle important pour l’étude des accidents de perte de réfrigérant primaire dans un réacteur à eau sous pression. Plus de 80 essais y ont été réalisés entre 1987 et 1998, avec le support d’Électricité de France, de Framatome et de l’IPSN. Il s’agissait d’une maquette du circuit primaire d’un réacteur de 900 MWe, à l’échelle 1 pour ce qui concerne les hauteurs des différents composants, les volumes étant eux représentés à l’échelle 1/100e.

Elle était constituée de trois boucles munies chacune d’une pompe et d’un générateur de vapeur, ainsi que des éléments du circuit secondaire jugés essentiels pour les études de thermohydraulique. Le cœur du réacteur était représenté à l’échelle 1/100e par un assemblage de 428 crayons, gainés en acier inoxydable et chauffés électriquement. Ils pouvaient dégager une puissance de 3 MW, ce qui représente environ 10 % de la puissance nominale d’un réacteur à l’échelle considérée, ce qui permettait de simuler la puissance résiduelle du cœur juste après la chute des grappes absorbantes. Tous les systèmes de sauvegarde étaient reproduits, comme les systèmes d’injection à haute et à basse pressions, les accumulateurs, ainsi que les soupapes du circuit secondaire. Des brèches pouvaient être simulées en différents points du circuit primaire : en branche froide, en branche chaude, au sommet du pressuriseur et dans le générateur de vapeur. Plus de 1 000 voies de mesure permettaient de suivre au cours des essais l’évolution des paramètres clés (températures, pressions, débits et directions des écoulements, taux de vide…). Les essais réalisés dans la boucle BETHSY ont contribué à la validation du logiciel de simulation CATHARE et des procédures de conduite accidentelle.

Parmi les installations expérimentales étrangères, dédiées à l’étude du comportement thermohydraulique des chaudières nucléaires en situation accidentelle, l’installation PKL (Primärkreislauf, Allemagne – site d’Erlangen), exploitée par Areva (dorénavant Framatome) doit être évoquée : elle modélise au 1/145e le volume et la puissance d’un réacteur de type KONVOI (concepteur Kraftwerk Union [KWU]) de 1 300 MWe, à l’échelle 1 en termes de hauteurs, équipé de quatre boucles ; elle comporte 314 crayons chauffés électriquement. Trois programmes successifs (PKL [2004-2007], PKL-2 [2007-2011] et PKL-3 [2012-2015]) y ont été notamment menés pour étudier entre autres les phénomènes de dilution de l’acide borique dans diverses situations (sujet traité au paragraphe 35.1.3) et de convection naturelle en cas de perte du refroidissement à l’arrêt (et plus généralement de « mélanges en cuve »1026), ou encore pour simuler des situations « hors dimensionnement » correspondant à une mise en service différée de l’injection de sécurité, dans le but d’évaluer les marges de sûreté.

L’installation VERDON1027 du CEA est implantée dans deux « cellules chaudes » du laboratoire LECA-STAR de centre d’études de Cadarache. Cette installation permet de réceptionner et de caractériser des échantillons de combustible fraîchement ré-irradié dans un réacteur de recherche (pour reconstituer l’inventaire en produits de fission de périodes courtes, dont l’impact radiologique est prépondérant), de chauffer les échantillons dans un four à induction sous une atmosphère contrôlée pour simuler les configurations d’accidents de fusion du cœur et d’étudier les relâchements de produits de fission et leur transport dans le circuit primaire d’un réacteur à eau sous pression. L’objectif de ces recherches est d’identifier au mieux les produits de fission relâchés en cas d’accident et d’avoir une meilleure connaissance de leur forme physico-chimique, pour améliorer les équipements de réduction des rejets dans l’environnement en situation accidentelle.

Le programme expérimental associé à l’installation MISTRA du CEA, implantée au centre d’études de Saclay, est dédié à l’étude de la thermohydraulique dans l’enceinte de confinement d’un réacteur à eau sous pression dans les situations avec fusion du cœur, tout particulièrement des risques liés aux relâchements d’hydrogène dans cette enceinte. Les objectifs sont les suivants :

–compréhension de la thermohydraulique d’un tel accident et de la dispersion de l’hydrogène en milieu confiné,

–études de différentes stratégies de limitation des conséquences (inertage, utilisation de recombineurs).

L’installation MISTRA correspond à une enceinte simple de confinement d’un réacteur à eau sous pression, à une échelle de 1/10e (voir la figure 39.2). La cuve est en acier inoxydable et elle est isolée thermiquement par 20 cm de laine de roche. Avant le début des expériences, l’installation est préchauffée par injection et condensation de vapeur ; l’inertie thermique permet une stabilisation suffisante des températures de la paroi externe. Plusieurs systèmes d’injection de gaz et de vapeur sont disponibles. Les débits massiques d’injection de gaz sont maîtrisés et mesurés grâce à des cols soniques qui garantissent des valeurs constantes indépendantes des conditions opératoires en aval.

Figure 39.2. Vue de la cuve de l’installation MISTRA. A. Gonin/CEA.

La plateforme expérimentale PLINIUS du CEA, implantée au centre d’études de Cadarache, est la seule plateforme expérimentale européenne consacrée à l’étude des accidents graves utilisant de grandes masses de corium « prototypiques » (mélanges fondus à hautes températures contenant des oxydes d’uranium [appauvri], caractéristiques des mélanges fondus qui pourraient se former en cas d’accident de fusion d’un cœur de réacteur à eau légère). Cette plateforme comprend quatre installations :

–VULCANO, constituée d’un four dans lequel 50 à 100 kg de corium peuvent être fondus. Le corium fondu est versé à l’intérieur d’une section d’essai (soit une section d’essai d’étalement, soit dans un creuset) spécifiquement instrumentée ;

–KROTOS, installation dédiée à l’étude des interactions thermodynamiques entre des matériaux fondus et un fluide réfrigérant (explosions de vapeur). Dans cette installation, 4,5 kg de corium ou 1 kg d’alumine peuvent être fondus et versés dans une section d’essai remplie d’eau. Les phases de prémélange et d’explosion (voir le paragraphe 40.4) peuvent ainsi être étudiées. Des explosions spontanées ont pu être observées ;

–COLIMA, installation dans laquelle quelques kilogrammes de corium peuvent être fondus par chauffage à induction. Le creuset est installé dans une enceinte de 1,5 m3. Ses murs sont à une température maîtrisée, jusqu’à 160 °C. Ce dispositif permet la simulation d’un accident de fusion du cœur dans un réacteur à eau légère et de ses conséquences sur l’atmosphère de l’enceinte de confinement (composée d’air et de vapeur d’eau, à une pression de 5 bars et une température de 150 °C) ;

–VITI, installation « haute température » destinée à étudier les propriétés des matériaux, principalement leur viscosité et leur tension superficielle. Cette installation permet l’utilisation d’uranium (appauvri) dans un corium. Le chauffage par induction autorise un chauffage sans contact et les mesures sur les échantillons.

Une autre installation du CEA peut être mentionnée : l’installation TAMARIS (Tables et moyens d’analyses des risques sismiques), équipée notamment de la table vibrante AZALÉE, implantée au centre d’études de Saclay (voir la figure 39.3). Depuis plus de 40 ans, le CEA mène des études de génie parasismique dont le but est de comprendre le comportement des structures, des équipements et des composants soumis à des sollicitations sismiques en s’appuyant sur des outils numériques et des outils expérimentaux avec l’installation TAMARIS. La table vibrante AZALÉE est à ce jour le moyen d’essai triaxial le plus important en Europe.

Parmi les instruments de recherche de l’IRSN, peuvent notamment être cités :

–le réacteur CABRI (voir la figure 39.4) – exploité par le CEA et mis à la disposition de l’IRSN –, qui est situé au centre d’études de Cadarache. Ce réacteur est utilisé pour l’étude des conséquences sur le combustible d’accidents de réactivité. Le réacteur permet, grâce à la dépressurisation de barres préalablement remplies d’un gaz neutrophage (3He), de réaliser des pics de puissance représentatifs de ceux qui pourraient survenir lors d’un accident de réactivité dans un réacteur à eau sous pression ;

Figure 39.3. Vue d’une maquette de bâtiment nucléaire (type bâtiment d’équipements électriques) pour une simulation sismique sur la table vibrante AZALEE du CEA. P. Stroppa/CEA.

–le réacteur PHEBUS implanté au centre d’études de Cadarache, exploité par le CEA et mis à la disposition de l’IRSN (arrêté depuis 2010). Il a été l’outil expérimental de plusieurs programmes expérimentaux dont notamment le programme Phébus-PF évoqué plus haut et consacré à l’étude du devenir des produits de fission provenant d’un cœur de réacteur à eau sous pression dans des situations avec fusion du cœur. Ces essais ont apporté une contribution à la mise au point et à la validation de modèles et logiciels notamment ASTEC ;

–l’installation TOSQAN (Test station for simulation and qualification in airborne conditions – voir la figure 39.5), implantée au centre d’études de Saclay et exploitée par l’IRSN. Cette installation sert à simuler les conditions thermohydrauliques régnant dans l’enceinte de confinement d’un réacteur nucléaire lors d’un accident de fusion du cœur. Elle permet d’étudier de façon analytique les phénomènes physiques influençant la distribution de l’hydrogène dans l’enceinte de confinement (condensation aux parois, échanges induits par le puisard ou par le dispositif d’aspersion d’eau dans l’enceinte de confinement) ;

Figure 39.4. Vue de dessus du cœur du réacteur CABRI dans la piscine d’eau et de la boucle d’essais (alors en sodium) qui le traverse verticalement. G. Lesénéchal/CEA.

Figure 39.5. Vue de l’installation TOSQAN. Olivier Seignette/Mikaël Lafontan/Médiathèque IRSN.

–les dispositifs CHIP et EPICUR, installés au centre d’études de Cadarache et exploités par l’IRSN. Le premier est utilisé pour l’étude du comportement physico-chimique de l’iode dans le circuit primaire d’un réacteur à eau sous pression dans les situations avec fusion du cœur, le second pour l’étude du comportement physico-chimique de l’iode, sous rayonnement, dans l’enceinte de confinement dans des situations avec fusion du cœur ;

–l’installation PEARL implantée au centre d’études de Cadarache et exploitée par l’IRSN. Cette installation est dédiée à l’étude de la refroidissabilité de lits de débris (ou corium), en lien avec le projet européen IVMR évoqué plus haut. Elle comprend (voir la figure 39.6) un réservoir d’eau qui peut être chauffé, deux lignes d’injection d’eau, une section d’essai en quartz (hauteur 2,66 m, diamètre 540 mm) dans laquelle est placé le lit de débris instrumenté, une ligne d’évacuation de la vapeur d’eau et une vanne permettant la régulation de la pression. Le lit de débris est constitué de billes métalliques (masse totale d’environ 500 kg) chauffées par induction. L’installation comprend également un générateur de vapeur assurant une atmosphère de vapeur dans le lit de débris avant la phase de renoyage (injection d’eau). La section d’essai est placée dans une enceinte de 20 m3 ; elle est capable de monter jusqu’à une pression de 10 bars. L’installation est dotée d’une instrumentation pour mesurer les températures et les pertes de pression au sein du lit de débris, les débits d’eau injectés, les débits de vapeur produits et la pression dans le système.

Figure 39.6. Vue de l’installation PEARL. IRSN.

–le dispositif DIVA (dispositif d’incendie, de ventilation et d’aérocontamination), installé au centre d’études de Cadarache et exploité par l’IRSN. Ce dispositif est dédié à la réalisation d’essais d’incendie dans des configurations mettant en jeu plusieurs locaux ventilés aussi bien de laboratoires et usines que de réacteurs nucléaires (voir la figure 39.7) ;

Figure 39.7. Vue schématique de l’installation DIVA. IRSN.

–la boucle VIKTORIA, cofinancée par l’IRSN et exploitée par la société VUEZ, implantée en Slovaquie (Levice). Cette boucle est dédiée à l’étude de l’ensemble des phénomènes physiques et chimiques importants pour l’analyse des questions relatives à la filtration dans le cas d’un refroidissement d’un réacteur par recirculation d’eau dans l’enceinte de confinement. Cette boucle (voir figure 39.8) comprend notamment :

• des réservoirs pour la préparation et le maintien en suspension de débris avant leur transfert vers le filtre de puisard étudié ;

• un canal de transfert des débris vers le compartiment équipé du filtre (plan incliné à 1 %, d’une longueur de 2 m et d’une largeur de 0,99 m) ; la hauteur du niveau d’eau permet de régler la vitesse de transfert des débris dans ce canal (de l’ordre de 6 cm/s) ;

Figure 39.8. Vue de la boucle d’essais VIKTORIA. Brano Valach/IRSN.

• le compartiment équipé du filtre testé (dans les essais réalisés, il s’agit d’un filtre à cartouches CCI du fabricant Areva) ;

• une zone en aval, comprenant notamment deux modules d’assemblages combustibles.

En matière de facteurs organisationnels et humains, il convient de mentionner le Halden Man-Machine Laboratory (HAMMLAB) en Norvège au sein duquel sont menées des expérimentations dans ce domaine (voir la figure 39.9). Ces expérimentations sont réalisées dans le cadre du Halden Reactor Project qui a été mis en place en 1958 sous l’égide de l’OCDE/AEN et qui regroupe 19 pays membres qui financent des travaux de recherche dans des domaines tels que le combustible nucléaire, le comportement de matériaux dans un environnement nucléaire, les facteurs organisationnels et humains, les interfaces homme-machine… Certains de ces travaux ont été menés en tirant directement profit d’un petit réacteur d’expérimentation de 20 MW (le Halden Reactor – réacteur de type bouillant modéré à l’eau lourde), qui accueillait régulièrement une trentaine de dispositifs expérimentaux de façon simultanée) ; ce réacteur a été définitivement arrêté en 2018.

Figure 39.9. L’installation HAMMLAB. Espen Solli.

Vidéos pouvant être consultées pour compléter le chapitre

Le réacteur
de recherche CABRI

L’installation
EPICUR

L’installation PEARL

La plateforme
expérimentale GALAXIE

1005.Framatome avant 2006, puis Areva (-NP), puis Framatome à partir de 2018.

1006.Il s’agit des études relevant du volet « réévaluation » de ces réexamens périodiques, selon les définitions données au paragraphe 30.3.

1007.RRA : système de refroidissement du réacteur à l’arrêt ; PTB : plage de travail basse du circuit RRA.

1008.« L’accident de Fukushima à la lumière des facteurs organisationnels et humains », rapport IRSN/PSN-SRDS/SFOHREX n° 2015-01 du 7 avril 2015, et « Six questions pour tirer les leçons de la catastrophe de Fukushima sur le plan des facteurs organisationnels et humains », IRSN/PSN-RSDS/SFOHREX n° 2015-02 du 7 avril 2015.

1009.Pour plus de détails, le lecteur pourra consulter l’ouvrage « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, 2017.

1010.Gonflées sous l’effet de l’échauffement et de la baisse de la pression dans le circuit primaire.

1011.Halden Reactor Project.

1012.Étude de la perte de refroidissement.

1013.Idaho National Laboratory.

1014.Avec la possibilité d’un effet de focalisation du flux thermique latéral au niveau de la partie supérieure du bain fondu (focusing effect).

1015.Cristaux formés d’un squelette microporeux d’aluminosilicates. Ces porosités peuvent autoriser ou non le passage de molécules, avec un pouvoir discriminant inférieur à 100 picomètres (10-10 m). C’est pourquoi l’on qualifie les zéolithes de tamis moléculaires.

1016.Cette centrale n’a pas subi d’endommagements.

1017.Séisme de magnitude modérée (5,8) et de faible profondeur (6 km), peu attendu eu égard à la sismicité historique de la zone de Virginie concernée.

1018.Le CEA en est le coordinateur ; sont notamment associés EDF, l’IRSN, l’IFSTTAR (Institut français des sciences et technologies des transports, de l’aménagement et des réseaux), l’École centrale de Paris et l’École nationale supérieure de Cachan.

1019.Le projet EDGE (interfaces entre expertise et décision en situation de gestion de crise dans les industries à hauts risques – 2016 à 2019), piloté par l’IRSN et mené en partenariat avec l’INERIS, a visé à comprendre la manière dont les organisations de crise favorisent la coopération entre parties prenantes pour faire face à un événement imprévu potentiellement à risque pour la population. Plus particulièrement, le projet a cherché à comprendre comment elles favorisent l’expertise technique par les organismes publics locaux et nationaux lors d’accidents industriels.

1020.AGORAS : Amélioration de la gouvernance des organisations et des réseaux d’acteurs pour la sûreté nucléaire. Ce projet (2014 à 2019) a été retenu à la fin 2013 dans le cadre de l’appel à projets de recherche en matière de sûreté nucléaire et de radioprotection (RSNR) lancé par l’ANR. L’IRSN a participé à ce projet, qui est porté par les Écoles des mines de Paris et de Nantes ainsi que par le Centre de sociologie des organisations de Science-Po sur la gouvernance des risques et la gestion de crises.

1021.Les partenariats entre Électricité de France, Framatome, le CEA et l’IRSN sont définis dans le cadre de comités de pilotage et peuvent prendre diverses formes, y compris des travaux communs limités à quelques partenaires sur des sujets d’intérêt commun.

1022.Le lecteur pourra consulter le document de la stratégie scientifique de l’IRSN, diffusé en octobre 2015 : http://www.irsn.fr/FR/IRSN/presentation/Documents/IRSN_Strategie-scientifique_2015.pdf. Concernant le CEA, le dossier de presse « Les recherches du CEA sur la sûreté nucléaire », de février 2012, présente quelques-uns de ses sujets privilégiés de recherches à la lumière de l’accident de la centrale nucléaire de Fukushima Daiichi.

1023.En 2007, une instance européenne, composée notamment d’experts des différentes filières de réacteurs nucléaires (y compris de fusion) et d’installations associées du cycle du combustible, a été créée dans le but d’aider la Commission européenne dans la sélection et la priorisation des sujets de recherche et développement importants : il s’agit de la « plateforme technologique » SNETP (Sustainable Nuclear Energy Technology Platform). En 2012, la SNETP a été élargie pour constituer l’association de droit belge NUGENIA (NUclear GENeration II & III Association). Ces instances ont diffusé plusieurs documents de nature stratégique.

1024.Le lecteur pourra par exemple consulter la publication intitulée « Main Benefits from 30 Years of Join Projects in Nuclear Safety », OECD/Nuclear Safety, 2012.

1025.Pour plus de détails sur ce type de réacteurs, le lecteur pourra consulter l’ouvrage « Les réacteurs nucléaires expérimentaux » – Monographie de la Direction de l’énergie nucléaire − CEA − Édition Le Moniteur, 2012, ou encore l’ouvrage « Éléments de sûreté nucléaire − Les réacteurs de recherche », Collection sciences et techniques, IRSN/EDP Sciences, 2018. Voir aussi au lien internet http://www.cea.fr/Pages/domaines-recherche/energies/energie-nucleaire/reacteurs-nucleaires-experimentaux.aspx.

1026.Mélanges de volumes d’eau de températures ou de teneurs en bore différentes.

1027.Les informations qui suivent sur les installations du CEA sont extraites du dossier de presse « Les recherches du CEA sur la sûreté nucléaire », février 2012.

Chapitre 40

Quelques-uns des logiciels
de simulation développés et utilisés
pour l’analyse de sûreté
des réacteurs à eau sous pression

La conception ou les modifications des réacteurs à eau sous pression, de même que la démonstration de leur sûreté – y compris lors de réexamens périodiques (volet de réévaluation de sûreté) –, s’appuient sur des études réalisées le plus souvent avec des logiciels de simulation dans divers domaines : neutronique ou criticité (cœurs et zones dédiées à l’entreposage de combustibles), thermohydraulique (cœurs, circuits de refroidissement), mécanique des structures (structures métalliques, ouvrages de génie civil), etc. Au premier chef, c’est l’exploitant EDF qui réalise de telles études, mais l’IRSN est également amené à en réaliser lors de son expertise des dossiers transmis par l’exploitant à l’Autorité de sûreté nucléaire.

La validation d’un logiciel de simulation est un aspect important en amont de son utilisation pour les études. Aussi, dans le cadre d’une démonstration de sûreté – ou de l’expertise d’une telle démonstration –, la capacité de chaque logiciel de simulation utilisé à représenter correctement ou de manière conservative les différents phénomènes physiques mis en jeu doit être préalablement établie.

La réalisation d’essais dits intégraux, à caractère démonstratif, réalisés sur des maquettes peut être souhaitable, voire indispensable pour conforter certaines évaluations faites par le calcul, dans les cas où ces dernières sont sujettes à des incertitudes trop importantes (y compris du fait de simplifications de modélisation) ou lorsque les logiciels n’ont fait l’objet que d’une validation de leurs différents modèles physiques considérés de façon séparée. Deux exemples ont été évoqués dans le focus du chapitre précédent : les essais réalisés dans la boucle BETHSY – qui ont apporté leur concours à la validation globale du logiciel CATHARE –, et les essais du programme Phébus-PF – qui ont apporté une contribution à la validation du logiciel ASTEC.

Il convient aussi de rappeler ici l’importance toute particulière, pour un nouveau réacteur (ou pour un réacteur ayant fait l’objet de modifications substantielles), des essais de démarrage (ou de redémarrage), réalisés sur différents équipements ou systèmes dans le but de s’assurer, autant que cela est possible1028, qu’ils sont aptes à remplir les missions pour lesquelles ils ont été conçus, avec les performances attendues issues des études de conception fondées en grande partie sur l’utilisation de logiciels de simulation.

Quelques-uns des logiciels utilisés1029, dans des versions améliorées au fil du temps, et de leurs utilisations les plus notables pour les réacteurs à eau sous pression du parc électronucléaire français sont décrits succinctement ci-après1030. Le présent chapitre n’a pas été élaboré avec un souci d’exhaustivité, compte tenu du très grand nombre de logiciels de simulation utilisés par le concepteur, par EDF et par l’IRSN1031 ; aussi, il s’agira (pour l’essentiel) des logiciels développés ou utilisés par l’IRSN, sachant néanmoins que certains d’entre eux sont aussi utilisés par le concepteur ou par Électricité de France.

Il n’a pas non plus été retenu de présenter ici les importants travaux de mise au point et de validation des logiciels de simulation qui sont ici présentés1032.

40.1.Logiciels de simulation en matière de neutronique

–APOLLO : ce logiciel1033 de simulation à deux dimensions dans le domaine de la neutronique est fondé sur la théorie du transport des neutrons (équation de Boltzmann), pour un état stable (stationnaire) mais capable de simuler le burn-up1034 (taux de combustion ou d’épuisement) du combustible (calcul dit d’évolution) ; il prend en compte un grand nombre de groupes d’énergie des neutrons (300 pour des calculs usuels). Il est principalement utilisé pour établir les « bibliothèques » de sections efficaces1035 qui peuvent ensuite être utilisées avec le logiciel CRONOS présenté ci-après ; il s’agit de « bibliothèques » multiparamétrées de sections efficaces (les paramètres peuvent être la température, la densité d’eau…), « condensées » en quelques groupes d’énergie et homogénéisées dans les « cellules » choisies pour la représentation du système étudié (un assemblage, un crayon, une pastille…). Dans le principe1036, APOLLO (2) permet aussi de déterminer les bilans neutroniques d’un cœur (production de neutrons par les fissions, absorptions et fuites) avec les paramètres neutroniques d’intérêt (facteur de multiplication effectif des neutrons keff, paramètres cinétiques − temps de vie des neutrons, production de neutrons retardés −, contre-réactions neutroniques, efficacité des absorbants).

–CRONOS : ce logiciel de simulation à trois dimensions de la neutronique d’un cœur de réacteur résout, soit l’équation du transport, soit l’équation de la diffusion, en utilisant la méthode des éléments finis à plusieurs groupes d’énergie des neutrons (deux groupes sont suffisants pour les calculs courants). Il permet de déterminer la distribution, à trois dimensions, de la puissance dans le cœur d’un réacteur ainsi que les évolutions temporelles de cette puissance lors de transitoires incidentels ou accidentels, les efficacités des absorbants neutroniques… Le logiciel CRONOS peut également simuler le burn-up du combustible (calcul dit d’évolution). Les sections efficaces nécessaires au calcul proviennent de calculs réalisés avec le logiciel APOLLO et sont introduites comme données d’entrée dans CRONOS, qui est un code multifilière : rien dans son organisation ou sa structure ne préjuge du type de réacteur à calculer. De ce fait, des schémas de calcul utilisant CRONOS (2) ont été constitués (notamment en termes de maillage) pour de très nombreux réacteurs (incluant des réacteurs de recherche).

–MCNP : ce logiciel de simulation en géométrie tridimensionnelle, développé par le Los Alamos National Laboratory, est historiquement le premier code de transport de particules fondé sur la méthode de Monte-Carlo (Monte Carlo N-Particule transport code). Le logiciel MCNP permet de traiter de nombreux types de particules (neutrons, électrons, photons…). Il est utilisé dans de nombreux domaines : outre la physique des réacteurs, peuvent être citées la radioprotection, la dosimétrie, la criticité ou encore la physique médicale.

Pour un cœur de réacteur, le principe consiste à suivre l’histoire de chaque neutron dans le système étudié, de sa naissance (source externe, neutron de fission…) à sa mort (capture par un noyau ou fuite hors du système). Avec le logiciel MCNP, le choix est généralement fait d’utiliser un spectre continu d’énergie des neutrons, mais un spectre discrétisé peut aussi être utilisé. Si le logiciel MCNP peut simuler le burn-up du combustible (calcul dit d’évolution), il n’est pas apte (comme les autres codes de type Monte-Carlo décrits ci-après, en l’état actuel de leur développement) à simuler des transitoires d’un réacteur, les contre-réactions neutroniques n’étant pas corrélées à la température.

L’histoire de chaque neutron dépend de ses interactions avec la matière. La distance parcourue par le neutron entre deux collisions, les noyaux impliqués et les types d’interaction sont des paramètres échantillonnés aléatoirement en utilisant des résultats expérimentaux regroupés dans des « bibliothèques » de données nucléaires. Ainsi, en multipliant le suivi de nombreux neutrons, il est possible de simuler le comportement naturel du système et de calculer des valeurs numériques approchées de certains paramètres neutroniques du cœur (tels que le keff ou les coefficients de cinétique mais pas les contre-réactions qui dépendent de la température). Ce type de calcul reposant sur les probabilités, il est nécessaire de faire de nombreux tirages aléatoires pour réduire l’incertitude statistique1037. Certains calculs peuvent durer plusieurs mois, d’où l’intérêt d’utiliser des calculateurs puissants. La représentation géométrique du système étudié repose sur une description géométrique précise de la surface d’objets, définie en fonction du problème à traiter (représentation dite surfacique) ; ces objets peuvent être de tailles très différentes (allant d’une zone d’un cœur de réacteur à une pastille de combustible par exemple). Ainsi, le logiciel MCNP peut être utilisé pour des calculs précis de neutronique.

–TRIPOLI (TRIdimensionnel POLYcinétique) : ce logiciel de simulation en géométrie tridimensionnelle, développé par le CEA depuis les années 1960, résout par la méthode de Monte-Carlo l’équation du transport couplé des neutrons et des photons, ces derniers résultant des réactions nucléaires induites par les neutrons (fissions ou captures − les photons se traduisent par le rayonnement γ). De la même manière qu’avec le logiciel MCNP, le choix est généralement fait avec TRIPOLI d’utiliser un spectre continu d’énergie des neutrons, mais un spectre discrétisé peut aussi être utilisé. Le logiciel TRIPOLI peut simuler le burn-up du combustible (calcul dit d’évolution), mais, pour la même raison que dans le cas de MCNP, il ne peut pas simuler des transitoires d’un réacteur. Avec TRIPOLI, le système étudié peut être traité par une définition de surfaces (comme dans le cas de MCNP) ou selon un mode combinatoire de volumes (l’utilisateur spécifiant alors le type de volumes et le lien entre les volumes). Ses domaines d’application privilégiés sont la physique des cœurs de réacteurs, la criticité et la radioprotection. Le logiciel TRIPOLI est très utilisé en France pour des calculs précis de neutronique (calculs dits étalons).

–MORET : ce logiciel de simulation, développé depuis les années 1970 initialement par le professeur MORET puis par l’IRSN, permet de calculer le transport des neutrons par la méthode de Monte-Carlo. Il est généralement utilisé avec un spectre discrétisé en énergie des neutrons. La représentation géométrique est moins détaillée que ce qu’il est possible de faire avec les outils de maillage associés à MCNP et TRIPOLI. Le logiciel MORET permet, pour des systèmes complexes à trois dimensions contenant des matières fissiles, de déterminer les principales grandeurs suivantes (hormis les contre-réactions corrélées à la température) : le facteur de multiplication effectif (keff) des neutrons, le flux neutronique, les taux de réaction (fission, absorption, diffusion) dans les différents volumes, les fuites de neutrons hors du système et les paramètres cinétiques du système (proportion de neutrons retardés et leurs temps de génération, durées de vie des neutrons…). La modélisation géométrique du système étudié est traitée selon le mode combinatoire de volumes. Le logiciel est plus particulièrement utilisé pour l’étude des risques de criticité dans les installations nucléaires (c’est-à-dire l’apparition d’une réaction en chaîne non maîtrisée en dehors des cœurs de réacteurs en fonctionnement), dans son « environnement » dénommé CRISTAL1038, qui propose différents jeux de données (et d’autres logiciels tels que APOLLO (2) et TRIPOLI (4)).

40.2.Logiciels de simulation en matière
de thermohydraulique (et mécanique)

–CATHARE (Code avancé de thermohydraulique pour les accidents de réacteurs à eau) : ce « code système »1039 de thermohydraulique diphasique est développé et utilisé principalement pour des études de sûreté des réacteurs à eau sous pression (étude du comportement thermohydraulique des réacteurs lors de transitoires incidentels ou accidentels, mise au point des procédures associées) et pour des travaux de recherche et développement.

Le logiciel CATHARE est développé conjointement par le CEA, EDF, Framatome et l’IRSN, depuis 1979. La modélisation du cœur et des circuits retenus pour une étude peut être monodimensionnelle (1D), avec un cœur représenté par un canal ou assemblage « moyen » ; mais le logiciel CATHARE possède également un module 3D qui permet une représentation tridimensionnelle de la cuve et du cœur.

Le logiciel CATHARE modélise le comportement de la chaudière d’un réacteur à eau sous pression depuis les conditions normales jusqu’aux limites des conditions de dimensionnement classiques c’est-à-dire jusqu’aux limites d’endommagement du combustible.

Enfin, pour former les équipes qui pourraient être impliquées en situation d’urgence, il était nécessaire de se doter d’outils simulant le comportement de la chaudière nucléaire. Le simulateur SIPA a été développé par l’IPSN dans les années 1990 à partir de modules du logiciel CATHARE. Il a été depuis remplacé par le simulateur SOFIA1040, co-développé par Areva-NP (devenu Framatome) et l’IRSN. Il est utilisé par l’IRSN dans divers cadres : formation des experts, reconstitution d’incidents ou d’accidents survenus, élaboration des scénarios accidentels joués lors des exercices nationaux de crise…

–FLICA : ce logiciel, développé par le CEA à partir de 1967, permet de simuler la thermohydraulique dans un cœur de réacteur et la thermique du combustible. Il est utilisé depuis plusieurs décennies pour les réacteurs exploités en France, y compris les réacteurs de recherche. Le logiciel FLICA (4) permet une représentation tridimensionnelle d’un cœur de réacteur et traite les deux phases du fluide de refroidissement (liquide et vapeur). Pour les transferts thermiques dans le combustible, la modélisation est monodimensionnelle (1D).

–Chaîne HEMERA (Highly Evolutionary Methods for Extensive Reactor Analyses) : en association avec le logiciel CRONOS, le logiciel FLICA peut être utilisé pour une représentation plus fine (3D) du cœur pour les études de transitoires menées avec le « code système » CATHARE. Le schéma de la figure 40.1 représente le couplage disponible dans la chaîne HEMERA, utilisée par l’IRSN et développée en collaboration avec le CEA.

La chaîne HEMERA est particulièrement adaptée à l’étude de situations dans lesquelles il y a un fort couplage entre les phénomènes neutroniques et thermohydrauliques, telles qu’une éjection de grappe de contrôle ou un refroidissement excessif du cœur, par exemple en cas de rupture d’une tuyauterie de vapeur (RTV − voir un exemple de calcul sur la figure 40.2).

Une technique « explicite » de couplage a été adoptée (résolution indépendante des équations de neutronique et de thermohydraulique). Le couplage est assuré par le transfert des données aux interfaces entre les codes. Néanmoins, cette méthode nécessite des itérations externes aux différents codes, afin d’assurer la convergence du couplage. Un outil spécifique (logiciel ISAS) est utilisé pour gérer les codes et pour contrôler les échanges de données.

Figure 40.1. Couplage des logiciels CRONOS (2), FLICA (4) et CATHARE (2) (chaîne HEMERA) : paramètres d’interface entre ces trois logiciels. IRSN.

Le calcul des sections efficaces est fait par le code APOLLO (2), qui génère une « bibliothèque » dite multiparamétrée, en raison du fait qu’elle permet leur tabulation en fonction des principaux paramètres de fonctionnement du réacteur (comme le taux de combustion du combustible, la température, la densité du réfrigérant-modérateur…). Dans le cas d’un accident de réactivité, les sections efficaces sont notamment très sensibles au taux de combustion, à la température et à la densité du modérateur. On ajoute, dans le cas d’une rupture de tuyauterie de vapeur, un paramétrage des sections efficaces en fonction de la température du modérateur et de la concentration de bore. Cette bibliothèque de sections efficaces est ensuite utilisée comme donnée d’entrée pour le logiciel CRONOS (2).

Les calculs de neutronique et de thermohydraulique du cœur à trois dimensions sont effectués à l’aide respectivement des logiciels CRONOS (2) et FLICA (4). En fait, la modélisation retenue pour décrire le cœur est fondée sur une description à l’échelle de l’assemblage (modélisation homogène) car, pour des raisons de temps de calcul et d’encombrement de la mémoire des ordinateurs, il n’est pas envisageable de simuler l’ensemble du cœur avec une maille de calcul par crayon combustible (modélisation hétérogène). Cependant, pour obtenir des informations locales (information au niveau d’un crayon combustible) qui pourraient être nécessaires à la démonstration de sûreté, la chaîne de calcul HEMERA permet de réaliser un zoom sur un assemblage, à l’aide d’une modélisation neutronique et thermohydraulique hybride1041.

Avec CATHARE (2), chaque boucle du circuit primaire est représentée ; la modélisation est de type 1D. Pour un réacteur de 1 300 MWe par exemple, environ 600 mailles sont définies.

Les données calculées par CATHARE (2) et transmises à FLICA (4) sont :

•les débits et enthalpies à l’entrée du cœur,

•les concentrations du bore à l’entrée du cœur,

•le profil des pressions à la sortie du cœur.

Par ailleurs, les données calculées par FLICA (4) et transmises à CATHARE (2) sont :

•les débits et enthalpies à la sortie du cœur,

•les concentrations du bore à la sortie du cœur,

•le profil des pressions à l’entrée du cœur.

Il convient de souligner que le code CATHARE (2) fournit des données par boucle primaire, alors que le code FLICA (4) a besoin de ces données pour chaque assemblage combustible. Aussi, les données transmises par CATHARE (2) sont transformées à l’aide d’un traitement matriciel, utilisant une « matrice de mélange » (coefficients expérimentaux quantifiant les différents mélanges au sein d’une cuve d’un réacteur à eau sous pression, partagée en quatre quadrants), afin d’obtenir les nappes, à l’entrée du cœur, des températures, débits et concentrations de bore nécessaire au logiciel FLICA (4). Un traitement similaire est réalisé pour le passage de données du logiciel FLICA (4) au logiciel CATHARE (2).

Il convient de souligner que la chaîne HEMERA est surtout utilisée à l’IRSN pour des études de sensibilité pour des scenarios accidentels dont l’étude est présentée par EDF. En effet, l’approche couramment utilisée en France pour les démonstrations de sûreté est une approche de type conservative, c’est-à-dire que l’on cherche à introduire, dans le calcul, des aggravants au déroulement de l’accident ainsi que des conservatismes de nature à amplifier les conséquences de celui-ci. Par exemple, dans le cas de l’éjection d’une grappe de contrôle (qui provoque une rapide augmentation de la puissance du cœur), cela conduit à majorer l’insertion de réactivité causée par l’éjection de la grappe tout en diminuant la contre-réaction par effet Doppler. Puisque, en général, l’objectif est de limiter les effets des contre-réactions neutroniques, la chaîne HEMERA dispose d’un certain nombre de « leviers neutroniques » qui permettent de manipuler à volonté un large nombre de paramètres physiques et de « piloter » ainsi la cinétique d’un accident. Parmi les paramètres le plus importants, on peut citer, par exemple, la modification de l’insertion de réactivité due à l’éjection d’une grappe (par exemple en retenant la grappe ayant l’antiréactivité [ou poids neutronique] la plus importante), la modification de la fraction des neutrons retardés, la modification des effets Doppler et du modérateur.

Figure 40.2. Exemple d’application de la chaîne HEMERA : déformation de la nappe de puissance dans le cœur en cas de rupture d’une tuyauterie de vapeur (RTV) survenant alors que le réacteur est en état d’arrêt, en supposant une grappe absorbante bloquée en position haute (aggravant). IRSN.

–DRACCAR (Déformation et renoyage d’un assemblage de crayons combustibles pendant un accident de refroidissement) : ce logiciel, développé par l’IRSN, est un outil de simulation à trois dimensions, multi-crayon, qui modélise le comportement thermochimique et mécanique des crayons combustibles refroidis par l’eau, notamment afin d’évaluer la température maximale de gaine atteinte lors d’un accident de perte de réfrigérant primaire, d’évaluer le taux de bouchage lié aux crayons déformés et son impact sur le refroidissement du cœur. Ce logiciel multi-physique couple les phénomènes thermiques (comme le rayonnement), mécaniques (comme le fluage et l’éclatement des gaines), thermochimiques (comme l’oxydation des gaines) et thermohydrauliques intervenant lors d’un accident de perte de réfrigérant primaire.

Pour simuler la thermohydraulique, DRACCAR permet le couplage à deux logiciels de thermohydraulique qui peuvent être utilisés pour représenter les écoulements respectivement au sein des canaux dans le cœur et dans les circuits :

•CESAR, module de thermohydraulique, développé par l’IRSN, qui fait partie du logiciel de simulation d’accident de fusion du cœur ASTEC (voir plus loin),

•CATHARE (3), présenté plus haut.

Le logiciel DRACCAR est également utilisé pour simuler un dénoyage d’assemblages combustibles en cas d’accident de perte de refroidissement pouvant affecter une piscine d’entreposage de combustibles usés.

La fusion de matériaux, qui peut être consécutive à la perte de refroidissement des crayons, est hors du domaine de simulation de DRACCAR.

–Logiciels de type CFD (Computational Fluid Dynamics) : l’utilisation de ce type de logiciels de simulation est croissante pour déterminer les écoulements de fluide à l’échelle locale par résolution des équations de Navier-Stokes moyennées dans le temps et dans l’espace, sur un domaine discrétisé par des mailles de dimensions allant du millimètre au centimètre.

Parmi les logiciels CFD, on peut citer TrioCFD (ex Trio-U), développé par le CEA, STAR-CD® développé par Siemens et utilisé par Areva puis par Framatome, NEPTUNE_CFD développé par EDF, ou encore CFX développé par ANSYS et utilisé par l’IRSN dans le cadre de ses expertises.

Ce type de logiciels est approprié pour étudier, par exemple, des scénarios de dilution hétérogène de bore dans le circuit primaire ou encore de choc froid asymétrique à l’intérieur d’une cuve de réacteur à eau sous pression, qui nécessitent une modélisation fine (jusqu’à une dizaine de millions de mailles) des phénomènes de thermohydraulique dans la cuve.

La démonstration de « l’aptitude » des cuves au service inclut, entre autres choses1042, l’étude de scénarios de choc froid, qui entraînerait un risque de rupture brutale sous pression. Les scénarios pénalisants étudiés sont des brèches (de quelques pouces de diamètre équivalent) survenant dans une boucle du circuit primaire, conduisant à une injection de sécurité d’eau borée, supposée à une température de 9 °C, dans une boucle à 285 °C. La figure 40.3 ci-après montre la modélisation d’un tel scénario faite par l’IRSN avec le logiciel CFX et un exemple de répartition des températures subies par la cuve au cours du transitoire. Des études de sensibilité sur différents paramètres (diamètre équivalent de la brèche, débit d’injection de sécurité…) permettent d’identifier ceux qui ont le plus d’influence sur les sollicitations subies par la cuve, sur l’ampleur des phénomènes de mélange dans la boucle où a lieu l’injection de sécurité et dans la cuve (descente annulaire, plénum inférieur)…

Figure 40.3. Étude d’un choc froid sur une cuve de REP de 900 MWe (IRSN). En haut, modélisation faite avec le logiciel CFX, en bas, visualisation de la « langue froide » sur la cuve (le schéma du haut est tourné de - 120° par rapport à celui du bas). IRSN.

Il est à noter que la phénoménologie de tels scénarios est particulièrement complexe. Pour s’assurer de la capacité prédictive des logiciels de type CFD, des programmes expérimentaux sont menés1043.

40.3.Logiciels de simulation
en matière de thermomécanique

–SCANAIR : ce logiciel, développé par l’IRSN depuis 1990, permet tout particulièrement de simuler le comportement thermomécanique des crayons combustibles des réacteurs à eau sous pression au cours de transitoires de puissance et d’évaluer les risques associés de perte d’étanchéité ou de rupture des gaines. Il est utilisé dans les démonstrations de sûreté et pour leur analyse, ainsi que pour la définition, la préparation et l’interprétation d’essais de tenue de crayons combustibles lors de tels transitoires (tels que ceux qui sont réalisés dans le cadre du programme CIP dans le réacteur CABRI). Le logiciel SCANAIR permet de simuler des insertions rapides de réactivité (Reactivity Injection Accidents − RIA) ou des rampes lentes de puissance telles que celles qui pourraient résulter de la rupture d’une tuyauterie de vapeur ou encore d’un retrait incontrôlé de grappes absorbantes dans un cœur de réacteur à eau sous pression. Le logiciel SCANAIR modélise notamment les interactions thermomécaniques entre les pastilles de combustible (UO2, UPuO2) et les gaines des crayons, l’ébullition du réfrigérant et les différents mécanismes de déformation du matériau de gainage.

40.4.Logiciels de simulation de situations
avec fusion du cœur

–MC3D : MC3D est un logiciel de thermohydraulique multiphasique développé initialement par le CEA et dont le développement est poursuivi par l’IRSN. Ce logiciel permet de simuler l’explosion de vapeur qui résulterait d’une interaction thermodynamique entre un corium à l’état liquide et le réfrigérant d’un réacteur ; un tel phénomène pourrait survenir au cours d’un accident de fusion du cœur d’un réacteur. Ce logiciel permet notamment de déterminer les pressions dynamiques exercées sur des structures (par exemple les parois d’une piscine de réacteur). Il simule d’abord une première phase de l’interaction thermodynamique, appelée prémélange, consistant en un mélange grossier des deux fluides, accompagnée d’une vaporisation plus ou moins forte ; dans certaines conditions, le prémélange peut être déstabilisé, ce qui peut conduire à une explosion violente s’apparentant à une détonation (seconde phase).

–ASTEC : le logiciel de simulation ASTEC (Accident Source Term Evaluation Code) a pour ambition de simuler l’ensemble des phénomènes qui interviendraient au cours d’un accident de fusion du cœur d’un réacteur, depuis l’événement initiateur jusqu’aux éventuels rejets de produits radioactifs à l’extérieur de l’enceinte de confinement, hormis l’explosion de vapeur (qui peut être traitée avec le logiciel MC3D) et les sollicitations subies par les structures (qui peuvent être traitées avec un logiciel tel que Cast3M − voir plus loin). Le logiciel ASTEC a été développé depuis de nombreuses années par l’IPSN puis l’IRSN avec son homologue allemand la GRS − sur la base de l’ancien système français dénommé ESCADRE et des logiciels allemands traitant de la thermohydraulique dans l’enceinte de confinement RALOC et FIPLOC ; depuis 2017, l’IRSN poursuit seul le développement d’ASTEC. Les applications d’ASTEC concernent principalement l’analyse de sûreté des réacteurs à eau sous pression, avec l’évaluation des rejets radioactifs pouvant résulter de la fusion du cœur d’un tel réacteur et l’examen des conduites ou interventions envisagées ou envisageables en cas de survenue d’un tel accident. ASTEC est également utilisé par l’IRSN pour ses études probabilistes de sûreté de niveau 2. Enfin, il a été utilisé pour la préparation et l’interprétation de programmes expérimentaux, en particulier le programme d’essais intégraux CATHARE –, et les essais du programme Phébus-PF et les essais du programme ISTP (International Source Term Program).

Le logiciel ASTEC et ses évolutions font l’objet d’applications au cas de l’accident de fusion du cœur survenu dans le réacteur TMI-2. Il peut aussi être noté que, dans la perspective du démantèlement des réacteurs du site de Fukushima-Daiichi, le gouvernement japonais a, dès 2011, sollicité les services de l’OCDE/AEN pour mieux caractériser, par la simulation, l’état des trois réacteurs accidentés et en particulier la localisation des débris de combustible. C’est dans cette optique qu’a été créé en 2011 le projet BSAF1044 pour analyser la progression de l’accident au cours des six premiers jours (puis au-delà), en utilisant une base de données élaborée par les Japonais. Outre les intercomparaisons des résultats obtenus par les différents logiciels, dont ASTEC, MAAP développé par l’EPRI et MELCOR développé par les laboratoires Sandia aux États-Unis pour l’U.S.NRC, et la recherche des causes des écarts relevés, un recalage des rejets calculés avec les mesures faites dans l’environnement a été engagé (en ayant recours à une méthode « inverse » qui permet de reconstruire les rejets [amplitude et cinétique] à partir des mesures faites dans l’environnement et des calculs de dispersion atmosphérique).

ASTEC a une structure modulaire (voir la figure 40.4). Chaque module simule une zone du réacteur ou un sous-ensemble de phénomènes physiques. Les différents modules d’ASTEC sont indiqués ci-après en regard d’une séquence typique d’événements survenant lors d’un accident de fusion du cœur d’un réacteur :

•la phase dite « tête de séquence » (module CESAR) débute à partir de l’événement initiateur, par exemple une brèche du circuit primaire. Des écoulements diphasiques du réfrigérant se développent dans les boucles du circuit. La totalité du réfrigérant primaire est perdue dans l’enceinte de confinement ;

•le cœur s’échauffe du fait de la difficulté d’évacuer la puissance résiduelle, et le niveau d’eau dans la cuve diminue. Le cœur se dégrade (module ICARE) : il y a oxydation exothermique des gaines en alliage de zirconium des crayons par la vapeur et une production associée d’hydrogène ; une formation de mélanges de matières en fusion (appelés corium) à haute température (jusqu’à 3 000 °C) survient, lesquels s’écoulent à travers le cœur et peuvent se relocaliser dans le plénum inférieur de la cuve ; une accumulation de corium chauffe le fond de cuve jusqu’à sa fusion ou jusqu’à sa rupture mécanique ;

Figure 40.4. Les différents phénomènes intervenant lors d’un accident de fusion du cœur d’un réacteur et les modules les simulant dans le logiciel ASTEC. IRSN.

•des produits de fission (PF) sont relâchés par les crayons combustibles dégradés (module ELSA) : d’abord, les gaz de fission et les produits les plus volatils tels que l’iode et le césium, ensuite les produits de fission plus faiblement volatils tels que le molybdène, après une dégradation plus sévère des crayons. Les matériaux des structures dont les grappes absorbantes et les grilles sont aussi relâchés sous forme de vapeurs ;

•les aérosols formés et les vapeurs de produits de fission sont transportés par l’écoulement de vapeur dans le circuit primaire (module SOPHAEROS) et atteignent l’enceinte de confinement. Ils peuvent se déposer, puis être remis en suspension par la suite. Les espèces peuvent varier selon les interactions chimiques, en particulier en phase gazeuse ;

•après la rupture du fond de la cuve, le corium s’écoule dans le puits de cuve sous l’effet de la pression primaire. Une certaine fraction du corium à haute température peut être entraînée dans l’enceinte de confinement et contribuer à son échauffement (phase d’EDE1045) (module RUPUICUV) ;

•le corium restant dans le puits de cuve interagit avec le béton du radier (phase d’ICB1046) (module MEDICIS), ce qui conduit à une ablation de la couche de béton et à la libération de gaz incondensables (H2, CO, CO2, etc.) dans l’enceinte de confinement ;

•l’atmosphère de l’enceinte de confinement s’échauffe sous l’effet des sources de vapeur d’eau, des produits de fission et des aérosols (module CPA), et la pression augmente. Une combustion de l’hydrogène accumulé peut survenir et induire un chargement dynamique de l’enceinte ;

•le comportement de l’iode dans l’enceinte de confinement est un sujet important (module SOPHAEROS), l’iode étant particulièrement important au plan des conséquences radiologiques à court terme ; son comportement chimique et sous rayonnement conditionne largement l’impact radiologique ; cet élément s’adsorbe et se désorbe sur les parois de l’enceinte (en particulier les surfaces peintes) et son état tant chimique que physique évolue dans les phases aqueuses et gazeuses1047.

D’autres modules décrivent l’évolution et le transfert de la chaleur résiduelle, ainsi que l’activité des produits de fission dans l’enceinte de confinement (module ISODOP), l’effet sur le déroulement de l’accident des systèmes de sûreté par exemple lorsqu’il y a le déclenchement du système d’aspersion d’eau dans l’enceinte ou le déclenchement des accumulateurs de l’injection de sécurité (module SYSINT).

40.5.Logiciels de simulation en matière de mécanique

–Cast3M : Cast3M est un logiciel de simulation par éléments finis dédié à la mécanique des structures et à la mécanique des fluides, développé par le CEA. Ce logiciel est largement utilisé par les concepteurs et les exploitants pour les installations nucléaires françaises, pour des applications relatives à des structures métalliques ou à des ouvrages de génie civil (piscines et bâtiments de réacteurs…), notamment des réacteurs à eau sous pression du parc électronucléaire français. Il est aussi largement utilisé par l’IRSN, qui peut en outre être amené à demander au CEA des développements particuliers. Par exemple, dans le domaine du génie civil, des développements ont consisté à mettre au point des lois pour simuler le comportement différé ou dynamique d’ouvrages en béton en cas de chargements accidentels (séisme…), qui sont ensuite intégrées dans Cast3M et ainsi mises à la disposition de l’ensemble des utilisateurs de Cast3M. Un exemple d’utilisation apparaît sur la figure 40.5.

Figure 40.5. Modélisation avec le logiciel Cast3M d’une enceinte de confinement d’un réacteur à eau sous pression et de la zone du TAM (tampon d’accès des matériels), réalisée par l’IRSN. Georges Nahas/IRSN.

–EUROPLEXUS, LS-DYNA : EUROPLEXUS est un logiciel de simulation par éléments finis de phénomènes de dynamique rapide, prenant en compte les structures et les fluides, développé à l’origine par le CEA (code PLEXUS) et le Centre commun de recherche d’Ispra en Italie (PLEXUS-3C), puis repris par un groupe d’utilisateurs dont EDF et l’ONERA. LS-DYNA est un logiciel de calcul du même type, développé aux États-Unis par la Livermore Software Technology Corporation (LSTC). Ces logiciels permettent par exemple d’étudier le comportement de structures soumises à des chocs.

40.6. Logiciels de simulation d’incendies

–SYLVIA : le logiciel SYLVIA (Système de logiciels pour l’étude de la ventilation de l’incendie et de l’aérocontamination), développé par l’IRSN depuis le début des années 2000, permet de simuler le développement et les conséquences d’un incendie dans une installation industrielle comportant un réseau de ventilation : développement du foyer, transport des gaz chauds et des suies, remise en suspension et transport d’aérosols. Il permet d’estimer le colmatage des filtres et éventuellement l’endommagement d’équipements de sectorisation comme les portes ou les clapets coupe-feu.

Dans la modélisation, le volume de chaque local est divisé en deux zones de hauteurs variables dans lesquelles les propriétés thermodynamiques (pression, température et concentration des espèces gazeuses et particulaires) sont uniformes, la zone supérieure contenant les gaz chauds et les fumées. Le réseau complet de ventilation est modélisé par un ensemble d’éléments, conduits, filtres, clapets, ventilateurs… Des corrélations d’échange de masse et de chaleur (entre zones, flammes et parois) complètent les équations de bilan de masse et d’énergie des zones. Des modèles de combustion de foyers solides complexes (tels que des boîtes à gants, des armoires électriques, des chemins de câbles électriques, des fûts de déchets…) sont disponibles et progressivement améliorés. Les taux de remise en suspension et de dépôt des aérosols sur les parois des locaux et dans le réseau de ventilation sont également estimés.

Le logiciel SYLVIA traite l’ensemble des phénomènes évoqués ci-dessus de façon entièrement couplée, avec différents niveaux de modélisation allant du simple local à une installation nucléaire complète incluant l’ensemble de son réseau de ventilation.

Le logiciel SYLVIA est l’outil de calcul de référence de l’IRSN pour ce qui concerne les risques d’incendie, utilisé en support de ses expertises relatives à la sûreté des installations nucléaires. Ses bonnes performances informatiques (faibles temps de calcul) permettent en particulier de réaliser des centaines de simulations en support aux études probabilistes de sûreté relatives aux risques d’incendie dans les réacteurs du parc électronucléaire français. Couplé à l’applicatif SUNSET1048 (outil de statistique développé par l’IRSN), le logiciel SYLVIA permet de réaliser des études paramétriques exhaustives et des études de sensibilité des résultats à des paramètres d’intérêt.

–ISIS : le logiciel ISIS, développé par l’IRSN depuis le milieu des années 2000, permet une simulation à trois dimensions d’écoulements faiblement compressibles, turbulents et réactifs. Un ensemble cohérent de modèles relatifs à la turbulence de l’écoulement, à la combustion, à la production de suies et aux transferts thermiques permet de décrire le développement d’un incendie dans des compartiments de grande taille, soit ventilés naturellement, soit confinés et ventilés mécaniquement. Le logiciel ISIS est validé sur un ensemble d’essais analytiques et globaux.

Le couplage d’ISIS avec le système de logiciels SYLVIA permet de bénéficier à la fois de la précision d’une simulation 3D pour estimer les conséquences d’un incendie dans un local avec le logiciel ISIS et des capacités du logiciel SYLVIA pour décrire un réseau complet de ventilation.

–P2REMICS : ce logiciel est un outil de simulation numérique des explosions dans les installations industrielles ; il permet de calculer la formation d’une atmosphère explosive (mélanges d’hydrogène et d’air notamment, ou encore suspension de fines poussières), la déflagration de cette dernière et la propagation des ondes de souffle qui en résultent.

Le logiciel P2REMICS, dont les premiers développements datent de 2013, permet de simuler des écoulements tridimensionnels, incompressibles (phase de formation de l’atmosphère explosive) ou compressibles (déflagration et propagation des ondes de choc), turbulents et réactifs. La turbulence peut être traitée par différents modèles. Pour le traitement de la déflagration dans des locaux de grandes dimensions, le logiciel P2REMICS comporte un modèle de suivi explicite du front de flamme, nécessitant une discrétisation de l’espace moins fine que pour la résolution des équations de conservation primitives de la mécanique des fluides réactifs. Ces dernières sont préférentiellement utilisées pour construire des bases de données de vitesse de flamme pour un mélange de gaz, qui servent de données d’entrée pour les simulations à échelle réelle (approche multi-échelle).

Le développement du logiciel P2REMICS est mené par l’IRSN avec des partenaires externes (INERIS, Institut ICARE), pour une large part des universités françaises et des laboratoires du CNRS. Il bénéficie ainsi d’un fort soutien scientifique dans les domaines de la modélisation de la turbulence, de la combustion de gaz ou de poussières, ainsi que de l’analyse numérique.

Les questions de sûreté traitées jusqu’à ce jour avec le logiciel P2REMICS sont essentiellement l’explosion d’hydrogène, soit dans l’enceinte de confinement d’un réacteur électronucléaire à eau sous pression dans les situations d’accident de perte de réfrigérant primaire ou de fusion du cœur, soit par perte d’étanchéité de tuyauteries ou de capacités d’hydrogène à l’intérieur et à l’extérieur du bâtiment du réacteur. Mais P2REMICS est aussi adapté à l’étude de mélanges de gaz et de poussières tels que ceux qui surviendraient, par exemple, en cas de perte du vide dans le tore de l’installation ITER.

Vidéos pouvant être consultées pour compléter le chapitre

Le logiciel de simulation
DRACCAR

Le logiciel de simulation
ASTEC

Le logiciel de simulation
ISIS

1028.En effet, comme cela a été indiqué au chapitre 19 relatif aux essais de démarrage des réacteurs, il n’est pas envisageable de provoquer des situations accidentelles pour s’assurer du bon fonctionnement des équipements ayant pour rôle de les maîtriser.

1029.Voir, notamment, l’ouvrage « La neutronique – CEA », monographie de la Direction de l’énergie nucléaire, Éditions Le Moniteur, 2013.

1030.Les outils de calcul utilisés en situation d’urgence sont évoqués dans le chapitre 38.

1031.Ou encore leurs sous-traitants.

1032.Un certain nombre de travaux sont présentés dans l’ouvrage intitulé « État des recherches dans le domaine de la sûreté des réacteurs à eau sous pression », J. Couturier & M. Schwarz, Collection sciences et technique, IRSN/EDP Sciences, mars 2017, ainsi que dans l’ouvrage « Les accidents de fusion du cœur des réacteurs nucléaires de puissance », D. Jacquemain et al., Collection sciences et techniques, IRSN/EDP Sciences, 2013.

1033.Dans le domaine de la neutronique, les expressions « logiciel » et « schéma de calcul » sont à distinguer : un « schéma de calcul » désigne la séquence de modèles physiques associée à une « bibliothèque » bien définie de sections efficaces.

1034.Consommation de combustible du fait de l’irradiation.

1035.Voir le chapitre 5, paragraphe 5.2.

1036.Le calcul est très complexe avec APOLLO (2) ; il sera plus aisé avec APOLLO (3).

1037.L’incertitude statistique sur le résultat d’un calcul est donnée par le théorème de la limite centrale : l’écart-type sur le résultat est proportionnel à l’inverse de la racine carré du nombre de neutrons simulés.

1038.Le formulaire CRISTAL est développé et qualifié dans le cadre d’une collaboration entre l’IRSN, le CEA, Areva-NC (devenu Orano Cycle) et Areva-NP (redevenu Framatome). Cet ensemble comprend des « bibliothèques » de données nucléaires, des procédures de calcul, des logiciels de simulation et des outils d’interface. Sa vocation est d’évaluer les conditions de criticité des installations nucléaires et des emballages de transport de matières fissiles.

1039.Un « code système » permet la modélisation de l’ensemble d’un circuit et de ses composants (combustibles, échangeurs, pompes, structures, etc.).

1040.SOFIA (Simulateur d’observation du fonctionnement incidentel et accidentel) est un système informatique utilisé pour des études et pour la formation de l’IRSN. Il permet le calcul et le suivi en temps réel de l’évolution des paramètres physiques d’un réacteur nucléaire de type à eau sous pression. Il permet de simuler des défaillances d’équipements et les actions des opérateurs ; le calcul peut être arrêté à un instant donné pour examiner l’état de l’installation et il est possible de revenir en arrière pour modifier le scénario étudié. Les réacteurs modélisés dans SOFIA sont ceux du parc électronucléaire français (réacteurs de 900 MWe, 1 300 MWe, 1 450 MWe et EPR).

1041.La modélisation « hybride » consiste en un calcul de neutronique avec CRONOS (2) crayon par crayon sur un seul assemblage et par quart d’assemblage sur le reste du cœur et un double calcul thermohydraulique avec FLICA (4) : un calcul standard pour tout le cœur, un assemblage constituant un canal, et un crayon constituant un canal seulement pour un assemblage choisi. Les conditions aux limites pour cet assemblage sont données par le calcul standard. L’avantage de cette modélisation est la possibilité de calculer des contre-réactions crayon par crayon et d’obtenir ainsi une distribution de puissance crayon par crayon dans un assemblage choisi (par exemple un assemblage soumis à un pic de puissance).

1042.La prévention du risque de rupture brutale des cuves repose sur les contrôles périodiques de celles-ci, sur des essais qui permettent d’anticiper l’évolution de la résistance à la fissuration des matériaux concernés – sous l’effet de l’irradiation qui les fragilise –, ainsi que sur l’étude de scénarios accidentels comme celui qui est ici décrit, afin de vérifier que les coefficients de sécurité requis à l’égard du risque de rupture brutale sont respectés.

1043.À titre d’exemple, on peut citer l’intercomparaison réalisée entre, notamment, les logiciels CFX et NEPTUNE_CFD, sur la base d’expériences menées dans l’installation TOPFLOW-PTS en Allemagne (Helmholtz-Zentrum Dresden-Rossendorf – HZDR) ; il s’agissait d’expériences soutenues financièrement par la Commission européenne (programme cadre n° 7, 2007-2013), le CEA, EDF, Areva-NP, l’IRSN, le Paul Scherrer Institut et l’ETH de Zürich (Suisse) et le Helmholtz-Zentrum Dresden-Rossendorf.

1044.Benchmark Study of the Accident at the Fukushima-Daiichi Nuclear Power Station.

1045.Échauffement direct de l’enceinte.

1046.Interaction corium-béton.

1047.Il est à noter que la chimie de l’iode dans le circuit primaire est traitée par SOPHAEROS.

1048.Sensitivity and Uncertainty Statistical Evaluation Tool (outil d’évaluation statistique de la sensibilité et de l’incertitude).

Liste des sigles

Acronymes des institutions, instances et groupes

ACRO : Association pour le contrôle de la radioactivité dans l’ouest, France

ACRS : Advisory Committee on Reactor Safeguards (instance d’appui à l’U.S.NRC)

AEC : Atomic Energy Commission (ancêtre de l’U.S.NRC, jusqu’en 1974)

AEN : Agence pour l’énergie nucléaire de l’OCDE (NEA : Nuclear Energy Agency, OECD)

AERES : Agence d’évaluation de la recherche et de l’enseignement supérieur (remplacé par l’HCERES)

AFCEN : Association française pour les règles de conception, de construction et de surveillance en exploitation des matériels des chaudières électronucléaires

AFCN : Agence fédérale de contrôle nucléaire, Belgique

AFFSE (devenu l’ANSES) : Agence française de sécurité sanitaire et environnementale

AIB-Vinçotte : Association des industriels Belges Vinçotte, entreprise accréditée d’inspection et de certification en matière de sûreté-fiabilité

AIEA : Agence internationale de l’énergie atomique, Vienne, Autriche (IAEA : International Atomic Energy Agency)

AISI : American Iron and Steel Institute (Institut américain du fer et de l’acier)

ANCCLI : Association nationale des comités et commissions locales d’information, France

ANDRA : Agence nationale pour la gestion des déchets radioactifs, France

ANL : Argonne National Laboratory (Laboratoire national d’Argonne, États-Unis)

ANSI : American National Standards Institute (Institut national américain de standards)

ANSYS (ANSYS, Inc.) : éditeur de logiciels de simulation américain

APAVE : Associations de propriétaires d’appareils à vapeur et électriques, France

APEL : Action pilote environnement Loire

Areva : concepteur et exploitant nucléaire français. Société créée en 2001 par regroupement de Framatome (devenu Areva-NP) et de Cogéma (devenu Areva-NC), puis restructurée en 2018 en donnant naissance à Framatome pour la conception des réacteurs électronucléaires – en tant que filiale du groupe EDF – et à Orano pour le cycle du combustible, y compris l’élaboration de constituants des assemblages combustibles pour les réacteurs

ASCOT : Assessment of Safety Culture in Organizations Team (Équipe d’évaluation de la culture de sûreté dans les organisations)

ASME : American Society of Mechanical Engineers (désigne couramment les règles de conception et de construction établies par cette société américaine et utilisées par des concepteurs de réacteurs nucléaires [Westinghouse, etc.])

ASN : Autorité de sûreté nucléaire, France

ASND : Autorité de sûreté nucléaire de défense, France

ASSET : Assessment of Safety Significant Event Team (Équipe d’évaluation d’un événement significatif de sûreté, AIEA)

AVN : Association Vinçotte-Nucléaire, Belgique

Babcock & Wilcox : nom d’un concepteur américain de réacteurs électronucléaires

BCCN : Bureau de contrôle des chaudières nucléaires (devenu ASN/DEP), France

Bel V : agence fédérale de contrôle nucléaire belge, créée en tant que filiale de l’AFCN. Expert en sûreté nucléaire, Bel V a repris depuis 2008 les contrôles règlementaires précédemment exécutés par l’organisme agréé AVN dans les centrales et autres installations nucléaires et radiologiques en Belgique.

BERD : Banque européenne pour la reconstruction et le développement

BETCGB : Bureau d’étude technique et de contrôle des grands barrages, France

BNRA : Bulgarian Nuclear Regulatory Agency (autorité de sûreté bulgare)

BRGM : Bureau de recherches géologiques et minières, France

CCOM : Cellule communication (organisation de crise de l’IRSN)

CCR : Centre commun de recherche, Commission européenne

CCR : Cellule d’évaluation des conséquences radiologiques (organisation de crise de l’IRSN)

CEA : Commissariat à l’énergie atomique et aux énergies alternatives, France

CEI : Cellule d’évaluation de l’installation (organisation de crise de l’IRSN)

CEPN : Centre d’étude sur l’évaluation de la protection dans le domaine nucléaire, France

CERCA : Compagnie pour l’étude et la réalisation de combustibles atomiques, installation de la société Framatome implantée sur le site de Romans-sur-Isère, France

CETMEF : Centre d’études techniques maritimes et fluviales, France

CI : Commission d’information, France

CI : Cellule relations internationales (organisation de crise de l’IRSN)

CIC : Cellule interministérielle de crise, France

CIEE : Conseil de l’information sur l’énergie électronucléaire, France

CIINB : Commission interministérielle des installations nucléaires de base, France

CIPR : Commission internationale de protection radiologique

CIREA : Commission interministérielle des radioéléments artificiels, France

CIS Bio International : société qui développe, fabrique et commercialise des radionucléides pour le diagnostic et la radiothérapie nucléaire, implantée à Gif-sur-Yvette, France

CLI : Commission locale d’information, France

CM : Cellule mobile (organisation de crise de l’IRSN)

CNPE : Centre national de production d’électricité (EDF), France

CNRA : Committee on Nuclear Regulatory Activities (Comité sur les activités de règlementation nucléaire, AEN)

CNRS : Centre national de la recherche scientifique, France

CODIRPA : Comité directeur pour la gestion de la phase post-accidentelle (d’un accident nucléaire ou d’une situation d’urgence radiologique), France

COFSOH : Comité d’orientation sur les facteurs sociaux, organisationnels et humains, France

Cogema : Compagnie générale des matières nucléaires (groupe AREVA, devenue AREVA-NC puis Orano)

COPAT : Centre opérationnel de pilotage d’un arrêt de réacteur du parc électronucléaire français (EDF)

COS : Commandant des opérations de secours, en Préfecture (organisation de crise), France

CRIIRAD : Commission de recherche et d’information indépendantes sur la radioactivité, France

CRPPH : Committee on Radiological Protection and Public Health (Comité sur la protection radiologique et la santé du public, AEN)

CS : Cellule « santé » (organisation de crise de l’IRSN)

C(C)SIA : Commission (centrale) de sûreté des installations atomiques, France

CSIN : Comité sur la sûreté des installations nucléaires, France

CSNI : Committee on the Safety of Nuclear Installations (Comité sur la sûreté des installations nucléaires de l’AEN)

CSP : Commission de sûreté des piles, devenue CSR, France

CSPRT : Conseil supérieur de la prévention des risques technologiques, France

CSR : Commission de sûreté des réacteurs, France

CSS : Commission of Safety Standards (Commission des normes de sûreté, AIEA)

CSSIN : Conseil supérieur de la sûreté et de l’information nucléaires, France

CSSN : Conseil supérieur de la sûreté nucléaire, France

CTC : Centre technique de crise (organisation de crise de l’IRSN)

CVŘež (UJV) : Centrum výzkumu Řež, Husinec-Řež (centre de recherche et développement dans le domaine de l’énergie nucléaire, République Tchèque)

DEP : Direction des équipements sous pression (ASN), France

DFD : Deutsche-Französischer Direktionausschuss (comité de direction franco-allemand)

DGA : Direction générale de l’armement, France

DGEC : Direction générale de l’énergie et du climat du ministère en charge de la transition écologique et solidaire, France

DGEMP : Direction générale de l’énergie et des matières premières (ministère en charge de l’énergie jusqu’en 2008 puis remplacé par la DGEC, France)

DGPR : Direction générale de la prévention des risques, France

DGSNR : Direction générale de la sûreté nucléaire et de la radioprotection, France

DITEIM : Direction de la technologie, de l’environnement industriel et des mines, France

DMT : Département de mécanique et thermique du centre d’études CEA de Saclay, France

DoD : Department of Defense (département de défense américain)

DOE : Department of Energy (département de l’énergie américain)

DPN : Direction de la production nucléaire d’EDF

DREAL : Direction régionale de l’environnement, de l’aménagement et du logement (DRIEE pour l’Île de France), France

DRIRE : Direction régionale de l’industrie, de la recherche et de l’environnement (les DRIRE ont été remplacées par les DREAL), France

DSIN : Direction de la sûreté des installations nucléaires, France

DSN : Département de sûreté nucléaire du CEA

DSND : délégué à la sûreté nucléaire et à la radioprotection pour les activités et installations intéressant la défense nationale française

EDF : Électricité de France

EFQM : European Foundation for Quality Management (Fondation européenne pour le management par la qualité)

ELC : Équipe locale de crise (installations nucléaires françaises [gestion de crise])

ENEA : Ente Nazionale Energia Atomica, devenue Agenzia nazionale per le nuove tecnologie, l’energia e lo sviluppo economico sostenibile (Agence nationale pour les nouvelles technologies, l’énergie et le développement durable, Italie)

ENGIE Electrabel : entreprise belge exploitant des réacteurs électronucléaires

ENSREG : European Nuclear Safety Regulators Group (groupe consultatif d’experts des autorités règlementaires de la Commission européenne)

ENSTTI : European Nuclear Safety Training and Tutoring Institute (Organisme de formation et de tutorat dans le domaine de la sûreté nucléaire)

ENUSA : Empresa Nacional del Uranio SA (puis Enusa Industrias Avanzadas SA), société espagnole créée en 1972 qui conçoit, produit et distribue du combustible nucléaire pour les centrales nucléaires espagnoles et des centrales de pays étrangers

EPRI : Electric Power Research Institute (Institut de recherche pour la production électrique, États-Unis)

EPRUS : Établissement de préparation et de réponse aux urgences sanitaires, France

ETC-N : Équipe technique de crise au niveau national d’EDF (gestion de crise)

ETIC : Laboratoire d’étude de l’incendie en milieu confiné, France. Il s’agit d’un laboratoire « sans mur » créé en janvier 2010 entre l’IRSN et l’Institut universitaire des systèmes thermiques industriels (IUSTI-CNRS/universités de Provence et de la Méditerranée)

ETSON : European Technical Safety Organisations Network (Réseau européen des organismes techniques de sûreté [TSO])

Euratom : Communauté européenne de l’énergie atomique

EURELECTRIC : association établie en 1989 représentant les intérêts communs de l’industrie de l’électricité au niveau européen, ainsi que de ses filiales et de ses associés sur plusieurs autres continents. EURELECTRIC couvre toutes les problématiques majeures du secteur, de la production et des marchés aux réseaux de distribution et aux problématiques clients

EUROSAFE : European Safety (forum européen de sûreté)

FANC : Federal Agency for Nuclear Control (Agence fédérale de contrôle nucléaire belge)

FENOC : First Energy Nuclear Operating Corporation (exploitant de réacteurs nucléaires aux États-Unis)

Framatome : société française de conception des réacteurs à eau sous pression, englobée ensuite dans le groupe Areva sous l’appellation Areva-NP

FzK (ex-KIT) : Forschungszentrum Karlsruhe (Institut de technologie de Karlsruhe, Allemagne)

GANIL : Grand accélérateur national d’ions lourds (centre de recherche situé à Caen, France)

GFH : Groupe facteurs humains, EDF

GPD : Groupe permanent d’experts pour les déchets, ASN

GPDEM : Groupe permanent d’experts pour le démantèlement des installations nucléaires, ASN

GPE : groupes permanents d’experts, ASN

GPEC : gestion prévisionnelle des emplois et des compétences

GPESPN : Groupe permanent d’experts pour les équipements sous pression nucléaires, ASN

GPMED : Groupe permanent d’experts pour la radioprotection dans les applications médicales, ASN

GPR : Groupe permanent d’experts pour les réacteurs nucléaires, ASN

GPRAD : Groupe permanent d’experts pour la radioprotection, dans les applications industrielles et de recherche des rayonnements ionisants, et en environnement, ASN

GPT : Groupe permanent d’experts pour les transports, ASN

GPU : Groupe permanent d’experts pour les laboratoires et les usines, ASN

GRNC : Groupe radioécologique Nord-Cotentin, France

GRS : Gesellschaft für Anlagen – und Reaktorsicherheit (société pour la sûreté des installations et des réacteurs nucléaires, Allemagne)

GSIEN : Groupement des scientifiques pour l’information sur l’énergie nucléaire, France

HAMMLAB : Halden Man-Machine Laboratory (Laboratoire de recherche en matière d’interfaces homme-machine du HALDEN Reactor Project, Norvège)

HCERES : Haut conseil de l’évaluation de la recherche et de l’enseignement supérieur (s’est substitué à l’AERES), France

HCTISN : Haut comité pour la transparence et l’information sur la sécurité nucléaire, France

HFDS : Haut fonctionnaire de défense et de sécurité (du MEDDE), France

HSE : Health and Safety Executive (autorité compétente en matière d’inspection du travail dans les domaines de la santé et de la sécurité au travail, Royaume-Uni)

ICARE : Institut de combustion, aérothermique, réactivité et environnement, CNRS, France

IEC : International Electrotechnical Commission (Commission internationale électrotechnique, qui publie des normes)

IEEE : Institute of Electrical and Electronics Engineers (Institut des ingénieurs électriciens et électroniciens, association professionnelle, publie des normes)

IEER : Institute for Energy and Environmental Research (Institut de recherche pour l’énergie et l’environnement, États-Unis)

IFFSTAR : Institut français des sciences et technologies des transports, de l’aménagement et des réseaux

ILL : Institut Lauë-Langevin, Grenoble, France (exploitant du réacteur à haut flux RHF)

INERIS : Institut national de l’environnement industriel et des risques, France

INL : Idaho National Laboratory (Laboratoire national de l’Idaho, États-Unis)

INPES : Institut national de prévention et d’éducation pour la santé, France

INPO : Institute of Nuclear Power Operations (Institut d’exploitation de l’énergie nucléaire, États-Unis)

INSAG : International Nuclear Safety Advisory Group (groupe d’experts internationaux en matière de sûreté nucléaire, de conseil auprès de l’AIEA)

INSEE : Institut national de la statistique et des études économiques, France

INSERM : Institut national de la santé et de la recherche médicale, France

INTRA : groupement d’intérêt économique des exploitants nucléaires français créé après l’accident de Tchernobyl, visant à développer des moyens d’intervention robotisés pouvant intervenir en milieu fortement radioactif

InVS : Institut de veille sanitaire, France

IPSN (ex-IRSN) : Institut de protection et de sûreté nucléaire, France

IRRS : Integrated Regulatory Review Service (système international de revue de l’organisation de contrôle du nucléaire dans un pays, AIEA)

IRSN : Institut de radioprotection et de sûreté nucléaire, France

ISO : International Standards Organization (Organisation internationale de normalisation)

ITER Organization : organisation intergouvernementale (dont les membres sont la République populaire de Chine, la Communauté européenne de l’énergie atomique (Euratom), la République de l’Inde, le Japon, la République de Corée, la Fédération de Russie et les États-Unis d’Amérique), visant à démontrer la faisabilité scientifique et technique de l’utilisation de l’énergie de fusion à des fins pacifiques

JAEA : Japan Atomic Energy Agency (Agence de l’énergie atomique, Japon)

JAERI (ex-JAEA) : Japan Atomic Energy Research Institute (Institut de recherche en énergie atomique, Japon)

JNES : Japan Nuclear Energy Safety Organization (organisme japonais dans le domaine de la sûreté de l’énergie nucléaire)

JRC : Joint Research Centre (Centre commun de recherche, notamment à Petten aux Pays-Bas, à Ispra en Italie…)

JSI : Jožef Stefan Institute (institut de recherche créé en 1949, en charge d’un large spectre de recherches fondamentales et appliquées dans les domaines des sciences de la nature et des technologies, Ljubljana, Slovénie)

KEPCO : Kansai Electric Power Company (compagnie de production d’électricité, Japon)

KfJ : Forschungzentrum Jülich (Centre de recherches de Jülich, Allemagne)

KfK : Kernforchungzentrum Karlsruhe (Institut de technologie de Karlsruhe, Allemagne)

KIT (ex-FzK, ex-KfK) : Karlsruhe Institut für Technologie (Institut de technologie de Karlsruhe, Allemagne)

KTA : Kerntechnische Ausschuss (comité nucléaire allemand, par assimilation nom donné aux règles établies par ce comité)

KWU : Kraftwerk Union (constructeur de réacteurs [réacteurs KONVOI], Allemagne)

LEFH : Laboratoire d’étude des facteurs humains, IPSN, France

LEI : Lietuvos Energetikos Institutas (Institut de recherche et développement, Kaunas, Lituanie)

LSTC : Livermore Software Technology Corporation, États-Unis

MAI : Materials Ageing Institute (institut créé par EDF en matière de vieillissement des matériels)

MEDDE : ministère en charge de l’écologie, du développement durable et de l’énergie (devenu le MTES, ministère en charge de la transition écologique et solidaire), France

METI : ministère en charge de l’économie, du commerce et de l’industrie, Japon

MOE : ministère en charge de l’environnement, Japon

MSNR : Mission de sûreté nucléaire et de radioprotection (au sein de la DGPR), France

MSQ, MSQE : Mission sûreté qualité, devenue Mission sûreté qualité environnement, organe interne à EDF

MTA EK : Hungarian Academy of Sciences, Centre for Energy Research (Académie hongroise des sciences, Centre de recherches sur les énergies, Budapest)

MTES (devenu MTE) : ministère en charge de la transition écologique et solidaire, France

NDC : Nuclear Development Committee (Committee for technical and economical studies on nuclear energy development and the fuel cycle), (Comité pour le développement nucléaire, AEN)

NEI : Nuclear Energy Institute (Institut sur l’énergie nucléaire, États-Unis)

NHK : chaîne de télévision japonaise

NISA : Nuclear and Industrial Safety Agency (Agence de la sûreté nucléaire et industrielle, Japon)

NLC : Nuclear Law Committee (Comité sur les lois dans le domaine nucléaire, AEN)

NPI : Nuclear Power International (nom d’une filiale créée par Framatome et Siemens)

NRA : Nuclear Regulation Authority (nouvelle autorité de règlementation nucléaire japonaise, instituée après l’accident de la centrale nucléaire de Fukushima Daiichi)

NSC : Nuclear Science Committee (Comité sur la science nucléaire, AEN)

NSC : Nuclear Safety Commission (Commission de sûreté nucléaire, Japon)

NTTF : Near-Term Task Force (groupe de réflexion « court terme » mis en place aux États-Unis à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi)

NUGENIA : NUclear GENeration II & III Association (Association internationale dédiée à la sûreté des réacteurs de générations II et III)

NuScale Power : société américaine qui développe un concept de petit réacteur modulaire intégré à eau sous pression d’une puissance de 50 MWe

NUSSC : NUclear Safety Standards Committee (comité de l’AIEA sur les normes de sûreté des réacteurs nucléaires)

OCDE : Organisation de coopération et de développement économiques (OECD : Organisation for Economic Co-operation and Development)

OMS : Organisation mondiale de la Santé (WHO en anglais)

OPECST : Office parlementaire d’évaluation des choix scientifiques et technologiques, France

OPRI : Office de protection contre les rayonnements ionisants, France

Orano : voir Areva

ORNL : Oak Ridge National Laboratory (Laboratoire national d’Oak Ridge, Tennessee, États-Unis)

OSART : Operational Safety Review Analysis (ou Assessment) Review Team (évaluation de la sûreté d’un site nucléaire, organisée par l’AIEA à la demande d’un État membre)

PNC : Power reactor and Nuclear fuel development Corporation, Japon

PROSPER : Peer Review of Operational Safety Performance Experience Review (revue par des pairs des performances en matière de sûreté d’exploitation, AIEA)

PSI : Paul Scherrer Institute (Institut Paul Scherrer, Suisse)

RASSC : Radiation Safety Standards Committee (comité de l’AIEA sur les normes de sûreté radiologique)

RATEN ICN : Institutul de Cercetări Nucleare (Institut de recherche nucléaire, Pitesti, Roumanie)

RDM : Rotterdamsche Droogdokmaatschappij (entreprise néerlandaise qui a fabriqué des cuves de réacteurs [n’existe plus])

RHWG : Reactor Harmonisation Working Group (groupe de travail de l’association WENRA sur l’harmonisation en matière de sûreté des réacteurs)

RISKAUDIT : groupement d’intérêt économique IRSN/GRS

ROSATOM : Compagnie russe, notamment de conception, de construction et d’exploitation de réacteurs de puissance

RSK : Reaktor Sicherheitskommission (groupe d’experts sur la sûreté des réacteurs, Allemagne)

RWMC : Radioactive Waste Management Committee (Comité sur la gestion des déchets radioactifs, AEN)

SAFER : Strategic Alliance for FLEX Emergency Response (alliance stratégique pour une réponse « flexible » en situation d’urgence)

Santé publique France : établissement public français à caractère administratif, placé sous la tutelle du ministre en charge de la santé. Succède à l’Institut de veille sanitaire (InVS), à l’Institut national de prévention et d’éducation pour la santé (INPES) et à l’Établissement de préparation et de réponse aux urgences sanitaires (EPRUS)

SCK CEN : Studiecentrum voor Kernenergie (Centre d’étude de l’énergie nucléaire, Belgique)

SCPRI : Service central de protection contre les rayonnements ionisants, France

SCSIN : Service central de sûreté des installations nucléaires, France

SCSP : Sous-commission de sûreté des piles, France

SCSSINP : State Committee for the Supervision of Safety in Industry and Nuclear Power (Comité pour la supervision de la sûreté dans l’industrie et l’énergie nucléaire, URSS)

SEBIM : société fabriquant notamment des soupapes pour les réacteurs à eau sous pression du parc électronucléaire français

SEC NRS : Scientific and Engineering Centre for Nuclear and Radiation Safety (Centre scientifique et technique de radioprotection et de sûreté nucléaire, Moscou, Fédération de Russie)

SGDSN : Secrétariat général de la défense et de la sécurité nationale, France

SNETP : Sustainable Nuclear Energy Technology Platform (plateforme technologique européenne pour l’énergie nucléaire)

SSTC NRS : State Scientific and Technical Center for Nuclear and Radiation Safety (Centre scientifique et technique de radioprotection et de sûreté nucléaire, Kiev, Ukraine)

STUK : Säteilyturvakeskus (autorité de sûreté nucléaire et de radioprotection finlandaise)

TEPCO : Tokyo Electric Power Company (Compagnie de production d’électricité de Tokyo, exploitant les réacteurs de la centrale de Fukushima Daiichi, Japon)

TRANSSC : TRANsport Safety Standards Committee (comité de l’AIEA sur les normes de sûreté des transports de matières radioactives)

TSO : Technical Safety Organization (organisme technique de sûreté)

UE : Union européenne

UJV : voir CVŘež

UNIPEDE : International Union of Producers and Distributors of Electrical Energy (Union internationale des producteurs et des distributeurs d’énergie électrique)

UNSCEAR : United Nations Scientific Committee on the Effects of Atomic Radiation (Comité scientifique des Nations Unies sur les effets des radiations atomiques)

U.S.NRC : U.S.Nuclear Regulatory Commission (autorité de sûreté américaine)

UTO : Unité technique opérationnelle (EDF/DPN)

VATESI : State Nuclear Power Safety Inspectorate (autorité de sûreté lituanienne)

VUJE : société d’ingénierie créée en 1977 qui exerce des activités de conception, de fourniture, de réalisation, de recherche et de formation principalement dans le domaine des énergies nucléaire et classique, Trnava, Slovaquie

VTT : Teknologian tutkimuskeskus VTT Oy (centre de recherche technique de Finlande VTT S.A.)

WANO : World Association of Nuclear Operators (Association mondiale des exploitants nucléaires)

WASSC : WAste Safety Standards Committee (comité de l’AIEA sur les normes pour la sûreté de la gestion des déchets radioactifs)

WENRA : Western European Nuclear Regulators Association (Association des chefs des autorités de sûreté des pays de l’Europe de l’Ouest)

Westinghouse : entreprise américaine, fondée par George Westinghouse en 1886 sous le nom de Westinghouse Electric Company. Elle a été rachetée en 2006 par la firme japonaise Toshiba. Elle est spécialisée dans le nucléaire. Elle intervient dans les domaines de la conception et de la fabrication d’assemblages de combustible nucléaire, des services spécialisés à l’industrie et l’ingénierie associée, de la conception et la réalisation de nouvelles centrales nucléaires

WGAMA : Working Group on Analysis and Management of Accidents (groupe de travail de l’OCDE/AEN traitant de la gestion des accidents)

WGELEC : Working Group on Electrical Power Systems (groupe de travail de l’OCDE/AEN traitant des systèmes électriques de puissance)

WGEV : Working Group on External Events (groupe de travail de l’OCDE/AEN traitant des agressions externes)

WGFCS : Working Group on Fuel Cycle Safety (groupe de travail de l’OCDE/AEN traitant de la sûreté du cycle du combustible)

WGHOF : Working Group on Human and Organisational Factors (groupe de travail de l’OCDE/AEN traitant des facteurs organisationnels et humains)

WGIAGE : Working Group on Integrity and Ageing of Components and Structures (groupe de travail de l’OCDE/AEN traitant de l’intégrité et du vieillissement des structures)

WGOE : Working Group on Operating Experience (groupe de travail sur le retour d’expérience d’exploitation, AEN)

WGRISK : Working Group on Risk Assessment (groupe de travail de l’OCDE/AEN traitant de l’évaluation des risques)

WGSAR : Working Group on the Safety of Advanced Reactors (groupe de travail de l’OCDE/AEN traitant des réacteurs dits avancés)

WHO : World Health Organization (Organisation mondiale de la Santé [OMS])

WISE-Paris : World Information Service on Energy (Agence indépendante d’information, d’étude et de conseil sur le nucléaire et les politiques énergétiques)

Wood : Wood (Environment & Infrastructures Solutions) s’est associé à Amec Foster Wheeler pour former un organisme de fourniture de services de projets, d’ingénierie et de services techniques destinés aux marchés de l’énergie et de l’industrie, Knutsford, Grande Bretagne

Acronymes techniques

AAI : autorité administrative indépendante

AAR : arrêt automatique du réacteur (parc électronucléaire français)

ACQ : activité concernée par la qualité

ADA : nom générique d’assemblages combustibles produits par Westinghouse, chargés dans les réacteurs électronucléaires français

ADN : acide désoxyribonucléique

AdR : analyse des risques

AEFS : analyse des exigences fonctionnelles d’un système élémentaire, réacteurs du parc électronucléaire français

AFA : nom générique d’assemblages combustibles produits par Areva puis Framatome, chargés dans les réacteurs électronucléaires français

AFIS : nom d’un outillage de Westinghouse servant à localiser des crayons combustibles non étanches dans un assemblage, en utilisant des ultrasons

AGORAS : Amélioration de la gouvernance des organisations et des réseaux d’acteurs pour la sûreté nucléaire (projet de recherche en matière de sûreté nucléaire et de radioprotection [RSNR] financé par l’Agence nationale de la recherche [ANR])

AIC : mélange d’argent, d’indium et de cadmium utilisé comme matériau absorbant neutronique dans les réacteurs à eau sous pression

AIP : activité importante pour la protection des intérêts (au sens de la loi TSN)

ALARA : As Low As Reasonably Achievable (aussi bas que raisonnablement possible, principe utilisé notamment en radioprotection)

ALCADE : nom donné à une gestion de combustible (Allonger les campagnes pour améliorer durablement l’exploitation) dans les réacteurs du parc électronucléaire français

ALPS : Advanced Liquid Processing System (système développé par l’exploitant TEPCO pour traiter les eaux contaminées qui sont récupérées après l’accident survenu à la centrale nucléaire de Fukushima Daiichi)

AMDE : analyse des modes de défaillances et de leurs effets

AMDEC : analyse des modes de défaillances, de leurs effets et de leur criticité

AMS : Aeroball Meassurement System (nom du système de mesures neutroniques dans le cœur (in-core) par aeroballs du réacteur EPR)

AN/GV : arrêt normal utilisant les générateurs de vapeur pour le refroidissement du réacteur

AN/RRA : arrêt normal utilisant le circuit RRA pour le refroidissement du réacteur

AO : Axial Offset (distorsion axiale du flux neutronique dans un cœur de réacteur)

AP913 : Advanced Project 913 (méthode utilisée par EDF en matière d’optimisation de la maintenance par la fiabilité [parc électronucléaire français])

AP1000 : réacteur à eau sous pression d’environ 1 150 MWe développé par Westinghouse Electric Corporation

APA : nom générique d’assemblages combustibles produits par Westinghouse, chargés dans les réacteurs électronucléaires français

APE : approche par états

APEC : atelier pour l’évacuation du combustible, centrale nucléaire de Creys-Malville (réacteur SUPERPHENIX), France

APG : système de purge des générateurs de vapeur (parc électronucléaire français)

API : arrêt (d’un réacteur) pour intervention (sur un ou plusieurs équipements)

APOLLO : nom donné à un logiciel de simulation neutronique en 2D qui établit des bibliothèques multi-paramétrées de sections efficaces

APR : arrêt pour rechargement (du cœur d’un réacteur)

APRP : accident de perte de réfrigérant primaire (LOCA : Loss of Coolant Accident)

APRP BI : APRP « brèche intermédiaire »

APRP GB : APRP « grosse brèche »

ARE : système (circuit) d’alimentation (régulée) normale en eau des générateurs de vapeur (parc électronucléaire français)

ASAMPSA : Advanced Safety Assessment for Probabilistic Safety Assessments (projets menés dans le cadre de PCRD, concernant les études probabilistes de sûreté)

ASG : système (circuit) d’alimentation en eau de secours des générateurs de vapeur (parc électronucléaire français)

ASP : Accident Sequence Precursor (programme d’analyses de séquences précurseurs d’accidents, États-Unis)

ASTEC : Accident Source Term Evaluation Code (logiciel de simulation [ou système de logiciels] pour l’évaluation des phénomènes physiques intervenant au cours d’un accident de fusion du cœur d’un réacteur à eau sous pression)

ASTER : Analyses des structures et thermomécanique pour des études et des recherches (logiciel de simulation)

ATHEANA : A Technique for Human Error ANAlysis (modèle d’étude probabiliste de la fiabilité humaine)

ATMEA1 : projet de réacteur à eau sous pression de 1 100 MWe développé conjointement par Mitsubishi Heavy Industries et Areva

ATPu : Atelier de technologie du plutonium (installation ayant eu pour activité principale la production de combustible de type « MOX » [mélange d’oxydes d’uranium appauvri et de plutonium] pour les réacteurs nucléaires)

ATWS : Anticipated Transients Without Scram (transitoires incidentels avec échec de l’arrêt automatique [pas de chute des grappes absorbantes])

AZALÉE : nom donné à une table vibrante du CEA à Saclay (France)

BAN : bâtiment des auxiliaires nucléaires (parc électronucléaire français)

BAS : bâtiment des auxiliaires de sauvegarde (certains réacteurs du parc électronucléaire français)

BDBA: Beyond Design Basis Accident (accident « hors dimensionnement »)

BEP : boucle à eau sous pression (réacteur CABRI)

BETA : installation expérimentale de FzK/Karlsruhe (Allemagne) pour l’étude de l’interaction corium-béton ; nom des essais menés dans cette installation

BETHSY : nom donné à une installation expérimentale du CEA (Boucle d’études de thermohydraulique système)

BI : brèche intermédiaire

BK : bâtiment du combustible (parc électronucléaire français)

BORA-BORA : nom d’une maquette utilisée par EDF pour l’étude de la dispersion et de l’érosion d’un « bouchon » d’eau non borée transféré vers le cœur d’un réacteur à eau sous pression

BR : bâtiment du réacteur (parc électronucléaire français)

BTE : bâtiment de traitement des effluents (parc électronucléaire français)

BWR : Boiling Water Reactor (réacteur à eau bouillante)

CAB (lettre CAB) : nom de lettres ministérielles (fixant par exemple des orientations en matière de sûreté nucléaire)

CABRI : nom donné à un réacteur d’essai exploité par le CEA à Cadarache (France), mis à disposition de l’IRSN pour l’étude de situations accidentelles dans les réacteurs (REP, RNR)

CASHIMA : nom donné à un projet de recherche relatif aux « effets de site » en matière sismique

Cast3M : nom donné à un logiciel de simulation par la méthode des éléments finis pour la mécanique des structures et des fluides

CATHARE : Code avancé de thermohydraulique pour l’étude des accidents de réacteurs à eau (logiciel de simulation dédié aux études de sûreté)

CCI : nom de filtres de puisards à cartouches de construction Areva (parc électronucléaire français)

CCL : centre de crise local dans les centrales nucléaires françaises

CE : chef d’exploitation, Électricité de France

CED : chef d’exploitation délégué, Électricité de France

CEI : commission électrotechnique internationale

CEPP : système (circuit) d’étanchéité des pompes primaires (parc électronucléaire français)

CERES : nom donné à un logiciel de simulation dédié au calcul des conséquences radiologiques d’un rejet en situation accidentelle

CESAR : nom d’un module du logiciel de simulation ASTEC

CEUS : Central and Eastern United States, zone du centre et de l’est des États-Unis

CFD : Computational Fluid Dynamics (mécanique des fluides numérique ou MFN)

CFH : consultant facteurs humains, Électricité de France

CFR : Code of Federal Regulations (code de règlementation fédérale américaine)

CFX, NEPTUNE_CFD, STAR-CD, TrioCFD : logiciels de simulation de type CFD

Chicago Pile-1 : nom donné à un réacteur de l’université de Chicago, première pile atomique utilisant de l’uranium naturel et du graphite

CHRS : Containment Heat Removal System (système d’évacuation de la chaleur de l’enceinte de confinement du réacteur EPR ; acronyme dont l’équivalent français pour le réacteur EPR Flamanville 3 est EVU)

CICA : configuration importante de la conduite accidentelle (parc électronucléaire français)

CIM : classification internationale des maladies

CIP : Cabri International Program (programme international consacré à l’étude du comportement des crayons de combustible nucléaire et de leurs gaines en cas d’accident d’injection de réactivité dans les réacteurs à eau sous pression)

CND : voir END

CNI : chambres (de mesures neutroniques) de niveau « intermédiaire » dans les réacteurs du parc électronucléaire français

CNP : chambres (de mesures neutroniques) de niveau « puissance » dans les réacteurs du parc électronucléaire français

CNS : chambres (de mesures neutroniques) de niveau « source » dans les réacteurs du parc électronucléaire français

COC : « pseudo système » de contrôle commande, réacteurs du parc électronucléaire français

CONTROBLOC : nom donné aux baies de relayage informatisé des automates de régulation dans les réacteurs du parc électronucléaire français de 1 300 MWe de types P4 et P’4 (CONTRONIC pour les réacteurs du palier N4, SPPA-T2000 pour le réacteur EPR)

CONVEX : nom donné à des exercices de crise organisés par l’AIEA

COPAT : centre opérationnel de pilotage des arrêts de tranche

CORA : installation expérimentale de FzK/Karlsruhe (Allemagne) pour l’étude de la dégradation d’une grappe de crayons combustibles ; nom des essais menés dans cette installation

COS : commandant des opérations de secours en préfecture (organisation de crise), France

CP : « contrat programme » (nom attribué aux différents « lots » de réacteurs de 900 MWe du parc électronucléaire français [voir ci-après])

CPA : nom d’un module du logiciel de simulation ASTEC

CP0, CPY (CP1 et CP2) : trois sous-familles ou groupes de réacteurs de 900 MWe du parc électronucléaire français (désignation CP0 adoptée a posteriori)

CP1 : nom donné au simulateur de salle de commande « pleine échelle » de la centrale nucléaire du Bugey

CPP : circuit primaire principal (d’un réacteur à eau sous pression)

CRF : circuit d’eau brute passant dans le condenseur pour refroidir et condenser la vapeur d’eau (réacteurs du parc électronucléaire français)

CRISTAL : nom donné à un formulaire ayant pour objectif l’évaluation du risque de criticité dans toutes les installations nucléaires et les emballages de transport mettant en œuvre des matières fissiles

CRITER : base de données de l’IRSN rassemblant les résultats des mesures de radioactivité réalisées sur le terrain (gestion de crise)

CRONOS : nom donné à un logiciel de simulation qui permet de déterminer le comportement neutronique d’un cœur de réacteur en 3D

CRP : Coordinated Research Project (projet de recherche coordonné de l’AIEA)

CSC : corrosion sous contrainte

CSP : circuit secondaire principal (d’un réacteur à eau sous-pression)

CTA : coefficient de transfert atmosphérique

CYCLADES : nom donné à une gestion de combustible (cycle combustible pour augmenter la disponibilité par évaluation de sûreté), dans les réacteurs du parc électronucléaire français

C3X (« C cube X ») : nom donné à une « plateforme de calcul » permettant de simuler la dispersion des rejets atmosphériques de substances radioactives à l’échelle régionale (plusieurs centaines de kilomètres autour de l’installation nucléaire accidentée)

DAB : dispositif autobloquant

DAD : dispositif antidébattement

DAMAC : dispositif amovible de mesure des assemblages combustibles

DAO : dispositif d’auscultation optimal (enceinte de confinement des réacteurs, EDF)

DAPE : dossier d’aptitude à la poursuite de l’exploitation d’un équipement (réacteurs du parc électronucléaire)

DBA : Design Basis Accident (accident « de dimensionnement »)

DBC : Design Basic Conditions, désignation des conditions de fonctionnement de référence dans le guide ASN n° 22 (France)

DCH : Direct Containment Heating (échauffement direct des gaz dans l’enceinte de confinement d’un réacteur nucléaire en situations avec fusion du cœur)

DDF : durée de fonctionnement (nom donné au projet d’EDF d’allongement de la durée d’exploitation des réacteurs du parc électronucléaire français au-delà de 40 ans)

DDH : défaut dû à l’hydrogène

DDR : dossier de référence pour la fabrication d’un équipement (réacteurs du parc électronucléaire)

DEC : Design Extension Conditions (domaine de conception étendu)

DEF : nom donné, au sein des STE, au chapitre « Définitions »

DEG : système de production et de distribution d’eau glacée notamment pour le réacteur et le bâtiment du combustible (réacteurs du parc électronucléaire français hormis EPR)

DEL : systèmes de production et de distribution d’eau glacée secourue (réacteurs du parc électronucléaire français)

DEM : acronyme pour « démarrage » associé à des procédures d’essais (réacteurs du parc électronucléaire français)

DENOPI : Dénoyage piscines (programme de recherche sur le dénoyage accidentel d’une piscine d’entreposage de combustibles nucléaires)

DER : système de production et de distribution d’eau glacée du bâtiment du réacteur (EPR)

DGES : dossier général d’évaluation de la sûreté d’une recharge de combustible du cœur (parc électronucléaire français)

DIDR : décohésion intergranulaire due au réchauffage

DIRAS : dossier d’information relatif à l’assainissement des structures

DISCO : DIspersion of Simulated COrium (installation expérimentale de KIT dédiée à la dispersion de corium, utilisant des poudres inactives)

DIVA : Dispositif incendie ventilation et aérocontamination (installation expérimentale de l’IRSN dédiée à la réalisation d’essais sur les feux)

DIVA : nom d’un module du logiciel de simulation ASTEC

DMES : dossier de demande d’autorisation de mise en service (réacteurs du parc électronucléaire français)

DMP : dispositions et moyens particuliers (parc électronucléaire français)

DNB : Departure from Nucleate Boiling (« crise d’ébullition »)

DNBR : Departure from Nucleate Boiling Ratio (voir aussi RFTC)

DOR : dossier d’orientation du réexamen (pour les réexamens périodiques – parc électronucléaire français)

DOS : dossier d’options de sûreté

DOS : document d’orientation et de stabilisation

D/P AG : méthode de diagnostic et de pronostic d’évolution de situations d’accident grave (gestion de crise)

DRACCAR : Déformation et renoyage d’un assemblage de crayons combustibles pendant un accident de refroidissement (logiciel de simulation)

DRMC : dispositif de ressuage dans le mât de la machine de chargement-déchargement des assemblages combustibles (parc électronucléaire français)

DRR : dossier de référence règlementaire (dossier justificatif du respect de la règlementation française relative aux appareils à pression)

DSD : demi-séisme de dimensionnement

DSE : dossier de système élémentaire (réacteurs du parc électronucléaire français)

DSHA : Deterministic Seismic Hazard Analysis (analyse déterministe du risque sismique)

DSR : défaut sous revêtement

DSS : dossier spécifique d’évaluation de la sûreté d’une recharge de combustible du cœur (parc électronucléaire français)

DULCINEE : nom donné à un logiciel de simulation permettant de simuler la thermohydraulique dans un cœur de réacteur nucléaire et la thermique du combustible

DVL : système de ventilation du bâtiment des systèmes électriques (réacteurs du parc électronucléaire français)

DVN, DVQ : systèmes de ventilation du bâtiment des auxiliaires nucléaires et du bâtiment de traitement des effluents (réacteurs du parc électronucléaire français hormis l’EPR)

EAS : système d’aspersion d’eau dans l’enceinte de confinement (réacteurs du parc électronucléaire français hormis EPR)

EASu : système ultime d’évacuation de la puissance de l’enceinte de confinement (réacteurs du parc électronucléaire français hormis EPR)

EATF : Enhanced Accident Tolerant Fuel (combustible développé par Areva puis Framatome)

ECHO 330, ECHO monosonde : nom d’outillages développés par Areva servant à localiser des crayons non étanches dans un assemblage combustible, en utilisant des ultrasons

ECOBA : Étude du confinement des ouvrages en béton armé (projet de recherche visant à mieux évaluer l’étanchéité des enceintes de confinement des réacteurs à eau sous pression en cas d’accident avec fusion du cœur)

ECOT : examen de conformité d’une tranche, effectué dans le cadre d’un réexamen périodique (parc électronucléaire français)

ECP : dans l’APE, ensemble des stratégies de conduite possible du circuit primaire dans les états d’un réacteur à eau sous pression avec le RRA non connecté (parc électronucléaire français)

ECPR : dans l’APE, ensemble des stratégies de conduite possible du circuit primaire dans les états d’un réacteur à eau sous pression avec le RRA connecté, circuit primaire fermé (parc électronucléaire français)

ECPRO : dans l’APE, ensemble des stratégies de conduite possible du circuit primaire dans les états d’un réacteur à eau sous pression avec le RRA connecté, circuit primaire ouvert (parc électronucléaire français)

ECR : Equivalent Cladding Reacted (taux d’oxydation de la gaine lors d’un transitoire de fonctionnement tel qu’un APRP, exprimé en pourcentage de l’épaisseur de celle-ci)

ECS : dans l’APE, ensemble des stratégies de conduite possible de la partie secondaire d’un réacteur à eau sous pression (parc électronucléaire français)

ECS : évaluations complémentaires de sûreté (menées en France à la suite de l’accident de Fukushima Daiichi)

ED : examen (ou contrôle) destructif

ED : exigence définie

EDE : système de filtration-extraction de l’air de l’espace entre enceintes (réacteurs du parc électronucléaire français équipés d’une double enceinte)

EDG : éjection d’une grappe absorbante

EDGAR : nom donné à une installation expérimentale du centre d’études CEA de Saclay (France), utilisée pour l’étude du comportement des crayons combustibles des réacteurs à eau sous pression

EDGE : projet de recherche sur les interfaces entre expertise et décision en situation de gestion de crise dans les industries à hauts risques, France

EDI : état dégradé de l’installation (notion utilisée dans les EPS de niveau 2)

EEE : espace entre enceintes (réacteurs à double enceinte, parc électronucléaire français)

EII : équipements internes inférieurs d’un réacteur à eau sous pression (parc électronucléaire français)

EIP : élément important pour la protection (des « intérêts », notion de la règlementation française)

EIPS : équipement important pour la protection en matière de sûreté (notion de la règlementation française)

EIS : élément important pour la sûreté, notion de la règlementation française qui a été remplacée par celle d’EIP [voir plus haut])

EIS : équipements interne supérieurs d’un réacteur à eau sous pression (parc électronucléaire français)

EIU : événement initiateur unique

ELISA : nom donné à une boucle expérimentale dédiée aux recherches sur la recirculation d’eau de refroidissement du cœur en conditions accidentelles

ELSA : nom d’un module du logiciel de simulation ASTEC

ENACCEF : nom d’un programme d’essais de feux de l’Institut ICARE

END : examen non destructif

ENS : acronyme pour « Ensemble », associé à des procédures d’essais « d’ensemble » (réacteurs du parc électronucléaire français)

EP : essai périodique

EPFH : étude probabiliste de la fiabilité humaine

EPIC : établissement public à caractère industriel et commercial

EPR : European Pressurized water Reactor (réacteur européen à eau sous pression)

EPR NM : EPR dit nouveau modèle (évolution du réacteur EPR)

EPR 2 : évolution de l’EPR NM

EPS : étude probabiliste de sûreté

EPS 1 : EPS de niveau 1

EPS 2 : EPS de niveau 2

ESCADRE : ancien système de logiciels d’étude des accidents de fusion du cœur, remplacé par ASTEC

ESE : événement significatif pour l’environnement (notion de la règlementation française)

ESP : équipement sous pression

ESPN : équipement sous pression nucléaire (notion de la règlementation française)

ESR : événement significatif pour la radioprotection (notion de la règlementation française)

ESS : événement significatif pour la sûreté (notion de la règlementation française)

ET : ensemble technologique dans une AMDEC

ETC-C : EPR Technical Code for Civil Works (code technique pour les ouvrages de génie civil du réacteur EPR)

ETY : système de contrôle de la teneur en hydrogène et de brassage de l’air dans le bâtiment d’un réacteur à eau sous pression (parc électronucléaire français)

EUR : European Utility Requirements (exigences établies par un groupe d’électriciens européens)

EUROPLEXUS : nom donné à un logiciel de simulation de dynamique rapide par éléments finis

EVU : système d’évacuation ultime de la chaleur de l’enceinte de confinement (réacteur EPR)

EXJET : nom d’un programme d’essais de feux de l’INERIS

FARN : Force d’action rapide nucléaire (entité d’appui aux CNPE pour les réacteurs du parc électronucléaire français, conçu et mis en place par EDF à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi)

FAV : fiche d’analyse du vieillissement d’un équipement, Électricité de France

FCEN : « fonction chaudière d’exploitation normale », notion introduite dans les STE

FH : facteurs humains

FINAS : Fuel Incident Notification and Analysis System (système de notification des analyses d’incidents concernant le cycle du combustible, géré par l’AIEA)

FIPLOC : nom de l’un des logiciels du système ESCADRE (remplacé par ASTEC) de thermohydraulique dans l’enceinte de confinement

FLEX : stratégie et dispositions de secours ultime aux centrales nucléaires mis en place aux États-Unis à la suite de l’accident de la centrale nucléaire de Fukushima Daiichi

FLICA : nom donné à un logiciel de simulation de thermohydraulique d’un cœur de réacteur nucléaire lors de transitoires

FOH : facteurs organisationnels et humains

FUCHIA : nom d’un programme d’essais sur l’efficacité des filtres à sable (installés dans les réacteurs du parc électronucléaire français, hors EPR)

GAEC : guide d’action des équipes de crise, Électricité de France

GALICE : nom donné à une gestion de combustible (Gestion avec Augmentation Limitée de l’Irradiation pour le Combustible en Exploitation) dans les réacteurs du parc électronucléaire français

GARANCE : nom donné à une gestion de combustible (Gestion Avancée des REP avec Adaptation aux Nouveaux Cœurs Envisagés) dans les réacteurs du parc électronucléaire français

GAZAXI : nom donné à un logiciel dédié au calcul des conséquences radiologiques d’un rejet en situation accidentelle

GB : grosse brèche

GCT-a : circuit de contournement du GTA vers l’atmosphère (réacteurs électronucléaires français)

GCT-c : circuit de contournement du GTA vers le condenseur (réacteurs électronucléaires français)

GEMMES : nom donné à une gestion de combustible (Gestion des Évolutions et des Modifications des Modes d’Exploitation en Sûreté), dans les réacteurs du parc électronucléaire français

GEN : nom donné, au sein des STE, au chapitre « Généralités »

GF : dans une AMDE, groupe ou groupement fonctionnel d’équipements (i.e. assurant une même fonction)

GIAG : guide d’intervention en accident grave (réacteurs du parc électronucléaire français)

GME : groupement momentané d’entreprises (pour des travaux dans les réacteurs du parc électronucléaire français par exemple)

GMPE : nom d’équations de prédiction des mouvements sismiques

GMPP : groupe motopompe primaire (réacteurs du parc électronucléaire français)

GPEC : gestion prévisionnelle des emplois et des compétences

GT : guide-type d’essais (réacteurs du parc électronucléaire français)

GTA : groupe turboalternateur (réacteurs du parc électronucléaire français)

GV : générateur de vapeur

HARMONIE : nom donné à un réacteur nucléaire de recherche du CEA (dorénavant démantelé)

HEMERA : Highly Evolutionary Methods for Extensive Reactor Analyses (méthodes hautement évolutives pour une analyse approfondie des réacteurs – chaîne de calcul qui permet la simulation thermohydraulique et neutronique de transitoires dans un réacteur nucléaire)

Hn : nom donné à des procédures de conduite accidentelle pour les réacteurs du parc électronucléaire français (H comme hors dimensionnement)

HORAAM : Human and Organizational Reliability Analysis in Accident Management (analyse de fiabilité humaine et organisationnelle dans la gestion des accidents)

HPCI : High Pressure Coolant Injection System (système de refroidissement de secours du cœur d’un réacteur à eau bouillante, à débit plus élevé que le RCIC [centrale nucléaire de Fukushima Daiichi])

HRO : High Reliability Organization (organisation de haute fiabilité)

IAC : images d’aide à la conduite

IC : Isolation Condenser (système de refroidissement de secours du cœur d’un réacteur à eau bouillante [réacteur n° 1 de la centrale nucléaire de Fukushima Daiichi, qui ne comporte ni RCIC ni HPCI])

ICARE : nom d’un module du logiciel de simulation ASTEC

ICB : interaction corium-béton

ICPE : installation classée pour la protection de l’environnement (notion de la règlementation française)

ICSP : International Collaborative Standard Problems (problèmes standards faisant l’objet d’une collaboration internationale organisé par l’AIEA)

I4D : nom de la procédure de conduite « Perte totale de la voie A à la suite d’un incendie », Électricité de France

IdX : logiciel de simulation permettant de calculer les conséquences radiologiques de rejets de substances radioactives susceptibles de survenir en cas d’accident affectant une installation nucléaire (fait partie de la « plateforme » C3X)

IGC : Intergranular Corrosion (corrosion intergranulaire)

IHZC : incendie hors zone contrôlée (PUI, réacteurs du parc électronucléaire français)

ImPG : interaction mécanique entre pastilles de combustible et gaines

INB : installation nucléaire de base (notion de la règlementation française)

INBS : installation nucléaire de base classée secrète (notion de la règlementation française)

INES : International Nuclear Event Scale (échelle internationale des événements nucléaires, développée par l’AIEA)

INEX : nom donné à des exercices de crise organisés par l’OCDE

INFRA PUI : organisation de crise interne à un site de centrale électronucléaire (parc électronucléaire français)

INSC : Instrument for Nuclear Safety Cooperation (instrument de coopération en matière de sûreté nucléaire, nom d’un programme européen d’assistance technique)

IODE : nom d’un module du logiciel de simulation ASTEC

IPE : Individual Plant Examination (programme d’évaluation ciblée sur un réacteur, États-Unis)

IPEEE : Individual Plant Examination for External Events (programme d’évaluation ciblée sur un réacteur et sur les risques liées aux agressions externes, États-Unis)

IPG : interaction pastille-gaine

IPG-CSC : interaction pastille-gaine « assistée » par une corrosion sous contraintes

IPS : important pour la sûreté (remplacé par EIPS) (notions de la règlementation française)

IPS-NC : important pour la sûreté, non classé

IRG : « Incident réseau généralisé », nom donné au chapitre correspondant des STE

IRHR : Independant Residual Heat Removal (système indépendant d’évacuation de la puissance résiduelle)

IRP : indice de risque potentiel (utilisé par EDF dans ses analyses du caractère « précurseur » d’événements)

IRS : International Reporting System for Operating Experience (système international de collecte et de diffusion d’informations sur les incidents survenant dans les réacteurs de puissance)

IRSRR : Incident Reporting System for Research Reactors (système international de collecte et de diffusion d’informations sur les incidents survenant dans les réacteurs de recherche)

IRSWT : In containment Refueling Water System Tank (réservoir d’eau du système de réalimentation, situé à l’intérieur de l’enceinte de confinement du réacteur EPR)

IS : ingénieur sûreté ou de sûreté (parc électronucléaire français)

IS : injection (d’eau) de sécurité dans le circuit primaire d’un réacteur à eau sous pression

ISBP : injection (d’eau) de sécurité à basse pression dans le circuit primaire d’un réacteur à eau sous pression

ISCA : Independent Safety Culture Assessment (évaluation indépendante de la culture de sûreté organisée par l’AIEA)

ISHP : injection (d’eau) de sécurité à haute pression dans le circuit primaire d’un réacteur à eau sous pression

ISIS : nom d’un logiciel de simulation d’incendie

ISMP : injection (d’eau) de sécurité à moyenne pression dans le circuit primaire d’un réacteur à eau sous pression

ISODOP : nom d’un module du logiciel de simulation ASTEC

ISR : ingénieur sûreté-radioprotection

ISTP : International Source Term Program (programme de recherche international sur le « terme source »)

ITER : International Thermonuclear Experimental Reactor (nom d’un réacteur de fusion nucléaire, de type Tokamak, en construction sur le site de Cadarache, France)

IVMR : In-Vessel Melt Retention (rétention d’un corium de matériaux fondus en cuve)

IVR : In-Vessel Retention (rétention en cuve)

JDT : système de détection d’incendie (réacteurs du parc électronucléaire français)

JEPP : jour équivalent à pleine puissance

K1, K2, K3 : niveaux ou profils de qualification de matériels aux conditions accidentelles (K3AD : K3 avec ambiance dégradée)

KANT : nom d’un logiciel pour le développement et la quantification des arbres d’événements

KIC : système informatisé de conduite (réacteurs du palier N4)

KIR : système de surveillance acoustique de la chaudière pour la détection de corps migrants (réacteurs du parc électronucléaire français)

kit KPS : équipement informatique du panneau de sûreté de la salle de commande, réacteurs du parc électronucléaire français

KONVOI : nom donné à un type de réacteur à eau sous pression de conception allemande (KWU)

KRT : système (ou chaînes) de mesure de la radioactivité dans les réacteurs du parc électronucléaire français

LBM : liaison bimétallique

Learjet 23 : petit avion d’affaires biréacteur pris en compte dans l’analyse de sûreté des réacteurs du parc électronucléaire français

LGB : nom d’un tableau électrique (réacteurs du parc électronucléaire français)

LHA, LHB : noms de tableaux électriques secourus (réacteurs du parc électronucléaire français)

LHP : nom d’un groupe électrogène de secours (réacteurs du parc électronucléaire français)

LHQ : nom d’un groupe électrogène de secours (réacteurs du parc électronucléaire français)

LHT : nom d’un groupe électrogène de secours (réacteurs du parc électronucléaire français)

LLS : nom d’un turboalternateur de secours (réacteurs du parc électronucléaire français)

LNG et LNH : noms des tableaux d’alimentation électrique en 220 V du système CONTROBLOC (réacteurs du parc électronucléaire français)

LNT : Linear No-Treshold model (modèle linéaire sans seuil)

LOCA : Loss of Coolant Accident (perte de réfrigérant primaire)

Low Tin Zirlo™ : alliage Zirlo « bas étain » utilisé pour des gaines de crayons d’assemblages combustibles produits par Westinghouse

LS : lié à la sûreté

LS-DYNA : nom donné à un logiciel de simulation de dynamique rapide pour l’étude des structures

LSS : Life Span Study (nom donné à une étude sur les conséquences des bombardements atomiques des villes d’Hiroshima et de Nagasaki)

LTSR : Long Term Safety Review (revue de sûreté en vue d’une extension de la durée d’exploitation d’un réacteur)

M5® : nom donné à un alliage de zirconium développé par Areva

MAAP : Modular Accident Analysis Program (logiciel intégral [ou système de logiciels] de simulation des phénomènes physiques intervenant au cours d’un accident de fusion du cœur d’un réacteur à eau sous pression)

MAEVA : « maquette échange vapeur air » (maquette expérimentale d’EDF dédiée à l’étude du comportement d’une enceinte de confinement en cas d’accident de perte de réfrigérant primaire)

MC3D : nom donné à un logiciel de thermohydraulique multiphasique 3D pour la simulation de l’interaction entre des matériaux fondus et un fluide réfrigérant

MCNP : Monte Carlo N-Particule transport code (logiciel de simulation en 3D du transport de particules, fondé sur la méthode de Monte-Carlo)

MD : mode de défaillance d’un équipement

MDT ou MDTE : manque de tension externe

MDTG : manque de tension généralisé

MELCOR : nom donné à un logiciel intégral (ou système de logiciels) de simulation des phénomènes physiques intervenant au cours d’un accident de fusion du cœur d’un réacteur à eau sous pression

MEPEM : Méthode d’évaluation probabiliste de l’échec des missions (FH)

MERMOS : Méthode d’évaluation de la réalisation des missions opérateur pour la sûreté (modèle d’étude probabiliste de la fiabilité humaine)

MIS : Machine d’inspection en service de la cuve d’un réacteur à eau sous pression (réacteurs du parc électronucléaire français)

MNSR : Miniature Neutron Source Reactor (réacteur miniature source de neutrons)

MORET : logiciel de simulation qui résout l’équation du transport des neutrons à l’aide de méthodes Monte Carlo, principalement dédié aux études de criticité

MOX : Mixed Oxide Fuel (combustible constitué d’une mélange d’oxydes d’uranium et de plutonium [UO2 + PuO2])

Ms : magnitude des ondes de surface d’un séisme

MSK : échelle d’intensité d’un séisme établie par Medvedev, Sponheuer et Karnik

Mw : magnitude de moment d’un séisme

Ni (N1, N2, N3) : niveau de classement d’un équipement selon l’« arrêté ESPN » (France)

N4 : palier des réacteurs de 1 450 MWe du parc électronucléaire français

NAE : note d’analyse d’exhaustivité (d’essais) (réacteurs du parc électronucléaire français)

NFEP (« station NFEP ») : New Fuel Elevator Platform (équipement de Westinghouse pour extraire un ou des crayons d’un assemblage combustible RFA)

NGF : nivellement général de la France (réseau altimétrique)

NMA : niveaux maximaux de radioactivité admissibles pour la commercialisation de produits alimentaires

NPP : Nuclear Power Plant (réacteur nucléaire de puissance [électrogène])

NPSH : Net Pressure Section Head (valeur minimale de la pression à l’aspiration d’une pompe en dessous de laquelle il existe un risque de cavitation)

NSRR : Nuclear Safety Research Reactor (réacteur de recherche japonais utilisé pour des essais de sûreté)

NUREG : Nuclear Regulatory Report (rapport publié par l’U.S.NRC)

ODOBA : Observatoire de la durabilité des ouvrages en béton armé (projet de recherche consacré à l’étude du vieillissement des ouvrages et des pathologies pouvant les affecter)

OLC : Operational Limits and Conditions (limites et conditions d’exploitation)

OMF : optimisation de la maintenance par la fiabilité, Électricité de France

ONG : organisation non gouvernementale

Optimized Zirlo™ : nom donné à un alliage de zirconium développé par Westinghouse

OPPT : opérateur pilote de tranche, Électricité de France

ORM : Operating Reactivity Margin (notion utilisée pour l’exploitation des réacteurs de type RBMK)

ORSEC : organisation de secours, puis, depuis 2006, organisation de la réponse de la sécurité civile, à l’échelon départemental. Dispositif français polyvalent de gestion de crises

OSRDE : observatoire sûreté radioprotection disponibilité environnement, Électricité de France

P4 : nom donné à un type de réacteur de 1 300 MWe (parc électronucléaire français)

P’4 : nom donné à un type de réacteur de 1 300 MWe (parc électronucléaire français)

PAC : programmes d’actions correctives mis en œuvre par EDF (réacteurs du parc électronucléaire français)

PAI : piège à iode

PAI : « plan d’actions incendie » mis en œuvre par EDF pour le parc électronucléaire français

PAM : plan d’appui et de mobilisation, en complément du PUI (réacteurs du parc électronucléaire français)

PAM-GAT : plan d’appui et de mobilisation, gréement assistance technique (réacteurs du parc électronucléaire français)

PANAME : plan d’actions nouvelles pour l’amélioration du modèle EPFH avec passage à l’APE (modèle d’étude probabiliste de la fiabilité humaine)

Parité MOX : nom donné à une gestion de combustible dans les réacteurs du parc électronucléaire français

PASSAM : Passive and Active Systems on Severe Accident source term Mitigation (projet de recherches de la Commission européenne pour la limitation des rejets en cas de fusion d’un cœur de réacteur électronucléaire)

PBES : plus basses eaux de sécurité

PBF : Power Burst Facility (installation d’essais américaine)

PBMP : programme de base de maintenance préventive (réacteurs du parc électronucléaire français)

PCC : poste de commandement des contrôles (radiologiques) d’un site d’EDF (gestion de crise)

PCC : Plant Category Conditions (catégorie de conditions de fonctionnement [1 à 4], réacteur EPR)

PCD : poste de commandement de direction au niveau d’un site d’EDF (gestion de crise)

PC FARN : poste de commandement de la Force d’action rapide nucléaire d’EDF (gestion de crise)

PCL : poste de commandement local d’un réacteur d’EDF, en salle de commande (gestion de crise)

PCM : poste de commandement des moyens logistiques d’un site d’EDF (gestion de crise)

pcm : pour cent mille

PCMI : Pellet Cladding Mechanical Interaction (interaction mécanique entre une pastille de combustible et sa gaine)

PCO : poste de commandement opérationnel gréé en préfecture (organisation de crise), France

PCR : personne compétente en radioprotection

PCRD : programme cadre de recherche et développement de la Commission européenne

PCS : plan communal de sauvegarde, France (gestion de crise)

PDS : Plant Damage State (état d’endommagement d’un réacteur, notion utilisée dans les EPS pour le réacteur EPR)

PEE : procédure d’exécution d’essai(s) (réacteurs du parc électronucléaire français)

PF : produit de fission

PFC : pénétration de fond de cuve dans un réacteur à eau sous pression (parc électronucléaire français)

PFI : pratique de fiabilisation des actions humaines, Électricité de France

PGA : Peak Ground Acceleration (accélération du sol à fréquence infinie pour un séisme)

PHARE : Poland and Hungary Assistance for Restructuring their Economies (nom d’un programme européen d’assistance technique)

PHEBUS : nom donné à un réacteur expérimental du CEA à Cadarache (France), mis à la disposition de l’IRSN pour des essais de sûreté

Phébus-CSD : programme international de recherche consacré à l’étude de la dégradation importante du combustible, s’appuyant sur des essais réalisés dans le réacteur PHEBUS

CATHARE –, et les essais du programme Phébus-PF : programme international de recherche consacré à l’étude du comportement des produits de fission lors d’une fusion du cœur d’un réacteur à eau sous pression

PHENIX : nom donné à un réacteur à neutrons rapides implanté au centre de Marcoule (Gard, France), arrêté définitivement

PHPM : projet d’homogénéisation des pratiques et des méthodes, Électricité de France

PIA : plan d’investissements d’avenir de l’ANR (France)

PIC : programme d’investigations complémentaires (réacteurs du parc électronucléaire français)

PIC : plaque inférieure de cœur d’un réacteur à eau sous pression (réacteurs du parc électronucléaire français)

PIPS : Process Instrumentation Preprocessing System (équivalent du système SIP [voir plus loin] pour le réacteur EPR)

PKL : Primärkreislauf (circuit primaire), projets de recherche et installation d’essais allemande à grande échelle pour l’étude du comportement thermohydraulique d’un réacteur nucléaire en situation accidentelle

PLEXUS, PLEXUS-3C : noms de logiciels de simulation de phénomènes de dynamique rapide par éléments finis

PLIN : puissance linéique dégagée par les crayons combustibles dans un réacteur

PNGMDR : plan national de gestion des matières et des déchets radioactifs

PPE : programme de principe d’essai(s) (réacteurs du parc électronucléaire français)

PPI : plan particulier d’intervention (France)

ppm : partie par million

P2REMICS : nom donné à un logiciel de simulation dédié à l’étude du risque d’explosion

PRISME, PRISME 2, PRISME 3 : noms de programmes d’essais de feux, réalisés sous l’égide de l’OCDE

PS : Protection System (acronyme anglais du système de protection du réacteur EPR [trigramme RPR pour les réacteurs du parc électronucléaire y compris le réacteur EPR Flamanville 3])

PSC : plaque supérieure de cœur d’un réacteur à eau sous pression (parc électronucléaire français)

PSHA : Probabilistic Seismic Hazard Analysis (analyse probabiliste du risque sismique)

PSI : programme de surveillance de l’irradiation (parc électronucléaire français)

PSP : plan sûreté protection, en complément du PUI (réacteurs du parc électronucléaire français)

PSR : Periodic Safety Review (revue périodique de sûreté)

PTAN : prescriptions techniques (guides) diffusées par l’AFCEN (France)

PTB-RRA : plage de travail basse du circuit RRA (niveau d’eau dans ce circuit)

PTR : système de traitement et refroidissement de l’eau de la piscine du réacteur et de l’eau de la piscine d’entreposage des combustibles usés (parc électronucléaire français)

PUI : plan d’urgence interne (installations nucléaires de base en France)

PWR : Pressurized Water Reactor (réacteur à eau sous pression)

RALOC : nom de l’un des logiciels du système ESCADRE (remplacé par ASTEC) de thermohydraulique dans l’enceinte de confinement

RAM : dispositif d’alimentation électrique des mécanismes de commande des grappes de contrôle, réacteurs du parc électronucléaire français

RAPSODIE : nom donné à un réacteur à neutrons rapides implanté au centre de Cadarache (France), arrêté définitivement

RBMK : Reaktor Bolshoy Moshchnosti Kanalnyi (type de réacteur de conception soviétique)

RBS : système de borication de sécurité du réacteur EPR

RCC : règles de conception et de construction (parc électronucléaire français)

RCC-C : règles de conception et de construction relatives au combustible (parc électronucléaire français)

RCC-CW : règles de conception et de construction du génie-civil des îlots nucléaires des réacteurs à eau sous pression (CW comme civil work) (parc électronucléaire français : EPR puis les réacteurs précédents lors des réexamens notamment)

RCC-E : règles de conception et de construction des équipements électriques et de contrôle-commande des îlots nucléaires des réacteurs à eau sous pression (parc électronucléaire français)

RCC-G : règles de conception et de construction pour les structures de génie civil (parc électronucléaire français)

RCC-M : règles de conception et de construction pour les matériels mécaniques (parc électronucléaire français)

RCC-P : règles de conception et de construction pour le « procédé » (parc électronucléaire français)

RCD : (état d’un) réacteur dont le cœur est complètement déchargé (parc électronucléaire français)

RCIC : Reactor Core Isolation Cooling system (système de refroidissement de secours du cœur d’un réacteur à eau bouillante [centrale nucléaire de Fukushima Daiichi])

RCLS : Reactor Core Limitation System, système « de limitation » du réacteur EPR

RCM : Reliability Centered Maintenance (maintenance centrée sur la fiabilité)

RCRS : rapport de conclusions d’un réexamen de sûreté (parc électronucléaire français)

RCV : système (circuit) de contrôle chimique et volumétrique du fluide primaire des réacteurs à eau sous pression du parc électronucléaire français

RDP : réservoir de décharge du pressuriseur d’un réacteur à eau sous pression (parc électronucléaire français)

RDS : rapport de sûreté (aussi rapport définitif de sûreté)

REA : système d’appoint en eau déminéralisée et en eau borée, raccordé au circuit RCV (réacteurs du parc électronucléaire français)

REB : réacteur à eau bouillante

Recuperare : nom d’une approche utilisée par l’IRSN pour l’analyse de la « récupération » d’événements par des opérateurs

REN : système d’échantillonnage nucléaire (parc électronucléaire français)

REP : réacteur à eau sous pression

REP-Na : nom donné à des essais sur des crayons combustibles de REP réalisés dans la boucle en sodium du réacteur CABRI

REPR : règles d’essais physiques au redémarrage (parc électronucléaire français)

RFA : nom générique d’assemblages combustibles produits par Westinghouse, chargés dans des réacteurs électronucléaires français

RFS : règle fondamentale de sûreté (France)

RFTC : rapport de flux thermique critique (ou DNBR)

RG : Regulatory Guide (guide règlementaire américain)

RGE : règles générales d’exploitation

RGL : système de commande (régulation) des grappes de contrôle (réacteurs du parc électronucléaire français)

RGS : règles générales de surveillance (après le démantèlement d’une INB)

RGV : remplacement d’un générateur de vapeur

RHF : réacteur à haut flux, exploité par l’Institut Laue-Langevin (ILL) à Grenoble, France

RIA : Reactivity Injection Accident (accident d’injection [ou insertion] de réactivité dans un réacteur)

RIC : système d’instrumentation interne du cœur (réacteurs du parc électronucléaire français)

RIS : système (circuit) d’injection de sécurité (réacteurs du parc électronucléaire français)

RIS-BP : système d’injection de sécurité à basse pression (réacteurs du parc électronucléaire français)

RIS-HP : système d’injection de sécurité à haute pression (réacteurs du parc électronucléaire français)

RIS-MP : système d’injection de sécurité à moyenne pression (réacteurs du parc électronucléaire français)

RNM : règle nationale de maintenance d’EDF

RP : (état d’un) réacteur en production (d’électricité)

RPE : circuit des purges, évents et exhaures nucléaires (réacteurs du parc électronucléaire français)

RPMQ : recueil des prescriptions de maintien de la qualification (réacteurs du parc électronucléaire français)

RPN : système de mesure de la puissance nucléaire (réacteurs du parc électronucléaire français)

RPR : système de protection des réacteurs du parc électronucléaire français

RPrS : rapport préliminaire de sûreté

RRA : système de refroidissement du réacteur à l’arrêt (réacteurs du parc électronucléaire français)

RRC-A : Risk Reduction Category A (catégorie A de réduction du risque, incluant les situations de défaillances multiples, réacteur EPR)

RRC-B : Risk Reduction Category B (catégorie B de réduction du risque, incluant les situations avec fusion du cœur, réacteur EPR)

RRI : système (circuit) de réfrigération intermédiaire (réacteurs du parc électronucléaire français)

RSA (ou station RSA) : réparation simplifiée AFA (équipement d’Areva pour extraire un ou des crayons d’un assemblage combustible AFA)

RSE-M : règles de surveillance en exploitation des matériels mécaniques (réacteurs du parc électronucléaire français)

RSNR : recherche en matière de sûreté et de radioprotection (ANR, France)

RTE : rupture de tuyauterie d’alimentation en eau (d’un GV)

RTGV : rupture de tube d’un générateur de vapeur

RTHE : rupture d’une tuyauterie de haute énergie

RTNDT : Reference Temperature for Nil Ductility Transition (température de transition ductile-fragile d’un acier)

R3F : règle de fonctionnement dit à faible fuite des générateurs de vapeur (réacteurs du parc électronucléaire français)

RTV : rupture d’une tuyauterie de vapeur d’eau

RUPUICUV : nom d’un module du logiciel de simulation ASTEC

S1, S2 et S3 : noms donnés, dans les années 1970, à trois types de rejets radioactifs dans l’environnement pour les situations avec fusion du cœur

SACA : sûreté aléas climatiques et assimilés (PUI, réacteurs du parc électronucléaire français)

SAG : Safety Assessment Guide (guide d’évaluation de sûreté)

SALP : Systematic Assessment of Licensee Performance (programme d’évaluation des performances d’un exploitant, États-Unis)

SALTO : Safety Aspects of Long Term Operation (aspects de sûreté d’une exploitation de longue durée, nom donné à l’un des services proposés par l’AIEA)

SAP : système de production d’air comprimé (réacteurs du parc électronucléaire français)

SAPHIR : nom d’un fichier des événements géré par EDF

SAR : réseau d’air de régulation (réacteurs du parc électronucléaire français)

SARNET : Severe Accident Research NETwork of excellence (réseau d’excellence dans le domaine de la recherche sur les accidents graves)

SAT : circuit d’air comprimé de travail (réacteurs du parc électronucléaire français)

SAV : secours aux victimes (PUI, réacteurs du parc électronucléaire français)

SCANAIR : logiciel de simulation du comportement thermomécanique des crayons combustibles des réacteurs à eau sous pression au cours de transitoires de puissance

SDD : séisme de dimensionnement

SDIN : système d’information du nucléaire des centrales, Électricité de France

SEC : système (circuit) d’eau brute servant à refroidir le RRI (réacteurs du parc électronucléaire français)

SEP : Systematic Evaluation Process (programme d’évaluation systématique, États-Unis)

SESAME : Schéma d’évolution des situations accidentelles et moyens d’évaluation

SET : sous-ensemble technologique dans une AMDEC

SEXTEN : système de surveillance de l’étanchéité des enceintes de confinement (réacteurs du parc électronucléaire français)

SF6 : hexafluorure de soufre

SIGMA : Seismic Ground Motion Assessment (programme de recherche et développement pour l’évaluation des mouvements sismiques du sol)

SINAPS@ : « séisme et installation nucléaire : améliorer et pérenniser la sûreté » (projet de recherche français)

SIP : système d’instrumentation des processus dans les réacteurs du parc électronucléaire français

SIP : Shelter Implementation Plan (plan de mise en place d’un confinement du réacteur accidenté de la centrale nucléaire de Tchernobyl, lancé en 1997)

SMHV : séisme maximal historiquement vraisemblable

SMR : Small Modular Reactor (petit réacteur modulaire)

SMS : séisme majoré de sécurité

SND : séisme « noyau dur » (séisme retenu pour les dispositions post-Fukushima mises en œuvre en France)

SOAR : State-Of-the-Art Report (rapport d’état de l’art diffusé par l’AEN)

SOFIA : Simulateur d’observation du fonctionnement incidentel et accidentel (simulateur du fonctionnement des réacteurs à eau sous pression utilisé par l’IRSN)

SOH : nom d’une démarche d’EDF de prise en compte des aspects sociaux, organisationnels et humains pour la modification des installations et de leurs modalités d’exploitation

SOPHAEROS : nom d’un module du logiciel de simulation ASTEC

SPE : surveillance permanente par états (procédure de surveillance globale dans les réacteurs du parc électronucléaire français, qui s’est substituée à la procédure SPI)

SPERT : Special Power Excursion Reactor Test (réacteur d’essais américain)

SPI : surveillance permanente après incident (nom d’une procédure utilisée pour les réacteurs du parc électronucléaire français, à laquelle se substituera la procédure SPE dans l’approche par états)

SPIN : système de protection intégré numérique des réacteurs de 1 300 MWe et de ceux de 1 450 MWe du parc électronucléaire français. C’est en fait le nom de la technologie du système RPR. Il a ensuite été renommé SPINLINE.

SPND : Self Powered Neutron Detectors (nom du système de mesures neutroniques in-core par détecteurs de neutrons du réacteur EPR)

SPOT : système du VVER-1200 qui permet le refroidissement passif des générateurs de vapeur en cas de perte totale des alimentations électriques

SPU : surveillance permanente ultime (procédure de suivi de l’évolution d’un réacteur en situation ultime déclarée [réacteurs du parc électronucléaire français])

SR : Safety Review (revue de sûreté)

SR : sûreté radiologique (PUI, réacteurs du parc électronucléaire français)

SRI : situation de référence pour le risque d’inondation

SRU : système de refroidissement ultime associé à la deuxième source froide (réacteur EPR)

SSC : Structures, Systems and Components (structures, systèmes et composants)

SSFI : Safety System Functional Inspection (programme d’inspection fonctionnelle de sûreté, États-Unis)

SSG : Specific Safety Guide (guide de sûreté diffusé par l’AIEA)

STAR : outillage spécifique de « resquelettage » d’un assemblage combustible, Électricité de France

STE : spécifications techniques d’exploitation

S3C : simulateur de salle de commande des réacteurs du parc électronucléaire français du palier N4, développé par EDF et permettant de réaliser des évaluations ergonomiques

SUNSET : Sensitivity and UNcertainty Statistical Evaluation Tool (nom d’un outil de statistiques de l’IRSN)

SUPERPHENIX : réacteur à neutrons rapides, refroidi au sodium (centrale nucléaire de Creys-Malville, France), définitivement arrêté

SYLVIA : système de logiciels de simulation pour l’étude de la ventilation, de l’incendie et de l’aérocontamination

SYSINT : nom d’un module du logiciel de simulation ASTEC

TA : transformateur ou poste de transformation auxiliaire (alimentation électrique des réacteurs du parc électronucléaire français)

TACIS : Technical Assistance to the Commonwealth of Independent States and Georgia (Assistance technique en faveur de la Communauté des États indépendants et de la Géorgie, nom d’un programme européen d’assistance technique)

TAG : turbine à gaz

TAM : tampon d’accès des matériels dans l’enceinte de confinement (réacteurs du parc électronucléaire français)

TECDOC : TEChnical DOCument (document technique diffusé par l’AIEA)

TECV : loi relative à la transition énergétique et à la croissance verte (loi n° 2015-992 du 17 août 2015)

TEG : système de traitement des effluents gazeux (réacteurs du parc électronucléaire français)

THE : très haute efficacité (notion utilisée pour les filtres)

THE : tuyauterie à haute énergie (contenant un fluide)

THERP : Technique for Human Error-Rate Prediction (modèle américain d’étude probabiliste de la fiabilité humaine)

THNGV : très haut niveau (d’eau) dans un générateur de vapeur (seuil d’isolement de l’ASG du générateur de vapeur) (parc électronucléaire français)

TIG : Tungsten Inert Gaz (procédé de soudage sous gaz inerte [tungstène])

TMD : transport de marchandises dangereuses (notion de la règlementation française)

TME : tuyauterie à moyenne énergie (contenant un fluide)

TMI : Three Mile Island, centrale nucléaire située aux États-Unis

TMI-2 : réacteur n° 2 de la centrale nucléaire de TMI

TOPFLOW-PTS : installation expérimentale située en Allemagne (Helmholtz-Zentrum Dresden-Rossendorf)

TOX : toxique (PUI, réacteurs du parc électronucléaire français)

TP : transformateur ou poste de transformation principal (alimentation électrique des réacteurs du parc électronucléaire français)

TPM : trente premiers millimètres (nom donné à un procédé de contrôles par ultrasons porté par la machine MIS)

TPS : turbopompe de secours dans les réacteurs du parc électronucléaire français

TRICE : toxique, radioactif, inflammable, corrosif ou explosif (équipement contenant des fluides liquides ou gazeux présentant une telle dangerosité). Notion de la règlementation française

TrioCFD : nom d’un logiciel de simulation de type CFD

TRIPOLI : TRIdimensionnel POLYcinétique (logiciel de simulation en 3D qui résout par une méthode de Monte-Carlo les équations du transport couplé des neutrons et des photons)

3D/3P : nom donné à une démarche (française) de diagnostic et de pronostic d’évolution d’une situation en gestion de crise

TS : transformateur de soutirage (réacteurs du parc électronucléaire français)

TSAG : Technical Safety Assessment Guide (guide technique établi par ETSON)

TSN : transparence et sécurité en matière nucléaire (loi n° 2006-686 du 13 juin 2006), France

TTS : (réacteur) tête de série (parc électronucléaire français)

TUY : nom du programme de principe d’essais pour les tuyauteries des circuits primaire, secondaire et auxiliaires (réacteurs du parc électronucléaire français)

U5 : nom donné à la procédure de conduite accidentelle, réacteurs du parc électronucléaire français (hormis l’EPR)

Un : nom donné à des procédures de conduite accidentelle, réacteurs du parc électronucléaire français (U comme ultime)

UNGG : uranium naturel-graphite-gaz (nom de la filière correspondante de réacteurs électronucléaires en France)

US : ultrasons (méthodes d’examens non destructifs)

USW : Upset Shape Welding (nom d’un procédé de soudage)

UTO : unité technique opérationnelle, Électricité de France

UVCE : Unconfined Vapour Cloud Explosion (explosion d’un nuage de vapeur non confiné)

VD : visite décennale. Par extension, VD désigne l’arrêt au cours duquel a lieu cette visite.

VDA : vanne de décharge à l’atmosphère dans un réacteur à eau sous pression (parc électronucléaire français)

VERCORS : installation du CEA à Grenoble (France) et essais réalisés dans cette installation dédiés à l’étude du relâchement des produits de fission à partir de combustible irradié soumis à une élévation de température

VERCORS : « vérification réaliste du confinement des réacteurs » (maquette d’EDF et essais pour l’évaluation des fuites à travers une enceinte de confinement en situation accidentelle)

VERDON : nom donné à l’installation expérimentale du CEA qui a remplacé l’installation VERCORS à Grenoble

VIKTORIA : nom donné à une boucle expérimentale (Levice, Slovaquie) dédiée aux recherches sur la recirculation d’eau dans un réacteur à eau sous pression en situation accidentelle

V-LOCA : accident de brèche du circuit primaire pouvant conduire à un rejet direct dans l’environnement (par bipasse du confinement)

VPM : vingt premiers millimètres (nom donné à un procédé de contrôles par ultrasons porté par la machine MIS)

VULCANO : Versatile UO2 Laboratory for Corium ANalysis and Observation (installation expérimentale du CEA dédiée à des recherches sur le percement de la cuve et l’érosion du radier par le corium fondu en cas d’accident de fusion du cœur d’un réacteur)

VVER : Vodo-Vodianoï Energuetitcheski Reaktor (réacteur de puissance russe utilisant l’eau comme caloporteur et comme modérateur)

WASH : abréviation pour Washington. L’AEC a utilisé WASH comme préfixe de ses publications

WEX : nom d’un module du logiciel de simulation ASTEC

ZAT : zone affectée thermiquement dans une soudure

ZDC : zone du cœur (pour les contrôles par ultrasons des cuves par la machine MIS) (parc électronucléaire français)

Zirlo™ : nom donné à un alliage de zirconium développé par Westinghouse

ZOÉ : première pile atomique française

Zyrcaloy-4 : nom d’un alliage de zirconium

Glossaire technique

Des précisions sont apportées ci-après sur quelques acronymes techniques indiqués plus haut, qui concernent en grande partie des notions de physique des réacteurs et de leurs systèmes de protection.

βeff : ce symbole désigne la proportion des neutrons différés dans un cœur de réacteur nucléaire (notion de physique des réacteurs).

FQ, FΔH : ces symboles désignent les facteurs « de point chaud » pour les crayons combustibles dans un cœur de réacteur nucléaire (notions de physique des réacteurs).

Fxy(z) : ce symbole désigne le facteur de forme (ou distribution) radiale de la puissance dans un cœur de réacteur nucléaire et s’appliquant à la puissance des crayons, à une altitude z (notion de physique des réacteurs).

G3 : il s’agit du nom d’une « courbe de calibrage » utilisée pour les réacteurs du parc électronucléaires français (cette courbe permet une compensation des variations instantanées de réactivité du cœur résultant des variations de puissance, sans déformation de la distribution de la puissance dans le cœur).

keff : ce symbole désigne le coefficient effectif de multiplication neutronique (notion de physique des réacteurs).

kit KPS : cet équipement informatique du panneau de sûreté de la salle de commande des réacteurs du parc électronucléaire français apporte une aide à l’opérateur en situation accidentelle, en regroupant, sous forme synthétique et élaborée, les différentes informations dont il dispose par ailleurs, en salle de commande ; il comprend en particulier l’ébulliomètre.

ℓ : ce symbole désigne le temps moyen de vie des neutrons (intervalle de temps entre deux générations de neutrons – notion de physique des réacteurs).

LHT : ce groupe électrogène de secours des réacteurs du parc électronucléaire français permet, en cas de défaillance de la turbopompe, d’assurer l’alimentation en eau des GV par une motopompe du système ASG.

NPSH : le net pressure section head représente la valeur minimale de la pression à l’aspiration d’une pompe en dessous de laquelle il existe un risque de cavitation.

φ : ce symbole désigne un flux (flux de neutrons ou flux de chaleur, nombre ou puissance par unité de surface).

pH : symbole qui désigne le potentiel hydrogène d’une solution (acide, neutre, basique)

PKL : il s’agit d’une boucle expérimentale (et les programmes associés) de Framatome à Erlangen en Allemagne, qui permet d’étudier divers phénomènes de non-homogénéité dans les circuits primaire et secondaire d’un réacteur à eau sous pression, par exemple le transfert d’un « bouchon » d’eau non borée ou d’eau froide vers le cœur.

Procédé : dans le domaine des réacteurs nucléaires, le « procédé » est un terme utilisé par les concepteurs qui désigne le système de production et d’extraction de chaleur dans son ensemble – y compris le système de production d’électricité s’il s’agit d’un réacteur électronucléaire.

Pth : ce symbole désigne la puissance thermique (généralement exprimée en MW) dégagée dans un cœur de réacteur.

RAM : le dispositif d’alimentation électrique des mécanismes de commande des grappes de contrôle des réacteurs du parc électronucléaire français comprend des moteurs alimentés par le réseau électrique externe avec des volants d’inertie, qui génèrent eux-mêmes un courant électrique.

RCLS : ce système (Reactor Core Limitation System) du réacteur EPR a pour objectif d’éviter la sollicitation des fonctions de protection, en initiant des actions sur les grappes de contrôle en vue de maintenir les paramètres du réacteur sous les seuils d’activation des protections.

RCV : le système (circuit) de contrôle chimique et volumétrique du fluide primaire des réacteurs à eau sous pression du parc électronucléaire français est un circuit auxiliaire qui assure l’appoint en eau (notamment au cours des phases de chauffage et de refroidissement du réacteur, de façon à compenser la dilatation ou la contraction de l’eau du circuit primaire en fonction de la température), le contrôle de la teneur en acide borique de l’eau du circuit primaire, la purification et le contrôle chimique de cette eau, l’aspersion auxiliaire au pressuriseur lorsque les pompes primaires sont à l’arrêt, l’apport d’eau au circuit d’étanchéité des joints des pompes primaires.

Rhô (ρ) : ce symbole désigne la réactivité neutronique d’un cœur de réacteur nucléaire (notion de physique des réacteurs).

RIS : le système (circuit) d’injection de sécurité des réacteurs du parc électronucléaire français permet d’envoyer de l’eau dans le cœur pour le refroidir en cas de rupture (ou de brèche importante) du circuit primaire.

RPE : le circuit des purges, évents et exhaures nucléaires des réacteurs du parc électronucléaire français collecte les effluents liquides et gazeux qui sont produits par les circuits et installations nucléaires d’un réacteur et qui peuvent présenter une contamination radioactive.

RPR : le système de protection des réacteurs du parc électronucléaire français a pour principales fonctions la détection de situations anormales, l’arrêt automatique du réacteur et l’enclenchement des systèmes de sauvegarde appropriés en situations accidentelles. Il reçoit les valeurs des mesures neutroniques et thermohydrauliques (ou les informations de franchissement de seuils dans le cas des réacteurs de 900 MWe – voir à SIP) et il élabore les ordres d’arrêt et de sauvegarde en fonction des combinaisons des dépassements de seuils dans les voies de mesure redondantes, des éventuelles inhibitions et mises en position sûre de certaines mesures, et des « permissifs » caractérisant l’état du réacteur.

RRI : le système (circuit) de réfrigération intermédiaire des réacteurs du parc électronucléaire français permet de refroidir le fluide de la plupart des circuits auxiliaires et de secours de la chaudière ; il est lui-même refroidi par le circuit d’eau brute SEC.

SARNET : ce réseau d’excellence dans le domaine de la recherche sur les accidents graves (Severe Accident Research Network of Excellence) a démarré en avril 2004 dans le cadre des Programmes cadres de recherche et développement (PCRD) de la Commission européenne. Coordonné par l’IRSN, SARNET rassemble une cinquantaine d’organismes (instituts de sûreté, universités, industriels, centres de recherche…) d’une vingtaine de pays européens ainsi que des États-Unis, du Canada, de la Corée du Sud, de l’Inde et du Japon.

SIP : le système d’instrumentation des processus des réacteurs du parc électronucléaire français acquiert les informations délivrées par les capteurs de mesures analogiques thermodynamiques (pressions, températures, débits…) et assure leur mise en forme électrique (mise à l’échelle, transformation courant-tension…). Dans le cas des réacteurs de 900 MWe, le SIP détermine de plus les franchissements de seuils et transmet les informations « tout ou rien » correspondantes au système RPR ; dans les autres réacteurs électronucléaires français, le SIP transmet les valeurs des mesures « analogiques » au système RPR, qui détermine les franchissements de seuils. Dans le cas du réacteur EPR, ce système est dénommé PIPS (Process Instrumentation Preprocessing System).

T : ce symbole désigne la période neutronique d’un réacteur nucléaire (notion de physique des réacteurs).

Tsat : ce symbole désigne la température de saturation de l’eau dans un réacteur à eau (ΔTsat : marge de sous-saturation – notion de physique des réacteurs à eau sous pression, utilisée pour leur pilotage).

U5 : cet acronyme désigne la procédure de conduite accidentelle des réacteurs du parc électronucléaires français (hormis l’EPR) qui permet de décomprimer l’atmosphère de cette enceinte dans des situations avec fusion du cœur, avec filtration des rejets.