Physique, fonctionnement et sûreté des REP: Maîtrise des situations accidentelles du système réacteur 9782759810628

Citation preview

GENIE ATOMIQUE

Physique, fonctionnement et suˆrete´ des REP Maıˆtrise des situations accidentelles du syste`me re´acteur Re´acteur de re´fe´rence : 1300 MWe

Bruno Tarride

17, avenue du Hoggar Parc d’activite´s de Courtaboeuf, BP 112 91944 Les Ulis Cedex A, France

Illustration de couverture : calcul des concentrations en hydroge`ne et e´tude de l’efficacite´ des recombineurs, dans une enceinte REP 900 MWe, suite a` une hypothe´tique fusion du cœur, ÓEDF/SEPTEN. Imprime´ en France ISBN : 978-2-7598-0738-3 Tous droits de traduction, d’adaptation et de reproduction par tous proce´de´s, re´serve´s pour tous pays. La loi du 11 mars 1957 n’autorisant, aux termes des aline´as 2 et 3 de l’article 41, d’une part, que les « copies ou reproductions strictement re´serve´es a` l’usage prive´ du copiste et non destine´es a` une utilisation collective », et d’autre part, que les analyses et les courtes citations dans un but d’exemple et d’illustration, « toute repre´sentation inte´grale, ou partielle, faite sans le consentement de l’auteur ou de ses ayants droit ou ayants cause est illicite » (aline´a 1er de l’article 40). Cette repre´sentation ou reproduction, par quelque proce´de´ que ce soit, constituerait donc une contrefac¸on sanctionne´e par les articles 425 et suivants du code pe´nal. Ó EDP Sciences 2013

A` Isabelle, pour son soutien. A` Marianne et Sole`ne, pour leur patience.

7KLVSDJHLQWHQWLRQDOO\OHIWEODQN

i

i “fontionnement_REP” — 2008/7/23 — 8:05 — page v — #5

i

i

Introduction à la collection « Génie Atomique » Au sein du Commissariat à l’énergie atomique (CEA), l’Institut national des sciences et techniques nucléaires (INSTN) est un établissement d’enseignement supérieur sous la tutelle du ministère de l’Éducation nationale et du ministère de l’Industrie. La mission de l’INSTN est de contribuer à la diffusion des savoir-faire du CEA au travers d’enseignements spécialisés et de formations continues, tant à l’échelon national, qu’aux plans européen et international. Cette mission reste centrée sur le nucléaire, avec notamment l’organisation d’une formation d’ingénieur en « Génie Atomique ». Fort de l’intérêt que porte le CEA au développement de ses collaborations avec les universités et les écoles d’ingénieurs, l’INSTN a développé des liens avec des établissements d’enseignement supérieur aboutissant à l’organisation, en co-habilitation, de plus d’une vingtaine de Masters. À ces formations s’ajoutent les enseignements des disciplines de santé : les spécialisations en médecine nucléaire et en radiopharmacie ainsi qu’une formation destinée aux physiciens d’hôpitaux. La formation continue constitue un autre volet important des activités de l’INSTN, lequel s’appuie aussi sur les compétences développées au sein du CEA et chez ses partenaires industriels. Dispensé dès 1954 au CEA Saclay où ont été bâties les premières piles expérimentales, la formation en « Génie Atomique » (GA) l’est également depuis 1976 à Cadarache où a été développée la filière des réacteurs à neutrons rapides. Depuis 1958 le GA est enseigné à l’École des applications militaires de l’énergie atomique (EAMEA) sous la responsabilité de l’INSTN. Depuis sa création, l’INSTN a diplômé plus de 4800 ingénieurs que l’on retrouve aujourd’hui dans les grands groupes ou organismes du secteur nucléaire français : CEA, EDF, AREVA, Marine nationale. De très nombreux étudiants étrangers provenant de différents pays ont également suivi cette formation. Cette spécialisation s’adresse à deux catégories d’étudiants : civils et militaires. Les étudiants civils occuperont des postes d’ingénieurs d’études ou d’exploitation dans les réacteurs nucléaires, électrogènes ou de recherches, ainsi que dans les installations du cycle du combustible. Ils pourront évoluer vers des postes d’experts dans l’analyse du risque nucléaire et de l’évaluation de son impact environnemental. La formation de certains officiers des sous-marins et porte-avions nucléaires français est dispensée par l’EAMEA. Le corps enseignant est formé par des chercheurs du CEA, des experts de l’Institut de radioprotection et de sûreté nucléaire (IRSN), des ingénieurs de l’industrie (EDF, AREVA. . .) Les principales matières sont : la physique nucléaire et la neutronique, la thermohydrau-

i

i i

i

i

i “fontionnement_REP” — 2008/7/23 — 8:05 — page vi — #6

i

vi

i

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

lique, les matériaux nucléaires, la mécanique, la protection radiologique, l’instrumentation nucléaire, le fonctionnement et la sûreté des réacteurs à eau sous pression (REP), les filières et le cycle du combustible nucléaire. Ces enseignements dispensés sur une durée de six mois sont suivis d’un projet de fin d’étude, véritable prolongement de la formation réalisé à partir d’un cas industriel concret, se déroulent dans les centres de recherches du CEA, des groupes industriels (EDF, AREVA) ou à l’étranger (États-Unis, Canada, RoyaumeUni. . .) La spécificité de cette formation repose sur la large place consacrée aux enseignements pratiques réalisés sur les installations du CEA (réacteur ISIS, simulateurs de REP : SIREP et SOF IA, laboratoires de radiochimie, etc.) Aujourd’hui, en pleine maturité de l’industrie nucléaire, le diplôme d’ingénieur en « Génie Atomique » reste sans équivalent dans le système éducatif français et affirme sa vocation : former des ingénieurs qui auront une vision globale et approfondie des sciences et techniques mises en œuvre dans chaque phase de la vie des installations nucléaires, depuis leur conception et leur construction jusqu’à leur exploitation puis leur démantèlement. L’INSTN s’est engagé à publier l’ensemble des supports de cours dans une collection d’ouvrages destinés à devenir des outils de travail pour les étudiants en formation et à faire connaître le contenu de cet enseignement dans les établissements d’enseignement supérieur, français et européens. Édités par EDP Sciences, acteur particulièrement actif et compétent dans la diffusion du savoir scientifique, ces ouvrages sont également destinés à dépasser le cadre de l’enseignement pour constituer des outils indispensables aux ingénieurs et techniciens du secteur industriel. Joseph Safieh Responsable général du cours de Génie Atomique

i

i i

i

Table des matie`res

Avant-propos et remerciements ...........................................................

xv

L’auteur ................................................................................................ xvii Introduction : une approche syste`me simplifie´e pour aborder la maıˆtrise des situations accidentelles ............................

1

Chapitre 1. Physique et suˆrete´ : introduction aux familles d’accidents 1.1.

1.2.

1.3.

Risque sur les trois barrie`res de confinement, notion de fonctions de suˆrete´ 1.1.1. Principe des trois barrie`res ................................................. 1.1.2. Phe´nome`nes a` risque pour la premie`re barrie`re et crite`res de suˆrete´ associe´s............................................................. 1.1.3. Inte´grite´ des barrie`res par le respect des trois fonctions de suˆrete´ Accidents affectant la fonction de suˆrete´ : controˆle de la re´activite´ ......... 1.2.1. Quelques rappels de base de cine´tique des re´acteurs .............. 1.2.2. Parame`tres influant la re´activite´ : accidents de re´activite´ et effet des contre-re´actions neutroniques........................................ 1.2.3. Intervention du syste`me de protection : l’AAR........................ 1.2.4. Situations envisage´es avec de´faillance du syste`me d’arreˆt automatique .................................................................... 1.2.5. Moyens d’apport du bore soluble dans le cœur, en situation accidentelle..................................................................... Accidents affectant la fonction de suˆrete´ : e´vacuation de la puissance ..... 1.3.1. Origine de la puissance thermique primaire .......................... 1.3.2. E´vacuation de la puissance en re´gime permanent et en transitoire 1.3.3. De´gradation de l’inventaire en masse primaire, risque de de´couvrement du cœur et de perte de la sous-fonction « extraction de la puissance » .............................................

7 9 11 16 16 17 19 22 25 25 26 26 28

30

Physique, fonctionnement et surete´ des REP : situations accidentelles

viii

1.3.4.

Perte de la sous-fonction « transport » de la puissance vers les ge´ne´rateurs de vapeur ....................................................... 1.3.5. Perte de la fonction des ge´ne´rateurs de vapeur, source froide pour le cœur .......................................................................... Accidents affectant la fonction de suˆrete´ : confinement, assure´ par la troisie`me barrie`re.................................................................. Syste`mes supports : le cas des syste`mes fluides RRI/SEC et des alimentations e´lectriques........................................................ Synthe`se sur la gestion des fonctions de suˆrete´ en accidentel ................. Exercices de fin de chaptire.............................................................

49 52 53

Proble`me P1. E´tude de la perte totale de l’alimentation en eau des GV (H2) ...............

56

1.4. 1.5. 1.6. 1.7.

37 39 47

Gestion des accidents affectant les trois fonctions de suˆrete´ Chapitre 2. Les accidents d’insertion de re´activite´ par retrait d’absorbants Pre´sentation ge´ne´rale ..................................................................... Les transitoires d’extraction de grappes d’absorbants ............................ 2.2.1. L’accident d’e´jection d’une grappe de re´gulation ................... 2.2.2. Retrait de groupes d’absorbants, e´tats sous-critique et en puissance........................................................................ 2.2.3. Cas du retrait d’une grappe de re´gulation en puissance............ Les transitoires de dilution du fluide primaire...................................... 2.3.1. Dilution homoge`ne........................................................... 2.3.2. Dilution he´te´roge`ne ..........................................................

65 67 68 68 74

Proble`mes P2. E´tude de l’e´jection de grappe .......................................................... P3. Dilution homoge`ne, avec de´faillance mate´rielle et humaine ..................

76 78

2.1. 2.2.

2.3.

59 60 61

Chapitre 3. L’accident de Rupture de Tuyauterie Vapeur (RTV) : insertion de re´activite´ par refroidissement primaire 3.1.

3.2.

3.3.

Pre´sentation ge´ne´rale ..................................................................... 3.1.1. De´finition, risque pour les trois barrie`res............................... 3.1.2. Moyens de protection et de sauvegarde chaudie`re .................. 3.1.3. Hypothe`ses d’e´tudes, type Rapport de Suˆrete´ ......................... Description d’un transitoire de Rupture de Tuyauterie Vapeur ................ 3.2.1. Phase d’action des automatismes......................................... 3.2.2. Chronologie du transitoire type : phase court terme ................ 3.2.3. Actions de conduite requises .............................................. 3.2.4. Conse´quences pour le cœur ............................................... E´tude de sensibilite´ des principaux parame`tres .................................... 3.3.1. Localisation de la bre`che ................................................... 3.3.2. Effet de la taille de la bre`che secondaire ...............................

81 81 82 82 83 84 86 86 87 89 90 90

ix

Table des matie`res

E´tat initial de la tranche..................................................... Effet du de´marrage de la Fonction de Borication Automatique... De´faillance de l’isolement vapeur........................................ Cas d’une RTV sur un 900 MWe .........................................

90 91 91 92

Proble`me P4. E´tude syste´mique d’une RTV............................................................

93

3.3.3. 3.3.4. 3.3.5. 3.3.6.

Chapitre 4. L’Accident de Perte de Re´frige´rant Primaire (APRP) 4.1.

4.2.

4.3.

4.4.

Pre´sentation ge´ne´rale de l’APRP ....................................................... 4.1.1. Classification selon la taille de bre`che .................................. 4.1.2. Effet de la localisation de la bre`che ..................................... 4.1.3. Rappels sur les moyens de protection et de sauvegarde ........... 4.1.4. Re`gles d’e´tudes et crite`res d’acceptation ............................... Bre`che interme´diaire ...................................................................... 4.2.1. Phase d’actions des automatismes........................................ 4.2.2. Chronologie et courbes d’un sce´nario type bre`che interme´diaire 4.2.3. Actions de conduite requises .............................................. La grosse bre`che ........................................................................... 4.3.1. Phase d’actions des automatismes........................................ 4.3.2. Chronologie et courbes d’un sce´nario type : rupture guillotine en branche froide ................................................................. 4.3.3. Le transitoire thermohydraulique pour l’enceinte de confinement Cas particulier des bre`ches en e´tat d’arreˆt .......................................... 4.4.1. Bre`che sous le permissif P11 .............................................. 4.4.2. Bre`che dans les e´tats sur RRA ............................................. 4.4.3. Perte du RRA a` la Plage de Travail Basse du RRA................... 4.4.4. Conclusion pour les bre`ches dans les e´tats d’arreˆt...................

97 97 99 100 101 102 102 104 106 108 109 113 114 114 115 116 116 118

Proble`mes P5. E´tude d’une bre`che interme´diaire ..................................................... 119 P6. E´tudes probabilistes de la perte du RRA a` la PTB RRA .......................... 120

Chapitre 5. La perte totale des syste`mes supports : sce´narii de type Fukushima 5.1.

5.2.

Perte totale des alimentations e´lectriques ........................................... 5.1.1. Conse´quences de la perte totale des alimentations e´lectriques... 5.1.2. Strate´gies de conduite du re´acteur pour divers e´tats initiaux ..... 5.1.3. Spe´cificite´s de la conduite en circulation naturelle.................. 5.1.4. Cas particulier d’une perte totale des alimentations e´lectriques affectant tout le site .......................................................... Perte totale de la source froide......................................................... 5.2.1. Conse´quences de la perte totale de la source froide ................ 5.2.2. Strate´gies de conduite du re´acteur pour divers e´tats initiaux ..... 5.2.3. Cas particulier de la perte de la source froide sur l’ensemble des tranches du site................................................................

125 125 128 131 132 134 134 134 137

Physique, fonctionnement et surete´ des REP : situations accidentelles

x

5.3 5.4.

Cumul de la perte totale de la source froide et des alimentations e´lectriques 137 Conclusion................................................................................... 138

Proble`mes P7. E´tude des conditions d’e´chec de l’ıˆlotage ........................................... 139 P8. Perte totale des alimentations e´lectriques, thermosiphon et conduite « H3 » 140

Chapitre 6. La Rupture de Tubes de Ge´ne´rateur de Vapeur (RTGV) 6.1. 6.2. 6.3.

6.4.

Pre´sentation ge´ne´rale de l’accident ................................................... Retour d’expe´rience mondial et enseignements tire´s en France............... Description d’un transitoire RTGV type ............................................. 6.3.1. Phase d’intervention des automatismes ................................. 6.3.2. Strate´gie de conduite court terme ........................................ 6.3.3. Strate´gie de conduite long terme ......................................... E´tude de sensibilite´ aux principaux parame`tres.................................... 6.4.1. Niveau de puissance initial ................................................ 6.4.2. Disponibilite´ des GMPP..................................................... 6.4.3. Nombre de tubes rupte´s .................................................... 6.4.4. RTGV + cumul du blocage des soupapes de suˆrete´ (bre`che vapeur sur le meˆme GV)....................................................

145 146 149 149 153 156 159 159 160 160 160

Proble`me P9. E´tude de la conduite court terme d’une RTGV – gestion du RIS.............. 162

L’accident de TMI2 et ses enseignements en termes de gestion post-accidentelle Chapitre 7. 7.1. 7.2.

7.3. 7.4.

7.5.

L’accident de Three Mile Island (1979)

Pre´sentation du re´acteur B&W de TMI2 ............................................. Chronologie de l’accident : principaux e´ve`nements et conduite.............. 7.2.1. L’initiateur, les aggravants, le de´couvrement du cœur.............. 7.2.2. Les alarmes d’activite´, la situation d’urgence, les tentatives pour sauver la situation ............................................................ Analyse des conse´quences a posteriori .............................................. Principaux enseignements de l’accident de TMI2, sous l’angle de la gestion post-accidentelle ........................................................................... 7.4.1. Phe´nome`nes thermohydrauliques ........................................ 7.4.2. Mate´riels utilise´s en conduite.............................................. Prise en compte des facteurs humains et organisationnels par le secteur nucle´aire franc¸ais .......................................................................... 7.5.1. La de´cennie 80 : prise en compte de l’erreur humaine et de son rattrapage par l’organisation ...............................................

165 166 166 171 173 176 176 178 179 179

Table des matie`res

xi

7.5.2.

La de´cennie 90 : prise en compte du facteur organisationnel, e´mergence du concept de culture de suˆrete´ ........................... 182 Aujourd’hui .................................................................... 183

7.5.3.

Proble`me P10. Analyse de l’accident de TMI2, jusqu’au de´couvrement du cœur............ 183

Chapitre 8. La conduite post-accidentelle par « Approche Par E´tat » 8.1. 8.2.

8.3.

Caracte´risation de l’e´tat physique de l’installation (diagnostic d’e´tat) ....... De´termination des strate´gies de conduite : se´quences et modules de conduite.................................................................................. 8.2.1. Conduite primaire ............................................................ 8.2.2. Conduite secondaire et enceinte.......................................... Mise en œuvre des actions de conduite, selon les moyens disponibles ..........

190 192 192 195 197

Proble`me P11. APE : e´tude d’un repli dur vers RRA.................................................. 199

Chapitre 9. Situations post-fusion du cœur et conse´quences sur le confinement 9.1.

9.2.

9.3. 9.4. 9.5.

Physique de la fusion du cœur, jusqu’au percement de la cuve.............. 9.1.1. Perte de la premie`re barrie`re .............................................. 9.1.2. Oxydation des gaines et production d’hydroge`ne.................... 9.1.3. De´gradation du cœur aux hautes tempe´ratures, formation du corium et percement de la cuve...................................... Modes de de´faillance de l’enceinte de confinement suite au percement de la cuve.................................................................................... 9.2.1. De´faut d’e´tanche´ite´ initial de l’enceinte................................ 9.2.2. Mise en surpression lente dans l’enceinte.............................. 9.2.3. Explosion de vapeur dans la cuve ou dans le puits de cuve ...... 9.2.4. Explosion d’hydroge`ne dans l’enceinte ................................. 9.2.5. Traverse´e du radier en be´ton par le corium ........................... 9.2.6. Bipasse du confinement par l’interme´diaire de tuyauteries sortant de l’enceinte (mode V) ...................................................... 9.2.7. E´chauffement direct de l’enceinte ........................................ 9.2.8. By-pass enceinte par RTGV ............................................... 9.2.9. Accidents d’insertion rapide de re´activite´ .............................. Conduite des accidents graves et mesures de protection des populations.. Re´examen de suˆrete´ sur la base des E´tudes Probabilistes de Suˆrete´ (EPS) de niveau 2.................................................................................. Conclusion...................................................................................

201 202 202 204 205 208 208 210 211 212 213 214 214 214 215 216 218

Proble`me P12. E´tude de la tenue de l’enceinte en cas d’accident grave........................ 218

xii

Physique, fonctionnement et surete´ des REP : situations accidentelles

Chapitre 10. Conclusion : quelques pistes pour maıˆtriser les situations accidentelles sur le syste`me REP 10.1. L’analyse des interactions et contre-re´actions internes au syste`me complexe..................................................................................... 10.2. La prise en compte de la proble´matique principale de suˆrete´ : l’e´vacuation de la puissance ............................................................................. 10.3. L’importance du retour d’expe´rience et du re´examen pe´riodique de suˆrete´ ..................................................................................... 10.4. L’enseignement du retour d’expe´rience : les accidents ont des origines techniques, humaines et organisationnelles......................................... 10.5. Se pre´parer a` l’impre´vu .................................................................. 10.6. Se pre´parer a` la gestion des accidents graves et des rejets ..................... 10.7. L’e´volution de conception des futures installations doit inte´grer ces enseignements ......................................................................... 10.8. Toujours plus de suˆrete´ ? ................................................................

221 223 225 226 227 228 228 230

Annexe 0. Comple´ments de thermohydraulique syste`me A0.1. Physique des composants du circuit primaire – grandeurs cle´s mesure´es .. A0.1.1. Niveau et pression dans le pressuriseur................................. A0.1.2. Niveau des ge´ne´rateurs de vapeur ....................................... A0.2. Circulation du fluide primaire : la sous-fonction transport ..................... A0.2.1. Caracte´ristiques circuit et pompe - point de fonctionnement en circulation force´e ......................................................... A0.2.2. Arreˆt partiel des pompes - circulation force´e dissyme´trique ...... A0.2.3. Circulation naturelle monophasique ..................................... A0.2.4. Circulation naturelle diphasique .......................................... A0.2.5. Fonctionnement en mode caloduc ....................................... A0.2.6. Conclusion sur la sous-fonction transport .............................. A0.2.7. Conditions de cre´ation d’une he´te´roge´ne´ite´ du fluide primaire (ex. : en bore) ..................................................................

231 231 235 236 236 237 238 240 242 243 243

Annexe 1. Approches de´terministe et probabiliste de suˆrete´ A1.1. L’approche de´terministe de suˆrete´..................................................... A1.1.1. Risque potentiel, risque re´siduel .......................................... A1.1.2. Situations de fonctionnement – classement en cate´gories ......... A1.1.3. Conditions de suˆrete´ a` respecter pour chaque situation – crite`res d’acceptabilite´ des e´tudes .................................................. A1.1.4. Re`gles d’e´tudes et codes conservatifs ................................... A1.1.5. Informations tire´es des e´tudes des situations de fonctionnement A1.1.6. Situations comple´mentaires ................................................ A1.1.7. Le rapport de suˆrete´ .......................................................... A1.2. Les e´tudes probabilistes de suˆrete´ ..................................................... A1.2.1. Principe des arbres d’e´ve`nements ........................................ A1.2.2. Inte´reˆt et limites ............................................................... A1.2.3. Utilisation des EPS............................................................

247 247 247 250 251 252 253 254 254 254 255 256

Table des matie`res

xiii

Annexe 2. Les accidents de Tchernobyl et Fukushima A2.1. L’accident de Tchernobyl ............................................................... A2.1.1. Une filie`re dangereuse : un re´acteur potentiellement instable.... A2.1.2. Pre´sentation succincte de l’accident et de ses causes organisationnelles............................................................. A2.1.3. Enseignements tire´s pour les RBMK et les re´acteurs occidentaux A2.2. L’accident de Fukushima ................................................................ A2.2.1. Le site et les re´acteurs de Fukushima.................................... A2.2.2. Pre´sentation succincte de l’accident ..................................... A2.2.3. Premiers enseignements.....................................................

259 259 261 263 264 264 265 268

Annexe 3. Suˆrete´ nucle´aire : facteurs humains et organisationnels A3.1. A3.2. A3.3. A3.4.

L’erreur humaine........................................................................... Origine organisationnelle de l’erreur humaine..................................... Erreurs actives et erreurs latentes ...................................................... Le de´bat « syste`me complexe = accident normal » vs « organisation a` haute fiabilite´ »............................................................................. A3.5. Si l’homme est source d’erreur, faut-il de´velopper l’automatisation ? ....... A3.6. La sureˆte ge´re´e pour de´velopper la re´silience du syste`me ......................

274 276 277 278 280 281

Annexe 4. Spe´cificite´s de la conception du re´acteur EPR vis-a`-vis de la suˆrete´ A4.1. Les choix de conception pour re´duire le risque de fusion du cœur.......... A4.1.1. Circuits primaire et secondaire............................................ A4.1.2. Syste`mes de sauvegarde..................................................... A4.2. Les choix de conception pour limiter les conse´quences d’un accident grave A4.2.1. E´limination pratique des situations qui pourraient conduire a` des rejets pre´coces importants .................................................. A4.2.2. Dispositions relatives a` la fusion du cœur a` basse pression....... A4.3. Principaux choix de conception des concurrents de l’EPR vis-a`-vis de la suˆrete´ ..........................................................................................

285 286 287 289 289 291 293

Annexe 5. Pre´sentation du mode`le REP ponctuel : e´quations bilan et donne´es 1300 MWe A5.1. Pre´sentation du mode`le ponctuel simplifie´, exploite´ pour la re´solution d’un proble`me dynamique sur le syste`me REP ........................................... A5.2. E´quations bilans du mode`le............................................................. A5.2.1. Bilan de re´activite´ du cœur ................................................ A5.2.2. Bilans de masse ............................................................... A5.2.3. Bilans d’e´nergie ............................................................... A5.2.4. Augmentation du volume du fluide primaire et conse´quences sur la pression primaire .......................................................... A5.3. Donne´es nume´riques caracte´ristiques du syste`me REP ..........................

295 297 297 297 299 303 304

Physique, fonctionnement et surete´ des REP : situations accidentelles

xiv

A5.3.1. A5.3.2. A5.3.3. A5.3.4.

Physique du cœur ............................................................ Circuits primaire et secondaire............................................ Syste`mes fluides auxiliaires et de sauvegarde ......................... Proprie´te´s thermohydrauliques de l’eau ..............................

304 306 308 310

Lexique des principaux sigles et grandeurs physiques ........................ 311 Principales re´fe´rences bibliographiques .............................................. 315

Avant-propos et remerciements Cet ouvrage s’appuie sur le vécu d’analyse de la sûreté des réacteurs nucléaires électrogènes, de type REP, et sur une quinzaine d’années d’enseignement de l’auteur sur le sujet. Il reprend, en grande partie, les différents supports de cours, travaux dirigés et travaux pratiques sur simulateur de fonctionnement accidentel, du cours de Génie Atomique de l’Institut National des Sciences et Techniques Nucléaires. Il a pour objectif de présenter le comportement du réacteur en situations accidentelles en s’appuyant sur les bases neutroniques et thermohydrauliques, ainsi que la description fonctionnelle de la chaudière. Sa valeur ajoutée, par rapport aux autres ouvrages de la collection, est d’aborder la dimension systémique du fonctionnement d’un réacteur nucléaire, caractérisée par de nombreux couplages entre phénomènes physiques et des interactions dynamiques entre les sous-parties du système. Une telle approche est indispensable pour comprendre, interpréter et prédire le comportement du système réacteur, compétences requises pour l’exercice des métiers de la conception, de l’exploitation et bien sûr de l’analyse de sûreté de ce type d’installation. L’ouvrage se détache en deux parties, l’une présentant les principales familles d’accidents susceptibles d’affecter les trois fonctions de sûreté, l’autre, l’accident de Three Mile Island, accident de référence pour les REP, et ses enseignements en termes d’optimisation de la conduite post-accidentelle pour éviter la fusion du cœur, et garantir le confinement. La conclusion tente de synthétiser les conditions de la maîtrise des situations accidentelles sur ce type d’installation. Chaque chapitre fait l’objet d’un ou deux problème(s), exploitant un modèle REP ponctuel, pour permettre d’analyser qualitativement les transitoires étudiés et de caractériser quantitativement les états d’équilibre dynamique sur lesquels le réacteur converge, du fait de sa grande stabilité. De nombreuses annexes apportent des compléments d’informations, utiles à tout ingénieur s’intéressant à ce sujet, comme par exemple les enseignements des autres grands accidents nucléaires, les démarches d’analyse de sûreté déterministe ou probabiliste ou encore la composante humaine et organisationnelle du système sociotechnique. L’auteur voudrait remercier Joseph Safieh pour le témoignage de sa confiance, ainsi que les personnes qui ont contribué à la réalisation de cet ouvrage, en particulier les membres de l’équipe pédagogique et les élèves ingénieurs du Génie Atomique de l’INSTN. Il tient cependant à remercier tout particulièrement Olivier Hascoët et ses collègues de la division Physique des Réacteurs d’EDF/SEPTEN qui ont accepté de relire collégialement l’intégralité du document et ont fait de nombreuses suggestions pour en garantir la lisibilité et la rigueur technique. Toutes les erreurs et omissions restent, bien évidemment, de la seule responsabilité de l’auteur.

7KLVSDJHLQWHQWLRQDOO\OHIWEODQN

L’auteur Bruno TARRIDE

est inge´nieur diploˆme´ de l’ENSIACET (ex. : ENSIGC) et de l’Institut National des Sciences et Techniques Nucle´aires (INSTN). Il a tout d’abord travaille´ dans le domaine de l’analyse de suˆrete´ des re´acteurs nucle´aires, au sein de l’Institut de Radioprotection et de Suˆrete´ Nucle´aire, avant de rejoindre l’Institut National des Sciences et Techniques Nucle´aires du CEA. Il est aujourd’hui directeur des e´tudes de la spe´cialisation d’inge´nieurs en Ge´nie Atomique, expert senior en « physique, fonctionnement et suˆrete´ des syste`mes REP », professeur INSTN et professeur des universite´s associe´ a` Grenoble-INP. Il enseigne ce the`me depuis plus de quinze ans.

7KLVSDJHLQWHQWLRQDOO\OHIWEODQN

Introduction « C’est dans la nature des systèmes complexes, étroitement couplés, très interactifs… de faire surgir de mauvaises surprises. » James Reason

Une approche « système » simplifiée pour aborder la maîtrise des situations accidentelles Cet ouvrage de la collection « Génie Atomique » est publié après une série de thèmes qui abordent les disciplines scientifiques de base du génie nucléaire, ainsi qu’une description du cœur et de la chaudière d’un Réacteur à Eau sous Pression, avec une démarche de type analytique. La formation en Génie Atomique a clairement cet objectif pluridisciplinaire mais elle vise, au-delà, à offrir aux étudiants une vision d’ensemble du système réacteur, d’une part en dépassant la juxtaposition de disciplines, en introduisant leur interdépendance, d’autre part en sensibilisant aux interactions dynamiques entre le cœur et les sous-parties constituant la chaudière nucléaire. Une telle approche permet de comprendre, interpréter, prédire le comportement du système, alors que les variables interconnectées jouent, au cours du temps, à la fois le rôle de cause et d’effet. Le réacteur nucléaire électrogène répond, en effet, à la définition d’un système dynamique complexe : • Il est en relation permanente avec son environnement et échange ainsi matières, énergie et informations avec lui. Une exception notable cependant : conformément à la première fonction de sûreté, il est indispensable de garantir le « confinement des matières radioactives », cette exigence étant d’ailleurs elle-même génératrice de complexité. • Il est composé de nombreux sous-systèmes en interaction dynamique (cœur, circuits primaire et secondaire, circuits auxiliaires et de sauvegarde…), échangeant masse et énergie (figure 0.1.) • Il est caractérisé par le couplage de nombreux phénomènes physiques élémentaires et, en tout premier lieu, ceux relevant de la neutronique et de la thermohydraulique. Il existe en effet, en son sein, de très nombreuses boucles de rétroaction internes : – la plupart négatives, donc stabilisatrices (ex. : contre-réactions Doppler et modérateur), mais quelques-unes positives1 (ex. : oxydation de la gaine) ; – de constantes de temps courtes (ex. : Doppler et modérateur) ou lentes (ex. : effet Xénon) ; – avec une relation entre la cause et l’effet de type proportionnelle ou pas. 1 Dans ce dernier cas, il convient d’identifier d’éventuels effets « falaise » permettant de définir des critères de sûreté pour se protéger de phénomènes divergents.

2

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 0.1. Schéma simplifié synthétisant les principaux échanges de masse (verticalement) et d’énergie (horizontalement).

Articulées « en réseau » ces boucles, on le verra, combinent leur interaction pour maintenir la stabilité du système et permettre son adaptation aux contraintes externes. On peut illustrer cette propriété par le comportement du cœur « naturel suiveur »2 en cas d’appel d’énergie programmé ou fortuit au niveau du circuit secondaire « prioritaire ». • Enfin, le procédé est surveillé par des capteurs et contrôlé à partir d’actionneurs pilotés : – soit par le système de contrôle commande (régulations, actions de protection et de sauvegarde), sur la base de l’information délivrée par l’instrumentation mesurant les grandeurs physiques clés pour la sûreté, alors comparées à des consignes ou à des valeurs seuils, pour actions, – soit par les opérateurs de conduite, au travers d’une interface homme – machine, située en salle de commande (figure 0.2.) Aussi, on devra considérer, tout particulièrement pour l’étude du risque accidentel, un système plus large englobant bien sûr le système technique, le réacteur, mais aussi les opérateurs et l’organisation au niveau de la conduite et du contrôle de la sûreté. La dimension « complexe » du système réacteur impose de familiariser les acteurs chargés de la conception, de l’exploitation et de l’analyse de sûreté, à son comportement suite à diverses perturbations. 2 Sans l’effet des régulations ; ce comportement, relevant du fonctionnement normal, sera développé dans un autre titre de la collection « Génie Atomique ».

Introduction

3

Figure 0.2. Moyens de contrôle du système REP.

C’est pourquoi cet ouvrage aborde le thème de la maîtrise des situations accidentelles d’un REP, avec cette approche systémique. L’enjeu associé à ce thème est important, car un réacteur nucléaire de puissance présente des caractéristiques qui en font une installation potentiellement dangereuse pour l’homme et l’environnement : • Tout d’abord, il concentre un inventaire en matières radioactives qui peut être considérable, du fait de l’accumulation dans le cœur de produits de fissions et de produits d’activation formés au cours du fonctionnement en puissance. • Ensuite, l’installation peut être à l’origine de sa propre agression, du fait : – d’une source d’énergie par fissions reposant sur une réaction en chaîne dont la cinétique d’évolution peut être très rapide, voire s’emballer si le réacteur est mal conçu, – d’une densité de puissance produite très importante lorsque le réacteur est en production, – d’une puissance résiduelle ne s’annulant pas, même après l’arrêt du réacteur, du fait de la décroissance radioactive des matières produites. Ces caractéristiques imposent des exigences de sûreté nucléaire pour, d’une part limiter la quantité d’effluents radioactifs générés en production, d’autre part prévenir et limiter les conséquences d’un éventuel accident. Pour ce faire, on définit trois fonctions de sûreté. Outre le confinement dont nous avons déjà parlé, il convient de garantir la maîtrise de la réaction en chaîne et d’assurer l’évacuation de la puissance thermique produite, dans toutes les phases d’exploitation. Historiquement, dès la mise au point des premiers réacteurs de recherche, les physiciens ont su qu’il était possible de maîtriser la réaction en chaîne, en particulier du fait de la contre-réaction stabilisatrice Doppler, liée à la température du combustible, et donc susceptible d’agir avec une très courte constante de temps. En complément de cet effet, les bons choix de conception d’un réacteur de puissance assurant une contre-réaction modérateur stabilisatrice et fiabilisant un système de chute

4

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 0.3. Principaux phénomènes thermohydrauliques rencontrés dans un REP, lors d’un accident du type APRP. Source : Clés CEA.

des grappes d’absorbants, permettent, on le verra, de garantir la maîtrise de la réaction en chaîne, alors que cette problématique constitue la plus grande source d’inquiétude pour le grand public, du fait d’un raisonnement (erroné) par analogie avec la bombe A3 . La démonstration de sûreté est finalement plus complexe à apporter pour la troisième et dernière fonction de sûreté « l’évacuation de la puissance ». C’est ce qu’a d’ailleurs montré l’accident de Three Mile Island et, plus récemment, celui de Fukushima-Daiichi. En effet, celle-ci exige de nombreux systèmes fluides pour garantir l’extraction de la puissance thermique du cœur, son transport, puis son évacuation vers une source froide. Ces systèmes reposent, aujourd’hui, pour l’essentiel, sur l’action d’éléments actifs, de type vannes, pompes, qui peuvent s’avérer défaillants, être rendus indisponibles par la perte de systèmes supports, l’action inappropriée des opérateurs… Ces éléments actifs étant nombreux dans un système complexe, il est aujourd’hui considéré comme illusoire de prétendre à une indentification complète de la combinatoire de toutes les défaillances matérielles et/ou humaines possibles. Ce qui explique l’abandon du principe de conduite post-accidentelle « par évènement » et sa substitution par une approche « par état » cherchant à identifier et caractériser un nombre fini d’états physiques plus ou moins dégradés de l’installation, chacun pouvant être associé à une stratégie de conduite adaptée. Certains de ces états sont caractérisés par des phénomènes thermohydrauliques souvent complexes à interpréter et à modéliser (figure 0.3.). C’est d’ailleurs pourquoi, on le verra, certaines configurations thermohydrauliques ont été identifiées, non pas par des études, mais à l’issue de l’analyse d’évènements ou incidents du retour d’expérience d’exploitation. La première partie de l’ouvrage se propose donc de présenter les phénomènes physiques, les moyens matériels et stratégies de conduite, définis et justifiés dans le rapport de sûreté, 3 Même Tchernobyl, réacteur conçu avec des domaines d’instabilité, n’a pas explosé au sens neutronique, même si l’énergie excessive produite a conduit à une vaporisation quasi-instantanée de l’eau de refroidissement, phénomène abusivement appelé explosion vapeur (voir annexe 2).

Introduction

5

dans une logique de recherche a priori des meilleures parades pour maîtriser le risque d’accident sur un Réacteur à Eau sous Pression (REP)4 . Un premier chapitre intitulé « Physique et sûreté » explicite la nature du risque et introduit les grandes familles d’accidents. À cette occasion, les notions de base de physique neutronique et thermohydraulique sont rappelées, de même qu’une description fonctionnelle synthétique des moyens palliatifs, de type protection et sauvegarde. Tous ces rappels s’appuieront bien sûr sur le contenu des autres ouvrages de la collection « Génie Atomique »5 . Par la suite, sont présentées, plus en détail, les grandes familles d’accidents susceptibles d’affecter les trois fonctions de sûreté : • les accidents de réactivité par retrait d’absorbants : grappes ou bore soluble (chapitre 2) ; • l’accident de réactivité par Rupture de Tuyauterie Vapeur (RTV), symbole à lui seul de la dimension systémique du réacteur, un initiateur sur le circuit secondaire conduisant, par un couplage thermohydraulique/neutronique, à un accident de réactivité affectant le cœur (chapitre 3) ; • l’Accident de Perte de Réfrigérant Primaire (APRP) conduisant au défaut d’extraction de puissance du cœur (chapitre 4) ; • la perte totale des systèmes supports nécessaires au transport et à l’évacuation de la puissance, autrement dit les scénarii du type de l’accident japonais de Fukushima (chapitre 5) ; • la Rupture de Tubes de Générateur de Vapeur (RTGV) affectant plus particulièrement la fonction de sûreté « confinement » et exigeant un enchaînement d’actions humaines pour sa maîtrise (chapitre 6). Toutes les situations de fonctionnement du réacteur ne pourront, bien sûr, être présentées. Celles sélectionnées sont cependant représentatives des situations rencontrées lors des études réalisées en support à la démonstration de sûreté, permettant au lecteur de pouvoir extrapoler son analyse à d’autres situations. La deuxième partie de l’ouvrage présente l’accident de référence des REP, l’accident de Three Mile Island (TMI2), et ses incidences sur l’évolution de l’approche de sûreté des réacteurs nucléaires français6 . On y trouve : • le déroulement de l’accident de TMI2, avec l’analyse des évènements et actions humaines ayant conduit à la fusion partielle du cœur (chapitre 7) ; 4 C’est cette approche, dite de « sûreté réglée » qui est développée dans l’ouvrage ; elle est complétée par l’approche de « sûreté gérée », pour l’essentiel composée de dispositions organisationnelles, pour tenter de faire face à l’imprévu. 5 Précis de Neutronique, Thermohydraulique des réacteurs, La chaudière des Réacteurs à Eau sous Pression, Exploitation des cœurs et Fonctionnement normal (en préparation). 6 En 2013, il est encore trop tôt pour tirer tous les enseignements de l’accident de Fukushima-Daïchi (REB : famille cousine des REP). Quant à la centrale de Tchernobyl, sa conception est fondamentalement différente de celle des REP. Ces accidents sont cependant décrits en annexe A2 avec leurs principales causes d’origine organisationnelle.

6

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• l’approche de conduite post-accidentelle « par état », développée au titre des enseignements de TMI2, pour permettre aux opérateurs de gérer des situations imprévues, complexes et/ou évolutives, pour assurer au mieux la sauvegarde du cœur (chapitre 8) ; • l’étude des situations post-fusion du cœur, et ses conséquences pour le bâtiment réacteur, pour préparer les acteurs de la crise à la gestion des accidents graves, avec priorité au maintien du confinement (chapitre 9). On trouvera également en annexe, la description des deux autres grands accidents nucléaires que sont Tchernobyl et Fukushima et d’autres enseignements tirés de ces accidents, comme l’intérêt d’une démarche probabiliste pour « croiser » et compléter la démarche déterministe de conception ou la nécessaire prise en compte des facteurs humains et organisationnels. Enfin, on y trouvera des données chiffrées spécifiques au palier 1300 MWe, pris comme référence pour l’ouvrage, et, en différentiel, les principales évolutions de conception du réacteur EPR de génération III. Tout au long des chapitres, l’ouvrage s’appuiera sur des simulations de transitoires accidentels, obtenues à partir de codes de calculs ou de simulateurs de type « principes de bases » ou « entraînement à la conduite » de l’INSTN. Depuis de nombreuses années, l’INSTN exploite ces plateformes pédagogiques pour permettre à ses étudiants et stagiaires de sessions d’études, d’appréhender les interdépendances dynamiques, les temps de réponse, les couplages physiques et donc le comportement parfois contre-intuitif du système REP qui en résulte7 . Enfin, pour l’interprétation qualitative des transitoires présentés, l’ouvrage propose d’exploiter un modèle ponctuel cœur/primaire/secondaire/enceinte, décrit en annexe 5. Malgré ses limites, il est extrêmement utile dans la plupart des cas. D’ailleurs, les exercices ou problèmes de fin de chapitre s’appuient sur ce modèle simplifié. Sur la base de bilans de réactivité, matière et énergie, on pourra ainsi prédire, par des calculs simples, de bons ordres de grandeur des variables d’état (masses, concentrations, températures) et des flux échangés, lors des nombreux états d’équilibre dynamique rencontrés. Finalement, si à la lecture de cet ouvrage, le lecteur, parce qu’il a intégré la dimension systémique et transdisciplinaire des Réacteurs à Eau sous Pression, est en mesure de justifier les qualités intrinsèques et les limites de ces réacteurs en termes de sûreté nucléaire, l’auteur aura atteint ses objectifs.

7 On peut d’ailleurs noter l’importante place accordée aux mises en situation sur simulateurs de fonctionnement dans le programme de formation de la spécialisation d’ingénieur en Génie Atomique de l’INSTN.

1

Physique et sûreté : introduction aux familles d’accidents

Les installations nucléaires présentent pour l’homme et l’environnement des risques potentiels de dispersion incontrôlée de produits radioactifs, émetteurs de rayonnements ionisants. La dangerosité spécifique d’un réacteur nucléaire électrogène, dit de puissance, résulte, outre l’important inventaire en matières radioactives, d’une part du mécanisme de la réaction en chaîne, d’autre part de la forte densité de puissance en fonctionnement normal et de la non totale annulation de la puissance thermique après arrêt de la réaction en chaîne. On se propose, dans ce chapitre introductif, de présenter les bases physiques, ainsi qu’une description fonctionnelle simplifiée de la chaudière, pour permettre au lecteur d’appréhender la nature du risque, d’interpréter la plupart des transitoires accidentels et comprendre ainsi comment ceux-ci peuvent être maîtrisés.

1.1. Risque sur les trois barrières de confinement, notion de fonctions de sûreté Les produits radioactifs présents dans le cœur sont issus d’une part des produits résultant de la fission, d’autre part des actinides formés à partir de la capture neutronique des isotopes de l’uranium contenu dans les pastilles d’oxyde d’uranium (UO2 ). Durant un cycle séparant deux rechargements, ces produits s’accumulent et leur radioactivité augmente, pour atteindre quelques 1019 becquerels en fin de cycle. L’essentiel de la radioactivité du site est concentré là (voir figure 1.1.) En exploitation, on retrouve également des produits radioactifs dans le fluide primaire issus : • du transfert des produits de fission les plus solubles ou volatils à travers le matériau de gainage du combustible, via des défauts d’étanchéité, des microfissures qui peuvent s’entrouvrir lors de transitoires de fonctionnement. On distingue d’une part les radionucléides sous forme solide (Cs, Cr et Rb), d’autre part les gaz rares et les iodes gazeux. Cette source d’activité est mineure en fonctionnement normal, mais pose des problèmes lors d’éventuels rejets en fonctionnement accidentel ;

8

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• de produits formés par activation des noyaux composant l’eau borée (isotopes de l’azote produits à partir de l’oxygène1 et tritium produit essentiellement par capture neutronique du Bore 10 de l’acide borique dissous) ; • enfin, de l’activation des produits de corrosion : par exemple, le Cobalt 60 est produit par réaction de capture neutronique à partir des films d’oxyde qui se développent sur les parois internes des matériaux de structures, puis polluent l’eau primaire par solubilisation ou relâchement de microparticules insolubles. Cette dernière famille constitue la principale source de contamination du fluide primaire qu’il convient en particulier de gérer lors des arrêts de tranche, pour assurer la protection radiologique des travailleurs. Enfin, compte tenu d’une part de la production d’effluents radioactifs lors de l’exploitation et d’autre part du stockage pour désactivation des combustibles usés, d’autres piscines ou réservoirs de stockage du site nucléaire contiennent de la radioactivité, dans d’autres bâtiments que le bâtiment réacteur. Cet ouvrage s’intéressant au procédé réacteur, ces derniers cas ne seront pas considérés par la suite.

Figure 1.1. Activités des produits radioactifs dans une centrale REP (en TBq) - gaz rares (GR), allogènes (I et Br) et alcalins (Cs, Rb). Source : transparent IRSN.

1 Les azotes 16 et 17 ainsi formés interdisent l’accès au bâtiment réacteur en fonctionnement ; par contre, lors de l’intervention en arrêt à froid, ils ont totalement disparu compte tenu de leur très courte période (< 10 s).

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

9

1.1.1. Principe des trois barrières Revenons au procédé ; il convient de protéger l’environnement en contenant la considérable radioactivité présente dans le cœur du réacteur nucléaire. Pour cela, sur les Réacteurs à Eau sous Pression, trois barrières successives sont interposées entre les substances radioactives contenues dans le combustible et l’environnement : • la première barrière est la gaine, dont on a déjà parlé ; elle est constituée d’un tube en alliage de zirconium (Zircaloy) qui entoure les pastilles d’oxyde d’uranium ; • la seconde barrière est l’enveloppe du circuit primaire de refroidissement du réacteur ; il s’agit d’une enveloppe métallique en acier (cuve, tuyauteries...) ; • enfin, la troisième barrière est constituée d’une enceinte en béton entourant le réacteur : c’est l’enceinte de confinement. Malgré le soin apporté à la conception et à la réalisation de ces barrières, leur étanchéité n’est pas parfaite, on l’a vu, et peut se dégrader dans le temps. Aussi, elles font l’objet de contrôles périodiques réalisés avec le réacteur en fonctionnement ou à l’arrêt. On peut relever, dès à présent, certaines limites de ce principe des trois barrières, ne permettant pas toujours de garantir leur présence et/ou leur indépendance (figure 1.2.) En effet, en se limitant au seul bâtiment réacteur2 : • L’enveloppe du fluide primaire semble définie à l’intérieur de bâtiment réacteur, mais en fait elle se ramifie dans un bâtiment annexe. En effet, le circuit de contrôle volumétrique et chimique (RCV), qui a un rôle important en fonctionnement normal, est bien connecté au circuit primaire et s’étend à l’extérieur du bâtiment réacteur. • Il existe de nombreux autres circuits qui traversent l’enceinte de confinement pour rejoindre des bâtiments contigus : sur signal « d’isolement enceinte » il est prévu, au droit des pénétrations de ces circuits, des dispositifs de fermeture d’organes d’isolement. On verra, par la suite, le cas particulier important des tuyauteries vapeur qui, bien évidemment, traversent le bâtiment réacteur pour rejoindre le groupe turboalternateur dans la salle des machines ; en cas de Rupture de Tubes de Générateur de Vapeur (chapitre 6), l’enceinte est ainsi bipassée par les lignes vapeur. • Dans les états d’arrêt, le circuit primaire peut être ouvert (par un trou d’homme, le retrait du couvercle cuve…) et le confinement enceinte bien que requis, est dégradé, pour des raisons d’accessibilité. • Enfin, les études post-TMI2 (chapitre 7) ont montré que, sans l’apport d’une ligne de défense spécifique aux accidents graves, la perte de la première barrière peut conduire, soit du fait de la production d’hydrogène issue de l’oxydation des gaines, soit du fait du percement de la cuve par le corium et son interaction avec le béton 2 Compte tenu du choix rédactionnel, on ne développera pas les limites du principe des trois barrières pour les piscines ou réservoirs de stockage, hors bâtiment réacteur.

10

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

1re : gaine du combustible 2e : circuit primaire 3e : enceinte de confinement

BR BK

Figure 1.2. Limites du principe des trois barrières (cercles).

du radier, à la perte de la fonction de la troisième barrière3. Ce point est important, car il montre l’importance de garantir les conditions assurant l’indépendance des barrières. Pour ce qui concerne les deuxième et troisième barrières, leur tenue mécanique impose le respect d’un critère en pression, se référant à la pression de calcul : • circuit primaire : pression de calcul (172 bar) pour les incidents et 120 % de la pression de calcul (206 bar) pour les accidents ; • enceinte : pression de calcul (5 bar), pour les accidents. La barrière de confinement amont, la gaine, joue bien sûr un rôle stratégique. Aussi, son étanchéité est surveillée en mesurant l’activité de certains produits de fission susceptibles de migrer en faible quantité vers le fluide primaire. La gaine est tout particulièrement exposée. En effet, de nombreux phénomènes physiques sont susceptibles d’affecter son intégrité. À chacun d’entre eux sont également associés des critères de sûreté dont le respect permet de s’en protéger. Le paragraphe suivant propose de les parcourir brièvement. 3 La perte de la troisième barrière n’a pas été observée lors de cet accident, mais le risque a été identifié lors de l’analyse post-accident.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

11

1.1.2. Phénomènes à risque pour la première barrière et critères de sûreté associés On va le voir, tous les phénomènes à risque pour la gaine sont d’origine thermique. Ces phénomènes physiques sont susceptibles d’intervenir bien avant d’atteindre la température de fusion du Zircaloy le composant. Pour plus de détail sur ces phénomènes, le lecteur pourra se référer au livre Exploitation des cœurs REP de la collection « Génie Atomique » aux éditions EDP Sciences.

1.1.2.1. La crise d’ébullition Une zone supérieure du cœur est caractérisée par l’atteinte de la température de saturation par le fluide primaire au contact de la gaine4 . Des bulles de vapeur apparaissent alors au contact de la gaine. C’est le phénomène d’ébullition nucléée, dont le régime se caractérise par un très bon échange entre la gaine et le caloporteur, du fait du « transport de chaleur latente », complémentaire à la convection5 . Malheureusement, ce phénomène est instable : une augmentation du flux thermique local ou un changement des conditions thermohydrauliques du fluide, peut alors conduire à une forte dégradation de l’échange, par arrêt de l’ébullition nucléée (en anglais DNB pour Departure from Nucleate Boiling). On parle alors de crise d’ébullition par caléfaction, associée à la formation d’un film continu de vapeur à la surface de la gaine du combustible. Celui-ci joue alors le rôle d’isolant thermique, provoquant une dégradation brutale de l’échange thermique entre gaine et fluide primaire. Le flux thermique produit dans le combustible ne peut alors être transmis au fluide primaire que par l’augmentation de l’écart de température entre gaine et fluide primaire. Le fluide étant à saturation, la température de la gaine augmente alors de manière très importante. En exploitation, sur le palier 1300 MWe, deux grandeurs physiques sont évaluées pour estimer le risque de crise d’ébullition par caléfaction : • La grandeur flux thermique critique c , à partir duquel le phénomène apparaît ; sa valeur dépend des paramètres thermohydrauliques locaux du fluide primaire. La crise d’ébullition peut donc apparaître soit du fait d’un flux thermique local qui devient excessif, soit par dégradation du flux critique, lorsque les conditions thermohydrauliques conduisent à se rapprocher de la saturation : – soit par augmentation de la température du fluide primaire (défaut de transport ou de source froide), – soit par diminution de pression primaire. Pour estimer la valeur du flux critique, on utilise des corrélations empiriques basées sur des résultats expérimentaux obtenus dans des boucles d’essais, chacune associée 4 Au niveau du premier tiers supérieur du cœur, pour les crayons les plus chauds. 5 En effet, les bulles, créées à la paroi, se détachent, traversent la couche limite laminaire et se condensent

alors au sein de la veine turbulente, dont le fluide primaire est sous-saturé. La chaleur latente est donc bien « transportée » par le déplacement physique des bulles.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

12

Figure 1.3. Crise d’ébullition par caléfaction et par assèchement de la gaine.

à un domaine de validité et à une incertitude globale intégrant incertitudes de mesure et qualité de l’ajustement statistique6 . • La grandeur RFTC, Rapport de Flux Thermique Critique ou DNBR (DNB Ratio), défini par : RFTC =

c Flux thermique critique = Flux thermique local l

La priorité accordée à la sûreté impose donc, qu’en fonctionnement normal ou incidentel, le flux thermique local reste inférieur au flux critique, autrement dit que le RFTC soit toujours supérieur à l’unité. L’évaluation de la valeur de flux critique est entachée d’une incertitude. Aussi, pour s’assurer, avec un taux de confiance de 95 %, de ne pas avoir de crise d’ébullition dans le cœur, on s’impose, en exploitation, une marge et donc le respect d’un critère tel que : RFTC > 1,17 avec la corrélation WRB17 En cas d’accident violent, pour lequel la crise d’ébullition est inévitable, on impose que seulement quelques % des crayons « rentrent en DNB ». À noter qu’en cas de découvrement du cœur, on pourra se retrouver dans une situation de non-mouillage des gaines par l’eau liquide : on parle alors de crise d’ébullition par assèchement de la paroi chauffante (dryout), phénomène d’origine différente, mais de même conséquence (figure 1.3.)

1.1.2.2. Oxydation et fragilisation de la gaine Le phénomène d’oxydation de la gaine, de nature thermochimique, peut être directement une conséquence du précédent (caléfaction) ou observé lors du découvrement du cœur (assèchement). 6 Pour les REP d’EDF, on utilise principalement les corrélations W3 et WRB1, d’origine Westinghouse. 7 Cette corrélation permet de couvrir l’essentiel des accidents étudiés ; dans d’autres situations, on pourra

utiliser une autre corrélation (ex. : W3 sous 100 bar). La valeur du critère retenu est liée au type d’assemblage et au choix de la corrélation associée.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

13

Le zirconium de la gaine réagit avec l’eau pour donner un oxyde de zirconium, la zircone, qui fragilise la gaine, et de l’hydrogène gazeux, selon la réaction chimique : Zr + 2H2 O → ZrO2 + 2H2 + chaleur La réaction précédente est exothermique et est favorisée thermiquement. Il s’agit donc d’un effet à rétroaction positive : la chaleur produite favorise la cinétique de la réaction (évoluant selon une loi exponentielle croissante avec la température absolue du milieu). Le risque d’emballement est effectif au-delà d’une température de gaine estimée à ≈1200 ◦ C. Cette contre-réaction positive, source d’instabilité, est très problématique pour la sûreté, car la puissance alors produite peut localement dépasser la puissance résiduelle. Pour garantir le maintien d’une géométrie refroidissable du cœur, les critères de sûreté associés portent sur la température de gaine, selon la rapidité du transitoire : • pour les transitoires « lents » (assèchement de gaine sur plusieurs minutes), la température de la gaine doit rester strictement inférieure à 1204 ◦ C (2200 ◦ F) ; • pour les transitoires « rapides » (assèchement de gaine de durée inférieure à quelques secondes), on tolère une température de gaine supérieure, mais dans la limite de 1482 ◦ C (2700 ◦ F). On s’impose, par ailleurs, une limite de 17 % d’épaisseur de gaine oxydée et une limite sur la quantité d’hydrogène produite, pouvant poser problème en cas d’accumulation et de réaction avec l’oxygène ambiant.

1.1.2.3. Rupture du crayon par dépôt d’énergie élevé Lors d’un accident avec excursion de puissance8 , un pic de puissance nucléaire, bien que limité par l’intervention des contre-réactions neutroniques stabilisatrices (voir 1.2.2.), peut potentiellement conduire à la rupture du crayon combustible. Deux modes de rupture du crayon combustible sont considérés : la rupture simple lorsque le crayon conserve sa géométrie et la rupture par fragmentation, dans le cas inverse. Ce dernier cas de rupture n’est pas admissible car il conduit, outre à la disparition complète de la première barrière, à une augmentation sensible de la surface d’échange combustible – eau, à l’origine d’un phénomène de vaporisation quasi-instantanée du fluide primaire contenu dans le cœur, appelé « explosion vapeur en cuve ». Le paramètre clé associé à ce phénomène est la quantité d’énergie fournie au crayon combustible (figure 1.4.) À l’issue d’essais américains, des critères empiriques à respecter ont été retenus pour éviter le risque de rupture par fragmentation du combustible pour les accidents de réactivité les plus sévères pris en compte à la conception : • au point le plus chaud : – énergie déposée < 200 cal·g−1 d’UO2 (836 kJ·kg−1 ), – fraction du volume UO2 fondu < 10 %, 8 Cas de l’accident d’éjection de grappe, traité au 2.2.1.

14

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 1.4. Tenue du combustible selon l’énergie déposée. Source : Exploitation des cœurs, EDP Sciences.

– température de gaine < 1482 ◦ C. • sur l’ensemble du cœur : le nombre de crayons en crise d’ébullition doit rester inférieur à 10 %.

1.1.2.4. Fusion de la pastille combustible Afin d’éviter la fusion du combustible en fonctionnement normal ou incidentel, la température maximale au centre de la pastille ne doit pas dépasser 2590 ◦ C. Cette valeur correspond à la température de fusion de l’UO2 , diminuée de l’effet de l’irradiation et des incertitudes. La température au centre de la pastille étant directement liée à la puissance linéique locale du combustible, la valeur maximale de 2590 ◦ C est respectée si la puissance linéique locale reste inférieure à 590 W·cm−1 . Le critère de sûreté retenu porte sur cette grandeur ou directement sur la température maximale de la pastille combustible. En complément, en situation d’accident hypothétique avec découvrement transitoire du cœur, on s’impose que le cœur garde une géométrie refroidissable et que moins de 10 % en volume du combustible ait fondu.

1.1.2.5. Interaction pastille-gaine Le phénomène d’interaction pastille-gaine (IPG) constitue également un risque vis-à-vis de la première barrière, de nature thermomécanique. En effet, soumises à l’irradiation neutronique et la pression, les pastilles d’UO2 et la gaine sont le siège de déformations qui modifient l’épaisseur du jeu pastille-gaine.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

15

Côté combustible, on observe, après une phase court-terme de densification9 , une phase inverse de gonflement au cours du cycle, la rétention des produits de fission gazeux et solides se traduisant par un accroissement du diamètre des pastilles. Ce phénomène est accompagné d’une fissuration, due au fort gradient de température interne, et d’une déformation des pastilles « en diabolo », liée à l’hétérogénéité de la génération interne de chaleur. La gaine, pour sa part, est soumise radialement à un fluage vers l’intérieur exercé par le fluide primaire sous pression supérieure à la pression interne au crayon10. Le gonflement du combustible et le fluage de la gaine contribuent, au cours de l’irradiation, à la fermeture du jeu préexistant entre la pastille et la gaine : la gaine, initialement en compression, est alors le siège de contraintes de traction qui, en augmentant lors d’une variation de puissance11 , peuvent entraîner une fissuration voire une rupture du gainage, affectant ainsi l’intégrité de la première barrière de confinement. Ce phénomène thermomécanique limite la souplesse de fonctionnement des réacteurs du parc français. Au titre de la prévention, on impose des restrictions : • sur le type de fonctionnement (suivi de réseau ou fonctionnement en base) ; • sur la durée de fonctionnement à puissance intermédiaire sous forme d’un crédit ; • sur les vitesses de remontée en puissance. Au titre de la surveillance et de la protection, on suit tout particulièrement les augmentations de puissance linéique locale. Des seuils d’alarme et d’Arrêt Automatique du Réacteur (AAR) portent ainsi sur cette grandeur.

1.1.2.6. Conclusion De façon à respecter l’intégrité de la gaine, on a défini, pour chaque phénomène à risque, un, parfois plusieurs, paramètre(s) caractéristique(s), en y associant un critère de découplage quantitatif, dit « de sûreté »12 , à respecter en toute circonstance, y compris en cas d’accidents. De la même façon, on définit des critères de sûreté en pression pour atteindre le même objectif pour les deuxième et troisième barrières. Pour assurer le respect de l’ensemble de ces critères de sûreté, il convient de garantir la maîtrise de ce que l’on nomme les fonctions de sûreté.

9 En début de vie, l’élimination des microporosités du combustible fritté conduit à une diminution du diamètre des pastilles d’UO2 . 10 S’y ajoute la corrosion chimique interne par les produits de fission (l’iode en particulier) et externe par le réfrigérant. 11 La dilatation thermique de la pastille est plus importante que celle de la gaine. 12 Il s’agit d’un critère facilement accessible par le calcul et restant conservatif par rapport au critère d’acceptation des études d’accidents qui porte sur les conséquences radiologiques : voir l’approche déterministe, annexe A1.

16

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

1.1.3. Intégrité des barrières par le respect des trois fonctions de sûreté De façon à démontrer la sûreté d’un réacteur nucléaire, on impose donc le respect des trois conditions suivantes, appelées fonctions de sûreté : • le contrôle de la réaction en chaîne, pour garantir son non emballement ou toute excursion de puissance thermique d’amplitude et/ou durée excessive ; • le maintien du refroidissement du combustible en toute circonstance, par évacuation de la puissance produite, y compris après l’arrêt du réacteur ; • le confinement des produits radioactifs, par le maintien de trois barrières étanches. Ces trois fonctions de sûreté définissent les trois familles d’accidents que l’on présentera dans les paragraphes suivants. Ceux-ci permettront un certain nombre de rappels de physique neutronique et thermohydraulique, ainsi que des aspects fonctionnels relatifs aux moyens de protection et de sauvegarde du système réacteur. Pour plus de détails, le lecteur pourra se référer aux ouvrages correspondant de la collection « Génie Atomique » chez EDP Sciences.

1.2. Accidents affectant la fonction de sûreté : contrôle de la réactivité Un noyau fissile peut, par absorption d’un neutron, fissionner en émettant des fragments de fission, des neutrons rapides et une forte énergie. Les neutrons rapides produits par la réaction peuvent eux-mêmes, après ralentissement, être absorbés par d’autres noyaux fissiles et provoquer ainsi d’autres réactions de fission : c’est le principe de la réaction en chaîne (figure 1.5.)

Figure 1.5. Principe de la réaction en chaîne.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

17

Tableau 1.1. Cœur sous-critique, critique et sur-critique.

Cœur sous-critique Cœur critique Cœur sur-critique

k

ρ

k1

ρ0

Évolution de la puissance, lors de variation lente de réactivité Décroissante (convergence) Stable Croissante (divergence)

Pour appréhender l’évolution du nombre de neutrons au cours du temps dans un cœur de réacteur nucléaire, on définit une grandeur physique caractéristique : le facteur de multiplication des neutrons, noté k . Cette grandeur correspond au ratio entre le nombre de neutrons d’une génération au nombre de neutrons de la génération précédente. Cette grandeur étant toujours proche de l’unité, on préfère, pour l’exploitation des réacteurs, définir une grandeur associée plus pratique, la réactivité ρ, définie par : ρ=

k −1 k

On le voit, la réactivité, grandeur sans dimension, a été définie pour évaluer l’écart relatif à la criticité. Sa valeur étant généralement faible, on l’exprime en « pour cent mille » ou pcm = 10−5.

1.2.1. Quelques rappels de base de cinétique des réacteurs On considèrera, par la suite, la puissance du cœur en production comme proportionnelle au nombre de fissions13, donc au nombre de neutrons qui induisent des fissions nucléaires. La plus grande partie de l’énergie générée apparait sous forme d’énergie cinétique des produits de fission, rapidement cédée, sous forme de chaleur, au combustible14. Compte tenu de la définition du coefficient de multiplication des neutrons, la population neutronique évolue suivant une loi de type exponentiel, du fait de sa multiplication par un facteur constant, entre deux générations de même durée, selon : N → N · k → N · k 2 → N · k 3 → N · k 4 → etc. La durée moyenne entre deux générations de neutrons serait très courte si l’on ne considérait que les seuls neutrons émis par les réactions de fission : ce délai l est alors voisin de 2,5·10−5 s pour les cœurs de Réacteurs à Eau sous Pression. Autrement dit, en une seconde, 40 000 générations de neutrons se succèderaient. Dans ces conditions, envisageons une perturbation écartant le facteur k de l’unité de seulement +10 pcm, soit 0,01 %. La loi en N ·k n indique une amplification de la population neutronique, donc du nombre de fissions de 1,000140000 , soit un facteur 55 par seconde. Si tel était le cas, le réacteur nucléaire serait incontrôlable. 13 La puissance résiduelle additionnelle liée à la désintégration radioactive des produits de fissions et de captures des noyaux lourds, peut être ici, négligée. 14 Les PF sont freinés dans la matière et arrêtés quasi-instantanément sur une distance de l’ordre de la centaine de microns.

18

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Échelle logarithmique de la puissance (arbitraire)

Figure 1.6. Évolution de la population neutronique autour de la prompt-criticité (avant intervention de l’effet Doppler).

En fait, si les neutrons de fission, dit prompts, sont émis quasi-instantanément après la réaction de fission, des neutrons, dits retardés, sont émis par les fragments de fission, avec un retard par rapport à la fission, de l’ordre de τ = 10 secondes, lié à leur cinétique de désintégration radioactive. La fraction de neutrons retardés, notée β, est très faible (de l’ordre de 0,5 %) mais « pèse » considérablement sur la durée moyenne entre deux générations de neutrons : L = (1 − β) · l + β · (l + τ) ∼ β · τ = 0,005 × 10 = 0,05 s Aussi, dans la formule utilisée précédemment, ce ne sont pas 40 000 générations par seconde qu’il faut considérer, mais seulement 20. Le cas envisagé d’un facteur k s’écartant de 10 pcm, conduit à un facteur d’amplification de 1,000120 = 1,002, soit +0,2 % par seconde. Grace aux neutrons retardés, le réacteur est bien contrôlable. De fait, le comportement cinétique du réacteur est plus complexe à appréhender, du fait de la présence des deux voies de formation des neutrons. Une modélisation simplifiée à un seul groupe de neutrons retardés donne, pour un « créneau » positif de réactivité, une loi d’évolution de la population neutronique, somme de deux exponentielles :

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

19

• l’une s’annulant rapidement, correspondant à un phénomène court-terme appelé « saut prompt » ; • l’autre à l’évolution moyen et long terme de type exponentiel, caractérisée par un temps de doublement inversement proportionnel à la réactivité 15 . Cependant, si la réactivité dépasse la fraction de neutrons retardés β16 , la situation devient surcritique pour les seuls neutrons prompts. Cette situation de prompt-criticité s’apparente à celle décrite lorsque nous supposions l’absence de neutrons retardés ; l’amplification de la puissance étant considérable, on parle d’excursion de puissance… jusqu’à l’intervention des contre-réactions neutroniques stabilisatrices (figure 1.6.) Cette fraction de neutrons retardés évolue au cours de l’irradiation. En effet, l’origine des fissions évolue avec la formation de 239 Pu par captures fertiles dans le cœur. Or, ce radionucléide présente un β plus faible que celui associé à l’uranium 235. Le tableau 1.2. résume la situation avec l’avancement dans le cycle et permet d’évaluer une fraction moyenne pondérée. Tableau 1.2. Fraction de neutrons retardés. Noyau fissile 235 U

β

650 pcm 238 U (neutrons rapides) 1400 pcm 239 Pu 210 pcm Moyenne pondérée

% neutrons de fissions (UO2 ) début cycle 92 % 8% ∼ 700 pcm

fin cycle 50 % 8% 42 % ∼ 500 pcm

On notera donc qu’une même situation accidentelle introduisant, par exemple, +600 pcm, peut conduire à une situation de prompt-criticité au cours de la deuxième moitié de cycle. Ce point sera développé aux chapitres 2 et 3.

1.2.2. Paramètres influant la réactivité : accidents de réactivité et effet des contre-réactions neutroniques Les paramètres physiques susceptibles de modifier, lors de l’exploitation17 , la réactivité du cœur d’un Réacteur à Eau sous Pression sont les suivants : • l’irradiation du combustible (diminution de la concentration en noyaux fissiles, par « usure ») ; • la concentration en produits de fission absorbants de neutrons, dits poisons neutroniques (Xénon, Samarium) ; 15 Pour une réactivité de signe négatif, la loi est décroissante ; on parlera alors de temps « moitié ». 16 On assimilera, en première approximation, β et le β eff introduit pour tenir compte que les neutrons retardés

ne sont pas émis à la même énergie que les neutrons prompts et n’ont donc pas la même « histoire ». 17 On ne considèrera pas ici les accidents de criticité par augmentation de la quantité de noyaux fissiles, en cas d’erreur de rechargement du cœur, par exemple.

20

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• les températures du combustible et du fluide primaire (modérateur) ; • enfin, pour ce qui concerne les moyens de contrôle de la réactivité, la concentration en matériaux absorbants par évolution, soit de la position des grappes d’absorbant de contrôle, soit de la teneur en bore soluble du fluide primaire. Les effets d’irradiation du combustible et de variations de concentration des poisons neutroniques étant des processus très lents, seules les deux autres familles peuvent être à l’origine d’un transitoire d’insertion rapide de réactivité, autrement dit un accident de réactivité.

1.2.2.1. Dilatation du fluide primaire : effet à rétroaction « modérateur » Rappelons au préalable que le modérateur est le matériau choisi pour assurer le ralentissement des neutrons jusqu’au domaine d’énergie thermique où ils seront le plus efficaces. Dans un Réacteur à Eau sous Pression, c’est l’eau qui assure cette fonction neutronique, en plus de celles de solvant du bore soluble (neutronique) et de caloporteur (thermohydraulique). Au premier ordre18 , on peut présenter l’effet modérateur ainsi : une augmentation de la température du fluide primaire provoque sa dilatation, voire sa vaporisation, ce qui entraîne : • une réduction du nombre de noyaux d’hydrogène par unité de volume : le ralentissement des neutrons devient moins efficace, d’où un effet négatif sur la réactivité du cœur ; • une réduction du nombre de noyaux de bore présents : la capture des neutrons est réduite, d’où un effet positif sur la réactivité du cœur. L’effet global, résultant de ces deux phénomènes antagonistes, est un effet de rétroaction qui peut : • soit stabiliser l’évolution neutronique, si la contribution globale est négative et s’oppose à la cause qui lui a donné naissance ; • soit la déstabiliser, si celle-ci est positive et accentue la cause « mère ». Or, la contribution déstabilisante est d’autant plus forte que la concentration en bore du fluide primaire, exprimée en partie par million (ppm), est élevée. La priorité absolue accordée à la sûreté nucléaire impose donc un effet global stabilisant, ce qui fixe une limite maximale à la concentration en bore19. En exploitation, la concentration en bore est ajustée pour compenser, en particulier, l’épuisement lié à l’irradiation du combustible. Aussi, la valeur du coefficient modérateur, exprimée en pcm pour une variation unitaire de la température du fluide primaire, 18 On négligera l’effet de spectre thermique, par déplacement avec la température du milieu du spectre de Maxwell vers les grandes énergies, devant l’effet dominant de dilatation. Pour ce qui concerne ce dernier effet, on pourra négliger l’effet d’allongement du parcours des neutrons par dilatation, qui conduit à une augmentation des fuites, donc un effet négatif stabilisant. 19 Voir Précis de neutronique, collection « Génie Atomique », EDP Sciences, paragraphe 9.3.5.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

21

Tableau 1.3. Évolution de l’effet modérateur selon la puissance et l’avancement dans le cycle. 1er démarrage αmod Début de cycle Début de cycle Milieu de cycle Fin de cycle sans Xe Xe équilibre Xe équilibre Xe équilibre Cb ≈1200 ppm ≈1000 ppm ≈500 ppm ≈10 ppm 0 % Pn 297 ◦ C –2 pcm·◦ C−1 –20 pcm·◦ C−1 –45 pcm·◦ C−1 100 % Pn 307 ◦ C –10 pcm·◦ C−1 –30 pcm·◦ C−1 –60 pcm·◦ C−1

sera toujours négative mais évoluera au cours du cycle, selon les valeurs fournies dans le tableau 1.3. La contrepartie d’un tel coefficient global négatif est qu’un événement initiateur conduisant à un refroidissement du fluide primaire induira un apport de réactivité positive dans le cœur, d’autant plus important que le combustible se rapproche de la fin du cycle d’irradiation.

1.2.2.2. Variation de température du combustible : effet à rétroaction « Doppler » Une augmentation de la température du combustible provoque une augmentation des captures des neutrons par le combustible (principalement par l’uranium 238), au cours du ralentissement, donc une baisse de réactivité20. Cet effet, appelé effet Doppler, est intrinsèquement stabilisant. En effet, la valeur du coefficient Doppler peut être considéré de l’ordre de –3 pcm·◦ C−1 , pour une variation unitaire de température du combustible, indépendamment des conditions d’exploitation. Ce phénomène présente, de plus, l’avantage d’intervenir quasi-instantanément, l’énergie de fission étant produite au sein du combustible. Aussi, il permet, on le verra, de toujours limiter une excursion de puissance accidentelle et joue donc un rôle fondamental dans la démonstration de sûreté.

1.2.2.3. Variation de la concentration en absorbants : effet des grappes et de la concentration en bore soluble Grappes d’absorbants et bore soluble sont utilisés pour le contrôle du réacteur en exploitation, mais également comme moyens de protection et de sauvegarde, en situation incidentelle ou accidentelle par : 20 Pour l’explication de ce phénomène relevant de la physique nucléaire, on se reportera à l’ouvrage Neutronique de la collection « Génie Atomique », EDP Sciences.

22

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• la chute de toutes les grappes dans le cœur, sur demande d’Arrêt Automatique du Réacteur, permettant une insertion massive d’antiréactivité et ainsi d’étouffer la réaction en chaîne ; • l’apport de bore soluble (borication) automatique par les systèmes RCV ou RIS, permettant d’augmenter les captures de neutrons et ainsi d’éviter ou limiter tout retour en criticité. Cependant, tout événement initiateur de retrait incontrôlé de ces absorbants peut être à l’origine d’une situation accidentelle.

1.2.2.4. Accidents de réactivité On définit donc un accident de réactivité comme une situation issue d’un événement initiateur conduisant à une introduction incontrôlée importante et/ou rapide de réactivité dans le cœur. On distinguera deux familles d’accidents : • les accidents par retrait d’absorbants : extraction de grappes ou dilution de la concentration en bore soluble du fluide primaire, qui font l’objet du chapitre 2 de l’ouvrage ; • les accidents liés à la sur-modération des neutrons, par effet de refroidissement, présentés au chapitre 3. L’évolution du transitoire accidentel sera alors conditionnée : • tout d’abord, par l’événement initiateur qui fixe le mode d’insertion de la réactivité (rampe et amplitude finale) ; • puis, par l’intervention quasi-immédiate des contre-réactions neutroniques Doppler, puis modérateur. Ces contre-réactions faisant intervenir les températures, on ne pourra simuler et interpréter un tel transitoire que grâce à un couplage dynamique des phénomènes neutroniques, thermiques et thermohydrauliques. Comme on le verra, ces contre-réactions permettent de garantir la maîtrise de la grandeur réactivité. Les niveaux de puissances atteints peuvent cependant être incompatibles avec la démonstration de tenue de la gaine, compte tenu des phénomènes décrits au 1.1.2. • d’où la nécessité d’une intervention des moyens de protection et de sauvegarde, par apport d’absorbants dans le cœur.

1.2.3. Intervention du système de protection : l’Arrêt Automatique du Réacteur Le système d’Arrêt Automatique du Réacteur intervient pour toutes les situations incidentelles ou accidentelles, au titre de la ligne de défense « protection ». Cette action consiste

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

23

Figure 1.7. Instrumentation du réacteur grandeurs surveillées. Source : Exploitation des cœurs, EDP Sciences.

en une chute dans le cœur de toutes les grappes d’absorbants, qui entraîne la demande de déclenchement de la turbine, par fermeture des vannes d’admission sur les lignes vapeur. Le principe du système de protection est qu’à chaque événement initiateur est associé un ou plusieurs paramètres physiques, caractéristiques du transitoire. Ces grandeurs sont alors surveillées par le système d’instrumentation du système réacteur (figure 1.7.) Pour ces différentes grandeurs physiques caractéristiques, en cas de dépassement de valeurs seuils, l’Arrêt Automatique du Réacteur est demandé21 . On parle alors de protections spécifiques à un évènement initiateur (tableau 1.4.) S’y ajoutent les deux protections génériques « bas RFTC » et « puissance linéique élevée », largement couvrantes car s’intéressant aux conséquences et non aux causes des transitoires. Les seuils associés sont définis pour conserver des marges par rapport aux phénomènes à risque pour la première barrière : • la crise d’ébullition pour « bas RFTC » ; • l’interaction pastille-gaine et la fusion à cœur de la pastille pour « puissance linéique élevée ». Notons que des permissifs permettent d’adapter les actions de protection (logique, seuils) à l’état standard de la tranche. Par exemple, de nombreux seuils de protection sont inhibés sous une puissance de 10 % Pn. Après ouverture des disjoncteurs et relâchement des cliquets, la totalité des barres de contrôle et d’arrêt chutent par gravité, pour atteindre le fond du cœur en moins de deux secondes. 21 Dans une logique de défense en profondeur, le système de protection affiche en salle de commande une alarme, pour demande d’action corrective, et, dans certains cas, engage une action (ex. : baisse automatique de charge), avant de faire chuter les grappes.

24

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Tableau 1.4. Protections associées aux principales familles d’accidents – palier 1300 MWe (liste non exhaustive). EXEMPLES DE SITUATIONS INCIDENTELLES ET ACCIDENTELLES RÉACTIVITE : RETRAITS D’ABSORBANTS • Retrait incontrôlé de grappes • Éjection d’une grappe • Dilution incontrôlée d’acide borique RÉACTIVITE : SURMODÉRATION DES NEUTRONS PAR DÉPRESSURISATION SECONDAIRE • Ouverture intempestive d’une soupape GV • Rupture d’une tuyauterie vapeur (RTV)

DÉPRESSURISATION ET DÉFAUT DE MASSE PRIMAIRE • Ouverture intempestive d’une soupape pressuriseur • Brèche primaire (APRP) • RTGV TRANSPORT : PERTE DE DÉBIT PRIMAIRE • Perte partielle du débit primaire • Rotor bloqué d’une motopompe primaire • Perte des alimentations électriques externes DÉFAUT DE SOURCE FROIDE • Perte de l’eau alimentaire normale des GV • Rupture d’une tuyauterie d’eau alimentaire • Perte totale de l’alimentation en eau des GV

PROTECTIONS (Seuils d’Arrêt Automatique du Réacteur) • Haut flux neutronique (Ex. de chaînes de puissance : 109 % Pn) dφ

• dt variation rapide du flux (± 5 %) • Puissance linéique élevée (379 W·cm−1 ) • Bas RFTC (1,52) • Signal d’IS sur : - basse pression vapeur secondaire (41 bar) - très basse température branche froide (267 ◦ C) - haute pression enceinte (1,4 bar) • Basse pression dans le pressuriseur (131 bar) • Puissance linéique élevée (379 W·cm−1 ) • Bas RFTC (1,52) • Basse pression dans le pressuriseur (131 bar) • Signal d’IS (haute pression enceinte (1,4 bar)) • Très haut niveau GV (90 %) • Bas RFTC (1,52) • Basse vitesse rotation pompes primaires (92 %) • Bas débit boucle primaire (89 %) • Bas RFTC (1,52)

• Bas débit d’eau alimentaire (6 %) • Très bas niveau générateur de vapeur (15 % GE) • Haut niveau pressuriseur (85 %) • Très haute pression pressuriseur (165 bar) • Bas RFTC (1,52)

Leur chute doit garantir une valeur minimale de la marge d’antiréactivité. La marge d’antiréactivité représente le niveau de sous-criticité qui, à un instant donné, serait atteint après la chute de toutes les grappes, moins une22 , compte tenu de l’apport de réactivité dû à la réduction de puissance du cœur (ce que l’on nomme les effets de puissance, contribution des effets modérateur, Doppler et de redistribution de puissance). 22 On suppose, comme événement aggravant, la grappe la plus antiréactive bloquée hors du cœur.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

25

Le bilan de réactivité est effectué de façon pessimiste, avec des hypothèses conservatives, et est comparé à la valeur de marge d’antiréactivité requise, par exemple –1800 pcm pour les réacteurs de 1300 MWe, en gestion Gemmes. Pour s’assurer que la chute des grappes apportera une anti-réactivité suffisante en cas d’arrêt automatique du réacteur, on limite leur insertion, en particulier celle du groupe d’absorbants appelé « R ».

1.2.4. Situations envisagées avec défaillance du système d’arrêt automatique La situation de défaillance de mode commun affectant le système d’Arrêt Automatique du Réacteur sur un transitoire incidentel, est appelée ATWT (Anticipated Transient Without Trip). Pour des raisons probabilistes, et compte tenu de la fiabilité observée du système d’AAR, on n’envisage que son cumul avec une situation de fréquence modérée, comprise entre 1 et 10−2 ·r−1 ·an−1 (situation de fonctionnement dite de deuxième catégorie), comme la perte de l’eau alimentaire normale des GV (ARE). Cette situation est étudiée au titre des situations complémentaires, avec une démarche probabiliste et des hypothèses réalistes, en prenant en compte le palliatif ATWT mis en œuvre sur les tranches à partir de 1981. Ce palliatif s’appuie sur des capteurs spécifiques et est traité en dehors du système de protection.

1.2.5. Moyens d’apport du bore soluble dans le cœur, en situation accidentelle Le système d’injection de sécurité RIS a une double fonction : outre l’apport d’eau au primaire, voire le refroidissement du cœur, il permet d’apporter du bore, sous forme d’acide borique dissous dans l’eau. La concentration en bore est exprimée en fraction massique de bore (en ppm, 1 g de bore par tonne d’eau borée). Son efficacité en réactivité est de l’ordre de –10 pcm·ppm−1 . Cette deuxième fonction du RIS est nécessaire, en particulier en cas de dépressurisation secondaire par Rupture de Tuyauterie Vapeur (RTV), pouvant conduire à un retour en criticité après que les barres d’absorbants aient chuté. Or, cet événement initiateur a pour conséquence : • une baisse de la température primaire en branche froide par augmentation de l’appel d’énergie au niveau du générateur de vapeur qui se dépressurise ; • si la brèche est vers l’enceinte, une augmentation de la pression enceinte. Aussi, sur signaux d’injection de sécurité « RTV » basse pression vapeur secondaire (< 41 bar), très basse température branche froide (TBTBF < 267 ◦ C) ou haute pression enceinte (> 1,4 bar), le système de protection démarre le système RIS. Celui-ci permet alors l’injection d’eau borée dans le circuit primaire, puisée dans la bâche PTR (2500 ppm, en gestion Gemmes). Il est décrit en détails au paragraphe 1.3.3.2.

26

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 1.8. Principaux systèmes fluides d’un REP. Source : transparent AREVA.

En complément, une Fonction de Borication Automatique (FBA) est mise en service sur tous les signaux d’injection de sécurité caractéristiques d’un accident par dépressurisation secondaire. Cette fonction consiste en un lignage de l’appoint « borication » à l’aspiration des pompes RCV, au démarrage des pompes, enfin à l’ouverture du by-pass de la vanne de charge RCV, de façon à permettre une injection directe d’une solution fortement borée dans le circuit primaire (8000 ppm, en gestion Gemmes).

1.3. Accidents affectant la fonction de sûreté : évacuation de la puissance L’évacuation de la puissance produite dans le cœur du réacteur est une finalité en exploitation normale pour permettre de produire la vapeur alimentant le groupe turboalternateur, fournisseur d’électricité. Elle correspond également à une fonction de sûreté dont le respect a pour objet de garantir, en toutes circonstances, l’intégrité des différentes barrières de confinement entre produits radiotoxiques et environnement. En effet, celles-ci peuvent être affectées en cas de déséquilibre énergétique conduisant à des températures et/ou pressions excessives.

1.3.1. Origine de la puissance thermique primaire Aux conditions nominales, la contribution dominante à la puissance thermique primaire est la puissance dite neutronique, due à la réaction en chaîne (figure 1.9.)

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

27

Figure 1.9. Répartition des termes de puissance produite à 100 % Pn selon leur origine et leur lieu de production.

Figure 1.10. Puissance résiduelle. Source : transparent EDF.

En situation incidentelle ayant entraîné l’Arrêt Automatique du Réacteur (AAR), la réaction en chaîne est rapidement stoppée. La puissance thermique que l’on doit continuer à évacuer a diverses origines. Le terme dominant est alors ce que l’on nomme la puissance résiduelle qui provient de la décroissance radioactive des produits de fissions et des produits de captures des noyaux lourds. Celle-ci est donc fonction de l’historique de puissance du cœur. Pour être enveloppe, on considère une puissance initiale de 100 % Pn et une irradiation du cœur infinie pour laquelle tous les noyaux radioactifs du cœur sont supposés en équilibre dynamique. Dans ces conditions, la puissance résiduelle, initialement à 7 % Pn, décroît alors au cours du temps suivant la courbe de la figure 1.10.

28

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

On notera qu’elle reste significative même après un jour d’arrêt : de l’ordre de 0,6 % Pn, soit 23 MW thermique pour un réacteur de 1300 MWe. Les états d’arrêt du réacteur ne sont donc pas exempts de risques de découvrement du cœur, comme on le verra par la suite (chapitre 4). Suivant les transitoires, on doit également considérer dans le bilan énergétique de la chaudière : • les fissions résiduelles, dues aux neutrons retardés, durant les premières dizaines de seconde faisant suite à la chute des grappes ; • la puissance hydraulique des pompes primaires 23 , si celles-ci sont en service ; • le déstockage de l’énergie des structures, du combustible et de l’eau primaire, en cas de transitoire de refroidissement24 ; • enfin, la puissance produite par la réaction d’oxydation des gaines par la vapeur d’eau, dans l’éventualité d’une température de gaine excessive ; ce terme peut devenir localement du même ordre de grandeur que la puissance résiduelle, au-delà de 1200 ◦ C (voir paragraphe 1.1.2.2.).

1.3.2. Évacuation de la puissance en régime permanent et en transitoire La fonction « évacuation de la puissance » est assurée, sous réserve du respect de l’ensemble des sous-fonctions suivantes : 1. L’extraction de la puissance du cœur – Pour ce faire, le cœur doit toujours être noyé de façon à dégager une surface d’échange gaine / eau satisfaisante. Cette condition exige, si la capacité du système RCV de contrôle volumétrique et chimique du primaire est insuffisante, le démarrage du système d’injection d’eau (RIS), en particulier en situation de brèche primaire. – De plus, en puissance, le cœur ne doit pas connaître de crise d’ébullition susceptible de conduire à la formation d’un film de vapeur isolant le combustible du réfrigérant. 2. Le transport de la chaleur au sein du circuit primaire – La circulation du fluide primaire est normalement assurée par les pompes primaires (GMPP), en convection forcée. Cependant, en cas de leur arrêt, le « design » du circuit primaire (CP) permet l’instauration d’une convection naturelle (ou thermosiphon). – En situation dégradée, on le verra, un mode de « transport de chaleur latente » pourra compléter la convection ou s’y substituer (voir détail en annexe A0).

23 Elle correspond, en fait, aux pertes de charge dans le circuit, compensées par le P moteur des pompes primaires. 24 Ce terme correspond au terme d’accumulation (négatif) du bilan d’énergie primaire.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

29

Figure 1.11. Échanges et stockage d’énergie dans le système REP (sans brèche).

3. L’évacuation de la chaleur à la source froide – Aux conditions nominales, la source froide du cœur est constituée par l’ensemble des générateurs de vapeur. En situation accidentelle, un générateur de vapeur peut être considéré opérationnel lorsqu’une source d‘alimentation en eau et une voie d’évacuation de la vapeur sont disponibles. – Après repli, pour les conditions de faibles pression et température primaires, le système de refroidissement à l’arrêt (RRA) peut assurer, la fonction de source froide du cœur (échangeur RRA). La figure 1.11. résume les voies de transfert de l’énergie entre cœur et secondaire et identifie les conséquences d’un éventuel déséquilibre thermique entre flux entrant et flux sortant. En parcourant le procédé de l’aval (groupe turboalternateurs GTA) vers l’amont (le cœur), on constate les possibilités transitoires de stockage de l’énergie, en cas de déséquilibre : • dans le ou les générateurs de vapeur (secondaire), la montée de pression associée étant limitée par l’ouverture de la décharge via le GCT-atmosphère, voire les soupapes de sûreté secondaire ; • dans le circuit primaire, la montée de pression associée étant limitée par l’ouverture des lignes de décharge du pressuriseur (LDP) ; • enfin, dans le combustible. Les deux premiers cas sont à analyser du point de vue des conséquences de la sollicitation des organes de protection contre les surpressions sous deux aspects :

30

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• le risque de blocage en position ouverte après sollicitation, conduisant alors à une petite brèche secondaire ou primaire ; • l’énergie pouvant être évacuée par ces voies. Pour le dernier cas, la capacité de stockage du combustible, de faible inertie thermique, est limitée. Une des conséquences est l’élévation de la température de gaine, pouvant conduire à l’intervention d’une contre-réaction positive déjà identifiée : l’énergie dégagée par l’oxydation de la gaine du combustible contribue à l’élévation de température, favorisant la cinétique de la réaction chimique, d’où le risque d’emballement de la situation.

1.3.3. Dégradation de l’inventaire en masse primaire, risque de découvrement du cœur et de perte de la sous-fonction « extraction de la puissance » En situation accidentelle avec brèche primaire, l’inventaire en masse du fluide primaire se dégrade, exigeant l’intervention du système RIS, pour injecter de l’eau dans le circuit. En cas de défaillance, le risque associé est la perte de la sous-fontion « extraction de la puissance du cœur ».

1.3.3.1. Étude de la brèche : débit critique, passage de la brèche en vapeur Tout d’abord, définissons ce que l’on nomme un débit critique, à la brèche. Supposons la vidange d’un réservoir plein d’un fluide sous pression (Pamont ), se vidangeant par une brèche (conduite de section minimale Smin ) vers un milieu à la pression Paval (figure 1.12.) On envisage une étude de sensibilité en augmentant l’écart de pression amont/aval. • Lorsque la vitesse du fluide est faible, l’écoulement est quasi-incompressible et le débit est fourni par la relation de Bernoulli. • La vitesse du fluide (donc le débit massique) augmente bien avec l’écart de pression amont-aval jusqu’à atteindre une limite, correspondant à la célérité du son c au niveau de la section minimale25 . Une évolution de la pression en aval ne pourra alors plus se transmettre vers l’amont. • Le débit à la brèche, alors maximum, est dit « critique », « bloqué » ou « sonique » ; il ne dépend que des caractéristiques amont du fluide (pression et enthalpie). Compte tenu des pressions de fonctionnement, toute brèche sur le circuit primaire ou secondaire vers l’enceinte est critique26 . 25 La vitesse du son c est liée à la compressibilité du fluide ; elle est plus faible pour le liquide que la vapeur, mais significativement plus faible pour le mélange diphasique. 26 Une brèche primaire-secondaire au niveau d’un tube Générateur de Vapeur est un cas particulier : compte tenu du P amont-aval limité et de l’état monophasique du fluide, le débit devient rapidement non critique.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

31

blocage sonique

Figure 1.12. Blocage du débit à la brèche.

Brèche vapeur (ex. TMI2)

Figure 1.13. Isodébit brèche en fonction des conditions pression et enthalpie en amont. Source : TdC EDF.

La brèche primaire entraîne, à terme, le passage du fluide en diphasique, en amont de la brèche : la très faible valeur de la célérité du son dans cet état explique que l’on reste longtemps à débit bloqué, ce qui est un facteur favorable.

32

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Un débit critique évolue donc suivant les conditions thermohydrauliques du fluide, en particulier sa pression et son enthalpie à la brèche, comme le montre la figure 1.13. qui concerne une brèche primaire de 3 pouces27 . Ce diagramme apporte un enseignement important : • une évacuation de liquide (faible enthalpie spécifique, forte densité) fait perdre rapidement de la masse au primaire, alors que la vitesse de dépressurisation (liée à la perte de volume vapeur) est faible ; • une évacuation de vapeur (forte enthalpie spécifique, faible densité) limite la perte de masse, avec une dépressurisation rapide. En conséquence, du point de vue de la perte de masse, à taille donnée, une brèche en partie basse du circuit primaire sera plus pénalisante qu’une brèche en partie haute, rapidement diphasique, voire vapeur. Lors du déroulement du transitoire, le passage de la brèche « en vapeur » est un ` évenement favorable pour réduire instantanément la perte de masse primaire, mais aussi pour favoriser la dépressurisation, elle-mˆeme limitant le débit perdu à la brèche et accroissant l’injection d’eau par le système RIS (voir au 1.3.3.2.). Par ailleurs, une brèche en phase vapeur permettra d’évacuer une puissance significative hors du circuit primaire, du fait d’une enthalpie du fluide localement plus élevée. Ce point est important, on le verra, car l’ouverture d’une soupape au pressuriseur s’apparente à une brèche (isolable) en phase vapeur du pressuriseur. Enfin, notons dans ce paragraphe consacré aux brèches, qu’une fuite primaire au niveau des joints de pompes primaires peut apparaitre, conséquence de la perte des deux dispositifs de leur refroidissement : l’injection aux joints et l’échangeur de la barrière thermique.

1.3.3.2. Le système d’injection de sécurité En cas d’Accident de Perte de Réfrigérant Primaire (APRP), avec un débit à la brèche non compensable par le différentiel charge-décharge du circuit de Contrôle Volumétrique et Chimique RCV, on observe une baisse du niveau pressuriseur, donc de la pression primaire28 . Si la brèche est vers l’enceinte, cela se traduit également par une augmentation de la pression enceinte. Aussi, sur signaux d’injection de sécurité « APRP », très basse pression pressuriseur (< 121 bar) ou haute pression enceinte (> 1,4 bar), le système de protection démarre ce système de sauvegarde, essentiel pour maintenir l’inventaire en eau primaire et garder le cœur sous eau (figure 1.14.) On notera l’inhibition de tous les signaux « RTV » et « APRP » sous les permissifs P11 (pression primaire < 139 bar) et P12 (température moyenne primaire < 295 ◦ C), à l’exception notable de « haute pression enceinte » seul signal « protecteur » dans ces états. Outre le démarrage du RIS, les autres conséquences d’un signal IS sont : la demande d’Arrêt Automatique du Réacteur, le Déclenchement Turbine, l’isolement de l’eau 27 1 pouce = 2,54 cm (unité anglo-saxonne). 28 Par augmentation du volume offert à la phase vapeur.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

33

Figure 1.14. Signaux de démarrage du RIS. Source : transparent AREVA.

alimentaire normale des GVs (ARE), avec démarrage de leur alimentation de secours (ASG), enfin, l’isolement enceinte phase 1. Ce système RIS est dimensionné pour stabiliser l’inventaire en eau (petite brèche), voire limiter le découvrement du cœur (en durée et profondeur) en cas de brèche de taille intermédiaire ou de grosse brèche (figure 1.15.) Pour ce faire, il comprend trois sous-systèmes qui assurent une injection vers les branches froides du circuit primaire : • moyenne pression (ISMP), par motopompes alimentées par les tableaux électriques secourus ; • basse pression (ISBP), par motopompes alimentées par les tableaux électriques secourus ; • passive, par décharge d’accumulateurs. L’injection moyenne et basse pression est assurée par deux voies A et B, chacune en mesure d’assurer la mission. En phase d’injection directe, l’eau borée est puisée dans la bâche PTR, puis, à terme, en phase de recirculation, dans les puisards de l’enceinte. Le basculement se fait automatiquement par bas niveau de la bâche. À long terme, on procède à une injection simultanée en branches froides et chaudes, pour s’assurer de l’homogénéité de la concentration en bore. La particularité du système RIS, stratégique pour l’inventaire en eau, est qu’il est activé sur seuil de pression primaire et ne devient efficace qu’à basse pression. En effet, le débit

34

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 1.15. Schéma de principe du RIS. Source : transparent AREVA.

fourni par les pompes est directement fonction de la contrepression primaire, comme le montre la figure 1.16. Si la contrepression primaire est supérieure à la pression à débit nul (≈110 bar), les pompes ISMP fonctionnent sur leur débit minimal et ne débitent pas vers le circuit primaire. Aussi, en cas de brèche primaire, il faut analyser la situation à partir du diagramme pression débit du RIS. Pour une « petite » taille de brèche, le fluide primaire reste monophasique et la pression primaire est toujours fixée par le niveau pressuriseur, ici représentatif de l’inventaire en masse. La baisse de pression primaire, liée à la perte de masse vue par le pressuriseur, induit une baisse du débit à la brèche et une augmentation du débit d’injection de sécurité. Ces deux effets se conjuguent pour créer une contre-réaction thermohydraulique stabilisatrice s’opposant à la perte de masse. On atteint donc une pression d’équilibre pour laquelle le RIS compense exactement le débit à la brèche, stabilisant l’inventaire en masse primaire. Toute perturbation par rapport à cet équilibre (ex. : arrêt d’une voie RIS sur deux) conduit à une stabilisation sur un nouvel état d’équilibre en masse. La situation est différente en cas de brèche de taille intermédiaire, car le fluide primaire passe alors rapidement diphasique. La pression primaire est alors liée au nombre de moles vapeur, dont la production/condensation dépend du bilan d’énergie au primaire, conditionné par les divers termes d’échanges suivants :

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

35

DEBIT INJECTE PAR LE RIS EN BF EN FONCTION DE LA PRESSION PRIMAIRE

Pression [bar]

100 90 80

Point requis (avec une ligne d’injection perdue) 69 b. abs 180 m3 / h

70

1 ISMP

60 50 40

Point requis (avec une ligne d’injection perdue) 13.8 b. abs 408 m3 / h

30 20

1 ISMP + 1 ISBP 10 0

1 ISBP 100

200

300

400

500

600

700

800 Débit (m3 / h)

Figure 1.16. Caractéristique minimale pression – débit RIS (une ligne d’injection perdue). Source : transparent AREVA.

• la puissance générée dans le cœur, à laquelle s’ajoute éventuellement la puissance des pompes ; • la puissance perdue à la brèche ; • la puissance échangée aux GVs ; • le terme de puissance associé au refroidissement dû à l’injection RIS. La baisse du couple pression-température primaire, à saturation, induit une baisse des puissances perdues à la brèche et échangée aux GVs. Ces deux effets se conjuguent pour créer une contre-réaction thermohydraulique stabilisatrice s’opposant à la baisse du couple pression-température primaire.

36

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

On atteint donc une pression d’équilibre pour laquelle l’énergie totale évacuée du circuit primaire compense la puissance thermique générée. Pour cette pression, le débit RIS peut ne pas compenser totalement le débit brèche, du moins tant que celle-ci n’est pas passée en vapeur. Aussi, on le verra par la suite, les brèches de taille intermédiaire et les grosses brèches conduisent, malgré l’action du RIS, à un découvrement plus ou moins profond du cœur (chapitre 4), qui ne sera que transitoire. On verra également qu’en cas de brèche primaire-secondaire (tube GV), l’arrêt du RIS peut être requis (chapitre 6).

1.3.3.3. Dégradation de l’inventaire en eau primaire, dénoyage du cœur Les trois quarts du volume d’eau primaire sont situés au-dessus du cœur. Cette disposition de conception du circuit primaire permet de fournir un délai significatif avant début de dénoyage du cœur, en cas de perte du refroidissement conduisant à la dégradation, par vaporisation, de l’inventaire en eau. Ce délai sera bien sûr plus court en cas de présence d’une fuite primaire, et ce d’autant plus que la taille de brèche est importante. On notera qu’à l’exception des branches intermédiaires (dites en « U »), entre générateurs de vapeur et pompes, les tuyauteries primaires sont toutes dans un même plan horizontal, situé au dessus du cœur (figure 1.17.) Sauf cas très exceptionnel (ex. : brèche de taille importante, voir chapitre 4), l’eau du RIS injectée en branches froides ne peut quitter le circuit primaire qu’après avoir traversé le cœur et contribué à son refroidissement.

Figure 1.17. Côtes altimétriques du circuit primaire. Source : Chaudière REP, EDP Sciences.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

37

1.3.3.4. Dégradation du coefficient d’échange gaine – caloporteur On l’a vu, réacteur en puissance, la crise d’ébullition par caléfaction peut apparaitre dans le cœur et conduire à une dégradation du coefficient d’échange gaine/caloporteur h, alors que le cœur est noyé et le fluide primaire toujours monophasique liquide. Réacteur arrêté, les situations à problème relèvent des états dégradés diphasiques, sans injection de sécurité. En cas de découvrement du cœur, le coefficient d’échange gaine/caloporteur s’effondre, ne permettant plus d’extraire, de façon satisfaisante, la puissance générée dans le combustible. Les températures atteintes dépendent alors du niveau de puissance résiduelle et bien sûr de la durée et de la profondeur du dénoyage.

1.3.4. Perte de la sous-fonction « transport » de la puissance vers les générateurs de vapeur La perte de la sous-fonction « transport » est la moins préoccupante, ce qui est justifié dans l’annexe A0 de cet ouvrage. Il en est proposé ici un court résumé. Aux conditions nominales, l’énergie mécanique apportée par les groupes moto-pompes primaires (GMPP), compense les pertes de charge du circuit29 . La circulation est alors forcée monophasique liquide en fonctionnement normal, voire diphasique en situation dégradée. La perte des pompes primaires, en puissance, se traduit par un risque immédiat de crise d’ébullition pour la gaine. C’est pourquoi le système de protection demande la chute des grappes d’absorbant (voir paragraphe 1.2.3.). Le transfert de la puissance résiduelle du cœur vers les GVs peut cependant être assuré par circulation naturelle ou thermosiphon. En effet, la conception Westinghouse (dont sont issus les réacteurs français) est telle que la base du faisceau tubulaire (source froide) est située au-dessus du haut du cœur (source chaude), ce qui est favorable à l’instauration d’une circulation naturelle. Le moteur du thermosiphon, en ρ·g·h reposera alors sur la différence de masse volumique ρ entre colonnes d’eau chaude et froide. Transitoirement, à l’arrêt des pompes primaires, le débit cœur diminue, conduisant d’une part à la diminution du Présistant du circuit, d’autre part à l’échauffement du fluide en sortie cœur, augmentant le ρ et donc le Pmoteur du thermosiphon. Ces deux effets se conjuguent pour créer une contre-réaction thermohydraulique stabilisatrice, jusqu’à convergence sur l’état d’équilibre Pmoteur = Présistant. On atteint donc un débit d’équilibre, correspondant au débit de circulation naturelle. En cas de dégradation de la situation, les conditions de saturation en sortie cœur peuvent apparaître du fait d’un défaut de refroidissement du primaire ou d’une dépressurisation induite par une brèche (diminution de la température de saturation). Il y a alors transition du thermosiphon monophasique au thermosiphon diphasique, caractérisée par un pic de débit pour un titre vapeur proche de 10 %. 29 Dans les états d’arrêt, le transport peut eˆ tre assuré, en partie, par circulation forcée par les pompes du système RRA.

38

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 1.18. Évolution du débit de circulation naturelle selon la dégradation de la masse primaire (A → B → C). Source : transparent AREVA.

Pour un titre vapeur plus important, la présence de vapeur dans la partie descendante des épingles GVs d’une part (diminution du Pmoteur ), l’augmentation significative des pertes de charge d’autre part, conduit à l’annulation du débit de circulation naturelle. On parle alors de blocage du thermosiphon, avec séparation des phases (figure 1.18.) La fonction de transport est cependant encore possible en mode caloduc, par « transport de chaleur latente ». La vapeur générée dans le cœur monte à travers la branche chaude vers les épingles GV, elle s’y condense au contact des tubes refroidis par l’eau secondaire. Le condensat ruisselle alors par gravité jusqu’au cœur, en particulier dans la branche chaude, à contre-courant de la vapeur. Le rôle négatif des incondensables30 , vis-à-vis de l’efficacité de ce phénomène, a été mis en évidence lors de l’incident de Bugey2 (1987) et par des essais boucles post-TMI2.

30 Les incondensables peuvent être, par exemple, de l’hydrogène produit par oxydation de matériaux, comme la gaine, ou de l’azote des accumulateurs ou des gaz de radiolyse.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

39

Pour autant, tant que la quantité de gaz incondensables n’est pas excessive dans les épingles GV, le transport de la puissance thermique est assuré du cœur vers les générateurs de vapeur. Enfin, notons que, pompes primaires arrêtées, le dôme de la cuve, volume sous le couvercle cuve, est très faiblement balayé par le fluide primaire en circulation naturelle. En conséquence, il se comporte comme une capacité « indépendante » du reste du circuit primaire. Au cours d’un repli vers RRA, avec baisse de pression et température primaires, le fluide sous le dôme peut rester chaud et atteindre les conditions de saturation, conduisant à la formation d’une bulle de vapeur sous le dôme, alors que le reste du fluide primaire est largement sous-saturé. L’expansion de la bulle gêne la conduite et fausse la mesure du niveau pressuriseur. À noter, que ce phénomène a été mis en évidence, non pas par les études, mais lors de l’analyse de l’incident de St Lucie (USA, 1980).

1.3.5. Perte de la fonction des générateurs de vapeur, source froide pour le cœur Les Générateurs de Vapeurs (GVs) constituent la source froide du cœur en puissance. On se propose, dans ce paragraphe, d’étudier en situation accidentelle, les conditions de leur bon fonctionnement, en particulier les moyens disponibles pour leur alimentation en eau et pour l’évacuation de la vapeur produite, enfin les parades possibles en cas de perte fonctionnelle.

1.3.5.1. Conditions de fonctionnement des générateurs de vapeur Un générateur de vapeur, de type Westinghouse (figure 1.19.), fonctionne en circulation naturelle diphasique. Côté primaire, l’eau entre par la boite à eau chaude, se répartit dans l’ensemble des tubes GV, en « U » inversé, puis sort du GV par la boite à eau froide. Côté secondaire, l’eau liquide descend dans l’espace annulaire entourant le GV, puis remonte le long des tubes GV en s’échauffant, puis se vaporisant partiellement. À la sortie du faisceau tubulaire, des séparateurs à cyclone séparent l’eau de la vapeur. L’eau saturée recircule, en se mélangeant à l’eau alimentaire. Le moteur de la circulation est la différence de masse volumique entre la colonne d’eau sous-saturée de l’enveloppe annulaire et le mélange diphasique dans le faisceau tubulaire. En première approximation, on peut considérer que la puissance échangée aux générateurs de vapeur est proportionnelle à l’écart de température entre moyenne du fluide primaire (T m) et secondaire (T v température de la vapeur à saturation), soit : WGV = H · S· (T m – T v), avec T v et P v liées par la courbe de saturation31 31 On supposera, en première approximation, que le coefficient d’échange H ne dépend pas du débit vapeur au secondaire, alors que ce dernier conditionne le régime d’ébullition.

40

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 1.19. Principe de fonctionnement d’un GV. Source : Chaudière REP, EDP Sciences.

Avec H coefficient d’échange (W·m−2 · ◦ C−1 ) et S surface d’échange (m2 ). En dehors des conditions « en production » pour lesquelles le système est sous la dépendance des régulations de puissance du groupe turbo-alternateur et de température moyenne primaire par les grappes, la température primaire est contrôlée en faisant évoluer la puissance échangée aux GVs (WGV ) en ajustant la pression secondaire Pv , par l’intermédiaire du système GCT (voir au 1.3.5.3.). C’est le cas dans tous les états standards où la turbine est déclenchée, ainsi que pour les situations incidentelles et accidentelles (déclenchement turbine suite à l’AAR). Le bon échange à travers les générateurs de vapeur est conditionné tout d’abord par l’inventaire en eau secondaire, donc l’efficacité des moyens d’alimentation en eau. En effet, le déséquilibre prolongé entre débit eau alimentaire et débit vapeur dans un GV peut conduire à son dénoyage, côté secondaire. Outre le risque de contraintes thermiques sur la plaque tubulaire lors de la réalimentation en eau, ce dénoyage est associé à une dégradation de la surface d’échange, d’origine secondaire. On distingue plusieurs phases dans le dénoyage d’un générateur de vapeur : • il y a tout d’abord la baisse du niveau dans la zone annulaire, sans perte du débit de recirculation ; • puis la perte du débit de recirculation ;

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

41

• enfin l’assèchement progressif du composant32 . Dans les situations dégradées, avec production de gaz incondensables dans le circuit primaire, et échange en mode caloduc, une partie des incondensables peut s’accumuler au point haut des épingles GV, d’où une réduction de la surface d’échange, d’origine primaire cette fois-ci, avec la même conséquence de dégradation de la qualité de l’échange. Cependant, si la puissance évacuée aux GVs baisse, celle-ci induit une augmentation de la température et de la pression primaire (saturation), réduisant alors le volume des incondensables et permettant de dégager la surface d’échange nécessaire au nouvel équilibre33 . Nous venons d’identifier une nouvelle contre-réaction thermohydraulique négative, donc stabilisatrice. Autre type de fonctionnement atypique : le sens des échanges de chaleur dans les GV peut s’inverser si la température primaire devient inférieure à la température secondaire. C’est le cas lorsque le primaire se dépressurise violemment et passe en diphasique (APRP grosse brèche, voir chapitre 4) ou lorsqu’un GV est isolé et qu’un refroidissement du fluide primaire est en cours par les autres GVs (RTGV, voir chapitre 6). En échange inverse, les GVs ont un comportement assez singulier : l’eau secondaire située dans la zone du faisceau tubulaire est refroidie par le primaire. Plus lourde, cette eau froide reste au niveau du faisceau tubulaire, surmontée d’eau à la saturation, au niveau de l’interface eau-vapeur. Cette stratification thermique conduit à des difficultés à condenser le ciel vapeur et dépressuriser les GVs. Pour y pallier, il est possible d’utiliser le système de purge des GV (APG) permettant de ramener le niveau des GVs dans la zone du faisˆ ceau tubulaire. Ce système, utile à la conduite, n’est cependant pas classé de sureté (voir chapitre 6).

1.3.5.2. Alimentation en eau des GVs par le système ASG En situation accidentelle, les générateurs de vapeur sont rapidement alimentés en eau par le système de sauvegarde ASG, qui se substitue au système ARE pour permettre l’évacuation de la puissance résiduelle. Le système démarre sur demande manuelle, signal d’injection de sécurité (IS), signal ATWT (transitoire avec défaillance de l’AAR), signal caractéristique d’un déclenchement des turbopompes alimentaires ARE (TPA) et bien sûr en cas d’inventaire en eau secondaire dégradé (très bas niveau GV34 , TBN < 15 % GE) : figure 1.20. Le système ASG est constitué d’une bâche de stockage d’eau déminéralisée, pouvant être réalimentée (ex. : par les réserves d’eau déminéralisée SER), ainsi que de moyens diversifiés d’injection (figure 1.21.) : • des motopompes alimentées par les tableaux électriques secourus ; 32 Des essais expérimentaux ont montré que tant qu’il reste a minima 1 m d’eau dans un GV, il reste efficace en puissance résiduelle. 33 L’efficacité du caloduc finit par décroître lorsque la masse d’incondensables dans le circuit primaire devient significative. 34 L’annexe A0 précise les caractéristiques de la mesure de niveau GV.

42

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 1.20. Signaux de démarrage de l’ASG. Source : transparent AREVA.

Figure 1.21. Schéma du principe de l’ASG. Source : transparent AREVA.

• des turbopompes alimentées par prélèvement de vapeur sur les lignes vapeur (VVP) et permettant ainsi au système de se passer d’alimentations électriques. Le système est composé de deux voies indépendantes A et B, chacune alimentant deux générateurs de vapeur. Sur chaque ligne, une vanne de réglage permet d’ajuster le niveau dans les GVs. Enfin à noter que, pour certaines situations accidentelles, l’arrêt de l’alimentation en eau par l’ASG peut être requis sur le GV affecté (voir RTV au chapitre 3 et RTGV au chapitre 6).

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

43

Figure 1.22. Schéma de principe des lignes vapeur. Source : Chaudière REP, EDP Sciences.

1.3.5.3. Évacuation de la vapeur par le système GCT Côté vapeur, si le système de contournement vapeur de la turbine au condenseur (GCT-c), non classé de sûreté, n’est pas opérant, l’évacuation vapeur peut se faire par d’autres moyens (figure 1.22.) • Par le système de contournement vapeur à l’atmosphère (GCT-a).

44

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Chaque tuyauterie vapeur GV comporte une ligne GCT-a piquée en amont de la vanne d’isolement vapeur. Celle-ci comprend une vanne réglante et une vanne d’isolement. La consigne de pression AUTO de la vanne réglante du GCT-a est de 84,6 bar. Ce point de consigne en pression est ajustable en mode MANU, depuis la salle de commande, pour permettre de contrôler la température du fluide primaire (voir 1.3.5.1). • En cas d’insuffisance du GCT-a, par les soupapes de sûreté secondaire. Chaque tuyauterie vapeur GV est également équipée de deux groupes de soupapes dimensionnées pour garantir de ne pas dépasser 110 % de la pression de calcul du GV (de 89,6 bar). Les deux groupes sont respectivement étagés à 90,6 et 92,6 bar. À noter qu’une vanne d’isolement sur chaque ligne vapeur, située entre GCT-a et GCT-c, permet d’isoler rapidement les générateurs de vapeur entre eux, car, en fonctionnement normal, ils sont reliés par un point commun : le barillet vapeur. Cette protection permet, par exemple, de limiter la dépressurisation secondaire à un seul GV en cas de RTV (chapitre 3).

1.3.5.4. Parade à la perte de fonction des GVs : refroidissement primaire en gavé-ouvert En cas de perte totale de la sous-fonction « source froide » assurée par les générateurs de vapeur, on observe une augmentation de la température et donc une dilatation du fluide primaire. Le volume d’expansion étant chassé vers le pressuriseur, cela réduit le volume offert à la phase vapeur et donc augmente la pression primaire. Le transitoire sollicite alors l’ouverture des soupapes de sûreté du pressuriseur (figure 1.23.) Celles-ci sont constituées de trois lignes équipées de deux soupapes en série : une soupape de protection et une soupape d’isolement35 . Elles permettent de limiter la pression primaire à une valeur acceptable, par décharge de vapeur vers le Réservoir de Décharge du Pressuriseur (RDP)36 . La Ligne dite de Décharge Pressuriseur (LDP) présente la pression de tarage en pression la plus basse (166 bar). Un dispositif électromécanique, commandé depuis la salle de commande, permet d’en forcer l’ouverture : c’est le mode décharge ou « ouvert ». Lors d’une situation de perte totale de la fonction des générateurs de vapeur, la sollicitation de ces soupapes permet l’évacuation partielle de la puissance résiduelle, du fait de l’énergie véhiculée par la vapeur déchargée à la « brèche primaire » ainsi créée37 (voir paragraphe 1.3.3.1.). Il est alors nécessaire de compenser la perte de masse primaire par le démarrage du système d’injection de sécurité RIS. Deux conditions doivent être satisfaites pour maintenir la fonction de sûreté « refroidissement » : • le débit déchargé au pressuriseur doit être suffisant pour évacuer une puissance supérieure ou égale à celle générée par le cœur ; 35 La première pour garantir l’ouverture, la seconde pour garantir la refermeture. 36 Situé dans le bâtiment réacteur, ses disques de rupture cèdent en cas de décharge continue de vapeur, mettant

en communication directe pressuriseur et enceinte. 37 Remarque importante : la soupape d’isolement rend la brèche isolable.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

45

Figure 1.23. Tandems SEBIM de sûreté et lignes de décharge (LDP). Source : transparent AREVA.

• le débit IS doit être suffisant pour maintenir l’inventaire en eau primaire ; pour ce faire, la pression primaire doit être inférieure à la pression de refoulement à débit nul (de l’ordre de 110 bar sur les 1300 MWe, voir paragraphe 1.3.3.2.). Aussi, la pression primaire, initialement proche de 170 bar, doit être réduite par forçage de l’ouverture de la ligne de décharge pressuriseur (LDP), augmentant le débit déchargé. Cette stratégie de conduite est appelée « gavé-ouvert » (« feed and bleed » en anglais). La dépressurisation induite diminue le débit à la brèche et augmente le débit injecté par le RIS, jusqu’à l’atteinte d’une pression d’équilibre entre débit déchargé et débit injecté.

1.3.5.5. Repli pour passage d’un refroidissement par GV à un refroidissement par le système RRA Le système de refroidissement du réacteur à l’arrêt (RRA) complète la fonction des générateurs de vapeur dès ses conditions de connexion atteintes (sous 28 bar et 180 ◦ C). Il comprend deux voies indépendantes, chacune capable d’assurer la fonction de refroidissement du primaire (figure 1.24.) Chaque voie est équipée d’une ligne d’aspiration en branche chaude, d’une pompe alimentée par son tableau électrique secouru, d’un échangeur de chaleur (RRA/RRI) avec sa ligne de contournement, de soupapes de sûreté et d’un système de vannes réglantes permettant d’ajuster le débit « échangeur » à débit « pompe » fixe. Le refoulement se fait en branche froide. Pour replier le réacteur sous 28 bar, 180 ◦ C, conditions de connexion du système RRA, il convient de réduire : • La pression primaire. Pour ce faire, on dispose des moyens suivants :

46

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 1.24. Schéma de principe du système RRA. Source : transparent AREVA.

Figure 1.25. Descente dans le diagramme pression – température. Source : chaudière REP EDP Sciences.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

47

– les systèmes d’aspersion normale ou auxiliaire38 , – la baisse du niveau pressuriseur (induite soit par la contraction du fluide primaire soit par défaut de masse, via le différentiel charge-décharge RCV), – enfin, l’ouverture de la ligne de décharge du pressuriseur. • La température primaire. Pour ce faire, l’opérateur ajuste le point de consigne du système GCT-a, voire demande la pleine ouverture, pour obtenir un gradient de refroidissement maximum. Après conditionnement, le système RRA pourra être connecté au circuit primaire. Il sera alors possible de noyer la bulle au pressuriseur, et passer ainsi en monophasique liquide. Le refroidissement sera poursuivi à pression constante, en modulant le débit au travers des échangeurs RRA, avant d’être autorisé à arrêter les pompes primaires, pour ramener le réacteur en arrêt à froid pour intervention, primaire dépressurisé. Ce transitoire est étudié sous forme de problème au chapitre 8, sous l’angle du bilan énergétique.

1.4. Accidents affectant la fonction de sûreté : confinement, assuré par la troisième barrière En situation accidentelle, il convient enfin d’assurer la fonction de sûreté « confinement ». Le système de sauvegarde EAS, d’aspersion de l’enceinte, vise le maintien de l’intégrité de la troisième barrière de confinement en cas d’apport de masse et d’énergie à l’enceinte (brèche primaire ou secondaire). Dans de telles situations, ce système est conçu pour limiter la pression et la température dans l’enceinte, en véhiculant et pulvérisant de l’eau borée contenant des additifs chimiques39, afin de condenser partiellement le ciel vapeur dans le volume de l’enceinte. Aussi, il démarre sur très haute pression enceinte (max4 = 2,6 bar) ou manuellement (figure 1.26.) Il se compose de deux voies en parallèle A et B, chacune capable d’assurer la mission. Chaque voie comporte une pompe alimentée par un tableau électrique secouru, refoulant l’eau dans un échangeur (EAS/RRI) puis la pulvérisant au travers des buses réparties sur deux rampes annulaires. La pompe aspire dans un premier temps l’eau borée du réservoir PTR, puis à partir des puisards de l’enceinte (recirculation). Il est important de noter que l’échangeur EAS/RRI est capital pour maintenir la température de l’eau des puisards à une valeur compatible avec le fonctionnement sans dommage du RIS. C’est bien ce système EAS qui permettra d’évacuer la puissance thermique, issue du cœur, hors de l’enceinte de confinement. En complément, l’isolement enceinte assure l’étanchéité de la troisième barrière, en isolant certaines traversées (tableau 1.5.) Cette action est requise pour faire face aux situations enveloppes de brèches primaire et secondaire étudiées au titre du rapport de sûreté. 38 L’utilisation de l’aspersion normale, plus « douce », est recommandée lors de la conduite ; à défaut, l’aspersion auxiliaire via le système RCV. 39 De façon à réduire la quantité d’iode radioactif dans le ciel vapeur de l’enceinte.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

48

Figure 1.26. Principe du système EAS. Source : transparent AREVA. Tableau 1.5. Signaux d’isolement enceinte et lignes vapeur. Action Isolement enceinte 1re phase

Isolement lignes vapeur

Isolement enceinte 2e phase

Signaux Signal d’IS (ex. sur Haute pression enceinte max2) TBTBF Basse pression vapeur Baisse rapide de pression dans une ligne Très haute pression enceinte (max3) Signal Manu Très haute pression enceinte (max4)

seuil 267 ◦ C 41 bar –7 bar/s 1,9 bar 2,6 bar

Une situation accidentelle pose cependant problème, car elle bipasse la troisième barrière. En effet, le circuit secondaire, traversant le bâtiment réacteur, ne constitue pas une barrière de confinement. Aussi, les tubes des générateurs de vapeur jouent à la fois le rôle de deuxième et troisième barrière. En cas de rupture au niveau d’un tube (RTGV), le défaut simultané de ces deux barrières conduit à un rejet d’une partie de la radioactivité du fluide primaire dans l’environnement. Cette situation constitue pourtant un accident plausible sur les Réacteurs à Eau sous Pression. Il est étudié en détail au chapitre 6 de l’ouvrage. Enfin, on se devra d’étudier, au titre de la défense en profondeur, les situations postfusion du cœur.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

49

En effet, les études de R&D ont permis de mettre en évidence des phénomènes : • post fusion, comme l’explosion hydrogène dans l’enceinte ; • post-percement de cuve par le corium, comme l’explosion vapeur dans le puits de cuve, ou l’interaction corium-béton. qui sont susceptibles de remettre en cause la troisième barrière qui, pour le parc en exploitation, n’a pas été dimensionnée à ces situations. Ce point particulier fait l’objet du chapitre 9 de l’ouvrage.

1.5. Systèmes supports : le cas des systèmes fluides RRI/SEC et des alimentations électriques Dans ce qui précède, on a distingué les systèmes fluides de sauvegarde suivant la fonction de sûreté assurée. Comme on le voit sur la figure 1.27., l’ensemble de ces moyens dépend de systèmes supports, comme la source froide ultime, refroidissant le système intermédiaire RRI, ou les alimentations électriques alimentant en particulier les divers groupes motopompes. La source froide ultime sert à fournir de l’eau pour refroidir des systèmes des installations nucléaires ou conventionnelles. Pour les sites en bord de mer40 , elle correspond au milieu naturel : l’eau destinée au refroidissement des circuits de sûreté des réacteurs est prélevée dans la mer puis rejetée réchauffée dans ce même milieu par l’intermédiaire du système d’eau brute SEC (circuit de refroidissement dit « ouvert », voir détail au chapitre 5). Le circuit SEC refroidit alors le système de refroidissement intermédiaire RRI. SEC et RRI sont constitués de deux voies en parallèle A et B, chacune capable d’assurer la mission. La pompe d’une voie est alimentée par le tableau électrique correspondant. En conséquence, la perte totale des alimentations électriques induit la perte de la source froide. Le tableau 1.6. récapitule les sources froides disponibles pour le cœur, en distinguant les systèmes fluides ouverts puisant dans une bâche d’eau, des systèmes fermés utilisant des échangeurs refroidis par RRI/SEC. Pour ce qui concerne la distribution électrique d’un réacteur, celle-ci repose sur cinq sources électriques différentes (une seule étant nécessaire), de façon à répondre aux exigences de sûreté : • deux alimentations électriques externes par réacteur (une ligne principale, utilisée en situation normale, et une ligne auxiliaire, utilisée en cas d’avarie prolongée sur la ligne principale41 ), alimentant les tableaux électriques A et B ; 40 Pour les sites en bord de fleuves à débit insuffisant, le circuit secondaire, en production, est refroidi par l’air via un aéro-réfrigérant. Les circuits de sûreté restent cependant en circuit ouvert : l’eau est prélevée dans le milieu naturel puis rejetée réchauffée dans ce même milieu. 41 Sur défaillance du réseau électrique externe principal, réacteur en puissance, un îlotage est tenté (le groupe turbo-alternateur est isolé du réseau électrique, mais alimente en autarcie la tranche complète). En cas d’échec de l’lotage, il est procédé au basculement du réseau électrique externe principal vers le réseau externe auxiliaire. Un arrêt automatique du réacteur intervient alors, avec arrêt des GMPP.

50

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 1.27. Principaux systèmes fluides d’un REP. Source : transparent AREVA. Tableau 1.6. Sources froides disponibles de type ouvert (source d’eau) ou fermé (échangeur). Source froide pour le cœur Systèmes ouverts (bâche) GVs • ASG (bâche ASG) + GCT-a RRA Gavé-ouvert • RIS (bâche PTR) + LDP

Systèmes fermés (échangeur) • RRA (RRI/SEC) • EAS (RRI/SEC)

• en cas de perte totale des alimentations électriques externes, deux Groupes Électrogènes diesels A et B (un seul étant suffisant, un tableau électrique permettant d’alimenter une voie A ou B suffisante) ; • en cas de perte cumulée des sources externes et des diesels, l’alimentation électrique d’une voie A ou B peut encore être assurée par un Groupe dit d’Ultime Secours (un par site), par exemple une Turbine A Combustion (TAC) ou un autre Groupe Électrogène.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

51

Figure 1.28. Principe des systèmes RRI et SEC. Source : transparent AREVA.

Figure 1.29. Principe de l’alimentation électrique d’une centrale française. Source : transparent IRSN.

De plus, certains systèmes importants pour la sûreté de l’installation disposent d’une alimentation électrique spécifique : • des batteries de secours ; • enfin, un turbo-alternateur LLS alimenté par la vapeur produite par les générateurs de vapeur. La grande redondance et diversification de ces sources électriques répond à la logique de défense en profondeur (figure 1.29.)

52

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Rappelons également la conception du système ASG, assurant une redondance fonctionnelle des moyens de pompage, les turbopompes se passant d’alimentation électrique. Les situations de perte des systèmes supports, systèmes de refroidissement et/ou alimentations électriques, sont traitées au chapitre 5, à l’occasion de l’étude des scénarii de type Fukushima.

1.6. Synthèse sur la gestion des fonctions de sûreté en accidentel Pour conclure ce chapitre, on a vu que des automatismes de protection et de sauvegarde d’une part, des actions de conduite d’autre part, sont prévus pour garantir la sûreté de l’installation. Le tableau 1.7. permet de récapituler le rôle respectif des différents automatismes, visà-vis du respect des trois fonctions de sûreté et de l’intégrité des trois barrières. Tableau 1.7. Rôle des automatismes de protection et de sauvegarde.

Les principales stratégies de conduite décrites dans ce chapitre visent à maintenir la fonction de sûreté « évacuation de la puissance thermique primaire ». Elles sont synthétisées dans la figure 1.30. La partie inférieure de la figure liste les protections et les systèmes fluides de sauvegarde associés pour garantir cette fonction de sûreté. On verra cependant par la suite que, lorsqu’une autre fonction de sûreté est prioritaire (« contrôle de la réaction en chaîne » ou « confinement »), l’arrêt de certains de ces systèmes fluides peut être requis.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

53

Figure 1.30. Systèmes et stratégies de conduite pour évacuer la puissance.

1.7. Exercices de fin de chapitre Le modèle ponctuel, les équations bilans, ainsi que les donnés génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. 1. Auto-stabilisation d’un coeur REP par les contre-réactions neutroniques Soit un réacteur de type 1300 MWe, cœur en début de cycle, aux conditions d’attente à chaud (non couplé au groupe turbo-alternateur) : • Réactivité quasi-nulle et puissance nucléaire « nulle », sous le seuil Doppler ; • Toutes les grappes en manuel, concentration en bore stable à 1200 ppm ; • 4 pompes primaires en service ; • GVs opérationnels, alimentés en circuit ouvert par ASG, vapeur évacuée au GCT-a. L’événement initiateur est l’extraction du groupe de grappes R, introduisant dans le cœur une réactivité de +50 pcm. Au cours du transitoire, on supposera le système d’Arrêt Automatique du Réacteur non sollicité et l’absence d’actions humaines. a. Justifier l’auto stabilisation du cœur. b. En utilisant le modèle ponctuel « système REP », montrer que la variation de puissance nucléaire cœur obtenue entre les états initial et final est proportionnelle à la réactivité injectée initialement.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

54

Hypothèses : • la température secondaire, fixée par la pression secondaire (au point de consigne du GCT-a), peut être considérée comme constante au cours du transitoire. Dans ces conditions, la puissance secondaire s’ajuste à la puissance primaire (cœur prioritaire) ; • du fait de la durée du transitoire, on se limitera aux effets en réactivité à court terme. c. Application numérique : calculer la puissance nucléaire finale attendue, suite à l’introduction de ρR = 50 pcm par le groupe R. 2. Conception du système de protection vis-a-vis d’une perte des GMPP Soit un réacteur de 1300 MWe, aux conditions nominales (100 % Pn), sur lequel intervient une perte des alimentations électriques externes, conduisant à la perte simultanée des 4 pompes primaires (GMPP). Compte tenu du volant d’inertie des pompes, la vitesse de rotation des pompes ΩGMPP, et donc le débit primaire, décroissent lentement avec le temps (les deux grandeurs sont supposées proportionnelles). On prendra une décroissance linéaire du type : dΩGMPP = −7% · s−1 ΩGMPP sur les cinq premières secondes. a. Justifier que cette situation conduit à dégrader la marge par rapport au risque de crise d’ébullition. b. En se plaçant à un état initial avec un RFTC de 2, vérifier que les protections spécifiques, visant cette situation, interviennent bien de façon plus précoces que la protection générique « bas RFTC ». On considérera une corrélation liant RFTC et vitesse de rotation des pompes primaires ΩGMPP du type : dΩGMPP dRFTC = 1, 2 · RFTC ΩGMPP c. Vérifier également que, compte tenu des retards de : – 0,7 s entre ordre et réalisation effective de l’AAR (retard logique, délai d’ouverture des cliquets…) ; – 1 s de retard entre baisse du flux neutronique et baisse du flux thermique ; le critère de sûreté associé à ce risque (RFTC > 1,17) est bien respecté, même si seule la protection générique est opérante. On se reportera au tableau 1.4. pour les différents seuils d’AAR.

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

55

3. Marge d’antiréactivité suite à un AAR On cherche à évaluer la marge d’antiréactivité, c’est-à-dire le niveau de sous-criticité obtenu, suite à un Arrêt Automatique du Réacteur intervenant aux conditions nominales (100 % Pn). On prendra les hypothèses suivantes : • l’antiréactivité associée à la chute complète de toutes les grappes est de –8000 pcm ; • la grappe la plus antiréactive, de poids –1000 pcm, ne chute pas ; • on prendra 10 % d’incertitudes sur l’efficacité des grappes ; • le groupe R, initialement à sa limite très basse d’insertion, apportait –500 pcm ; • l’incertitude de calibrage des groupes de compensation de puissance est prise égale à 300 pcm ; • l’effet de redistribution axial de puissance est pris forfaitairement à +1200 pcm ; • l’effet de vide est négligé. Évaluer la marge d’antiréactivité et comparer la à la marge requise en gestion Gemmes (–1800 pcm). Pour les autres données génériques 1300 MWe, se référer à l’annexe 5. 4. Efficacité d’une borication : cas de la FBA On se propose d’évaluer l’efficacité d’une borication par la Fonction de Borication Automatique et de faire une étude de sensibilité selon l’avancement dans le cycle. On suppose que seule la FBA débite vers un primaire intègre, à débit constant. 5. Bilan enthalpique sur un GV Évaluer, par un bilan enthalpique à partir des débits-masse, la capacité d’échange d’un GV, aux conditions nominales. On prendra un titre vapeur en sortie GV proche de 1 (en pratique 0,999) et on négligera le débit de purge (1 % du débit d’eau alimentaire). 6. Calcul de la puissance hydraulique d’une pompe primaire : À partir du programme de température, fournissant les évolutions des températures branche chaude et branche froide en fonction de la puissance, déterminer le débit volumique requis par boucle pour un réacteur 1300 MWe. Pour ce débit, le régime étant largement turbulent, les pertes de charges dans une boucle sont importantes, de l’ordre de 7,6 bar (à chaud). Retrouver alors l’ordre de grandeur de la puissance hydraulique d’un groupe motopompe primaire (GMPP). 7. Sollicitation des Sebim sur demarrage intempestif de la FBA : Soit un réacteur 1300 MWe, aux conditions nominales.

56

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Il apparaît un signal intempestif de mise en route de la Fonction de Borication Automatique (FBA). L’injection d’eau dans le circuit primaire par la pompe de charge se traduit par un débit de remplissage équivalent du pressuriseur, d’où une surpression primaire par effet piston. Calculer le temps mis pour atteindre la pression d’ouverture du premier groupe de soupapes Sebim, en supposant une évolution isentropique de la phase vapeur. On supposera : • pas d’autres termes d’entrées - sorties de débit masse au primaire ; • aucun échange de masse et d’énergie entre les phases liquide et vapeur du pressuriseur ; • pas de variation des propriétés physiques de l’eau malgré la variation de pression.

Problème 1 : étude de la perte totale de l’alimentation en eau des GV (H2) Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. Soit un réacteur de 1300 MWe aux conditions nominales. L’Alimentation Régulée en Eau (ARE), système d’eau alimentaire des GV en fonctionnement normal, est perdu. 1. Détermination de l’instant d’intervention de l’AAR (protection) On s’intéresse tout d’abord à la vidange des GV durant le transitoire. À la suite de la perte ARE, le débit alimentaire s’arrête linéairement en 5 secondes. On distingue deux phases de vidange : 1a : de 10 s, régie par le différentiel de débit entrée – sortie, jusqu’à saturation totale dans les GV (le bas du faisceau tubulaire rejoint les conditions de saturation) ; 1b : régie par la vaporisation du stock d’eau secondaire, jusqu’à l’AAR par « très bas niveau », entraînant le déclenchement turbine. Déterminer le délai d’intervention de l’AAR sur très bas niveau GV à 15 % GE. 2. Perte totale de la fonction des GVs : découvrement du cœur, sans actions de conduite Suite à l’AAR et l’échec du démarrage de l’ASG, la chaudière va eˆ tre en situation de perte totale de l’alimentation en eau des Générateurs de Vapeur. Les barres ont chuté, ramenant la puissance cœur au niveau de la puissance résiduelle. En absence d’autres parades, on observe trois phases : 2a : l’assèchement complet des GVs, conduisant à la perte totale de ce moyen d’évacuation d’énergie ;

ˆ e´ : introduction aux familles d’accidents 1 – Physique et suret

57

2b : la montée de la température et donc de la pression primaire, jusqu’à la sollicitation des soupapes Sebim écrêtant la pression ; 2c : la vaporisation de l’eau primaire relâchée aux tandems Sebim, jusqu’au découvrement du cœur, en absence de RIS, compte tenu du niveau de pression primaire. Le but de l’exercice est de quantifier les ordres de grandeur de durée des trois phases. On fera les hypothèses simplificatrices suivantes : • on utilisera le modèle ponctuel, considérant le circuit primaire, hors pressuriseur, comme homogène (GMPP en service) ; • durant la phase 2b, par conservatisme, on négligera l’inertie thermique des structures ; • durant la phase 2c, on se reportera aux propriétés physiques de l’eau à 155 bar (malgré l’augmentation de la pression primaire jusqu’à la pression de tarage des soupapes Sebim). Toujours durant cette même phase 2c, on supposera que toute l’eau audessus du cœur participe au refroidissement par vaporisation (pas d’eau stockée dans le pressuriseur, ni entrainée aux Sebim). Cette dernière hypothèse simplificatrice est non conservative, mais ce sont des ordres de grandeurs qui sont recherchés. Conclure sur l’importance relative des délais associés aux trois phases. 3. Stratégie de conduite en gavé-ouvert On suppose que 40 min après l’AAR, alors que la fonction des GVs est perdue, l’opérateur adopte la stratégie de conduite en gavé-ouvert, après avoir abaissé la pression primaire par ouverture des lignes de décharge pressuriseur, pour permettre au RIS de débiter. En supposant l’équilibre de pression autour de 100 bar, permettant au débit RIS de compenser exactement le débit massique perdu, estimer l’ordre de grandeur de l’autonomie de la bâche PTR, avant sa vidange en considérant les hypothèses extrêmes : • débit à la brèche à l’état liquide saturée ou vapeur saturante ; • pompes primaires en fonctionnement ou à l’arrˆet. Conclure. On prendra des propriétés physiques de l’eau moyennes entre 120 et 85 bar.

Gestion des accidents affectant les trois fonctions de suˆrete´

2

Les accidents d’insertion de réactivité par retrait d’absorbants

2.1. Présentation générale Ce paragraphe résume le sous-chapitre 1.2. de l’ouvrage. Le lecteur pourra s’y référer mais, pour plus de développement, devra consulter le chapitre 8 du livre « Exploitation des cœurs » de la même collection « Génie Atomique », EDP Sciences. Pour justifier, sur le plan de la sûreté nucléaire, le non-emballement de la réaction en chaîne, il est nécessaire de garantir le respect de la fonction de sûreté « contrôle de la réactivité du cœur ». On l’a vu, la grandeur réactivité représente l’écart relatif du coefficient de multiplication de la population neutronique du cœur, par rapport à l’unité. Une situation de surcriticité intempestive est donc caractérisée par une réactivité positive. Dans le cas particulier où la réactivité dépasse β, la fraction des neutrons retardés1 , la criticité est dite prompte ; le temps séparant alors deux générations de neutrons devient très court. Comme le montre la figure 1.6., la cinétique d’augmentation de la puissance cœur diffère alors totalement. Parmi les paramètres modifiant la réactivité, seuls certains peuvent conduire à une telle situation, se traduisant par une excursion de puissance ; il s’agit : • de l’éjection de grappes d’absorbants ; • de la réduction de la teneur en bore du fluide primaire par front d’eau (dilution hétérogène) ; • du refroidissement rapide du fluide primaire (par effet modérateur) ; cette dernière famille fait l’objet d’un chapitre dédié. Le transitoire sera conditionné par le mode d’insertion de la réactivité, ainsi que par les contre-réactions neutroniques (Doppler et modérateur2 ) et l’action du contrôle-commande, telle la demande d’Arrêt Automatique du Réacteur. 1 β varie de 700 à 500 pcm avec l’avancement du cycle pour le combustible UO (voir tableau 1.2.). 2 2 Eux-mêmes conditionnés par le cycle considéré et le positionnement dans le cycle

60

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Un autre facteur important est le caractère homogène ou hétérogène de l’apport de réactivité, pouvant conduire à des dissymétries spatiales de la nappe de flux. Dans ces conditions, le cœur peut être affecté : • au niveau de la gaine, par apparition de la crise d’ébullition, oxydation et fragilisation par réaction Zircaloy-eau, ou encore déformation par interaction pastille-gaine ; • au niveau du combustible : fusion à cœur ou détérioration de la pastille par dépôt excessif d’énergie. L’étude de ces situations, dans le rapport de sûreté, a permis de dimensionner, au titre de la défense en profondeur, un certain nombre d’alarmes et d’actions automatiques de type protection et sauvegarde, de façon à assurer le respect des critères de sûreté. C’est le cas, en particulier, des protections du cœur prévues pour protéger les deux premières barrières, par demande de chute des grappes de contrôle et d’arrêt (AAR). On distingue : • les protections cœur « spécifiques » qui visent les causes de l’apport de réactivité : – par « haut flux neutronique », ex. : haut flux, chaînes de puissance, seuils bas (25 % Pn) et haut (109 % Pn), dφ – par « variation rapide du flux nucléaire », dite . dt • des protections cœur « génériques » qui visent les conséquences de l’apport de réactivité : – « bas RFTC » contre le risque de crise d’ébullition, – « puissance linéique élevée » pour limiter le risque IPG et éviter la fusion à cœur du combustible. On se propose, dans cette partie, de décrire brièvement, pour une tranche de 1300 MWe, les deux familles d’accidents de réactivité par retrait d’absorbants : le retrait des grappes et la dilution en bore du fluide primaire.

2.2. Les transitoires d’extraction de grappes d’absorbants Les mouvements incontrôlés de grappes dans le cœur sont classés, suivant leur probabilité d’occurrence, en situations de fonctionnement de catégorie 2, 3 ou 4 du plus probable au plus hypothétique3. L’extraction intempestive de grappes4 se traduit par une augmentation des flux nucléaire et thermique, de l’énergie déposée sur la pastille combustible ainsi que des températures pastille, gaine et réfrigérant primaire. 3 L’approche déterministe et les situations de fonctionnement étudiées au titre du rapport de sûreté sont présentées en annexe 1 de l’ouvrage. 4 Ne sera pas abordée ici la chute d’une grappe sans AAR : si ce transitoire entraîne initialement une insertion d’antiréactivité, le cœur finit par se stabiliser au niveau de la puissance appelée au secondaire, avec une nappe de flux déformée par la grappe chutée.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

61

De nombreux paramètres influencent le transitoire, en particulier : • les caractéristiques de l’état initial, comme : – la puissance initiale, – l’avancement dans le cycle, qui conditionne la valeur de la fraction des neutrons retardés et la valeur de la contre-réaction modérateur. • l’évènement initiateur qui conditionne, comme le montre le tableau ci-dessous, l’amplitude de la réactivité insérée, sa vitesse d’insertion, et le caractère symétrique/ dissymétrique des conséquences sur le cœur. Tableau 2.1. Caractéristiques des principaux transitoires d’extraction de grappes. Accident

Symétrie cœur

Catégorie de la situation de fonctionnement

Réactivité max. insérée

Éjection d’une

Non

4

≈ 600 pcm

≈ 6000

Non

3

≈100 pcm

≈ 1 pcm/s

Oui

2

≈ 500 pcm

≈ 30 pcm/s

Non

Oui

2

≈ 2000 pcm

≈ 60 pcm/s

Oui

grappe Retrait d’une grappe en puissance Retrait d’un groupe en puissance Retrait d’un groupe sous-critique

Vitesse max. d’insertion

Promptcriticité ?

Contreréactions concernées

Oui

Doppler

Non

Doppler et modérateur Doppler et modérateur

pcm/s

Doppler

Protection sollicitée dφ dt • Haut flux Bas RFTC •

• Bas RFTC • Haut flux (seuil haut) • Haut flux (seuil bas)

Les situations dissymétriques (seule une grappe concernée) sont très pénalisantes : l’importante déformation de la distribution radiale de puissance conduit à un risque accru de crise d’ébullition, voire de ruptures de gaines, sous la grappe extraite.

2.2.1. L’accident d’éjection d’une grappe de régulation Cet accident est envisagé par la rupture indirecte de l’enceinte de pression du mécanisme de commande de grappes, conduisant sous l’effet de la différence de pression entre l’intérieur cuve et l’enceinte, à l’éjection de la tige de commande et de la grappe associée5 . Du fait de sa très faible probabilité d’occurrence, cet évènement est classé en catégorie 4 des situations de fonctionnement d’un REP (accident hypothétique). On peut montrer simplement que l’accélération de la grappe serait de 22 g, conduisant à son éjection complète en un délai très bref, de l’ordre de 0,1 s. Dans les conditions les plus pénalisantes, l’apport de réactivité provoque alors une excursion de puissance prompt-critique, avec d’importantes déformations du flux neutronique (figure 2.1.) 5 L’araignée viendrait buter sur les internes supérieurs, désolidarisant la grappe de la tige de commande qui, continuant sa course, doit être stoppée ; c’est le rôle de la dalle anti-missile, prévue à cet effet.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

62

Figure 2.1. Éjection de grappe : évolution de la nappe de flux thermique (temps en seconde). Source : clefs CEA.

À l’endroit de la grappe éjectée, il y aura alors crise d’ébullition et dépôt important d’énergie sur le combustible, pouvant potentiellement conduire à la rupture de gaines et la dispersion du combustible à haute température dans l’eau primaire. Les conséquences pouvant être alors la formation d’une onde de choc de pression, susceptible de remettre en cause l’intégrité du circuit primaire, avec perte simultanée des deux premières barrières de confinement (phénomène « d’explosion vapeur » en cuve). Pour éviter cette situation inacceptable, on se réfère à des critères empiriques à respecter6, portant : • sur le nombre global de crayons entrant en crise d’ébullition (< 10 %) ; • localement, au point le plus chaud, sur la température de gaine (< 1482 ◦ C, critère pour les transitoires rapides), l’énergie déposée sur le combustible (< 200 cal·g−1 ), et la fraction de volume du combustible fondu (< 10 %) ; • sur la pression du circuit primaire (< 190 bar)7 . dφ Pour atteindre ces objectifs, les protections spécifiques « » positif et « haut flux » sont dt dimensionnées vis-à-vis de cette situation. 6 Il existe des critères spécifiques pour les assemblages à haut burn-up. 7 Pour la phase court terme de l’accident, on ne tient pas compte de la faible dépressurisation initiée par la

brèche crée au niveau du couvercle cuve.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

63

Puissance atteinte Puissance nominale

10

1 ARRÊT D’URGENCE à 35 % Pn

0,5

10-1

10-2

10-3

0,5

1

2

3

Temps (s)

Figure 2.2. Éjection de grappe : évolution de la puissance nucléaire au cours du temps. Source : transparent AREVA.

Au titre du rapport de sûreté, cet accident est étudié avec des hypothèses pénalisantes, comme : • un état initialement en attente à chaud (0 % Pn)8 ; • un facteur de point chaud initial pénalisant ; il est retenu celui correspondant à la « limite APRP »9 ; • un jeu pastille gaine initialement ouvert, afin de limiter les échanges thermiques vers l’eau ; • un cœur en fin de cycle (β minimal) ; • un groupe R initialement à son insertion limite autorisée par les Spécifications Techniques d’Exploitation. L’éjection de la grappe la plus antiréactive du groupe R, apportant alors de l’ordre de 600 pcm, conduit à une situation de prompt-criticité (réactivité supérieure au β ≈ 500 pcm). 8 En puissance, l’apport de réactivité est moindre (ρ < β), l’AAR plus précoce et l’augmentation du facteur de point chaud plus limitée. 9 Valeur du point chaud à ne pas dépasser pour respecter les critères de sûreté en cas d’APRP grosse brèche.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

64

Température (°C) 3000

Centre pastille 2000 Moyenne pastille

Gaine interne

1000

0 0

1

2

3

4

5

Temps (s)

Figure 2.3. Éjection de grappe : évolution des températures au cours du temps. Source : transparent AREVA.

Le transitoire observé se décompose en deux phases : • Du fait de la multiplication en neutrons prompts, on observe une excursion de puissance (jusqu’à près de 10 fois le flux nominal à l’instant t = 0,2 s, voir figure 2.1.) L’échauffement important du combustible permet cependant de rendre le cœur souscritique et ainsi d’écrêter la puissance par contre-réaction Doppler. Cet effet physique a donc un rôle fondamental pour limiter, en moins d’une demi-seconde, les conséquences de cet accident. • Lors d’une deuxième phase, la puissance décroît alors, bien que son niveau reste élevé, du fait de l’émission des neutrons retardés par les précurseurs formés lors de la phase initiale (figure 2.2.) Compte tenu de la constante de temps du transitoire (≈ 0,1 s), ce n’est qu’après le pic de puissance qu’intervient l’Arrêt Automatique du Réacteur, sur haut flux (seuil bas, ici supposé à 35 % Pn, par conservatisme). Son effet bénéfique est donc limité dans le cas étudié, l’essentiel du dépôt d’énergie étant déjà réalisé. Au point chaud, la température du combustible est montée très rapidement, du fait du mauvais échange thermique gaine – combustible (jeu supposé initialement ouvert). Par la suite, elle se stabilise, après fermeture du jeu, sans dépasser la température de fusion au centre de la pastille.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

65

La gaine atteint 1300 ◦ C, sans dépasser le critère de sûreté (1482 ◦ C), mais s’assèche donc (figure 2.3.) Pour cet accident, la déformation radiale de puissance est très importante, comme l’a montré la figure 2.1. : le facteur de point chaud dépasse 20 (à t = 0,2 s), provoquant un accroissement important de l’énergie apportée au canal chaud (sous la grappe éjectée). Le dépôt d’énergie maximal sur la pastille ne dépasse cependant pas 75 % du critère de 200 cal/g, garantissant la non-dispersion du combustible dans l’eau. Enfin, sur la totalité du cœur, on vérifie également que le nombre de crayons entrant en DNB reste inférieur à 10 %. On démontre ainsi que, malgré les conservatismes de l’étude, du fait des choix de conception, et sous réserve du respect des Spécifications Techniques d’Exploitation, en particulier des limites d’insertion du groupe R, les conséquences d’un tel transitoire hypothétique restent limitées, alors que la cinétique du transitoire exclut toute action palliative de l’opérateur. La contre-réaction neutronique Doppler joue un rôle fondamental dans la démonstration d’acceptabilité d’une telle situation accidentelle, ce que montre bien le problème 2 proposé en fin de chapitre.

2.2.2. Retrait de groupes d’absorbants, états sous-critique et en puissance Le retrait de groupes d’absorbants est étudié, au titre du rapport de sûreté, soit cœur souscritique, soit cœur en puissance. L’évènement initiateur peut être une défaillance du système de commande des grappes ou une mauvaise action de l’opérateur. Dans tous les cas, cet évènement est classé en catégorie 2 des situations de fonctionnement (incidents probables). Ce transitoire se traduira par un apport de réactivité, une augmentation du flux neutronique et une élévation de la température primaire. Aussi, les risques potentiels sont l’apparition de la crise d’ébullition sur la gaine et/ou la fusion à cœur du combustible. Les critères de sûreté à respecter sont donc respectivement : • RFTC > 1,17 (corrélation WRB1) ; • Puissance linéique maximale < 590 W/cm (ou température maximale de la pastille inférieure à la température de fusion). Les protections cœur susceptibles d’être sollicitées sont, en conséquence les deux protections génériques « bas RFTC » ou « puissance linéique élevée » ou la protection spécifique « haut flux » (seuil bas de 25 % Pn ou seuil haut de 109 % Pn). a. Cas réacteur sous-critique On envisage ici l’extraction des groupes noirs N1 et N2 à 72 pas/min, cœur initialement sous-critique. Les principales différences avec l’évènement initiateur « éjection de grappe » présentée précédemment, viennent : • de l’importance de la réactivité apportée (≈ 2000 pcm), mais avec une bien moindre vitesse d’insertion (≈ +60 pcm/s, soit 100 fois moins que pour l’éjection de grappe) ;

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

66

• du caractère symétrique du transitoire sur le cœur. Dans le cas de l’étude d’un tel évènement avec des hypothèses conservatives, on observe un transitoire proche de celui associé à l’éjection de grappe du 2.2.1. avec les similitudes suivantes : • atteinte de la prompt-criticité, pic de puissance (ici 2 à 3 fois le flux nominal) après intervention de l’effet Doppler ; • maintien d’un flux neutronique significatif par émission des neutrons retardés, puis AAR par haut flux (seuil bas). La différence principale avec l’éjection de grappe est l’augmentation limitée du flux thermique. Aussi, en tendance, l’évolution des températures et énergies est similaire, mais avec des conséquences plus limitées sur le combustible et la gaine. Les critères de sûreté sont tous respectés10 , en particulier grâce à l’AAR par haut flux seuil bas (25 % Pn), dimensionné par cet accident. b. Cas réacteur en puissance On envisage l’extraction du groupe R, seul extrait aux conditions nominales de puissance. Le transitoire diffère alors selon les vitesses d’extraction du groupe et donc d’insertion de la réactivité. En particulier, la protection cœur sollicitée ne sera pas la même. En cas d’extraction rapide du groupe R (ex. : 72 pas/min, rampe de +30 pcm/s), l’augmentation du flux neutronique est rapide, alors que le transfert de chaleur vers le fluide primaire est plus lent. Aussi, on observe l’augmentation de la puissance cœur, pratiquement à température moyenne primaire constante (figure 2.4.) La protection cœur repose alors sur l’AAR par « haut flux », seuil haut (109 % Pn). En cas d’extraction lente (ex. : 7 pas/min, +3 pcm/s), la puissance thermique suit l’évolution (lente) de la puissance neutronique, ce qui se traduit, du fait du bon transfert de chaleur vers le réfrigérant, par un échauffement significatif du fluide primaire (déséquilibre thermique primaire – secondaire). Dans ce cas, la puissance cœur évolue peu, car l’apport de réactivité par retrait du groupe R est compensé par l’effet des contre-réactions neutroniques (modérateur et « Doppler température »11 ). La protection cœur repose alors sur l’AAR par « bas RFTC ». En synthèse, on peut conclure : • dans les deux cas, les contre-réactions neutroniques interviennent : essentiellement le Doppler dans le premier cas, et le Doppler et le modérateur, conjointement, dans le deuxième cas ; • les chaînes de protection spécifiques et génériques se complètent pour assurer la protection du cœur dans toute la plage de vitesse d’extraction du groupe12 . 10 À noter que lorsque le transitoire est « à pulse » on vérifie explicitement que la température au sein de la pastille reste inférieure à la température de fusion, plutôt que se rattacher au critère de puissance linéique. 11 On parle d’effet « Doppler température » lorsque l’élévation de la température combustible a pour origine celle du modérateur (à puissance cœur constante). 12 En pratique, c’est la chaîne par « bas RFTC » qui est la plus couvrante.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

67

Figure 2.4. Retrait de grappes : déplacement du point de fonctionnement dans le programme de température T m-T v (températures moyenne primaire et vapeur).

2.2.3. Cas du retrait d’une grappe de régulation en puissance Le retrait accidentel d’une seule grappe en puissance ne peut être envisagé que : • en cas de concomitance de défaillances électriques ou mécaniques ; • en raison d’un mauvais alignement d’une grappe et non respect par l’opérateur de la procédure de réalignement. Cette situation se classe en troisième catégorie des situations de fonctionnement. Elle est proche de celle précédemment vue (retrait d’un groupe en puissance), la principale différence venant cependant de la forte dissymétrie de l’accident conduisant à un risque local de point chaud et de crise d’ébullition, sous la grappe extraite. Comme précédemment, les protections génériques et spécifiques cœur se complètent pour pallier les conséquences d’un tel évènement. Mais, le caractère dissymétrique de l’accident limite l’efficacité de la chaîne générique « bas RFTC » qui peut alors ne pas détecter les déformations radiales de flux, liées à l’extraction d’une seule grappe. C’est pourquoi le seuil d’AAR par « bas RFTC » a été spécifiquement rehaussé13 , pour garantir le respect des critères de sûreté.

13 Nouveau seuil validé sur critère significatif de cet accident, à savoir élévation anormale de la température branche chaude.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

68

2.3. Les transitoires de dilution du fluide primaire Réaliser des appoints en eau au primaire est une pratique courante d’exploitation. Le risque associé est cependant une dilution incontrôlée du fluide primaire, c’est à dire la diminution de sa concentration en acide borique. On parlera d’accident d’insertion de réactivité uniquement dans le cas où la dilution du fluide primaire intervient au niveau du cœur. Il convient donc de distinguer les cas : • des dilutions homogènes lentes (pompes primaire en service, brassant le fluide primaire) ; • des dilutions hétérogènes, pouvant conduire à l’introduction rapide dans le cœur d’un bouchon d’eau faiblement borée. Le premier cas fait l’objet d’études apparaissant dans le rapport de sûreté dès la conception des réacteurs français de type 1300 MWe. Le dernier cas a exigé un réexamen, en particulier dans le cadre des Études Probabilistes de Sûreté. Il s’agit de scénarios pour lesquels un volume d’eau pure et/ou froide a été préalablement formé et stocké dans les boucles primaires (ou un circuit connecté), puis envoyé dans le cœur suite à un changement régime hydraulique primaire, conduisant à une forte et rapide insertion de réactivité. Cette situation est désormais étudiée au titre des situations complémentaires de fonctionnement. Comme précédemment, le tableau 2.2. résume les caractéristiques de ces deux situations : Tableau 2.2. Caractéristiques des principaux transitoires de dilution. Accident

Dilution homogène Dilution hétérogène

Catégorie de la situation de fonctionnement 2 Complémentaire

Réactivité max Vitesse max. insérée d’insertion

Promptcriticité ?

≈ 1000 pcm

≈ 1 pcm/s

Non

≤ 8000 pcm

> 1000 pcm/s

Oui

Contreréactions concernées Doppler et modérateur Doppler

Protection sollicitée • Haut flux • Bas REC • Haut flux dφ • dt

2.3.1. Dilution homogène Une situation de dilution homogène peut avoir pour origine une erreur opérateur, une défaillance du contrôle-commande et/ou le défaut d’un composant. Cet évènement est classé en catégorie 2 des situations de fonctionnement du réacteur (incidents probables). L’incident enveloppe étudié correspond à l’introduction d’eau claire dans le circuit primaire par les circuits RCV-REA, au débit maximum, les pompes primaires en service homogénéisant le fluide primaire14 . 14 De façon conservative, on prend : 60 m3 /h.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

69

Il induit une quasi-rampe de réactivité dont la pente peut être considérée comme proportionnelle au débit de dilution et à la concentration en bore initiale, liée à l’avancement dans le cycle (max. ≈ 1 pcm/s, voir problème en fin de chapitre). Suite à cet initiateur, la rampe de réactivité induite conduit à des conséquences différentes suivant l’état initial du réacteur. • réacteur à l’arrêt, la réduction de l’écart à la criticité15 peut potentiellement conduire à une divergence intempestive et une montée de la puissance, alors que les barrières de confinement ne sont pas toutes étanches et que du personnel peut-être présent dans l’enceinte de confinement ; • réacteur en production, l’apport continu de réactivité se traduit, en dynamique libre (sans actions des régulations), par une élévation régulière de la température16 et donc de la pression primaire ; le risque essentiel est l’atteinte des conditions de crise d’ébullition dans le cœur. Les critères de sûreté à respecter sont ceux relatifs à la catégorie 2 des situations de fonctionnement, traduits en règles conservatives : • non atteinte de la crise d’ébullition : RFTC > 1,17 (WRB1) ; • non atteinte ou non-retour, après chute des barres, en en criticité (voir plus bas). Les dispositions de défense en profondeur (prévention, surveillance et protection), adaptées à une situation de dilution, sont les suivantes : • une concentration en bore minimale requise dans les états d’arrêt, pour garantir un écart à la criticité suffisant (–1000, voire –5000 pcm) ; • toujours dans les états d’arrêt, un automatisme requis de basculement de l’aspiration des pompes de charge RCV sur le circuit PTR ; • des alarmes caractéristiques d’une dilution ; • des protections génériques et spécifiques cœur (cf 2.1.), pour garantir la chute des grappes ; • une marge d’antiréactivité minimale requis17 , pour garantir l’efficacité de la chute des grappes. L’objectif poursuivi dans la démonstration de sûreté est de pouvoir arrêter la dilution avant l’atteinte de l’état critique, dans les états d’arrêt fortement sous-critiques (grappes initialement chutées), ou avant la redivergence du cœur, faisant suite à l’AAR, dans les autres cas. Les actions de conduite requises sont alors : identifier et isoler la cause de la dilution et lancer une borication pour restaurer l’écart à la criticité requis. 15 L’écart à la criticité est la sous-criticité initiale du cœur (ex. : –1000 ou –5000 pcm, selon les états et la position requise des grappes dans le cœur) correspondant à une consigne administrative à respecter pour l’état considéré. Cette notion ne doit pas être confondue avec la marge d’antiréactivité. 16 Comportement typique du réacteur couplé à son Groupe Turbo-Alternateur (« secondaire prioritaire »). 17 La marge d’antiréactivité représente le bilan net de réactivité du cœur, suite à un AAR, compte tenu de l’antiréactivité apportée par la chute de N-1 grappes (la plus antiréactive est supposée rester bloquée) et l’apport de réactivité par les contre-réactions (effets de puissance), liée à la chute de puissance cœur.

70

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

2.3.1.1. Dilution homogène dans les états d’arrêt En arrêt à froid pour rechargement ou intervention, le cœur est initialement fortement sous-critique (min. –5000 pcm) et toutes les grappes sont chutées. Le cas le plus pénalisant est lorsque l’inventaire en eau est limité, comme lors des phases d’exploitation à la Plage de Travail Basse du RRA (voir paragraphe 4.4.3.). Une dilution se traduit alors par une rampe de réactivité, avec amplification de la population neutronique en régime sous-critique, en présence d’une source de neutrons18 . L’alarme « flux élevé à l’arrêt » intervient lorsque le flux atteint le seuil de trois fois la valeur du flux à l’arrêt, laissant un délai opérateur significatif (≈ 25 min) pour intervention avant divergence. De l’arrêt à froid à l’arrêt à chaud, le cœur est initialement sous-critique (min. –1000 pcm) et seule une partie des groupes de grappes est extraite (SB), permettant une chute partielle des grappes. Dans ce cas, suite à la rampe de réactivité, la criticité peut être atteinte et la puissance croître, conduisant à un AAR par « haut flux » chaîne source, restaurant la sous-criticité. Ce même signal conduit à un isolement du ballon RCV et un basculement de l’aspiration des pompes de charge RCV sur le circuit PTR (automatisme spécifique aux 1300 MWe) : la dilution devient alors borication, une fois les lignes de charge balayées par la solution de bore (≈ 2 min), mettant fin au problème.

2.3.1.2. Dilution homogène en production En puissance, le cœur est juste critique et toutes les grappes extraites, à l’exception des groupes de régulation (groupes gris et groupe R), pouvant être insérées à leurs côtes limites. Le transitoire dépend de la disponibilité, ou pas, de la régulation de la température moyenne primaire par le groupe R. Réacteur en production, donc couplé au groupe turboalternateur, l’apport de réactivité par dilution conduit à un déséquilibre faible mais constant entre puissances coeur et secondaire, d’où l’augmentation de la température du fluide primaire, si le groupe R est initialement en manuel19 . L’effet des contre-réactions neutroniques compense alors la réactivité apportée par la dilution20 . Si la réactivité globale du cœur reste sensiblement nulle au cours de la phase 1 du transitoire, la température primaire continue de croître progressivement, réduisant la marge « bas RFTC ». L’Arrêt Automatique du Réacteur intervient alors, sur « bas RFTC », rendant le cœur sous-critique. Cet évènement est considéré comme la première information significative pour l’opérateur. La dilution se poursuivant, le risque est un retour en criticité (phase 2). Cependant, si la marge d’antiréactivité est supérieure ou égale à celle requise par les Spécifications 18 Neutrons produits par les assemblages irradiés. 19 Le transitoire est similaire à l’extraction lente du groupe R, réacteur en puissance (voir au 2.2.2.). 20 En terme de bilan de réactivité, l’apport de réactivité par dilution est compensée par les effets

« Doppler température » et modérateur ; les puissances restant constantes, le bilan de réactivité s’écrit alors : dρdil + αiso · d T m = 0.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

71

Figure 2.5. Dilution homogène en puissance : retour en criticité après AAR.

Techniques d’Exploitation (STE), l’opérateur dispose d’un délai suffisant (≈ 30 min) pour identifier et isoler la source de dilution avant retour en criticité. Si le groupe R est initialement en commande automatique, celui-ci s’insèrera pour maintenir la température sur sa valeur de consigne, ce qui se traduit par une augmentation de la déformation axiale du flux. Là encore, la réactivité globale reste sensiblement nulle car l’insertion du groupe R compense l’effet en réactivité liée à la dilution. Dans cette situation, sur alarmes « limite basse » et « très basse » du groupe R, l’opérateur peut engager les actions correctives : isoler la source de dilution (après identification) et lancer une borication. À défaut de réaction de l’opérateur sur ces alarmes, une fois l’insertion totale du groupe R, on se ramène au cas précédent (« R manuel ») : élévation de la température moyenne primaire et dégradation de la marge « bas RFTC » : • le cœur reste donc protégé par la chaîne « bas RFTC » assurant l’AAR ; • compte tenu de la marge d’antiréactivité obtenue à la chute des barres, même sans la contribution du groupe R, le délai avant redivergence est suffisant pour assurer l’efficacité de l’action opérateur. Le tableau 2.3. résume ces résultats, avec des hypothèses conservatives, type rapport de sûreté 1300 MWe. En conclusion, l’accident de dilution homogène est un cas prévu à la conception, pour lequel les moyens de protection (alarmes, protections cœur, STE définissant écart à la criticité et marge d’antiréactivité des grappes, procédures et condamnations administratives…), assurent une limitation des conséquences à des valeurs admissibles. L’opérateur a, dans tous les cas, suffisamment de temps pour arrêter et isoler la dilution intempestive et ainsi éviter l’atteinte de la criticité (cas de l’arrêt à froid pour intervention, AFI) ou éviter son retour, suite à la chute des barres (de l’arrêt à froid aux états en puissance).

72

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Tableau 2.3. Dilution : principaux résultats, suivant l’état initial.

2.3.1.3. Dilution homogène sans AAR, ni actions opérateur On s’intéresse dans ce paragraphe aux conséquences d’une dilution homogène, avec défaillance matérielle (AAR inopérant) et humaine (pas d’actions opérateur). Ce transitoire n’appartient pas aux situations de fonctionnement du rapport de sûreté, mais est présenté ici car il ne concerne pas seulement le cœur, mais l’ensemble de la chaudière (approche systémique)21 . Du fait de son caractère pédagogique22 , il est traité en détail sous forme de problème de fin de chapitre (P3). L’accident est étudié en arrêt à chaud. L’évacuation de la puissance primaire est effectuée par les vannes réglantes du GCT-a. Le débit ASG est fixé (manuel) pour garantir un niveau stable dans les GVs, à ce niveau de puissance. Le transitoire se décompose en plusieurs phases. Après perte de l’écart à la criticité, par la dilution, le cœur devient alors critique. On observe alors l’augmentation quasi-simultanée des puissances cœur et secondaire (par ouverture progressive du GCT-a). Cependant, dans ces conditions, seule la température vapeur constitue un point fixe. Les températures combustible et primaire augmentant progressivement, les contre-réactions Doppler et modérateur maintiennent alors la réactivité sur une valeur positive, mais très proche de 0, malgré l’effet de la dilution. L’évacuation de la puissance croissante au secondaire se faisant par vaporisation progressive du stock d’eau secondaire (débit ASG insuffisant), on observe l’assèchement des GVs vers 20 min. L’échange de chaleur primaire-secondaire se dégrade alors, induisant une augmentation de la température moyenne primaire, d’où : • d’une part, l’augmentation rapide de la pression primaire, par effet de dilatation du fluide et effet piston dans le pressuriseur ; cette augmentation est limitée par une première décharge « vapeur » et transitoire aux soupapes du pressuriseur ; 21 Les alarmes limite « basse » et « très basse » d’insertion du groupe R, premières alarmes significatives, ne sont pas considérées par conservatisme. 22 Il permet, en particulier, d’étudier le comportement du système en cœur et secondaire prioritaire.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

Figure 2.6. Dilution homogène sans AAR, ni action opérateur : évolution des paramètres clés. Source : Transfert des Connaissances « Accidents de réactivité » – EDF.

73

74

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• d’autre part, le passage du cœur à nouveau dans un état sous-critique, annulant transitoirement la puissance thermique cœur. Côté secondaire, la puissance secondaire se fixe à la valeur associée à l’échauffement et la vaporisation du débit ASG initial. Côté cœur, la dilution, toujours en cours, conduit à nouveau à la perte de la sous-criticité et à la nouvelle divergence du cœur. La puissance cœur finit par se stabiliser à une valeur très légèrement supérieure à la puissance secondaire : l’élévation de la température moyenne primaire permet aux contreréactions de compenser l’effet de la dilution. La montée de la pression, consécutive à l’échauffement primaire provoque alors la nouvelle ouverture des soupapes pressuriseur, pour décharger le débit d’expansion primaire. On se retrouve alors en situation de type brèche « en pression ». La figure 2.6. résume le transitoire qui vient d’être décrit.

2.3.2. Dilution hétérogène Les études « post-Tchernobyl » avaient pour but de rechercher des scénarii accidentels associés à une insertion massive de réactivité, pouvant conduire des conséquences inacceptables pour le cœur. La seule dilution pouvant conduire à cette situation combine plusieurs hypothèses : • formation d’un bouchon d’eau claire/froide dans les boucles primaires (ou un circuit connecté, type RRA), du fait : – de la présence d’une source de dilution (ex. : par la charge RCV), – alors que la circulation du fluide primaire est localement bloquée : – les pompes primaires sont arrêtées, – la puissance résiduelle, très faible, ne permet pas d’assurer une circulation naturelle suffisante, ou les GVs, en transfert « inverse » sont à l’origine d’une stratification thermique dans le circuit primaire. • changement de régime hydraulique (ex. : redémarrage des pompes primaires), conduisant au transfert rapide du bouchon froid/dilué dans le cœur. Les Études Probabilistes de Sûreté avaient permis, dès 1990, d’identifier un scénario possible : la perte des alimentations électriques externes en arrêt à chaud, alors qu’une dilution est en cours en vue de la divergence pour redémarrage. Dans ce cas, les pompes primaires s’arrêtent, alors que les pompes REA et RCV, assurant la dilution, sont électriquement secourues. Or, s’il s’agit d’un redémarrage du réacteur, après un arrêt long pour rechargement partiel du combustible, la puissance résiduelle peut être insuffisante pour établir une circulation naturelle en tout point du circuit primaire. La cinétique de cet accident le rapproche de l’éjection de grappe, c’est pourquoi les critères de sûreté retenus sont les mêmes (voir 2.2.1.), même si ce type de situation n’appartenait pas, avant 1990, au corpus des études du rapport de sûreté. Le transitoire enveloppe présenté ci-dessus correspond à une dilution hétérogène en arrêt à chaud (155 bar, 297 ◦ C, écart à la criticité de –1000 pcm). Le groupe SB est extrait.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

75

Figure 2.7. Dilution par bouchon d’eau froide : évolution de la puissance cœur. Source : TdC Réac– EDF.

Une boucle primaire est supposée initialement stagnante, avec une concentration en bore nulle et une température faible. On envisage le démarrage de la pompe primaire sur cette boucle. Des hypothèses simplificatrices sur le comportement hydraulique du bouchon, extrêmement conservatives, ont été initialement retenues. Elles conduisent à supposer, sur une seconde, une forte baisse de la concentration en bore en (≈ –300 ppm) et de la température moyenne primaire (≈ –80 ◦ C) dans le cœur. Dans ces conditions, les deux effets en réactivité, dilution et effet modérateur, se cumulant, c’est près de 8000 pcm qui sont introduits dans le cœur, en une seconde (figure 2.7.) Le cœur passe alors prompt-critique (multiplication des neutrons prompts). L’effet Doppler, quasi-immédiat, met fin à l’excursion de puissance neutronique (pic très intense, mais extrêmement court). La remontée du flux nucléaire, observée ensuite, est due aux fissions engendrées par l’émission des neutrons retardés par les précurseurs formés lors de l’excursion de puissance. C’est durant la première seconde du transitoire que l’essentiel de l’énergie est ainsi déposée sur les pastilles combustibles. Au-delà de deux secondes, l’action conjuguée de l’AAR et de l’effet modérateur permettent la décroissance de la puissance cœur. En effet, sur le moyen terme (entre 2 et 5 secondes), la température primaire augmente d’une dizaine de ◦ C, induisant, de plus, un pic de pression primaire, par effet de dilation du fluide et effet piston dans le pressuriseur. Ce pic est écrêté par l’ouverture des soupapes pressuriseur. Pour le cœur, outre la crise d’ébullition généralisée, l’oxydation de la gaine et la fusion à cœur de certaines pastilles, le risque principal pour le cœur est un excès d’énergie déposée sur les pastilles au cours de la première seconde (supérieur au critère de 200 Cal/g). Dans cette situation, on ne pourrait alors exclure la dispersion du combustible à très haute température dans l’eau. La conséquence d’une telle « explosion vapeur »

76

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

(vaporisation instantanée) pourrait être la rupture du circuit primaire, et donc la perte simultanée des deux premières barrières. En prenant le problème à l’envers, il a été estimé que la limite admissible en termes de vitesse d’insertion de réactivité est de +5000 pcm/s. Sur cette base, on a cherché à identifier les séquences accidentelles crédibles pouvant conduire à une telle situation. On l’a vu, il faut envisager de nombreux cumuls pour créer un tel scénario et supposer l’insuffisance de la circulation naturelle pour entraîner le bouchon en cours de formation. De plus, les dispositions préventives, mises en œuvre sur les sites, depuis 1993, en réduisent encore la probabilité d’occurrence d’un facteur 100, en particulier par l’apport de l’automatisme anti-dilution, demandant en cas d’arrêt des GMPP, alors que la puissance résiduelle est faible et qu’une dilution est en cours : • l’isolement de la source de dilution ; • le basculement de l’aspiration des pompes RCV sur la bâche PTR (borication). Par ailleurs, l’hydraulique des boucles primaires pour une telle situation est désormais bien mieux connue, grâce à des essais sur maquette et la qualification de codes de calculs adaptés. Le bouchon, s’il est formé, s’érodera fortement au cours de sa traversée de la cuve, avant de pénétrer dans le cœur. Finalement, cette situation est un exemple d’accident, non pris initialement en compte à la conception au titre de la démarche déterministe, mais seulement à l’issue de l’analyse croisée menée dans le cadre des Études Probabilistes de Sûreté. Grâce à l’ensemble des dispositions prises, les EPS ont pu montrer que le risque de fusion du cœur par dilution hétérogène a été ramené, pour la séquence considérée, dans le domaine acceptable. En conclusion générale, on fait le constat que la fonction de sûreté « contrôle de la réactivité » peut être maitrisée, en cas d’accident de retraits d’absorbants sur les Réacteurs à Eau sous Pression, pour l’essentiel du fait de l’intervention des contre-réactions neutroniques stabilisatrices (surtout Doppler), mais également par des dispositions de conception (ex. : système fiable d’Arrêt Automatique du Réacteur par chute des grappes d’absorbants) et d’exploitation (respect des Spécifications Techniques d’Exploitation). La seule séquence réellement problématique identifiée, la dilution hétérogène, a été ramenée dans le domaine acceptable par des mesures de prévention limitant sa probabilité d’occurrence.

Problème 2 : étude de l’éjection de grappe Ce problème traite de l’accident d’éjection de grappe sur un réacteur de type 1300 MWe, avec une modélisation analytique simplifiée, rendue possible du fait de la rapidité du transitoire. Sur la première seconde, on peut considérer : • le découplage entre combustible et réacteur, l’énergie produite dans le combustible n’ayant pas le temps d’être évacuée vers le réfrigérant ;

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

77

• l’absence d’émission de neutrons retardés. Le réacteur est initialement stabilisé en attente à chaud (puissance initiale W0 ≈ 0,1 MWth). On envisage, dans cet état, l’éjection d’une grappe de contrôle, qui apportait antérieurement, du fait de sa position initiale au plan médian du cœur, une antiréactivité de –600 pcm. On rappelle ici l’équation simplifiée de la cinétique : dn = ρ−β · n + λ · C l dt Avec : • n le nombre de neutrons ; • ρ la réactivité du cœur et β la fraction de neutrons retardés ; • l le temps de vie moyen des neutrons ; • λ et C respectivement la constante radioactive et la concentration en précurseurs de neutrons retardés. 1. a. Où doit-on se placer dans le cycle pour s’assurer du conservatisme de l’étude ? Dans ce cas, conclure sur la cinétique de l’excursion de puissance. 1. b. Lors de la rupture de l’enceinte de pression du mécanisme de grappe, le différentiel de pression exercé entre le bas et le haut de la grappe conduit à une accélération verticale ascendante de 22 g. Calculer la durée de la rampe de réactivité induite. Quelle est alors la seule parade envisageable ? 2. On cherche à décrire l’excursion de puissance et quantifier l’énergie stockée E dans le combustible (à t = 0, E0 = 0). • Écrire les équations bilan en neutrons n (équation de la cinétique) et en énergie, au niveau du combustible. On considèrera la puissance W instantanée, proportionnelle au nombre de neutrons n à l’instant t. • Exprimer la réactivité ρ = f (t), en fonction de E . • Montrer que l’équation de la cinétique peut alors se mettre sous la forme :  t d2 E dE , avec E = = (a − b · E ) · W (τ ) · dτ dt 2 dt 0 • Exprimer a et b. W0 · b < < 1 (à vérifier a posteriori), l’équation différentielle du 2 · a2 e 2 ordre précédente a pour solution : En considérant : c =

W0 1 − e −a·t dE (t ) e −a·t  · ≈ W , d où W (t ) = · 0 a c + e −a·t dt (c + e −a·t )2 Les courbes suivantes représentent graphiquement ces solutions. E (t ) ≈

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

78

Figure 2.8. Modélisation simplifiée d’une éjection de grappe. Source : Physique des réacteurs nucléaires, de Robert Barjon.

• Commenter les. • Évaluer l’instant et le niveau de puissance maximum. • À cet instant, calculer l’énergie totale déposée sur le combustible. • Ramener cette valeur à 1 g de combustible et la comparer au critère garantissant la non fragmentation du combustible. Conclure. 3. En fait, ce modèle simplifié n’est valable qu’avant l’instant du pic de puissance, comme le montre la figure 2.2. obtenue à l’aide d’un code de calcul. • Commenter la phase post-pic de puissance, en explicitant les évènements favorables et défavorables intervenant, au regard du critère d’énergie déposée sur le combustible.

Problème 3 : dilution homogène, avec défaillance matérielle et humaine Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. Soit un réacteur de 1300 MWe en arrêt à chaud (155 bar, 297 ◦ C), avant redémarrage, après un arrêt long.

´ 2 – Les accidents d’insertion de reactivit e´ par retrait d’absorbants

79

La concentration en bore initiale, de 1200 ppm, assure un écart à la criticité de –1000 pcm. Seul le groupe d’absorbants SB est extrait. La puissance résiduelle cœur est de 5 MW et pourra être considérée constante tout au long du transitoire. Les 4 pompes primaires sont en service. L’état initial est équilibré car la puissance thermique primaire est évacuée au secondaire : • vapeur produite évacuée au GCT-a, dont une vanne réglante fixe la pression secondaire à 84,5 bar ; • alimentation par ASG réglée au débit requis pour garantir la stabilité des niveaux GVs (ce débit restera constant tout au long du transitoire). On considère alors un évènement initiateur de dilution par la charge (eau claire), au débit maximum majoré de 20 %. On suppose l’équilibre entre débits massiques entrant (charge) et sortant (décharge RCV). La particularité du transitoire étudié est que l’on considère les demandes d’AAR inopérantes et l’absence d’actions opérateurs. Pour sa compréhension et pour vérifier les ordres de grandeur calculés, on se reportera aux courbes de la figure 2.6. A. Phase 0 : rampe de réactivité induite et perte de la sous-criticité initiale • Évaluer la rampe de réactivité induite par la dilution. Cette valeur pourra être retenue, tout au long du problème, si elle est conservative. • En déduire le délai avant retour en criticité. Cet instant sera considéré désormais comme l’instant initial t0 . B. Phase 1 : augmentation des puissances jusqu’à l’assèchement des GVs (t 0 à t 0 + 20 min) La divergence se traduit par une augmentation immédiate de la puissance cœur. • Justifier que, pour l’état initial étudié, la puissance secondaire suive l’évolution de la puissance primaire. • En déduire le comportement du niveau dans les GVs, expliquant leur assèchement à l’instant t0 + 20 min. • Compte tenu de la rampe de réactivité calculée précédemment, déterminer l’ordre de grandeur de la réactivité introduite dans le cœur, par la dilution, sur la période (t0 , t0 + 20 min). • Justifier, pour autant que la réactivité du cœur reste quasi-nulle durant cette phase. • En utilisant le modèle ponctuel, en déduire la puissance cœur maximale à l’instant d’assèchement des GVs (en MWth et % Pn). • De même, calculer l’élévation de la température moyenne sur la période (t0 , t0 + 20 min).

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

80

C. Phase 2 : nouvelle sous-criticité (t0 + 20 min), puis perte de celle-ci • À l’instant d’assèchement des GVs, justifier l’observation d’un step de température primaire qui est évalué de l’ordre de +25 ◦ C. L’évènement initiateur étant une dilution par la charge au débit maximum, le système de régulation du niveau pressuriseur n’est plus opérant pour régler le niveau pressuriseur sur sa consigne. • Compte tenu de l’élévation de température, estimer alors le volume d’expansion primaire depuis le début du transitoire. • Vérifier, qu’à cet instant, le circuit primaire est presque plein. Conclure sur le transitoire du point de vue de la pression primaire. • Justifier que le cœur repasse sous-critique, à l’instant de l’assèchement des GVs, puis, à terme, à nouveau critique. D. Phase 3 : primaire plein (t0 + 40 min) ; expansion du volume, évacuée aux soupapes pressuriseur • L’ASG débitant toujours, justifier que désormais la puissance secondaire reste constante et préciser sa valeur. • La dilution se poursuivant, justifier que, dans ces conditions, on observe : – un cœur juste critique et une stabilisation de la puissance cœur ; – une augmentation de la température moyenne primaire. On prendra pour température primaire, à t0 + 40 min, 330 ◦ C et pour gradient de température primaire, + 0,02 ◦ C/s, tant que le fluide est monophasique liquide. • Avant d’atteindre les conditions de saturation, évaluer : – le niveau de puissance du cœur (en MW et % Pn) ; – le débit massique perdu aux soupapes, en supposant le circuit primaire totalement plein d’eau liquide. • Analyser la situation vis-à-vis des fonctions de sûreté et des barrières de confinement. E. Protections pouvant être sollicitées Cette étude postule l’échec de l’AAR. Pour autant, citer les différents seuils d’AAR franchis sur un tel transitoire, en précisant à quelle phase du transitoire ils se rattachent (voir seuils d’AAR tableau 1.4.).

3

L’accident de rupture de tuyauterie vapeur (RTV)

3.1. Présentation générale 3.1.1. Définition, risques pour les trois barrières Un accident de réactivité par refroidissement est possible par à un appel incontrôlé de puissance secondaire, dû à la production et l’évacuation de la vapeur par une brèche secondaire au sens large (défaillance de vannes/soupapes secondaires ou Rupture de la Tuyauterie Vapeur (RTV))1 . En effet, la dépressurisation du ou des GV affecté(s) entraîne le refroidissement du secondaire (à saturation) et donc du fluide primaire, ce qui induit, essentiellement par effet modérateur2 , une insertion de réactivité au cœur. L’accident se traduit ainsi par une réduction de la sous-criticité puis éventuellement par passage surcritique, voire prompt-critique, avant intervention des contre-réactions physiques et des automatismes de protection et de sauvegarde. Les risques potentiels encourus par les 3 barrières sont alors les suivants : Barrière Gaine et combustible

Risque • Risque de crise d’ébullition locale et donc de rupture de gaines. • Risque de fusion à cœur du combustible. Enveloppe du circuit primaire • Pas de sollicitation en pression, mais risque limité de choc froid sur la cuve et les équipements internes3 . Enceinte de confinement • Si brèche interne BR, sollicitation en pression, du fait de la masse et de l’énergie libérées dans l’enceinte4 . • Si brèche externe BR, faibles rejets si tubes GV non parfaitement intègres ou ruptés.

1 Seuls des blocages en position ouverte de vannes du GCT-a ont été observés sur le parc mondial PWR (ex. : Fessenheim, 1980). 2 Le refroidissement induit une augmentation de la densité de l’eau et donc une meilleure modération des neutrons ; le refroidissement équivalent du combustible induit un effet Doppler additionnel. 3 Les plaques entretoises des GV sont dimensionnées pour éviter qu’une RTV ne cause des RTGV multiples. 4 L’accident dimensionne, avec l’APRP grosse brèche, l’enceinte de confinement et ses protections.

82

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

On parlera de RTV, de façon générique, pour couvrir toutes les tailles de brèche vapeur, de l’ouverture intempestive et blocage ouvert d’une soupape secondaire, situation qui se classe en 2e catégorie des situations de fonctionnement5 , à la rupture guillotine doublement débattue de tuyauterie, évènement hypothétique, étudié en 4e catégorie. On s’intéressera tout particulièrement au risque majeur, à savoir les conséquences de cet accident de réactivité sur le combustible et sa gaine. Il s’agit, en particulier, de démontrer l’absence de crise d’ébullition dans cette situation.

3.1.2. Moyens de protection et de sauvegarde chaudière Les dispositions prévues à la conception de la chaudière pour limiter les conséquences d’une RTV, visent à réduire l’effet du refroidissement et ses conséquences en termes d’apport de réactivité. On peut citer : • les limiteurs de débit en sortie de chaque GV (caractéristiques développées plus loin) ; • les vannes d’isolement VVP, pour éviter la décharge de plus d’un GV à la brèche (voir signaux spécifiques demandant l’isolement automatique des lignes vapeur, tableau 1.5.). • l’AAR, qui, comme on le verra, peut s’avérer insuffisant. • le système RIS permettant l’injection d’eau borée au primaire (eau de la bâche PTR à 2500 ppm) après démarrage sur signaux représentatifs d’une RTV (basse pression vapeur VVP ou très basse température branche froide TBTBF) ; • la Fonction de Borication Automatique (FBA), spécifique aux paliers 1300 et 1450 MWe, démarrant sur signal de refroidissement excessif ; ce système, non classé de sûreté, ne peut être considéré dans la démonstration de sûreté mais permet, en situation réaliste, d’anticiper une action opérateur de borication ; Enfin, sur signal d’IS, l’ASG va démarrer sur tous les GV (après isolement de l’ARE) ; son démarrage sur le GV rupté contribue à l’appel d’énergie secondaire au refroidissement et est donc, de ce point de vue, défavorable6.

3.1.3. Hypothèses d’études, type Rapport de Sûreté Les hypothèses d’études visent à définir le scénario « enveloppe » en cherchant à maximiser l’effet du refroidissement primaire et ses conséquences en termes d’apport de réactivité. Les tableaux ci-dessous présentent, en les justifiant, les principales hypothèses retenues : 5 L’approche détermíniste et les situations de fonctionnement étudiées au titre du rapport de sûreté sont présentées en annexe 1 de l’ouvrage. 6 Pour le transitoire enceinte, comme en cas d’APRP, le démarrage du système EAS permet de limiter l’augmentation de pression interne enceinte, pour garantir l’intégrité de la 3e barrière.

3 – L’accident de rupture de tuyauterie vapeur (RTV)

Hypothèses état initial État initial : arrêt à chaud7 (0 % Pn, sous-critique) Toutes grappes insérées, sauf la plus antiréactive boquée hors cœur Cœur en fin de cycle

83

Maximisation de l’effet de refroidissement • Chaleur sensible primaire minimale • Masse d’eau et pression GV maximales : appel d’énergie secondaire majoré

Maximisation de l’effet en réactivité Moindre efficacité de l’AAR, mais surtout, accentuation du déséquilibre radial de puissance

Puissance résiduelle nulle8 pour minorer la puissance cœur

αmod plus fortement négatif, majore l’apport de réactivité

Non prise en compte de l’inertie À appel d’énergie GV donné, thermique des structures majore le gradient dT m dT Tubes propres et non bouchés Échange aux GV plus efficace

Intervention protection & sauvegarde Isolement vapeur différé Une seule file d’IS opérationnelle, IS différé, Cbore du PTR minimale Débit ASG immédiat et majoré vers le GVa

Maximisation de l’effet de refroidissement Durée de vidange des 4 GV majorée

Maximisation de l’effet en réactivité

Limite l’apport de bore par l’IS Le débit ASG vaporisé contribue au refroidissement

La RTV est donc étudiée étudiée avec un aggravant de blocage en position haute de la grappe la plus antiréactive, dans le quart de cœur affecté par le refroidissement (boucle concernée par la brèche). Cette hypothèse est très pénalisante vis-à-vis de la crise d’ébullition et du risque de fusion à cœur du combustible, du fait de la distorsion importante de la distribution du flux qu’elle engendre.

3.2. Description d’un transitoire de Rupture de Tuyauterie Vapeur Les conséquences de l’accident de rupture de tuyauterie vapeur RTV sont fonctions de la taille et de la position de la brèche.

7 En fait, on étudie l’accident en attente à chaud, cœur juste critique et on suppose l’AAR immédiat : le cœur est alors supposé sous-critique de la marge d’antiréactivité. 8 Cette hypothèse est clairement incohérente avec le choix du coeur en fin de cycle ; il s’agit d’une hypothèse de découplage visant à garantir le caractère enveloppe du transitoire étudié.

84

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 3.1. RTV et tuyauteries vapeur. Source : IRSN Rapport Scientifique et Technique 2007.

Le transitoire type, présenté ici, est la RTV guillotine complètement débattue, intérieure enceinte. Cette situation est étudiée en catégorie 4 des situations de fonctionnement, avec les hypothèses pénalisantes présentées précédemment. En particulier, le réacteur est initialement sous-critique de la marge d’antiréactivité requise par les STE. Toutes les grappes, moins une considérée bloquée, sont supposées tombées à l’instant initial du transitoire.

3.2.1. Phase d’actions des automatismes Côté secondaire, la RTV entraîne initialement la vidange et la dépressurisation de tous les GV, via le barillet vapeur. Le débit vapeur dans chacune des lignes VVP est cependant limité par la section de passage minimale en sortie de chaque GV, appelé limiteur de débit (diamètre équivalent de l’ordre de 40 cm). Le débit critique (sonique) à travers ce limiteur est calculé en condition de vapeur sèche. Sur signal représentatif « RTV » (basse pression sur ligne vapeur9), les ordres d’IS et d’isolement vapeur sont émis. Suite à l’isolement vapeur, seul le GV affecté continue à se vider à la brèche, jusqu’à son assèchement complet. À partir de cet instant, le transitoire deviendra dissymétrique pour les 4 boucles, mais le « coup de froid » sera divisé d’un facteur 4. 9 Voire très basse température branche froide, pour les brèches de taille plus faible.

3 – L’accident de rupture de tuyauterie vapeur (RTV)

85

La dépressurisation entraîne une baisse de la température du secondaire. La conséquence est l’accroissement de l’écart de température primaire-secondaire et donc une augmentation de la puissance extraite vers le secondaire et donc un gradient de refroidissement du fluide primaire de toutes les boucles (de l’ordre de –1 ◦ C/s). On observe alors, comme effets induits, côté primaire : • un effet de contraction du fluide primaire, à l’origine d’une baisse de niveau pressuriseur et d’une dépressurisation primaire ; • mais surtout, au niveau neutronique, un apport de réactivité considérable par effet modérateur (et Doppler, dans une moindre mesure), de plus de 50 pcm/s (voir problème de fin de chapitre). Le cœur étant considéré initialement sous-critique, on observe la réduction de l’écart à la, sous-criticité puis, en trente secondes environ, le retour en criticité, la prompt-criticité et l’excursion de puissance. Le pic de réactivité est cependant limité, quasi-immédiatement, par l’effet Doppler (échauffement combustible). Dès l’isolement vapeur obtenu, le cœur est en situation dissymétrique, un quart de cœur étant surrefroidi. La grappe bloquée étant positionnée, de façon conservative, dans ce quart de cœur, les conditions locales (pic de puissance et faible pression locale) sont très pénalisantes vis-à-vis de la crise d’ébullition. 1er équilibre dynamique (vidange du GVa) : Sous l’effet des contre-réactions, le cœur redevient juste critique et la puissance nucléaire du cœur « s’ajuste » sur la puissance appelée au secondaire10 , mettant fin au refroidissement. On observe alors un palier de puissance, associé à ce premier équilibre dynamique. C’est durant cette phase que le RFTC devient minimal, sous la grappe bloquée. À noter que la pression primaire se stabilise au niveau de la pression à débit nul des pompes ISMP. Aussi, sur le 1300 MWe, le débit RIS reste très faible : l’arrivée du bore est tardive et limitée. Le système RIS contribue donc peu au bilan de réactivité. Le cœur reste critique et la puissance cœur élevée11. 2e équilibre dynamique (vaporisation ASG) : Une fois le GVa totalement vidangé, la puissance appelée au secondaire se limite à l’échauffement et la vaporisation du débit ASG sur le GVa12 . Aussi, transitoirement, à l’instant de la vidange du GVa, la puissance produite par le cœur va excéder cette nouvelle puissance secondaire appelée. On observe alors un léger échauffement primaire, permettant au cœur de passer sous-critique. 10 À la puissance des pompes et la puissance liée au réchauffage de l’IS près. 11 Selon les hypothèses d’études, une valeur de pression primaire d’équilibre moindre peut conduire à un débit

d’IS significatif : l’effet d’injection de bore permet alors de baisser la puissance du cœur de quelques % Pn. 12 S’y ajoute la puissance nécessaire au chauffage de l’ASG des GV sains. Notons que les transferts inverses des GVs sains ne sont pas pris en compte.

86

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Le cœur se stabilise alors juste critique au nouveau palier de puissance, correspondant au nouvel équilibre dynamique. La pression primaire est surtout influencée par l’évolution de la température moyenne primaire (effets des variations du niveau pressuriseur par contraction/dilatation du réfrigérant). Au nouvel équilibre, elle se stabilise à une valeur excédant la pression à débit nul des pompes ISMP, qui, de fait, ne débitent plus. On le voit, dans le cadre des études conservatives, l’action des automatismes de protection et de sauvegarde ne permet pas d’annuler la puissance cœur, d’où la nécessité d’une action de conduite pour ramener le réacteur en état sûr (annulation de la puissance, puis passage en arrêt normal sur RRA).

3.2.2. Chronologie du transitoire type : phase court-terme 0s 5s 10 s 30 s 100 s 280 s 300 s > 500 s

RTV guillotine, intérieur enceinte Demande d’IS et d’isolement vapeur (basse pression vapeur) Isolement vapeur effectif : vidange limitée au seul GVa Retour en criticité, pic de réactivité (Doppler) Premier palier de puissance cœur liée à la vidange du GVa (≈ 20 % Pn13 ) légèrement modifié par l’effet limité du RIS) Assèchement du GVa Deuxième palier de puissance cœur, lié essentiellement à la vaporisation ASG (≈ 5 % Pn) Action opérateur

La figure 3.2. résume le transitoire décrit.

3.2.3. Actions de conduite requises L’opérateur doit diagnostiquer l’accident et identifier le GV affecté, à partir de l’écart de pression entre GVs, observé, après isolement vapeur, caractéristique d’une « RTV ». L’opérateur secondaire confirme alors les automatismes de protection et sauvegarde. Une fois le GVa asséché, l’action de conduite stratégique, pour mettre fin à l’accident, consiste à arrêter l’ASG du GVa, supprimant ainsi la dernière cause d’appel d’énergie secondaire. L’échauffement primaire, ainsi induit, assure définitivement la sous-criticité du cœur et l’annulation de la puissance cœur. En complément, si nécessaire, l’opérateur primaire engage une borication manuelle pour garantir la sous-criticité. Comme on le verra, le rôle de la FBA est d’anticiper la borication manuelle. Cette fonction n’étant pas classée de sûreté, elle n’est pas considérée ici, mais son apport est étudié au titre des études de sensibilité au 3.3. L’installation est ensuite conduite vers l’arrêt normal sur RRA, en configuration (N-1) GV (sur ASG/GCT-a). 13 Valeur fonction des hypothèses d’études retenues.

3 – L’accident de rupture de tuyauterie vapeur (RTV)

87

Figure 3.2. Évolution des paramètres clés chaudière pour une RTV. Source : « Accidents de réactivité », Transfert des connaissances REP – EDF.

3.2.4. Conséquences pour le cœur Cet accident caractérise la dimension systémique du fonctionnement d’un REP : • il met en évidence l’interaction dynamique entre les différentes sous-parties de la chaudière : un accident sur des tuyauteries secondaires, conduit à un coup de froid pour le circuit primaire, à l’origine d’un apport massif de réactivité dans le cœur ;

88

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 3.3. Couplage thermohydraulique / neutronique des codes de calculs (ex. de la chaîne HEMERA). Source : IRSN RST2007.

• la physique de ce transitoire est donc régie par le couplage de la neutronique et de la thermohydraulique. Aussi, comme le montre la figure 3.3., l’accident est étudié avec le couplage des codes qualifiés suivants : • un code de neutronique 3D ; • un code de thermohydraulique cœur 3D et un code thermohydraulique système, modélisant les circuits primaire, secondaire et les systèmes fluides clés. Ces codes permettent, à partir des paramètres thermohydrauliques cœur (pression, débit, température, concentration en bore) et des distributions radiale et axiale de puissance, de calculer le RFTC minimal. Cet accident se traduit, en effet, par une forte dissymétrie axiale, mais surtout radiale, sous l’effet du refroidissement localisé dans le quart de cœur associé à la boucle concernée par l’évènement « RTV » et à l’aggravant de grappe bloquée, localisée dans cette zone (figure 3.4.) Le risque de DNB local est maximal : • lors du palier de puissance cœur, durant la phase de vidange du GVa (premier équilibre dynamique) ; • sous la grappe bloquée, du fait du pic de puissance locale (3 à 4 fois la puissance nominale), alors que la pression primaire est basse.

3 – L’accident de rupture de tuyauterie vapeur (RTV)

89

Figure 3.4. RTV : surrefroidissement local et pic de puissance associé, sous la grappe bloquée. Source : AREVA et IRSN RST2007.

Dans tous les cas, les études montrent que, compte tenu : • des dispositions de conception prises : mesures de prévention (ex. : limiteurs de débit) et moyens de protection et de sauvegarde (essentiellement l’isolement vapeur) ; • de l’application des STE et des procédures de conduite (essentiellement l’isolement ASG du GVa) ; les critères de sûreté sont respectés, assurant l’intégrité de la première barrière et du combustible et garantissant ainsi le respect des conséquences radiologiques admissibles. En conclusion, pour cet accident étudié avec des hypothèses conservatives, l’atteinte possible (fugitive) de la prompt-criticité est sans impact sur le maintien de l’intégrité des crayons combustibles et leur gainage. Cependant, le réacteur reste en puissance, jusqu’à l’action nécessaire des opérateurs de conduite.

3.3. Étude de sensibilité aux principaux paramètres Sur la base du transitoire de RTV guillotine décrit, on étudiera ici l’influence des paramètres clés suivants : • la localisation et la taille de brèche, avec le cas particulier de l’ouverture intempestive d’une soupape de sûreté secondaire ; • l’état initial de la tranche ; • la prise en compte de la Fonction de Borication Automatique ;

90

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• la défaillance partielle ou totale de l’isolement vapeur ; • le type de chaudière, en présentant les principales différences du transitoire 900 MWe, par rapport au 1300 MWe.

3.3.1. Localisation de la brèche Une rupture de tuyauterie vapeur peut se produire (voir figure 3.1.) : 1. En interne enceinte, entre le GV et l’enceinte : il s’agit du cas de référence étudié au 3.2. 2. Extérieur enceinte, entre enceinte et butées, tronçon portant les vannes d’isolement. 3. Extérieur enceinte, en aval des vannes d’isolement, comme par exemple au niveau du barillet vapeur. Le cas 2 n’est généralement pas considéré, du fait des mesures constructives prises pour renforcer ces tronçons (tronçons « protégés » appelés encore « super pipe »). Le cas 3 conduit à l’isolement total de la brèche dès la fermeture des vannes d’isolement vapeur, mettant fin à l’accident au bout de 10 s.

3.3.2. Effet de la taille de la brèche secondaire La taille de brèche a, avant tout, un effet important sur la puissance appelée au secondaire, à l’origine du refroidissement. Aussi, le premier palier de puissance observé (avant vidange du GVa) correspond, avec les hypothèses retenues, à 20 % Pn, pour une RTV guillotine et 8 % Pn pour une ouverture intempestive de soupape secondaire. Selon la taille de brèche, le signal sollicitant l’IS peut différer, mais l’IS sera demandé. Si pour les grosses brèches, l’ISMP débite de façon limité, dans le cas des plus petites brèches, la dépressurisation primaire est insuffisante pour permettre à l’ISMP de débiter. Pour toutes ces situations, seul l’arrêt de l’ASG du GV affecté par l’opérateur met fin à l’accident.

3.3.3. État initial de la tranche L’état initial considéré pour l’étude de référence, à puissance nulle, correspond au cas le plus pénalisant. Pour les états en puissance, par exemple 100 % Pn, on observe un effet de refroidissement moindre, pour les raisons suivantes : • la pression dans les GVs est moindre, compte tenu du programme de température Tm-Tv ; • la masse d’eau dans les GVs est également moindre, compte tenu de l’accroissement du taux de vide dans le faisceau tubulaire avec la puissance produite14 , ces deux 14 À noter que le programme de consigne de niveau GV est optimisé pour réduire la masse d’eau à faible charge (voir annexe A0.1.2.).

3 – L’accident de rupture de tuyauterie vapeur (RTV)

91

premières caractéristiques se combinent pour minimiser l’appel d’énergie secondaire ; • l’énergie stockée dans le combustible et le circuit primaire est, par contre, maximale. Par ailleurs, l’augmentation de la puissance nucléaire du cœur, induite par le refroidissement primaire, est immédiatement limitée par les contre-réactions thermiques. Les protections interviennent ensuite : l’isolement vapeur et la chute des barres d’absorbants (sauf la grappe la plus antiréactive supposée bloquée hors du cœur). L’AAR permet de rendre le cœur rapidement sous-critique, mais le refroidissement se poursuivant, la marge d’antiréactivité est perdue en quelques minutes, ramenant le cœur juste critique au même niveau de puissance appelée par le secondaire. Enfin, les états d’arrêt normal sur GV sont également moins conservatifs car : • les GV sont progressivement dépressurisés (via leur GCT) au cours de la descente dans le diagramme P-T, pour refroidir le primaire ; • la concentration en bore bien plus forte, conduit à une marge d’antiréactivité initiale beaucoup plus importante.

3.3.4. Effet du démarrage de la Fonction de Borication Automatique La Fonction de Borication Automatique est mise en service sur un seuil d’IS représentatif d’une RTV. Cette fonction utilise le système RCV et se traduit par le lignage du REA bore à l’aspiration des pompes RCV, le démarrage des pompes REA et RCV et l’injection au primaire, par la charge RCV et l’injection aux joints des pompes primaires15 . De fait, cette fonction n’est pas classée de sûreté et constitue seulement une anticipation automatique de l’action de borication que devra réaliser l’opérateur. Les études RTV, menées avec des hypothèses conservatives, montrent que la FBA ne permet pas de rendre le cœur sous critique (voir problème en fin de chapitre) et a peu d’impact sur le RFTC minimal. En situation de blocage d’une soupape GV, l’effet de la borication est plus significatif : à défaut de rendre le cœur sous-critique, la FBA permet de réduire la puissance de façon continue, jusqu’à la phase d’actions des opérateurs. Les études menées avec des hypothèses réalistes montrent cependant l’intérêt de la FBA pour anticiper l’action de conduite de borication.

3.3.5. Défaillance de l’isolement vapeur On a vu l’importance de l’isolement vapeur sur le transitoire RTV, puisqu’il permet, sur un 1300 MWe, de limiter l’appel de puissance au secondaire d’un facteur 4 (limité au seul GV accidenté qui continue de se vidanger). 15 La FBA entraine la demande d’isolement enceinte première phase, d’où l’isolement de la décharge RCV et du retour des joints des pompes ; la ligne de charge n’est bien sûr pas isolée.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

92

Figure 3.5. Lignage de la FBA. Source TdC Accidents de réactivité EDF.

Désormais, le cas de la vidange complète de deux GV, suite à une RTV hors enceinte, avec défaillance de vannes d’isolement vapeur, est étudié, au titre des situations complémentaires16 . Les hypothèses d’études sont alors « réalistes », ce qui conduit, en particulier à ne plus considérer une grappe bloquée hors du cœur, ce qui présente un double bénéfice : • l’antiréactivité apportée par l’AAR est significativement augmentée ; • la déformation radiale du flux est fortement limitée, diminuant le risque de crise d’ébullition locale. Aussi, les calculs montrent que, si pour cette situation complémentaire, le palier de puissance à l’équilibre est prés de deux fois plus élevé, le RFTC minimal est plus favorable que pour la RTV étudiée en quatrième catégorie.

3.3.6. Cas d’une RTV sur un 900 MWe Le transitoire associé à une Rupture de Tuyauterie Vapeur est de conséquence moindre sur un 900 MWe, du fait de la conception différente du système RIS. En effet, un ballon à 21000 ppm de bore permet une borication massive et immédiate du primaire par les pompes ISHP (pression à débit nul supérieure à 155 bar). Ce ballon a été justement placé sur le système RIS, car il est indispensable, sur ce palier, au respect du critère RFTC en cas de RTV. 16 Voir annexe 1 de l’ouvrage.

3 – L’accident de rupture de tuyauterie vapeur (RTV)

93

Contrairement au palier 1300 MWe, c’est l’arrivée du bore du RIS qui permet de limiter la puissance cœur en cas de RTV et d’éviter le retour en criticité en cas de soupape bloquée ouverte. Une autre différence significative est à noter : sur 900 MWe, le signal d’IS conduit au démarrage des seules motopompes ASG, ce qui limite l’appel de puissance secondaire.

Problème 4 : étude systémique d’une RTV Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. On s’intéresse à l’accident de Rupture de Tuyauterie Vapeur type guillotine, intérieur enceinte, en amont des vannes d’isolement, intervenant sur un réacteur de type 1300 MWe. La chronologie simplifiée de l’accident est récapitulée ci-dessous. De façon à vérifier les ordres de grandeur calculés, on pourra se reporter aux courbes de la figure 3.2. L’accident est étudié avec des hypothèses conservatives visant à en maximiser les conséquences. En particulier, l’accident est étudié en arrêt à chaud, pour majorer la masse d’eau et la pression des GVs. • En exploitant le modèle ponctuel, justifier qualitativement le conservatisme des hypothèses complémentaires suivantes : – non prise en compte de l’inertie thermique des structures, – puissance résiduelle nulle, – tubes GVs propres et non bouchés, – débit ASG maximal, – cœur en fin de cycle. • Conclure sur l’incohérence de certaines hypothèses. Phase Délais État initial t = 0 A

B1

B2

C

Secondaire Primaire • Initiateur = RTV guillotine • Cœur initialement sous critique de GVa –1800 pcm De 0 à 20 s • Vidange GV à la brèche • Refroidissement : dégradation de la • Signal protection/ marge de souscriticité. sauvegarde De 20 à 270 s • Isolement vapeur • Retour en criticité • Démarrage ASG • Stabilisation puissance cœur (1er équilibre dynamique) • Démarrage RISMP, d’effet très limité De 270 à 300 s • GVa asséché • Stabilisation puissance cœur (2e équilibre dynamique) • Effet limité de la FBA (si disponible) déplaçant l’équilibre. > 300 s • Actions de conduite • Actions de conduite

94

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

1. Phase A : retour en criticité, avant isolement vapeur L’état initial considéré est l’arrêt à chaud, grappes chutées, pompes primaires en service. La sous-criticité initiale correspond à la marge d’antiréactivité minimale requise, soit –1800 pcm. • Analyser l’écoulement dans les lignes vapeur avant et après l’isolement vapeur. En phase de vidange GV à la brèche, grâce au limiteur de débit en sortie des GV, la puissance appelée au secondaire est limitée. Elle sera prise égale à 720 MW GV qui se vidange. • Calculer alors le gradient de refroidissement avec les hypothèses de l’étude. Pour les données, le transitoire sera considéré comme « rapide » (à vérifier a posteriori). • En déduire le temps tc avant retour en criticité. • Justifier que pour une RTV intervenant à 100 % Pn, l’Arrêt Automatique du Réacteur (AAR) n’est finalement que d’un apport très limité pour la gestion de cet accident. 2. Phase B1 : stabilisation rapide sur un 1er équilibre dynamique correspondant à la phase de vidange du GV accidenté On suppose l’isolement vapeur et la demande de démarrage des systèmes de sauvegarde RIS et ASG concomitants au retour en criticité (= début de la phase B1). • Analyser les conséquences de cette nouvelle situation sur le cœur. • Où placeriez-vous une grappe de contrôle bloquée hors cœur, comme aggravant, pour garantir le conservatisme de l’étude ? Malgré l’isolement vapeur et le démarrage des systèmes de sauvegarde, l’apport de réactivité conduit à passer surcritique. • Quel phénomène physique limite immédiatement l’insertion de réactivité et ramène le cœur juste critique ? • Au pic, la réactivité maximum associée est de 550 pcm. Celle-ci correspond-elle aux conditions de prompt-criticité ? L’IS(MP) compense rapidement le débit de contraction induit par le refroidissement : la pression primaire se stabilise alors, mais à une valeur comprise entre 105 et 110 bar. • Justifier que, dans ces conditions, on soit autorisé à ne pas considérer le RIS pour les bilans d’énergie et de réactivité. • Justifier cette observation : la puissance du cœur s’ajuste sur la puissance appelée au secondaire (aux autres termes de puissance près, du second ordre). On considère qu’une pompe ASG débite vers chaque GV. On supposera que la puissance appelée au GVa, qui se vidange, reste toujours fixée par le limiteur de débit.

3 – L’accident de rupture de tuyauterie vapeur (RTV)

95

• Dans ces conditions, calculer la puissance thermique à laquelle se stabilise le cœur. 3. Phase B2 : fin de la vidange du GVa, stabilisation rapide sur un 2e équilibre dynamique (GVa asséché) Une fois le GVa totalement asséché et dépressurisé, on observe que le cœur passe souscritique avant de redevenir juste critique. • Justifier pourquoi. • La puissance appelée au GVa n’étant plus désormais fixée par le limiteur de débit, calculer alors la nouvelle puissance appelée au secondaire. En déduire la nouvelle puissance thermique cœur, à l’équilibre. On suppose que la Fonction de Borication Automatique démarre (situation non représentée sur la figure 3.2.). Elle injecte du bore (bâche REA bore) à partir du système RCV, au débit maximum. • À l’instant du démarrage de la FBA, calculer l’antiréactivité apportée par la FBA. • Justifier qualitativement que le réacteur se stabilise alors sur un pseudo-équilibre. • Sur la base des bilans de réactivité cœur et d’énergie primaire, en déduire la nouvelle puissance thermique cœur d’équilibre, immédiatement après le démarrage de la FBA. • Qualitativement, préciser comment cet équilibre est déplacé au cours du temps. • Conclure sur l’apport de la FBA pour la gestion de l’accident. 4. Phase C : conduite de l’opérateur L’opérateur joue finalement un rôle prépondérant dans cet accident, car c’est son action qui permettra de ramener le cœur dans un état définitivement sous critique. • Préciser la ou les action(s) stratégique(s) que doit réaliser l’opérateur sur un tel accident et en décrire les conséquences sur le cœur.

7KLVSDJHLQWHQWLRQDOO\OHIWEODQN

4

L’accident de perte de réfrigérant primaire (APRP)

4.1. Présentation générale de l’APRP Un Accident de Perte de Réfrigérant Primaire (APRP) est défini comme la conséquence d’une perte d’intégrité du circuit primaire (deuxième barrière de confinement), généralement liée à la rupture d’une tuyauterie primaire1 . Outre le transitoire thermohydraulique primaire, pouvant conduire au découvrement du cœur, l’accident se traduit également par : • une sollicitation mécanique des structures internes de la cuve, des composants du circuit primaire et des supportages associés ; • des effets mécaniques et thermiques sur l’enceinte de confinement (troisième barrière) ; • des conséquences radiologiques internes, voire externes enceinte. On s’intéressera, dans ce chapitre, au transitoire thermohydraulique chaudière, à ses conséquences en termes de dépressurisation, d’évolution de l’inventaire en eau primaire et d’évacuation de la puissance, enfin à l’impact associé sur la tenue des gaines (première barrière). On étudiera plus particulièrement les effets de taille et de localisation de la brèche, l’influence de l’état initial ou encore du maintien en service ou non des pompes primaires.

4.1.1. Classification selon la taille de brèche Cette classification s’établit sur la base des phénomènes thermohydrauliques qui apparaissent au cours du scénario accidentel et sur la base des caractéristiques des systèmes fluides qui interviennent alors. La classification conventionnelle adoptée est présentée dans le tableau 4.1.

1 Le cas RTGV (petite brèche primaire vers le secondaire) fait l’objet d’un chapitre dédié (chapitre 6). Le cas particulier de brèche en phase vapeur du pressuriseur est abordé dans le chapitre TMI2 (chapitre 7). Enfin la rupture de cuve est un évènement exclu, compte tenu des dispositions de conception et de fabrication prises.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

98

Tableau 4.1. APRP : classification selon la taille de brèche. Brèche Très petite brèche

Petite brèche

Diamètre équivalent D < 0,95 cm

D > 35 cm

Conséquences

Classement situation

De la charge RCV • Perte de réfrigérant (régulation) primaire limitée au temps de réponse de la régulation RCV • Pas de sollicitation protection / sauvegarde

0,95 < D < 2,5 cm De l’ISMP

Brèche intermédiaire 2,5 < D < 35 cm

Grosse brèche

Couvert par l’injection

De l’ISMP et des accumulateurs (voire de l’ISBP)

• IS : l’ISMP compense 3e catégorie le débit brèche • Stabilisation P(1) > P(2) , maintien sous-saturation • Pas de dénoyage du cœur • Passage du fluide en diphasique • IS : ISMP puis accumulateurs • Stabilisation P(1) < P(2) • Dénoyage partiel et transitoire du cœur

4e catégorie

Des accumulateurs • Transitoire « rapide », 4e catégorie et de l’ISBP émulsion liquide-vapeur • IS : accumulateurs et ISBP • Stabilisation P(1) ≈ PBR • Dénoyage total du cœur, avant renoyage

Toutes les brèches primaires se traduisent par une vidange et une dépressurisation primaire. Du point de vue du transitoire de pression, suite au démarrage du système RIS, on distingue les cas suivants (figure 4.1.) : • les petites brèches voient la pression primaire rapidement se stabiliser dès lors que le bilan « masse » est équilibré, c’est à dire lorsque le débit brèche est compensé par l’ISMP (voire la régulation par la charge RCV, dans le cas des très petites brèches) ; • les brèches intermédiaires voient la pression primaire se stabiliser légèrement audessus de la pression secondaire (≈ 84 bar), tant que l’échange de chaleur aux GVs est nécessaire pour équilibrer le bilan « énergie » du primaire ; comme on le verra, dès lors que la brèche est passée en « vapeur », ce terme n’est plus nécessaire et la pression primaire peut passer sous la pression secondaire ; • enfin, les grosses brèches permettent d’évacuer la puissance du cœur et conduisent à une dépressurisation rapide jusqu’aux conditions de pression de l’enceinte.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

P

99

Evolution des pressions suivant la taille de brèche Très petite brèche < 0,95 cm compensée par la charge RCV (régulation)

AAR (~130 b) IS (~120 b)

0,95 < Petite brèche < 2,5 cm, compensée par ISMP (ex. RTGV 1 tube) Ébullition sortie cœur

PCP

PGCT-a ≈ 84 b

PGV

Ebullition tubes GV PCP = PGV + ε bar

Brèche vapeur : évacuation W coeur par IS + brèche

2,5 < Brèche intermédiaire < 35 cm Paccus = 40 b Equilibre bilans masse & énergie PISBP = 20 b

Grosse brèche > 35 cm

PBR

t

Figure 4.1. APRP : évolution de la pression primaire, suivant la taille de brèche.

Dans la suite de ce chapitre, seules les brèches intermédiaires et les grosses brèches seront développées.

4.1.2. Effet de la localisation de la brèche La localisation de la brèche, non connue a priori en situation accidentelle, joue un rôle très important. Elle influence directement la circulation du fluide caloporteur dans le circuit primaire, et donc les inversions de débit dans le cœur, la distribution de la masse d’eau et l’énergie évacuée à la brèche. Les principales localisations retenues dans les études sur le circuit primaire sont : la branche froide, la branche intermédiaire (dite « en U »), la branche chaude, le pressuriseur, et enfin, le fond de cuve. L’état thermohydraulique en amont de la brèche (pression, température ou titre vapeur) est d’une grande importance sur le transitoire, comme vu au 1.3.3.1. : • une évacuation de liquide (faible enthalpie spécifique, forte densité) fait perdre beaucoup de masse primaire, en limitant la vitesse de dépressurisation ; • à l’inverse, une évacuation sous forme vapeur (forte enthalpie spécifique, faible densité) permet de dépressuriser rapidement le circuit, en limitant la perte de réfrigérant. On verra plus loin que les localisations en branche froide (entre pompe et cuve) sont pénalisantes du point de vue des conséquences thermohydrauliques sur le cœur.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

100

4.1.3. Rappels sur les moyens de protection et de sauvegarde Comme pour toute situation accidentelle, l’Arrêt Automatique du Réacteur (AAR) permet d’annuler la puissance neutronique et déclenche la turbine (vapeur alors évacuée vers le système GCT). Les systèmes de sauvegarde sont conçus pour que, quelle que soit la taille et la localisation de la brèche, le cœur soit à nouveau noyé en fin de transitoire et sa géométrie conservée pour permettre l’extraction de la chaleur du cœur. C’est le principal rôle du système RIS, d’injection de sécurité. L’évacuation de la chaleur résiduelle et de la chaleur sensible des structures est alors possible vers les GVs alimentés par le système ASG, d’alimentation en eau de secours. L’enceinte de confinement doit pouvoir tenir à la montée de pression interne consécutive au relâchement de masse et d’énergie en son sein. Le rôle du circuit EAS, d’aspersion enceinte, est de réduire cette pression, en condensant une partie de la vapeur interne au bâtiment réacteur (tout en rabattant une partie des produits de fission gazeux). Enfin, les dispositifs d’isolement de l’enceinte empêchent le transfert de substances radioactives vers l’extérieur. Le tableau 4.2. résume les protections et sauvegardes sollicitées en cas d’accident d’APRP. Tableau 4.2. APRP : signaux automatiques des moyens de protection et sauvegarde. Système AAR Démarrage RIS2 Démarrage ASG Démarrage EAS Isolement enceinte

Signaux de démarrage • Basse pression pressuriseur • Pression élevée dans l’enceinte (max2) • Très basse pression pressuriseur • Pression élevée dans l’enceinte (max2) • Signal d’IS (ARE isolé) • Pression très élevée dans l’enceinte (max4) • Phase 1 : pression élevée dans l’enceinte (signal IS) • Phase 2 : pression très élevée dans l’enceinte (max4)

Ces actions automatiques sont complétées par les actions de conduite suivantes, vis-àvis du système RIS : • la confirmation ou la mise en service manuelle de l’IS ; • le refroidissement primaire par les GVs, pour faciliter sa dépressurisation et permettre ainsi d’augmenter le débit d’injection RIS et réduire, en parallèle, le débit brèche ; • la surveillance du passage automatique en recirculation ; • à long terme, l’injection RIS simultanée branches froides/branches chaudes. 2 Les accumulateurs se déchargent dès la pression primaire inférieure à ≈ 40 bar.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

101

4.1.4. Règles d’études et critères d’acceptation Cet accident conduit à la perte immédiate de la deuxième barrière de confinement et à la possibilité, à terme, de perte de la première (gaines) et troisième barrière (enceinte de confinement). D’un point de vue réglementaire, la démonstration de sûreté repose sur l’approche américaine historique. Il convient de démontrer que, d’une part, le dimensionnement du cœur, de la chaudière, des systèmes de protection et de sauvegarde sollicités, et d’autre part, le respect des Règles Générales d’Exploitation, permettent de limiter les conséquences de l’accident. Historiquement, l’autorité de sûreté américaine, l’US-NRC, a publié en 1974 un texte3 (appendice K du 10 CFR 50) fixant : • 5 critères de sûreté à respecter, portant sur la température maximale de gaine (< 1204 ◦ C), l’oxydation maximale des gaines (< 17 % de l’épaisseur), la production maximale d’hydrogène, la géométrie de refroidissement du cœur et son refroidissement à long terme ; • des modèles relatifs à la modélisation de l’accident, ainsi que des hypothèses associées à ces modèles (ex. : le by-pass de l’eau des accumulateurs, en cas de grosse brèche). Dans le cadre de cette démonstration, les principales hypothèses d’études, visant à majorer les conséquences de l’accident4 , sont les suivantes : • un état initial cœur : – maximisant l’énergie stockée dans le combustible et la puissance résiduelle produite, – considérant une distribution axiale de puissance enveloppe. • un état initial chaudière pénalisant (incertitudes sur les valeurs des paramètres physiques, choisies pénalisantes) ; • une localisation de la brèche en branche froide : – maximisant la perte de masse, en limitant l’évacuation d’énergie à la brèche (voir problème en fin de chapitre), – conduisant à la perte d’un piquage RIS (branche froide). • l’application du critère de défaillance unique, qui entraîne la perte partielle de systèmes palliatifs redondants (ex. : une file RIS sur deux) ou l’arrêt décalé d’un GMPP ; • des caractéristiques des systèmes de sauvegarde minorées ; • si pénalisant, la perte des alimentations électriques externes (induisant l’arrêt des pompes primaires) ; • si action de conduite nécessaire, un délai d’action opérateur forfaitaire majoré. 3 Depuis cette date, le texte a été amendé pour permettre l’utilisation de codes dits réalistes ou « best estimate ». 4 À noter que les études de brèches appartenant aux situations complémentaires, de même que les études

d’optimisation des procédures de conduite, sont réalisées avec des hypothèses réalistes.

102

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

4.2. Brèche intermédiaire Toutes les brèches primaires sont caractérisées par une conséquence immédiate de vidange et de dépressurisation primaire, avec des cinétiques liées à la taille de brèche. Les brèches intermédiaires (diamètre < 35 cm) provoquent des phénomènes sensiblement différents des grosses brèches (diamètre > 35 cm) puisque la source froide (GV) joue un rôle important dans l’évacuation de la chaleur du cœur et que des phénomènes de stratification entre le liquide et la vapeur sont observés, en absence de circulation forcée. On étudie l’accident : • aux conditions nominales de puissance ; • avec une brèche localisée en branche froide ; • en postulant en 4e catégorie le séisme initiateur, ce qui revient à supposer le cumul de la perte des alimentations électriques externes et donc la perte des Groupes Motopompes Primaire (GMPP) (on verra plus loin l’étude de sensibilité sur le conservatisme du maintien ou non des pompes primaires en service). Dans un scénario de brèche intermédiaire, on distingue les phases successives de dépressurisation monophasique, stabilisation en pression, puis nouvelle dépressurisation en diphasique cette fois-ci (après passage de la brèche en vapeur), enfin de stabilisation après injection des accumulateurs.

4.2.1. Phase d’actions des automatismes La phase de vidange et de dépressurisation monophasique Cette phase initiale est caractérisée par un débit critique en liquide sous-saturé à la brèche. Ce débit à la brèche liquide décroît d’une part avec la baisse de pression primaire et d’autre part avec la réduction de la sous-saturation du fluide (cf. 1.3.3.1). La brèche évacue peu d’énergie à ce stade. Le pressuriseur qui tente vainement de maintenir la pression, avec les chaufferettes à pleine puissance, se vide progressivement. De même, la régulation de niveau pressuriseur augmente le débit de charge RCV, mais celui-ci est très insuffisant pour compenser le débit à la brèche. Les signaux d’Arrêt Automatique du Réacteur (AAR) et d’injection de secours (IS) sont provoqués par le système de protection du réacteur, sur respectivement basse (131 bar) et très basse pression primaire (121 bar)5 . Ceux-ci entraînent : • la chute des grappes d’absorbant (arrêt des réactions nucléaires) et le déclenchement turbine ; • le démarrage des systèmes de sauvegarde : RIS et ASG (ARE isolé). 5 Voir au 4.4., le cas particulier d’un état initial sous le permissif P11 (< 139 bar).

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

103

Pour ce transitoire type, on postule, à l’instant de l’AAR, l’arrêt des pompes primaires, conduisant progressivement au passage en circulation naturelle monophasique. La chaleur du primaire (puissance résiduelle cœur et déstockage d’énergie, en phase de refroidissement) est toujours transportée vers les GVs, « source froide » du primaire, alimentés en eau par l’ASG. Suite à la vidange du pressuriseur, du taux de vide apparaît en branche chaude de la boucle rompue. L’ébullition des zones les plus chaudes du primaire ralentit alors la dépressurisation (contre-réaction négative). L’ISMP injecte de l’eau borée dans les branches froides du circuit primaire à un débit cependant insuffisant pour compenser le débit à la brèche. Coté GV, suite au déclenchement de la turbine, la pression croît jusqu’au seuil d’ouverture du GCT-a qui fixe la pression à environ 84 bar6 . La pression du primaire, elle, s’approche progressivement de la pression du secondaire, point fixe. La phase de vidange et palier de pression À ce stade, le primaire, comme le secondaire, sont à saturation. La circulation du fluide primaire se fait alors en circulation naturelle diphasique (voir 1.3.4.). La pression du primaire se stabilise sur un palier. La brèche évacue alors moins de volume que n’en crée le cœur : le surplus de vapeur doit alors être condensé aux GVs, ce qui nécessite un échange de chaleur significatif entre primaire et secondaire : la pression primaire est alors telle que l’écart de température entre les deux circuits assure cet échange (voir détail du bilan énergétique dans le problème de fin de chapitre7). L’eau de secours injectée par le RIS participe d’ailleurs au refroidissement mais ne peut compenser la perte de masse qui se fait toujours en phase liquide à la brèche (débit constant). La perte de masse primaire est alors linéaire en fonction du temps. Cette phase se termine avec l’arrivée de vapeur à la brèche. Le passage de la brèche en vapeur : dépressurisation diphasique puis stabilisation La branche intermédiaire en U constitue un obstacle hydraulique pour la vapeur produite, car il lui faut vaincre la pression gravitaire liée à la profondeur du U, pour progresser jusqu’à la brèche. À terme, la vapeur finit par faire son chemin à travers la branche intermédiaire, en vidant celle-ci partiellement : c’est le passage de la brèche en vapeur. À la brèche désormais « vapeur », bien que le débit massique ait diminué d’un facteur 4, l’énergie évacuée a elle augmenté. Dès cet instant, l’échange aux GV n’est alors plus nécessaire au bilan énergétique (voir problème en fin de chapitre). Ceci entraîne une nouvelle phase dépressurisation du primaire, favorable au bilan de masse (le débit à la brèche diminue dès lors, tandis que le débit d’IS augmente). À noter que l’expulsion du bouchon d’eau de la branche intermédiaire (en U) a entrainé, de façon concomitante, un dénoyage partiel et transitoire du cœur. Dès que le passage de la vapeur est établi, l’eau revient, des branches froides et du collecteur annulaire, dans 6 Ce phénomène au secondaire est explicité au 6.3., dans le chapitre 6 relatif à la RTGV. 7 Le raisonnement porte ici sur les débits volumiques vapeur produits et évacués du primaire ; il est possible,

comme au 1.3.3.2., de raisonner sur les flux de chaleur produits et évacués au primaire. En diphasique, la pression primaire est bien régie par le bilan d’énergie au primaire.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

104

le cœur, rétablissant transitoirement un niveau d’eau satisfaisant dans le cœur. La masse globale du primaire continue cependant à décroître lentement par déficit du débit RIS par rapport au débit brèche (cf. figure 4.2.). Ce premier dénoyage partiel du cœur, d’origine gravitaire, est associé au premier pic de température de gaine. Du fait de la nouvelle phase de dépressurisation primaire, le système d’injection de secours moyenne pression (ISMP) voit son débit augmenter pour atteindre, à terme, un débit proche du débit perdu à la brèche (même en appliquant le critère de défaillance unique). À cet instant prend fin le deuxième dénoyage partiel du cœur et est observé le deuxième pic de température de gaine. Injection par les accumulateurs – remplissage primaire Lorsque les accumulateurs d’eau borée pressurisée à l’azote se vident automatiquement dans le circuit primaire, en deçà de 42 bar, les inventaires en masse de la cuve et du CP s’améliorent rapidement. Le niveau primaire revient alors au niveau des branches chaudes. La phase court-terme du transitoire est alors terminée.

4.2.2. Chronologie et courbes d’un scénario type brèche intermédiaire Les données ci-dessous présentent le scénario caractéristique pour une brèche de diamètre équivalent 10 cm : 0s

Brèche 4” = 10 cm

Phase de dépressurisation monophasique : 20 s AAR (131 bar), arrêt des GMPP, puis signal d’IS (121 bar à t = 30 s) 45 s Ébullition sortie cœur Palier de pression : pression primaire P ≈ pression secondaire Pv 90 s Ébullition partie ascendante tubes GV, palier de pression 360 s Dénoyage branche « en U », dénoyage gravitaire du cœur, 1er pic de température de gaine Phase de dépressurisation diphasique : 400 s Passage brèche en vapeur (à 360 s, x = 0 et à 400 s, x = 1) : P < Pv ; qRIS toujours < qbrèche 800 s qRIS = qbrèche , 2e pic de température de gaine 1100 s Injection accumulateurs, fin de découvrement du cœur Pour ce transitoire, il n’y a pas d’éclatement de gaines. Les températures de gaine sont toujours restées inférieures à 1204 ◦ C.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

Figure 4.2. APRP brèche intermédiaire (10 cm) : évolution des paramètres clés. Source : transparents AREVA.

105

106

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

4.2.3. Actions de conduite requises 4.2.3.1. Conduite des pompes primaires Historiquement, le transitoire de brèche était étudié en postulant la perte des alimentations électriques externes (et donc l’arrêt des pompes primaires qui en suit) à l’instant de l’AAR. Suite à l’accident de TMI2 (découvrement du cœur à l’arrêt de la dernière pompe, par séparation des phases : voir chapitre 7), des études de sensibilité ont été réalisées pour vérifier qu’un arrêt différé de ces pompes ne constituait pas une hypothèse plus pénalisante. Les principales différences du maintien des pompes primaires en service (noté « ∞ »), par rapport au scénario de référence (noté « AAR », arrêt des pompes à l’Arrêt Automatique du Réacteur, décrit au 4.2.1.), sont les suivantes : • la circulation est forcée, le débit donc nominal dans le cœur ; • avant passage de la brèche en diphasique, le mélange liquide-vapeur est homogène dans le primaire, évitant ainsi la séparation des phases observées pour les brèches intermédiaires ; • après le passage de la brèche en diphasique, le débit brèche reste diphasique (sans les pompes, il passe rapidement de tout liquide à tout vapeur). L’étude de ce scénario (voir courbe « ∞ » sur la figure 4.3.) montre qu’il est bien plus favorable que le cas de référence (« AAR ») car il ne conduit pas au découvrement du cœur.

Figure 4.3. APRP, brèche intermédiaire (10 cm) : évolution du niveau du mélange dans le cœur, paramétrée en fonction du délai d’arrêt des GMPP (« ∞ » pour pas d’arrêt) • apparition de vapeur à la brèche, ◦ brèche totalement vapeur.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

107

Pour autant, des études de sensibilité sur le délai d’arrêt différé des pompes primaires entre l’instant d’AAR et l’infini, ont été réalisées car les pompes primaires fonctionnant en diphasique, peuvent être perdues à tout instant. Il s’avère qu’il existe un intervalle de temps critique, entre le passage de brèche en diphasique et la fin du découvrement du cœur, au cours duquel la perte de circulation forcée provoque, par séparation des phases, une augmentation de la profondeur du découvrement du cœur (voir courbes arrêt GMPP de « 450 » s à « 600 » s). Le critère de sûreté de 1204 ◦ C sur la température maximale des gaines pourrait alors être dépassé, si les actions de refroidissement ne sont pas entreprises par l’opérateur. En conclusion, en conduite post-APRP, il est préférable de conserver les pompes primaires en service. Cependant, du fait du risque de les perdre au moment critique, il est judicieux de définir des critères de maintien ou d’arrêt des pompes en fonction du niveau cuve et de la marge à la saturation en sortie cœur.

4.2.3.2. Conduite de l’IS et de l’EAS – phase long terme du transitoire L’injection de sécurité (RIS) et l’aspersion dans l’enceinte (EAS) sont d’abord alimentées par la réserve d’eau prévue à cet effet (bâche PTR). Quand l’eau a atteint le niveau bas de cette bâche (seuil min. 2), ces deux circuits sont connectés aux puisards de l’enceinte de confinement dans lesquels l’eau s’est déversée, et fonctionnent alors en recirculation. L’injection se fait toujours en branches froides. Des échangeurs situés sur le circuit d’aspersion enceinte EAS assurent alors le transfert d’énergie hors de l’enceinte, vers la source froide du site. La durée de cette phase de recirculation, après accident, peut être très longue, des mois, voire des années.… Le passage en recirculation est automatique. Les opérateurs s’assurent du bon basculement sur les puisards. La première intervention directe des opérateurs est nécessitée par le risque de cristallisation du bore dans le cœur en état diphasique. En effet, l’eau du circuit primaire contient du bore sous forme d’acide borique en solution, à une concentration comprise entre 1000 et 10 ppm, selon l’avancement dans le cycle. L’eau des réserves d’eau d’injection de sécurité (bâche PTR) contient quant à elle du bore à une concentration proche de 2500 ppm. Or l’acide borique, relativement peu soluble, n’est pas entraîné par la vapeur produite dans le cœur du réacteur, en cas d’APRP. Il y a donc potentiellement risque de concentration progressive puis de cristallisation du bore, ce qui entraverait la circulation du fluide dans les canaux du cœur8 . La figure 4.4. résume la situation selon la localisation de la brèche et de l’injection RIS. À chaque localisation de brèche, correspond une localisation d’injection adaptée. Or, il n’existe pas pour l’opérateur en salle de commande, de moyen fiable de détection de la localisation d’une brèche primaire. 8 De plus, la dilution de l’eau dans les puisards pourrait conduire à un risque de criticité après injection dans le cœur.

108

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 4.4. APRP : injections branches froides / chaudes, selon la localisation de la brèche.

Il est donc retenu d’injecter simultanément en branches froides et chaudes du circuit primaire. En termes d’exigence fonctionnelle, la distribution de débit entre branches chaudes et froides est réalisée de manière à assurer l’évacuation de la puissance résiduelle du cœur et la non-augmentation de la concentration en bore dans la cuve, quelle que soit la position de la brèche sur le circuit primaire. Le passage en recirculation simultanée (branches froides et branches chaudes) se fait manuellement par l’opérateur, depuis la salle de commande, environ une dizaine d’heures après le début de l’accident. La température de l’eau est celle de l’enceinte (au maximum 70 ◦ C, grâce au refroidissement de l’enceinte par le circuit EAS). À noter enfin, pour ce qui concerne la gestion long terme de l’accident d’APRP, que le risque de défaillance à long terme du RIS ou de l’EAS est prévu et est géré par l’application de procédures dédiées.

4.3. La grosse brèche On considère ici la rupture brutale d’une tuyauterie primaire située en branche froide, doublement débattue (diamètre > 35 cm).

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

109

Comme au 4.2., l’accident est étudié aux conditions nominales et en postulant la perte des alimentations électriques externes à l’AAR. Le transitoire peut être découpé en plusieurs phases qui font intervenir des phénomènes physiques différents : la décompression, le remplissage puis le renoyage du cœur et remouillage des crayons.

4.3.1. Phase d’actions des automatismes La phase de dépressurisation Immédiatement après l’ouverture de la brèche, la pression du primaire tombe à la pression de saturation du fluide occupant les parties chaudes du circuit. Un taux de vide apparaît dans le cœur, entraînant une diminution importante de la densité du modérateur, conduisant à l’étouffement de la réaction en chaine, par effet de vide. La puissance est alors réduite à la puissance résiduelle. Mais l’énergie stockée dans le combustible, compte tenu des conditions initiales de fonctionnement, est considérable. Les signaux d’Arrêt d’Automatique du Réacteur et d’Injection de Sécurité sont provoqués par le système de protection du réacteur sur seuils de basse et très basse pression du pressuriseur. Ceci entraîne la chute des barres, le déclenchement turbine ainsi que le démarrage des systèmes d’injection de secours (RIS) et d’alimentation de secours des GVs (ASG). Après l’arrêt des pompes primaires, la circulation du fluide primaire se ralentit (volant d’inertie des pompes). Pendant cette décompression initiale, le débit critique à la brèche est initialement élevé à cause de la sous-saturation du liquide proche de la brèche. Le fluide qui s’écoule à la brèche provient des deux côtés de la tuyauterie rompue. Il y a donc dans le circuit primaire un point où la vitesse est quasi-nulle : le point de stagnation. La position de ce point évolue au cours du temps et conditionne le refroidissement du cœur. En effet, lorsque ce point est dans le cœur, il n’y a, à son voisinage, que très peu d’échanges thermiques par convection. Aussi, les crayons les plus chauds atteignent rapidement le flux critique. Le phénomène de crise d’ébullition se propage radialement et axialement à l’ensemble du cœur, conduisant au premier pic de température de gaine. On observe ensuite la décharge d’un fluide diphasique à la brèche. La vaporisation tend à déplacer le point de stagnation hors du cœur, vers les branches chaudes. Un débit inverse de vapeur parcourt alors le cœur et, compte tenu de la baisse de puissance, assure un refroidissement partiel des gaines du combustible. C’est la fin du premier pic de température de gaine. Rapidement l’ISMP débite en branches froides, mais n’a que très peu d’influence sur le transitoire. Quand les température et pression primaires tombent au-dessous des valeurs du secondaire (≈ 84 bar), il y a inversion des échanges de chaleur aux GV : le secondaire constitue désormais une source chaude qui pénalise la suite du transitoire. La baisse de pression primaire se poursuit. Vers 40 bar, les accumulateurs, contenant de l’eau borée pressurisée à l’azote, se vident automatiquement dans le circuit primaire, mais l’eau injectée rencontre des difficultés pour pénétrer dans l’espace annulaire de la cuve, à cause du débit inverse en provenance du cœur.

110

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 4.5. APRP grosse brèche : phénomène de bypass de l’eau des accumulateurs. Source : transfert des connaissances APRP EDF, série bleue.

C’est le phénomène de bipasse du cœur : la majeure partie de l’eau injectée est entrainée directement à la brèche par la vapeur produite dans le cœur (figure 4.5.) À la fin de cette phase de dépressurisation primaire, qui dure environ une trentaine de secondes : • la pression primaire est de l’ordre de la pression interne enceinte (≈ 3 bar) ; le débit brèche est alors annulé ; • l’eau d’injection finit par pénétrer dans le fond de cuve (ou plenum inférieur). À ce stade, la plus grande partie du primaire, dont le cœur, est en vapeur, exceptée la partie basse du fond de cuve, le plénum supérieur, et les zones d’injection d’eau. La phase de remplissage du fond de cuve L’eau primaire ayant atteint une masse minimum, la phase de remplissage, qui dure typiquement une vingtaine de secondes, consiste à restaurer rapidement l’inventaire en masse, en remplissant le fond de cuve jusqu’à l’entrée du cœur.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

111

Le débit inverse se réduisant progressivement, suite à la vidange des parties supérieures et en particulier du dôme, l’eau des accumulateurs va commencer à descendre dans l’espace annulaire de la cuve. La descente de cette eau est alors limitée par le déstockage de la chaleur des parois (effet de mur chaud). Pendant tout ce temps, le cœur qui est en vapeur à basse pression, subit une montée de température quasi adiabatique, donc linéaire en fonction du temps. Après le remplissage du fond de cuve, quand le niveau atteint l’entrée du cœur, la phase de renoyage peut commencer. Le renoyage du cœur et le remouillage des crayons Les accumulateurs, qui ont permis de remplir en eau l’espace annulaire et le fond de cuve, finissent par se vidanger complètement. L’ISBP, connecté également aux branches froides, prend alors le relais. Cependant, l’eau qui pénètre le bas du cœur très chaud se vaporise instantanément, ce qui empêche un remplissage direct du cœur. On va progressivement renoyer le cœur, sans toutefois remouiller immédiatement les crayons combustibles, un film de vapeur enveloppant les gaines (caléfaction, voir au 1.1.2.1.) Le débit dans le cœur, quant à lui, reprend le sens normal. Le renoyage du cœur est un phénomène hydraulique gravitaire. Le poids de la colonne d’eau dans l’espace annulaire doit vaincre les pertes de charge de la vapeur et des gouttes d’eau qui traversent le cœur, le plénum supérieur et la partie du circuit primaire jusqu’à la brèche (figure 4.6.) Le niveau de l’émulsion progresse ainsi dans le cœur, jusqu’au renoyage complet. Le remouillage des gaines est quant à lui un phénomène essentiellement thermique. En effet, c’est la conduction axiale, le long des crayons, qui va permettre à la zone de remouillage, ou front de trempe, de se propager du bas vers le haut du cœur. Au niveau de ce front, et sur quelques millimètres, la gaine passe d’une température qui peut atteindre 1000 ◦ C pour les zones les plus chaudes à une température proche de celle de l’eau à saturation sous 2-3 bar, soit 130 ◦ C environ. Au niveau du front de remouillage, un film de vapeur subsiste donc autour des crayons, empêchant le transfert direct de la chaleur entre les gaines et l’eau. Le front de remouillage est donc inférieur au niveau d’eau dans le cœur. La progression du front de remouillage entraîne un fort relâchement d’énergie dans l’eau qui se vaporise entraînant des gouttelettes d’eau. Ce mélange à fort titre de vapeur, provoque une contre pression qui s’oppose partiellement aux forces gravitaires motrices du renoyage. Pendant cette phase, pour la partie du cœur dénoyée, un certain refroidissement est cependant assuré par convection vapeur mais aussi par rayonnement entre les crayons combustibles et les gouttelettes d’eau entraînées par la vapeur. Aussi, la température des gaines croît de moins en moins, puis diminue légèrement, du fait d’une amélioration relative de l’échange de chaleur. C’est ce que l’on nomme la

112

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 4.6. APRP grosse brèche : renoyage et remouillage des gaines.

température de retournement, correspondant à un nouveau « pic » de température de gaine, qui intervient un peu avant l’arrivée du front de remouillage9 . La phase de renoyage / remouillage dure typiquement 100 s. À la fin de cette phase (t ≈ 150 s), le cœur est totalement noyé et les crayons combustibles bien au contact du réfrigérant à l’état liquide. La puissance résiduelle est alors évacuée, via la brèche, dans l’enceinte. Après passage de l’IS et de l’EAS en recirculation, cette puissance est évacuée de l’enceinte vers la source froide de la tranche (RRI), via les échangeurs EAS. La conduite des systèmes RIS et EAS est conforme à celle décrite précédemment. 9 En réalité, on peut associer ce pic de retournement à deux phénomènes :

• un début de « retournement », en début de renoyage du cœur, lié à l’entrainement de gouttelettes d’eau par la vapeur ; • un « retournement » définitif à l’arrivée du front de remouillage.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

113

4.3.2. Chronologie et courbes d’un scénario type : rupture guillotine en branche froide Les données ci-dessous présentent le scénario caractéristique pour une rupture guillotine en branche froide : Phase de décompression primaire : 0s 1s 7s 15 s 30 s

Grosse brèche, dépressurisation primaire AAR (131 bar), puis signal d’IS (121 bar à t = 5 s) Inversion débit cœur (point de stagnation), pic de température gaine T1 (mi-cœur) Début injection accumulateurs (P(1) ≈ 40 bar), mais eau bypassée Fin de by-pass des accumulateurs, début injection vers le plénum inférieur, P(1) ≈ PBR

Phase de remplissage du plénum inférieur : 35 s

Début injection ISBP

Phase de renoyage cœur : 40 s

Fin remplissage plénum inférieur, début renoyage du cœur, pic de température T2 (mi-cœur) 50 s Fin injection des accumulateurs, collecteur annulaire plein, 150 s Maximum de température T3 (haut du cœur). Sur la figure 4.7. est représentée l’évolution de la température de gaine au cours du temps. T2 et T3 correspondent au pic de retournement, respectivement à mi-cœur et en haut du cœur.

Figure 4.7. APRP grosse brèche : évolution des températures de gaine.

114

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

4.3.3. Le transitoire thermohydraulique pour l’enceinte de confinement La tenue du Bâtiment Réacteur, qui constitue l’ultime barrière de confinement, est fondamentale pour la protection du public et de l’environnement. Sa pression de dimensionnement est de l’ordre de 5 bar. En cas de grosse brèche, le déversement dans l’enceinte de confinement de la totalité de l’eau du circuit primaire et d’une partie importante de l’eau de l’injection de sécurité (dont accumulateurs), sous forme liquide et vapeur à haute énergie, provoque une importante montée de la pression et de la température dans cette enceinte. Ce phénomène se produit d’abord dans le local où se trouve la rupture, chaque branche de chaque boucle étant plus ou moins séparée des autres par les structures internes du bâtiment du réacteur, appelée casemates. Ces locaux sont cependant suffisamment ouverts pour que la vapeur qu’ils contiennent s’échappe rapidement vers l’enceinte elle-même. Dans l’ensemble du volume BR, un premier pic de pression est atteint à la fin de la phase de décompression du circuit primaire. La condensation partielle de la vapeur sur les parois froides du génie civil diminue alors cette pression interne. La production de vapeur lors de la phase de renoyage/remouillage, peut faire remonter la pression et la température jusqu’à la mise en service de l’aspersion dans l’enceinte (EAS). Cette mise en service intervient automatiquement quand la pression dans l’enceinte dépasse 2,6 bar absolus (max. 4). Température et pression dans l’enceinte de confinement baissent alors de manière quasi continue. L’enceinte de confinement subit donc un ou deux pics de pression interne, mais aussi des contraintes mécaniques d’origine thermique qui se développent plus lentement, suivant la progression du front de température à travers l’épaisseur du béton. Enfin, l’enceinte de confinement peut être ultérieurement soumise à la surpression due à l’explosion d’un mélange d’hydrogène et d’oxygène. En effet, outre l’oxygène présent dans l’air de l’enceinte, de l’hydrogène se libère à partir des sources suivantes : • radiolyse de l’eau, due aux rayonnements des produits radioactifs ; • réaction entre le zirconium et l’eau (oxydation des gaines) ; • hydrogène dissout en faible quantité dans l’eau du circuit primaire. Les conséquences d’une explosion hydrogène sur l’enceinte sont développées au chapitre 9, relatif aux « accidents graves ».

4.4. Cas particulier des brèches en état d’arrêt Les résultats des EPS ont montré la contribution significative des brèches primaires en états d’arrêt à la probabilité globale annuelle de fusion du cœur, et ce d’autant plus que l’on ramène le risque à l’heure d’exploitation. Les spécificités de ces états d’arrêt sont en effet les suivantes : • l’inventaire en eau primaire peut être réduit, jusqu’au niveau des boucles (en arrêt à froid pour intervention) ;

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

115

• pression et température primaire sont en deçà des conditions nominales (155 bar, 307 ◦ C) situées dans un domaine limité : le diagramme Pression/Température. Dans ces états, le système RIS, stratégique pour toute situation de brèche, peut être inopérant.

4.4.1. Brèche sous le permissif P11 Pour éviter les intempestifs en exploitation, certains signaux de démarrage des moyens de sauvegarde sont inhibés ; c’est le cas en particulier du démarrage de l’IS par « très basse pression pressuriseur » sous le permissif P11 (139 bar). Le seul signal permettant le démarrage automatique de l’IS est alors « haute pression enceinte max2 ». Tableau 4.3. Synthèse des disponibilités des seuils de démarrage automatique et des moyens d’injection suivant l’état initial. Etat initial10 Pression Signal « Très basse Signal « Haute pression Pzr » pression enceinte max2 » RP 155 bar Oui Oui P < 139 Non Oui bar AN/GV P < 70 Non Oui bar P < 40 bar Non Oui AN/RRA P < 30 bar Non Oui

Pompes ISMP

Accumulateurs

Oui Oui

Oui Oui

Oui

Isolé (SdC)

Oui Non, débrochées

Isolé (local) Isolé

Sous le permissif P11 (139 bar), on doit donc distinguer deux situations de démarrage de l’IS, selon la taille de brèche : • une taille de brèche importante conduit, du fait de la masse et de l’énergie libérées dans l’enceinte, à la sollicitation du seuil d’IS automatique par haute pression enceinte max2 ; sauf défaillance ultérieure, les automatismes restent suffisants pour pallier la situation de brèche primaire ; • une taille de brèche, trop faible, ne le permet pas; c’est alors à l’opérateur de mettre en service manuellement l’IS, sur présence d’alarmes significatives d’une situation de brèche primaire. Dans ce dernier cas, on le comprend, le risque est lié à l’échec éventuel de l’opérateur (diagnostic et/ou réalisation de l’action), dont la probabilité est directement liée au temps disponible pour son action avant découvrement du cœur. De plus, le cas particulier du démarrage manuel de l’IS impose de surveiller le niveau de la bâche PTR, pour procéder manuellement au passage en recirculation. 10 RP = réacteur en puissance, AN = arrêt normal sur GV ou RRA.

116

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

4.4.2. Brèche dans les états sur RRA Par ailleurs, comme l’indique le tableau 4.3., dans les états d’arrêt sur RRA, les cellules des pompes ISMP sont, de plus, débrochées. Dans la même logique, en deçà de 70 bar, les accumulateurs sont isolés. En cas de brèche, RRA connecté, la stratégie de conduite consiste alors : • à isoler la brèche (si sur RRA) ; • à mettre en service l’IS manuellement. En cas d’isolement du RRA, le déséquilibre de puissance provoque un accroissement de la température et de la pression primaire, permettant de rendre opérationnel le GV requis en secours dans ces états. Enfin, on notera que dans certains états sur RRA, le circuit primaire est initialement ouvert (donc dépressurisé). La perte du système RRA s’apparente alors à une situation de brèche primaire, si une fois l’ébullition atteinte, la perte d’eau primaire par vaporisation n’est pas compensée par un appoint. Ce qui justifie que le paragraphe suivant ait sa place dans ce chapitre APRP.

4.4.3. Perte du RRA à la Plage de Travail Basse du RRA Cette situation est historiquement importante, du fait du riche retour d’expérience associé, en France et à l’étranger (ex. : USA), des probabilités de fusion du cœur conditionnelles estimées par les premières Études Probabilistes de Sûreté et des nombreuses dispositions matérielles et organisationnelles prises pour en réduire le risque. Pendant les arrêts de tranche, des opérations de contrôle sur les tubes GV sont nécessaires. Celles-ci sont parfois trop longues pour être effectuées uniquement sur la période où le cœur est déchargé. Aussi l’exploitant a prévu l’accès d’intervenants dans les boites à eau GV côté primaire, en particulier pour la pose des tapes sur les GV. Pour cela, il faut que le niveau d’eau dans le circuit primaire soit suffisamment bas, dans une zone des boucles primaires, appelée Plage de Travail Basse sur RRA (PTB RRA)11 . Dans ce domaine, il existe un risque d’entraînement d’air à l’aspiration du RRA, avec désamorçage des pompes des deux voies par « vortex » (défaillance de mode commun). Le retour d’expérience français a effectivement mis en évidence 6 incidents de perte totale du système RRA par vortex avant 1995, par baisse intempestive du niveau primaire suite à une erreur de manœuvre, une fuite ou un défaut d’appréciation de niveau. Par chance, le niveau de puissance résiduelle était à chaque fois faible, permettant une action palliative avant ébullition12 . Des études conservatives ont été engagées, réalisées avec la puissance résiduelle maximale dans ces états. Elles ont montré, qu’après atteinte de l’ébullition du fluide primaire, 11 D’autres opérations comme le balayage en air du circuit primaire entre évents pressuriseur et cuve peuvent nécessiter de passer dans cette plage de travail. 12 L’ébullition a, par contre, été observée en telle situation sur le parc américain.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

117

Figure 4.8. PTB-RRA : effets associés à l’ébullition primaire selon la configuration d’ouverture.

le découvrement du cœur pouvait être extrêmement rapide, pour certaines configurations critiques d’ouverture du circuit primaire. La figure 4.8. montre les deux configurations extrêmes conduisant à un délai avant découvrement : • d’une heure environ, par évaporation simple, en cas d’ouverture de taille importante en zone « chaude » (ex. : couvercle cuve retirée) ; • à quelques minutes, en présence d’une ouverture primaire localisée uniquement en « zone froide » (ex. : boite à eau froide GV ouverte à l’atmosphère, par un trou d’homme) en cas d’effet piston exercé par la vapeur s’accumulant et pressurisant le plénum supérieur. De nombreuses autres configurations d’ouvertures intermédiaires existaient, toutes autorisées par les Spécifications Techniques d’Exploitation. En effet, cet incident n’ayant pas été pris en compte à la conception, les divers phénomènes physiques, présentés sur la figure 4.8. ou dans le problème de fin de chapitre, n’avaient pas été considérés. Dès identification du risque, des dispositions palliatives immédiates ont été mises en œuvre, pour renforcer les différentes lignes de défense en profondeur : • limitation des passages à la PTB du RRA, phase d’exploitation jugée à risque ; • première ouverture du circuit primaire imposée au niveau du trou d’homme pressuriseur (« zone chaude »)13 , avec délai d’attente avant ouverture, pour limiter le niveau de puissance résiduelle ; • renforcement des moyens de mesure du niveau primaire, de surveillance des pompes du système RRA, d’appoint en eau dans cet état ; 13 Une ouverture côté chaud offre un exutoire à la vapeur et empêche tout effet piston.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

118

niveau RCP < PJC

très bas débit RRA

basse pression à l'aval des pompes RRA

ET

tempo

APPOINT AUTO

alarme SdC + klaxon BR

Figure 4.9. PTB-RRA : logique de démarrage du système d’appoint automatique dédié.

• mise en œuvre d’un automatisme d’appoint au primaire par une pompe IS (aspirant dans PTR), initié sur signaux caractéristiques de la perte des pompes RRA et validé si le niveau primaire est sous le plan joint de cuve (PJC) : figure 4.9.

Ces dispositions matérielles sont complétées par l’amélioration des procédures de conduite post-accidentelle couvrant ces états d’arrêt. En particulier, en cas de défaillance de l’automatisme d’appoint, un appoint manuel est possible via la ligne petite brèche du RIS ou le circuit RCV. Le retour d’expérience depuis 1995 a montré l’efficacité des dispositions de prévention mises en œuvre. En termes de mitigation, le gain apporté par l’automatisme d’appoint a pu être immédiatement valorisé dans les Études Probabilistes de Sûreté (voir problème 6 en fin de chapitre). À noter que d’autres situations de perte du RRA existent, en particulier par perte totale des alimentations électriques (perte des pompes) et/ou de la source froide (perte de l’échangeur). Ces situations sont examinées dans le chapitre suivant.

4.4.4. Conclusion pour les brèches dans les états d’arrêt En conclusion, ces situations de brèches dans les états d’arrêt étaient mal couvertes par la conception initiale, en particulier du fait de l’existence de permissifs inhibant les seuils de déclenchement de l’IS. Elles étaient considérées, à juste titre, comme des situations à dynamique de vidange lente et faible puissance à évacuer. Cependant, le retour d’expérience montre que ces situations ne peuvent être exclues, en particulier dans les états sur RRA, et que les probabilités conditionnelles de fusion du cœur associées sont significatives. Des améliorations matérielles (ex. : appoint automatique), ainsi que des modifications des Règles Générales d’Exploitation (Spécifications Techniques d’Exploitation et procédures de conduite), ont permis de réduire significativement le risque. Pour autant, la sûreté repose bien, pour ces états, sur la qualité du diagnostic et des actions réalisées par les opérateurs.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

119

Problème 5 : étude d’une brèche intermédiaire Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. On s’intéresse dans ce problème à une brèche de 4” (10 cm de diamètre équivalent, soit une section de 80 cm2 ), intervenant aux conditions nominales de puissance sur un réacteur de type 1300 MWe. On pourra se reporter aux courbes de la figure 4.2., pour vérifier les ordres de grandeur calculés. 1. Conditions initiales La figure 4.10. fournit le débit critique à la brèche (/cm2 de section), en fonction des conditions amont : niveau de pression primaire et enthalpie (ou température) du fluide primaire. • Pour différentes positions de la brèche sur le circuit primaire, fournir le débit brèche massique et volumique initial par cm2 de section de brèche. • Justifier la position de brèche la plus pénalisante, du point de vue de la perte de masse à la brèche. • Justifier l’évolution du débit massique à la brèche à l’instant t = 0+, immédiatement après l’évènement initiateur APRP. 2. Passage des zones chaudes en diphasique Les pompes primaires ont été arrêtées à l’instant de l’AAR. Après passage du fluide en diphasique, justifier qualitativement que la pression primaire se stabilise entre la pression de saturation des zones chaudes et la pression du secondaire. Vous identifierez précisement la contre-réaction stabilisatrice mise en jeu en raisonnant sur le bilan d’énergie. 3. Passage de la brèche en diphasique On se place à l’instant t = 400 s du scénario type « brèche intermédiaire », au moment du passage de la brèche en diphasique. On considère d’une part la pression primaire tout juste supérieure à la pression secondaire fixée par le GCTa (≈ 84 bar), soit ≈ 85 bar et, d’autre part le débit d’une ligne d’IS perdue à la brèche. • Bilan de masse : vérifier que le débit du RIS n’est, dans ces conditions, pas suffisant pour compenser le débit brèche, quel que soit l’état physique du fluide à la brèche. • Bilan d’énergie : – Évaluer les divers termes de puissance, contribuant à ce bilan, avant (titre vapeur x = 0) et après passage vapeur à la brèche (x = 1).

120

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 4.10. APRP : abaque fournissant le débit à la brèche selon la taille et les caractéristiques du fluide amont.

NB : pour le premier cas, on considèrera que le volume perdu à la brèche est compensé par un volume équivalent vaporisé dans le cœur. – Justifier alors que le passage en vapeur à la brèche est la condition permettant de faire décroitre la pression primaire sous la pression secondaire. • Commenter alors la conséquence de cet évènement sur l’évolution du bilan massique primaire pour la suite du transitoire. • Justifier que cet évènement est cependant associé à un premier pic de température de gaine.

Problème 6 : études probabilistes de la perte du RRA à la PTB RRA Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage.

´ erant ´ 4 – L’accident de perte de refrig primaire (APRP)

121

Dans les années 1990, aux conditions d’arrêt à froid pour intervention (1 bar, 60 ◦ C, circuit primaire ouvert sur l’enceinte), on avait enregistré, sur le parc français, 6 interruptions du refroidissement par RRA, sur 600 années·réacteur de fonctionnement. L’évènement initiateur est, à chaque fois, l’apparition d’un vortex à l’aspiration des pompes RRA, lorsque le niveau d’eau primaire est mal contrôlé, alors qu’il se situe dans la Plage de Travail Basse du RRA, dite PTB du RRA. Cet état permet l’ouverture des trous d’homme des boites à eau GV, pour poser les tapes GVs, puis démarrer les opérations de contrôle des tubes GVs. Le circuit primaire est alors dit « ouvert », non pressurisable. Suite à la convergence du cœur, il faut un délai minimum de 1,5 jour pour descendre dans le diagramme P/T et atteindre cet état. Partie A : étude de la situation, avant identification du risque A1. La perte totale du refroidissement conduit rapidement à la vaporisation de l’eau dans le cœur. On cherche à évaluer le délai avant début de découvrement du cœur associé à cette situation. On considère trois configurations d’ouverture du circuit primaire : • cas 1 : trou d’homme pressuriseur seul ouvert ; • cas 2 : trou d’homme pressuriseur et boite à eau GV côté branche chaude ouverts ; • cas 3 : trou d’homme pressuriseur et boite à eau GV côté branche froide ouverts. Des calculs Cathare ont fourni les ratios masse d’eau liquide entraînée à la « brèche »/ masse vapeur produite (la masse de liquide entraînée est régie par la vitesse de la vapeur produite dans le cœur). Ratio masse liquide/ masse vapeur Cas 1 Cas 2 Cas 3

Eau liquide stockée au pressuriseur 1,4 -

Eau liquide évacuée aux ouvertures 0,4 2,8 1

• En déduire, pour les 3 configurations, les délais avant début de découvrement du cœur dans cette situation. On pourra négliger l’inertie thermique des structures et on suppose que le fluide primaire reste toujours homogène. • Quelle est la configuration d’ouverture la plus critique ? Données spécifiques à l’état PTB-RRA (1300 MWe) : masse d’eau primaire totale, niveau à la PTB du RRA : 115 t. A2. Dans cet état standard, le système RIS ne peut démarrer automatiquement (sous permissifs P11 et P12).

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

122

• Indiquer quelle action humaine doit être entreprise pour éviter le découvrement du cœur, et la probabilité de son échec pour la configuration la plus critique. • En déduire la probabilité annuelle de fusion du cœur associée à cet évènement initiateur, toujours pour la configuration la plus critique. Conclusion. On assimilera, par conservatisme, la fusion du cœur au début de découvrement du cœur. Données de fiabilité humaine : probabilité d’échec du diagnostic + action opérateur (situations de difficulté moyenne). Délai pour action (min) Probabilité d’échec

0 1

10 1

20 10−1

30 10−2

40 5·10−3

50 2·10−3

≥ 60 2·10−3

Partie B : étude de la situation après prise en compte de ce risque La prise en compte de ce risque sur le parc a conduit à des contre-mesures immédiates : 1. limitation des passages à la PTB du RRA ; 2. renforcement des mesures de niveau dans les boucles primaires, avec alerte, et système de détection de vortex, avec émission d’une alarme « vortex » (entrée en procédure incidentelle) ; 3. système d’appoint automatique en eau, sur signal représentatif d’une perte des pompes RRA (et entrée en procédure accidentelle). • Justifier que ces choix répondent au principe de défense en profondeur. B1. À partir des résultats obtenus en A1, on cherche à réduire au maximum la probabilité d’échec de l’opérateur. • En déduire les délais minimum après arrêt du réacteur devant être fixés dans les Spécifications Techniques d’Exploitation (STE) pour l’autorisation d’ouverture préalable du trou d’homme pressuriseur, puis l’autorisation d’ouverture de la première boite à eau GV (considérant le risque possible de confusion entre boîtes à eau GV). B2. On s’intéresse à la nouvelle évaluation de la probabilité annuelle de fusion du cœur associée à cet initiateur, intégrant l’ensemble des contre-mesures matérielles et organisationnelles. • En considérant les évènements comme indépendants, évaluer la nouvelle probabilité annuelle de fusion du cœur associée à cet initiateur et correspondant à la nouvelle situation du parc. Conclure. • Commenter l’apport probabiliste des différentes dispositions. Données de fiabilité matérielle de l’appoint automatique : • taux de défaillance au démarrage : 10−2 /sollicitation ; • taux de défaillance en fonctionnement : λ = 10−5 /h, que l’on pourra négliger.

5

La perte totale des systèmes supports : scénarii de type Fukushima

Le maintien de la fonction de sûreté « évacuation de la puissance » exige le respect continu de trois sous-conditions : • le maintien du cœur sous eau, pour permettre l’extraction de l’énergie produite en son sein ; • le transport de cette énergie vers une source froide ; • la disponibilité d’au moins une source froide, pour en permettre l’évacuation. Celle-ci peut être un ou plusieurs Générateurs de Vapeur ou un échangeur de chaleur refroidi par le système intermédiaire RRI. La figure 5.1. présente l’installation générale et permet de localiser les matériels et circuits associés. L’ensemble de ces moyens dépendent de systèmes supports, comme la source froide ultime ou les alimentations électriques, alimentant en particulier les divers groupes motopompes. La source froide ultime sert à fournir de l’eau pour refroidir les systèmes fluides des installations nucléaires ou conventionnelles. Pour les sites en bord de mer ou fleuves à fort débit, la source froide ultime correspond au milieu naturel : l’eau destinée au refroidissement des circuits de sûreté des réacteurs est prélevée dans la mer ou le fleuve, puis rejetée réchauffée dans ce même milieu (circuit de refroidissement dit « ouvert »). Les ouvrages de prise d’eau et la station de pompage assurent le transit et la filtration de l’eau brute qui, une fois captée et filtrée, sert au refroidissement des circuits via des échangeurs thermiques. Une station de pompage est affectée à chaque tranche. Chaque station de pompage dispose de deux voies redondantes, séparées géographiquement, liées au système SEC. Pour les sites en bord de fleuves à débit insuffisant, le circuit de refroidissement principal est dit « fermé », le circuit conventionnel étant refroidi par l’air via un aéro-réfrigérant, jouant le rôle d’échangeur de chaleur sur le circuit. Les circuits de sûreté restent cependant en circuit ouvert : l’eau est prélevée dans le milieu naturel puis rejetée réchauffée dans ce même milieu. Bien que de nombreuses dispositions soient prises pour éviter la perte totale de la source froide ultime par des agressions naturelles (grands froids, colmatants naturels, marées…)

124

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 5.1. Installation générale : matériels et systèmes requis pour garantir le refroidissement. Source : EDF–ECS.

ou industrielles (hydrocarbures…), un réacteur nucléaire reste dépendant de la mer ou du fleuve voisin, comme source froide ultime. Pour ce qui concerne les alimentations électriques d’un réacteur, celles-ci reposent sur au moins cinq sources électriques différentes (une seule étant nécessaire), de façon à répondre, dans une logique de défense en profondeur, aux exigences de sûreté : • La ligne électrique dite « principale » 400 kV alimente, en situation normale, les tableaux électriques. • Sur défaillance de cette ligne principale, un îlotage est tenté (le groupe turboalternateur est isolé du réseau électrique, mais alimente en autarcie les auxiliaires nucléaires du réacteur). • En cas d’échec de l’îlotage, il est procédé au basculement du réseau électrique externe principal vers le réseau externe auxiliaire 400 kV. Un Arrêt Automatique du Réacteur intervient alors et les pompes primaires ne sont plus alimentées. • En cas de perte totale des alimentations électriques externes, deux groupes électrogènes diesels A et B démarrent automatiquement pour secourir les tableaux électriques nommés LHA et LHB qui alimentent les auxiliaires de sauvegarde secourus. • Enfin, en cas de perte totale des alimentations électriques, sources externes et diesels, l’alimentation électrique d’un tableau LHA ou LHB peut encore être assurée par un

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

125

Groupe d’Ultime Secours, soit la Turbine A Combustion (TAC) du site, soit un diesel d’un réacteur voisin, suivant les paliers. Cette source d’ultime secours doit être connectée manuellement, ce qui exige quelques heures. Aussi, certains systèmes importants pour la sûreté de l’installation disposent d’une alimentation électrique supplémentaire : un turbo-alternateur LLS alimenté par la vapeur produite par les générateurs de vapeur. Ce dernier assure sa mission en quelques secondes, sur manque de tension des tableaux électriques secourus (figure 5.2.) Dans ce chapitre, nous nous intéresserons à la perte totale de ces systèmes supports. Cette situation correspond au scénario de l’accident de Fukushima, dont le site a perdu, du fait du séisme majeur et du tsunami induit, des systèmes indispensables au bon refroidissement des cœurs de réacteurs1. Nous examinerons donc successivement pour un réacteur, puis pour la totalité des réacteurs d’un site : • la perte totale des alimentations électriques, situation la plus problématique ; • la perte totale de la source froide ; • le cumul des deux situations correspondant au scénario de mode commun de l’accident de Fukushima, dont la séquence accidentelle et un début d’analyse sont présentés en annexe A2.

5.1. Perte totale des alimentations électriques 5.1.1. Conséquences de la perte totale des alimentations électriques La perte des alimentations électriques externes d’un réacteur est une situation de fonctionnement étudiée au titre de la démonstration de sûreté dans le domaine de dimensionnement. Elle suppose la perte du réseau électrique principal externe, l’échec de l’îlotage et la perte du réseau auxiliaire externe. Dans cette situation, la tranche est alimentée électriquement par ses sources internes : les deux groupes électrogènes à moteur diesel démarrent alors automatiquement pour secourir les tableaux LHA et LHB qui alimentent les deux voies des auxiliaires de sauvegarde, mais pas les pompes primaires. Sur signal de manque de tension ou représentatif de l’arrêt des groupes motopompes primaires, l’Arrêt Automatique du Réacteur intervient. La puissance thermique cœur décroît rapidement jusqu’au niveau de la puissance résiduelle. Compte tenu de l’arrêt des pompes primaires sur leur volant d’inertie, le débit primaire décroît lentement. Une circulation naturelle (ou thermosiphon) s’établit, permettant le transport de l’énergie résiduelle jusqu’aux générateurs de vapeur. 1 Nous n’aborderons pas ici les conséquences de tels évènements pour le combustible stocké en piscine de désactivation dans le BK.

126

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 5.2. Cascade de pertes des alimentations électriques. Source : Chaudière REP, EDP Sciences.

Du côté secondaire, l’arrêt du réacteur entraîne le déclenchement turbine et la fermeture des vannes d’admission turbine. Les pompes d’eau alimentaire normale des générateurs de vapeur (circuit ARE) étant arrêtées, le système d’alimentation de secours (ASG) démarre. Les motopompes alimentées par les diesels et les turbopompes alimentées par la vapeur sont toutes opérationnelles. La puissance résiduelle est finalement évacuée par les générateurs de vapeur, via l’ouverture des vannes de contournement de la turbine vers l’atmosphère (GCT-a)2 . La situation de perte totale des alimentations électriques correspond au cumul de la situation qui vient d’être décrite avec l’impossibilité de réalimentation des tableaux secourus par les deux groupes électrogènes de secours. Cette nouvelle situation est étudiée, par l’exploitant, au titre des situations de fonctionnement complémentaires du référentiel de sûreté. Elle était anciennement référencée « H3 » par EDF. Côté primaire, le refroidissement de la barrière thermique des pompes primaires est alors perdu, de même que les pompes de charge qui assurent l’injection aux joints des pompes primaires, d’où le risque potentiel de fuite induite au niveau des joints de pompes. Toutes les motopompes alimentées par les tableaux LH sont perdues : c’est le cas en particulier de celles du système d’injection de sécurité (figure 5.3.) 2 Un des avantages des REP, par rapport aux REB de type Fukushima Daichi, est que l’évacuation de la puissance se fait par vaporisation d’une eau secondaire non radioactive car ne traversant pas le cœur.

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

127

Figure 5.3. Moyens perdus en situation « H3 ». Source : transparent Areva.

Cette situation va ainsi imposer la stratégie de conduite à adopter pour garantir l’intégrité du circuit primaire. Côté secondaire, les générateurs de vapeur ne peuvent être désormais alimentés en eau que par les turbopompes alimentaires TPS du système ASG, qui ont démarré automatiquement. Celles-ci sont, en effet, alimentées en énergie par une partie de la vapeur produite par les générateurs de vapeur. Enfin, bien évidement, dans une telle situation de black-out, il convient d’assurer : • à court terme, l’éclairage de la salle de commande et l’accès aux informations stratégiques des capteurs informant sur l’état de la chaudière, pour permettre le diagnostic et l’orientation dans les procédures de conduite ; • à moyen terme, la commande des organes indispensables à la conduite dans cette situation (en particulier, Ies TPS ASG ainsi que Ies vannes de contournement à l’atmosphère), par le secours du contrôle-commande minimal et de l’air nécessaire à la régulation de ces organes. À court terme, la mission d’alimentation électrique minimale est assurée par les batteries d’accumulateurs, dont l’autonomie doit être garantie supérieure à une heure.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

128

Par ailleurs, on l’a vu, chaque tranche est équipée d’un turboalternateur de secours (LLS), alimenté directement par la vapeur des générateurs de vapeur et qui démarre automatiquement sur détection d’un manque de tension sur les tableaux électriques secourus. Outre l’éclairage de la salle de commande et l’alimentation électrique du contrôle commande minimal, ce turboalternateur LLS de secours permet l’alimentation électrique d’une pompe d’injection RCV (dite pompe de test RCV, aspirant de l’eau borée du réservoir PTR) permettant de maintenir : • l’injection aux joints des pompes primaires, pour assurer l’intégrité du primaire ; • l’apport d’eau borée, afin de garantir la marge d’anti-réactivité et un volume d’eau à peu près constant, lors des phases de refroidissement du fluide primaire. Tableau 5.1. Situation « H3 » : analyse des sous-fonctions de sûreté « évacuation de la puissance ». Sous-fonctions de sûreté « évacuation puissance » Extraction (cœur noyé) Transport Source froide

Système

Conséquences « H3 »

RIS GMPP GV/ASG RRA

Perdu → intégrité CP à maintenir Perdu → thermosiphon MPS perdu → TPS Perdu → si possible, maintien sur GVs

Dans les états pour lesquels les générateurs de vapeur ne peuvent être utilisés (états d’arrêt, primaire non pressurisable), le turboalternateur LLS n’est pas disponible. La Turbine à Combustion (TAC) du site ou le diesel d’une autre tranche constituent alors le dernier recours. Pour ces états, une motopompe thermique est disponible pour l’injection d’eau au primaire, afin de maintenir le cœur noyé.

5.1.2. Stratégies de conduite du réacteur pour divers états initiaux Le scénario et la conduite diffèrent selon l’état initial de la tranche. Cas primaire fermé, circuit de refroidissement à l’arrêt (RRA) non connecté La conduite repose sur un certain nombre d’actions stratégiques, dans l’attente d’un recouvrement éventuel des alimentations électriques : • L’injection aux joints n’étant plus nécessaire en deçà d’une température de 220 ◦ C et d’une pression primaire de 45 bar, la stratégie de conduite demande un repli par dépressurisation et refroidissement primaire, pour atteindre ces conditions : – le refroidissement est assuré par les générateurs de vapeur, la circulation naturelle assurant le transport et les turbopompes alimentaires garantissant l’efficacité de la source froide, – la dépressurisation naturelle, du fait des pertes thermiques du pressuriseur, peut être complétée par la baisse contrôlée du niveau pressuriseur (contraction).

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

129

• Il convient d’assurer l’appoint en eau et en bore au primaire pendant le repli vers l’état sûr pour compenser les effets en réactivité (modérateur) et de contraction, liés au refroidissement primaire. Une fois l’état sûr atteint du point de vue de l’intégrité du circuit primaire (< 45 bar, 220 ◦ C), l’autonomie du réacteur est liée au volume des réserves d’eau secondaires, pour alimenter les générateurs de vapeur, à savoir la bâche ASG qui peut être réalimenté gravitairement par les réserves d’eau déminéralisée SER3 . Une fois les réserves d’eau secondaires totalement consommées, les générateurs de vapeur se vident et ne peuvent plus assurer leur fonction. Or, sans diesels, le système de refroidissement à l’arrêt (RRA) ne peut être utilisé comme recours. Sans aucune source froide, le primaire va s’échauffer et alors se pressuriser jusqu’à la pression de tarage des soupapes Sebim des lignes de décharge du pressuriseur, provoquant la vidange progressive du primaire, à ce stade sans moyen efficace d’apport d’eau. Un tel scénario mènerait donc à un découvrement du combustible et une fusion du cœur4 , dès les réserves d’eau secondaires ASG/SER consommées, soit après un délai de plusieurs jours après le début de l’accident (cas d’un état initial à 100 % Pn). Cas primaire fermé, circuit de refroidissement à l’arrêt (RRA) connecté Compte tenu de la puissance résiduelle, la perte du système de refroidissement à l’arrêt (RRA), induite par la perte totale des alimentations électriques, conduit à une montée en température et pression du circuit primaire. Cette dynamique est favorable car elle permet de retrouver l’efficacité des générateurs de vapeur requis par les Spécifications Techniques d’Exploitation. La température primaire se stabilise, lorsque les générateurs de vapeur évacuent la puissance, après amorçage du thermosiphon. Le point de consigne du GCT-a à 10 bar permet de fixer les températures secondaire et primaire à des valeurs proches de 180 ◦ C, température de saturation associée à cette pression. La vapeur produite peut alors alimenter les turbopompes du système d’eau alimentaire de secours (ASG) et le turboalternateur de secours (LLS). La conduite est alors identique au cas précédent. Pendant l’échauffement, la montée en température provoque une expansion du fluide primaire. L’excédent éventuel est évacué par les soupapes du circuit de refroidissement à l’arrêt (RRA) qui écrêtent la pression. Pour l’ensemble des états primaire fermé, la conduite repose donc sur l’opérationnalité des Générateurs de Vapeur. Cas primaire entrouvert5 (sur RRA) Dans ce cas, le principe de conduite consiste à refermer les évents en local et, comme précédemment, laisser le primaire remonter naturellement en pression et en température pour permettre le refroidissement par les générateurs de vapeur requis par les STE. 3 Un seul réservoir SER est considéré, rempli initialement au seuil requis par les Spécifications Techniques d’Exploitation (volume inférieur à celui usuellement rencontré en exploitation). 4 Pour éviter le risque de fusion du cœur en pression (voir chapitre 9), les procédures « accidents graves » préconisent l’ouverture des soupapes Sebim. 5 Le primaire est dit entrouvert si son ouverture est de faible taille en regard de la taille d’un trou d’homme (un évent, par exemple), ce qui permet sa repressurisation.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

130

Primaire fermé

Primaire entrouvert Primaire ouvert

Primaire repressurisabe ?

NON

OUI

Primaire sous pression Source froide = GVs (appoint eau & vaporisation secondaire)

Pression primaire faible Appoint eau & vaporisation primaire

Figure 5.4. Moyens pour assurer l’évacuation de la puissance, suivant l’état d’ouverture du circuit primaire.

Même en cas de non refermeture des évents, leur taille étant réduite, le circuit primaire peut se pressuriser et les générateurs de vapeur redevenir efficaces pour assurer le refroidissement primaire. Par contre, si la pressurisation ne peut être maintenue supérieure ou égale à 10 bar, il sera alors impossible d’alimenter en énergie le turboalternateur LLS, ainsi que les TPS ASG. Le Groupe d’Ultime Secours (la Turbine A Combustion de site ou le diesel d’une autre tranche) sera alors nécessaire pour permettre la mise en service d’une pompe de charge RCV, pour compenser les pertes aux évents et ainsi maintenir l’inventaire en eau primaire. Primaire suffisamment ouvert (sur RRA)6 Dans les états d’arrêt, primaire ouvert, donc non pressurisable, les Générateurs de Vapeur ne sont plus opérationnels (figure 5.4.) La stratégie de conduite se limite à un appoint en eau au primaire pour compenser Ie débit de vaporisation provoqué par la perte du système de refroidissement à l’arrêt (RRA) induite par l’évènement initiateur. Un appoint gravitaire peut être réalisé à partir de la piscine de désactivation du BK7 . Par la suite, l’appoint peut être réalisé par une motopompe thermique (moyen mobile, pré-ligné dans ces états) aspirant dans la bâche PTR. La vapeur produite dans le cœur est relâchée dans l’enceinte, conduisant à sa lente pressurisation8 . 6 Le cas circuit primaire suffisamment ouvert, piscine réacteur pleine, pose peu de problème, du fait de l’inertie thermique de la piscine. 7 Dans ces états, le cœur est complètement chargé en cuve. Par conséquent, la puissance en cuve est largement supérieure à celle en piscine de stockage du combustible usé, ce qui justifie cette conduite « cœur prioritaire ». 8 Si l’enceinte est fermée, le recours au filtre à sable (U5) permet de garantir son intégrité en limitant la montée en pression. Ce mode opératoire est décrit dans une procédure mise en œuvre à l’initiative de l’équipe nationale de crise (voir chapitre 9).

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

131

L’autonomie du réacteur est ici liée au volume d’eau de la bâche PTR. Une fois cette bâche vidangée, on observerait à terme le découvrement du combustible. Il interviendrait cependant plusieurs jours après le début de l’accident, en l’absence de toute disposition complémentaire9 . En conclusion, de façon générale pour ces situations, les durées d’autonomie avant début de découvrement du combustible seraient de plusieurs jours, grâce aux capacités d’eau sur le site pour alimenter le primaire ou le secondaire. L’exploitant affiche donc des durées compatibles avec la restauration d’une source électrique ou avec la mise en service d’un Groupe d’Ultime Secours.

5.1.3. Spécificités de la conduite en circulation naturelle Le dôme de la cuve, volume sous le couvercle cuve, est très faiblement balayé par le fluide primaire en circulation naturelle. En conséquence, il peut se comporter comme une capacité « indépendante » du reste du circuit primaire. Au cours d’un repli, avec baisse de pression et température primaire, le fluide sous le dôme peut rester chaud et atteindre les conditions de saturation, conduisant à la formation d’une bulle de vapeur sous le dôme, alors que le reste du fluide primaire (hors phase liquide du pressuriseur) est largement sous-saturé (figure 5.5.)

Figure 5.5. Évolution des températures dans le primaire, en cas de repli avec dépressurisation trop rapide.

Ce phénomène a été mis en évidence, non pas par les études, mais lors de l’incident de St Lucie (USA, 1980). Au cours de cet incident, la formation puis l’expansion de cette bulle a gêné la conduite pour au moins deux raisons : • la bulle vapeur, se formant, a refoulé un volume équivalent d’eau primaire dans le pressuriseur ; aussi, le comportement du niveau pressuriseur n’était pas celui attendu par les opérateurs ; 9 Par exemple, la réalimentation de la bâche PTR gérée par l’équipe de crise.

132

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• du fait du remplissage du pressuriseur, les opérateurs ont rencontré des difficultés pour dépressuriser le primaire. Pour autant, il n’y a pas eu de problèmes de sûreté directs. En effet, la bulle ne peut pas s’étendre au delà de la génératrice supérieure des boucles et ne peut donc assécher le haut du cœur. Une fois formée, la résorption de la bulle est possible par une repressurisaton du primaire ou par remise en service des pompes primaires, si les alimentations électriques sont retrouvées. Pour éviter d’éventuelles conséquences thermomécaniques sur les structures, on préfère une condensation naturelle par déperditions calorifiques, ce qui peut être très long, mais compatible avec l’autonomie des réserves d’eau secondaire ASG/SER. Par prévention, afin d’éviter d’atteindre les conditions de saturation sous le dôme, certaines règles de conduite sont à respecter pour garantir que le gradient de dépressurisation est suffisamment faible par rapport au gradient de refroidissement de l’eau sous le dôme. • Engager un refroidissement « doux » par les GVs par baisse progressive de la consigne du GCT-a ; par contraction, la baisse du niveau pressuriseur permettra une dépressurisation naturelle. L’objectif est d’atteindre le bord gauche du diagramme P/T (forte sous-saturation en branche chaude). • Réaliser alors le repli en suivant le bord gauche du diagramme P/T. À noter qu’en circulation naturelle, les vitesses de circulation du fluide primaire sont faibles impliquant d’une part un délai significatif entre engagement du refroidissement et arrivée du front froid dans le cœur, d’autre part une réponse tardive des sondes de température primaire.

5.1.4. Cas particulier d’une perte totale des alimentations électriques affectant tout le site Seule la perte totale des alimentations électriques d’une seule tranche du site est étudiée au titre du rapport de sûreté. La situation commune à tout le site est envisagée au titre des évaluations complémentaires de sûreté post-Fukushima, en faisant abstraction de son caractère plausible sur les sites français10 . Primaire fermé, par rapport à la situation décrite au 5.1.2., l’autonomie par tranche est réduite, car le volume SER est partagé entre les différentes tranches du site. La fusion du cœur intervient dans un délai plus réduit que dans la situation où un seul réacteur est affecté, mais reste, selon EDF, encore de l’ordre d’un jour et demi. L’exploitant a également étudié cette situation en postulant l’indisponibilité du turboalternateur LLS. Dans ces conditions, EDF cherche, en s’appuyant sur le retour d’expérience mondial, à démontrer que l’on peut exclure le risque de fuite significative au niveau des joints de pompes primaire, en absence d’appoint possible au primaire. Primaire entrouvert, en cas d’échec de la demande de fermeture des évents, la mise en service d’une pompe de charge RCV, alimentée par le Groupe d’Ultime Secours doit 10 Rappelons qu’à Fukushima Daichi, tous ces moyens ont été perdus pour l’ensemble des réacteurs du site, par une cause commune : le tsunami induit par le séisme majeur.

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

133

Tableau 5.2. Résumé des situations H3 réacteur et H3 site selon l’état primaire. H3 sur un réacteur Cas A. Primaire fermé (/GV)

H3 sur tous les réacteurs du site

• La vapeur GV peut alimenter la TPS ASG et le LLS • SER partagé entre les • LLS assure l’éclairage + min contrôle-commande + pompe différents réacteurs de test RCV pour appoint en eau primaire et injection aux • Délai fusion : réduit à 1,5 jour joints GMPP • Refroidissement : transport = thermosiphon + source froide = GVs (bâche ASG/SER, TPS ASG, GCT-a) • Conduite requise : refroidissement et dépressurisation primaire < 45 bar, 220 ◦ C (arrêt injection aux joints) • Délai fusion = délai autonomie ASG/SER : plusieurs jours

Cas B. Primaire fermé ou entrouvert (/RRA) • Pas de problème d’IJPP (< 30 bar, 180 ◦ C) • GUS = 1 TAC par site • Perte RRA : passage sur GVs, idem cas précédent • Délai fusion pour le réacteur sans • Cas particulier entrouvert : impossibilité d’alimenter TPS TAC : une dizaine d’heures ASG et LLS : GUS nécessaire • Délai fusion : idem cas A ou C Cas C. Primaire ouvert (/RRA)

• Primaire non pressurisable (GVs non opérationnels) • Les STE imposent un seul réacteur • Refroidissement par vaporisation de l’eau primaire dans cet état par site • Appoint en eau primaire depuis BK (gravitaire), puis depuis PTR par motopompe thermique, puis RCV/GUS • Délai fusion = délai autonomie PTR : plusieurs jours

permettre de maintenir l’inventaire en eau pour compenser les pertes aux évents. Or, la turbine à combustion (TAC) est un matériel de site et ne peut alimenter qu’un seul des réacteurs du site11 . Un deuxième réacteur, initialement entrouvert, affecté par l’évènement générique, se verra en situation dégradée, sans TAC disponible. Primaire suffisamment ouvert, les Règles Générales d’Exploitation imposent qu’une seule tranche du site à la fois se trouve en Arrêt pour Intervention avec le circuit primaire en état « suffisamment ouvert ». Le problème du partage des moyens d’appoint en eau ne se pose donc pas. En cas d’indisponibilité de la TAC, le découvrement du cœur interviendrait quelques heures après la vidange de la bâche PTR, soit plusieurs jours après le début de l’accident. Dans ces conditions, afin de renforcer la robustesse de l’installation dans une situation de perte totale des alimentations électriques affectant plusieurs réacteurs, EDF prévoit, entre autres, les dispositions complémentaires suivantes : • un diesel d’ultime secours (DUS) supplémentaire par réacteur, capable d’assurer pendant 48 heures le secours d’un tableau électrique (a minima une motopompe ASG et les missions du LLS, dont l’appoint en eau au primaire par RCV ou RIS) ; • des moyens complémentaires de réalimentation en eau des bâches ASG et PTR par création de forage, bassins… sur site ; • des branchements mécaniques et électriques conçus en « plug and play » pour assurer la réinjection d’eau dans le primaire ou le secondaire en situation d’urgence. Il conviendra, bien évidemment, de démontrer la robustesse de ces moyens vis-à-vis des agressions naturelles, en particulier le séisme et les inondations. 11 Les diesels des autres tranches sont, dans ce cas, indisponibles.

134

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Pour ce qui concerne les dispositions organisationnelles, outre une procédure de conduite spécifique à une perte totale des alimentations électriques pour la totalité du site, l’exploitant EDF met en place, au niveau national, une Force d’Action Rapide Nucléaire (FARN). Celle-ci sera capable, en 24 heures, de projeter sur un site dégradé (ambiance radioactive, dégâts) des équipes compétentes en conduite, maintenance et logistique ; ces équipes pourront épauler ou se substituer à l’équipe locale de conduite, afin de rétablir ou pérenniser le refroidissement des réacteurs et mettre en œuvre les moyens logistiques de gestion de crise. En complément, l’exploitant EDF, l’autorité de sûreté française et son appui technique travaillent à la définition d’un « noyau dur » de dispositions matérielles, complémentaires aux moyens actuels des trois derniers niveaux de la défense en profondeur12 , qualifiées et protégées, pour résister à des agressions de niveaux supérieurs à ceux pris en compte dans les référentiels de sûreté existants. Ces moyens du site sont conçus pour faire face à des situations « étendues » en durée et nombre d’installations du site concernées, dans l‘attente de l’intervention de la FARN.

5.2. Perte totale de la source froide 5.2.1. Conséquences de la perte totale de la source froide La perte de la source froide ultime sur un réacteur nucléaire du site est une situation de fonctionnement dite complémentaire, étudiée au titre de la démonstration de sûreté (rapport de sureté). Elle était anciennement référencée « H1 » par EDF. La perte totale de la source froide rend inutilisable : • le poste d’eau, dont le circuit d’eau brute secourue (SEC), donc, à terme, le circuit de réfrigération intermédiaire (RRI)13 ; • l’échangeur RRA/RRI, donc le circuit de refroidissement à l’arrêt (RRA) ; • l’échangeur EAS/RRI, donc le circuit d’aspersion dans l’enceinte (EAS) et à terme le système d’injection de sécurité RIS (voir paragraphe 1.4.) ; • les pompes primaires sur perte du refroidissement des paliers, du moteur et de la barrière thermique.

5.2.2. Stratégies de conduite du réacteur pour divers états initiaux La perte de la source froide ultime sous-entend donc la perte de la plupart des échangeurs de chaleur des systèmes fluides. 12 Sauvegarde du cœur, gestion « accident grave » pour limiter les rejets en cas de fusion du cœur, enfin gestion

de crise pour limiter les conséquences radiologiques pour les populations, en cas de rejets. 13 La perte du circuit d’eau brute SEC induit un échauffement progressif du circuit de refroidissement intermédiaire RRI. Malgré l’utilisation, dans les procédures, de l’inertie thermique de la réserve d’eau borée du circuit primaire (réservoir PTR) comme source froide de secours, le circuit RRI perd, à terme, en efficacité et finit par ne plus être opérationnel.

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

135

Figure 5.6. Moyens perdus en situation « H1 ». Source : transparent Areva.

Elle est détectée au niveau du système SEC par l’apparition d’alarmes de bas débit qui conduiront à déclarer successivement l’indisponibilité d’une puis des deux voies SEC. Du fait d’une grande similitude de cette situation par rapport à celle de perte totale des alimentations électriques, on pourra se reporter au paragraphe 5.1. pour la bonne compréhension du transitoire. La conduite diffère toujours selon l’état initial de la tranche. Cas primaire fermé, circuit de refroidissement à l’arrêt (RRA) non connecté La perte de l’eau brute secourue (SEC) induit un échauffement progressif du RRI. L’utilisation de l’inertie thermique du réservoir PTR, comme source froide de secours, peut permettre de différer la perte du RRI. Cette action permet à court-terme le maintien en service d’une des pompes primaires, de l’aspersion normale et de la charge-décharge RCV. Le maintien en service d’une pompe de charge permet de conserver l’injection aux joints des pompes primaires, l’aspersion auxiliaire et de contrôler la marge d’antiréactivité et le volume d’eau primaire.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

136

Le réacteur est ainsi conduit jusqu’à son état de repli sur GV, selon une conduite analogue à un arrêt normal de l’installation : • circuit primaire en circulation forcée, voire circulation naturelle après perte des pompes primaires ; • dépressurisation par l’aspersion normale, voire auxiliaire ; • refroidissement par les générateurs de vapeur, alimentés par les motopompes et turbopompes du système d’alimentation de secours ASG. En deçà d’une température primaire inférieure à 220 ◦ C et une pression primaire inférieure à 45 bar, l’injection aux joints n’est alors plus nécessaire. Dans cet état, la situation est alors satisfaisante du point de vue de l’inventaire en eau primaire. Il en est de même pour le refroidissement, sous réserve de réalimentation de la réserve d’eau ASG par SER, pour poursuivre l’évacuation de la puissance résiduelle par les générateurs de vapeur, compte tenu de l’indisponibilité du circuit de refroidissement à l’arrêt (RRA). Après vidange complète des réservoirs ASG et SER, en l’absence de toute intervention extérieure, la fusion du cœur en pression interviendrait plusieurs jours après le début de l’accident (voir au 5.1.3.). Cas primaire fermé, circuit de refroidissement à l’arrêt (RRA) connecté La perte du circuit de refroidissement à l’arrêt (RRA) conduit initialement au réchauffement du primaire. La température se stabilise, lorsque les générateurs de vapeur évacuent la puissance résiduelle. On se ramène donc au cas précédent. Cas primaire entrouvert Comme précédemment, la perte de l’évacuation de la puissance résiduelle par le circuit de refroidissement à l’arrêt (RRA) conduit à la montée en température et pression du primaire jusqu’à ce que l’évacuation de puissance puisse être assurée par les générateurs de vapeur devenus efficaces. Les évents sont refermés dès l’entrée en conduite accidentelle. Si nécessaire, un appoint peut être mis en service pour compenser les pertes par les évents. Pour ce faire, on dispose des pompes RISBP (ligne petite brèche) et des pompes RCV (charge ou injection aux joints), aspirant dans la bâche PTR. En termes de délai disponible avant fusion du combustible, cette situation est couverte par la précédente, primaire fermé. Cas primaire suffisamment ouvert Dans cette situation, le système RRA n’assure plus sa fonction et les générateurs de vapeur sont inefficaces, le primaire n’étant pas pressurisable. La puissance résiduelle est alors dissipée dans l’enceinte par vaporisation.

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

137

La vaporisation est compensée par un appoint au primaire à partir de la bâche PTR et via le circuit RIS (ligne petite brèche) ou le circuit RCV. Comme on le voit, du point de vue des conséquences directes et de la stratégie de conduite à mettre en œuvre, cette situation de perte de la source froide ultime est fonctionnellement proche, tout en étant bien moins problématique, de celle de la perte totale des alimentations électriques étudiée au 5.1.3. En effet, si la source froide repose à l’identique sur les bâches d’eau secondaire (ASG, SER) ou primaire (PTR), selon les états initiaux du réacteur, la tranche dispose, pour cet évènement initiateur, d’un plus grand nombre de moyens de pompage (motopompe ASG côté secondaire, charge RCV et RISBP côté primaire).

5.2.3. Cas particulier de la perte de la source froide sur l’ensemble des tranches du site La perte totale de la source froide d’une tranche du site est étudiée dans le cadre du rapport de sûreté. La situation envisagée ici n’appartient pas au référentiel de sûreté, mais répond au cahier des charges des évaluations complémentaires de sûreté demandées par l’Autorité de Sûreté française suite à l’accident de Fukushima. L’exploitant considère que, pour la plupart des sites, bien que l’autonomie des bâches d’eau par tranche puisse être réduite, celle-ci reste supérieure au délai jugé plausible pour recouvrer la source froide du site. Par ailleurs, les moyens complémentaires envisagées dans le cadre des études postFukushima et décrits au 5.1.4., permettront d’améliorer significativement la robustesse des réacteurs dans une telle situation.

5.3. Cumul de la perte totale de la source froide et des alimentations électriques Le cumul des situations de perte de la source froide ultime et de perte totale des alimentations électriques externes et internes n’appartient pas au référentiel de sûreté des réacteurs en exploitation ou conception. Il est envisagé car il correspond au scénario accidentel vécu par les réacteurs 1 à 3 du site de Fukushima Daichi, indépendamment de considération de plausibilité. En fait, le cumul de la perte totale de la source froide en situation de perte totale des alimentations électriques n’a pas d’impact supplémentaire. En effet, les pompes du circuit de refroidissement intermédiaire (RRI) étant alimentées par les tableaux secourus LH, la situation de perte totale des alimentations électriques induit la perte totale de la source froide. Du point de vue fonctionnel, cette situation est donc identique à celle décrite au paragraphe 5.1.

138

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

5.4. Conclusion Une situation du type Fukushima sur un site français conduirait également à la perte de systèmes supports affectant les moyens de sûreté active, chargés de garantir le refroidissement du cœur des réacteurs du site. En fait, c’est la situation de perte totale des alimentations électriques sur la totalité du site qui est la plus problématique ; cette situation est « enveloppe » de celle de perte de la source froide ultime et équivalente au cumul des deux situations. Les moyens palliatifs sont, outre des sources électriques alimentant le contrôle-commande minimal, des systèmes fluides d’apport d’eau équipés de pompes (ex. : TPS ASG, pompe RCV après secours LLS), à partir de réserves d’eau présentes sur le site (bâches ASG/SER et PTR). Il convient de vérifier que ces moyens sont bien organisés en lignes de défense successives redondantes, diversifiées, correctement dimensionnées et séparées en distance et altimétrie (vis-à-vis du risque d’inondation). Dans l’état actuel du parc français, une seule turbopompe ASG opérationnelle par réacteur est suffisante pour alimenter au moins un des deux générateurs de vapeur, assurant la source froide. Dans ces conditions, le délai avant début de fusion du cœur serait, selon EDF, a minima de l’ordre d’un jour et demi, compte tenu des réserves d’eau aujourd’hui disponibles. Par contre, si sur au moins deux réacteurs du site, aucune TPS ASG n’est disponible ou opérationnelle (cas primaire entrouvert), compte-tenu de l’impossibilité d’une injection d’eau au circuit primaire sur l’un des deux réacteurs, l’entrée en accident avec fusion du cœur serait, pour EDF, d’une dizaine d’heures. La fusion n’intervenant pas en pression, c’est le confinement assuré par le bâtiment réacteur qui apporterait un surcroit d’autonomie avant rejets. Les rejets pourraient alors rester inférieurs à ceux enregistrés à Fukushima, si les dispositions mises en œuvre sur les réacteurs français permettent bien de découpler fusion du cœur et perte du confinement14 . Les évaluations complémentaires de sûreté post-Fukushima, faites sans considération de plausibilité, ont ainsi permis d’identifier la conséquence la plus critique d’une telle situation, à savoir la perte totale des alimentations électriques affectant plusieurs réacteurs du site, et les points qu’il convenait d’améliorer dans une telle hypothèse. Lorsque les dispositions post-Fukushima seront mises en œuvre sur les sites, les installations pourront alors afficher une grande robustesse en regard de ces situations de perte de systèmes supports, d’origine naturelle ou pas. Un dernier axe de progrès, pour faire face à de telles situations, pourrait être alors le développement de dispositifs de sûreté passifs mais cette évolution ne peut être prise en compte qu’à la conception et ne peut donc concerner que les réacteurs nucléaires de nouvelle génération (voir annexe A4).

14 L’ouverture du dispositif de dépressurisation de l’enceinte avec système de filtration des produits radioactifs, n’est pas considérée comme une perte du confinement ; le confinement est, par contre, perdu en cas de déflagration hydrogène ou percement du radier : voir chapitre 9.

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

139

Problème 7 : étude des conditions d’échec de l’îlotage Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. On étudie un réacteur de type 1300 MWe à la pleine puissance (100 % Pn). Sur perte du réseau principal, le réacteur îlote. Aprés transitoire, l’état final recherché correspond à une puissance cœur de 30 % Pn, avec seulement 5 % du débit nominal vapeur produit qui alimente le groupe turboalternateur, le complément étant contourné au condenseur. On cherche à déterminer les causes possibles d’échec de l’ilotage par sollicitation du système de protection : en tel cas, la chute des barres empêche le cœur de fournir, via le groupe turboalternateur, l’énergie nécessaire pour alimenter les auxiliaires nucléaires. Le cœur sera considéré en début de cycle, mais on fera une étude de sensibilité sur l’avancement dans le cycle. A. Évolution de la température primaire • Compte tenu du programme de consigne T m-T v, déterminer les conditions de pression et température primaire et secondaire finales attendues, suite à l’ilotage. En fait, la température primaire passe transitoirement par un pic, du fait d’un déséquilibre énergétique primaire/secondaire. Côté secondaire, on supposera que le débit vapeur à la turbine s’annule linéairement en 1 seconde et que, dès l’admission vapeur fermée, le GCT-c s’ouvre linéairement en 2 secondes, puis reste à sa pleine ouverture durant 30 secondes. Sa capacité est alors de 85 % du débit de vapeur nominal. Côté cœur, on considère l’insertion immédiate du groupe R et des groupes de compensation de puissance à leur vitesse maximale. • Dans ces conditions, évaluer le déséquilibre énergétique vu par le primaire et en déduire l’instant et la valeur du pic de température primaire. • Tracer sur le programme de température Tm-Tv = f (% Pn), l’évolution du point représentatif du transitoire d’ilotage. • Faire une étude de sensibilité en considérant l’avancement dans le cycle du combustible. Données et hypothèses spécifiques au problème : • Effets de puissance (Doppler, modérateur, redistribution de puissance) : −12 pcm · % Pn−1 en début de cycle (le double, en fin de cycle) ; • Vitesse maximale des groupes de compensation de puissance : 60 pas · min−1 , d’efficacité moyenne : −2 pcm · pas−1 ; • Vitesse maximale du groupe R : 72 pas · min−1 , d’efficacité moyenne : −5pcm · pas−1 .

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

140

Compte tenu de la durée du transitoire, on prendra une inertie thermique primaire intermédiaire entre celles sans et avec prise en compte des structures. B. Évolution de la pression, en cas d’aspersion inefficace • Déterminer l’élévation de température conduisant à atteindre le seuil d’AAR par haute pression pressuriseur (165 bar), en cas de système d’aspersion inopérant. On considèrera, pour simplifier, un pur effet piston lié à l’expansion du fluide primaire (évolution isentropique de la vapeur). • Conclure. C. Comportement moyen terme, suite à l’apparition du Xénon On s’intéresse aux 30 premières minutes faisant suite au transitoire d’îlotage, une fois les puissances stabilisées. Dans ces conditions, on peut considérer que le Xénon s’accumule linéairement avec le temps et apporte –10 pcm · min−1 (sur l’intervalle [0 ; 30 min]). • Évaluer le débit de dilution requis pour compenser le Xénon. Faire une étude de sensibilité en considérant l’avancement dans le cycle du combustible. • Compte tenu de la capacité du système RCV, que se passe-t-il, si la dilution ne permet pas de compenser totalement le Xénon ? On distinguera la phase réglante (régulation efficace) de la phase non réglante.

Problème 8 : perte totale des alimentations électriques, thermosiphon et conduite « H3 » Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. Soit un réacteur 1300 MWe à la puissance nominale. Un violent orage conduit à la perte des alimentations électriques externes, avec échec du démarrage des diesels de secours. Le réacteur se trouve donc en situation, dite « H3 » de perte totale des alimentations électriques externes et internes. Les barres ont chuté, ramenant la puissance du cœur au niveau de la puissance résiduelle. Les seules sources électriques qui subsistent sont les batteries d’alimentation du contrôle-commande et de la salle de commande. Le système GCT-a reste réglable depuis la salle de commande. Le turboalternateur LLS n’est pas encore opérationnel. • Quel est le risque associé à cette situation ? A. Modélisation du thermosiphon La situation de perte des alimentations électriques conduit (entre autres) à la perte des pompes primaires et à l’établissement du thermosiphon.

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

141

Soit Hcœur et Hcuve respectivement la hauteur du cœur et la distance entre le bas du cœur et les boucles. Soit Htube et Hbe respectivement la hauteur des tubes GV et la distance entre le bas des tubes et les boucles. On se propose de modéliser le thermosiphon, en distinguant trois zones (figure 5.7.) :

Figure 5.7. Situation « H3 » : modélisation du thermosiphon. Source : transparent Areva.

• sortie cœur et branches chaudes à Tc ; • sortie GV et branches en U et froides à Tf ; • cœur et épingles GVs à

Tc + Tf . 2

On exprimera la variation de la masse volumique à partir du coefficient de dilatation. La température de référence est Tf prise proche des conditions du secondaire, soit 290 ◦ C. On notera respectivement q et Q les débits massique et volumique d’une boucle. • Exprimer le terme moteur du thermosiphon en fonction du niveau de puissance résiduelle • Écrire la condition d’équilibre en exprimant le terme résistant, à savoir la perte de charge du circuit primaire sous la forme :  P = 1/2 · ρ0 · 

K A2



K A2

 · Q2 eq

intégrant la résistance cœur et les 4 résistances boucles en parallèle. eq

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

142

NPzr > 10% 3 Veau > 9 m

Refroidir Tm à NPzr constant

Phase 2

Phase 1

Refroidir Tm à -28°C/h

Tm > 180°C

Test positif Test négatif

Remplir Pzr

Phase 3

Figure 5.8. Logigramme simplifié de conduite H3.

• En déduire l’expression du débit massique boucle q, en fonction de la puissance résiduelle. • Évaluer le débit massique boucle q, le Tcœur et le Pmoteur du thermosiphon, pour une puissance résiduelle à 30 min, 1, 2 et 5 heures après l’Arrêt Automatique du Réacteur. Conclure. Données spécifiques au problème : • Géométrie : Hcœur = 4,2 m, Hcuve = 5,2 m, Htube = 10 m et Hbe = 1 m.       K K K 2 =4 × + = 48m−4 . • 2 2 A eq A coeur A2 boucle B. Passage en état de repli La stratégie de conduite vise à ramener la tranche dans un état de repli (< 45 bar, 220 ◦ C), n’exigeant plus l’injection aux joints des pompes primaires, puis aux conditions de connexion du système RRA (30 bar, 180 ◦ C). On considèrera le logigramme de conduite de la figure 5.8. : • Justifier comment il est possible de refroidir et dépressuriser le primaire dans les conditions de l’accident. • Justifier pourquoi il est préconisé une conduite « bord gauche » du diagramme P/T.

` ´ 5 – La perte totale des systemes supports : scenarii de type Fukushima

143

Figure 5.9. Diagramme P /T. Source : transparent EDF.

Phase 1 : • Évaluer, à masse constante, un ordre de grandeur du débit de contraction du fluide primaire induit par le refroidissement à −28◦ C/h. Quelle sera alors la durée de la phase de conduite 1 (qui prend fin quand le volume d’eau liquide pressuriseur est < 9 m3 ) ? • Fournir la valeur du couple pression/température primaire en fin de phase 1 et la situer sur le diagramme P/T. Conclure. On pourra négliger les pertes thermiques du pressuriseur devant l’effet piston. Phase 2 : Le LLS est à présent disponible. Il permet d’assurer l’injection aux joints et un appoint d’eau borée au primaire, par la pompe de test RCV, avec un débit de +8 m3 /h. En phase 2 de la conduite, l’opérateur doit refroidir le primaire jusqu’à 180 ◦ C, en gardant le niveau pressuriseur constant à ≈ 10 % de la gamme de mesure (pour éviter de sortir de la gamme de mesure). La dépressurisation est alors limitée à l’effet des pertes thermiques du pressuriseur. • Quel doit être le gradient de refroidissement à ajuster pour ce faire ? • Quelle sera alors la durée de la phase 2 ?

7KLVSDJHLQWHQWLRQDOO\OHIWEODQN

6

La Rupture de Tubes de Générateur de Vapeur (RTGV)

6.1. Présentation générale de l’accident La dénomination « Rupture d’un ou plusieurs Tubes de Générateurs de Vapeur (RTGV) » correspond à une fuite du circuit primaire vers le circuit secondaire via le générateur de vapeur affecté par la rupture (noté GVa). Côté primaire, cet accident correspond à une petite brèche primaire1 , couverte par l’intervention des automatismes de protection et de sauvegarde, pour garantir l’intégrité du cœur. Côté secondaire, il correspond à la perte d’intégrité de la deuxième barrière (transfert d’eau contaminée vers le secondaire du GVa), avec possibilité de bipasse de la troisième barrière, en cas de sollicitation du contournement vapeur à l’atmosphère (GCT-a), voire des soupapes de sûreté secondaire (SS GV). Cet accident remet donc en cause le principe général des trois barrières de confinement.

Figure 6.1. RTGV : schéma des lignes vapeur.

1 Diamètre voisin de 2 cm, non compensable par le système RCV.

146

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

L’importance du risque associé dépend finalement du remplissage ou non du GVa en eau. En effet : • les conséquences radiologiques de l’accident sont beaucoup plus importantes en cas de rejets en eau (débit massique majoré d’un facteur 5 environ, activité massique majorée d’un facteur 10 à 100) ; • une sollicitation des soupapes de sûreté GV en eau peut conduire à leur blocage en position ouverte, alors que ces organes ne sont pas isolables. Cette situation induite de cumul RTGV + RTV correspond en fait à une brèche primaire extérieure enceinte (ou V LOCA, voir au 9.2.6.), avec impossibilité de passage en recirculation du RIS (les puisards étant vides) et donc perte potentielle du système d’injection, dont le rôle est de garantir le maintien de la première barrière, en cas de brèche. Pour limiter la première phase de rejets dans l’environnement2 et éviter des rejets inacceptables en cas de fusion du cœur, cet accident exige donc l’intervention rapide de l’opérateur pour stabiliser le niveau du GVa avant son remplissage en eau, puis pour passer, à terme, en arrêt à froid pour intervention sur le GVa. Cette conduite est, on le verra, associée à l’arrêt volontaire de systèmes de sauvegarde. La dernière caractéristique essentielle de cette situation est l’importance du retour d’expérience mondial.

6.2. Retour d’expérience mondial et enseignements tirés en France L’accident de RTGV est, en effet, caractérisé par un retour d’expérience (REX) mondial important, correspondant à une vingtaine de fuites primaire-secondaire observée sur le parc mondial de type Westinghouse. Le tableau de synthèse 6.1. se limite aux évènements les plus significatifs, équivalents à la rupture d’un tube, souvent avec aggravants. Ils sont tous assez anciens du fait de la modification de la prise en compte de la RTGV dans les anneés 90 et des améliorations apportées sur le parc mondial3 . De ce riche retour d’expérience, on en déduit que les tubes des générateurs de vapeur GV constituent bien le point faible de l’enveloppe du circuit primaire, la deuxième barrière. Tous les accidents présentés dans le tableau 6.1. ont conduit au démarrage automatique de l’injection de sécurité (RIS). Les délais observés d’annulation des fuites s’étalent de 30 min à 3 heures, en fonction des difficultés de conduite rencontrées, dues à des cumuls de défaillances et/ou des procédures de conduite inadaptées. Deux cas (Doel2 et Ginna1) ont conduit au remplissage en eau du GV affecté par la rupture, en particulier par arrêt tardif du système RIS. 2 Limités car liés au transfert d’activité du seul fluide primaire. 3 Les évènements les plus récents sont les petites RTGV de Tihange 3 (1996), Indian Point 2 (2000), Ulchin 4

(2002). . ., associées à de trés faibles rejets, en particulier du fait d’une bonne maîtrise de la conduite postaccidentelle.

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

147

Tableau 6.1. RTGV : principales fuites et ruptures de GV sur le parc mondial Westinghouse. Réacteur accidenté Doel 2 (Belgique)

Date 1979

État initial Arrêt à chaud

1979

100 % Pn

Ginna 1 (USA)

1982

100 % Pn

North Anna 1 (USA)

1987

100 % Pn

Mihama 2 (Japon)

1991

100 % Pn

Prairie Island 1 (USA)

Déroulement RTGV de 31 m3 /h AAR et IS auto Remplissage en eau du GVa par arrêt tardif du RIS Annulation fuite en 3 h RTGV de 130 m3 /h AAR et IS auto, Ouverture GCT-a du GVa Arrêt GMPP sur critères NRC Dépressurisation primaire par LDP, rupture disques RDP Fuite annulée en 1 h RTGV de 173 m3 /h AAR et IS auto, Fermeture vanne isolement GCT-a, induisant la sollicitation des SS GV Arrêt GMPP sur critère pression primaire Dépressurisation par LDP Non arrêt du RIS car formation d’une bulle sous dôme et blocage ouvert de la LDP Remplissage en eau GVa, blocage soupapes sûreté GV après sollicitation en eau Fuite annulée en 3 h RTGV de 148 m3 /h, alarme activité VVP, Détection RTGV précoce Début de baisse charge, AAR manu, IS auto Pas d’arrêt GMPP, utilisation aspersion pressuriseur Fuite annulée en 34 min Alarmes activités condenseur et purge Baisse de charge (tardive), AAR et IS auto Échec ouverture LDP Fuite annulée en 58 min

Commentaires • Remplissage en eau GVa mais pas de rejets en eau à l’atmosphère

• Rejets limités • Procédure non adaptée : l’arrêt GMPP rendant inopérante l’aspersion pressuriseur principale

• Cas d’école : situation à absolument éviter • By-pass du confinement : 69 m3 d’eau déversés par les soupapes GV • Activité rejetée limitée car eau primaire propre (2 % des limites autorisées par les STE) • arrêt GMPP aggravant (indisponibilité aspersion principale et bulle sous dôme)

• Rejets insignifiants du fait de la bonne conduite (grâce au REX Ginna) : – Procédures adaptées : non arrêt des GMPP – Entraînement des opérateurs sur simulateur • RTGV intervenue après inspection, 6 mois plus tôt, de tous les tubes GV • Conduite trop tardive • Rejets ≈ 5 % limite annuelle autorisée.

Dans le cas de Ginna1, on note même la décharge d’eau liquide active dans l’environnement par les soupapes de sûreté secondaire, avec pour conséquence le blocage « ouvert » d’une de ces soupapes. Par chance, les conséquences de l’accident sont restées limitées, du fait d’un fluide primaire de très faible activité et de la préservation de la première barrière.

148

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

En France, la démarche de sûreté a évolué pour intégrer cet important retour d’expérience. En effet, celui-ci a conduit à réévaluer en 1992 l’occurrence de l’accident de RTGV 1 tube. Il est désormais estimé à quelques 10−3 réacteur·an, sur le parc de type Westinghouse. Bien que l’on n’ait pas observé de RTGV en France4, dans le cadre de la démarche déterministe, la RTGV 1 tube a été reclassée comme un accident probable (catégorie 3) et non plus comme un accident hypothétique (catégorie 4 des situations de fonctionnement). En conséquence, pour cet évènement initiateur, l’exigence associée est la diminution significative (d’un facteur 30) de la limite de rejets radiologiques jugés acceptables. Ce changement de classement s’est concrètement traduit par des améliorations matérielles et organisationnelles engagées sur le parc français en exploitation, dans les années quatre vingt dix, de façon à renforcer les lignes de défense en profondeur. Ces évolutions concernent en particulier : • La fiabilité des tubes GV, par une surveillance stricte5 . • La baisse des limites autorisées d’activité du fluide primaire en exploitation normale6 . • Le décalage des pressions d’ouverture entre les vannes de décharge du GCT-a et les soupapes de protection, de façon à réduire leur risque de sollicitation en vapeur, à l’instant de l’AAR. • L’amélioration des moyens de détection d’une RTGV par mesure d’activité par trois chaînes KRT complémentaires : sur lignes vapeur (VVP), au condenseur (CVI) et au niveau des purges GV (APG), voir figure 6.2. En puissance, la mesure est basée sur l’activité en 16 N. Celle-ci est continue, rapide, sensible et fiable. Elle permet de discriminer le GV affecté par la rupture. • L’amélioration des procédures de conduite (en particulier des critères d’arrêt du système RIS, de la gestion des situations de cumul RTGV+RTV…). • Une sensibilisation des opérateurs à la conduite RTGV par des mises en situation sur simulateur. On le voit, cette démarche « retour d’expérience » a permis d’une part d’identifier les matériels importants pour la conduite et de renforcer les exigences associées, d’autre part d’améliorer les aspects organisationnels. Pour le palier N4, cette même démarche s’est traduite par un retour sur la conception, en particulier avec le classement de sûreté du GCT-a. Enfin, pour l’EPR, comme précisé en annexe A4, l’objectif d’élimination du risque de rejets radioactifs précoces, par by-pass de l’enceinte, à conduit le concepteur à des choix de conception sur le système RIS. 4 On ne considère pas ici les fuites de tube GV, ne déclenchant pas les actions automatiques type IS (ex. : l’incident de Cruas le 11/02/2006, fuite de 500 l/h, classé au niveau 1 de l’échelle INES). 5 En particulier le contrôle par courant de Foucault et le bouchage préventif des tubes à risque en arrêt de tranche ; à terme, lorsque le taux de tubes bouchés devient important, le remplacement des GV par de nouveaux modèles plus performants (inconel 690). 6 Dans les Spécifications Techniques d’Exploitation, des Règles Générales d’Exploitation.

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

149

Figure 6.2. RTGV : chaînes de détection de l’activité GV. Source : transparent Areva.

6.3. Description d’un transitoire RTGV type Dans cette partie, on se propose de décrire un transitoire « type » RTGV, correspondant à la rupture d’un tube GV intervenant à 100 % Pn, avec des hypothèses conservatives, type « rapport de sûreté » en particulier : • la rupture guillotine du tube, doublement débattue, localisée au raz de la plaque tubulaire, côté froid ; • les systèmes de contournement turbine GCT-c et de purge GV (APG) supposés indisponibles, car non classés de sûreté. Une étude de sensibilité aux principaux paramètres est présentée au 6.4.

6.3.1. Phase d’intervention des automatismes La présence d’une brèche primaire, non compensable par le RCV, induit la vidange et donc la dépressurisation du circuit primaire, conduisant rapidement à la chute des barres par Arrêt Automatique du Réacteur et le démarrage du système RIS (respectivement par basse et très basse pression pressuriseur).

150

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 6.3. RTGV : évolution des pressions primaire et secondaire. Source : EDF TdC RTGV.

L’AAR entraîne directement le déclenchement turbine (DT) et cause indirectement la demande de démarrage de l’IS et de l’ASG sur tous les GV (après isolement de l’ARE). L’ensemble de ces protections est conçu pour limiter les conséquences d’une brèche primaire vers l’enceinte. À noter que l’effet de refroidissement dû à l’AAR conduit à une augmentation de l’activité primaire par relâchement de PF gazeux (en particulier en iodes), initialement piégés dans le jeu pastille gaine. On parle de « lessivage » par l’eau primaire pénétrant le gainage par l’ouverture des micro-défauts.

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

151

Figure 6.4. RTGV : pic de pression secondaire et bouffée de vapeur, lors de l’AAR. Source : EDF TdC RTGV.

Côté secondaire, à l’instant de l’AAR, il se crée une accumulation d’énergie, du fait de : • l’annulation de la puissance extraite (déclenchement turbine et ouverture différée du contournement) ; • alors que la puissance thermique fournie au secondaire décroît plus lentement (fissions résiduelles, puissance résiduelle). Aussi, la pression secondaire augmente rapidement jusqu’à l’ouverture du GCT-a (GCT-c supposé indisponible), d’où : • des rejets radiologiques (« bouffée de vapeur »7 ) à l’atmosphère, à cet instant ; • le risque de sollicitation du premier groupe de soupapes de sûreté GV (avec possibilité de blocage en position ouverte). À terme, la pression secondaire se stabilise au point de consigne d’ouverture du GCT-a (figure 6.4.) 7 Si le remplissage en eau du GVa est évité, l’essentiel des rejets radioactifs (vapeur) s’effectuent à cet instant.

152

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 6.5. RTGV : évolution des niveaux GVs. Source : EDF TdC RTGV.

Rappelons, qu’à ce stade, le comportement de l’ensemble des GV est symétrique, du fait de leur communication par le barillet vapeur. Pour ce qui concerne les niveaux GV, on observe à l’instant de l’AAR un fort tassement du niveau mesuré en gamme étroite, du fait de l’augmentation rapide de la pression secondaire. Par la suite, tous les niveaux réaugmentent avec le temps, celui du GVa plus rapidement car ce générateur de vapeur est alimenté, en plus de l’ASG, par la fuite RTGV8 (figure 6.5.) Côté primaire, la situation évolue au démarrage de l’IS. Pour bien la comprendre, il faut l’analyser à partir du diagramme pression-débit (P,q) (voir problème en fin de chapitre) sur lequel est reporté : • la caractéristique des pompes IS (ISMP pour le 1300 MWe), à savoir le débit massique d’injection qIS = f(P), décroissant avec la contre-pression primaire ; • la caractéristique brèche RTGV 1 tube, qRTGV = f(P), croissant avec la pression primaire. Le point d’intersection des deux courbes « ISMP » et « RTGV 1 tube » correspond à la situation d’équilibre « en masse » de la chaudière (qIS = qRTGV ). Quelle que soit la condition initiale ou la perturbation, le différentiel de débit [qIS – qRTGV ], à l’origine de l’évolution de l’inventaire en masse et donc de la pression primaire, tend vers zéro (figure 6.6.) La contre-réaction négative, déjà identifiée au 1.3.3.2., conduit à la stabilisation du système sur un état d’équilibre en masse de la chaudière9. 8 Pour les 1300 MWe, si l’alimentation en eau par ARE est régulée, ce n’est plus le cas sur ASG, après IS. 9 En fait, cet équilibre est perturbé par l’effet de contraction du fluide primaire en cas de refroidissement (effet

du RIS et de l’ASG) : la pression de pseudo-équilibre est alors moindre, de sorte que : qIS = qRTGV + qcontraction .

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

153

Figure 6.6. RTGV : équilibre primaire suite au démarrage du RIS. Source : EDF TdC RTGV.

En conclusion, après la phase d’intervention des automatismes et avant l’intervention des opérateurs, la situation du primaire se stabilise : • la masse d’eau primaire, désormais constante, est importante ; • l’échange thermique primaire – secondaire est satisfaisant (démarrage ASG sur tous les GV) ; • l’IS maintient cependant une pression primaire stable, supérieure à la pression secondaire (figure 6.3.), ce qui impose un débit RTGV significatif (≈ 20 kg/s). Le GVa étant alimenté par ce débit brèche et par l’ASG, il voit son niveau augmenter rapidement, avec un risque de remplissage après un délai de 20 à 30 min environ (voir problème).

6.3.2. Stratégie de conduite court terme On l’a vu, un accident de RTGV, malgré l’intervention des automatismes de protection et de sauvegarde, peut conduire, sans actions opérateur, à des rejets vapeur puis liquide, voire, à terme, à la perte des trois barrières. L’objectif de la conduite court terme est donc, pour limiter les rejets radioactifs à l’atmosphère et éviter une dégradation de la situation, de stabiliser rapidement le niveau d’eau dans le GV affecté, avant son remplissage.

154

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

La première action à réaliser consiste à diagnostiquer l’accident et identifier le GV affecté par la rupture : • à l’aide des chaînes d’activité secondaire KRT, en particulier de la chaîne KRT VVP mesurant l’activité en 16 N, en puissance ; • la montée plus rapide du niveau du GVa étant utilisée comme critère diversifié.

6.3.2.1. Isolement du GVa Après diagnostic de la RTGV et identification du GVa, l’opérateur commence par isoler ce dernier : • Coté vapeur, par fermeture de sa vanne d’isolement VVP. Cet isolement permet de désolidariser le GVa, qui doit rester en pression, des GVs sains qui doivent être dépressurisés pour assurer le refroidissement primaire. La consigne du GCT-a est confirmée sur sa valeur « externe » de façon à ne pas solliciter les soupapes de sûreté GV. • Coté eau, par fermeture des vannes ASG (l’isolement ARE sur signal IS est confirmé). On met ainsi fin à une des sources d’alimentation en eau du GVa. Une fois isolé, le GVa a un comportement singulier, dès lors que le refroidissement du primaire est entrepris par dépressurisation des GV sains. Tout d’abord, le GVa restant en température, l’écart de température primaire – secondaire GVa s’inverse : le GVa fonctionne alors en échange d’énergie inverse (ou transfert inverse) et devient pour le primaire une « source chaude ». Le refroidissement de l’eau primaire, et donc de l’eau secondaire dans la zone du faisceau tubulaire, peut conduire à la stratification thermique du GVa, si le niveau GV est en dessous des séparateurs cyclones10 (figure 6.7.). En effet, l’eau secondaire surmontant le faisceau tubulaire reste chaude (moins dense), alors que la zone du faisceau tubulaire est refroidie (plus dense). Si le niveau GV est au dessus du faisceau, le liquide et la vapeur au niveau de l’interface restent alors en équilibre à saturation. La très faible condensation de la vapeur du dôme vapeur maintient le GVa en pression, ce qui est favorable à la conduite. Par effet piston, le remplissage du GVa par le débit RTGV tend même à augmenter la pression du GVa. Celle-ci est cependant écrêtée par son GCT-a.

6.3.2.2. Annulation de la fuite RTGV Par la suite, les actions opérateurs ont pour objet d’annuler la fuite RTGV, par dépressurisation du primaire, de sorte à égaliser les pressions primaire et secondaire. La pression primaire étant fixée par l’injection de sécurité (pression d’équilibre qIS = qRTGV ), l’arrêt des deux files IS est alors nécessaire. Cependant, l’arrêt du système RIS aura deux conséquences : 10 Si les séparateurs cyclones sont noyés, une recirculation (riser-downcomer) inverse s’établit dans le GVa.

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

155

VVP isolé, GCT-a ouvert

MESURE DE NIVEAU GE

ASG isolé

Figure 6.7. RTGV : GVa en transfert inverse (niveau d’eau entre le haut du faisceau tubulaire et le séparateur cyclone). Source : EDF TdC RTGV.

• la création d’un nouveau déséquilibre massique vu par le primaire, conduisant à une nouvelle phase de perte transitoire de masse primaire ; • la réduction de la marge à la saturation Tsat11 , du fait de la dépressurisation primaire induite. C’est pourquoi les critères d’arrêt de l’IS portent sur la marge à la saturation sortie cœur (notée Tsat ), voire en sus le niveau d’eau primaire. En préalable à l’arrêt de ce système stratégique, la conduite prévoit donc la constitution de marges vis-à-vis de ces deux paramètres : • par refroidissement du primaire par les GV sains, par action sur l’ouverture des GCT-a des 3 GV sains12 ; • si nécessaire, par remplissage du pressuriseur grâce à la légère dépressurisation primaire induite par l’effet de l’aspersion pressuriseur. Ce résultat est la conséquence de la contre-réaction négative précédemment identifiée : l’aspersion pressuriseur conduit, par condensation partielle de la vapeur, à réduire la 11 T

sat = Tsat f (P) – TRIC max, la température maximale sortie cœur (voir en détail au 8.1.). 12 Si disponible, le GCT-c est préférable du fait de son action symétrique (barillet commun aux GV sains).

156

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

pression primaire en deçà du point d’équilibre initial, ce qui conduit au débit de remplissage recherché [qIS – qRTGV ] (voir problème en fin de chapitre). On atteint alors un pseudo-équilibre lorsque l’effet piston induit compense exactement l’effet de condensation initiée par l’aspersion. Sur critère de « marge à la saturation » satisfaisant, l’arrêt du système RIS est possible. À noter que ces critères ont évolué avec l’optimisation des procédures (en particulier lors du passage de l’approche événementielle à l’approche par état), de façon à anticiper l’arrêt de l’IS lors de cette conduite. Après l’arrêt des deux files du système RIS, la pression primaire baisse naturellement pour rejoindre la pression secondaire13 . L’aspersion peut cependant à nouveau être sollicitée pour gagner du temps. Dès l’équilibre des pressions obtenu, la fuite RTGV est alors annulée et la phase de conduite court terme terminée. La figure 6.8. résume les phases d’intervention des automatismes et des actions de conduite court-terme qui viennent d’être décrites.

6.3.3. Stratégie de conduite long terme La conduite dite long terme démarre dès lors que l’écart de pression primaire-secondaire et le débit RTGV sont annulés. Son objectif est d’atteindre l’état de repli : connexion du RRA dès 30 bar, 180 ◦ C, puis passage en arrêt à froid pour intervention sur le GV rupté. Il convient donc de dépressuriser simultanément le primaire et le secondaire du GVa, toujours en communication par la brèche, tout en respectant les limites du diagramme P/T.

6.3.3.1. Actions clés de la conduite long-terme Les actions clés de conduite sont les suivantes : • conserver au moins un GMPP en service (garantissant a minima 10 % du débit nominal dans la boucle du GVa, ce qui permet de conserver un fluide primaire homogène) ; • refroidir le primaire par dépressurisation des GV sains (déplacement du point de consigne GCT-a). Le GVa étant en transfert inverse, le refroidissement primaire permet de refroidir le secondaire du GVa, donc de le dépressuriser sous condition d’un niveau dans la zone du faisceau tubulaire. À défaut, si le niveau GV est excessif (entre le haut du faisceau tubulaire et le séparateur cyclone) et l’APG indisponible, seules la conduction axiale et les pertes thermiques naturelles permettront de refroidir l’eau au niveau de l’interface liquidevapeur, condition nécessaire à la condensation du ciel vapeur. 13 En effet, on l’a vu, la dépressurisation est liée au différentiel de débit [q RTGV – qIS ] ; ici qIS a été annulé et qRTGV est liée au différentiel de pression [P1 – P2 ] qui tend vers zéro.

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

157

é à è é

à

‘à ‘é è

‘é

Figure 6.8. RTGV : évolution du transitoire court-terme : vue d’ensemble. Source : transparent Areva.

158

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• dépressurisation primaire contrôlée par aspersion pressuriseur, pour se maintenir au niveau de la pression du GVa. • Apport d’eau borée au primaire pour d’une part compenser le débit de contraction, d’autre part contrer l’effet de la dilution en cas de rétrovidange. Au cours de cette phase de conduite, il est en effet difficile de maintenir la stricte égalité des pressions. En cas d’inversion de l’écart de pression primaire-secondaire, on observera le phénomène de rétrovidange. Cet effet est bénéfique pour dépressuriser le GVa et faire disparaître la stratification, mais constitue une source de dilution homogène14 .

6.3.3.2. Cas de la conduite long terme, sans GMPP Des difficultés de conduite apparaissent en cas d’indisponibilité des pompes primaires. C’est le cas de l’étude de l’accident avec cumul de la perte des alimentations électriques externes. En effet, le GV accidenté étant isolé, il constitue un point chaud et haut qui tend à s’opposer à la circulation naturelle du fluide primaire dans cette boucle. Pour une puissance résiduelle « critique » (fixant l’échauffement à travers le cœur), il y aura même blocage de la circulation du fluide et stratification dans la boucle primaire du GVa15 (figure 6.9.)

Figure 6.9. RTGV : stratification thermique du GVa et de la boucle associée (GMPP arrêtés). Source : EDF TdC RTGV. 14 Et de remplissage du pressuriseur, ce qui peut rendre l’aspersion inefficace. 15 Les essais RTGV Bethsy, réalisés dans le cadre de la qualification du code Cathare, ont montré l’établissement

d’un faible débit circulation dans la boucle, insuffisant pour un échange thermique significatif. La vaporisation de l’eau primaire alors induite en haut des épingles GV, finit par interrompre cette circulation résiduelle.

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

159

Cette situation conduit à des difficultés pour dépressuriser le primaire et le secondaire du GVa : • seule l’aspersion auxiliaire étant opérationnelle, son efficacité peut conduire à la formation d’une bulle sous le dôme cuve et, en conséquence, un remplissage du pressuriseur, pouvant rendre l’aspersion totalement inopérante (voir au 5.1.3.) ; • la boucle du GVa reste en équilibre thermique avec le secondaire du GVa ; sans refroidissement, il ne sera pas possible de condenser le ciel vapeur : le GVa reste alors en pression. Des moyens de dépressurisation existent, mais ils ne sont pas sans inconvénients : • côté primaire, l’ouverture des lignes de décharge du pressuriseur (LDP), avec éventuelle contamination de l’enceinte (après rupture des disques du RDP) et l’obligation de redémarrer l’IS (mode gavé-ouvert : voir au 1.3.5.4.) ; • côté secondaire, l’ouverture du GCT-a du GV accidenté, conduisant à une nouvelle phase de rejets à l’atmosphère. Il peut être préférable d’attendre la restauration d’une pompe primaire, en surveillant la consommation de l’eau de la bâche ASG. Enfin, dans ce cas, la dilution par « rétrovidange » du GVa, alors que la circulation dans la boucle du GVa est bloquée, peut conduire à un risque de dilution hétérogène et non plus homogène : on peut alors former un bouchon d’eau faiblement borée dans la boucle, qui, sur redémarrage d’un GMMP ou connexion du RRA, pourrait être introduit dans le cœur, avec un risque induit d’accident de réactivité (voir détail au 2.3.2.). On le voit, une RTGV est donc associée à de nombreuses difficultés de conduite, justifiant son étude, dans le rapport de sûreté, au-delà de l’obtention de l’égalité des pressions primaire et secondaire.

6.4. Études de sensibilité aux principaux paramètres On s’intéressera ici à l’influence de quatre paramètres sur le déroulement du transitoire : le niveau de puissance initial, la disponibilité des pompes primaires, le nombre de tubes ruptés et le cumul du blocage, après sollicitation, des soupapes de sûreté GV.

6.4.1. Niveau de puissance initial À faible charge, on notera les principales différences suivantes, par rapport au cas 100 % Pn. Le déséquilibre énergétique vu par le secondaire est beaucoup plus faible, d’où : • un phénomène de « bouffée de vapeur radioactive » à l’atmosphère pratiquement inexistant ;

160

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• un tassement du niveau GV, après AAR, également quasiment inexistant. Ce dernier effet contribue à un remplissage plus rapide du GV affecté, d’autant plus que la masse d’eau initiale au secondaire est plus importante (malgré la plus faible consigne de niveau : voir Annexe A0) et alors que l’alimentation du GV peut se faire par ASG, en dessous de 2 % Pn, donc sans le bénéfice initial de la régulation de niveau GV par ARE. En conclusion, à faible puissance, le transitoire est associé à de moindre rejets vapeur, mais un risque accru de rejets en eau.

6.4.2. Disponibilité des GMPP En cas de perte des alimentions électriques externes (PAEE), la perte des pompes primaires conduit au passage en thermosiphon. Les principales conséquences, pour la conduite court terme, sont les suivantes : • le transitoire peut être plus long, du fait d’un délai plus important nécessaire à l‘atteinte des critères d’arrêt de l’IS sur Tsat : la marge au remplissage du GVa est alors plus faible ; • l’aspersion normale étant indisponible, on doit utiliser l’aspersion auxiliaire très efficace ; • il y a risque de formation d’une bulle sous le dôme cuve (faiblement balayé par le fluide primaire), en cas de dépressurisation trop rapide. Comme on l’a vu précédemment (6.3.3.2.), cet aggravant est surtout important pour la conduite long terme.

6.4.3. Nombre de tubes ruptés Le débit total n · qRTGV est bien sûr d’autant plus grand que le nombre de tubes ruptés n est important. Pour autant, comme le montre la figure 6.10., la pression d’équilibre « qIS = qRTGV » diminue avec n pour tendre vers la pression secondaire, fixée par le système GCT-a : le débit RTGV par tube qRTGV diminue donc. En conséquence, n · qRTGV tend vers une limite correspondant au débit du système RIS pour une pression primaire égale à celle du point de consigne du GCT-a. Cette limite est obtenue en pratique pour 10 tubes ruptés (≈ 150 kg/s). À noter que, dès 3 tubes ruptés, le remplissage en eau du GV accidenté est inévitable.

6.4.4. RTGV + cumul du blocage des soupapes de sûreté (brèche vapeur sur le même GV) On considère ici le blocage en position ouverte des soupapes de sûreté après sollicitation : • soit en vapeur, à l’instant de l’AAR (voir au 6.3.1.) ;

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

161

Figure 6.10. RTGV multiples : point d’équilibre dans le diagramme pression – débit. Source : EDF TdC RTGV.

Figure 6.11. RTGV avec soupape bloquée à l’AAR. Source : EDF TdC RTGV.

• soit en liquide, dans l’hypothèse du remplissage en eau du GVa et des lignes VVP. Le GV accidenté se dépressurise alors jusqu’à une pression proche de la pression atmosphérique. L’équilibre des pressions primaire – secondaire, condition de l’annulation de la fuite, ne sera atteint qu’après dépressurisation totale du circuit primaire (figure 6.11.)

162

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Le transitoire sera donc de plus longue durée, avec une phase de rejets radioactifs à l’atmosphère continue. La situation de brèche primaire extérieure enceinte exige vigilance sur le niveau d’eau de la bâche PTR. Avec des hypothèses conservatives, on montre que l’on annule la fuite RTGV après plusieurs heures, en conservant une marge importante par rapport à la vidange de la bâche PTR.

Problème 9 : étude de la conduite court terme d’une RTGV – gestion du RIS Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. On considère un accident de rupture d’un tube de générateur de vapeur (RTGV) intervenant à 100 % Pn, avec des hypothèses conservatives. Le diamètre interne d’un tube est de 17 mm, associé à une section interne de tube d’environ 2,5 cm2 , que l’on majorera de 20 % pour lui donner un caractère enveloppe. La « petite » brèche ainsi créée n’est pas totalement compensable par RCV. 1. Phase A : entre l’instant de la RTGV et la sollicitation de l’AAR L’écoulement à la brèche sera considéré, tout au long du transitoire, comme monophasique liquide et non critique16 . Dans ces conditions, le débit RTGV peut être calculé à partir de la relation de Bernoulli. • Déterminer l’expression du débit massique qRTGV en fonction de l’écart de pression primaire-secondaire (« caractéristique RTGV »). • Calculer sa valeur à l’instant initial, aux conditions de l’étude. Pour simplifier les calculs, on prendra une masse volumique à la valeur de température moyenne primaire de 300 ◦ C entre 0 et 100 % Pn. • Exprimer le bilan de masse simplifié, associé à cette phase A, en tenant compte du comportement de la régulation de niveau pressuriseur en phase A. 2. Phase B1, intermédiaire entre l’AAR et l’IS Une fois le seuil de protection « basse pression - 131 bar » atteint, les barres d’absorbants chutent, entraînant l’étouffement de la réaction en chaîne et le déclenchement turbine. • Côté secondaire, justifier la stabilisation de la pression Pv et préciser à quelle valeur, si l’on considère le GCT-c indisponible. • Côté primaire, sur la base du bilan d’énergie primaire, justifier pourquoi l’Injection de Sécurité (IS) est sollicitée immédiatement après la chute des barres. 16 Ce qui n’est vrai, en toute rigueur, uniquement pour les phases B et C (pression < 120 bar).

´ erateur ´ 6 – La Rupture de Tubes de Gen de Vapeur (RTGV)

163

3. Phase B2 d’intervention du RIS Au démarrage de l’IS, les conditions de débit entrée/sortie « primaire » changent alors. En particulier, on considère l’isolement de la charge-décharge RCV concomitant au démarrage du RIS. Sur la plage de pression étudiée, on pourra prendre pour caractéristique du RISMP (deux files d’injection) : qIS = 30×(110 – P) en kg/s, avec P : pression primaire, 100 < P < 110 bar • Justifier que le démarrage du RIS à 119 bar conduit à l’apparition d’une contreréaction négative permettant, après une phase transitoire, une stabilisation du primaire sur un état d’équilibre. • Préciser les caractéristiques de cet état d’équilibre (P et qRTGV, en particulier), dans l’hypothèse d’un bilan d’énergie équilibré et donc d’une température moyenne primaire Tm constante (≈ 300 ◦ C). Le signal IS conduit à l’isolement de l’ARE et au démarrage de l’ASG. Une seule pompe ASG débite vers le GVa. • En prenant un débit RTGV moyen entre sa valeur initiale et celle associée à l’équilibre précédent, estimer le délai disponible avant remplissage du GV affecté par la rupture. On considèrera l’absence de vaporisation et de débit vers le système de purge APG. • Quelles seraient les conséquences potentielles d’un tel remplissage du GV affecté ? Conclure. 4. Phase C1 de début d’intervention de l’opérateur, avant l’arrêt RIS • Justifier pourquoi, l’annulation de la fuite RTGV exige l’arrêt de l’IS. Avant d’arrêter l’IS, l’opérateur engage un refroidissement primaire par les GV sains. On considèrera un gradient de –56 ◦ C/h. • Justifier cette action. • Analyser la contre-réaction négative induite et la nouvelle stabilisation observée lors de cette phase. • À partir du coefficient de dilatation moyen de l’eau primaire, en déduire le débit « de contraction » associé à ce refroidissement. Calculer la pression de pseudo-équilibre alors atteinte. L’opérateur arrête le refroidissement primaire et met l’aspersion pressuriseur en service. • Justifier qualitativement que l’on observera le même effet de contre-réaction et d’atteinte d’un état de pseudo-équilibre. • Celui-ci étant du même ordre que celui calculé précédemment, justifier quel est l’effet recherché par la mise en service de l’aspersion pressuriseur avant l’arrêt du RIS. 5. Phase C2 : arrêt du système RIS Une fois les critères d’arrêt du RIS atteints, l’opérateur arrête les deux files du RIS. • Commenter le transitoire en identifiant la contre-réaction négative stabilisatrice.

L’accident de TMI2 et ses enseignements en termes de gestion post-accidentelle

7

L’accident de Three Mile Island (1979)

« Three Mile Island, a normal accident ». Charles Perrow, sociologue américain L’accident de TMI2 constitue le seul APRP significatif sur le parc mondial. La fusion partielle du cœur du réacteur est venue souligner que des cumuls de défaillances matérielles et humaines étaient susceptibles de conduire à un accident grave. Cet accident a eu lieu à Three Mile Island dans l’État de Pennsylvanie (USA), à 16 km de la ville d’Harrisburg (90000 habitants), le 28 mars 1979 à 4 h du matin. La centrale de Three Mile Island (TMI) se compose de deux unités. Ces réacteurs appartiennent à la filière des réacteurs à eau sous pression (REP), mais de conception Babcock et Wilcox (B&W). À noter que le réacteur n◦ 2 de TMI2, concerné par l’accident, avait été mis en service industriel seulement trois mois avant l’évènement.

7.1. Présentation du réacteur B&W de TMI2 Le réacteur (figure 7.1.) est à deux boucles, A et B, chaque boucle ayant : • une seule branche chaude alimentant son propre générateur de vapeur (GV) ; • deux branches froides, chacune étant équipée d’une pompe primaire principale renvoyant l’eau primaire, refroidie par chaque générateur de vapeur, vers l’espace annulaire de la cuve du réacteur. Les deux générateurs de vapeur sont composés de tubes droits verticaux (« once through »), le fluide primaire circulant de haut en bas ; côté secondaire, la vapeur produite est surchauffée. Cette conception entraîne un inventaire en eau des circuits primaire et secondaire notablement inférieur à celui des REP de conception Westinghouse (cas des réacteurs REP français), avec en conséquence des cinétiques de vidange plus rapides. En particulier, en cas de perte de l’alimentation normale en eau des GV (ARE), ceuxci s’assèchent rapidement, conduisant à un échauffement primaire, et par dilatation et effet piston, une augmentation de pression. Pour cette conception B&W, la conséquence attendue est la sollicitation d’une vanne de décharge électropneumatique (PORV : Pilot Operated Relief Valve), installée en partie supérieure du pressuriseur. Celle-ci permet alors, par évacuation de vapeur vers le réservoir de décharge du pressuriseur (RDP), d’écrêter la pression primaire.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

166

ASPERSION DANS L'ENCEINTE

VANNE DE DECHARGE VANNE D' ISOLEMENT

SOUPAPES DE SURETE GENERATEUR DE VAPEUR

Réacteur à eau sous pression de 900 MWe de type Babcock et Wilcox

PRESSURISEUR INDICATEUR DE NIVEAU

Une seule branche froide par boucle est ici représentée.

COEUR

CUVE POMPE PRIMAIRE RESERVOIR DE DECHARGE DU PRESSURISEUR

Figure 7.1. TMI2 : réacteur Babcok & Wilcox, de type REP 900 MWe.

Pour ce qui concerne la géométrie du circuit primaire, le fond de cuve d’un B&W n’est pas le point le plus bas du circuit ; en effet, la partie basse des GV et les branches intermédiaires sont situées en dessous du bas du cœur, contrairement à la conception Westinghouse (figure 7.1.) En conséquence, lorsque le niveau secondaire est faible, la source froide (zone d’échange des tubes GV) peut être située plus bas que la source chaude (cœur) : l’amorçage du thermosiphon est alors impossible dans ces conditions. La dernière différence importante entre les deux conceptions, à l’époque, concerne l’absence d’isolement automatique de l’enceinte, sur signal d’IS. Ce point sera développé plus loin.

7.2. Chronologie de l’accident : principaux évènements et conduite Tout a donc commencé le mercredi 28 mars 1979 à 4 h du matin alors que le réacteur n◦ 2 de la centrale de TMI fonctionnait à 97 % Pn.

7.2.1. L’initiateur, les aggravants, le découvrement du cœur L’évènement initiateur correspond à un incident banal d’exploitation : le déclenchement des deux pompes alimentant en eau les générateurs de vapeur (ARE), suite à une défaillance

7 – L’accident de Three Mile Island (1979)

167

de mode commun liée à un système support (air comprimé). Nous prendrons cet événement pour origine des temps (t = 0). Celui-ci entraîne, 1 s après, un déclenchement turbine (avec ouverture du contournement condenseur) et la demande de démarrage de l’ASG, l’Alimentation de Secours des Générateurs de Vapeur (non effective dans l’immédiat). Privés transitoirement d’eau, les Générateurs de Vapeur s’assèchent rapidement, entrainant la perte de la « source froide » pour le fluide primaire. On l’a vu, sur ce type de conception, on observe l’augmentation rapide de la pression primaire et la demande d’ouverture de la vanne de décharge pressuriseur (à l’instant t = 3 s), pour écrêter la pression. À t = 8 s, intervient l’Arrêt Automatique du Réacteur qui se traduit par la chute des grappes d’absorbants dans le cœur et l’annulation de la puissance nucléaire. Seule la puissance résiduelle doit alors être évacuée. À ce stade, on peut considérer la situation comme incidentelle, ne présentant aucun caractère de gravité. Pour autant, elle se traduisit, en salle de commande, par une cascade d’alarmes et une imprimante saturée à plus de 100 libellés par minute, d’où la réaction des opérateurs rapportée par le rapport Kemeny1 : « J’aurai voulu envoyer au diable le panneau d’alarmes ; il ne nous donnait aucune information utilisable ». Il est alors difficile pour les opérateurs de comprendre ce qui se passe, de faire le tri parmi la centaine d’alarmes visuelles. Devant la difficulté d’analyser cette avalanche de données, ils vont essayer de saisir au vol le maximum d’informations, d’identifier la situation dans laquelle ils se trouvent et de la rattacher à une situation étudiée en formation. C’est ainsi que les opérateurs n’ont pas immédiatement relevé que l’eau du système ASG ne pouvait arriver aux GV, deux vannes ayant été maintenues en position fermée, suite à un oubli préalable, lors d’un essai périodique sur le système. Il faudra 8 minutes pour qu’un opérateur analyse l’indicateur de position des vannes en salle de commande et que celles-ci soient alors effectivement ouvertes, pour permettre à terme aux GVs de rejouer leur rôle de source froide pour le fluide primaire. Cet évènement sur le circuit secondaire, qui se cumule à l’initiateur, est peu déterminant pour le transitoire, mais a très probablement perturbé l’attention des opérateurs, qui mettront près de 25 minutes pour stabiliser le niveau GV sur sa valeur de consigne sans déceler la véritable nature de l’accident en cours. Car en fait, les opérateurs sont en face d’une situation de perte de réfrigérant primaire, par brèche en phase vapeur du pressuriseur2 . En effet, si la vanne 1 de décharge du pressuriseur s’est bien ouverte (au temps t = 3 s), permettant d’écrêter la pression du circuit primaire, elle aurait dû se refermer à l’instant t = 12 s, la pression ayant suffisamment diminuée. L’ordre de refermeture a bien été donné par le contrôle-commande, mais cette vanne s’est bloquée mécaniquement en position ouverte. Or, du fait d’un défaut de conception de la salle de commande, les opérateurs avaient pour information la position « électrique » de la vanne (« vanne fermée », l’ordre étant

1 Du nom du président de la commission mise en place à la demande du président Carter. 2 Petite brèche primaire, non compensable par la charge du système RCV.

168

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 7.2. TMI2 : comportement atypique du niveau pressuriseur (montée du niveau, malgré la brèche).

parti), et non « mécanique » (« vanne ouverte », la position « fin de course » n’étant pas atteinte). Ce point est crucial. De la vapeur se décharge donc du circuit primaire (≈ 60 t/h, voir problème en fin de chapitre) vers le réservoir de décharge du pressuriseur (RDP), interne à l’enceinte de confinement, mais les opérateurs n’ont pas identifié cette situation de brèche primaire. Très rapidement, ils prennent conscience d’une situation anormale puisqu’à l’instant t = 2 min, il y a démarrage automatique du système d’injection de sécurité (sur très basse pression pressuriseur), système conçu pour pallier aux conséquences des brèches primaires. Mais, alors qu’ils gèrent le problème d’alimentation en eau secondaire, « agressés » par la multitude d’informations disponibles, ils se focalisent sur l’information « niveau dans le pressuriseur » et interprètent sa montée de façon erronée (voir interprétation au 7.4.1.). Un phénomène atypique caractérise en effet une brèche en phase du pressuriseur : comme indiqué sur la figure 7.2. : la baisse de pression due à la brèche est concomitante avec la montée du niveau d’eau dans le pressuriseur3 . Cependant, les exploitants de TMI2 ignoraient ce phénomène : les procédures suivies et les actions amont de formation ne les avaient pas préparés à ce type de situation. Leur analyse (erronée) de la situation est alors la suivante : • pour eux, comme appris en formation, le niveau pressuriseur est représentatif de l’inventaire en masse d’eau primaire, ce qui n’est pas vrai pour ce cas particulier de brèche ; 3 Après une baisse transitoire lorsque la vanne de décharge s’est ouverte.

7 – L’accident de Three Mile Island (1979)

169

Tableau 7.1. TMI2 : les « erreurs » des opérateurs de TMI et leurs nombreuses causes. Type Non détection

Erreur Causes De la non refermeture de vanne de Information piégeante en salle de commande : décharge du pressuriseur = brèche indicateur d’ordre et non de position (défaut d’ergonomie) Perception erronée Du comportement thermohydrau- • Pas de formation, ni de procédures adaptées à lique du pressuriseur : le niveau cette situation pressuriseur monte, • Pas d’enseignements tirés des évènements malgré la perte de masse précurseurs (brèche en phase vapeur) Représentation Le problème ne serait-il Défaut (transitoire) d’alimentation en eau décalée pas côté secondaire ? des GV, à gérer, perturbant leur attention Représentation Focalisation sur le risque de perte La formation insistait sur ce risque et ses décalée de la bulle au pressuriseur conséquences en termes de surpression primaire Représentation • Mauvaise analyse du • Centaine d’alarmes en salle de commande décalée bilan matière sur le circuit primaire (« arbre de noël »), non hiérarchisées • Calculateur de conduite saturé d’informations • Établissement d’une • Phénomènes physiques complexes relation de cause à effet entre • Pas de procédures guidant et rassurant l’équipe le fonctionnement du RIS et la montée du niveau pressuriseur • Situation de stress : « trou noir » évoqué par les opérateurs Représentation Informations non identifiées : cas • Certaines informations décalée de celles caractéristiques n’étaient pas fiables (ex. : vanne fuitarde), d’une brèche et de celles d’autres déportées dans un local voisin permettant d’identifier la • Sur le plan psychologique, décharge dans le RDP difficile de sortir d’un schéma mental adopté Mauvaise stratégie • Arrêt de l’Injection de Sécurité • Lié à la représentation décalée de la réalité, • Maintien HS jusqu’au mais aussi : découvrement du cœur – pas de procédure de gestion rigoureuse de l’arrêt de l’IS – pas d’information sur la marge à la saturation et gamme de mesure des indicateurs de température sortie cœur insuffisamment large Mauvaise stratégie Arrêt des GMPP Opérateurs sensibilisés à leur protection et méconnaissance du risque d’aggravant de leur arrêt au moment critique du transitoire

• ils craignent de « perdre la bulle de vapeur au pressuriseur », suite à son remplissage complet, avec le risque de ne plus pouvoir maîtriser la pression dans le circuit devenu monophasique liquide ; • n’ayant pas identifié la situation de brèche, ils pensent alors à un démarrage inadéquat du système RIS. « La montée rapide du niveau du pressuriseur m’a fait croire que l’injection haute pression était excessive et que nous allions atteindre l’état « solide » ». En cohérence avec leur analyse, à t = 4 min 40 s, ils arrêtent une des deux pompes IS, puis la seconde, pour la redémarrer à débit très réduit (t = 10 min), les documents de conduite n’imposant pas (à l’époque) de contrôle préalable à leur arrêt. A posteriori, on peut s’interroger sur l’incapacité des opérateurs à diagnostiquer une situation de brèche primaire. Il est vrai que les opérateurs avaient à leur disposition des informations qui auraient pu les conduire à détecter la défaillance de la vanne pressuriseur :

170

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• L’indication de température élevée en aval de la vanne de décharge : cette indication est révélatrice de la présence d’un débit de fluide primaire au travers cette vanne. Or, les opérateurs savaient que cette vanne fuyait avant l’accident (débit de fuite 4 fois supérieur à la limite autorisée)4 . Cette indication ne fut donc pas interprétée comme synonyme d’une situation de brèche primaire en phase vapeur. • Le niveau d’eau dans le réservoir de décharge ; mais cette information n’étant pas reportée en salle de commande, il aurait fallu aller la chercher dans un local voisin. On l’aura compris, les opérateurs se sont construits une représentation décalée de la réalité. N’ayant pas été formés à cette situation, en absence de procédures adaptées susceptibles de les guider (et de les rassurer), en situation de stress (nuit, nombreuses alarmes, situation complexe du point de vue de l’état physique de la chaudière), ils ont eu besoin de se raccrocher à une logique explicative ; celle-ci les a conduit à négliger certaines informations en contradiction avec leur logique erronée. De fait, la situation de brèche, et la nécessité de l’IS pour compenser la perte de masse, ne seront pas comprises jusqu’au découvrement du cœur, à mi-hauteur. Les opérateurs ne sont pas non plus conscients que, du fait de la dépressurisation primaire, le fluide primaire est désormais à l’état diphasique (à t = 5 min), et ce, même après le rétablissement de l’alimentation en eau de secours des générateurs de vapeur (t = 8 min). En fait, la chaudière atteint un état de pseudo-équilibre autour de 70 bar, 286 ◦ C (voir problème en fin de chapitre). Même si l’on continue à perdre du fluide primaire, le bilan énergétique est alors équilibré, la (faible) puissance résiduelle du cœur (à laquelle s’ajoute la puissance des pompes) étant évacuée pour partie à la brèche (vapeur), le complément aux GVs (transport convectif par le fluide diphasique vers les GVs). En diphasique, les pompes primaires éprouvent des difficultés de fonctionnement (cavitation, entraînant des alarmes par claquements de relais induits par les vibrations). Pour éviter d’endommager les pompes, conformément aux procédures, les opérateurs arrêtent d’abord les deux pompes de la boucle B (t = 1 h 14 min) puis, 26 min plus tard, celles de la boucle A. C’est à ce moment que, par séparation des phases liquide (bas) et vapeur (haut), intervient le découvrement du haut du cœur (t = 1 h 40 ; figure 7.3.). Les opérateurs espéraient qu’une circulation naturelle s’établirait dans le circuit primaire entre la source chaude (le cœur) et la source froide (les tubes des GV). Mais, il n’en est rien ; l’état de la chaudière est trop dégradé (séparation des phases côté primaire, inventaire en eau secondaire insuffisant5 ) pour que cette circulation naturelle s’établisse. Sans transport vers les GVs6 , la puissance résiduelle du cœur contribue à la vaporisation. Comme il n’y a plus d’injection d’eau, côté primaire, le niveau dans la cuve baisse : c’est le découvrement du cœur (voir problème de fin de chapitre). Les températures montent alors dans le cœur, conduisant à l’oxydation et la rupture de gaines. 4 Il s’agit d’une violation technique des règles d’exploitation. 5 Rappelons que sur un réacteur de type Westinghouse, en toute situation, la source froide « GV » est plus

haute que la source chaude « cœur » ; condition favorable à l’établissement de la circulation naturelle ; comme le montre la figure 7.3. (phase 2), à l’arrêt des pompes, source chaude et source froide sont ici au même niveau. 6 Ni transport convectif, ni transport de chaleur latente (caloduc), du fait de la présence importante d’incondensables dans les épingles GV.

7 – L’accident de Three Mile Island (1979)

171

Figure 7.3. TMI2 : état thermohydraulique de la chaudière de TMI2 avant et après arrêt des pompes primaires. Source : plublication Nuclear Engineering and Technology vol 41 n◦ 7.

7.2.2. Les alarmes d’activité, la situation d’urgence, les tentatives pour sauver la situation Jusqu’alors, les différentes alarmes périodiques signalaient un faible niveau d’activité dans l’enceinte. Or, le réservoir de décharge du pressuriseur étant de capacité limitée, il y a eu à t = 15 min rupture de son disque d’éclatement, laissant l’eau primaire active se déverser dans l’enceinte de confinement (figure 7.4.) Dès lors, du fait de la perte des deux premières barrières de confinement, à l’instant t = 2 h 10 min, l’alarme d’activité élevée dans l’enceinte de confinement se déclenche. Intervient alors un nouveau chef d’équipe, arrivant pour prendre son quart. Son esprit « neuf »7 permet aux opérateurs de prendre conscience qu’il y avait probablement sortie de radioactivité par la vanne de décharge du pressuriseur ouverte ; ils ferment alors la vanne d’isolement placée en série avec celle-ci à t = 2 h 20, ce qui interrompt la décharge, mais aussi toute évacuation d’énergie par la brèche, alors que le transport de chaleur vers les GVs n’est pas possible. Les opérateurs remettent alors en service une pompe primaire (t = 2 h 50), qui envoie de l’eau froide sur le combustible très chaud. La pression dans le circuit primaire augmente alors dangereusement par vaporisation de l’eau au contact du combustible. Les opérateurs ouvrent alors de nouveau transitoirement la vanne d’isolement de la décharge du pressuriseur pour limiter le pic de pression dans le circuit primaire (t = 3 h 10). À ce stade de l’incident, de nouvelles alarmes d’activité se déclenchent, dont certaines hors du bâtiment du réacteur. En effet, en absence d’isolement automatique de l’enceinte sur les B&W, l’eau primaire qui se déverse dans l’enceinte de confinement est, reprise par des pompes de puisard et en partie renvoyée vers des réservoirs de stockage situés dans un bâtiment auxiliaire. Ces réservoirs vont eux-mêmes déborder et créer une source de vapeur radioactive s’échappant vers l’extérieur, via le système de ventilation du bâtiment (figure 7.4.) 7 D’où l’intérêt évident d’une redondance humaine.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

172

Figure 7.4. TMI2 : vue d’ensemble des bâtiments – transferts d’activités lors de l’accident. Source : EDF, Mémento de la sûreté nucléaire.

Tableau 7.2. TMI2 : situation des trois barrières de confinement, lors de l’accident. Trois barrières Gaine combustible Enveloppe circuit primaire

Bâtiment réacteur

Situation Ruptures de gaines à t = 2 h 10 Perte transitoire de l’intégrité (vanne de décharge pressuriseur) entre t = 0 et t = 2 h 20 Non isolé jusqu’à t = 3 h 20

La situation d’urgence est enfin déclarée à t = 3 h 20. L’enceinte de confinement est finalement isolée, ce qui interrompt le transfert d’activité des puisards vers le bâtiment auxiliaire. Finalement, les opérateurs remettent en service l’injection de sécurité, d’abord à faible débit, puis au débit nominal. Cette action provoque un nouveau choc d’eau froide sur le combustible mais le cœur est à nouveau refroidi, quatre heures après le premier événement. Il faudra de nombreuses heures pour évacuer du circuit primaire l’essentiel de l’hydrogène créé par l’oxydation du Zircaloy et les gaz de fission incondensables relâchés hors du combustible lors de l’accident. Neuf heures et cinquante minutes après le début de l’accident, une explosion localisée d’hydrogène provoque un pic de pression dans le bâtiment du réacteur, sans provoquer de dégâts particuliers.

7 – L’accident de Three Mile Island (1979)

173

Il est vingt heures, le mercredi 28 mars 1979, l’accident à proprement dit est terminé. Sitôt l’évènement connu, la centrale a dû gérer une communication médiatique, à laquelle elle n’était absolument pas préparée. Pendant toute une semaine, les divers acteurs se sont demandés quel était le degré de gravité de l’accident et s’il fallait procéder à une évacuation partielle ou totale des habitants du voisinage. Des échanges téléphoniques entre l’autorité de sûreté, l’US NRC, et la centrale ont été rendus publics démontrant l’impuissance des « experts » de part et d’autre, en particulier sur l’estimation du risque d’explosion « hydrogène », susceptible de remettre en cause l’intégrité de l’enceinte de confinement8 . Les informations contradictoires émanant de la presse, du bureau du Gouverneur de l’État de Pennsylvanie et de la NRC, sur la pertinence d’une évacuation, ont stressé la population voisine du site. Aussi, plus de 200 000 personnes ont fui la région, puis 50 femmes ont avorté, indicateurs du niveau d’anxiété de la population. On a alors appris qu’il ne suffisait pas de gérer l’accident « techniquement », mais qu’il fallait être prêt à en gérer la communication. La société exploitante Metropolitan Edison, ayant perdu tout crédit, celle-ci a été reprise par sa maison mère qui a assuré la décontamination puis le démantèlement du réacteur9.

7.3. Analyse des conséquences a posteriori L’accident de TMI2 est donc une brèche en phase vapeur du pressuriseur, avec arrêt de l’IS par l’opérateur, du fait d’une incompréhension de la situation. Les causes profondes relèvent d’un cumul de défauts latents de conception et de défaillances matérielles et organisationnelles (figure 7.5.) Les dégâts subis par les éléments combustibles sont très supérieurs à ceux imaginés pour l’accident le plus grave étudié dans le cadre du dimensionnement de l’installation. On ne le constatera qu’en 1985, soit 6 ans plus tard, mais près de 50 % du combustible a fondu, entraînant avec lui des matériaux de gaines et de structures, formant ce qu’on appelle un « corium ». Une partie de ce corium, 20 tonnes environ, s’est écoulée sous forme liquide dans le fond de la cuve, sans heureusement la traverser (voir figure 7.6.). Aucune « explosion vapeur » en cuve n’a été observée. Malgré la fusion partielle du cœur du réacteur et l’important relâchement de radioactivité dans l’enceinte de confinement, les conséquences radiologiques immédiates dans l’environnement ont été minimes. L’équivalent de dose en limite de site, sous le vent, a été estimé à 1 mSv, soit de l’ordre de grandeur de la radioactivité naturelle. L’enceinte de confinement a, en effet, rempli son rôle. On l’a vu, les faibles rejets dans l’environnement ont été causés par le maintien en service d’un système de pompage des effluents du circuit primaire. Dans la conception de 8 En réalité, les études menées a posteriori ont montré que l’atmosphère était trop inhibante, excluant une déflagration généralisée de l’hydrogène avec l’oxygène ambiant. 9 Le programme d’assainissement s’est décomposé en une phase de préparation (jusqu’en 1984), puis de déchargement du combustible (jusqu’en 1990). En 1993, l’US NRC a délivré l’autorisation transformant TMI2 en centre de stockage de ses propres matériels.

174

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 7.5. TMI2 : arbre simplifié des causes de l’accident.

Figure 7.6. TMI2 : état du cœur partiellement fondu. Source: EDF Mémento de la sûreté nucléaire.

7 – L’accident de Three Mile Island (1979)

175

l’installation de Three Mile Island, l’injection de sécurité ne provoquait pas automatiquement l’isolement de l’enceinte de confinement, c’est-à-dire la fermeture des vannes des tuyauteries traversant le bâtiment réacteur et non indispensables au bon déroulement des actions de sauvegarde. Il a fallu que le transfert d’activité provoque des alarmes dans et hors de ce bâtiment pour que l’ordre d’isolement soit donné, manuellement, un peu plus tard. Il s’agit là d’une erreur de conception spécifique à TMI2. Cet accident fut finalement classé au niveau 5 de l’échelle INES. Insistons sur le fait qu’il n’a causé ni blessures directes, ni décès.

TMI2, un accident pourtant annoncé Suite à l’accident (1979), le rapport Kemedy a mis en évidence l’ensemble des défaillances et insuffisances organisationnelles au niveau des diverses instances concernées par la sûreté nucléaire de TMI2, en particulier chez le concepteur B&W. Il est vrai que le nombre de rapports et d’évènements précurseurs, riches d’enseignements et non exploités, est impressionnant. • L’échange de lettres entre H. Dopchie et l’US NRC (1971, TMI2 - 8 ans), sur le comportement probablement atypique du niveau pressuriseur, en cas de brèche en phase vapeur. • L’incident de Beznau (Suisse, 1974, TMI2 - 5 ans), mettant en évidence ce phénomène. Les enseignements de cet incident semblent se limiter à la correction par Westinghouse de la logique de démarrage du RIS (sur « très basse pression pressuriseur » et non plus sur concomitance des signaux « très basse pression pressuriseur » et « bas niveau pressuriseur »). • Le rapport Michelson (1977, TMI2 - 2 ans), mettant en doute la capacité des modèles à correctement représenter ce phénomène. • L’incident de David Besse (1977, TMI2 - 18 mois), véritable répétition générale de l’accident de TMI2 du fait de la perte de l’alimentation en eau des GV, l’ouverture de la vanne de décharge pressuriseur et son blocage en position ouverte, enfin le démarrage du RIS et son arrêt par les opérateurs sur observation de la montée du niveau (par la suite, la situation de brèche primaire a été identifiée, conduisant à l’isolement de la ligne de décharge et au redémarrage manuel de l’injection de sécurité par les opérateurs). Malheureusement, les précieux enseignements de cet incident précurseur se sont « perdus » dans le dédale bureaucratique du système organisationnel de sûreté américain. • Le mémorandum Kelly-Dunn (1978, TMI2 - 1 an) dans lequel des ingénieurs s’interrogent sur la possibilité d’arrêt de l’IS par les opérateurs en phase initiale d’APRP. Après l’accident de TMI2, ils découvrirent que leurs recommandations n’avaient jamais été diffusées. L’ensemble de ces éléments sont décrits dans l’excellent ouvrage de Michel Llory L’accident de la centrale nucléaire de Three Mile Island aux éditions L’Harmattan.

176

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

7.4. Principaux enseignements de l’accident de TMI2, sous l’angle de la gestion post-accidentelle L’accident de TMI2 a révélé qu’une fusion du cœur, situation plus grave que celles envisagées à la conception, pouvait intervenir du fait de la conjonction de défaillances matérielles et humaines. Parmi les enseignements tirés de cet accident, pour faire progresser la sûreté, on relève l’amélioration de la gestion post-accidentelle et la prise en compte des facteurs humains et organisationnels10 . Le scénario accidentel de TMI2 a tout d’abord été analysé à travers les prismes suivants : • compréhension des phénomènes thermohydrauliques particulièrement complexes, mettant en jeu des écoulements multiphasiques (eau liquide/vapeur, incondensables) ; • capacité des systèmes de protection et de sauvegarde prévus au titre du dimensionnement et aptitude de l’instrumentation à caractériser les états du système pour fiabiliser la conduite.

7.4.1. Phénomènes thermohydrauliques Les brèches primaires localisées partout ailleurs qu’en partie supérieure du pressuriseur, conduisent à une vidange de celui-ci, associée à la dépressurisation. Au contraire, une caractéristique essentielle d’une brèche en phase vapeur du pressuriseur est que ce dernier peut sembler plein, alors que du « vide » se forme ailleurs dans le circuit primaire. Le phénomène associé de remplissage du pressuriseur est désormais bien compris. Il est la conséquence de l’appel de masse du circuit primaire vers la brèche, via ce composant. En effet, le faible diamètre de la ligne d’expansion impose une vitesse vapeur élevée, entrainant de l’eau liquide vers le pressuriseur. Le diamètre plus élevé du pressuriseur induit une vitesse vapeur, et donc un entrainement, moindre, d’où le stockage d’eau au pressuriseur. Après TMI2, de nombreuses études de sensibilité ont montré l’absence de dénoyage du cœur pour des ouvertures intempestives d’une ou plusieurs vannes de décharge pressuriseur, grâce au fonctionnement du RIS, initié automatiquement sur signal de très basse pression pressuriseur. Le scénario accidentel de TMI2 a permis également de mettre en évidence, qu’en cas de perte de la fonction des générateurs de vapeur par perte totale de leur eau alimentaire (ARE et ASG), il était possible de maintenir la fonction de sûreté « évacuation de la puissance », grâce à la brèche initiée par l’ouverture de la vanne de décharge du pressuriseur. 10 Les enseignements majeurs font l’objet d’un développement dans l’ouvrage : l’introduction d’une philosophie de conduite par « Approche Par État » (chapitre 8), la création d’une nouvelle ligne de défense pour gérer les accidents graves (chapitre 9) et le développement des Études Probabilistes de Sûreté (annexe A1).

7 – L’accident de Three Mile Island (1979)

177

Les procédures de conduite prévoient désormais la stratégie dite de « gavé-ouvert »11 (« feed and bleed » en anglais), permettant d’évacuer la puissance thermique primaire à la brèche (diphasique ou vapeur), en compensant la perte de masse du circuit primaire par l’injection de sécurité RIS (voir au 1.3.5.4.). Une autre question importante soulevée par l’accident est liée à la problématique de l’arrêt des pompes primaires en situation d’APRP, vis-à-vis de l’évacuation de la puissance et du dénoyage du cœur. La perte des pompes primaires en double phase se traduit par des effets antagonistes : • d’une part, un débit moindre dans le cœur, limitant son refroidissement et une tendance à la séparation des phases, avec risque de découvrement du cœur ; • d’autre part, un passage plus rapide en vapeur à la brèche, effet plus favorable vis-à-vis de l’action du RIS (voir au 4.2.1.). En cas d’arrêt de toutes les pompes primaires, le scénario de l’accident a permis également de mettre en évidence certains effets perturbateurs à l’instauration d’une circulation naturelle. Il s’agit en particulier de l’apparition de gaz incondensables12 . Il a alors été procédé à des essais de circulation naturelle avec injection d’incondensables, sur des boucles systèmes. De façon qualitative, les essais montrent qu’il faut des quantités très importantes de gaz incondensables dans le primaire pour atteindre une dégradation significative des échanges en « caloduc » (voir annexe A0). Enfin, TMI2 a obligé les exploitants à prendre en considération la physique du découvrement puis post-fusion du cœur. Suite au découvrement du cœur, lorsque les températures deviennent excessives, on entre dans un domaine peu exploré avant TMI2. En effet, les études de vérification des performances des systèmes de sauvegarde doivent montrer le respect des critères de l’US NRC, à savoir des températures de gaine ne dépassant pas 1204 ◦ C, une oxydation de la gaine inférieure à 17 % de l’épaisseur...(voir au 1.1.2.) Les phénomènes de ruine du cœur mis en évidence lors de l’accident : oxydation et fusion des matériaux, perte de l’intégrité structurelle et effondrement, attaque thermique et chimique de la cuve.. sont aujourd’hui appréhendés du fait de l’engagement d’études de R&D post-TMI. Celles-ci ont permis également l’étude des modes de défaillances de l’enceinte, faisant suite à la fusion du cœur. Les dispositions palliatives, matérielles et organisationnelles, mises en œuvre pour permettre de gérer ces situations, constituent aujourd’hui une nouvelle ligne de défense en profondeur pour la sûreté (voir chapitre 9).

11 L’opérateur doit cependant bien être sensibilisé et formé pour entreprendre, sans réticences, une telle action qui pourrait s’apparenter au début du scénario de TMI2. 12 Les sources potentielles de gaz incondensables dans le primaire sont : l’hydrogène dégagé par l’oxydation de matériaux, tel le zirconium, par la vapeur d’eau à haute température, certains produits de fission gazeux, l’azote des accumulateurs, la décomposition radiolytique de l’eau.

178

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

7.4.2. Matériels utilisés en conduite Un aspect important de l’accident de TMI2 est la non fiabilité du système de décharge du pressuriseur. À l’origine sur les réacteurs français, la protection contre les surpressions primaire était assurée par un système combinant des vannes de décharge et des soupapes mécaniques. Sur tout le parc, il a été décidé de remplacer ce système par l’utilisation de soupapes pilotées (technologie SEBIM) permettant, entre autres, d’utiliser les mêmes organes qualifiés pour assurer les fonctions protection et décharge et de fiabiliser leur ouverture/fermeture, quel que soit l’état physique du fluide déchargé. Par contre, l’accident de TMI2 n’a pas mis en évidence de défaut de conception ou de fonctionnement des systèmes de protection et de sauvegarde : • après la perte de l’eau alimentaire normale des GV, le signal de démarrage de l’ASG a bien été émis et les pompes ont normalement démarré ; elles auraient pu maintenir l’inventaire en eau dans les GV si les vannes au refoulement n’avaient pas été laissées fermées, en violation des procédures d’exploitation ; • l’IS a normalement démarré sur basse pression primaire et aurait permis de compenser le débit à la brèche, évitant la vidange primaire ; le point crucial de l’accident est l’arrêt volontaire de ce système sur une mauvaise interprétation de la situation. Par contre, en termes de performances de l’instrumentation, un des enseignements de TMI2 est que le niveau pressuriseur mesuré seul n’est pas une indication pertinente de l’inventaire en eau du circuit primaire, car cette mesure correspond plutôt à une densité moyenne de l’émulsion située entre les deux piquages de mesure de pression. On sait désormais que l’on ne peut considérer cette mesure comme représentative du stock d’eau primaire que si elle est associée à une indication de sous-saturation des différentes parties du primaire, en sortie du cœur et sous le couvercle de la cuve. En outre, pressuriseur vide, on ne dispose plus d’informations sur l’inventaire en eau primaire… avant une éventuelle détection de surchauffe par les thermocouples RIC, indicateur d’un dénoyage du cœur déjà initié. Une première action corrective post-TMI a été de mettre à la disposition de l’opérateur, sous forme directement accessible, une évaluation de la marge à la sous-saturation à partir des mesures de température sortie cœur et de pression pressuriseur. L’instrumentation et les logiciels de traitement des mesures sont nommés « ébulliomètre » par l’exploitant EDF. Par la suite, une action de plus grande ampleur a consisté à développer une nouvelle instrumentation pour fournir une information sur l’état du stock d’eau dans la cuve. C’est le rôle de la mesure de niveau cuve, basée sur une mesure de pression différentielle entre le haut et le bas de la cuve13 . 13 Ce système nécessite un traitement permettant de discriminer les termes de P par frottements, lorsque une ou plusieurs pompes primaires sont en fonctionnement, et le terme de P gravité ; ce dernier permet de remonter approximativement à une masse volumique moyenne cuve, grâce à l’interprétation des mesures de température ; pratiquement, l’information mise à disposition de l’opérateur correspond à un taux de remplissage de la cuve (en %).

7 – L’accident de Three Mile Island (1979)

179

7.5. Prise en compte des facteurs humains et organisationnels par le secteur nucléaire français Les plus importants enseignements de TMI2 relèvent cependant des facteurs humains et organisationnels (FH&0). Si l’annexe A3 de l’ouvrage est consacrée aux analyses menées dans ce cadre pour l’ensemble des industries à risques, ce paragraphe se propose de résumer les dispositions prises par le secteur nucléaire français suite à TMI2. À l’époque du démarrage des premiers réacteurs nucléaires industriels, dans les années 70, l’accent était mis sur la fiabilité technique (automatisation du process, qualité des matériels retenus…) et la rédaction de procédures. Les nombreux automatismes de protection et de sauvegarde, prévus à la conception sur les REP, ont pu amener à penser que toute situation avait sa parade. Par exemple, les grosses brèches primaires ayant fait l’objet de très nombreuses études, ce type d’accident était considéré comme « enveloppe » pour tout type et taille de brèche, selon l’adage « qui peut le plus peut le moins ». Cette approche n’intégrait cependant pas le cas particulier d’une petite brèche en phase vapeur du pressuriseur, dont les spécificités pouvaient conduire les opérateurs, à arrêter le système d’injection de sécurité !14 . Par ailleurs, si les procédures étaient rédigées (par les concepteurs !) en cherchant à s’affranchir du risque d’erreur humaine, elles valorisaient peu le rôle de l’homme à qui il était essentiellement demandé de les appliquer. De fait, l’approche de l’époque considérait que les actions réelles seraient systématiquement conformes aux actions prescrites. Autrement dit les FH&O étaient alors négligés voire ignorés par les ingénieurs de l’industrie nucléaire, qui croyaient en la toute puissance de la technique. Tout change à partir de l’accident de TMI2 (1979) et l’on peut distinguer deux périodes de mise en œuvre d’améliorations qui se distinguent nettement : les décennies 80 et 90.

7.5.1. La décennie 80 : prise en compte de l’erreur humaine et de son rattrapage par l’organisation L’analyse de l’accident de TMI2 s’accompagne bien d’une « révolution culturelle » par la prise de conscience de l’impossibilité pour une équipe d’opérateurs, non cadrés par des procédures, mal informés (excès d’alarmes non hiérarchisées, informations peu pertinentes), de comprendre et maitriser une situation complexe à laquelle ils n’ont pas été formés. La mauvaise conception de l’interface homme-machine figure au centre du réseau causal de l’accident, mais trois autres causes majeures non techniques ont également été identifiées : 14 Le rapport Rasmussen avait pourtant pointé du doigt l’importance du risque associé aux petites et moyennes ruptures.

180

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• l’incapacité du système organisationnel de sûreté d’intégrer d’une part divers rapports d’alertes sur la non représentativité de la mesure de niveau pressuriseur (ex. : rapport Michelson de 1977), d’autre part de tirer les enseignements d’événements précurseurs qui « annonçaient » TMI2 (ex. : l’incident de David Besse de 1977) ; • l’insuffisante connaissance de certains états de fonctionnement de l’installation, avec en conséquence l’absence de formation des opérateurs et de procédures adaptées à ces situations ; • l’improvisation et la confusion lors de la gestion de crise. Aussi, sur la décennie 80, suite à « l’onde de choc TMI2 », on a cherché à améliorer la cohérence d’une part entre sûreté à la conception et à l’exploitation, d’autre part entre contrôle du process par l’homme et le contrôle-commande. La plus grande considération accordée à la sûreté d’exploitation s’est tout d’abord traduite par le développement de la pratique du Retour d’Expérience événementiel (REX), analysant les incidents. À partir des informations collectées, de l’analyse des causes et conséquences potentielles, on peut produire des scénarios d’incidents ou accidents non encore identifiés et, bien évidemment, envisager un retour sur la conception et l’exploitation. Les enseignements de ce REX doivent être alors largement diffusés à tous les acteurs susceptibles d’utiliser ces informations pour faire progresser la sûreté. Aujourd’hui cette diffusion est très large, les associations d’exploitants développant les échanges au niveau mondial. Depuis les années 2000, une démarche complémentaire de type détection de signaux faibles a été mise en œuvre : elle consiste en un suivi systématisé des « symptômes » que constituent les évènements, voire de simples écarts remontés par les agents, pour traiter les problèmes au quotidien avant qu’ils ne donnent lieu à des évènements significatifs pour la sûreté. Autre enseignement : si l’homme est naturellement peu fiable, il reste indispensable dans la conduite des situations complexes, non prévues à la conception, pour lesquelles une décision est à prendre sur des bases qualitatives, après analyse globale de la situation. C’est le cas de la gestion des situations accidentelles d’un réacteur nucléaire. Pour améliorer cette gestion, on relève parmi les actions post-TMI engagées en France, le renforcement des lignes de défense suivantes : • L’amélioration des salles de commande des centrales EDF Les défauts de l’interface homme–machine de la centrale de TMI2 illustrent bien la notion d’erreur latente de Reason (cf. annexe A3) : la conception a laissé des défauts « dormants », dont les opérateurs ont « hérités ». Aussi, en France, des modifications de la salle de commande ont été définies, après enquête auprès des diverses équipes de quart et étude du comportement des opérateurs sur simulateurs. Elles ont pour objectif de leur permettre de se faire une représentation correcte d’une situation accidentelle et sont de plusieurs types : – informations supplémentaires (niveau cuve, marge à la saturation), gammes de mesure élargies ; – améliorations sur le plan ergonomique (hiérarchisation des alarmes, regroupement fonctionnel des commandes, utilisation de synoptiques actifs…) ;

7 – L’accident de Three Mile Island (1979)

181

– adjonction d’un panneau de sûreté regroupant les informations essentielles, avec fonction d’aide au pilotage. L’aboutissement de cette évolution est la salle de commande informatisée du palier N4, proposant une conduite assistée par ordinateur (CAO). Cette compétence acquise en la matière a, par la suite, été réinvestie pour le réacteur EPR. Les enquêtes menées auprès des équipes de conduite N4 ont montré que les opérateurs adhéraient aux principes de la conduite informatisée, tout particulièrement pour la mise en œuvre des consignes en approche par état15 . • L’amélioration des procédures de conduite Durant cette période a été entreprise une évolution profonde des procédures de conduite post-accidentelle pour étendre leur domaine de validité (états d’arrêt, perte des systèmes redondants, procédures « ultimes », guide pour la gestion des accidents graves…), améliorer leur ergonomie et surtout leur pertinence. Dans ce cadre, les procédures événementielles ont été remplacées par une nouvelle Approche dite Par État, couvrant mieux les situations complexes et évolutives et permettant de rattraper une éventuelle erreur de conduite. Cette approche dont l’objectif est de développer la « résilience » du système socio-technique, sa capacité à faire face à des situations imprévues, est décrite en détail au chapitre suivant. • La formation et la mise en situation des opérateurs sur simulateurs De façon à réduire l’écart entre action prescrite et action réalisée, l’amélioration des procédures a été accompagnée d’un travail de formation et de recyclage des opérateurs, avec mise en situation sur des simulateurs pleine échelle, permettant d’appréhender le comportement du système réacteur. La formation aux « bons réflexes de conduite »16 est complétée par une formation à la physique de fonctionnement, en particulier aux phénomènes thermohydrauliques diphasiques. Ces actions de formation régulières sur simulateurs (3 semaines par an) permettent une réelle gestion des compétences des opérateurs. • Une nouvelle organisation de la conduite, avec la création d’un poste d’ingénieur sûreté En plus de l’équipe de conduite (en horaire de quart) et son chef d’exploitation, un Ingénieur Sûreté d’astreinte a désormais pour mission, lors des phases moyen et long terme des accidents, de surveiller les paramètres importants pour la sureté, assurant redondance et diversification humaine (figure 7.7.)17 . • La mise en place d’une organisation de crise La gestion d’une situation de crise fait l’objet de l’Organisation Nationale de Crise, définie avec les pouvoirs publics (élaboration du Plan d’Urgence Interne et du Plan Particulier d’Intervention), en appui à l’équipe de conduite. Cette organisation couvre la gestion tech15 À noter cependant, que la conduite non optimale lors de la fuite sur le circuit de refroidissement à l’arrêt (RRA), survenue à Civaux en 1998, a montré que des adaptations de la CAO initiale étaient nécessaires. 16 Ces formations sur simulateurs constituent une grande source de retour d’expérience en matière de comportement des équipes face à différentes situations accidentelles. 17 Là aussi, des adaptations ont été nécessaires au cours du temps : sortie de l’Ingénieur Sûreté du quart et fonction assurée par le Chef d’Exploitation en attente de son arrivée, de façon à ne pas induire de confusion des responsabilités vis-à-vis de la sûreté.

182

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 7.7. Organisation de la conduite chez EDF.

nique et médiatique ainsi que les mesures préventives vis-à-vis des personnels, des populations et de l’environnement. Elle est considérée aujourd’hui comme la dernière ligne de défense en profondeur de la sûreté.

7.5.2. La décennie 90 : prise en compte du facteur organisationnel, émergence du concept de culture de sûreté L’accident de Tchernobyl (1986, voir description Annexe 2) a tout d’abord confirmé que les caractéristiques physiques de l’installation devaient être choisies de manière à garantir la stabilité du réacteur. Cette condition est nécessaire (par forcément suffisante) pour disposer d’une conception palliant les erreurs humaines et non les amplifiant. Outre la non prise en compte des enseignements de TMI2 par les soviétiques, ce qui a frappé les spécialistes de sûreté occidentaux était le manque flagrant de culture de sûreté tout au long de la chaîne hiérarchique et même au niveau des pouvoirs publics. Les responsables ne considéraient pas la sûreté comme prioritaire et ne la diffusaient donc pas auprès de leurs équipes. La structure organisationnelle de sûreté ne prévoyait pas un système de vérification et un contrôle réglementaire par une autorité de sûreté nucléaire indépendante. En réponse à cet accident, les pays occidentaux ont développé cette notion de culture de sûreté, au cours des années 90. Elle a été définie précisément par l’AIEA. Son rapport INSAG-4 (1991) précise que « la culture de sûreté est l’ensemble des caractéristiques et des attitudes qui, dans les organisations et chez les individus, garantissent que les questions de sûreté bénéficient de l’attention qu’elles méritent en raison de leur importance ». La culture de sûreté doit être le résultat de l’engagement de tous : agents, dirigeants du site et nationaux. Elle constitue un état d’esprit par rapport à la sûreté, qui conditionne les attitudes et pratiques : • Les dirigeants doivent clairement et publiquement s’engager sur l’importance qu’ils accordent à la sûreté et créer par leurs actions de management les conditions favorisant des comportements responsables afin d’obtenir de bons résultats de sûreté.

7 – L’accident de Three Mile Island (1979)

183

• Les agents doivent manifester leur compréhension des enjeux de sûreté : rigueur, capacité d’interrogation, circulation de l’information. Dans ce cadre, l’exploitant français EDF a développé le management de la sûreté, par la mise en œuvre de divers « leviers » : • le développement des compétences à l’analyse des risques ; • l’autodiagnostic et l’autoévaluation ; • la démarche qualité pour la conduite des transitoires « sensibles », cherchant à réduire l’écart entre le prévu et le vécu ; • l’observatoire sûreté - disponibilité, réglant les éventuels conflits entre production et sûreté ; • la communication opérationnelle.

7.5.3. Aujourd’hui À partir des années 2000, l’accent a été mis sur l’évaluation des performances et de l’efficacité de l’organisation. Un système complexe à risque ne peut, en effet, être maîtrisé que grâce à une organisation à très haute fiabilité, faisant de la sûreté sa priorité. Cependant, cette exigence est confrontée, au quotidien, aux diverses contraintes socioéconomiques comme l’ouverture du marché de l’électricité, le maintien des compétences, le recours accru à la sous-traitance…

Problème 10 : analyse de l’accident de TMI2, jusqu’au découvrement du cœur Attention, les données « chaudière » de l’annexe 5 ne pourront pas être utilisées pour ce problème concernant une conception de type B&W. Seules les propriétés de l’eau pourront être exploitées, de même que la puissance résiduelle en appliquant un coefficient correcteur de 0,7, compte tenu de la puissance moindre du réacteur de TMI2. Le tableau ci-dessous résume la chronologie de l’accident. 1. Analyse qualitative de l‘accident • Justifier l’arrêt de l’IS par l’opérateur primaire à t = 4 min 40 s. La figure 7.8. présente l’évolution des températures jusqu’au début de découvrement du cœur (t = 100 min). • Justifier l’état de pseudo-équilibre à Tm = 286 ◦ C (température de saturation sous 70 bar entre 25 et 95 min).

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

184

Temps 0:00:00

0:02:00 0:02:30 0:04:40 0:05:00 0:08:20

Action Réacteur à 97 % Pn Déclenchement ARE Ouverture vanne décharge Pzr AAR Ordre fermeture vanne décharge Pzr Démarrage IS Assèchement des GV Arrêt manuel IS Saturation sortie cœur Ouverture manuelle ASG

0:14:50 1:14 1:40

Rupture RDP Arrêt pompe boucle B Arrêt pompe boucle A

0:00:03 0:00:08 0:00:12

Commentaire Déclenchement turbine Demande démarrage ASG

Mais vanne reste bloquée ouverte = petite brèche primaire Car l’ASG ne débite pas Le Pzr ayant dépassé le niveau haut Attention focalisée par l’absence d’ASG

Début de découvrement du cœur

Figure 7.8. Évolution des températures branche froide, branche chaude et saturation lors du scénario de TMI2. Source : « PORV Discharge flow during the TMI2 accident » US DOE, Idaho.

• Pour ce pseudo-équilibre, analyser la situation du point de vue des bilans de masse et d’énergie primaire. • Justifier pourquoi le bilan d’énergie était correctement apprécié par les opérateurs mais pas le bilan de masse, ce qui explique le maintien hors service de l’IS jusqu’au découvrement du cœur (durant plus de 2 heures !). • Justifier qualitativement le début de découvrement du cœur à l’arrêt de la pompe de la boucle A.

7 – L’accident de Three Mile Island (1979)

185

Figure 7.9. Débit à la brèche pour une vanne décharge pressuriseur bloquée ouverte, selon l’état physique. Source : « PORV Discharge flow during the TMI2 accident » US DOE, Idaho.

2. Estimation de la taille de brèche et de l’énergie évacuée à la brèche La figure 7.9. représente, pour le transitoire de pression de l’accident de TMI2, l’évolution du débit réel diphasique à la brèche (courbe intermédiaire) et ce qu’il aurait été à l’état liquide saturée (« Liquid ») ou vapeur saturée (« Steam »). • Sur la base du diagramme « débit critique à la brèche », en fonction des conditions primaire amont (figure 4.10.), fournir un ordre de grandeur de la taille de brèche. • Si le RIS présentait les mêmes caractéristiques que celui d’un 1300 MWe, justifier qu’il aurait été en capacité de toujours compenser le débit à la brèche. On observe qu’un peu avant le découvrement du cœur (≈ 95 min), la brèche passe de diphasique à vapeur saturé. • Quelle fraction de puissance résiduelle la brèche peut-elle alors évacuer ? • Justifier le comportement de la pression primaire à cet instant (nouvelle pression d’équilibre ? supérieure ou inférieure à la pression secondaire ?) 3. Étude du découvrement du cœur On s’intéresse à la phase de découvrement du cœur intervenant autour de 70 bar, au-delà de 100 min. On suppose désormais que le cœur n’est plus refroidi par les GVs, du fait du blocage du thermosiphon et de l’impossibilité de l’instauration du mode « caloduc » (fort taux d’incondensables). La puissance résiduelle (supposée homogène axialement) contribue alors à la vaporisation du stock d’eau dans le cœur et à sa surchauffe.

186

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

1

z 0

• En prenant comme variable z la hauteur d’eau normalisée dans le cœur (z = 1 pour le cœur totalement noyé), exprimer, en fonction de z, le débit vaporisé dans la partie inférieure du cœur sous eau. • Exprimer, en fonction de z, l’élévation d’enthalpie (surchauffe) de ce débit vapeur dans la partie supérieure du cœur découverte. • En supposant que les ruptures de gaines interviennent en haut du cœur lorsque la température de la vapeur surchauffée atteint le critère de sûreté NRC sur la température de gaine, quelle est alors la valeur de z critique, correspondant à cette situation ? • Montrer que la loi de décroissance de z en fonction du temps peut être considérée comme une exponentielle décroissante. Vous préciserez vos hypothèses.

8

La conduite post-accidentelle par « Approche Par État »

« On m’a souvent posé la question : si vous deviez retenir seulement une seule des améliorations ou innovations qui ont suivi l’accident, laquelle retiendrez-vous et éviterait-elle vraiment l’accident ?... Ma réponse est que, si je devais en retenir qu’une seule, alors c’est la formation et l’entrainement aux procédures par états ». Edward R. Frederick, opérateur de conduite lors de l’accident de TMI2

En situation accidentelle, suite à l’action court terme des automatismes de protections et de sauvegarde, la sûreté repose sur un ensemble sociotechnique : • l’équipe de conduite (les opérateurs primaire et secondaire, le superviseur, l’ingénieur de sûreté ou le chef d’exploitation avant l’arrivée de ce dernier)1 ; • des procédures « papier », documents cadrant les actions à engager (et pour lesquelles l’équipe de conduite a été préalablement formée) ; • enfin, une interface homme-machine permettant leur réalisation, pour action sur le process. La démonstration de sûreté prend donc en compte la phase d’actions de conduite, période la plus sensible de la gestion post-accidentelle. Cette conduite consiste à rejoindre un état sûr, pour éviter ou limiter les rejets immédiats ou potentiels, c’est-à-dire en donnant la priorité à la sauvegarde du cœur et au confinement. La conduite de type « Approche Par État » (APE), développé en France dans le cadre des dispositions post-TMI2, repose sur un cycle itératif de trois phases (figure 8.1.) : • la caractérisation de l’état physique de l’installation2 , à partir de grandeurs physiques clés primaire/secondaire/enceinte (étape de diagnostic d’état) ; 1 S’y ajoutent l’organisation de crise locale (après une heure), puis les organisations de crise nationale et des

pouvoirs publics (après quelques heures). 2 Installation (ou process) : système constitué par la chaudière nucléaire (circuit primaire et GVs), ainsi que les systèmes fluides qui échangent masse et énergie avec elle (systèmes secondaire, auxiliaires et de sauvegarde, l’enceinte de confinement, enfin les systèmes supports : alimentations électriques, air comprimé, sources froides ultimes).

188

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 8.1. Principe de l’APE. Source : Techniques de l’ingénieur.

• sur cette base, la détermination d’un objectif de conduite, généralement l’atteinte d’un état de repli, et la définition d’un ensemble cohérent d’actions requises pour l’atteindre (étape de prise de décision) ; • la mise en œuvre des actions, à partir des seuls systèmes disponibles (phase d’action). L’identification et la caractérisation des états physiques de l’installation est l’aboutissement d’une analyse du comportement systémique du réacteur, engagée suite à l’accident de TMI2. Cette analyse a été menée sur la base de diverses études (analyse du retour d’expérience, essais expérimentaux sur boucle, calculs avec codes). Le modèle alors proposé, décrivant les flux échangés (matière et énergie), permet de définir un nombre fini de configurations possibles, compte tenu des problèmes de sûreté identifiés. On limite ensuite ces configurations à quelques états physiques types de l’installation à traiter, en regroupant les états relevant des mêmes priorités et donc des mêmes grands types d’actions de conduite. Ainsi, il y a correspondance entre un état type et une stratégie de conduite adaptée. Par exemple, cœur sous-critique, le diagnostic d’état primaire est établi dans le plan niveau cuve3 /Tsat. 3 Le passage à l’APE généralisée a été, en partie, conditionné par l’installation sur les tranches de la mesure de niveau cuve, l’accident de TMI2 ayant mis en évidence le besoin d’une instrumentation pour correctement caractériser l’inventaire en eau primaire, en particulier en état diphasique. Le choix s’est porté sur une mesure de pression différentielle entre le haut et le bas de cuve. En complément, la qualification des chaînes neutroniques intermédiaires CNI a été opérée.

´ » 8 – La conduite post-accidentelle par « Approche Par Etat

189

Figure 8.2. APE : plan niveau cuve/T sat : domaines élémentaires et conduite primaire associé. Gestion du refroidissement (REF), du RIS (IS), voire des lignes de décharge pressuriseur (LDP). Source : transparent Areva.

190

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

En effet, la condition de bonne extraction de la chaleur du cœur impose un cœur noyé et la présence d’eau liquide au contact des crayons. Dans ce plan, il est possible de regrouper les configurations de la chaudière en domaines élémentaires faisant appel aux mêmes objectifs fonctionnels de conduite pour la ramener en état sûr (voir figure 8.2.). Il est important d’insister sur cette notion, exploitée par la conduite APE, d’un nombre limité d’états physiques types de l’installation à traiter, dénombrés et caractérisés par des « fonctions d’état » (voir paragraphe suivant). En effet, l’accident de TMI2 a conduit à une prise de conscience, par l’industrie nucléaire, qu’un accident sur un système complexe pouvait résulter d’une combinaison de défaillances matérielles et/ou humaines, en nombre quasi-infini4 . Le scénario accidentel peut alors différer des transitoires de conception préétudiés, en cas d’aggravants multiples se cumulant à l’évènement initiateur. C’est ce qui a conduit EDF à abandonner des procédures dites événementielles qui cherchaient à optimiser la conduite d’un accident, une fois l’évènement initiateur correctement diagnostiqué. Cette démarche ne prenait pas bien en compte l’erreur de diagnostic initial toujours possible, ni le cumul d’évènements ultérieurs, dont les erreurs de conduite. Avec l’APE, à partir de la caractérisation de l’état physique, on peut définir la stratégie adaptée, puis les actions à mener, sans avoir à identifier la séquence d’évènements antérieurs (initiateur et aggravants) ayant conduit à cet état. De plus, le processus étant cyclique (figure 8.1.), en cas d’évolution de l’état physique, on adapte la stratégie et les actions. La conduite par APE procède donc d’une logique « boucle fermée » rassurant pour l’opérateur : une éventuelle erreur est ainsi récupérable. C’est ainsi en développant la capacité du système sociotechnique à gérer des situations imprévues que l’on pourra garantir la maîtrise du réacteur en situation accidentelle.

8.1. Caractérisation de l’état physique de l’installation (diagnostic d’état) Dans le cadre de l’analyse globale réalisée, seules six fonctions dites d’état, ont été retenues comme nécessaires et suffisantes pour caractériser l’état physique de l’installation et donc pour effectuer le diagnostic d’état. Trois concernent le primaire, deux le secondaire, la dernière l’enceinte. Elles sont présentées dans le tableau 8.1. Le contrôle de ces fonctions d’état correspond bien évidemment aux objectifs de sûreté, à savoir le maintien de l’intégrité des trois barrières de confinement et le respect des 3 fonctions de sûreté (voir au 1.1.3.). On notera que la fonction de sûreté « évacuation de la puissance » exige d’une part la fonction d’état « inventaire en eau primaire » pour garantir l’extraction de la puissance du cœur, d’autre part « inventaire en eau secondaire » pour garantir la disponibilité de la source froide. Par contre, aucune fonction d’état n’est liée à la sous-fonction de transport de l’énergie extraite du cœur vers la source froide, celle-ci ne posant généralement pas problème (voir paragraphe 1.3.4. et annexe A0). 4 Voir la théorie « de l’accident normal » de Charles Perrow en annexe 3.

´ » 8 – La conduite post-accidentelle par « Approche Par Etat

191

Tableau 8.1. APE : six fonctions d’état, grandeurs physiques et instrumentations associées.

Figure 8.3. APE : instrumentation associée aux 3 fonctions d’état primaire. Source : transparent Areva.

L’instrumentation APE doit répondre à certaines exigences fonctionnelles : le matériel doit être classé « Important Pour la Sûreté » (IPS), avec exigence de tenue aux ambiances post-accidentelles et au séisme. Les chaînes de mesure doivent être redondantes et secourues électriquement (figure 8.3.) Enfin, rappelons que le diagnostic est permanent et le processus « état → actions » itératif, pour tenir compte d’une éventuelle évolution de la situation.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

192

8.2. Détermination des stratégies de conduite : séquences et modules de conduite À partir du diagnostic d’état qui permet d’identifier la configuration physique type, on définit un objectif fonctionnel de conduite associé à chaque fonction d’état. Il s’agit de ramener et maintenir la fonction d’état dans un domaine satisfaisant pour la sûreté.

8.2.1. Conduite primaire Les principales actions permettant le contrôle des fonctions d’état primaire peuvent, dans certains cas, s’avérer contradictoires entre elles. Par exemple, un doute sur la sous-criticité exige de stabiliser la température (pour éviter tout apport de réactivité par effet modérateur), alors que le contrôle de l’inventaire en eau exige généralement un refroidissent primaire. Des priorités sont alors établies pour lever les contradictions éventuelles : le contrôle de la sous-criticité sera prioritaire pour les états peu dégradés, alors que le contrôle de l’inventaire en eau primaire le sera pour des états très dégradés, avec risque de fusion du cœur, mais absence de risque de criticité (en absence de modérateur). Par ailleurs, le contrôle des trois fonctions d’états primaire sera toujours prioritaire sur celui du secondaire. Enfin, dernier principe de base, on privilégie la protection des barrières de confinement amont par rapport aux barrières aval : la priorité des priorités reste la sauvegarde du cœur. Les stratégies de conduite primaire types, limitées à huit, sont ainsi appliquées en fonction de la dégradation des fonctions d’état primaire : 3 fonctions d’état primaire pas ou peu dégradées

1 seule fonction d’état primaire très dégradée

Plusieurs fonctions d’état primaire très dégradées

Ordre de priorité fonction d’état: SK/Wn > PT/Wr > IEp

Priorité à la fonction dégradée

Ordre de priorité fonction d’état : IEp > PT/Wr > SK/Wn

Stratégies de repli : Selon le niveau de dégradation : . Stabilisation . Repli doux (-14 ou -28 °C/h) . Repli dur (-56 °C/h)

Stratégies de restauration : selon priorité . Restauration sous-criticité (SK) OU Restauration eau primaire (IEp) OU Restauration évacuation puissance (Wr) OU Réduction DTsat (PT )

Stratégie de restauration : . Sauvegarde ultime du cœur (IEp très dégradé)

Figure 8.4. APE : choix de la stratégie de conduite primaire selon le diagnostic d’état.

´ » 8 – La conduite post-accidentelle par « Approche Par Etat

193

Tableau 8.2. APE : objectif des huit stratégies de conduite primaire. Stratégie de conduite primaire Stabilisation Repli doux

Repli dur Restauration sous-criticité Restauration évacuation puissance résiduelle Réduction T sat excessif Restauration inventaire en eau Sauvegarde ultime cœur5

Objectif • Rejoindre les conditions normales d’exploitation ou stabilisation dans l’état de repli • Rejoindre l’état de repli, pour réparation, en se rapprochant de la conduite normale : refroidissement à –14 ou –28 ◦ C/h • Passage rapide en état de repli avec un gradient de refroidissement « dur » à –56 ◦ C/h • Boriquer pour revenir sous-critique, puis passer à la Cb d’arrêt à froid ; stabiliser la température • Évacuation de la puissance résiduelle après passage en mode gavé-ouvert • Stabiliser la température et dépressuriser, pour éviter un choc froid sur la cuve (retour dans le domaine P/T des états standards) • Rétablir a minima un niveau d’eau dans les branches chaudes, pour passer ensuite dans la stratégie de repli dur • Éviter ou retarder la fusion du cœur, par recherche de tous les moyens d’apport d’eau possibles

Pour chacune des 8 stratégies, le tableau 8.2. synthétise succinctement les principales actions de conduite primaire, avec leur justification. On retrouve ces stratégies de conduite dans les procédures de conduite primaire : • ECP1 à ECP4, pour les configurations sur GVs ; • ECPR1 et ECPR2, pour les configurations sur RRA, primaire fermé et ECPRO pour l’ensemble des états ouverts. Ces procédures sont hiérarchisées selon la gravité de l’état physique global, chacune étant autoportante, c’est-à-dire intégrant systématiquement le passage à l’état de repli visé. En cas de dégradation de la situation, on passe d’une procédure à celle de rang supérieur, et ce de façon irréversible. Une fois le système RRA connecté, on adopte la procédure ECPR ad hoc. Chaque séquence de conduite du primaire rencontrée dans les procédures a une double caractéristique : • sur le fond technique, elle découle d’une des huit stratégies décrites précédemment ; • sur la forme, elle s’appuie, dans la plupart des cas, sur une même structure de base, composée seulement d’une dizaine de modules de base. 5 Au-delà de ces états dégradés, le début de fusion du cœur exige un changement radical de stratégie de conduite (instrumentation plus forcément qualifiée et phénomènes physiques de nature différente), avec priorité au confinement (troisième barrière). Des critères sur TRIC et le débit de dose enceinte imposent l’abandon irréversible des procédures APE et l’entrée dans le Guide d’Intervention des Accidents Graves (GIAG) (non développé ici).

194

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Tableau 8.3. APE : modules primaires, couvrant les états sur GV (RRA non connecté).

´ » 8 – La conduite post-accidentelle par « Approche Par Etat

195

Pour les états sur GV, les trois fonctions d’état primaire sont ainsi contrôlées par l’ensemble des modules de base présentés dans le tableau 8.3.6 : Cette structure modulaire générique permet à l’opérateur de se retrouver partout en « terrain connu » quelque soit la stratégie et la séquence appliquée.

8.2.2. Conduite secondaire et enceinte Coté secondaire, la conduite des GV découle de deux types d’objectifs : • participer au contrôle de la fonction d’état primaire Wr/PT, les GV constituant la principale source froide ; • contrôler les deux fonctions d’état secondaire INTs et IEs, qui déterminent la disponibilité des GV comme source froide (si intègres et non vides).

Figure 8.5. APE : disponibilité des GVs, dans le plan niveau/activité GV (fonctions d’état secondaire). Source : transparent Areva.

Notons qu’après l’Arrêt Automatique du Réacteur, du fait de la décroissance rapide de la puissance résiduelle, un seul GV déclaré « utilisable » (non radioactif et niveau d’eau satisfaisant) suffira pour évacuer la puissance résiduelle. La structure de la conduite du secondaire (procédure ECS) est identique à celle du primaire. Par exemple, pour les états sur GV, le contrôle de la fonction d’état primaire Wr/PT et des deux fonctions d’état secondaire IES et INTs correspond aux modules de conduite7 présentés dans le tableau 8.4. 6 Dans les états sur RRA, la structure reste très proche de celle-ci. Les différences relèvent d’un module supplémentaire de conduite du RRA et d’adaptations des modules précédemment décrits. 7 Pour les états sur RRA, l’opérateur eau-vapeur (« secondaire ») prend en charge la conduite du RRA. À la structure précédente s’ajoutent des modules de surveillance, de connexion et de mise en service du RRA.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

196

Tableau 8.4. APE : modules secondaires, couvrant les états sur GV (RRA non connecté). Symboles modules MST

MSI MSA

MSP MSE

Nom modules Contrôle de la température primaire

Contrôle intégrité des GVs utilisables Contrôle de l’activité des GV

Contrôle pression des GVs radioactifs isolés Contrôle de l’inventaire en eau secondaire

Description du module de conduite • Lien avec le module CT primaire (contrôle de la température primaire) : – refroidissement équilibré par GCT-a des GVs utilisables, avec différents gradients dT m dT – refroidissement rapide : pleine ouverture du GCT-a des GVs déclarés disponibles – refroidissement ultime : pleine ouverture du GCT-a de tous les GVs • Si isolement vapeur, vérification intégrité GV • Isolement d’un GV radioactif (côté eau et vapeur) • Réglage du GCT-a sur consigne externe et lignage APG • Équilibrage des pressions primaire – secondaire, par débit APG (si disponible) • Réglage du niveau GV, par débit ASG, voire débit ARE

La conduite liée à l’enceinte de confinement (procédure ECE) vise à satisfaire l’objectif fonctionnel de contrôle de l’intégrité de la troisième barrière de confinement. Le diagnostic d’état est réalisé dans le plan pression/débit de dose enceinte (fonctions d’état enceinte). Deux types d’actions sont prévus : • Le contrôle des conditions intérieures enceinte est transcrit dans un module traitant principalement de la conduite de l’EAS pour limiter les niveaux de pression, température et de débit de dose dans l’enceinte. • Par ailleurs, le contrôle de l’isolement des systèmes traversant l’enceinte est fait de façon progressive : – la confirmation du bon fonctionnement des automatismes (isolements enceinte 1re et 2e phase) ; – la surveillance précoce du confinement, prévoyant l’isolement à titre préventif des traversées enceinte n’ayant pas d’impact direct sur la conduite (priorité à la sauvegarde du cœur) ; – enfin, l’isolement et réinjection des effluents dans l’enceinte, sur critères (procédure « ultime »).

´ » 8 – La conduite post-accidentelle par « Approche Par Etat

197

8.3. Mise en œuvre des actions de conduite Pour mettre en œuvre les actions de conduite, il convient d’identifier les moyens à disposition, appelés fonctions chaudière et fonctions support : • une fonction chaudière est un moyen de conduite (tout ou partie d’un système élémentaire) utilisée pour agir sur les fonctions d’état ; • une fonction support est tout ou partie d’un système qui contribue au caractère opérationnel d’une fonction chaudière au niveau de son contrôle (ex. : alimentation électrique, air comprimé de manœuvre des vannes) ou de son bon fonctionnement (ex. : refroidissement par air/eau). Pour le contrôle des fonctions d’état, une fonction chaudière est conçue plus particulièrement pour cette mission : c’est la fonction chaudière de base8 . En termes d’exigences fonctionnelles, ses matériels sont classés IPS, c’est-à-dire répondant aux objectifs minima suivants : tenue aux conditions d’ambiance dégradée et au séisme, redondance, alimentations électriques secourues… En cas d’indisponibilité, des fonctions chaudière, dites de substitution, sont utilisées. Celle-ci sont hiérarchisées selon leur degré d’efficacité, leur facilité d’emploi,… et selon l’état global de l’installation, car on s’autorisera des moyens d’autant plus « durs » ou « rustiques » que l’état sera dégradé (tableau 8.5.) Dans une situation improbable ou aucune fonction chaudière prévue n’est disponible pour contrôler une fonction d’état, deux cas de figures sont possibles : • soit le contrôle de cette fonction d’état s’avère indispensable pour la sûreté, alors la fonction d’état se dégrade, conduisant à un changement de stratégie, avec des actions requises plus sévères faisant appel à de nouvelles substitutions ; • soit elle ne s’avère pas indispensable et il est alors préférable de ne rien entreprendre plutôt que de chercher à tout prix à utiliser un moyen dont l’emploi n’a pas fait l’objet d’une analyse préalable. Les règles de conduite EFC (surveillance des fonctions chaudière) et EFS (surveillance des fonctions supports) prévoient : • la liste exhaustive des fonctions chaudière et des pertes de fonction support ; • une surveillance systématique des fonctions chaudière, de la disponibilité des fonctions supports, enfin de l’efficacité des systèmes après démarrage ; • des actions de type restauration ou substitution des matériels, et à défaut une stratégie de repli.

8 De façon systématique, il est prévu à la conception au moins un système qualifié, fiable et efficace pour garantir le contrôle des fonctions d’état au titre de la démonstration de sûreté, à savoir avec les hypothèses conservatives du Rapport de Sûreté : c’est le « chemin sûr » des procédures APE.

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

198

Tableau 8.5. APE : moyens de substitution possible, selon la fonction à assurer. Fonction d’état S/K P/T

Objectif Sous-criticité Respect MAR P primaire P primaire

IEp

IES INTe

T primaire Contrôle N Pzr Ncuve (P>19bar) Ncuve (P charge ou SE > IJPP9 , voire LDP Charge > décharge ou IJPP > SE, voire ISMP GCT-a IJPP-SE

ISMP

Accus RIS, charge

ISBP

ISMP, charge

ASG MPS Arrêt ASG EAS

ASG TPS APG Procédure H4, procédure U5

Chaufferettes

Figure 8.6. Diagnostic systèmes : action en cas de système indisponible. Source : transparent Areva.

En conclusion, l’APE permet une riposte adaptée aux évènements incidentels et accidentels, en particulier en situation évolutive et/ou complexe, comme lors d’apparition de défaillances matérielles et/ou d’erreurs humaines lors de la conduite. L’apport de l’APE pour l’opérateur est à deux niveaux : 9 Différentiel de débit entre l’injection aux joints des pompes primaires (IJPP) et le soutirage excédentaire (SE).

´ » 8 – La conduite post-accidentelle par « Approche Par Etat

199

• du fait de la structure en « boucle fermée » le processus est auto-adaptatif. L’opérateur a la possibilité de vérifier, à tout moment, qu’il applique la bonne conduite, de réagir à toute perturbation imprévue, de corriger ses propres erreurs ou oublis éventuels ; • par l’utilisation des systèmes de substitution, l’opérateur à toujours à sa disposition une solution définie à appliquer (même si elle est parfois rustique) ne laissant pas place à l’improvisation. Enfin, la logique APE pouvant être appliquée par tout intervenant interne ou externe à l’équipe de conduite, elle est bien adaptée pour assurer les redondances recherchées par l’organisation générale de l’équipe de conduite.

Problème 11 : APE : étude d’un repli dur vers RRA Le modèle ponctuel, les équations bilans, ainsi que les données génériques nécessaires à la réalisation des exercices et problèmes sont regroupés en annexe 5 de l’ouvrage. Un réacteur 1300 MWe, initialement à 100 % Pn, en milieu de cycle, a subi un incident. Une des fonctions d’état est évaluée comme « peu dégradée ». L’Arrêt Automatique du Réacteur a eu lieu. La marge d’antiréactivité obtenue est supérieure à celle requise, la température primaire est alors de 297 ◦ C. Les pompes primaires, le RCV, le GCT-a sont opérationnels. L’injection de sécurité n’a pas été sollicitée. L’alimentation des GV se fait par ASG, après démarrage manuel. Les procédures APE préconisent un repli dur aux conditions RRA, puis vers l’arrêt à froid pour intervention, avec un gradient de refroidissement de –56 ◦ C/h, selon la séquence :

L’opérateur commence à agir à t0 + 15 min après l’arrêt automatique du réacteur (AAR). Dans ce problème on s’intéresse aux conditions permettant d’assurer le gradient de refroidissement demandé et aux conséquences de ce refroidissement sur les fonctions d’état. 1. Conséquences du refroidissement sur les fonctions d’état Associé au gradient de refroidissement requis, évaluer l’ordre de grandeur : • de la vitesse d’insertion de réactivité et, en conséquence, la borication nécessaire pour maintenir constante la marge d’antiréactivité (fonction d’état SK sous-criticité) ;

200

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

• du débit de contraction associé et, en conséquence, l’apport d’eau au primaire nécessaire pour maintenir constant le volume d’eau primaire (fonction d’état IEp inventaire en eau primaire). 2. Refroidissement à –56 ◦ C/h par les GVs En parallèle de la borication et du contrôle du niveau pressuriseur, l’opérateur engage le refroidissement à –56 ◦ C/h, par les GVs. • Préciser comment l’opérateur procède pour assurer un tel refroidissement. Une seule pompe primaire (GMPP) est alors conservée en fonctionnement, pour permettre de maintenir l’aspersion normale et contrôler la pression primaire. • Vérifier qu’une file ASG (une MPS + une TPS) suffit pour assurer le refroidissement requis, sans dégrader le stock d’eau secondaire des générateurs de vapeur. • Vérifier qu’il est possible d’atteindre les conditions de connexion du circuit RRA, sans consommer la totalité du volume d’eau utile de la bâche ASG. 3. Refroidissement à –56 ◦ C/h par RRA L’opérateur réalise alors un palier de température à 180 ◦ C, d’une durée de 15 min, pour procéder aux opérations de conditionnement du RRA. Il commence alors à refroidir la chaudière par le système RRA, toujours à –56 ◦ C/h. • Vérifier qu’une file RRA (un échangeur) suffit pour assurer le gradient demandé, en supposant (de façon conservative) l’absence d’échange thermique aux GVs dans ces états. • Quelle action de conduite sur le RRA, l’opérateur « secondaire » devra-t-il réaliser au cours du refroidissement, pour maintenir le gradient égal à –56 ◦ C/h ?

9

Situations post-fusion du cœur et conséquences sur le confinement

On appelle situation « post-fusion du cœur », une situation pour laquelle le combustible est dégradé après son dénoyage1. Sa fusion partielle ou totale est induite par l’élévation importante des températures de ses matériaux constitutifs, conséquence du défaut d’extraction de la puissance résiduelle par le caloporteur. Cette situation ne peut survenir qu’à la suite d’un cumul de dysfonctionnements, supposant la défaillance des trois premières lignes de défense en profondeur2 . Ce chapitre se concentrera sur la situation des centrales du parc en exploitation, pour lesquelles, en cas de percée de la cuve par le cœur fondu, on ne peut exclure la perte de l’intégrité de l’enceinte de confinement et donc des rejets importants de radioactivité dans l’environnement. En effet, les dispositions d’améliorations mises en œuvre ont bien pour objectif d’introduire une quatrième ligne de défense, mais celle-ci est limitée, la conception de base de la chaudière et de l’enceinte étant figée. Pour ce qui concerne le réacteur EPR (European Pressurized water Reactor), qui vise une réduction significative des rejets radioactifs dans ces situations, la ligne de défense « accidents graves » est plus forte. Les dispositions de conception associées sont présentées en annexe 4 de l’ouvrage.

9.1. Physique de la fusion du cœur, jusqu’au percement de la cuve Suivant l’évènement initiateur et les aggravants types « défaillance des systèmes de sauvegarde » (en particulier l’injection de sécurité) et « erreurs actives des opérateurs de conduite », le découvrement du cœur peut intervenir plus ou moins rapidement (d’une minute à plusieurs jours) et se prolonger longtemps. Les conséquences pour l’enceinte diffèrent alors selon le niveau de pression primaire, au moment de la fusion du cœur et au moment de la percée de la cuve. On parle d’accident de fusion « en pression » lorsque la pression dans la cuve, au moment de sa percée, est supérieure à environ 20 bar. 1 Ce chapitre s’appuit sur le document référence IRSN « Accidents graves de réacteurs à eau de production d’électricité », disponible sur le web. 2 Lignes de prévention, surveillance-protection et sauvegarde.

202

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

C’est le cas, par exemple, en situation de perte totale de l’eau alimentaire des GVs (source froide du cœur), l’échauffement du fluide primaire conduisant, par effet piston dans le pressuriseur, à une augmentation de la pression primaire jusqu’au seuil de sollicitation des soupapes, avec perte de la masse primaire par cette voie.

9.1.1. Perte de la première barrière Lors du découvrement prolongé du cœur, sa partie dénoyée s’échauffe sous l’effet de la puissance résiduelle. Les gaines de Zircaloy, qui contiennent les pastilles combustibles, se déforment alors, par dégradation de leurs propriétés mécaniques. Comme le montre la figure 9.1., selon le différentiel de pression entre pression externe et interne crayons, les gaines : • soit gonflent puis finissent par rupter (cas basse pression cuve) ; • soit s’écrasent contre les pastilles de combustible, ce qui favorise la formation d’un eutectique UO2 -Zr qui fond en deçà de 1500 ◦ C (cas haute pression cuve). Suite à la rupture des gaines, les gaz rares de fission (Kr, Xe) et les produits de fission volatils (exemple : I et Cs), accumulés dans le jeu pastille – gaine3 , sont relâchés au sein du fluide primaire, voire dans l’enceinte de confinement, en cas de perte de la deuxième barrière (ex. : APRP). Leur transfert vers l’environnement dépend fortement de leur nature physico-chimique (gaz, aérosol) et chimique.4 En particulier, les gaz rares et l’iode gazeux organique ne se déposent pas et peuvent être rejetés dans l’environnement en cas de fuites (directes ou filtrées), alors que les aérosols eux tendent à s’agglomérer et sédimenter, en se déposant sur les parois de l’enceinte de confinement. Du fait de la présence de radionucléides à vie courte, mais surtout de cette réduction, avec le temps de la masse d‘aérosols en suspension dans l’enceinte, il est important de maintenir l’intégrité de l’enceinte le plus longtemps possible, 24 voire 48 heures, lors d’un accident grave.

9.1.2. Oxydation des gaines et production d’hydrogène Lors du dénoyage et de l’échauffement du cœur, le zirconium (Zr) des gaines des crayons combustibles s’oxyde au contact de la vapeur d’eau surchauffée, selon la réaction chimique : Zr + 2H2 O → ZrO2 + 2H2 + chaleur La réaction est très exothermique et peut délivrer localement une puissance supérieure à la puissance résiduelle ; lorsque les températures augmentent, la vitesse de la réaction 3 Ainsi qu’une certaine partie des produits de fission dissous dans le combustible, notamment pour un combustible en fin de vie. 4 Exemple : iode sous forme moléculaire gazeux (I ), aérosol (ex. : CsI) ou organique gazeux (ex. : ICH3), ce 2 dernier étant plus difficile à piéger.

´ 9 – Situations post-fusion du cœur et consequences sur le confinement

203

est favorisée thermiquement5 . Il s’agit bien d’une rétroaction positive, avec risque « d’emballement de la réaction chimique »6 .

Figure 9.1. Accidents graves : comportement des gaines lors de la fusion du cœur à basse pression (en haut) et haute pression cuve (en bas). Source : transparent AREVA.

5 De plus, lorsque les températures augmentent, la cinétique de relâchement des produits de fission augmente. 6 Rappelons ce paradoxe, alors que la réaction en chaîne pour les REP n’est associée qu’à des rétroactions

négatives.

204

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

C’est pourquoi, on s’impose un critère sur la température de gaine, la cinétique étant significative dès 1200 ◦ C, avec risque d’emballement au-delà de 1500 ◦ C. Or : • La formation de zircone (ZrO2 ) fragilise les gaines, ce qui accroît leur vulnérabilité en cas de choc thermique, comme lors du renoyage du cœur par de l’eau froide. • La réaction dégage de l’hydrogène (H2 ) dans le circuit primaire qui pourra être transporté et s’accumuler dans l’enceinte de confinement. Sa combustion dans l’enceinte peut conduire à une déflagration qui peut elle-même, dans certaines conditions, évoluer en détonation (voir au 9.2.4.). Compte tenu des quantités de zirconium présentes dans les combustibles des différents types de réacteurs, la production maximale d’hydrogène est de l’ordre du kg/MWe7 (voir problème de fin de chapitre). L’oxydation du zirconium de la gaine est donc à la fois responsable de la rapidité de l’enchaînement découvrement/fusion du cœur et de la libération rapide d’hydrogène susceptible de remettre en cause l’intégrité de la troisième barrière de confinement.

9.1.3. Dégradation du cœur aux hautes températures, formation d’un corium et percement de la cuve Quant on parle de dégradation du cœur8 , on considère en fait la fusion : • des constituants métalliques du cœur, à partir de 800 ◦ C ; • des constituants « oxydes », type gaines, à partir de 1800 ◦ C ; • de l’oxyde d’uranium lui-même, dès 2800 ◦ C9 . Cette fusion conduit à l’effondrement localisé puis généralisé du cœur du réacteur avec formation de ce que l’on nomme un « corium », magma composé d’amas de combustible et de matériaux de structure, maintenu en fusion par le dégagement interne de la puissance résiduelle. À ce stade, les produits de fission les plus volatils sont alors sortis en quasi-totalité du combustible. L’effondrement du cœur fondu dans le fond de la cuve provoque, à terme, son percement : au bout de quelques dizaines de minutes à quelques heures, selon la masse de corium dans le fond de cuve et de la présence d’eau permettant d’évacuer, par vaporisation, une partie de sa chaleur. 7 Majorée d’environ 20 % si l’on prend en compte l’oxydation d’autres métaux présents dans le cœur. 8 À noter, lors de la dégradation du combustible, l’échauffement important des structures du circuit primaire

par la vapeur surchauffée, à l’origine d’un fluage et d’un risque de rupture. Dans le cas des tubes de GVs, des rejets directs à l’atmosphère seraient alors possibles via les lignes vapeur secondaires (voir chapitre 6). 9 L’existence d’eutectiques avec le zirconium et l’acier des barres de contrôle du cœur peut entraîner des coulées à des températures plus basses.

´ 9 – Situations post-fusion du cœur et consequences sur le confinement

205

Figure 9.2. Accidents graves : phénomènes de dégradation du cœur suivant le niveau de température. Source : transparent Areva.

Pour les réacteurs en exploitation, le percement de la cuve peut constituer un phénomène à effet de seuil, du fait de la perte potentielle de l’intégrité du confinement et des relâchements induits de radionucléides dans l’environnement10 . Ainsi, on comprend l’importance d’un renoyage du cœur, même partiellement fondu, pour éviter le percement de la cuve. C’est ce qui a été possible sur TMI2, mais malheureusement pas sur Fukushima Daiichi.

9.2. Modes de défaillance de l’enceinte de confinement suite au percement de la cuve Historiquement, l’approche du professeur américain Norman Rasmussen distinguait, dans son rapport WASH1400 publié pour le MIT en 1975, cinq modes de défaillance de l’enceinte de confinement, suite à la fusion du cœur : • le mode α : explosion de vapeur dans la cuve ou le puits de cuve ; • le mode ß : défaut d’étanchéité de l’enceinte, initial ou rapidement induit ; • le mode γ : explosion d’hydrogène dans l’enceinte ; • le mode δ : mise en surpression lente dans l’enceinte ; • le mode ε : traversée du radier en béton par le corium conduisant à sa percée. Auxquels s’ajoute le mode V, bipasse du confinement par l’intermédiaire de tuyauteries sortant de l’enceinte. 10 Sur le site de Fukushima, la cuve du réacteur n◦ 1 semble avoir été percée ; le radier interne enceinte a été agressé, mais non traversé. Le confinement semble avoir été perdu en particulier sur le réacteur 2, par défaut d’éventage (voir annexes A.2.2.).

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

206

Figure 9.3. Accidents graves : phénomènes physiques susceptibles de se produire dans l’enceinte. Source : Rapport Scientifique et Technique IRSN 2008.

Depuis, des études de recherches expérimentales et théoriques ont examiné ces différents modes et leur vraisemblance, en particulier pour les installations françaises. Deux autres modes de perte d’étanchéité de l’enceinte de confinement ont alors été identifiés : • le risque dû à l’échauffement direct de l’enceinte ; • l’explosion vapeur dans le cœur, issue d’un accident d’insertion massive de réactivité, par dilution hétérogène (voir au 2.3.2.), qui pourrait endommager la cuve et/ou l’enceinte de confinement. Tous ces modes sont décrits en détail par la suite. À partir de 1981, des procédures ultimes et des dispositions destinées à éviter ou à réduire les conséquences radiologiques des accidents graves, ont ainsi été progressivement proposées par EDF, acceptées par les organismes de sûreté, puis mises en œuvre sur l’ensemble du parc français (tableau 9.1.) Tableau 9.1. Accidents graves : procédures ultimes, complétant les procédures APE. Nom U2 U3 U4 U5

Mode traité

β ε δ

Objet Surveillance du confinement : localisation et isolement des fuites Mise en place des moyens mobiles de secours (RISBP, EAS) Différer le risque de bipasse de l’enceinte par le radier en béton Décompresser le bâtiment réacteur à travers le filtre à sable

´ 9 – Situations post-fusion du cœur et consequences sur le confinement

207

Figure 9.4. Accidents graves : enchaînements des phénomènes après fusion du cœur et rupture de cuve. Source : transparent Areva.

Il s’agit d’améliorations pragmatiques pour des installations dont la conception de base est figée. La justification des choix retenus ne relève pas du même degré de démonstration que celle assurée pour les situations de fonctionnement des installations décrites dans les premiers chapitres de l’ouvrage. Rappelons tout d’abord quelques caractéristiques importantes de conception des enceintes de confinement des REP français en exploitation : • palier 900 MWe : les enceintes de confinement en béton précontraint de ces réacteurs sont pourvues d’une peau d’étanchéité interne en acier ; • palier 1300 et 1450 MWe : les enceintes de confinement de ces réacteurs ne sont pas équipées d’une telle peau interne, mais sont en fait des enceintes doubles en béton précontraint (enceinte interne) et en béton armé (enceinte externe). Elles sont, de plus, dotées d’un circuit (EDE) pour éviter les transferts directs de radionucléides dans l’environnement, par la mise en dépression de l’espace entre les deux enceintes. Les enceintes sont toutes équipées d’un système d’aspersion EAS, décrit au 1.4. Examinons à présent, dans le détail, les différents modes de perte de la fonction du confinement, en gardant à l’esprit que toute défaillance du confinement à court terme est

208

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Figure 9.5. Accidents graves : différents chemins de fuite d’une enceinte à double paroi, type 1300 MWe. Source : techniques de l’ingénieur.

problématique, puisque conduisant à des rejets directs dans l’environnement, trop tôt pour permettre une décroissance suffisante de certains radionucléides et surtout une sédimentation significative des aérosols.

9.2.1. Défaut d’étanchéité initial de l’enceinte En fonctionnement normal, sont surveillées d’une part l’étanchéité de l’enceinte de confinement (en continu), d’autre part celle des organes d’isolement de ses traversées (lors d’essais périodiques). De plus, la mise en pression de l’enceinte à l’occasion de visites décennales (épreuves périodiques), permet de comparer son taux de fuite global à celui prescrit. Malgré ces dispositions, on envisage une défaillance du confinement par défaut d’étanchéité initial de l’enceinte. Ce mode est appelé β (figure 9.5.) Pour y pallier, l’exploitant a développé la procédure U2, dénommée « Conduite à tenir en cas de défaut d’isolement de l’enceinte de confinement ». Celle-ci permet de renforcer la surveillance de l’étanchéité de l’enceinte de confinement, en présence d’activité interne, et de localiser les défauts d’étanchéité détectés et d’y remédier, si possible.

9.2.2. Mise en surpression lente dans l’enceinte L’enceinte de confinement d’un REP est dimensionnée pour faire face à la montée en pression et température, liée aux masses et énergies libérées en son sein, en cas de brèches primaire ou secondaire. Le mode δ correspond à une défaillance de l’enceinte de confinement par surpression à moyen terme, due : • à l’échauffement de son atmosphère par défaut d’évacuation de la puissance résiduelle vers l’extérieur (par l’échangeur de chaleur EAS/RRI) ;

´ 9 – Situations post-fusion du cœur et consequences sur le confinement

209

Figure 9.6. Accidents graves : rejets radioactifs lors de l’application de la procédure U5 de décompression de l’enceinte. Source : technique de l’ingénieur.

• et/ou la libération progressive de gaz en accident grave, en particulier pendant l’érosion du béton du radier par le corium ou lors des tentatives de son refroidissement par de l’eau.

Dans ces conditions, la pression dans l’enceinte de confinement pourrait dépasser la pression de dimensionnement après 24 heures. En complément du système d’aspersion enceinte (EAS) et de son échangeur, il est apparu alors nécessaire de développer une procédure « ultime », notée U5, mettant en œuvre un système d’éventage volontaire avec filtration, dit filtre à sable ou U5. La solution technique retenue consiste à utiliser une traversée existante de l’enceinte, prévue pour sa décompression lors des épreuves périodiques. Un système de vannes, un dispositif de détente et un caisson de filtration à lit de sable sont intercalés entre cette traversée et la cheminée (figure 9.6.) Les études menées sur ce système par lit de sable ont montré une efficacité de filtration, dans le sable, avant rejets, supérieure à 100 pour les aérosols. Désormais, un préfiltre a été installé à l’intérieur même de l’enceinte de confinement pour résoudre l’ensemble des problèmes du type protection radiologique (accumulation des radionucléides dans le sable du filtre), ou déflagration hydrogène interne au système (en cas de condensation de vapeur d’eau dans les tuyauteries). La procédure U5 d’éventage et de filtration de l’enceinte ne serait mise en œuvre, en situation d’accident grave, qu’en concertation étroite avec les pouvoirs publics, a priori 24 heures au moins après le début de l’accident. Comme on le verra plus loin, elle permet de rendre les rejets au niveau d’un « terme source » noté S3, cohérent avec les dispositions de protection des populations.

210

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

9.2.3. Explosion de vapeur dans la cuve ou dans le puits de cuve Le terme « explosion de vapeur » désigne un intense phénomène de vaporisation engendré par un transfert de chaleur très rapide entre un matériau liquide surchauffé et de l’eau (ex. de la chute de plomb fondu dans de l’eau).11 La pression vapeur locale, alors induite, fragmente le matériau liquide, augmentant d’autant la surface d’échange avec l’eau, ce qui favorise le transfert d’énergie, susceptible de rendre le phénomène explosif (contre-réaction positive). Dans le cas du contact entre du corium surchauffé et de l’eau, le paramètre clé, déterminant l’intensité de l’explosion, est la surface d’échange initiale, donc le degré de fragmentation du combustible fondu lors de son interaction avec l’eau. Or, pour un REP, les études montrent que la coulée du corium dans un fond de cuve contenant de l’eau, ou bien dans un puits de cuve noyé par le système d’aspersion, est associée à une surface d’échange combustible/eau pouvant atteindre plusieurs milliers de m2 , d’où un risque potentiel d’explosion de vapeur.

Figure 9.7. Accidents graves : coulée de corium et risque d’explosion vapeur.

Avec des hypothèses pessimistes, cette explosion vapeur, ou mode α, pourrait en théorie être suffisante pour provoquer l’émission de « missiles » susceptibles d’affecter significativement et rapidement l’intégrité de l’enceinte de confinement. Malgré les incertitudes, il est cependant considéré aujourd’hui que ce scénario est peu plausible. En cohérence, ce mode α ne fait pas l’objet de procédures ou de dispositions particulières sur les réacteurs du parc français en exploitation. Des travaux de R&D sont cependant toujours en cours pour déterminer si les conséquences d’une explosion vapeur dans un puits de cuve noyé, ne conduirait pas à un ébranlement de la structure du bâtiment pouvant conduire à la perte d’étanchéité (à défaut d’intégrité) du confinement. 11 Tchernobyl 4 a connu une explosion vapeur en cuve, mais liée à l’excursion de puissance de ce réacteur neutroniquement instable (voir annexe A2.1.).

´ 9 – Situations post-fusion du cœur et consequences sur le confinement

211

9.2.4. Explosion d’hydrogène dans l’enceinte On l’a vu (cf. 9.1.2.), la réaction d’oxydation des gaines, mais aussi celle d’autres métaux présents dans la cuve, produisent de l’hydrogène. Celui-ci peut être relâché dans l’atmosphère de l’enceinte de confinement. De plus, l’interaction entre le corium et le béton peut produire, en 48 heures, une quantité d’hydrogène équivalente à celle formée par la réaction d’oxydation du zirconium du cœur12 . Pour qu’il y ait explosion, outre l’amorçage de la combustion, il faut des conditions de mélange appropriées entre l’hydrogène, l’oxygène de l’air et la vapeur d’eau, cette dernière pouvant inhiber la réaction O2 /H2 (figure 9.8.)

Figure 9.8. Accident graves : diagramme triangulaire de Shapiro pour les mélanges hydrogène – air – vapeur d’eau. Source : IRSN Rapport Scientifique et Technique 2006.

Le mode γ correspond donc à la défaillance du confinement due à une explosion de l’hydrogène présent dans l’atmosphère de l’enceinte de confinement. On distingue deux types de combustion : la déflagration et la détonation, dont les conditions de mélange, les vitesses de propagation et les conséquences en pression sont très différentes. La déflagration est une combustion qui se propage à une vitesse de quelques mètres par seconde. 12 Les vitesses de relâchement de l’hydrogène dans l’enceinte de confinement ne sont élevées que lors des phases d’oxydation des métaux dans la cuve et en tout début de l’interaction corium-béton.

212

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

Elle peut se déclencher pour des proportions d’hydrogène relativement faibles : de l’ordre de 4 % en volume en air sec. Par ailleurs, la « barrière de potentiel », en énergie, nécessaire à l’amorçage de la déflagration est faible en air sec (≈ 1 mJ). Par contre, comme le montre la figure 9.8., au-delà d’une concentration en vapeur d’eau de 60 % en volume, il n’y a plus de risque de déflagration : on parle de réaction « inertée » par la vapeur d’eau. Le phénomène de détonation consiste lui en une onde de choc se propageant à des vitesses supersoniques (vitesses typiques de l’ordre de 1000 à 2000 m/s). Pour qu’il y ait détonation, il faut des conditions difficiles à obtenir : d’une part que la composition du mélange hydrogène-air appartienne au domaine limité de détonation (voir figure 9.8.), d’autre part que l’énergie dépasse le seuil élevé d’amorçage associé (≈ 1 MJ). C’est pourquoi, une détonation directe est jugée peu plausible dans une enceinte de confinement de réacteur. Cependant, lors d’une déflagration d’hydrogène, l’effet d’instabilités aérodynamiques ou la présence d’obstacles peut conduire à une accélération de la flamme conduisant à une détonation. On parle alors de Transition Déflagration Détonation (TDD). Suite à sa production par les réactions d’oxydation et avant l’interaction corium-béton, la concentration moyenne d’hydrogène atteinte dans l’enceinte de confinement d’un REP français, est à elle seule suffisante pour permettre une déflagration, dès lors que l’atmosphère n’est pas inertante (voir problème de fin de chapitre). Ce phénomène peut être accentué par la mise en service du système d’aspersion, condensant partiellement la vapeur d’eau de l’enceinte : la concentration d’hydrogène augmente alors en proportion et le risque d’une déflagration d’hydrogène également. Cette déflagration plausible pourrait conduire à un pic de pression pouvant dépasser la pression de dimensionnement de l’enceinte de confinement et ainsi affecter son étanchéité. Aussi, de nombreux pays, dont la France, ont procédé à l’installation de recombineurs catalytiques passifs d’hydrogène dans l’ensemble des réacteurs de leur parc. Le principe de fonctionnement d’un tel dispositif est le suivant : l’hydrogène, en présence d’oxygène, est continûment recombiné en vapeur d’eau au contact de plaques catalytiques13 . Par exemple pour le palier 1300 MWe, c’est plus d’une centaine de recombineurs qui ont été répartis dans l’enceinte. Ce matériel est dimensionné pour fonctionner, à partir d’une concentration en hydrogène d’environ 2 % en volume, dans les conditions d’ambiance dégradées (pression, température, humidité, radioactivité) et en cas de séisme. Sa qualification tient compte également des risques d’empoisonnement des plaques catalytiques par les aérosols provenant du cœur fondu et de l’acide borique issu du système d’aspersion enceinte.

9.2.5. Traversée du radier en béton par le corium On l’a vu, l’effondrement du cœur dans le fond de cuve se traduit, en l’absence de restauration d’un appoint, par son percement, laissant le corium se répandre sur le radier de l’enceinte, au fond du puits de cuve. 13 Sur les centrales BWR de type Mark1 (Fukushima), il a été choisi une solution d’inertage par adjonction d’un gaz inerte, généralement de l’azote.

´ 9 – Situations post-fusion du cœur et consequences sur le confinement

213

Le mode ε correspond à la défaillance de l’étanchéité du radier en béton du fait de sa traversée par le corium. En cas de percée totale, le risque majeur redouté est la contamination, à terme, de la nappe phréatique. Le béton se décompose14 sous l’effet de la chaleur transmise par le corium d’origine triple : la puissance résiduelle (≈ 1 MW/m3 ), la puissance produite par oxydation des métaux présents dans le corium et le déstockage d’énergie. Ce phénomène de décomposition porte le nom d’ « interaction corium-béton ». En phase initiale, et en absence de noyage du corium par de l’eau, on observe une vitesse d’érosion élevée (déplacement du front de fusion). Après la fin des réactions d’oxydation15 , il se maintient à une température proche de 1400 ◦ C, du fait du quasi-équilibre entre puissance résiduelle produite et puissance évacuée (pertes thermiques à sa surface et, bien que limitées, à l’interface corium / béton). La vitesse d’érosion est alors moindre. L’érosion du béton cesse dès lors que la température de l’interface corium/béton devient inférieure à la température de décomposition du béton, soit 1100 ◦ C environ. D’où l’intérêt de noyer le corium avec de l’eau, pour ralentir, voire arrêter, la progression du corium dans le radier. Les études ont montré que la percée totale du radier n’interviendrait pas avant 24 heures, délai cependant variable selon ses caractéristiques (nature du béton, épaisseur selon le palier). Du fait de la présence possible d’un réseau de tuyaux dans le radier, l’exploitant a pris des dispositions palliatives, appelées U4, pour empêcher le relâchement d’éléments radioactifs par ces voies, lors de l’interaction corium-béton. Il étudie également des dispositions permettant de refroidir le corium et éviter ainsi le percement du radier.

9.2.6. Bipasse du confinement par l’intermédiaire de tuyauteries sortant de l’enceinte (mode V) Les accidents dit « V-LOCA », correspondent à une situation d’APRP (voir chapitre 4) par une brèche débouchant indirectement vers l’extérieur de l’enceinte. Il s’agit généralement d’une brèche localisée sur un circuit connecté au circuit primaire et non isolé de celui-ci, présentant deux caractéristiques problématiques : • l’absence d’eau dans les puisards, rendant impossible la phase de recirculation d’eau par le système d’injection de sécurité, alors que ce système est requis ; • bien évidemment, en cas de ruptures de gaine, un relâchement direct de produits de fission à l’extérieur de l’enceinte de confinement. La probabilité d’un tel évènement initiateur conduisant à la fusion du cœur doit être très faible compte tenu de ses conséquences. C’est pourquoi, des modifications de conception et d’exploitation ont été mises en œuvre pour ramener son occurrence dans le domaine acceptable. 14 Rupture des liaisons chimiques des composants du béton, ce qui entraîne la formation d’oxydes liquides (SiO2 , Al2 O3 …) et de gaz (H2 , H2 O, CO2 …), contribuant à l’augmentation de la pression enceinte. 15 Le corium est alors composé principalement d’un mélange d’oxydes, contenant l’essentiel des produits radioactifs non volatils.

214

ˆ e´ des REP : situations accidentelles Physique, fonctionnement et suret

9.2.7. Échauffement direct de l’enceinte Lors d’un accident grave avec fusion du cœur en pression (> 20 bar), la rupture du fond de cuve peut alors conduire à l’éjection d’un mélange de vapeur d’eau et de corium à l’état fragmenté dans le puits de cuve, puis dans les compartiments de l’enceinte de confinement. Ce phénomène a pour effet de chauffer très rapidement l’atmosphère de l’enceinte, par effet du rayonnement thermique des débris éjectés (grande surface d’échange) et par suite des réactions d’oxydation exothermiques des métaux du corium. D’où l’augmentation rapide de la pression interne au bâtiment réacteur, par cet effet d’« échauffement direct de l’enceinte », avec le risque de perte d’intégrité précoce, donc inacceptable, de l’enceinte de confinement. Il n’existe pas de dispositifs palliatifs associés à ce phénomène. Il convient donc, par prévention, de réduire la probabilité d’une fusion du cœur en pression, grâce aux moyens de dépressurisation volontaire du circuit primaire (la pression doit être en deçà de 20 bar au moment de sa percée). C’est pourquoi la fiabilisation de l’ouverture commandée de la ligne de décharge du pressuriseur a été mise en œuvre sur les réacteurs du palier 900 MWe, puis étendue aux autres paliers.

9.2.8. By-pass enceinte par RTGV Pour mémoire, il a été vu que la Rupture de Tubes de Générateur Vapeur (RTGV) conduit à la perte de la deuxième barrière et le by-pass de la troisième, via les lignes vapeur. Cette situation entraîne alors un rejet rapide mais limité dans l’environnement, correspondant à une fraction de la radioactivité contenue initialement dans le fluide primaire (produits d’activation). Par contre, en cas de dégradation de la situation et perte de la première barrière (les gaines), les rejets des produits de fission les plus volatils conduiraient à des conséquences bien plus importantes. La défense en profondeur repose, pour l’essentiel, sur la fiabilité des tubes et l’optimisation de la conduite de l’accident, pour annuler la fuite, par une gestion adéquate du système d’injection de sécurité (voir détails au chapitre 6).

9.2.9. Accidents d’insertion rapide de réactivité On a vu également que l’insertion rapide de réactivité par l’envoi dans le cœur du réacteur d’un bouchon d’eau faiblement boré et/ou froid (dilution « hétérogène ») peut conduire à des conséquences telles que l’on ne peut exclure l’explosion vapeur dans le cœur, susceptible d’affecter la tenue de la cuve et du bâtiment réacteur. Des dispositions préventives, comme l’automatisme anti-dilution, permettent de réduire la probabilité d’occurrence associée à une telle situation (voir au 2.3.2.). Pour conclure, il est important de rappeler que les différents modes de défaillance du confinement ont été examinés et traités en France, pour les réacteurs actuels, dans un souci d’amélioration de la défense en profondeur, de manière pragmatique. Pour le réacteur EPR, de génération suivante, des objectifs de sûreté plus ambitieux ont été fixés, prévoyant dès la conception une réduction significative des rejets radioactifs

´ 9 – Situations post-fusion du cœur et consequences sur le confinement

215

pouvant résulter de toutes les situations d’accident concevables, y compris les accidents avec fusion du cœur. Ceci implique des dispositions de conception spécifiques, comme le récupérateur de corium, décrites en annexe A4.

9.3. Conduite des accidents graves et mesures de protection des populations Les enseignements de ces études ont également servi de base à la rédaction d’un Guide d’Intervention en situation d’Accident Grave (GIAG). Ce guide, rédigé par l’exploitant, vise à apporter une aide aux équipes de crise pour diminuer les conséquences d’un éventuel accident grave sur un réacteur du parc français. Lorsque le GIAG est mis en œuvre, la stratégie de conduite prioritaire n’est plus la sauvegarde du cœur du réacteur mais celle du confinement des produits radioactifs. L’application du GIAG entraîne donc l’abandon par l’équipe de conduite des procédures de conduite par Approche Par État en cours. La responsabilité de la conduite est alors transférée de l’équipe de conduite vers les équipes de crise s’appuyant sur le GIAG. L’équipe de conduite est alors chargée de la mise en œuvre des recommandations émises par les équipes de crise. Les spécialistes « accidents graves » ont également cherché à caractériser des rejets types, appelés « termes sources ». Un « terme source » est un rejet typique, associé à la fusion complète du cœur, et représentatif d’un mode de défaillance de l’enceinte de confinement. Il est considéré pour définir les actions de protection des populations dans ces conditions ultimes. Trois « termes sources » de gravité décroissante ont donc été définis, dès 1979 : Tableau 9.2. Termes sources exprimés en % de l’activité initiale des radionucléides du cœur. Terme-source Correspondance

Gaz rares Iode non organique Iode organique Césium Tellure Strontium Ruthénium Lanthanides et actinides

S1 défaillance enceinte à court terme (après quelques heures) 80 % 60 %