LA DEFENSE EN PROFONDEUR, PIERRE ANGULAIRE DE LA SURETE DU PARC ELECTRO-NUCLEAIRE FRANCAIS.

La défense en profondeur (DEP) consiste à prendre en compte, de façon systématique, les défaillances techniques, humaines ou organisationnelles et à s’en prémunir par des lignes de défense successives.

Cette méthode de défense prévoit trois niveaux de sûreté :

Pour parer à chacun des accidents de référence identifiés, cinq lignes de défense ont été définies :

 

1 - LA DEP A LA CONCEPTION DES INSTALLATIONS

1.1 - Esprit de la conception

La conception des installations se caractérise par une approche déterministe - c’est-à-dire recensant les évènements pouvant conduire à la dispersion dans l’atmosphère ou dans les cours d’eau de produits radioactifs -, afin de définir des accidents dits " enveloppes ", majorants du point de vue de leurs conséquences dans l’environnement. Cette approche est complétée par une approche probabiliste permettant d’apprécier la probabilité des scénarios accidentels à retenir qualifiés d’accidents de référence.

Partant de la fréquence d’apparition d’évènements initiateurs - tels que brèche du circuit primaire ou rupture de tube(s) de générateur de vapeur -, les études correspondantes s’appuient sur le retour d’expérience en exploitation et les essais sur simulateur. Elles sont à même de déterminer la probabilité de succès ou d’échec des fonctions de sauvegarde prévues pour limiter les conséquences de ces évènements et ont conduit à prévoir des procédures d’exploitation dites H (hors dimensionnement initial) et U (ultimes), en cas d’accident très grave (fusion du cœur).

Pour un événement dont la probabilité d’occurrence peut être considérée comme " faiblissime " (la chute d’une météorite, par exemple), on ne prend aucune disposition de protection particulière et l’on parle de risque résiduel. L’approche déterministe considère que, quelles que soient les dispositions prises, aucune activité industrielle n’est en mesure de réduire la probabilité de survenue d’un accident à la valeur nulle. De cette considération découle la notion de risque acceptable et la définition de la règle de sûreté suivante : plus les conséquences d’un accident sont graves, plus sa probabilité doit être rendue faible. Un domaine de conception acceptable est ainsi délimité sur un graphique " conséquences radiologiques - fréquence des évènements ".

Avertissement : les thèmes et rubriques évoqués dans la suite de cet exposé sont plus ou moins développés en fonction de leur importance ou de leur rôle en matière de sûreté, de leur impact dans l’opinion publique, de l’accessibilité de certaines des notions qu’ils sous-tendent et de la nécessité bien compréhensible de conserver un caractère synthétique et " grand public " à l’exposé.

1.2 – Dispositions préventives de conception

Ce volet se décline comme suit :

1.2.1 – La prévention des agressions externes

Il n’est ici question que d’agressions accidentelles (Cf chapitre 5 " conclusion et commentaires ").

1.2.1.1 – Se prémunir contre les séismes

Définition du séisme prise en compte :

La résistance aux séismes est requise pour tous les matériels et systèmes classés IPS et pour toutes les installations dont la ruine est considérée comme inacceptable.

Le dimensionnement des matériels résulte d’hypothèses de charge combinant SMHV ou SMS avec diverses conditions de fonctionnement du réacteur. Des dispositions supplémentaires sont parfois retenues parmi lesquelles on peut citer l’îlot nucléaire d’Ulchin (Corée du Sud) construit sur un radier unique, ou ce radier reposant sur des plots spéciaux avec des patins en élastomère à Cruas et à Koeberg (Afrique du Sud).

La valeur des SMS pris en compte pour le dimensionnement de la plupart des centrales françaises est de 7 (dommages modérés aux constructions ; lézardes) ou 8 (destruction des bâtiments).

Chaque site nucléaire est équipé d’un système de détection et d’enregistrement des séismes avec alarmes en salle de commande. À l’apparition d’un séisme, ce dispositif permet la mise en état de repli de la (ou des) tranches dans les délais les plus brefs.

1.2.1.2 – Se prémunir contre les chutes d’avions

On considère d’abord la probabilité de chute d’un avion à partir de données statistiques - par nature, évolutives - recueillies ces dernières années :

On rapproche ces probabilités accidentelles des études et analyses de sûreté. Leurs conclusions stipulent que la probabilité d’un dégagement de substances radioactives provoqué par la chute d’un avion sur les systèmes et matériels concourant aux 3 fonctions de sûreté doit être inférieure à 10E-7 par an, par tranche et par fonction de sûreté. Cette exigence conduit donc à retenir l’impact de deux types d’avions - le LEAR JET 23 (biréacteur de 5,7 tonnes) et le CESSNA 210 (monomoteur de 1,5 tonne) - supposés heurter les installations à 360 Km/h.

De cette conclusion découlent les dispositions de prévention suivantes :

Pendant toute la vie de la centrale, le trafic aérien est constamment réévalué pour s’assurer qu’il est toujours compatible avec les dispositions constructives d’origine. Par ailleurs, tout survol d’un site nucléaire à basse altitude est immédiatement signalé aux autorités civiles et militaires.

1.2.1.3 – Se prémunir contre les agressions de l’environnement industriel, contre les inondations externes, contre les grands froids

Cette prévention, qui a recours à des dispositions somme toute classiques, ne se distingue pas fondamentalement de celle mise en œuvre dans toutes les installations industrielles sensibles (explosifs, chimie, pétrochimie...). Il convient néanmoins d’en mentionner les quelques spécificités :

1.3 – Conception de la surveillance et de la détection

Ce domaine de conception ne peut être développé dans le cadre de cet exposé. Il concerne les thèmes suivants :

1.4 – Conception des moyens d’action

Ce domaine de conception ne peut pas, non plus, être développé dans le cadre de cet exposé. Il concerne les thèmes suivants :

 

2 - LA DEP PENDANT LA CONSTRUCTION ET A LA MISE EN SERVICE DES INSTALLATIONS

Eu égard à l’intérêt très relatif que le grand public accorde probablement à un tel sujet, il convient de traiter ce chapitre en se limitant à caractériser la méthode utilisée par l’ensemble des acteurs pour mener à bien la construction et la mise en service d’une tranche nucléaire.

Cette construction et cette mise en service se déroulent en 5 étapes :

La rigueur d’exécution de ces étapes se manifeste dans les 3 domaines classiques :

 

3 - LA DEP PAR LE RESPECT DES EXIGENCES DE SURETE

3.1 – La nature préventive de ces exigences

Ces exigences sont déclinées dans le chapitre 3 des Règles Générales d’Exploitation (les RGE) intitulé Spécifications Techniques d’exploitation (STE). Les RGE, associées au rapport de sûreté dans le décret d’autorisation de création de la centrale, constituent un document à caractère réglementaire (comme le code de la route), alors que les STE sont un ensemble de prescriptions souveraines pour la conduite des installations. Leur prééminence sur toute autre considération technique est intangible pour les équipes de conduite exposées à des sanctions en cas de non respect de ces prescriptions.

Toute dérogation aux STE est soumise à l’autorisation préalable de l’Autorité de Sûreté.

Les STE applicables à une tranche donnée sont constituées de 3 sections :

La première section (document standard) est structurée en 6 domaines d’exploitation :

Les STE concernent exclusivement le fonctionnement normal. En situation incidentelle ou accidentelle, la sûreté est garantie par des procédures particulières (chapitre 6 des RGE).

3.2 – La surveillance de l’applicabilité de ces exigences

Le chapitre 9 des RGE est consacré aux essais périodiques qui s’imposent sur les matériels IPS pendant l’exploitation des tranches. De tels essais sont, en effet, indispensables à garantir :

Le premier corollaire à ces essais périodiques est une organisation sophistiquée de maintenance des matériels se répartissant en maintenance corrective (après défaillance), maintenance conditionnelle ou potentielle (subordonnée à des inspections, contrôles ou visites), maintenance prédictive (résultant de l’évolution d’un paramètre surveillé comme les vibrations), maintenance systématique ou périodique. La maintenance préventive de l’ensemble des matériels fait l’objet de vastes programmes : les Programmes de Base de Maintenance Préventive (les PBMP).

Le second corollaire à ces essais périodiques est la Surveillance en Exploitation des Matériels mécaniques. Cette surveillance est soumise à un ensemble codifié de Règles, les RSEM . Les RSEM sont prises en compte dans les PBMP.

Le troisième corollaire à ces essais périodiques est l’obligation de requalifier les matériels ayant fait l’objet d’une intervention.

Définition de la requalification : la requalification consiste à vérifier le fonctionnement d’un matériel ou d’un système pour s’assurer que les performances requises à la conception sont maintenues ou retrouvées à la suite d’une intervention, d’une modification ou d’un événement d’exploitation.

Cette opération, qui revêt une importance cruciale pour les matériels et systèmes IPS, se réalise généralement en deux étapes successives : la requalification intrinsèque (limitée à un matériel donné tel que pompe) et la requalification fonctionnelle (l’essai du même matériel dans un ensemble fonctionnel donné dont les performances doivent être maintenues).

3.3 – Les moyens d’action pour garantir le respect de ces exigences en toute circonstance

La pertinence des moyens d’action garantissant la sûreté de l’exploitation d’une tranche nucléaire s’apprécie en situation incidentelle ou accidentelle. Ces moyens comprennent :

3.3.1 – Les procédures accidentelles

À elle seule, la mise en œuvre des procédures accidentelles nécessiterait un exposé hors de portée de la culture technique d’une majorité de lecteurs. Il convient cependant de s’attarder sur la méthode d’appréhension des situations accidentelles récemment adoptée à EDF, avec l’agrément de l’Autorité de sûreté. Elle est le fruit des enseignements tirés de l’analyse approfondie des accidents survenus à Three Mile Island (TMI), aux USA, et à Tchernobyl qu’on ne présente plus. Insistons, au passage, sur le fait que cette analyse a débouché sur un grand nombre de modifications d’installations et de procédures d’exploitation ou d’entretien dites " modifications post-TMI " ou " post-Tchernobyl ".

Ces deux accidents ont montré qu’un cumul de défaillances matérielles et humaines était possible et pouvait conduire à multiplier les procédures de conduites requises par divers régimes transitoires de la chaudière, susceptibles, de surcroît, de se combiner entre eux. Le diagnostic de la situation en était notablement compliqué et le choix de la procédure idoine rendu hasardeux. Pour éviter pareils écueils, l’Approche Par Etats physiques de la chaudière (APE) a été conçue. En effet, si les combinaisons d’évènements techniques peuvent se multiplier à l’infini, les états physiques possibles d’une chaudière nucléaire sont en nombre limité.

Les principes de cette approche par états (APE) sont les suivants :

Dans une approche par états, l’objectif général et la stratégie de conduite peuvent être redéfinis à tout moment en fonction de l’évolution de la situation.

3.3.1 – Les dispositions humaines : l’organisation de Crise

A l’instar du précédent, ce thème nécessiterait, à lui seul, un volumineux exposé. On se limitera donc à donner quelques repères de nature à permettre au lecteur de se faire une idée sur l’ampleur des moyens de secours mis en oeuvre en cas d’accident.

Mobiliser l’organisation de crise c’est mettre en œuvre 2 plans : le Plan d’Urgence Interne (PUI) et, éventuellement, le Plan Particulier d’Intervention (PPI).

Le PPI est un plan de sécurité civile sur lequel nous ne nous attarderons pas. Précisons simplement qu’il est conçu et activé sous la responsabilité du Préfet de Département, qu’il permet aux pouvoirs publics de prendre des mesures sanitaires pour protéger les populations exposées à des rejets radioactifs. Ce plan n’est pas systématiquement activé avec le PUI. Lorsqu’il l’est, PUI et PPI doivent fonctionner avec une certaine synergie.

Le PUI est de l’entière responsabilité d’un exploitant nucléaire, EDF en l’occurrence. Il mobilise, dans des délais très courts, les moyens techniques et humains destinés à aider le personnel de conduite à maîtriser la situation, tant sur le plan technique que sur le plan de la protection des personnes et du secours aux blessés.

Il existe trois niveaux géographiques de PUI :

Précisons, pour conclure, les trois niveaux de gravité possibles d’un PUI :

En toute rigueur, le PPI n’est réputé être activé que pour un PUI de niveau 3.

4 - LA DEP EN EXPLOITATION

La Défense en profondeur en exploitation repose sur 3 piliers : le professionnalisme des personnels, l’organisation de la qualité et la gestion du retour d’expérience.

4.1 – Prévention des défaillances d’exploitation

4.2 – Surveillance des éventuelles dérives d’exploitation

4.3 – Moyens d’action pour corriger les écarts

Le traitement efficace des écarts résulte de l’organisation très élaborée d’un Retour d’Expérience (REX) qui ne doit rien laisser dans l’ombre. Le REX s’élabore à deux niveaux : le niveau local (le site) et niveau national (le parc).

Tous les incidents d’exploitation et avaries de matériels font l’objet d’analyses locales consistant à :

Au niveau du parc, la démarche suivante est constamment appliquée :

 

5 – CONCLUSION ET COMMENTAIRES

5.1 – Une description de la DEP incomplète

Outre sa superficialité, la description ci-dessus de la Défense En Profondeur - grâce à laquelle EDF revendique une sûreté de ses centrales de très haut niveau - est incomplète. Il y manque le chapitre " Défense en profondeur pendant le démantèlement des installations ". Vaste sujet, selon nous indissociable de la gestion des déchets, qui ne saurait être traité sommairement. Les débats polémiques et passionnés qu’engendre la gestion des déchets justifient qu’un exposé clair et complet soit consacré à ce thème.

Par ailleurs, il convient d’attirer l’attention du lecteur sur le fait que la protection contre les actes de malveillance - hélas ! d’une douloureuse actualité - n’est pas spécifiquement prise en compte dans une défense en profondeur conçue par des scientifiques et des techniciens. Pareille protection nous semble davantage relever de dispositions de sécurité civile, dont la Police, la Gendarmerie et l’Armée ont la responsabilité. Pour autant, il n’est pas inutile de se livrer à quelques spéculations destinées à montrer qu’un acte de malveillance - quelle qu’en soit la nature (acte de guerre exclu !) - a peu de chance de se traduire par une contamination radioactive importante des populations environnantes.

5.2 – Le syndrome du 11 septembre… ou du métro St Michel

5.2.1 – bombarder le réacteur

Quiconque a un peu pratiqué l’aéronautique sait que n’est pas Kamikaze " performant " qui veut. Il est ici question de pilote-suicide. Les Kamikazes japonais survivants peuvent attester que le rendement de leurs missions désespérées était décevant ; et pas seulement à cause de l’efficacité des défenses anti-aériennes américaines.

Ils étaient pourtant des professionnels aux commandes d’appareils, certes peu maniables, mais tout de même avions de combat. Rien à voir, en tout cas, avec nos patauds avions de commerce actuels dont des amateurs ou des " occasionnels " parviendraient à s’emparer ; le supplément d’efficacité obtenu par un " professionnel-pirate " demanderait d’ailleurs à être vérifié. La routine de son métier consiste à suivre un cap dont le terme, après une longue et patiente approche, est la piste de l’aéroport. Non seulement son appareil n’est pas conçus pour le vol à vue intégral, non seulement il est confié au pilotage automatique le plus clair du temps, mais il arrive - heureusement, dans de rares cas - que l’habileté de l’opérateur soit défaillante à l’atterrissage…

Les pistes modernes ont pourtant une centaine de mètres de largeur et, au moins, 2000 mètres de long, tandis que les navires américains engagés dans la bataille du Pacifique avaient une superficie moyenne proche du 1/2 hectare. Le bâtiment du réacteur d’une centrale PWR française n’a qu’une trentaine de mètres de diamètre et une cinquantaine de mètres de haut. De plus, il est enchâssé dans un ensemble de constructions pouvant gêner la trajectoire de tout projectile, voire constituer, au moins partiellement, un obstacle pour atteindre la cible.

Ces quelques considérations amènent à admettre que la destruction totale d’un réacteur nucléaire civil et de ses auxiliaires de sauvegarde ne serait pas chose facile pour les émules des pilotes ayant abattu les " Tours jumelles " ; une gageure dont nous convenons cependant qu’elle n’est pas impossible à réaliser.

Considérons donc l’impact. Outre l’évaluation de son rendement destructif tenant compte de ce qui vient d’être dit, l’estimation de la gravité des dégâts et de leurs conséquences sanitaires dépend surtout du niveau de prévention retenu à la construction des installations. Rappelons les principales dispositions en la matière :

Dans ces conditions, une seule question importe : ce type de bombardement peut-il être en mesure de neutraliser simultanément les 3 fonctions de sûreté que sont le contrôle de la réactivité, le contrôle du refroidissement du cœur et le contrôle du confinement des polluants radioactifs (gazeux principalement).

La réponse ne peut être que oui, mais avec quel degré vraisemblable de probabilité ? Certainement très faible ; au moins pour les deux premières fonctions. Car, l’Arrêt d’Urgence (A.U), automatique ou manuel, provoque quasi-instantanément la chute des barres de contrôle dans le cœur du réacteur et l’exploitant dispose de plus d’un moyen pour éviter son dénoyage. Des rejets radioactifs gazeux seraient, certes, inévitables - même pour une agression du circuit primaire infiniment moindre - mais une organisation de crise très structurée et déjà bien rodée prendrait aussitôt en charge la sécurité sanitaire des personnels et des populations environnantes avec une efficacité que personne ne peut aujourd’hui mettre en doute : les deux plans PUI et PPI déjà mentionnés, volets particuliers des plans ORSEC.

5.2.2 – Miner le réacteur

Miner le réacteur c’est, avant tout, parvenir jusqu’à lui. Dès lors, le problème de sécurité civile se poserait dans les mêmes termes que précédemment. Toutefois, la probabilité de succès d’une pareille entreprise est encore plus faible que celle du bombardement, car l’accès au bâtiment du réacteur est drastiquement réglementé.

Tranche en fonctionnement ou en arrêt de courte durée, l’accès à l’intérieur de ce bâtiment est interdit ou autorisé à de rares intervenants du service. Les sas de passage sont physiquement infranchissables : leur manœuvre - conditionnée par un automatisme d’identification et sous surveillance vidéo permanente - provoque des alarmes en salle de commande.

La seule période au cours de laquelle le sabotage pourrait être tenté est celle du rechargement du réacteur, généralement mise à profit pour réaliser des programmes d’entretien ou de réparation. Dans cette circonstance, des personnels d’entreprises extérieures, dont certains membres pourraient être animés d’intentions malveillantes, interviennent dans le bâtiment du réacteur.

Il convient, là encore, de relativiser le risque. En effet, durant ces périodes, les accès ne sont autorisés que nominativement et sous réserve du contrôle des habilitations, du recensement des matériels - à l’entrée et à la sortie pour une éventuelle décontamination - et de leur conformité. Par ailleurs, pour des raisons évidentes de sécurité, ces accès sont sévèrement contingentés : on sait, à chaque instant, qui se trouve dans le bâtiment et, bien entendu, en quel nombre.

Cela dit, il serait malhonnête de prétendre que le reste des installations d’une centrale - lui aussi parcouru par des intervenants extérieurs lors des arrêts de tranches - est aussi peu vulnérable que l’îlot nucléaire. Mais on est obligé d’admettre que les dégâts qui y seraient provoqués auraient, certes, des conséquences importantes sur la disponibilité, mais des conséquences faibles ou très faibles sur la sûreté et sur la sécurité des personnes. De ce point de vue, c’est certainement une destruction partielle ou totale du bâtiment du combustible qui poserait le plus de problèmes.

Pour conclure, on peut rassurer le lecteur en l’informant que des missions secrètes de pénétration menées par des agents de la DST permettent régulièrement d’améliorer la sécurité des sites de production électronucléaires français.