Ukraine : la sécurité de la centrale de Zaporijia

Pour tenter de répondre le moins mal possible à une question aussi difficile, procédons par analogie spéculative avec les normes de construction et la doctrine de sûreté nucléaires en vigueur chez nous.

Chez EDF, la pierre angulaire de la sûreté du parc électronucléaire est ce qu’on appelle la défense en profondeur (DEP) consistant à prendre systématiquement en compte les défaillances techniques, humaines ou organisationnelles et à s’en prémunir par des lignes de défense successives.

Cette méthode de défense prévoit trois niveaux de sûreté :

1. La qualité de la conception, de la réalisation et de l’exploitation des centrales
2. Les systèmes de protection et de secours destinés à ramener l’installation dans son domaine de fonctionnement normal.
3. L’intervention des systèmes de sauvegarde du confinement des produits radioactifs, en cas d’accident grave.

Pour parer à chacun des accidents de référence catalogués, cinq lignes de défense ont été définies :

1. La qualité retenue pour la conception et la réalisation des installations.
2. Le niveau de surveillance en exploitation.
3. Le nombre, la qualité et la puissance des systèmes de secours.
4. Les systèmes de sauvegarde.
5. Les plans d’urgence. 

Il se dit que, en matière de conception des installations, les réacteurs VVER présentent de nombreuses similitudes avec les réacteurs PWR français ou américains. Cette conception pourrait en effet également se caractériser par l’approche déterministe – c’est-à-dire recensant les évènements pouvant conduire à la dispersion dans l’atmosphère ou dans les cours d’eau de produits radioactifs – permettant de définir des accidents dits enveloppes, majorants du point de vue de leurs conséquences dans l’environnement ; une approche complétée par l’approche probabiliste permettant d’apprécier la probabilité des scénarios accidentels à retenir, dits accidents de référence.

On ne devrait donc pas avoir à redouter un gap prohibitif entre les dispositions constructives homologues des deux technologies concernant en particulier :

• le classement IPS (Important pour la sûreté) des fonctions et des matériels ;
• le critère de défaillance unique imposant la redondance de certaines fonctions, matériels et signalisations ;
• la prévention de défaillance mode commun : séparation physique et diversification des dispositifs redondants ;
• les agressions internes : sectorisation étanche et détection incendie, prévention des inondations, gels…;
• les agressions externes par chute d’avion, par missile pas forcément militaire… ;
• La tenue au séisme ;
• La conception de la surveillance et de la détection : alarmes, mesures de radioactivité et essais périodiques…

Si l’on faisait crédit à la technologie VVER de l’analogie PWR venant d’être caractérisée, ce serait moins de la défaillance des trois barrières de confinement – gaine du combustible, circuit primaire et enceinte béton – que nous aurions à redouter l’émission incontrôlée d’effluents radioactifs liquides et/ou gazeux, en cas d’agression externe, que de la gestion (possiblement) trop approximative de l’accident par les opérateurs de la centrale ; ceci à l’incertitude près que nous développerons plus loin.

Avant d’aborder comme il convient ce volet de la gestion accidentelle, quid des versions ukrainiennes de notre PUI (Plan d’Urgence Interne), l’organisation accidentelle déployée par l’exploitant à l’intérieur de son site, et de notre PPI (Plan Particulier d’Intervention), le plan de protection civile ?

Dans le monde nucléaire d’EDF, tout commence par les Règles Générales d’Exploitation (RGE). Associées au rapport de sûreté présent dans le décret d’autorisation de création d’une centrale, ces RGE sont un document réglementaire de base. Leur chapitre 3 intitulé Spécifications Techniques d’exploitation (STE) énonce un ensemble de prescriptions de conduite d’une tranche nucléaire, souveraines du point de vue sûreté mais ne concernant que le fonctionnement normal des installations. C’est le chapitre 6 de ces RGE qui est dédié au fonctionnement en situation accidentelle et fournit les procédures particulières à appliquer en cette circonstance.

Ces procédures sont ainsi classées par ordre de gravité croissante :

• I pour incidentelles,
• A pour accidentelles,
• H pour hors dimensionnement,
• U pour ultime.

Un GIAG (Guide d’Intervention en Cas d’Accident Grave) est même mis à disposition des exploitants.

On est en situation hors dimensionnement après la perte accidentelle du réfrigérant primaire (APRP) et/ou la défaillance simultanée des voies redondantes de systèmes de sûreté (mode commun), par exemple.

On est en situation ultime lorsqu’on en est à tenter de limiter ou de retarder l’endommagement du cœur, voire à tenter de limiter les conséquences radiologiques de cet endommagement devenu inéluctable.

À ce stade de la réflexion sur la possible transposition de la doctrine française de sûreté à celle en vigueur à Zaporijia, il convient de s’arrêter sur deux sources d’inquiétudes nées d’une considération de notre ASN, relative aux installations de sûreté du VVER1000, d’une part, et d’une incertitude, d’autre part :

– Manque de diversification des moyens de refroidissement des principales pompes, y compris celles de sauvegarde ; autonomie insuffisante de la source de refroidissement ultime en cas d’accident ;

– Parmi nos procédures U, figure la procédure U5 relative à la décompression de l’enceinte (vers l’extérieur) à travers un filtre à sable ;

Aussi, de deux choses l’une : un filtre à sable est opérationnel sur les 6 tranches de Zaporijia, et en cas de brèche primaire importante dont l’alimentation de secours en eau sera probablement incapable de compenser le débit, le passage des procédures H aux procédures U sera sans doute très rapide, mais le filtre à sable sera susceptible de protéger un temps les populations des radioéléments gazeux nés d’une possible fusion partielle ou totale du cœur ; le filtre à sable n’est pas présent, et la dernière phase du processus précédent pourrait se révéler dramatique.

Toutefois, ce pourrait être sans compter, en amont, sur une possible et bienvenue appréhension précoce de l’accident suivant une méthode qu’ont adopté les opérateurs français, née des enseignements tirés des accidents de Three Mile Island et de Tchernobyl : l’APE ou Approche Par États physiques de la chaudière.

Mettant en pratique la philosophie selon laquelle alors que les combinaisons d’évènements techniques pouvant in fine mettre en péril la chaudière nucléaire sont innombrables les possibles états physiques de cette dernière sont en nombre limité, les principes de l’APE sont les suivants :

• Identifier AU PLUS TÔT l’état physique de l’installation à partir des 6 fonctions d’état : sous-criticité, inventaire en eau primaire, évacuation de la puissance résiduelle, intégrité et inventaire en eau des générateurs de vapeur, intégrité de l’enceinte de confinement
• À partir de cette évaluation, définir l’objectif général de conduite (passage à un état de repli, par exemple)
• Définir les priorités entre fonctions d’état à rétablir
• Identifier toutes les actions nécessaires à maîtriser le contrôle des fonctions d’état
• Procéder à un recensement général de la disponibilité des principaux systèmes utilisés afin de déclencher, si nécessaire, les substitutions ou la restauration des systèmes disponibles.

Dans une telle approche, l’objectif général et la stratégie de conduite peuvent être redéfinis à tout moment, en fonction de l’évolution de la situation, ainsi que l’illustre ce logigramme.

Il va de soi que cette longue spéculation technique ne saurait prétendre ni à l’exhaustivité, ni au caractère enveloppe des scénarios accidentels qu’elle concerne. Au demeurant, il ne peut être de démarche analogue à la mienne qui n’atteigne rapidement ses limites en situation de guerre, principalement du fait de la grande vulnérabilité des sources électriques et donc de l’énorme menace pesant sur leur disponibilité.

On attend donc avec intérêt le rapport des inspecteurs de l’AIEA.