print

Questions sur la sécurité du réacteur

Faut-il disposer d'une alimentation électrique pour refroidir le réacteur après son arrêt ?

Non

Après l’arrêt du réacteur, le refroidissement du cœur peut être assuré par simple convection naturelle, donc en l’absence de toute source d’énergie électrique.

Après l’arrêt du réacteur, qui correspond à l’arrêt de la réaction en chaîne de fission de l’uranium du combustible, le cœur continue cependant à dégager de l’énergie à cause de la radioactivité des produits de fission qu’il contient. Cette énergie par unité de temps est appelé la puissance résiduelle du cœur. Cette puissance résiduelle étant due à la radioactivité du cœur, elle va donc baisser au cours du temps en même temps que celle-ci. 
Après un cycle de fonctionnement normal, c'est-à-dire 46 jours à la pleine puissance  de 57 MW, le cœur du réacteur dégage la puissance résiduelle suivante :

  • 2 MW juste après l’arrêt du réacteur ;
  • 0,55 MW au bout d’une heure ;
  • 0,18 MW au bout de 24 h ;
  • 0,08 MW au bout d’une semaine.

Cette puissance résiduelle est non seulement faible mais elle décroît également très rapidement. Ceci est dû, d’une part à la faible puissance de fonctionnement du réacteur (57 MW), et d’autre part, au fait que la durée d’un cycle de fonctionnement est courte (46 j). Il faut ensuite changer l’élément combustible, élément unique constituant le cœur dans son ensemble. Cette durée de fonctionnement étant courte la radioactivité des produits de fission de longue durée de vie (longue période) n’a pas le temps de s’accumuler.

Il faut cependant continuer à refroidir le cœur pour qu’il ne monte pas en température et donc éviter tout risque de fusion du combustible.
Lors d’un arrêt normal on laisse fonctionner les pompes principales pendant 1 heure ; ces dernières assurent un débit à travers le cœur de 2400 m3/h ; ensuite, seules  les pompes du circuit de refroidissement à l'arrêt assurent un débit de 150 m3/h à travers le cœur. La source froide est alors l’eau du Drac, la chaleur lui étant transférée à travers des échangeurs. Ce mode de fonctionnement permet d’éviter toute sollicitation thermique sur l’élément combustible et la cuve du réacteur.
En cas de perte des alimentations électriques externes, les pompes principales du circuit primaire vont s’arrêter entraînant automatiquement l’arrêt du réacteur. Cette perte des alimentations électriques externes entraîne automatiquement la mise en route des diesels de premiers secours. Ceux-ci permettent alors de ré alimenter les principaux circuits dont en particulier le circuit de refroidissement à l’arrêt.

Enfin, même en cas de perte totale des alimentations électriques externes et de premier secours, les pompes du circuit de refroidissement à l’arrêt vont continuer à fonctionner pendant une heure car elles disposent de batteries garantissant une telle autonomie. En cas de défaillance de cette alimentation par batterie, le refroidissement n’est pas assuré en convection forcée mais alors en convection naturelle, celle-ci suffisant largement à assurer le refroidissement correct du cœur.

Le réacteur de l’ILL peut-il exploser ?

Non

Une explosion comme celle qui s’est produite sur le réacteur n° 4 de Tchernobyl, due à l’emballement de la réaction de fission est impossible avec le réacteur de l’ILL. En effet, le scénario similaire, appelé accident BORAX sur les réacteurs de recherche de notre type, ne conduit pas à une explosion capable d’endommager toutes les structures du réacteur y compris son enceinte de confinement. L’énergie stockée dans le cœur et dégagée dans « l’explosion » est beaucoup trop faible pour produire de tels dégâts. Ceci est évidemment dû à la très petite taille du cœur de l’ILL (10 kg d’uranium, à comparer avec les 190 tonnes du cœur du réacteur de type RMBK de Tchernobyl).

L’Autorité de Sûreté Nucléaire française (ASN) impose de prendre en compte, pour le dimensionnement des réacteurs expérimentaux du type de celui de l’ILL, un scénario de type « accident BORAX », du nom d’une installation de recherche américaine volontairement détruite dans les années 50 afin d’étudier ce phénomène.

Un accident du même type s’est réellement produit sur le réacteur SL1 (USA) lors du retrait accidentel et extrêmement rapide d’une barre de commande du réacteur. Ce retrait avait conduit à une augmentation exponentielle de la puissance nucléaire générée par la réaction en chaîne tellement rapide que la chaleur générée dans les plaques combustibles avait conduit à leur fusion avant d’être transférée à l’eau de refroidissement. La dispersion d’une masse importante d’aluminium fondu sous la forme de très fines gouttelettes dans l’eau de refroidissement avait alors conduit à une vaporisation brutale assimilable à une explosion, dite « explosion de vapeur ».

Pour revenir au réacteur de l’ILL, l’énergie dégagée dans un tel scénario, inférieure à 200 MJ, impliquerait la destruction partielle de la cuve du réacteur. De ce fait, la piscine réacteur et son cuvelage métallique ont été dimensionnés pour résister à cette « explosion » en conservant leur étanchéité. Une éventuelle gerbe d’eau pourrait accompagner ce phénomène, mais celle-ci resterait de faible ampleur et n’endommagerait donc pas l’enceinte de confinement.

Il faut noter qu’aucun scénario, même extrêmement improbable, ne permet d’atteindre les conditions nécessaires à un tel accident BORAX sur le réacteur de l’ILL. Ceci est d’ailleurs assez général sur les réacteurs de recherche équivalents dans le monde. L’hypothèse d’un accident BORAX n’est  donc pas retenue par les autorités de sûreté dans la plupart des autres pays.

Le combustible du réacteur peut-il fondre ?

Oui

On a vu précédemment que le cœur est correctement refroidi, dès l’arrêt du réacteur, par simple convection naturelle. Bien sûr, pour que celle-ci puisse s’établir il faut que l’inventaire en eau de la cuve soit suffisant. Les accidents qui peuvent conduire à la perte de l’inventaire en eau de la cuve du réacteur conduisent donc à la fusion du combustible puisqu’il n’y a alors plus de convection naturelle possible.

Par conception de la cuve du réacteur et des circuits de refroidissement qui lui sont associés il faut systématiquement au moins deux défaillances indépendantes pour conduire à la perte de l’inventaire en eau et donc au dénoyage du cœur. La fréquence d’un tel événement est donc très faible, de l’ordre de 10-5 à 10-6 par an (il se produirait en moyenne une fois tous les cent mille à un million d’années).

Ce scenario a pourtant été prévu dans le cadre de la dernière réévaluation de la sûreté de l’installation. Un circuit de sauvegarde a été ajouté ; il permet, dans un tel scénario, de réinjecter de l’eau directement dans la cuve afin de garder un niveau d'eau suffisant pour que la convection naturelle puisse toujours refroidir le cœur. Des pompes de reprise ont été implantées dans le fond du réacteur pour réinjecter l’eau ayant fui de la cuve, et rétablir ainsi un circuit de refroidissement « fermé ».
Enfin dans un processus continu de renforcement de la sûreté de l’installation, l'ILL a proposé un nouveau circuit de sauvegarde, permettant le cas échéant de mettre en communication la cuve du réacteur, de volume 15 m3, avec la piscine du réacteur et sa piscine d’entreposage associée; l’ensemble du volume d’eau serait alors de 1000 m3. L’eau de la piscine remplira alors la cuve du réacteur par simple gravité, donc sans aucun besoin d’énergie extérieure, et permettra donc de continuer à assurer le refroidissement du cœur. Cette nouvelle disposition a été mise en service en 2012.

La probabilité de fusion du cœur avec ces nouveaux circuits de sauvegarde sera alors extrêmement faible, proche de la fréquence de 10-7 par an, valeur à partir de laquelle on estime que le risque est « résiduel » et ne nécessite plus d’être pris en compte dans le dimensionnement de l’installation. 

Dans l’accident BORAX pris en compte forfaitairement, le cœur est également en parti fondu mais se trouve toujours immergé dans l’eau de la piscine. La radioactivité relâchée lors de la fusion est alors en grande partie retenue dans la piscine, qui joue alors le rôle d’un filtre. Une petite partie de cette radioactivité, essentiellement les gaz rares de fission, Krypton et Xenon, se trouve directement dans l’enceinte de confinement.

Quel est l'accident le plus grave qui puisse se produire à l'ILL ?

L’accident le plus grave serait la fusion du cœur après la perte de l’inventaire en eau.

Dans un tel accident la fusion du combustible aurait deux conséquences :

  • La perte de la gaine du combustible qui sert de première barrière pour confiner les produits de fission radioactifs ;
  • La sortie d’une partie des produits de fission qui sont normalement stockés dans la matrice du combustible.

Les produits de fission radioactifs seraient donc relâchés dans le circuit primaire du réacteur.

Dans le scénario le plus grave retenu pour dimensionner l’installation de l’ILL, on postule de façon extrêmement pessimiste que le circuit primaire, qui constitue la deuxième barrière de confinement des produits radioactifs, est lui-même endommagé. Dans cette hypothèse les produits radioactifs sont relâchés directement dans l’enceinte de confinement, troisième et dernière barrière, et non dans l’eau de la piscine qui entoure la cuve du réacteur. Cette hypothèse est très pénalisante car l’eau de la piscine joue le rôle d’un filtre très efficace pour retenir une très grande partie des produits de fission radioactifs.

Dès la conception, puis suite aux améliorations continues de la sûreté de l’installation, ce scénario le plus grave a été pris en compte. Il fait l’objet de dispositions de prévention, pour rendre la probabilité de son occurrence la plus faible raisonnablement possible, et de dispositions de limitation des conséquences, pour rendre la gravité de cet accident, s’il devait néanmoins survenir, la plus faible raisonnablement possible.

C’est ce scénario très pessimiste qui dimensionne le plan d’urgence d’interne et le plan particulier d’intervention. C’est sur lui, même s’il est très peu probable, que sont basés les calculs des « cercles de danger » de 300 m - évacuation des personnels des entreprises -, et de 500 m - mise à l’abri des quelques centaines d’habitants du quartier Bastille de Fontaine.

L’ILL devrait-il effectuer des lâchers de gaz radioactifs si cet accident se produisait ?

Oui

Lors de l’accident de fusion du cœur l’enceinte de confinement est immédiatement isolée. Dans les heures qui suivent l’accident elle peut monter légèrement en pression la valeur maximale se stabilisant autour de 0,1 bar donc sans risque d’endommagement de l’enceinte. Pour garantir de façon absolue l’absence de tout rejet radioactif non filtré et non contrôlé, il est cependant préférable de maintenir la pression dans l’enceinte à une valeur légèrement inférieure à la pression atmosphérique. Ceci est effectué en rejetant régulièrement de faibles volumes d’air de l’enceinte par la cheminée de 45 m à travers des filtres de très haute efficacité pour les aérosols et des pièges à iode. Ces rejets sont alors évalués, contrôlés et maîtrisés, on parle de rejets concertés.

Lors de l’accident le plus grave pris en compte, c'est-à-dire la fusion du cœur à l’air, une fraction des produits de fission radioactifs est directement relâchée dans l’enceinte de confinement.

Celle-ci est surveillée en permanence par trois détecteurs de radioactivité dans l’enceinte elle-même et par trois autres détecteurs sur le circuit de ventilation. Si deux des trois détecteurs identiques dépassent un seuil de radioactivité, l’enceinte est automatiquement et totalement isolée.

Cependant, cet isolement total de l’enceinte implique l’arrêt de toutes les ventilations y compris le conditionnement d’air permettant son refroidissement. La pression dans l’enceinte va donc s’élever sous l’action des divers dégagements de chaleur dans l’enceinte, en particulier à cause de la puissance résiduelle du combustible. La vaporisation de l’azote ou l’hélium liquide utilisés pour des raisons expérimentales va également conduire à une faible augmentation de la pression dans l’enceinte.

Dans la situation la plus défavorable, c'est-à-dire une très chaude journée d’été, la pression dans l’enceinte s’élèvera en quelques heures pour se stabiliser à environ  0,1 bar.

C’est pour cette raison que l’enceinte de confinement du réacteur de l’ILL est double, avec une enceinte interne en béton de 40 cm d’épaisseur et une enceinte externe en acier de 11 mm d’épaisseur. Entre ces deux enceintes une surpression de 0,135 bar est maintenue en permanence avec de l’air extérieur propre. De mini-fuites sont inévitables sur une enceinte d’une telle dimension  : 60 m de diamètre, et 35 m de hauteur. La double enceinte de confinement garantit que les échanges se font de l’extérieur vers l’intérieur et non l’inverse. C’est de l’air propre de l’extérieur qui rentre dans l’enceinte de confinement et non de l’air éventuellement pollué par des produits radioactifs qui sort à l’extérieur.

Il est cependant préférable de ramener la pression à l’intérieur de l’enceinte béton à une valeur légèrement inférieure à la pression atmosphérique. Cette mesure garantit, cette fois de façon absolue, l’absence de toute fuite non contrôlée, même en cas de défaillance des circuits de gonflage de l’espace annulaire entre les deux enceintes. Ce dégonflage de l’enceinte interne en béton, après évaluation de l’activité qui sera rejetée, est effectué par la cheminée de 45 m après passage sur des filtres très haute efficacité et des pièges à iodes. L’activité rejetée est évidemment mesurée et contrôlée à la cheminée.

Quelle serait l'échelle de temps de cet accident ?

L’accident de fusion du cœur par perte de l’inventaire d’eau correspond à une cinétique relativement lente : le nombre de dispositions de sauvegarde disponibles permet de maintenir un inventaire en eau suffisant pour que la convection naturelle refroidisse toujours correctement le cœur.

L’application des Règles Fondamentales de Sûreté conduit à postuler la défaillance de certains circuits de sauvegarde au bout de 24 heures d’utilisation. C’est cette défaillance supplémentaire qui dans ce scenario conduirait au dénoyage du cœur et à sa fusion à l’air.

L’exploitant et les pouvoirs publics ont donc le temps de mettre en place leur organisation de crise respective (PUI et PPI) avant que l’accident radiologique lui-même, c'est-à-dire la fusion du cœur, ne survienne.

En ce qui concerne l’accident BORAX, imposé forfaitairement, la cinétique est extrêmement rapide. Une petite fraction des produits de fission sont relâchés immédiatement dans l’enceinte de confinement, la part la plus importante étant retenue dans la piscine. Bien que cet accident relève alors de la phase dite réflexe du PPI, les débits de dose qu’il génère autour de l’installation sont nettement plus faibles que ceux dus à l’accident de fusion à l’air. Les éventuelles contre-mesures (évacuation et/ou mise à l’abri) pour protéger les populations situées dans les cercles de 300 et 500 m pourraient donc être effectuées de manière calme et réfléchie, sans précipitation.

La prise de comprimés d'iode est-elle nécessaire en cas d'accident sur le réacteur de l'ILL ?

Oui et non

Les calculs effectués pour l’accident le plus grave, c'est-à-dire la fusion du cœur en tenant compte de l’efficacité nominale des pièges à iode, montrent que la dose équivalente à la thyroïde est de l’ordre de 10 mSv pour les enfants (public le plus sensible) dans le cercle de 500 m.
Le niveau d’intervention associé à la mise en œuvre de l’administration d’iode stable étant fixé par l’arrêté du 20 novembre 2009 à 50 mSv en dose équivalente sur la thyroïde, cette administration n’est pas obligatoire.
Le préfet peut cependant tout à fait ordonner cette administration pour les personnes situées dans les cercles de 300 et 500 m par mesure de précaution supplémentaire.

Il peut être utile de rappeler que :

  • Le comprimé d’iode permet de saturer la glande thyroïde avec l’iode stable (non radioactif) qu’il contient. La thyroïde étant alors saturée, l’iode radioactif éventuellement inhalé ne se fixe pas.
  • Cette protection durant environ 24 h, il ne sert à rien d’avaler de comprimé d’iode trop tôt. C’est pourquoi il faut écouter les instructions délivrées par le Préfet.

Pour en savoir plus : www.distribution-iode.com

Le combustible usé en entreposage est-il protégé de la même façon que le cœur du réacteur ?

Oui

La piscine, dans laquelle le combustible usé est entreposé en attente de son retraitement à La Hague, est située dans l’enceinte de confinement du réacteur comme la piscine du réacteur elle-même. Les exigences de dimensionnement (résistance aux diverses sollicitations et agressions possibles) sont strictement les mêmes que pour la piscine du réacteur.

Un élément combustible usé peut être refroidi correctement seulement avec de l’air à partir du 242ème jour après l’arrêt du réacteur. Comme l’ILL fait au plus 4 cycles de fonctionnement de 50 jours par an, il y a donc quatre cœurs utilisés par an, dont trois seulement peuvent avoir une durée de refroidissement (temps écoulé depuis la fin de l’utilisation du cœur) inférieure à 242 jours. Les autres cœurs entreposés au fond de la piscine ont tous plus de 242 jours de refroidissement donc peuvent tout à fait supporter d’être à sec sans pour autant être endommagés et risquer de relâcher la radioactivité qu’ils contiennent  encore.

Les conséquences d’une perte totale de l'eau de la piscine d’entreposage, événement qui relève du risque « résiduel », sont plus faibles que celles de l’accident le plus grave retenu pour le dimensionnement, la "fusion du cœur à l’air".