Travaux post-Fukushima : le concept de "Noyau Dur"

Suite à l’accident de Fukushima, l’ASN a imposé aux exploitants nucléaires :

1.    La prise en compte d’agressions externes extrêmes, significativement plus fortes que celles initialement retenues pour le dimensionnement des installations, de façons indépendantes et cumulées.  Ces situations extrêmes sont dites « situations noyau dur ». Pour l’ILL les situations retenues sont les suivantes :

• Séisme extrême de période de retour supérieure à 20000 ans et prenant en compte les amplifications éventuelles dues à la configuration particulière de la cuvette grenobloise (voir un séisme plus important…)
• Inondation extrême due à la rupture en cascade des 4 barrages du Drac. Le risque d’affouillement (excavation de la terre autour ou en dessous des fondations qui risque alors de faire « basculer » les structures ou bâtiments impactés) des installations lors du passage de l’onde de submersion sur le site doit être pris en compte.
• Nuage toxique sur le site, induit par le séisme et/ou la submersion de la cuvette de Grenoble en cas de rupture de barrage(s), en particulier dû au phosgène de la plateforme chimique du sud grenoblois.

2.  La mise en place d’un petit sous ensemble de structure, système et composants (SSC), dimensionné pour résister aux agressions précédentes retenues en « situation noyau dur », et visant à :

• prévenir un accident grave et d’un limiter la progression
• limiter les rejets massifs
• permettre à l'exploitant d’assurer les missions qui lui incombent dans la gestion d'une crise.

Ce sous ensemble est alors appelé le « noyau dur » de l’installation.

Sur le RHF comme sur tout réacteur, l’accident le plus grave susceptible de se produire est la fusion du cœur (voir glossaire).
Le noyau dur du RHF est donc pourvu de systèmes permettant de prévenir ce risque de fusion dans les situations « noyau dur » extrêmes :

1. ARS : arrêt réacteur sismique
Ce système garantit l’arrêt du réacteur même lors du séisme extrême retenu comme situation « noyau dur » et même dans le cas hypothétique ou ce séisme ne comporte pas de phase « faible » dans les secondes qui précèdent la phase « forte ». En effet, lors d’un séisme des ondes de compression (onde P) et des ondes de cisaillement (ondes S) sont émise depuis l’épicentre. Les ondes de compression se propageant plus rapidement que les ondes de cisaillement, elles parviennent sur l’installation les premières. Or, ce sont les ondes de cisaillement qui sont destructrices. Le RHF, comme d’autres réacteurs, avait donc mis en place un arrêt automatique du réacteur sur détection de ces ondes P à très bas niveau, 0,01 g. Cet arrêt survenant de façon préventive sur un niveau d’accélération très bas, le système détectant et déclenchant cet arrêt du réacteur n’avait pas besoin d’être lui-même dimensionné à de fortes accélération, donc d’être dimensionné au séisme lui-même.
Au titre de la défense en profondeur (Le concept de défense en profondeur est mis en œuvre pour compenser les défaillances potentielles humaines et techniques. Ce concept se fonde sur plusieurs niveaux de protection centrés sur l'introduction de barrières successives empêchant la dispersion de substances radioactives dans l'environnement), l’ILL a donc mis en place dans son noyau dur un nouveau système capable d’arrêter le réacteur de façon entièrement automatique même dans le cas très hypothétique d’un séisme ne conduisant pas à des ondes P détectables sur le site de l’ILL avant l’arrivée des ondes S.
Ce système a été mis en service en 2016.

2.    CRU et CEN
On a montré que le RHF n’avait pas besoin d’énergie électrique et de source froide externe pour refroidir le réacteur une fois qu’il est arrêté. Le refroidissement correct du cœur ne nécessite que le maintien d’un  niveau d’eau suffisant pour assurer la convection naturelle.
Deux systèmes permettent de garantir le maintien de ce niveau d’eau au-dessus du cœur, dans le cas de brèches importantes sur la cuve ou la piscine du réacteur qui pourraient éventuellement être provoquées par le séisme extrême pris en compte :

• Le circuit de renoyage ultime (CRU) : ce système permet de mettre en communication la cuve du RHF, de petit volume environ 12 m3, avec la piscine du réacteur de grand volume, plus de 350 m3 disponible. Ce système en place depuis 2012 en mode manuel, va être mis en service avant le redémarrage du réacteur, début 2018, en mode automatique. Il permet d’assurer le renoyage du cœur situé dans la cuve du réacteur de façon passive (par simple gravité) par l’eau de la piscine. Ce premier système permet d’assurer l’inventaire en eau pendant environ 1 heure.

• Le circuit d’eau de nappe (CEN) : ce système permet de réalimenter la piscine du réacteur avec l’eau de la nappe d’accompagnement qui s’écoule du Drac vers l’Isère sous la presqu’ile du polygone scientifique. Couplé au CRU ce deuxième système permet de maintenir l’inventaire en eau dans la piscine et donc dans la cuve du réacteur sur le long terme. En effet, pour éviter de noyer le réacteur au bout de quelques heures de fonctionnement, ce système dispose également de pompes de recirculation situées au niveau inférieur du réacteur. Lorsque le niveau d’eau dans l’installation est suffisant, ce système bascule automatiquement du mode « pompage dans la nappe » au mode « recirculation de l’eau de ruissèlement ». La mise en service de ce système est également programmée début 2018 avant le redémarrage du réacteur.    

Il est à noter que l’ILL a décidé, de sa propre initiative, d’imposer à ces trois systèmes de prévention du noyau dur d’être totalement redondants. Ainsi les fonctions d’arrêt réacteur et de maintien de l’inventaire en eau sont tolérantes à au moins une défaillance chacune sans que cette défaillance ne remette en cause le succès de la mission de chacun de ces systèmes.
 

Le noyau dur du RHF est également pourvu de systèmes permettant de limiter les rejets dans le cas où, malgré les systèmes en place de prévention du risque de fusion du cœur (parfait exemple d’application du principe de défense en profondeur), cette fusion surviendrait lors d’une agression externe extrême :

•    CDS : circuit de dégonflage sismique

Ce système automatique permet le maintien du confinement dynamique du réacteur. Il consiste à extraire un débit d’air, aussi petit que possible, du bâtiment réacteur pour maintenir celui-ci en légère dépression par rapport à l’extérieur.
L’air extrait est filtré sur un piège à iode et deux étages de filtres très haute efficacité et contrôlé avant rejet par la nouvelle cheminée dédiée à ce circuit, installée sur le dôme du réacteur à 50 m de hauteur.
Ce système permet donc d’effectuer des rejets concertés et contrôlés plutôt que de risquer d’avoir des rejets non concertés à travers les éventuelles petites fissures de l’enceinte après un séisme extrême.
Ce système est en service depuis fin 2016.

•    GAS : circuit de gonflage de l’espace annulaire sismique

Ce système automatique permet le maintien d’une surpression, avec de l’air extérieur propre, de l’espace entre les deux enceintes du réacteur par rapport à l’intérieur du bâtiment réacteur. Ce système renforce considérablement le confinement dynamique lors des phases transitoires où la pression dans le bâtiment réacteur pourrait être supérieure à la pression atmosphérique. En effet, même dans ces phases transitoires ou le bâtiment réacteur est en surpression, c’est encore de l’air propre de l’extérieur qui entre dans le bâtiment réacteur à travers les éventuelles petites fissures de l’enceinte béton après le séisme extrême.
Ce système est en service depuis fin 2016.

Il est à noter que, comme pour les circuits de prévention,  l’ILL a décidé d’imposer à ces deux systèmes de limitation des rejets du noyau dur d’être totalement redondants.
 

Le noyau dur du RHF est également pourvu d’un ensemble de moyens permettant de gérer la crise déclenchée par une agression externe extrême :

1. Poste de contrôle de secours

L’ILL a mis en place un nouveau poste de contrôle de secours dimensionné à l’ensemble des agressions externes extrêmes retenues comme « situations noyau dur », y compris leur cumul éventuel. Il faut savoir que l’ILL disposait auparavant d’un poste de contrôle enterré dimensionné au séisme maximal de sécurité. Ce poste de contrôle était également dimensionné à une inondation du site consécutive à une crue du Drac et/ou de l’Isère. Par contre, ce poste n’était  pas opérationnel en cas de submersion consécutive à la rupture d’un ou plusieurs barrages.
Le nouveau poste, opérationnel depuis fin 2016, est ainsi conçu pour :

• résister à un séisme extrême de magnitude de l’ordre de 7,3
• résister à une onde de submersion du site de l’ILL de 6 m
• résister à l’affouillement qui pourrait résulter de cette onde de submersion
• protéger les opérateurs qui devraient gérer une telle crise même en cas de fusion de cœur dans le réacteur, protection vis-à-vis des rayonnements directs et vis-à-vis des rejets éventuels, mais également vis-à-vis du risque toxique, en particulier phosgène en provenance de la plateforme du sud grenoblois.Ce poste de contrôle est donc muni d’une ventilation qui maintient en surpression les locaux de gestion de crise avec filtration de l’air extérieur avant son introduction dans les locaux. Cette filtration dispose d’un filtre très haute efficacité, d’un piège à iode et d’un filtre NBC (Nucléaire, biologique, chimique) pour le risque toxique phosgène.
• la cheminée de 45 m du réacteur a été modifiée pour garantir qu’elle ne puisse être un agresseur de ce poste de secours en cas de séisme extrême.

2. Contrôle commande du noyau dur

Ce poste de contrôle est équipé de tous les systèmes de contrôle commande permettant le fonctionnement automatique, ou manuel à la demande des opérateurs en cas de besoin, des circuits du noyau. En particulier une alimentation électrique, diesel d’ultime secours avec onduleur et batteries associées pour éviter toute coupure lors du basculement des alimentations électriques externes sur ce réseau,  permet l’alimentation de l’ensemble des équipements du noyau dur.

Il est à noter qu'une recopie de ce contrôle commande est également en place en salle de contrôle du réacteur. Celle-ci permet, en dehors d'un séisme, l'utilisation de l'ensemble des moyens du noyau dur depuis la salle de contrôle en cas de besoin.

3. Instrumentation de surveillance

Ce poste de contrôle regroupe également toute l’instrumentation permettant le diagnostic et le suivi de l’état des quatre principales fonctions de sûreté :

• maitrise de la réactivité : vérifier l’arrêt effectif du réacteur
• maitrise du refroidissement : vérifier l’inventaire en eau et donc le bon refroidissement du cœur du réacteur grâce aux circuits CRU et CEN
• maitrise du confinement : vérifier le confinement dynamique grâce aux circuits CDS et GAS
• maitrise de l’exposition : vérifier grâce à une instrumentation dédiée dans et à l’extérieur du réacteur les niveaux d’irradiations et de contamination ainsi que les rejets effectués par le CDS. Les locaux de crise eux-mêmes sont équipés d’une instrumentation permettant de vérifier que les niveaux de rayonnements et de contamination radioactive et/ou toxique sont acceptables pour les équipes de gestion de crise. Dans le cas contraire une consigne permet de gérer le conditionnement d’air et éventuellement de prescrire la mise en œuvre de dispositions de protection individuelle complémentaires (masque, ARI).
• surveillance de l’environnement : une instrumentation dédiée permet également de suivre les conditions météorologiques (vitesse et direction de vent, type de diffusion faible ou normale) permettant, en complément de la mesure des rejets éventuellement effectués, d’évaluer les expositions des populations exposées. Un système par drone permet également d’effectuer des prélèvements atmosphériques dans l’environnement, même pendant et après la submersion éventuelle consécutive à la rupture de barrage(s), et de les rapatrier sur le site de l’ILL pour analyse dans un petit laboratoire « noyau dur » dimensionné lui aussi aux agressions externes extrêmes.

4.  Moyens de communication

Le poste de contrôle dispose de moyens de communication pour permettre l’alerte des autorités dans ces situations extrêmes. En particulier un système de communication satellite, système Iridium, permet de maintenir la communication avec l’extérieur du site même en cas de perte de tous les systèmes terrestres, téléphone classique ou GSM.

Enfin, pour permettre aux équipiers de crise d’éventuelles interventions dans le bâtiment réacteur pendant et après une éventuelle submersion du site, une passerelle (de type himalayenne) relie le toit du poste de secours à une nouvelle coursive fixée sur l’enceinte métallique du réacteur. Celle-ci permet ensuite de rejoindre le toit du bâtiment ILL4, renforcé pour être stable lors du séisme et de la submersion extrême, puis les sas d’entrée dans le bâtiment réacteur.

Comme précédemment, à l’exception du bâtiment abritant le poste de secours, tous ces moyens (alimentations électriques, conditionnement d’air, moyens de surveillance et de communication) sont totalement redondants.

La mise en place de l’ensemble du noyau dur du RHF, ainsi que tous les renforcements nécessaires pour garantir l’absence d’agression de ce noyau dur par des équipements non dimensionné au séisme, a couté 30 millions d’euros. Les travaux seront totalement achevés au redémarrage du réacteur début 2018.