6.6. Examen de la sûreté de la centrale des Ardennes

6.6.1. Séance du 17 juin 1966 de la CSIA : essais de démarrage et de montée en puissance

En accueillant le 17 juin 1966 les représentants de la SENA et d'EDF, le Haut-Commissaire souligne que cette séance de la Commission 414 est appelée à constituer un précédent important, puisque pour la première fois la CSIA est appelée à donner un avis sur une centrale franco-belge, se plaçant donc sur le plan international. La SENA est représentée par Messieurs Erkes 415 , Stacquez, Bebin (Framatome), Alberti (EDF), Simon, Evenepoel, Cordelle (chef d'aménagement EDF), et Muylle.

La première étude de sûreté de la centrale, à un stade préliminaire, a été soumise par la SENA à la Sous-Commission de Sûreté des Piles le 17 avril 1963. La SENA a officiellement demandé, par lettre du 1er avril 1965, que l'examen de la sûreté de la centrale soit effectué par la CSIA, ainsi que l'avait fait EDF pour EDF1, EDF2 et EDF3. Les examens de sûreté ont été effectués simultanément par Euratom et le CEA : une réunion de la SCSP a alors été tenue le 6 mai 1966 avec les représentants de la SENA en vue de la présentation de l'installation à la CSIA.

Les réacteurs à uranium enrichi et eau légère sous pression sont sensiblement différents de leurs cousins de la filière UNGG. Parmi ces différences, il faut noter que le cœur est entièrement contenu dans une cuve en acier de 12 mètres de hauteur, 3 mètres de largeur, et de 23 centimètres d'épaisseur, pesant 300 tonnes. Le combustible est de l'uranium légèrement enrichi. La modération des neutrons ainsi que le refroidissement sont assurés par de l'eau ordinaire, circulant dans un circuit dit primaire, fermé sur lui-même. L'eau circule sous haute pression dans les quatre boucles d'extraction de la chaleur qui comportent chacune une pompe et un générateur de vapeur.

Dans le cas de la centrale de Chooz, le réacteur, les quatre boucles primaires et le pressuriseur sont contenus dans une salle souterraine. Le tout est disposé à l'intérieur d'une caverne qui fait fonction d'enceinte de confinement. La caverne elle a été prévue pour assurer l'étanchéité et a été calculée mécaniquement pour résister aux températures et pressions maximales, comme le précise un représentant de la SENA. Ces différences techniques expliquent le vocabulaire nouveau que l'on rencontre lors de ce premier examen de la sûreté d'un réacteur à eau sous pression.

Avant que la Commission n'examine les divers problèmes concernant le cœur de la centrale, M. Bourgeois appelle l'attention de la Commission sur certains aspects qu'il estime essentiels. La Sous-Commission de Sûreté des Piles exprime son accord avec les études de sûreté qui ont été faites, mais deux points doivent être tout particulièrement examinés par la Commission. Premièrement, il faudra s'assurer que les marges de sécurité à l'arrêt et en pleine puissance permettent d'arrêter le réacteur dans tous les cas. Le second point porte sur les coefficients de réactivité, le système de contrôle SENA étant basé sur l'hypothèse que le coefficient de température est négatif et au plus égal à zéro, sans jamais devenir positif.

Bourgeois estime que les calculs neutroniques qui vont être présentés sont satisfaisants. Par ailleurs, ils ont été testés par l'expérience de SELNI, réacteur du même type que celui de Chooz, construit quelque temps auparavant en Italie.

Les aspects hydrauliques et thermiques ont fait l'objet d'études pour vérifier que tous les assemblages sont bien refroidis. Des essais sur maquettes au 1/7 ont permis de déterminer les coefficients applicables pour le calcul sur cœur réel, des essais en grandeur nature sur des assemblages combustibles ont confirmé les calculs théoriques.

A propos des études thermiques, M. Stacquez insiste particulièrement sur les précautions prises vis à vis du phénomène appelé D.N.B. (Departure from Nuclear Boiling), consistant en la formation le long de la gaine d'un film de vapeur persistant, qui diminue les transferts de chaleur, provoquant une élévation de la température de l'élément combustible et la possibilité de rupture de gaine. Les divers facteurs entrant en jeu dans le phénomène ont été déterminés soit par le calcul, soit expérimentalement.

M. Stacquez précise ensuite les différents buts des études nucléaires qui ont été menées : tout d'abord, on a voulu concevoir un cœur qui soit sûr, c'est à dire que l'on puisse rendre sous-critique dans n'importe quelles conditions; on a aussi cherché à concevoir un cœur qui puisse fournir le niveau de puissance demandé par le client; troisième objectif, il fallait que le cœur puisse épuiser convenablement son combustible, et enfin qu'il présente un fonctionnement stable.

Les études neutroniques, l'étude de l'enrichissement et de la configuration des rayons d'enrichissement ont été menées de façon à limiter à 1,75 le facteur de points chauds. Pour le calcul de l'enrichissement, les concepteurs sont partis d'un certain nombre d'options qui sont exposées. Le réacteur doit fonctionner avec un contrôle chimique, réalisé par l'utilisation d'acide borique, le bore étant fort absorbeur de neutrons. Les variations de concentration de bore sont obtenues par adjonction d'une solution à 2 500 ppm (partie par million) de bore ou par passage sur une résine de déminéralisation. Seconde option, le cœur aurait trois régions d'enrichissements différents. Une condition posée sur le coefficient de température du modérateur est qu'il ne doit jamais être positif. Enfin, le chargement en U235 des premiers assemblages à décharger doit être aussi grand que possible pour qu'ils atteignent un taux de combustion convenable. De ces considérations les concepteurs ont déduit trois zones d'enrichissements : 2,95, 3,35, et 3,75%. Des courbes présentées montrent que le facteur de point chaud de la distribution radiale est au maximum de 1,58 (à comparer à 1,75, limite fixée), d'où une marge de sécurité de l'ordre de 10%.

Le représentant de la SENA considère en conclusion que les études neutroniques, hydrauliques et mécaniques ont été menées à partir de méthodes éprouvées, et sur la base d'hypothèses conservatrices : l'utilisation du contrôle chimique et l'introduction de grilles de mélange ont permis d'augmenter la puissance sans réduire les marges de sécurité vis à vis des phénomènes dangereux.

M. Bourgeois intervient à cet instant pour préciser les marges d'arrêt disponibles. A l'arrêt, le cœur étant propre, froid, avec 1900 ppm de bore, le réacteur peut être maintenu sous-critique, la barre la plus efficace étant hors du cœur. A pleine puissance, sans Xénon, la concentration en bore étant de 1820 ppm, le réacteur peut être complètement et définitivement arrêté par les barres, même si la barre la plus efficace reste coincée hors du cœur. A chaud, à pleine puissance, avec Xénon, la concentration en bore est de 1500 ppm : le réacteur peut être arrêté mais la sous-criticité à long terme demande une augmentation de la teneur en bore.

Les variations du coefficient de réactivité du combustible avec la température du modérateur ne posent pas de problème. Elles varient entre -3 et -2 pcm par degré, le coefficient reste donc largement négatif.

A propos de la cuve, M. Bourgeois note que des calculs de résistance ont été conduits conformément au document américain PB 151 987. Ce code a permis de réduire certains coefficients du code ASME section VIII, réduction justifiée par une analyse plus précise des contraintes dans la cuve. Un point important est la tenue de la cuve sous irradiation. Comme dans le cas des caissons d'EDF1, la SENA a été amenée à définir une discipline pression-température. Bourgeois juge que les relations sont «très valables» et peuvent être admises sans inconvénient pour les essais de démarrage et de montée en puissance. Par contre, les marges adoptées pourraient être reconsidérées au moment du passage à l'exploitation normale. Enfin, il souligne que la surveillance ultérieure des cuves s'avère difficile.

M. Evenepoel décrit le circuit primaire et la cuve. L'eau du circuit primaire est normalement à une pression de 138 bars, la pression de sécurité étant de 172 bars. Une épreuve à 1,5 P, soit 253 bars, a été faite sur l'ensemble et chaque élément a fait l'objet des essais réglementaires du Service des Mines. La cuve a été calculée par la Société des Forges du Creusot suivant les normes US et l'étude des cyclages de pression et température faite par Westinghouse. Le constructeur a adopté une fabrication en virole forgée, éliminant ainsi les soudures longitudinales et permettant d'éloigner les soudures de la zone où le flux est le plus important. L'irradiation par les neutrons tend en effet à fragiliser le métal de la cuve. Seuls, les fonds ont été obtenus par emboutissage. De nombreux contrôles ont été réalisés, à l'aide d'éprouvettes prélevées sur les pièces forgées; les soudures ont été contrôlées par radiographie et ultra-sons. Des éprouvettes ont été prélevées en fin de fabrication sur la surlongueur de la virole centrale, celle qui sera la plus exposée. Ces éprouvettes, placées dans des conteneurs à l'intérieur de la cuve, pourront être extraites pour examen et permettront de suivre l'évolution des caractéristiques.

Sur demande du Haut-Commissaire, il est précisé que l'on a calculé que la température de rupture fragile 416 , de -35° initialement, s'élèvera à plus de 70° après irradiation d'une durée de 20 ans, d'où l'interdiction de pressuriser à froid.

M. Bourgeois indique ensuite les précautions qui seront prises lors du rechargement du cœur, pour s'assurer qu'en enlevant le couvercle on ne retire pas une ou plusieurs barres de contrôle du cœur, par examen visuel ou injection d'eau borée à 2500 ppm.

Comme dans le cas des réacteurs graphite, la dernière partie de l'examen de la CSIA traite les différents accidents possibles. Plusieurs types d'accidents ont été examinés par les concepteurs qui ont défini un accident maximal hypothétique.

M. Cordelle présente un certain nombre d'accidents et montre que les dispositions adoptées permettent de les maîtriser : les accidents envisagés sont le retrait incontrôlé des barres de commande au démarrage ou en puissance, une introduction d'eau froide, une défaillance du contrôle chimique, un relâchement accidentel de bore, un accident mécanique provoqué par la rupture d'une tuyauterie de vapeur du secondaire, l'éjection d'une barre de contrôle, ou encore une chute accidentelle de barre de contrôle. Une mention particulière est faite à un accident qui serait consécutif à une perte de réfrigérant primaire, résultant d'une rupture du circuit primaire. La gravité de l'accident sera alors fonction de l'importance de la fuite. Un dispositif de compensation est prévu pour absorber les conséquences d'une petite fuite. Une fuite plus importante peut entraîner des conséquences plus graves : vidange du pressuriseur, ébullition, baisse du niveau, ruptures de gaines. A ce moment intervient l'injection de sécurité. Ce dispositif a pour rôle de fournir de l'eau borée au cœur du réacteur, afin de le refroidir en cas de rupture d'une tuyauterie du circuit primaire, tout en maintenant le réacteur sous-critique pendant une durée prolongée. L'injection de sécurité, mise en action par la coïncidence d'un signal pression basse et niveau bas dans le pressuriseur, est alimentée par deux systèmes différents, l'un par pompage et l'autre par gravité. Le temps de mise en service est inférieur à 20 secondes. Le débit a été calculé de manière à éviter que la température de gaines dépasse 955° C en cas de rupture d'une grosse canalisation du circuit primaire; à cette température on estime que seule une faible fraction des crayons combustibles est susceptible d'être endommagée si une grosse canalisation primaire venait à se rompre complètement. M. Cordelle met en avant que les études effectuées ont montré que tant que le débit total est disponible, le cœur ne se découvre jamais complètement, ce qui empêche d'atteindre la température de destruction des gaines.

Après la revue de ces différents accidents, il est montré que l'accident maximal résulterait d'une rupture du circuit primaire entraînant la perte totale du fluide qu'il contient, suivie d'une défaillance des systèmes de refroidissement de secours. Les conséquences immédiates de la rupture seraient une décompression rapide du circuit primaire et de la partie du circuit secondaire correspondant au générateur de vapeur accidenté, une augmentation rapide de la pression et de la température dans l'enceinte de sécurité (3,6 bars et 137°C) et la libération dans l'enceinte de sécurité du réacteur des produits de fission et des produits de corrosion activés dans l'eau du réfrigérant primaire.

Le représentant de la SENA indique alors que l'enceinte de sécurité a été calculée pour une pression de 4 bars et une température de 150°. L'évolution ultérieure de la pression dans l'enceinte a été calculée dans divers cas, correspondant à la défaillance d'un ou de plusieurs des trois circuits de protection devant intervenir, à savoir, l'injection de sécurité, l'aspersion d'eau dans la caverne du réacteur, et la recirculation d'eau dans la caverne du réacteur.

L'accident maximal hypothétique est basé sur le même scénario, mais on suppose ici que tout le cœur est asséché et fondu, libérant dans l'enceinte ses produits de fission. On calcule alors les quantités de produits radioactifs susceptibles d'échapper de la caverne par les fuites. Les ingénieurs de la SENA insistent sur la réalisation de l'étanchéité de la caverne qui a été particulièrement soignée : en plus d'un revêtement bétonné, ils ont a eu recours à un revêtement métallique de 3 mm d'épaisseur, toutes les soudures ont été vérifiées, les pénétrations également. Au vu de ses précautions, la SENA considère qu'une épreuve de pression globale n'est pas nécessaire. Néanmoins une telle épreuve sera effectuée prochainement à la pression de 0,7 bars.

L'examen des effluents radioactifs, liquides ou gazeux, montre que les normes sont respectées en fonctionnement normal, et qu'en cas d'accident, les conséquences seraient minimes : en cas de rupture d'un tube de générateur de vapeur, le débit de dose d'irradiation externe serait de 0,84 mRem/heure; la dose thyroïde intégrée d'iode radioactif serait de 45 mRem. En cas d'accident maximal hypothétique, sur la base d'hypothèses réalistes, le responsable considère qu'il n'y aurait pas de problème grave de santé, l'activité du dépôt au sol d'iode 131 nécessiterait cependant la mise en œuvre d'une surveillance du lait.

Une fois l'examen du dossier terminé, les représentants de la SENA et d'EDF se retirent pour laisser la Commission délibérer. M. Bourgeois donne lecture du projet d'avis préparé par la Sous-Commission de Sûreté des Piles. Deux conditions techniques supplémentaires ont été insérées dans cet avis : d'une part, la limitation de la pression dans la cuve devra faire l'objet d'une étude complémentaire, car certains phénomènes (des «coups de bélier») peuvent se produire et justifient un examen ultérieur; d'autre part, la Sous-Commission de Sûreté des Piles recommande un essai d'étanchéité de la caverne à une pression nettement supérieure aux 0,7 bars prévus par la SENA. Les Services US exigeant un tel essai, M. Bourgeois estime qu'il n'y a pas de raison d'y renoncer. Mais pour le moment il n'est pas possible d'aller au delà de 2,4 bars, sous réserve de déchéance de la garantie des pompes primaires. M. Bourgeois souligne en outre qu'un cahier de spécifications techniques préparé par la SENA est joint à l'avis de la CSIA, ce qui est un précédent, un peu inspiré des autorisations US.

La Commission conclue en donnant son accord au projet d'avis, qui sera communiqué à la SENA et au Cabinet du Ministre délégué chargé de la Recherche Scientifique et des Questions Atomiques et Spatiales en vue de la constitution du dossier d'inspection au titre des installations nucléaires de base.

Notes
414.

PV CSIA, 17/6/66

415.

Pierre Erkes est directeur de la construction de la centrale de 1965 à 1967, puis membre du comité technique jusqu'en 1974. Ingénieur électricien de l'université de Louvain, il a été initié à la technique nucléaire dans les laboratoires américains, notamment à Oak Ridge dès 1962. Il a participé à la construction des réacteurs expérimentaux BR1, BR2 puis BR3.

416.

La partie de la cuve qui se situe à hauteur du cœur du réacteur est soumise à une forte irradiation neutronique qui fragilise l'acier. Cette fragilisation se traduit par l'augmentation de la température de rupture fragile. En cas de forte sollicitation à basse température, la cuve pourrait se rompre. Une température de rupture fragile basse est gage de sécurité. Plus elle augmente, ce qui est inexorable avec le temps, moins la marge de sécurité est importante. L'évolution de cette température au cours du temps détermine donc également la durée de vie de la cuve, et donc de l'installation.