17.3. Les problèmes techniques évoqués par la mission : le risque hydrogène et les accidents graves. L'évolution de la position des experts officiels au cours de la décennie 90

Les problèmes techniques sont évoqués dans les annexes au rapport de la mission. L'annexe rédigée par Luc Gillon est consacrée à un problème général des PWR, le risque «hydrogène», que nous évoquons par la suite. Les annexes des professeurs Benecke et Hahn portent sur d'autres problèmes généraux. Le professeur Hahn a exprimé une divergence avec le reste de la mission estimant que les problèmes de tenue de l'enceinte de confinement étaient insuffisamment présents dans le rapport final alors qu'il les jugeait suffisants pour demander la non remise en route du réacteur.

Les professeurs Jochen Benecke et Michael Reimann, travaillant tous deux au Sollner Institut de Munich, produisent en septembre 1989 un rapport supplémentaire. Fruit de leur étude menée à la demande du Conseil général du Haut-Rhin, le rapport est intitulé «Potentiel de risque des accidents graves dans les réacteurs à eau sous pression - Critique de la recherche en matière de sûreté et évaluation du risque pour la centrale nucléaire de Fessenheim». Le rapport aborde différents points techniques qu'ils estiment négligés par les experts français : la protection de la centrale nucléaire de Fessenheim vis-à-vis de la chute d'avion, les scénarios d'accidents de fusion du cœur avec une mention particulière aux phénomènes d'explosion de vapeur et de «direct heating», les risques de détonation de l'hydrogène, le percement de la cuve du réacteur et l'interaction de la masse en fusion avec le béton, et enfin les mesures ultimes pour la gestion des accidents.

A côté de critiques témoignant d'une connaissance approximative de certaines mesures de sûreté en vigueur en France, le rapport des Allemands soulève un certain nombre de points qui tournent tous autour de la tenue de l'enceinte de confinement en cas d'accident grave. La plupart des arguments avancés seront vigoureusement rejetés par les experts français dans un premier temps, s'appuyant sur des données physiques et sur le consensus international entre experts sur ces questions. Cependant, les années qui suivront vont infléchir cette position : le consensus des experts va s'établir autour de la nécessité de traiter les questions soulevées, et certaines données physiques apporteront la confirmation de cette nécessité.

Nous retiendrons donc du rapport les points qui dans les dix années qui suivent vont faire l'objet d'études approfondies. Les auteurs allemands, tout en les critiquant, s'appuyaient en fait sur deux études récentes, l'une américaine (NUREG 1150 a)¹⁰²⁸ et la phase B de l'étude probabiliste allemande sur la sûreté des réacteurs (Deutsche Risikostudie Kernkraftwerke Phase B)¹⁰²⁹, publiées respectivement en février 1987 et juin 1989.

Benecke et Reimann reprochent aux autorités françaises «de [regarder] de près uniquement la fusion du cœur avec la voie basse pression et [d'aller] jusqu'à exclure la ruine précoce du confinement des réacteurs à eau sous pression français «pour des raisons physiques».»¹⁰³⁰ Ils considèrent que cette affirmation «n'est pas pertinente» justement pour les raisons physiques qu'ils développent par la suite. Les auteurs expliquent ainsi que la voie haute pression de l'accident du cœur est la plus pénalisante dans la majorité des scénarios. Ils évoquent ensuite le scénario de «direct heating» récemment imaginé par les Américains qui pourrait conduire à une rupture précoce du confinement : dans le cas d'une rupture de tubes de générateur de vapeur en branche chaude sous l'effet de la température, l'atmosphère de l'enceinte de confinement recevrait un mélange de vapeur surchauffée et de particules de masse en fusion finement fragmentées à fort potentiel d'énergie cinétique. De violentes réactions d'oxydation exothermiques se produiraient alors. Cet apport direct d'énergie thermique dans l'enceinte de confinement provoquerait une rapide augmentation de la température et de la pression pouvant conduire à la ruine de l'enceinte. Des mesures ultimes envisagées en France sont censées ramener le scénario haute pression au scénario basse pression. Mais le risque serait alors une explosion de vapeur dans la cuve, c'est-à-dire une interaction thermique entre le combustible en fusion et le réfrigérant résiduel. Après la fusion en pression, l'explosion de vapeur, les auteurs citent un autre type de scénario pouvant mettre en péril l'enceinte de confinement, la formation puis la détonation de l'hydrogène dans certaines conditions sur lesquelles nous reviendrons par la suite. Pour les auteurs allemands, «ce type de scénario est fortement minimisé et ses conséquences possibles sont refoulées» par les experts français.

La position française à l'égard de ces risques avait été exprimée de façon semi-publique lors d'une séance du Conseil Supérieur de la Sûreté et de l'Information Nucléaires du 5 juillet 1988.¹⁰³¹ Le représentant de l'IPSN expliquait que l'explosion vapeur n'était pas considérée par la communauté des experts nucléaires comme susceptible de détruire l'intégrité de l'enceinte. Des interactions rapides entre le corium et l'eau pouvaient se produire au cours d'un accident, mais les explosions et les surpressions pouvant en résulter ne pouvaient pas mettre en danger l'enceinte. Vis-à-vis de l'échauffement direct (direct heating), le représentant français citait le consensus des experts des pays de l'OCDE pour considérer ce processus comme totalement irréaliste sur le plan physique, en particulier sur les tranches françaises, notamment parce que ce scénario suppose que le combustible pulvérisé non encore oxydé soit réparti de façon homogène dans l'enceinte, ce qui semble irréaliste. En ce qui concerne le risque hydrogène, compte tenu des connaissances acquises, les experts français estiment qu'il n'est pas possible qu'une explosion d'hydrogène mette en danger l'enceinte telle qu'elle se présente en France.

Le risque hydrogène mérite une mention particulière. Ce problème soulevé par le professeur Gillon et les contre-experts allemands avait été remis sous les feux de l'actualité l'année précédente avec la publication du rapport de l'Office parlementaire où Luc Gillon avait mis en cause la tenue des enceintes en cas de détonation de l'hydrogène. La polémique avait été relancée dans la presse à la suite de la publication du rapport. Libération en page 2 titrait : «Nucléaire : un doute dans le béton», puis en caractère gras, «la détonation qui fissure».¹⁰³²

L'importance de la question au point de vue de la sûreté repose sur le fait qu'une rupture précoce du confinement à la suite d'une détonation d'hydrogène ou tout autre scénario conduisant à la fusion du cœur, provoquerait un rejet de type S1, le plus important, et contre lequel aucune parade n'est prévue en France. Le risque hydrogène n'est pas une question nouvelle et il est pris en considération dans les accidents de dimensionnement. Mais l'accident de Three Mile Island, où une petite explosion d'hydrogène s'était produite, avait mis en défaut le raisonnement admis jusque-là sur l'absence de risque. En cas de fusion du cœur, les quantités d'hydrogène pouvaient être plus importantes que prévu. Cela avait impulsé dans toute la communauté nucléaire internationale d'importants programmes de recherche sur cette question.

Le risque hydrogène est un problème scientifique complexe, les incertitudes sont nombreuses qui nourrissent la controverse : selon les hypothèses retenues, on peut conclure «raisonnablement» à l'absence de risque ou au contraire à la possibilité de rupture de l'enceinte. Il s'agit de savoir si l'hydrogène produit lors de la fusion des gaines de combustible pourrait brûler de façon détonnante et non pas seulement déflagrante.¹⁰³³ Les paramètres en jeu sont tout d'abord la quantité d'hydrogène susceptible d'être produite en cas d'accident grave : l'hydrogène provient principalement de l'oxydation des gaines de zircaloy (il y en a environ 20 tonnes), pouvant produire jusqu'à près de 10 000 m3 d'hydrogène. On s'interroge ensuite sur les cinétiques de production, de diffusion, de combustion de l'hydrogène, sur les conditions d'échanges thermiques, les conditions de température et de pression etc. Il est également nécessaire de savoir quels sont les volumes respectifs de vapeur d'eau, d'air, d'hydrogène. Il faut en particulier savoir si les concentrations d'hydrogène sont uniformes ou graduées. Si une détonation généralisée semble exclue dans des enceintes de grandes dimensions, s'ajoute le phénomène de Transition déflagration-détonation (DDT) : une déflagration initiée dans un espace plus petit, une casemate du circuit primaire, pourrait peut-être donner lieu à la propagation d'une onde de détonation dans le reste de l'enceinte.

En France on considère¹⁰³⁴ que les accidents pris en compte dans le dimensionnement des tranches conduisent à une production d'hydrogène avec une cinétique lente, c'est pourquoi on n'a pas jugé nécessaire d'équiper les centrales de recombineurs d'hydrogène. Ceux-ci seraient installés dans un délai de l'ordre d'une semaine pour diminuer la quantité d'hydrogène éventuellement produit lors de l'accident. Autrement dit, la production est lente et on a le temps de mettre en œuvre les recombineurs. Ceux-ci permettent de maintenir la teneur en hydrogène dans l'enceinte au-dessous de 4% ce qui exclut tout risque de combustion, et a fortiori, d'explosion. Pour les accidents hors dimensionnement qui conduisent à une production massive d'hydrogène avec une cinétique rapide, on considère en France que les recombineurs ne sont pas les appareils appropriés. Dans ce cas, il convient de s'assurer que les enceintes de confinement résistent à une éventuelle déflagration de l'hydrogène formé.

Les conditions pour avoir un risque de détonation sont définies par le diagramme de Schapiro. Pour avoir une combustion détonante, il faudrait prendre en compte les séquences accidentelles allant au-delà de l'oxydation de la totalité des gaines combustibles associées à une température d'enceinte relativement basse, inférieure à 70°C environ. D'autre part, l'énergie nécessaire pour initier une détonation directe est beaucoup (de l'ordre de 2 x 108 fois) plus grande que celle nécessaire pour initier une déflagration. Les experts français considèrent qu'il est donc hautement improbable qu'il se produise une détonation généralisée dans l'enceinte : s'il existe une source d'allumage, c'est très vraisemblablement une déflagration ou une combustion locale qui auront lieu.

Les incertitudes sur ces questions conduisent les autorités de sûreté des divers pays à prendre des positions différentes, ce qui donne du poids aux arguments des opposants, car comment expliquer que d'un côté de la frontière on mettre en œuvre certains dispositifs, jugés inutiles de l'autre ?

Alors que la question est examinée dans le cadre de l'OCDE au début des années 80, les avis sont à peu près unanimes pour considérer que le risque est faible, mais que le sujet mérite d'être examiné attentivement.¹⁰³⁵ On estime qu'il est peu probable que la combustion d'hydrogène constitue une cause dominante de défaillance pour les enceintes, mais qu'il est nécessaire d'accorder plus d'attention à la capacité de survie des équipements de sûreté essentiels en liaison avec les effets de la pression et de la température. Un peu plus de dix ans plus tard, les conceptions se sont largement modifiées, comme l'indique un rapport de l'OCDE de 1996 : «On doutait dans le passé qu'un mélange détonant puisse occuper la totalité de l'enceinte de confinement. D'aucuns ont avancé qu'il pourrait y avoir un risque de détonations locales, elles-mêmes dues à des conditions locales. Ces détonations n'endommageraient probablement pas l'enceinte de confinement mais dans certaines conditions, elles pourraient endommager l'équipement et les structures internes, du fait de la production de projectiles mettant en danger l'enceinte de confinement. Les progrès de la recherche, les nouvelles technologies et les EPS (étude probabiliste de sûreté) de niveau 2 ont donné lieu à des évaluations plus approfondies. De nouvelles initiatives sont prises dans plusieurs pays Membres pour mettre en œuvre des mesures de mitigation de l'hydrogène dans quelques grandes enceintes de confinement sèches.»¹⁰³⁶

L'inflexion du consensus entre experts se situe autour de 1992 en Europe. En témoigne le rapport de synthèse que le Groupe d'experts de haut niveau sur la gestion des accidents graves¹⁰³⁷ du Comité sur la Sûreté des Installations Nucléaires (CSIN) de l'Agence pour l'Energie Atomique (AEN) de l'OCDE avait été chargé d'établir sur l'état des connaissances relatives aux activités de gestion des accidents graves. Un second rapport, publié en 1996, fait état d'une nette avancée depuis 1992 dans plusieurs pays en matière de mise en vigueur de programmes de gestion des accidents graves et en particulier dans la prise en compte du risque hydrogène.¹⁰³⁸

C'est dire que la gestion des accidents graves fait désormais partie des réponses que doit mettre en œuvre l'industrie nucléaire : le personnel d'une tranche nucléaire doit disposer des procédures et des équipements nécessaires pour que, en cas d'accident grave, il puisse arrêter la progression des dommages infligés au cœur tout en faisant le nécessaire pour que le cœur reste à l'intérieur de la cuve, pour sauvegarder l'intégrité de l'enceinte de confinement et minimiser les rejets hors du site.

Parmi les stratégies de gestion des accidents graves, les experts de l'OCDE soulignent la nécessité de maîtriser la quantité d'hydrogène produite par l'oxydation des métaux et libérée dans l'enceinte, afin d'éviter la formation de concentrations locales élevées d'hydrogène. Malgré des recherches menées depuis près de vingt ans, les calculs de production d'hydrogène à l'intérieur de la cuve pour différentes séquences hypothétiques d'accidents tenant compte des phénomènes physiques se déroulant au cours d'une dégradation du cœur restent entachés d'incertitude. Par contre, il est désormais clair que si lors d'un accident grave on ne parvient pas à confiner dans la cuve les matériaux fondus du cœur, ceux-ci seront rejetés sur le plancher de l'enceinte de confinement et donneront lieu à la production d'une quantité considérable d'hydrogène (plusieurs tonnes) par interaction prolongée entre le corium et le béton. Cette réaction produira en plus du monoxyde de carbone, un autre gaz combustible, et plusieurs gaz inertes.

Afin d'éviter des concentrations locales élevées d'hydrogène qui pourraient donner lieu à des phénomènes importants de combustion turbulente ou à une transition déflagration-détonation (DDT), des mesures particulières ont été étudiées dans des différents pays, telles que l'allumage délibéré de mélanges de gaz combustibles, la recombinaison de l'hydrogène ou encore l'injection d'un gaz inerte dans l'atmosphère de l'enceinte. On estime que l'installation et l'efficacité de tels systèmes de recombinaison catalytique ou d'allumage présentent une importance capitale. Des recherches doivent être poursuivies pour savoir, pour chaque centrale particulière et pour différents types de scénarios d'accidents, quel est le nombre adapté d'igniteurs et de recombineurs qu'il conviendrait d'installer, quelle est la capacité locale des recombineurs et leur emplacement. Mais l'utilisation des igniteurs et recombineurs catalytiques soulève des problèmes complexes car les conséquences de certaines actions ne peuvent être prédites avec certitude. Le rapport de l'OCDE indique d'ailleurs que les pays Membres ont des opinions très différentes sur cette stratégie.

En France, après la mise en place des procédures dites «hors dimensionnement» (H) et «ultimes» (U) destinées à faire face aux situations accidentelles non prévues dans le dimensionnement initial des centrales, la DSIN estime nécessaire en 1992 de prolonger la démarche dans le sens d'un approfondissement de la sûreté. Dans son rapport d'activité 1991, elle précise qu'elle a demandé «qu'EDF fasse le point en 1992 des connaissances disponibles sur les accidents graves, issues des travaux de recherche menés depuis de nombreuses années, ainsi que des études engagées à la suite des accidents de Three Mile Island et de Tchernobyl, et définisse les scénarios pour lesquels de nouvelles mesures pourraient être mises en œuvre.»¹⁰³⁹ La DSIN annonce qu'elle fera analyser de manière approfondie les positions de l'exploitant par l'IPSN et demandera l'avis des experts du groupe permanent chargé des réacteurs. L'aboutissement de cette démarche est même présenté comme l'une des priorités de la DSIN pour 1992. Dans une lettre du mois de mai 1992, la DSIN précise que la priorité doit être donnée aux risques liés à l'hydrogène, aux scénarios de fusion de cœur lorsque le circuit primaire est sous pression, et à la définition et à la qualification de l'instrumentation nécessaire pour gérer une situation accidentelle grave.

Les discussions entre experts de l'IPSN et d'EDF se poursuivent lors des réunions du Groupe Permanent qui se tiennent le 23 juin et le 7 juillet 1994, puis le 5 janvier 1995, dans ce dernier cas plus spécifiquement sur le thème de la progression du corium dans la cuve et hors de la cuve. Dans son rapport d'activité 1994, la DSIN rapporte que l'examen par le Groupe Permanent «a mis en évidence la nécessité qu'EDF définisse pour le début 1995 des dispositions permettant de faire face aux risques liés à l'hydrogène.»¹⁰⁴⁰ Les propositions d'amélioration émises par EDF sont présentées l'année suivante. Ces propositions visent à améliorer la prévention du risque d'explosion d'hydrogène, la prévention de la fusion du cœur à haute pression et l'instrumentation. Ayant recueilli l'avis de ses experts, la DSIN a demandé à EDF de compléter son programme.

Un second cycle de réunions est prévu en 1996, au cours duquel sera notamment examinée la proposition d'installer à demeure des recombineurs catalytiques d'hydrogène dans les enceintes des réacteurs français.¹⁰⁴¹ Le Rapport d'activité de 1996 indique qu'à propos du risque d'explosion d'hydrogène, «EDF a proposé d'installer des recombineurs catalytiques sur les réacteurs des types P'4 et N4 qui sont les plus sensibles au risque d'explosion d'hydrogène du fait que leurs bâtiments réacteurs sont les plus petits. Cette installation sera réalisée sous réserve de la confirmation, qui doit être obtenue prochainement, de l'efficacité et de l'innocuité des recombineurs. Il s'agit pour ce dernier point de vérifier qu'un appareil destiné à éviter les explosions d'hydrogène ne peut en aucun cas en provoquer une. EDF a également engagé les études d'implantation sur les réacteurs de type P4. Enfin, la DSIN demandera à EDF, au début de l'année 1997, d'implanter des recombineurs sur les réacteurs de type P4 et de 900 MWe.»¹⁰⁴²

Ces propositions montrent que le risque hydrogène est reconnu. D'ailleurs, les premières données expérimentales du programme Phébus PF démentent les considérations techniques avancées depuis les années 80 sur la quantité et la cinétique de production de l'hydrogène en cas d'accident grave. Comme l'indique la revue d'information du CEA, les deux premières expériences du programme réalisées respectivement en décembre 1993 et juillet 1996 apportent des résultats inattendus : «[Elles] ont mis en lumière des effets importants non pris en compte dans les études actuelles, aussi bien concernant la fusion du cœur que les rejets radioactifs accidentels (…). Tout d'abord, la cinétique de production d'hydrogène suite à l'oxydation des gaines a été sous-estimée par la plupart des codes de calcul (…). Par ailleurs, la «fusion» du cœur (…) intervient à des températures de 400 à 600°C plus faibles que celles attendues.»¹⁰⁴³ Ces données viennent confirmer la nécessité de gérer la production d'hydrogène et de la combattre en cas d'accident grave.

Par contre, en France, un débat va durer pendant plusieurs années pour savoir si les moyens de combattre le risque hydrogène ne sont pas plus dangereux que le risque hydrogène lui-même. Après beaucoup d'hésitations, la DSIN finira par prendre parti, en imposant à EDF l'installation d'un certain nombre d'appareillages pour lutter contre le risque hydrogène, en faisant ce que se préparaient à faire les autorités belges et allemandes. Mais la décision est plus de caractère politique que technique car sur le plan technique, le choix ne s'imposait pas de lui-même.

Pour la prévention de la fusion du cœur à haute pression, c'est avant tout le bon fonctionnement des soupapes en condition accidentelle et de leur système de commande qui est le critère primordial, avec la compétence du personnel. L'objectif en cas de fusion à haute pression est d'ouvrir les soupapes du circuit primaire pour ramener rapidement la pression dans le circuit primaire à une valeur de 20 bar, afin de permettre le fonctionnement des moyens de secours ultimes.

Les investigations doivent se poursuivre dans tous ces domaines. Un groupe permanent se réunira en décembre 1999 pour examiner l'avancée des dossiers sur ces différents points.

Les problèmes techniques évoqués par les contre-experts allemands et belge de la visite décennale de Fessenheim, s'appuyant d'ailleurs sur des rapports d'experts américains et allemands, n'ont pas modifié l'attitude des experts français. Tout au plus, le public français a-t-il pu prendre connaissance de ces questions discutées entre experts en interne et au niveau international. C'est avant tout le changement d'opinion de la communauté internationale des experts de sûreté qui conduit, à la suite de nouvelles connaissances établies grâce à des programmes de recherches initiés depuis de nombreuses années, à modifier l'opinion des experts français. De ce point de vue, c'est plus l'internationalisation de la sûreté, la confrontation des idées et des connaissances entre experts des différents pays, très précoce dans le domaine nucléaire mais qui s'accentue depuis le tout début des années 1980, qui conduit experts français et autorité de sûreté à modifier leur point de vue initial. Mais si dans certains cas, des éléments d'appréciation scientifique nouveaux emportent la décision de prendre en compte tel ou tel phénomène, dans d'autres cas, ce sont plus des critères politiques qui tranchent alors que l'incertitude scientifique reste la même : dans le doute, autant faire comme les autres, du moment que les mesures envisagées n'aggravent pas le phénomène qu'elles sont censées combattre. L'unité entre experts est d'autant plus importante pour les experts et autorité français qu'à partir de la fin des années 1980, les constructeurs Framatome et Siemens collaborent sur un projet de réacteur commun, qui doit respecter les critères des deux autorités de sûreté. Outre le contexte général d'internationalisation de la sûreté, ce projet commun accentue la nécessité d'une harmonisation des pratiques de sûreté allemande et française.