L’accident nucléaire majeur : un scénario

Le présent billet est issu d’un thread sur rédigé sur Twitter que vous pouvez retrouver à ce lien et ci-dessous.

Un disclaimer préalable : je vais me focaliser sur les réacteurs français, de type « Réacteur à Eau Pressurisée » (REP). Ce que je vais dire ne sera que très partiellement applicable à d’autres réacteurs, notamment les REB de Fukushima.

Les grandes différences entre REP et REB (ainsi que les RBMK de Tchernobyl, par exemple) sont décrites dans ce thread, qui fera l’objet d’un billet sur ce blog, tôt ou tard.

Pour commencer, à quoi ça ressemble, un REP, et comment ça fonctionne ?
Je pique Framatome cet excellent visuel :

En très bref, dans la cuve (1) est situé le cœur du réacteur, où est entretenue la réaction en chaîne qui produit de la chaleur. Typiquement, dans les 2500 à 4000 MW de chaleur.

Les quatre pompes (3) assurent la circulation de l’eau à un débit assez fou entre la cuve et les GV, ou générateurs de vapeur (2), qui sont de gros échangeurs de chaleur eau/eau entre le circuit primaire et secondaire.

Dans ces GV, l’eau du secondaire, liquide, est chauffée par l’eau du primaire jusqu’à ébullition et vaporisation.
Ensuite, la vapeur part à la turbine, est refroidie par le tertiaire, liquéfiée, et revient aux GV. Voilà, vous avez les bases.

Après, il y a le pressuriseur dans lequel pas grand chose ne circule, il sert surtout à maintenir la pression stable en abritant une « bulle » de vapeur qu’on comprime ou détend pour mettre l’eau de tout le primaire sous pression.

À noter que cette illustration est valable pour les réacteurs de 1300 MW, 1500 MW, et l’EPR. Nos 34 réacteurs de 900 MW n’ont que trois boucles : trois pompes, trois GV.

Bon, on a les pré-requis sur le design du réacteur. Maintenant, à quoi sert l’électricité, dans son fonctionnement ?
Avant tout, à faire tourner les 3-4 pompes du primaire et faire circuler l’eau de sorte qu’elle transporte la chaleur de la cuve vers les GV.
4 millions de kW à balader.

L’électricité sert à des tas et des tas d’autres fonctions, évidemment, ne serait-ce qu’au pilotage du réacteur.
Mais le cœur (haha) du problème est quand même la circulation de l’eau dans le primaire.

Avant d’envisager la perte d’alimentation électrique, je suis d’avis de faire un petit tour d’horizon des différentes alimentations possibles, justement.

Histoire d’être clair sur le fait que c’est pas une bête coupure de courant dont on va parler dans la suite 😋

Le réacteur est évidemment connecté au réseau électrique français. Par une ligne de 400 kV dite « principale », sur laquelle il évacue sa production électrique après avoir prélevé ce dont il a besoin pour le faire fonctionner – notamment pour faire tourner les pompes primaires, donc.

En cas de défaillance de cette ligne, on tente un « îlotage » : on découple le réacteur du réseau électrique, et on essaye de faire baisser sa puissance de sorte à ce qu’il s’auto-alimente, en produisant juste ce dont il a besoin.
C’est une manœuvre assez tendue, parce qu’il y a pas mal d’actions à opérer pour changer considérablement le point de fonctionnement du primaire et du secondaire. Il faut notamment réguler très rapidement la concentration de bore dans le primaire.
Bref, pas mal de changements qui peuvent ne pas être toujours faits assez vite, ou être mal faits et « taper » les systèmes de protection du réacteur et déclencher son arrêt automatique par chute des barres de contrôle dans le cœur.

En cas d’échec de l’îlotage, et donc arrêt du réacteur, on tente de passer l’alimentation de la tranche sur une autre alimentation externe, le « réseau externe auxiliaire » de 400 kV également.
Les pompes primaires ne sont alors plus alimentées. Mais elles sont munies d’énormes volants d’inertie qui les font tourner quelques moments encore. 
Mais à ce moment là, on sait déjà qu’on va devoir piloter le réacteur sans elles.

Heureusement, il est en train de s’arrêter, et donc la puissance passe de 4000 MW (celle de la réaction de fission en chaîne) à quelques centaines de MW, la puissance « résiduelle » due à la radioactivité du cœur.

Donc si on vous parle d’emballement de la réaction, d’impossibilité d’arrêter la fission, etc., dans ce contexte, ce sont en général des conneries. La chute des barres tue net la réaction en chaîne, en 5 secondes, il n’y a quasiment plus rien d’autre que la puissance résiduelle à évacuer.

Bon, côté alimentation électrique, on tente de démarrer les deux groupes électrogènes diesel qui alimenteront différents systèmes de sauvegarde pour pérenniser le refroidissement du réacteur, et le garder de manière générale en fonctionnement contrôlé.

Si aucun des deux diesel ne démarre (c’est déjà pas de pot : double défaillance, ou défaillance + agression externe locale, ou agression externe généralisée), on sollicite un groupe d’ultime secours : soit la turbine à combustion de la centrale, si elle en a une, soit un diesel d’un réacteur voisin.

Si ce groupe d’ultime secours est indisponible aussi, là, ça commence à devenir compliqué.
Depuis Fukushima, EDF déploie des diesel d’ultime secours à raison d’un par tranche, mais elles ne sont pas encore toutes équipées.

Il y a encore une barrière, c’est l’acheminement de moyens d’alimentations électrique depuis l’extérieurs, notamment par la FARN (Force d’Action Rapide du Nucléaire, mise en place suite à Fukushima également).
Déployable sur n’importe quelle tranche en moins de 24h, même en conditions extrêmes (comme après un séisme, infrastructures routières endommagées, etc.).

Mais dans le cas où :

  • On perd l’alimentation électrique principale
  • Et on échoue l’îlotage
  • Et on perd l’alimentation électrique
  • Et on perd un diesel
  • Et on perd (où il est indisponible) le second diesel
  • Et on perd le groupe d’ultime secours
  • Et on perd le diesel d’ultime secours
  • Et on n’obtient jamais d’aide extérieure

Que peut-il alors se passer ?

Notons quand même que niveau probabilité, on est déjà très, très bas. Parce que l’enchaînement d’une telle série de défaillance, même dans des circonstances exceptionnelles (type séisme, encore une fois), il est quand même hautement improbable.

Mais vu que la sûreté, en France, c’est la prévention ET la mitigation (se mettre à l’abri des risques ET envisager qu’on se les prenne dans la face quand même), étudions le scénario d’une perte longue et totale d’électricité. Qu’arriverait-il à notre réacteur ?

Alors, d’abord, une petite déclaration de… Non-intérêt :p
Je ne travaille pas dans le domaine des accidents graves de réacteurs.
Donc je me base sur des souvenirs de cours, essentiellement ^^

Il est par conséquent tout à fait possible que je fasse quelques erreurs, ou quelques omissions ou hypothèses un peu fortes. Mais je ne doute pas qu’on me le fera remarquer, donc il y aura peut-être des errata en fin de billet 😉

J’ai donc mon réacteur qui vient de s’arrêter, avec 200-300 MW de puissance résiduelle qui sont encore produits dans le cœur par sa radioactivité.

Mes pompes primaires, notamment, ne sont plus alimentées.
Elles continuent à assurer la circulation quelques instants grâce à leur volant d’inertie, transférant la chaleur vers les GV, avant de s’arrêter complètement.

Mais la physique nous joue un heureux tour. Rappelez vous de la géométrie du primaire : les générateurs de vapeur sont en hauteur, par rapport à la cuve ! On a donc une source de chaleur en bas, et une source froide en hauteur.

On dit que l’air chaud monte, mais la réalité est plus vaste que ça : un fluide chaud est moins dense que le même fluide, froid. Donc l’eau froide des GV va descendre en poussant l’eau chaude du cœur vers le haut.
Ainsi s’établit une convection naturelle qui fait circuler l’eau dans le primaire, une convection naturelle qui serait totalement insuffisante si le réacteur était en fonctionnement, mais pour la puissance résiduelle, ça suffit.

D’ailleurs, il faut noter que tout au long de la séquence que l’on va décrire, la puissance résiduelle elle va diminuer.
Si on part de 4 GW de chaleur (pour un réacteur de 1300 MW électriques), au moment de l’arrêt, on est tout au plus à 300 MW.
Je dis « tout au plus » parce que ça dépend de l’âge du combustible. S’il vient juste d’être partiellement remplacé, on a une partie du cœur qui est très peu radioactive, donc chauffe peu.
S’il était sur le point d’être renouvelé, ça chauffe au max. 300 MW, donc.
Puis ça décroît : 

  • après une minute, on tombe à 200 MW
  • 80 MW après 30 minutes,
  • 60 MW à une heure,
  • 24 MW après un jour.

Bref, par convection naturelle (« thermosiphon »), on transporte la chaleur aux GV. Mais eux, ils en font quoi de cette chaleur ? Et bien ils la transmettent à l’eau du secondaire, qui, du coup, va s’évaporer.

Cette vapeur, on va pouvoir la rediriger non plus vers LA turbine, mais vers une petite turbine qui va faire tourner une pompe (une turbopompe, quoi…), qui va prélever de l’eau dans un réservoir (une « bâche ») pour l’acheminer vers les GV.

Et la vapeur, après avoir entraîné cette turbopompe, on la relâche dans l’atmosphère, car on n’a plus le matos disponible pour la condenser. Peu importe, c’est de l’eau du secondaire, jamais en contact (sauf suraccident) avec le primaire, donc saine.

De la sorte, on peut évacuer la chaleur du cœur pas mal de temps. Et donc se donner les délais pour, d’une part, laisser baisser la puissance résiduelle, et d’autre part pour rétablir le courant, apporter de l’eau, etc. Obtenir des délais.

Mais on a dit : scénario sans aucune aide extérieure ni récupération de l’électricitié.

Donc la bâche où se sert la turbopompe, elle va se vider, et on va supposer qu’on n’a pas d’autre source d’eau disponible.
Alors à terme, la chaleur, on va continuer à la transférer aux générateurs de vapeur, à faire évaporer l’eau du secondaire, mais sans y ramener d’eau fraîche. Donc on va assécher les GV côté secondaire.

Fin du refroidissement du primaire, donc, et donc plus de convection naturelle. L’eau du primaire va se figer.

Au niveau du contact avec le combustible, l’eau va s’échauffer peu à peu, jusqu’à ce que des bulles de vapeur se forment sur les gaines du combustible.
Ces bulles vont grossir, se décrocher, et monter vers le haut de la cuve.
On va avoir une sorte de grosse bulle de vapeur, donc, sous le couvercle, qui va peu à peu grandir.

Puis la bulle va avoir assez grandi pour commencer à se propager dans le primaire.
On a vu la forme du primaire, on voit que si une bulle se forme en haut de la cuve, si elle se propage vers le bas, elle va passer dans les tuyauteries et donc va se propager dans tout le reste du circuit qui est plus haut que la cuve.
Ainsi, peu à peu, le primaire va passer sous forme de vapeur dans les générateurs de vapeur, le pressuriseur, les pompes…

Et la vapeur chaude, de plus en plus chaude, elle va monter en pression. Jusqu’à faire sauter les soupapes du pressuriseur (si elles n’ont pas été ouvertes avant, ça dépend de comment s’est produit l’accident, mais imaginons qu’on subisse vraiment tout).

À ce moment, la vapeur va s’échapper vers ces soupapes, d’abord dans un réservoir, puis, quand celui-ci sera plein, ses propres soupapes vont conduire la vapeur à s’évacuer dans l’enceinte de confinement.

Donc là, on a perdu la seconde barrière de confinement (le circuit primaire), mais la première (les gaines du combustible) et la troisième (l’enceinte) tiennent le coup.

En principe, on devrait pouvoir déclencher une pluie dans l’enceinte pour refroidir et condenser la vapeur. Mais ça requiert une alimentation électrique que l’on s’interdit dans ce scénario. En conséquent, la pression et la température vont peu à peu monter dans l’enceinte, mais avant qu’elle atteigne les quelques bars qu’elles est conçue pour encaisser, il va se passer d’autres choses.

Revenons dans notre cuve.

La vapeur à commencé à se barrer par les soupapes, donc la pression chute drastiquement.
Donc encore plus de vapeur se forme.
Maintenant, tout le circuit primaire est en vapeur, et la bulle de vapeur continue alors à grossir, vers le bas, se propageant donc vers le cœur.

À un moment, le combustible se retrouve en contact non plus avec de l’eau liquide mais avec de la vapeur, très peu conductrice de chaleur.
Le combustible va donc ne plus pouvoir bien évacuer la puissance thermique vers l’eau et va peu à peu chauffer.
Et vers à quelques 800-900 °C, il va se passer un truc drôle : l’alliage de zirconium qui constitue les gaines du combustible va s’oxyder.

Alors l’oxydation du zirconium au contact de l’eau a haute température, c’est pas comme de la rouille, non non. C’est BADASS.
C’est une réaction violemment exothermique, à ces températures, qui conduit malheureusement le zirco à prendre feu. Ce genre de feu (bon, y’a le bonus pyrophoricité en plus, là).
La température va monter très très vite et, en gros, passé 1200 °C, les gaines ne gainent plus rien.

Bref, ça commence à sentir la fusion. 

Les gaines se disloquent (sloquent), la température décolle, et le mélange de combustible, de gaines, et du reste des trucs a l’intérieur de la cuve commence à fondre. La première barrière de confinement a donc lâché.

Les radioéléments sous forme de gaz ou d’aérosols présents dans le combustible se barrent dans le primaire et donc, peu à peu, via les soupapes, dans l’enceinte (ils franchissent donc la deuxième barrière).

Si jusque là on pouvait toujours dépressuriser l’enceinte en rejetant la vapeur par la cheminée (la vapeur est toujours un peu contaminée, mais à travers les filtres des cheminées, sur les réacteurs français, ça serait pas trop méchant)… là on se retrouve avec beaucoup de radioactivité dans l’enceinte.

Du coup, balancer à la cheminée…
Bah on le ferait quand même, hein, parce qu’il vaut mieux des rejets contrôlés, filtrés, à la cheminée, qu’incontrolés en cas de rupture de l’enceinte sous la pression. Three Mile Island est là pour nous le confirmer.

Là où ce fut un énorme problème pour Fukushima, ils n’ont pas pu dépressuriser ni filtrer, jusqu’à la rupture du confinement. Oops.
S’ils avaient eu des moyens de dépressuriser au travers de bons filtres, les rejets auraient été bien moindres… Mais avec des « si »…

Oh, et il y a un truc que j’ai oublié, c’est que quand le zirconium s’oxyde…

Il produit du dihydrogène. 
Gaz hautement volatil et hautement explosif, la joie !

Bon. Nos enceintes de confinement, contrairement à celles de Fukushima-Daichi entre autres, elles ont des recombineurs, des machins qui, sans aucune source d’énergie, peuvent transformer l’hydrogène pour éviter l’explosion. On devrait limiter les problèmes de ce côté.
(Et c’est justement parce qu’on s’est demandé « et si » après TMI qu’on s’en est dotés…)

Mais le risque hydrogène est à traiter très sérieusement malgré tout, pour éviter ne serait-ce que des explosions petites et localisées, qui fragiliseraient l’enceinte ou les tuyauteries. Et on n’a pas besoin de ça : on a un souci de cœur qui est en train de fondre…

Et là… On atteint les limites des scénarios que je connais.
Soit on a fini par ramener de l’eau, et le cœur, même partiellement fondu, peut rester bien dans la cuve comme à Three Mile Island.

Soit il peut percer la cuve, comme pour certains réacteurs de Fukushima, s’étaler sur le béton et, pourquoi pas, imaginons, percer le béton et se disperser dans le sous-sol.
Dans ce cas, ce ne sont plus seulement les gaz et aérosols qui franchissent la troisième barrière de confinement, mais une quantité hallucinante de radioéléments .
C’est pour prévenir une telle issue que l’EPR est doté d’un « récupérateur de corium ».

Enfin bon. La leçon de tout ça, c’est qu’il faut TOUJOURS AVOIR LE COMBUSTIBLE SOUS EAU.

J’ai oublié de mentionner quelque chose, au cours de la baisse de pression du circuit primaire suite au dégazage au travers des soupapes.
Dans les enceintes sont présent des cuves sous pression qu’on appelle accumulateurs, reliées au primaire par des soupapes (tarées à quelque chose comme 40 bar, de mémoire).
Ce sont des réservoirs d’eau très borée (le bore, pour assurer de ne pas avoir de retour de la réaction en chaîne).

Au cours de la baisse en pression du primaire, sous leur propre pression, ils vont naturellement (sans avoir besoin d’action ou d’électricité) ouvrir les soupapes et se vider dans le primaire, fournissant un appoint d’eau fraîche, et donc un délai supplémentaire avant de dénoyer le cœur.

Et j’ai aussi omis une petite turbine, alimentée aussi par la vapeur des GV (tant qu’ils en produisent), qui elle même alimente un petit alternateur, pour fournir un peu de puissance électrique pour gérer les systèmes de sauvegarde.

Bref. 
On voit qu’un scénario d’accident grave, ça existe, le risque zéro n’existe pas, évidemment.

Mais on a fait un (petit) tour d’horizon de moyens que l’on a pour gagner du temps, garder le cœur refroidi le plus longtemps possible, et ce même dans le cas où l’on a perdu rigoureusement TOUTES les alimentations électriques, externes, internes, et où l’on n’a pas de source froide venant de l’extérieur. 

Donc on est dans un cas extrême, en termes d’improbabilité d’occurrence : prévention.
Et en cas d’occurrence malgré tout, on a fait le maximum pour limiter les conséquences : mitigation.

Rejets filtrés, dispositions pour obtenir les plus gros délais possible, pour rétablir les systèmes de l’intérieur, ou recevoir de l’aide depuis l’extérieur.

En termes de dispositions de mitigation, y’a aussi tout ce qui se passe autour de la centrale : consignes de prendre les pastilles d’iode, de se confiner, ou d’évacuer, en fonction de la tournure des événements.

D’ailleurs, puisqu’on en parle !
En cas d’accident grave, nucléaire ou autre, faites STRICTEMENT ce que vous disent les autorités.
Même si ça peut vous paraître bizarre, ils savent mieux que vous ce qui se passe.
Si on vous dit de vous confiner, n’évacuez pas, confinez-vous !
Vous vous exposeriez davantage à la pollution, si elle est passagère, en sortant pour vous éloigner qu’en restant bien à l’abri dans une maison fermée.

N’allez pas non plus chercher vos gosses à l’école, où ils seront confinés ou évacués, si besoin. N’allez pas vous entasser (avec eux, au retour) dans des embouteillages et maximiser votre/leur exposition au danger.

Bref, je me suis égaré, je reviens à mon réacteur. Mais j’ai un peu fait le tour, là… 

Éviter les accidents ET imaginer qu’on ne les évitera pas et minimiser les conséquences. Une règle d’or qui a fait défaut, historiquement… Et qui s’impose particulièrement dans le cadre des ECS, les « Examens Complémentaires de Sûreté » réalisés après Fukushima, dans le monde entier, France en tête de file.

Une centrale n’est pas une bombe, n’est pas quelque chose qui peut « péter » au moindre événement, et rien n’est pris à la légère. On a toujours un empilement de protections organisationnelles et matérielles entre l’événement et l’accident radiologique.

Et je pense que la longue énumération que constitue ce billet l’illustre quelque peu 😉




7 réflexions sur « L’accident nucléaire majeur : un scénario »

  1. Bonjour,
    Dans le scénario décrit, l’hypothèse est que les barres de contrôle ont éteint la réaction en chaîne et que le « seul » problème est la puissance résiduelle à évacuer. Dans le cas d’une fusion du cœur, comment s’est-on assuré que ce qui reste des barres de contrôles permet d’éviter un accident de criticité / redémarrage de la fusion ?
    Merci.

    Je sais pas si un article est prévu sur la gestion du risque de criticité , …. je demande au cas où! 😉

    J'aime

    1. Bonne question ! Et je ne sais pas. Je pense que les barres dissoutes dans le corium doivent bien bloquer la réaction en chaîne. L’absence d’eau, réduit également beaucoup la réactivité. Et on peut même imaginer des dépôts de Bore suite à l’évaporation de l’eau injectée dans le cœur pour le refroidir.
      Par ailleurs, un corium, en général, c’est très chaud -> Un effet Doppler important qui tend à diminuer la réactivité.

      Mais ce sont juste des réflexions sur le tas, j’irai me renseigner plus en détail parce que je n’ai véritablement pas la réponse. À supposer qu’elle existe ^^

      J'aime

  2. J’ai lu que dans le cas de l’EPR, une des fonction du récupérateur était de permettre l’étalement du corium pour éviter la criticité. Cela voudrait dire qu’il est préférable que la cuve se perce pour permettre cette étalement…. étrange, non?
    A Fukushima ou TMI, aucune idée si la reprise de fusion était un risque réel ou une spéculation.

    J'aime

    1. Effectivement, c’est une des grandes différences entre l’EPR et les autres réacteurs de génération équivalent, comme l’AP1000 : dans le cas de l’EPR, on préfère laisser percer la cuve et gérer le corium en dehors. Dans l’AP1000, on prétend pouvoir assurer le refroidissement de la cuve et du corium à l’intérieur.

      Ça change beaucoup de choses dans la gestion de l’accident : dans le cas de l’AP1000, il faut impérativement assurer l’apport d’eau dans le puits où est située la cuve. Pour l’EPR, c’est le contraire : il faut s’assurer de l’absence d’eau, parce que lorsque la cuve lâchera, l’interaction entre un curium à 1500-200 °C avec une masse d’eau provoquerait une vaporisation extrêmement brutale et potentiellement destructrice.

      J’espère d’ailleurs que les américains sont vraiment ultra confiants dans leurs cuves d’AP1000, parce que s’il s’avérait au final qu’elle perçait en étant plongée dans l’eau…

      J'aime

  3. […] Cela veut dire que même si l’on avait aussi eu une perte des deux groupes diesel sur la tranche 2 ou la tranche 4, que l’on n’avait pas pu mettre en service de source d’ultime secours, ni trouvé un moyen pour s’alimenter sur le réseau 400 kV via une autre tranche, on aurait probablement pas eu d’accident sérieux parce que les réacteurs sont pensés pour survivre quelques heures sans électricité tout de même (thermosiphon, et ceatera, j’en ai déjà parlé dans un autre article). […]

    J'aime

  4. Super article. Je me pose quelques questions :

    Les bâches d’alimentation du secondaire sont dimensionnés pour combien de temps dans le pire cas (300 MW initiaux) ?

    Toute cette gestion du refroidissement est-elle automatique ou seul l’arrêt d’urgence est automatique et il faut des opérateurs pour le reste ?
    Si pour une raison il n’y a personne en état dans la centrale (prise d’otage ou autre), est-ce que par exemple le switch du secondaire vers la turbopompe d’alimentation du secondaire est fait tout seul ?

    Je suppose que la salle de contrôle, les capteurs et actionneurs ont une alimentation et des batteries séparés ? Ils peuvent tourner combien de temps en autonomie avant de finir « dans le noir ». Toutes les vannes sont actionnables à la main au besoin ?

    Merci !

    J'aime

Votre commentaire

Entrez vos coordonnées ci-dessous ou cliquez sur une icône pour vous connecter:

Logo WordPress.com

Vous commentez à l’aide de votre compte WordPress.com. Déconnexion /  Changer )

Photo Google

Vous commentez à l’aide de votre compte Google. Déconnexion /  Changer )

Image Twitter

Vous commentez à l’aide de votre compte Twitter. Déconnexion /  Changer )

Photo Facebook

Vous commentez à l’aide de votre compte Facebook. Déconnexion /  Changer )

Connexion à %s