L’accident nucléaire majeur : un scénario

Le présent billet est issu d’un thread sur rédigé sur Twitter que vous pouvez retrouver à ce lien et ci-dessous.

Je n'ai jamais fait de #thread sur la sûreté #nucléaire.
Alors prenons un peu de temps pour parler d'#AccidentNucléaire.

Un sujet majeur depuis #Fukushima : et si on perdait toutes les alimentations électriques d'un réacteur ? 😱

— Tristan K☢️min (@TristanKamin) September 20, 2018

Un disclaimer préalable : je vais me focaliser sur les réacteurs français, de type « Réacteur à Eau Pressurisée » (REP). Ce que je vais dire ne sera que très partiellement applicable à d’autres réacteurs, notamment les REB de Fukushima.

Les grandes différences entre REP et REB (ainsi que les RBMK de Tchernobyl, par exemple) sont décrites dans ce thread, qui fera l’objet d’un billet sur ce blog, tôt ou tard.

Pour commencer, à quoi ça ressemble, un REP, et comment ça fonctionne ?
Je pique Framatome cet excellent visuel :

En très bref, dans la cuve (1) est situé le cœur du réacteur, où est entretenue la réaction en chaîne qui produit de la chaleur. Typiquement, dans les 2500 à 4000 MW de chaleur.

Les quatre pompes (3) assurent la circulation de l’eau à un débit assez fou entre la cuve et les GV, ou générateurs de vapeur (2), qui sont de gros échangeurs de chaleur eau/eau entre le circuit primaire et secondaire.

Dans ces GV, l’eau du secondaire, liquide, est chauffée par l’eau du primaire jusqu’à ébullition et vaporisation.
Ensuite, la vapeur part à la turbine, est refroidie par le tertiaire, liquéfiée, et revient aux GV. Voilà, vous avez les bases.

Après, il y a le pressuriseur dans lequel pas grand chose ne circule, il sert surtout à maintenir la pression stable en abritant une « bulle » de vapeur qu’on comprime ou détend pour mettre l’eau de tout le primaire sous pression.

À noter que cette illustration est valable pour les réacteurs de 1300 MW, 1500 MW, et l’EPR. Nos 34 réacteurs de 900 MW n’ont que trois boucles : trois pompes, trois GV.

Bon, on a les pré-requis sur le design du réacteur. Maintenant, à quoi sert l’électricité, dans son fonctionnement ?
Avant tout, à faire tourner les 3-4 pompes du primaire et faire circuler l’eau de sorte qu’elle transporte la chaleur de la cuve vers les GV.
4 millions de kW à balader.

L’électricité sert à des tas et des tas d’autres fonctions, évidemment, ne serait-ce qu’au pilotage du réacteur.
Mais le cœur (haha) du problème est quand même la circulation de l’eau dans le primaire.

Avant d’envisager la perte d’alimentation électrique, je suis d’avis de faire un petit tour d’horizon des différentes alimentations possibles, justement.

Histoire d’être clair sur le fait que c’est pas une bête coupure de courant dont on va parler dans la suite 😋

Le réacteur est évidemment connecté au réseau électrique français. Par une ligne de 400 kV dite « principale », sur laquelle il évacue sa production électrique après avoir prélevé ce dont il a besoin pour le faire fonctionner – notamment pour faire tourner les pompes primaires, donc.

En cas de défaillance de cette ligne, on tente un « îlotage » : on découple le réacteur du réseau électrique, et on essaye de faire baisser sa puissance de sorte à ce qu’il s’auto-alimente, en produisant juste ce dont il a besoin.
C’est une manœuvre assez tendue, parce qu’il y a pas mal d’actions à opérer pour changer considérablement le point de fonctionnement du primaire et du secondaire. Il faut notamment réguler très rapidement la concentration de bore dans le primaire.
Bref, pas mal de changements qui peuvent ne pas être toujours faits assez vite, ou être mal faits et « taper » les systèmes de protection du réacteur et déclencher son arrêt automatique par chute des barres de contrôle dans le cœur.

En cas d’échec de l’îlotage, et donc arrêt du réacteur, on tente de passer l’alimentation de la tranche sur une autre alimentation externe, le « réseau externe auxiliaire » de 400 kV également.
Les pompes primaires ne sont alors plus alimentées. Mais elles sont munies d’énormes volants d’inertie qui les font tourner quelques moments encore. 
Mais à ce moment là, on sait déjà qu’on va devoir piloter le réacteur sans elles.

Heureusement, il est en train de s’arrêter, et donc la puissance passe de 4000 MW (celle de la réaction de fission en chaîne) à quelques centaines de MW, la puissance « résiduelle » due à la radioactivité du cœur.

Donc si on vous parle d’emballement de la réaction, d’impossibilité d’arrêter la fission, etc., dans ce contexte, ce sont en général des conneries. La chute des barres tue net la réaction en chaîne, en 5 secondes, il n’y a quasiment plus rien d’autre que la puissance résiduelle à évacuer.

Bon, côté alimentation électrique, on tente de démarrer les deux groupes électrogènes diesel qui alimenteront différents systèmes de sauvegarde pour pérenniser le refroidissement du réacteur, et le garder de manière générale en fonctionnement contrôlé.

Si aucun des deux diesel ne démarre (c’est déjà pas de pot : double défaillance, ou défaillance + agression externe locale, ou agression externe généralisée), on sollicite un groupe d’ultime secours : soit la turbine à combustion de la centrale, si elle en a une, soit un diesel d’un réacteur voisin.

Si ce groupe d’ultime secours est indisponible aussi, là, ça commence à devenir compliqué.
Depuis Fukushima, EDF déploie des diesel d’ultime secours à raison d’un par tranche, mais elles ne sont pas encore toutes équipées.

Il y a encore une barrière, c’est l’acheminement de moyens d’alimentations électrique depuis l’extérieurs, notamment par la FARN (Force d’Action Rapide du Nucléaire, mise en place suite à Fukushima également).
Déployable sur n’importe quelle tranche en moins de 24h, même en conditions extrêmes (comme après un séisme, infrastructures routières endommagées, etc.).

Mais dans le cas où :

• On perd l’alimentation électrique principale
• Et on échoue l’îlotage
• Et on perd l’alimentation électrique
• Et on perd un diesel
• Et on perd (où il est indisponible) le second diesel
• Et on perd le groupe d’ultime secours
• Et on perd le diesel d’ultime secours
• Et on n’obtient jamais d’aide extérieure

Que peut-il alors se passer ?

Notons quand même que niveau probabilité, on est déjà très, très bas. Parce que l’enchaînement d’une telle série de défaillance, même dans des circonstances exceptionnelles (type séisme, encore une fois), il est quand même hautement improbable.

Mais vu que la sûreté, en France, c’est la prévention ET la mitigation (se mettre à l’abri des risques ET envisager qu’on se les prenne dans la face quand même), étudions le scénario d’une perte longue et totale d’électricité. Qu’arriverait-il à notre réacteur ?

Alors, d’abord, une petite déclaration de… Non-intérêt :p
Je ne travaille pas dans le domaine des accidents graves de réacteurs.
Donc je me base sur des souvenirs de cours, essentiellement ^^

Il est par conséquent tout à fait possible que je fasse quelques erreurs, ou quelques omissions ou hypothèses un peu fortes. Mais je ne doute pas qu’on me le fera remarquer, donc il y aura peut-être des errata en fin de billet 😉

J’ai donc mon réacteur qui vient de s’arrêter, avec 200-300 MW de puissance résiduelle qui sont encore produits dans le cœur par sa radioactivité.

Mes pompes primaires, notamment, ne sont plus alimentées.
Elles continuent à assurer la circulation quelques instants grâce à leur volant d’inertie, transférant la chaleur vers les GV, avant de s’arrêter complètement.

Mais la physique nous joue un heureux tour. Rappelez vous de la géométrie du primaire : les générateurs de vapeur sont en hauteur, par rapport à la cuve ! On a donc une source de chaleur en bas, et une source froide en hauteur.

On dit que l’air chaud monte, mais la réalité est plus vaste que ça : un fluide chaud est moins dense que le même fluide, froid. Donc l’eau froide des GV va descendre en poussant l’eau chaude du cœur vers le haut.
Ainsi s’établit une convection naturelle qui fait circuler l’eau dans le primaire, une convection naturelle qui serait totalement insuffisante si le réacteur était en fonctionnement, mais pour la puissance résiduelle, ça suffit.

D’ailleurs, il faut noter que tout au long de la séquence que l’on va décrire, la puissance résiduelle elle va diminuer.
Si on part de 4 GW de chaleur (pour un réacteur de 1300 MW électriques), au moment de l’arrêt, on est tout au plus à 300 MW.
Je dis « tout au plus » parce que ça dépend de l’âge du combustible. S’il vient juste d’être partiellement remplacé, on a une partie du cœur qui est très peu radioactive, donc chauffe peu.
S’il était sur le point d’être renouvelé, ça chauffe au max. 300 MW, donc.
Puis ça décroît : 

• après une minute, on tombe à 200 MW
• 80 MW après 30 minutes,
• 60 MW à une heure,
• 24 MW après un jour.

Bref, par convection naturelle (« thermosiphon »), on transporte la chaleur aux GV. Mais eux, ils en font quoi de cette chaleur ? Et bien ils la transmettent à l’eau du secondaire, qui, du coup, va s’évaporer.

Cette vapeur, on va pouvoir la rediriger non plus vers LA turbine, mais vers une petite turbine qui va faire tourner une pompe (une turbopompe, quoi…), qui va prélever de l’eau dans un réservoir (une « bâche ») pour l’acheminer vers les GV.

Et la vapeur, après avoir entraîné cette turbopompe, on la relâche dans l’atmosphère, car on n’a plus le matos disponible pour la condenser. Peu importe, c’est de l’eau du secondaire, jamais en contact (sauf suraccident) avec le primaire, donc saine.

De la sorte, on peut évacuer la chaleur du cœur pas mal de temps. Et donc se donner les délais pour, d’une part, laisser baisser la puissance résiduelle, et d’autre part pour rétablir le courant, apporter de l’eau, etc. Obtenir des délais.

Mais on a dit : scénario sans aucune aide extérieure ni récupération de l’électricitié.

Donc la bâche où se sert la turbopompe, elle va se vider, et on va supposer qu’on n’a pas d’autre source d’eau disponible.
Alors à terme, la chaleur, on va continuer à la transférer aux générateurs de vapeur, à faire évaporer l’eau du secondaire, mais sans y ramener d’eau fraîche. Donc on va assécher les GV côté secondaire.

Fin du refroidissement du primaire, donc, et donc plus de convection naturelle. L’eau du primaire va se figer.

Au niveau du contact avec le combustible, l’eau va s’échauffer peu à peu, jusqu’à ce que des bulles de vapeur se forment sur les gaines du combustible.
Ces bulles vont grossir, se décrocher, et monter vers le haut de la cuve.
On va avoir une sorte de grosse bulle de vapeur, donc, sous le couvercle, qui va peu à peu grandir.

Puis la bulle va avoir assez grandi pour commencer à se propager dans le primaire.
On a vu la forme du primaire, on voit que si une bulle se forme en haut de la cuve, si elle se propage vers le bas, elle va passer dans les tuyauteries et donc va se propager dans tout le reste du circuit qui est plus haut que la cuve.
Ainsi, peu à peu, le primaire va passer sous forme de vapeur dans les générateurs de vapeur, le pressuriseur, les pompes…

Et la vapeur chaude, de plus en plus chaude, elle va monter en pression. Jusqu’à faire sauter les soupapes du pressuriseur (si elles n’ont pas été ouvertes avant, ça dépend de comment s’est produit l’accident, mais imaginons qu’on subisse vraiment tout).

À ce moment, la vapeur va s’échapper vers ces soupapes, d’abord dans un réservoir, puis, quand celui-ci sera plein, ses propres soupapes vont conduire la vapeur à s’évacuer dans l’enceinte de confinement.

Donc là, on a perdu la seconde barrière de confinement (le circuit primaire), mais la première (les gaines du combustible) et la troisième (l’enceinte) tiennent le coup.

En principe, on devrait pouvoir déclencher une pluie dans l’enceinte pour refroidir et condenser la vapeur. Mais ça requiert une alimentation électrique que l’on s’interdit dans ce scénario. En conséquent, la pression et la température vont peu à peu monter dans l’enceinte, mais avant qu’elle atteigne les quelques bars qu’elles est conçue pour encaisser, il va se passer d’autres choses.

Revenons dans notre cuve.

La vapeur à commencé à se barrer par les soupapes, donc la pression chute drastiquement.
Donc encore plus de vapeur se forme.
Maintenant, tout le circuit primaire est en vapeur, et la bulle de vapeur continue alors à grossir, vers le bas, se propageant donc vers le cœur.

À un moment, le combustible se retrouve en contact non plus avec de l’eau liquide mais avec de la vapeur, très peu conductrice de chaleur.
Le combustible va donc ne plus pouvoir bien évacuer la puissance thermique vers l’eau et va peu à peu chauffer.
Et vers à quelques 800-900 °C, il va se passer un truc drôle : l’alliage de zirconium qui constitue les gaines du combustible va s’oxyder.

Alors l’oxydation du zirconium au contact de l’eau a haute température, c’est pas comme de la rouille, non non. C’est BADASS.
C’est une réaction violemment exothermique, à ces températures, qui conduit malheureusement le zirco à prendre feu. Ce genre de feu (bon, y’a le bonus pyrophoricité en plus, là).
La température va monter très très vite et, en gros, passé 1200 °C, les gaines ne gainent plus rien.

Bref, ça commence à sentir la fusion. 

Les gaines se disloquent (sloquent), la température décolle, et le mélange de combustible, de gaines, et du reste des trucs a l’intérieur de la cuve commence à fondre. La première barrière de confinement a donc lâché.

Les radioéléments sous forme de gaz ou d’aérosols présents dans le combustible se barrent dans le primaire et donc, peu à peu, via les soupapes, dans l’enceinte (ils franchissent donc la deuxième barrière).

Si jusque là on pouvait toujours dépressuriser l’enceinte en rejetant la vapeur par la cheminée (la vapeur est toujours un peu contaminée, mais à travers les filtres des cheminées, sur les réacteurs français, ça serait pas trop méchant)… là on se retrouve avec beaucoup de radioactivité dans l’enceinte.

Du coup, balancer à la cheminée…
Bah on le ferait quand même, hein, parce qu’il vaut mieux des rejets contrôlés, filtrés, à la cheminée, qu’incontrolés en cas de rupture de l’enceinte sous la pression. Three Mile Island est là pour nous le confirmer.

Là où ce fut un énorme problème pour Fukushima, ils n’ont pas pu dépressuriser ni filtrer, jusqu’à la rupture du confinement. Oops.
S’ils avaient eu des moyens de dépressuriser au travers de bons filtres, les rejets auraient été bien moindres… Mais avec des « si »…

Oh, et il y a un truc que j’ai oublié, c’est que quand le zirconium s’oxyde…

Il produit du dihydrogène. 
Gaz hautement volatil et hautement explosif, la joie !

Bon. Nos enceintes de confinement, contrairement à celles de Fukushima-Daichi entre autres, elles ont des recombineurs, des machins qui, sans aucune source d’énergie, peuvent transformer l’hydrogène pour éviter l’explosion. On devrait limiter les problèmes de ce côté.
(Et c’est justement parce qu’on s’est demandé « et si » après TMI qu’on s’en est dotés…)

Mais le risque hydrogène est à traiter très sérieusement malgré tout, pour éviter ne serait-ce que des explosions petites et localisées, qui fragiliseraient l’enceinte ou les tuyauteries. Et on n’a pas besoin de ça : on a un souci de cœur qui est en train de fondre…

Et là… On atteint les limites des scénarios que je connais.
Soit on a fini par ramener de l’eau, et le cœur, même partiellement fondu, peut rester bien dans la cuve comme à Three Mile Island.

Soit il peut percer la cuve, comme pour certains réacteurs de Fukushima, s’étaler sur le béton et, pourquoi pas, imaginons, percer le béton et se disperser dans le sous-sol.
Dans ce cas, ce ne sont plus seulement les gaz et aérosols qui franchissent la troisième barrière de confinement, mais une quantité hallucinante de radioéléments .
C’est pour prévenir une telle issue que l’EPR est doté d’un « récupérateur de corium ».

Enfin bon. La leçon de tout ça, c’est qu’il faut TOUJOURS AVOIR LE COMBUSTIBLE SOUS EAU.

J’ai oublié de mentionner quelque chose, au cours de la baisse de pression du circuit primaire suite au dégazage au travers des soupapes.
Dans les enceintes sont présent des cuves sous pression qu’on appelle accumulateurs, reliées au primaire par des soupapes (tarées à quelque chose comme 40 bar, de mémoire).
Ce sont des réservoirs d’eau très borée (le bore, pour assurer de ne pas avoir de retour de la réaction en chaîne).

Au cours de la baisse en pression du primaire, sous leur propre pression, ils vont naturellement (sans avoir besoin d’action ou d’électricité) ouvrir les soupapes et se vider dans le primaire, fournissant un appoint d’eau fraîche, et donc un délai supplémentaire avant de dénoyer le cœur.

Et j’ai aussi omis une petite turbine, alimentée aussi par la vapeur des GV (tant qu’ils en produisent), qui elle même alimente un petit alternateur, pour fournir un peu de puissance électrique pour gérer les systèmes de sauvegarde.

Bref. 
On voit qu’un scénario d’accident grave, ça existe, le risque zéro n’existe pas, évidemment.

Mais on a fait un (petit) tour d’horizon de moyens que l’on a pour gagner du temps, garder le cœur refroidi le plus longtemps possible, et ce même dans le cas où l’on a perdu rigoureusement TOUTES les alimentations électriques, externes, internes, et où l’on n’a pas de source froide venant de l’extérieur. 

Donc on est dans un cas extrême, en termes d’improbabilité d’occurrence : prévention.
Et en cas d’occurrence malgré tout, on a fait le maximum pour limiter les conséquences : mitigation.

Rejets filtrés, dispositions pour obtenir les plus gros délais possible, pour rétablir les systèmes de l’intérieur, ou recevoir de l’aide depuis l’extérieur.

En termes de dispositions de mitigation, y’a aussi tout ce qui se passe autour de la centrale : consignes de prendre les pastilles d’iode, de se confiner, ou d’évacuer, en fonction de la tournure des événements.

D’ailleurs, puisqu’on en parle !
En cas d’accident grave, nucléaire ou autre, faites STRICTEMENT ce que vous disent les autorités.
Même si ça peut vous paraître bizarre, ils savent mieux que vous ce qui se passe.
Si on vous dit de vous confiner, n’évacuez pas, confinez-vous !
Vous vous exposeriez davantage à la pollution, si elle est passagère, en sortant pour vous éloigner qu’en restant bien à l’abri dans une maison fermée.

N’allez pas non plus chercher vos gosses à l’école, où ils seront confinés ou évacués, si besoin. N’allez pas vous entasser (avec eux, au retour) dans des embouteillages et maximiser votre/leur exposition au danger.

Bref, je me suis égaré, je reviens à mon réacteur. Mais j’ai un peu fait le tour, là… 

Éviter les accidents ET imaginer qu’on ne les évitera pas et minimiser les conséquences. Une règle d’or qui a fait défaut, historiquement… Et qui s’impose particulièrement dans le cadre des ECS, les « Examens Complémentaires de Sûreté » réalisés après Fukushima, dans le monde entier, France en tête de file.

Une centrale n’est pas une bombe, n’est pas quelque chose qui peut « péter » au moindre événement, et rien n’est pris à la légère. On a toujours un empilement de protections organisationnelles et matérielles entre l’événement et l’accident radiologique.

Et je pense que la longue énumération que constitue ce billet l’illustre quelque peu 😉