Télécharger cet article en PDF ->

Introduction

Dans de nombreux textes de l’Autorité de sûreté nucléaire (ASN) ou de l’Institut de radioprotection et de sûreté nucléaire (IRSN), on trouve fréquemment l’expression « exclusion de rupture » associée à un certain nombre d’équipements des réacteurs nucléaires, sans que sa signification ne soit généralement explicitée. Nous présentons ici la définition de cette expression qui qualifie un choix de stratégie de démonstration de sûreté. Ce choix implique de vérifier des propriétés particulières et tout à fait exceptionnelles des équipements concernés ainsi que ses conséquences sur le jugement que l’on peut apporter sur les règles appliquées en matière de sûreté des installations nucléaires de base (INB) et tout particulièrement les équipements sous pression nucléaires (ESPN). Nous examinons ensuite de quelle façon l’exclusion de rupture est appliquée et utilisée tant par l’IRSN que l’ASN, dans différentes circonstances.

Dans cette note, les citations de textes en référence figurent en italiques.

1. Définition et signification de l’exclusion de rupture

1.1 Définition par l’ASN

Le lexique de l’ASN définit ainsi « l’exclusion de rupture » [1] :

« L’exclusion de rupture implique un renforcement des exigences de conception, de fabrication et de suivi en service de certains matériels. Ce renforcement doit être suffisant pour considérer que la rupture de ces matériels est extrêmement improbable. Il permet à l’exploitant de ne pas étudier intégralement les conséquences d’une rupture de ces tuyauteries dans la démonstration de sûreté de l’installation ».

Quelques remarques sur cette définition :

– L’exclusion de rupture est ici définie par son utilité : si certains matériels sont déclarés en exclusion de rupture, c’est parce que cela « permet à l’exploitant de ne pas étudier… ».

– Une telle définition appelle à l’évidence des éclaircissements sur les expressions : « ce renforcement doit être suffisant » et « …est extrêmement improbable ». Dans cette définition, l’exclusion de rupture ne signifie pas que l’on fait l’hypothèse qu’une rupture du matériel est impossible, mais qu’elle est « extrêmement improbable ». Il faudra chercher ailleurs ce que signifie « extrêmement ».

– On note que les « matériels » de la première phrase deviennent des « tuyauteries » dans la deuxième : qu’est-ce que cela signifie ? Est-ce que les générateurs de vapeur, par exemple, sont exclus de cette analyse ?

1.2 Définition par l’IRSN

La définition de l’exclusion de rupture figure également dans le « Rapport au groupe permanent d’experts pour les équipements sous pression nucléaire » de l’IRSN, présenté à la session du 30 septembre 2015 [2] :

« Exclure la rupture d’un composant conduit à ce que sa défaillance ne soit pas postulée dans la démonstration de sûreté. Ainsi, aucune disposition n’est prévue au titre du troisième niveau de la défense en profondeur [3] pour limiter les conséquences de sa défaillance. De ce fait, l’hypothèse d’exclusion de rupture nécessite de renforcer les deux premiers niveaux de la défense en profondeur pour atteindre un niveau de sûreté satisfaisant. La rupture de la cuve est exclue au stade de la conception, de sorte que le principe de renforcement des deux niveaux de défense susmentionnés s’applique à ce composant ».

L’IRSN insiste sur le fait que l’exclusion de rupture entraîne des conséquences sur les deux premiers niveaux de la défense en profondeur. Il précise également la situation particulière de la cuve : le fait que sa rupture soit exclue au stade de la conception entraîne de facto qu’elle soit en exclusion de rupture.

Il serait nécessaire de clarifier ce que signifie « renforcer les deux premiers niveaux » : à quel niveau se touve la frontière pour un équipement qui relèverait d’un troisième niveau de défense ?

1.3 Questions

Première question  :

En quoi le postulat que la rupture d’un matériel est « extrêmement improbable » peut-il permettre à l’exploitant de ne pas étudier les conséquences d’une rupture de ce matériel (ici des tuyauteries) dans la démonstration de sûreté de l’installation ?

Deuxième question :

L’exclusion de rupture de certains équipements s’applique dans le domaine de la sûreté nucléaire. Qu’en est-il dans celui de la sécurité nucléaire, c’est-à-dire la capacité d’une installation de résister à des agressions extérieures ou intérieures malveillantes. Une rupture considérée comme hautement improbable en termes de sûreté peut être la cible d’une agression malveillante dont on sait que son occurrence ne relève pas d’un calcul de probabilités.

Est-ce que les études de sécurité prennent en compte les conséquences des ruptures de matériels « en exclusion de rupture » ?

1.4 Des suppléments d’information

L’ASN, consultée par l’auteur en juin 2018 sur ces définitions, apporte un supplément d’information :

« Ce terme exclusion de rupture recouvre deux situations différentes :

- Des composants pour lesquels l’exploitant a choisi dans sa démonstration de sûreté de les considérer en exclusion de rupture : cela concerne les tuyauteries primaires et secondaires de l’EPR de Flamanville.

- Des composants dits ’non-ruptibles’ : cela concerne les gros composants des circuits primaires et secondaires des réacteurs, en l’occurrence les cuves, générateurs de vapeur, pressuriseurs de l’ensemble des réacteurs (EPR compris) ».

Il serait intéressant de questionner l’historique de cette définition pour voir quand la première catégorie est apparue : a-t-elle été créée spécifiquement pour l’EPR ?

On trouve également plus d’informations dans le guide 22 de l’ASN [4] sur la conception des nouveaux réacteurs à eau sous pression aux alinéas 5.2.3.1, 5.2.4.2 et 5.2.5.2 présentés ci-dessous [5].

Au paragraphe I.3 de ce guide relatif au champ d’application du guide, il est précisé :

« Ayant pour champ d’application premier la conception des nouveaux réacteurs REP, les recommandations de ce guide pourront également être utilisées, à titre de référence, pour la recherche d’améliorations à apporter aux réacteurs existants, par exemple à l’occasion de leurs réexamens périodiques de sûreté, conformément à l’article L. 593-18 du code de l’environnement et aux articles 8 bis et quater introduits par la directive européenne du 8 juillet 2014 ».

Ces recommandations du guide sont largement utilisées dans le cas de l’EPR et même des réacteurs actuellement en fonctionnement, notamment à l’occasion de la quatrième visite décennale.

• Alinéa 5.2.3.1
• Une démarche d’exclusion de rupture des gros composants du CPP et des CSP doit être mise en œuvre. En effet, aucune disposition raisonnable de limitation des conséquences de leur rupture, en tant qu’événement déclencheur, ne pourrait être définie [6]. Ces composants sont dits « non ruptibles ». Cette démarche doit reposer sur des dispositions particulièrement exigeantes en matière de conception, de fabrication et de suivi en service visant à prévenir la rupture. Ces dispositions concernent : 

• - l’analyse des modes d’endommagement pertinents, le choix et l’utilisation de matériaux présentant une résistance suffisante à ces modes d’endommagement, la détermination des sollicitations auxquelles ils sont soumis, y compris en cas de survenue d’une agression, et la vérification du respect de critères permettant de prévenir les risques de rupture ; 

• {}- le recours à des procédés de fabrication et de contrôle permettant de démontrer l’obtention d’un très haut niveau de qualité tenant compte, conformément au point 4 des remarques préliminaires de l’annexe I à la directive 2014/68 du 15 mai 2014 relative aux équipements sous pression, de l’ « état d’avancement de la technique et de la pratique au moment de la conception et de la fabrication, ainsi que des considérations techniques et économiques compatibles avec un degré élevé de protection de la santé et de la sécurité » ; 

• {}- le suivi en service, permettant notamment de vérifier en temps utile l’absence de dégradation du composant. 

  • • Dans cette perspective, la détermination enveloppe de sollicitations subies, l’analyse du comportement des structures sous ces sollicitations, l’existence de marges notamment par rapport aux critères mécaniques, la qualification des procédés de fabrication et les approvisionnements, le choix, l’étendue et la précision des techniques de contrôle au regard des procédés de fabrication, la détermination des critères d’acceptation des défauts de fabrication, l’accessibilité des zones à surveiller en exploitation et l’étendue des contrôles associés, la prise en compte de l’expérience sur le comportement de matériaux ou d’installations similaires sont des moyens nécessaires à la mise en œuvre de cette démarche. 

      En langage courant, la phrase clef : « En effet, aucune disposition raisonnable de limitation des conséquences de leur rupture, en tant qu’événement déclencheur, ne pourrait être définie », signifie que la rupture – déclarée exclue- de l’équipement concerné peut conduire à des situations pour lesquelles le rapport de sûreté de l’installation ne prévoit pas de mesures permettant de ramener l’installation dans un état sûr.

Alinéa 5.2.4.2

L’hypothèse d’« exclusion de rupture » consiste dans son principe à ne pas traiter les conséquences de la rupture d’une tuyauterie parce que la rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance. Le recours à l’hypothèse d’exclusion de rupture ne peut être envisagé que pour les tuyauteries primaires principales et nécessite des éléments :

- démontrant que les dispositions de conception, de fabrication et de surveillance en service sont telles que la rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance. À ce titre, les recommandations de l’article 5.2.3.1 s’appliquent à ces dispositions ;

- justifiant que ce choix est raisonnable compte tenu des avantages et inconvénients qu’il apporte au niveau de sûreté global de l’installation et à la radioprotection.

{}

Si cette hypothèse est retenue, les seules ruptures (jusqu’à la rupture doublement débattue [7]) des piquages connectés aux tuyauteries primaires principales sont à prendre en compte comme des EIU [8] dans la démonstration de sûreté nucléaire.
Les chargements résultants sont à prendre en compte pour le dimensionnement des assemblages de combustible, des structures internes des composants primaires (cuve du réacteur, générateurs de vapeur, pompes primaires) et des structures internes à l’enceinte de confinement.

Par ailleurs, par convention :

• {}- la rupture doublement débattue de la tuyauterie primaire principale est retenue pour la conception
du système d’injection de secours, de l’enceinte de confinement et des systèmes associés, ainsi que pour les profils de qualification des équipements présents dans l’enceinte de confinement, en utilisant des hypothèses appropriées ; 

• {}- la rupture doublement débattue de la tuyauterie primaire principale est retenue pour la seule détermination des efforts pour la conception du supportage des gros composants. 

  Le recours à cette hypothèse étant un choix structurant, ce recours et ses modalités d’application devront faire l’objet d’une instruction à un stade précoce de la conception. Cette instruction devra également porter sur les modalités de mise en œuvre. 


La phrase clef de ce paragraphe nous paraît être :

« L’hypothèse d’ « exclusion de rupture » consiste dans son principe à ne pas traiter les conséquences de la rupture d’une tuyauterie parce que la rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance  ».

Les expressions « extrêmement improbable » et « haut degré de confiance » paraissent bien « a-scientifiques », très qualitatives et donc susceptibles d’interprétations diverses.

Interrogée sur cette question, l’ASN répond :

« Cette phrase doit être comprise dans le contexte du guide 22 qui s’applique à la conception des futurs réacteurs. La phrase qualitative à l’alinéa 5.2.4.2 du guide a pour vocation de définir un objectif à atteindre. Lorsque le concepteur d’un réacteur souhaite avoir recours à une démarche d’exclusion de rupture pour des tuyauteries primaires ou secondaires principales, ce dernier doit alors proposer un référentiel d’exclusion de rupture quantitatif qui permet d’atteindre l’objectif qualitatif susmentionné et qui est adapté au réacteur dont la conception est discutée. Pour la définition de ce référentiel, le concepteur peut notamment s’appuyer sur les dispositions techniques du code RCC-M pour les équipements de niveau 1. 

Ce référentiel est ensuite analysé par l’ASN et l’IRSN dans le cadre de l’instruction de la démonstration de sûreté ».

Aliné
a 5.2.5.2

Le recours à l’hypothèse d’exclusion de rupture ne peut être envisagé que pour les tuyauteries secondaires principales véhiculant de la vapeur et nécessite des éléments :

- démontrant que les dispositions de conception, de fabrication et de surveillance en service sont telles que la rupture peut être considérée comme extrêmement improbable avec un haut degré de confiance. À ce titre, les recommandations de l’article 5.2.3.1 s’appliquent à ces dispositions ; 


• {}- démontrant que les effets hydrodynamiques significatifs sont évités et que les points fixes sont aussi proches que possible des traversées de l’enceinte de confinement ; 

• {}- justifiant que ce choix est raisonnable compte tenu des avantages et inconvénients qu’il apporte au niveau de sûreté global de l’installation et à la radioprotection. 

• Si cette hypothèse est retenue, par convention, les masses et énergies libérées par la rupture doublement débattue de la tuyauterie principale de vapeur sont retenues pour la conception de l’enceinte de confinement et des systèmes associés, ainsi que pour les profils de qualification des équipements présents dans l’enceinte de confinement, en utilisant des hypothèses appropriées. 
Le recours à cette hypothèse étant un choix structurant, ce recours et ses modalités d’application devront faire l’objet une instruction à un stade précoce de la conception. Cette instruction devra également porter sur les modalités de mise en œuvre. 


2. Exemples d’application de l’exclusion de rupture dans les textes de la sûreté nucléaire

2.1 Exemples

- Groupe permanent d’experts pour les équipements sous pression nucléaire sur la tenue en service des cuves des réacteurs de 900 MW de puissance électrique après leur troisième visite décennale. Séances des 16 et 30 juin 2010 - Synthèse du rapport.

L’intégrité de la cuve du réacteur constitue un élément essentiel de la démonstration de sûreté des centrales nucléaires à eau sous pression. La rupture de cet équipement, dont les conséquences seraient très graves, n’est en effet pas prise en compte dans les études de sûreté et c’est la raison pour laquelle toutes les dispositions doivent être prises dès la conception de l’équipement afin de garantir sa tenue pendant toute la durée d’exploitation du réacteur.

- Décision ASN n°2016-DC-05672 du 13 octobre 2016, prescrivant des contrôles et mesures sur le fond primaire de certains générateurs de vapeur de réacteurs électronucléaires d’EDF  :

Considérant qu’au titre de la démonstration de sûreté nucléaire, la qualité du matériau des fonds primaires des générateurs de vapeur doit permettre d’en exclure la rupture.

- Exposé de l’ASN à la réunion du HCTISN [9] du 18 juin 2015, au sujet des anomalies constatées sur le couvercle et le fond de la cuve du réacteur EPR en construction à Flamanville.

La cuve ne peut être remplacée au cours de la vie d’un réacteur. Elle fait en outre l’objet de l’hypothèse d’exclusion de rupture. Ainsi, dans la démonstration de sûreté, les conséquences de la défaillance de la cuve ne sont pas étudiées.

- Projet de décision de l’ASN autorisant la mise en service et l’utilisation de la cuve du réacteur EPR de Flamanville.

Considérant que la démonstration de sûreté nucléaire des réacteurs à eau sous pression exclut la rupture de la cuve sur la base de dispositions particulièrement exigeantes retenues en matière de conception, de fabrication et de suivi en service.

- Courrier de l’ASN à EDF du 2 février 2018, concernant l’application du principe d’exclusion de rupture aux tuyauteries VVP (vapeur vive principale) de l’EPR en construction à Flamanville :

L’ASN a été informée début 2017 que des fiches de non-conformité qui concernent les exigences du référentiel d’exclusion de rupture avaient été émises dès 2015 sur les activités de soudage de ces tuyauteries. L’ASN a réalisé une inspection le 21 février 2017 sur le site du réacteur EPR de Flamanville 3 en cours de construction, au cours de laquelle les inspecteurs ont constaté, ainsi que la lettre de suite de l’ASN [4] l’indique, que « les exigences spécifiques liées à l’exclusion de rupture ne sont pas connues sur le site et leur respect ne fait pas l’objet d’un contrôle et d’une surveillance. Par ailleurs, les entreprises en charge du soudage des circuits semblent rencontrer des difficultés notables dans la réalisation des témoins de soudage ». Ces constats montrent que l’organisation définie pour ces montages mécaniques n’était pas appropriée. 


{}Où l’on constate que les exigences liées à l’acceptation de l’exclusion de rupture ne sont pas toujours respectées…

- Courrier de l’ASN à EDF du 24 octobre 2014 (CODEP-DCN-2014-045577), concernant le réacteur EPR de Flamanville.

Vous prévoyez d’appliquer une démarche d’« exclusion de fuite » pour certains équipements véhiculant du fluide à moyenne énergie à savoir certaines portions non isolables du circuit de traitement et de refroidissement de l’eau de piscines (système PTR) et dispositif de transfert du combustible reliant les piscines du bâtiment du réacteur (BR) et du bâtiment combustible (BK).

Cette démarche d’« exclusion de fuite » vous amène à ne pas traiter dans la démonstration de sûreté nucléaire les conséquences de fuites notables sur ces équipements, à l’instar de ce qui est fait pour les défaillances d’équipement en « exclusion de rupture ».

L’ASN vous rappelle que l’hypothèse d’exclusion de rupture implique en contrepartie le respect d’exigences particulièrement sévères en matière de conception, de construction et de suivi en service. L’ASN considère donc que les équipements en « exclusion de fuite » doivent bénéficier d’un niveau d’exigences renforcé, à l’instar de ce qui est retenu pour les équipements en « exclusion de rupture.

2.2 Commentaire 

On constate que les demandes de l’exploitant pour que des matériels soient considérés en exclusion de rupture (ou de fuite) peuvent être très nombreuses. La cuve est systématiquement concernée, mais aussi les générateurs de vapeur, le préssuriseur et les tuyauteries des circuits primaire et secondaire. On voit également dans le dernier exemple, une demande d’EDF pour une acceptation en « exclusion de fuite », comparable à l’exclusion de rupture, pour le circuit de traitement et de refroidissement de piscines contenant les combustibles irradiés hors du réacteur. Sur ce dernier exemple, il serait intéressant de connaître la suite donnée à la demande de l’ASN, quelles sont les « exigences renforcées » dont il est questions et si elles ont été respectées par EDF.

La liste de ces matériels n’est pas publique et on ne connaît donc pas son ampleur.

On peut noter aussi que pour l’exclusion de rupture des tuyauteries, en plus d’un renforcement des niveaux un et deux de la défense en profondeur, il y a une exigence de démonstration que « ce choix est raisonnable compte tenu des avantages et inconvénients qu’il apporte au niveau de sûreté global de l’installation et à la radioprotection ». Curieusement, l’ASN n’a pas l’air de demander la même chose dans le cas d’espèce de l’exclusion de fuite. Cela ouvre la brèche à une possibilité de choisir l’exclusion de fuite (ou de rupture) de composants divers sous le seul prétexte de faibles probabilités de défaillances, et donc à un glissement d’une approche déterministe de la sûreté vers une approche probabiliste.

3. L’exclusion de rupture dans la sûreté de l’EPR

3.1 La cuve de l’EPR de Flamanville

Rappelons que (Fiche pédagogique IRSN du 28 juin 2017, page 1) :

La cuve fait partie des équipements dits « en exclusion de rupture ». Cela signifie que sa défaillance et sa rupture ne sont pas postulées dans la démonstration de sûreté.

En conséquence, sa conception, sa fabrication et son suivi en service font l’objet de dispositions de contrôle particulièrement exigeantes afin d’écarter le risque de rupture (règles de conception spécifiques, procédés de fabrication et de contrôle permettant de démontrer l’obtention d’un très haut niveau de fabrication, contrôles non destructifs renforcés en service… 

L’enchaînement des évènements

• Dès 2005, l’ASN [10] (BCCN [11]) avait alerté EDF sur le fait que l’usine Creusot Forge connaissait de sérieux problèmes de qualité. C’était avant la fabrication de la cuve de l’EPR [12] :
  Dans le cadre de sa mission de contrôle de la fabrication des équipements sous pression nucléaires, le BCCN a récemment constaté de nombreux écarts concernant le forgeron Creusot Forge ;

L’ASN annonçait une inspection de Creusot Forge.

• Le rapport de février 2017 du HCTISN [13] permet de mieux connaître le déroulement des choses partir de 2006 :
  Au cours de l’été 2006, l’ASN (BCCN) a posé un certain nombre de questions relatives aux approvisionnements anticipés de la cuve de FA3 [14], dont une sur la manière d’apporter la preuve de l’homogénéité des propriétés mécaniques des calottes (lettre à AREVA du 21 août).

Il a été répondu (lettre AREVA du 27 novembre) que ceci ferait l’objet des dossiers de Qualification Technique, dont le contenu allait se discuter dans les semaines à venir, dans le cadre de la définition des modalités d’application de l’EPSN.

Il y avait donc déjà anguille sous roche en ce délai de justification des critères du 5.3.2.1.

AREVA a produit plusieurs versions des Synthèses de Qualification technique des calottes. En ce qui concerne la zone externe centrale, elles estimaient qu’après usinage, seules des ségrégations résiduelles demeureraient, assurant des propriétés mécaniques conformes ».

• Le temps passe, « AREVA estimant que les exigences seraient satisfaites  ». Il paraît cependant nécessaire de recourir à des mesures expérimentales sur une pièce sacrificielle. Ce n’est qu’en septembre 2014 que ces mesures expérimentales sur la carotte d’une pièce initialement prévue pour un (putatif) réacteur aux Etats-Unis mettent en évidence les anomalies.

• Afin de bien préciser les responsabilités premières, le même rapport du HCTISN nous apprend qu’AREVA a prélevé et analysé en 2007 plusieurs copeaux de matière sur les deux faces de chacun des flans forgés (disques plats avant mise en forme) à l’origine des deux calottes (couvercle et fond de la cuve de FA3) :
  Sur le côté tête, les deux prélèvement effectués sur la calotte supérieure ont donné des valeurs de concentration de carbone élevées (0,265% et 0,277%) qui auraient pu amener à s’interroger dès 2007 sur la présence de ségrégations majeures positives. Ces valeurs apparaissent en 2007 dans la version B du dossier de synthèse de la qualification M140 en référence (23) mais le procès-verbal d’essais annexé (page 117/140) indique que les résultats sont conformes ».

• De nouveau, en 2013, des tests supplémentaires avaient donné des résultats avoisinant les 45 Joule (pour la résilience de l’acier) au lieu des 60 Joule prévus par la réglementation. Le rapport du HCTISN précise que ni l’ASN, ni EDF n’avaient été prévenus de ces mauvais résultats.

• Enfin, le rapport CODEP (2015) déjà cité nous dit en page 19 : 
  Fin 2014, Areva NP a informé l’ASN de résultats d‘essais de résilience plus faibles qu’attendu. Les essais ont été réalisés dans le cadre de la qualification technique, sur des éprouvettes prélevées sur une calotte destinée initialement à un projet de réacteur EPR aux Etats-Unis [15], dénommée calotte supérieure UA, a priori représentative de celles destinées à la cuve du réacteur EPR de Flamanville. Les valeurs mesurées à 0° C sur deux séries de trois éprouvettes présentaient une valeur minimale de 36 J (Joule) et une valeur moyenne de 52 J ne permettant pas d’atteindre la qualité alors attendue par Areva NP. Ces valeurs sont également inférieures à la valeur de résilience de 60 J mentionnée au point 4 de l’annexe I de l’arrêté EPSN en référence (3) [16].

Il faudra donc attendre avril 2015 pour que l’ASN rende publique l’information sur la non- conformité des calottes du couvercle et du fond de la cuve du réacteur EPR de Flamanville.

La sanction de l’ASN

Dans sa lettre du 14 décembre 2015 [17] au président d’Areva, le président de l’ASN écrit :

Je considère que le dossier de qualification technique que vous avez présenté pour les calottes du fond et du couvercle de la cuve de Flamanville 3 montre que le risque d’hétérogénéité dû aux ségrégations majeures positives résiduelles, phénomène métallurgique connu, a été mal apprécié et ses conséquences mal quantifiées.

Je considère donc que l’exigence de qualification technique n’est pas respectée et que vous n’avez pas fait le choix de la meilleure technique disponible pour la réalisation des calottes de la cuve de l’EPR .

La sanction est tombée. Dans ces conditions, la mise en service de la cuve de l’EPR ne peut pas être autorisée.

Mais, dans la même lettre, le président de l’ASN propose une voie détournée :

Vous devrez en conséquence déposer une demande au titre de l’article R. 557-1-3 du code de l’environnement.

{}Qu’est-ce que cela signifie ?

A toutes les interrogations sur les anomalies de pièces de la cuve, EDF répondait qu’il n’y a pas de problème, qu’il n’y a pas de « Plan B » et que le démarrage est prévu pour 2018 [18].

Pourquoi un tel excès de confiance de la part d’Areva et surtout d’EDF qui est, après tout, le premier responsable de la sûreté de ses réacteurs et qui a réussi à créer un « fait accompli » en installant la cuve de l’EPR alors que la qualification technique n’était pas reconnue ?

Peut-être parce que, très opportunément, un décret du 1er juillet 2015 [19]et son arrêté d’application du 30 décembre 2015 [20] relatif aux équipements sous pression nucléaires, dont font partie les cuves des réacteurs, crée un régime dérogatoire pour l’application des règles de conformité des équipements sous pression nucléaires.

On lit en effet dans l’article 9 de cet arrêté :

En application de l’article R. 557-1-3 du code de l’environnement, en cas de difficulté particulière et sur demande dûment justifiée, assurant notamment que les risques sont suffisamment prévenus ou limités [21], l’Autorité de sûreté nucléaire peut, par décision prise après avis de la Commission centrale des appareils à pression, autoriser l’installation, la mise en service, l’utilisation et le transfert d’un équipement sous pression nucléaire ou d’un ensemble nucléaire n’ayant pas satisfait à l’ensemble des exigences des articles L.557-4 et L.557-5 du code de l’environnement, du chapitre VII du titre V de la partie réglementaire du code de l’environnement et du présent arrêté.

La « difficulté particulière » qui a conduit in fine à l’acceptation de la cuve par l’ASN n’est pas une difficulté relative à la sûreté mais au fait que l’exploitant EDF a créé une situation considérée comme irréversible en acceptant et installant la cuve avant la conclusion des essais demandés par l’ASN, arguant qu’il serait très onéreux et cause de retard dans le démarrage de l’EPR de réaliser le remplacement des éléments défaillants. La « difficulté particulière » est d’ordre économique et industriel et largement due au comportement des deux grands opérateurs concernés, Areva et EDF.

D’autre part, le risque de rupture brutale de la cuve, accident considéré « par définition » comme impossible (exclusion de rupture) est bien analysé dans le document CODEP déjà cité. Le risque n’est donc pas a priori limité.

La décision de l’ASN est publiée le 9 octobre 2018 [22] :

Article 1 :

« En application de l’article 9 de l’arrêté du 30 décembre 2015 susvisé, la cuve destinée à l’installation nucléaire de base n°167 [23] peut être mise en service et utilisée. L’utilisation du couvercle actuel de cette cuve n’est toutefois pas autorisée au-delà du 31 décembre 2024 ».

Les deux autres articles, très brefs, imposent à EDF un programme d’essais de suivi du vieillissement thermique de la cuve, de réaliser des contrôles en service capables de détecter certains défauts sur le fond de la cuve du réacteur.

Le plus intéressant de ce document est la liste des considérants qui précèdent la décision elle-même et illustrent l’évolution des jugements de l’ASN dans cette affaire :

a) Constat que « cet équipement ne satisfait pas à l’ensemble des exigences essentielles de sécurité mentionnées à l’article L. 557-4 du code de l’environnement » et du risque encouru : « Considérant que la présence d’une zone de ségrégation majeure positive du carbone conduit dans certaines conditions à diminuer la ténacité de l’acier, c’est-à-dire sa résistance à la propagation d’une fissure, et est susceptible de remettre en cause sa résistance à la rupture brutale ».

b) Acceptation d’une démarche de la part du fabricant des pièces concernées pour justifier que l’anomalie ne remet pas en cause l’aptitude au service du fond et du couvercle de cuve et appréciation de cette démarche : « Considérant qu’il résulte de l’ensemble de ces éléments que les risques sont suffisamment prévenus et limités ».

c) Utilisation de l’argument de la « difficulté particulière » : « Considérant que le fabricant présente, dans le courrier de demande du 13 juillet 2018 susvisé, les éléments justifiant que la remise en conformité de la cuve du réacteur EPR de Flamanville et notamment de son fond, par des opérations de réparation ou de remplacement des composants concernés, n’est pas raisonnablement envisageable ; qu’une difficulté particulière, au sens de l’article 9 de l’arrêté du 30 décembre 2015 susvisé, est ainsi caractérisée ; ».

d) La nécessité de contrôles accrus car :

– Considérant que la démonstration de sûreté nucléaire des réacteurs à eau sous pression exclut la rupture de la cuve sur la base de dispositions particulièrement exigeantes retenues en matière de conception, de fabrication et de suivi en service…

- Considérant qu’il convient également que l’exploitant mette en œuvre des contrôles périodiques complémentaires afin de s’assurer de l’absence d’apparition de défaut ;

- Considérant que de tels contrôles sont réalisables sur le fond de la cuve et qu’ils doivent donc être mis en œuvre ;

- Considérant, en revanche, que la faisabilité technique de contrôles similaires sur le couvercle de la cuve n’est pas acquise et donc qu’en l’état actuel des connaissances, l’utilisation de ce couvercle doit être limitée dans le temps ;

La cuve est donc autorisée, bien que la durée d’utilisation du couvercle soit limitée à quelques années et qu’il devra être remplacé en 2024, ce qui prouve qu’il ne répond pas, loin de là, aux conditions de l’exclusion de rupture.

Commentaire

Cette affaire est particulièrement inquiétante. En effet, on assiste à une grave dérive entre l’affirmation d’exigences renforcées sur la qualité de la cuve et de ses composants du fait de leur statut en exclusion de rupture, à l’acceptation d’au moins une pièce, le couvercle de la cuve, qui ne respecte pas, et de loin, ces exigences, puisque sans possibilité de contrôle approfondi.

Des considérations économiques entraînent un processus que l’on peut qualifier de négociations entre l’exploitant et l’autorité de sûreté, pour aboutir à l’acceptation par celle-ci du fait accompli : le maintien de la cuve en l’état, moyennant des opérations de contrôle.

3.2 Les soudures de l’EPR de Flamanville

Un problème de soudures récurrent

– Décembre 2008, l’ASN demande à EDF de surseoir à toute opération irréversible et de réaliser des contrôles supplémentaires sur les soudures du liner (peau d’acier sur la face interne de l’enceinte de confinement intérieure).

– Automne 2010 : des défauts sont signalés à l’ASN par Areva NP sur des soudures situées sur le couvercle de la cuve, au niveau des adaptateurs (pièces pour le passage des barres de contrôle) : les soudures seront refaites.

– Juin 2011 : lors des opérations de correction de ces défauts, constat d’une épaisseur insuffisante de la couche de métal (beurrage) située sous ces soudures. Il a fallu refaire toutes les soudures et les beurrages de 50 adaptateurs sur 105.

– Décembre 2011 : défauts au niveau d’un grand nombre des soudures des consoles du pont polaire. EDF a décidé de remplacer intégralement les consoles.

Huit soudures repoussent encore le démarrage de l’EPR

– 2012-2014 : début de l’affaire des soudures non conformes des tuyauteries d’évacuation de la vapeur en sortie des générateurs de vapeur vers la turbine (VVP). Areva en prévient EDF en août 2015.

– Début 2017, EDF a informé l’ASN que des exigences renforcées, associées à une démarche d’exclusion de rupture n’avaient pas été retranscrites par Areva au sous-traitant (Five-Nordon, Nancy) chargé de la réalisation en usine de 8 soudures des lignes principales d’évacuation de vapeur. Ces tuyauteries ont été déjà installées dans l’EPR.

– 2018 : Après inspection générale de l’ASN, suite aux écarts détectés, EDF a décidé de contrôler les 150 soudures du circuit secondaire principal (350 mètres), dont font partie les 66 soudures des tuyauteries VVP (tuyauteries du circuit de vapeur principal) en exclusion de rupture. On constate que 63 sur 150 ne sont pas conformes.

– EDF fait refaire la majorité des soudures défaillantes mais envisage néanmoins le maintien en l’état de certaines soudures dont les 8 déjà citées et réalisées en usine, situées entre les deux parois de l’enceinte de confinement.

– Après expertise par l’IRSN, l’ASN considère que cette option nécessite la réalisation d’un programme conséquent d’essais visant à mieux caractériser les propriétés mécaniques des soudures et invite EDF à engager dès à présent les actions préalables à la réparation des soudures concernées.

– Après avis du Groupe d’experts, l’ASN informe EDF par courrier du 19 juin 2019 que, compte-tenu des nombreux écarts survenus lors de la réalisation des soudures des traversées de l’EPR de Flamanville, celles-ci devront être réparées.

– Juillet 2019 : EDF propose trois scénarios différents pour réparer les soudures et reconnaît que l’EPR ne démarrera pas avant fin 2022.

Nouveaux problèmes de soudures dans l’EPR et certains réacteurs en fonctionnement

Début septembre 2019, EDF et Framatome ont identifié et déclaré à l’ASN un écart concernant le traitement thermique de détensionnement de soudures par résistance électrique appliqué aux joints soudés réalisés pour l’assemblage des composants de différents équipements de réacteurs nucléaires.

Ces défauts de fabrication concernent : seize générateurs de vapeur (GV) installés sur six réacteurs en exploitation (Blayais 3 et 4, Bugey 3, Fessenheim 2, Dampierre 4, Paluel 2), trois GV neufs non encore installés (destinés à Gravelines 5 et 6) et les quatre GV de l’EPR de Flamanville ainsi que le pressuriseur de celui-ci, en place en attente du démarrage du réacteur.

Les six réacteurs en exploitation concernés n’ont pas été arrêtés. Les analyses techniques réalisées par EDF et Framatome seront soumises à l’expertise de l’IRSN et à l’avis de l’ASN.

Commentaire

Sur les questions de soudures, sans pouvoir nous prononcer sur le dernier épisode au moment d’écrire ce texte, il est important de noter que, chaque fois, la décision finale de l’ASN a été qu’il était nécessaire de refaire les soudures, ce qui est cohérent avec le principe d’exclusion de rupture qui s’appliquait effectivement aux équipements concernés. Cette décision n’a pas été automatique dès la connaissance du défaut, ce qui eut été logique puisque la soudure concernée ne respectait pas les conditions exigées, mais en général après le rejet des arguments mis en avant par EDF pour « démontrer » que les soudures étaient quand même acceptables en l’état car les « marges » de sûreté, bien que diminuées, restaient à son avis cependant acceptables.

3.3 L’exclusion de rupture pour le nouvel EPR

Examinons maintenant la façon dont l’exclusion de rupture est traitée dans l’Avis de l’ASN n° 2019-AV-0329 du 16 juillet 2019 relatif au dossier d’options de sûreté présenté par EDF pour le projet de réacteur EPR nouveau modèle (EPR NM) et son évolution de configuration EPR 2.

La question fondamentale de l’exclusion de rupture pour certains équipements est abordée dans le texte principal (partie C) et dans l’Annexe 1 (point 4.) :

Par ailleurs, le dossier d’options de sûreté du projet de réacteur EPR NM prévoit l’application d’une démarche d’exclusion de rupture à certaines tuyauteries des circuits primaires et secondaires principaux. La démarche d’exclusion de rupture appliquée aux tuyauteries consiste, dans son principe, à ne pas étudier, dans la démonstration de sûreté nucléaire, les conséquences de la rupture d’une tuyauterie parce que cette rupture est rendue extrêmement improbable avec un haut degré de confiance. Ceci doit conduire à renforcer les deux premiers niveaux de la défense en profondeur mentionnée à l’article 3.1 de 
l’arrêté du 7 février 2012 susvisé, car aucune disposition n’est mise en place, au titre du troisième niveau, pour limiter les conséquences d’une défaillance des niveaux précédents. Le recours à cette démarche, structurante en termes de conception, doit être examiné dès la phase initiale de conception du réacteur. Le dossier d’options de sûreté du projet de réacteur EPR NM déposé par EDF ne justifie pas suffisamment les avantages et inconvénients d’une telle démarche pour la sûreté et la radioprotection. Par ailleurs, le dossier d’options de sûreté ne présente pas les éléments qui permettront de justifier la haute qualité de conception, de fabrication et de suivi en service de ces tuyauteries. L’ASN considère que le recours à la démarche d’exclusion de rupture de ces tuyauteries des circuits primaire et secondaires n’est pas acceptable, à ce stade [24], en l’absence de ces éléments et des justifications demandées au point 4 de l’annexe 1 au présent avis.

L’avis de l’ASN est exceptionnellement sévère vis-à-vis de cette pratique qui a été largement utilisée dans le projet EPR de Flamanville, dans des conditions qui se sont avérées désastreuses : déficiences du couvercle et du fond de la cuve, soudures à refaire sur le circuit de vapeur secondaire et déficientes sur les générateurs de vapeur et le pressuriseur, tous équipements bénéficiant de l’exclusion de rupture, comme le confirme le paragraphe 4 de l’annexe 1 :

De plus, le retour d’expérience de la fabrication des tuyauteries des circuits secondaires principaux du réacteur EPR de Flamanville montre que l’objectif de qualité de fabrication peut ne pas être atteint ou être difficile à vérifier. Compte tenu de ces enseignements, l’ASN considère qu’EDF doit définir les modalités pour démontrer l’atteinte de l’objectif de haute qualité de conception, de fabrication et de suivi en service et de la haute confiance dans cette qualité.

Enfin, l’ASN considère que le recours à une démarche d’exclusion de rupture est conditionné à la capacité de l’exploitant de s’assurer de la correcte déclinaison opérationnelle par ses prestataires du référentiel d’exclusion de rupture. Cette démonstration doit aborder aussi bien les aspects techniques que les aspects organisationnels. Elle doit en particulier démontrer la capacité de l’exploitant à détecter d’éventuels écarts de mise en œuvre de la démarche avant qu’une remise en conformité ne devienne particulièrement difficile.

L’ASN prendra position sur l’acceptabilité du recours à une démarche d’exclusion de rupture pour les tuyauteries primaires principales et les tuyauteries principales d’évacuation de la vapeur des circuits secondaires principaux après l’examen de la justification de ce choix, de son référentiel d’application et de ses modalités de mise en œuvre tenant compte des enseignements du réacteur EPR de Flamanville. Ces éléments devront être transmis à l’ASN au plus tôt et dans tous les cas en amont d’une demande d’autorisation de création.

Commentaire

L’avis de l’ASN sur l’application du principe d’exclusion de rupture dans le nouvel EPR est particulièrement sévère, du fait notamment de la malheureuse expérience de l’EPR de Flamanville.

Dans ces conditions, et lorsque l’on sait que ce principe n’a pas été appliqué pour l’EPR d’Olkiluoto en Finlande, on se demande quel est l’intérêt, du point de vue de la sûreté nucléaire, de maintenir cette pratique.

Conclusion 

La responsabilité d’expertise et de contrôle de l’IRSN et de l’ASN est tout à fait claire : il s’agit de s’assurer, pour un réacteur nucléaire en fonctionnement ou en projet, que toutes les précautions sont prises, au niveau de la conception du réacteur, de la fabrication des équipements, de la construction de l’installation, de son exploitation et de sa maintenance, pour réduire au maximum le risque d’accident.

Pour cela, les exigences de qualité peuvent être renforcées pour un certain nombre d’équipements dont la rupture pourraient conduire à un accident grave, voire majeur, tels que la cuve du réacteur, les générateurs de vapeur, le pressuriseur, les tuyauteries des circuits primaire et secondaire.

Ce que l’on ne comprend pas est que cette exigence de qualité pour que « la rupture de ces matériels soit extrêmement improbable », conduise à la démarche d’exclusion de rupture qui, de fait, considère cette rupture comme « impossible », ce qui est fondamentalement différent.

La différence est que l’autorisation par l’ASN donnée à la demande de l’exploitant, en l’occurrence EDF, d’appliquer à un réacteur une démarche d’exclusion de rupture, exonère l’exploitant d’étudier les conséquences de cette rupture dans la démonstration de sûreté de son installation.

Cela est dangereux, surtout si l’exploitant a tendance (ou une tentation ?) à étendre sa demande à des équipements qui ne sont pas considérés a priori comme vitaux pour la sûreté mais pour la rupture desquels il ne connaît pas de parade ou bien même pour lesquels la mise en œuvre de cette parade serait techniquement complexe et économiquement très onéreuse.

La justification souvent avancée de la démarche d’exclusion de rupture est qu’elle permet une plus grande exigence vis-à-vis du constructeur et de l’exploitant, ceux-ci étant, en contrepartie, dispensés d’étudier les accidents qui pourraient survenir du fait de la rupture du matériel ou de l’équipement considéré. Mais alors, il faudrait que la sanction en cas de non-respect de ces exigences « supplémentaires », soit à la mesure de la faute : toute pièce ne respectant pas les exigences devrait être rejetée, sans discussion. Or, nous avons vu dans le cas de l’EPR de Flamanville qu’au contraire, des considérations de caractère économique, le fait accompli, les « difficultés particulières », ont conduit à un processus de « négociation » entre l’exploitant et l’autorité de sûreté, pour aboutir à l’acceptation par celle-ci, moyennant des procédures de contrôle, du fait accompli : le maintien de la cuve en l’état.

L’exclusion de rupture, déjà contestable dans son principe sur le plan scientifique, est inopérante sur le plan de la sûreté et son principal effet est d’exonérer non seulement l’exploitant mais aussi les organismes de la sûreté nucléaire, d’étudier et de publier ce qui se passerait dans le cas d’un accident causé par la rupture d’une pièce « en exclusion de rupture ».

Cette question très simple, « que se passerait-il si… » est pourtant parfaitement légitime, qu’elle provienne des responsables politiques, des organisations syndicales et environnementales, des citoyens… On ne peut admettre la réponse habituelle : « Nous ne pouvons pas vous répondre puisque, par hypothèse, cette rupture est impossible ».

Rappelons pour conclure la déclaration [25] de Jacques Repussard sur les accidents majeurs à la suite de l’accident de Fukushima : « Il y a des enchaînements de circonstances aggravantes, des combinaisons d’évènements improbables que l’on estime a priori inimaginables mais qui finissent quand même par se produire. Comme je le dis parfois : il faut imaginer l’inimaginable ».

Annexe - la Défense en profondeur

La conception des installations nucléaires repose sur le principe de défense en profondeur, qui conduit à la mise en œuvre de niveaux de défense successifs (caractéristiques intrinsèques, dispositions matérielles et procédures), destinés à prévenir les incidents et accidents puis, en cas d’échec de la prévention, à en limiter les conséquences :

* Le premier niveau de défense a pour objet de prévenir les incidents : pour les équipements, des dispositions sont définies pour assurer un haut niveau de qualité de leur conception et de leur fabrication ainsi qu’un haut niveau de garantie de cette qualité.

* Le deuxième niveau de défense a pour objet de détecter la survenue de tels incidents et de mettre en œuvre les actions permettant, d’une part, d’empêcher que ceux-ci ne conduisent à un accident et, d’autre part, de rétablir une situation de fonctionnement normal ou, à défaut, d’atteindre puis de maintenir le réacteur dans un état sûr. Pour les équipements, cela nécessite que leurs hypothèses de conception demeurent vérifiées au cours de l’exploitation, en particulier :

-des dispositions d’exploitation permettent d’assurer que l’équipement est utilisé dans le domaine de fonctionnement défini par hypothèse à la conception,

-des dispositions de maintenance permettent d’assurer que l’équipement reste dans un état conforme à celui considéré au moment de la conception.

* Le troisième niveau de défense a pour objet de maîtriser les accidents n’ayant pu être évités ou, à défaut, de limiter leur aggravation en retrouvant la maîtrise de l’installation afin de la ramener et de la maintenir dans un état sûr : pour les équipements, des dispositions sont mises en œuvre pour limiter les conséquences de leur défaillance.

* Le quatrième niveau de défense a pour objet de gérer les situations d’accident consécutives à l’échec des dispositions des trois premiers niveaux de défense en profondeur de façon à en limiter les conséquences, notamment pour les personnes et l’environnement. Ce quatrième niveau permet de gérer les situations d’accident avec fusion de combustible.

* Le cinquième niveau de défense concerne l’intervention des pouvoirs publics pour limiter les conséquences d’un accident pour le public et l’environnement.