Version classiqueVersion mobile

L'énergie à découvert

 | 
Rémy Mosseri
, 
Catherine Jeandel

Deuxième partie. Quelques aspects fondamentaux

18. Sécurité et sûreté des systèmes critiques

Albert Benveniste

Texte intégral

1Le 28 mars 1979, la centrale nucléaire de Three Mile Island subit une fusion partielle de son cœur. Suivant le rapport de l’IRSN (Institut de Radioprotection et de Sûreté nucléaire) rédigé en 1979 :

2« L’accident a commencé le mercredi 28 mars à 4 heures du matin par un simple incident d’exploitation : la défaillance de l’alimentation normale en eau des générateurs de vapeur. Les automatismes de sûreté prévus fonctionnèrent parfaitement : arrêt d’urgence de la réaction nucléaire par insertion des barres de commande dans le cœur et mise en service des pompes de secours d’alimentation en eau des générateurs de vapeur. C’est alors qu’est intervenue une première défaillance : malgré la mise en service des pompes du système d’alimentation de secours des générateurs de vapeur, l’eau n’a pas pu atteindre les générateurs de vapeur car les vannes situées entre ces derniers et les pompes étaient fermées au lieu d’être ouvertes, par suite d’un oubli de l’opérateur (ces vannes avaient été régulièrement fermées pour procéder à un essai réglementaire des pompes ; après l’essai, ces vannes auraient dû être replacées en position ouverte). Ces vannes ont été rouvertes manuellement, huit minutes plus tard. Néanmoins, pendant ce laps de temps, en raison du dégagement de chaleur produit par la puissance résiduelle due à la décroissance radioactive des produits de fission dans le combustible, l’eau du circuit primaire, insuffisamment refroidie, avait fait augmenter la pression de ce circuit jusqu’à déclencher l’ouverture de la vanne de décharge du pressuriseur, dont le rôle est d’évacuer l’excès de vapeur vers un réservoir et donc de diminuer la pression dans le circuit primaire. Lorsque le refroidissement par les générateurs de vapeur fut rétabli et que la pression du circuit primaire commença à descendre en dessous du seuil d’ouverture de la vanne de décharge du pressuriseur, une seconde défaillance se produisit : la vanne de décharge du pressuriseur reçut l’ordre de se fermer mais resta coincée en position ouverte, d’où l’apparition d’une brèche dans la partie supérieure du pressuriseur. Compte tenu de la vidange du circuit primaire, le dégagement de chaleur dans le cœur du réacteur a porté l’eau à ébullition ; comme il n’y avait plus d’alimentation en eau dans le circuit primaire, le niveau d’eau dans la cuve a baissé et le combustible a commencé à ne plus être sous eau. Le refroidissement du combustible est devenu moins efficace et sa température a augmenté. À terme, il s’est produit un fort relâchement de produits de fission du combustible dans le fluide primaire et, par ce fluide, dans l’enceinte de confinement (la vanne de décharge du pressuriseur étant toujours ouverte) : 2 heures et 14 minutes après le début de l’accident, l’alarme de radioactivité élevée dans l’enceinte de confinement s’est déclenchée […]. Le combustible en ressort significativement dégradé par la fusion partielle du cœur. »

Fig. 1 – Le 28 mars 1979, à la centrale nucléaire de Three Mile Island en Pennsylvanie (États-Unis), une série de défaillances matérielles et humaines provoquaient la fusion partielle du cœur du réacteur nucléaire

3Les leçons suivantes sont tirées par ce même rapport (extraits entre guillemets) :

4« L’indicateur de position de la vanne incriminée retransmettait en salle de commande l’ordre reçu par la vanne et non sa position réelle ».

5Il s’agit là d’une erreur de conception système. Les procédures très strictes de certification visent à contenir ce type de problème.

6« Les opérateurs de la centrale ne disposaient pas de procédures adaptées leur permettant de couvrir les combinaisons possibles d’événements correspondant à des cumuls de défaillances matérielles ou humaines, simultanées ou différées ».

7Il s’agit d’un problème causé par la corrélation d’événements multiples, non comprise par les opérateurs. Seule une modélisation système permet d’inférer de telles corrélations et de restituer une vue synthétique aux opérateurs.

8« La représentation mentale de la situation qu’avaient les opérateurs était fausse, ils manquaient d’informations directes sur l’état du cœur du réacteur ».

9Ceci est dû à un manque d’analyse de situation pour des faits non directement visibles à travers les mesures disponibles aux opérateurs. Seuls des progrès en modélisation physique du procédé considéré doublés, de modélisations probabilistes des propagations d’incidents, permettent de jouer en urgence des scénarios donnant des prévisions immédiates pour le comportement de la centrale.

10Les leçons de l’accident de Tchernobyl vont dans le même sens. La modélisation constitue un atout-clé dans la garantie de la sûreté et de la sécurité au meilleur niveau possible. Cette modélisation, dite « modélisation système », se doit d’être globalisante, couvrant le procédé physique avec ses capteurs et actionneurs, l’infrastructure de calcul qui contrôle la centrale ainsi que le logiciel déployé sur cette infrastructure. Aujourd’hui, la compréhension d’un système se fait au travers de multiples modélisations (la physique du procédé, la fiabilité, les fonctions réalisées par le logiciel, l’infrastructure de calcul) développées par des équipes travaillant avec peu de coordination, sur des outils et concepts très différents développés par des secteurs industriels différents. La cohérence de l’ensemble est donc difficile à assurer et les corrélations entre ces différentes vues du système font cruellement défaut. La naissance d’un secteur industriel systémier global est en cours de consolidation autour d’acteurs de poids tels que The Mathworks, Dassault Systèmes, LMS, ANSYS, entre autres. Ces efforts laissent espérer une meilleure intégration des modèles de la physique du procédé, des fonctions réalisées par le logiciel, et de la fiabilité du système. La reconnaissance des corrélations entre événements de surveillance et la restitution d’une vision synthétique demeurent, en revanche, plus prospectives, et des efforts sont certainement nécessaires pour qu’une offre industrielle émerge au niveau du génie système.

Fig. 2 – L’accident survenu le 26 avril 1986 dans la centrale nucléaire de Tchernobyl, en Ukraine, a profondément marqué l’opinion publique européenne

11La certification est, aujourd’hui, centrée sur les processus de développement et de conduite des centrales. Par ce fait, elle néglige la qualité de la modélisation système : le modèle est-il fidèle, suffisamment précis et discriminant pour identifier les situations ? Les situations indésirables ont-elles bien été explorées et les mesures pour les contenir ont-elles été prévues ?

12En conclusion, l’amélioration de la sûreté et de la sécurité des systèmes critiques requiert un investissement approfondi dans la modélisation et le développement virtuel de systèmes, modélisation prenant en compte de manière conjointe les divers aspects pour en refléter les interactions. Seul un tel effort permettra d’obtenir la vision d’ensemble avec la cohérence voulue, évitant les effets indésirables de l’intégration de sous-systèmes ou d’aspects différents.

Bibliographie

Référence bibliographique

• Rapports d’accidents de Three Mile Island et Tchernobyl, www.irsn.fr/FR/base_de_connaissances/Installations_nucleaires/La_surete_Nucleaire/Les-accidents-nucleaires

Table des illustrations

Légende Fig. 1 – Le 28 mars 1979, à la centrale nucléaire de Three Mile Island en Pennsylvanie (États-Unis), une série de défaillances matérielles et humaines provoquaient la fusion partielle du cœur du réacteur nucléaire
URL http://books.openedition.org/editionscnrs/docannexe/image/10951/img-1.jpg
Fichier image/jpeg, 529k
Légende Fig. 2 – L’accident survenu le 26 avril 1986 dans la centrale nucléaire de Tchernobyl, en Ukraine, a profondément marqué l’opinion publique européenne
URL http://books.openedition.org/editionscnrs/docannexe/image/10951/img-2.jpg
Fichier image/jpeg, 434k

Auteur

Directeur de Recherche à l’INRIA, Membre des Conseils Scientifiques de Safran et France Telecom, Co-Directeur du Labex CominLabs, Membre de l’Académie des Technologies, Rennes.
albert.benveniste@inria.fr

Le texte et les autres éléments (illustrations, fichiers annexes importés) sont sous Licence OpenEdition Books, sauf mention contraire.

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search