0. EXIGENCES DE SURETE
Remarque préliminaire
Le chapitre 3.7 traite de la qualification des matériels aux conditions accidentelles, y compris les accidents graves.
Les principes généraux de qualification (notamment, qualification aux conditions normales et aux agressions internes et externes) sont présentés au chapitre 3.1.
478
3.7
• les conditions de fonctionnement avec défaillances multiples : RRC-A (voir chapitre 19.1.0 du Rapport Préliminaire de Sûreté),
• les situations d’accidents graves : RRC-B (voir chapitre 19.2 du Rapport Préliminaire de Sûreté).
Bien que les accidents correspondants soient exclus de la liste conventionnelle des accidents de référence, des brèches équivalentes à la rupture doublement débattue d’une tuyauterie primaire principale (2A-APRP) et à la rupture doublement débattue d’une tuyauterie vapeur dans l’enceinte (2A-RTV) sont retenues pour la qualification des équipements (voir chapitre 19.3 du Rapport Préliminaire de Sûreté présentant les études spécifiques).
0.2. MATERIELS CONCERNES
Les équipements concernés par la qualification sont ceux qui sont nécessaires au fonctionnement des systèmes remplissant une fonction de sûreté, c’est-à-dire une des fonctions nécessaires pour atteindre l’objectif fondamental de sûreté énoncé au paragraphe précédent.
0.3. SOLLICITATIONS A PRENDRE EN COMPTE
Les sollicitations à prendre en compte sont celles qui découlent des conditions internes et d’environnement correspondant aux conditions de fonctionnement PCC, RRC-A ou RRC-B pour lesquelles les matériels sont requis.
Les sollicitations dues à l’APRP-2A (conformément aux Directives Techniques – voir chapitre 3.1.2) et à la RTV-2A dans l’enceinte sont aussi considérées pour la qualification, malgré l’exclusion de rupture des tuyauteries concernées. Elles peuvent être évaluées avec des hypothèses réalistes.
En fonction de leur rôle pour la sûreté et des ambiances dans lesquelles ces matériels sont requis, des exigences de qualification sont établies puis prises en compte par des spécifications techniques lors de la conception des matériels.
En plus des conditions de fonctionnement citées, la procédure de qualification prend en compte :
• les effets du vieillissement, c’est-à-dire les effets dus aux conditions d’environnement correspondant aux conditions de fonctionnement normales avant l’occurrence des conditions de fonctionnement accidentelles considérées pour la qualification,
• les effets des sollicitations sismiques pour les matériels ayant une exigence de qualification en raison de leur utilisation dans les situations PCC. Ces effets sont pris en compte au cas par cas pour les matériels ayant une exigence de qualification en raison de leur utilisation dans les situations RRC-A ou RRC-B (voir chapitre 3.2).
0.4. FONCTIONS A QUALIFIER ET EXIGENCES ASSOCIEES
0.4.1. Liste des fonctions à qualifier
La liste des fonctions à qualifier est établie en s’appuyant sur : 1) les analyses d’exigences fonctionnelles menées sur la base des études d’accidents du Rapport Préliminaire de Sûreté (chapitres 15 et 19) : PCC-2 à 4, RRC-A, études spécifiques, RRC-B.
Pour chaque transitoire accidentel du Rapport Préliminaire de Sûreté, une Analyse d’Exigences Fonctionnelles est menée. Cette analyse permet de déterminer l’ensemble des fonctions de sûreté nécessaires pour gérer l’accident en identifiant la phase au cours de laquelle la fonction intervient :
• passage à l’état contrôlé des PCC,
• passage à l’état sûr des PCC,
• passage à l’état final des RRC-A,
• prévention / limitation des rejets en RRC-B.
La phase d’intervention de la fonction détermine son classement fonctionnel.
L’approche de sûreté RRC-A se distingue de l’approche PCC dans la mesure où elle nécessite de s’appuyer à la fois sur les études d’accident (l’objectif est de démontrer l’atteinte et le maintien de l’état final RRC-A) et sur les études probabilistes de sûreté (l’objectif est de s’assurer de l’acceptabilité du risque de fusion du cœur associé aux séquences fonctionnelles valorisant une même disposition RRC-A). Aussi, dans le cas des situations accidentelles RRC-A, si un système est nécessaire pour l’atteinte et/ou le maintien de l’état final RRC-A ou pour le respect de objectifs probabilistes, alors la fonction qu’il assure doit être à ce titre classée F2 avec les exigences que cela implique : notamment, qualification aux conditions d’ambiance accidentelles correspondantes (ambiance normale ou dégradée selon le cas).
Dans un deuxième temps, les études d’analyses fonctionnelles transverses pour les systèmes supports (ventilation, sources froides, sources électriques, notamment) sont menées afin de déterminer les fonctions supports aux fonctions de sûreté. La réalisation de ces analyses nécessite d’avoir au préalable identifié les fonctions de sûreté principales.
La synthèse de ces analyses d’exigences fonctionnelles menées sur chaque transitoire permet d’établir la liste des fonctions de sûreté classées avec leur classement enveloppe, à partir de laquelle sont déterminées les fonctions à qualifier avec les exigences correspondantes.
2) l’analyse des besoins liés à la conduite post-accidentelle : mesures qui sont nécessaires pour le diagnostic de l’état de l’installation, l’orientation initiale, les réorientations entre stratégies de conduite.
En particulier, l’instrumentation requise pour déterminer les paramètres des fonctions d’état est soumise à des exigences de qualification à long terme.
Chaque fonction de sûreté identifiée dans la note de synthèse des Analyses d’Exigences Fonctionnelles se décline en fonctions élémentaires pour les matériels sollicités situés dans les bâtiments affectés par l’ambiance accidentelle associée à la fonction de sûreté.
Les fonctions élémentaires sont la manœuvre ou le maintien en position d’un matériel. Typiquement, pour une vanne, les fonctions élémentaires sont l’ouverture, la fermeture, le réglage, le maintien ouvert et le maintien fermé et, pour un actionneur motorisé tel qu’une pompe ou un ventilateur, les fonctions élémentaires sont la mise en service, la mise hors service, le maintien en service et le maintien hors service.
Les matériels ayant une exigence de qualification pour des conditions de fonctionnement particulières (Rupture de Tuyauterie Haute Energie, Eau Chargée et Active) sont également déterminés.
0.4.2. Exigences associées
0.4.2.1. Exigence de qualification à l’ambiance dégradée 0.4.2.1.1. Situations à considérer pour la détermination des
conditions d’ambiance
Pour chacun des transitoires du Rapport Préliminaire de Sûreté (chapitres 15 et 19), sont évaluées les conditions d’ambiance créées par le transitoire dans le Bâtiment Réacteur et/ou dans les autres bâtiments.
Connaissant l’ensemble des transitoires dans lesquels intervient chaque fonction de sûreté, on en déduit l’enveloppe des ambiances accidentelles pour cette fonction et les bâtiments affectés par ces ambiance.
L’instrumentation requise pour diagnostiquer les conditions de passage en accident grave est soumise à des exigences de qualification prenant en compte les ambiances qu’elle pourrait avoir subies avant d’atteindre ces conditions.
Pour chaque fonction élémentaire, les conditions d’ambiance enveloppes et le délai de sollicitation enveloppe sur l’ensemble des fonctions de sûreté auxquelles elle participe sont retenus. Ceci permet, en particulier, pour les matériels ayant une exigence de qualification hors AG, de déterminer la famille de conditions d’ambiance qui lui est associée (voir plus loin §0.4.2.1.1).
Sommaire du chapitre Sommaire général
0.4.2.1.2. Exigence de qualification à l’ambiance dégradée, hors Accidents Graves
Pour les fonctions à qualifier au titre de leur utilisation en situations accidentelles autres que les situations d’Accidents Graves (RRC-B), des familles de conditions d’ambiance sont définies. Elles permettent de caractériser les exigences de qualification à l’ambiance accidentelle que doivent satisfaire les matériels.
0.4.2.1.2.1. Zones considérées pour la définition des familles de conditions d’ambiance
Les zones à considérer sont celles :
• dans lesquelles les conditions d’ambiance sont susceptibles d’être dégradées en situation accidentelle,
• et où se trouvent des matériels à qualifier aux conditions accidentelles.
Ces zones sont :
• le bâtiment réacteur,
• les bâtiments des auxiliaires de sauvegarde,
• le bâtiment combustible,
• les locaux vapeur et eau.
Aucune zone n’est créée pour le BAN, dont les conditions d’ambiance sont susceptibles d’être dégradées, mais qui n’abrite pas de matériels ayant une exigence de fonctionnement en situation accidentelle avec dégradation de l’ambiance.
Le bâtiment réacteur est subdivisé en deux sous-zones : la zone accessible en fonctionnement et la zone inaccessible en fonctionnement. Les débits de dose en fonctionnement normal y sont, en effet, nettement différents, ce qui permet de considérer des irradiations de vieillissement différentes.
0.4.2.1.2.2. Familles de conditions d’ambiance dans le Bâtiment Réacteur (BR)
0.4.2.1.2.2.1 Situations accidentelles dans lesquelles les matériels doivent assurer leur fonction
Les situations dans lesquelles les matériels doivent assurer leur fonction peuvent être classées en trois catégories :
• situations accidentelles sans dégradation de l’ambiance :
Pour les matériels nécessaires dans ces situations, seule la qualification aux conditions normales d’ambiance est nécessaire.
L’enceinte est subdivisée en deux parties pour lesquelles les doses d’irradiation à retenir pour la qualification sont différentes.
Les conditions d’ambiance correspondant à ces situations sont données au §1.1.1.1.1.
• situations accidentelles avec dégradation de l’ambiance dans l’enceinte, pour lesquelles l’irradiation accidentelle est comparable à l’irradiation de vieillissement :
Ces situations sont de type RTV ou petites ou moyennes brèches primaires. Il s’agit d’accidents sans rupture de gaine ou associés, éventuellement, à un faible nombre de ruptures de gaines, pour lesquels le RIS en mode RRA sera connecté.
Pour la qualification des matériels ayant une exigence de fonctionnement en situations accidentelles conduisant à la mise en service du RIS en mode RRA, une irradiation accidentelle correspondant à environ 1% de ruptures de gaines est retenue, de manière très conservative. Les valeurs d’irradiation accidentelle à retenir, indiquées au § 1.1.1.1.2.2, sont faibles et, au bout d’1 an, du même ordre de grandeur que la dose d’irradiation de vieillissement retenue pour 10 ans en zone accessible.
• situations accidentelles avec dégradation de l’ambiance dans l’enceinte et irradiation accidentelle significative (jusqu’à 10 % de ruptures de gaines) :
Les conditions d’ambiance auxquelles les matériels ayant une exigence de fonctionnement dans ce type de situations sont susceptibles d’être soumis sont données au § 1.1.1.1.2.
Ces trois types de situations sont retenus :
• pour affecter les matériels situés à l’intérieur de l’enceinte à une
famille de conditions d’ambiance,
• pour déterminer le profil de qualification (pression et température, irradiation) qu’ils doivent supporter.
0.4.2.1.2.2.2 Durée pendant laquelle les matériels doivent accomplir leur fonction en situation accidentelle Trois durées sont déterminées : court terme, moyen terme, long terme.
Limite moyen terme / long terme
La limite supérieure du moyen terme est déterminée comme une enveloppe de la durée d’atteinte de l’état sûr pour les PCC et de la durée d’atteinte de l’état final pour les RRC-A.
Situations accidentelles PCC :
L’état sûr, pour les différentes situations accidentelles PCC conduisant à une dégradation de l’ambiance dans l’enceinte, est :
• soit l’état RIS-BP en mode RRA,
• soit l’état RIS-BP en branches chaudes.
Dans toutes les études d’accidents correspondantes (brèches primaires petite, intermédiaire ou grosse, rupture de tuyauterie vapeur ou eau), il est atteint avant 8,5 heures. De plus, le gradient de température de refroidissement le plus faible qui devrait être introduit dans les procédures de conduite accidentelles correspond à un refroidissement plus rapide que sur le Parc français en exploitation
Situations d’APRP-2A et de RTV-2A :
Ces situations accidentelles évoluent plus rapidement que les situations de brèches plus petites ; l’état sûr est donc atteint plus rapidement.
Situations accidentelles RRC-A :
L’état final des situations accidentelles RRC-A conduisant à une dégradation de l’ambiance dans l’enceinte est atteint avant 24 heures.
La limite moyen terme / long terme est fixée à 24 heures.
Limite court terme / moyen terme
La limite court terme /moyen terme est déterminée comme une valeur majorante de l’instant où intervient l’isolement enceinte 2ème phase. L’isolement enceinte 1ère phase a normalement déjà été sollicité à ce moment-là, en même temps que l’IS. L’isolement enceinte 2ème phase peut être sollicité :
• soit automatiquement, dès que la pression enceinte dépasse un certain seuil de pression,
• soit manuellement, par les opérateurs, sur application des procédures de conduite ou sur demande de l’équipe de crise.
Les situations conduisant à l’isolement de l’enceinte sont de deux types :
• situations accidentelles conduisant à un relâchement rapide et important de fluide dans l’enceinte (APRP grosses brèches, APRP-2A, RTV-2A) : dans ces situations, la pression enceinte dépasse momentanément et significativement la pression de déclenchement du signal d’isolement enceinte ; l’isolement intervient rapidement, bien avant 1 heure après le début de l’accident,
• situations à cinétique de pressurisation plus lente : dans ces situations, l’isolement enceinte intervient dès l’atteinte de son seuil de mise en service automatique. Tant que celui-ci n’est pas sollicité, les conditions vues par les matériels sont bornées par cette valeur de pression et la température de rosée correspondante. La brèche primaire conduisant à ce type d’évolution de la pression, nécessairement de petite taille, n’est pas susceptible de donner lieu à des ruptures de gaines. L’activité du fluide primaire rejeté dans l’enceinte est donc égale à l’activité du fluide primaire en fonctionnement normal. Il n’y a donc pas lieu de considérer, pour les matériels, un supplément d’irradiation par rapport à l’irradiation de vieillissement.
Un profil de qualification en deux parties pourrait être défini pour couvrir ces deux types de situations.
Le profil enveloppe de pression et température peut être retenu pour couvrir les situations accidentelles du 1ertype.
480
3.7
Pour couvrir les situations accidentelles du 2ème type, un profil à pression et température constantes pourrait être retenu : pression enceinte de sollicitation automatique de l’isolement enceinte 2ème phase (2,5 bar), température de rosée correspondante (inférieure à 110°C), pendant 7 heures. En effet, au bout de 7 heures, en cas de nécessité, les opérateurs auront isolé l’enceinte à la demande de l’équipe de crise.
Dans un souci de simplification et compte tenu du fait que les procédures de conduite ne sont pas définies au moment où les actions de qualification sont engagées :
• une durée enveloppe de l’instant de sollicitation de l’isolement enceinte 2ème phase est retenue comme limite court terme / moyen terme. Cette limite est fixée à 12 heures,
• un seul profil thermodynamique est associé à cette durée : le profil thermo-dynamique enveloppe.
La dose d’irradiation accidentelle associée à ce profil est la dose correspondant à une durée de mission de 1 heure en situation accidentelle, dans la mesure où seules les situations du 1er type conduisent à un surcroît d’irradiation.
0.4.2.1.2.2.3 Définition des familles de conditions d’ambiance dans le BR
La définition des familles de conditions d’ambiance pour les matériels du Bâtiment Réacteur résulte des considérations exposées en § 0.4.2.1.1.2.1 sur les situations dans lesquelles les matériels ont à assurer leur fonction et § 0.4.2.1.1.2.2 sur les durées durant lesquelles ils doivent l’assurer.
Familles dans le BR
Ambiance
Usages
P, T Irradiation
Court terme (<12h)
Moyen terme (<24h)
Long terme
Normales Normale 1
Anormales Normale 3 4
Anormales Anormale
2
5 6
0.4.2.1.2.3. Familles de conditions d’ambiance dans les Bâtiments des Auxiliaires de Sauvegarde (BAS) 0.4.2.1.2.3.1 Situations accidentelles dans lesquelles les matériels
doivent assurer leur fonction
Les situations accidentelles dans lesquelles les matériels ont à fonctionner peuvent être classées en trois catégories :
• situations accidentelles sans dégradation de l’ambiance dans les BAS,
• situations accidentelles avec dégradation de l’ambiance, sous l’aspect température, humidité, pour lesquelles l’irradiation accidentelle est comparable à l’irradiation de vieillissement, très faible ou nulle (cas des situations accidentelles de brèches sur le RIS en mode RRA),
• situations accidentelles pour lesquelles l’irradiation accidentelle est significative (cas de situations accidentelles avec ruptures de gaines, pour lesquelles de l’eau primaire active circule dans les BAS).
Les matériels remplissant certaines fonctions en situation accidentelle doivent être qualifiés vis-à-vis des deux types de sollicitations : température et humidité, d’une part, irradiation, d’autre part.
0.4.2.1.2.3.2 Durée pendant laquelle les matériels doivent accomplir leur fonction en situation accidentelle La limite moyen terme / long terme est fixée à 24 heures, comme pour le Bâtiment Réacteur. Elle enveloppe la durée d’atteinte de l’état sûr pour les PCC et la durée d’atteinte de l’état final pour les RRC-A.
La limite court terme / moyen terme est fixée à :
• 1 heure pour les situations accidentelles avec irradiation accidentelle dans le BAS (situations au cours desquelles du fluide primaire actif circule dans les tuyauteries RIS des BAS) :
Les matériels nécessaires à court terme dans ces situations sont les matériels à manœuvrer pour isoler l’enceinte (organes d’isolement extérieurs à l’enceinte). Ceux-ci sont actionnés en même temps que les organes d’isolement intérieurs à l’enceinte, c’est-à-dire avant 1 heure en conditions enceinte très dégradées ou 7 heures en conditions enceinte peu dégradées (§0.4.2.1.1.2.2). La manœuvre de ces organes n’a lieu au-delà de 1 heure que dans les situations où il n’y a pas de ruptures de gaines et où l’activité dans l’enceinte est normale. Les vannes ne sont donc pas actionnées en ambiance dégradée.
• 5 heures pour les situations accidentelles avec ambiance dégradée dans le BAS (situations de brèches sur le circuit RIS en mode RRA) : En cas de brèche importante sur le circuit RIS en mode RRA, induisant une augmentation rapide et importante de la température dans le BAS, l’isolement de la brèche intervient automatiquement au bout de quelques minutes (bien avant 1 heure). En cas de brèche plus petite, l’isolement de la brèche peut intervenir au-delà d’1 heure soit de façon automatique, soit de façon manuelle. Il devrait intervenir dans toutes les situations où il est nécessaire avant 5 heures, avec une ambiance dans le BAS qui est alors moins dégradée qu’en cas de brèche importante. La durée de 5 heures est liée au temps nécessaire au diagnostic et à l’action d’isolement.
0.4.2.1.2.3.3 Définition des familles de conditions d’ambiance dans les BAS
La définition des familles de qualification EPR pour les matériels situés dans les BAS résulte des considérations exposées en § 0.4.2.1.1.3.1 sur les situations dans lesquelles les matériels ont à assurer leur fonction et § 0.4.2.1.1.3.2 sur les durées durant lesquelles ils doivent l’assurer.
Sommaire du chapitre Sommaire général
0.4.2.1.2.4. Familles de conditions d’ambiance dans le Bâtiment Combustible (BK)
0.4.2.1.2.4.1 Situations dans lesquelles les matériels doivent assurer leur fonction
Les situations accidentelles dans lesquelles les matériels ont à fonctionner peuvent être classées en trois catégories :
• situations accidentelles sans dégradation de l’ambiance dans le bâtiment combustible,
• situations accidentelles avec dégradation de l’ambiance, sous l’aspect température et humidité (situations conduisant à une perte de refroidissement de la piscine BK),
• situations accidentelles avec dégradation de l’ambiance, sous l’aspect irradiation (cas de l’accident de manutention du combustible).
0.4.2.1.2.4.2 Durée pendant laquelle les matériels doivent accomplir leur fonction en situation accidentelle La limite moyen terme / long terme est fixée à 24 heures, comme pour le Bâtiment Réacteur. Elle enveloppe la durée d’atteinte de l’état sûr pour les PCC et la durée d’atteinte de l’état final pour les RRC-A.
Pour les situations avec dégradation de l’ambiance du BK en température (cas des pertes de refroidissement) :
• l’accroissement de température dans le BK est lent, en raison de l’importante masse d’eau présente. Les matériels qui seraient utilisés à court terme dans ce type de situations seraient soumis, avant leur utilisation, à des conditions peu dégradées. La création d’une famille court terme dans ce type de situations ne présente donc pas d’intérêt,
• les matériels nécessaires à moyen terme (jusqu’à 24 heures) sont les mêmes que les matériels nécessaires à long terme, c’est-à-dire jusqu’à la récupération du refroidissement de la piscine BK. Une seule famille est donc créée pour le moyen et le long termes.
Pour les situations avec dégradation de l’ambiance BK en irradiation, on retient une limite court terme / moyen terme de 1 heure.
Comme pour le BAS, cela permet également de couvrir la durée de fermeture des organes d’isolement extérieurs de l’enceinte, les situations où l’isolement de l’enceinte est sollicité à plus long terme s’accompagnant d’une ambiance normale en irradiation.
0.4.2.1.2.4.3 Définition des familles de conditions d’ambiance dans le BK
La définition des familles de qualification EPR pour les matériels situés dans le BK résulte des considérations exposées en § 0.4.2.1.1.4.1 sur les situations dans lesquelles les matériels ont à assurer leur fonction et § 0.4.2.1.1.4.2 sur les durées durant lesquelles ils doivent l’assurer.