2.2 Spécificités du MSFR au regard de la sûreté nucléaire
2.2.1 Contrôle de la réactivité
2.2.3 Confinement des matières radioactives . . . . 44 2.2.4 Définition de l’accident grave pour le MSFR . . . . 45 2.2.5 Implication des spécificités du MSFR sur l’analyse de sûreté . . . . . 45
2.3 Définition d’une méthodologie d’analyse de sûreté . . . . 46
2.3.1 Vérification de l’adéquation du design avec les principes et exigences de sûreté . . . . 46 2.3.2 Identification des risques et élaboration d’une liste d’évènements
ini-tiateurs . . . . 48 2.3.3 Définition des dispositifs de sûreté et élaboration de l’architecture de
sûreté . . . . 48 2.3.4 Conception de systèmes . . . . 49 2.3.5 Vérification de la conformité de l’architecture de sûreté . . . . 49
2.3.6 Remarques concernant la méthodologie d’analyse de sûreté et son application . . . . 50
2.4 Identification des évènements initiateurs . . . . 50
2.4.1 Définitions et périmètre d’étude . . . . 50 2.4.2 Méthode d’analyse fonctionnelle FFMEA . . . . 51 2.4.3 Méthode duMaster Logic Diagram . . . . 56 2.4.4 Comparaison des deux méthodes et résultats obtenus . . . . 60
2.5 Classification des évènements initiateurs et élaboration d’une
liste resserrée d’évènements à étudier . . . . 61
2.5.1 Méthode . . . . 61 2.5.2 Liste d’évènements à étudier . . . . 65
2.6 Conclusion . . . . 88
2.1. DÉFINITION ET PRINCIPES GÉNÉRAUX DE LA SÛRETÉ NUCLÉAIRE
2.1 Définition et principes généraux de la sûreté nucléaire
D’après l’article L.591-1 du code de l’environnement français, « la sûreté nucléaire est l’en-semble des dispositions techniques et des mesures d’organisation relatives à la conception, à la construction, au fonctionnement, à l’arrêt et au démantèlement des installations nucléaires de base ainsi qu’au transport des substances radioactives, prises en vue de prévenir les accidents ou d’en limiter les effets » [51]. La sûreté nucléaire est à distinguer de la sécurité nucléaire qui englobe plus largement la sûreté nucléaire, la radioprotection, la prévention et la lutte contre les actes de malveillance ainsi que les actions de sécurité civile en cas d’accident. Ces définitions sont celles utilisées dans le cadre du droit français et peuvent légèrement différer de celle des standards internationaux. À titre d’exemple, la sécurité nucléaire, telle que définie par l’Agence Internationale de l’Énergie Atomique (AIEA), ne comprend pas la sûreté et la radioprotection.
L’objectif fondamental de la sûreté nucléaire est de protéger les personnes et l’environ-nement contre les effets nocifs des rayonl’environ-nements ionisants [52]. Parmi les risques à prendre en compte dans l’analyse de sûreté, certains sont spécifiques au nucléaire. Ils sont liés à des caractéristiques intrinsèques des systèmes nucléaires telles que :
— le potentiel considérable d’énergie concentrée dans le cœur du réacteur (haute densité de puissance) ;
— la production de chaleur par les réactions nucléaires et les décroissances radioactives ; — l’accumulation de produits radioactifs (produits de fission, produits d’activation). Pour remplir les objectifs de sûreté et prévenir les risques spécifiques au nucléaire, quatre fonctions de sûreté ont été définies et doivent être assurées en toutes circonstances :
— la maîtrise de la réaction nucléaire en chaîne ;
— l’évacuation de la puissance thermique issue des décroissances radioactives et des ré-actions nucléaires ;
— le confinement des substances radioactives ;
— la protection des personnes et de l’environnement contre les rayonnements ionisants [53].
Les objectifs et les principes de sûreté nucléaires, incluant les quatre fonctions de sûreté, sont à respecter dans tout type de réacteur nucléaire. Leur application se décline toutefois différemment selon le concept. Pour évaluer la sûreté des réacteurs nucléaires, des méthodo-logies d’analyse de sûreté sont utilisées. Elles permettent de s’assurer que le design remplit les objectifs et les principes de sûreté. Historiquement, la plupart de ces méthodologies ont été développées pour les REP et grâce au retour d’expérience disponible pour ces réacteurs. De ce fait, elles peuvent être mal adaptées à l’étude des réacteurs au design innovant, tels que les réacteurs à sels fondus. Afin d’illustrer ce point, la section 2.2 montre comment les caractéristiques du MSFR influent sur certaines de ces notions de sûreté. Une méthodologie d’analyse de sûreté adaptée à l’étude du MSFR, et plus largement à celle des réacteurs à sels fondus, a donc été développée, dans le cadre du projet SAMOFAR. Elle fait l’objet de la tâche 1.5 [54] menée par l’Institut de Radioprotection et de Sûreté Nucléaire (IRSN) et à laquelle le CNRS a participé. Cette méthodologie est présentée section 2.3. Elle a été appliquée dans le cadre de la tâche 1.6 [55] du projet SAMOFAR menée par l’institut polytechnique de Turin en collaboration avec le CNRS et Framatome. Une partie de ce travail a été réalisée dans le cadre de cette thèse et est présentée dans les sections suivantes. Les sections 2.4 et 2.5
présentent le résultat de ce travail. En particulier, la section 2.4 présente l’identification des d’évènements initiateurs du réacteur et la section 2.5 se concentre sur leur classification et l’élaboration d’une liste resserrée d’évènements à traiter dans la suite de l’analyse de sûreté.
2.2 Spécificités du MSFR au regard de la sûreté nucléaire
Cette section propose de s’intéresser à l’impact des spécificités du MSFR sur les trois premières fonctions de sûreté et sur la définition de l’accident grave, notion fondamentale en sûreté nucléaire.
2.2.1 Contrôle de la réactivité
Le MSFR possède, vis à vis du contrôle de la réactivité, les propriétés suivantes :
L’ajustement régulier de la composition du combustible : le retraitement des sels combustible et fertile est réalisé par batch. La ponction du sel combustible pour le retrai-tement ainsi que l’injection du sel combustible neuf se fait par transfert fluide et ne nécessite pas d’arrêter le réacteur. Cela permet d’ajuster régulièrement (a priori quotidiennement) la composition du sel combustible. Ainsi, il n’est pas nécessaire d’avoir une réserve de réactivité importante en cœur pour compenser l’épuisement du combustible.
L’absence de barres de contrôle : depuis les années 50, les études sur les réacteurs homogènes, famille à laquelle appartient le MSFR, montrent que les barres de contrôle ne sont pas forcément nécessaires pour ce type de réacteur [56]. En particulier, les travaux réalisés à Oak Ridge sur le concept de réacteur à sels fondus ARE viennent étayer cette idée en démontrant la possibilité de réaliser un suivi de charge par variation du débit du fluide intermédiaire [6]. De même, il est prévu de contrôler la puissance du MSFR par l’extraction de chaleur sans avoir recours aux moyens conventionnels de contrôle en cœur. Le concept offre de ce fait un potentiel intéressant concernant la simplification de l’architecture des moyens de contrôle de la réactivité. Toutefois, un système d’arrêt d’urgence de la réaction en chaîne en cœur pourrait être nécessaire. Ce système pourrait être une barre d’arrêt, un système agissant sur la densité de sel dans le cœur, tel que le système de bullage, ou encore un système influant sur la géométrie du cœur. Il est à noter que l’ajout d’un tel système d’anti-réactivité peut entraîner l’apparition d’initiateur d’accidents supplémentaire [40] de type retrait de barre. L’accident d’éjection de barre en REP n’a pas d’équivalent dans le MSFR car le circuit combustible n’est pas sous pression : le retrait de barre dont il est ici question aurait une cinétique beaucoup plus lente. Ce sont les études de sûreté qui devront déterminer si l’ajout d’un système d’arrêt d’urgence tel qu’une barre de contrôle est pertinent ou non dans ce système.
Le comportement intrinsèquement stable du réacteur en cas d’insertion de réactivité : le MSFR peut supporter des insertions de réactivité importantes sans endom-magement du circuit combustible (voir [34] chapitre 4). Cette capacité provient, d’une part, d’un coefficient de contre réaction thermique global négatif et dont la grande amplitude per-met d’atteindre un nouvel équilibre neutronique avec une variation de la température du
2.2. SPÉCIFICITÉS DU MSFR AU REGARD DE LA SÛRETÉ NUCLÉAIRE
combustible relativement faible. Ce coefficient est globalement évalué à -8 pcm/K [34] et cu-mule les effets Doppler et densité. L’effet Doppler est dû à l’élargissement des résonances des sections efficaces d’absorption avec la température. L’effet densité provient de la dilatation thermique du sel combustible. Celle-ci entraîne la sortie d’une partie du combustible hors du cœur. Le sel restant en cœur est alors plus transparent aux neutrons, ce qui augmente les fuites neutroniques. De plus, le combustible jouant également le rôle de caloporteur, la chaleur est déposée directement dans ce dernier permettant un effet quasiment instantané du coefficient densité. Au cours des expériences réalisées sur le réacteur Source d’Irradiation à Libre Evolution Neutronique (SILENE) [57, 58], qui possède comme le MSFR un combustible homogène, aucun effet falaise n’a été observé au passage de la criticité prompte. D’autre part, le MSFR peut supporter de grandes variations de température du sel combustible (jusqu’à
200◦C sans endommager les structures [41]). Cette grande plage de variation en température
offre la possibilité, en cas d’insertion de réactivité positive, de laisser le réacteur se stabi-liser seul grâce aux contre réactions thermiques sans avoir besoin d’intervenir pour limiter l’élévation de la température.
La faible inertie neutronique : La fraction de neutrons retardés en cœur est réduite en raison de l’entraînement des précurseurs de neutrons retardés par le mouvement du sel combustible qui les emporte vers des zones de faible importance. Pour cette même raison, la fraction de neutrons retardés varie avec le débit de sel combustible. Cette faible proportion de neutrons retardés confère au système une faible inertie neutronique et contribue à atteindre plus rapidement un nouvel équilibre neutronique-thermohydraulique (en cas d’insertion de réactivité, variation de la puissance, etc.). Ce comportement « nerveux » n’est actuellement pas estimé problématique pour le pilotage du réacteur puisque ce dernier est contrôlé par les contre-réactions et non par des systèmes nécessitant un certain délai d’action.