L’objet du présent paragraphe est de présenter les modalités de réalisation de l’analyse fonctionnelle interne du stockage, c'est-à-dire la manière dont les fonctions au niveau le plus général telles qu’elles ont été présentées ci-avant sont déclinées selon les phases de temps et les échelles d’espace, sous forme de sous-fonctions accomplies par des composants spécifiques du stockage. Cela permet de présenter les architectures de stockage tout en exposant le besoin auquel elles doivent répondre.
Chaque fonction de sûreté peut en effet être décomposée en sous-fonctions, et ainsi de suite jusqu’à un niveau de détail que le concepteur juge adéquat vis-à-vis de ses besoins pour caractériser et spécifier les composants du stockage. Ces besoins dépendent eux-mêmes du degré d’avancement du projet.
La déclinaison des fonctions en solutions techniques s’effectue dans le cadre d’un « système » défini, c'est-à-dire dans des limites sur lesquelles le concepteur se propose d’agir. Le système se distingue de son « environnement », ensemble des éléments qui sont considérés comme des données de l’analyse fonctionnelle, dont le comportement est subi et à prendre en compte tel quel.
Encadré 2 La définition du système de stockage
Le système de stockage est constitué de l’ensemble des composants qui contribuent à la stratégie de concentration – confinement : la formation hôte du Callovo-Oxfordien et les éléments ouvragés apportés par l’homme dans le stockage. La formation hôte ne peut à l’évidence pas être « conçue » puisqu’elle préexiste au projet de stockage. Elle a cependant été sélectionnée parmi d’autres pour l’étude de faisabilité, et on attend d’elle qu’elle remplisse un rôle important vis-à-vis des fonctions de sûreté.
Dans la mesure où ils préexistent à la conception du stockage, les déchets en tant que tels ne font pas partie au sens strict du système de stockage. Cependant, la matrice de certains d’entre eux contribue à confiner la radioactivité, en général parce qu’elle a été choisie dans ce but par le producteur du déchet, soit dans l’optique d’une gestion à long terme (la matrice des déchets vitrifiés, par exemple) soit pour des questions de sécurité opérationnelle (la gaine des combustibles usés, par exemple). On inclut donc par extension la matrice des déchets dans le système de stockage.
En revanche, les formations encaissantes ne font pas partie du système de stockage.
Même si certaines peuvent présenter des propriétés favorables de rétention, elles n’ont pas été sélectionnées prioritairement pour cela, la rétention étant avant tout assurée par le stockage et la formation hôte. De plus, leurs propriétés sont davantage soumises aux aléas se produisant en surface (érosion, événements climatiques). Pour autant, elles ont fait l’objet de programmes de caractérisation.
La décomposition des fonctions en sous-fonctions n’est pas unique a priori. Elle traduit un choix du concepteur. Il s’appuie :
- sur l’état des connaissances acquises sur le comportement des composants du stockage, qui donne confiance dans leur capacité à accomplir des fonctions ;
- sur le retour d’expérience d’évaluations de sûreté antérieures, qui ont confirmé ou infirmé l’intérêt de certaines fonctions de sûreté par rapport à d’autres, et ont notamment permis d’identifier les événements extérieurs ou les agressions internes qui peuvent mettre en péril le bon fonctionnement du stockage, et contre lesquels il est possible de prendre des dispositions constructives.
La décomposition en fonctions traduit donc un état des réflexions du concepteur. Elle se développe au fur et à mesure de la conception. Une fois le schéma fonctionnel posé, la conception est revue et détaillée de manière à favoriser l’accomplissement des fonctions de sûreté. Le programme de recherche est orienté notamment sur les phénomènes qui sous-tendent l’accomplissement des fonctions (par exemple : la corrosion pour la fonction d’étanchéité des conteneurs, le programme de reconnaissance de la formation pour ses propriétés de confinement, etc.).
Chaque fonction est caractérisée au moins par :
- un niveau de performances, c’est-à-dire une quantification du niveau d’efficacité de l’action attendue. Il n’est cependant pas forcément pertinent de fixer a priori un niveau de performances.
Celui-ci n’a de sens que s’il sert à dimensionner les composants qui doivent accomplir la fonction.
Si la fonction doit être remplie par au moins un composant qui échappe à l’action du concepteur (le milieu géologique par exemple) ou si le lien entre le dimensionnement et la performance dépend du fonctionnement de l’ensemble du système (par exemple, la perméabilité d’un scellement donné influe certes sur la limitation des flux d’eau, mais au sein d’un ensemble plus vaste conditionné par d’autres paramètres), il n’est guère utile de fixer un niveau de performances a priori ;
- une durée pendant laquelle la disponibilité de la fonction est requise ;
- un ou des composants qui doivent assurer la fonction, et le ou les phénomènes physiques qui permettent à ces composants de la remplir. Dans le cas particulier de la sûreté en phase de post-fermeture, et compte tenu des longues échelles de temps en jeu, ne sont retenus comme composants ayant une fonction de sûreté que la formation hôte, les colis de déchets, les éléments ouvragés apportés par l’homme (scellements, conteneurs, remblais, etc.). Les autres éléments présents dans le stockage du fait des conditions d’exploitation ou par son évolution naturelle (jeux fonctionnels au sein des alvéoles de stockage, gaz de corrosions générés au sein du stockage, etc.) ne peuvent remplir de fonction car la description de leur évolution à long terme est entachée de trop d’incertitudes.
Une fonction peut, selon les cas :
- être disponible, éventuellement sous une forme dégradée, au delà de la période prise en compte par le concepteur. On parle alors de « fonction de réserve », la durée de cette réserve ne pouvant pas toujours être quantifiée. Mais identifier les réserves donne confiance dans le fait que le système dispose d’une meilleure sûreté que ce qui est strictement prévu et quantifié ;
- être disponible avec un niveau de performances supérieur à celui pris en compte par le concepteur.
On parle alors de « marge » sur la performance, c’est-à-dire que le concepteur ne tire pas parti de l’ensemble des performances qu’il pourrait attendre. L’existence de marges contribue également à la confiance. L’existence d’un phénomène favorable à la sûreté mais non pris en compte en tant que fonction peut à la fois être considéré comme une réserve ou comme une marge ;
- enfin, une fonction peut être latente, c’est à dire qu’elle n’agit pas du fait de l’existence d’une autre fonction. Par exemple, le confinement apporté par la matrice d’un déchet est latent tant que celui-ci n’est pas soumis à l’action de l’eau, c’est à dire tant que le conteneur parvient à l’en protéger. L’existence de fonctions latentes permet de gérer des pertes de fonctions accidentelles (par exemple, ici, une perte d’étanchéité du conteneur).
Une illustration des marges et des fonctions de réserve est fournie par la Figure 3.5-1.
Figure 3.5-1 Illustration des marges et des fonctions de réserve
Dans la suite de ce chapitre, l’état de la conception est présenté. On ne cherchera pas à ce stade à justifier que la conception permet de répondre aux objectifs de sûreté, ni à vérifier le niveau de performances de chaque fonction ; tel est l’objet des chapitres suivants sur l’évaluation des performances. Il s’agit ici d’exposer le schéma des fonctions de sûreté proposées par le concepteur au sein du système de stockage, de s’assurer de leur complémentarité, de l’existence de redondances, de marges, de réserves, d’identifier les fonctions latentes. On explique ainsi sur quelle stratégie de sûreté s’est appuyé le concepteur pour guider les choix tout au long du développement des concepts.
Lors de la présentation des fonctions, on identifie les dispositions de conception et les principaux phénomènes physico-chimiques en lien avec ces fonctions. Ces phénomènes peuvent être favorables (auquel cas les fonctions de sûreté doivent en tirer parti) ou défavorables (auquel cas les fonctions doivent permettre de se prémunir contre leurs effets). Ils peuvent, le cas échéant, n’être de manière tranchée ni l’un ni l’autre, et sont simplement à prendre en compte. La vérification que le système, une fois conçu, est robuste face à un ensemble plus vaste de perturbations, de phénomènes particuliers, sans nécessairement préjuger qu’ils sont favorables ou non, est l’objet des analyses de sûreté ultérieures (chapitres 5 et suivants).
Encadré 3 La méthode mise en œuvre pour l’analyse fonctionnelle
Cet encadré explique selon quelle méthode a été établi le découpage en fonctions de sûreté. Il n’est pas indispensable à la lecture du résultat de l’analyse, mais permet de comprendre quelle garantie de systématisme elle présente.
L’établissement des fonctions de sûreté procède d’une analyse fonctionnelle interne, à la fois pour la phase d’exploitation – observation et en post fermeture [24, 25]. Dans le premier cas, on s’est appuyé sur le retour d’expérience d’installations qui sont amenées à gérer des colis de déchets ou de combustibles usés de haute activité pour définir des fonctions de sûreté classiquement retenues dans un tel cas.
Pour la phase de post-fermeture, il s’agissait de définir une méthode garantissant le systématisme du recensement des fonctions, dans un contexte où le retour d’expérience est plus faible. L’Andra a retenu d’appliquer une méthode s’appuyant sur l’organisation des fonctions sous forme d’arborescence [39] et l’identification de « flux ». Une fonction étant une action d’un composant sur son environnement, cette action peut toujours être interprétée en terme de gestion d’un flux. Par exemple, une fonction de confinement consiste à ralentir ou bloquer un flux de radionucléides. Une fonction de dissipation de chaleur gère un flux thermique.
Identifier des fonctions de sûreté revient alors à identifier des flux qu’il importe de maîtriser. Le flux de radionucléides et de toxiques chimiques au sein du stockage est bien sûr le flux le plus évident, mais d’autres sont à prendre en compte également :
- le flux d’eau au sein du stockage, dans la mesure où le concept du stockage dans l’argile repose sur la minimisation des circulations d’eau ;
- les flux de contraintes thermiques, chimiques ou mécaniques s’ils sont susceptibles de perturber les qualités des composants.
La méthode consiste par conséquent à suivre les flux importants et à s’assurer que des fonctions permettent de les maîtriser. Cette vérification ne permet pas de garantir une complétude du dispositif fonctionnel, puisque celui-ci ne peut être par définition complet : il traduit un choix du concepteur parmi l’ensemble des manières possibles de définir et d’agencer des fonctions de sûreté. En revanche, elle permet de s’assurer de la cohérence de l’analyse.
Pour illustrer la méthode, on peut par exemple expliquer comment ont été dérivées les trois fonctions principales permettant de gérer le risque de dispersion par l’eau des radionucléides (déjà évoquées au paragraphe 3.4.3).
Le risque est celui lié à l’action de l’eau. Il s’agit donc dans un premier temps de
« capter » ce flux, c'est-à-dire d’en gérer l’arrivée. Une première fonction doit donc permettre de s’assurer que les circulations d’eau sont sous contrôle, et que les flux sont limités (fonction « s’opposer à la circulation d’eau »). Ce flux est ensuite « transformé » : l’eau est susceptible de se charger en radionucléides. Il faut donc définir les moyens de s’opposer à ce phénomène, c'est-à-dire empêcher la mise en solution des radionucléides et leur transport par l’eau (fonction « limiter le relâchement des radionucléides et les immobiliser dans le stockage »). Enfin, tout flux « entrant » doit « sortir » du système.
Cette sortie doit également être gérée. Une fonction permet de s’assurer que les radionucléides circulent le plus lentement possible et que les flux sont réduits (fonction
« retarder et atténuer la migration des radionucléides »). Le suivi des flux par la méthode capter/transformer/restituer permet de s’assurer du caractère systématique de la décomposition fonctionnelle.
La conception est de plus « contrainte » par des éléments qui échappent à l’action du concepteur. Parmi ceux-ci, on peut citer :
- les recommandations de la RFS III.2.f (limitation des flux d’eau, protection des colis…) qui guident la conception en orientant les choix principaux ;
- certains objectifs qui ne découlent pas directement de l’objectif de sûreté du stockage, mais que le concepteur estime nécessaire de remplir à titre complémentaire. Il peut s’agir par exemple de prévenir l’occurrence d’événements qui, sans contribuer directement à accélérer ou augmenter les flux de radionucléides, sont de nature à mettre en péril ou à compliquer l’analyse de sûreté. Par exemple, empêcher un
accident de criticité à long terme au sein du stockage permet d’éviter de prendre des dispositions pour étudier de manière détaillée les performances des composants soumis à un flash ;
- des exigences autres que celles de la sûreté, par exemple, celles liées à la réversibilité.
L’ensemble de ces éléments est considéré comme des « contraintes ». Les contraintes sont mentionnées dans l’analyse fonctionnelle pour mémoire. Dans certains cas, elles orientent le découpage d’une fonction en sous-fonctions.
D’autres méthodes auraient probablement conduit à un autre agencement des fonctions de sûreté entre elles, et à une expression différente des contraintes. Mais, dans la mesure où l’analyse fonctionnelle restitue l’état des connaissances et les choix du concepteur, la liste des fonctions identifiées au terme de l’analyse aurait été proche.