6.1 Le management de la sûreté dans le système
de management intégré 72
6.2 La maîtrise des exigences 72
6.3 Le respect des exigences applicables 73 6.4 La maîtrise de la conception et de la
réalisation 73
6.5 La maîtrise des outils 74
6.6 La maîtrise des données d’entrée 76 6.7 Le processus de revues internes et externes 78
6.1 Le management de la sûreté dans le système de management intégré
L’Andra a mis en place un système de management répondant aux exigences des normes ISO 9001, ISO 14001 et OHSAS 18001. Ce système de management intégré répond à l’exigence de protection des intérêts visés par l’article L.593-1 du code de l’environnement. Le système de management de l’Andra doit démontrer « son aptitude à fournir régulièrement un produit ou service conforme aux exigences des clients et aux exigences légales et réglementaires applicables, et vise à accroître la satisfaction de ses clients ».
Le système de management de l’Andra s’applique au projet Cigéo. De plus, un plan de management du projet Cigéo a été établi pour la phase d’étude d’avant-projet. Il définit les règles applicables pour l’organisation, la conduite et la gestion du projet en phases études, notamment pour ce qui concerne la gestion de la maîtrise d’œuvre système et sous-systèmes. Les principales dispositions retenues pour s’assurer que les exigences relatives à la protection des intérêts mentionnés à l’article L. 593-1 du code de l’environnement sont systématiquement prises en compte dans toute décision concernant Cigéo sont décrites dans les paragraphes suivants.
6.2 La maîtrise des exigences
L’Andra a consolidé dans un document ad hoc les exigences applicables au projet Cigéo. Celles-ci sont organisées par fonctionnalités attendues de Cigéo. Dans un objectif de complétude, l’identification de ces fonctionnalités résulte de l’analyse fonctionnelle qui s’est construite progressivement au cours des études et recherches menées depuis 1991.
Pour répondre aux objectifs de sûreté après fermeture, les recherches ont ainsi conduit l’Andra à identifier plusieurs fonctions de sûreté spécifiques (voir supra). Sur la base des résultats des études et recherches menées jusqu’ici, les fonctions de sûreté après fermeture sont déclinées en un ensemble de dispositions techniques concrètes qui sont prises en compte par la maîtrise d’œuvre pour assurer l’atteinte des objectifs de sûreté.
La première version des exigences applicables au projet Cigéo a été soumise à une revue de projet tenue au premier semestre 2011 sous l’égide de la DGEC, dont les conclusions ont été prises en compte dans les versions suivantes. Elles sont tenues à jour avec l’avancée des connaissances scientifiques et technologiques parallèlement au développement industriel du projet ainsi que l’évolution du contexte externe. Elle comporte ainsi une instruction des conséquences techniques, économiques et temporelles sur le projet, et peut conduire à une évolution du référentiel du projet (spécifications techniques de besoin…). Cette révision passe par un comité d’exigences qui se tient périodiquement pour analyser les éventuelles évolutions en termes de solutions techniques imposées au regard de l’avancée de la connaissance
L’évaluation de sûreté après fermeture présentée dans le dossier support à la demande d’autorisation de création se fondera non seulement sur les résultats de la conception d’ingénierie de Cigéo mais aussi sur la justification du respect, par cette conception, de l’ensemble des exigences applicables à Cigéo en matière de sûreté après fermeture. Cette évaluation de la sûreté après fermeture du stockage implique un savoir-faire spécifique et la mobilisation de nombreuses disciplines (génie civil des travaux souterrains et ingénierie nucléaire, sûreté, sciences de la terre, science des matériaux, simulation numérique, instrumentation et gestion des données…) afin de caractériser les phénomènes susceptibles d’être rencontrés. Compte tenu de la particularité de cette évaluation qui s’appuie sur sa maîtrise de nombreux phénomènes (thermiques, hydrauliques, mécaniques, chimiques et radiologiques) dans le temps et dans l’espace, et des incertitudes associées, de ses années d’expérience en la matière, et de l’enjeu de la sûreté après fermeture, l’Andra reste le maître d’œuvre de cette évaluation de sûreté après fermeture.
L’évaluation de sûreté après fermeture doit ainsi s’articuler avec la démarche de conception : l’Andra impose la prise en compte d’exigences spécifiées pour choisir les options de conception ; elle doit ensuite vérifier que les options de conception proposées répondent non seulement aux exigences spécifiées mais aussi aux exigences fonctionnelles dont celles-ci découlent. Ainsi, pour chaque nouvelle option de conception proposée, notamment en termes d’architecture de stockage, l’Andra
vérifie son impact sur les performances à long terme du stockage en évolutions normale ou altérée.
L’Andra réalise à cette fin des évaluations caractérisant le niveau de sûreté du stockage, comme elle l’a fait notamment lors de l’établissement des dossiers 2009 et 2012.
6.3 Le respect des exigences applicables
Les exigences applicables ont été traduites en spécifications techniques de besoin pour la conception de Cigéo.
La vérification de la prise en compte des exigences relatives à la protection des intérêts visés par l’article L. 593-1 du code de l’environnement constitue une partie du contrôle de la conception. Ce contrôle est réalisé de façon continue dans le cadre de la gestion des performances du projet. Le contrôle de la conception est également réalisé à l’occasion de réunions d’avancement du projet. Il est renforcé par les revues de projet prévues à chaque fin de phase.
Les activités importantes pour la protection (AIP) sont réalisées conformément aux dispositions de l’arrêté du 7 février 2012. Les paragraphes suivants précisent les dispositions prises pour la réalisation des AIP spécifiques à la sûreté après fermeture.
6.4 La maîtrise de la conception et de la réalisation
6.4.1 La maîtrise des prestataires et interactions avec les partenaires scientifiques
Lorsque les études nécessitent de la sous-traitance, la maîtrise des prestataires est encadrée par les procédures de l’Andra pour ce qui relève notamment de la qualité des prestations fournies.
Le suivi des prestations répond aux exigences de la norme ISO-9001 en termes de suivi des contrats.
Un programme d’audit des fournisseurs est défini annuellement et mis en œuvre.
L’Andra assure aussi la coordination de nombreux partenariats sur des thématiques techniques et scientifiques variées. Ces partenariats sont définis en accord avec la politique scientifique de l’Agence selon les trois principes suivants :
•
pertinence scientifique ;•
partage de thèmes d’intérêts communs ;•
établissement d’axes de recherche pluriannuels.Ces partenariats font l’objet de comités techniques et/ou comités directeurs afin notamment de s’assurer de la progression des recherches et de la capitalisation des connaissances acquises et de leur valorisation, et définir les évolutions des programmes de recherche.
6.4.2 La maîtrise des études liées au caractère innovant de Cigéo - l’échelle TRL
En complément aux études d’ingénierie confiées aux maîtrises d’œuvre, l’Andra poursuit ses études en propre, essais et recherches pour préciser des options de conception, évaluer les propositions techniques des maîtrises d’œuvre, mettre au point des techniques de réalisation des ouvrages, acquérir des éléments complémentaires de justification et de démonstration, et préparer la demande d’autorisation de Cigéo.
Le caractère spécifique et nouveau du stockage géologique profond a conduit l’Andra à utiliser l’échelle internationale TRL16 comme outil indicatif d’appréciation de la progression technique du projet Cigéo et de ses diverses composantes Le phasage du projet et ses jalons décisionnels et d’autorisation ne sont toutefois pas directement conditionnés aux niveaux TRL.
16 L'échelle internationale TRL (Technology Readiness Level) permet de quantifier le niveau de maturité technologique atteint par un élément (matériel, composant, système…). Elle fait l’objet de la norme ISO 16290:2013 [7]. Développée principalement pour les systèmes spatiaux, elle peut être transposée à un domaine plus large, notamment pour évaluer l’état de maturité technique d’un projet ou pour mesurer la progression d’une technologie tout au long de son développement.
6.5 La maîtrise des outils
Les outils de simulation mis en œuvre pour l’évaluation quantitative de sûreté après fermeture font l’objet d’un processus rigoureux de sélection, de développement, de qualification et de validation. Ces outils sont notamment organisés et structurés dans le cadre de la plate-forme Cassandra (Codes appliqués à la simulation des stockages de l’Andra), qui a été développée pour les accueillir dans un cadre unifié (cf. 6.5.2).
Ces outils s’accompagnent des règles de bonne pratique d’utilisation et de vérifications aux différentes étapes de leur mise en œuvre, en s’appuyant sur deux volets étroitement liés :
•
pour l’aspect physique, celui de s’assurer que les processus, les modèles et les différentes données sont correctement représentés dans les fonctionnalités physiques et mathématiques des outils de calcul ;•
pour l’aspect numérique, celui de s’assurer que les paramètres numériques définis par l’utilisateur permettent une résolution efficiente, précise, convergée et juste des équations mathématiques du problème posé.Pour ce faire, l’Andra a poursuivi depuis le dossier 2005 trois types d’actions interdépendantes, afin de se doter d’un « bouquet » d’outils de simulation performants et maîtrisés capables de répondre aux différents besoins physiques et numériques, tout en garantissant un haut niveau de qualité requis à chaque étape de la mise en œuvre d’une simulation, notamment pour les évaluations de performance et de sûreté présentées dans ce dossier. Ces trois axes sont déclinés ci-après.
6.5.1 Un bouquet d’outils capable de mener des simulations numériques multi-physiques sur de grandes échelles de temps et d’espace
Afin de disposer d’outils validés et éprouvés, la stratégie de l’Andra a consisté principalement à exploiter des logiciels commerciaux qualifiés et validés et à compléter leurs fonctionnalités pour leur permettre de représenter de manière opérationnelle et fine les processus physiques (et leurs éventuels couplages) sur de grandes échelles de temps et d’espace et en minimiser les erreurs liées à leur utilisation (erreurs humaines, erreurs numériques…).
Les développements (ajout de nouvelles fonctionnalités physiques et numériques) ont été accompagnés par la mise en place d’une tierce maintenance applicative (TMA) afin d’assurer (i) une gestion de configuration des outils, leur qualification systématique à chaque développement et l’intégration du retour d’expérience de l’utilisation des outils, incluant la documentation, (ii) la maintenance corrective des outils, qui comprend également la vérification systématique de la non régression des outils, et (iii) la mise en œuvre applicative qui assure que les outils de calcul sont opérationnels et efficaces dans l'environnement de travail de l'Andra et de ses prestataires.
6.5.2 Une plate-forme de simulation simplifiée à l’intérieur d’un « bouquet » d’outils
Suite au Dossier 2005 argile, l’Andra a souhaité maintenir une logique de plate-forme pour la réalisation des évaluations de performance et de sûreté du présent dossier. Cependant, afin de maîtriser de manière plus efficiente la totalité des développements, de les focaliser efficacement sur ses besoins et de disposer d’une portabilité et d’une ergonomie optimale, l’Andra a mis en place en propre la plate-forme simplifiée Cassandra, dont les fonctionnalités sont décrites ci-après.
Figure 6.5-1 : Architecture de la plate-forme Cassandra
La phase de qualification et de validation a été réalisée essentiellement par des ingénieurs physiciens, capables d’analyser finement les résultats et d’évaluer l’ergonomie d’utilisation de la plate-forme. Pour les cas les plus complexes, l’équipe s’appuie sur des experts externes permettant de valider les choix de modélisation et les choix numériques de mise en œuvre des cas tests.
6.5.3 Une chaîne de simulation intégrée
Pour mener les simulations numériques, l’Andra a mis en œuvre un ensemble d’outils et d’opérations associées, de natures très différentes, suivant une chaine de simulation : (i) des outils de pre-processing (mailleurs, outils de gestion des données physiques, géométriques, DAO,…), (ii) des outils de processing ou de résolution (les outils de calculs de la plate-forme Cassandra et hors Cassandra) et (iii) des outils de post-processing (exécutables d’extractions ou de conversion des informations, outils de post-traitement graphique…). Afin de réaliser et d’exploiter de manière simple, lisible, tracée et répétitive la chaine de calcul des évaluations de sûreté, l’Andra a exploité un logiciel intégrateur dont les fonctionnalités sont décrites dans la figure suivante.
Figure 6.5-2 : Chaine de calcul intégrant les différents outils de simulation utilisée pour les évaluations de sûreté après fermeture
6.6 La maîtrise des données d’entrée
Les données scientifiques et techniques qui servent de support à l’établissement du présent dossier ont un rôle central dans le choix des modèles et les valeurs des paramètres associés à ces modèles pour les évaluations phénoménologiques, les dimensionnements et les évaluations de sûreté après fermeture.
Parmi ces données, les connaissances intrinsèques sur les colis de déchets sont fournies par les producteurs et suivent un processus d’analyse et d’instruction par l’Andra.
Les données relatives au site (milieu géologique et environnement de surface) et aux matériaux et composants ouvragés (technologies de mise en forme et de mise en œuvre, caractéristiques physico-chimiques…) sont de la responsabilité de l’Andra. Elles sont acquises en propre par l’Agence ou par le biais de partenariats scientifiques ou de contrats de sous-traitance. Ces données se caractérisent par leur nombre et leur diversité (paramètres géo-mécaniques, logs géologiques, diagraphies, mesures sismiques… ; technologies de réalisation des composants ouvragés et des opérations d’exploitation du stockage). Chacune est acquise selon des méthodes variées, directement ou indirectement, et à différentes échelles spatiales (en forage, sur échantillons, dans le Laboratoire souterrain etc.).
Plus particulièrement, les données sur le comportement des colis de déchets en situation de stockage sont sous la responsabilité de l’Andra avec le support des producteurs afin notamment de s’assurer de la cohérence et de la pertinence des travaux et de leurs résultats en regard des connaissances intrinsèques sur les colis de déchets.
6.6.1 La chaine de traitement des données : de la donnée brute à la donnée intégrée Ces données scientifiques font l’objet d’un processus rigoureux de gestion et de traçabilité et ont nécessité un cadre formel de diffusion lors des processus décisionnels internes à l’Andra.
Des dispositifs ont ainsi été mis en place pour conforter la qualité des données et s’assurer qu’elles ne soient pas utilisées dans des contextes pour lesquels elles ne sont pas valides. C’est le cas du processus de traitement et de traçabilité des données depuis leur acquisition jusqu’à leur utilisation pour les simulations phénoménologiques et les simulations pour les évaluations quantitatives de sûreté après fermeture qui se doit de justifier et de crédibiliser l’ensemble des valeurs retenues et utilisées par l’Andra. Cette gestion est indispensable et a pour objectifs :
•
d’assurer un traitement rigoureux et justifié, adapté à chaque type de données ;•
de tracer les différentes étapes du traitement des mesures depuis leur acquisition jusqu’à leur utilisation ;•
de permettre l’accessibilité aisée et rapide et la qualité de toutes les données à utiliser et des connaissances.Figure 6.6-1 : Schéma de la chaine de traitement des données scientifiques depuis l’acquisition jusqu’à l’utilisation
Dans ce processus, les données scientifiques s’organisent en quatre grandes catégories en fonction du traitement qu’elles ont subi (tri, analyse statistique...) :
•
les données brutes : il s’agit des données scientifiques acquises provenant des travaux de forages, d’expérimentations, et sur échantillons sans aucun traitement ;•
les données de référence : il s’agit des données brutes qui ont fait l’objet d’un traitement visant à garantir leur pertinence et de leur validité. Lors de ce traitement (appelé référencement), les données brutes sont contrôlées (les données aberrantes sont écartées et dans certains cas, des calculs sont nécessaires pour aboutir à des données de référence). Ces dernières sont alors déclarées et peuvent donc être utilisées pour les analyses ;•
les données structurées/interprétées : il s’agit des données de référence qui, après analyse statistique et traitements éventuels, sont replacées à l’échelle de l’objet qu’elles caractérisent (par exemple à l’échelle d’une formation géologique ou d’une unité géologique ou d’un composant ouvragé du stockage). Elles sont interprétées en termes de représentativité, de variabilité dans l’espace et le temps et d’incertitudes ;•
les données intégrées : ces données sont issues des données structurées à travers des choix conceptuels, principalement une évaluation espace-temps de processus à l’échelle des composants ouvragés et/ou du milieu géologique, ou une évaluation de performance.La gestion de ces données s’appuie sur un ensemble de bases de données et de documents (référentiels de connaissances, notes conceptuelles..) permettant mener des analyses critiques en fonction notamment de leur nature et de leur utilisation.
6.6.2 Les processus de choix de données et de connaissances scientifiques pour les évaluations de sûreté
La maîtrise des données utilisées pour les modèles et les calculs repose sur un processus formalisé mis en place dans le cadre de l’analyse phénoménologique des situations de stockage, qui astreint à prendre en compte chaque échelle de temps et d’espace dans l’évolution du stockage, et chaque type d’interaction (thermique, hydraulique, mécanique, chimique et radiologique).
Parallèlement, la constitution de référentiels de connaissances sur des sujets précis (les matériaux, les modèles de relâchement, la géologie du site, le modèle d’inventaire) permet une consolidation d’ensemble.
L’Andra a identifié une typologie des modèles et paramètres et une classification de leur positionnement par rapport aux incertitudes selon qu’il s’agisse de modèles et valeurs
« phénoménologiques », « conservatives » « pénalisantes », définies en fonction de leur caractère majorant vis-à-vis des évaluations quantitatives de sûreté :
•
la valeur phénoménologique est celle qui est jugée la plus probable ou la plus représentative et permet d’obtenir, tout autre paramètre fixé par ailleurs, la meilleure adéquation entre les résultats du modèle et des résultats de mesure ;•
la valeur « conservative », une valeur qui, parmi celles issues des études et des mesures, correspond à la borne haute (ou basse) de la plage des valeurs disponibles et qui permet d’obtenir un impact calculé qui se situe dans une gamme de valeurs hautes (tout autre paramètre étant fixé par ailleurs) ;•
la valeur « pénalisante » ne se réfère pas à un état des connaissances phénoménologiques, mais est choisie de manière conventionnelle comme conduisant de manière certaine à un impact supérieur à ceux qui seraient calculés avec des valeurs possibles.Cette typologie permet d’utiliser les données en pleine connaissance de leur degré de confiance vis-à-vis de l’évaluation des impacts dans le cadre de l’évaluation quantitative de sûreté.
Par ailleurs, l’Andra a mis en place un système de revues internes dédiées à l’analyse des modèles et données utilisées pour les calculs de sûreté, permettant ainsi de partager et de valider les justifications des choix de ces modèles et données en regard des scénarios de sûreté envisagés.
6.7 Le processus de revues internes et externes
En plus d’un processus de revue des exigences comme mentionné en section 6.2, l’Andra a mis en place un système de revues internes dédiées à l’analyse des données, modèles et choix de sûreté à retenir pour les évaluations de sûreté. Ces revues permettent de valider les choix et leurs justifications :
•
institué par décret, le Conseil scientifique de l’Andra est chargé d’émettre des avis et recommandations sur les priorités des recherches menées par l’Andra et d’en évaluer les résultats, notamment en regard des enjeux d’acquisition ou d’utilisation des connaissances scientifiques et technologiques pour la conception et la sûreté du système de stockage. A ce titre, le Conseil scientifique a examiné systématiquement tout ou parties des dossiers antérieurs afférents ;•
en complément, l’Andra s’est attachée à soumettre certains travaux de conception et de sûreté à une évaluation indépendante dès que cela lui parait pertinent. En effet, le développement de Cigéo fait l’objet d’un processus de revues de conception à chaque étape clé (esquisse, avant-projet sommaire, avant-projet détaillé..). Ce processus fait aussi intervenir des experts sûreté. A ce titre, depuis 2012, l’Andra a mis en place un Comité de sûreté faisant intervenir des experts externes de sûreté.Différentes revues ou équivalents externes ont été et sont aussi menées :