Projet de guide de l’ASN et de l’IRSN relatif aux exigences de sûreté et recommandations pour la conception de réacteurs à eau sous pression

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

Voir commentaire relatif à l’article 3.6.2

Proposition de modification:

Les résultats des analyses probabilistes sont présentés, lorsque cela est pertinent, avec des analyses d’incertitude et de sensibilité et les limites des analyses probabilistes sont identifiées autant que possible.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

Voir commentaire relatif à l’article 3.6.2

Proposition de modification:

Conformément aux articles 3.3 et 3.8 de l’arrêté du 7 février 2012, les analyses probabilistes sont réalisées selon une méthodologie appropriée, prenant en compte l’expérience internationale disponible et intégrant les dimensions techniques, organisationnelles et humaines. Tout en s’inscrivant dans une approche proportionnée aux enjeux, les hypothèses utilisées dans les analyses probabilistes peuvent être aussi réalistes que le permet l’état des connaissances.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

 [Analyses probabilistes vs. EPS]

voir commentaire au 3.6.1

[Evaluation de la contribution au risque sans méthode éprouvée/donnée]

La notion d’évaluation de la contribution au risque est susceptible d’être interprétée sous la forme d’une quantification du risque. Or, lorsqu’il n’existe pas de méthode éprouvée ou si les données nécessaires ne sont pas disponibles, une évaluation quantitative ne peut être obtenue de façon pertinente. Cet aspect est à mettre en regard de la notion de pertinence des analyses probabilistes mentionnée par l’Article 3.3 de l’Arrêté du 7 février 2012. Dans ces situations, une appréciation qualitative des enjeux sûreté peut néanmoins être envisagée.

Proposition de modification:

Les analyses probabilistes prennent en compte l’ensemble des événements déclencheurs pertinents. Néanmoins, si, pour certaines agressions, il n’existe pas de méthode éprouvée ou si les données nécessaires ne sont pas disponibles, des alternatives sont mises en oeuvre pour apprécier l’enjeu sûreté de ces agressions. Les analyses probabilistes prennent notamment en compte :

·         l'ensemble des états initiaux de fonctionnement normal de l’installation :

·         les événements pouvant affecter simultanément le réacteur et la piscine d’entreposage des assemblages de combustible ;

·         les événements pouvant affecter simultanément l’ensemble des installations d’un site y compris pendant une longue durée.

L’analyse probabiliste de niveau 1 est réalisée avec un niveau de détails adapté aux enjeux. Elle établit, pour chaque événement déclencheur pris en compte, les séquences accidentelles résultant du succès ou de l’échec des systèmes et actions de conduite prévues pour assurer les fonctions de sûreté radiologiques ; elle permet d'identifier les séquences menant à la fusion de combustible et d’évaluer leurs fréquences.

L’analyse probabiliste de niveau 2 est réalisée avec un niveau de détails adapté aux enjeux. Elle modélise les phénomènes physiques survenant lors d’un accident avec fusion de combustible et les dispositions mises en oeuvre pour en limiter les conséquences ; l’analyse probabiliste de niveau 2 et les études réalisées en support permettent d’évaluer la nature, l’importance et les fréquences des rejets hors de l’enceinte de confinement.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

Ce paragraphe précise les objectifs/utilisations des études probabilistes en se focalisant sur les EPS mentionnées par l’Article 8.1.2 de l’Arrêté du 7 février 2012. Or, l’Article 8.1.2 de l’Arrêté du 7 février 2012 précise uniquement que les EPS entrent dans le périmètre des « analyses probabilistes des accidents et de leurs conséquences  » que l’Article 3.3 exige « sauf si l’exploitant démontre que ce n’est pas pertinent ». Ainsi, les exigences émises par l’Arrêté du 7 février 2012 ne revêtent aucun caractère systématique d’une part, et d’autre part, autorisent le recours à des analyses probabilistes (études de fiabilité systèmes, évaluation de la fréquence d’évènements initiateurs,…) qui ne constituent pas pour autant une EPS. Seules de telles analyses élémentaires sont d’ailleurs pertinentes et suffisantes en phase de conception d’un nouveau réacteur et/ou vis-à-vis de l’étude de certaines agressions.

De plus les utilisations listées des EPS ne sont pas toutes pertinentes selon la profondeur des études probabilistes voire selon l’objet des études (agressions vs. DEC-A par exemple). La liste des utilisations doit donc être adaptée selon les analyses probabilistes réalisées.

Nous proposons que ce paragraphe soit repris en cohérence stricte avec les exigences portées par l’Arrêté du 7 février 2012, elles-mêmes cohérente avec la réalité industrielle.

Proposition de modification:

Les analyses probabilistes mentionnées à l’article 3.3 de l’arrêté du 7 février 2012 et les études probabilistes de sûreté (EPS) mentionnées à l’article 8.1.2 de cet arrêté sont réalisées afin d’orienter ou de conforter les choix de conception des systèmes assurant une fonction de sûreté radiologique, notamment en termes de redondance et de diversification au regard des objectifs mentionnés au chapitre II.1 du présent guide.

Les analyses probabilistes peuvent notamment être utilisées afin :

·         d’évaluer la fréquence globale de fusion de combustible et la fréquence des rejets, qui contribuent à l’appréciation du niveau de sûreté de l’INB ;

·         d’apporter un éclairage sur le caractère extrêmement improbable des situations mentionnées à l’article 3.2.6 ;

·         de mettre en évidence d’éventuels scénarios ayant une contribution largement prépondérante à la fréquence calculée de fusion de combustible ou aux fréquences calculées de rejets ;

·         d’apprécier la robustesse de l’installation face aux agressions, lorsque cela est faisable ;

·         de confirmer et de compléter si nécessaire la liste des scénarios à retenir pour l’étude des conditions DEC-A et de vérifier le caractère suffisant des dispositions mises en oeuvre à la suite de ces études afin de prévenir les accidents avec fusion de combustible, au regard de l’objectif de fréquence de fusion de combustible exprimé à l’article 2.1.2.3 ;

.      de vérifier le caractère suffisant des dispositions retenues pour limiter les conséquences des accidents avec fusion de combustible.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

L’article III.4.6 ne traite que des agressions externes naturelles.

La note de bas de page 19 doit être corrigée en conséquence.

Proposition de modification:

¹⁹ Lorsque c’est pertinent, la conception des dispositions mentionnées à l’article 3.4.1.2 tient compte du fait que les événements du domaine de conception étendu, en particulier les agressions externes naturelles, sont susceptibles d’affecter plusieurs installations présentes sur le même site pendant une longue durée. 

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

En cohérence avec l’adoption de règles/méthodes/hypothèses d’études moins conservatives dans le domaine de conception étendu que dans le domaine de conception de référence (article 3.4.4.1), le présent article devrait mentionner l’adoption possible de règles/méthodes/hypothèses moins conservatives pour l’évaluation des conséquences radiologiques des conditions DEC-B par rapport à celles retenues dans le domaine de conception de référence.

Proposition de modification:

3.4.5.2 Les règles et méthodes d’évaluation des conséquences radiologiques des conditions DEC-B, peuvent être adaptées par rapport à celles retenues pour le domaine de conception de référence en retenant des hypothèses plus réalistes.

3.4.5.3 L’évaluation des conséquences radiologiques des événements du domaine de conception étendu permet de vérifier le caractère suffisant des dispositions prises à la conception, en cohérence avec les objectifs de sûreté mentionnés au chapitre II.1 du présent guide.

Commentaire conjoint EDF/AREVA NP

Commentaire technique mineur

La proposition de modification de l’article vise la cohérence avec la notion de plausible introduite à l’article suivant.

Proposition de modification:

La liste des événements à retenir dans le domaine de conception étendu repose sur des considérations déterministes et probabilistes, éventuellement confortées par des jugements d’experts.

Les événements du domaine de conception étendu sont :

·         les conditions dites « DEC-A » pour lesquelles la fusion de combustible doit être prévenue.

Elles considèrent a priori, au regard de l’objectif de fréquence de fusion de combustible :

o    les cumuls plausibles d’une condition DBC et de la défaillance de cause commune sur les parties redondantes d’un système IP nécessaire à la maîtrise de cette condition DBC ;

o    les défaillances de cause commune plausibles sur les systèmes IP utilisés en fonctionnement normal.

Les études probabilistes permettent de confirmer et de compléter si nécessaire la liste des conditions DEC-A (voir article 3.6.1) ;

·         les conditions dites « DEC-B » pour lesquelles la fusion de combustible est postulée malgré les dispositions prises pour la prévenir. Les accidents mentionnés à l’article 3.2.6 ne font pas partie du domaine de conception étendu ;

·         les agressions externes naturelles d’une plus grande sévérité que celles considérées dans le domaine de conception de référence (cf. le chapitre III.4.6 pour les spécificités correspondantes).

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial mineur

Pour que l’agression conduise à la défaillance d’un matériel, il faut que ce matériel ne soit ni robuste à l’agression ni protégé contre les effets de l’agression.

Proposition de modification:

L’étude d’une agression externe de référence :

·     analyse l’ensemble des effets directs et indirects induits par cette agression et par les dispositions mises en oeuvre pour y faire face ;

·         suppose que tous les EIP susceptibles d’être affectés par l’agression ou ses conséquences et

a. non robustes à cette agression ou à ses conséquences, et

b. non protégés contre cette agression ou ses conséquences ;

sont défaillants, si leur défaillance est pénalisante ;

·         prend en compte des chargements établis sur la base d’une démarche conservative ;

·         tient compte du fait qu’une agression externe peut affecter simultanément plusieurs voies de systèmes IP, plusieurs niveaux de la défense en profondeur, différentes installations du site, voire les infrastructures régionales aux alentours du site. À cet égard, une attention particulière est portée au risque d’isolement (accessibilité, réseau électrique et réseaux de communication...) du site et à ses conséquences, notamment en termes de conduite des installations ;

·      tient compte de la faisabilité des actions humaines à réaliser compte tenu de l’agression et de ses conséquences ;

.        tient compte, le cas échéant, de l’aspect prédictible et de la cinétique de l’agression.

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial mineur

Pour que l’agression conduise à la défaillance d’un matériel, il faut que ce matériel ne soit ni robuste à l’agression ni protégé contre les effets de l’agression.

Proposition de modification:

L’étude d’une agression interne de référence :

·         suppose que tous les EIP susceptibles d’être affectés par l’agression ou ses conséquences et

a. non robustes à cette agression ou à ses conséquences, et

b. non protégés contre cette agression ou ses conséquences ;

sont défaillants, si leur défaillance est pénalisante ;

·      tient compte de la faisabilité des actions humaines à réaliser compte tenu de l’agression et de ses conséquences ;

.       analyse l’ensemble des effets directs et indirects induits par cette agression, y compris ceux induits par les dispositions mises en oeuvre pour faire face à l’agression.

Commentaire conjoint EDF/AREVA NP

Commentaire technique majeur

Le Guide devrait d’abord présenter l’exigence de sûreté, puis proposer une façon de démontrer le respect de l’exigence, sans imposer le moyen de vérifier l’exigence, comme rappelé à l’article I.4.

Ainsi, dans la mesure où l’on considère qu’un séisme peut provoquer la perte des alimentations électriques externes, une condition de fonctionnement induite par un séisme doit être étudiée en considérant la perte des alimentations électriques externes.

Le fait de cumuler un séisme à
les conditions de fonctionnement de référence, y compris celles résultant de la défaillance improbable d’équipements dimensionnés au séisme, est un choix qui peut être fait par le concepteur, pour simplifier sa démonstration de sûreté.

toutes

C’est le choix qu’ont fait EDF et AREVA NP sur les réacteurs existants et le réacteur EPR pour les études des conditions de fonctionnement de référence relatives à la chaudière alors même que la plupart des systèmes, et en particulier les circuits primaires et secondaires principaux, sont dimensionnés pour rester intègres lors d’un séisme.

Ce choix est évidemment conservatif.

En conséquence, nous proposons que le Guide n°22 présente l’exigence de sûreté stricte (une condition de fonctionnement induite par le séisme doit être étudiée en considérant la perte des alimentations électriques externes) et laisse la main au concepteur quant au choix de prendre des hypothèses de découplage acceptables pour simplifier sa démonstration de sûreté.

Voir également le commentaire formulé sur l’article 7.3.3.6 qui traite du même sujet.

Proposition de modification:

Il est considéré qu’un séisme peut provoquer la perte des alimentations électriques externes. Ainsi, une condition de fonctionnement de référence induite par séisme doit être étudiée en considérant la perte des alimentations électriques externes.

Une bonne pratique de conception peut être d’étudier les conditions de fonctionnement de référence (à l'exception de celles provoquées par une action humaine) en postulant le cumul de la perte des alimentations électriques externes avec la condition de fonctionnement de référence, et ceci au moment le plus défavorable. Sont a priori considérés les moments suivants : initiateur, arrêt automatique du réacteur, signal d’injection d’eau de secours dans le réacteur cœur.

Dans les études correspondantes au cumul :

·   seuls les EIP qui restent opérationnels pendant ou après la survenue d’un séisme peuvent être retenus dans la démonstration de sûreté ;

·     un temps de chute des grappes allongé par rapport à celui utilisé dans l’étude sans tenir compte du séisme est retenu ;

.   les critères techniques d’acceptation à respecter sont ceux des conditions de fonctionnement de référence de catégorie 4.

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial / technique mineur

Voir 3.3.1.4.3

L’action opérateur consistant en la mise en position sûre d’un assemblage en cours de manutention, réalisée en dehors de la salle de commande, peut être prise en compte dans un délai inférieur à une heure du fait que le personnel est déjà présent sur place au moment de l’événement initiateur.

La règle générale précisant les délais opérateur peut donc admettre des exceptions justifiées.

Proposition de modification:

Les règles d’études des conditions de fonctionnement de référence de catégories 2 à 4 autorisent une action manuelle depuis la salle de commande principale au plus tôt 30 minutes après la première information significative donnée aux opérateurs après l’EIU, une action manuelle en dehors de la salle de commande au plus tôt une heure après la première information significative donnée aux opérateurs après l’EIU. Des cas particuliers peuvent être admis, sous réserve de justification, en exception à ces règles générales.

Commentaire conjoint EDF/AREVA NP

Commentaire éditorial mineur

Voir 3.3.1.4.3

Proposition de modification:

Les règles d’études des conditions de fonctionnement de référence de catégories 2 à 4 prévoient de retenir l’aggravant le plus pénalisant au regard des critères techniques d’acceptation à respecter. Les défaillances à envisager en tant qu’aggravant tiennent compte des recommandations figurant au chapitre IV.2.3¹². En particulier, le blocage de la grappe de contrôle la plus anti-réactive est un aggravant possible.

La défaillance retenue au titre de l’aggravant ne modifie pas la catégorie de la condition de fonctionnement de référence analysée.

¹² Les défaillances induites par l’EIU ne sont pas considérées comme des aggravants car prises en compte comme conséquences de l’EIU.