Stratégie de mitigation de l’accident de fusion du cœur sur l’EPR.
J’imagine si vous avez cliqué sur cet article, vous savez que l’EPR de Flamanville vient de “diverger” (nota: article écrit en septembre 2024). Autrement dit la réaction en chaîne a été, et pour la première fois dans son cœur, auto-entretenue, permettant un équilibre neutronique.
Ce fameux EPR présente de grandes avancées en sûreté nucléaire, toujours afin de limiter les rejets dans l’environnement en cas d’accident. Alors aujourd’hui, l’accident grave! On va parler de corium, de récupérateur à corium (core catcher), de stratégie de mitigation et de codes de calcul. Ce que je souhaite faire avec cet article c’est vous expliquer en premier lieu la physique d’une fusion du cœur et ensuite la modélisation qui y est associée.
Mais alors, comment les ingénieurs en sûreté nucléaire ont-ils réussi à gérer une substance bien pire que la lave ? Le corium, un magma à faire pâlir Hadès, autochauffant, ultra corrosif, à très haute température, ne laissant aucune chance à la plupart des matériaux qu’il rencontre. Possiblement la pire substance artificielle jamais fabriquée sur cette Terre (avec les agents neurotoxiques)…
Les réacteurs de génération III, comme l’EPR (ou l’EPR2), prennent en compte la gestion des accidents graves dès la conception. Je vais donc vous expliquer comment la stratégie de mitigation des accidents graves est conçue sur le réacteur EPR (notez que ce sera vraisemblablement la même sur EPR2, qui est une optimisation de l’EPR).
L’accident grave de référence sur un réacteur à eau, est la fusion du cœur. Un évènement (une brèche par exemple), a pour conséquence directe un combustible qui n’est plus sous eau, donc plus refroidit, et il commence à chauffer, jusqu’à fondre. C’est ce qui s’est passé à Fukushima et Three Miles Island (fusion partielle), occasionnant des rejets dans l’environnement.
Avant de commencer, un rappel sur les trois barrières de confinement. Dans la suite de l’article, la 1ère et la 2ème barrière vont céder, et l’objectif sera de préserver la troisième, afin d’éviter des rejets à l’extérieur.
I/ Phénoménologie d’un accident grave sur EPR
I.1/ Dégradation du cœur
Le soleil se lève sur le site de Flamanville. Le vent souffle sur les plaines de la Bretag.. euh de la Normandie. Le réacteur EPR de Flamanville est à pleine puissance (1600MWe, ça envoie). Une bien belle journée. Et là, une énorme brèche sur le circuit primaire! On appelle ça un APRP (Accident de Perte du Réfrigérant Primaire). Rien ne marche, ni refroidissement, ni électricité, le primaire se vide inexorablement. Il y a de moins en moins d’eau autour des crayons combustible, cf. (2) du schéma ci-dessous. Les gaines du combustible commencent à s’oxyder. C’est très exothermique, donc le combustible chauffe fort (oxydation zirconium + hafnium principalement), on produit de la vapeur d’eau et du dihydrogène. Le combustible et sa gaine fondent, alors que le niveau d’eau continue à baisser. Cette mixture infernale, au-delà des 2400°C, contenant le combustible, la gaine, l’acier des structures et autres joyeusetés, est appelée un corium.
Bon, je vais aller vite. Maintenant le cœur a fondu intégralement et il est dans le fond de cuve. Commence alors une série de phénomènes dans le corium qui vont venir attaquer l’acier de la cuve (pour les curieux, la cuve est en acier 16MND5, un acier de compétition, merci le RCC-M). La brèche a mis de l’eau dans l’enceinte et on a produit du dihydrogène pendant l’accident.
Maintenant on va se donner trois contraintes supplémentaires, pour préserver l’enceinte de confinement, et garder toutes les saletés à l’intérieur, parce qu’on ne veut pas de rejets atmosphériques !
- On veut contrôler l’échauffement dans l’enceinte.
Pour ne pas chauffer l’enceinte il y a deux choses. Déjà, on ne veut pas que la cuve perce à haute pression, sinon le corium est étalé façon spray (sans rire), et vient attaquer l’enceinte. Et pour éviter une percée de la cuve à haute pression (supérieure à 15 bar), il faut dépressuriser la cuve, avec une soupape ultime (comme sur votre cocotte minute). Vous constaterez que la vanne dédiée à la gestion en AG est redondée, ce qui permet de diminuer la probabilité de défaillance de cette ligne de dépressurisation.
Ensuite il faut contrôler la puissance thermique dans l’enceinte, c’est le système EVU (Evacuation Ultime de la puissance dans l’enceinte). Cela consiste simplement à asperger de l’eau froide à l’intérieur de l’enceinte. Une douche pour réacteur nucléaire. Cela sert aussi à faire retomber les radionucléides volatils dans l’enceinte.
2. On ne veut pas d’explosion hydrogène (type Fukushima) dans l’enceinte.
Dans l’enceinte il y a de l’air, de la vapeur d’eau, et maintenant de l’H2. Pour éviter l’explosion hydrogène, il faut consommer l’H2, afin de sortir des zones colorées du diagramme de Saphiro (ci-dessous). C’est le principe des recombineurs autocatalytiques passifs à hydrogène, qui comme leur nom l’indique, n’ont pas besoin d’électricité pour fonctionner.
3. On ne veut pas d’explosion de vapeur dans l’enceinte.
L’eau liquide dans l’enceinte ne doit pas toucher le corium, sous peine d’une explosion de vapeur. Pour ça, c’est simple il faut séparer les deux.
Maintenant qu’on a nos systèmes pour protéger l’enceinte, il est temps de péter la cuve. Je ne vais pas détailler les phénomènes favorables qui permettent de maintenir la tenue mécanique de la cuve. On postule que sous l’effet des contraintes mécaniques (déformation) et des flux thermiques du corium (fluage), la cuve finit par se briser. Je dis « on postule » car ce n’est pas systématiquement l’approche retenue.
Il y a plusieurs configurations possibles du corium en fond de cuve. Ce qu’on observe est une stratification du corium entre la couche d’oxyde et celle de métal léger. L’intuition amène à penser que la haute température du corium vient ablater la cuve. Cela est vrai au-delà de 2700°C, mais en dessous une croûte se forme en paroi, limitant les échanges thermiques. En revanche, la couche de métal léger très chaude reçoit de l’énergie de la couche d’oxyde, et transmet l’énergie à la face interne de la cuve, sur une faible surface relative “focusing effect”. Elle est, d’après les expériences, la couche responsable de la rupture de la cuve.
Je précise que c’est l’approche pénalisante retenue, la façon dont cela arrive nous intéresse assez peu ici car on part du principe que la cuve va rompre. L’étude des corium comporte son lot d’incertitudes et les expériences représentatives sont complexes à réaliser.
D’autres pays estiment qu’ils peuvent maintenir le corium dans la cuve. On ne distingue finalement que deux approches :
- Rétention du corium en cuve (In Vessel Retention, IVR) associé à des moyens de réfrigération externe de la cuve (type External Reactor Vessel Cooling, ERVC). Retenue sur AP1000 et APR1400.
- Rétention du corium hors cuve. Retenue sur EPR/EPR2, et les VVER-1200 récents.
I.2/ L’interaction corium béton
On a désormais notre corium chaud qui tombe dans le fond du bâtiment réacteur. On arrive bientôt au core catcher, patience !
Une fois tombé, il arrive sur un béton dit « sacrificiel ». Ce béton a vocation à être abalté par le corium pour modifier les propriétés physico-chimiques du corium. Durant cette phase, le corium érode ce béton sur environ 50 cm d’épaisseur avant de couler dans le canal de décharge qui relie le puits de cuve à « la chambre d’étalement ». Les mouvements convectifs au sein du corium mélangent le béton et le corium, le rendant plus fluide, plus homogène et moins visqueux afin de faciliter son écoulement par la suite. Si plusieurs coulées successives de corium surviennent, elles convergent toutes dans ce béton de manière à obtenir un corium homogène et un seul écoulement vers la chambre d’étalement. On appelle ça l’interation corium béton (ICB).
Une fois que le corium a ablaté sur toute une épaisseur, il faut maintenir la structure de l’enceinte en état, et on installe donc sous cette couche de béton sacrificiel des matériaux réfractaires (qui résistent à des très hautes températures avec une faible déformation relative). Cette couche est appelée la zircone (ZETTRAL-95GR), et mesure de 10 à 14 cm d’épaisseur.
Une fois que le béton est ablaté complètement dans le sens vertical, le corium arrive sur un bouchon de métal, c’est un composant dont le rôle est celui d’un fusible. Il est la dernière étape avant le canal de décharge. Ce fusible est conçu pour se rompre relativement rapidement au contact du corium en assurant une section de passage suffisamment large pour permettre une coulée rapide de la totalité du corium vers la chambre d’étalement.
La composition chimique du béton est très importante car l’ablation va générer des gaz incondensables qui peuvent faire monter la pression dans l’enceinte. C’est le cas du CO2 issu de la calcination du calcaire, par exemple. Ainsi sur EPR, la procédure U5 a été abandonnée grâce à une fiabilisation de l’ICB. Sur le parc, cette procédure permet de dépressuriser l’enceinte en expulsant à l’atmosphère une partie des gaz préalablement nettoyés dans un filtre sable.
Note: En principe, les chargements mécaniques de l’enceinte sont limités par conception. Mais il est possible qu’il y ait des rejets très minimes malgré tout sur EPR.
I.3/ Interaction corium zircone
Cette partie sera assez simple, puisque l’objectif est de faire interagir le moins longtemps possible le corium avec la zircone. La zircone est ce qu’on appelle un matériau réfractaire à la chaleur. C’est-à-dire qu’il ne fond pas, et se déforme relativement peu, même à des hautes températures (inférieures à environ 1700°C, tout dépend du matériau).
Une fois que le bouchon fusible a rompu, il faut emmener le corium jusque dans la chambre d’étalement le plus vite possible. A noter, la zircone a une forte inertie thermique, ce qui nous arrange pour ne pas dégrader outre mesure le bâtiment réacteur par contact prolongé, même si ce n’est pas censé arriver (toujours prendre des marges). Ainsi, une conduite entièrement tapissé en briques de zircone remplit ce rôle d’évacuation rapide du corium. C’est un tuyau d’évacuation pour corium.
I.4/ Corium dans la chambre d’étalement
Cette étape, la dernière, consiste à neutraliser le corium une bonne fois pour toute.
- une géométrie empêchant le retour en criticité (déjà rendu complexe par la dilution dans le béton sacrificiel),
- un système pour refroidir le corium par-dessous et par-dessus.
Le corium arrive dans la chambre d’étalement qui a une surface d’environ 170 m2. Le corium chaud, en coulant dans la conduite d’évacuation va couper un fil, ce qui déclenche l’ouverture d’une trappe ouvrant une arrivée d’eau gravitaire d’eau provenant du réservoir IRWST (In containment Refueling Water System Tank). Ce système est intégralement passif, ni électricité, ni intervention humaine nécessaire. Cette eau commence par remplir les canaux horizontaux situés sous la chambre d’étalement. Les éléments du plancher contiennent des canaux de refroidissement horizontaux de sections rectangulaires. L’intérieur de la chambre d’étalement est recouvert d’une couche de béton sacrificiel qui a la même fonction que le béton du puits de cuve, mais cette fois-ci il sert aussi à protéger temporairement la couche protectrice.
Le corium va s’étaler dans cette chambre. C’est de la physique complexe (que je ne vais pas détailler ici). Cet étalement est piloté par la compétition entre les forces hydrodynamiques et les changements de viscosité du corium (rhéologie) dus à son refroidissement. La géométrie de cette chambre d’étalement est conçue pour optimiser l’étalement, et ainsi limiter l’épaisseur du corium, le rendant sous-critique et le préparant au renoyage en surface par-dessus.
L’eau, froide donc, arrivant gravitairement de l’IRWST, vient noyer le corium très chaud, donc il y a création de vapeur (beaucoup de vapeur) sur les premiers instants du noyage. Cette vapeur est recondensée par le système EVU (la Force d’Action Rapide Nucléaire -FARN- est capable d’alimenter ce circuit depuis qu’elle est prévenue de l’accident grave).
Une fois que la croûte se forme en surface du corium, il y a une vaporisation très limitée, et une fois le niveau d’eau atteint suffisant, le corium est définitivement stabilisé.
Pour conclure cette partie, une vidéo de présentation du core catcher de l’EPR de Flamanville.
II/ Modélisation d’un accident grave
On ne peut pas faire une expérience avec les mêmes conditions qu’un réacteur nucléaire, pour des raisons économiques, techniques et réglementaires. Alors on simule ça dans des codes de calcul. Un code de calcul ce sont des choix de modélisations, des incertitudes et donc ça se valide, sinon ça ne vaut pas grand-chose.
Et ça se valide avec des expériences ! Les ingénieurs ne sont pas toujours derrière un ordinateur, l’approche empirique est indispensable ! Mais tu viens de dire qu’on ne faisait pas d’expériences réalistes ? Et oui, car on étudie chaque phase d’un accident grave séparément. Voyez ça comme des images qu’on imbrique entre elles. A la fin, l’ensemble des images forment un film, qui modélise un accident grave intégralement, ce qui permet in fine de contourner l’obstacle que représente l’impossibilité d’une expérience réaliste. Et comment on réalise ce film ? Avec un code de calcul intégral !
Présentation d’ASTEC
ASTEC, pour Accident Source Term Evaluation Code, est développé par l’Institut de Radioprotection de de Sûreté Nucléaire, l’IRSN. C’est un code dit « intégral» c’est-à-dire qu’il simule toutes les étapes d’un accident grave. Cela comprend:
- La thermohydraulique du circuit : module CESAR, proche du code de référence en thermohydraulique CATHARE, développé par le Comissarait à l’Energie Atomique et aux Energies Alternatives (CEA) ;
- La dégradation du cœur : module ICARE ;
- L’interaction corium béton : module MEDICIS ;
- La chimie, la physique, le transport des gaz, aérosols et des produits de fission dans l’enceinte : modules SOPHAEROS, ISODOP, COVI ;
- Les systèmes de sureté : module SYSINT ;
- La thermohydraulique de l’enceinte : module CPA ;
- Le comportement des produits de fission : module ELSA ;
- L’évaluation des doses : module DOSE.
Vous trouverez plus d’infos sur : https://www.irsn.fr/recherche/systeme-logiciels-astec. Voici également une courte présentation vidéo du code ASTEC, qui est désormais un code de référence en Europe sur les accidents graves des REP.
Un code intégral doit répondre aux exigences suivantes :
- Calculer de façon exhaustive les phénomènes physiques intervenant lors d’un accident de fusion du cœur, en maintenant un compromis temps de calcul/précision ;
- simuler le comportement des principaux systèmes de sûreté du réacteur, afin de se placer dans des conditions similaires à celles d’un réacteur en accidentel, et tester différents scénarios de disponibilités des systèmes ;
- traiter complètement les couplages entre phénomènes, par exemple le refroidissement du corium dans le puits de cuve, en cours d’interaction corium-béton, par rayonnement et par convection dans l’enceinte de confinement ;
- être découpé en module indépendant, pour faciliter notamment les comparaisons avec des résultats expérimentaux et ainsi valider les modules ;
- Etre rapide malgré sa grande taille (de 400 000 à 500 000 instructions et 1 000 à 1 500 sous-programmes). C’est très important qu’il puisse pouvoir calculer plus vite que le temps réel, afin de tester un grand nombre de scénarios.
Fonctionnement d’ASTEC
Pour expliquer (très) rapidement, le logiciel ASTEC a besoin de données d’entrée, c’est-à-dire les géométries, les matériaux et les conditions physico-chimiques initiales de l’ensemble du réacteur. Ces données sont fournies par l’ingénieur d’étude en accident grave.
A chaque pas de temps, ASTEC calcule l’évolution des paramètres physiques et chimiques. Dans un code intégral, il y a une articulation de tous les modules, avec un ordre d’exécution. On peut activer ou désactiver certains, selon le besoin, sachant que le nombre de modules impliqués augmente le temps de calcul !
In fine, ce qui intéresse l’ingénieur en sûreté nucléaire, ce sont les post-traitements des variables suivies ! Ci-dessous, un exemple de visualisation du cœur d’un REP-900MWe d’EDF. Ce que vous voyez est un post-traitement selon le temps des champs de température. Ce qu’il se passe dans cette séquence est une dégradation du cœur, vous voyez le niveau d’eau baisser progressivement jusqu’à être remplacé par le corium en fond de cuve. Vous constaterez que sur la 3ème image, la cuve a cassé au niveau de la couche de métal léger, à cause du focusing effect expliqué en partie I !
Validation d’ASTEC
Comme expliqué plus tôt, un code est une tentative de représentation du réel, il est donc nécessaire de le valider par comparaison avec... et bien le réel. Notez qu’on peut aussi valider un code en le comparant à des codes déjà validés. Par exemple le module thermohydraulique d’ASTEC, CESAR, est validé par comparaison avec le logiciel de référence CATHARE. Je ne vais pas m’attarder dessus.
Le principe d’une validation empirique c’est de faire une expérience, de la modéliser dans le code de calcul le plus fidèlement possible, et de comparer les résultats issus des observations et des capteurs avec la simulation numérique. On constate souvent des écarts, l’objectif c’est de les réduire le plus possible tout en étant capable de dire pourquoi il y a des écarts et combien ils valent. ASTEC (en V2) est validé par un panel d’expériences assez immense, depuis 1990 et sans arrêt depuis. Cette validation s’appuie sur plus de 160 essais dans le monde entier, en particulier sur les essais Phébus, cf. https://www.irsn.fr/savoir-comprendre/surete/programme-recherche-phebus-pf-0.
Les essais Phébus constituent une grande base de validation des modules CESAR & ICARE (thermohydraulique et dynamique de dégradation) et SOPHAEROS (comportement des produits de fission).
Il y a eu plein d’autres validations et l’objectif n’est pas de toutes les lister. Vous trouverez une liste des expériences menées sur ce lien: https://www.irsn.fr/recherche/systeme-logiciels-astec#validation
Autre code utilisé en accident grave
ASTEC ne modélise pas la phase finale dans la chambre d’étalement de l’EPR. Pour cela, des programmes spécifiques ont été menés à l’international, avec des expériences passionnantes. L’objectif étant d’avoir une compréhension fine du phénomène d’étalement du corium, de son refroidissement, puis de son noyage. Les logiciels français sont respectivement THEMA (code CEA) qui calcule la cinétique de solidification du corium (en masse et en croûtes) ainsi que l’érosion du substrat. Et CROCO (code IRSN) qui permet une modélisation détaillée de la convection dans l’écoulement. Un grand nombre d’essais ont été menés, le plus impressionnant étant l’essai VULCANO, comme montré ci-dessous.
Il est ressorti de l’ensemble de ces programmes de R&D que l’étalement à sec du corium de REP permet son refroidissement ultérieur car l’épaisseur de corium atteinte est suffisamment faible. Ainsi, l’approche retenue sur EPR est validée expérimentalement. Des incertitudes subsistent sur la capacité d’une nappe de corium à s’étaler sous eau, c’est pour cela que l’EPR fait le choix d’étaler le corium à sec en séparant physiquement eau et corium.
Conclusion
Voilà comment on gère un accident grave sur l’EPR. J’ai volontairement éclipsé beaucoup de sujets sur le comportent des produits de fissions dans l’enceinte, sur les différentes possibilités de stratification du corium. J’ai aussi fait le choix de focaliser sur l’EPR alors qu’il existe aussi d’autres stratégies sur les autres réacteurs du parc de génération II (Les CP, P4/P’4 et N4). J’ai également restreint aux REP français, sans analyser les autres stratégies équivalentes sur VVER, AP1000, ou APR1400. Je n’ai pas non plus parlé des filières à eau lourde (CANDU), bouillantes (BWR, ABWR), rapides (SPX) ou encore des filières thermiques (HTR & VHTR) et à sels fondus (MSFR). Chaque technologie, présente une stratégie adaptée. Tous les futurs réacteurs devront quoiqu’il en soit prendre en compte les accidents graves en compte.
Je vous donne mes sources sur ce lien (attention il n’est valable que 7 jours). Tout est public et trouvable sur le site de l’ASN et/ou de l’IRSN.
Annexe
