Philosophie du génie : Redondance et séparation dans les réacteurs CANDU

Développé par Énergie atomique du Canada limitée (EACL), le réacteur CANDU (Deuterium Uranium) se distingue des autres conceptions nucléaires commerciales par sa modération en eau lourde, son combustible naturel et son noyau de tubes à pression horizontaux. Le modèle fonctionne selon un principe de défense en profondeur. Chaque canal de combustible sert de limite de pression indépendante. Le noyau contient plusieurs centaines de canaux de carburant horizontaux, chacun contenant un tube de pression entouré d'un tube de calandre séparé. Cette disposition modulaire assure une défaillance dans un canal ne menace pas la limite de pression du réacteur. Le modérateur d'eau lourde, tenu dans un grand récipient cylindrique de calandre à basse température et pression, sert de puits de chaleur d'urgence physiquement séparé.

Les systèmes de sécurité sont regroupés en quadrants physiquement séparés.Les quatre générateurs de vapeur, quatre pompes de transport de chaleur primaire et les tuyauteries associées sont disposés de façon à ce qu'une défaillance en une boucle laisse les trois boucles restantes capables d'éliminer la chaleur de décomposition.Cette conception du quadrant, combinée à des alimentations électriques indépendantes et à une logique de contrôle, empêche un seul événement à cause commune, qu'il s'agisse d'un tir de missiles, d'une inondation interne ou d'un incendie localisé, de désamorcer toutes les voies jusqu'au dernier évier thermique simultanément.

Robustesse structurelle et qualification sismique

Construction de confinement : au-delà des charges de conception et de base

Chaque CANDU-6 et les stations à plusieurs unités de Bruce, Darlington et Pickering sont fermées par des structures de confinement en béton fortement renforcées. Ces bâtiments précontraints et post-tensionnés ont souvent une épaisseur de paroi supérieure à un mètre. La pression de conception permet de libérer la vapeur d'un accident de grande rupture de refroidissement avec une marge importante. L'analyse structurelle va plus loin. Après des études après les attaques de septembre 2001, les bâtiments de confinement CANDU ont démontré qu'ils résistent à l'impact direct d'un aéronef commercial sans rupture.

Conception sismique : Spectra de réponse spécifique au site pour les essais de composants

Les systèmes nécessaires pour assurer la sécurité des systèmes d'arrêt – tels que les systèmes d'arrêt, le refroidissement du noyau d'urgence et l'isolement du confinement – sont qualifiés pour maintenir la fonction pendant et après le tremblement de terre. La qualification s'étend au-delà de l'analyse papier. De nombreux composants, y compris les mécanismes de la tige de commande et les ensembles moteurs de pompe, ont été testés physiquement sur des tables de tremblements de terre jusqu'aux points de défaillance. L'arrangement horizontal du canal de combustible offre un avantage en matière de sécurité. Contrairement aux grands navires à pression verticale qui peuvent subir des moments de flexion importants, l'axe horizontal de la calandre limite les effets des vagues et répartit uniformément les charges d'inertie dans les boucliers d'extrémité renforcés et les murs de voûte.

Systèmes de sécurité passifs et autonomes

Bien que le CANDU soit souvent caractérisé par des systèmes de sécurité actifs hautement fiables, de nombreuses fonctions passives et semi-passives fonctionnent sans puissance AC externe ou action de l'opérateur pendant de longues périodes.

Deux systèmes indépendants, divers, de fermeture

Chaque CANDU dispose de deux systèmes d'arrêt physiquement et fonctionnellement distincts de différents principes de conception. Shutdown System 1 (SDS1) utilise des tiges à absorption de neutrons à ressort qui tombent dans le noyau lorsque les embrayages à courant continu se libèrent. Shutdown System 2 (SDS2) injecte du poison au gadolinium liquide dans le modérateur par actionnement à haute pression. SDS2 agit sur un mécanisme physique différent – l'absorption de neutrons par un poison dissous – et peut être déclenchée par un ensemble de paramètres de voyage totalement indépendants. La logique de voyage est câblée en dur, utilisant des amplificateurs magnétiques ou des relais à l'état solide, et non des ordinateurs à base de logiciel.

Modérateur comme une évier passive

Si toutes les voies normales d'évacuation de la chaleur échouent, la température du canal de combustible augmente jusqu'à ce que le tube de pression s'agglutine et contacte le tube de calandre, transférant la chaleur au modérateur. Le modérateur est relié à un circuit de refroidissement séparé, mais même sans refroidissement actif, l'inertie thermique de cet inventaire d'eau massive peut retarder les dommages de base pendant de nombreuses heures, achetant du temps pour les mesures de gestion des accidents.

Refroidissement du noyau d'urgence et injection par gravité

Le système de refroidissement de base d'urgence (ECCS) d'un CANDU comprend l'injection à haute pression, la recirculation à moyenne pression et l'alimentation à basse pression à long terme. Évolutions de conception – en particulier dans le CANDU 6 amélioré et l'ACR-1000 – qui incorporent des réservoirs surélevés pouvant fournir de l'eau de refroidissement par tête de gravité seule pendant plusieurs heures après une perte d'accident de liquide de refroidissement.

Résistance aux actes externes malveillance

Sécurité physique et contrôle d'accès

Les stations CANDU utilisent une philosophie de l'île -Sécurité. La zone protégée est définie par de multiples barrières passives : clôtures extérieures à maillons de chaîne avec détecteurs d'intrusion, mur de périmètre durci et zones d'exclusion des véhicules.Les barrières de véhicule capables d'arrêter un camion entièrement chargé à la vitesse sont installées à tous les points d'accès critiques. Tous les points d'entrée sont équipés de systèmes biométriques et de lecteurs de badges.Les zones d'accès matériel – où se trouvent du carburant, du combustible usé et du matériel de sécurité – exigent une authentification multifacteurs supplémentaire.

Cybersécurité et résilience numérique

Les anciens CANDU utilisaient initialement des instruments et des commandes analogiques (I et C) avec des ordinateurs de voyage numériques simples qui étaient isolés des réseaux externes. Les projets de modernisation à Darlington et Bruce ont introduit des systèmes de contrôle numériques sophistiqués, mais avec une caractéristique architecturale critique en matière de sécurité : la C et C liée à la sécurité est complètement extraite du réseau d'affaires de l'usine et d'Internet. Les systèmes de communication à la sécurité sont à sens unique pour la surveillance seulement.

Extrémités environnementales et résilience climatique

Inondation, fort vent et hivernage

Les installations de refroidissement sont protégées par des billots d'arrêt, des barrières d'inondation et, dans certains cas, des maisons de pompage surélevées. Les pompes à eau de service essentielles sont installées dans des voûtes étanches et des conceptions submersibles. Les charges de vent sont tirées des événements de conception de tornades. Les systèmes de calage, les piles de ventilation et les supports de grues supérieures sont tous évalués pour des vitesses de vent supérieures à 320 km/h. Les lignes de transmission sont acheminées dans des couloirs distincts afin de réduire le risque d'un seul événement météorologique qui désactive simultanément toutes les connexions électriques hors site. Compte tenu du climat canadien, les installations CANDU intègrent une hivernalisation étendue. Les écrans d'entrée peuvent être chauffés ou soufflés à l'air pour empêcher le givrage des glaces fraziles. Les réservoirs et les tuyauteries extérieurs liés à la sécurité sont traités par la chaleur et isolés.

Stress thermique et résilience à la sécheresse

Les centrales CANDU disposent de systèmes d'apport d'eau conçus pour des niveaux variables de rivière ou de lac. Les tours de refroidissement, lorsqu'elles sont installées, peuvent gérer un débit réduit d'eau tout en maintenant le vide du condenseur. Les installations dans des climats plus chauds comme la Chine , Qinshan et la Roumanie , Cernavoda ont adapté leurs systèmes de rejet de chaleur aux conditions locales, y compris les condenseurs plus grands ou les cellules de la tour de refroidissement supplémentaires.

Conception du combustible et tolérance aux accidents

Le faisceau de combustible CANDU est un petit ensemble de 0,5 mètre de long contenant des granulés naturels de dioxyde d'uranium enrobés de mince pliage Zircaloy. La courte longueur du faisceau lui confère une robustesse unique. Dans les accidents de perte de refroidissement, le combustible peut résister à un degré de sécheresse et d'excursion de température sans fragmentation catastrophique parce que la courte longueur minimise le ballonnement et l'inclination. Le modérateur assure que le transfert radiatif de chaleur dans le tube callandria refroidit commence immédiatement si le tube de pression se détend. L'examen post-irradiation du combustible soumis à des conditions d'accident simulées aux Laboratoires nucléaires canadiens a montré que le faisceau CANDU conserve sa géométrie refroidissante dans des conditions beaucoup plus sévères qu'une LOCA à grande rupture combinée à la perte d'ECCS.

Réalimentation en puissance et gestion du système par l ' État

Dans un environnement de menace externe en détérioration — par exemple, un ouragan en développement ou un avertissement de sécurité crédible —, la centrale peut continuer à produire de l'énergie, réduisant la dépendance à l'égard de l'électricité hors site pour les systèmes de sécurité, tout en maintenant la capacité de semer instantanément. La distribution du cœur de l'équilibre signifie également que les dommages au combustible sont moins probables si une perte partielle de refroidissement survient, car le cœur n'est pas chargé d'ensembles de haute puissance pour limiter l'épuisement. Cette caractéristique, combinée à la capacité de déplacer les modes de ravitaillement pour aplatir le flux, contribue à une réduction globale de la probabilité de panne de carburant pendant les périodes transitoires.

Expérience opérationnelle et amélioration continue

Après l'accident de Fukushima Daiichi en 2011, tous les exploitants de CANDU ont effectué des essais de stress axés sur l'arrêt de la station prolongée, l'évaluation de la marge sismique et la sûreté du réservoir de combustible usé dans des conditions extrêmes. Les améliorations qui en ont résulté ont consisté à ajouter du matériel d'urgence portable (stratégie FLEX), des voies d'évacuation de confinement durcies et des connexions renforcées pour les génératrices et pompes mobiles. La surveillance réglementaire de la CCSN - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

Approbations réglementaires internationales

L'évaluation de la conception générique du CANDU-6 amélioré effectuée par la CCSN et les examens de permis réussis pour les unités de Cernavoda en Roumanie et les unités de Wolsong en Corée du Sud (une région active du point de vue sismique) ont fait l'objet d'un examen approfondi. Les missions de l'Équipe d'examen de la sûreté opérationnelle (OSART) de l'AIEA et les examens par des pairs de la Convention sur la sûreté nucléaire font régulièrement état des marges importantes de conception du confinement du CANDU, de l'efficacité des deux systèmes d'arrêt et de la solide culture de sûreté dans les sites canadiens à unités multiples.

Gestion des événements à faible probabilité et à haute conséquence

Pour les menaces extrêmement rares comme les nuages de cendres volcaniques, les impulsions électromagnétiques (EMP) ou les conditions météorologiques spatiales, les installations CANDU ont intégré des caractéristiques de sécurité. La logique de sécurité critique est mise en œuvre dans le matériel non-microprocesseur qui est à l'abri des EMP. La grande enveloppe de confinement en béton fournit un blindage électromagnétique important. Même si tous les contrôles microprocesseurs ont été perdus, les deux systèmes d'arrêt peuvent être déclenchés manuellement depuis la salle de commande principale ou la zone de contrôle secondaire à l'aide d'interrupteurs à fils durs, et le refroidissement peut être maintenu par des pompes d'alimentation auxiliaires à vapeur ou des opérations manuelles de vannes.

Gestion du combustible usé

Les réservoirs de combustible usé CANDU sont construits avec des systèmes de béton armé épais et d'isolement sismique.Les modules de stockage à sec sont testés pour détecter les missiles de tornade, les tremblements de terre et l'exposition au feu. Le refroidissement passif inhérent à la conception de fûts secs garantit qu'aucune intervention active ou d'opérateur n'est nécessaire pendant des décennies.Cette approche garantit que les menaces externes ne peuvent compromettre le stockage de combustible usé, une leçon renforcée par l'accident de Fukushima.

Conclusion

L'architecture du réacteur CANDU, qui est un noyau à tube de pression, à eau lourde et modéré, encastré dans un confinement massivement sur-enginé, soutenu par deux systèmes d'arrêt divers et entouré de boucles de processus quadrantisées, offre une protection formidable contre les menaces externes. Que le défi soit un choc sismique, un impact malveillant sur les aéronefs, une attaque cyberphysique coordonnée ou une panne de station durable d'un effondrement du réseau induit par le climat, la conception de couches de protection passive et active garantit que la sécurité publique demeure primordiale.