Table of Contents

Les systèmes d'arrêt d'urgence constituent l'une des caractéristiques de sûreté les plus critiques dans la conception et le fonctionnement des centrales nucléaires.Ces systèmes sophistiqués servent de dernière ligne de défense contre les événements potentiellement catastrophiques, assurant que les opérations du réacteur peuvent être stoppées rapidement et de façon fiable lorsque des conditions anormales sont détectées.

Comprendre les systèmes d'arrêt d'urgence dans les réacteurs nucléaires

Dans le cadre de l'exploitation commerciale, ce type d'arrêt est souvent appelé « éclaboussure » dans les réacteurs à eau bouillante et « sortie de réacteur » dans les réacteurs à eau pressurisée. L'objectif fondamental de ces systèmes est d'insérer rapidement des barres de commande ou d'autres matières absorbantes neutrons dans le cœur du réacteur pour arrêter la réaction en chaîne nucléaire lorsque les paramètres dépassent les limites de sécurité d'exploitation.

Un système de protection des réacteurs (RPS) est un ensemble de composants de sûreté et de sécurité nucléaires d'une centrale nucléaire conçu pour arrêter le réacteur en toute sécurité et empêcher le rejet de matières radioactives. Ces systèmes surveillent en permanence les paramètres critiques du réacteur et peuvent déclencher des séquences d'arrêt automatique ou être actionnés manuellement par les opérateurs, si nécessaire.

L'arrêt d'urgence est l'action automatique de protection de la sécurité pour arrêter immédiatement le réacteur afin de réduire ou d'empêcher l'état de danger lorsque l'événement mettant en danger la sécurité du réacteur se produit. La vitesse et la fiabilité de ces systèmes sont primordiales, car les retards ou les défaillances dans l'arrêt peuvent entraîner de graves conséquences, notamment des dommages au cœur, des ruptures de confinement et des rejets potentiels de matières radioactives dans l'environnement.

Principes fondamentaux de conception pour les systèmes de protection des réacteurs

La défense en philosophie de profondeur

L'ingénierie de la sûreté nucléaire suit une philosophie connue sous le nom de Défense en profondeur. Cette approche consiste à créer de multiples couches de protection indépendantes pour prévenir les accidents et atténuer leurs conséquences en cas de survenue. Chaque couche est conçue pour fonctionner de façon indépendante, de sorte que la défaillance d'une barrière de protection ne compromette pas l'ensemble du système de sécurité.

Le concept de défense en profondeur s'étend au-delà des barrières physiques pour inclure les contrôles administratifs, les procédures opérationnelles et les multiples niveaux de systèmes de sécurité.Pour les systèmes d'arrêt d'urgence, cela signifie l'intégration de diverses méthodes d'actionnement, canaux de détection redondants et alimentations de secours pour assurer que la fonction d'arrêt peut être accomplie même dans des conditions défavorables.

Redondance et diversité

Ces systèmes sont conçus avec redondance et diversité, ce qui signifie qu'il existe plusieurs systèmes indépendants qui remplissent la même fonction de différentes façons. La redondance implique l'existence de plusieurs composants ou systèmes identiques qui peuvent remplir la même fonction de sécurité, tandis que la diversité signifie utiliser différentes technologies, conceptions ou principes physiques pour atteindre le même objectif.

Dans les systèmes de protection des réacteurs, plusieurs canaux indépendants surveillent les mêmes paramètres et l'arrêt est initié lorsqu'un nombre prédéterminé de canaux détecte des conditions anormales. Cette logique de vote empêche les arrêts fallacieux de défaillances d'un capteur unique tout en maintenant une fiabilité élevée pour les situations d'urgence réelles.

La défaillance d'une division de déplacement ou d'un conducteur de charge ne déclenchera pas l'opération de brouillage, car la fonction de brouillage exige que deux conducteurs de charge soient déenergés car ils ont une architecture de vote de deux sur quatre. Cela empêche l'initiation fallacieuse du SRP causée par une seule défaillance et met en œuvre le brouillage par une opération de sécurité contre la plupart des conditions de défaillance.

Conception de sécurité en cas d'échec

Un système d'arrêt d'urgence (SED) de par sa nature devrait être sûr de la panne, c'est-à-dire, en cas de défaillance de l'une quelconque de ses opérations, afin de protéger la vie humaine, les biens et l'environnement, il devrait fermer l'usine qu'il contrôle. La conception de la sécurité d'échec garantit que les défaillances de composants ou de systèmes entraînent un état sûr plutôt qu'un état potentiellement dangereux.

Dans les réacteurs à eau pressurisée, les barres de commande sont maintenues au-dessus du cœur du réacteur par des moteurs électriques contre leur propre poids et un ressort puissant. Un brouillage est conçu pour libérer les barres de commande de ces moteurs et permet à leur poids et au ressort de les conduire dans le cœur du réacteur, arrêtant rapidement la réaction nucléaire en absorbant les neutrons libérés. Ce mécanisme d'insertion alimenté par gravité illustre la conception sans danger, car il nécessite une puissance continue pour empêcher l'arrêt plutôt que d'exiger une puissance pour déclencher l'arrêt.

Composantes essentielles des systèmes d'arrêt d'urgence

Capteurs et instrumentation

Un système de brouillage typique se compose des composants suivants : Capteurs et détecteurs : Ces capteurs surveillent différents paramètres tels que le flux de neutrons, la température du liquide de refroidissement et la pression. Si l'un de ces paramètres dépasse les limites prédéterminées, les capteurs envoient un signal pour déclencher un brouillage.

Comme la puissance thermique produite par les fissions nucléaires est proportionnelle au niveau de flux de neutrons, la plus importante est la mesure du flux de neutrons du point de vue de la sûreté du réacteur. Le flux de neutrons est habituellement mesuré par des détecteurs de neutrons excore, qui appartiennent au système d'instrumentation nucléaire excore (NIS).

Les systèmes modernes de protection des réacteurs surveillent de nombreux paramètres au-delà du flux de neutrons, notamment:

  • Température et pression du liquide de refroidissement
  • Débits de refroidissement à travers le cœur du réacteur
  • Niveaux et pressions d'eau du générateur de vapeur
  • Pression de confinement et niveaux de rayonnement
  • Niveau d'eau du bateau réacteur
  • Positions des barres de commande
  • État de la turbine et du générateur

Chaque paramètre est habituellement mesuré par plusieurs capteurs indépendants pour assurer la redondance et permettre le recoupement des relevés. Les capteurs doivent être qualifiés pour l'environnement dur à l'intérieur du confinement, y compris les températures élevées, les pressions, les niveaux de rayonnement et l'exposition potentielle à la vapeur ou à l'eau pendant les conditions d'accident.

Unités de logique et de traitement de contrôle

Chaque paramètre est mesuré par des canaux indépendants de sorte que l'activation de deux canaux entraînerait un arrêt automatique du SCRAM ou du réacteur. La logique de contrôle traite les signaux provenant de plusieurs canaux de capteurs et met en œuvre la logique de vote pour déterminer quand l'arrêt doit être amorcé.

Les trains logiques du système de protection du réacteur sont équipés de deux systèmes parallèles et chaque train logique est relié au disjoncteur avec deux séries. Chaque train logique envoie un signal en cas de brouillage indépendant du réacteur. Cette architecture parallèle garantit que la défaillance d'un train logique n'empêche pas l'autre de déclencher un arrêt lorsque cela est nécessaire.

La numérisation de la sécurité I&C a été poursuivie pour traiter l'obsolescence et pour réaliser des avantages fonctionnels tels que l'amélioration du diagnostic, mais elle introduit également de nouveaux défis, en particulier la défaillance du logiciel et l'augmentation de la complexité du système.

Barres de contrôle et mécanismes d'actionnement

Dans tout réacteur, on obtient un brouillage en insérant de grandes quantités de masse de réactivité négative au milieu de la matière fissile, pour mettre fin immédiatement à la réaction de fission.Les barres de contrôle sont le principal moyen d'obtenir un arrêt rapide dans la plupart des conceptions du réacteur.

Un réacteur « SCRAM » (ou « tréfilage du réacteur ») est l'insertion ou la chute rapide des tiges de commande dans le noyau pour arrêter la réaction de la chaîne de fission. Chez les PWR, toutes les tiges de commande sont généralement insérées en deux à quatre secondes. Ce temps d'insertion rapide est essentiel pour prévenir les dommages au combustible et maintenir l'intégrité du noyau pendant les événements transitoires.

Dans un réacteur à eau pressurisée, les barres de commande sont insérées (découpées) du haut du réacteur dans le noyau. Dans un réacteur à eau bouillante, les barres de commande sont insérées du fond du réacteur dans le noyau. Ces différentes directions d'insertion reflètent des différences fondamentales dans la conception du réacteur et nécessitent différents mécanismes d'actionnement.

Systèmes d'arrêt de sauvegarde

Les absorbeurs de neutrons liquides (neutrons toxiques) sont également utilisés dans les systèmes d'arrêt rapide des réacteurs à eau lourde et légère.Après un brouillage, si le réacteur (ou ses sections) ne sont pas en dessous de la marge d'arrêt, les opérateurs peuvent injecter des solutions contenant des poisons à neutrons directement dans le liquide de refroidissement du réacteur.

Ces systèmes d'arrêt chimique offrent une diversité de l'insertion de la tige de commande mécanique et peuvent être particulièrement utiles dans les scénarios où l'insertion de la tige de commande pourrait être altérée. Dans le BWR, on trouve des absorbeurs de neutrons solubles dans le système de contrôle des liquides de secours, qui utilise des pompes à injection à piles redondantes, ou, dans les derniers modèles, des gaz d'azote à haute pression pour injecter la solution d'absorbeur de neutrons dans le réacteur.

Systèmes d'alarme et d'indication

Des systèmes d'alarme et d'indication complets permettent aux opérateurs de notifier immédiatement les conditions anormales et de confirmer l'actionnement du système d'arrêt, notamment des affichages visuels, des alarmes sonores et des indicateurs de situation qui indiquent la position des tiges de commande, l'état de la logique du système de sécurité et les valeurs des paramètres critiques.

Les salles de contrôle modernes comprennent des interfaces homme-machine perfectionnées qui présentent des informations sous des formes intuitives, priorisent les alarmes en fonction de l'importance de la sécurité et fournissent des outils d'aide à la décision pour aider les exploitants en cas d'urgence.

Considérations pratiques en matière de conception

Délai de réponse

La vitesse de réponse du système d'arrêt d'urgence est un paramètre de conception critique qui doit être soigneusement analysé et vérifié. Le temps de réponse comprend le temps de détection du capteur, le traitement du signal et le temps d'évaluation logique, le temps de réponse du mécanisme d'actionnement et le temps d'insertion de la tige de commande.

Les analyses de sécurité évaluent divers scénarios d'accident afin de déterminer les temps de réponse maximaux autorisés qui empêchent le dépassement des dommages causés par le carburant ou d'autres limites de sécurité.Ces analyses tiennent compte de facteurs tels que le taux de variation des paramètres pendant les transitoires, l'inertie thermique du carburant et du liquide de refroidissement et l'efficacité d'autres systèmes de sécurité.

Qualification environnementale

Les composants des systèmes d'arrêt d'urgence doivent être qualifiés pour fonctionner de façon fiable dans les environnements qu'ils peuvent rencontrer pendant le fonctionnement normal, les transitoires prévus et les accidents de base, notamment pour la température, la pression, l'humidité, le rayonnement, l'exposition chimique et les conditions sismiques.

La qualification en environnement de choc est particulièrement difficile pour les composants situés à l'intérieur du confinement, où les conditions d'accident peuvent inclure des températures élevées (potentiellement supérieures à 300 °F), des pressions élevées, des doses élevées de rayonnement et une exposition à la vapeur ou aux vaporisateurs chimiques.

Indépendance de l'alimentation électrique

Habituellement, le système d'alimentation en courant alternatif comprend une source d'alimentation en courant alternatif et une source d'alimentation en courant alternatif. Les relais de protection détectent la perte de l'alimentation en courant alternatif préférée des systèmes d'alimentation électrique et démarrent automatiquement une alimentation en courant continu.

Les systèmes d'alimentation en courant continu alimentés par batterie fournissent une puissance ininterrompable pour les fonctions d'instrumentation et de commande critiques, assurant que les capacités de surveillance et d'arrêt sont maintenues même pendant la perte complète de puissance AC. Ces systèmes de batterie sont généralement dimensionnés pour fournir de l'énergie pendant plusieurs heures, ce qui permet de restaurer l'alimentation en courant alternatif ou de mettre en œuvre d'autres stratégies de refroidissement.

La sécurité des mécanismes d'insertion des barres de commande permet de faciliter la perte d'énergie plutôt que d'empêcher l'arrêt. Cependant, l'instrumentation de surveillance, la logique de contrôle et certains mécanismes d'actionnement nécessitent une puissance continue pour fonctionner correctement. L'architecture d'alimentation électrique doit garantir que ces composants restent sous tension dans toutes les conditions où leur fonction est nécessaire.

Intégration avec les systèmes de sécurité des installations

Le SRP fournit une première ligne de protection automatique en cas d'événements opérationnels anticipés et de conditions postulées d'accident, en détectant les conditions anormales et en initiant le déclenchement du déclenchement du réacteur et d'autres mesures de protection qui contribuent à préserver l'intégrité du noyau et de la limite de pression.

Après le déclenchement du réacteur, les systèmes de désintégration de la chaleur doivent s'activer pour éliminer la chaleur résiduelle générée par la désintégration radioactive des produits de fission. Pour un réacteur qui est brouillé après avoir maintenu un niveau de puissance constant pendant une période prolongée (plus de 100 heures), environ 7% de la puissance à l'état d'équilibre restera après l'arrêt initial en raison de la désintégration du produit de fission qui ne peut être arrêtée.

Pour gérer la chaleur de décomposition en cas d'incident, les installations sont équipées de systèmes de refroidissement de base d'urgence (ECCS). Ces systèmes sont conçus avec redondance et diversité, ce qui signifie qu'il existe plusieurs systèmes indépendants qui remplissent la même fonction de différentes façons.

Détermination du point de consigne et marge

Pour établir des paramètres de déclenchement appropriés pour les paramètres du système de protection des réacteurs, il faut procéder à une analyse minutieuse afin d'équilibrer les considérations de sécurité et de fonctionnement. Les paramètres doivent être suffisamment prudents pour donner une marge suffisante aux limites de sûreté, tenir compte des incertitudes des instruments, des tolérances d'étalonnage et du temps requis pour la réponse du système d'arrêt.

La méthode de réglage consiste généralement à travailler en arrière des limites de sécurité établies, à soustraire les quotas pour l'incertitude de l'instrument, le décalage de mesure du processus, le temps de traitement du signal, le retard d'activation et l'ampleur des changements de paramètres pendant le temps de réponse.

Prévention de l'échec de la cause commune

Bien que la redondance protège contre les défaillances aléatoires des composants, les défaillances de cause courante qui affectent simultanément plusieurs composants redondants posent un défi important à la fiabilité du système de sécurité.

La diversité est la principale défense contre les défaillances de cause commune.En utilisant différentes technologies, fabricants, approches de conception ou principes physiques pour des fonctions de sécurité redondantes, la probabilité qu'un mécanisme de défaillance unique affecte tous les canaux est grandement réduite. Par exemple, certaines usines utilisent divers systèmes d'actionnement qui utilisent différentes plates-formes logiques ou différents mécanismes physiques pour l'insertion de la tige de contrôle, offrant une protection contre les erreurs logicielles ou les défaillances mécaniques qui pourraient affecter le système primaire.

La séparation physique des éléments redondants contribue également à prévenir les défaillances de causes communes dues aux incendies, aux inondations ou à d'autres dangers localisés.Les éléments du système de sécurité sont généralement répartis entre plusieurs zones de feu et zones d'inondation, avec des barrières et des distances de séparation conçues pour empêcher qu'un seul événement ne désactive plusieurs trains redondants.

Exigences et normes réglementaires

Critères généraux de conception

La présente section décrit le processus d'examen et les critères d'acceptation des instruments et des systèmes de contrôle utilisés pour atteindre et maintenir un état d'arrêt sécuritaire de l'usine, comme l'exige l'annexe A du 10 CFR 50, Critères généraux de conception (CDG) 13, « Instrumentation et contrôle » et la « salle de contrôle » du CDG 19. Les exigences réglementaires établissent des normes minimales pour la conception, le rendement et l'assurance de la qualité des systèmes d'arrêt d'urgence.

Sur la base de l'examen, le personnel conclut que des instruments et des contrôles ont été fournis pour maintenir les variables et les systèmes susceptibles d'affecter le processus de fission, l'intégrité du cœur du réacteur, la limite de pression du liquide de refroidissement du réacteur et les systèmes de confinement et de ceux qui y sont associés dans les limites prescrites pendant l'arrêt de l'usine.

Les critères généraux de conception portent sur de nombreux aspects de la conception des systèmes de sûreté, notamment les critères de défaillance unique, la séparation et l'indépendance des systèmes redondants, les capacités d'essai et d'inspection et la qualification des conditions environnementales prévues.

Normes industrielles

Outre les exigences réglementaires, les normes de l'industrie fournissent des directives techniques détaillées pour la conception et la mise en oeuvre des systèmes d'arrêt d'urgence. La norme IEEE 603 fournit des critères complets pour les systèmes de sûreté dans les centrales nucléaires, traitant de sujets tels que l'architecture des systèmes, la qualification des composants, l'assurance de la qualité des logiciels et les pratiques de maintenance.

Les autorités réglementaires exigent généralement que les normes reconnues soient respectées et elles fournissent un cadre structuré pour démontrer que les conceptions des systèmes de sécurité respectent les pratiques exemplaires établies.

Considérations relatives à la cybersécurité

La numérisation croissante des SRP et autres mesures de sûreté I&C a fait ressortir l'importance des contrôles de cybersécurité pour les systèmes dont le compromis pourrait affecter les fonctions de protection. Les mesures de cybersécurité des centrales nucléaires mettent l'accent sur un modèle de défense en profondeur, y compris l'identification des actifs numériques critiques, l'évaluation des risques, la modélisation des menaces et l'établissement de protections stratifiées.

Les systèmes de sécurité numériques modernes doivent être protégés contre les cybermenaces qui pourraient compromettre leurs fonctions de sûreté, notamment contre les accès non autorisés, les logiciels malveillants et les cyberattaques qui pourraient désactiver les systèmes de sécurité ou provoquer des actes fallacieux.

Programmes d'essais et d'entretien

Exigences relatives aux essais périodiques

Un système d'arrêt est, en revanche, généralement, parfois pendant des années et, espérons-le, pour toujours, «dormant». Cependant, lorsqu'une situation d'urgence réelle se présente et que la demande réelle y est imposée, il doit être pleinement fonctionnel.

Importance des essais et de la maintenance réguliers : Les essais et la maintenance réguliers sont essentiels pour assurer le bon fonctionnement du système de brouillage. Les programmes d'essais sont conçus pour vérifier tous les aspects de la performance du système, de la fonctionnalité individuelle des composants à la réponse intégrée du système.

Les contrôles des canaux permettent de vérifier que les relevés des instruments sont raisonnables et cohérents entre les canaux redondants. Ces contrôles simples peuvent être effectués fréquemment sans mettre hors service l'équipement. Les calibrations permettent de vérifier et d'ajuster la précision de l'instrument, généralement sur une base périodique déterminée par les caractéristiques de dérive de l'instrument et les exigences techniques.

Conception des essais de surveillance

Les essais de surveillance doivent être soigneusement conçus pour vérifier la fonctionnalité du système sans compromettre la sécurité de l'installation ni les équipements inutilement difficiles. Les essais doivent être aussi réalistes que possible tout en évitant les déplacements réels du réacteur ou d'autres mesures qui pourraient affecter le fonctionnement de l'installation.

En testant un canal à la fois tout en laissant les autres en service, l'usine conserve la capacité de répondre aux conditions anormales réelles pendant l'essai. Les procédures d'essai doivent clairement préciser la configuration des systèmes pendant l'essai et les mesures compensatoires nécessaires pour maintenir une protection adéquate.

Pratiques d'entretien

Des programmes d'entretien efficaces sont essentiels pour assurer la fiabilité à long terme des systèmes d'arrêt d'urgence.Les activités d'entretien préventif sont planifiées en fonction des recommandations du fabricant de l'équipement, de l'expérience d'exploitation et de l'analyse de la fiabilité.

Les procédures d'entretien doivent s'assurer que le travail est effectué correctement et que l'équipement est correctement remis en service après l'entretien. Les essais après entretien vérifient que l'équipement fonctionne correctement après les activités d'entretien et qu'aucun nouveau problème n'a été introduit pendant le travail.

La gestion de la configuration garantit la cohérence de la documentation de conception, des procédures et de la configuration physique des installations.Les modifications apportées aux composants ou à la logique des systèmes de sécurité doivent être soigneusement évaluées, documentées et contrôlées afin d'éviter une dégradation accidentelle des fonctions de sécurité, notamment la gestion des versions logicielles des systèmes numériques, lorsque des logiciels non autorisés ou incorrects pourraient compromettre la performance du système.

Gestion du vieillissement

Au cours de ces périodes prolongées, les composantes des systèmes d'arrêt d'urgence peuvent subir une dégradation du vieillissement qui pourrait affecter leur capacité à exécuter des fonctions de sûreté. Les programmes de gestion du vieillissement identifient les mécanismes de dégradation liés à l'âge, surveillent les signes d'effets du vieillissement et mettent en oeuvre des mesures d'atténuation appropriées.

Les mécanismes de vieillissement courants qui affectent les composants du système de sécurité comprennent la dégradation de l'isolation par suite de l'exposition à la chaleur et aux rayonnements, l'usure mécanique des pièces mobiles, la corrosion des composants métalliques et l'obsolescence des composants électroniques.

Expérience opérationnelle et leçons tirées

Incidents et améliorations historiques

Le 26 avril 1986, la catastrophe de Tchernobyl est survenue en raison d'un système d'arrêt qui a été fatalement défectueux, après que le système d'arrêt AZ-5 a été mis en route après une surchauffe de cœur. Cet accident catastrophique a mis en évidence l'importance critique d'une conception correcte du système d'arrêt.

L'industrie nucléaire a tiré des leçons précieuses de la réussite des interventions en cas d'événements anormaux et d'incidents où les systèmes de sûreté n'ont pas fonctionné comme prévu, ce qui a entraîné des améliorations dans la conception des systèmes, les pratiques d'essai, la formation des exploitants et les exigences réglementaires.

À la suite de l'accident de l'île Three Mile en 1979, des améliorations importantes ont été apportées aux instruments, aux procédures d'urgence, à la formation des opérateurs et à la conception des systèmes de sécurité.

Transitant prévu sans éclaboussure

Dans les années 1980, les usines américaines ont dû installer diverses méthodes d'arrêt du réacteur pour examiner la possibilité d'un événement transitoire sans brouillage (ATWS). Dans l'événement ATWS, on suppose que les tiges ne peuvent pas être insérées.

La question de l'ATWS est née de la reconnaissance que, malgré la grande fiabilité des systèmes de protection des réacteurs, les conséquences de l'échec à atteindre l'arrêt pendant certains transitoires pourraient être graves.

Formation des opérateurs et facteurs humains

Formation des opérateurs : Les opérateurs doivent être formés pour réagir correctement en cas d'urgence, y compris l'utilisation du système de verrouillage. Bien que les systèmes d'arrêt d'urgence soient conçus pour actionner automatiquement, les opérateurs doivent comprendre le fonctionnement du système, être en mesure de reconnaître quand l'actionnement manuel est approprié et savoir comment réagir aux défaillances du système ou au comportement inattendu de l'usine après l'arrêt.

La formation des simulateurs offre aux opérateurs une pratique réaliste en réponse à divers scénarios d'accident, y compris ceux impliquant l'actionnement du système d'arrêt d'urgence. Les simulateurs peuvent reproduire le comportement dynamique de l'usine pendant les transitoires et les accidents, permettant aux opérateurs de développer les compétences et les connaissances nécessaires pour une intervention d'urgence efficace sans risque pour l'usine réelle.

L'ingénierie des facteurs humains garantit que les conceptions, les procédures et les programmes de formation des salles de contrôle favorisent une performance efficace de l'opérateur, notamment la conception d'écrans et de contrôles qui présentent clairement l'information, l'organisation des procédures dans un format logique et facile à suivre et la réduction du risque d'erreurs lors de situations d'urgence à forte contrainte.

Conceptions et innovations avancées des réacteurs

Systèmes de sécurité passive

Les caractéristiques de sécurité intrinsèques et passives sont particulièrement importantes lorsque les systèmes actifs tels que les systèmes d'arrêt d'urgence pour l'arrêt du réacteur ne fonctionnent pas correctement.

Les conceptions de la nouvelle génération III+, comme l'AP1000, mettent beaucoup plus l'accent sur la sécurité passive. L'objectif est de créer un réacteur qui peut se mettre en sécurité sans action de l'opérateur ni puissance externe pendant une période prolongée.

Les systèmes d'arrêt passif pour réacteurs avancés peuvent comprendre des dispositifs de régulation de réactivité sensibles à la température qui insèrent automatiquement une réactivité négative à mesure que la température augmente, ou des modules d'expansion de gaz qui conduisent des barres de commande dans le noyau en utilisant la pression du gaz chauffé.

Intégration des technologies numériques

La technologie numérique moderne offre des avantages importants pour les systèmes d'arrêt d'urgence, notamment des capacités de diagnostic améliorées, des interfaces homme-machine améliorées et une mise en œuvre plus flexible de la logique. Les systèmes numériques peuvent effectuer des calculs complexes, mettre en œuvre des algorithmes adaptatifs et fournir des informations détaillées sur la santé et les performances du système qui seraient difficiles ou impossibles avec les systèmes analogiques.

Cependant, les systèmes numériques présentent également de nouveaux défis, notamment l'assurance de la qualité des logiciels, la cybersécurité et les vulnérabilités de défaillances à cause de causes courantes. Dans un flux de travail logiciel RPS typique, le logiciel de protection est spécifié, conçu en blocs de fonction ou en représentations logiques à échelle, traduit en code C et compilé pour les contrôleurs logiques programmables (CLP).

Petits réacteurs modulaires

Les petits réacteurs modulaires (RSM) représentent une nouvelle catégorie de technologie nucléaire aux caractéristiques uniques qui influent sur la conception des systèmes d'arrêt d'urgence. La taille de noyau plus petite et la densité de puissance plus faible de nombreuses conceptions de RSM peuvent offrir des avantages inhérents à la sécurité, y compris des délais de grâce plus longs pour l'action de l'opérateur et des conséquences réduites de certains scénarios d'accident.

La nature modulaire des RMS permet également la fabrication en usine de systèmes de sécurité avec un contrôle de qualité et une normalisation améliorés.Les modules construits en usine peuvent être testés de manière intensive avant l'expédition sur le site de l'usine, ce qui peut améliorer la fiabilité et réduire le temps de construction par rapport aux systèmes traditionnels assemblés sur le terrain.

Procédures et interventions d'urgence

Procédures d'exploitation d'urgence

Les procédures d'exploitation d'urgence (POE) sont des « procédures d'installation qui orientent les actions des exploitants nécessaires pour atténuer les conséquences des événements transitoires et des accidents qui ont causé des paramètres de l'installation dépassant les points de consigne du système de protection des réacteurs ou des points de consigne de caractéristiques de sécurité ou d'autres limites établies » Ces procédures fournissent des directives systématiques pour réagir aux diverses situations d'urgence, y compris celles qui impliquent l'actionnement du système d'arrêt d'urgence.

Les POE sont généralement organisées selon un format fondé sur les symptômes qui ordonne aux exploitants de prendre des mesures en fonction des conditions de l'usine observées plutôt que de devoir diagnostiquer l'événement particulier qui s'est produit. Cette approche est plus robuste parce qu'elle oriente les réponses appropriées, même pour des scénarios d'accident inattendus ou complexes qui ne correspondent à aucun événement analysé.

Gestion des accidents graves

Les événements impliquant la perte du refroidissement de base sont considérés comme dépassant la base de conception de la centrale nucléaire et sont couverts par le SAMG. Les directives de gestion des accidents graves (SAMG) fournissent des stratégies pour réagir aux événements hors de la base de conception où des dommages de base peuvent se produire ou se produire.

Les stratégies de la SAMG peuvent inclure des utilisations non conventionnelles de l'équipement des installations, une violation délibérée des limites d'exploitation normales pour prévenir des résultats pires, et la coordination avec les organismes d'intervention d'urgence hors site.

Améliorations après Fukushima

L'accident de Fukushima Daiichi en 2011 a entraîné une réévaluation complète de la sûreté nucléaire dans le monde entier, qui a permis d'améliorer de nombreuses capacités d'intervention d'urgence, notamment des dispositions relatives à la perte prolongée de courant alternatif, des stratégies d'intervention en cas d'événements à unités multiples, des améliorations à l'instrumentation des accidents graves et le déploiement d'équipements d'adaptation divers et flexibles pouvant être utilisés dans divers scénarios d'urgence.

Les EDMG sont destinés à fournir aux exploitants une « boîte à outils » de capacités qui peuvent être utilisées pour réagir aux dommages imprévisibles causés par les grands incendies et les explosions.

Tendances et défis futurs

Intelligence artificielle et apprentissage automatique

Les technologies émergentes comme l'intelligence artificielle et l'apprentissage automatique offrent des avantages potentiels pour les systèmes d'arrêt d'urgence, y compris des diagnostics avancés, l'entretien prédictif et un soutien accru à la décision.

L'application de l'IA aux systèmes critiques en matière de sûreté pose toutefois des défis importants en ce qui concerne la vérification et la validation, l'explication des décisions en matière d'IA et l'acceptation réglementaire.

Gestion de l'obsolescence

Les fabricants d'équipements d'origine peuvent cesser leurs produits, rendant ainsi les pièces de rechange indisponibles, ce qui est particulièrement important pour les instruments analogiques et les systèmes de contrôle où la base technologique a largement évolué vers les systèmes numériques.

Les stratégies de gestion de l'obsolescence comprennent le stockage des pièces de rechange, la mise au point de sources alternatives pour les composants de remplacement, l'ingénierie inverse pour permettre la reproduction des pièces obsolètes et le remplacement systématique des systèmes obsolètes par des équivalents modernes.

Coopération internationale et normes

La sûreté nucléaire est de plus en plus reconnue comme une préoccupation mondiale qui exige une coopération internationale et une harmonisation des normes.Des organisations comme l'Agence internationale de l'énergie atomique facilitent le partage des expériences opérationnelles, l'élaboration de normes de sûreté et l'examen par les pairs des programmes nationaux de réglementation.

L'harmonisation des normes de sûreté peut faciliter le commerce international de la technologie nucléaire, permettre une délivrance de licences plus efficace pour les conceptions normalisées de réacteurs dans plusieurs pays et promouvoir l'application cohérente des principes de sûreté dans le monde entier.

Conclusion

Les systèmes d'arrêt d'urgence représentent un élément essentiel de la sûreté des centrales nucléaires, qui comprend des décennies d'expérience en génie, de développement réglementaire et d'enseignements tirés de l'expérience opérationnelle. La conception de ces systèmes exige une attention particulière à la fiabilité, à la redondance, à la diversité et aux principes de sécurité en cas d'échec pour garantir que les réacteurs peuvent être fermés en toute sécurité dans toutes les conditions crédibles.

La conception d'un système d'arrêt d'urgence comporte une vaste gamme de disciplines techniques, notamment la physique des réacteurs, l'instrumentation et le contrôle, l'ingénierie électrique, la mécanique, la science des matériaux et les facteurs humains.

À mesure que la technologie nucléaire évolue avec les conceptions avancées des réacteurs, l'intégration numérique et les caractéristiques de sûreté améliorées, les systèmes d'arrêt d'urgence continueront de progresser. Toutefois, les principes fondamentaux de la défense en profondeur, de la redondance, de la diversité et de la conception sans danger demeureront au cœur de la garantie que ces systèmes de sûreté critiques puissent s'acquitter de façon fiable de leur fonction essentielle de protection de la santé et de la sécurité publiques.

La solide culture de sûreté de l'industrie nucléaire, la surveillance réglementaire rigoureuse, les programmes d'essais et d'entretien complets et l'engagement à améliorer continuellement les systèmes d'arrêt d'urgence continueront d'offrir une protection efficace aux centrales nucléaires.

Pour plus d'information sur les systèmes de sûreté nucléaire, visitez Agence internationale de l'énergie atomique[, [Commission de réglementation nucléaire des États-Unis, ou Association nucléaire mondiale.