Cinq jours après l'audition publique du 19 mai dernier sur la protection des installations nucléaires contre les risques majeurs, nous voici à nouveau réunis pour examiner un nouvel aspect de la sûreté nucléaire. Cette fois, il s'agit de faire le point sur les protections des systèmes névralgiques des réacteurs.

La succession rapide des auditions publiques, une autre devant avoir lieu dès le mardi 31 mai, illustre le degré de mobilisation de l'Office parlementaire dans le cadre de l'étude sur la sécurité nucléaire et l'avenir de cette filière, diligentée conjointement par les présidents de nos deux assemblées, MM. Bernard Accoyer et Gérard Larcher, à la suite des événements intervenus au Japon, dans la centrale nucléaire de Fukushima.

Je rappelle que l'OPECST fonctionne pour cette mission en configuration élargie, puisque huit députés et huit sénateurs ont été désignés par les commissions permanentes de l'Assemblée nationale et du Sénat, compétentes dans le domaine de l'énergie, pour être associés à nos travaux. Cette mission élargie mène l'étude selon un schéma similaire à celui d'une commission d'enquête, par dérogation aux pratiques de l'Office qui confie d'habitude l'investigation aux seuls rapporteurs.

Nos travaux se concentreront jusqu'à la fin juin sur la sûreté et la sécurité nucléaires, et seront conclus par la publication d'un rapport d'étape ; le second volet concernera, à partir de juillet, la place de la filière nucléaire dans le système énergétique français.

Après nous être interrogés, lors de la précédente réunion, sur la possibilité qu'un événement de l'ampleur de celui qui a frappé la centrale japonaise de Fukushima se produise dans notre pays, nous nous efforcerons aujourd'hui de faire le point le plus complet possible sur les dispositifs constitutifs de ce qu'on appelle la « défense en profondeur » des réacteurs nucléaires, c'est-à-dire, notamment, sur l'ensemble des mécanismes, fondés sur la redondance ou sur la diversification, qui permettent le maintien du réacteur en fonctionnement malgré la défaillance de l'un de ses composants.

De là, le titre assez large de l'audition, « les protections des réacteurs nucléaires », le pluriel soulignant la multiplicité des fonctions concernées et des techniques mobilisées.

Les dispositifs concernant spécifiquement la protection contre les risques majeurs ayant déjà été évoqués, il s'agit de mettre aujourd'hui l'accent sur la protection des circuits névralgiques en tant que tels, celle-ci pouvant concerner plusieurs types d'atteintes, dont celles dues aux risques majeurs. Par exemple, il est évident qu'une barrière d'étanchéité protège aussi bien contre une inondation provoquée par un accident climatique externe que contre les écoulements résultant de la fuite d'une conduite d'eau interne.

Nous n'aborderons cependant pas la question perverse du terrorisme. Comme nous avons déjà eu l'occasion de le préciser lors de la présentation du programme de la mission, le 14 avril dernier, il n'est pas question de dire en audition publique quelles atteintes terroristes sont, ou peuvent être, envisagées et quelles parades sont prévues. Il faut être totalement naïf, ou totalement de mauvaise foi, pour penser que cette question puisse être traitée publiquement. Il est, en tout cas, hors de question que le prochain rapport de l'Office comporte un manuel du terrorisme nucléaire « pour les nuls ».

Nous allons examiner les efforts de recherche destinés à améliorer la protection des circuits névralgiques : c'est un aspect essentiel de la sûreté nucléaire telle que nous la concevons en France, c'est-à-dire dans une perspective dynamique, avec un effort permanent pour l'améliorer. J'ai souvent l'occasion d'évoquer ce sujet avec des interlocuteurs étrangers, qui me demandent si la sûreté nucléaire est optimale en France. Je leur réponds toujours qu'il s'agit d'une matière vivante, qui se nourrit de la recherche ainsi que de la confrontation des idées entre l'Autorité de sûreté nucléaire (ASN), les appuis techniques et scientifiques et l'opérateur. C'est de cette discussion que viennent les progrès. La sûreté nucléaire se conquiert par un travail de tous les jours et l'on ne peut espérer atteindre un sommet d'où l'on pourrait enfin contempler nos centrales avec une entière confiance. En la matière, les améliorations doivent être permanentes.

Les interventions ont été regroupées en deux sessions, présidées chacune par un des deux corapporteurs de la mission parlementaire : la première, consistant en l'analyse des mécanismes de défense en profondeur, par notre collègue sénateur Bruno Sido, premier vice-président de l'OPECST ; la seconde, une présentation des efforts de recherche en vue d'améliorer la protection des circuits névralgiques, par notre collègue député Christian Bataille.

Je propose à M. Thomas Houdré, directeur des centrales nucléaires à l'Autorité de sûreté nucléaire (ASN), qui a présenté jeudi dernier un panorama de la situation à Fukushima, de s'attacher spécifiquement aujourd'hui au problème de la nature et de la portée des rejets radioactifs, ainsi qu'à la question de l'évacuation des populations habitant les zones à risque.

La situation à Fukushima n'a pas beaucoup évolué depuis mon exposé de la semaine dernière. Cependant, au fil des jours, l'évaluation des rejets radioactifs et de leurs conséquences sur les populations s'affine. C'est ainsi que l'Institut de radioprotection et de sûreté nucléaire (IRSN) vient de publier sur son site un bilan complet sur ces deux points. Sous forme de tableaux et de cartes, ce rapport reprend notamment les différentes évaluations de doses radioactives réalisées par des organismes japonais ou étrangers au cours des jours qui ont suivi l'accident. Les résultats, assez largement concordants, confirment le caractère adéquat des mesures d'évacuation et de protection des populations prises par les autorités japonaises.

Le rapport comporte aussi des projections sur l'exposition de longue durée des populations, du fait notamment du dépôt de particules radioactives de césium, en quantités parfois importantes, dans la zone entourant la centrale – y compris au-delà de la zone d'exclusion de 20 km. Il est ainsi estimé que 2 000 personnes environ, si elles étaient maintenues dans les régions contaminées situées en dehors de cette zone d'exclusion, pourraient recevoir en un an une dose dépassant 100 millisieverts (mSv), alors que la dose d'exposition autorisée pour le public sur une année est en France de1 mSv. À échéance de 70 ans, c'est-à-dire sur la durée d'une vie, les niveaux seraient également significatifs pour une population assez nombreuse. Mais tout dépend, bien sûr, des mesures que prendront les autorités japonaises en matière d'évacuation et de relocalisation des populations.

Notre première session est donc consacrée aux mécanismes de défense en profondeur, c'est-à-dire aux niveaux successifs de protection permettant d'assurer l'intégrité du réacteur, même en cas de défaillance d'un circuit névralgique – le but ultime étant alors moins de préserver le réacteur lui-même que d'empêcher les produits radioactifs d'entrer en contact avec l'environnement.

Nos visites des installations nucléaires de Nogent-sur-Seine, de Gravelines et de Flamanville nous ont déjà permis de découvrir certains de ces dispositifs, notamment ceux qui assurent le maintien de l'alimentation électrique, par des voies à la fois différentes et redondantes, et par là même le maintien d'une capacité de pilotage en dépit de pannes dont les origines peuvent être très diverses.

Nos intervenants décriront les principaux dispositifs constitutifs du mécanisme de défense en profondeur en montrant comment celui-ci se renforce avec la prise en compte des retours d'expérience.

M. Martial Jorel, directeur de la sûreté des réacteurs à l'IRSN, va nous expliquer comment cette défense s'organise dans le cadre de la technologie des réacteurs à eau pressurisée, qui équipe l'ensemble du parc nucléaire français.

Ensuite, M. Jean-Marc Miraucourt, directeur de l'ingénierie à EDF, passera de la description des principes de la défense en profondeur à la présentation des dispositifs pratiques de protection des 58 réacteurs de notre parc.

Le réacteur EPR a été spécifiquement conçu pour faire progresser d'un cran la sécurité des centrales, afin notamment de répondre au danger de fusion du coeur, qu'illustrent les accidents survenus à Three Mile Island et à Tchernobyl. M. Bertrand Barré, conseiller scientifique d'AREVA, nous indiquera quel est l'apport complémentaire des réacteurs nucléaires de troisième génération à la défense en profondeur.

Enfin, MM. Thomas Houdré et Sébastien Crombez, de l'ASN, nous exposeront comment le contrôle exercé par l'agence pousse au renforcement constant des mécanismes de protection des réacteurs, notamment à l'occasion des visites décennales.

Après avoir exposé les principes de la défense en profondeur dans les réacteurs à eau pressurisée, je passerai en revue chaque ligne de défense, puis je présenterai les avancées réalisées et les points sur lesquels notre attention doit se porter au vu du retour d'expérience de l'accident de Fukushima.

Pour analyser les risques réels présentés par une installation, il faut d'abord en connaître tous les risques potentiels, ce qui exige de mener des études de sûreté sur des sujets difficiles, tels que les chutes d'avion ou les accidents thermo-hydrauliques, et de faire des recherches en vue de maîtriser les phénomènes physiques en jeu dans chaque cas.

La deuxième étape consiste à étudier l'état des installations, la conception des systèmes et leur exploitation, l'entretien des matériels et le mode de traitement des anomalies. La force de l'IRSN résulte de sa place au coeur de tous les métiers et de ce qu'il considère les deux plateaux de la balance pour porter un jugement. Il intègre dans ses hypothèses à la fois l'évolution du contexte et celle des objectifs de sûreté.

La première ligne de défense consiste en l'obtention d'une installation fiable et robuste, à l'issue des travaux de conception, d'étude et de réalisation. L'action à mener pour contrôler cette efficacité réside dans la vérification de conformité.

La deuxième ligne, c'est la résistance de l'installation à des incidents tels que des pertes de source électrique ou des défaillances de matériels. Le réacteur doit alors rester dans son domaine de fonctionnement autorisé. L'analyse de cette ligne de défense implique de tirer les enseignements des incidents – c'est le retour d'expérience.

La ligne suivante a trait à la maîtrise des accidents susceptibles d'intervenir dans le domaine de conception des installations. En vertu du principe de la défense en profondeur, on prend toutes les précautions possibles dès la conception mais on imagine aussi que celle-ci puisse être défectueuse et on examine un certain nombre d'hypothèses d'accidents, qui vont d'une grosse brèche dans le circuit primaire jusqu'à la rupture d'une tuyauterie de vapeur. On équipe alors l'installation de systèmes supplémentaires : de pompes qui alimentent en eau le circuit primaire afin de refroidir le coeur et de contribuer à la dépressurisation de l'enceinte de confinement ; de lignes d'arrivée d'eau, à la fois d'appoint et de secours, destinées à refroidir le générateur de vapeur. Tous ces systèmes sont redondants et résistent aux séismes dans les hypothèses de charges prévues. Leur fonction est de garantir un circuit d'injection de sécurité, en puisant de l'eau dans des réservoirs ou des bâches qui sont généralement uniques.

La tâche, à ce stade, consiste en des études probabilistes du risque de fusion du coeur.

La dernière ligne consiste à limiter les conséquences des accidents graves. Elle a été mise en place à la suite de l'accident de Three Mile Island car on n'en imaginait pas de tel auparavant. Ce domaine est celui de la recherche & développement, des études de sûreté et de la mise en place de dispositifs ou de compléments de justification sur les installations. Le point essentiel demeurant l'état de celles-ci.

Je reviens maintenant sur chaque ligne.

L'exigence d'une installation fiable et robuste implique, selon l'IRSN, des vérifications de conformité, notamment sur les systèmes passifs : il y a une dizaine d'années, nous avions mis en évidence une insuffisante résistance aux séismes des bâches des dispositifs de sauvegarde. Ce défaut a été corrigé. En plus des séismes, il faut aussi penser aux inondations et à tout ce qui relève de la protection contre les agressions.

Deuxième exigence posée par l'IRSN pour cette ligne de défense : la disponibilité des systèmes de sûreté. Cela peut sembler aller de soi mais il faut savoir qu'EDF engage un vaste programme d'essais périodiques sur les installations, de requalification des matériels, de traitement des écarts. Il faut en effet éviter de régresser sur ces trois points. L'année dernière, un incident aux États-Unis a révélé l'existence, dans une centrale, de trois défauts latents depuis deux ans, qui ont dégénéré en accident relativement grave sur la chaudière, avec deux incendies et le déclenchement du plan d'urgence.

S'agissant de la deuxième ligne de défense, le meilleur moyen d'analyse des incidents est le retour d'expérience. Nous craignons ce que nous appelons les « incidents précurseurs », qui dégénèrent et peuvent se transformer en accidents graves alors qu'aucune ligne de défense effective n'a été mise en place. Se sont ainsi produits, en 2001 et 2006, des incidents à la centrale de Ma'anshan, à Taiwan – la perte totale des sources électriques pendant deux heures – ainsi qu'à celle de Forsmark, en Suède. Ces incidents ont en commun de démontrer qu'un réacteur peut être agressé par son réseau électrique, en raison de parasites ou de surtensions. Ils ont été analysés en tant qu'accidents précurseurs par l'IRSN et par EDF.

Les voies de progrès pour cette ligne de défense résident bien sûr dans la poursuite des analyses de ce type d'incidents, mais aussi dans l'attention qu'il faut porter plus que par le passé aux agressions externes. Il y a ainsi eu suffisamment de tornades et d'ouragans dans une période récente pour que nous nous préoccupions de savoir s'ils peuvent dégénérer. C'est pourquoi l'IRSN a demandé à EDF d'étudier ce point dans le cadre du troisième examen décennal des réacteurs de 1300 mégawatts.

Troisième ligne : les études d'accidents. Au cours de la décennie 1970, l'IRSN et EDF avaient effectué des études de fiabilité montrant que la principale faiblesse des systèmes redondants résidait dans les modes communs. Nous avions alors découvert que la probabilité de perdre ces systèmes était de l'ordre de 10-5 par réacteur et par an, ce qui fut jugé important au vu des risques encourus, car la perte des systèmes redondants conduit à la fusion du coeur. Au cours de la décennie suivante, ont donc été étudiées des situations telles que la perte totale de la source froide, des flux électriques, de l'alimentation en eau… Des procédures ont été mises en place pour trouver des palliatifs. En 2009, nous avons subi une perte totale de source froide à la centrale de Cruas, après 1 500 annéesréacteur de service, soit un peu plus tôt que prévu. La capacité de réaction à l'incident a fortement valorisé les dispositifs que nous avions installés. Ce sont des lignes de défense effectives que nous devons maintenant réexaminer à la lumière de l'accident de Fukushima.

L'IRSN comme EDF mènent des études probabilistes de sûreté (EPS) en vue de prévenir la fusion du coeur. Elles ont permis des avancées sur des sujets difficiles comme les risques dans les états d'arrêt, majeurs dans la décennie 1990, et les risques de dilution, mis en évidence par l'accident de Tchernobyl. Ces risques ayant été compris et quantifiés, des mesures correctrices efficaces ont pu être définies. Les EPS doivent donc être poursuivies et déclinées en fonction de chaque type d'agression : séismes, inondations et incendies.

Les accidents graves ont également fait l'objet d'études très poussées, notamment à la suite du rapport Rasmussen de 1975. Ces études ont débouché sur des modifications importantes : la fiabilisation des soupapes du circuit primaire afin de dépressuriser le réacteur, ce qui a été fait à Fukushima ; la mise en place d'un filtre à sable, dit U5, pour contrôler les rejets en cas d'accident avant la rupture de l'enceinte – dispositif dont l'accident de Fukushima a démontré tout l'intérêt ; l'installation de « recombineurs » d'hydrogène afin d'éviter les risques d'explosion à la suite de l'oxydation des gaines de combustible. Tout cela est en place en France depuis plusieurs années.

Les études probabilistes, dans le cadre des troisièmes réexamens décennaux des réacteurs de 900 mégawatts, ont abouti également à trois modifications importantes : le renforcement de la boulonnerie du tampon d'accès matériel afin d'obtenir une meilleure tenue de l'enceinte de confinement, l'implantation de mesures d'hydrogène et la détection de percée de la cuve, laquelle a suscité bien des questions à Fukushima. Ces modifications sont actuellement réalisées à Fessenheim et à Tricastin.

Des réflexions restent cependant à mener sur les cas de charge en situation d'accident grave. Ainsi le filtre U5 ne résiste pas aux séismes. Nous ne disposons pas aujourd'hui de connexion entre les accidents graves et les agressions. Nos exigences sont donc à revoir en termes de durée de mission et de tenue aux agressions.

Les conditions d'intervention en situation ultime sur une centrale nucléaire sont également à réexaminer : comment apporter des moyens mobiles et, surtout, comment les connecter aux systèmes « défiabilisés » ? La question s'est posée à Fukushima.

Lors de l'incident survenu à la centrale du Blayais, l'inondation a bien été traitée en termes de cas de charge. Mais il y eut aussi une approche événementielle, discutée entre l'IRSN et EDF, consistant à étudier ce qui peut se produire sur un site subissant une inondation et soumis à une perte de source externe. Cette approche a conduit à renforcer l'autonomie des systèmes par l'ajout de réserves d'eau et de fioul ainsi que par la fiabilisation des groupes électrogènes. À la suite de Fukushima, il y a probablement lieu de revoir aussi ces lignes de défense.

Le séisme n'est pas seulement considéré comme un cas de charge mais aussi sous d'autres aspects : quel est son impact sur des matériels qui ne lui résistent pas et chutent sur des matériels qui, eux, lui résistent ? On pourrait en donner pour exemples la chute d'un portique sur un groupe électrogène ou l'écroulement d'une salle des machines sur le bâtiment électrique voisin.

Des efforts ont également été faits afin de mieux évaluer les risques sismiques par des cotes de calcul, ce qui a conduit à des renforcements de planchers, comme à Fessenheim, ou à des requalifications de matériels.

Des études probabilistes de sûreté, sismiques et de marge sismique, ont été réalisées à Tricastin. Une autre est en cours à Saint-Alban.

Mon exposé portera sur trois sujets : les principes de conception des systèmes de protection, la façon dont ils sont dimensionnés et l'évaluation de leur robustesse.

Les principes de conception reposent sur une démarche systématique. Comme pour les aléas naturels, on commence par recenser les fonctions de sûreté à assurer. Leur maîtrise assure la protection de l'homme et de l'environnement contre les effets des accidents.

Nos installations bénéficient de trois fonctions de sûreté principales : la maîtrise de la réaction nucléaire, l'évacuation de la puissance et le confinement de la radioactivité.

Pour dimensionner les systèmes de protection, on définit la stratégie de défense en profondeur de ces trois fonctions et on cumule les lignes de défense, qui peuvent être multiples, successives et diversifiées.

La conception de ces systèmes est contemporaine de celle des centrales, et se concrétise par les autorisations de création et de mise en service. Mais il est tout aussi important de les soumettre à révision lors de chaque examen de sûreté, notamment lors des réexamens décennaux, conformément au principe d'amélioration continue de la sûreté. La vérification de la robustesse des systèmes peut alors déboucher sur des modifications d'installations, qui peuvent être décidées sur trois fondements : le retour d'expérience, national et international ; l'amélioration des connaissances scientifiques avec, en particulier, le perfectionnement des moyens de calcul et des modélisations numériques ; enfin, l'augmentation générale des exigences de sûreté.

Il existe trois lignes de défense en profondeur : celle des dispositifs de protection passifs, celle de la protection active automatique, et celle de la protection active mis en oeuvre par les opérateurs.

Les dispositifs passifs consistent d'abord à dresser trois barrières entre le combustible du coeur du réacteur et l'extérieur de la centrale. La première est composée des gaines qui entourent le combustible dans la cuve, la deuxième est le circuit primaire dans lequel circule l'eau de refroidissement, la troisième est l'enceinte de confinement.

Le parc français est constitué de réacteurs standardisés de la filière à eau pressurisée – en anglais PWR. La vapeur sortant de l'enceinte de confinement et actionnant la turbine n'est pas radioactive car l'eau n'a pas circulé dans le coeur, contrairement à ce qui se passe dans les réacteurs à eau bouillante – la technologie BWR de Fukushima. On peut donc dire que la technologie PWR offre une ligne de défense supplémentaire.

La conception même du coeur du réacteur le rend « auto-stable » : une excursion de puissance, pour quelque raison que ce soit, provoque une élévation de la température qui, elle-même, étouffe la puissance nucléaire. À Tchernobyl, au contraire, le coeur s'« auto-emballait » en cas d'augmentation de la puissance.

Autres dispositifs passifs : la réaction nucléaire s'arrête en cas de perte d'alimentation électrique – les barres chutent alors dans le coeur sous l'effet de leur propre poids – et, en cas de chute de pression, des réservoirs sous pression déclenchent d'eux-mêmes une injection d'eau de sécurité dans le coeur.

Certains dispositifs actifs – pompes, générateurs – interviennent de façon automatique pour rétablir une situation de sûreté dans un délai qui ne laisserait pas à l'homme le temps d'agir. Il en va notamment ainsi de l'arrêt automatique de la réaction nucléaire, des soupapes de sécurité, de l'injection d'eau de secours dans le circuit du coeur du réacteur ainsi que dans le générateur de vapeur, de l'aspersion de l'enceinte et du démarrage, en dix secondes, des générateurs diesel de secours.

Les dispositifs de protection actifs qui sont mis en oeuvre par les opérateurs interviennent plusieurs heures ou plusieurs jours après un accident.

La première tâche des opérateurs consiste à vérifier que tous les systèmes automatiques sont bien entrés en service. Il s'agit ensuite pour eux d'engager les actions à long terme permettant de regagner un état sûr par refroidissement et par dépressurisation du réacteur, par contrôle de la concentration en bore de l'eau, etc. L'ensemble de ces actions fait l'objet de procédures de conduite accidentelles auxquelles les opérateurs sont formés et rompus, grâce notamment à la présence d'un simulateur pleine échelle sur chaque site.

La robustesse des systèmes de protection repose sur trois types de mesures : de redondance – on multiplie les systèmes identiques –, de diversification – des systèmes différents assurent une même fonction de sûreté – et de vérification périodique et fréquente du bon fonctionnement de l'ensemble.

Redondance : les actions automatiques de protection du coeur à court terme sont quadruplées dans le contrôle-commande ; les systèmes de sauvegarde – injections de sécurité, diesels de secours, circuits d'aspersion auxiliaires, circuits de refroidissement des piscines de stockage de combustible – sont doublés, chacun d'eux pouvant assurer à lui seul la fonction requise. L'EPR partant d'une nouvelle conception, la redondance de ses systèmes de protection a été encore accrue.

Diversification : il existe, par exemple, cinq moyens de secours électrique différents, dont les diesels de secours, protégés contre les séismes et les inondations. Une seule de ces cinq alimentations est suffisante pour garantir le fonctionnement des matériels de sûreté. D'autre part, pour refroidir le coeur par le générateur de vapeur, nous avons à la fois des pompes électriques et des turbopompes fonctionnant grâce à la vapeur produite par le générateur lui-même, ce qui permet de se dispenser d'alimentation électrique extérieure.

Vérification en permanence du bon fonctionnement des systèmes de protection : les opérateurs procèdent à plus de 2 000 essais périodiques par réacteur et par an – ils se succèdent à intervalles de quelques jours seulement pour les fonctions les plus importantes. La révélation de l'indisponibilité d'un système de protection peut entraîner l'arrêt du réacteur, sous une heure, par les systèmes assurant la protection du coeur à court terme.

Le dimensionnement des systèmes de protection obéit à une démarche déterministe, postulant les défaillances les plus graves. On la complète par une vérification probabiliste exhaustive afin de ne pas passer à côté de certaines situations critiques. Enfin, on suppose la défaillance des deux lignes de défense précédentes et on met en place une ligne de défense ultime.

Démarche déterministe : pour chaque fonction de sûreté – ainsi la maîtrise de la réaction nucléaire –, on suppose la défaillance des systèmes assurant la première ligne de défense et on se dote de dispositifs supplémentaires. Par exemple, pour la fonction d'évacuation de puissance, on suppose la rupture totale et instantanée du circuit primaire, qui entraîne la vidange du coeur du réacteur et l'entrée en service des dispositifs de secours destinés à renoyer le coeur avant atteinte des critères de sûreté.

Démarche probabiliste : on recense tous les systèmes jouant un rôle de sûreté et on quantifie leur fiabilité, ce qui permet d'évaluer la probabilité du risque résiduel de fusion du coeur, ainsi que de réorienter les examens de sûreté vers des sujets qui auraient pu échapper à la démarche déterministe.

Les valeurs du risque de fusion du coeur retenues en France sont inférieures aux objectifs fixés par l'Agence internationale de l'énergie atomique (AIEA) : moins d'un risque tous les 100 000 ans suite à des défaillances internes à la centrale, et moins d'un risque tous les 10 000 ans du fait d'une agression externe.

En ligne de défense ultime, nous mettons en place des moyens de maîtriser les conséquences des accidents graves, l'objectif étant d'éviter des rejets radioactifs sur les populations. Nous en avons déjà fourni des exemples lors de précédentes auditions, tels que l'installation de recombineurs d'hydrogène passifs et de filtres à sable qui retiennent le césium en cas de décompression de l'enceinte de confinement.

À la suite de l'accident de Fukushima, qui a provoqué une contamination par le césium, nous allons réexaminer l'ensemble de ces lignes de défense, conformément au cahier des charges arrêté par l'ASN le 5 mai dernier. Nous pousserons aussi les investigations au-delà des lignes actuelles.

Les atouts du système français de protection résident donc dans la conception initiale du réacteur à eau pressurisée, dans une amélioration continue de la sûreté au fil des réexamens de celle-ci, dans la standardisation d'un parc permettant une mise à niveau régulière des 58 réacteurs, dans une formation des opérateurs de haut niveau, dans une organisation industrielle qui intègre une R & D forte effectuée par l'IRSN, par le CEA ainsi qu'au niveau international, enfin dans l'intégration, au sein d'EDF, d'une ingénierie et de moyens d'exploitation assurant une maîtrise continue de la conception des centrales tout au long de leur cycle de vie.

La troisième génération de réacteurs nucléaires français a été conçue après l'accident de Tchernobyl. Elle a donc intégré des exigences de sûreté supérieures avec la prise en compte des risques d'accident les plus graves.

Trois objectifs ont été poursuivis : réduire la probabilité d'un accident grave, par la prévention et en prenant en compte des hypothèses d'agression externes comme internes ; en réduire également l'impact sur les populations en cas de fusion du coeur ; renforcer la capacité de résistance aux agressions externes, y compris la chute d'un avion commercial.

Les moyens de réduire la probabilité d'un accident grave sont les mêmes que pour les générations précédentes : redondance fonctionnelle et diversité des systèmes comme des équipements. Cependant, on a ajouté un élément supplémentaire : une séparation géographique, pour parer un risque de modes communs d'agression.

La protection contre les accidents graves bénéficie d'une innovation caractéristique de cette troisième génération : le récupérateur de corium. Mais il faut aussi mentionner au même titre la coque « anti-chute d'avion » qui, dans l'EPR, défend une partie des systèmes de sauvegarde et le bâtiment renfermant le combustible nucléaire.

Les événements pris en compte sont la perte de réfrigération primaire, la perte des alimentations électriques externes – ce qui s'est produit à Fukushima –, la défaillance des injections de sécurité et celle des diesels principaux, l'incendie, l'inondation, les séismes, les chutes d'avion, ainsi que l'accident grave qu'est la fusion totale du coeur du réacteur.

Les circuits de sauvegarde principaux sont maintenant d'une redondance 4 : chacun des quatre trains de sûreté a la capacité, à lui seul, d'assurer une protection intégrale du réacteur ; chacun est en outre installé dans un bâtiment séparé. La redondance devient ainsi organique et non plus seulement fonctionnelle.

Chaque division est alimentée par la source normale mais, en plus, par un diesel principal de secours. Deux des trains de sauvegarde peuvent en outre être alimentés par un diesel supplémentaire et de technologie différente, dite SBO (pour station black out).

En cas de défaillance du réseau électrique principal, toute une série de mesures sont possibles. La plus simple est l'îlotage, c'est-à-dire l'auto-alimentation de la tranche par son propre turboalternateur. En cas d'échec, on peut recourir au démarrage automatique des quatre diesels de secours. Si l'on a perdu le réseau principal proche de la centrale, on peut basculer sur un réseau auxiliaire, non plus à 400 kilovolts mais à 110 kilovolts, branché plus loin et garantissant un repli sûr. Enfin, même si les diesels de secours refusent de démarrer, on garde toujours la possibilité de faire appel aux deux diesels SBO, un seul pouvant d'ailleurs suffire.

Les quatre trains de sauvegarde sont donc séparés, deux d'entre eux, contigus, faisant l'objet d'une protection supplémentaire par coque anti-avion cependant que les deux autres sont disposés de part et d'autre du bâtiment contenant le réacteur, de sorte qu'aucune agression ne saurait les mettre tous deux hors service en même temps. La coque protège aussi le bâtiment qui renferme le combustible. Il en résulte une protection générale très supérieure à celle des réacteurs des générations précédentes.

Cette coque protège bien sûr contre les agressions externes, mais aussi internes – incendies, inondations, ruptures de tuyauterie. C'est un élément que l'on doit aux Allemands, l'EPR étant à l'origine un projet conjoint.

Pour ce qui est des six diesels aussi, nous avons joué sur la diversification géographique : ils sont logés dans deux bâtiments différents, situés de part et d'autre de celui qui abrite le réacteur, afin de parer au risque d'une agression qui les mettrait hors service en même temps. Recevant donc chacun deux diesels de secours et un diesel SBO à même d'alimenter un des trains de sauvegarde, ces bâtiments sont résistants aux séismes et leurs portes résistent, en outre, aux surpressions. Un réexamen est en cours dans le cadre des stress tests, mais les diesels sont déjà bien protégés.

Pour la protection contre les chutes d'avion, nous avons pris en compte non seulement les avions légers et les avions militaires, mais aussi les avions commerciaux. D'où l'ajout de la « coque avion » qui équivaut à une deuxième enceinte du bâtiment réacteur. Outre donc qu'elle résisterait à l'impact d'un avion commercial gros porteur, le choc ne se répercuterait quasiment pas sur l'enceinte interne – les deux sont, en effet, séparées par un espace important, et ne sont en contact que par l'intermédiaire du radier.

Le bâtiment combustible et les bâtiments de sauvegarde 2 et 3 sont dotés de la même paroi externe, résistant aux mêmes types de chocs, et il y a également un espace entre les parois externe et interne de ces bâtiments.

Les bâtiments non protégés par la coque sont physiquement séparés, de sorte que leur mise hors service simultanée est très peu probable. La perte d'un de ces bâtiments ne remettrait pas en cause la protection de l'ensemble.

J'en viens à la protection du public contre les accidents graves. Dans l'hypothèse où une fusion du coeur surviendrait, un système de récupération du corium est prévu : si le coeur fondu sortait de la cuve, il viendrait s'étaler de lui-même dans une zone réfractaire et il serait passivement refroidi grâce à l'eau du grand réservoir compris dans l'enceinte de confinement. Je dis « passivement » car le réservoir est situé à une altitude plus élevée que le récupérateur du corium. L'eau circulerait d'abord entre les dalles réfractaires du récupérateur et le radier pour protéger le béton de ce dernier ; elle viendrait ensuite, par déversement, renoyer le coeur fondu étalé et le solidifier. À plus long terme, il faudrait mettre en service un système actif pour évacuer la chaleur – c'est le rôle du système d'aspersion –, mais j'insiste sur le fait que les premières actions sont de nature passive.

La double enceinte limiterait les rejets dans l'environnement. L'enceinte interne est dotée d'une peau d'étanchéité métallique et les fuites éventuelles entre les deux enceintes, qui pourraient notamment résulter de faiblesses des traversées, seraient reprises et passeraient par un filtre à sable – c'est le cas depuis la construction des réacteurs de 1 300 MW. Ce dispositif empêcherait, en particulier, le rejet massif de particules de césium.

J'ajoute qu'une cinquantaine de recombineurs passifs sont répartis dans le bâtiment réacteur pour garantir que l'hydrogène brûlera dans chacun des sous-compartiments avant d'atteindre une concentration conduisant à une déflagration. En outre, la zone destinée à accueillir le corium est sèche, ce qui évite les risques d'explosion de vapeur – ils existent seulement lorsque le corium coule dans de l'eau, et non dans le cas contraire.

Dans ces conditions, il ne serait pas nécessaire d'évacuer les populations se trouvant à proximité du site en cas de fusion du coeur, et l'on ne condamnerait pas plus d'une récolte dans l'hypothèse de cet accident maximal. Il y a là une différence considérable avec les événements qu'a connus le Japon.

L'accident de Fukushima appelle toutefois notre attention sur un phénomène que nous n'avons peut-être pas suffisamment pris en compte : la conjonction d'événements exceptionnels. C'est pourquoi AREVA s'est lancée, en coopération très étroite avec EDF, dans un processus de réexamen des installations dans le cadre des stress tests proposés par la WENRA (Western European Nuclear Regulators Association) et dans la lettre de l'ASN en date du 5 mai dernier. Nous allons étudier, en particulier, les questions de la survie des diesels en cas d'inondation jusqu'à une certaine hauteur, de l'étanchéité des portes et de l'accès à la source froide en cas d'obstruction par des débris. Cette évaluation étant en cours, il serait prématuré d'annoncer des résultats tant que nous n'avons pas pu en discuter avec les autorités de sûreté.

Les missions de l'ASN consistent à pousser les opérateurs à améliorer sans cesse le niveau de sûreté de leurs installations. Nos contrôles reposent sur l'instruction des dossiers déposés par l'exploitant, sur les inspections que nous réalisons, sur l'analyse des événements ou des incidents significatifs, sur le contrôle des opérations effectuées pendant les arrêts des réacteurs et sur le réexamen de sûreté associé aux visites décennales.

Tout d'abord, toute modification apportée à une centrale susceptible d'affecter la sûreté des réacteurs doit faire l'objet d'une déclaration à l'ASN par EDF, qui doit fournir un ensemble de documents justificatifs. Cette déclaration est analysée avec le concours de l'IRSN, puis l'ASN prend position : elle peut formuler un avis positif, éventuellement assorti de réserves, ou rejeter les modifications envisagées si elles posent un problème de sûreté ou constituent une régression à cet égard. Tous les dispositifs de protection étant concernés, nous examinons un nombre considérable de modifications chaque année.

Afin de vérifier le maintien de la conformité des installations au fil du temps, nous réalisons, par ailleurs, des inspections, au nombre d'un millier par an. Couvrant l'ensemble de la vie d'une installation nucléaire jusqu'à son démantèlement, elles concernent notamment les opérations de fabrication du matériel et de construction. Étant particulièrement sensibles, les équipements sous pression nucléaires, tels que les cuves, les tuyauteries et les générateurs de vapeur, font l'objet d'un programme d'inspection spécifique sur lequel nous reviendrons.

Les inspections donnent lieu à une lettre de suite, qui est publiée sur le site internet de l'ASN et à laquelle tout un chacun peut avoir accès. Des mesures coercitives peuvent être imposées en cas de besoin, lorsque l'exploitant ne se plie pas aux demandes de l'ASN, ou en cas d'enjeu de sûreté extrêmement important.

Le renforcement des dispositifs de contrôle concerne également la fabrication des équipements : un nouveau cadre réglementaire a été instauré afin d'appliquer des règles homogènes de contrôle sur l'ensemble des équipements sous pression, dits « nucléaires », présentant un niveau significatif d'activité. Les inspections se déroulent sur le terrain, dans les ateliers des fabricants mais aussi chez leurs sous-traitants, les chaînes de sous-traitance pouvant être relativement étendues. Nous réalisons, en outre, des examens documentaires car il existe bien sûr un lien entre la qualité des documents et celle de la fabrication. Compte tenu de la masse des opérations de fabrication concernées, l'ASN s'appuie sur des organismes agréés et supervisés par elle pour la réalisation de ces inspections.

Le contrôle porte d'abord sur la conception, qui est un des piliers de la défense en profondeur. Elle doit prendre en considération les chargements dus aux agressions, ainsi que le retour d'expérience. On s'est aperçu, en effet, que certains chargements n'étaient pas correctement pris en compte – dans la centrale de Civaux, par exemple, des zones de mélange non identifiées lors de la conception ont assez rapidement conduit à des phénomènes de fissuration par fatigue thermique. Le retour d'expérience permet en outre de prendre en compte l'évolution des matériaux pour réduire la fragilisation de la cuve. J'ajoute qu'on peut compter sur les avancées réalisées par les forgerons : les techniques d'affinage permettent en particulier de réduire le degré d'impureté de l'acier utilisé.

Le contrôle porte, ensuite, sur les opérations de fabrication : il existe encore un certain nombre de défauts au niveau du soudage. Il faut donc s'assurer, en réalisant des contrôles réguliers, que ces opérations sont réalisées sans dérive.

Cette vérification approfondie des équipements apporte le haut niveau de garantie nécessaire à leur usage nucléaire.

Sans entrer dans le détail des points faisant l'objet d'évaluations périodiques dans le cadre des inspections, je tiens à revenir sur le processus de retour d'expérience : il est encadré par l'obligation faite aux opérateurs, en particulier EDF, de déclarer l'ensemble des événements significatifs, à savoir les écarts détectés dans les installations. Ces incidents sont systématiquement étudiés par les inspecteurs de l'ASN avec l'appui de l'IRSN. L'ensemble du retour d'expérience fait l'objet de présentations régulières au groupe permanent d'experts constitué auprès de l'ASN, pour l'aider à prendre ses décisions essentielles. Il s'ensuit des demandes auxquelles les opérateurs sont tenus de se plier.

Le retour d'expérience concerne les événements survenus non seulement en France, mais aussi dans le monde entier. Sur la base d'un retour d'expérience provenant de Suède, on s'est ainsi aperçu qu'il existait un risque de colmatage des puisards par les débris résultant d'un accident – ces puisards sont utilisés, en cas de rupture d'une partie du circuit primaire, pour collecter l'eau qui se serait échappée dans l'enceinte de confinement et pour la réinjecter dans le coeur afin de maintenir le refroidissement du combustible nucléaire. L'ASN a demandé à EDF d'étudier le phénomène dans l'ensemble de ses installations. L'exploitant ayant déclaré qu'il n'était pas en mesure d'exclure un tel risque dans ses centrales, une revue complète de la fonction de recirculation est en cours.

J'en viens à l'intervention de l'ASN dans le cadre du contrôle de l'arrêt des réacteurs, phase sensible dans la mesure où elle implique un grand nombre d'opérations de maintenance. Nous intervenons avant l'arrêt lui-même en examinant le programme prévisionnel de ces opérations, puis pendant l'arrêt avec un suivi des contrôles et des travaux ainsi que par des inspections. Le redémarrage des réacteurs est enfin soumis à l'autorisation de l'ASN, laquelle n'est pas délivrée tant qu'un point reste non satisfaisant. Il peut en résulter une prolongation significative de la durée d'arrêt des réacteurs : celui de Bugey 3 a ainsi été maintenu à l'arrêt d'avril 2009 à janvier 2011 à cause d'un problème affectant un équipement sous pression.

Les visites décennales, qui sont un aspect essentiel des contrôles exercés par l'ASN, permettent une requalification complète du circuit primaire principal, à l'issue de quoi nous délivrons un procès-verbal. Un test de résistance de ce circuit primaire est réalisé, ainsi que des contrôles approfondis, en amont, de l'état de la chaudière.

Ces contrôles sont exercés, sous sa responsabilité, par l'exploitant lui-même, mais aussi à la demande de l'ASN. Il importe, en effet, de ne pas contrôler seulement les zones où l'on suspecte des défauts, mais aussi celles où des risques ne sont pas identifiés a priori, car on n'est jamais à l'abri d'une mauvaise surprise. Un colmatage des générateurs de vapeur a ainsi été décelé en 2006, dans la centrale de Cruas : alors que les plaques entretoises ne faisaient pas l'objet d'un contrôle approfondi, on a observé une fissure circonférentielle conduisant à une fuite très importante du circuit primaire au circuit secondaire. Ces contrôles approfondis permettent d'avoir une vision aussi complète que possible de l'état de la chaudière.

Les visites décennales permettent, en outre, de s'assurer que le vieillissement des installations est maîtrisé. L'ensemble des viroles des cuves et des défauts de fabrication potentiels sont examinés, et un examen complet de la justification de la tenue des cuves pour les dix années suivantes est effectué. La visite décennale permet à l'ASN de donner sa « signature » pour la remise en service de la chaudière et de prendre position sur la poursuite de l'exploitation pendant dix années supplémentaires.

Les visites décennales s'inscrivent dans le cadre plus large du réexamen de sûreté, dont l'objectif est double : d'une part, vérifier la conformité des installations ; d'autre part, réévaluer les risques au regard des connaissances disponibles. C'est sur ce fondement que l'ASN se prononce sur la poursuite de l'exploitation du réacteur, éventuellement sous réserve de la prise en compte de prescriptions techniques renforçant les exigences applicables.

Nous en venons maintenant aux questions.

M. Miraucourt a évoqué l'augmentation de la concentration en bore. Pourriez-vous préciser le rôle de celui-ci ?

Ma deuxième question s'adresse à l'ASN : la confrontation des idées lors des réunions des groupes permanents, auxquels participent des experts étrangers, est-elle une spécificité française ?

Pour avoir assisté, en témoin muet, à des réunions de groupes permanents dans les années 1990, j'ai observé que l'instance alors appelée département d'évaluation de sûreté (DES) de l'IRSN jouait le rôle du procureur, EDF celui de la défense, et l'ASN celui du juge. Lors des réunions suivantes, EDF devait répondre aux questions de sûreté qui étaient restées pendantes.

Le chantier de Flamanville 3, qui avance bien, même si l'on va moins vite qu'en Chine, fait l'objet de nombreux contrôles. J'aimerais savoir si l'ASN et l'IRSN disposent de compétences spécifiques en matière d'architecture.

Votre question risque de faire de la peine à certains ! Je rappelle qu'il a fallu détruire des structures en béton qui présentaient des défauts.

Le principe de diversification des protections impose d'avoir plusieurs moyens pour contrôler la puissance nucléaire. Aux barres de contrôle qui s'abaissent automatiquement dans le coeur s'ajoute ainsi l'injection de bore dans le circuit primaire. Ce produit chimique ayant pour propriété d'absorber les neutrons, il offre un moyen supplémentaire de contrôler la réaction nucléaire, en particulier lors des phases de maintien à l'arrêt des réacteurs : l'injection de bore permet de garantir que la réaction nucléaire ne redémarre pas – c'est qu'on appelle « la non-atteinte de la criticité ».

L'existence de groupes permanents d'experts n'est pas une spécificité française : des structures similaires existent dans d'autres pays, tels que les États-Unis et l'Allemagne. L'ASN accorde une grande importance à ces instances de discussion et de débat qui permettent de faire entendre des points de vue différents et d'aller au-delà d'un simple dialogue entre l'ASN, l'IRSN et l'exploitant.

La construction de Flamanville 3 constitue un défi pour EDF, quinze ans après la fin du dernier chantier de construction d'un réacteur en France, mais aussi pour l'ASN : il a fallu retrouver les compétences nécessaires pour le contrôle de ce type de construction, qui présente des spécificités, notamment en matière de génie civil, de montage mécanique et de montage électrique. Les inspecteurs de l'ASN ont donc bénéficié de formations spécifiques.

Avant même la phase de fabrication et de montage, l'ASN s'est prononcée sur les choix de conception de l'EPR, notamment sur les éléments qui en font un réacteur « évolutionnaire » – je pense, en particulier, à la virole porte-tubulure qui constituait alors une avancée technologique.

L'IRSN aide l'ASN à préparer l'inspection des opérations de génie civil. Nos équipes comprennent, en effet, des spécialistes qui ont déjà participé à la construction de réacteurs, et qui sont donc parfaitement au fait de ces questions. Nous avons apporté une attention particulière à la qualité de construction de l'EPR, ce qui a pu conduire, en effet, à la découverte de certaines anomalies. Nous avons beaucoup progressé sur ces questions : il existe désormais des guides d'inspection précisant quels sont les points clés à examiner, et à quel moment le faire.

L'ASN a fait une brève allusion à l'examen des cuves. Avez-vous d'autres moyens que ceux de l'exploitant pour examiner les défaillances éventuelles ? En quoi votre examen est-il plus approfondi ? Plus largement, que vérifiez-vous et comment ?

Vous devez avoir accès à tout, car tout peut conduire à un incident ou à un accident grave, mais le fait que vous publiiez vos rapports d'inspection ne se heurte-t-il pas au secret industriel ? Ne vous objecte-t-on pas, dans certains cas, qu'on ne pourra pas répondre publiquement à vos questions ? En bref, n'y a-t-il pas une limite, non à l'examen que vous pouvez réaliser, mais à la publicité des réponses d'AREVA et d'EDF ?

J'en viens à l'audit qui va avoir lieu au niveau européen. Les États membres ont rappelé qu'ils avaient leurs propres méthodes de contrôle et leurs propres autorités de sûreté. Même si les réacteurs ne sont pas tout à fait identiques, ne pourrait-on pas envisager une normalisation, les autorités de sûreté s'entendant pour que l'on procède aux mêmes stress tests sur tous les réacteurs européens ? Je serais, en effet, ennuyé que chacun fasse ce qu'il veut. Nos voisins allemands, par exemple, semblent être plus sourcilleux que nous : ils vont fermer de vieilles centrales et se préoccupent en général plus que nous du vieillissement. Cela relève-t-il, selon vous, de divergences techniques entre les ingénieurs sur les tests de sûreté, ou bien de différences d'appréciation politique ?

La lettre du Premier ministre ne prévoyait pas d'aller au-delà des aléas naturels, mais force est de constater qu'il existe des aléas humains, tels que les chutes d'avions, y compris de gros porteurs. Nous venons d'entendre dire que la génération 3 était beaucoup plus sûre à cet égard, mais ne faut-il pas aller plus loin ? Je pense, en particulier, au risque d'actes terroristes contre les installations nucléaires. J'aimerais savoir si l'ASN a reçu des garanties de la part des constructeurs et des opérateurs sur ce point. Même si vous ne pouvez pas entrer dans le détail, car le Gouvernement demande de ne pas faire état publiquement de ces données, je serais rassuré si vous pouviez au moins confirmer l'existence de telles garanties.

Une autre question qui n'a pas été évoquée jusqu'à présent est la défection du personnel. On a vu, en particulier dans le cas du cyclone Katrina aux États-Unis, qu'il existait un risque réel dans ce domaine. Que se passera-t-il si le personnel d'une centrale se met en grève ou est touché par une épidémie, par exemple ? La centrale s'arrêtera-t-elle toute seule, ou bien doit-on redouter un problème de sûreté parce que les installations ne seraient plus surveillées ? Ce risque est-il pris en compte dans les études de sûreté ?

On pourrait élargir la question portant sur l'intégrité des cuves à celle de l'intégrité de leur couvercle, en cause dans l'incident de Davis Besse.

S'agissant des décisions prises de l'autre côté du Rhin, où je me suis rendu avec Christian Bataille dans le cadre d'un travail sur le vieillissement des centrales nucléaires, les responsables allemands de la sûreté nous ont dit qu'elles résultaient d'un accord programmatique conclu entre le chancelier Schröder et sa majorité, sans qu'il existe d'étude dans ce domaine. Ils ont précisé que, pour apprécier le vieillissement des centrales, on prenait seulement en compte les incidents survenus au cours des vingt premières années de leur fonctionnement. Or, les problèmes d'arthrose ne se manifestent pas pendant les vingt premières années de la vie, mais beaucoup plus tard…

C'est une analogie pertinente !

L'exploitant est le premier responsable du contrôle des cuves, mais la réglementation en vigueur impose des exigences précises : il doit démontrer l'exhaustivité des situations prises en compte ; les procédés de contrôle sont soumis à une commission de qualification chargée de se prononcer sur leur efficacité ; l'exploitant doit mettre en oeuvre un programme de suivi de l'irradiation ; il est tenu d'intégrer des coefficients de sécurité réglementaires dans ses démonstrations mécaniques.

L'ASN examine ces démonstrations, avec l'appui technique de l'IRSN, en prenant un certain recul. Nous utilisons notamment des moyens de calcul qui permettent d'identifier les transitoires les plus nocifs en matière de surpression à froid, risque auquel la cuve est exposée. Ces éléments, qui sont établis indépendamment et qui peuvent conduire à infirmer la position de l'exploitant, font l'objet d'un débat dans le cadre du groupe permanent d'experts.

Vous ne disposez donc pas de moyens de contrôle supplémentaires : vous examinez les rapports détaillés fournis par l'exploitant.

La loi dispose que l'exploitant est responsable de la sûreté de ses installations.

Comme nous l'avons déjà indiqué, la visite décennale permet de réaliser une épreuve hydraulique du circuit primaire principal, à l'issue de laquelle un procès-verbal est établi. La responsabilité de l'ASN est ainsi engagée.

C'est à l'occasion de ce type d'épreuve qu'ont été détectées à Bugey, en 1991, des dégradations des traversées des couvercles de cuve.

Pouvez-vous nous dire plus précisément en quoi consiste cette « épreuve hydraulique » ?

Elle consiste à dépasser d'un facteur de 1,2 la pression pour laquelle la cuve a été conçue, et de maintenir ce palier afin de détecter toute anomalie. C'est un examen physique réalisé par l'ASN.

J'ajoute que les enregistrements des contrôles de la cuve – radiographies ou contrôles par ultra-sons, par exemple – sont conservés pendant toute la durée de vie de la centrale. Ils peuvent donc être consultés à tout moment par l'ASN.

Pour l'anecdote, c'est feu notre collègue Michel Pelchat qui est à l'origine des méthodes d'analyse qui ont permis la découverte de microfissures sur les couvercles de cuve.

Conformément à l'objectif de transparence posé par la loi de juin 2006, les actes rédigés par l'ASN à la suite du contrôle des exploitants sont rendus publics sur notre site. Certaines réponses à nos questions peuvent certes mettre en jeu le secret industriel ou commercial, car nous attendons un degré de détail qui peut être extrêmement élevé tandis que les exploitants sont tenus par la loi de répondre, mais nos inspecteurs ont l'interdiction de divulguer les informations couvertes par ce secret.

L'harmonisation des contrôles au niveau européen est un objectif défendu par l'ASN déjà bien avant les événements de Fukushima. Nous sommes à l'origine de la création de la WENRA, qui regroupe les responsables des autorités de sûreté nucléaire en Europe et qui travaille depuis de longues années à une certaine harmonisation des exigences de sûreté au niveau européen, dans la perspective de leur élévation générale. À la suite de l'accident de Fukushima, cette structure a élaboré un projet de cahier des charges encadrant les stress tests à destination de la Commission européenne, mais la décision est effectivement de nature politique.

En ce qui concerne la sécurité des installations nucléaires, les responsabilités sont partagées : l'ASN est en charge du contrôle de la sûreté des installations, ce qui inclut les conséquences éventuelles d'actes de malveillance ; en revanche, elle n'est pas en charge du contrôle de la protection des installations contre ces mêmes actes. Cette mission relève du Haut fonctionnaire de défense et de sécurité du ministère de l'environnement.

Je ne suis pas rassuré de savoir qu'une seule personne s'occupe de cette question…

Le terme de « Haut fonctionnaire de défense et de sécurité » désigne une entité administrative.

Pour avoir été ministre de l'environnement, vous savez qu'il s'agit d'un service, monsieur Cochet !

J'en viens à la question de la défection éventuelle des personnels. Les hommes et les organisations jouent, en effet, un rôle central en matière de sûreté, de radioprotection et de protection de l'environnement. L'ASN s'intéresse à ces sujets depuis de nombreuses années et elle a demandé aux exploitants, dans le cadre des évaluations complémentaires de sûreté engagées à la suite de l'accident de Fukushima, de ré-analyser les capacités d'intervention des personnels en situation d'accident, ainsi que les effets que d'éventuelles limitations de ces capacités pourraient avoir pour la gestion d'un accident, et de réfléchir plus généralement sur la répartition entre les tâches sous-traitées et celles qui ne le sont pas. Il est légitime de se demander si l'on ne peut pas encore progresser dans ces différents domaines.

À l'occasion de notre visite à Gravelines, la semaine dernière, nous avons appris que des personnes avaient été découvertes dans un camion à l'entrée de la centrale. Quelles sont les mesures adoptées pour empêcher les intrusions dans les centrales françaises ?

La visite d'un poste de simulation nous a permis de constater que le pilotage était très centralisé : il est effectué par quatre personnes. Que se passerait-il si l'une d'entre elles, dans un accès de démence ou dans d'autres circonstances, voulait prendre le contrôle de la centrale? Celle-ci n'est-elle pilotable que depuis ce poste de commande, ou bien peut-on reprendre le contrôle des réacteurs depuis un autre endroit ?

EDF a présenté, avec beaucoup de talent, les systèmes de secours et d'urgence prévus en cas d'accident, mais nous avons constaté à Fukushima que des causes communes pouvaient affecter simultanément plusieurs réacteurs appartenant à un même site. Or il y a six réacteurs à Gravelines – autant qu'à Fukushima Daiichi. Est-on sûr que les moyens matériels et humains disponibles permettraient de faire face simultanément à des situations accidentelles multiples affectant plusieurs réacteurs ?

L'accent a porté, à juste titre, sur le coeur du réacteur, où sont réunies les conditions les plus dangereuses en matière de température, de pression et de dégagement d'énergie, mais le point faible des centrales s'est peut-être déplacé, compte tenu des progrès réalisés en matière de protection du coeur, vers les piscines de refroidissement du combustible – on l'a bien vu à Fukushima. Ces piscines sont beaucoup moins bien protégées contre les agressions externes : même si elles ne se trouvent pas au-dessus du réacteur, comme au Japon, elles ne sont pas à l'intérieur de l'enceinte de confinement, et elles bénéficient, me semble-t-il, de moins de systèmes de protection. Que pouvez-vous nous dire du risque qu'elles présentent ?

À la suite de l'incident que vous évoquez – des clandestins ont été découverts à l'intérieur d'un camion –, des mesures supplémentaires de contrôle ont été mises en place : des portiques ont été installés et les forces de gendarmerie affectées à la protection des sites ont été renforcées. J'ajoute que les camions font l'objet d'inspections et que nous pratiquons des ruptures de charge : les camions sont déchargés à l'entrée des centrales, le matériel étant acheminé à l'intérieur des installations nucléaires par d'autres véhicules, en particulier lors des opérations d'arrêt de tranche pour maintenance.

S'agissant des salles de commande, dont vous avez visité une réplique exacte, il faut garder à l'esprit que la centrale est automatiquement mise à l'arrêt en cas de déviation de n'importe quel paramètre affectant la sûreté, ce qui vaut aussi bien pour des défaillances matérielles que pour des causes humaines. Un arrêt d'urgence du réacteur se produit ainsi en cas d'action inappropriée : une cinquantaine de cas sont enregistrés chaque année.

Dans l'hypothèse où la salle de commande ne serait plus habitable, un autre poste de pilotage, plus réduit mais permettant de contrôler la centrale, est installé ailleurs, en général à un autre étage du bâtiment électrique.

Il existe, en outre, une organisation nationale de crise qui est activée afin d'apporter des éléments d'analyse, de diagnostic et de pronostic supplémentaires en cas d'accident. De nombreux exercices sont réalisés chaque année dans ce cadre. Il s'agit de conseiller les opérateurs, voire de leur demander de réaliser telle ou telle action pour reprendre en mains la centrale. Il y a donc une redondance au plan humain.

Certaines causes communes de défaillance pouvant affecter plusieurs réacteurs d'un même site sont déjà prises en considération, mais nous avons tout de suite indiqué qu'il faudrait tirer des enseignements de Fukushima à cet égard. Ces situations seront traitées dans le cadre des stress tests et des réexamens auxquels nous allons procéder. Deux volets complémentaires sont prévus : d'une part, la mise en place de moyens matériels et humains supplémentaires sur les sites pour faire face à des accidents sur plusieurs réacteurs ; d'autre part, la mise à disposition de moyens nationaux, eux aussi matériels et humains, pour prendre le relais ou secourir un site, en particulier dans l'hypothèse où plusieurs réacteurs, voire tous les réacteurs, subiraient un accident.

La conception des piscines de stockage des combustibles usés prend en compte le même niveau d'aléas en matière de séismes et d'inondations que la conception des réacteurs. Ce qu'on appelle l'îlot nucléaire comprend non seulement le réacteur et son enceinte de confinement, mais aussi la piscine de stockage. L'ensemble doit satisfaire aux mêmes exigences de sûreté.

S'agissant des circuits de refroidissement des piscines, il existe là aussi une redondance : nous disposons de deux trains de refroidissement alors qu'un seul suffirait. Cela étant, la robustesse du système fait également l'objet d'un réexamen.

L'un des avantages de l'EPR, nous a-t-on expliqué, résiderait en ce qu'en cas de fusion, le coeur est récupéré : de l'eau stockée se déverse automatiquement pour le refroidir. Mais que devient la vapeur ainsi dégagée ?

Dans un premier temps, le système est passif ; ensuite se produit effectivement un dégagement de vapeur : il est alors nécessaire de déclencher l'aspersion pour faire baisser la pression et la température à l'intérieur du bâtiment. C'est la seconde phase, active.

Sous quel délai cette dernière doit-elle intervenir ?

Au bout d'une douzaine d'heures environ, ce qui n'est pas négligeable.

Les turbopompes, qui assurent la poursuite du refroidissement du coeur en cas de perte totale d'alimentation électrique, ne semblent pas avoir fonctionné à Fukushima car les vannes qui dévient la vapeur vers elles fonctionnent à l'électricité. Qu'en est-il pour les réacteurs français ?

Les filtres permettant de capturer la majeure partie du césium et une partie de l'iode existaient aussi à Fukushima, mais il n'a pas été possible de les utiliser pour le dégazage. Les circuits accueillant le gaz radioactif sont-ils redondants dans les centrales françaises ?

Enfin, je m'étonne que l'on n'ait guère évoqué les batteries de secours ultime. Où sont-elles placées ? Sont-elles redondantes ? Y en a-t-il dans chacun des quatre bâtiments réacteurs de l'EPR ? Quelle est leur autonomie ?

À Fukushima, les tranches 2 et 3 comprennent en effet des turbopompes, qui se sont arrêtées lorsque les réserves des batteries ont été épuisées. Les turbopompes qui existent dans nos installations n'ont pas exactement le même rôle, même si le fonctionnement est similaire, notamment en ce qui concerne l'alimentation de secours par les générateurs de vapeur. Suite à des retours d'expérience relatifs à des incidents antérieurs, un petit turbogénérateur supplémentaire a été mis en place ; il fonctionne à la vapeur mais fabrique de l'électricité pour alimenter le contrôle commande en secours.

Les filtres d'éventage de la centrale de Fukushima ne sont pas, à ma connaissance, de même type que ceux qui sont utilisés dans les centrales françaises ; surtout, les éventages n'y ont pas été réalisés avec les vannes prévues à cet effet, car il n'a pas été possible d'actionner leurs systèmes de commande en temps voulu. Il est donc essentiel de s'assurer que ces dispositifs peuvent fonctionner avec le contrôle commande – air comprimé ou électricité – qui convient ; d'où l'utilité des petits générateurs supplémentaires, à vapeur, que j'évoquais.

L'implantation des batteries obéit à la même loi de redondance que les autres systèmes de protection : il y en a deux trains dans les systèmes d'ordre 2 et quatre pour l'EPR. Elles sont en général installées dans des étages élevés pour ne pas être exposées à une inondation, que celle-ci soit d'origine interne ou externe.

L'EPR contient un jeu indépendant de batteries supplémentaires, dites « batteries accident grave ». Dotées d'une autonomie d'une douzaine d'heures, elles permettraient, pendant cette durée, d'alimenter le contrôle commande en électricité et d'assurer un éclairage ainsi qu'un peu de ventilation, donnant ainsi le temps de ramener des moyens mobiles.

Certains hackers ont réussi à pénétrer des systèmes informatiques sensibles, comme ceux de ministères de la défense. Est-il déjà arrivé que des virus ou des chevaux de Troie s'infiltrent dans des systèmes de contrôle commande de réacteurs ? Développez-vous vos propres systèmes de sécurité informatique, ou utilisez-vous ceux que l'on trouve sur le marché ?

Un capteur défaillant peut envoyer un signal d'anomalie. Est-ce suffisant pour déclencher les mesures de sécurité, ou bien faut-il qu'une majorité de capteurs détectent l'anomalie ?

S'agissant des virus informatiques, l'architecture est conçue selon un système de défense en profondeur. Le noyau dur des systèmes de contrôle commande industriels est totalement isolé, il est donc physiquement impossible qu'un virus y pénètre venant de l'extérieur de la centrale. Les virus auxquels nous avons dû faire face n'ont, pour cette raison, affecté que les systèmes tertiaires – de gestion.

Les systèmes de protection font l'objet d'une redondance d'ordre 4. Ainsi quatre capteurs mesurent en permanence la pression dans le circuit primaire. Ces mesures sont comparées ; on considère que la valeur donnée signale un défaut si la moitié des capteurs, voire davantage, donnent simultanément une information anormale. La fiabilité de l'architecture est calculée, dans le cadre d'études probabilistes de sûreté, à partir des mesures de fiabilité des capteurs, compte tenu de la redondance.

Messieurs, je vous remercie.

Cette seconde session a pour objet de mettre en valeur les efforts de recherche qui sous-tendent les progrès permanents de la sûreté des dispositifs de défense en profondeur : nos visites à Nogent-sur-Seine, Gravelines ou Flamanville ont permis de le constater.

Ces efforts de recherche concernent les matériaux des équipements sous pression, les logiciels de commande, les bétons, mais aussi les moyens de surveillance et de mesure, l'opérateur japonais Tepco s'étant trouvé, après le séisme et le tsunami, presque aussi aveugle sur la situation à l'intérieur de ses installations que l'exploitant américain de la centrale de Three Mile Island en 1979.

Nos intervenants vont nous apporter différents éclairages sur ces recherches, soit pour en présenter les différents axes, soit, plus ponctuellement, pour évoquer en détail l'intérêt de certaines innovations.

Les études du CEA en recherche et développement sont, dans une assez large mesure, menées soit en collaboration avec EDF, Areva ou l'IRSN, soit via des partenariats internationaux, comme le projet SERENA de l'OCDE.

J'évoquerai la nature de chacun des problèmes soulevés, les acquis dont nous disposons pour les résoudre et ce qui reste à faire. Le CEA consacre environ 24 millions d'euros par an à ces études.

On distingue les accidents de dimensionnement – accidents de perte de réfrigérant primaire, dont Fukushima offre un exemple, et accidents de réactivité – et les accidents hors dimensionnement : problèmes liés à la création et au comportement de l'hydrogène dans les enceintes de grande taille ; rupture des gaines de combustible – relâchement et transport des produits de fission – ; enfin, création et comportement du corium, combustible fondu qui interagit avec la cuve du réacteur, l'eau et le béton.

S'agissant des pertes de réfrigérant primaire, la température de la gaine augmente en même temps que diminue la pression à l'intérieur de la cuve du réacteur. La pression interne à la gaine varie, selon le temps que celle-ci a passé dans le coeur du réacteur, de 95 à 140 bars. Lorsque la gaine éclate, la température diminue, ce qui provoque une décharge des accumulateurs, d'où une lente remontée de la pression jusqu'à une injection de sécurité de moyenne pression, aux alentours de 40 bars. Le problème posé est celui de la capacité à refroidir le coeur après une rupture complète de la tuyauterie principale de la boucle primaire et la tenue mécanique des gaines des crayons de combustible. Nous savons modéliser le ballonnement et la rupture de gaine du combustible, et son comportement après renoyage du coeur, dans la mesure où les gaines de combustible subissent aussi des changements métallurgiques. Il nous reste à opérer une modélisation en trois dimensions de la gaine de combustible – chaque partie de celle-ci n'étant pas symétrique aux autres – qui prenne en compte les interactions mécaniques éventuelles entre les crayons de combustible.

Les accidents de réactivité peuvent se produire lors de l'éjection d'une barre de contrôle, éjection qui démultiplie, en quelques dizaines de millisecondes, le nombre de neutrons. La température du combustible augmente alors très fortement, et des produits de fission sont produits en grande quantité à l'intérieur de la gaine. Ces produits auront tendance à pousser les pastilles de combustible vers la gaine, produisant une interaction mécanique très forte. Nous travaillons à ce problème au sein de l'installation CABRI en cours de construction à Cadarache, afin de définir les critères de tenue du combustible lors d'un tel événement. Lorsque le programme international CABRI sera opérationnel, il nous faudra étudier le comportement du combustible après ballonnement et rupture, et pourquoi pas envisager de nouveaux matériaux pour les gaines et les combustibles.

J'évoquerai le comportement de l'hydrogène dans un grand volume. Dans le cadre des analyses que nous avons menées sur l'accident de Fukushima, nous nous sommes rendu compte qu'il était nécessaire d'améliorer les outils permettant de mesurer la quantité d'hydrogène créée, soit par oxydation des gaines de combustible, soit, sur le plus long terme, par interaction des rayonnements avec l'eau, autrement dit la radiolyse. Le problème est l'inflammabilité et le risque d'explosion. Selon le diagramme de Shapiro, lorsque la concentration d'hydrogène est comprise entre 4 et 75 % en volume dans l'air, il y a un risque d'explosion. Il s'agit dès lors de savoir comment l'hydrogène se détend dans l'enceinte, et comment il se mélange avec l'oxygène. Il convient donc de modéliser les processus de développement de l'explosion, de travailler à la gestion de l'atmosphère gazeuse de l'enceinte par la mesure et la modélisation – c'est toute la question des recombineurs d'hydrogène –, ainsi qu'à l'impact mécanique des explosions sur les structures. Ces points sont étudiés dans le cadre du projet international OCDE et du projet européen ERCOSAM, qui doit s'achever fin 2013 : il s'agit d'un bidon d'une centaine de mètres cube, installé à Saclay, dans lequel sont effectuées des mesures de distribution d'hydrogène.

S'agissant de la rupture des gaines de combustible, le problème posé, on l'a souvent évoqué lors de l'accident de Fukushima, est le relâchement et le transport des produits de fission en cas de rupture ou de fusion partielle ou totale des gaines combustibles du réacteur. Nous avons de bonnes connaissances pour le combustible UO2 actuel ; il nous semble en revanche nécessaire de compléter les études sur d'autres types de combustible, comme le MOX, et d'étudier les phénomènes de dépôt et de revolatilisation : c'est le cas, par exemple, lorsqu'un produit de fission se dépose dans un endroit froid à l'origine, mais qui chauffe pendant l'accident, ou lors des entrées d'air dans les circuits. Il faut aussi améliorer la simulation du transport des produits de fission et étudier l'impact des conditions de renoyage du coeur. Dans cette optique, le programme international VERDON – qui regroupe EDF, GDF-Suez, la Nuclear regulatory commission (NRC) et l'IRSN – est destiné à simuler le comportement d'une gaine de combustible.

Mon dernier point concerne le corium créé en cuve consécutivement à la fusion des crayons de combustible. La première question concerne le comportement du corium et les flux de chaleur qu'il peut transmettre à la cuve du réacteur. Par ailleurs, si le corium interagit avec de l'eau, des matelas de vapeur se forment, ce qui, pour des raisons encore mal définies, peut entraîner une explosion très forte. Concernant, enfin, l'interaction du corium avec le béton, elle varie très sensiblement selon les types de béton.

Nous comprenons désormais les phénomènes de dégradation du combustible et des structures, la progression du corium en cuve et hors cuve – malgré quelques points d'interrogation –, et la physique relative à l'érosion thermique du béton du radier et de l'explosion vapeur. Beaucoup reste à faire, en revanche, sur le renoyage et la « refroissabilité » des lits de débris et du corium, la rétention du corium en cuve par refroidissement externe de celle-ci, l'étude des systèmes de « mitigation » au regard du risque de percement du radier et la modélisation des conséquences mécaniques de l'explosion vapeur sur les structures.

La recherche fait partie des missions de l'IRSN ; elle contribue à ses activités d'expertise, ainsi qu'au développement des outils – notamment de simulation numérique – et des compétences. La R&D mobilise, à l'Institut, l'équivalent de 280 personnes à plein-temps, pour un budget annuel de l'ordre de 90 millions d'euros. Mon exposé se limitera aux réacteurs sous pression, secteur auquel nous consacrons l'essentiel de ce budget.

La recherche en matière de sûreté se décline en projets et actions, et s'inscrit dans un plan à moyen et long terme qui intègre l'ensemble des activités de l'Institut. Elle fait l'objet d'évaluations internes et externes, via le Comité de l'orientation de la recherche et le conseil scientifique de l'IRSN ou l'Agence d'évaluation de la recherche et de l'enseignement supérieur (AERES). Les recherches nécessaires à nos travaux d'expertise couvrant un spectre relativement large, on conçoit que l'Institut ne puisse les assurer seul : elles s'inscrivent dans une logique de concertation et de complémentarité au niveau international. Reste que l'IRSN effectue lui-même une grande partie de ces travaux, notamment dans le domaine des accidents graves.

Le premier enjeu concerne la prévention des accidents. En ce domaine, les recherches de l'IRSN sont essentiellement consacrées au vieillissement des composants – à travers l'étude de la phénoménologie de la dégradation des matériels –, aux nouvelles technologies – fiabilité des logiciels et des composants électriques « électro-programmés » –, ainsi qu'aux facteurs humains et organisationnels – analyse de la liste des incidents déclarés et recherches ciblées, par exemple, sur l'impact de la sous-traitance.

Second enjeu : vérifier l'aptitude des systèmes de sécurité à maîtriser les conséquences d'un accident et, dans une logique de défense en profondeur, définir les mesures à mettre en oeuvre pour en limiter les conséquences, voire protéger les populations. Nos principaux programmes ont trait aux agressions industrielles et naturelles, au comportement du combustible en situation accidentelle et aux accidents de fusion du coeur.

Les études relatives aux agressions industrielles et naturelles portent sur trois thématiques : les risques de séisme, d'inondation et d'incendie. En ce qui concerne ces derniers, l'IRSN dispose de moyens uniques au monde avec la plateforme Galaxie, initialement construite, dans les années soixante-dix, pour l'étude des feux de sodium : elle comprend des caissons en béton ou en acier de 20 à 400 mètres cube, et une maquette configurable d'installation industrielle.

Ces programmes visent la tenue des équipements importants pour la sûreté et le confinement des radionucléides ; les principales recherches portent sur la caractérisation des agressions. Les résultats expérimentaux permettent de valider deux outils de simulation numérique développés en interne et utilisés par l'expertise. Les principaux programmes font l'objet de larges collaborations internationales, à l'instar des programmes « Prisme » qui, menés sous l'égide de l'OCDE, associent une douzaine de pays.

Les recherches sur le combustible en situation accidentelle se justifient à double titre : en premier lieu, les accidents peuvent entraîner une fuite de produits radioactifs dans l'environnement ; par ailleurs, le combustible étant en perpétuelle évolution – qu'il s'agisse des pastilles, des gainages ou des conditions d'exploitation –, il est nécessaire d'étudier l'impact potentiel sur la sûreté. Les enjeux sont, d'une part, le confinement des radionucléides dans la matrice combustible et son gainage, et, de l'autre, la maîtrise du refroidissement du combustible. Quant aux principaux thèmes de recherche associés, ils concernent les accidents de perte de réfrigérant et les accidents d'excursion de puissance ; en d'autres termes, des accidents à l'origine de conséquences plus graves, comme celles observées à Three Mile Island, Fukushima et Tchernobyl. L'IRSN développe deux grands programmes : le programme Cabri-CIP, sous l'égide de l'OCDE, est consacré aux accidents de réactivité, et le programme Cyclades, aux accidents de perte de réfrigérant.

Le principal outil expérimental de l'Institut est le réacteur CABRI, exploité par le CEA. Les expérimentations réalisées avec des matériaux réels sont complétées par d'autres, plus analytiques, menées, soit au sein de nos laboratoires de thermomécanique et d'analyse métallurgique, soit, pour les examens en laboratoire chaud, au CEA.

La simulation numérique est un volet important de nos recherches. Le logiciel SCANAIR réalise des simulations d'accidents de réactivité et le logiciel DRACCAR, des simulations d'accidents de perte de réfrigérant.

Quant à la problématique des accidents de fusion de coeur, elle fait l'objet de recherches depuis plus de vingt-cinq ans. Ses enjeux concernent la limitation de la progression de l'accident, le confinement des radionucléides dans l'enceinte et la définition des mesures de protection des populations. Les principaux thèmes de recherche sont le refroidissement d'un coeur dégradé, l'attaque du radier par le coeur fondu et son refroidissement, les sollicitations dynamiques résultant par exemple d'une explosion d'hydrogène et le transfert des radionucléides du combustible à l'environnement.

L'IRSN développe plusieurs grands programmes : le programme PHÉBUS-FP, unique au monde, a commencé en 1993, et les résultats du cinquième et dernier essai ont été publiés fin 2010 ; le programme International source term, dit ISTP, vise à résoudre les problèmes soulevés par les cinq essais du programme PHÉBUS-FP, notamment le comportement de l'iode radioactif dans les circuits et dans l'enceinte de confinement ; le programme Source term and mitigation (STEM), lancé sous l'égide de l'OCDE, a trait à la limitation des rejets lors d'un accident de fusion de coeur – notamment pour les réacteurs de deuxième génération – ; le programme SARNET, enfin, consiste dans la coordination, par l'IRSN, d'un réseau d'excellence rassemblant quarante-deux organismes et plus de deux cents chercheurs.

Les outils expérimentaux sont, d'une part, le réacteur PHÉBUS – ou du moins sa base de données puisque, depuis 2007, il est progressivement démantelé – et, de l'autre, les outils de calcul, tel le logiciel Astec, qui fait l'objet d'une collaboration avec notre homologue allemand Gesellschaft für anlagen und reaktorsicherheit (GRS). Ce logiciel, pour lequel d'importants investissements ont été réalisés, est capable de simuler l'intégralité d'un accident – à l'exception de l'interaction explosive entre le corium et l'eau, qui fait l'objet d'autres études. Plus d'une vingtaine d'organismes étrangers utilisent aujourd'hui ce logiciel, qui est devenu la référence européenne au sein du réseau SARNET.

Les points forts de ces différents programmes ont été relevés par l'AERES lors de l'évaluation de la recherche en sûreté des réacteurs effectuée il y a moins d'un an : une recherche finalisée, renforcée par des travaux en amont avec des laboratoires universitaires – une demi-douzaine ont ainsi été créés, récemment, en partenariat avec le CNRS – et permettant des expertises scientifiquement étayées ; des partenariats internationaux forts et un leadership mondial sur certaines thématiques ; des outils expérimentaux et logiciels pour la plupart uniques et fédérateurs ; enfin, une recherche pluridisciplinaire, attractive, mobilisant des équipes de chercheurs réactives.

La fragilité de cette recherche est son coût, notamment lorsque les expérimentations nécessitent l'utilisation de combustibles irradiés. Le risque est donc l'abandon prématuré de certains sujets de recherche.

Bien que toutes les leçons de l'accident de Fukushima ne soient pas encore tirées, elles confirment le bien-fondé de certaines pistes auxquelles l'IRSN travaillait déjà : consolider les connaissances sur le déroulement des accidents de fusion de coeur et de dénoyage de piscines ; acquérir des connaissances sur les mécanismes et dispositions qui permettraient d'arrêter la progression de l'accident et de limiter les rejets dans l'environnement ; enfin, compléter, dans une logique de défense en profondeur, nos connaissances du comportement du combustible en situation accidentelle. Ce dernier point est d'importance puisqu'il concerne le refroidissement et la maîtrise de la réaction de fission, actions indispensables pour éviter la fusion du coeur.

Je vous remercie de nous donner cette occasion de présenter nos techniques de surveillance par fibre optique.

LMP est une société d'ingénierie spécialisée dans la recherche, la fabrication et l'installation d'instruments de mesure et de contrôle en différents domaines : stabilité de structures en génie civil, contraintes auxquelles sont soumis certains édifices, constructions industrielles et systèmes mécaniques. Mes collègues Pierre Ferdinand, directeur de recherche au CEA, et Jean-Claude Da Rocha, responsable de la recherche et développement chez ACOME, travaillent à nos côtés.

ACOME est une société coopérative, participative et industrielle de 1 200 employés, située dans la Manche, à quelques kilomètres de Flamanville. Créée en 1932, elle s'est imposée en Europe dans quatre secteurs : l'automobile, le bâtiment, l'énergie dans l'industrie et les transports, et les télécommunications. Elle conçoit et commercialise des tubes en matériaux de synthèse et des câbles à base de cuivre et de fibre optique – elle est, pour cette gamme de produits, le premier fournisseur de France Télécom.

Afin de rester un leader innovant et à l'écoute de ses clients, ACOME mobilise 10 % de ses effectifs et consacre environ 5 % de son chiffre d'affaires annuel en recherche et développement ; l'entreprise est ainsi mobilisée depuis cinq ans aux côtés de la société LMP et du CEA dans la conception de capteurs à fibre optique. Nous sommes entrés dans la phase industrielle puisque, depuis le début de l'année, nous développons une nouvelle génération de capteurs qui, ayant une portée de plusieurs kilomètres, sont adaptés à la protection des bâtiments réacteurs. M. Pierre Ferdinand est à l'origine de notre partenariat technologique.

Mon exposé portera sur l'apport des capteurs à fibre optique dans l'amélioration de la sûreté des installations nucléaires.

Le point commun entre l'éruption du Vésuve en 79 après Jésus-Christ et la catastrophe de Fukushima est le manque d'informations : les habitants de Pompéi ne savaient que faire et, dix-huit jours après le tsunami, l'opérateur Tepco ignorait toujours ce qui se passait dans ses réacteurs. – ce qui avait conduit l'Autorité de sûreté nucléaire française (ASN), à déclarer que ses informations étaient « partielles et incomplètes ». Sans préjuger l'avenir, il est probable que l'ASN accroîtra ses exigences en matière de sûreté, au moins pour les réacteurs du futur, qu'il s'agisse de la fiabilité et de la redondance des moyens de mesure ou des instrumentations.

Les apports des mesures par fibre optique pour la sûreté nucléaire sont divers : en situation normale, ces capteurs assurent la surveillance thermomécanique de l'enceinte de confinement, la surveillance thermique des piscines ou des conduites de vapeur ; en situation accidentelle ou post-accidentelle, ils permettent la détection du percement de la cuve du réacteur, le suivi de l'avancée du corium, la surveillance thermomécanique de l'enceinte de confinement, la surveillance thermique des piscines, des conduites de vapeur et autres circuits primaires, la détection d'incendie dans le bâtiment ou la surveillance radiologique de l'enceinte par dosimétrie.

La fibre optique présente, pour les capteurs, de multiples avantages : de petit diamètre, son intrusivité est faible ; elle est également dotée d'une immunité électromagnétique ; elle autorise un déport de plusieurs kilomètres du système de mesure ; elle offre une bonne tenue en milieu hostile ; enfin, compte tenu du volume de production pour le marché des télécommunications, son coût est faible.

Par ailleurs, elle améliore les performances de l'instrument de mesure, lui permet d'adresser plusieurs paramètres de mesure simultanément et autorise le multiplexage d'un grand nombre de capteurs. Elle intéresse donc tout particulièrement la surveillance, la sécurité et la sûreté des matériaux et des structures.

La méthode classique de mesure distribuée consiste à relier de multiples capteurs par des fils dont le déploiement rend plus complexe la gestion des données. Or, une seule fibre optique permet de remplacer un très grand nombre de capteurs : on peut donc relier quelques fibres à un instrument de mesure lui-même contrôlé à distance et situé hors de toute zone de danger.

Un réseau de capteurs à fibre optique utilise la technique de la « réflectométrie », équivalent du radar optique inventé par les Anglais au cours de la Seconde Guerre mondiale : le temps mis par un signal pour effectuer l'aller-retour vers une cible permet de calculer la distance entre celle-ci et le radar. Dans le cas présent, l'impulsion se propage dans la fibre optique et, en rencontrant des molécules de silice, génère une réflexion. On analyse alors les échos. On pourrait ainsi, par exemple, mesurer la température, mètre par mètre, d'une fibre déployée sur un circuit de trente kilomètres.

Les performances métrologiques sont élevées – 1°C ; 1 mètre en localisation – ; de surcroît, les fibres optiques peuvent endurer des doses de rayonnement importantes, et permettent d'assurer les mesures même en cas de panne d'électricité, puisque le système de mesure est déporté.

S'agissant du percement de la cuve et du suivi du corium, la problématique post-accidentelle est la surveillance à distance du radier, afin de déterminer une stratégie visant à assurer un fonctionnement même dégradé en cas de perte d'énergie électrique. Les nécessités sont donc de déporter l'instrument de mesure, et d'assurer un fonctionnement sans alimentation ainsi que la redondance, aussi bien des points de mesure que des câbles, en prévision d'une éventuelle destruction de l'installation.

Nous proposons, pour ce faire, une interrogation déportée par réflectométrie, ainsi qu'un maillage sous le réacteur, au niveau du radier, de câbles optiques sensibles à la température ou aux déformations. La redondance, quant à elle, est assurée par plusieurs fibres, et éventuellement par plusieurs sorties hors du bâtiment réacteur afin d'interroger les fibres par un chemin ou un autre en cas de destruction partielle. Ce dispositif permettrait une information en temps réel sur l'avancée du corium, l'état du radier et sa température, soit l'intégrité de la sous-couche réfractaire de zircone et la cinétique de refroidissement du corium. Il peut être installé, bien entendu, dans les bâtiments actuels aussi bien que dans l'EPR.

Ces technologies peuvent avoir d'autres applications, telles que la surveillance des conduites de vapeur, de la piscine du combustible usagé ou la détection d'incendie dans le bâtiment réacteur.

J'en viens à la surveillance de l'étanchéité de l'enceinte de confinement. Le Groupe permanent chargé des réacteurs nucléaires (GPR) avait proposé, il y a une dizaine d'années, que la paroi interne du bâtiment réacteur soit équipée d'une instrumentation adéquate afin de suivre avec précision la perte de précontrainte au cours du temps. En 2007, EDF avait rédigé un cahier des charges pour équiper Flamanville en ce sens, mais j'ignore où en est le projet : de fait, à l'époque, les câbles optiques sensibles nécessaires à sa réalisation n'étaient pas disponibles. En tout état de cause, nous proposons un câble utilisant trois fibres optiques, qui permettrait une mesure simultanée des tractions, des compressions, des températures, des courbures et des plans de courbure ; une fois relié à un bâtiment, il permet de mesurer son comportement à une grande distance. Le système d'interrogation s'appelle le réflectomètre Brillouin.

La dosimétrie à fibres optiques par technique dite OSL – Optically stimulated luminescence – consiste à placer un cristal en bout de fibre, lequel a la propriété, lorsqu'il est traversé par un rayonnement gamma, de piéger des électrons de manière définitive. Lorsque l'on éclaire le cristal avec la fibre optique, on « dépiège » l'électron, ce qui crée une luminescence que l'on peut alors capturer. L'intensité de la luminescence est proportionnelle au nombre d'électrons créés, ce nombre étant lui-même proportionnel aux photons gammas, de sorte que la mesure de la luminescence donne la mesure de la dose. On remet le niveau à zéro en vidant les pièges.

Cette technique permet donc de réaliser des mesures déportées de doses ou de débit de doses, avec une interrogation séquentielle, et ce sans alimentation. Elle présente également une bonne tenue aux radiations, sa cadence de mesure est ajustable, et les gammes de doses sont comprises entre 1 milligray et 10 grays. La remise à zéro séquentielle permet de mesurer des doses cumulées très importantes. Nous avons développé deux générations d'appareils : des systèmes à courte et à longue portée.

Les applications peuvent être le suivi multipoint dans le bâtiment réacteur et la surveillance des filtres de relâchement.

L'expertise du CEA en ce domaine concerne les transferts au profit du CEA-DEN et d'Areva NC – Nuclear cycle – à Marcoule, les applications diverses dans le démantèlement et la radioprotection, en particulier pour la surveillance de patients atteints du cancer.

En vingt-cinq ans, une sélection darwinienne s'est opérée dans le domaine de la fibre optique : les techniques les plus efficaces perdurent – réflectométrie, DTS Raman, système Brillouin ou techniques OSL – et sont déjà utilisées par l'industrie du pétrole et du gaz, pour la surveillance des tunnels ou encore par le génie civil.

Du point de vue de la demande, nous pensons que les applications pour la sûreté du nucléaire civil sont réelles. Installer ces technologies dans les bâtiments réacteurs nous semble donc souhaitable, d'autant que le surcoût est négligeable en comparaison du coût d'un accident majeur.

Grâce à ses spécificités, la métrologie peut améliorer la sûreté des tranches nucléaires : en fonctionnement opérationnel normal, la résilience des fibres peut être mise à profit ; en conditions post-accidentelles, le déport permet une transmission à distance, alors qu'aucune instrumentation traditionnelle ne peut fonctionner sans alimentation électrique.

LMP Ingénierie, qui est le chef de file de notre partenariat, assure le déploiement industriel ; ACOME fabrique et fournit les câbles sensibles ; quant au CEA LIST – Laboratoire d'intégration des systèmes et des technologies –, il est chargé de la recherche et développement.

M. Paul Acker, directeur scientifique du Groupe Lafarge, et Mme Laurence Jacques, directrice Ductal, vont maintenant nous présenter l'état de la recherche sur les technologies du béton pour les besoins de l'industrie nucléaire, particulièrement les résultats d'ores et déjà démontrés dans les situations extrêmes, l'importance d'un contrôle rigoureux des matériaux et le problème sensible de leur vieillissement.

Le matériau béton a enregistré une véritable révolution ces deux dernières décennies, les sauts technologiques ayant porté à la fois sur les propriétés mécaniques – celles qui interviennent dans la résistance au séisme, au feu, aux chocs – et sur les propriétés physiques, essentiellement la durabilité. Dans ce contexte, Lafarge est le leader mondial des matériaux de construction : elle est numéro 1 du ciment et des granulats et numéro 3 du béton et du plâtre. Peut-être convient-il d'ailleurs de rappeler que le ciment n'est pas un matériau, mais une poudre avec laquelle on fabrique du béton, celui-ci étant composé d'eau, de sable, de cailloux et de ciment, ce dernier réagissant chimiquement avec l'eau pour former une sorte de colle. Aujourd'hui, les bétons sont beaucoup plus high tech, avec parfois douze voire dix-huit constituants. Lafarge est également un centre de R&D car le Groupe fonde sa stratégie sur l'innovation. C'est là un outil unique au monde dans le domaine des matériaux de construction puisque c'est le seul qui réunisse toutes les disciplines de la science des matériaux. Notre présence, enfin, est répartie sur tous les continents, particulièrement en Inde, mais aussi en Chine où se situe la première business unit du Groupe.

Le béton représente aujourd'hui 30 milliards de tonnes par an. Non seulement c'est de très loin le matériau le plus utilisé sur la planète – après l'eau, bien sûr –, mais il est en pleine croissance et l'on peut tabler, avec l'accroissement de la population, sur une augmentation d'encore 50 % dans les deux décennies qui viennent. Aucun autre matériau n'est capable de fournir à la construction ne serait-ce que 0,5 milliard de tonne : il n'existe donc pas de matériau alternatif pour répondre aux besoins de la population mondiale en logements décents. Il ne pose en outre aucun problème de disponibilité : pour faire du ciment, il suffit d'avoir du calcaire et de l'argile, deux matières premières que l'on trouve partout en quantité quasiment illimitée, de même que le sable, les cailloux et l'eau, à la différence de tous les autres matériaux – bois, acier, etc. Il présente également un excellent bilan environnemental en termes de mètre carré de plancher, par exemple – il est même très souvent le meilleur sur le plan de l'unité fonctionnelle.

Après une évolution très lente au cours du XXe siècle de la performance mécanique jusque dans les années 1980, liée notamment au simple déploiement des bonnes pratiques et à la normalisation, l'approche scientifique de la formulation des bétons s'est ensuite accélérée. C'est ainsi que, depuis la construction du pont de l'île de Ré par Bouygues en 1987-1988 – premier ouvrage au monde utilisant des bétons de haute performance, en l'occurrence 80 mégapascals, soit une résistance deux à trois supérieure à celle d'un béton ordinaire –, toutes les grandes entreprises ont suivi. C'est ainsi qu'aujourd'hui, avec une résistance de 200 mégapascals accessible industriellement, ce matériau a été utilisé pour les structures internes des aéroréfrigérants de la centrale nucléaire de Cattenom : alors qu'il y connaît les pires conditions que l'on puisse imaginer en termes de fluctuation de température et d'humidité, il ne montre absolument aucun vieillissement visible.

En même temps que l'on construisait le pont de l'île de Ré, ce matériau était, pour la première fois concernant un grand ouvrage de génie civil, dimensionné en termes de durée de vie. Je veux parler du tunnel sous la Manche qui, commandité par un groupement de banques sur la base d'un montage financier de 120 ans, nécessitait d'ajouter au cahier des charges du matériau une durée de vie équivalente. Pour autant, bien que les normes en la matière soient aujourd'hui bien établies, ce matériau ne concerne que les grands ouvrages et non le simple bâtiment alors que sa prise en compte entraînerait une amélioration significative, rapide, efficace et non coûteuse de l'ensemble du patrimoine bâti.

Le béton Ductal est le résultat d'une combinaison de performances physiques et mécaniques. Sa résistance en compression est 8 à 10 fois supérieure à celle d'un béton ordinaire, grâce simplement à l'utilisation de concepts scientifiques, la science ayant permis de multiplier par 5 ou même par 10 certaines propriétés physiques avec les mêmes constituants. Si, dans les années cinquante, les 200 mégapascals avaient pu être obtenus en laboratoire mais pas à l'échelle industrielle, cela tenait à ce que l'on appelle la robustesse en milieu industriel : c'est parce que vous disposez des lois scientifiques que vous pouvez régler la fluctuation des matières premières et donc la régularité des propriétés de votre produit à l'échelle industrielle.

Aujourd'hui, le matériau béton est celui qui est le plus utilisé. Tous les mécanismes de dégradation – 17 – sont répertoriés. Ils sont traités par des normes qui font l'objet de travaux avec des scientifiques et sont discutés chaque année lors de congrès scientifiques. Les trois derniers grands séismes au Japon ont montré l'efficacité d'un tel système de normes : tout ce qui a été construit après 1987, année de mise en application de leurs normes parasismiques, est debout à pratiquement 99 %, alors que tout ce qui a été construit avant est détruit. En outre, le béton présente l'énorme avantage d'avoir une très grande universalité, ce qui permet de constituer un référentiel technique et d'élargir la puissance d'analyse en croisant les référentiels entre les différents pays. Bien sûr, le contrat intègre les valeurs clés des calculs – sans oublier l'importance du contrôle.

Lorsque l'on fait l'analyse des grands accidents, la faute ne peut jamais être attribuée à la partie technique. Pour que le système fonctionne, il faut d'abord une gouvernance, notamment une indépendance entre maîtrise d'oeuvre et maîtrise d'ouvrage, ainsi que nous l'ont fait remarquer des collègues anglo-saxons à la suite de l'effondrement du terminal 2E à Roissy.

Il faut ensuite une analyse des risques. Dans l'incendie du TransManche, l'erreur a été de ne pas voir que deux risques pouvaient être couplés : à un incendie de wagon, situation dans laquelle la consigne est de sortir du tunnel, s'est ajouté un problème de vérin où il est alors conseillé de s'arrêter pour détacher ce dernier.

Il faut par ailleurs une définition du cahier des charges : si les Twin Towers avaient été dimensionnées pour une résistance au feu d'une heure – l'une s'est d'ailleurs effondrée après 58 minutes, l'autre après 1 heure 10 –, on sait aujourd'hui qu'une heure est un délai beaucoup trop court pour évacuer de tels bâtiments.

Il faut aussi un contrôle rigoureux. Pour prendre l'exemple de la Turquie, ce pays pourtant évolué avec des universitaires et des ingénieurs de très haut niveau n'arrive pas à résoudre ses problèmes de séisme faute de parvenir à créer un corps de contrôleurs de chantier, maillon pourtant essentiel dans le dispositif, à côté des normes, des mesures, des calculs, de l'ingénierie et du cahier des charges.

Enfin, il faut la transparence et la traçabilité de l'ensemble. Le génie civil est un domaine dans lequel on travaille au minimum à 6 ou 8 partenaires, chacun apportant sa compétence, ce qui pose pour les très grands ouvrages un problème de travail en équipe.

En conclusion, M. Javier Reig et M. Jean Gauvain vont nous apporter le point de vue de l'Agence de l'OCDE pour l'énergie nucléaire concernant l'apport de la coopération internationale en matière de R&D dans le domaine de la sûreté nucléaire, notamment celui de l'analyse, de la prévention et de la gestion des accidents.

En matière de R&D dans la sûreté, l'expertise de l'AEN, qui est en fait celle des trente pays membres de l'OCDE, aborde plus particulièrement deux domaines : celui de l'analyse, de la prévention et de la gestion des accidents, et celui des projets coopératifs de recherche en sûreté.

S'agissant du premier volet, les domaines étudiés portent sur l'évaluation du risque et la sûreté du combustible ainsi que sur la thermohydraulique, sur les accidents graves et sur le confinement, enfin sur la tenue des équipements et des structures. L'analyse repose à cet égard d'abord sur les rapports sur l'état de l'art (SOAR) – impliquant jusqu'à des dizaines d'experts pendant plusieurs années afin de mettre en commun l'expertise internationale dans un domaine spécifique pour en déduire les meilleures pratiques –, ensuite sur les exercices de comparaison internationaux (ISP) – réunissant également des experts pendant quelques années pour comparer les méthodes de calcul sur un problème donné afin de définir le meilleur modèle, libre à chaque pays d'utiliser celui-ci pour ses analyses de sûreté.

S'agissant des rapports sur l'état de l'art, des recommandations ont été faites pour améliorer l'analyse de sûreté concernant à la fois le combustible nucléaire, la thermohydraulique, les accidents graves et la tenue de l'enceinte de confinement. Il en va de même pour les exercices de comparaison qui ont conduit là encore à des recommandations pour améliorer l'analyse de sûreté, en particulier la meilleure manière de calculer un problème donné – fuite dans un circuit primaire, renoyage d'un assemblage après dénoyage, etc.

J'en viens au second volet, les projets de recherche en sûreté. D'une façon générale, il s'agit de la mise en commun de l'expertise internationale sur un sujet particulier, avec l'utilisation d'une installation expérimentale unique au monde aux fins d'obtenir entre experts un consensus sur le problème étudié – modélisation, application des résultats,... Sur le plan pratique, un pays hôte finance la moitié du projet aux côtés de 8 à 15 pays partenaires, cela pendant une durée fixe et avec un budget spécifique, les experts se réunissant régulièrement pour discuter des programmes et des objectifs des essais. Là encore, on retrouve les mêmes domaines étudiés : thermohydraulique accidentelle, comportement du combustible, accidents graves et intégrité des composants et des structures.

Sur trente ans, une trentaine de projets ont concerné notamment l'intégrité des composants – Projet PRISME de l'IRSN –, la thermohydraulique – projet SETH, qui concerne l'installation MISTRA –, la sûreté du combustible – projet CABRI –, l'enceinte de confinement – projets SETH et STEM – ou encore les accidents graves hors cuve – projet SERENA. Il s'agit, dans ce dernier cas, de l'explosion vapeur hors cuve, celle en cuve ayant fait l'objet d'un rapport sur l'état de l'art voilà trois ans, lequel a estimé que les risques et les conséquences sont maîtrisés par les dispositions en vigueur.

Concernant les projets de recherche en sûreté relatifs à la thermohydraulique du coeur, le premier remonte à plus de trente ans aux États-Unis. Le dernier est ROSA, pour lequel l'avant dernier essai a eu lieu comme prévu le 19 mai dernier en dépit d'un tremblement de terre et d'un tsunami, nos collègues japonais ayant été capables de maintenir leur recherche en l'état malgré l'adversité. Les principaux phénomènes étudiés dans les circuits ont trait à la dilution de bore ou encore au refroidissement de secours. Ces projets servent souvent de support à des programmes de comparaison de modélisation.

S'agissant des projets relatifs à la physique des accidents graves, je citerai à nouveau le programme CABRI, mais également celui sur les piscines de combustibles : lancé voilà deux ans aux États-Unis, il tend, à partir d'un réservoir dénoyé et d'assemblages chauffés, à étudier comment se comporte un incendie du combustible – simulé afin d'éviter de relâcher de la radioactivité –, à l'image de celui que l'on vient d'observer à Fukushima. D'autres projets concernent le problème du coeur fondu à l'intérieur du réacteur ou encore l'intégrité de la cuve. C'est ainsi qu'a eu lieu l'inspection de la cuve de Three Mile Island – je rappelle, pour ceux qui attendraient des résultats instantanés de Fukushima, qu'il a fallu sept ans entre le jour de l'accident et celui où l'on a pu retirer le combustible de la cuve...

Pour ce qui est, enfin, de la recherche sur le confinement des réacteurs, celle-ci porte à la fois sur la chimie – le comportement des produits de fission radioactifs, notamment l'iode qui est un produit très volatil – et sur la tenue du confinement.

En résumé, les projets OCDE sont une référence internationale qu'il s'agisse du développement et de la validation des modèles pour les accidents, de la comparaison des codes de calculs des pays ou de l'amélioration de la gestion de l'accident. Outre les projets OCDE, certains pays confient à cette dernière leurs archives, ce qui nous permet de disposer d'une grande bibliothèque de données à la disposition des pays membres.

En conclusion, les projets fédérés par l'AEN permettent une amélioration de la compréhension des situations accidentelles complexes en coordonnant l'expertise et la recherche internationale, une promotion des meilleurs outils et pratiques afin d'obtenir des approches comparables entre les pays – chacun étant libre de choisir son approche – et une mise en oeuvre des leçons apprises facilitée par les synthèses de l'AEN.

Avant d'ouvrir la phase des questions, qu'il me soit permis de m'interroger sur la remarque de M. Micaelli, qui soulignait que la faiblesse de la R&D était son coût : l'excursion de puissance du projet CABRI dont il a fait état n'était-elle pas plutôt financière ?...

Le problème avec la recherche en matière nucléaire tient au mélange entre le réel et le simulé. J'avais pourtant appris jadis qu'était scientifique une expérience reproductible en réel. Or, s'agissant par exemple de fusion de coeur, on ne procède qu'à une comparaison entre les méthodes de simulation. Certes, M. Gauvain a parlé d'une « installation expérimentale unique au monde », mais s'il ne s'agit que de comparer des programmes informatiques, permettez-moi d'être inquiet. La différence, d'une certaine manière, est la même qu'entre un jeu vidéo et la guerre réelle.

Les approches peuvent être soit réelles – et nous procédons à des expérimentations réelles –, soit fondées sur des codes. Ces derniers, pour ce qui nous concerne, décrivent chacun un phénomène physique donné que nous validons de manière unitaire par l'expérimentation. Tous ces codes sont ensuite rassemblés pour élaborer un outil de calcul permettant de prédire ce qui se passera dans tel ou tel cas de figure. Le seul problème est donc de bien intégrer à la base l'ensemble des phénomènes physiques – ce qui est généralement le cas. Mais il est vrai que pour le corium, par exemple, les expérimentations sont simulées – on ne fait pas fondre un coeur, mais de l'uranium métal

Lorsque de l'hydrogène se forme, est-ce dû à la température élevée qui entraîne une brisure de la molécule d'eau ou à l'oxydation des gaines de combustible ? Dans ce dernier cas, existe-t-il d'autres types de gaines qui généreraient moins d'hydrogène par oxydation ?

Hormis l'iode et le césium, a-t-on retrouvé du plutonium dans l'air ou dans l'eau à Fukushima du fait de la présence de combustible MOX dans le réacteur n° 4 – des scientifiques japonais ont déclaré à ce sujet que Tepco et le gouvernement de leur pays avaient menti ? L' « excursion de puissance » n'est-elle pas plus rapide avec le MOX qu'avec un combustible classique ?

S'agissant du laboratoire de Saclay – ce baril géant, en quelque sorte – est-ce là aussi du simulé ou du réel ? Quant à « l'installation expérimentale unique au monde » dont a parlé M. Gauvain, est-ce également du réel ou du simulé ?

Pour ce qui est de la fibre optique, un seul câble ne brise-t-il pas la redondance ? Disposer de plusieurs câbles n'est-il pas plus sûr ?

L'hydrogène peut être créé de deux façons : par l'oxydation de la gaine en zirconium du fait de la température, et par la radiolyse – la molécule d'eau est cassée du fait d'un rayonnement ionisant venant interagir avec l'eau. S'agissant de savoir si un autre matériau que le zirconium pourrait régler ce problème de création d'hydrogène, la question mérite d'être posée. Pour autant, développer un nouveau matériau pour une gaine de combustible ne pourrait prendre qu'énormément de temps. Même si on lance cette activité de R&D maintenant, le retour ne sera pas immédiat.

Pour ce qui est de la problématique du MOX, les produits de fission gazeux produits ne s'éloignent pas trop de ceux issus de l'UOX. En revanche, les relâchements peuvent être un peu différents car la topologie des pastilles de MOX est parfois assez différente en termes de fracturation.

S'agissant de savoir si l'on a retrouvé du plutonium aux alentours de Fukushima, les ratios isotopiques de Pu sont restés à un niveau relativement bas. Selon les éléments parus à l'époque dans la presse, les rapports étaient un peu identiques à ceux que l'on pouvait trouver à un certain moment dans le cadre des expérimentations AEN.

La famille des transuraniens est constituée d'éléments métalliques et lourds très peu dispersables – de type de l'iode radioactif, du césium, des tellures. Ils ne contribuent donc pas de manière majoritaire à l'impact en cas d'accident grave.

Concernant l'installation MISTRA à Saclay – qui peut être en effet qualifiée de grand bidon –, elle nous sert à étudier le comportement des gaz lorsqu'ils sont relâchés dans une installation. Nous utilisons à cet effet un gaz de simulation, l'hélium, qui est très proche de l'hydrogène. Ainsi, à partir du comportement de cet élément, il est possible de connaître celui de l'hydrogène.

Pour ce qui est de la simulation des codes, je citerai le cas de l'installation VERDON à Cadarache où le comportement des produits de fission sera étudié afin de savoir notamment où ils se déposent et comment ils se comportent si de l'air est réintroduit dans le circuit primaire : dans cet exemple, nous allons utiliser des pastilles irradiées réelles. C'est une illustration du fait que nous procédons soit à de l'expérimentation réelle, lorsque nous pouvons le faire raisonnablement, soit à des calculs intensifs et à de la simulation.

L'IRSN a la même approche que celle décrite par M. Béhar concernant le développement de logiciels validés à partir d'expériences analytiques. Pour autant, il est selon nous important de procéder, lorsque cela est possible, à des essais dits intégraux où l'ensemble des phénomènes est analysé. Il en va ainsi du programme PHÉBUS-FP où nous avons, au cours de cinq expériences, fondu à peu près 10 kilos de combustible réellement irradié issu d'un réacteur. De telles expériences, extrêmement riches, nous ont permis d'apprendre beaucoup, notamment sur le comportement de l'iode, ce qui peut d'ailleurs expliquer, monsieur le président – au-delà de ce que vous avez pu appeler des « excursions financières » de CABRI –, que le coût des programmes de l'IRSN soit élevé.

Si j'ai employé le mot « simulé », c'était à propos d'un programme sur la trentaine dont j'ai parlé, celui des piscines de combustibles.

Quant à l'expression « installation expérimentale unique au monde », chaque programme est bâti autour d'une installation unique au monde : pour vingt programmes, nous avons vingt installations uniques au monde.

Parlant de l'installation MISTRA, M. Béhar a indiqué que l'on y simulait l'hydrogène avec l'hélium. Un autre projet OCDE, le programme THAI, conduit en Allemagne entre 2007 et 2010, a permis de mener des expériences en injectant soit de l'hydrogène soit de l'hélium, et de valider l'équivalence des résultats obtenus avec les deux gaz.

Le problème de la redondance par rapport à la fibre ne se pose pas, cela pour trois raisons.

Le système de mesure consistant à envoyer une impulsion et à étudier l'écho, on peut localiser au mètre près l'endroit où la fibre – ou le câble – est coupée.

Ensuite, si le câble forme une boucle, c'est-à-dire si l'on a pensé à récupérer l'extrémité du câble et à le ramener vers le système de mesures, on peut alors interroger le second drain et reconstituer ainsi l'information grâce aux deux demi-câbles.

Enfin, rien n'empêche de mettre plusieurs câbles en parallèle avec des sorties différentes.

Pour répondre à la question de la redondance, il existe donc plusieurs solutions : tirer profit de la coupure en la localisant au mètre près, interroger le système par les deux extrémités, installer plusieurs câbles.

De très hautes températures peuvent-elles modifier le comportement de la fibre, voire lui faire perdre son intégrité ?

La fibre étant fabriquée à partir de silice, on ne pourra jamais mesurer avec un tel matériau des températures supérieures à 1 500 ou 1 600 degrés, puisque le verre fond à de telles températures. Il faudrait alors utiliser des fibres en saphir.

Pour autant, la problématique des capteurs à fibres optiques à réseaux de Bragg aux alentours de 1 000 degrés est un sujet à l'ordre du jour dans les laboratoires de R&D. Encore faut-il, même si des fibres tiennent à 1 000 degrés, que le câble puisse lui-même tenir, ce qui suppose des câbles métalliques et non en polymères.

Le béton Ductal a-t-il été utilisé pour d'autres installations nucléaires que Cattenom ?

J'en profite pour poser également une question à M. Acker qui a souligné que l'on ne manquait pas de matériau pour fabriquer du béton, alors que le fer et autres métaux pourraient poser des problèmes d'approvisionnement : le béton Ductal n'est pas du tout ferraillé ?

Le béton Ductal est systématiquement feraillé pour une raison très simple : quand on augmente les résistances, le comportement tend à devenir fragile, ce qui n'est pas acceptable pour des structures de génie civil. On utilise donc deux types de fibres : dans les applications de type pont, il s'agit presque toujours de fibres métalliques qui donnent au matériau une complète ductilité ; dans les produits architecturaux tels que les panneaux de façade, il s'agit de fibres organiques.

Ce matériau n'a été utilisé dans l'industrie nucléaire que pour le renforcement de tours de refroidissement, mais il a le potentiel pour servir dans d'autres applications – nous avons d'ailleurs un programme d'études avec EDF à ce sujet. Il s'agit en effet d'un béton assez peu connu car, issu d'une dizaine d'années de recherches à l'initiative de Bouygues, de Rhodia et de Lafarge, il n'a donné lieu à des brevets qu'à la fin des années quatre-vingt-dix.

Dans le cadre des problématiques liées au nucléaire, ses caractéristiques sont intéressantes : résistance en compression ; composition qui permet sinon de s'affranchir des ferraillages, du moins de les réduire là où, dans les centrales nucléaires, il n'est pas besoin de le faire passer à travers des cages de ferraillage souvent extrêmement serrées ; résistance inhabituelle aux explosions, ce qui a été utile pour le renforcement de plusieurs ambassades ; perméabilités à l'eau et au gaz 100 fois inférieures au béton classique ; très grande durabilité.

Pour autant, ce n'est pas un matériau qui a vocation à remplacer le béton standard, lequel est parfaitement adapté en de nombreux endroits de la centrale nucléaire. En revanche, il mériterait d'être plus étudié car peu de personnes, y compris dans l'industrie nucléaire, savent dimensionner avec ce béton voire le connaissent, alors qu'il pourrait apporter, là où le béton trouve ses limites, un autre type de réponse.

Tant l'académie des sciences que l'académie des technologies ont très récemment souligné les faiblesses de la sidérurgie française concernant non pas l'amélioration continue des connaissances, mais le risque de baisse de compétences pour parvenir à une qualité d'acier suffisante. Le sujet est-il traité par l'industrie nucléaire ?

La démarche est plutôt extrêmement prudente en matière de développement de nouveaux matériaux, surtout pour les gros composants. Il n'en reste pas moins qu'avant de pouvoir introduire une nouvelle technologie avec toutes les assurances en termes de qualité, de comportement, de durabilité, etc., de nombreuses expérimentations sont nécessaires, ce qui, finalement, constitue un frein majeur à la mise en oeuvre concrète de telles technologies. On dit parfois que la sûreté n'aime pas beaucoup l'innovation. La métallurgie ou la sidérurgie sont en tout cas des domaines où l'on est le plus précautionneux dans la mise en oeuvre de nouveaux matériaux.

Nous sommes en effet très prudents en matière d'innovations, même si pour l'EPR nous sommes passés à la branche monobloc. Ces tuyauteries du circuit primaire, d'un diamètre de l'ordre de 800 millimètres, sont ainsi réalisées sans soudure, y compris les gros piquages : les lingots sont de l'ordre de 170 tonnes pour sortir deux branches de tuyauterie primaire.

Les débuts ont été difficiles et un certain nombre d'essais ont été ratés sur le réacteur finlandais. Nous maîtrisons maintenant la situation : nous sommes à la limite de l'outil industriel.

Concernant le béton ductile, celui-ci présente-il un avantage par rapport aux phénomènes de corrosion induits, par exemple, par la carbonatation ?

C'est un matériau dont la porosité n'est pas connectée. Il n'y a donc aucun problème de carbonatation identifié.

S'agissant de la corrosion, on constate, dans les ouvrages très anciens armés par des fibres métalliques, des petites tâches de rouille. Mais il ne s'agit que d'une corrosion de surface, sans profondeur. La conséquence est purement esthétique. Sur les poutrelles des aéroréfrigérants de Cattenom, qui connaissent des conditions extrêmement agressives, on ne voit même pas de rouille en surface – ce qui nous laisse d'ailleurs perplexes.

Il me reste à clore nos auditions d'aujourd'hui en remerciant chacun des participants.

La séance est levée à vingt heures.