Protection des centrales nucléaires suisses contre une chute d’avion

1. Introduction

L'objectif du présent document est de résumer et d'évaluer la protection actuelle des centrales nucléaires suisses contre une chute d'avion dans le contexte des attaques récentes contre le World Trade Center.
Selon l'époque des études de projet (au milieu des années 60 pour Mühleberg et Beznau; au milieu des années 70 pour Gösgen et Leibstadt), les centrales nucléaires suisses ont été conçues, projetées et construites ("dimensionnées" dans le jargon spécialisé) avec une efficacité différente par rapport aux conséquences d'une chute d'avion.
Conformément à la pratique internationale et à la compréhension actuelle, les chutes d'avion comptent parmi les éléments de ce que l'on appelle le risque résiduel. Une chute d'avion sur une centrale nucléaire est très invraisemblable et il ne s'en est produit jusqu'à présent aucune en 40 ans d'exploitation (soit quelque 10'000 années d'exploitation dans le monde). C'est la raison pour laquelle il a semblé pendant longtemps acceptable, sur les plans politique et social, de renoncer à des mesures dispendieuses de protection contre les chutes d'avion. En Suisse et en Allemagne, on a toutefois prévu un degré élevé de protection contre de telles chutes d'avion surtout pour les installations nucléaires nouvelles, et les centrales nucléaires anciennes ont fait l'objet de mesures de remise à niveau d'amélioration de la sûreté, pour autant que ceci se justifiait et pouvait se faire. Les éléments essentiels dans ce domaine sont d'une part le bâtiment réacteur, dont la construction massive est réalisée en béton armé et qui dispose d'une épaisseur de paroi d'un mètre dans les centrales nucléaires nouvelles. D'autre part, la séparation spatiale d'équipements de sûreté redondants ou différents constitue un principe de sûreté efficace.

2. La conception d'une centrale nucléaire sous l'angle de la sûreté contre une chute d'avion

2.1 Les phases de développement de la protection des centrales nucléaires suisses contre les chutes d'avion
Les centrales nucléaires anciennes de Mühleberg et de Beznau, centrales mises respectivement en service entre 1969 et 1972, ont aussi été conçues à l'époque contre les agressions extérieures (par exemple les tremblements de terre et les inondations), en fonction de l'état de la science et de la technique. Il n'existait alors aucune exigence concrète de protection contre les conséquences d'une chute d'avion. Suite à une série d'accidents survenus avec plus de 150 avions de combat Starfighter dans les pays de l'OTAN, diverses autorités exigèrent fin des années 70, début des années 80, que les centrales nucléaires soient conçues également contre les chutes d'avion. Des conditions spécifiques de chute furent alors définies pour la première fois sous les angles du type d'avion (poids), de la vitesse et des conditions d'approche afin d'inclure ainsi de manière réaliste dans la conception des centrales les contraintes entraînées par un tel accident. Les constructeurs de réacteurs ont repris ces nouvelles conditions de conception dans leurs projets de centrales en Suisse et en Allemagne. Du fait de la proximité relative de l'aéroport de Zurich-Kloten des nouvelles centrales nucléaires de Gösgen et de Leibstadt, la DSN, resp. la CSA à l'époque, avait exigé qu'elles soient conçues contre la chute d'un avion de passagers (Boeing 707-320) volant à une vitesse moyenne (début de la phase d'atterrissage).

2.2 Chute d'avion: quel est le danger pour une centrale nucléaire?
Ce qui se passe en cas de chute d'avion sur une centrale nucléaire, c'est essentiellement la chute d'une construction peu rigide, à paroi mince et "tendre" en métal léger sur la structure dure, à paroi épaisse, non flexible et solidement ancrée de la centrale nucléaire (construction massive compacte en béton armé). L'élément décisif pour le calcul de l'épaisseur de la paroi du bâtiment réacteur est donc l'orientation, la masse et la vitesse des moteurs d'avion avec leurs lourds arbres de propulsion en acier forgé. Lors de la conception de la centrale, il s'agit donc d'une part de garantir que la solidité des éléments de construction touchés est suffisante, et d'autre part d'empêcher que le bâtiment réacteur ne soit transpercé. On assure ainsi que le cœur du réacteur, le système de refroidissement et des systèmes de sûreté importants ne sont pas touchés directement par le moteur d'avion ou par la chute de structures de la centrale. Lors de la conception d'un bâtiment sous l'angle de sa résistance à une chute d'avion, le diagramme choc-temps qui caractérise la chute est déterminant. Il prend en compte la masse et la vitesse de l'avion ainsi que sa construction et les propriétés du matériau. On a réalisé à cette fin des essais minutieux dans divers pays, et des représentations sur modèle ont été élaborées. Il faut calculer également la pénétration, resp. la réponse de la structure à des forces transversales. Etant donné que les débris d'un avion qui s'est écrasé peuvent s'éparpiller très loin, les analyses et la conception doivent considérer que chaque point de l'installation risque d'être touché.
La quantité potentiellement importante de carburant d'un avion de ligne constitue par ailleurs un danger pour la centrale nucléaire étant donné qu'un grand incendie dans le bâtiment réacteur toucherait le fonctionnement des circuits de refroidissement comme celui des systèmes de sûreté. C'est pour ces raisons qu'une protection efficace contre la pénétration (= épaisseur de la paroi et densité de l'armature) empêche l'afflux de grandes quantités de kérosène dans le bâtiment réacteur.

2.3 La directive R-101 de la DSN
Les "critères de dimensionnement" des systèmes de sûreté des centrales nucléaires équipées
de réacteurs à eau légère sont définis dans la directive R-101 de la DSN. Le respect de ces critères assure que les objectifs de protection "Arrêt du réacteur", "Refroidissement et évacuation de la chaleur résiduelle du réacteur" sont garantis même en cas d'impacts extérieurs qui ne sont pas d'origine naturelle tels que la chute d'un avion.

2.4 La directive R-102 de la DSN
La DSN compte parmi les premières autorités
dans le monde à avoir posé des exigences spécifiques concernant la chute d'avion pour la conception d'une centrale nucléaire. Ces exigences font l'objet de la directive R-102 de la DSN "Critères de conception pour la protection contre les conséquences d'une chute d'avion d'équipements importants pour la sûreté dans les centrales nucléaires", directive publiée en 1986 qui aurait été appliquée pour la première fois de manière obligatoire pour la centrale nucléaire de Kaiseraugst projetée à l'époque. Des analyses générales sur la question "chute d'avion" ont montré que le risque dans le trafic aérien non lié aux zones d'atterrissage provient des avions militaires volant à grande vitesse. Les risques engendrés par la chute d'avions gros-porteurs, d'avions de sport ou d'hélicoptères sont par contre plutôt faibles. La fréquence de la chute de gros avions en plein vol est très faible. Les avions plus légers et les hélicoptères auraient des effets relativement faibles. Pour protéger efficacement une future centrale nucléaire contre les conséquences d'une chute d'avion, on doit supposer dans les études de projet sur la construction du bâtiment réacteur l'impact d'un avion militaire (à l'époque le Starfighter F 104 G de l'OTAN, plus tard le Phantom II) d'une masse de 20 tonnes volant à une vitesse de 774 km/h avec une surface d'impact circulaire de 7m². On admet ici l'angle d'impact le plus défavorable du point de vue de la statique des constructions. On suppose par ailleurs que le carburant prend ensuite feu, incendie dont les conséquences doivent être maîtrisées par la conception. Les autres bâtiments qui abritent des équipements de sûreté redondants et où se trouvent des teneurs potentiellement élevées de matières radioactives doivent être conçus au minimum pour la protection contre l'effondrement définie dans la R-102.
Pour la projection future de nouvelles centrales nucléaires, il faudra examiner quand même si les contraintes supposées à l'époque en cas de chute d'avion sont encore représentatives des avions de passagers et de combat actuels.

2.5 La transposition adéquate de la directive R-102 de la DSN pour les centrales nucléaires suisses

2.5.1 Les centrales anciennes de Beznau et de Mühleberg
Conformément à l'état de la technique de cette époque, les bâtiments réacteurs de Beznau et de Mühleberg, centrales nucléaires construites à la fin des années 60, n'ont pas été spécialement conçus contre les chutes d'avion. Etant donné toutefois que la cuve du réacteur se trouve derrière diverses barrières de béton et coques en acier qui devraient tout d'abord être transpercées, on dispose encore d'un bon taux de protection, taux qui n'est toutefois pas quantifié.
Pour augmenter la protection de ces installations anciennes contre les conséquences d'une chute d'avion, la DSN a exigé la mise en place d'un système de secours d'urgence redondant, autarcique, séparé du bâtiment réacteur et sûr contre les chutes d'avion. Avec ces systèmes supplémentaires (système Nano à Beznau, système Susan à Mühleberg), l'installation s'arrête automatiquement en cas d'incident grave et l'évacuation de la chaleur résiduelle est assurée pendant 10 heures. Dans les 10 premières heures qui suivent un tel incident, il n'est donc pas nécessaire d'intervenir manuellement. Les bâtiments qui entourent les systèmes de secours d'urgence ont été conçus de manière appropriée contre une chute d'avion avec une épaisseur de mur d'un mètre, et ils sont conformes dans leur esprit aux prescriptions de la R-102 de la DSN. De par les mesures qui ont été prises en matière de construction et de ventilation, les systèmes de secours d'urgence sont également protégés contre les effets destructeurs d'un incendie de carburant.

2.5.2 Les centrales récentes de Gösgen et de Leibstadt
Lors de la conception de la construction des installations récentes de Gösgen et de Leibstadt sous l'angle de la protection contre une chute d'avion, on a pris comme hypothèse de contrainte un avion civil du type Boeing 707-320 (masse d'environ 90 tonnes) s'écrasant sur le bâtiment réacteur à une vitesse de 370 km/h. Ceci donne une force de choc de 90 MN (~ 9'000 tonnes) qui exerce ses effets sur une surface de choc de 37,2m². Les 4 blocs-moteurs, d'un diamètre de 1,35 m et d'un poids respectif de quelque 1,8 tonne, constituent le facteur déterminant du scénario de la contrainte avec ce type d'appareil. Avec une épaisseur de paroi de 1,2 m (barrière extérieure), on atteint un degré élevé de protection pour ce scénario. Les structures internes du bâtiment à parois épaisses et les blindages en béton, de même que les épaisseurs massives des parois de la piscine du combustible, exercent un effet supplémentaire de barrière interne contre une chute d'avion.
Bien que le scénario de chute d'avion choisi dans les années 70 (un Boeing 707-320) pour la conception de ces installations ne corresponde pas entièrement à celui de la directive R-102 de la DSN entrée en vigueur en 1986 (un Starfighter F 104 G), on a constaté que les exigences posées à la technique des systèmes et l'épaisseur minimale de la paroi en béton pour la pénétration selon la R-102 de la DSN étaient quand même respectées. Le degré de protection actuel contre la chute d'avion est donc considéré par la DSN comme suffisant pour les deux installations.
Les centrales récentes de Gösgen et de Leibstadt disposent elles aussi de systèmes de secours d'urgence qui sont conçus spécialement contre les impacts extérieurs. Comme Susan et Nano, ces systèmes garantissent l'arrêt automatique du réacteur et une évacuation autarcique de la chaleur résiduelle pendant 10 heures au moins. Ces systèmes ont été installés dès la construction des centrales.

2.6 Concept des barrières et séparation spatiale
La sûreté des centrales nucléaires par rapport à une chute d'avion est garantie surtout par le principe dit des barrières et par la séparation dans l'espace de systèmes de sûreté redondants.

2.6.1 Concept des barrières
Le concept des barrières multiples (défense en profondeur) empêche le relâchement de matières radioactives dans l'environnement en cas d'incident interne à la centrale. Mais à l'inverse, ce concept est également efficace contre les conséquences d'un événement extérieur tel qu'une chute d'avion. En cas de chute d'avion, le bâtiment réacteur, barrière externe, joue le rôle central d'obstacle à la pénétration de parties de l'avion. La deuxième barrière interne importante est constituée par les nombreuses parois massives en béton qui sont présentes à l'intérieur du bâtiment réacteur pour la division de l'espace et pour le blindage contre les radiations. Ces structures internes massives présentent des épaisseurs de paroi de 1 à 2 m. Ces deux barrières protègent ainsi le cœur du réacteur, c'est-à-dire la cuve du réacteur, le système de refroidissement du réacteur et les systèmes de sûreté, par plusieurs mètres de béton au total.

2.6.2 Séparation spatiale
La séparation spatiale a consisté à aménager des systèmes de sûreté redondants dans divers bâtiments ou espaces de manière à protéger l'installation contre les conséquences (conjointes) d'un événement externe postulé (par exemple une chute d'avion). On peut citer ici comme exemple les systèmes de secours d'urgence qui, avec leurs postes de commande, sont aménagés dans un bâtiment séparé du bâtiment réacteur. On dispose donc ici d'une redondance sûre contre les chutes d'avion, localisée séparément, par rapport aux systèmes d'arrêt et de refroidissement de la chaleur résiduelle installés dans le bâtiment réacteur et à la salle de commande principale de la centrale nucléaire. La séparation spatiale joue un rôle important pour la sûreté à cause d'une part de l'éparpillement sur un grand espace des débris après une chute avion, et d'autre part de l'écoulement de grandes quantités de carburant.

2.7 Limites de la conception
La conception des centrales nucléaires contre les impacts externes ne tient compte ni en Suisse, ni dans un autre pays du monde, d'actes de guerre et d'attaques terroristes provenant de l'espace aérien. Le scénario d'un détournement à des fins terroristes d'un gros avion de ligne avec un plein de carburant servant de bombe n'a jusqu'à présent été pris en considération pour aucun équipement technique ou construit par l'homme, ceci nulle part dans le monde. Les centrales nucléaires actuelles n'offrent pas une protection complète dans ce cas. En cas de grave chute d'avion dépassant massivement la conception actuelle de la protection des centrales nucléaires contre une telle éventualité, on ne peut pas exclure une défaillance de l'enceinte de sûreté, ni un endommagement des structures internes du bâtiment qu'elle abrite. On ne peut pas exclure non plus des endommagements du système du réacteur ou des piscines des assemblages combustibles. Au pire, ceci pourrait entraîner un grave accident de perte du fluide de refroidissement avec relâchement de matières radioactives dans les environs. Les installations sont toutefois conçues de telle manière que même ce cas extrême peut être maîtrisé par le fonctionnement correct des systèmes de refroidissement de secours. En cas d'endommagement ou de défaillance des divers systèmes redondants de refroidissement de secours, on ne peut toutefois plus exclure un accident de fusion du cœur.

3. Protection des centrales nucléaires suisses

3.1 Situation à la centrale nucléaire de Beznau
L'épaisseur effective totale de la paroi du bâtiment réacteur (barrière externe) atteint 1,5 m jusqu'à une hauteur d'environ 25 m (mur de protection contre les effondrements de 0,6 m + mur du bâtiment réacteur de 0,9 m). Les cuves des réacteurs de Beznau sont enfoncées profondément dans le bâtiment réacteur et entourées de structures internes massives en béton armé (barrière interne). De plus, les deux réacteurs sont entourés de bâtiments auxiliaires et annexes qui constituent jusqu'à une certaine hauteur une protection supplémentaire contre la pénétration d'un réacteur d'avion dans la zone de la cuve et du système de refroidissement. La piscine de stockage du combustible est par ailleurs aménagée à l'extérieur du bâtiment réacteur. Bien qu'elle ne soit pas beaucoup protégée contre les chutes d'avion dans la partie du plafond, elle présente des épaisseurs massives de paroi (1,8 m) sur les côtés et au sol, parois qui offrent une protection suffisante contre les effondrements et empêchent une perte importante d'eau de refroidissement. Etant donné que, pour des raisons de radioprotection, les assemblages combustibles sont stockés profondément dans cette piscine, il faut s'attendre à ce que le refroidissement reste assuré même dans des conditions d'accident. Aussi longtemps que le refroidissement du combustible est garanti, on peut exclure un relâchement massif de matières radioactives à l'extérieur même si les assemblages combustibles étaient endommagés par les effets mécaniques de la chute de parties d'avion et de bâtiments. Du fait de ses petites dimensions, la probabilité que la piscine du combustible soit touchée est faible.
Comme déjà indiqué au paragraphe 2.5.1, le système de secours d'urgence Nano constitue une protection supplémentaire contre les conséquences d'une chute d'avion.

3.2 Situation à la centrale nucléaire de Mühleberg
L'épaisseur de la paroi du bâtiment réacteur (barrière externe) est d'environ 0,6 m dans la partie cylindrique. Le plafond du bâtiment réacteur a une épaisseur de paroi qui varie entre 0,15 et 0,3 m. Mais en plus de la fonction de protection exercée par le bâtiment réacteur, la cuve du réacteur, au centre, et d'autres systèmes importants pour la sûreté sont protégés contre la pénétration d'éléments par les structures internes extrêmement massives en béton (barrière interne: par exemple la paroi du drywell de 1,8 m d'épaisseur). Les systèmes de sûreté aménagés sous le niveau du sol sont donc bien protégés par plusieurs mètres de béton armé interne. Le bâtiment réacteur est par ailleurs entouré de bâtiments auxiliaires et annexes qui constituent jusqu'à une certaine hauteur une protection supplémentaire contre la pénétration d'un réacteur d'avion dans la zone de la cuve et du système de refroidissement. La piscine de stockage des assemblages combustibles se trouve dans la partie supérieure du bâtiment réacteur. Bien qu'elle ne soit pas beaucoup protégée contre les chutes d'avion dans la partie du plafond, elle présente des épaisseurs massives de paroi (1,8 m) sur les côtés et au sol, parois qui offrent une protection suffisante contre les effondrements et empêchent des pertes importantes de fluide de refroidissement. Etant donné que, pour des raisons de radioprotection, les assemblages combustibles sont stockés profondément dans cette piscine et sont recouverts de quelque 5 m d'eau, il faut s'attendre à ce que le refroidissement reste assuré même dans des conditions d'accident, un relâchement massif de matières radioactives à l'extérieur étant ainsi empêché.
Comme déjà indiqué au paragraphe 2.5.1, le système de secours d'urgence Susan constitue une protection supplémentaire contre les conséquences d'une chute d'avion.

3.3 Situation dans les centrales de Gösgen et de Leibstadt
La centrale nucléaire de Gösgen a été mise en service en 1979, et sa sûreté contre les effets d'une chute d'avion est élevée. A Gösgen, la protection consiste en un bâtiment réacteur protégé, et en un système de secours d'urgence protégé. La construction du bâtiment réacteur et du bâtiment de secours, ainsi que celle du canal de connexion correspondant, ont été dimensionnées pour une chute d'avion conformément aux bases de conception de l'époque.
La centrale nucléaire de Leibstadt a été mise en service en 1984 et avec son bâtiment réacteur conçu contre la chute d'avion, sa sûreté contre les effets d'une chute d'avion est très élevée. A Leibstadt, la protection comporte deux systèmes différents:

• bâtiment réacteur protégé et système de secours d'urgence protégé,
• bâtiment réacteur et bâtiment des auxiliaires nucléaires protégés et 3 tours de refroidissement de secours séparées pour l'évacuation de la chaleur. Si nécessaire, l'installation peut être transférée manuellement dans un état de sûreté depuis trois postes de commande de secours protégés.

La construction du bâtiment réacteur et du bâtiment de secours a été dimensionnée pour une chute d'avion conformément aux bases de conception de l'époque.
Les piscines du combustible des deux centrales nucléaires sont protégées contre les chutes d'avion dans les mêmes proportions que le bâtiment réacteur: à Gösgen, la piscine du combustible se trouve à l'intérieur du bâtiment réacteur. A Leibstadt, cette piscine est aménagée dans un bâtiment séparé protégé contre les chutes d'avion, près du bâtiment réacteur.

3.4 Résumé
Toutes les centrales nucléaires suisses sont conçues de telle manière que les chutes de gros avions de passagers ou d'appareils militaires sur des bâtiments annexes (y compris la salle de commande, le bâtiment des installations électriques, etc.) n'entraînent aucun dégât majeur. Les centrales récentes de Gösgen et de Leibstadt présentent en plus un degré élevé de protection contre la chute d'avions militaires et de gros avions de passagers sur le bâtiment réacteur. Le niveau de sûreté des centrales nucléaires suisses est donc élevé par comparaison internationale. Les centrales nucléaires (du monde entier) ne sont pas protégées, du point de vue de la technique de leur construction civile, contre l'impact d'actes de guerre et d'attaques terroristes provenant de l'espace aérien. Il n'est pas possible de réaliser dans les centrales nucléaires actuellement en service des améliorations techniques qui garantiraient une protection à 100% contre les conséquences d'une attaque terroriste de la nature de celle dont a fait l'objet le World Trade Center. Si l'une des centrales nucléaires suisses subissait une telle attaque, on ne peut pas exclure qu'en cas d'impact direct d'un bloc-moteur sur le bâtiment réacteur - quelle que soit la conception de ce bâtiment - les assemblages combustibles dans la piscine du combustible ou le système de refroidissement primaire soient touchés et qu'il en résulte un relâchement de matières radioactives. La conception des centrales nucléaires contre des contraintes extérieures a été réalisée de manière conservatrice conformément à l'état respectif de la science et de la technique mis en œuvre. Ceci signifie que les exigences de l'époque n'admettaient pas les déformations et les déplacements (éléments plastiques). La conception s'est ainsi limitée au domaine élastique. Ceci peut vouloir dire que toutes les installations disposent de certaines réserves. Selon l'évaluation de pilotes civils,

• les bâtiments réacteur de faible hauteur et comparativement petits devraient être difficiles à viser et à toucher avec un avion de passagers lourd, réservoir de carburant plein et lancé à grande vitesse,
• du fait de l'emplacement des centrales nucléaires anciennes dans les vallées de l'Aar partiellement entourées de collines, (surtout Mühleberg), un crash intentionnel d'un avion de passagers lourd, réservoir de carburant plein et lancé à grande vitesse, n'est guère faisable.

4. Prochaines étapes

La DSN a déjà demandé à tous les exploitants de centrales nucléaires de réexaminer le concept de protection de leurs installations contre des chutes d'avion et contre le sabotage. Les exploitants informeront prochainement la DSN de leur démarche. Pour sa part, indépendamment des exploitants, la DSN va réfléchir sur le point de savoir si des mesures supplémentaires par rapport à la protection déjà élevée des installations sont nécessaires et appropriées. De plus, la DSN suivra étroitement les travaux et mesures conduits dans le monde à ce sujet et a déjà pris contact avec les autorités de divers pays et organisations internationales (AIEA, OCDE).