Les risques du nucléaire français au temps de l’EPR

Le nucléaire français est perçu aujourd’hui comme l’un des plus sûrs au monde. L’idée semble répandue dans l’opinion, et fortement présente chez un grand nombre de décideurs (y compris dans le monde de l’énergie), que « en France, un accident de type Tchernobyl n’est pas possible ».

La France, avec ses très nombreuses installations nucléaires, est-elle réellement à l’abri d’une catastrophe ? Elle n’est pas « impossible », répondent les experts, mais seulement « improbable », et cette différence est fondamentale. Sans compter qu’aux risques accidentels s’ajoutent, au moins depuis le 11 septembre 2001, des risques de malveillance qui échappent à tout calcul de probabilité.

Après plus de dix ans sans commande de réacteur en France, l’industrie et le gouvernement étudient aujourd’hui la possibilité d’engager un nouveau projet avec la construction d’un premier réacteur de type EPR (European Pressurized water Reactor). Une telle décision ne devrait être prise qu’à l’issue d’un processus d’évaluation globale des bénéfices et des risques attendus de ce projet. Outre les enjeux socioéconomiques qui dominent ce débat, l’apport prêté à l’EPR en terme de sûreté est avancé comme un critère important de ce choix.

Il semble donc utile de faire le point sur le degré de sûreté des réacteurs actuels français, et sur la façon dont le réacteur « évolutionnaire » EPR se situe par rapport à ce parc. Cette évaluation ne doit pas s’arrêter à une comparaison de réacteur à réacteur ; elle doit prendre en compte l’évolution dans le temps et l’impact sur l’ensemble de la chaîne industrielle du nucléaire des options de sûreté arrêtées sur le parc de centrales à un moment donné.

Les facteurs de risque

Bien que les enjeux de sûreté ne se réduisent pas à cette problématique, on se concentrera ici sur le risque nucléaire majeur, défini comme «tout événement accidentel se produisant sur une installation nucléaire et entraînant des conséquences immédiates graves pour le personnel, les populations avoisinantes, les biens ou l’environnement » (1). Pour les réacteurs, le risque majeur est en général compris comme toute séquence accidentelle pouvant déboucher sur une fusion du coeur, c’est-à-dire un emballement des réactions de fission potentiellement incontrôlable, seul événement capable d’avoir les conséquences immédiates décrites ci-dessus.

Les risques auxquels sont soumises les installations nucléaires peuvent être regroupés en plusieurs catégories. L’analyse des potentialités d’accident majeur doit tenir compte de deux facteurs : d’une part, selon la règle de sécurité classique, c’est le maillon le plus faible qui dimensionne la résistance de l’ensemble. D’autre part, il peut exister plusieurs faiblesses, de nature différentes, et le risque majeur est en grande partie lié aux possibilités de combinaison de ces différentes causes dans une dynamique d’accident.

La défaillance matérielle. Les installations nucléaires, en particulier les réacteurs, constituent des objets techniques de plus en plus complexes, comportant des milliers de systèmes électriques, électroniques et mécaniques. Malgré les faibles niveaux de tolérance appliqués sur les différents systèmes, et tout particulièrement ceux intéressant la sûreté, ces matériels ne sont pas exempts de possibles défaillances. Celle-ci peut provenir d’un défaut de conception, de fabrication, ou d’une usure prématurée, et la panne matérielle peut avoir différents niveaux de gravité selon le matériel affecté.

La redondance des systèmes les plus vitaux permet de réduire statistiquement le risque de simultanéité de pannes matérielles données, mais jamais de l’écarter complètement. Or, de très nombreux exemples d’incidents illustrent la fréquence de découvertes a posteriori, au cours de programmes d’essai ou de vérification voire de manière fortuite, de l’indisponibilité non décelée d’équipements nécessaires au maintien du niveau maximal de sûreté.

La défaillance humaine. Quelque soit son niveau de qualification, le personnel formé à la conduite et la maintenance des réacteurs reste faillible. Et malgré le soutien apporté par certains systèmes de conduite automatisés, l’homme conserve un rôle décisionnel. Comme pour la défaillance matérielle, c’est par ailleurs la conjonction de multiples erreurs, apparemment mineures, qui peut engendrer le risque majeur. Là encore le système est complexe, et la multiplicité des tâches d’exploitation et de maintenance afférentes à la bonne marche d’une installation nucléaire implique l’intervention de multiples opérateurs spécialisés, et notamment des sous-traitants, voire parfois des travailleurs intérimaires.

Outre le problème du contrôle de la multiplication des niveaux d’intervention, ce risque se trouve progressivement aggravé par une perte de compétence globale et graduelle de l’industrie nucléaire. Ainsi dans son rapport sur la sûreté d’EDF en 2003, l’Inspecteur général pointe le problème « du renouvellement et de la transmission des compétences, qui va se poser de manière aiguë en France (…), c’est évidemment une question vitale pour la sûreté » (2). Dans son rapport de sûreté 2002, la Direction générale de la sûreté nucléaire et de la radioprotection (DGSNR) souligne qu’ « environ 60 % des incidents sont liés à des causes organisationnelles et humaines », alors qu’ «un peu moins d’un quart est dû à des défauts matériels».

Les agressions externes accidentelles. Deux types de phénomène doivent essentiellement être pris en compte : les catastrophes naturelles et les accidents industriels externes à l’installation. Des événements aussi divers qu’un séisme, une violente tempête, un incendie ou l’explosion d’un réservoir chimique ont en effet en commun de créer des conditions exceptionnelles qui mettent à l’épreuve les fonctions de sûreté des installations nucléaires.

Les événements climatiques récents, depuis la tempête de 1999 jusqu’aux difficultés de l’été et de l’automne 2003 (sécheresse et canicule puis crues) ont révélé de nouvelles vulnérabilités du nucléaire et montré le manque d’anticipation des phénomènes naturels extrêmes sur la base des modèles prédictifs.

La réévaluation progressive des normes de sûreté conduit également à des constats préoccupants dans le domaine de la tenue au séisme. L’introduction, en 2001, de nouvelles règles pour l’évaluation de ce risque et le réexamen de la sûreté des différents paliers de réacteurs ont mis à jour de très nombreux problèmes, depuis des défauts de conception jusqu’à des écarts de conformité multiples – dont certains pouvant mettre en cause, selon l’autorité de sûreté même, l’intégrité de fonctions essentielles pour la sûreté.

Les actes de malveillance. La protection des installations nucléaires contre les différents risques de catastrophe doit également inclure les actes de malveillance. Dans ce domaine, l’approche probabiliste est évidemment inopérante. La prise de conscience, après le 11 septembre 2001, du fait que les installations nucléaires françaises n’étaient conçues que pour résister à la chute d’un avion de tourisme illustre les progrès à réaliser dans ce domaine.

Comme pour les scénarios accidentels, la conception des installations nucléaires devrait prendre en compte un nombre croissant d’agressions potentielles. Mais la protection ne peut en général pas être poussée au point d’inclure les événements les plus exceptionnels envisageables, qui sont aussi les plus dévastateurs – ces phénomènes sont classés « hors dimensionnement ».

La prise en compte du risque

La sûreté d’une installation nucléaire, un réacteur par exemple, ne peut être appréhendée de manière isolée. Elle doit prendre en compte l’intégration de cette installation dans un appareil industriel plus large, soumis à des impératifs économiques et caractérisé par une grande complexité, une dispersion géographique non négligeable et une inertie considérable.

Comme tous les pays exploitant des installations nucléaires, la France a adopté un certain nombre de dispositions réglementaires destinées à assurer la prise en compte et le contrôle des exigences de sûreté. Elle se distingue toutefois par un dispositif très peu avancé. En particulier, ni l’utilisation de l’énergie nucléaire, ni même son contrôle et la garantie de sa sûreté ne font à ce jour l’objet d’une loi. En l’absence de cadre législatif spécifique, l’industrie nucléaire est soumise à un régime réglementaire défini en 1963 qui, avec quelques modifications, reste en vigueur aujourd’hui (3).

De plus, bien qu’auto-baptisée « Autorité de sûreté nucléaire », ou ASN, le gendarme du nucléaire n’est pas une structure indépendante mais une administration gouvernementale, rattachée à l’administration du Ministère de l’industrie et sous tutelle directe des Ministres de l’industrie, de l’environnement de la santé.

Ainsi, la Direction générale de la sûreté nucléaire et de la radioprotection « élabore, propose et met en oeuvre la politique du Gouvernement en matière de sûreté nucléaire, à l’exclusion de ce qui concerne les installations et activités nucléaires intéressant la défense» (4).

La prise en compte des risques associés à l’exploitation d’installations nucléaires s’est vue formalisée dans le courant des années quatre-vingt par la publication de règles fondamentales de sûreté (RFS) (5). Sans prétendre être un manuel destiné à la conception des installations, l’ensemble de ces règles, distinctes pour les réacteurs de puissance et les autres installations nucléaires, définissent les niveaux de sûreté minimums auxquels doivent répondre toutes les installations, y compris celles de conception antérieure à la publication des RFS. Il existe 25 règles applicables aux réacteurs de puissance et 13 pour les autres installations.

Leur approche est globalement statistique (ou probabiliste), sauf lorsqu’une approche déterministe est possible. La RFS 2002-1, intitulée « Développement et utilisation des études probabilistes de sûreté», est venue en 2002 confirmer l’importance croissante dans la sûreté nucléaire française de cette approche globalement probabiliste des analyses de risque.

Or l’approche probabiliste de la sûreté nucléaire conduit à « tronquer » l’arbre des possibles en éliminant des événements très peu probables, mais renfermant éventuellement un potentiel de danger important. En effet, «Par rapport à un scénario donné, on peut presque toujours en imaginer un autre qui soit pire en supposant une défaillance supplémentaire, mais il est bien évident qu’au fur et à mesure que l’on considère ces scénarios de plus en plus graves, la probabilité qu’ils surviennent tend vers zéro » (6). Elle écarte donc les scénarios les plus catastrophiques d’enchaînement de défaillances – même quand ils peuvent être reproduits, indépendamment de toute probabilité, de façon intentionnelle.

Une autre approche, peu développée dans la réglementation actuelle, est nécessaire pour mieux prendre en compte ces risques. Basée sur l’évaluation des potentiels de danger, elle consiste, ainsi que l’a expliqué l’IPSN après le 11 septembre 2001, à réduire les risques à partir de l’identification de la sensibilité du dispositif (le potentiel de relâchement de radioactivité) combinée à sa vulnérabilité (le degré de difficulté d’un tel relâchement) (7).

Un autre problème est de considérer la sûreté d’une filière nucléaire comme un ensemble, formant un tout, en se souvenant que le degré de sûreté est celui du maillon le plus faible. Or le fonctionnement des réacteurs industriels de puissance suppose un ensemble très diversifié d’installations : centres de recherche et développement, usines de l’amont du cycle, usines de l’aval du cycle, sites d’entreposage long terme et stockage définitif des déchets radioactifs, etc., et de transports entre toutes les étapes de cette chaîne. En France, on constate d’une manière générale un décalage dans le niveau de prise en compte de la sûreté, plus strict et plus surveillé pour EDF et ses réacteurs que pour les installations et les activités du groupe CEA/Areva.

La prise en compte du risque est par ailleurs une notion dynamique et non pas statique : elle n’est pas simplement définie à la conception, mais se poursuit tout au long de l’exploitation d’une installation, et dans toutes les relations qui la relient aux autres maillons de la chaîne industrielle. Dans ces conditions, la sûreté fait l’objet d’une réévaluation constante sujette à un arbitrage permanent. « Le niveau de risque acceptable peut seulement être établi par une confrontation constante entre le souhaitable et le possible. Son évaluation exige par conséquent l’utilisation des connaissances et des moyens techniques actuels comme étalons. Par définition, ce niveau change avec le temps » (8). Il faut donc aussi conduire une évolution cohérente de la sûreté dans le temps, alors que la conception d’une installation et sa construction figent en grande partie son niveau de sûreté.

La sûreté a aussi un coût, et il existe une compétition permanente entre les impératifs de sûreté et les objectifs de rentabilité économique. Malgré le discours rassurant de la DGSNR sur la conciliation de ces deux objectifs, les exploitants sont soumis à une pression concurrentielle qui conduit à « des cas d’opposition entre sûreté et compétitivité » (9). Cette question se pose avec une acuité croissante dans le contexte actuel de libéralisation des marchés de l’électricité.

La sûreté du parc français

Le parc nucléaire français a dès l’origine fait l’objet d’un choix bien défini en matière de dimensionnement face au risque d’accident majeur, résumé par l’IPSN en 1986 : « en France, nous estimons que les accidents graves ne doivent pas être pris en compte au niveau du dimensionnement des centrales » (10). Autrement dit, les réacteurs sont conçus dans l’optique d’éviter un accident majeur plutôt que de lui résister. Corollaire incontournable : «malgré toutes les précautions (…) pour éviter la dégradation du coeur, on ne peut exclure absolument l’éventualité d’accidents graves comportant la fusion du coeur et la perte partielle ou notable et plus ou moins tardive de la fonction de confinement des matières radioactives dans l’enceinte ».

Le coeur de l’approche de sûreté pour le parc français réside donc dans la réduction « à la limite du dimensionnement », par la multiplication des défenses et leur redondance, de la probabilité d’accident majeur. Cet objectif a été clairement chiffré dès l’origine : «{ comme objectif général, le dimensionnement d’un REP devrait être tel que la probabilité globale pour qu’il puisse être à l’origine de conséquences inacceptables, ne soit pas supérieure à 10-6 par an » (11). Appliqué à une analyse globale des risques, cela signifie que «{ lorsqu’une approche probabiliste est utilisée pour apprécier si une famille d’événements doit être prise en compte dans le dimensionnement, cette famille devra être retenue si la probabilité qu’elle puisse conduire à des conséquences inacceptables est supérieure à 10-7 par an » (12).

L’inconvénient de cette approche est qu’il reste toujours une probabilité très faible mais non nulle que l’accident majeur se produise ; la difficulté est de fixer le degré de probabilité résiduelle qui peut être considéré comme acceptable. En France, ce niveau est fixé depuis l’origine du parc de réacteurs REP à une chance sur un million par réacteur et par an, c’est-à-dire par « année-réacteur ». Le parc actuel de 58 réacteurs, s’il fonctionne 35 ans en moyenne, représentera au total plus de 2 000 de ces « années-réacteurs »  (13).

Le parc nucléaire français se caractérise par une grande standardisation. Il a été construit en plusieurs « paliers », commençant avec le CPY des REP 900 MWe et se poursuivant avec les paliers P4 et P’4 de 1 300 MWe, et enfin avec le palier N4 de 1 450 MWe. Chaque palier est conçu comme un prolongement, une amélioration du précédent, sans rupture technologique dans les fonctions principales.

Aussi ce parc fait-il l’objet, moyennant quelques améliorations de sûreté d’un palier à l’autre, d’une doctrine de sûreté très homogène. L’essentiel du parc nucléaire français a ainsi été « pensé » sur quelques années, il y a plus de 20 ans. Ainsi, les 42 premières unités, soit les trois quarts du programme réalisé, ont été commandés en l’espace d’une décennie (entre 1970 et 1980) et mis en service de même (entre 1977 et 1987). Il n’a fallu que quelques années de plus pour ajouter les 12 réacteurs du palier P’4 et seules les 4 tranches du dernier palier, N4, ont connu un plus grand étalement dans le temps (voir le Tableau 1).

Ces conditions n’ont pas permis d’intégrer en profondeur, même s’ils ont été pris en compte, les retours d’expérience des accidents de « référence ». C’est non seulement le cas pour Tchernobyl survenu en 1986, après l’essentiel de l’exécution du programme français, mais aussi et surtout pour Three Mile Island, survenu en 1979, plus pertinent pour le retour d’expérience en France du fait de la similitude de conception des réacteurs.

Ainsi, l’accident de Three Mile Island «allait faire voler en éclats » l’assurance de « certains milieux nucléaires » sur la quasi impossibilité d’accident grave. Cependant, en 1981, au moment où les organismes de sûreté en France et dans le monde prenaient conscience des «faiblesses qui ont été mises en évidence dans l’approche de sûreté antérieure » (14), 46 des 58 REP français encore exploités en 2003 étaient soit déjà en exploitation soit en cours de construction.

L’évaluation des risques liés à l’exploitation de réacteurs nucléaires ne pourrait être complète sans une évaluation des risques « externalisés », c’est-à-dire des risques liés à l’ensemble des étapes nécessaires au fonctionnement des réacteurs : la chaîne du combustible et les transports associés.

Or cette chaîne est, dans son organisation même, fortement déterminée par les choix opérés sur les réacteurs et leur gestion du combustible. Cette organisation, à son tour, n’est pas indifférente sur le plan de la sûreté : chaque usine nécessaire à une étape du cycle, chaque installation d’entreposage ou de stockage, et même chaque transport est une source potentielle de risque, avec des caractéristiques variables en termes de sensibilité et de vulnérabilité.

La chaîne française du nucléaire, qui intègre l’ensemble des étapes de l’amont à l’aval de la gestion du combustible, se caractérise principalement par le développement d’une « filière plutonium », basée sur le retraitement et sur la réutilisation de plutonium dans du combustible MOX (« mixed oxides », mélange uranium-plutonium). Elle se caractérise par une grande complexité et des phénomènes parallèles de concentration (des matières) et de dispersion (des sites, des étapes). Cette chaîne présente aujourd’hui, vis-à-vis des différents enjeux de sûreté et de sécurité, des potentiels de danger tout aussi préoccupants que les réacteurs eux-mêmes.

Le cas du projet de réacteur EPR

L’EPR, projet de réacteur franco-allemand – devenu surtout français après la décision de sortie du nucléaire en Allemagne –, est né au tournant des années quatre-vingt-dix d’une volonté d’améliorer à la fois la sûreté et la rentabilité des réacteurs les plus récents, c’est-à-dire en France les réacteurs N4.

Si le concept EPR a souvent été qualifié d’évolutionnaire et non de révolutionnaire, c’est essentiellement parce que la conception de la sûreté de ce réacteur consiste en un renforcement des dispositifs de sûreté existant sur les réacteurs actuels, et non pas une mise à plat de la manière dont les risques sont évalués. Le renforcement de la sûreté de l’EPR par rapport aux réacteurs existants consiste donc en l’introduction de lignes de défense ou de redondances supplémentaires.

En premier lieu, le projet EPR vise une prévention renforcée des accidents de fusion du coeur, en introduisant différents dispositifs pour réduire la probabilité d’origine interne de son déclenchement. Ceci inclut une augmentation de l’inventaire en eau du circuit primaire, et surtout une fiabilité accrue des systèmes de sauvegarde. Ainsi, quatre « trains » de systèmes de sauvegarde indépendants entre eux, séparés physiquement et/ou géographiquement et reposant dans la mesure du possible sur des technologies distinctes réduisent la probabilité de défaillances en série.

Les enceintes sont globalement renforcées. D’une part, l’enceinte du bâtiment réacteur, qui reprend le concept de double paroi sans peau d’étanchéité du palier N4, voit son épaisseur augmentée, notamment pour résister à la chute d’un avion militaire, et offrir une meilleure résistance aux effets de pression et de température liés à un accident grave sur le coeur. D’autre part, les bâtiments de deux auxiliaires de sauvegarde sur les quatre sont protégés par une coque en béton armé. Enfin, le bâtiment des combustibles bénéficie également d’une protection par une paroi en béton armé. L’ensemble inclut des structures plus massives pour une meilleure tenue au séisme.

Un des dispositifs les plus important du projet EPR consiste en un système de « récupération » du cœur fondu dans le cas où malgré les efforts de prévention une fusion du coeur ne pourrait être évitée. Dans un tel scénario, en effet, une partie du coeur fondu peut s’échapper de la cuve. Pour parer à cette situation, un radier en matériau réfractaire est intégré à la base du bâtiment réacteur, afin de maîtriser le refroidissement de ce coeur fondu, ou « corium », par étalement.

Parallèlement, des recombineurs catalytiques doivent pouvoir empêcher une explosion de l’hydrogène libéré dans ce type d’accident. Pour tout accident de moindre importance mais entraînant le dégagement de gaz radioactifs, un système de récupération / filtration situé dans la double enceinte de confinement doit permettre d’empêcher des fuites radioactives vers l’extérieur.

Enfin, le projet EPR prévoit des améliorations dans la prévention de la défaillance d’origine humaine, à travers notamment une simplification de la conduite et une automatisation plus grande de nombreuses fonctions de conduite et de contrôle du réacteur.

Moyennant les différents renforcements de sûreté prévus, les promoteurs de l’EPR se montrent extrêmement confiants : d’abord, «les mesures de protection renforcée contre les accidents de fusion du coeur du réacteur comportent, notamment, des dispositifs de sûreté réduisant encore d’un facteur 10 une probabilité d’accident grave déjà infime avec les réacteurs du parc français actuel et les réacteurs similaires » (15). De plus, «même dans le cas très improbable d’un événement au cours duquel le coeur fondrait, puis percerait la cuve (…), ce type d’événement extrême resterait strictement circonscrit à l’intérieur de l’enceinte de confinement du réacteur. Le voisinage immédiat de la centrale, le sous-sol et la nappe phréatique seraient alors totalement protégés » (16). Enfin, «l’EPR est doté (…) d’une protection physique particulièrement efficace contre les agressions externes» (17).

Le risque d’accident majeur n’est pourtant pas éliminé, même s’il est encore diminué. La démarche reste strictement probabiliste. Ainsi, les objectifs de limitation du risque de fusion du coeur d’une part, et d’accident grave d’autre part, sont passés de respectivement 10-4 et 10-6 par réacteur et par an pour les paliers REP actuels à 10-5 et 10-7 pour l’EPR (18). Si l’on en croit les estimations affichées pour le projet EPR, ces objectifs sont tenus voire dépassés : « au final, la probabilité de fusion du coeur est ainsi de 3,6.10-7/réacteur.an, hors agressions, soit un progrès d’un facteur 15 par rapport au palier N4. Toutes agressions internes prises en compte, elle est égale à 10-6/réacteur.an et à 10-5/réacteur.an en incluant les agressions externes » (19).

Les limites à la sûreté de l’EPR

Bien que le progrès semble indéniable, l’analyse plus détaillée du dossier incite à une certaine prudence. En premier lieu, il faut tenir compte de la différence fondamentale qui existe entre un projet sur papier, l’EPR, et des réacteurs réels offrant un véritable retour d’expérience – environ un millier d’« années.réacteurs » d’exploitation pour le parc actuel français. Le réacteur EPR n’existe actuellement qu’au stade de l’« avant-projet détaillé », ce qui signifie en particulier que de nombreuses affirmations relatives à l’efficacité des nouveaux dispositifs et à la sûreté globale de l’installation doivent encore être validées.

Un rapport parlementaire relevait ainsi en 1998, alors que l’évaluation globale de la sûreté de l’EPR était déjà la même qu’aujourd’hui – la réduction d’un facteur 10 du risque –, certaines questions restant à éclairer par la recherche et développement, ainsi que des incertitudes intrinsèques. Par exemple, la résistance de l’enceinte du bâtiment réacteur aux conditions d’accidents ne peut sur un réacteur – dans le cas de l’EPR, ne pourrait – jamais être vérifiée in situ hors véritable accident. En effet, la résistance et l’étanchéité peuvent être testées aux cours d’essais, dit « épreuve », pour les conditions de pression correspondant à un accident, mais «il faudrait ajouter au chargement de pression un chargement thermique, qui ne peut être simulé lors de l’épreuve », ce qui « laisse des doutes quant à la représentativité de ces essais vis-à-vis des situations accidentelles réelles » (20).

L’enceinte doit par ailleurs être capable de résister à un phénomène d’explosion d’hydrogène, si l’analyse des scénarios d’accident conduit à considérer cette possibilité. Or, comme le note le même rapport parlementaire, «la solution retenue pour le projet EPR, qui consiste à inonder la cuve en cas de surchauffe du coeur, présente l’inconvénient de produire de la vapeur d’eau, donc d’hydrogène », ce qui pose le problème du risque d’explosion d’hydrogène, potentiellement dévastatrice. Or, toujours selon ce rapport, «les recherches conduites par le CEA s’orientent autour de deux voies : inerter l’enceinte ou réintégrer le corium dans le circuit primaire », mais « pour des raisons de coût, ces solutions techniques ont été écartées par les concepteurs de l’EPR ».

Ce point particulier illustre l’existence, dans le projet EPR comme dans la conception et l’exploitation de toute installation nucléaire, d’arbitrages entre sûreté et compétitivité. Les coûts élevés de dispositifs de sûreté supplémentaires ou redondants se heurtent à l’objectif de rentabilité. L’EPR n’intègre pas une sûreté aussi grande que possible, mais aussi grande que possible à un coût jugé raisonnable. Le but affiché, réaliser des gains en productivité et en exploitation par rapport aux charges des réacteurs actuels, impose des limites, liées aux investissements nécessaires, aux améliorations en profondeur de la sûreté.

Le projet prétend pourtant sur le papier réussir à concilier deux objectifs apparemment contradictoires : un renforcement de la sûreté, dont le coût ne peut être négligeable, et un gain de compétitivité, qui peut se traduire par une tension sur les contraintes de sûreté. Alors que de nombreux observateurs jugent peu réalistes les projections de coûts affichées par les promoteurs de l’EPR, on peut redouter, en cas de dérive des coûts réels par rapport à ces objectifs, une logique d’économie qui affaiblisse la sûreté par rapport à son niveau sur papier.

Mais les questions les plus aigues sur la sûreté d’un éventuel futur EPR portent surtout sur sa protection face à des événements jugés « improbables ». L’amélioration par un facteur 10 de l’approche probabiliste n’apporte aucun progrès dans la protection vis-à-vis d’événements qui restent « hors-dimensionnement » lorsqu’ils échappent, justement, à tout calcul de probabilité – où qu’ils restent écartés car jugés trop improbables.

Dans le cas des agressions externes d’origine naturelle ou accidentelle, bien que les données prises en compte soient moins tronquées que pour les REP français actuels du fait du facteur 10 appliqué aux probabilités retenues, l’approche reste fondamentalement probabiliste et écarte donc toujours certains événements parmi les plus rares mais aussi les plus sévères. Pour le risque sismique par exemple, les séismes à épicentres proches ainsi que les effets amplificateurs liés à certaines conformations géologiques, dits effets de sites, sortent de l’étude de cas de l’EPR.

Le « facteur 10 » joue aussi pour la prise en compte des chutes d’avion : sous l’influence des normes allemandes notamment, c’est le risque de chute d’un avion militaire, d’une probabilité de 10-7 par an et par tranche, qui a été retenu comme dimensionnant (21), alors que le dimensionnement des REP actuels est basé sur une probabilité de chute de 10-6 qui s’applique à la seule aviation générale (22). Mais cette extension ne va pas jusqu’à prendre en compte la chute accidentelle d’un avion commercial, jugée encore au moins dix fois plus improbable que celle d’un avion militaire.

Comme le notait en 1998 le rapport parlementaire sur le projet EPR, «l’encadrement de l’aviation commerciale et le fait que les couloirs aériens tiennent le trafic éloigné des centrales nucléaires, et une probabilité de chute de 10-12 rendent le risque de chute d’un avion commercial extrêmement faible », d’où seule «la nécessité d’une protection contre les chutes d’avions de l’aviation générale est impérative ». Mais «il existe peu de rapport entre un avion d’aéro-club et un Boeing 747. Or, si une enceinte résiste sans problème à la chute d’un avion d’aéro-club, elle ne peut pas résister à celle d’un Boeing 747 » (23).

Au final, la chute d’un avion commercial n’étant pas un scénario d’accident considéré comme probable, l’EPR n’a pas été dimensionné sur papier pour y faire face, et un réacteur EPR construit ne disposerait donc pas de protection spécifique contre cette éventualité. Le renforcement global de la sûreté du réacteur le conduirait probablement à mieux résister que ne le feraient les réacteurs actuels à la chute d’un avion de ligne chargé en kérozène. Mais, pour l’heure, rien n’indique que cette résistance serait suffisante.

Aucun des défenseurs du projet EPR, d’ailleurs, ne s’est jamais risqué à affirmer que celui-ci résisterait certainement à une telle agression externe, qui reste hors dimensionnement.

Depuis le 11 septembre 2001, le caractère « vraisemblable » d’attaques terroristes contre des installations nucléaires à l’aide d’avions commerciaux chargés en kérozène ne fait plus de doute. La question du comportement d’un éventuel EPR face à une telle attaque reste en revanche totalement ouverte – et soigneusement évitée par les promoteurs du projet. On peut cependant trouver des éléments de réponse dans les déclarations de responsables français de la sûreté après les attentats contre le World Trade Center : « on ne peut pas garantir qu’une enceinte de réacteur résisterait au choc d’un avion de ligne » (24), et plus précisément « aucune réglementation au monde ne permet de garantir qu’une centrale ne sera pas endommagée par une chute d’avion de grande taille » (25).

Enfin, quelles que soient les avancées réalisées par l’EPR en termes de sûreté, l’évaluation globale de la sûreté de l’industrie nucléaire française au temps de l’EPR doit prendre en compte les évolutions de la chaîne du combustible liées à l’introduction de ce nouveau type de réacteur dans le parc. Du point de vue de la sûreté et de la sécurité, les installations nucléaires hors réacteurs et les transports posent en effet des problèmes différents mais parfois aussi aigus que les réacteurs eux-mêmes.

Or, l’EPR, par principe « évolutionnaire », n’apporte aucun bouleversement dans la chaîne du combustible. Sans même parler de révolution technologique au niveau de la filière, la démarche de renforcement de la sûreté des réacteurs engagée par l’EPR ne s’accompagne pas d’une démarche identique sur la préparation ni le traitement de son combustible.

La conception de l’EPR prévoit au contraire un statu quo industriel sur le reste de la filière, voire une utilisation extensive du combustible MOX, ce qui amplifierait notablement les risques « externalisés » liés à l’exploitation de ce type de combustible. Le passage d’une gestion actuelle du MOX à 30 % du coeur des REP 900, vers une gestion de coeur EPR 1,500 MW moxé à 50 % (les concepteurs envisagent même d’atteindre 100 %) entraînerait une utilisation extensive du plutonium, donc un surcroît d’activité de la chaîne du plutonium. Dans l’état actuel de la chaîne, l’augmentation des flux de plutonium se traduit directement en une augmentation du risque à la fois au niveau des installations et par la simple densification des transports de plutonium.

En conclusion, si le réacteur EPR est de conception plus sûre que les réacteurs actuels par une redondance accrue des fonctions de sauvegarde de l’installation et par un effet global de bunkerisation des bâtiments, il n’apporte aucune amélioration de la sûreté du nucléaire hors réacteurs. Au contraire, l’introduction de l’EPR pourrait constituer un facteur aggravant pour les risques « externalisés » du fait d’une utilisation étendue de combustible MOX.

Une avancée suffisante pour un siècle ?

Selon son promoteur, Areva, «{ l’EPR [est] une décision à prendre dès maintenant afin d’assurer le renouvellement

du parc} » (26). Le groupe industriel français table sur un calendrier très clair (voir Figure 1) : une décision prochaine de lancement d’un démonstrateur EPR doit permettre, après environ six années de construction et deux années d’exploitation avant mise en service industrielle, de disposer d’un premier EPR pleinement opérationnel à l’horizon 2011. De quoi apporter un retour d’expérience suffisant pour l’échéance qu’Areva fixe pour la «décision » sur le «besoin de renouvellement du parc EDF », en 2015. La construction des premières tranches d’une « série EPR » commence alors, avec mise en service des premières unités en 2020 et « poursuite des constructions » ensuite.

La perspective est donc le remplacement du parc actuel, à partir de 2020, par un parc de réacteurs EPR. En tenant compte de leur durée de vie prévue, soit 60 ans au lieu des 30 ans du parc actuel (27), ces EPR seraient opérationnels au-delà de 2080 et quasiment jusqu’au terme du XXIème siècle. Ainsi, entre les premières réflexions sur la définition du projet EPR, à la fin des années quatre-vingt, et la fin de l’exploitation de ces réacteurs, il s’écoulerait environ un siècle. C’est à cette échelle de temps, avec toutes les incertitudes sur l’évolution de l’acceptabilité du risque et sur l’environnement socio-économique auquel seront confrontés les réacteurs, que doit être évaluée la sûreté de l’EPR.

 

 

Aussi, un rapport parlementaire peut bien juger que « en matière de sûreté, les avancées de l’EPR sont déterminantes » (28), et Areva affirmer que «la conception de l’EPR assure le haut niveau de sûreté nucléaire requis au plan mondial pour les futures centrales » (29), on peut se demander si ces avancées seraient réellement suffisantes à l’échelle d’un siècle.

Ce questionnement est renforcé par le constat de l’évolution très rapide des vingt dernières années. En effet, après le lancement du palier N4, c’est dès le début des années quatre-vingt-dix qu’a commencé la réflexion sur le renforcement de la sûreté. Ainsi, l’un des responsables de l’IPSN écrivait dès 1991 : «un autre enjeu essentiel des années 1990 est la définition des réacteurs du futur. […] il faut bien noter que la conception des tranches du palier N4, dont la première tranche devrait être mise en exploitation en 1995, remonte à la première moitié des années 1980 (…). Aujourd’hui, il apparaît à tous les acteurs concernés qu’une amélioration significative de la sûreté des tranches futures est nécessaire par rapport à celles des tranches actuelles » (30).

Cette évolution a été confirmée lors d’auditions parlementaires menées en 2003 sur la durée de vie du parc et son renouvellement. L’EPR y a été présenté comme nécessaire, en lieu et place d’une « rentabilisation » du palier N4 dont seuls 4 exemplaires ont été construits : la DGSNR a en effet expliqué « qu’en 1995, l’autorité de sûreté a signifié qu’au delà des 4 tranches N4 de Chooz et de Civaux, le standard N4 n’était pas acceptable en terme de sûreté pour constituer le réacteur de remplacement du parc électronucléaire français » (31). EDF a confirmé que «l’autorité de sûreté nucléaire considère qu’il ne serait plus acceptable de construire des réacteurs N4, aujourd’hui et a fortiori dans la prochaine décennie dans la mesure où leur conception date du début des années 1980 et que, depuis lors, le référentiel de sûreté a évolué dans le sens d’une exigence accrue » (32).

Il s’agit donc bien de tenir compte d’une évolution des référentiels de sûreté pour définir un système acceptable à long terme. Sachant qu’«il est toujours plus facile et moins coûteux d’intégrer dès la conception des dispositifs de sûreté plutôt que de les installer ultérieurement (…), deux démarches s’affrontent» pour «penser les centrales du futur », ainsi que l’expliquait déjà le rapport de l’OPECST en 1998.

La première est une approche évolutive, qui «vise à accroître les degrés de sûreté en intégrant dès la conception la protection contre la survenance d’accidents graves ». C’est bien sûr la logique dans laquelle s’inscrit l’EPR : « lorsque les concepteurs du projet parlent de réduction d’un facteur 10 des risques, ils partent d’une situation où la probabilité est déjà infinitésimale ; on estime que la probabilité d’accident grave est d’un accident pour une période de 400 ans sur l’ensemble des tranches en service en France. La démarche consiste à réduire encore ces probabilités de risque ».

La seconde repose au contraire sur l’innovation. « L’approche novatrice, ou révolutionnaire, conduit à privilégier des réacteurs reposant sur des procédés sensiblement différents de REP. Ils présentent des inconnues sur le plan de la technologie ou des coûts, mais permettent d’aborder différemment la question de la sûreté ou des déchets ». Il s’agit par exemple de développer « des centrales beaucoup plus simples que les REP, dont la sûreté ne dépend pas du bon fonctionnement des systèmes de sûreté et des réactions des opérateurs, [en insistant notamment] sur la notion de passivité des systèmes qui rend impossible, par conception, une réaction nucléaire incontrôlée ». Cette démarche offre de plus l’intérêt de permettre une approche plus globale de la sûreté, étendue à l’ensemble de la chaîne combustible, là où la démarche évolutive EPR ne s’adresse qu’à la sûreté du réacteur.

A peine vingt ans après le lancement des premiers REP français, et quelques années seulement après la conception de leur modèle le plus avancé, le palier N4, l’évolution des exigences de sûreté conduisait à concevoir un réacteur plus sûr. A l’échelle d’un siècle, des changements plus profonds encore peuvent intervenir dans les conditions opérationnelles de maintien de la sûreté comme dans le degré d’acceptabilité des risques correspondants. Alors que de tels éléments peuvent être déterminants pour la sûreté, il est impossible de prédire l’évolution de la sécurité internationale, des conditions climatiques, des exigences de rentabilité économique ou encore des développements du trafic aérien (nombre de vols, volume et vitesse des appareils…) sur une période aussi longue. Pas plus que celle des critères d’évaluation du risque (évolution de l’approche probabiliste) ou des procédures de décision publique.

Au vu des évolutions rapides enregistrées dans les exigences de sûreté et dans le référentiel des risques à prendre en compte, l’approche évolutive retenue apparaît très limitée. Par rapport au nucléaire existant, le projet EPR réduit certes d’un facteur 10 les risques classiquement pris en compte sur le parc de réacteurs. Mais il ne prend pas en compte comme tels de nouveaux risques pourtant incontournables, essentiellement la chute d’un avion commercial chargé en carburant. Et il n’apporte aucune amélioration à la sûreté et la sécurité, pourtant tout aussi essentielles, de l’ensemble de la chaîne du combustible. Il est en fait peu probable que ceci soit suffisant pour le rendre acceptable à une échéance aussi lointaine que celle prévue pour son exploitation, qui se prolongerait jusqu’à la fin du siècle.