Table des matières
INTRODUCTION ...................................................................................2
I. DÉFINITION DU SYSTÈME À ÉTUDIER .......................................................... 3
II. IDENTIFICATION DES ÉLÉMENTS DANGEREUX ................................................5
III. IDENTIFICATION DES SITUATIONS DANGEREUSES ........................................... 5
IV. ANALYSE DES CAUSES ET CONSÉQUENCES ................................................... 6
V. ÉVALUATION DES NIVEAUX DE RISQUE ....................................................... 7
VI. FORMULATION DES PROPOSITIONS D’AMÉLIORATION .................................... 10
6.1. Barrières de Prévention (Techniques) .....................................................10
6.2. Barrières de Protection (Génie Civil) ...................................................... 11
6.3. Barrières Organisationnelles .............................................................. 11
CONCLUSION .................................................................................12
Bibliographie ....................................................................................13
1
INTRODUCTION
L'accident de la centrale nucléaire de Tchernobyl, survenu le 26 avril 1986, demeure la
catastrophe industrielle la plus grave de l'ère atomique. Si l'histoire a souvent retenu les
erreurs humaines des opérateurs, une analyse rigoureuse sous l'angle de l'Analyse
Préliminaire des Risques (APR) révèle une défaillance systémique bien plus profonde.
L'APR est une méthode de sûreté de fonctionnement visant à identifier, dès la phase de
conception ou avant une modification d'exploitation, les dangers potentiels et les scénarios
accidentels. Dans le cadre de ce projet de Sécurité et Hygiène au Travail, l'application de
l'APR au réacteur RBMK-1000 de la tranche 4 permet non seulement de comprendre la
genèse de l'explosion, mais surtout de hiérarchiser les barrières de sécurité qui ont fait
défaut.
Cette étude s'articule autour d'une décomposition fonctionnelle du système, d'une
évaluation quantitative de la criticité des risques et de la formulation de mesures correctives
visant à transformer un système intrinsèquement instable en une installation sûre.
Figure 1. Le site du complexe électronucléaire de Tchernobyl
2
I. DÉFINITION DU SYSTÈME À ÉTUDIER
Le système étudié est l'Unité de Production n°4 (Tranche 4) de la centrale de Tchernobyl.
Contrairement aux réacteurs occidentaux à eau pressurisée (REP), le réacteur RBMK
(Réacteur de Grande Puissance à Canaux) présente des particularités de conception uniques.
Figure 2. Le réacteur RBMK
Figure 3. du cœur du réacteur RBMK
3
1.1. Les 5 critères de définition
1.1.1. Finalité : La mission primaire est la production de 1000 MW d'électricité. La mission
secondaire, souvent occultée, est la production de Plutonium 239 à des fins militaires,
facilitée par l'accès individuel aux canaux de force sans arrêter le réacteur.
1.1.2. Structure Physique : Le cœur est un immense cylindre de graphite (2500 tonnes)
percé de 1661 tubes de force contenant l'uranium. Le circuit est "direct" : l'eau bout
dans le cœur, la vapeur va aux turbines, revient sous forme d'eau.
1.1.3. Structure Organisationnelle : Le système est régi par une hiérarchie verticale stricte
(ministères soviétiques). Sur le site, on observe une séparation entre les "nucléaires"
(physiciens) et les "électriciens" (opérateurs de salle de commande). Cette scission a
joué un rôle clé dans la mauvaise interprétation des alarmes.
1.1.4. Fonctionnement : Le réacteur utilise le graphite pour ralentir les neutrons
(modérateur) et l'eau pour évacuer la chaleur (caloporteur). Attention : c'est un
système "sur-modéré", ce qui crée un coefficient de vide positif (si l'eau disparaît, la
réaction s'emballe).
1.1.5. Environnement : Situé dans une zone de plaine, avec un réservoir d'eau artificiel pour
le refroidissement. L'environnement humain inclut la ville de Pripyat (50 000
habitants) située à moins de 3 km.
1.2. Découpage en sous-systèmes
Pour l'APR, nous subdivisons la tranche 4 en 8 sous-systèmes cohérents :
SS1 : Le Cœur du Réacteur (Uranium, graphite, structures de support).
SS2 : Le Circuit Primaire de Refroidissement (Pompes de circulation principales,
séparateurs de vapeur).
SS3 : Le Système de Commande et de Protection (CPS) (Barres de contrôle, capteurs
neutroniques).
SS4 : La Salle de Commande et Supervision (Interface homme-machine, calculateurs
SKALA).
SS5 : Le Système de Conversion d'Énergie (Turbos-alternateurs, condenseurs).
SS6 : L'Alimentation Électrique de Secours (Groupes diesels et batteries).
SS7 : Le Système de Refroidissement d'Urgence (ECCS) (Réservoirs d'eau sous
pression).
SS8 : Le Bâtiment Réacteur (Génie civil, blindage supérieur).
4
II. IDENTIFICATION DES ÉLÉMENTS DANGEREUX
Sous-système Type de danger Source de danger spécifique
Inventaire de produits de
SS1 (Cœur) Radiologique
fission (Iode, Césium).
Graphite inflammable à
Chimique / Thermique
haute température.
Haute pression (70 bars) et
SS2 (Circuit) Mécanique
température (280°C).
Alimentation des pompes de
Électrique
circulation (PCP).
Rotation des turbines (3000
SS5 (Turbine) Énergie cinétique
tr/min).
Hydrogène utilisé pour le
Explosion refroidissement des
alternateurs.
Tableau1 : IDENTIFICATION DES ÉLÉMENTS DANGEREUX
III. IDENTIFICATION DES SITUATIONS DANGEREUSES
Dans cette section, nous analysons les situations où les sources de danger identifiées au
chapitre précédent passent d'un état statique à un état critique. Pour chaque sous-système,
nous décrivons les scénarios accidentels redoutés.
SS1 : Cœur du réacteur
Scénario 1 : L'excursion de puissance prompte. Il s'agit d'une rupture de l'équilibre
neutronique où la puissance augmente de plusieurs ordres de grandeur en quelques
millisecondes. La situation devient dangereuse lorsque le réacteur est exploité à
basse puissance, là où son instabilité intrinsèque (coefficient de vide positif) est
maximale.
Scénario 2 : L'incendie généralisé du modérateur. Après une rupture mécanique du
puits du réacteur, le graphite incandescent entre en contact avec l'oxygène. Cette
situation crée un foyer exothermique permanent incapable d'être étouffé par les
moyens de secours classiques.
SS2 : Circuit primaire de refroidissement
Scénario 1 : La rupture d'un collecteur de pression (LOCA). Une défaillance
structurelle d'une tuyauterie de gros diamètre entraîne une dépressurisation brutale.
5
Le danger est la perte immédiate du fluide caloporteur, menant à la fusion du
combustible par manque de refroidissement.
Scénario 2 : La cavitation des pompes de circulation principales (PCP). Si le débit
d'eau devient instable (mélange eau/vapeur), les pompes perdent leur efficacité
hydraulique, provoquant un arrêt du flux de refroidissement alors que le réacteur est
encore en réaction.
SS3 : Système de commande et de protection (CPS)
Scénario 1 : Le "Positive Scram" (Effet de bout de barre). Situation paradoxale où
l'insertion des barres d'urgence provoque une augmentation de réactivité au lieu
d'un arrêt. Cela est dû à la géométrie des embouts en graphite qui déplacent l'eau
absorbante en bas du cœur.
Scénario 2 : Le blocage mécanique des barres. Sous l'effet de la chaleur, les canaux
de force se déforment, empêchant la descente des barres par gravité, rendant le
réacteur impossible à piloter.
SS4 : Salle de commande et supervision
Scénario 1 : L'aveuglement informationnel. Les opérateurs reçoivent des données
contradictoires ou incomplètes de l'ordinateur SKALA. La situation dangereuse naît de
l'incapacité à diagnostiquer l'état réel du cœur en temps réel.
Scénario 2 : L'inhibition volontaire des sécurités. Pour maintenir un test, les
opérateurs désactivent manuellement les signaux d'arrêt automatique, supprimant
ainsi la dernière barrière de défense du système.
SS5 : Salle des machines (Turbines)
Scénario 1 : L'éclatement du rotor de turbine. Une survitesse lors du test d'îlotage
entraîne la rupture des aubes. Le danger est la projection de débris massifs pouvant
perforer les circuits hydrauliques adjacents.
Scénario 2 : L'explosion d'hydrogène. Une fuite du système de refroidissement de
l'alternateur au contact d'un point chaud provoque une déflagration détruisant la
structure de la salle des machines.
SS6 : Alimentation électrique de secours
Scénario 1 : Le défaut de couplage des diesels. Lors d'une perte de réseau, les
générateurs ne parviennent pas à prendre le relais dans le délai critique de 40 à 60
secondes, laissant le réacteur sans refroidissement forcé.
IV. ANALYSE DES CAUSES ET CONSÉQUENCES
Analyse des causes (L'effet "Bout de graphite")
L'une des causes techniques majeures identifiées par cette APR est le défaut de conception
des barres de contrôle (SS3). Les barres possédaient des embouts en graphite. En cas
d'urgence, l'insertion des barres déplaçait d'abord l'eau (absorbeur) par du graphite
6
(modérateur), provoquant une augmentation de la puissance au lieu d'un arrêt. C'est la
"cause racine" physique.
Analyse des conséquences
Primaires : Rupture des tubes de force, soulèvement de la dalle biologique
supérieure (2000 tonnes), explosion de vapeur.
Secondaires : Entrée d'air, incendie du graphite (durée 9 jours), dispersion
atmosphérique mondiale.
Tertiaires : Syndrome d'irradiation aiguë (ARS) pour le personnel, évacuation de 350
000 personnes, impact socio-économique majeur sur l'URSS.
V. ÉVALUATION DES NIVEAUX DE RISQUE
5.1. Établissement des grilles de cotation
5.1.1. Grille de Probabilité (P)
P1 (Très improbable) : Événement non observé dans l'industrie nucléaire (< 10-6/an).
P2 (Improbable) : Incident rare mais possible lors de tests spécifiques.
P3 (Probable) : Défaillance de composant standard.
P4 (Fréquent) : Erreur opérationnelle ou dérive de paramètre.
5.1.2. Grille de Gravité (G)
Dans notre grille de cotation, le choix du niveau de gravité est l'étape la plus sensible. Si le
niveau G3 (Grave) qualifie déjà des accidents industriels sérieux, le cas de Tchernobyl relève
indiscutablement du niveau G4 (Majeur/Catastrophique). Voici l'analyse détaillée qui justifie
ce choix :
L'échelle de l'impact géographique (Transfrontalier) Le niveau G3 se limite
généralement à un impact local ou régional (site industriel et zone limitrophe). Or,
l'accident de Tchernobyl a provoqué un rejet massif d'aérosols radioactifs qui ont franchi
les frontières nationales pour contaminer l'ensemble de l'Europe et une partie de
l'hémisphère Nord. Dès lors que les conséquences d'un risque ne peuvent plus être
contenues dans le périmètre de l'installation ou de sa région, la bascule vers le G4 est
obligatoire selon les normes de sûreté nucléaire.
La persistance temporelle (Pollution durable) Une situation G3 implique des dommages
dont la réparation ou la décontamination est envisageable à moyen terme. Le G4 se
caractérise par une irréversibilité relative. À Tchernobyl, la création d'une Zone
d'Exclusion de 30 km, inhabitable pour des siècles en raison de la demi-vie du Césium
137 et du Strontium 90, impose une classification de gravité maximale. On ne parle plus
d'un "accident de travail", mais d'une modification durable de l'écosystème terrestre.
7
La rupture des barrières de défense (Conséquence systémique) Le niveau G3
correspond souvent à la défaillance d'une ou deux barrières de sécurité avec un impact
maîtrisé. Le G4 est atteint lorsqu'il y a une destruction totale de l'intégrité physique du
système. À Tchernobyl, le bâtiment réacteur (SS8), qui est l'ultime barrière entre les
produits de fission et la biosphère, a été physiquement pulvérisé. Cette "perte de
confinement totale" est le critère technique qui sépare l'incident grave (G3) de la
catastrophe nucléaire (G4).
L'impact sanitaire et sociétal massif Le niveau G3 prévoit des blessés graves ou
quelques décès parmi le personnel exposé. Le G4 intègre des conséquences sanitaires à
l'échelle de populations entières (augmentation des cancers de la thyroïde, stress post-
traumatique des liquidateurs et des évacués). De plus, l'impact sociétal — incluant le
coût économique colossal (estimé à des centaines de milliards de dollars) et la remise en
question mondiale d'une filière technologique — place cet événement dans la catégorie
des risques "existentiels" pour l'organisation ou l'État, justifiant ainsi la note de gravité
4/4.
En conclusion de cette évaluation : Maintenir une cotation G3 serait une erreur d'analyse
majeure. Cela reviendrait à banaliser l'événement en ignorant que toutes les limites de
sécurité acceptables ont été franchies simultanément. Le G4 exprime ici la réalité d'un risque
dont les conséquences dépassent les capacités de gestion de l'exploitant et de l'État
5.2. Quantification et Hiérarchisation des scénarios
La quantification des scénarios est l'étape pivot de l’APR. Elle permet de passer d’une liste
qualitative de dangers à un outil d’aide à la décision. Dans le cadre de la tranche 4 de
Tchernobyl, cette hiérarchisation met en lumière le déséquilibre flagrant entre la probabilité
estimée par les concepteurs et la gravité réelle des conséquences.
5.2.1. Justification de la cotation du scénario majeur : L'excursion de puissance
Le scénario de l'excursion de puissance prompte, qui a conduit à l'explosion du réacteur, est
coté P2 x G4, soit un indice de criticité de 8 (sur une échelle où tout score supérieur à 6 est
considéré comme inacceptable dans l'industrie nucléaire).
Justification de la Probabilité P2 (Improbable mais possible) :
D'un point de vue purement statistique et selon les manuels d'exploitation soviétiques de
l'époque, une excursion de puissance était jugée "incroyable". Cependant, l'analyse
systémique force à retenir la note P2.
Complexité du test : Le test d'îlotage prévoyait de placer le réacteur dans un régime
transitoire instable.
Facteurs aggravants : La probabilité n'est plus théorique (P1) dès lors que les verrous
de sécurité (SCRAM manuel, blocage des pompes) sont levés. Le passage d'un état
stable à un état critique devient une probabilité réelle lors de configurations
dégradées (empoisonnement au Xénon, faible réserve de réactivité).
Angle sceptique : On peut même affirmer que dans les conditions spécifiques du 26
avril, la probabilité n'était plus P2 mais P4 (Quasi-certain). La structure même du
8
RBMK rendait l'accident inévitable une fois les barres de contrôle retirées au-delà des
limites autorisées.
Justification de la Gravité G4 (Catastrophique) :
Comme développé précédemment, la note G4 s'impose. Elle ne qualifie pas seulement la
destruction de l'outil de travail (perte économique), mais la rupture de la dernière barrière
de confinement.
Impact irréversible : Le rejet de 50 millions de curies dans l'atmosphère et la création
d'une zone d'exclusion permanente transforment cet accident en une catastrophe
civilisationnelle.
Comparaison : Là où un scénario G3 (comme une fuite de vapeur classique)
permettrait une reprise d'activité après réparations, le G4 signe l'arrêt définitif du
système et une menace durable pour la santé publique mondiale.
5.2.2. Tableau de hiérarchisation des risques
Pour structurer la hiérarchie, nous classons les scénarios identifiés par ordre décroissant de
criticité (C = P * G) :
Scénario (Sous- Probabilité Priorité
Rang Gravité (G) Criticité (C)
système) (P) d'action
Excursion de Urgente /
1 2 4 8
puissance (SS1) Inacceptable
Incendie du Urgente /
2 2 4 8
graphite (SS1) Inacceptable
Effet de bout Haute / À
3 3 2 6
de barre (SS3) traiter
Erreur
Moyenne /
4 d'interprétation 4 1 4
Procédural
(SS4)
Explosion
Faible /
5 d'hydrogène 1 3 3
Surveillance
(SS5)
Tableau1 : hiérarchisation des risques
5.2.3. Analyse de la hiérarchisation
La hiérarchisation révèle que les risques les plus critiques ne sont pas liés aux pannes
mécaniques (pompes, turbines), mais à la physique même du cœur.
Le paradoxe de la sécurité à Tchernobyl :
9
L'analyse montre que les efforts de sécurité étaient concentrés sur des scénarios de type
"rupture de tuyauterie" (G3), alors que le scénario de l'excursion de puissance (G4) était
considéré comme si improbable que les barrières de protection (comme une enceinte de
confinement) ont été jugées superflues et trop coûteuses.
Conclusion de la quantification :
En APR, un risque Inacceptable (Score 8) impose soit l'arrêt immédiat de l'activité, soit une
refonte totale de la conception. L'erreur tragique de 1986 a été de maintenir l'exploitation
d'un système dont la criticité réelle avait été sous-évaluée par un biais d'optimisme
institutionnel. Dans une approche rigoureuse, la simple possibilité d'un événement G4
(même avec une probabilité P1) aurait dû interdire la réalisation du test sans des barrières de
sécurité automatiques passives et inviolables.
VI. FORMULATION DES PROPOSITIONS D’AMÉLIORATION
Le but des barrières de sécurité est d'interrompre la chaîne causale menant à l'accident
(prévention) ou de limiter l'énergie libérée et les rejets une fois l'accident amorcé
(protection). À Tchernobyl, la quasi-totalité de ces barrières était soit absente, soit
désactivée.
6.1. Barrières de Prévention (Techniques)
Les barrières de prévention visent à modifier la physique et la conception du système pour le
rendre intrinsèquement sûr.
Modification structurelle des barres de contrôle (Le système CPS) : L'analyse des
causes a révélé que les barres de contrôle possédaient un "displaceur" en graphite
qui, lors de l'insertion initiale, augmentait la réactivité en bas du cœur (effet de
positive scram).
Action : Supprimer les embouts en graphite pour que l'insertion de la barre se
traduise immédiatement par une absorption de neutrons sur toute la hauteur
du canal.
Accélération de l'insertion : En 1986, le temps d'insertion totale était de 18 à
20 secondes, ce qui est inopérant face à une excursion de puissance se
comptant en millisecondes. La barrière proposée consiste à installer un
système d'insertion rapide (SCRAM) capable de plonger les barres en moins
de 2 secondes sous pression gazeuse.
Augmentation de l'enrichissement du combustible : Le réacteur RBMK était
initialement conçu pour fonctionner avec de l'uranium enrichi à 2,0 %, ce qui le
rendait extrêmement sensible aux variations de la quantité d'eau (coefficient de vide
positif élevé).
Action : Passer à un enrichissement de 2,4 % ou plus.
Justification technique : Un enrichissement plus élevé nécessite l'ajout
d'absorbeurs fixes supplémentaires dans le cœur pour compenser l'excès de
10
réactivité. Ces absorbeurs "durcissent" le spectre des neutrons, ce qui réduit
drastiquement la valeur du coefficient de vide. Ainsi, même si l'eau se
transforme en vapeur, l'augmentation de la puissance est freinée par la
physique même du combustible, rendant l'emballement impossible.
6.2. Barrières de Protection (Génie Civil)
Ces barrières interviennent après la rupture des barrières de prévention pour confiner
l'énergie et les matières radioactives.
Construction d'une enceinte de confinement intégrale : Contrairement aux réacteurs
occidentaux de la même époque, le RBMK n'avait pas d'enceinte de confinement
(containment). Le bâtiment réacteur était une structure industrielle classique
incapable de résister à une surpression.
Action : Édifier un dôme en béton précontraint avec une peau d'étanchéité
interne en acier.
Capacité de résistance : Cette structure doit être dimensionnée pour
supporter une explosion de vapeur (accident de dimensionnement) et
maintenir à l'intérieur les produits de fission gazeux (Iode, Xénon). Sans cette
barrière, l'explosion a immédiatement exposé le cœur à l'atmosphère.
L'enceinte aurait également permis d'étouffer l'incendie du graphite en
limitant l'apport d'oxygène, brisant ainsi l'effet de cheminée thermique
observé pendant 9 jours.
6.3. Barrières Organisationnelles
Le facteur humain et institutionnel constitue la défense en profondeur finale.
Indépendance de la Sûreté et Autorité de Contrôle : En 1986, l'exploitant de la
centrale, le concepteur du réacteur et l'organisme de contrôle dépendaient tous du
même ministère soviétique. Cette consanguinité institutionnelle a conduit à une
culture du secret et à l'absence de "contre-pouvoir" technique.
Action : Création d'une Autorité de Sûreté Nucléaire (ASN) totalement
indépendante des ministères de l'énergie et de l'industrie.
Pouvoir d'interdiction : Cette autorité doit disposer d'inspecteurs permanents
sur site ayant le pouvoir légal d'interrompre tout test ou procédure si les
marges de sécurité (comme le nombre minimal de barres de contrôle insérées)
ne sont pas respectées.
Transparence et Culture de Sûreté : La barrière organisationnelle implique
également la fin du dogme de "l'infaillibilité du système soviétique". Une
analyse rigoureuse impose que les défauts de conception soient communiqués
aux opérateurs. Si les ingénieurs de Tchernobyl avaient su que le bouton AZ-5
pouvait provoquer une explosion dans certaines conditions, ils ne l'auraient
jamais utilisé. L'information technique devient ici une barrière de sécurité à
part entière.
11
CONCLUSION
L'APR de Tchernobyl nous rappelle un principe fondamental de l'hygiène et de la sécurité au
travail : la sécurité ne se décrète pas, elle se conçoit. Les barrières que nous avons proposées
qu'elles soient physiques (enceinte de confinement), techniques (enrichissement du
combustible) ou administratives (indépendance de la sûreté) constituent aujourd'hui les
piliers de la sûreté nucléaire mondiale.
L'accident de 1986 a agi comme un catalyseur tragique, transformant radicalement notre
approche du risque. Passer d'une confiance aveugle dans la machine à une culture du doute
et de la vérification permanente est sans doute l'amélioration la plus significative que la
méthode APR a permis d'instaurer dans les consciences des ingénieurs modernes. Cette
étude démontre que la maîtrise du risque est un combat perpétuel contre la complaisance et
l'oubli des lois de la physique.
12
Bibliographie
Agence internationale de l’énergie atomique (AIEA). (2006). Chernobyl’s legacy: Health,
environmental and socio-economic impacts. Vienna: IAEA.
IAEA. (2015). The Fukushima Daiichi accident: Technical volume 1/5 – Description and
context of the accident. Vienna: International Atomic Energy Agency.
United Nations Scientific Committee on the Effects of Atomic Radiation (UNSCEAR). (2008).
Sources and effects of ionizing radiation: UNSCEAR 2008 report to the General Assembly.
New York: United Nations.
UNSCEAR. (2011). Health effects due to radiation from the Chernobyl accident. New York:
United Nations.
World Health Organization (WHO). (2006). Health effects of the Chernobyl accident and
special health care programmes. Geneva: WHO Press.
Medvedev, Z. A. (1990). The legacy of Chernobyl. New York: W. W. Norton & Company.
Plokhy, S. (2018). Chernobyl: History of a tragedy. New York: Basic Books.
IAEA. (1992). The Chernobyl accident: Updating of INSAG-1. Vienna: International Nuclear
Safety Advisory Group.
OECD Nuclear Energy Agency. (2002). Chernobyl: Assessment of radiological and health
impacts. Paris: OECD Publishing.
13