Repères - N°34 / Juillet 2017 - Le magazine de l’Institut de radioprotection et de sûreté nucléaire - 6

Légendexxxxxxxx
Avant
d'une armoire numérique
xxxxxxxxxxxx
utilisée pour le contrôle-commande.

systèmes de contrôle-commande

La sûreté à l'épreuve du numérique
les systèmes de contrôle-commande des réacteurs, et en particulier les automatismes de
protection, utilisent de plus en plus la technologie numérique. pour aborder ce "tournant"
informatique, les experts ont mis au point des procédures de vérification pointues.

uatre ans. C'est le temps qu' EDF
aura dû attendre avant de remplacer le "système de protection"
de ses vingt réacteurs du palier 1 300 MW.
Le constructeur a développé, validé et testé ce nouveau dispositif durant trois ans.
Puis l'IRSN a consacré un an à l'évaluer,
mobilisant plusieurs spécialistes de l'équipe
"contrôle-commande et systèmes électriques". Pourquoi autant de précautions ?
Tout d'abord parce qu'il s'agit d'un élément
essentiel pour la sûreté (voir l'infographie
p. 9). En cas de dépassement de paramètres
associés aux conditions normales de fonctionnement, ses automates arrêtent, en
quelques secondes, la réaction nucléaire et
déclenchent les actions nécessaires pour
amener l'installation en "état contrôlé".
Le nouvel équipement de protection possède une commande informatique. Grâce
à la numérisation, il est possible de réaliser encore plus de fonctions de sûreté
et d'assurer l'autodiagnostic permanent
page 6 - repères N° 34 - juillet 2017

du matériel. Les interfaces gagnent également en convivialité. En revanche, le système est plus complexe que ses prédécesseurs basés sur des relais électriques. "Le
risque de se tromper lors de la conception
d'un logiciel existe. Cela exige des règles de
conception et des procédures de validation
strictes", explique Jean Gassino, expert en
contrôle-commande à l'IRSN.
L'ensemble du système de protection
comprend une quarantaine de calculateurs embarqués. Ils reçoivent des informations de multiples capteurs, mesurant
par exemple la température, la pression,
le niveau d'eau ou le flux de neutrons, à
différents endroits du réacteur. À partir de
ces données, les calculateurs peuvent déclencher des actions, comme la chute des
barres d'arrêt du réacteur, le démarrage
de pompes d'injection d'eau borée... soit
en tout une vingtaine d'opérations de sûreté. Les menaces "traditionnelles" pour le
fonctionnement du système ont été prises

en compte à la conception. L'utilisation de
matériels fiables et redondants - parfois
jusqu'à quatre automates indépendants affectés à la même fonction - a pour objectif
d'éviter les défaillances. Les concepteurs
ont pris les précautions habituelles contre
les agressions : les séismes, les incendies,
les inondations, etc. La démonstration de
sûreté du logiciel de commande a exigé un
long travail d'expertise par l'IRSN.

Conception et processus,
les deux piliers de la sagesse
Pendant un an, l'IRSN a "épluché" cette
démonstration, s'intéressant tant à la
conception du logiciel proprement dit
qu'au processus de développement utilisé - en particulier la stratégie de validation et de tests retenue. Par conception,
le logiciel comprend souvent plusieurs
fonctions indépendantes pour répondre
à un même événement. Par exemple, en
cas de rupture d'une tuyauterie, plusieurs

Formation des pilotes
de conduite des salles de commande
numérique sur un simulateur à la
centrale de Paluel (Seine-Maritime).

©rolls-royce

faItS et peRSpectIveS

Table des matières de la publication Repères - N°34 / Juillet 2017 - Le magazine de l’Institut de radioprotection et de sûreté nucléaire