Repères - N°34 / Juillet 2017 - Le magazine de l’Institut de radioprotection et de sûreté nucléaire - 7

©stéphanie Jayet/IrsN

Grégory de La Grange,
ingénieur IRSN, devant un
scénario de test joué par
le constructeur lors de la
campagne de validation
du système de protection
d'un réacteur.

calculateurs réagiront, à une baisse de
pression, une baisse de température, etc.
Par conséquent, comme l'explique Jean
Gassino, "le risque concerne surtout les 'défaillances de cause commune' : le fait qu'une
défaillance puisse se propager d'un calcu-

faItS et peRSpectIveS
lateur à un autre ou qu'une cause externe
puisse affecter plusieurs calculateurs simultanément." Pour éviter ces défaillances,
l'architecture du logiciel doit respecter des
principes particuliers, présents aussi dans
le domaine de l'aéronautique, avec par
exemple un principe de "déterminisme" :
les opérations sont effectuées selon une séquence figée à la conception et le résultat
est toujours stocké au même endroit.
En termes de processus, les règles de
l'art impliquent de travailler par petites
étapes, en justifiant tous les choix de
conception. Le fournisseur du logiciel
doit mettre sur pied une équipe de vérification et de validation (V&V) structurellement indépendante des concepteurs.
À chaque étape, celle-ci examine les documents, teste les produits et donne, ou
non, le feu vert pour l'étape suivante.
"Il s'agit de logiciels pratiquement sans

'bugs' dès le départ. La stratégie de V&V
doit être évaluée en elle-même, et non à partir d'indicateurs comme le nombre de bugs
trouvés, qui dépendent autant du nombre
d'erreurs initial que de la pertinence de cette
stratégie", souligne Jean-Claude Péron,
spécialiste IRSN du contrôle-commande
et des logiciels.

Une nouvelle méthode d'analyse
Aux deux piliers classiques de démonstration de la sûreté - la conception et le processus de V&V - s'est ajouté récemment
un troisième, plus exploratoire. Il recouvre
des méthodes d'analyse mathématique
des logiciels, basées sur des théories anciennes, mais difficiles à mettre en œuvre.
"L'IRSN mène des recherches en partenariat avec le CEA [Commissariat à l'énergie
atomique et aux énergies alternatives]. Il
est important de montrer à la communauté

eN claIr

comment fonctionne le système de protection d'un réacteur ?
Ce système automatique - gage de rapidité - détecte les anomalies de fonctionnement et arrête ou protège le réacteur.
À titre d'exemple, voici comment il fait chuter les barres de contrôle de la réaction nucléaire. Selon les cas, le système de
protection peut démarrer des pompes, fermer des vannes, etc.
4 Dans la salle de commande

Informés par le système, les opérateurs
n'interviennent pas durant les trente premières minutes. Ils analysent la situation
et décident de la "conduite post-incidentelle/accidentelle" à mener ensuite.

Circuit
primaire

Barres de contrôle

1
1 Le "système de protection"
Des sondes observent en permanence
les paramètres physiques du fonctionnement du
réacteur. elles envoient leurs données à des calculateurs. en cas d'anomalie, ces derniers "décident"
des actions à mener et envoient leurs ordres à des
organes effecteurs. tout se déroule en quelques
secondes au maximum.

2
2 Une sonde repère
une anomalie

si la réaction de fission dans
le cœur de réacteur s'emballe,
donc si trop de neutrons sont
émis, les sondes envoient
immédiatement un signal à
leurs calculateurs attitrés.

3 Le calculateur déclenche
une action

en fonction des données des sondes,
les calculateurs déclenchent la chute
des barres de contrôle, ce qui arrête
la réaction. Ils envoient dans le
même temps une information à la
salle de commande.

page 7 - repères N° 34 - juillet 2017

Calculateur
Sondes

Table des matières de la publication Repères - N°34 / Juillet 2017 - Le magazine de l’Institut de radioprotection et de sûreté nucléaire