Rapport d'activité 2002

Institut De Radioprotection Et De Surete Nucleaire

Description

Le rapport présente l'activité de l'Institut de radioprotection et de sûreté nucléaire dans les domaines suivants : sûreté des réacteurs et des installations, sécurité des matières radioactives et des transports, protection de l'homme et de l'environnement, sûreté des déchets radioactifs. Il indique, dans tous ces domaines, les partenariats avec les organismes français et étrangers concernés par la sûreté nucléaire. Enfin, il estime nécessaire de construire et de maintenir son niveau d'expertise en s'appuyant sur la formation à la recherche des ingénieurs.

Sujets

• 2002
• Institut de radioprotection et de sûreté nucléaire
• Sécurité nucléaire
• Santé publique
• Protection de l'environnement
• Radioactivité
• Réacteur nucléaire
• Centrale nucléaire
• Combustible nucléaire
• Déchet radioactif
• Gestion des déchets
• Transport
• Coopération internationale

Informations

• Publié par: rapports-tous-les-rapports
• Publié le: 01 décembre 2002
• Nombre de lectures: 12
• Licence : En savoir +
  Paternité, pas d'utilisation commerciale, partage des conditions initiales à l'identique
• Langue: Français
• Poids de l'ouvrage: 1 Mo

Extrait

Avant-propos

activité de l’IPSN et de on des travailleurs et de

matières nucléaires et s scientifiques marquants Ces deux établissements  de l’IRSN, à l’issue d’un nnées.

rapport, dont la vocation ique de l’IRSN. Il s’inscrit e l’IPSN, et j’ai plaisir à t pas écoulé plus de deux une certaine continuité.

seurs, depuis la sûreté tion de l’homme et de de l’OPRI, sans oublier la estion des déchets.

ertain nombre d’activités e l’environnement et qui s deux domaines.

nsidéré ;

tenariats internationaux” ctivités de l’IRSN, ce qui

’ouverture vers l’extérieur ment la relation avec les rt quelques éléments sur

les de l’édition, qui ont ’apprécier la qualité des  capital pour l’avenir de

t,Administrateur de l’IRSN

Modèle d’analyse des incidents RECUPERARE, intégrant les facteurs techniques, humains et organisationnels • N . MATAHRI ( IRSN ) • G . BAUMONT ( IRSN ) • C . HOLBE ( IRSN )

D i u m o e   n rel oc r R e IN i S t e e   s a p x   rle’tAéu,t olr’imtpét ed ed esû  erda ed  snac el donxp’e msasiis les événements d’exploitation qui pourraient avoir un impact sur la sûreté des réacteurs à eau sous pression. À cette fin, l’Autorité de sûreté a notamment demandé à EDF de lui déclarer systématiquement les faits les plus importants, appelés “incidents significa- tifs pour la sûreté”. L’IRSN dispose ainsi de rapports d’incident, dont il doit réaliser l’analyse 1 en continu. L’IRSN a élaboré différentes méthodes d’analyse du • retour d’expérience pour tirer les leçons les plus per- tinentes des incidents significatifs et a créé plusieurs bases de données servant de support à la mémoire de l’analyse des incidents. Jusqu’à présent, ces bases de données s’intéressent préférentiellement soit aux facteurs techniques soit aux facteurs humains, et à la description des causes et des conséquences sur la sûreté des installations. L’analyse du retour d’expé- rience vise généralement en effet à identifier des

1 - Rappelons qu’EDF exploite 58 réacteurs nucléaires à eau sous pression et déclare en moyenne 400 “incidents significatifs pour la sûreté” par an.

Un nouveau modèle de description d’incident L’idée à l’origine du modèle RECUPERARE pré- senté ici est de mettre au point un “modèle d’in- cident” s’inspirant du “modèle d’accident” proposé par les EPS, structurant les données habituellement étudiées dans le retour d’expé- rience. Le modèle décrit : • le début de l’incident, c’est-à-dire l’émergence des causes de l’incident (erreurs humaines, défaillances techniques ou défauts organisa- tionnels) ; • les caractéristiques de l’écart vis-à-vis des exi- gences prescrites dans les règles d’exploitation générales et du déroulement de l’incident ; • la récupération de la situation (qui repose sur le système humain et/ou les automatismes

L’IRSN a élaboré différentes méthodes d’analyse du retour d’expérience pour tirer les leçons les plus pertinentes des incidents significatifs.

R A P P O R T S C I E N T I F I Q U E

E T

T E C H N I Q U E 2

0 0 2

7

8

Figure 1

Figure 2

défaut

récupération

Défaut latent récupéré avant MES (type A)

Le schéma ci-dessous synthétise le modèle (figure 1). Des mécanismes de récupération jusqu’alors peu étudiés Ce modèle permet donc d’intégrer dans l’analyse des incidents les facteurs techniques, humains et organisationnels, en s’attachant à la compréhen- sion des actions de récupération jusqu’alors peu étudiées. Les principales données étudiées grâce à RECU- PERARE sont : • la fréquence annuelle des erreurs humaines et des défaillances techniques et leur contexte d’apparition ; • la nature du couple défaut-récupération, en tenant compte de la notion de défaut latent ainsi que du délai de latence et en introduisant une référence temporelle : la mise en service du système concerné ; • les effets de dépendance entre les facteurs liés

Mise en service du système

défaut

récupération

Défaut latent récupéré après MES (type B)

défaut

récupération

Défaut de type C

I N S T I T U T D E R A D I O P R O T E C T I O N E T D E S Û R E T É N U C L É A I R E

• les “temps de réponse” des opérateurs relatifs à la détection des problèmes et à leur récupé- ration. Ce point est particulièrement important car les conséquences d’un incident peuvent être plus ou moins sévères, selon les performances de la récupération des situations incidentelles. La notion de couple défaut-récupération a conduit à proposer une classification des inci- dents en six familles. 1. Type A : défaut latent découvert et récupéré avant la mise en service (MES) du système concerné. 2. Type B : défaut latent découvert et récupéré après la mise en service du système concerné. 3. Type C : défaut apparu alors que le système est déjà en service. 4. Type D : cumul de défauts (par exemple, répé- tition de la même erreur, défaut pendant la récupération d’un premier défaut, défaut de stratégie engendrant différentes actions inap- propriées). s impact cess. la radio-

sification pération. née” cor- ’aperçoit système nc la dis- sation de cident de e défaut-

nt sur un tion (par mise en classé en

dure de auvaise en cours  en inci-

er les dif- s rendus de suivre ette ana- données

Des résultats multiples

Du fait de la richesse de la base, les résultats sont multiples et permettent de répondreàdifférents types de questions que peuvent se poser les ana- lystes de l’IRSN. En effet, la base permet d’obte- nir des répartitions d’incidents suivant plusieurs critères, des courbes de délais de détection ou de récupération ou des caractérisations globales des familles d’incidents selon des méthodes statis- tiques avancées. Quelques exemples de résultats sont illustrés ci- contreà partir de l’analyse des années 1997à 1999. Les courbes sontétabliesà d partir’un échantillon contenant au moins vingtéléments.

Répartition

D’une annéeà  des incidents d peu (par exemp latents). Elle conception des tion, de l’organ tant,éléments l’autre. Cette st le choix initial exemple, on no dents de cum du total. Cette mesurer l’effet dans l’organisa comparant les r

Influence d des incide

L’histogramme nombre d’incid cadien qu’à la l’installation sui effet, c’est pend oùla densitéd’ duit la majorité  Pour compléter de lafigure 5r lité d’échec d temps 1 pour les que c’est penda tion est la plus exemple, que 5 en moins de 2 environ le jour.

Figure 3

Figure 4

1 - Les courbes de probabilitéd’échec de la détection en fonction du temps sont obtenues en effectuant le calcul suivant : P = 1 - (Nb incidents détectés avant t / Nb incidents dans l’échantillonétudié). R A P P O R T S C I E N T I F I Q U E E T T E C H N I Q U E 2 0 0 2

9

10

Nature de l’activité en cours lors de l’émergence de l’incident

L’histogramme de lafigure 6montre que les situations d’essais périodiques et de requalifica- tion des systèmes après intervention (regroupées sous la légende“essais divers”) ainsi que les transitoires d’exploitation (par exemple la mon- tée en puissance du réacteur), sont les activités au cours desquelles apparaissent prè %s de 50 des incidents. Ces constats nécessitent une analyse pour comprendre le mécanisme de ces situations particulières. Il faut savoir que ces situations, de faible durée, ne sont pas prises en compte dans les scénarios hypothétiques des EPS, que les procédures de conduite incidentelle et accidentelle sont conçues pour desétats stan- dards et que les opérateurs peuvent ne réaliser

Figure 6 Pour chaque type d’activitéd’exploitation, nature des incidents

certaines de ces opérations qu’une fois tous les sept ans (la conduite du réacteur est assurée par un roulement de septéquipes intégrées). Grâceàla méthode RECUPERARE, les contextes d’émergence des erreurs ou des défaillances peu- ventêtre mieux analysé on retiendra que less : contextes temporels sont cités dans plus d’un quart des rapports d’incidents (sans que cette information soit explicitement demandée). En particulier, les erreurs surviennent principalement lors de tâches conduites sur plusieurs quarts d’affilée ou lorsque plusieurs tâches sont accom- plies de manière simultanée. La planification des tâches et leur coordination sont des aspects orga- nisationnels importants, dont l’influence peut être ainsi quantifiée. Délais de latence des défauts

 qu’un défaut est considéré comme l est présent sur un système avant sa vice, sansêtre détecté (figure 7). Ce éfaut est particulièrement important sûreté de l’installation ne peutêtre si tous les systèmes importants pour otamment les systèmes de sauvegarde) ent disponibles, c’est-à-dire notam- ne présentent pas de défauts latents. ci-contre montre que les distributions  latence pour les incidents de ce type 1997 et en 1998 sont superposables, ans doute, les défauts en cause soient  très différentes. Cela plaiderait en thèse selon laquelle ce sont des fac- chniques et non propres au défaut qui leur détection, mais plutôt des facteurs du fait de l’organisation des activités es d’exploitation et de contrôle.

influençant les délais ction et de récupération dents de type C

et 1998, les courbes de probabilité  la détection des défauts“en cours (défauts de type C) présentent une ilarité forme. Les facteurs qui in- de s délais de détection ont puêtre iden- rs effets, quantifiés (les moyens de dé- mode de dépendance...). Concernant ces techniques, on note une influence de la défaillance sur la rapiditéde la

Par exemple, d’après lafigure 8, les incidents ayant pour cause un problèmeélectrique sont les incidents détectés le plus vite. Les principaux résultats mis enévidence par la méthode RECUPERARE sont les suivants : • %dans 17 des incidents où l’information aété précisé le dans le compte rendu’acteur de l’erreur , a récupéré des %sa propre erreur, et ce dans 80 cas dans un délai de moins de 20 minutes. Lorsque c’est un autre membre de l’équipe ou un acteur indépendant qui récupère l’erreur, la récupération est moins rapide (figure 9) ; •les acteurs de la récupération sont principale- ment l’équipe de conduite et surtout l’opéra- teur, qui récupère plus d’erreurs qu’il n’en provoque. On note en outre que les automati- ciens sont des acteurs qui interviennent dans la récupé ; des incidents %ration de 20 •dans un cinquième des incidents, la procédure utilisée pour la récupération présentait un défaut et l’impact sur le délai de restauration de la situation a puêtre mesuré(figure 10).

Lien entre l’impact sur la sûreté et les délais de détection et de récupération L’analyse a pu mettre enévidence que les inci- dents jugés les plus marquants pour la sûret par les analystes de l’IRSN, du fait de leur contexte humain et de leurs conséquence potentielles sur la sûreté, sont des incidents o la détection et la récupération ontété particu lièrement lentes.

Conclusion

Cette méthode d’analyse ouvre de nouvelles pistes pour l’analyse du retour d’expérience. Bien que les sites nucléaires ne donnent pas tous le même type d’information et que certaines don- nées soient manquantes, le fait d’avoir u nombre de données important permet de distin- guer des tendances et des profils sur la nature des incidents d’une année. La méthode permet d’établir une vue générale d la nature des incidents chaque année et de carac tériser les performances deséquipes pendant la récupération des situations incidentelles. De plus, les résultats peuventêtre utilisés comm tableau de bord d’une année sur l’autre en choi- sissant certains paramètres pertinents qui per- mettraient de se forger une opinion globale sur

Figure 8 Courbes de probabilitéd’échecàla détection etàla récupération

Figure 9 Probabilitéd’avoir un certain délai entre la détection

Figure 10 Probabilitéd’avoir un certain délai entre la détection et la récupération d’un incident selon qu’un problème existe ou non dans la procédure

la sûretédes installations au fil des années,àpar- tir de données objectives. Pour conclure, il est clair que les opérateurs et les équipes de conduite corrigent en permanence des petits dysfonctionnements ou des dysfonctionne- ments n’ayant pas de conséquence réelle sur la sûreté, mais dont la correctionévite uneéven- tuelle dégradation de l’installation. Ces faits ont été observésà multiples reprises par les sp deé- cialistes du facteur humain en salle de commande. Les opérateurs ont sans doute mis au point des stratégies implicites de récupération vis-à-vis de ces dysfonctionnements. L’outil RECUPERARE devrait permettre de mieux comprendre cet aspect important de la conduite des installations.

R A P P O R T S C I E N T I F I Q U E E T

T E C H N I Q U E 2 0 0 2

11