CEM nucléaire : contrôle-commande numérique, RG 1.180, IEC 62003

Les premiers réacteurs neufs depuis des décennies aux États-Unis et en Europe de l’Ouest partagent un point que les centrales plus anciennes n’avaient pas à leur mise en service : leur contrôle-commande (I&C) est numérique, des cartes d’entrée jusqu’à la salle de commande informatisée. Cela change le rôle de la compatibilité électromagnétique. Dans une centrale analogique, une perturbation se traduisait surtout par des mesures bruitées. Dans une centrale numérique, elle peut réinitialiser un processeur, corrompre un message ou provoquer un actionnement intempestif dans un système de sûreté.

Les nouvelles constructions en bref

Les projets occidentaux récents utilisent deux modèles : l’AP1000 de Westinghouse aux États-Unis et l’EPR en Europe. Tous deux ont été conçus dès le départ avec des systèmes de protection et de commande à microprocesseurs, au lieu d’ajouter des équipements numériques à une architecture analogique.

Pourquoi la CEM devient un enjeu de sûreté avec le contrôle-commande numérique

Les voies de protection analogiques se dégradent généralement progressivement : la perturbation ajoute du bruit ou un décalage au comparateur de déclenchement, et l’erreur croît avec la perturbation. Les équipements numériques défaillent autrement. Un transitoire rapide très en dessous de tout seuil de dommage peut tout de même provoquer un dysfonctionnement dont l’effet est sans rapport avec l’amplitude de la perturbation.

• Réinitialisation ou blocage : une salve sur un accès d’alimentation ou d’E/S perturbe une ligne d’horloge ou de réinitialisation. Le chien de garde met la voie hors service ou, si la conception est mauvaise, la voie se fige sur sa dernière sortie.
• Erreurs de données : trames corrompues sur une liaison entre armoires ou entre divisions. Elles doivent être détectées et rejetées, jamais utilisées pour agir.
• Actionnement intempestif : un état erroné sur une entrée numérique peut démarrer une pompe ou manœuvrer une vanne, ce qui, dans un système de sûreté, est en soi un événement à analyser.
• Défaillance de cause commune : les divisions redondantes utilisent souvent la même plateforme matérielle. Si une seule perturbation, comme un transitoire de manœuvre sur une alimentation commune ou un émetteur-récepteur portatif dans un couloir, affecte toutes les divisions à la fois, la redondance ne protège plus la fonction de sûreté.

Le retour d’expérience des centrales comprend des signaux intempestifs attribués à des émetteurs-récepteurs portatifs, à des soudures pendant les arrêts et à la manœuvre de fortes charges. C’est pourquoi les autorités de sûreté traitent la CEM comme une partie de la qualification des matériels, à côté de la qualification aux conditions d’ambiance et de la qualification sismique, et pas seulement comme une exigence d’accès au marché.

Les principaux documents d’exigences

NRC Regulatory Guide 1.180 (États-Unis)

Le RG 1.180, Guidelines for Evaluating Electromagnetic and Radio-Frequency Interference in Safety-Related Instrumentation and Control Systems, décrit une méthode que la NRC juge acceptable pour démontrer la compatibilité EMI/RFI du contrôle-commande lié à la sûreté. Il n’invente pas de nouveaux essais. Il reprend des méthodes d’essai de MIL-STD-461 (par exemple CE101, CE102, RE101, RE102, CS114, CS115, CS116, RS101 et RS103), des méthodes alternatives de la série IEC 61000-4 et les normes IEEE C62.41 et C62.45 pour les ondes de choc, et fixe les limites d’émission et les niveaux d’essai à leur associer. Il reprend aussi l’IEEE Std 1050 pour les pratiques de mise à la terre et d’installation et traite les émetteurs portatifs au moyen de zones d’exclusion.

IEC 62003 (contrôle-commande nucléaire international)

L’IEC 62003, élaborée par le sous-comité SC 45A, fixe les exigences d’essais CEM pour les matériels de contrôle-commande importants pour la sûreté des centrales nucléaires. Elle utilise les méthodes d’immunité de la série IEC 61000-4 et les méthodes d’émission CISPR bien connues dans le domaine commercial, mais choisit les niveaux d’essai pour l’environnement de la centrale et exige des critères d’acceptation liés à la fonction de sûreté. Elle appartient à la famille du SC 45A avec l’IEC 61513 (exigences au niveau système pour le contrôle-commande de sûreté) et l’IEC 61226 (classement des fonctions de contrôle-commande), et elle est couramment citée là où l’autorisation s’appuie sur les normes nucléaires IEC, comme dans une grande partie de l’Europe.

IEC 61000-6-5 (environnement des centrales et postes électriques)

L’IEC 61000-6-5 est une norme générique d’immunité du TC 77 pour les matériels utilisés dans les centrales électriques et les postes. Elle n’est pas propre au nucléaire et ne traite que l’immunité, mais elle décrit l’environnement électromagnétique d’une centrale par type d’accès et par emplacement, y compris les perturbations typiques des manœuvres en haute tension. Elle est utile pour les matériels de l’îlot conventionnel et des auxiliaires, pour les matériels sans norme de produit dédiée, et comme vérification croisée que les niveaux retenus pour un système de sûreté ne sont pas inférieurs à l’environnement général de la centrale.

Ce qui est essayé et ce que cela représente

C’est sur le critère d’acceptation que l’essai nucléaire diffère le plus de l’essai commercial. Les normes d’immunité commerciales comme l’IEC 61000-6-2 admettent, pour de nombreux essais de transitoires, une perte temporaire de fonction qui se rétablit d’elle-même. Pour une fonction de sûreté, ce n’est généralement pas acceptable. Le plan d’essais exige en général que les sorties de sûreté ne changent pas d’état, que les autodiagnostics puissent signaler un défaut sans provoquer de déclenchement intempestif, et que les erreurs de communication soient détectées. Le matériel est essayé dans une configuration représentative, logiciel d’application en fonctionnement, et toutes les sorties de sûreté et liaisons de communication sont surveillées pendant l’exposition, et pas seulement vérifiées après.

Mesures de conception efficaces en centrale

• Liaisons par fibre optique entre divisions redondantes et entre systèmes de sûreté et non de sûreté. Elles suppriment le chemin galvanique des transitoires de mode commun et contribuent à l’isolement électrique exigé entre divisions.
• Séparation des câbles par catégorie. Les signaux analogiques bas niveau, les communications numériques et les câbles de puissance cheminent dans des chemins de câbles distincts ou avec des distances de séparation documentées, ce qui contribue aussi à l’indépendance physique des divisions de sûreté exigée par l’IEEE Std 384.
• Reprise des écrans à l’entrée de l’armoire. Les écrans des câbles sont raccordés sur 360° à la plaque d’entrée plutôt que par des queues de cochon (pigtails), et le principe de mise à la terre de la centrale (par exemple selon l’IEEE Std 1050) est décidé une fois et appliqué de façon cohérente.
• Protection à la frontière de l’armoire. Les parafoudres et les filtres aux points d’entrée écoulent les transitoires avant qu’ils n’atteignent les cartes logiques, au lieu de compter sur des protections au cœur de l’électronique.
• Comportement à sécurité positive, chiens de garde et diversité. L’AP1000, par exemple, comprend un système d’actionnement diversifié (diverse actuation system) afin qu’une défaillance de cause commune de la plateforme de protection principale ne supprime pas toutes les fonctions de protection.

Deux estimations simples sont utiles lors des revues de conception : le champ qu’un émetteur-récepteur portatif de puissance connue produit à une distance donnée, qui fixe une distance d’exclusion raisonnable, et la puissance d’amplificateur nécessaire pour reproduire en chambre d’essai le champ qualifié. Si le blindage d’une armoire est invoqué comme mesure, il doit être vérifié par une mesure de perte d’insertion plutôt que supposé.

Erreurs courantes et limites

• Supposer qu’un produit industriel marqué CE est déjà qualifié. Son rapport d’essai montre des niveaux et critères commerciaux ; le plan d’essais nucléaire peut exiger d’autres niveaux, des plages de fréquences plus larges et des critères de fonctionnement plus stricts.
• Essayer une seule carte sur table. Les longueurs de câbles, la mise à la terre et la charge logicielle modifient le résultat ; la configuration essayée doit correspondre à celle installée, ou les écarts doivent être justifiés.
• Oublier que la centrale continue d’évoluer. Un nouveau variateur de vitesse, un réseau sans fil ou un câble dévié modifie l’environnement ; les modifications demandent une revue CEM, et des mesures sur site aident à confirmer l’environnement supposé.
• Traiter la CEM comme un essai final. La séparation, la mise à la terre et l’implantation des armoires sont figées tôt dans la conception d’une centrale, et une non-conformité découverte tard dans le projet coûte bien plus cher à corriger que pour un produit commercial.