La maîtrise des états de fonctionnement anormaux fait appel à des systèmes de sécurité particuliers (niveau de sécurité 3). Ces équipements spéciaux ont pour rôle d’assurer que le réacteur puisse être arrêté à tout moment et que la chaleur résiduelle encore dégagée après l’arrêt soit évacuée efficacement.
Les accidents dits de dimensionnement font ainsi partie des situations graves que l’installation doit permettre de maîtriser. La rupture d’une conduite de refroidissement primaire, la rupture d’une conduite de vapeur vive ou d’eau alimentaire, ou encore la rupture d’un tube de générateur de vapeur constituent des exemples de ces accidents de dimensionnement. Des incidents dus à des événements extérieurs ont eux aussi été pris en compte dans la conception de l’installation. La centrale est ainsi protégée aussi bien contre des phénomènes d’origine naturelle tels que séismes, tempêtes, chutes de foudre et inondations que contre des conséquences d’activités «civilisationnelles» telles que sabotage et chute d’avions. Sont également pris en considération des accidents qui pourraient survenir lors de la manipulation de matières dangereuses telles que des matières inflammables ou explosibles, ou encore les incendies affectant les installations.
La maîtrise d’incidents exige que soient respectés les quatre objectifs de protection suivants:
- contrôle de la réactivité;
- refroidissement des assemblages combustibles dans le cœur du réacteur et dans les bassins de stockage;
- confinement des matières radioactives;
- limitation de l’exposition aux rayonnements ionisants.
Le respect de ces objectifs de protection fait appel à des fonctions dites de «sécurité» qui doivent elles-mêmes être assurées par des systèmes de sécurité diversifiés et redondants.
Dans la centrale nucléaire de Gösgen, les incidents sont maîtrisés par des fonctions de sécurité gérées par des systèmes installés en trois ou quatre exemplaires et partiellement diversifiés. Des dispositifs de sécurité passifs et actifs agissent également pour prévenir les incidents. Les premiers agissent du simple fait de leur présence, telles que par exemple les nombreuses barrières de protection en béton ou en acier qui garantissent le confinement sûr de la radioactivité et la protection contre le rayonnement ionisant direct issu du cœur de réacteur. Parmi ces dispositifs de sécurité, citons notamment les réservoirs de stockage sous pression du système de refroidissement de secours qui n’exigent pas une mise en circuit commandée en cas de nécessité.
Les dispositifs de sécurité actifs exécutent les actions déclenchées par le système de protection du réacteur par l’intermédiaire d’actionneurs et de groupes de commande. Ils nécessitent un signal déclencheur et une alimentation en énergie. Le système de refroidissement de secours et d’évacuation de la chaleur résiduelle, le système d’alimentation en eau de secours de la cuve, le système d’alimentation électrique de secours et le système de refroidissement de secours sécurisé font partie de ces dispositifs de sécurité actifs. Quel que soit l’incident, les systèmes de sécurité sont soumis au critère de la «défaillance unique» selon lequel la défaillance d’un sous-ensemble, d’un sous-système partiel ou d’un système complet ne doit jamais pénaliser la fonction de sécurité du système global. Pour assurer une sécurité technique fondamentale, les systèmes ou appareils particulièrement importants sont installés en plusieurs exemplaires. Ce principe de redondance est appliqué pour tous les équipements relevant de la sécurité. Ceux-ci regroupent notamment le système de refroidissement du réacteur à l’arrêt et de refroidissement de secours, le système de refroidissement intermédiaire des circuits nucléaires, le système d’injection de sécurité, le système d’eau de refroidissement auxiliaire, le système d’eau froide d’appoint et le blocage de l’accès à l’enceinte de confinement.
Les systèmes de refroidissement du réacteur à l’arrêt et de refroidissement de secours comprennent par exemple essentiellement trois circuits identiques d’injection d’eau, équipés chacun de deux accumulateurs sous pression, d’une pompe alimentaire de sécurité, d’une pompe de refroidissement du réacteur à l’arrêt, d’un échangeur thermique d’évacuation de la chaleur résiduelle et d’un réservoir d’injection d’eau boriquée. Chacun des trois circuits est capable d’assurer à lui seul la fonction de sécurité requise. Il existe de plus un circuit de réserve qui est relié aux trois autres boucles de recirculation de caloporteur. Cet aménagement multiple garantit une disponibilité suffisante de l’ensemble du système en cas de travaux de réparation et de maintenance, ou de perturbation dans une partie du système. La centrale nucléaire de Gösgen dispose en plus d’un système de secours spécial à double circuit relevant du système de refroidissement de secours sécurisé qui garantit que l’installation peut être ramenée dans un état sûr, même en cas d’événement externe extrême, voire en cas d’actions terroristes de l’extérieur telles que la chute ciblée d’un avion.
L’alimentation fiable en eau des générateurs de vapeur est d’une grande importance pour l’évacuation de la puissance thermique résiduelle. Ce rôle est dévolu au système d’eau alimentaire. En plus des trois pompes d’eau alimentaire, ce système dispose de deux pompes de démarrage et d’arrêt avec alimentation électrique secourue qui sont automatiquement mises en œuvre en cas de défaillance de toutes les autres pompes d’eau alimentaire. Ce système d’eau alimentaire de secours est indépendant du circuit eau-vapeur. Son rôle est d’assurer le refroidissement du réacteur par injection d’eau déminéralisée dans les générateurs de vapeur, lorsqu’une alimentation par le système d’eau alimentaire ou le système de démarrage et d’arrêt n’est plus possible. L’activation du système d’eau alimentaire de secours est déclenchée par le système de protection du réacteur, en fonction du niveau d’eau relevé dans les générateurs de vapeur. Chaque générateur de vapeur est associé à une pompe et à un bassin d’eau déminéralisée de secours d’une capacité de 210 mètres cubes. Une autre pompe avec bassin d’eau déminéralisée peut être mise en circuit sur chacun des trois générateurs de vapeur. Les réserves d’eau déminéralisée de secours s’élèvent au total à 840 mètres cubes. Si la chaleur résiduelle ne peut pas être évacuée par le circuit eau-vapeur et par le système d’eau alimentaire de secours (par ex. du fait d’agressions extérieures extrêmes avec endommagement du bâtiment du poste électrique, de la salle des machines, du bâtiment des auxiliaires nucléaires, de la prise d’eau et de l’alimentation extérieure), l’évacuation de la chaleur résiduelle est alors assurée par le système de refroidissement de secours sécurisé. Le système d’eau alimentaire, de démarrage et de mise à l’arrêt, d’eau alimentaire de sécurité et le système de refroidissement de secours sécurisé disposent au total de onze pompes pour l’alimentation en eau des générateurs de vapeur. Mais une seule de ces pompes suffit pour assurer l’évacuation de la chaleur résiduelle.
Le bâtiment de secours se subdivise en deux tranches séparées, qui abritent chacune un système de refroidissement de secours sécurisé. Le bâtiment est conçu de manière à protéger les systèmes de commande de secours contre des impacts externes, parmi lesquels les chutes d’avion, le sabotage, un incendie ou un séisme. Chaque système de refroidissement de secours sécurisé comporte un système alimentaire, des pompes d’évacuation de la chaleur résiduelle, d’injection supplémentaire d’eau boriquée et d’eau brute, des groupes électrogènes de secours, un poste de distribution électrique, des batteries délivrant une tension continue de 48 V, des redresseurs, un système de protection du réacteur, des réserves d’eau déminéralisée d’une capacité de 535 mètres cubes ainsi qu’un groupe électrogène diesel. Chaque pompe alimentaire du système de refroidissement de secours sécurisé refoule dans une conduite d’alimentation de secours directement reliée à un générateur de vapeur. Pour évacuer la chaleur de post-désintégration, il est procédé à une injection d’eau déminéralisée dans au moins l’un des générateurs de vapeur. L’eau s’évapore et la vapeur est rejetée dans l’atmosphère par les soupapes de sécurité du circuit de vapeur vive. L’évacuation de la chaleur résiduelle du réacteur peut ainsi être assurée pendant 10 heures sans intervention humaine. Le cloisonnement et la séparation spatiale de sous-systèmes redondants les protègent d’impacts extérieurs de caractère général tels qu’incendie, inondation ou même chute d’avion. C’est ainsi que les câbles et les tuyauteries d’eau de refroidissement ont été posés selon des tracés séparés, ou que les circuits du contrôle-commande de sécurité du bâtiment des installations électriques, sont logés dans des tranches de bâtiment distinctes.
Dans certains cas, l’application du principe dit de «sécurité intégrée» offre une protection supplémentaire. Toutes les fois où cela a été possible, les systèmes de sécurité ont été conçus de telle manière que des perturbations ou la défaillance de l’alimentation en énergie déclenchent des actions visant la sécurité. Cette sécurité intégrée est notamment réalisée sur le système d’arrêt d’urgence du réacteur qui reste efficace même en cas de défaillance de l’alimentation électrique puisque les grappes de commande sont maintenues en position haute à l’aide d’électroaimants. En cas de coupure du courant, les électroaimants ne sont plus alimentés. Les grappes de commande descendent alors dans le réacteur par simple gravité et le mettent à l’arrêt. Après exploitation des accidents qui se sont produits à l’étranger (Three Mile Island 2 et Tchernobyl), il a été introduit des mesures d’urgence spéciales (niveau de sécurité 4) qui garantissent, même en cas de déroulement d’accidents très rares (défaillances multiples et simultanées de sous-ensembles et d’équipement), que les conséquences restent limitées pour l’environnement de la centrale nucléaire. Pour protéger l’enceinte de confinement en cas de très improbable accident hors dimensionnement, il a été installé en 1993 un système de dépressurisation (DES).
Par une décompression contrôlée et une filtration de l’air déchargé, ce système de dépressurisation empêche l’éclatement par surpression de l’enceinte de confinement. La décompression peut être activée par ouverture des clapets d’arrêt. Ce système de décompression permet la rétention efficace des aérosols et de l’iode dans le liquide de lavage des gaz. Les taux de rétention dépassent 99,9% pour les aérosols fins et grossiers, et 99,5% pour l’iode élémentaire.