DIRECTIVES TECHNIQUES POUR LA CONCEPTION ET LA

CONSTRUCTION DE LA PROCHAINE GENERATION DE REACTEURS

NUCLEAIRES A EAU SOUS PRESSION

Adoptées pendant les réunions plénières

du GPR et des experts allemands les 19 et 26 octobre 2000
 Version française
(mars 2004)

INTRODUCTION ET CHAMP D'APPLICATION ..................................................................................................... 1

A - PRINCIPES DE SURETE ......................................................................................................................................... 2

A.1 – APPROCHE GENERALE DE SURETE .......................................................................................................................... 2

A.1.1 – Objectifs généraux de sûreté .......................................................................................................................... 2
A.1.2 – Le principe de "défense en profondeur"......................................................................................................... 3
A.1.3 – Stratégie générale relative aux accidents graves ........................................................................................... 4
A.1.4 – Démonstration de sûreté ................................................................................................................................ 5
A.2 - PRINCIPES GENERAUX DE SURETE ........................................................................................................................... 7
A.2.1 – Comportement du réacteur en régime transitoire .......................................................................................... 7
A.2.2 - Redondance et diversification dans les systèmes de sûreté............................................................................. 7
A.2.3 - Interface homme-machine............................................................................................................................... 8
A.2.4 - Protection contre les agressions internes ....................................................................................................... 9
A.2.5 - Protection contre les agressions externes....................................................................................................... 9
A.2.6 - Utilisation des études probabilistes de sûreté............................................................................................... 10
A.2.7 - Radioprotection des travailleurs et des personnes du public ....................................................................... 11

B – CARACTERISTIQUES DE SÛRETE DE BASE ................................................................................................. 12

B.1 - CONCEPTION DES BARRIERES................................................................................................................................ 12

B.1.1 – Conception du cœur et du gainage du combustible ..................................................................................... 12
B.1.2 - Circuit primaire ............................................................................................................................................ 13
B.1.3 – Exigences relatives aux tuyauteries secondaires principales....................................................................... 14
B.1.4 - Fonction de confinement............................................................................................................................... 15
B.2 - FONCTIONS ET SYSTEMES DE SURETE ................................................................................................................... 18
B.2.1 – Classement des fonctions, barrières, structures et systèmes de sûreté......................................................... 18
B.2.2 - Exigences pour les équipements de sûreté .................................................................................................... 21
B.2.3 - Exigences applicables à des fonctions de sûreté spécifiques ........................................................................ 22
B.2.4 - Exigences applicables aux systèmes de sûreté supports ............................................................................... 28

C – PREVENTION DES ACCIDENTS ET CARACTERISTIQUES DE SURETE DE LA TRANCHE............... 30

C.1 - REDUCTION DES FREQUENCES DES EVENEMENTS INITIATEURS ............................................................................. 30

C.2 - REDONDANCE ET DIVERSIFICATION....................................................................................................................... 30
C.2.1 - Critère de défaillance unique et maintenance préventive............................................................................. 30
C.2.2 – Etude probabiliste de sûreté et diversification............................................................................................. 32
C.3 - FACTEURS HUMAINS ............................................................................................................................................. 34
C.4 - RADIOPROTECTION DES TRAVAILLEURS ET DES PERSONNES DU PUBLIC ................................................................ 35
C.4.1 - Radioprotection en exploitation normale ..................................................................................................... 35
C.4.2 – Effluents radioactifs, réduction des déchets et démantèlement.................................................................... 36

D - MAITRISE DES TRANSITOIRES, INCIDENTS ET ACCIDENTS DE REFERENCE.................................. 38

D.1 – LISTE DES TRANSITOIRES, INCIDENTS ET ACCIDENTS DE REFERENCE.................................................................... 38

D.2 – REGLES D'ANALYSE DE SURETE ET CRITERES D'ACCEPTATION.............................................................................. 41
D.2.1 - Règles d'analyse de sûreté............................................................................................................................ 42
 D.2.2 - Critères d'acceptation................................................................................................................................... 43
D.2.3 - Utilisation de codes de calcul....................................................................................................................... 44
D.2.4 - Conséquences radiologiques ........................................................................................................................ 44

E – MAITRISE DES CONDITIONS DE FONCTIONNEMENT AVEC DEFAILLANCES MULTIPLES ET DES

ACCIDENTS AVEC FUSION DU COEUR............................................................................................................... 46

E.1 - CONDITIONS DE FONCTIONNEMENT AVEC DEFAILLANCES MULTIPLES ................................................................... 46

E.1.1 – Prise en compte dans la démonstration de sûreté ........................................................................................ 46
E.1.2 - Analyse déterministe des conditions de fonctionnement RRC-A................................................................... 46
E.1.2.3 - REGLES D'ANALYSE DES ACCIDENTS ET CRITERES D'ACCEPTATION ................................................................. 47
E.1.3 - Etude probabiliste des conditions de fonctionnement avec défaillances multiples....................................... 48
E.2 - DISPOSITIONS DE PROTECTION CONTRE LES ACCIDENTS AVEC FUSION DU CŒUR ................................................... 49
E.2.1 - Objectifs de sûreté......................................................................................................................................... 49
E.2.2 – Élimination pratique des séquences conduisant à des rejets précoces importants ...................................... 50
E.2.3 - Limitation des conséquences des scénarios de fusion du cœur à basse pression.......................................... 55
E.2.4 - Démonstration de sûreté ............................................................................................................................... 58

F - PROTECTION CONTRE LES AGRESSIONS..................................................................................................... 60

F.1 - PROTECTION CONTRE LES AGRESSIONS INTERNES ................................................................................................. 60

F.1.1 – Exigences générales ..................................................................................................................................... 60
F.1.2 - Exigences pour la conception des dispositions de protection contre les agressions internes....................... 60
F.2 - PROTECTION CONTRE LES AGRESSIONS EXTERNES ................................................................................................ 64
F.2.1 - Évènements à considérer .............................................................................................................................. 64
F.2.2 - Exigences pour la conception des dispositions de protection contre des agressions externes spécifiques... 65

G - EXIGENCES DE CONCEPTION DES SYSTEMES ET EFFICACITE DES FONCTIONS DE SURETE ... 71

G.1- CONCEPTION DU SYSTEME DE REFROIDISSEMENT DE LA PISCINE DU COMBUSTIBLE USE ........................................ 71

G.2 - EFFICACITE DE L'ETANCHEITE DE L'ENCEINTE DE CONFINEMENT........................................................................... 72
G.3 - CONCEPTION DU CONTROLE-COMMANDE ............................................................................................................. 73
G.4 – UTILISATION DE CODES TECHNIQUES ................................................................................................................... 75
INTRODUCTION ET CHAMP D'APPLICATION

Ces directives techniques présentent l'opinion du Groupe Permanent chargé des Réacteurs nucléaires
(GPR) concernant la philosophie et l'approche de sûreté ainsi que les exigences générales de sûreté à
appliquer pour la conception et la construction de la prochaine génération de tranches nucléaires de
type REP (réacteurs nucléaires à eau pressurisée), en supposant que la construction des premières
tranches de cette génération démarre au début du XXIè siècle. Ces directives techniques sont fondées
sur un travail en commun de l'Institut de Protection et de Sûreté Nucléaire français (IPSN) et de la
Gesellschaft für Anlagen- und Reaktorsicherheit allemande (GRS). De plus, ces directives techniques
ont été discutées de manière approfondie avec les membres de la commission de sûreté allemande
RSK (Reaktor Sicherheitskommission) jusqu’à la fin de 1998 et avec des experts allemands au-delà
de cette date.

Le contexte de ces directives techniques doit être clairement compris. Face à la situation présente de
l'énergie nucléaire dans le monde, les différents concepteurs de chaudières nucléaires développent de
nouveaux produits, tous affichant leur intention d'obtenir un niveau de sûreté accru, par différents
moyens. Le GPR estime que, pour l'exploitation d'une nouvelle série de tranches nucléaires au début
du prochain siècle, la bonne voie est de déduire la conception de ces tranches de la conception des
tranches existantes de manière "évolutionnaire", en prenant en compte l'expérience d'exploitation et
les études approfondies menées pour ces tranches. Néanmoins, l'introduction de dispositions
innovantes doit aussi être considérée dans le cadre de la conception de la nouvelle génération de
tranches, en particulier pour prévenir et maîtriser les accidents graves.

Le GPR souligne ici qu'une amélioration significative de la sûreté de la prochaine génération de

tranches nucléaires est nécessaire au stade de la conception, par rapport aux tranches existantes. Si
la recherche d'amélioration est une préoccupation permanente dans le domaine de la sûreté, la
nécessité d'un saut important au stade de la conception résulte clairement d'une meilleure
considération des problèmes liés aux accidents graves, non seulement à court terme mais aussi à
long terme, dus à la contamination possible de surfaces étendues par des radionucléides à longue vie
tels que le césium ; pour les tranches existantes, des améliorations sont mises en place sur une base
pragmatique en tenant compte des limitations de leur conception, dans le cadre du processus normal
de réexamen périodique de la sûreté des tranches.

Le GPR croit qu'un saut significatif au stade de la conception est possible dans une voie
"évolutionnaire" si l'attention nécessaire est portée aux leçons tirées de l'expérience d'exploitation et
des études probabilistes réalisées pour les tranches existantes aussi bien qu'aux résultats des
recherches en sûreté, notamment sur les accidents graves, avec l'objectif d'obtenir une réduction des
probabilités d’occurrence calculées et des rejets accidentels de matières radioactives calculés. Les
travaux de recherche et développement réalisés au stade de la conception (puis en cours
d'exploitation) contribueront également à l'amélioration de la sûreté ou à la validation du comportement
des systèmes et des tranches.

- -1
A - PRINCIPES DE SURETE

A.1 – Approche générale de sûreté

L'amélioration significative de la sûreté, par rapport aux tranches existantes, de la prochaine

génération de tranches nucléaires est précisée par les objectifs présentés ci-après.

A.1.1 – Objectifs généraux de sûreté

a) Pour l'exploitation normale et les incidents d'exploitation, un objectif est de réduire les doses
individuelles et collectives reçues par les travailleurs, qui sont fortement liées aux activités de
maintenance et d’inspection en service. La réduction de l'exposition des travailleurs doit être
recherchée par un processus d’optimisation tenant compte des données acquises par l'expérience
d'exploitation. Il convient aussi de considérer la limitation des rejets radioactifs dans le cadre des
contraintes de doses correspondantes, ainsi que la réduction des quantités et des activités des
déchets radioactifs.

b) Un autre objectif est de réduire le nombre des incidents significatifs, ce qui implique de rechercher
des améliorations des équipements et systèmes utilisés en fonctionnement normal, dans le but de
réduire les fréquences des transitoires et des incidents et donc de limiter les possibilités
d'apparition de situations accidentelles à partir de tels évènements.

c) Une réduction significative de la fréquence globale de fusion du cœur doit être obtenue pour les
tranches nucléaires de la prochaine génération. La mise en œuvre d’améliorations de la défense en
profondeur de ces tranches devrait conduire à l’obtention d’une fréquence globale de fusion du
-5
cœur inférieure à 10 par année.réacteur, en tenant compte des incertitudes et de tous les types de
défaillances et d’agressions.

d) De plus, un objectif important est d'obtenir une réduction significative des rejets radioactifs pouvant
résulter de toutes les situations d’accident concevables, y compris les accidents avec fusion du
cœur.

Pour les situations d’accidents sans fusion du cœur, il ne doit pas y avoir de nécessité de mesures
de protection des populations vivant dans le voisinage de la centrale endommagée (pas
d’évacuation, pas de mise à l’abri).

Les accidents avec fusion du cœur qui conduiraient à des rejets précoces importants doivent être
"pratiquement éliminés" : s’ils ne peuvent pas être considérés comme physiquement impossibles,
des dispositions de conception doivent être prises pour les exclure. Cet objectif concerne en
particulier les accidents avec fusion du cœur en pression.

Les séquences avec fusion du cœur à basse pression doivent être traitées de telle sorte que les
rejets maximaux concevables associés ne nécessitent que des mesures de protection des
populations très limitées en termes d’étendue et de durée. Ceci se traduirait par l’absence de

- -2
 relogement permanent, l’absence de nécessité d’évacuation d'urgence au-delà du voisinage
immédiat de la tranche, une mise à l’abri limitée, l’absence de restrictions à long terme de la
consommation des produits alimentaires.

A.1.2 – Le principe de "défense en profondeur"

Le principe de "défense en profondeur" reste le principe fondamental de sûreté pour les tranches
nucléaires de la prochaine génération, avec la mise en œuvre de plusieurs niveaux de protection
incluant des barrières successives contre le rejet de substances radioactives dans l'environnement.

Ce principe doit être utilisé pour démontrer que les trois fonctions fondamentales de sûreté - maîtrise
de la réactivité, refroidissement du combustible et confinement des substances radioactives - sont
correctement assurées. Le but est d'assurer la protection des personnes du public et des travailleurs.
Ceci inclut aussi bien la prévention des accidents que la limitation de leurs conséquences.

Pour la prochaine génération de tranches nucléaires, les objectifs généraux de sûreté énoncés dans la
section A.1.1 impliquent de renforcer la "défense en profondeur" de ces tranches par rapport aux
tranches existantes ; ces objectifs demandent notamment de considérer de façon plus étendue les
possibilités de défaillances multiples et de recourir à des moyens diversifiés pour accomplir les trois
fonctions fondamentales de sûreté mentionnées ci-dessus ; ils demandent également une amélioration
substantielle de la fonction de confinement, en considérant en particulier les différentes défaillances
possibles de cette fonction pour les situations avec fusion du cœur. Les résultats de l'expérience
d'exploitation de même que les résultats d'études approfondies telles que les études probabilistes de
sûreté réalisées pour les réacteurs à eau pressurisée et les progrès dans la connaissance des
phénomènes physiques qui peuvent intervenir au cours du développement de situations accidentelles,
en particulier des situations avec fusion du cœur, doivent être pris en compte.

Il est souligné qu'une réduction des fréquences d’occurrence des accidents (y compris des accidents
avec fusion du cœur) doit être obtenue en réduisant les fréquences d’occurrence des évènements
initiateurs et en améliorant encore la disponibilité des systèmes de sûreté.

En particulier, une attention spécifique doit être accordée au stade de la conception aux états d'arrêt et
notamment aux modes opératoires spécifiques nécessités par les actions réalisées dans les périodes
d'arrêt.

Il est également souligné que la qualité de la conception, de la fabrication, de la construction et de

l'exploitation est essentielle pour la sûreté dans le cadre du premier niveau de la défense en
profondeur. La qualité doit être obtenue et démontrée notamment par un ensemble adéquat
d'exigences pour la conception, la fabrication, la construction, la mise en service et l'exploitation aussi
bien que par l'assurance de la qualité.

De plus, il convient de considérer de façon appropriée au stade de la conception les possibilités

d'inspection et de test des équipements de même que les possibilités de remplacement de certains
équipements, en considérant que les activités de maintenance et de test sont essentielles pour
maintenir la sûreté de la tranche tout au long de son exploitation.

- -3
A.1.3 – Stratégie générale relative aux accidents graves

Les objectifs généraux énoncés dans la section A.1.1 ont les implications générales suivantes pour ce
qui concerne les accidents graves.

a) "Élimination pratique" des situations accidentelles qui conduiraient à des rejets précoces importants

• Les séquences accidentelles avec bipasse du confinement (par les générateurs de vapeur ou
par des circuits connectés au système primaire qui sortent de l'enceinte de confinement) doivent
être "pratiquement éliminées" par des dispositions de conception (telles qu'une pression de
conception adéquate des tuyauteries) et des dispositions d'exploitation dans le but d'assurer un
isolement fiable et aussi de prévenir les défaillances.

• Une attention particulière doit être accordée aux situations à l'arrêt où l’enceinte de confinement
est ouverte.

• La prévention par des dispositions de conception des accidents de réactivité résultant d'une
introduction rapide d'eau froide ou insuffisamment borée doit être telle qu'ils puissent être
"exclus".

• Les surpressions du circuit primaire doivent aussi être évitées autant que nécessaire par des
dispositions de conception et des procédures d'exploitation de manière à contribuer en
particulier à "l'exclusion" de la rupture de la cuve du réacteur.

• Les situations de fusion du cœur à haute pression doivent être évitées par des dispositions de
conception (telles qu’une diversification et des actions automatiques) pour les systèmes de
sûreté du côté secondaire et si nécessaire pour les systèmes de maîtrise de la réactivité et de
1
"gavé ouvert" primaire. Transformer avec une haute fiabilité les séquences avec fusion du
cœur à haute pression en séquences avec fusion du cœur à basse pression doit être un objectif
de conception de telle sorte que les situations de fusion du cœur à haute pression puissent être
"exclues". La dépressurisation doit être telle que l’installation puisse faire face aux chargements
résultant de l'éjection du cœur fondu dans l'atmosphère de l'enceinte de confinement
("échauffement direct de l'enceinte") et aux chargements sur les supportages de la cuve du
réacteur et les structures du puits de cuve.

• Les détonations globales d'hydrogène ainsi que les explosions de vapeur en cuve et hors cuve
mettant en danger l'intégrité de l'enceinte de confinement doivent être "pratiquement éliminées".

b) Limitation des conséquences des situations de fusion du cœur à basse pression

1
A titre d'orientation, les équipements utilisés pour dépressuriser le circuit primaire doivent être aussi fiables que le système
de vannes de décharge utilisé pour empêcher une surpression.

- -4
 • Pour ce qui concerne les fuites de l'enceinte de confinement, il ne doit pas y avoir de chemin de
fuite directe de l'enceinte de confinement à l'extérieur. Les tuyauteries susceptibles de
transporter des substances radioactives à l'extérieur de l'enceinte de confinement doivent
conduire à des bâtiments périphériques présentant des capacités de confinement adéquates.
Des améliorations de la surveillance permanente de l'étanchéité de l'enceinte de confinement
doivent être recherchées. Les traversées de l'enceinte résistant à la pression doivent supporter
les chargements résultant des séquences avec fusion du cœur.

• Il est nécessaire de considérer de façon appropriée les différents aspects d'un système
d'aspersion à l'intérieur de l'enceinte de confinement pour les situations d'accident grave. Un tel
système permet de réduire à la fois la pression et les concentrations d'aérosols radioactifs dans
l'enceinte de confinement ; cependant un système d'aspersion réduit l'inertage par la vapeur et
accroît la vitesse de flamme d'une combustion d'hydrogène.

• La chaleur résiduelle doit être extraite de l'enceinte de confinement sans dispositif d'éventage ;
pour cette fonction, un système ultime d'évacuation de la puissance résiduelle doit être installé.

• Pour ce qui concerne la possible formation de mélanges gazeux combustibles, l'enceinte de

confinement doit être conçue pour résister à la déflagration globale de la quantité maximale
d'hydrogène qui pourrait être contenue dans l'enceinte au cours des accidents avec fusion du
cœur et aussi pour résister à une déflagration rapide locale représentative. En outre, des
dispositions doivent être prises à l'égard des détonations locales et des possibilités de
séquences avec transition déflagration-détonation (DDT) qui pourraient endommager l'enciente
et ses structures internes. La limitation des concentrations de gaz combustibles par la
conception des structures internes et l'utilisation de recombineurs catalytiques doivent
notamment être considérées.

• La pénétration du radier de l'enceinte de confinement par un "corium" doit être évitée, étant
donné que ce phénomène pourrait conduire à des rejets significatifs et à une contamination
durable des nappes phréatiques et du sous-sol. De plus, des dispositions adéquates doivent
être mises en œuvre pour empêcher les fuites d'eau et de gaz contaminés dans le sous-sol à
travers des fissures dans le radier.

A.1.4 – Démonstration de sûreté

La démonstration de sûreté pour les tranches nucléaires de la prochaine génération doit être faite de
manière déterministe, complétée par des méthodes probabilistes et des travaux de recherche et de
développement appropriés.

Dans cette démonstration, les évènements initiateurs uniques doivent être "exclus" ou "traités" - c'est–
à-dire que leurs conséquences sont examinées de manière déterministe. Des événements initiateurs
uniques ne peuvent être "exclus" que si des dispositions suffisantes de conception et d'exploitation
sont prises de telle sorte qu'il puisse être clairement démontré qu'il est possible "d'éliminer
pratiquement" ce type de situations accidentelles ; par exemple, la rupture de la cuve du réacteur et
celle d'autres gros composants (comme la partie secondaire des générateurs de vapeur ou le
pressuriseur) peut être examinée de cette façon.

- -5
Les autres évènements initiateurs uniques peuvent être regroupés de manière à définir un nombre
limité de transitoires, d'incidents et d'accidents de référence ; ces transitoires, incidents et accidents de
référence peuvent être répartis en catégories selon les fréquences estimées des groupes
d'évènements correspondants. Pour les différents transitoires, incidents et accidents de référence, des
critères techniques appropriés doivent être respectés avec des hypothèses conservatives incluant des
défaillances aggravantes. Pour les différents transitoires, incidents et accidents de référence
significatifs du point de vue radiologique, il doit être vérifié, en supposant que les critères techniques
correspondants sont respectés, que les conséquences radiologiques sont tolérables et cohérentes
avec les objectifs généraux de sûreté mentionnés dans la section A.1.1 pour les situations
accidentelles sans fusion du cœur. Des conséquences radiologiques plus importantes peuvent être
jugées tolérables pour des catégories de fréquence estimée plus faible.

En complément aux événements initiateurs uniques, la démonstration de sûreté doit analyser les
situations avec défaillances multiples de même que les agressions internes et externes. La
démonstration de sûreté relative à ces situations et agressions peut être supportée par des évaluations
probabilistes. Les liens possibles entre agressions internes et externes et évènements initiateurs
uniques doivent être également considérés.

Une étude probabiliste de sûreté doit être réalisée en commençant dès le stade de la conception et en
incluant au moins les évènements internes ; cette étude probabiliste de sûreté indiquerait les
fréquences des séquences de fusion du cœur avec un aperçu des conséquences possibles des
différents types de situations avec fusion du cœur sur la fonction de confinement.

Cependant, "l'élimination pratique" des situations accidentelles qui pourraient conduire à des rejets
précoces importants est une question de jugement et chaque type de séquences doit être examiné
séparément. Leur "élimination pratique" peut être démontrée par des considérations déterministes
et/ou probabilistes, en tenant compte des incertitudes dues aux connaissances limitées de certains
phénomènes physiques. Il est souligné que "l'élimination pratique" ne peut pas être démontrée par le
respect d'une "valeur de coupure" probabiliste générique.

Pour ce qui concerne les accidents avec fusion du cœur à basse pression, étant donné le large
éventail de conditions accidentelles possibles dans les situations d’accidents graves, le respect des
objectifs généraux de sûreté énoncés dans la section A.1.1 doit être démontré par le calcul des
conséquences radiologiques de différentes séquences représentatives qui doivent être précisément
définies en fonction de la conception de la tranche. Pour l'évaluation des résultats, les niveaux
d'intervention proposés par la publication 63 de la CIPR (pour l'évacuation et le relogement) et les
limites de l'Union Européenne (pour la commercialisation des aliments) peuvent être utilisés comme
références.

Il est souligné, que d'une manière générale, pour les situations incidentelles et accidentelles, y compris
les situations avec fusion du cœur, les calculs de conséquences radiologiques doivent traiter des
conséquences à court et à long terme, en considérant les différentes voies de transfert de matières
radioactives à l'environnement (air, eaux de surface, nappes phréatiques) et aux hommes (irradiation
par le panache et par le sol, incorporation de radionucléides par ingestion et inhalation). La dispersion
atmosphérique et les dépôts sur la végétation, le sol et les autres surfaces doivent notamment être

- -6
déterminés. L'étude des expositions de groupes critiques doit prendre en compte des hypothèses et
des paramètres réalistes en particulier pour les habitudes de vie, les conditions d'exposition, les temps
d'intégration, les conditions météorologiques et le transfert des radionucléides dans l'environnement.

A.2 - Principes généraux de sûreté

A.2.1 – Comportement du réacteur en régime transitoire

En règle générale, la conception de la tranche doit être telle que le comportement intrinsèque du
réacteur soit stable (par exemple coefficient modérateur négatif).

Des améliorations peuvent être réalisées en rendant le comportement de la tranche moins sensible
aux erreurs des opérateurs et aux défaillances des systèmes d'exploitation, par exemple par un
contrôle automatique approprié et par la mise en place de capacités de refroidissement suffisamment
grandes dans les systèmes primaire et secondaire et dans les systèmes d'appoint d'eau au primaire et
au secondaire. Des périodes de grâce adéquates doivent être obtenues pour les actions nécessaires
des opérateurs.

Plus précisément, la prévention des erreurs humaines et une moindre sensibilité à ces erreurs doivent
être recherchées par un accroissement des marges dans les bases de conception, par le recours à
des systèmes passifs ou des systèmes présentant des caractéristiques passives accrues, par la
simplification de la conception et par la limitation des interactions entre systèmes, tout en prenant
garde à ne pas négliger les avantages possibles d'une redondance fonctionnelle, par une
automatisation plus étendue des systèmes de sûreté pour des situations spécifiques et par des
améliorations de l'interface homme-machine de manière à fournir aux opérateurs des délais de
réaction supplémentaires et des informations fiables pour diagnostiquer le comportement réel de la
tranche.

La mise en service non nécessaire de systèmes de sûreté doit être évitée autant qu'il est possible.
Pour éviter de telles actions, l'introduction de fonctions de limitation appropriées peut être judicieuse,
c'est-à-dire des fonctions de maîtrise supplémentaires qui agissent quand les systèmes de régulation
d’exploitation ne sont pas capables de garder les variables contrôlées à l'intérieur des limites
spécifiées pour le fonctionnement normal. Des marges suffisantes doivent être mises en place par
rapport aux limites de sûreté, en tenant compte à la fois des incertitudes de mesure et des
comportements anormaux de la tranche dus à des perturbations mineures ou à des erreurs des
opérateurs.

A.2.2 - Redondance et diversification dans les systèmes de sûreté

Pour les événements qui ne sont pas maîtrisés par les systèmes d’exploitation et/ou par les fonctions
de limitation, des systèmes de protection et sauvegarde sont nécessaires pour ramener et maintenir le
réacteur dans un état sûr en termes de sous-criticité, de refroidissement du cœur et de confinement
des substances radioactives. La fiabilité de ces systèmes doit être cohérente avec l’objectif général de

- -7
réduction des fréquences d’occurrence des accidents, en tenant compte des fréquences estimées des
événements initiateurs et des durées des actions correspondantes de ces systèmes.

Cette fiabilité doit être obtenue par une combinaison adéquate de redondance et de diversification.
Une attention adéquate doit être portée au fait que les possibilités de défaillances de mode commun
limitent les possibilités de réduction des indisponibilités en ajoutant des trains identiques (sur ce point,
il est souligné qu'il n'est probablement pas possible de démontrer que l'indisponibilité d’un système de
-4
sûreté redondant constitué de trains identiques est inférieure à 10 par demande), et au fait que la
diversification peut conduire à des systèmes plus complexes et à des difficultés de maintenance ; de
plus, une attention appropriée doit être portée aux systèmes supports lors de l’évaluation des
bénéfices liés à la mise en place d’équipements et de systèmes diversifiés.

Une attention particulière doit être portée à la réduction des possibilités de défaillances de cause
commune. Séparation physique et séparation géographique doivent être mises en œuvre autant qu'il
est possible. Les fonctions de support (énergie, contrôle, refroidissement, etc.) doivent aussi être le
plus possible indépendantes. Un accent tout particulier doit être mis sur la redondance et la
diversification des sources électriques. De plus, des dispositions (incluant une diversification matérielle
et logicielle) doivent être mises en œuvre au niveau de l’architecture générale du contrôle-commande
pour limiter les défaillance de cause commune d’origine logicielle.

A.2.3 - Interface homme-machine

Une attention appropriée doit être portée aux facteurs humains au stade de la conception, en tenant
compte des aspects liés au fonctionnement normal, aux tests et à la maintenance, avec un accent tout
particulier sur l’expérience d’exploitation.

Le but général est de tirer avantage des capacités humaines, tout en minimisant les possibilités
d’erreurs humaines et en rendant la tranche moins sensible à ces erreurs (voir la section A.2.1). Une
attention appropriée doit être portée à simplifier l'exploitation, à minimiser les actions humaines
nécessaires pour assurer les fonctions de sûreté, à prendre des dispositions permettant une bonne
capacité de maintenance, de tests et un suivi fiable de la disponibilité des systèmes de sûreté.

Un programme complet d'ingénierie des facteurs humains doit être mis en œuvre. Ce programme doit
aussi couvrir les activités de maintenance et de test de manière à assurer la cohérence et la traçabilité
des questions relatives aux facteurs humains et des choix de conception dans une approche des
facteurs humains bien structurée et suivant l’état de l’art. Ce programme d'ingénierie des facteurs
humains devrait être mis en œuvre sous la conduite d’une équipe spécifique incluant des experts des
facteurs humains.

Le développement d'interfaces homme-machine adéquates doit être réalisé dans tous les endroits où
des hommes interagissent avec les équipements techniques, en prenant en considération
l’organisation des équipes. Outre l'exploitation en salle de conduite, ceci inclut les tests, les réparations
et la maintenance.

Réduire les erreurs des opérateurs et rendre la tranche moins sensible à ces erreurs peut être réalisé
en utilisant des principes de conception ergonomiques appropriés et en assurant des délais de

- -8
réaction suffisamment longs pour les actions des opérateurs. Le délai nécessaire dépend de la
complexité de la situation à diagnostiquer et des actions à mener.

Une information suffisante et appropriée doit être fournie aux opérateurs pour une compréhension
claire de l’état réel de la tranche, en incluant les conditions d’accident grave, et pour une évaluation
claire des effets de leurs interventions.

A.2.4 - Protection contre les agressions internes

Les agressions internes peuvent être définies comme des événements dont l’origine est interne à la
tranche pouvant entraîner des conditions hostiles ou des dommages aux équipements nécessaires
pour remplir les trois fonctions fondamentales de sûreté mentionnées dans la section A.1.2. Elles
incluent notamment les défaillances de tuyauteries, de cuves, de réservoirs, de pompes, de vannes de
même que les inondations, les incendies, les explosions, les projectiles et les chutes de charges.

Le principe de « défense en profondeur » doit être appliqué à la protection contre les agressions
internes de manière à limiter la vraisemblance et les conséquences de telles agressions par la mise en
place de dispositions de prévention, de surveillance et de limitation des conséquences, en cohérence
avec les dispositions prises pour les événements internes.

En relation avec la définition des trois fonctions fondamentales de sûreté, non seulement les bâtiments
contenant des systèmes nécessaires pour atteindre et maintenir un état d'arrêt sûr, mais aussi les
bâtiments abritant des systèmes contenant des matières radioactives doivent être considérés.

Il convient de souligner le fait que l'occurrence d'agressions internes durant les états d’arrêt doit être
examinée précisément, en tenant compte des configurations spécifiques des équipements et des
systèmes de sûreté qui pourraient être nécessaires dans ces états.

Pour la vérification de la conception et la démonstration de sûreté relatives aux agressions internes,

une attention particulière doit être portée à évaluer l’exhaustivité des causes possibles de telles
agressions en y incluant par exemple des erreurs de lignage ou des interférences électromagnétiques,
de même que les possibilités d’agressions internes résultant d’autres événements internes ou
externes à la tranche ou pouvant affecter les trois fonctions fondamentales de sûreté dans plus d’un
des niveaux successifs de défense en profondeur.

A.2.5 - Protection contre les agressions externes

Les agressions externes peuvent être définies comme des événements naturels ou liés aux activités
humaines ayant leur origine à l’extérieur de la tranche et pouvant affecter négativement la sûreté de
celle-ci. Elles incluent notamment les séismes, les chutes d’avion et les explosions.

Les agressions externes peuvent affecter consécutivement ou simultanément différentes lignes de

défense des tranches et elles dépendent des sites. De ce fait, une attention appropriée doit être portée
au choix des sites dans le but de ne pas imposer des exigences excessives à la conception des
tranches correspondantes. En règle générale, des dispositions de conception doivent être prises à

- -9
l'égard des agressions externes de manière cohérente avec celles prises pour les événements
internes et les agressions internes ; c’est-à-dire que les agressions externes ne doivent pas constituer
une part importante du risque associé aux tranches nucléaires de la prochaine génération.

L’objectif général des dispositions de conception est de garantir que les fonctions de sûreté des
systèmes et des équipements qui sont nécessaires pour amener la tranche dans un état d’arrêt sûr et
pour éviter et limiter les rejets radioactifs ne sont pas affectées de manière inadmissible par une
agression externe. Cependant, comme les agressions externes dépendent des sites, il n’est pas
nécessaire de tenir compte de toutes ces agressions dans une conception standardisée ; les
agressions externes telles que les inondations externes, la sécheresse, la formation de glace et les
gaz toxiques, corrosifs ou combustibles, peuvent être traitées uniquement pour une tranche
particulière, selon le site.

Les équipements dont le fonctionnement est nécessaire durant les agressions externes doivent être
qualifiés pour la plage de paramètres supposée survenir au cours de tels événements.

A.2.6 - Utilisation des études probabilistes de sûreté

Comme déjà indiqué dans la section A.1.4, une étude probabiliste de sûreté doit être effectuée avec
les objectifs suivants au stade de la conception : conforter le choix des options de conception, en y
incluant la redondance et la diversification des systèmes de sûreté, assurer un concept de sûreté
équilibré et évaluer les écarts par rapport aux pratiques actuelles en matière de sûreté, apprécier
l’amélioration du niveau de sûreté en comparaison des tranches existantes.

L’évaluation des résultats des études probabilistes de sûreté par rapport à des objectifs probabilistes
quantitatifs peut fournir des indications utiles. Mais, en règle générale, les objectifs probabilistes
quantitatifs ne doivent pas être considérés comme des exigences ; ils sont essentiellement destinés à
fournir des valeurs d’orientation pour vérifier et évaluer la conception.

Concernant la méthode générale, l’étude probabiliste de sûreté peut être conduite en deux étapes ou
plus : une étude simplifiée au stade de la conception et des études plus complètes pendant les phases
d’ingénierie, quand des informations plus précises sur la conception deviennent disponibles.

L’étude simplifiée, incluant au moins les événements internes, doit présenter une évaluation
préliminaire de la fréquence d’endommagement du cœur et les séquences correspondantes ; en outre,
le concepteur doit distinguer les différents types de séquences de fusion du cœur selon leurs
conséquences pour le comportement de l’enceinte de confinement.

De plus, au stade de la conception, différentes possibilités de conception doivent être évaluées et des
études de sensibilité doivent être réalisées. Cependant, l’application d’une étude probabiliste de sûreté
à un stade précoce de la conception doit être faite avec précaution car les résultats finals dépendront
du choix effectif des composants, des techniques des systèmes et des procédures d’exploitation.

Il est néanmoins souligné que, même pour la première évaluation au stade de la conception, le
concepteur doit considérer une liste d’événements initiateurs aussi complète que possible. Il faut
insister sur le fait que le traitement des défaillances de cause commune est essentiel pour l’évaluation

- -10
de certaines options de conception. Un autre sujet important est le traitement des interventions
humaines, incluant le diagnostic et la maintenance. L’utilisation de données qualifiées est aussi
essentielle.

Dans le cadre d’études plus complètes, les agressions internes et externes devraient être considérées
avec le développement de méthodes appropriées ; de plus, le besoin et la faisabilité d’une étude
probabiliste de sûreté de niveau 2 pourraient être considérés.

A.2.7 - Radioprotection des travailleurs et des personnes du public

A.2.7.1 - Expositions professionnelles des travailleurs

Comme indiqué dans la section A.1.1, une réduction des expositions professionnelles des travailleurs
doit être recherchée par un processus d’optimisation en tenant compte des données provenant de
l’expérience d'exploitation, notamment en France et en Allemagne.

Il est souligné que l’identification des options pertinentes de radioprotection est la première étape d’une
approche ALARA qui doit être complétée par une évaluation comparative de l’efficacité de ces options.
Des objectifs doivent être définis aussi bien en termes de doses collectives qu'en termes de doses
individuelles.

L’expérience d’exploitation montre que des améliorations possibles des doses individuelles et
collectives peuvent résulter de dispositions de conception, par exemple le choix de matériaux en
relation avec une chimie de l’eau appropriée pour éviter les produits de corrosion, la mise en place de
blindages, une meilleure fiabilité des composants, la mise en œuvre de robots et la facilité d’utilisation.
En particulier, le concepteur doit considérer la facilité d’accès aux emplacements de travail, les
conditions d’environnement de travail, le développement d’outils spécifiques et de robots de manière à
réduire les débits de dose et/ou les durées des interventions.

Le concepteur doit aussi considérer, autant qu’il est possible et raisonnable, la réalisation d'activités
non programmées telles que réparations et remplacements.

A.2.7.2 - Effluents radioactifs et déchets.

La tranche doit être conçue pour limiter, conformément au principe d'optimisation, l'exposition des
personnes du public aux rayonnements résultant des relâchements de matières radioactives dans l'air
ou dans l'eau. Les expositions correspondantes seront déterminées pour une personne de référence
(membre du groupe critique) à l'endroit le plus défavorable en considérant toutes les voies d'exposition
appropriées et en tenant compte des rejets d'autres installations.

Pour fixer les limites de rejets d'une tranche dans le cadre des procédures d'autorisation, les
conditions spécifiques du site seront considérées ; une attention appropriée sera également portée à la
possibilité de contributions ultérieures envisageables à l'exposition sur le site, résultant d'activités
humaines.

- -11
Des dispositions de conception doivent être prises pour réduire encore l'activité et le volume des
matières radioactives à évacuer de la tranche en tant que déchets. Considérant ces matières comme
hypothèse de base, les efforts faits pour réduire les rejets doivent être mis en balance avec les
quantités de déchets générées par ces efforts. Quant à la radioprotection, les doses pour les
personnes du public provenant des rejets, les expositions des travailleurs et les doses causées par les
déchets doivent être considérées dans le processus d'optimisation.

B – CARACTERISTIQUES DE SÛRETE DE BASE

B.1 - Conception des barrières

B.1.1 – Conception du cœur et du gainage du combustible

La conception des assemblages combustibles pour les tranches électronucléaires de la prochaine

génération peut être fondée sur les conceptions de référence actuelles, par exemple les assemblages
17X17 avec des pastilles d'UO2 ou d'UO2-PuO2, l’excès de réactivité dans les assemblages neufs
étant compensé autant que nécessaire par des poisons consommables (par exemple UO2 mélangé
avec Gd2O3).

Des améliorations ultérieures dans la connaissance du comportement des matériaux des

assemblages de combustible en conditions normales et accidentelles de même que l’objectif de taux
de combustion plus élevés que pour les réacteurs existants pourraient conduire le concepteur à
proposer des évolutions de la conception du combustible. Les évolutions de la conception des
combustibles et des taux de combustion doivent être introduites avec précaution. Le concepteur doit
démontrer que les évolutions de la conception du combustible n’affectent pas négativement le
comportement global des assemblages de combustible sous irradiation, notamment pour ce qui
concerne les phénomènes de fléchissement et de déformation, et justifier les critères proposés pour
les conditions normales et accidentelles. Toute demande d'autorisation relative à une modification de
la conception du combustible ou de son taux de combustion doit s’appuyer sur des résultats adéquats
de recherche et développement, incluant les résultats obtenus pour des assemblages de combustible
de démonstration présentant un taux de combustion égal ou supérieur, et une qualification appropriée
des codes de calcul (notamment pour les rampes de puissance lentes, les accidents de perte de
réfrigérant et les accidents de réactivité).

Par exemple, il serait judicieux d’éliminer par la conception du combustible le risque de ruptures de
gaines résultant d’interactions pastille gaine durant les transitoires de référence, sans restriction sur
l’exploitation du réacteur (suivi de charge, fonctionnement prolongé à puissance réduite). Il est
souligné que la démonstration correspondante devra être supportée par des justifications
expérimentales.

Pour les aspects neutroniques et thermohydrauliques, les considérations développées dans le second
paragraphe de cette section sur la conception du combustible s’appliquent en particulier à la courbe de
puissance résiduelle et au traitement des incertitudes liées à la corrélation de flux critique pour le
calcul du rapport d'échauffement critique (REC).

- -12
En ce qui concerne les coefficients de réactivité, comme cela a déjà été indiqué dans la section A.2.1,
la conception du réacteur doit être telle que le comportement intrinsèque du réacteur soit stable (par
exemple contre-réaction négative du modérateur ). En principe, le coefficient de température du
modérateur doit rester négatif depuis l’arrêt à chaud jusqu’aux conditions nominales avec toutes les
2
barres de contrôle en dehors du cœur ; le cœfficient de vide du réfrigérant doit être négatif en toutes
conditions.

Le suivi de la distribution de puissance dans le cœur peut être assurée par une instrumentation
neutronique fixe dans le cœur, un système de mesure mobile ("aéroball") et une instrumentation
neutronique en dehors du cœur.

B.1.2 - Circuit primaire

B.1.2.1 - Exigences générales

L’intégrité de l’enveloppe du circuit primaire est une question qui nécessite une attention particulière.
De hauts niveaux de qualité doivent être atteints pour ses composants, par le choix des matériaux, des
processus de fabrication avec les inspections associées, des règles de calcul avec des hypothèses
appropriées pour les analyses des systèmes et des accidents, des mesures prises au stade de la
conception pour simplifier la maintenance et le suivi en exploitation et des procédures d’exploitation
spécifiques, ainsi que par la surveillance en exploitation, incluant les inspections en service.

B.1.2.2 - Ruptures retenues à la conception

Les brèches postulées de l’enveloppe du circuit primaire font partie des événements à traiter dans la
démonstration de sûreté.

A cause de phénomènes tels que les vibrations et la corrosion, la rupture des petites tuyauteries ne
peut pas être exclue. D’un autre côté, la rupture guillotine complète d’une grosse tuyauterie
correctement conçue, fabriquée et inspectée est très improbable ; aussi, quand des dispositions de
conception, de fabrication et d’inspection adéquates sont mises en oeuvre, la rupture guillotine
complète d’une tuyauterie primaire principale peut être « exclue » (au sens donné dans la section
A.1.4). La possibilité d'accéder à chaque point de ces tuyauteries et de l'inspecter est bien sûr une
condition nécessaire préalable ; le concepteur doit notamment mettre en œuvre des dispositions
permettant l’accès pour une inspection volumétrique à 100% de toutes les soudures des tuyauteries
primaires principales et des parties des grosses tuyauteries connectées où des dégradations sont
possibles et permettant l’utilisation de deux méthodes d’inspection volumétrique pour les soudures
bimétalliques. De plus, une combinaison appropriée de méthodes disponibles doit être mise en oeuvre
3
pour suivre les fuites primaires .

2
Cependant, certaines gestions du combustible pourraient conduire à des concentrations de bore élevées au tout début de
la vie du cœur et, en conséquence, à un coefficient de température du modérateur positif.
3
Des dispositions additionnelles peuvent être mises en oeuvre localement pour détecter de faibles taux de fuite.

- -13
B.1.2.3 - Conséquences pour la démonstration de sûreté

Les chargements à considérer pour la conception des structures internes de la cuve du réacteur et
pour la conception des structures dans le bâtiment de confinement sont alors limités à ceux résultant
d'une rupture équivalente à la rupture guillotine complète de la plus grosse tuyauterie connectée à une
tuyauterie primaire principale (ligne d’expansion du pressuriseur).

En pratique, le concepteur doit postuler que toute tuyauterie connectée à une tuyauterie primaire
principale pourrait se détacher du piquage correspondant. Dans ces conditions, la section de passage
à travers laquelle l’eau primaire pourrait s’échapper, une fois la tuyauterie rompue déplacée, est égale
à la section interne du piquage ; aucun limiteur de débit ne peut être pris en compte pour les calculs
correspondants (débit massique, onde de pression, …).

De plus, le débit massique équivalent à une rupture doublement débattue d’une tuyauterie primaire
principale doit être retenu pour la conception de la fonction de refroidissement de secours du cœur (en
utilisant des hypothèses et des modèles réalistes et des critères appropriés, à proposer par le
concepteur) et de l'enveloppe sous pression du bâtiment de confinement, de manière à obtenir des
marges de sûreté pour le refroidissement du cœur en vue d’éviter la fusion du cœur et pour la fonction
de confinement ; la rupture doublement débattue doit aussi être retenue pour les supportages des
composants et pour la qualification des équipements.

B.1.3 – Exigences relatives aux tuyauteries secondaires principales

Pour le circuit secondaire, les ruptures des tuyauteries principales de vapeur entre les générateurs de
vapeur et les premiers organes d’isolement à l’extérieur du bâtiment du réacteur ou les premiers points
fixes situés après ces organes et des tuyauteries principales d’alimentation en eau situées entre les
générateurs de vapeur et les traversées du bâtiment du réacteur pourraient être « exclues » si les
exigences suivantes sont satisfaites :
• de manière générale, des exigences réglementaires et des codes de construction visant une haute
qualité doivent être appliqués ; de plus, les exigences de conception doivent être plus sévères que
4
les règles générales pour les tuyauteries de classe 1 ;
• les effets hydrodynamiques significatifs doivent être évités ;
• les points fixes doivent être aussi proches que possible des traversées de l’enceinte de
confinement ;
• les matériaux doivent rester dans le plateau ductile pour les températures les plus basses qui
pourraient être rencontrées durant les transitoires, incidents et accidents de référence ;
• les tuyaux et les coudes doivent être sans soudures. Les singularités géométriques et les
concentrations de contraintes doivent être évitées ; ceci s’applique notamment aux soudures aux
supports, attaches et fixations. Les soudures ou fixations temporaires doivent être interdites ;
• la chimie de l’eau doit être contrôlée avec une haute fiabilité ;
• l’installation des circuits doit permettre un accès facile à toutes les surfaces extérieures des
tuyauteries ; l’inspection en service des zones soudées doit être possible, en utilisant des
méthodes efficaces.

4
Au sens des codes techniques relatifs aux équipements mécaniques.

- -14
De plus, les possibilités de défaillance de cause commune des tuyauteries principales de vapeur et
des tuyauteries principales d’alimentation en eau doivent être réduites autant que possible par une
séparation adéquate des circuits.

En tout état de cause, le concepteur doit postuler que toute tuyauterie connectée aux tuyauteries
secondaires principales pourrait se séparer de son piquage.

Il doit aussi être souligné que le concepteur doit définir les cas de charge qu’il considérera pour la
conception mécanique des supportages et des structures internes des générateurs de vapeur et pour
les supportages des lignes principales vapeur et des lignes principales d’alimentation en eau à
l’intérieur du bâtiment du réacteur.

B.1.4 - Fonction de confinement

Comme déjà indiqué dans la section A.1.2, les objectifs généraux établis pour les tranches
électronucléaires de la prochaine génération demandent une amélioration substantielle de la fonction
de confinement ; la stratégie générale relative aux accidents graves énoncée dans la section A.1.3
présente plus précisément des objectifs techniques concernant cette fonction.

B.1.4.1 - Exigences de conception pour l’enceinte de confinement et les bâtiments

périphériques

Ces objectifs peuvent être atteints par l'utilisation d’un concept d’enceinte de confinement à double
paroi comprenant une paroi intérieure en béton précontraint, une paroi externe en béton armé, avec
l’espace annulaire entre les parois interne et externe maintenu à une pression inférieure à la pression
atmosphérique de manière à collecter toutes les fuites possibles à travers la paroi interne et à les filtrer
avant leur rejet dans l’environnement par la cheminée.

La pression de dimensionnement et la température de dimensionnement de la paroi interne de

l’enceinte de confinement doivent être telles qu’elles autorisent une période de grâce d’au moins 12
heures sans évacuation de la puissance hors de l'enceinte de confinement après un accident grave et
qu'elles assurent son intégrité et son étanchéité même après la déflagration globale de la quantité
maximale d’hydrogène qui pourrait être contenue dans le bâtiment de confinement au cours
d’accidents de fusion du cœur à basse pression (voir section A.1.3). Il peut être supposé que cette
quantité d’hydrogène n’est pas produite et relâchée instantanément dans l'enceinte de confinement,
mais selon une fonction du temps dépendant des séquences représentatives des accidents graves ;
des recombineurs catalytiques peuvent être utilisés pour réduire de manière substantielle la quantité
d’hydrogène dans l'enceinte de confinement et les concentrations d’hydrogène en fonction du temps.
Ainsi, la quantité d’hydrogène à considérer pour la conception de la paroi interne de l’enceinte de
confinement dépend notamment de paramètres tels que les caractéristiques du cœur, les
relâchements d’hydrogène dans l’enceinte en fonction du temps, l’efficacité des recombineurs
catalytiques.

- -15
De plus, le volume de l’enceinte de confinement et les moyens de limitation des conséquences doivent
être tels qu’ils empêchent la possibilité d’une détonation globale d’hydrogène. Les possibilités de
concentrations élevées d’hydrogène doivent être évitées autant qu’il est possible par la conception des
structures internes de l’enceinte de confinement ; en outre, des dispositions spécifiques, telles que des
parois renforcées des compartiments et de l’enceinte de confinement, doivent être mises en œuvre
autant que nécessaire pour faire face à des phénomènes tels que des déflagrations locales rapides ou
des séquences de transition déflagration-détonation (cf. paragraphe E.2.2.4).

Concernant le radier, les objectifs indiqués dans la section A.1.3 relatifs aux situations de fusion du
cœur à basse pression peuvent être atteints par la mise en place d’un grand compartiment d’étalement
du corium refroidi de manière adéquate.

5
Un faible taux de fuite de la paroi interne de l’enceinte de confinement est essentiel . Au vu de
l’expérience existante, il est recommandé d’utiliser, pour cette paroi interne, du béton à hautes
performances présentant de faibles déformations différées. Des produits d’injection devraient être
utilisés systématiquement, notamment à chaque reprise de bétonnage et à chaque interface entre
béton et fourreau de traversée. Une attention particulière doit aussi être portée aux mesures de
conception en vue d'obtenir une étanchéité adéquate du béton précontraint dans toutes les zones
singulières comme le radier, le gousset, la zone entre la console support du pont polaire et la ceinture
du dôme, le voisinage du sas matériel et le dôme. En tout état de cause, la mise en place d’une peau
d’étanchéité sur la paroi interne du bâtiment de confinement apparaît nécessaire localement sur toutes
6
les zones singulières .

Des tests périodiques d’étanchéité de l’enceinte de confinement doivent pouvoir être réalisés à la
pression de dimensionnement de ce bâtiment. En principe, un essai en air à la pression de
dimensionnement de l’enceinte de confinement doit être fait avant la mise en place de la peau
d’étanchéité sur la paroi interne de manière à détecter tout défaut majeur de construction qui pourrait
être masqué par l’étanchéité de cette peau. Des dispositions doivent aussi être mises en oeuvre pour
vérifier et pouvoir rétablir si nécessaire l’étanchéité adéquate de la paroi externe du bâtiment de
confinement.

5
Les calculs de conséquences radiologiques montrent que, pour un concept d’enceinte de confinement à double paroi tel
que décrit dans cette section, en supposant un taux de fuite de 1% par jour ou moins de l’atmosphère de l’enceinte de
confinement vers l’espace annulaire et l’absence de fuite directe de cette enceinte de confinement vers l’atmosphère
extérieure, les conséquences radiologiques d’une brèche primaire de taille moyenne suivie d'une fusion du cœur à basse
pression sont cohérentes avec les objectifs indiqués dans la section A.1.1.
6
Dans la mesure où l’efficacité et la robustesse du concept de limitation des conséquences du risque hydrogène seront
clairement démontrées, la mise en place d’une peau d’étanchéité sur toute la surface interne du bâtiment de confinement n’est
pas nécessaire.

- -16
Des dispositifs spécifiques doivent être mis en place pour collecter les fuites possibles associées aux
7
différents types de traversées de même que des dispositions assurant des possibilités de
confinement adéquates pour les bâtiments périphériques.

Une information détaillée doit être fournie par le concepteur sur le système de recueil des fuites de
l'enceinte de confinement et de suivi de l’étanchéité de celle-ci : critères de conception et d'exploitation
(étanchéité, tests périodiques,..), qualification des vannes aux conditions ambiantes correspondantes,
protection contre les agressions (telles que définies dans les sections A.2.4 et A.2.5) qui pourraient
endommager les équipements du système…

Concernant les bâtiments périphériques, une valeur d’étanchéité doit être définie pour chacun des
bâtiments périphériques ayant une fonction de confinement, y compris le bâtiment des auxiliaires
nucléaires, le bâtiment des auxiliaires de sauvegarde et le bâtiment du combustible usé. De plus, des
moyens adéquats doivent être considérés pour restaurer l’étanchéité du bâtiment des auxiliaires de
sauvegarde à la suite d’une brèche du système d’injection de sécurité et d’évacuation de la puissance
résiduelle à l’extérieur du bâtiment de confinement.

Des dispositions doivent également être mises en place pour maintenir autant que nécessaire une
pression négative dans l’enceinte de confinement et dans les bâtiments périphériques durant les états
d’arrêt, en tenant compte de l’emplacement du combustible durant ces états.

B.1.4.2 - Prévention des bipasses du confinement

Comme indiqué dans la section A.1.3, les séquences de fusion du cœur avec bipasse du confinement
(par les générateurs de vapeur ou par des circuits connectés au système primaire et sortant de
l'enceinte de confinement) doivent être « pratiquement éliminées ».

Ceci implique un examen systématique de toutes les séquences de bipasse envisageables, avec une
analyse déterministe des lignes de défense correspondantes, complétée par les résultats d’études
probabilistes de sûreté. Les aspects suivants peuvent être mentionnés :

a/ la liste des séquences envisageables de bipasse de l’enceinte de confinement doit inclure les fuites
du système d’évacuation de la puissance de l'enceinte de confinement, les bipasses de l'enceinte
de confinement par le système de collecte des fuites, les effluents liquides traversant l’espace entre
enceintes,

7
Ces dispositifs devraient inclure un système de reprise des fuites du sas matériel, des sas personnel et de secours, du
tube de transfert du combustible ainsi que de certaines traversées mécaniques en communication avec des locaux ventilés

- -17
b/ d'une manière générale, concernant les fuites et brèches des circuits connectés au système de
refroidissement du réacteur, des dispositions de conception doivent être mises en place pour éviter
une surpression dans les parties à basse pression des systèmes connectés ou pour assurer un
dimensionnement adéquat de ces parties à l'égard des surpressions. Les dispositions
correspondantes doivent être spécifiées (pression de dimensionnement et température de
dimensionnement de même que les critères associés). De plus, des exigences strictes doivent être
appliquées aux moyens mis en place pour détecter les fuites primaires dans les bâtiments
périphériques et éviter leurs conséquences. Les exceptions doivent être justifiées au cas par cas ;
ceci s’applique aux moyens de détection des fuites dans le bâtiment des auxiliaires nucléaires.

Pour les circuits connectés au système primaire, le concepteur doit étudier l’utilisation de moyens
d’isolement diversifiés, les possibilités de défaillances de ces moyens et les équipements de suivi
associés, de même que l’utilisation de tuyauteries conçues pour résister à la pression primaire dans
les situations correspondantes. De plus, le risque de bipasse de l'enceinte de confinement par les
tuyauteries équipées seulement de vannes manuelles doit être étudié par le concepteur.

Pour ce qui concerne le grand réservoir d’eau borée utilisé pour l’injection de sécurité et situé à
l’intérieur du bâtiment du réacteur, les lignes d’aspiration à l’extérieur de l’enceinte de confinement
doivent être équipées jusqu’à la première vanne d'une double enveloppe conçue pour tenir aux
conditions accidentelles dans l'enceinte de confinement non seulement au début de l’accident mais
aussi à long terme durant l’accident ; les doubles enveloppes doivent être conçues de manière à
permettre des inspections périodiques des tuyauteries internes d’aspiration. De plus, les
conséquences d’une fuite d’une tuyauterie interne doivent être étudiées.

Les séquences accidentelles de fusion du cœur avec une fuite significative des tubes des générateurs
de vapeur (jusqu’à la rupture multiple de tubes des générateurs de vapeur) doivent être
« pratiquement éliminées ». A ce sujet, le concepteur doit étudier les situations mentionnées au
paragraphe E.2.2.5.

Pour ce qui concerne les séquences accidentelles de fusion du cœur qui pourraient survenir dans les
états d’arrêt avec le bâtiment de confinement ouvert, ce qui ne sera autorisé que pour certaines
phases (voir paragraphe E.2.2.5), le concepteur doit montrer que, pour des séquences accidentelles
représentatives, l’enceinte de confinement sera fermée de manière fiable avant que des rejets
radioactifs significatifs ne puissent se produire dans l'enceinte de confinement ; cette exigence
concerne notamment le sas matériel, en tenant compte du temps disponible avant ébullition de l’eau
dans le cœur du réacteur et des conditions ambiantes dans le bâtiment du réacteur de même que le
besoin de systèmes supports s’il y a lieu.

B.2 - Fonctions et systèmes de sûreté

B.2.1 – Classement des fonctions, barrières, structures et systèmes de sûreté

8
Une fonction de sûreté peut être définie comme l’action combinée d’un ensemble de dispositions

8
A distinguer des fonctions fondamentales de sûreté mentionnées dans la section A.1.2.

- -18
techniques pour accomplir une certaine tâche dans un certain état de la tranche. Une fonction de
sûreté peut être accomplie par un ou plusieurs systèmes.

La mise en œuvre du principe de « défense en profondeur » peut s’appuyer sur l’introduction d’un
classement des fonctions et des systèmes de sûreté. Le but de ce classement est de définir des
exigences générales applicables aux fonctions et systèmes de sûreté avec une hiérarchisation des
exigences selon l’importance de ces fonctions et systèmes pour la sûreté.

Une manière possible de définir un classement approprié est d’étudier les différents transitoires,
incidents et accidents de référence, selon leurs fréquences estimées, en considérant deux états
physiques :

a) dans l’état "contrôlé", le cœur est sous-critique (un retour en criticité de courte durée avant les
actions de l'opérateur conduisant seulement à une puissance neutronique faible pourrait être
accepté au cas par cas pour quelques événements), l’évacuation de la puissance est assurée à
court terme par exemple par les générateurs de vapeur, l’inventaire en eau du cœur est stable, les
9
rejets radioactifs restent tolérables ;

10
b) dans l’état d’arrêt sûr, le cœur est sous-critique, la chaleur résiduelle est évacuée durablement ,
9
les rejets radioactifs restent tolérables .

Pour les conditions avec défaillances multiples, un état final peut être défini : le cœur est sous-critique,
la puissance résiduelle est évacuée par les systèmes primaire ou secondaire, les rejets radioactifs
9
restent tolérables .

Avec ces définitions :

• les fonctions de sûreté nécessaires pour atteindre l’état "contrôlé" après un transitoire, un
incident ou un accident de référence sont classées F1A ;
• les fonctions de sûreté nécessaires au-delà de l’état "contrôlé" pour atteindre et maintenir l’état
d’arrêt sûr après un transitoire, un incident ou un accident de référence sont classées F1B ;
• les fonctions de sûreté nécessaires pour atteindre l’état final pour les conditions avec
défaillances multiples sont classées F2. De plus, les fonctions de sûreté nécessaires pour faire
11
face aux agressions internes et aux agressions externes sont aussi classées F2 . Enfin, les
fonctions de contrôle-commande qui contribuent à maintenir les conditions initiales du réacteur à
l’intérieur des limites retenues dans la démonstration de sûreté ainsi que les fonctions de
limitation mises en place pour éviter les déclenchements inutiles d'actions de protection sont
classées F2.

Le classement des systèmes de sûreté (incluant en principe les systèmes supports) peut se déduire
du classement des fonctions de sûreté :

9
En cohérence avec les objectifs indiqués dans la section A.1.4.
10
Les chaînes de refroidissement sont capables de transférer durablement la chaleur jusqu’à la source froide ultime.
11
Quand elles sont étudiées selon une approche événementielle.

- -19
 • si pour au moins un transitoire, un incident ou un accident de référence, un système donné doit
accomplir une fonction F1A, ce système est classé F1A ; cependant, les systèmes supports
d’une fonction F1A peuvent être classés F1B s’ils sont en service et sans nécessité de
changement d’état quand l’événement arrive et s’ils ne sont pas rendus défaillants par
l’événement ;
• si pour au moins un transitoire, un incident ou un accident de référence, un système donné doit
accomplir une fonction F1B, ce système est classé au moins F1B ;
• si pour la prévention ou la limitation des conséquences d’une condition avec défaillances
multiples, un système donné est important pour réduire significativement la fréquence de fusion
du cœur, ce système est classé au moins F2.

12
Les exigences générales pour un système F1A sont : application du critère de défaillance unique (au
niveau du système), séparation physique des trains redondants, alimentation électrique secourue par
les diesels de secours principaux, essais périodiques, assurance de la qualité, tenue aux séismes et,
pour les équipements correspondants, utilisation de codes de conception acceptés et qualification aux
conditions accidentelles.

Les exigences générales pour un système F1B sont : application du critère de défaillance unique (au
niveau de la fonction), séparation physique des trains redondants (au niveau de la fonction),
alimentation électrique secourue par les diesels de secours principaux, essais périodiques, assurance
de la qualité, tenue aux séismes et, pour les équipements correspondants, utilisation de codes de
conception acceptés et qualification aux conditions accidentelles.

Les exigences générales pour un système F2 sont : essais périodiques, assurance de la qualité et
utilisation de codes de conception acceptés pour les équipements correspondants ; séparation
physique est mise en place quand un système F2 est utilisé en secours d'un système F1A ou F1B ; les
exigences relatives au secours électrique, à la tenue aux séismes et à la qualification aux conditions
accidentelles des équipements correspondants sont définies au cas par cas.

En outre, le concept de classement doit tenir compte des barrières, en relation avec la prévention, la
maîtrise et la limitation des conséquences des rejets radioactifs. Ceci implique que le classement des
barrières relatives aux différentes sources radioactives complète le classement déduit des études
relatives aux transitoires, incidents et accidents de référence et aux conditions avec défaillances
multiples ; un système, un équipement ou une structure peut dès lors être classé pour sa fonction
barrière aussi bien que pour sa fonction de protection des barrières.

12
La définition du critère de défaillance unique et sa combinaison avec la maintenance préventive sont présentées dans la
section C.2.1.

- -20
Tous les équipements ayant un classement en tant que barrière doivent avoir un classement
fonctionnel au moins égal à F2 et les équipements mécaniques correspondants doivent être conçus au
moins selon les codes techniques appropriés. En outre, des exigences fonctionnelles (par exemple
d'étanchéité) et d’exploitation (par exemple de maintenance, d’essais périodiques) précises doivent
être définies pour les systèmes ayant un classement en tant que barrière et les bâtiments assurant
une fonction de confinement, et ce pour toutes les parties de la tranche. Ces exigences doivent aussi
prendre en compte l’étude des agressions internes et externes ; aussi, une attention appropriée doit
être portée aux composants présentant du fait de leur haute énergie, un risque d’endommagement.

Une attention spécifique doit être portée au classement des barrières et aux exigences associées pour
les vannes d’isolement de l’enceinte de confinement, pour les traversées du système de collecte des
fuites et pour le tube de transfert de même que pour les équipements actifs et passifs, les structures et
autres dispositifs liés au confinement de la piscine du combustible usé.

B.2.2 - Exigences pour les équipements de sûreté

B.2.2.1 - Qualification des équipements de sûreté

Les équipements nécessaires à la démonstration de sûreté doivent être qualifiés pour les conditions
pour lesquelles ils sont nécessaires.

La qualification inclut le fonctionnement et la fiabilité, en tenant compte des conditions

d’environnement auxquelles les matériaux et les équipements seraient exposés dans la tranche, y
compris les conditions d’accident grave. Le processus de qualification doit être achevé avant le
démarrage de la tranche, en particulier pour les matériaux et équipements nouveaux.

Le concepteur doit préciser son approche générale de qualification des équipements classés ; cette
approche doit être appliquée à tous les types d’équipements (mécaniques, électriques…) à l’intérieur
et à l’extérieur du bâtiment du réacteur et tenir compte des conditions accidentelles internes et
externes ainsi que du vieillissement.

Pour cette approche, les méthodes de qualification et les profils standards enveloppant les conditions
ambiantes pour les situations de référence de même que pour les situations d'accident grave doivent
être définies et leur représentativité doit être justifiée (notamment pour le vieillissement).

Pour ce qui concerne les équipements électriques, la qualification peut être obtenue en testant un ou
plusieurs échantillons de ces équipements par une séquence de tests représentatifs conventionnels
ou par une démonstration claire de la capacité de ces équipements à fonctionner dans des conditions
définies, par exemple par analogie avec d'autres équipements ; une combinaison des deux méthodes
peut aussi être utilisée. Le retour d’expérience peut aussi être considéré. En principe, les séquences
d’essais pour la qualification sismique incluent le vieillissement avant les essais sismiques et les

- -21
séquences d’essais pour la qualification à l’accident de perte de réfrigérant primaire (APRP) incluent le
vieillissement et les essais de qualification sismique avant les essais APRP. Pour ces essais APRP,
des profils correspondant à des conditions thermodynamiques, chimiques et d’irradiation enveloppes
dans l’enceinte de confinement doivent être définis avec des marges adéquates.

Dans le but d’éviter toute dégradation de la fonction de refroidissement de secours du cœur, la

production de débris en conditions accidentelles, en particulier de débris de matériaux d’isolation, doit
être prise en compte dans l’approche de qualification.

B.2.2.2 - Systèmes de sûreté informatisés

Pour obtenir la haute fiabilité nécessaire pour les systèmes de contrôle-commande, le concepteur doit,
lorsque des systèmes informatisés sont utilisés, mettre en place des exigences de sûreté spécifiques,
pour la qualification de tels systèmes informatisés pour chaque classe de sûreté, y compris des règles
de conception pour les logiciels.

Les trois principes principaux pour la conception de calculateurs pour des systèmes de sûreté sont
l’évitement de défauts, l’élimination des défauts et la tolérance aux défauts.

L’évitement des défauts peut être mis en oeuvre dans une approche de construction par des règles et
directives strictes applicables durant tout le cycle de vie d’un système, incluant la spécification du
système (matériels, logiciels et intégration), la production (conception, codage des logiciels et mise en
place des matériels, essais), l’exploitation et la maintenance.

L’évitement des défauts doit être complété par une approche analytique pour l’élimination des défauts.
Ceci inclut des procédures non formelles comme des inspections, des relectures, des audits, des
revues de même que des procédures formelles comme des preuves d’exactitude, des analyses
statiques et différents essais d’intégration.

Pour faire face aux défauts résiduels qui subsisteraient en dépit de toutes les mesures prises pour
l'évitement et l’élimination des défauts, la tolérance aux défauts doit être introduite dans la conception.
Pour les matériels, ceci peut être atteint par la redondance et la diversification. La diversification doit
être examinée pour obtenir la tolérance aux défauts des logiciels.

B.2.3 - Exigences applicables à des fonctions de sûreté spécifiques

B.2.3.1 - Fonction de contrôle de la réactivité

- -22
La fonction de contrôle de la réactivité peut être accomplie par des barres de contrôle et des systèmes
d’injection d’eau borée, incluant un système de borication supplémentaire à deux trains, chacun d’eux
étant capable d'amener le réacteur de l’état contrôlé à l’état d’arrêt sûr pour tout transitoire, incident ou
accident de référence autre qu’une perte de réfrigérant primaire, sans solliciter l’ouverture des
soupapes de sûreté du pressuriseur. Ce système doit être classé F1B pour cette fonction de sûreté et
peut être mis en service manuellement. De plus, ce système doit être mis en service automatiquement
pour les transitoires avec défaillance de l’arrêt d’urgence ; les fonctions de contrôle-commande
correspondantes doivent être classées F2.

Concernant les ouvertures intempestives des vannes du circuit secondaire de même que les brèches
des lignes secondaires, le concepteur doit préciser si le réacteur peut redevenir critique après l’arrêt
d’urgence du réacteur au cours de tels transitoires, incidents ou accidents ; les équipements de
contrôle-commande doivent être classés en conséquence.

Concernant les dilutions du bore homogènes, le concepteur doit étudier la mise en place l’activation
de l’arrêt d’urgence ou d’un système de borication au moins pour les transitoires de référence de
dilution homogène.

En tout état de cause, la fiabilité de la fonction d'arrêt d’urgence doit être suffisamment élevée pour
contribuer à « pratiquement éliminer » les séquences de fusion du cœur à haute pression. Nonobstant
le rôle du système de borication supplémentaire, des moyens adéquats doivent être mis en œuvre
dans cet objectif, tels qu’une diversification des composants principaux du système d’arrêt d’urgence
(mesures physiques, signaux et traitements associés, disjoncteurs d’arrêt d’urgence).

- -23
Comme indiqué dans la section A.1.3, les accidents de réactivité résultant de l’introduction rapide
d’eau froide ou d’eau insuffisamment borée doivent être évités par des dispositions de conception de
telle sorte qu’ils puissent être « exclus ». Parmi ces dispositions de conception, des dispositifs
automatiques permettant d'éviter la formation intempestive d'un bouchon d’eau diluée, des dispositifs
de détection de fuite, le suivi de la concentration en bore des systèmes doivent être considérés autant
qu’il est approprié.

B.2.3.2 - Fonction d'évacuation de la puissance résiduelle

La fonction d’évacuation de la puissance résiduelle doit être assurée avec une fiabilité élevée. De
manière générale, un système à quatre trains conçu pour accomplir la fonction d’évacuation de la
puissance résiduelle et la fonction d'injection de sécurité à basse pression peut convenir dans la
mesure où des dispositions adéquates sont mises en oeuvre pour les parties du système d’évacuation
de la puissance résiduelle situées à l’extérieur du bâtiment du réacteur, de manière à « pratiquement
éliminer » les séquences d’accident grave avec bipasse du confinement.

La puissance résiduelle doit être transportée du système combiné d’évacuation de la puissance

résiduelle et d'injection de sécurité à basse pression à la source froide ultime par un système de
refroidissement intermédiaire.

Cependant, une démonstration détaillée doit être fournie par le concepteur concernant l’obtention de
l'état d’arrêt sûr pour les différentes situations accidentelles à considérer pour les différents états de la
tranche. Une attention particulière doit être portée aux séquences d’événements pour lesquelles un
basculement d’un mode d’exploitation à l’autre des trains du système combiné d’évacuation de la
puissance résiduelle et d’injection de sécurité à basse pression est nécessaire ainsi qu'aux délais
correspondants ; en outre la diversification et l’adéquation des signaux d’injection automatique d’eau
ainsi que le caractère suffisant du débit d’appoint doivent être justifiés ; enfin, l’adéquation de l’appoint
d'eau manuel prévu pour faire face à une défaillance des moyens automatiques doit être démontrée.

Le retour d’expérience a montré qu’une attention particulière doit être portée à la possibilité d'une perte
d‘un niveau d’eau adéquat durant les états d’arrêt où le cœur est dans la cuve du réacteur. Des
dispositions de conception doivent être mises en oeuvre afin de réduire le besoins d’exploitation à mi-
13
boucles quand le cœur est dans la cuve du réacteur et afin de faire face à la perte du système
normal d’évacuation de la puissance résiduelle. De plus, les caractéristiques de conception de la
mesure du niveau d’eau dans les boucles nécessitent une attention particulière ; des moyens
diversifiés devraient être mis en place. Les hypothèses relatives à la remise en service des pompes du
système d’évacuation de la puissance résiduelle après une baisse du niveau d’eau doivent être
clairement justifiées.

13
Il serait judicieux que durant les arrêts normaux pour rechargement, la maintenance des générateurs de vapeur et les
inspections en service soient conduites uniquement quand le cœur est totalement déchargé.

- -24
Enfin, les situations qui nécessitent un abaissement du niveau d’eau dans le circuit primaire au cours
des états d’arrêt doivent être définies et justifiées par le concepteur, de même que les dispositions -
incluant les marges de conception, l’instrumentation et les procédures adéquates – mises en oeuvre
pour faire face aux risques associés.

B.2.3.3 - Fonction de refroidissement de secours du cœur

Les hypothèses de brèches à considérer pour la fonction de refroidissement de secours du cœur sont
définies dans la section B.1.2 ; les autres hypothèses relatives à la conception des systèmes
correspondants sont indiquées dans la partie D.2.

La fonction de refroidissement de secours du cœur peut être assurée par un concept optimisé
comprenant une injection de sécurité à moyenne pression dans les branches froides avec une
pression de refoulement inférieure au point de consigne d’ouverture des soupapes de sûreté des
générateurs de vapeur, des accumulateurs injectant dans les branches froides et une injection de
sécurité à basse pression dans les branches froides, avec basculement à une injection combinée dans
les branches froides et chaudes après une période de quelques heures, les systèmes d'injection
utilisant l'eau d'un grand réservoir d’eau implanté à l’intérieur du bâtiment de confinement.

La mise en place d’un grand réservoir d’eau borée à l’intérieur du bâtiment du réacteur apporte des
avantages significatifs pour faire face aux accidents de perte de réfrigérant primaire. Néanmoins, une
attention appropriée doit être portée au bon mélange de l'eau contenue dans le réservoir et à
l’accroissement de la température de cette eau (une sous-saturation devrait être maintenue) au cours
de tels accidents (en relation avec le volume du réservoir), ainsi qu'à la qualité de l’eau pour la
conception des pompes du système de refroidissement de secours du cœur.

La fonction du système de refroidissement de secours du cœur pour « pratiquement éliminer » les

situations de fusion du cœur à haute pression doit aussi être considérée.

B.2.3.4 - Fonction d'évacuation de la chaleur par les circuits secondaires

La fonction d'évacuation de la chaleur par les circuits secondaires mérite une attention particulière. Elle
doit avoir la capacité d’évacuer la chaleur du cœur du réacteur via les générateurs de vapeur en
association avec les vannes de décharge des générateurs de vapeur et de l’alimentation de secours
en eau des générateurs de vapeur pendant les transitoires, incidents et accidents de référence. Après
un arrêt du réacteur, la transition du côté primaire de l’état sous-critique à chaud à des conditions
intermédiaires doit être assurée par cette fonction pour permettre ensuite l'obtention de l'état sous-
critique à froid par la fonction d'évacuation de la chaleur résiduelle côté primaire.

- -25
Pour des événements particuliers (petite brèche primaire et rupture d'un tube de générateur de
vapeur), la fonction d'évacuation de la chaleur par les circuits secondaires doit avoir la capacité
d’assurer de manière fiable le refroidissement du circuit primaire jusqu'aux conditions permettant le
14
fonctionnement du système de refroidissement de secours du cœur (fiabilité du système de
démarrage et d ‘arrêt, fiabilité du contournement au condenseur).

Pour obtenir « l’élimination pratique » des séquences de fusion du cœur à haute pression liées à la
perte des systèmes d’alimentation en eau normal et de secours, le concepteur doit mettre en place et
justifier une combinaison adéquate de moyens, incluant un système indépendant de démarrage et
d’arrêt, une réserve d’eau accrue dans chaque générateur de vapeur en comparaison avec les
tranches existantes, l’utilisation du gavé-ouvert secondaire de même que du gavé-ouvert primaire (mis
en service automatiquement ou manuellement).

B.2.3.5 - Fonction d'évacuation de la puissance hors de l'enceinte de confinement

La fonction d'évacuation de la chaleur de l’enceinte de confinement dans les conditions d’une fusion du
cœur à basse pression peut être réalisée par un système accomplissant une aspersion dans l’enceinte
et un refroidissement du corium, divisé en deux trains, un train étant suffisant au bout de 15 jours pour
maintenir la pression dans l’enceinte en dessous de la pression de dimensionnement. Ces trains
seraient refroidis par une chaîne dédiée diversifiée par rapport au système de refroidissement
intermédiaire des équipements utilisé par les systèmes liés à la prévention de la fusion du cœur. Les
deux trains de cette chaîne de refroidissement dédiée seraient secourus électriquement par les petits
diesels tels que décrits au paragraphe B.2.4.1.

Il est souligné qu’un système d’évacuation de la chaleur de l'enceinte de confinement avec une
recirculation de fluide radioactif en dehors de cette enceinte implique de traiter les défaillances
possibles des tuyauteries correspondantes et les conséquences radiologiques associées.

B.2.3.6 - Fonctions de protection contre les surpressions et de dépressurisation du circuit

primaire

Une protection adéquate du circuit primaire contre les surpressions doit être mise en place pour les
différents transitoires, incidents et accidents de référence ainsi que pour les transitoires avec
défaillance de l’arrêt d’urgence. Une protection contre les surpressions doit aussi être mise en place
pour les circuits connectés au circuit primaire (comme le système conçu pour accomplir la fonction
d’évacuation de la puissance résiduelle et l’injection de sécurité à basse pression, lorsqu'il est
connecté au circuit primaire).

14
L’ouverture des vannes du pressuriseur pourrait ne pas être suffisante pour rendre le système d’injection de sécurité
efficace.

- -26
Concernant les surpressions à froid, une protection adéquate de ce système et du système de
refroidissement du réacteur dans les états d’arrêt à froid peut être fournie par les soupapes de sûreté
du pressuriseur, leur ouverture étant commandée par un ordre dédié élaboré par un signal de pression
dérivé d’un seuil de pression.

D’un autre côté, le système de dépressurisation du circuit primaire doit être conçu pour contribuer à la
prévention de la fusion du cœur par la fonction gavé-ouvert primaire.

La fonction de dépressurisation ayant pour but de transformer les séquences de fusion du cœur à
haute pression en séquences de fusion du cœur à basse pression (cf. section A.1.3) peut être assurée
en ajoutant à la fonction de dépressurisation des soupapes du pressuriseur, une vanne de décharge
dédiée munie d'une vanne d’isolement, ces vannes étant conçues de telle sorte que leur ouverture
puisse être garantie même pour des températures de gaz élevées. Cette fonction de décharge doit
être disponible en cas de perte des sources électriques externes et d’indisponibilité de tous les diesels.
Une fois ouverte, la décharge devrait rester ouverte avec une haute fiabilité tout au long de la
progression de l’accident.

B.2.3.7 - Fonction de protection contre les surpressions dans les circuits secondaires

La fonction de protection contre les surpressions dans les circuits secondaires peut être réalisée par
une association de lignes de décharge de vapeur isolables et de soupapes de sûreté implantées entre
le bâtiment du réacteur et les vannes d’isolement de vapeur principales. Le caractère adéquat de cette
association de lignes de décharge et de soupapes de sûreté doit être vérifié en considérant aussi
l’évacuation de la puissance résiduelle, la limitation des rejets radioactifs et la prévention d’un
refroidissement excessif du cœur du réacteur.

Pour la fonction de protection contre les surpressions, l’arrêt d’urgence du réacteur peut être pris en
compte en tant que mesure de réduction de la pression, ce qui permet de réduire la capacité de
décharge totale, pourvu que la fiabilité et la diversification des dispositions relatives à l’arrêt d’urgence
du réacteur soient similaires à celles relatives à la protection du cœur. Cette approche peut être
utilisée pour les transitoires, incidents et accidents de référence. Pour les transitoires, de brefs
dépassements de la pression de dimensionnement des tuyauteries de vapeur peuvent être tolérés
pour autant que les soupapes de sûreté ne soient pas sollicitées. En outre, les transitoires avec
défaillance de l’arrêt d’urgence doivent être traités ; les transitoires les plus pénalisants quant à
l’accroissement de la pression du côté primaire et du côté secondaire doivent être examinés, en tenant
compte des durées des transitoires et de l’influence de ces durées sur la fiabilité des vannes
secondaires.

Les vannes de décharge et les soupapes de sûreté doivent être qualifiées pour les conditions de
fluides qui pourraient survenir pendant leur utilisation.

- -27
Plus précisément, du point de vue de la sûreté, la fonction de protection contre les surpressions
secondaires pourrait être accomplie pour chaque générateur de vapeur par deux soupapes de sûreté,
chacune d'elles ayant une capacité de décharge de 25%, en plus d’une ligne de décharge de vapeur
(avec une vanne d’isolement et une vanne de décharge régulée) ayant une capacité de décharge de
50 %,. Le point de consigne pour l’arrêt d’urgence du réacteur serait fixé à une valeur inférieure ou
égale à la pression de conception des générateurs de vapeur. Les points de consigne et les
caractéristiques d’ouverture des soupapes de sûreté et des vannes de décharge devraient être choisis
de telle sorte qu’il n’y ait pas de sollicitation des soupapes de sûreté en cas de rupture d’un tube de
générateur de vapeur. Ce concept implique le classement des lignes de décharge de vapeur comme
systèmes F1A ; de plus, une fiabilité adéquate des vannes correspondantes doit être clairement
démontrée.

B.2.4 - Exigences applicables aux systèmes de sûreté supports

B.2.4.1 - Alimentations électriques

Les alimentations électriques sont essentielles comme systèmes supports pour la réduction de la
fréquence de fusion du cœur et pour "l’élimination pratique" des séquences de fusion du cœur à haute
pression.

Pour une installation générale de la tranche avec des systèmes de sûreté à quatre trains, une fiabilité
adéquate des alimentations électriques pourrait être obtenue par la mise en place de quatre diesels
principaux identiques, complétés par deux petits diesels capables de secourir en particulier deux des
pompes d’alimentation de secours des générateurs de vapeur et les systèmes supports nécessaires.

Les petits diesels doivent être diversifiés par rapport aux quatre diesels principaux afin d'éliminer
autant que possible les défaillances de cause commune entre les deux types de diesels, en tenant
compte du retour d’expérience de tels diesels, et connectés à des jeux de barres électriques de
tensions différentes.

L’indépendance entre les diesels principaux et les petits diesels doit être complètement justifiée par
une étude des modes de défaillance des diesels. Notamment, les probabilités de défaillance des
diesels principaux et des petits diesels doit tenir compte des risques de défaillance de leurs batteries,
en considérant de façon appropriée le retour d’expérience correspondant.

Une considération appropriée doit aussi être portée aux tableaux électriques et aux possibilités de
défaillances de cause commune dans ces tableaux.

B.2.4.2 - Système de refroidissement intermédiaire et système d’eau brute secouru

Le système de refroidissement intermédiaire et le système d’eau brute secouru sont des systèmes
supports importants pour transférer à la source froide ultime la chaleur résiduelle du système conçu
pour accomplir les fonctions d’évacuation de la puissance résiduelle et d’injection de sécurité à basse
pression.

- -28
Les défaillances possibles de cause commune du système de refroidissement intermédiaire et du
système d’eau brute secouru doivent être complètement étudiées.

De plus, le concepteur doit montrer que la capacité d’évacuation de la chaleur de chaque échangeur
de chaleur entre le système de refroidissement intermédiaire et le système d’eau brute secouru est
adéquate pour toutes les conditions d’exploitation normales, incluant les états à l'arrêt, de même que
pour les transitoires, incidents et accidents de référence. La fiabilité des dispositifs d’isolement pour les
circuits dont les charges calorifiques ne sont pas considérées doit être étudiée en détail.

- -29
C – PREVENTION DES ACCIDENTS ET CARACTERISTIQUES DE SURETE
DE LA TRANCHE

C.1 - Réduction des fréquences des évènements initiateurs

L’objectif de réduction des fréquences des événements initiateurs - comme demandé dans la section
A.1.2 - implique d’évaluer l’expérience d’exploitation pour augmenter, autant que possible, la fiabilité
des systèmes et équipements d’exploitation (par exemple le système d’alimentation normale en eau
des générateurs de vapeur) et d’éliminer aussi largement que possible l’apparition de phénomènes
pouvant mettre en cause l’intégrité des équipements mécaniques comme les vibrations, la corrosion,
la cavitation…

Le retour d’expérience montre notamment que des dispositions adéquates doivent être mises en
œuvre pour maîtriser les phénomènes de fatigue thermique liés au mélange de fluides chauds et
froids. Leur adéquation doit être justifiée.

Des dispositions de conception permettant de réduire les fréquences des évènements initiateurs
doivent être considérées pour tous les types d’événements qui contribuent à la fréquence totale de
fusion du cœur. Il est important de considérer les évènements initiateurs pour tous les états
d’exploitation, incluant la pleine puissance, la faible puissance, et tous les états d’arrêts pertinents.

La qualité de la conception, de la fabrication, de la construction, de l’exploitation et de la maintenance

doit garantir que les dysfonctionnements conduisant à la mise en service de fonctions de sûreté sont
peu probables.

C.2 - Redondance et diversification

C.2.1 - Critère de défaillance unique et maintenance préventive

Un système est conçu selon le critère de défaillance unique s'il est capable de remplir sa fonction en
dépit d’une défaillance unique indépendante de l’événement dont la maîtrise nécessite le
fonctionnement du système. La défaillance unique postulée peut être active à court et à long termes ou
passive à long terme (après 24 heures).

Une défaillance unique active est définie comme une défaillance ou une erreur de position suffisante
pour empêcher un équipement d’accomplir une fonction de sûreté attendue. Une telle défaillance peut
avoir les caractéristiques suivantes :

a) dysfonctionnement d’un équipement mécanique ou électrique qui suppose un mouvement

mécanique pour accomplir la fonction attendue à la demande (par exemple fonctionnement d’un
relais, démarrage d’une pompe, défaillance d’une vanne à l’ouverture ou à la fermeture, etc…),

b) dysfonctionnement d’un équipement de contrôle-commande.

- -30
Les conséquences de mises en service intempestives d’équipements dues à des défaillances uniques
dans les systèmes de contrôle-commande doivent en particulier être étudiées pour identifier les points
faibles, s’il y en a, dans la séparation des équipements redondants et dans les systèmes de contrôle-
commande (comme détaillé dans la partie G.3).

Certaines défaillances actives uniques peuvent être exclues lors de l'application du critère de
défaillance unique pour la conception des systèmes ; de telles exclusions doivent être clairement
justifiées par des méthodes appropriées en relation avec des dispositions de conception et
d’exploitation précises, tenant compte de l’expérience d’exploitation. Les justifications devraient inclure
une analyse des conséquences de la défaillance avec des hypothèses réalistes.

De telles exceptions pourraient inclure :

a) la défaillance à l’ouverture des clapets des accumulateurs,
b) la défaillance à la fermeture d’une vanne d’isolement des tuyauteries de vapeur principale en cas
de rupture d’un ou plusieurs tubes de générateurs de vapeur (le comportement de la ligne de
vapeur principale remplie d’eau et la quantité de réfrigérant primaire perdue doivent être précisées
de même que les conséquences radiologiques possibles).

Une défaillance unique passive est définie comme une défaillance qui apparaît dans un équipement
qui n’a pas besoin de changer d’état pour réaliser sa fonction. Une défaillance passive peut être :
• une fuite de l’enveloppe sous pression d’un système de fluide ; une telle fuite est, si elle n’est pas
détectée et isolée, supposée s’accroître jusqu’au débit correspondant à une rupture totale ;
• une autre défaillance mécanique mettant en cause la ligne de débit correspondant au
fonctionnement normal d’un système de fluide.

La prise en compte des défaillances passives seulement pour le long terme (après plus de 24 h) de
fonctionnement des systèmes de sûreté, avec un taux de fuite supposé conventionnellement égal à
200 litres par minute jusqu’à l’isolement de la fuite, est acceptable en principe. Cependant, pour
chaque système F1, des études de sensibilité doivent être réalisées pour montrer que le cas d’une
défaillance unique passive à court terme (avant 24 h) de même que le cas d'un taux de fuite plus
grand que 200l/mn (jusqu’à la rupture d’une tuyauterie connectée d'un diamètre intérieur de 50 mm)
sont couverts par la prise en compte des défaillances uniques actives ou ne conduisent pas à un effet
falaise pour ce qui concerne l’efficacité du système ainsi que les conséquences radiologiques. De plus,
les fuites possibles à court terme doivent être considérées pour tous les barillets passifs.

- -31
En tout état de cause, le concepteur doit indiquer précisément les mesures de prévention et de
limitation des conséquences qu'il mettra en œuvre pour traiter les défaillances passives, y compris les
15
dispositions relatives à la détection et à l’isolement des fuites de même qu'à la reprise de l’eau. Les
exigences F1 (à l’exception possible de la redondance) doivent être appliquées aux dispositifs de
détection et d‘isolement correspondants.

La maintenance préventive est définie comme la mise hors service d’équipements à des moments
définis indépendamment de l’apparition de défaillances. Pendant les périodes de maintenance
préventive, les équipements concernés sont considérés indisponibles pour la fonction pour laquelle ils
ont été conçus. Si la nature de la maintenance préventive est telle que le système peut être remis dans
un état opérationnel dans un délai approprié permettant la réalisation de la fonction de sûreté en cas
de demande, la partie du système doit être considérée comme disponible.

Si la maintenance préventive est réalisée au cours des périodes de temps où un système F1 peut être
amené à fonctionner à la demande ou est en attente, cette maintenance doit être combinée avec
l’application du critère de défaillance unique (au niveau du système pour les systèmes F1A, au niveau
de la fonction pour les systèmes F1B), en tenant compte de la capacité nécessaire pour la fonction de
sûreté correspondante pendant la situation correspondante. Pour chaque système de sûreté pour
lequel des essais périodiques seront réalisés sur un train pendant la maintenance préventive d'un
autre train, des mesures appropriées doivent être prises pour éviter l’indisponibilité d’un train d’un
système de sûreté pendant les tests.

Des interconnections entre les trains d’alimentation en courant électrique alternatif de puissance ne
devraient être permises que pour la maintenance et seulement entre deux des quatre trains (trains 1 et
2 d’un côté, trains 3 et 4 de l’autre côté). Pendant le fonctionnement en puissance, la maintenance ne
devrait pas être réalisée sur plus d’un train au même moment.

C.2.2 – Etude probabiliste de sûreté et diversification

Les possibilités de défaillances de cause commune doivent être éliminées autant que possible par une
conception et des règles d’installation des équipements adéquates, incluant par exemple le choix
d'équipements diversifiés. Il faut noter que, pour des évènements initiateurs fréquents, l’exigence de
fiabilité d’une fonction de sûreté est tel que deux systèmes ou équipements diversifiés pourraient
s‘avérer nécessaires.

15
Le concepteur devrait développer une approche pragmatique des taux de fuite associés aux défaillances passives (incluant
les défaillances possibles de petites tuyauteries), fondée sur la recherche des localisations sensibles, et en tenant compte du
retour d’expérience existant.

- -32
Pour déterminer la combinaison adéquate de redondance et de diversification des systèmes de sûreté,
le concepteur peut, comme indiqué dans la section A.2.6, utiliser des objectifs probabilistes en tant
-6
que valeurs d’orientation ; dans ce cas, des valeurs d'orientation de 10 par an pour les probabilités de
fusion du cœur due aux événements internes respectivement pour les états en puissance et les états
d’arrêt pourraient être utilisées, en gardant à l’esprit la nécessité de considérer les incertitudes
associées.

Pour la réalisation des études probabilistes de sûreté, la liste des événements initiateurs doit être aussi
complète que possible, même pour la première étude au stade de la conception ; elle doit au moins
traiter toutes les séquences déjà étudiées dans les études probabilistes de sûreté françaises, y
compris les évènements dans les états d’arrêt, même avec des estimations très grossières de leurs
fréquences dans une première étape.

L’utilisation de modèles simplifiés et de données génériques de même que la limitation des calculs à
une durée de 24 heures peuvent être suffisantes pour fournir des indications valables dans une
première étape pour la conception des centrales électronucléaires de puissance de la prochaine
génération. Néanmoins, même au stade de la conception, il serait approprié d’étudier des évènements
spécifiques qui pourraient survenir après 24 heures (par exemple le remplissage d’un réservoir) dans
le but de montrer l’absence d’effet falaise. En particulier, une attention appropriée doit être portée aux
agressions externes qui nécessiteraient de longs temps de fonctionnement pour certains systèmes.

Concernant les défaillances de cause commune, le concepteur doit considérer ce type de défaillances
pour les parties de composants à l’intérieur d’un système et étudier les possibilités de défaillances de
cause commune entre systèmes différents.

Il ne serait pas approprié d’exclure a priori les possibilités de défaillances de cause commune pour les
équipements en fonctionnement continu et dans le même état de fonctionnement avant et pendant
l’accident, ou pour les équipements appartenant à une large population de composants identiques
exploités dans des conditions similaires. De telles exclusions doivent être traitées au cas par cas. En
particulier, des défaillances de fonctionnement de cause commune durant le temps nécessaire à la
mission doivent être considérées pour des pompes identiques appartenant au même système et
remplissant la même fonction dans les mêmes conditions, .

Les indisponibilités dues à la maintenance doivent être étudiées dès le début de la phase de
conception, en particulier si des opérations de maintenance sont prévues tranche en puissance.
L’influence possible d’erreurs humaines durant la maintenance et les essais doit être étudiée au stade
de la conception. La maintenance préventive doit être considérée de manière réaliste ; les
indisponibilités dues à la maintenance préventive ne devraient pas conduire à une part importante de
la fréquence globale de fusion du cœur.

- -33
D’un autre côté, il est souligné que des délais maximaux de réparation avant l’arrêt du réacteur doivent
être spécifiés pour les composants des systèmes de sûreté ; à cette fin, les études probabilistes
peuvent aussi être utilisées, en tenant compte des valeurs d’orientation définies ci-dessus, avec une
attention appropriée aux incertitudes associées. Les délais maximaux de réparation doivent aussi être
cohérents avec « l’élimination pratique » des situations accidentelles qui conduiraient à des rejets
précoces importants.

La fiabilité humaine est particulièrement difficile à traiter au stade de la conception, puisque les
facteurs humains dépendent fortement des caractéristiques spécifiques d’exploitation des tranches qui
ne sont pas définies à ce stade (procédures, organisation, …). La première estimation peut n’être que
très grossière. Il est à signaler qu’il n’est pas possible d’évaluer les avantages dus à l’amélioration des
interfaces homme-machine sans des résultats expérimentaux. Un programme de recueil de données
doit être défini dès que possible.

Les hypothèses, critères et données doivent être justifiés. Les données de fiabilité doivent être mises à
jour et complètes, en considérant en particulier l’expérience d'exploitation française et allemande ;
dans ce domaine, une attention particulière doit être portée aux défaillances de cause commune aussi
bien qu’aux systèmes de contrôle-commande (matériels et logiciels). Les incertitudes concernant les
données de fiabilité, les défaillances de cause commune et la fiabilité humaine doivent être traitées au
stade de la conception en réalisant des études de sensibilité.

Le concepteur doit aussi évaluer soigneusement les fréquences des séquences conduisant à la fusion
du cœur alors que le système d’évacuation de la chaleur hors de l'enceinte de confinement est
indisponible et les conséquences correspondantes, en tenant compte des actions possibles des
opérateurs. Les séquences avec des fuites initiales de l'enceinte de confinement doivent aussi être
étudiées.

C.3 - Facteurs humains

Comme indiqué dans la section A.2.3, un programme complet d’ingénierie des facteurs humains doit
être mis en œuvre. Les sujets suivants devraient être traités dans ce programme, selon un processus
itératif autant que nécessaire :

a) description et analyse des tâches : ceci couvrirait systématiquement les interactions entre les
hommes et les équipements de même que les interactions entre hommes, pour toutes les activités
d’exploitation, de maintenance, de réparation et de tests. Dans une première étape, les données
seraient collectées de préférence par une observation directe de ces activités dans des tranches
existantes, complétée par des interviews et plus tard par des essais sur des maquettes et des
simulateurs ;
b) allocation de fonctions aux équipements et aux hommes : ceci conduirait notamment à une liste
justifiée de tâches à automatiser, à ne pas automatiser ou à partager dans une coopération
homme-machine ;

c) conception des interfaces : ceci couvrirait la définition des informations à présenter, leur
organisation et leur mise en place, en particulier dans la salle de commande principale où une

- -34
 vision globale de l’état réel de la tranche est nécessaire, le système d’alarmes, les moyens de
communication pour les différents types d’activités, l’environnement de travail et les moyens de
conduite à fournir aux opérateurs ; une attention particulière serait portée à la station de repli définie
dans la partie G.3 de même qu'aux autres emplacements de travail en dehors de la salle de
commande principale;

d) organisation des équipes de conduite : ceci couvrirait la définition du nombre requis et des
compétences nécessaires pour le personnel, pour en déduire des critères de sélection et des
programmes de formation, de même que l’organisation des équipes avec une claire répartition des
responsabilités ;

e) développement du "guidage" des opérateurs, incluant une documentation et des procédures

adéquates ; des procédures informatisées devraient être développées d’une manière cohérente et
intégrée avec les autres interfaces utilisées par les opérateurs ;

f) vérification et validation : des ajustements devraient être mis en œuvre en fonction des résultats du
processus de vérification et de validation tenant compte des évaluations de la fiabilité humaine
dans toutes les phases de conception.

Un sujet spécifique concerne le système d’alarme pour lequel le concepteur doit considérer les
situations de maintenance, de réparation et d’essais et définir des critères pour la hiérarchisation des
alarmes à un stade précoce de la conception. Une telle hiérarchisation ne doit pas empêcher la
possibilité de réaliser des tests de cohérence des alarmes qui apparaissent.

C.4 - Radioprotection des travailleurs et des personnes du public

C.4.1 - Radioprotection en exploitation normale

Pour la mise en œuvre de l'approche ALARA pour les tranches électronucléaires de puissance de la
prochaine génération (comme demandé au paragraphe A.2.7.1), une évaluation détaillée du retour
d’expérience existant est nécessaire.
Cette évaluation concernerait notamment :
• les débits de dose à proximité du système de refroidissement du réacteur pendant les arrêts, avec
58 60 124
les contributions respectives des dépôts de produits de corrosion ( Co, Co, Sb) ;
• les blindages dans le bâtiment du réacteur et les bâtiments auxiliaires.

Concernant le choix des matériaux, il serait judicieux, pour les tranches électronucléaires de puissance
de la prochaine génération, de réduire autant que possible l’utilisation de stellites et d’antimoine et de
sélectionner des matériaux ayant un faible taux d’impuretés de cobalt. Le choix de l’alliage des tubes
des générateurs de vapeur doit aussi être justifié par le concepteur, en tenant compte du retour
d’expérience relatif aux niveaux d’activité correspondants dans le système de refroidissement du
réacteur de même que de la prévention de la corrosion du côté primaire et du côté secondaire.

- -35
Concernant les blindages, il serait approprié de retenir des valeurs d’activité de dimensionnement pour
les produits de fission et les produits de corrosion dans le système de refroidissement du réacteur de
manière plus réaliste que pour les tranches existantes, en considérant le retour d’expérience de façon
appropriée. Ces activités, avec les spectres correspondants, doivent être spécifiées par le concepteur ;
toutes les sources pertinentes d’irradiation doivent être prises en compte (rayonnements neutronique
16
et gamma autour de la cuve du réacteur, N autour du système de refroidissement du réacteur…).

Les points suivants doivent aussi être spécifiés par le concepteur :

• le taux de purification du réfrigérant primaire en exploitation normale et en arrêt à froid,

• les dispositions de conception prises pour éviter ou limiter autant que possible les zones où des
dépôts de produits de corrosion pourraient s’accumuler,
• les traitements de surface (tels que le polissage électrolytique) appliqués à des parties du circuit
primaire ou de la piscine du réacteur ,
• les dispositions considérées pour faciliter les opérations de décontamination,
• les dispositions de conception pour l’utilisation de robots,
• les dispositions de conception pour faciliter le travail dans le bâtiment de confinement, en
réduisant les durées de travail et en accroissant les distances entre les sources radioactives et les
travailleurs.

De plus, l’impact radiologique des tâches réalisées dans le bâtiment du réacteur pendant l’exploitation
en puissance doit être précisément étudié par le concepteur.

C.4.2 – Effluents radioactifs, réduction des déchets et démantèlement

C.4.2.1 - Réduction des déchets et démantèlement

Le concepteur doit préciser comment il prendra en compte l’objectif de réduction des effluents et des
déchets radioactifs indiqué au paragraphe A.2.7.2 dans le cadre d’un processus d’optimisation. Ceci
implique une évaluation détaillée du retour d’expérience existant. Les points suivants doivent
notamment être traités :

• les spécifications des matériaux pour les composants qui sont en contact avec le réfrigérant
primaire ;
• la chimie du réfrigérant du réacteur (avantages et inconvénients de modifications possibles de cette
chimie) ;
• les dispositions permettant de réduire les dépôts de produits de corrosion qui sont ou peuvent être
activés par leur passage à travers le cœur du réacteur ; ceci s’applique en particulier aux dépôts
sur les assemblages de combustible et les structures entourant le cœur du réacteur ;
• les procédés de traitement des effluents radioactifs liquides et gazeux, de même que des déchets
radioactifs solides en fonction des caractéristiques des différents types d’effluents et de déchets, en
tenant compte des situations plausibles telles que les ruptures de gaines.

- -36
Certains choix de matériaux déjà demandés dans la section C.4.1 pour des raisons de radioprotection
(tels que la réduction autant que possible de l’utilisation de stellites et d’antimoine et le choix de
matériaux avec un faible taux d'impuretés de cobalt) présenterait aussi des avantages pour ce qui
concerne la gestion des déchets radioactifs. Un autre point relatif au choix des matériaux est la
production de radionucléides à vie longue qui doit être considérée en relation avec le devenir ultime
des déchets.

Il est aussi essentiel de faire une claire distinction au stade de la conception entre les zones à déchets
conventionnels à l’intérieur desquelles les déchets produits ne sont pas susceptibles d’être contaminés
ou activés et les zones à déchets nucléaires à l’intérieur desquelles les déchets produits sont
susceptibles d’être contaminés ou activés ; l’extension des zones à déchets nucléaires devrait être
minimisée par une conception adéquate.

Concernant le démantèlement, des dispositions adéquates doivent être mises en place au stade de la
conception pour faciliter les travaux correspondants. En particulier, il serait judicieux d’installer les gros
composants de telle manière qu’ils puissent être démontés et transportés en vue d’un traitement
ultérieur ; il faut se soucier des moyens de manutention, des modalités d’évacuation et des protections
biologiques nécessaires. De plus, des dispositions permettant le nettoyage et la décontamination in
situ devraient être considérées lors de la conception et de l’installation des systèmes et des cuves.

C.4.2.2 - Systèmes de traitement des effluents

En relation avec l’objectif indiqué au paragraphe A.2.7.2. et rappelé dans la section précédente, le
concepteur doit spécifier les points suivants relatifs aux systèmes de traitement des effluents :

• la politique de gestion des effluents radioactifs gazeux et liquides dans la tranche ;

• la méthode et les bases de données utilisées pour déterminer les flux de radioactivité à considérer
14
(y compris le C ) pour le dimensionnement des systèmes de traitement des effluents. Ces flux de
radioactivité doivent couvrir tous les transitoires considérés pour la conception de la tranche
(exploitation normale, y compris les arrêts de tranche et le suivi de charge, autres transitoires de
référence). La gestion des effluents qui pourraient résulter des incidents et accidents de référence
doit aussi être prise en compte ;
• la démonstration de l’identification de tous les rejets radioactifs et chimiques envisageables et le
caractère adéquat de leur suivi.

- -37
D - MAITRISE DES TRANSITOIRES, INCIDENTS ET ACCIDENTS DE REFERENCE

D.1 – Liste des transitoires, incidents et accidents de référence

Comme indiqué dans la section A.1.4, des transitoires, incidents et accidents de référence affectant la
tranche doivent être considérés pour démontrer la sûreté du réacteur.

La définition des transitoires, incidents et accidents de référence à étudier comprend plusieurs étapes :

• Identification des évènements initiateurs possibles qui pourraient conduire à un relâchement de

substances radioactives à l'intérieur ou à l'extérieur de la tranche;
• exclusion d’événements initiateurs simples qui font l’objet d’une prévention suffisante par des
dispositions de conception et d'exploitation ;
• regroupement de tous les autres événements identifiés de manière à définir un nombre limité de
transitoires, incidents et accidents de référence de telle sorte que les conséquences de chaque
événement de référence enveloppent celles du groupe d'événements correspondant.

Une attention appropriée doit être portée aux transitoires, incidents et accidents de référence
survenant dans les états d'arrêt, en tenant compte des conditions de fonctionnement spécifiques
associées, notamment la possible indisponibilité de certaines des barrières et de certains des
systèmes de sûreté. Une attention spécifique doit aussi être portée aux événements initiateurs qui
pourraient conduire à un bipasse de la barrière constituée par l'enceinte de confinement, y compris
des défaillances d'isolement dans les systèmes connectés au circuit primaire et traversant l'enceinte
de confinement de même que les ruptures de tubes de générateurs de vapeur.

Il est approprié de classer les transitoires, incidents et accidents de référence selon les fréquences
estimées des groupes d'événements initiateurs qu'ils enveloppent ; ceci implique la définition de quatre
catégories de conditions de fonctionnement de référence de la tranche depuis l'exploitation normale et
les transitoires jusqu'aux incidents et accidents. Pour chaque catégorie de conditions de
fonctionnement de référence, la liste des événements initiateurs, les hypothèses, règles et critères
associés doivent être précisés par le concepteur.

Pour la définition des événement initiateurs d'origine interne à considérer pour la tranche, il peut être
utile de distinguer différents états du réacteur.

� État A état en puissance et état d'arrêt à chaud ou intermédiaire avec toutes les fonctions de
protection automatique du réacteur disponibles ; certaines fonctions peuvent être
désactivées à basse pression ;
� État B arrêt intermédiaire au dessus de 120°C, système de refroidissement à l'arrêt non
connecté ; certaines fonctions de protection automatique du réacteur peuvent être
désactivées ;
� État C arrêt intermédiaire et arrêt à froid avec le système de refroidissement à l'arrêt en
fonctionnement et le circuit primaire fermé ou pouvant être refermé rapidement ;
� État D arrêt à froid avec le circuit primaire ouvert ;
� État E arrêt à froid avec la piscine du réacteur pleine ;

- -38
� État F arrêt à froid avec le cœur du réacteur complètement déchargé.

La liste des conditions de fonctionnement de référence à traiter dans la démonstration de sûreté des
tranches électronucléaires de la prochaine génération peut être largement déduite de l'expérience des
tranches existantes, en l’adaptant à la conception plus détaillée considérée comme acceptable dans
les présentes directives techniques. Dans la liste préliminaire présentée ci-après, quand aucun état du
réacteur n'est mentionné, la condition de fonctionnement correspondante doit être étudiée dans l'état A
pour le niveau de puissance le plus pénalisant.

Exploitation normale : conditions de fonctionnement de catégorie 1 (PCC 1)

Les conditions d'exploitation normale incluent les situations qui sont maîtrisées par les systèmes
d'exploitation, tels que la montée en température et le refroidissement du réacteur, les échelons de
puissance, les rampes de montée en charge... Pour ces situations, la tranche est maintenue dans les
limites définies par ses spécifications techniques (notamment pour ce qui concerne la disponibilité des
systèmes et le nombre d'occurrences).

Transitoires de référence : conditions de fonctionnement de catégorie 2 (PCC 2)

• arrêt d'urgence (intempestif)

• dysfonctionnement du système d'alimentation en eau des générateurs de vapeur conduisant à une
réduction de la température de l'eau d’alimentation,
• dysfonctionnement du système d'alimentation en eau des générateurs de vapeur conduisant à un
accroissement du débit d'eau d'alimentation,
• accroissement excessif du débit de vapeur secondaire,
• déclenchement de la turbine,
• fermeture intempestive d'une vanne principale d'isolement de la vapeur ,
• perte du vide au condenseur,
• perte des alimentations électriques externes de courte durée (� 2 heures) (états A, C, D),
• perte du débit d'alimentation normale en eau des générateurs de vapeur (perte de toutes les
pompes principales d'alimentation en eau et de la pompe du système de démarrage et d'arrêt),
• perte d'une pompe primaire principale sans arrêt d'urgence partiel,
• retrait incontrôlé d'un groupe de grappes de contrôle (état A),
• désalignement d'une grappe de contrôle, jusqu'à la chute de la grappe, sans tenir compte des
dispositifs de limitation,
• démarrage d'une boucle primaire à l'arrêt à une température incorrecte,
• dysfonctionnement du système de contrôle volumétrique et chimique conduisant à une diminution
de la concentration en bore du circuit primaire (états A à E),
• dysfonctionnement du système de contrôle volumétrique et chimique conduisant à une
augmentation ou une diminution de l'inventaire en eau du circuit primaire,
• transitoire de pression primaire (aspersion intempestive dans le pressuriseur, chauffage intempestif
du pressuriseur),
• abaissement incontrôlé du niveau d'eau dans le circuit primaire pendant un fonctionnement à mi-
boucles (états C ou D),
• perte d'un train du système de refroidissement à l'arrêt pendant un fonctionnement à mi-boucles
(états C,D).

- -39
Incidents de référence : conditions de fonctionnement de catégorie 3 (PCC 3)

• petite brèche d’une tuyauterie du système d'alimentation en eau des générateurs de vapeur ou
d'une tuyauterie de vapeur,
• perte des alimentations électriques externes de longue durée (> 2 heures) (état A),
• ouverture intempestive d'une soupape de sûreté du pressuriseur,
• ouverture intempestive d'une ligne de décharge ou d'une soupape de sûreté d'un générateur de
vapeur (état A),
• petite brèche primaire (états A, B),
• rupture d'un tube de générateur de vapeur (un seul tube),
• fermeture intempestive de toutes les vannes principales d'isolement de la vapeur,
• chargement et exploitation intempestifs d'un assemblage de combustible dans une position
inappropriée,
• réduction forcée du débit primaire (4 pompes),
• défaillances dans les systèmes de traitement des effluents liquides ou gazeux,
• retrait incontrôlé d'un groupe de grappes de contrôle (états B à D),
• retrait incontrôlé d'une grappe ,
• rupture d'une ligne transportant du réfrigérant primaire en dehors de l'enceinte de confinement (par
exemple ligne d'échantillonnage).

Accidents de référence : conditions de fonctionnement de catégorie 4 (PCC 4)

• perte des alimentations électriques externes de longue durée (> 2 heures) (état C),
• rupture d'une tuyauterie de vapeur (états A, B),
• rupture d'une tuyauterie d'alimentation en eau des générateurs de vapeur (états A, B)
• ouverture intempestive d'une ligne de décharge ou d'une soupape de sûreté d'un générateur de
vapeur (état B),
• éjection d’une grappe de commande (états A, B),
• brèche intermédiaire ou grosse brèche du circuit primaire (jusqu'à la rupture de la ligne d'expansion
16
du pressuriseur dans les états A et B),
• petite brèche primaire (jusqu'à un diamètre de 50 mm, dans les états C et D),
• brèche du circuit de refroidissement à l'arrêt à l'extérieur de l'enceinte de confinement (jusqu'à 250
mm de diamètre, dans les états C et D),
• grippage d'une pompe primaire (rotor bloqué),
• rupture d'un arbre de pompe primaire,
• rupture de deux tubes d'un générateur de vapeur,
• accident de manutention du combustible,
• dilution du bore due à une rupture non isolable d'un tube d'échangeur de chaleur (états A à E).

La liste définitive doit être complétée et justifiée par le concepteur en tenant compte des remarques
suivantes :

16
Sans tenir compte de l'influence d'un limiteur de débit.

- -40
• si une condition de fonctionnement considérée en PCCn pour l'état en puissance est déclassée en
PCCn+1 pour les états d'arrêt, ce déclassement doit être justifié au cas par cas sur la base de la
fréquence estimée de l'événement initiateur dans les états d'arrêt ;
• les catégories de certaines conditions de fonctionnement telles que l'"ouverture intempestive d'une
soupape de sûreté d'un générateur de vapeur (état A)" ou la "dilution du bore due à une rupture non
isolable d'un tube d'échangeur de chaleur (états A à E)" doivent être justifiées précisément sur la
base de la conception détaillée des équipements correspondants ;
• l'ouverture intempestive du dispositif de dépressurisation dédié (décrit au paragraphe B.2.3.6) doit
être introduite dans la liste des conditions de fonctionnement à moins qu’une justification précise
puisse être présentée ;
• les tailles des petites brèches primaires en PCC 3 doivent être spécifiées et justifiées ;
• le cas spécifique d'une petite brèche primaire à l'endroit le plus défavorable par rapport à l'injection
par le système d’injection de bore supplémentaire, survenant en même temps qu'un aggravant
unique sur le train non affecté de ce système, doit être étudié ;
• l'éjection d 'une grappe de contrôle doit être considérée dans l'état C à moins que le concepteur ne
fournisse des justifications adéquates ;
• l'approche pour les évènements initiateurs internes survenant en dehors du bâtiment du réacteur,
notamment dans la piscine du combustible usé, doit être précisée et justifiée (voir la partie G.1) ;
• concernant les bâtiments auxiliaires qui contiennent des systèmes avec des substances
radioactives, des études d'accidents doivent être incluses dans les catégories de fonctionnement et
menées avec les règles correspondantes. Dès lors que la disposition des systèmes dans ces
bâtiments est telle que les lignes à haute énergie sont séparées de celles qui transportent de la
radioactivité, la défaillance des équipements contenant de la radioactivité peut en principe être
étudiée uniquement en tant qu'évènement initiateur possible ;
• concernant les dilutions homogènes du bore dans le circuit primaire, les scénarios retenus pour les
études d'accident, de même que leur classement dans les catégories de conditions de
fonctionnement, doivent être justifiés sur la base d'une identification exhaustive des événements
initiateurs pouvant être à l'origine d'une dilution, avec les débits correspondants, et une évaluation
de leurs vraisemblances respectives ;
• l'exclusion des brèches intermédiaires du circuit primaire dans l'état B2 quand les accumulateurs
sont isolés doit aussi être précisément justifiée ;
• un mode de fonctionnement avec seulement trois pompes primaires nécessiterait l'évaluation des
études d'accident correspondantes.

Les études probabilistes de sûreté réalisées au stade de la conception devront aussi être utilisées pour
vérifier et ajuster la liste présentée ci-dessus.

D.2 – Règles d'analyse de sûreté et critères d'acceptation

Pour les différents transitoires, incidents et accidents de référence, des règles doivent être appliquées
pour la démonstration de sûreté et des critères techniques de découplage appropriés doivent être
respectés avec des hypothèses conservatives. Pour certains transitoires, incidents et accidents de
référence, le concepteur doit présenter des études d'accident couvrant toutes les gestions du
combustible prévues.

- -41
Il doit être vérifié que, pour les différents transitoires, incidents et accidents de référence significatifs du
point de vue radiologique, en supposant que les critères techniques correspondants sont respectés,
les conséquences radiologiques sont tolérables et cohérents avec les objectifs généraux de sûreté
définis dans la section A.1.1 pour les accidents sans fusion du cœur.

D.2.1 - Règles d'analyse de sûreté

La démonstration de sûreté concernant les catégories de conditions de fonctionnement doit tenir

compte des règles suivantes :

• en principe, seuls des systèmes F1 peuvent être utilisés dans la démonstration de sûreté pour
atteindre et maintenir l'état d'arrêt sûr (tel que défini dans la section B.2.1) ; des équipements non
F1 ne sont considérés que s'ils ne sont pas favorables pour le transitoire. Cependant, des
exceptions très limitées pourraient être acceptées pour des équipements non F1 favorables pour
un transitoire si des exigences appropriées sont appliquées à ces équipements. Le concepteur doit
fournir une liste complète des équipements correspondants, avec les exigences associées, et la
vérification de l'absence d'effet falaise quand ces équipements ne sont pas pris en compte dans la
démonstration de sûreté ;

• l'aggravant le plus pénalisant doit être pris en compte. C'est une défaillance unique appliquée à un
équipement utilisé pour réaliser la démonstration de sûreté, y compris un équipement non F1 tel
que défini ci-dessus, s’il y en a. En particulier :

a) le blocage d'une barre de contrôle doit être considéré comme un aggravant possible pour les
transitoires, incidents et accidents de référence. Dans la mesure où des dispositions adéquates
sont mises en œuvre pour éviter tout blocage d'une barre de contrôle, en portant une attention
appropriée au retour d'expérience existant, il n'est pas nécessaire de considérer la simultanéité
du blocage d'une barre et d'un autre aggravant ;

b) la défaillance à la fermeture d'une vanne de décharge de vapeur principale doit être considérée
comme un aggravant possible pour les transitoires de référence tels qu’une dilution homogène
et le retrait incontrôlé d'une grappe de contrôle ;

• la maintenance préventive doit être combinée avec la prise en compte de l'aggravant le plus
pénalisant, dans les conditions indiquées dans la section C.2.1 ;

• une action manuelle depuis la salle de commande principale peut être supposée intervenir au plus
tôt 30 minutes après la première information significative donnée aux opérateurs. Pour une action
manuelle en local, en dehors de la salle de commande principale, le délai le plus court à retenir en
compte est de une heure.

De plus, les transitoires, incidents et accidents de référence (à l'exception de ceux initiés par une
action humaine), doivent être étudiés en supposant la perte des alimentations électriques externes au
moment le plus défavorable ; seuls des équipements classés sismiques peuvent être utilisés pour la

- -42
démonstration de sûreté. Les critères techniques de découplage à respecter sont similaires à ceux des
accidents de référence.

D.2.2 - Critères d'acceptation

Les critères techniques de découplage à respecter dans la démonstration de sûreté sont notamment
les suivants.

Pour les transitoires de référence (PCC 2), l’intégrité des gaines du combustible doit être maintenue.
Ceci implique de définir une limite pour le rapport d’échauffement critique, à préciser par le
concepteur, et, éventuellement, un critère concernant l’interaction pastille-gaine.

L’appréciation des conséquences d’accidents de réactivité tels que le retrait incontrôlé d’une grappe de
contrôle sur le comportement du combustible nécessite des investigations détaillées tenant compte
des caractéristiques précises du combustible et du taux de combustion associé.

Pour la rupture de la ligne d’expansion du pressuriseur dans l’état A (PCC 4), la température du point
chaud des gaines doit rester inférieure à 1200°C, l’oxydation maximale des gaines doit rester inférieure
à 17% de l’épaisseur des gaines, la quantité d’hydrogène maximale produite doit rester inférieure à
1 % de la quantité qui serait produite si toute la partie active des gaines réagissait. Il est aussi
nécessaire d’éviter que subsistent pendant une longue durée des conditions de refroidissement du
cœur dégradées qui pourraient conduire à un endommagement important du combustible.

D’autres critères techniques de découplage devront être proposés et justifiés par le concepteur,
concernant :

• l’énergie maximale déposée dans le combustible lors de transitoires rapides tels que l’éjection
d’une grappe de contrôle (PCC 4),
• la possibilité de refroidir le cœur du réacteur à long terme après un accident de perte de réfrigérant
primaire,
• les nombres maximaux de crayons de combustible pouvant subir un échauffement critique dans les
conditions de fonctionnement des catégories 3 et 4,
• la température maximale des gaines au point chaud lors de transitoires rapides permettant d'éviter
la fragilisation des gaines,
• la quantité maximale de combustible fondu dans les conditions de fonctionnement des catégories 3
et 4.

En outre, l’analyse de sûreté des transitoires, incidents et accidents de référence selon les règles
associées doit inclure une évaluation de la protection contre les surpressions des circuits primaires et
secondaires avec des critères spécifiques appropriés.

Plus généralement, il doit être vérifié que les règles de conception appliquées aux équipements
classés utilisés dans la démonstration de sûreté enveloppent avec des marges appropriées les
conditions (notamment les sollicitations des équipements mécaniques) résultant des transitoires,
incidents et accidents de référence.

- -43
L’évaluation de sûreté des transitoires, incidents et accidents de référence doit aussi inclure une
justification précise du volume des réservoirs du système d'alimentation de secours en eau des
générateurs de vapeur en tenant compte de façon appropriée d’un aggravant et de la stratégie de
maintenance préventive.

De plus, les exigences de sous-criticité relatives aux états d’arrêt doivent être définies en tenant
compte des conditions accidentelles qui pourraient avoir lieu dans ces états.

D.2.3 - Utilisation de codes de calcul

Pour chacun des codes de calcul utilisés pour justifier la conception, le concepteur doit préciser sa
validation expérimentale et sa qualification et comment les incertitudes restantes sont prises en
compte (par exemple études de sensibilité). Ceci s’applique aux codes de calcul utilisés pour les
calculs neutroniques et thermohydrauliques relatifs aux transitoires, incidents et accidents de
référence, et notamment aux codes de calcul de nouvelle génération (codes de calcul couplés
thermohydraulique et neutronique 3 D), de manière à démontrer que les valeurs enveloppes
déterminées par les résultats sont réellement conservatives pour l’ensemble complet des études
relatives aux conditions de fonctionnement PCC. Ceci s’applique aussi aux codes de calcul utilisés
pour déterminer la l’évolution de la puissance résiduelle pour les études des conditions de
fonctionnement.

Des hypothèses et modèles réalistes peuvent être utilisés pour la démonstration de sûreté relative à la
rupture de la ligne d’expansion du pressuriseur dans l’état A (PCC 4) ; mais la conformité des résultats
avec les critères d’acceptation doit être prouvée avec un haut niveau de confiance - ce qui implique
l’utilisation d’une version figée du code de calcul, qui doit être qualifiée et vérifiée, et une évaluation
explicite des incertitudes associées, en combinant les incertitudes élémentaires (modèles du code,
effets d’échelle, conditions initiales et conditions aux limites, effets de l'utilisateur, …). Une autre
approche pourrait être l’utilisation de modèles et critères déjà appliqués à des tranches existants de
manière conservative.

Des essais supplémentaires ou une réévaluation d'essais antérieurs pourrait être nécessaire pour des
caractéristiques de conception différant de caractéristiques existantes de manière à réduire les
incertitudes ; ceci doit être considéré en relation avec l'utilisation d'analyses réalistes.

D.2.4 - Conséquences radiologiques

Les conséquences radiologiques envisageables doivent être calculées comme indiqué dans la section
A.1.4. Les hypothèses réalistes utilisées pour les calculs doivent être justifiées par le concepteur ; ceci
s’applique au spectre de radionucléides considéré pour le calcul des doses et à l’activité des produits
de fission dans le réfrigérant primaire (qui doit être déterminée en tenant compte des spécifications
techniques d’exploitation) aussi bien qu'à l'entraînement d’iode considéré pour les ruptures de tubes
de générateurs de vapeur.

Des conséquences radiologiques doivent en particulier être calculées pour les situations accidentelles
dans les états d’arrêt, y compris une rupture guillotine du système de refroidissement à l’arrêt à

- -44
l’extérieur du bâtiment de confinement de même que pour les situations accidentelles avec une
circulation de fluides contaminés de longue durée à l’extérieur du bâtiment de confinement.

Les résultats finals de l’étude des transitoires, incidents et accidents de référence significatifs du point
de vue radiologique doivent comprendre les doses efficaces pour les membres des groupes critiques
de même que la contamination possible des aliments. Il est en particulier souligné que les doses
équivalentes à la thyroïde pour les adultes et les enfants sont des indicateurs importants des
conséquences radiologiques de certaines situations accidentelles. Les doses résultant de l’ingestion
de nourriture contaminée et du dépôt de substances radioactives doivent être présentées pour
différentes distances et différentes durées.

Dans une première approche, les hypothèses suivantes peuvent être retenues pour la plus grosse
brèche primaire à l’intérieur de l'enceinte de confinement :

• taux de rupture de gaine : 10% (cette valeur nécessite des justifications, en tenant compte de la
composition et du taux de combustion du combustible),
• taux de fuite de l’enceinte de confinement interne : 1% par jour du volume libre de l'enceinte interne
de confinement (sans fuite directe vers l’extérieur),
• efficacité des filtres de l’espace entre enceintes : 1000 pour l’iode moléculaire et les aérosols, 100
pour l’iode organique.

De plus, de manière générale, une étude de sensibilité concernant les conséquences radiologiques
des situations accidentelles conduisant à des rejets dans le bâtiment du réacteur doit être réalisée en
supposant une petite fuite de l’atmosphère du bâtiment du réacteur vers un bâtiment périphérique, en
tenant compte de l'étanchéité et de la capacité de rétention de ce bâtiment périphérique.

- -45
E – MAITRISE DES CONDITIONS DE FONCTIONNEMENT AVEC DEFAILLANCES MULTIPLES
ET DES ACCIDENTS AVEC FUSION DU COEUR

E.1 - Conditions de fonctionnement avec défaillances multiples

E.1.1 – Prise en compte dans la démonstration de sûreté

En plus des transitoires, incidents et accidents de référence, des conditions de fonctionnement avec
défaillances multiples doivent être considérées dans la démonstration de sûreté.

17
Une liste de conditions de fonctionnement avec défaillances multiples, dénommées RRC-A , à étudier
de manière déterministe en vue de prendre des dispositions supplémentaires de conception, est
présentée au paragraphe E.1.2.1. Les résultats des études probabilistes de sûreté faites au stade de
la conception devront être utilisées pour vérifier et ajuster la liste préliminaire des conditions de
fonctionnement avec défaillances multiples et pour vérifier le caractère approprié des dispositions
supplémentaires prévues.

E.1.2 - Analyse déterministe des conditions de fonctionnement RRC-A

E.1.2.1 - Liste des RRC-A

La liste ci-après de conditions de fonctionnement avec défaillances multiples à traiter dans la

démonstration de sûreté des tranches électronucléaires de la prochaine génération est déduite de
l'expérience des tranches existantes, adaptée au concept plus précis considéré comme acceptable
dans les présentes directives techniques. Quand aucun état du réacteur n'est mentionné, cela signifie
que la condition de fonctionnement correspondante doit être étudiée dans l'état A pour le niveau de
puissance le plus pénalisant.

Conditions de fonctionnement avec défaillances multiples : Catégorie de Réduction du

Risque A (RRC-A)

• perte totale des alimentations électriques : perte des alimentations électriques externes cumulée à
la défaillance des 4 diesels principaux (état A et exploitation à mi-boucles dans l'état C ou D),
• perte des systèmes de refroidissement intermédiaire et d'eau brute secouru (état A et exploitation à
mi-boucle dans l'état C ou D),
• perte totale de l’alimentation en eau des générateurs de vapeur (perte du système d’alimentation
principale en eau, du système de démarrage et d’arrêt et du système d’alimentation de secours),
• petite brèche primaire (jusqu'à 50 mm de diamètre) et perte des trains du système d'injection de
sécurité à moyenne pression (perte des pompes ou perte du refroidissement partiel du
secondaire) (états A et C)

17
Catégorie de Réduction du Risque

- -46
• petite brèche primaire (jusqu'à 50 mm de diamètre) et perte du système d'injection de sécurité à
basse pression (états A et C)
• petite brèche primaire et perte simultanée des systèmes de refroidissement intermédiaire et d’eau
brute secourue,
• transitoires avec défaillance de l’arrêt d’urgence,
• rupture de plusieurs tubes de générateurs de vapeur (jusqu’à 10 tubes dans un générateur de
vapeur),
• rupture d’une tuyauterie de vapeur et rupture simultanée de tube de générateur de vapeur (jusqu’à
un tube dans le générateur de vapeur affecté),
• rupture de tube de générateur de vapeur (un tube) avec la ligne de décharge de vapeur du
générateur de vapeur affecté bloquée ouverte,
• perte totale du système de refroidissement de la piscine du combustible usé.

E.1.2.2 - Investigation de séquences spécifiques

1/ Concernant les transitoires avec défaillance de l’arrêt d’urgence, les situations considérées dans
la démonstration de sûreté doivent être justifiées précisément, en relation avec les résultats des
études probabilistes de sûreté. Le concepteur doit justifier le conservatisme des coefficients de
réactivité utilisés dans les études correspondantes.

2/ Des investigations détaillées sont particulièrement nécessaires concernant :

• la rupture d'un tube de générateur de vapeur combinée avec le blocage en position
ouverte d'une ligne de décharge de vapeur principale (en considérant le cas de l’attente à
chaud et la localisation de la rupture de tube) ;
• la petite brèche primaire combinée avec la perte du système d’injection de sécurité à
basse pression (sous-criticité à l’arrêt à froid, formation de bouchons d’eau
insuffisamment borée, colmatage, évacuation à long terme de la chaleur du réservoir
d'eau interne à l'enceinte de confinement) ;
• la petite brèche primaire combinée avec la perte du système d’injection de sécurité à
moyenne pression (calculs relatifs à la sous-criticité du cœur, impact du refroidissement
rapide du secondaire sur les structures des circuits primaire et secondaire) ;
• la perte totale du système de refroidissement de la piscine du combustible usé, pour
laquelle les conditions ambiantes dans le bâtiment correspondant et leur impact sur les
structures et systèmes situés dans ce bâtiment, de même que les possibilités de fournir
un appoint d’eau ou de réparer les composants défaillants doivent être complètement
analysés. Des dispositions complémentaires doivent être mises en place autant que
nécessaire notamment pour ce qui concerne les systèmes supports.

E.1.2.3 - Règles d'analyse des accidents et critères d'acceptation

Pour l’analyse des conditions de fonctionnement avec défaillances multiples, tous les systèmes
peuvent être supposés disponibles, à l’exception de ceux qui sont supposés défaillants dans la
combinaison de défaillances multiples. Ni défaillance supplémentaire ni indisponibilité due à la
maintenance n’ont à être postulées de façon déterministe dans les systèmes nécessaires pour
atteindre l’état final tel que défini dans la section B.2.1.

- -47
De plus, pour les conditions de fonctionnement avec défaillances multiples, les critères techniques de
découplage relatifs aux accidents de référence peuvent être utilisés pour démontrer l’intégrité des
barrières.

En particulier, l’analyse de sûreté des conditions de fonctionnement RRC-A selon les règles associées
doit inclure un examen de la protection contre les surpressions des circuits primaire et secondaire
avec des critères spécifiques adéquats.

Pour les transitoires avec défaillance de l’arrêt d’urgence, la pression primaire maximale ne doit pas
excéder 1,3 fois la pression de dimensionnement pour toute configuration du cœur.

Il est souligné que, pour les conditions de fonctionnement RRC-A, y compris celles avec bipasse du
confinement, les conséquences radiologiques calculées doivent être cohérentes avec l’objectif général
mentionné dans la section A.1.1 pour les accidents sans fusion du cœur. La méthode à appliquer pour
la détermination des conséquences radiologiques possibles des conditions de fonctionnement RRC-A
est similaire à celle appliquée aux transitoires, incidents et accidents de référence telle que décrite
dans la section D.2.4. Les conséquences radiologiques doivent notamment être calculées pour la
perte totale du système de refroidissement de la piscine du combustible usé.

E.1.3 - Etude probabiliste des conditions de fonctionnement avec défaillances multiples

Étant donné que les systèmes supports sont des contributeurs importants à la fréquence globale de
fusion du cœur, une attention particulière doit être portée à ces systèmes. Ceci concerne notamment :

1. les séquences des études probabilistes de sûreté associées à une perte des alimentations
électriques externes :

• les possibilités de perte de longue durée des alimentations électriques externes (qui peuvent
dépendre du site) doivent être examinées précisément. Si retenir une durée maximale de 24
heures est convenable au stade de la conception, à un stade ultérieur, le concepteur devrait
identifier clairement les événements initiateurs qui pourraient conduire à une perte des
alimentations électriques externes de longue durée ;
• en raison des incertitudes relatives au délai de découvrement du cœur en cas de perte des
alimentations électriques externes dans l’état D, la situation de perte des alimentations électriques
externes dans l’état D suivie de la défaillance des quatre diesels principaux doit être examinée
précisément en tenant compte des dispositions mises en œuvre pour faire face à cette situation ;
• les valeurs de fiabilité attendues pour les diesels et l’indépendance entre les deux types de diesels
doivent être justifiées ;
• les dispositions prises pour maintenir l’intégrité des joints des pompes primaires à long terme
doivent être justifiées ;
• l’autonomie des bâches du système d’alimentation de secours en eau des générateurs de vapeur
doit être vérifiée avec soin pour toutes les chronologies de défaillances ; une probabilité de
défaillance de leur réalimentation devrait être introduite dans les séquences correspondantes.

- -48
2. les séquences des études probabilistes de sûreté associées à la perte des chaînes de
refroidissement :

• les possibilités de perte de longue durée de la source froide ultime (qui peuvent dépendre du site)
doivent être examinées ;
• en raison des incertitudes relatives à la récupération de la source froide ultime avant que les
conditions dans l’enceinte de confinement et le réservoir d'eau interne à cette enceinte puissent
atteindre des valeurs trop élevées dans l’état D, la situation de perte de la source froide doit être
évaluée précisément (en tenant compte des dispositions correspondantes qui peuvent dépendre du
site) ;
• l’efficacité de la diversification du refroidissement de deux pompes du système d’injection de
sécurité à basse pression par l’eau glacée refroidissant les systèmes de contrôle-commande doit
être justifiée.

Une attention appropriée doit également être portée :

• à la fréquence et aux conséquences d’une perte totale du système de refroidissement de la

piscine du combustible usé, avec une attention spécifique portée aux situations où le cœur est
déchargé, en tenant compte des moyens qui pourraient être utilisés pour faire face à une telle
défaillance et des dispositions spécifiques à mettre en place pendant la maintenance d’un train ;
• à toutes les causes possibles d’une chute intempestive du niveau d’eau dans le circuit primaire
dans les états d’arrêt, en tenant compte de la conception détaillée du réacteur et des pratiques
d’exploitation prévues ;
• concernant la perte totale d’alimentation en eau des générateurs de vapeur, à toutes les
dépendances possibles entre le système de démarrage et d’arrêt et le système principal
d’alimentation en eau.

E.2 - Dispositions de protection contre les accidents avec fusion du cœur

E.2.1 - Objectifs de sûreté

Comme indiqué dans la section A.1.1, les situations accidentelles avec fusion du cœur qui
conduiraient à des rejets précoces importants doivent être pratiquement éliminées. Les séquences de
fusion du cœur à basse pression doivent être traitées de telle sorte que les rejets concevables
maximaux associés ne nécessiteraient que des mesures de protection très limitées en termes
d’étendue et de durée pour les personnes du public.

Étant donné que, jusqu’à maintenant, l’expérience relative à la prise en compte des accidents graves
dans la conception des réacteurs à eau pressurisée est limitée, les directives qui suivent sont plus
détaillées que celles relatives aux transitoires, incidents et accidents de référence et aux conditions de
fonctionnement avec défaillances multiples.

- -49
E.2.2 – Élimination pratique des séquences conduisant à des rejets précoces importants

E.2.2.1 - Prévention de la fusion du cœur à haute pression et de l'échauffement direct de

l’enceinte de confinement

Comme indiqué dans la section A.1.3, un objectif de conception est de transférer avec une haute
fiabilité les séquences de fusion du cœur à haute pression vers des séquences à basse pression de
telle sorte que les situations de fusion du cœur à haute pression puissent être « exclues ».

Cet objectif implique de limiter la pression du circuit primaire dans la gamme 15 à 20 bar au moment
de la rupture de la cuve du réacteur. Cet objectif peut être atteint en ajoutant à la fonction de
dépressurisation des soupapes du pressuriseur, une vanne de décharge dédiée avec une vanne
d’isolement telles que décrites dans le paragraphe B.2.3.6.

La capacité de décharge de la vanne dédiée doit être déterminée en considérant les situations
suivantes, avec des hypothèses réalistes :

• perte des alimentations électriques externes et indisponibilité de tous les diesels ;

• perte des alimentations électriques externes et indisponibilité de tous les diesels mais avec retour
d’un appoint d'eau pendant la fusion du cœur ;
• perte totale d’alimentation en eau des générateurs de vapeur combinée avec la défaillance du
18
gavé-ouvert primaire .

Cependant, des études de sensibilité relatives à la capacité de décharge, aux températures des gaz
chauds et aux critères d’ouverture doivent être réalisées par le concepteur en considérant une
décharge retardée et un renoyage tardif de même que les incertitudes des modèles de calcul relatifs à
la phase de dégradation avancée du cœur ou au renoyage. Ces études de sensibilité aideront
également à déterminer le moyen (manuel ou automatique) d'ouverture de la vanne dédiée, en tenant
compte de la possibilité d’erreurs humaines au cours de l’accident.

La vanne dédiée et sa vanne d’isolement doivent être qualifiées pour des conditions représentatives.
Des justifications expérimentales peuvent être nécessaires, en particulier pour les conditions qui
diffèrent fortement des conditions de fonctionnement normales.

Par ailleurs, des dispositions de conception doivent être prises pour faire face aux chargements
mécaniques qui résulteraient de la défaillance de la cuve du réacteur à 20 bar de manière à limiter le
soulèvement vertical de la cuve du réacteur.

De plus, des dispositions de conception doivent être prises pour limiter la dispersion du corium dans
l’atmosphère de l'enceinte de confinement dans le cas de la traversée de la cuve du réacteur, pour
éviter « l’échauffement direct de l’enceinte de confinement ». Ces dispositions de conception sont
relatives au puits de cuve et à sa ventilation ainsi qu’aux mesures neutroniques hors cœur, de façon à

18
Il est supposé que les soupapes du pressuriseur ne sont pas disponibles ; la vanne dédiée et sa vanne d’isolement restent
disponibles.

- -50
assurer que de grandes quantités de corium provenant de la cuve du réacteur ne pourront pas être
transportées hors du puits de cuve.

E.2.2.2 - Prévention des accidents d’injection rapide de réactivité

L’« élimination pratique » des accidents d’injection rapide de réactivité implique un examen détaillé de
chaque scénario de dilution hétérogène, en considérant l’ensemble des lignes de défense pour ce
scénario.

L’analyse pourrait comporter les trois étapes suivantes :

• un volume maximal des bouchons d’eau sans bore est défini sur la base de considérations
neutroniques et thermohydrauliques relatives à la sous-criticité du cœur, indépendamment des
scénarios réels de dilution ;
• ce volume maximal est utilisé pour définir des moyens déterministes permettant d’assurer que ce
volume n’est pas dépassé pour chaque scénario réel de dilution ;
• une étude probabiliste de sûreté est utilisée pour vérifier que, pour chacun des scénarios réels de
dilution, l’ensemble des dispositions mises en place apportent une défense en profondeur
adéquate pour «éliminer pratiquement» les accidents de réactivité correspondants.

Concernant la première étape, les calculs relatifs aux phénomènes de mélange devraient être réalisés
avec différents codes, en incluant des calculs de validation s’appuyant de préférence sur des
expériences hydrauliques dans des installations d’essais à grande échelle.

Concernant la deuxième étape, tous les scénarios de dilution doivent être examinés précisément, y
compris ceux résultant d’erreurs d’opérateurs, de dysfonctionnements de systèmes auxiliaires, de
fuites de tubes de générateurs de vapeur de même que ceux concernant des réservoirs d’eau borée.

Il est souligné que la mise en place d’un basculement automatique classé F1A de l’aspiration des
pompes de charge du système de contrôle volumétrique et chimique (RCV) au réservoir d'eau interne
à l'enceinte de confinement en cas de détection d’un débit dilué par un boremètre unique F1A,
composé d’une source de neutrons et de quatre détecteurs de flux, serait une mesure de conception
19
positive pour limiter les conséquences des dilutions provenant des lignes RCV . Cependant, la
possibilité de classer le boremètre F1A doit être établie.

Des moyens adéquats doivent être définis par le concepteur pour « éliminer pratiquement » les
scénarios de dilution hétérogène du bore via les échangeurs du système de refroidissement
intermédiaire. En particulier, des exigences résultant des études correspondantes pourraient être
fournies aux concepteurs des pompes en vue d’éviter la formation d’un bouchon d’eau borée diluée
inadmissible dans les systèmes auxiliaires connectés via les dispositifs de refroidissement des joints
de leurs pompes.

19
En outre, le concepteur doit examiner la possibilité d'utiliser le boremètre F1A conçu pour les dilutions hétérogènes pour
prévenir les retours en criticité dus aux dilutions homogènes.

- -51
De plus, il est souligné que, dans le cas d'une perte totale des alimentations électriques alors que
l’évacuation de la puissance résiduelle est assurée par les générateurs de vapeur fonctionnant en
condensation à contre-courant, de l’eau faiblement borée pourrait s’accumuler dans le circuit primaire ;
cette situation doit aussi être étudiée avec soin par le concepteur.

Il est aussi souligné que des concentrations élevées en bore en début de vie du cœur renforceraient
l’attention à porter à l’ « élimination pratique » des accidents de réactivité résultant d'une introduction
rapide d’eau froide ou insuffisamment borée. Ces accidents de dilution du bore doivent être examinés
en relation avec les marges de réactivité des systèmes d’arrêt.

Enfin, étant donné que des mécanismes de dilution intrinsèque apparaissent au cours de certaines
situations accidentelles (par exemple le mode de transfert de la chaleur dans les générateurs de
vapeur par ébullition et condensation en cas de brèche primaire, les débits inverses en cas de ruptures
de tubes de générateurs de vapeur…), ces mécanismes et les codes correspondants doivent être
complètement analysés, en considérant les phénomènes de mélange qui peuvent réduire les
conséquences des bouchons d’eau insuffisamment borée. Certaines configurations nécessitent une
attention particulière : injection simultanée de deux bouchons d'eau dans la cuve du réacteur,
redémarrage de la circulation naturelle dans une boucle sans injection de sécurité, bouchons de faible
densité pénétrant dans la cuve du réacteur. En particulier, des dispositions de conception telles que
des verrouillages automatiques doivent être mises en œuvre pour toutes les conditions de
fonctionnement PCC et RRC-A concernées de façon à exclure le redémarrage de pompes primaires
après une dilution hétérogène intrinsèque significative.

E.2.2.3 - Prévention des explosions de vapeur

Phénomènes en cuve

Une libération importante d’énergie mécanique serait nécessaire pour mettre en danger la cuve du
réacteur et l'enceinte de confinement ; néanmoins, le concepteur doit examiner les possibilités
d’explosions de vapeur en cuve liées à la fusion du cœur. Une attention appropriée doit être portée :

• à la justification de la masse maximale de la zone de mélange, en tenant compte de la conception

spécifique de la plaque inférieure de support du cœur et des incertitudes relatives à la
relocalisation et au comportement du cœur dans le plénum inférieur ; dans ce cadre, les scénarios
avec renoyage doivent être étudiés précisément ;
20
• à la transposition des résultats expérimentaux à la conception spécifique des tranches
électronucléaires de la prochaine génération ;
• à l'ordre de grandeur des élévations de température des structures internes supérieures et du
couvercle de la cuve pendant les séquences de fusion du cœur et à leurs conséquences ;
• au comportement du circuit primaire (y compris les générateurs de vapeur) dans le cas d’un
bouchon d'eau de forte énergie passant à travers le collecteur annulaire de la cuve à la suite d’une
interaction eau-cœur fondu de forte énergie en cuve.

20
Y compris les résultats de l’installation BERDA.

- -52
Phénomènes en dehors de la cuve

La quantité d’eau qui pourrait être présente dans le puits de cuve et dans la chambre d’étalement au
moment de la percée de la cuve doit être limitée par conception. La possibilité d’une explosion de
vapeur importante pendant le noyage du corium doit être évitée et les chargements résultant
d’interactions eau-cœur fondu doivent être pris en compte dans la conception.

E.2.2.4 - Prévention des détonations d'hydrogène

Comme indiqué dans le paragraphe B.1.4.1, les possibilités de concentrations locales élevées
d’hydrogène doivent être empêchées autant que raisonnablement possible par la conception des
structures internes de l'enceinte de confinement. Quand il n’est pas possible de démontrer que la
21
concentration locale d’hydrogène reste en dessous de 10%, des critères spécifiques pourraient être
utilisés, pour autant qu’ils soient complètement justifiés et validés, pour démontrer l’absence de
transitions déflagration-détonation et de déflagrations rapides ; dans le cas contraire , des dispositions
adéquates doivent être mises en place telles que des parois renforcées des compartiments
correspondants et de l'enceinte de confinement.

Une approche systématique et déterministe doit être réalisée par le concepteur pour la sélection des
scénarios pertinents en termes de débits de relâchement d’hydrogène, en tenant compte des moyens
de limitation des conséquences et il doit être prouvé que les scénarios sélectionnés sont enveloppes.

Concernant les moyens de limitation des conséquences, un concept utilisant uniquement des
recombineurs sans mise en place d’igniteurs, avec une décharge directe du circuit primaire dans
l'enceinte de confinement par l’intermédiaire d’un grand réservoir de décharge du pressuriseur avec
deux lignes de décharge équipées de disques de rupture, les décharges étant dirigées vers les
compartiments de deux pompes primaires, est acceptable en principe et doit pouvoir respecter les
objectifs de sûreté mentionnés ci-dessus. Mais il doit être optimisé et la méthode de même que les
outils utilisés pour la démonstration doivent être pleinement justifiés et validés.

Il est cependant souligné que des incertitudes significatives existent concernant la production
d’hydrogène pendant les séquences d’accident grave ; ces incertitudes sont essentiellement liées à
des phénomènes tels que le renoyage tardif d’un cœur partiellement endommagé à haute
température, la coulée de matériaux du cœur fondu dans l’eau restant dans le plenum inférieur de la
cuve du réacteur et les interactions entre le corium et les matériaux sacrificiels. Ces incertitudes
appellent des études avec des codes et des modèles variés.

Notamment, des scénarios avec renoyage passif ou actif de même que des scénarios caractérisés par
des relâchements d'hydrogène à plusieurs endroits doivent être traités dans la démonstration de
l’efficacité et de la robustesse du concept de limitation des conséquences liées à l’hydrogène.

Il est souligné que les conséquences sur l’inflammabilité du mélange de la décroissance de la pression
partielle de la vapeur à la suite de la mise en service du système d’évacuation de la chaleur de

21
Tels que le critère 7 λ et le critère σ.

- -53
l'enceinte de confinement doivent être précisément étudiées par le concepteur, en considérant
différents instants de démarrage de ce système.

E.2.2.5 - Prévention des bipasses du confinement

Comme indiqué dans la section A.1.3, "les séquences accidentelles (de fusion du cœur) avec bipasse
du confinement … doivent être "pratiquement éliminées" par des dispositions de conception … dans le
but d'assurer un isolement fiable et aussi à prévenir les défaillances."

Concernant le système d'injection de sécurité à basse pression et de refroidissement à l'arrêt

(ISBP/RRA), le suivi continu de la pression et de la température dans les portions de tuyauteries
situées entre les premiers et les seconds clapets d'isolement du circuit primaire qui sont maintenues à
la pression des accumulateurs, fournirait une surveillance effective de l'étanchéité de ces clapets.
Néanmoins, pour "éliminer pratiquement " les fusions du cœur avec bipasse du confinement dû à une
fuite réaliste significative à travers ces deux clapets d'isolement, le concepteur doit justifier la capacité
des vannes d'isolement motorisées situées sur les lignes d'injection de sécurité à l'extérieur de
l'enceinte de confinement à arrêter un débit inverse (qui pourrait être diphasique). En tout état de
cause, les portions de tuyauteries du système ISBP/RRA à l'extérieur de l'enceinte de confinement
jusque et y compris les vannes d'isolement motorisées doivent être dimensionnées de telles sorte que
leur intégrité soit maintenue dans les conditions du fluide primaire.

L'importance pour la sûreté, pendant le fonctionnement d’un système de refroidissement à l'arrêt, de

l'étanchéité du clapet situé à l'aspiration du réservoir d'eau interne à l'enceinte de confinement ainsi
que du clapet du système d'injection de sécurité à moyenne pression à l'intérieur de cette enceinte doit
être aussi soulignée. Une attention spécifique doit être portée à la fermeture de ces clapets après une
séquence de basculement du mode injection de sécurité au mode refroidissement à l'arrêt, en tenant
compte de la présence possible de particules dans le débit traversant chacun de ces clapets au cours
de l'injection de sécurité. En tout état de cause, des dispositions adéquates doivent être mises en
place pour garantir l'intégrité des parties concernées du système d'injection de sécurité à l'extérieur de
l'enceinte de confinement en cas de fuite à travers ces clapets.

Des exigences de conception rigoureuses doivent être appliquées aux parties du système de
refroidissement à l'arrêt extérieures à l'enceinte de confinement de manière à prévenir des ruptures
importantes dans ces parties du système. En outre, la capacité des vannes d'isolement à se fermer
doit être prouvée pour toutes les tailles de brèche (jusqu'à la brèche guillotine), y compris avec un
22
débit diphasique .

Concernant les brèches possibles des barrières thermiques des pompes primaires et du refroidisseur
à haute pression du système de contrôle volumétrique et chimique, le concepteur doit justifier la taille
de brèche maximale retenue de même que les dispositions mises en place pour la détection et
l'isolement d'une telle brèche, même pour des conditions de débit diphasique.

22
Il est rappelé que la brèche guillotine de la plus grosse tuyauterie est un accident de référence (PCC 4).

- -54
Concernant les brèches possibles dans les échangeurs de chaleur du système ISBP/RRA, le
concepteur doit aussi justifier la taille maximale de brèche retenue et évaluer les conséquences d'une
telle brèche sur les circuits du système de refroidissement intermédiaire en termes de montée en
pression et en température.

Pour ce qui concerne les séquences de fusion du cœur qui pourraient survenir pendant les états
d'arrêt alors que le bâtiment de confinement est ouvert, le concepteur doit préciser les différentes
phases des états d'arrêt pour lesquelles cette ouverture est autorisée. Il serait judicieux que l'enceinte
de confinement soit maintenue fermée avec le système de mise en dépression de l'espace entre
enceintes en fonctionnement au moins dans les états A, B et C (avec une température primaire
supérieure à 70°C) de même que dans l'état D avant la phase de rechargement. Le côté secondaire
des générateurs de vapeur serait également maintenu fermé et les dispositifs d'isolement de l'enceinte
de confinement seraient opérationnels dans les même phases des états A, B et C (avec une
température primaire supérieure à 70°C) et dans l'état D avant la phase de rechargement. En tout état
de cause, le concepteur doit montrer que, pour des séquences accidentelles représentatives,
l'enceinte de confinement serait fermée de manière fiable avant que des relâchements radioactifs
significatifs puissent intervenir à l'intérieur de l'enceinte de confinement ; comme indiqué dans le
paragraphe B.1.4.2, cette exigence concerne notamment le tampon matériel.

Pour ce qui concerne les situations accidentelles de fusion du cœur avec une fuite significative des
tubes des générateurs de vapeur (jusqu'à une rupture multiple de tubes de générateurs de vapeur), les
situations suivantes doivent être étudiées : rupture simple ou multiple de tubes de générateurs de
vapeur avec perte des systèmes nécessaires pour faire face à cette rupture, rupture simple ou multiple
de tubes de générateurs de vapeur avec défaillance de la fermeture de la vanne d'isolement de vapeur
principale correspondante, rupture d'une tuyauterie de vapeur avec fuites de tubes du générateur de
vapeur associé, ouverture intempestive d'une soupape de sûreté secondaire avec des fuites de tubes
du générateur de vapeur associé.

Étant donné que les séquences de fusion du cœur avec défaillances subséquentes de tubes de
générateurs de vapeur doivent être "pratiquement éliminées", les scénarios conduisant à une
circulation naturelle à travers les boucles primaires et les générateurs de vapeur doivent aussi être
étudiées avec précision avec des codes validés adéquats.

E.2.2.6 - Prévention de la fusion du cœur dans la piscine du combustible usé

Dès lors que la piscine du combustible usé n'est pas située dans l'enceinte de confinement, il doit être
démontré que les conditions de fusion du combustible usé dans la piscine sont "pratiquement
éliminées". Cette démonstration doit considérer le cas d’un séisme.

E.2.3 - Limitation des conséquences des scénarios de fusion du cœur à basse pression

E.2.3.1 - Refroidissement du cœur fondu en dehors de la cuve

- -55
Concernant le radier de l'enceinte de confinement, les objectifs indiqués dans la section A.1.3 pour les
situations avec fusion du cœur à basse pression peuvent, comme mentionné dans le paragraphe
B.1.4.1, être atteints par la mise en place d'une grande chambre d'étalement en impasse avec
refroidissement du corium quand il est étalé sur cette grande surface. La grande chambre d'étalement
serait séparée géographiquement du puits de cuve et protégée à l'égard des chargements
thermomécaniques consécutifs à la défaillance de la cuve du réacteur. Des dispositions de conception
empêcheraient l'arrivée dans cette chambre d'eau de condensation provenant de quelque partie que
ce soit de l'enceinte de confinement. De plus, une porte d'acier séparerait physiquement le puits de
cuve de la chambre d'étalement.

Dans ce concept, des couches de béton sacrificiel seraient mises en place dans le puits de cuve et
dans la chambre d'étalement pour obtenir des caractéristiques adéquates du mélange fondu. La
pénétration du radier serait évitée par une couche protectrice réfractaire recouverte d'une couche
d'acier. Le refroidissement du mélange fondu serait assuré par le noyage de ce mélange par le dessus
par de l'eau provenant du réservoir d'eau interne à l'enceinte de confinement. Les chargements
thermiques sur le radier seraient limités par une épaisse plaque d'acier placée sous une couche
protectrice (ZrO2 réfractaire), avec des canaux de refroidissement reliés au système d'évacuation de
la puissance hors de l'enceinte de confinement.

Jusqu'à maintenant, aucun système de codes validés ne peut décrire de manière fiable les
phénomènes pour les séquences d'accident grave. Aussi, la conception du puits de cuve et de la
grande chambre d'étalement, y compris le refroidissement du corium, doit être justifiée par le
concepteur sur la base de résultats expérimentaux et de calculs associés, pour un large spectre de
scénarios possibles.

Des expériences sont nécessaires pour étudier les différentes conditions d'étalement qui pourraient se
produire (écoulement rapide, écoulement lent, écoulements successifs, formation locale de corium
solidifié, formation d'une croûte…) et les possibilités d'interactions corium-eau hautement énergétiques
de même que l'érosion de matériaux sacrificiels et son influence sur la composition du mélange fondu
dans la chambre d'étalement. En particulier, il y a besoin d'expériences à effets séparés pour étudier
les propriétés physico-chimiques et thermodynamiques du corium et des mélanges. Des essais
d'étalement devraient aussi être réalisés avec des matériaux analogues au corium jusqu'à une échelle
représentative, en tenant compte du concept réel de la chambre d'étalement, notamment, la mise en
place de matériaux sacrificiels.

La robustesse du concept décrit ci-dessus devra être vérifiée pour différents scénarios, notamment
des scénarios avec renoyage tardif et des scénarios avec une puissance résiduelle faible ; une
attention spécifique doit être portée à l'ouverture de la porte (notamment à la possibilité d'une
défaillance précoce ou partielle de la porte d'acier) de même qu'à l'optimisation de la conception du
puits de cuve en termes de composition et de masses des couches de béton sacrificiel, et du canal de
transfert entre le puits de cuve et la chambre d'étalement. Le comportement de la couche réfractaire
doit aussi être validé en tenant compte des capacités des systèmes de refroidissement (notamment le
flux critique) et des possibilités d'attaques thermochimiques par des oxydes de fer ou des oxydes de
corium. Une attention spécifique doit aussi être portée aux conditions avec mélange liquide à long
terme dans la chambre d'étalement et à la stabilité du système multicouches dans ces conditions.

- -56
E.2.3.2 - Refroidissement de l'enceinte de confinement sans éventage

La fonction de refroidissement de l'enceinte de confinement dans les conditions de fusion du cœur à

basse pression peut être réalisée par un système assurant une aspersion dans l'enceinte de
confinement et le refroidissement du corium, divisé en deux trains comme décrit dans le paragraphe
B.2.3.5, avec une chaîne de refroidissement dédiée assurant une diversification par rapport au
système de refroidissement intermédiaire utilisé pour les systèmes relatifs à la prévention de la fusion
du cœur. La pressurisation de la chaîne de refroidissement dédiée au dessus de la pression de
fonctionnement du système de refroidissement de l'enceinte assurerait l'absence de fuite de ce
système vers la chaîne de refroidissement dédiée.

Une attention appropriée doit être portée aux sujets suivants :

a) les fuites possibles du système, notamment :

• la conception de la double enveloppe de la partie non isolable de la ligne d'aspiration du système

d'évacuation de la chaleur de l'enceinte de confinement ainsi que la surveillance de cette ligne et de
cette double enveloppe, en tenant compte des possibles effets de corrosion ;
• la conception des parties du système d'évacuation de la chaleur de l'enceinte de confinement qui
sont installées en dehors de cette enceinte et des locaux dédiés correspondants, en relation avec
la fiabilité des dispositifs de détection de fuite et d'isolement d'un train défectueux ;
• les conséquences d'une fuite dans les compartiments du système d'évacuation de la chaleur de
l'enceinte de confinement (pression, température, humidité relative, irradiation, …) avec le
classement des équipements correspondants.

b) les possibilités de défaillances de cause commune du système d'évacuation de la chaleur de

l'enceinte de confinement et des systèmes nécessaires pour prévenir la fusion du cœur,
notamment :

• la perte de systèmes support communs : comme la fiabilité de la fonction d'évacuation de la chaleur

pourrait être limitée par la fiabilité des systèmes supports, notamment les alimentations électriques
et la source froide ultime, le concepteur doit, autant que nécessaire, étudier des améliorations dans
le cadre des études spécifiques aux sites ;
• le bouchage des filtres du réservoir d'eau interne à l'enceinte de confinement : une information
détaillée doit être fournie par le concepteur : caractéristiques de débit, volume et comportement des
débris…

c) la fiabilité à long terme du refroidissement du corium dans la chambre d'étalement.

E.2.3.3 - Instrumentation

Il est souligné que, pour les conditions d'accident grave, une information pertinente est nécessaire non
seulement pour les opérateurs mais aussi pour les équipes de crise. Une proposition détaillée doit être
présentée par le concepteur avec des justifications adéquates.

- -57
E.2.3.4 - Qualification aux conditions des accidents graves

Comme indiqué au paragraphe B.2.2.1, les équipements nécessaires en cas d'accident grave doivent
être qualifiés pour les conditions pour lesquelles ils sont nécessaires. Notamment, le comportement
des traversées et celui de la peau d'étanchéité interne de l'enceinte de confinement doivent être
étudiés autant que nécessaire, en tenant compte des différents phénomènes qui pourraient survenir
au cours d'accidents graves, notamment des combustions d'hydrogène ; le concepteur doit définir le
programme de qualification correspondant.

E.2.4 - Démonstration de sûreté

Des conditions d'accident grave doivent être étudiées dans la démonstration de sûreté des tranches
électronucléaires de la prochaine génération. Des exemples de telles conditions sont :

• la perte des alimentations électriques externes cumulée avec l’indisponibilité de tous les diesels,
ç'est-à-dire la perte totale des alimentations électriques telle que définie dans les conditions de
fonctionnement RRC-A combinée à l'indisponibilité des petits diesels,
• la perte totale de l'alimentation en eau des générateurs de vapeur (comme dans les conditions
RRC-A) combinée à la défaillance du "gavé-ouvert" côté primaire18f,
• une petite brèche primaire avec perte totale du système d'injection de sécurité,
• une perte de réfrigérant primaire (jusqu'à la rupture de la ligne d'expansion du pressuriseur) avec
défaillance complète du système d'injection de sécurité.

Cependant, les incertitudes relatives à certains des phénomènes qui pourraient survenir au cours des
séquences d'accident grave appellent à considérer différents scénarios et à réaliser des études de
sensibilité.

Pour chaque code de calcul utilisé pour justifier la conception, le concepteur doit préciser sa validation
et sa qualification expérimentales et comment les incertitudes restantes sont prises en compte (par
exemple études de sensibilité).

Concernant les chargements résultant d'une combustion d'hydrogène, avec le concept de limitation
des conséquences décrit au paragraphe E.2.2.4, des effets dynamiques locaux dus à des
phénomènes tels qu’une déflagration rapide ou une transition déflagration-détonation ne sont attendus
que sur les structures internes du bâtiment de confinement ; des dispositions telles que des parois
renforcées des compartiments correspondants doivent être mises en place autant que nécessaire.

Pour la paroi interne de l'enceinte de confinement, il doit aussi être démontré qu’en tenant compte des
moyens de limitation des conséquences, et quel que soit le scénario choisi, le chargement de pression
résultant d'une combustion d'hydrogène complète, adiabatique et isochore ne dépasse la pression de
dimensionnement de l'enceinte de confinement à aucun moment.

- -58
Pour démontrer l’atteinte de l'objectif de sûreté pour les séquences de fusion du cœur à basse
pression décrit dans la section A.1.1, les calculs des conséquences radiologiques envisageables
devront utiliser des hypothèses et des paramètres réalistes.

En tant qu'étude de sensibilité, le cas d'une petite fuite du bâtiment du réacteur vers un bâtiment
périphérique doit être étudiée en détail, en tenant compte de l'étanchéité du bâtiment concerné et de la
rétention assurée par ce bâtiment.

- -59
F - PROTECTION CONTRE LES AGRESSIONS

F.1 - Protection contre les agressions internes

F.1.1 – Exigences générales

Comme indiqué dans la section A.2.4, les agressions internes à considérer dans la démonstration de
sûreté comprennent :
• les défaillances de composants soumis à la pression,
• les inondations internes,
• les incendies,
• les explosions internes,
• les projectiles internes,
• les chutes de charge.

Les possibilités de défaillances de mode commun dues à des agressions internes peuvent être
minimisées par l'installation des parties des trains des systèmes de sûreté qui sont en dehors du
bâtiment de confinement dans des divisions conçues de telle sorte que même la perte totale d'une
division due à une agression interne spécifique n'empêcherait pas l'accomplissement des trois
fonctions de sûreté de base, en postulant une défaillance unique en cohérence avec les règles de la
démonstration de sûreté appliquées aux transitoires, incidents et accidents de référence. Des
dispositions d'installation doivent être spécifiées par le concepteur pour les équipements redondants
des systèmes de sûreté non séparés par la disposition en divisions.

De plus, la démonstration de sûreté doit être faite pour chaque agression interne en supposant que
tous les équipements non protégés affectés sont perdus et en considérant un aggravant unique et les
premières actions des opérateurs selon les mêmes règles que pour les transitoires, incidents et
accidents de référence. En principe, les agressions internes qui ne résultent pas de tels transitoires,
incidents et accidents de référence ne devraient pas induire une condition de fonctionnement de la
tranche qui rentrerait dans les catégories des incidents ou des accidents. Dans le cas contraire, le
concepteur doit montrer que cette condition de fonctionnement de la tranche est enveloppée en
termes de probabilité et de conséquences par l’étude des incidents et accidents de référence et des
conditions de fonctionnement avec défaillances multiples de référence.

Les relations entre les agressions internes (telles que les inondations résultant de ruptures de
tuyauteries ou les incendies résultant d'explosions) doivent être considérés dans la démonstration de
sûreté de même que les agressions internes qui pourraient résulter d'agressions externes ou d'
accidents graves (voir le paragraphe F.2.2.1 pour les séismes).

F.1.2 - Exigences pour la conception des dispositions de protection contre les agressions
internes

F.1.2.1 - Défaillances de tuyauteries, cuves, réservoirs, pompes et vannes

- -60
La conception et la disposition des tuyauteries, cuves, réservoirs, pompes et vannes doivent être
fondées autant que possible sur le principe de séparation physique ou géographique de manière à
empêcher l'aggravation d'un événement initial, en postulant notamment un aggravant en cohérence
avec les règles appliquées pour les transitoires, incidents et accidents de référence, et à éviter les
défaillances de cause commune dans les systèmes nécessaires pour atteindre et maintenir un état
d'arrêt sûr. A cet égard :

a) la disposition des tuyauteries primaires devrait être telle qu'une défaillance d'une boucle du circuit
primaire n'induise pas une défaillance d'une autre boucle ;
b) la disposition des tuyauteries primaires et secondaires devrait être telle qu'une défaillance du circuit
primaire n'induise pas de défaillance du circuit secondaire et vice versa ;
23
c) une défaillance d'une tuyauterie secondaire ne devrait pas conduire à la dépressurisation
simultanée de deux générateurs de vapeur,
d) la dépressurisation d'un générateur de vapeur simultanément du côté eau et du côté vapeur devrait
être évitée,
e) les premières vannes d'isolement sur les circuits connectés devraient être situées au plus près des
tuyauteries principales.

Les non conformités à ces règles doivent être justifiées.

Concernant les effets de défaillances de tuyauteries, cuves, réservoirs, pompes et vannes, pour les
composants à haute énergie (composants des systèmes transportant de l'eau ou de la vapeur à une
pression supérieure à 2,0 MPa ou à une température supérieure à 100°C en exploitation normale,
composants transportant des gaz à une pression supérieure à la pression atmosphérique), les effets
locaux à considérer comprennent des effets internes aux systèmes (forces liées aux ondes de
pression et forces liées aux débits accrus) et des effets sur le voisinage des composants (effets de
jets, forces de réaction, fouettements de tuyauteries). De plus, dans chaque cas, les effets globaux à
considérer comprennent les inondations, les conditions ambiantes plus sévères et les effets de
pressions différentielles sur les structures des bâtiments.

En plus de "l'exclusion" des ruptures guillotines des tuyauteries primaires principales et des tuyauteries
secondaires principales comme indiqué dans les sections B.1.2 et B.1.3, des ruptures pourraient être
"exclues" de la démonstration de sûreté pour des cuves, réservoirs, pompes et vannes conçues,
réalisées et exploitées avec des exigences de haute qualité ; Cependant une telle approche doit être
clairement justifiée par le concepteur au cas par cas, en tenant compte de l'expérience d'exploitation
des tranches existantes ; avec ces justifications, seules des fuites seraient étudiées. D'autres
"exclusions" de ruptures pourraient être discutées pour des tuyauteries de diamètre intérieur de plus
de 50 mm environ, conçues, réalisées et exploitées selon des exigences élevées de qualité et de
surveillance quand ces tuyauteries sont exploitées à haute énergie moins de 2% de la vie du réacteur ;
dans le cas où de telles "exclusions" de ruptures seraient justifiées, seules des fuites seraient
retenues.

23
Voir les brèches à retenir dans la.section B.1.3.

- -61
Les localisations des ruptures ou fuites postulées de tuyauteries doivent être choisies en considérant
non seulement les contraintes calculées dans les tuyauteries mais aussi les conséquences possibles
des défaillances de tuyauteries à haute ou basse énergie dans chaque compartiment contenant de
telles tuyauteries ; ceci doit notamment être appliqué aux traversées de l’enceinte de confinement.

De plus, des hypothèses appropriées doivent être proposées et justifiées par le concepteur concernant
l'importance des fuites initiales à travers des fissures traversantes de tuyauteries, de brides et de
pénétrations de pompes et vannes, ainsi que l'importance des fuites pouvant résulter de l'agression
d'une tuyauterie ou d'un autre équipement par le fouettement d'une tuyauterie rompue.

F.1.2.2 - Inondations internes

Pour ce qui concerne les inondations, en complément aux ruptures et fuites de tuyauteries, cuves,
réservoirs, pompes et vannes définies au paragraphe F1.2.1, des initiateurs possibles d'inondations
tels qu’une erreur de lignage, une entrée d'eau provenant de bâtiments voisins, le fonctionnement
erroné d’un système de lutte contre l'incendie, le débordement d’une bâche, l’ouverture de soupapes
de sûreté, la défaillance ou le fonctionnement intempestif d'organes d'isolement… doivent être traités
dans la démonstration de sûreté.

Tous les effets pertinents des inondations envisageables doivent être considérés y compris ceux d'une
élévation du niveau d'eau pour les composants actifs et passifs dans la zone affectée, d'un
accroissement de pression, de température, d'humidité ou des conditions de radioactivité ambiantes
pour les équipements de la zone affectée, d'une aspersion pour les composants électriques, de
relâchements d'acide borique, de même que les chargements en résultant sur les structures des
bâtiments, y compris les portes et les sas. Les délais retenus pour les interventions nécessaires des
opérateurs doivent être justifiés par le concepteur, en tenant compte des différentes sources
d'inondation qui pourraient survenir simultanément et des conditions ambiantes sur les chemins
d'accès.

En outre, éviter la contamination des eaux souterraines doit être un objectif de conception ; les
dispositions correspondantes doivent être spécifiées et justifiées par le concepteur même pour le cas
de l'inondation interne d'un bâtiment auxiliaire.

F.1.2.3 - Incendies

Selon le principe de "défense en profondeur", la protection contre l'incendie comprend la prévention, la

détection et l’extinction des incendies (maîtrise des incendies) ainsi que la limitation des conséquences
des incendies (non propagation des incendies). La priorité est donnée aux dispositions ayant pour but
de limiter et d'isoler les charges calorifiques, de limiter la formation de fumées ainsi que d'éviter les
sources d'ignition à proximité de matériaux combustibles ; ceci conduit à choisir des équipements et
des fluides ininflammables ou difficilement inflammables autant qu'il est possible et approprié ; les
sources d'ignition possibles doivent être clairement identifiées et étudiées.

Nonobstant les mesures de prévention, la protection contre l'incendie doit être fondée sur l'hypothèse
qu'un feu peut se déclarer n'importe où dans l'installation et dans n'importe quelle condition

- -62
d'exploitation normale de celle-ci ; un seul feu doit être considéré à un instant donné . Une attention
particulière doit être portée aux dispositions de protection contre l'incendie dans les états d'arrêt, y
compris pendant les activités de maintenance. De plus, la protection contre les incendies qui
pourraient se déclarer dans un état anormal de la tranche, en particulier dans des conditions d'arrêt
post-accidentel, doit être définie par le concepteur.

Concernant la limitation des conséquences des incendies, la priorité doit être donnée, en premier lieu
à la protection physique par des secteurs de feu, en second lieu à la séparation géographique par des
zones de feu. Le maintien en position ouverte, dans les états d'arrêt, d'éléments de sectorisation liés à
la sûreté doit être exceptionnel et faire l’objet d’une analyse au cas par cas, avec la définition de
dispositions compensatoires appropriées. Cette exigence doit être prise en compte dès le stade de la
conception.

L'analyse de sûreté des effets des incendies doit clairement identifier les possibilités de défaillances de
mode commun qui pourraient résulter d'une séparation incomplète des équipements redondants
nécessaires pour atteindre et maintenir un état d'arrêt sûr (y compris les risques d'inondation interne
liés à l'utilisation des systèmes de lutte contre l'incendie) ; dans un tel cas, des dispositions
complémentaires doivent être mises en place autant qu'il est nécessaire. Plus généralement, la
défaillance fonctionnelle de tous les équipements autres que ceux disposant d'une protection justifiée
de manière adéquate, doit être supposée à l'intérieur du secteur de feu ou de la zone de feu où
l'incendie s'est déclaré.

De plus, les points suivants doivent être soulignés :

• le degré de résistance au feu des éléments de sectorisation doit être précisé par le concepteur, en
tenant compte des évolutions des connaissances ;
• les effets de pression dus à un incendie doivent être évalués ; si nécessaire, une qualification
adéquate doit être menée pour la fermeture des ouvertures qui doivent résister au feu, en
particulier pour celles situées à la frontière d'une secteur de feu ;
• le suivi de la propagation des incendies doit être considéré comme un but dans la conception des
systèmes de détection d'incendie ;
• les contre-mesures nécessaires en cas d'incendie pour protéger les systèmes classés de sûreté
(éléments de sectorisation, détection d'incendie et systèmes de lutte contre l'incendie) doivent être
dimensionnés pour résister à un séisme.

F.1.2.4 - Explosions internes

La priorité doit être donnée à la prévention des explosions internes, notamment par la limitation stricte
de l'utilisation de gaz et fluides explosifs. Les moyens correspondants de même que les relations entre
explosions internes et les autres agressions doivent être définis par le concepteur.

F.1.2.5 - Projectiles internes

Des projectiles internes peuvent provenir de la défaillance d'équipements tournants ou de la

défaillance de composants à haute énergie. Ces défaillances doivent être évitées autant qu'il est

- -63
possible par des exigences de qualité et de surveillance ; les mesures correspondantes doivent être
définies par le concepteur, notamment la mise en place de dispositifs pour empêcher la mise en
survitesse d’équipements tournants.

Néanmoins, des études doivent être réalisées pour évaluer les conséquences possibles de projectiles
d’origine interne représentatifs, notamment un projectile provenant d’un corps à basse pression de la
turbine ; en fonction des résultats de ces études, des dispositions supplémentaires doivent être mises
en oeuvre autant qu'il est nécessaire.

F.1.2.6 - Chutes de charge

En principe, les chutes de charge sur des équipements liés à la sûreté doivent faire l’objet de
dispositions de prévention en fonction de l'importance des conséquences qui en résulteraient. Les
niveaux de défense contre les chutes de charges (dispositions de prévention, de surveillance et de
limitation des conséquences à mettre en œuvre) doivent être définis par le concepteur.

F.2 - Protection contre les agressions externes

F.2.1 - Évènements à considérer

Les agressions externes à considérer dans la démonstration de sûreté et pour lesquelles des
dispositions de conception sont demandées dans la section A.2.5 incluent :
• les tremblements de terre,
• les chutes d'avions,
• les explosions externes,
• la foudre et les interférences électromagnétiques,
• les eaux souterraines,
• les conditions météorologiques extrêmes (température, neige, vent, pluie, …),
• les inondations externes,
• la sécheresse,
• la formation de glace,
• les gaz toxiques, corrosifs ou inflammables..

En règle générale, un bon moyen pour déterminer les dispositions à mettre en place contre les
agressions externes est de définir des cas de charge. Une méthode appropriée doit être définie pour
chaque agression externe en vue de déterminer les chargements ainsi que les structures, systèmes et
équipements qui doivent résister à ces chargements ; de plus, pour certaines agressions externes,
cette approche doit être complétée par une approche événementielle incluant, si nécessaire, une
analyse fonctionnelle pour évaluer les dépendances entre agressions externes et agressions ou
évènements internes.

- -64
F.2.2 - Exigences pour la conception des dispositions de protection contre des agressions
externes spécifiques

F.2.2.1 - Séismes

Il existe deux possibilités pour la conception sismique d'une tranche : dimensionner avec des spectres
et des valeurs d'accélération spécifiques au site ou dimensionner en utilisant des spectres
standardisés. Dans le dernier cas, une intensité de VIII dans l'échelle MSK pourrait être retenue, par
exemple pour la conception des bâtiments et des équipements non spécifiques au site ; ceci implique
que, pour certains sites, des adaptations pourraient être nécessaires au cas par cas.

Dans le contexte sismotectonique européen, les trois spectres présentés sur la figure F.1 apparaissent
bien adaptés et suffisamment conservatifs pour un dimensionnement standard. Avant toute décision
sur la construction d'une tranche sur un site spécifique, le concepteur doit prouver que cette protection
standard est adéquate au vu des caractéristiques réelles du site.

Les bâtiments classés de sûreté doivent être dimensionnés à l’égard des séismes, en utilisant des
critères appropriés selon les exigences fonctionnelles correspondantes. De plus, les fonctions de
sûreté doivent être accomplies pour le séisme de dimensionnement en supposant des
endommagements aux équipements non sismiques ; ceci implique une vérification détaillée du
comportement des installations, en tenant compte de façon appropriée de la disposition précise des
équipements.

Un "séisme d'inspection" avec une accélération horizontale maximale de 0,05 g en champ libre est
adéquat ; après l’occurence d'un séisme de niveau inférieur ou égal à celui-ci, aucune vérification ou
inspection des composants importants pour la sûreté ne devrait être nécessaire avant de ramener ou
de maintenir la tranche en fonctionnement normal. Cependant des dispositions adéquates doivent être
mises en place au stade de la conception pour permettre les inspections et les tests qui pourraient
s'avérer nécessaires en cas de dépassement de ce niveau d'accélération.

Pour le dimensionnement des composants et des structures des tranches électronucléaires de la

prochaine génération, la combinaison du séisme de dimensionnement avec l'accident de perte de
réfrigérant primaire de référence doit être prise en compte. Pour le dimensionnement des structures
internes de la cuve du réacteur, cette exigence pourrait être traitée en considérant un cas de charge
combinant le séisme de dimensionnement et la rupture de la plus grosse tuyauterie connectée à une
tuyauterie primaire principale. De plus, concernant le dimensionnement et l'étanchéité de l'enceinte de
confinement, le concepteur doit préciser sa position sur la combinaison d'une défaillance d'une
tuyauterie de vapeur avec le séisme de dimensionnement. Les systèmes nécessaires pour faire face
aux transitoires, incidents et accidents de référence doivent être conçus ou qualifiés pour la
combinaison des chargements résultant des transitoires, incidents et accidents de référence
correspondants et du séisme de dimensionnement.

Une approche événementielle doit être appliquée pour identifier de manière exhaustive les
équipements dont la défaillance pourrait induire la défaillance d'équipements dimensionnés au séisme
nécessaires pour l'accomplissement des fonctions de sûreté ; cette approche doit être complétée
pendant la phase de construction par une visite des locaux. Des mesures de conception

- -65
complémentaires doivent être mises en place autant qu'il est possible pour supprimer les difficultés
identifiées. De plus, des défaillances simultanées d'équipements non dimensionnés au séisme doivent
être considérées selon une méthode appropriée.

Le concepteur doit aussi préciser comment il a l'intention de prouver l'existence de marges de

dimensionnement suffisantes en cohérence avec les objectifs généraux de sûreté indiqués dans la
section A.1.1. L'évaluation des marges doit être réalisée dans le but de démontrer qu'il n'y aurait pas
d'effet falaise en matière de conséquences radiologiques en supposant des valeurs d'accélération
inférieures aux valeurs d'accélération spécifiques au site ; la méthode correspondante doit tenir
compte du comportement réel d'équipements représentatifs et des possibilités de défaillances
simultanées d'équipements.

Pour faire face à la possibilité d’une perte de longue durée des sources électriques externes, toutes les
sources électriques de secours doivent être dimensionnées et qualifiées au séisme.

F.2.2.2 - Chutes d'avions

Pour ce qui concerne les chutes d'avion, des dispositions doivent être prises pour assurer une
protection appropriée des bâtiments liés à la sûreté en considérant de façon appropriée les trafics de
l'aviation générale et de l'aviation militaire à proximité du site et en anticipant autant que possible leurs
évolutions au cours de la vie de l'installation.

La protection des systèmes de sûreté doit être considérée à l'égard de l'impact direct (pénétration)
ainsi qu’à l’égard de l'impact indirect liés aux vibrations induites.

Ces objectifs peuvent être traités en dimensionnant le bâtiment du réacteur, le bâtiment du

combustible usé et certains bâtiments auxiliaires (de manière à assurer sans redondance la protection
24
des équipements nécessaires pour arrêter le réacteur et empêcher la fusion du cœur) avec les
diagrammes de chargement en fonction du temps C1 et C2 présentés sur la figure F.2, appliqués à
2
une aire circulaire de 7 m de la manière suivante :

1. Le diagramme de chargement en fonction du temps C1 doit être utilisé pour le dimensionnement

des structures internes de ces bâtiments contre les vibrations induites, en supposant un
comportement linéaire élastique du matériau et un impact au centre de chaque voile de protection
externe. Pour éviter des excitations extrêmes, un découplage des structures internes des parois
externes doit être utilisé. Autant que possible, la fixation de systèmes et de composants sur les
voiles externes devrait être évitée. Les spectres de réponse correspondants à considérer pour la
conception des équipements ne doivent être calculés que pour les éléments structuraux principaux
de ces bâtiments.

24
Ce paragraphe implique que certains bâtiments auxiliaires peuvent être dimensionnés sans protection à l'égard des chutes
d'avion pourvu que les équipements à l'intérieur des bâtiments protégés soient suffisants pour l'arrêt du réacteur et la
prévention de la fusion du cœur sans redondance.

- -66
2. Concernant la protection contre la pénétration, le diagramme de chargement en fonction du temps
C1 doit être utilisé pour le dimensionnement des parois externes des mêmes bâtiments contre les
chargements résultant d'un impact direct, de manière à assurer qu'il n'y aura ni pénétration ni
écaillage et que les déformations (armatures, béton) seraient limitées.

3. En outre, le diagramme de chargement en fonction du temps C2 doit être utilisé pour le

25
dimensionnement à l'état limite ultime (selon l'Eurocode 2, partie 1) :
a) du bâtiment du réacteur de manière à assurer que la perforation est évitée et que l'écaillage
qui pourrait survenir ne compromettrait pas l'arrêt du réacteur et la prévention de la fusion du
cœur,
b) du bâtiment du combustible usé de manière à assurer l'absence de découvrement du
combustible usé.

L'analyse dynamique des vibrations induites peut être réalisée en utilisant une technique de
superposition d'analyse modale avec la combinaison des réponses modales selon la méthode de « la
racine carrée de la somme des carrés ».

Il est souligné que, avec une disposition appropriée assurant une séparation géographique des
équipements redondants non protégés, il n'est pas nécessaire de compléter l'approche par cas de
charge correspondante par une approche événementielle. Cependant, il est souligné, en relation avec
le fait que les tuyauteries de vapeur sont implantées par paires et ne sont pas protégées contre les
chutes d'avions, que la vidange simultanée de deux générateurs de vapeur devrait être étudiée avec
des règles appropriées.

F.2.2.3 - Explosions

Concernant les explosions externes, il est nécessaire de prendre en compte, pour le dimensionnement
des tranches électronucléaires de la prochaine génération, comme chargement standard en fonction
du temps une onde de pression de forme triangulaire à front raide avec une surpression maximale de
100 mbar et une durée de 300ms. C’est-à-dire que, en tenant compte des réflexions possibles sur les
parois et les toits des bâtiments, le chargement en fonction du temps sur les parois des bâtiments
consistera en une onde de surpression maximale de 200 mbar sur les parois planes.

Pour une protection adéquate des tranches électronucléaires de la prochaine génération, le bâtiment
du réacteur, le bâtiment du combustible usé, les bâtiments de sauvegarde et les bâtiments des diesels
doivent être protégés de même que les structures et les conduits spécifiques au site liés à
l'alimentation en eau brute. De plus, la protection du bâtiment des auxiliaires nucléaires doit être
considérée pour ce qui concerne le risque de rejets radioactifs.

25
La définition de l'état ultime limite dans l'Eurocode 2, partie 1, est « associée à l'effondrement ou aux autres formes de
défaillance de structure qui peuvent mettre en danger la sécurité des personnes ». Ainsi la démonstration relative à ce
paragraphe peut tenir compte des murs de protection autres que les parois externes du bâtiment du réacteur et du bâtiment du
combustible usé.

- -67
Avant qu’une décision soit prise sur la construction d'une tranche sur un site spécifique, le concepteur
doit prouver que la protection standard relative aux explosions est appropriée en tenant compte du
développement industriel actuel et planifié autour du site. Dans le cas contraire des mesures
administratives doivent être prises ou des protections complémentaires doivent être mises en place.

- -68
 SPECTRES
Figure F.1 - SEISMIC DE SEISMES
SPECTRA

Sol mou

Sol moyen

Sol dur
Accélération spectrale (m/s )
2

Fréquence (Hz)

- 69 -
 Figure F.2 – DIAGRAMMES DE CHARGEMENT EN FONCTION DU TEMPS
Figure F.2 - LOAD-TIME DIAGRAMS
120
Force (MN)

110
C2
100

90

80

70

60
C1

50

40

30

20

10

0
0 10 20 30 40 50 60 70 80 90 100 110 120

Time (ms)
Temps

- 70 -
G - EXIGENCES DE CONCEPTION DES SYSTEMES ET EFFICACITE DES FONCTIONS DE
SURETE

G.1- Conception du système de refroidissement de la piscine du combustible usé

Le système de refroidissement de la piscine du combustible usé pourrait consister en deux trains

identiques indépendants, chaque train ayant deux pompes et un échangeur de chaleur refroidi par le
système de refroidissement intermédiaire.

Les exigences suivantes seraient appliqués au système de refroidissement de la piscine du

combustible usé :

• la conception de la piscine du combustible usé et la disposition des piquages d'aspiration et de

sortie du système de refroidissement de la piscine seraient telles qu'elles éviteraient une
recirculation directe entre le refoulement et l'aspiration du système de refroidissement ;
• la température de la piscine serait maintenue inférieure à 50°C en fonctionnement normal (états
en puissance et à l'arrêt jusqu'au commencement du déchargement du cœur dans l'état E) avec
une pompe d'un train en fonctionnement ;
• la température de la piscine serait maintenue inférieure à 50°C pendant les états d'arrêt E et F
avec deux trains en fonctionnement et une pompe de chaque train en fonctionnement ;
• le système et la piscine du combustible usé devraient pouvoir supporter une température de
100°C. Le redémarrage et le fonctionnement du système doivent être possibles avec une piscine
du combustible usé à 100°C.

Une telle conception permet de conserver la disponibilité d'une pompe après la perte d'un train en
postulant une défaillance unique active sur l'autre train, en reconnaissant que "l'exclusion" de la
défaillance unique passive sur cet autre train pourrait être tolérée si des exigences rigoureuses sont
appliquées au stade de la conception et de la construction de même que pour l'inspection en service
du système de refroidissement de la piscine du combustible usé et des barillets su système de
refroidissement intermédiaire.

Cependant, l'approche relative aux événements initiateurs pour le système de refroidissement de la

piscine du combustible usé et les systèmes supports associés, doit être définie par le concepteur, avec
le classement de ces évènements dans les catégories de conditions de fonctionnement et les
conditions de fonctionnement de réduction du risque de la tranche et les règles d'analyse associées.
Les exigences de conception du système de refroidissement de la piscine du combustible usé doivent
refléter l'importance de la fonction d'évacuation de la puissance résiduelle. Pour les transitoires,
incidents et accidents de référence, des exigences plus rigoureuses devraient être appliquées aux
conditions de fonctionnement les plus fréquentes. En particulier, des limitations adéquates de la
température de la piscine du combustible usé doivent être définies pour les transitoires de référence
26
en supposant la défaillance d'un train du système, même pendant la maintenance préventive et les

26
Le temps nécessaire pour rétablir la fonction en cas de maintenance peut être pris en compte.

- 71 -
essais périodiques ; ces limitations doivent tenir compte des exigences appliquées à la peau
d'étanchéité de la piscine de même qu'aux structures en béton et être cohérentes avec la protection
des autres systèmes de sûreté.

Il est aussi souligné que le concepteur doit prévoir des dispositions permettant la maîtrise de la perte
totale du système de refroidissement de la piscine du combustible usé tout en maintenant la fonction
de confinement ; dans le cas contraire, la vraisemblance d'une ébullition de l'eau dans la piscine de
combustible usé devra être réduite par des améliorations adéquates, notamment des systèmes
supports du système de refroidissement de la piscine. De plus, comme indiqué au paragraphe E.2.2.6,
la fusion du combustible dans la piscine doit être "pratiquement éliminée" ; le concepteur doit fournir
les justifications de cette "élimination pratique", incluant les résultats d'études probabilistes de sûreté.

G.2 - Efficacité de l'étanchéité de l'enceinte de confinement

Comme indiqué au paragraphe B.1.4.1, un faible taux de fuite de la paroi interne de l'enceinte de
confinement est essentiel.

Une attention appropriée doit être portée aux points suivants :

• le béton à hautes performances doit être spécifié en détail ; des critères d'acceptation et des tests
adéquats concernant les paramètres tels que la porosité, la perméabilité, la maniabilité, le retrait et
le fluage doivent être définis indépendamment du choix d’un site. Après le choix de celui-ci, ces
tests devront être mis en œuvre ;
• en plus des investigations menées par calcul dans une première étape, la validité des tolérances de
construction et des procédés de construction pour l'utilisation combinée d'un béton à hautes
performances et de tendons 55T15 doit être vérifiée expérimentalement au moins par des tests de
laboratoire avec la composition spécifique du béton ;
• le processus de qualification du matériau de la peau d'étanchéité et des produits d'injection doit être
spécifié ; le choix de ces composants sera fondé sur les résultats des essais correspondants ;
• la paroi interne du bâtiment de confinement devra être équipée d'une instrumentation adéquate
pour suivre avec précision la perte de la précontrainte au cours du temps dans les zones
singulières ; des dispositions doivent être prises pour pouvoir remplacer ou compléter les dispositifs
correspondants, si nécessaire.

Des informations doivent également être fournies par le concepteur concernant les dispositions mises
en place pour éviter les fuites non collectées de l'enceinte de confinement pendant toute la vie de
l'installation. En tout état de cause, la validité devra en être prouvée par des essais appropriés.

Des informations détaillées doivent aussi être fournies par le concepteur sur les sujets suivants
concernant la conception du système de ventilation de l'espace entre enceintes :

• les hypothèses relatives à la condensation de vapeur dans le béton de la paroi interne de l'enceinte
de confinement doivent être définies après une évaluation appropriée des résultats

- 72 -
 27
expérimentaux disponibles ; le système de ventilation de l'espace entre enceintes doit être
dimensionné en conséquence ;
• la durée pendant laquelle l'espace entre enceintes serait maintenu en dépression après l'arrêt du
système de ventilation de cet espace doit être précisée et justifiée ;
• la conception du système de ventilation de l'espace entre enceintes doit aussi tenir compte de
façon appropriée des fuites ou ruptures possibles de composants implantés sur la paroi externe du
bâtiment de confinement ;
• l'absence de secours électrique des ventilateurs du système de ventilation de l'espace entre
enceintes par les petits groupes électrogènes doit être justifiée ;
• l'intérêt d'une mesure permanente et enregistrée de l'iode et des aérosols dans les tuyauteries de la
ventilation de l'espace entre enceintes en aval des filtres doit être examiné ;
• une information détaillée doit aussi être fournie sur les moyens de confinement associés aux locaux
du système de ventilation de l'espace entre enceintes, avec le classement des équipements
correspondants.

G.3 - Conception du contrôle-commande

1. Les exigences applicables au contrôle-commande classé de sûreté doivent être décrites par le
concepteur dans une spécification ; la cohérence de ces exigences avec la démonstration de sûreté
relative aux transitoires, incidents et accidents de référence de même qu'aux conditions de
fonctionnement avec défaillances multiples doit être justifiée.

2. Les fonctions de contrôle-commande peuvent être classées F1A, F1B or F2 selon la classification
générale des fonctions de sûreté (voir la section B.2.1). L'efficacité des actions automatiques dans ces
classes doit garantir les périodes de grâce définies pour les contre-mesures manuelles en cas
d'incident.

3. Pour accomplir ces fonctions, l’architecture des systèmes de contrôle-commande pourrait être mise
en place comme suit :
a) interfaces avec le procédé (instrumentation, organes de coupure et actionneurs) ;
b) automates (surveillance et conduite de la tranche dans toutes les conditions normales, maîtrise du
cœur, fonctions de limitation, fonctions de protection, fonctions de support et fonctions post-
accidentelles, commande des actionneurs et hiérarchisation des commandes des fonctions classées) ;
c) suivi et conduite de la tranche avec les interfaces homme-machine.

4. La structure physique des systèmes et équipements de contrôle-commande doit être conçue de

telle sorte qu'une indépendance adéquate puisse être démontrée entre les fonctions de différents
niveaux de la défense en profondeur. Ceci s'applique notamment aux limites entre systèmes de
différentes classes de sûreté. De même, l'indépendance doit être démontrée pour les équipements
redondants mis en place pour répondre au critère de défaillance unique ainsi qu'à des exigences de
maintenance et de séparation (pour la protection contre les agressions internes) ; les fonctions F1
devraient être capables de répondre au critère de défaillance unique pendant la maintenance ou les
essais périodiques. L'indépendance doit être justifiée par des dispositions telles que la ségrégation,

27
Y compris les résultats de l'installation MAEVA.

- 73 -
l'isolement, l'autonomie, la diversification ; en particulier, des dispositions (comprenant une
diversification logicielle et matérielle) doivent être mises en place pour limiter les défaillances de cause
commune logicielles, comme indiqué dans la section A.2.2.

5. En principe, la démonstration de sûreté devrait être faite en considérant les moyens utilisés
normalement par les opérateurs dans la salle de commande principale. Cependant, la mise en place
dans la salle de commande principale d'une interface homme-machine conventionnelle classée F1B
pour pouvoir réaliser la démonstration de sûreté avec des équipements classés F1 alors que les
opérateurs utiliseraient une interface homme-machine informatisée classée F2, pourrait être acceptée
pour autant que :

a) le matériel et l'architecture de l'interface homme-machine informatisée satisfassent aux exigences

applicables aux systèmes F1B,
b) le logiciel correspondant satisfasse à des exigences de qualification détaillées à proposer par le
concepteur,
c) les moyens mis en oeuvre pour la détection et la signalisation des défaillances de fonctions et
d'équipements F2 essentiels de l'interface homme-machine informatisée satisfassent aux
exigences applicables aux fonctions et équipements F1B.

6. En plus de la salle de commande principale, une station de repli doit être mise en place pour le cas
d'indisponibilité de la salle de commande principale. Le concepteur doit préciser les situations pour
lesquelles la salle de commande principale serait indisponible, les conséquences de telles situations et
les tâches à accomplir en conséquence depuis la station de repli et les moyens associés.

7. Les défaillances du de contrôle-commande doivent être considérées de façon systématique pour la

conception et la démonstration de sûreté des tranches électronucléaires de la prochaine génération.
En particulier, le concepteur doit considérer toutes les possibilités raisonnables de génération
d'événements initiateurs résultant d'actions inappropriées des systèmes de contrôle-commande et
vérifier si ces événements initiateurs sont enveloppés par l'analyse des transitoires, incidents et
accidents de référence et des conditions de fonctionnement avec défaillances multiples.
D'un autre côté, de telles actions inappropriées des systèmes de contrôle-commande doivent aussi
être considérées en tant qu'aggravants uniques dans l'analyse des transitoires, incidents et accidents
de référence. Ne sont à considérer que les actions intempestives (uniques ou multiples) qui peuvent
résulter d'une défaillance unique dans les sous-systèmes de contrôle-commande ou les systèmes
supports.
En tout état de cause, des techniques adéquates doivent être mises en œuvre lors de la conception
des matériels, des logiciels et des applications fonctionnelles pour réduire les possibilités d'actions
inappropriées. Une attention spécifique devrait être portée au stade de la conception aux actions de
commande simultanées sensibles aux erreurs de conception ou aux erreurs des opérateurs.

8. Comme indiqué dans les parties A.1, F.1 et F.2, la démonstration de sûreté des tranches
électronucléaires de puissance de la prochaine génération doit traiter les agressions internes et
externes. Ceci inclut les conséquences de telles agressions sur les systèmes de contrôle-commande.
Les possibilités d'agressions ayant leur origine dans les équipements de contrôle-commande doivent
aussi être considérées.

- 74 -
G.4 – Utilisation de codes techniques

Comme indiqué dans la section A.1.2, la qualité de la conception, de la fabrication, de la construction

et de l'exploitation est essentielle pour la sûreté dans le cadre du premier niveau de la "défense en
profondeur". La qualité doit être obtenue et démontrée notamment par un ensemble adéquat
d'exigences de conception, de fabrication, de construction et d'exploitation de même que par
l'assurance de la qualité. Ces exigences peuvent être regroupées dans des codes techniques.

Concernant les équipements de contrôle-commande pour les tranches électronucléaires de

puissance de la prochaine génération, les points suivants sont soulignés :

• les composants de type boîte noire (matériels et logiciels) doivent disposer d'une spécification
validée fondée sur des tests spécifiques et si possible sur un retour d'expérience pertinent ;
• en principe, pour les systèmes de contrôle-commande réalisant des fonctions F1A, il faut éviter les
parties de logiciel non utilisées (c'est-à-dire les codes morts) ; les exceptions doivent être justifiées.
Tout code mort devra être identifié. Les codes morts devront être spécifiés, codés, vérifiés et
validés avec le reste des codes des systèmes concernés.

Concernant le génie civil des tranches électronucléaires de la prochaine génération :

• la cohérence des règles applicables doit être démontrée, en tenant compte des ajouts et des
modifications par rapport à des codes techniques existants ;
• un critère de compression résiduelle moyenne dans la partie courante de la paroi interne de
l'enceinte de confinement n'est pas suffisant pour garantir une étanchéité adéquate de cette paroi
interne, y compris les zones singulières, dans les conditions accidentelles ; des critères additionnels
tel qu'une limitation appropriée des largeurs de fissures devrait être considéré ;
• des dispositions doivent être mises en place pour assurer l'étanchéité de la paroi interne du
bâtiment de confinement et de ses traversées pour une rupture de la tuyauterie d'expansion du
pressuriseur combinée avec le séisme de dimensionnement ; pour autant qu'ils soient justifiés, les
critères correspondants pourraient être moins sévères que ceux appliqués pour l'étanchéité dans
les conditions d’un accident grave ;
• les dispositions prises pour satisfaire aux objectifs de conception en matière de durée de vie
doivent être précisées et justifiées en tenant compte des incertitudes relatives aux paramètres qui
affectent le vieillissement de l'enceinte de confinement ;
• des règles adéquates doivent être définies pour satisfaire les exigences fonctionnelles relatives,
d'une part aux autres bâtiments que le bâtiment du réacteur, d'autre part aux structures métalliques
(traversées du bâtiment du réacteur, peau d'étanchéité de la piscine du combustible usé…).

Concernant les systèmes de chauffage, de ventilation et de conditionnement d'air des tranches

électronucléaires de la prochaine génération :

• la conception des dispositifs de confinement statique et dynamique des bâtiments périphériques, y

compris le bâtiment des auxiliaires nucléaires, doit être cohérente avec l'accomplissement des
objectifs de sûreté indiqués dans la section A.1.1; pour les accidents graves, des études de

- 75 -
 sensibilité concernant la disponibilité des systèmes de ventilation et les taux de fuite de ces
bâtiments doivent être présentées ;
• la liste précise des locaux à risque iode, y compris les locaux où circulent des liquides radioactifs
dans des situations accidentelles, doit être précisée par le concepteur, de même que des critères
adéquats pour la fonction de confinement de ces locaux dans les différentes situations
accidentelles, en tenant compte des effets de dépression du au vent sur ces bâtiments ;
• une méthode doit être présentée concernant la définition des conditions atmosphériques de base et
extrêmes (température, humidité, durée, …) de même que les exigences à appliquer, notamment
aux systèmes de ventilation pour faire face à ces conditions ;
• les dispositions de conception prises pour assurer l'habitabilité de la salle de commande principale
doivent être détaillées.

- 76 -